リスクマネジメントのコツ
筆者は多くの製薬企業や医療機器企業でリスクマネジメントに関するコンサルテーションを実施してきた。
リスクマネジメントを実施する中で、多くの勘違いや思い込みや間違いがあることに気付いた。
今回はリスクマネジメントを実施する際のコツを紹介したい。
リスクとは
リスクとは「危害の発生の確率とそれが発生したときの重大性の組合せ」（ISO/IEC Guide 51）である。
私たちは普段生活している中で、上記の掛け算をしばしば行っている。
例えば、飛行機で旅行することになったとしよう。飛行機が墜落すればほぼ助からない。「破局的」（重大）であることは誰でも知っている。しかしながら、「飛行機はほぼ墜落しない」（発生確率≒0）と考えている。
重大性と発生確率を掛け合わせた場合、ほぼ0に近いのである。
つまりどれだけ大きな事故が発生するとしても、発生確率が極めて低ければ、リスクをとる（飛行機に乗る）のである。それでも怖い人は新幹線を使用するであろう。
最初は重大性に注目する
ICH-Q9「品質リスクマネジメント」やISO-14971「医療機器リスクマネジメント」では、初期リスクを求める際に上記の掛け算（重大性×発生確率）を実施することとなっている。
ここで多くの人がつまずいてしまうことは、重大性はほぼ推定できるが、発生確率が求まらないということである。
しかしである。筆者はコンサルテーションを実施する際に、初期の発生確率は正確に求める必要はないと説明している。
初期リスクアセスメントでは、発生確率はあまり重要ではない。
発生確率を求めることが難しければ最大値である”１”としておけば良い。（発生確率は少数であらわされる。0.0～1.0）
なぜならば、リスクは試せないのであって、発生してみなければ発生確率は計算できないのからである。
特に、ソフトウェアエラーやヒューマンエラーに関しては、発生確率を求めない。
ソフトウェアにバグは付きもの（100％発生する）であり、ヒューマンエラーは必ず発生するのである。
最後は発生確率に注目する
多くのリスクマネジメントの規格やガイドラインなどでは、重大性と発生確率のどちらかまたは両方を低減させることを求めている。
ISO-14971では、「リスクコントロール手段は、危害の重大さ若しくは危害の発生確率又はその両者を減少させることができる」との記載がある。
しかしながら、重大性についてはリスクコントロール実施後も変化しない（危害の重大性は不変）という認識が一般的である。
つまり、重大性を下げることは極めて困難なのである。
例えば、墜落しても死亡しない飛行機は造れない。しかしながら、極めて墜落しない飛行機は設計できるのである。（ちなみに、あらゆる輸送手段の中で航空機が最も安全（発生確率が最も低い）である。）
リスクマネジメントを実施して、重大性を下げようと苦心している人をしばしば見かけるが、ほとんど困難であることを説明する。
リスクマネジメントにおいては、重大性を下げるのではなく、発生確率を下げるのである。
起きてしまったことはリスクとは言わない
市場で実際に事故が発生した場合、多くの企業では再度リスクマネジメントを実施している。
その際に、また発生確率を掛けているケースを見かける。
起きてしまった事故はもはや「リスク」ではなく「問題」である。そもそもリスクは起きるか起きないかが不明であるため、発生確率を想定するのである。事故が起きてしまった場合は、重大性のみで判断しなければならない。
また再発を防止するためにリスクマネジメントではなく、CAPA（是正・予防処置）を実施しなければならない。
たとえば、重大な航空機事故や列車事故が発生したとしよう。多くの場合、事故調査委員会が開かれ根本的原因の徹底した追及と再発防止策を検討するであろう。
有名な話として、少女が猫を洗った後に寒いだろうと思って電子レンジに入れたといった事故が発生した。
製造業者はまさか生き物を電子レンジに入れるとは想定していなかったのである。しかしながら、実際に猫を電子レンジに入れたケースが発生したので、以降は取り扱い説明書に「生き物を入れないこと」と必ず明記（以降の発生確率は1と推定）しているのである。
医療機器の設計においてFMEAは使用してはならない
FMEA（IEC-60812）は医療機器規制では参照されていない。
FMEAの特徴は、リスクに検出可能性を掛け合わせていることである。これをリスク優先度（RPN：Risk Priority Number）と呼ぶ。
RPN＝危害の発生の確率×重大性×検出可能性
機器の設計においてFMEA（検出可能性）は使用してはならない。リスク優先度は、患者、ユーザには無関係だからである。
医療機器のリスクマネジメントはISO-14971に従い、リスク（重大性×発生確率）を受容可能なまで低減しなければならない。つまり検出可能性に関係なく、医療機器設計においては、リスクコントロールが必要である。
FMEAは、工程設計において使用すれば良い。
改正GMP省令におけるリスクマネジメント
今般改正が予定されているGMP省令においては、ICH-Q9「品質リスクマネジメントに関するガイドライン」に従い、品質リスクマネジメントの実施が要求される。
PMDAのホームページでは、参考資料として「リスクマネジメントシート」の記載例が掲載されている。
https://www.pmda.go.jp/files/000218642.pdf
しかしである。この資料では業界をミスリードしてしまう。
「ユーザ要求仕様書（URS）を作成していない」「DQを実施していない」「IQ、OQ、PQを実施していない」などといった例が記載されている。
果たしてこれらはリスクマネジメントの対象であろうか。リスクとは、業務手順を遵守していても起きるかも知れない問題のことである。
「～を実施していない」は不作為であり、規制要件違反である。規制要件は遵守しなければならないものであり、リスクとして取り上げるべきものでは決してない。もしそれらがリスクであるとすれば、発生確率はどの程度あると思っているのであろうか？
当局には適切な模範の掲示を強く要望したい。
