[{"data":1,"prerenderedAt":155},["ShallowReactive",2],{"blog-ivd-qms":3,"related-blogs-ivd-qms":41},{"id":4,"createdAt":5,"updatedAt":6,"publishedAt":6,"revisedAt":6,"title":7,"content":8,"eyecatch":9,"description":13,"reviewer":14,"category":27},"ivd-qms","2026-09-01T00:36:35.487Z","2026-09-08T03:39:26.513Z","体外診断用医薬品とは｜IVDのQMSと医療機器との違い","\u003Cp>体外診断用医薬品（IVD）は、薬機法上は「医薬品」の一種として定義されています。ところが製造管理・品質管理の基準として適用されるのは、医薬品のGQP省令ではなく、医療機器と同じQMS省令です。この一見ねじれた構造には条文上の理由があり、業許可の種類・責任者の資格・申請ルートまで含めて、医療機器とは別の設計が必要になります。この記事では、体外診断用医薬品の定義と該当性の判断から、なぜQMS省令が適用されるのかという条文構造、承認・認証・届出の区分、薬剤師要件、そして医療機器QMSからの差分までを、条番号をたどれる形で整理します。\u003C\u002Fp>\u003Ch2 id=\"h5fe95c0e48\">【結論】体外診断用医薬品は薬機法上「医薬品」、品質管理はQMS省令で行います\u003C\u002Fh2>\u003Cp>体外診断用医薬品の品質管理に適用されるのは、QMS省令（医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令／平成16年厚生労働省令第169号）です。薬機法上の分類は「医薬品」ですが、GQP省令（医薬品、医薬部外品、化粧品及び再生医療等製品の品質管理の基準に関する省令／平成16年厚生労働省令第136号）は第2条第1項の「品質管理業務」の定義で「医薬品（体外診断用医薬品及び原薬たる医薬品を除く。以下同じ。）」と明文で除外しており、QMS省令は第2条第1項の定義で体外診断用医薬品を取り込んでいます。\u003C\u002Fp>\u003Cp>つまり、体外診断用医薬品は\u003Cstrong>「分類は医薬品、品質管理は医療機器と同じ省令」\u003C\u002Fstrong>という位置づけです。ただし「医療機器とまったく同じ」ではありません。業許可の種類、総括製造販売責任者の資格、製造所に置く管理者は医療機器と別に定められており、ここを医療機器の前提で組むと業許可の段階でつまずきます。\u003C\u002Fp>\u003Ch3 id=\"h47aa217bd6\">医療機器と体外診断用医薬品の違い（早見表）\u003C\u002Fh3>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>項目\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>医療機器\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>体外診断用医薬品（IVD）\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>根拠条文\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>薬機法上の分類\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>医療機器\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>医薬品\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>医療機器＝第2条第4項／IVD＝第2条第1項・第14項\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>クラス分類の定義条文\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>高度管理・管理・一般医療機器として定義あり\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>定義条文なし\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第2条第5項〜第7項（いずれも医療機器のみが対象）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製造販売業許可の種類\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第一種／第二種／第三種医療機器製造販売業許可\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>体外診断用医薬品製造販売業許可\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第23条の2第1項の表\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>総括製造販売責任者\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>厚生労働省令で定める基準に該当する者\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>薬剤師（ただし書きに例外あり）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第23条の2の14第1項\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製造所に置く者\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>医療機器責任技術者\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>体外診断用医薬品製造管理者（原則薬剤師）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>同条第5項／第10項\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