リスクベースアプローチとは

リスクベースアプローチ（Risk-Based Approach）とは、製品品質・安全性・記録の信頼性（データインテグリティ）への影響度に応じて管理の厳しさを配分する考え方である。ICH Q9(R1)、ISO 14971:2019、21 CFR Part 820（QMSR）、QMS省令、GMP省令のいずれもが、この思想を条文・要求事項として明示的に取り込んでいる。しかし実務では「リスクベース＝手を抜いてよい」という誤解が根強い。本稿では、一次情報に基づいて枠組みを整理したうえで、その誤解を正面から否定する。

「一律管理」の限界と、新しい発想

従来の「一律管理」アプローチ

医薬品・医療機器・食品をはじめとする規制産業において、「すべての項目を同じ厳しさで管理する」という考え方は、長らく品質管理の基本姿勢とされてきた。しかしながら、現実の業務においてはリソースに限りがあり、すべてに同等の注意を向けることは容易ではない。

かつての品質管理では、業務の種類や製品への影響度にかかわらず、すべての工程・記録・システムに対して同一の管理水準が求められる傾向があった。例えば、社内向けの備品管理台帳も、製品の製造記録も、同等の手続きで運用されることがあった。

この考え方自体は「漏れをなくす」という点で一定の合理性を持つが、実務上は以下のような問題が生じやすい。

• 重要度の低い業務に過大なリソースが費やされる
• 真に重要な管理対象への注意が分散される
• 組織全体のコンプライアンス疲弊（Compliance Fatigue）を招く

リスクベースアプローチの核心

リスクベースアプローチは、こうした限界を克服するための考え方である。その核心は、「影響度（Severity）」と「発生可能性（Probability）」を掛け合わせたリスク評価に基づいて、管理の厳しさを決定するという点にある。影響度が高く、発生可能性も高いものには厳格な管理を、影響度が低いものには簡素な管理を適用することで、限られたリソースを最も効果的に活用できる。

適用される3つの重要領域

リスクベースアプローチは、規制産業において主に以下の3つの領域で活用されている。

• 製品品質（Product Quality）――工程や原材料が最終製品の品質に及ぼす影響度に応じて、管理・試験・バリデーションの水準を変える
• 安全性（Safety）――製品が患者・使用者・第三者に及ぼす危害の重大性と発生確率に応じて、設計上のリスクコントロールを講じる
• 記録インテグリティ（Data Integrity）――記録やコンピュータ化システムが製品品質・患者安全に及ぼす影響度に応じて、バリデーション深度・監査証跡・アクセス管理の要件を変える

製品品質――すべての工程が等価ではない

製造工程においては、すべての工程が製品品質に与える影響は均一ではない。例えば医薬品の製造では、原薬の秤量工程は最終製品の有効成分量に直結するため高リスクと判断される一方、製品の外装ラベルの印刷工程は影響度が相対的に低いとみなされる場合がある。もちろん「低い」は「ゼロ」ではない。表示の誤りは重大な健康被害と回収の原因になり得るのであって、比較の問題にすぎない点は誤解のないようにしたい。

ICH Q9（品質リスクマネジメント）は、この考え方を製薬業界に体系的に導入した国際指針であり、FMEA（故障モード影響解析）やHACCP（ハザード分析重要管理点）などの手法を利用可能なリスク評価ツールの例として紹介しており、状況に応じた定量的・定性的評価の実施を支持している。安全性と記録インテグリティの2領域については、それぞれ ISO 14971:2019 と Part 11／CSA の章で後述する。

国際的な定式化――ICH Q9 の2つの原則

この思想を国際的に定式化した最初の文書が、2005年11月に ICH でステップ4に到達した ICH Q9「品質リスクマネジメント」である。同ガイドラインは冒頭で、品質リスクマネジメントの原則をわずか2つに凝縮している。

ここで注意すべきは、原則が求めているのが「リスクに応じた労力」であって、「リスクが低ければ労力ゼロ」ではないという点である。この一語の読み違えが、後述するあらゆる誤用の出発点になる。

