監査でエラーを探していませんか？それは仕事ではない

～監査員に課された、たった二つの目的～
新人にいきなり「あなた、今日から監査員ね」と命じれば、十中八九その人はエラー探しに走る。しかしエラーを見つけるのはQCの仕事であり、それが潰されたことを確認するのはQAの仕事である。監査員に課されているのは、QMSの適合性と有効性の判定、そしてリスクの発見という、たった二つの目的である。本稿では ISO 13485:2016 8.2.4 と ISO 19011 の定義に立ち返り、「監査は粗探しではない」という原則を規格の言葉で確認する。

新人監査員が真っ先に走る道――エラー探し

新人にいきなり「あなた、今日から監査員ね」と命じれば、十中八九その人はエラー探しに走るだろう。サイン漏れを発見し、計算ミスを指摘し、記載漏れを列挙して報告書に並べる。本人は仕事をしたつもりだ。だが、これは監査ではない。

そもそも「監査（audit）」とは何か。国際的に合意された定義は、QMSR（21 CFR Part 820）が引用によって取り込んでいる ISO 9000:2015 の Clause 3 に置かれており、ISO 19011（マネジメントシステム監査の指針）も同じ定義を用いている。

この定義のどこにも「エラーを探せ」とは書かれていない。書かれているのは「監査基準が満たされている程度（the extent to which the audit criteria are fulfilled）を判定する」という一点である。エラーの列挙は、この判定を導くための手段であって、目的ではない。目的と手段を取り違えたとき、監査は粗探しに堕ちる。

ISO 13485:2016 8.2.4 が定める、内部監査の「二つの目的」

ISO 13485:2016 の内部監査要求は、第8章のうち 8.2.4（内部監査）に置かれている。同項は、内部監査の目的をたった二つに限定している。

「エラーを探せ」とはどこにも書かれていない。ここで見落とされがちなのが第一の目的に含まれる「計画され文書化された取決め」である。すなわち監査基準は規格や法令だけではなく、自社が自分で決めた手順書・規程そのものを含む。自社ルールと実態の乖離を突き止めることこそ、内部監査の一次的な仕事である。

役割分担――QC・QA・監査は同じ仕事をしない

役割分担を明確にしよう。エラーを見つけるのはQC（品質管理）の仕事である。そのエラーが全て潰されたことを確認するのはQA（品質保証）の仕事である。そして監査員は、QC・QAを通過してなお残っているという事実そのものを問題にする。

サイン漏れを「サインがない」と書くのではない。「QC・QAを通過してなおサイン漏れが残っている。すなわちQMSが有効に機能していない」と指摘するのである。

監査員に求められるもう一つの仕事――リスクの発見

そしてもう一つ、監査員に求められるのはリスクの発見である。出荷済みの製品にいくら指摘を出しても後の祭りであり、監査の本旨は「明日以降、同じ問題が起きない」と確認を得ることにある。リスクを見つけ、QMSそのものの見直しを指導する。これこそ監査員の本来の仕事である。

リスクベースアプローチという裏付け

この「過去の検出」から「将来のリスク」への視点の移動は、監査の指針側でも明確に打ち出されている。ISO 19011 は2018年版の改訂でリスクに基づくアプローチ（risk-based approach）を監査の原則に加えており、監査プログラムそのものをリスクに応じて設計することを求めている。監査員が「今日の記録の不備」ではなく「明日の不適合の芽」を見に行くのは、指針上も自然な帰結である。

指摘の書き方が変わる

具体的な指摘の書き方も変わる。「サインがありません」ではなく「QC・QAを経てなおサイン漏れが残るのは、文書管理手順 X.X におけるレビュー要件が形骸化しているためであり、当該手順の改訂を要する」――こう書けば、初めて監査の指摘になる。

指摘を「仕組みの言葉」で書くには、記録の不備を手順・教育・様式・システムのいずれの欠陥に帰着させるかを監査員自身が見立てなければならない。教育と訓練を混同したままでは、この見立てはできない。両者の違いについては教育と訓練は違う――QMSにおける「Education」と「Training」もあわせてご覧いただきたい。

QMSR施行で「内部監査記録は見せなくてよい」が変わった

内部監査の位置づけを考えるうえで、米国では制度上の大きな変更が起きている。旧QSR（品質システム規則）の 21 CFR 820.180(c) には「例外（Exceptions）」規定があり、内部監査（旧820.22）の報告書、供給者監査報告書、およびマネジメントレビューの記録は、FDA査察官による閲覧・複写の対象外とされていた。企業が忖度なく率直な内部監査を行えるようにするための配慮であり、その趣旨は CPG Sec. 130.300 にも示されてきた。

ところが QMSR（Quality Management System Regulation）では、この 820.180(c) の例外規定が維持されていない。FDAは QMSR FAQ において、マネジメントレビュー・内部監査・供給者監査に関するプロセスは コンプライアンスプログラム CP 7382.850 に従って査察の対象となり得ると説明している。

QMSR施行前後の記録の扱いについてはQMSR施行前の記録は査察でどう扱われるのかを、CP 7382.850 とQSITの関係についてはFDA CP 7382.850とQSIT――QMSR下の査察運用を参照されたい。

監査員は誰の目であり、誰の耳か

明日からの監査では、エラーリストを並べる前に自問してほしい。私はQMSの有効性を判定したか、リスクを発見したか――と。それができなければ、その時間は監査ではない。

経営者の目となり耳となる存在、それが監査員である。「公儀の隠密」と呼ばれた時代の比喩そのままに、監査部門は経営者直結の組織として機能すべきものである。被監査部門のラインに組み込まれた監査員は、定義にいう「独立した（independent）」プロセスを担い得ない。

この「経営者直結」という設計思想は、マネジメントレビューの実効性とも表裏一体である。あわせてトップダウンの品質マネジメントおよびQMSの誠実性とマネジメントレビューもご覧いただきたい。

監査員が自問すべき5つの問い

1. 監査基準を特定したか規格・法令だけでなく、自社の手順書・規程を監査基準として明示したか。
2. 適合性を判定したか個別のエラーの数ではなく、「決めたとおりになっているか」という程度の判定に至ったか。
3. 有効性を判定したか「決めたことは効いているか」を、客観的証拠に基づいて評価したか。
4. リスクを発見したか出荷済みの過去ではなく、明日以降に同じ問題が起きる可能性を指摘したか。
5. 仕組みの言葉で書いたか指摘を、手順・教育・様式・システムのいずれの欠陥に帰着させたか。