>品質管理の基準\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令（GQP省令は対象外）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令第2条第1項／GQP省令第2条第1項\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製造販売後安全管理\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>クラスに応じて第一種〜第三種製造販売業者\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第二種製造販売業者\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>GVP省令第2条第8項〜第10項\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>「医薬品だからGQP」でも「QMS省令だから医療機器と同じ」でもない、という前提で読み進めてください。\u003C\u002Fp>\u003Ch3 id=\"h64ba5ec3f1\">この記事の進め方\u003C\u002Fh3>\u003Col>\u003Cli>定義と該当性を確認する（薬機法第2条第14項）\u003C\u002Fli>\u003Cli>なぜQMS省令が適用されるのかを条文でたどる\u003C\u002Fli>\u003Cli>承認・認証・届出の区分を整理する\u003C\u002Fli>\u003Cli>業許可・薬剤師要件などの体制要件を確認する\u003C\u002Fli>\u003Cli>医療機器QMSからの差分に絞って構築実務を押さえる\u003C\u002Fli>\u003C\u002Fol>\u003Ch2 id=\"h2c6d45f1e6\">体外診断用医薬品（IVD）とは｜薬機法第2条第14項の定義\u003C\u002Fh2>\u003Cp>体外診断用医薬品とは、専ら疾病の診断に使用されることが目的とされている医薬品のうち、人又は動物の身体に直接使用されることのないものをいいます（薬機法第2条第14項）。臨床検査に用いる試薬類がこれに当たり、英語の in vitro diagnostics から「IVD」と略称されます。\u003C\u002Fp>\u003Cp>条文の位置に注意してください。この定義は「医薬品」の定義（第2条第1項）を前提に置かれており、体外診断用医薬品は医薬品の内数です。\u003C\u002Fp>\u003Ch3 id=\"h58a539e500\">定義の要件は3つに分解できます\u003C\u002Fh3>\u003Cp>条文を要素に分けると、該当性は次の3点で判断されます。1つでも外れれば体外診断用医薬品ではありません。\u003C\u002Fp>\u003Col>\u003Cli>\u003Cstrong>医薬品であること\u003C\u002Fstrong> — 医薬品の定義（第2条第1項第2号）は「人又は動物の疾病の診断、治療又は予防に使用されることが目的とされている物であつて、機械器具等（機械器具、歯科材料、医療用品、衛生用品並びにプログラム（…）及びこれを記録した記録媒体をいう。以下同じ。）でないもの（医薬部外品及び再生医療等製品を除く。）」です\u003C\u002Fli>\u003Cli>\u003Cstrong>専ら疾病の診断に使用されることが目的とされていること\u003C\u002Fstrong> — 治療や予防を目的とする物は該当しません\u003C\u002Fli>\u003Cli>\u003Cstrong>身体に直接使用されることのないものであること\u003C\u002Fstrong> — 検体を体外で測定するものであり、体内に投与するものは該当しません\u003C\u002Fli>\u003C\u002Fol>\u003Cp>体内に投与して画像診断に用いる薬剤は、診断目的ではあっても3を満たさないため、体外診断用医薬品ではなく一般の医薬品として扱われます。\u003C\u002Fp>\u003Ch3 id=\"hae0eead65c\">検体検査に使う分析装置は医療機器、試薬は体外診断用医薬品です\u003C\u002Fh3>\u003Cp>同じ検査室に置かれていても、装置と試薬は別の規制区分になります。医薬品の定義が「機械器具等でないもの」に限られているため（第2条第1項第2号）、機械器具である自動分析装置は体外診断用医薬品には該当しません。診断に用いる機械器具等は、政令で定めるものであれば医療機器に該当します（第2条第4項）。\u003C\u002Fp>\u003Cp>実務上は、試薬と装置をセットで開発・販売していても、試薬は体外診断用医薬品として、装置は医療機器として、それぞれの区分で許可・申請を組む必要があります。医療機器側の定義と種類については\u003Ca href=\"\u002Fblogs\u002Fabout-medical-device\">医療機器とは？の解説記事\u003C\u002Fa>にまとめています。\u003C\u002Fp>\u003Ch3 id=\"he85260c4d8\">研究用試薬との境界は「使用目的」で判断されます\u003C\u002Fh3>\u003Cp>研究用試薬（RUO）として販売されているものが体外診断用医薬品に該当するかどうかは、製品の成分ではなく\u003Cstrong>使用目的\u003C\u002Fstrong>で判断されます。薬機法第2条第14項が「専ら疾病の診断に使用されることが目的とされている」と定めているため、疾病の診断に使う目的で提供すれば、名称が「研究用」であっても該当し得ます。表示・添付文書・販売時の説明を含めて、使用目的をどう提示しているかが問われます。\u003C\u002Fp>\u003Cp>判断は表示だけでは決まりません。厚生労働省の通知「研究用と称する検査キット等の体外診断用医薬品の範囲に関するガイドラインについて」（令和8年3月31日 医薬監麻発0331第1号）の別添「研究用と称する検査キット等の体外診断用医薬品の範囲に関するガイドライン」は、一般の消費者向けに販売される研究用抗原定性検査キットを直接の対象としたものですが、その基本的な考え方として、\u003Cstrong>「研究用」等の表示のみで判断するのではなく、製品の容器・包装における記載、広告、販売方法等の標ぼう事項から総合的に判断すべきこと\u003C\u002Fstrong>、そして\u003Cstrong>人の検体を用いて感染症等の疾病の罹患に関係する病原体等を検出するとしているものは、標ぼう事項に関わらず基本的に体外診断用医薬品であると判断されるべきこと\u003C\u002Fstrong>を示しています。