リスクベースは「手を抜く」ことの免罪符ではない

リスクベースアプローチに対して、「管理を緩めることへの免罪符になるのでは」という懸念を持つ方も少なくない。しかしこれは明確な誤解である。

リスクベースアプローチは、低リスク領域の管理を合理化する代わりに、高リスク領域には従来以上の注意と資源を集中投下することを求める。つまり、「管理の総量を減らす」のではなく、「管理の配分を最適化する」ことが目的である。総量が減るとすれば、それはリスク評価の結果として偶然そうなったにすぎず、目的ではない。

この点について、ICH Q9(R1) は改訂で追加された第5.1節に、極めて短く、しかし決定的な一文を置いた。

言い換えれば、リスクベースアプローチは説明責任を前倒しで要求する枠組みである。一律管理であれば「規則どおりやりました」で済んだものが、リスクベースでは「なぜこの水準で足りると判断したのか」を自ら立証しなければならない。労力の総量が減らないどころか、判断の質と記録の質は明らかに上がる。安易な導入がかえって組織を苦しめるのは、このためである。

ICH Q9(R1)――品質リスクマネジメントの標準的枠組み

ICH Q9 は2023年1月18日にステップ4に到達した改訂版 ICH Q9(R1) に置き換わっている。日本では厚生労働省が令和5年8月31日付 薬生薬審発0831第1号・薬生監麻発0831第2号「品質リスクマネジメントに関するガイドラインの改正について」により通知し（令和5年10月4日に一部訂正）、平成18年9月1日付の旧ガイドラインを差し替えた。和訳はPMDAのICHページから入手できる。米国では FDA がGuidance for Industry「Q9(R1) Quality Risk Management」として2023年5月に採択している。

3つの構成要素――アセスメント・コントロール・レビュー

ICH Q9(R1) は、品質リスクマネジメントを「リスクのアセスメント・コントロール・コミュニケーション・レビュー」から成る体系的プロセスと定義する（第4章）。

用語の変更に注意――「リスクの特定」から「ハザードの特定」へ

R1 における実務上重要な変更のひとつが、従来「リスクの特定（Risk Identification）」と呼ばれていた工程を「ハザードの特定（Hazard Identification）」に改称した点である。リスクは「危害の発生確率と重大性の組合せ」であり、特定の対象になるのはリスクそのものではなくハザードである、という概念整理を反映したものである。既存のSOPやリスクアセスメント様式が旧用語のままになっていないか、この機会に点検されたい。

R1で何が加わったか――形式性・意思決定・主観性

R1 の中核は、第5章「リスクマネジメントの方法論」への3節の追加と、第6章への供給安定性に関する節の追加である。

とりわけ 5.3 は、リスクアセスメントの現場を長く悩ませてきた問題を初めて正面から扱った節である。ICH Q9(R1) は「意思決定者は、品質リスクマネジメント活動における主観性が管理され最小化されることを保証しなければならない」と第4.1節（責任）にも明記した。RPN（リスク優先度数）の乱用――尺度の定義が曖昧なまま3つの数値を掛け合わせ、閾値を後付けで調整する運用――は、まさにこの節が戒める「設計の粗いスコア尺度」の典型である。

利用可能なリスクマネジメントツール

ICH Q9(R1) 第5章および附属書I は、利用可能なツールの例として次を挙げている（網羅的な一覧ではない）。

• 基本的なリスクマネジメント支援手法（フローチャート、チェックシート等）
• FMEA（故障モード影響解析）／FMECA（故障モード影響致命度解析）
• FTA（故障の木解析）
• HACCP（ハザード分析重要管理点）
• HAZOP（ハザード及び運転性検討）
• PHA（予備ハザード分析）
• リスクランキングとフィルタリング
• 統計的手法（管理図、累積和管理図等）

これらは「どれかを必ず使え」という趣旨ではない。ICH Q9(R1) 5.1 は、形式性が低い場合には「品質リスクマネジメントツールが一部または全部の工程で使われないこともある」と明示している。ツールを使うこと自体が目的化してはならない。

医療機器の安全性――ISO 14971:2019 と「AFAP」

医療機器の分野では、ISO 14971:2019（第3版）がリスクマネジメントの国際規格として広く採用されている。この規格は、製品が患者・使用者・第三者、さらには財産や環境に与えるリスクを特定・推定・評価し、受容可能な水準に収まるよう設計・管理することを、ライフサイクル全体にわたって求めている。適用の手引きはISO/TR 24971:2020が、ISO 14971:2019 と同一の箇条番号構成で提供している。

重要なのは、「リスクゼロ」を目指すのではなく、ベネフィットとリスクのバランスを科学的に評価するという姿勢である。手術用メスには刃の危険性があるが、その有益性が上回るため製品として許容される。これがリスクベース思考の本質である。

ALARP と AFAP を混同してはならない

ここが実務上、最も間違えられている論点である。よく似た2つの略語があるが、両者は要求水準が根本的に異なる。

欧州市場向けの医療機器では、EU医療機器規則（Regulation (EU) 2017/745, MDR）附属書I 第I章が AFAP を要求している。第2項は次のように定義している。

すなわち、リスク低減を打ち切ってよい唯一の理由は「これ以上下げるとベネフィット・リスク比が悪化する」ことだけであり、「費用がかかりすぎる」「工数が見合わない」は理由として認められない。ここが ALARP との決定的な差である。ISO 14971:2019 は受容可能性の判定基準を数値で示さず、その決め方（方針）を製造業者の管理者層に委ねているが、欧州市場向けの機器についてはこの方針の選択に余地がない。ALARP の考え方を残したリスクマネジメント方針をそのまま欧州向けに流用すれば、MDR 不適合となる。欧州整合規格である EN ISO 14971:2019+A11:2021 は、この点を整理したうえで MDR／IVDR の整合規格として欧州連合官報に掲載されている。

リスクコントロールには優先順位がある

もうひとつ、リスクベースアプローチの実装で見落とされやすいのが、リスクコントロール手段には厳格な優先順位があるという点である。ISO 14971:2019 のリスクコントロール手段の選択肢分析（箇条7.1）も、MDR 附属書I 第I章4項も、同じ順序を定めている。

1. 本質的安全設計（Inherently safe design and manufacture）設計・製造そのものによってハザードを除去する、またはリスクを低減する。最優先。
2. 保護手段（Protective measures）除去できないリスクについて、機器自体または製造工程における防護手段（必要に応じてアラームを含む）を講じる。
3. 安全のための情報（Information for safety）警告・注意・禁忌の表示、および必要に応じた使用者訓練。最後の手段であり、上位2つを検討せずにここへ飛んではならない。

「取扱説明書に注意書きを追加した」だけでリスクコントロール完了とする運用は、この優先順位を無視している。実際、MDR は「製造業者は使用者に残留リスクを通知しなければならない」と定めるが、それは上位2段階を尽くしたうえでの話である。

米国QMSR――リスクベースはどこに書かれているか

QMSR（Quality Management System Regulation）は2024年2月2日の最終規則により21 CFR Part 820 を全面改正したもので、2026年2月2日に施行された。この改正で条文の姿は大きく変わっている。

ここで見落とされやすいのが、旧 §820.30(g)（設計バリデーション）にあった「risk analysis（リスク分析）」という語が、現行の Part 820 条文からは消えているという事実である。これは米国がリスクマネジメントを不要としたという意味ではまったくない。逆であり、リスク要求は §820.7 の引用取り込みを通じて ISO 13485:2016 本体に一本化された。

ISO 13485:2016 は箇条4.1.2 b) で「品質マネジメントシステムに必要な適切なプロセスの管理にリスクに基づくアプローチを適用する」ことを、箇条7.1 で「製品実現におけるリスクマネジメントのプロセスを文書化する」ことを求めている。つまり QMSR 下の米国では、リスクベースアプローチは設計管理という一領域の話ではなく、品質マネジメントシステム全体の統制原理として位置づけられたことになる。

査察側の運用も同様である。FDAは2026年2月2日から、更新された医療機器製造業者査察コンプライアンスプログラム CP 7382.850 による査察を開始した。詳細は「なぜ事後法が適用されたのか」や「MDSAPとは何か」も併せてご覧いただきたい。なお FDA は、ISO 13485 の適合証明書を求めることも発行することもなく、適合証明書があってもFDA査察が免除されるわけではないとFAQで明言している。

日本の法令におけるリスクベース――QMS省令・GMP省令

QMS省令（平成16年厚生労働省令第169号）

日本の医療機器QMS省令も、ISO 13485:2016 との整合を図った改正により、リスクに基づく管理を条文レベルで要求している。とりわけ第5条の2第2号は、ISO 13485:2016 箇条4.1.2 b) にそのまま対応する規定である。

リスクに言及する主な条項は次のとおりである。条番号はe-Gov法令検索の現行条文で確認されたい。

第31条第1項第3号は特に注目に値する。リスクマネジメントのアウトプットが設計開発のインプットになるという接続を、条文が明示しているからである。リスクマネジメントファイルが設計と切り離された「別冊の書類」になっていないか、確認されたい。設計段階での位置づけについては「デザインレビューとデザインベリフィケーションの違い」も参考になる。

GMP省令（平成16年厚生労働省令第179号）

医薬品側では、令和3年8月1日施行の改正GMP省令が第3条の4に「品質リスクマネジメント」を独立の条として新設した。

「活用して……構築した上で」という語順が重要である。品質リスクマネジメントは医薬品品質システムの前提であり土台であって、後付けの付属手続ではない。同省令では第11条の2第1項第1号（安定性モニタリング）が「品質リスクを特定し、評価を行った結果に基づいて」対象医薬品を選定することを求めるなど、個別業務にもリスクベースの判断が組み込まれている。改正の全体像は「『GMP施行通知』から改正GMP省令へ」で解説している。

記録インテグリティとコンピュータ化システム

FDAが強く推進するデータインテグリティの観点でも、リスクベースアプローチは欠かせない。21 CFR Part 11 は電子記録・電子署名に対するコンプライアンス要求を、EU GMP Annex 11 はコンピュータ化システム全般に対するコンプライアンス要求を定めているが、これらの要求もシステムの用途や製品への影響度に応じて適用範囲が変わる。

例えば、製造バッチ記録を管理するシステムと、社内向けのスケジュール管理ツールとでは、求められるバリデーションの深度や監査証跡の要件が大きく異なる。前者は患者の安全に直結するため高い要求水準が課されるが、後者にはそれほど厳格な対応は求められない。

Part 11 の解釈がリスクベースへ転換した瞬間

この考え方を米国で公式化したのが、FDAが2003年8月に発出したガイダンス 「Part 11, Electronic Records; Electronic Signatures — Scope and Application」である。同ガイダンスは Part 11 の適用範囲を狭く解釈する方針を示すとともに、バリデーション・監査証跡・記録の保存について、予測される影響と記録の重要性に基づく正当化されたリスクアセスメントに依拠する運用を認めた。一律に全システムを同じ深度でバリデートする時代は、ここで終わっている。

CSV から CSA へ

その延長線上にあるのが CSA（Computer Software Assurance）である。FDAは2025年9月24日、最終ガイダンス 「Computer Software Assurance for Production and Quality Management System Software」を発出した。同ガイダンスは、製造または品質マネジメントシステムに用いるソフトウェアについて、機能単位（feature, function, operation）ごとに工程リスクの高低を判定し、それに応じて保証活動の型（スクリプト試験／限定的スクリプト試験／非スクリプト試験）と記録の量を選ぶという枠組みを示している。

ここでも注意が必要である。CSAは「高工程リスクの機能について、シナリオ試験・エラー推測・探索的試験といった非スクリプト試験のほうが適している場合がある」と述べているのであって、「高リスクだから試験を減らしてよい」とは一言も述べていない。むしろ、台本どおりのスクリプト試験では発見できない欠陥を掘り起こすために、より知的負荷の高い試験を求めている。文書量が減ることはあっても、保証の水準は下がらない。この点は「ER/ES実践講座（第7回）続報」で詳しく扱っている。

産業界側では GAMP 5 第2版（2022年発行）が、クリティカルシンキング（批判的思考）を軸に据え、システムのリスクと供給者の実績に応じて検証の労力を配分する考え方を全面的に打ち出した。また PIC/S は PI 041-1「Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments」（2021年7月1日発効）で、データガバナンスとデータインテグリティ管理策をリスクに基づいて設計することを、査察官と産業界の双方に向けて示している。

リスクベースが実装された具体例――EU GMP Annex 1

「リスクベースアプローチ」を抽象論で終わらせないために、実際の規制文書がどう書き換わったかを見ておきたい。欧州委員会が2022年8月22日に公表し、2023年8月25日から適用されている改訂 EU GMP Annex 1「無菌医薬品の製造」がその代表例である（8.123項のみ2024年8月25日まで適用が延期された）。

改訂 Annex 1 の最大の特徴は、汚染管理戦略（CCS：Contamination Control Strategy）という文書化された全社的戦略を新たに要求した点にある。個々の限度値や試験項目を並べる従来型の規定から、施設・設備・システム・手順の設計と管理に品質リスクマネジメントの原則を適用し、微生物・微粒子・化学物質という汚染源全体を俯瞰して多層的な管理策を組み立てる方式へと重心が移った。

ここでも、要求が緩んだわけではない。むしろ「規定の数値を満たしていれば足りる」という逃げ場が失われ、「なぜその管理策の組合せで汚染を防げると言えるのか」を自ら説明する義務が加わった。リスクベース化とは、往々にしてこういう形で現れる。

リスク評価の実際――どのように決め、どのように残すか

リスクベースアプローチを実践するには、リスクを体系的に評価するプロセスが必要である。一般的なフローは以下のとおりである。

1. リスク質問（Risk Question）を定義するICH Q9(R1) 4.2 は、まず問題またはリスク質問を明確に定義することを求める。ここが曖昧なままだと、以降のすべての工程に主観性が混入する（5.3）。
2. ハザードを特定する何が問題を引き起こし得るかを列挙する（例：原材料の汚染、ソフトウェアのバグ、操作ミス）。過去のデータ、理論的解析、専門家の見解、関係者の懸念を情報源として用いる。
3. リスクを分析・評価する基本的には影響度（Severity）と発生可能性（Probability）の2要素に基づいてスコアリングを行う。なお、FMEAを適用する場合には、さらに検出可能性（Detectability）を加えた3要素でRPN（リスク優先度数）を算出する手法が用いられる。あらかじめ定めた判定基準と比較し、証拠の強さも併せて評価する。
4. 形式性の水準を決める不確実性・重要性・複雑性の3因子から、どこまで正式なプロセスと文書を用いるかを決める。判断の根拠を残すこと。資源の制約を理由にしてはならない。
5. リスクをコントロールする評価結果に基づき、管理策の内容と厳しさを決定する。低減策が新たなリスクを生んでいないかを再評価する。残留リスクを受容する場合は、受容の決定そのものを記録する。
6. コミュニケーションし、レビューするリスク評価の結果と判断根拠を文書化し、関係者に伝達する。計画的事象（照査・査察・変更管理）と非計画的事象（逸脱・回収）を契機に見直す。レビューの頻度はリスクのレベルに応じて設定する。

このプロセスを通じて、「なぜこの管理水準にしたか」という根拠が明確になる。これは規制当局への説明責任（Accountability）の観点でも非常に重要である。

よくある誤解の整理