同ガイドラインは、この考え方が他の「研究用」等と称する製品の該当性判断にも参考になるとしています。\u003C\u002Fp>\u003Cp>したがって、\u003Cstrong>「研究用」と表示していること自体は、該当しないことの根拠にはなりません\u003C\u002Fstrong>。すでに販売している製品でも、販売先・広告・顧客の使用実態が診断目的に近づいてきた段階では、開発時に一度確定させた該当性をもう一度確認する必要があります。判断が微妙な製品は、その時点でPMDAの相談制度を使って該当性を確定させてください。\u003C\u002Fp>\u003Cp>ここまでが「体外診断用医薬品とは何か」です。次に、なぜ医療機器と同じQMS省令が適用されるのかを条文でたどります。\u003C\u002Fp>\u003Ch2 id=\"h420989f00f\">なぜ医薬品なのにQMS省令なのか｜条文でたどる3層構造\u003C\u002Fh2>\u003Cp>体外診断用医薬品にQMS省令が適用される理由は、QMS省令自身の定義条文にあります。QMS省令第2条第1項は「製造販売業者等」を定義するにあたって「医療機器又は体外診断用医薬品（以下『医療機器等』という。）の製造販売業者…」と書いており、以後の全条文が使う「医療機器等」という語に体外診断用医薬品が含まれています。省令の正式名称そのものが「医療機器\u003Cstrong>及び体外診断用医薬品\u003C\u002Fstrong>の製造管理及び品質管理の基準に関する省令」であることも、この構造を端的に示しています。\u003C\u002Fp>\u003Cp>規制の全体像は、①分類は医薬品、②業許可・申請・QMSの条文群は医療機器と共通、③品質管理の基準はQMS省令でGQP省令は適用されない、という3層で整理できます。QMS省令そのものの全体像は\u003Ca href=\"\u002Fblogs\u002Fabout-qms\">医療機器QMSとは？の解説記事\u003C\u002Fa>で確認できます。\u003C\u002Fp>\u003Ch3 id=\"ha5659569ba\">QMS省令は「読み替え」ではなく定義でIVDを含んでいます\u003C\u002Fh3>\u003Cp>よくある誤解は、「体外診断用医薬品には読み替え規定があって、医療機器の条文を読み替えて適用する」というものです。これは誤りです。QMS省令に体外診断用医薬品向けの読み替え規定は置かれておらず、第2条第1項の定義で最初から包含されています。\u003C\u002Fp>\u003Cp>この違いは実務に影響します。読み替えではないため、\u003Cstrong>QMS省令の条文は原則としてそのまま体外診断用医薬品に適用されます\u003C\u002Fstrong>。品質管理監督システムの文書化（第5条第1項）、品質管理監督文書の管理（第8条）、記録の管理（第9条）、是正処置・内部監査といった要求事項は、医療機器メーカーが読むのと同じ条文を読むことになります。各要素の実務は医療機器と共通です。\u003C\u002Fp>\u003Ch3 id=\"h06c401aafe\">GQP省令は体外診断用医薬品を明文で除外しています\u003C\u002Fh3>\u003Cp>一方、医薬品側の品質管理基準であるGQP省令は、体外診断用医薬品を対象から外しています。GQP省令第2条第1項は「品質管理業務」を定義する冒頭で「医薬品（\u003Cstrong>体外診断用医薬品及び原薬たる医薬品を除く。以下同じ。\u003C\u002Fstrong>）、医薬部外品、化粧品又は再生医療等製品の製造販売をするに当たり必要な製品の品質を確保するために行う…業務」と書いており、括弧書きで明示的に除外しています。この括弧書きの末尾にある「以下同じ。」により、体外診断用医薬品の除外はGQP省令の全体に及びます。\u003C\u002Fp>\u003Cp>したがって、体外診断用医薬品の製造販売業者がGQP省令に基づく品質保証責任者や市場への出荷の管理の体系を作る必要はありません。求められるのはQMS省令の体系です。「医薬品だからGQP」と考えて体制を組み始めると、最初から作り直しになります。\u003C\u002Fp>\u003Ch3 id=\"h7acf8cc898\">QMS省令のIVD専用条文は放射性体外診断用医薬品の第5章だけです\u003C\u002Fh3>\u003Cp>QMS省令のなかで体外診断用医薬品だけを対象とする条文は、放射性体外診断用医薬品に関する第5章（第80条・第81条）に限られます。放射性医薬品たる体外診断用医薬品については、第2章及び第3章のほか第5章の規定に基づいて製造管理・品質管理を行わなければならないとされ（第3条第3項）、第80条で登録製造所（設計のみを行う登録製造所を除く）の業務運営基盤の要件が定められ、第81条では前条に定めるもののほか、登録製造所が放射性医薬品の製造及び取扱規則の規定に基づき業務を行っていることの確認が求められます。\u003C\u002Fp>\u003Cp>逆に言えば、\u003Cstrong>放射性ではない体外診断用医薬品について、QMS省令には専用の緩和も専用の上乗せもありません\u003C\u002Fstrong>。第2章と第3章を、医療機器と同じ条文で読むことになります。\u003C\u002Fp>\u003Cp>上乗せの軸は「放射性かどうか」だけです。原料の由来を気にする方が多い部分なので、条文で確認しておきます。QMS省令第3条第2項は「生物由来医療機器等」に第4章を上乗せしますが、これは①生物由来製品たる医療機器等、②薬機法第43条第2項の厚生労働大臣の指定する医療機器、③細胞組織医療機器（人又は動物の細胞又は組織から構成された医療機器）の総称です。②と③は条文上「医療機器」に限られ、①についても、生物由来製品を指定する告示が別表の柱書で体外診断用医薬品を明文で除外しているため、「生物由来製品たる体外診断用医薬品」は存在しません。\u003Cstrong>人由来・動物由来の原料を使う体外診断用医薬品であっても、原料の由来を理由にQMS省令の章が追加で適用されることはありません\u003C\u002Fstrong>。原料の基準を定める生物由来原料基準も、通則で「体外診断用医薬品その他人体に直接使用されることのない製品に使用される原料等」を適用対象から外しています。\u003C\u002Fp>\u003Ch2 id=\"ha829858736\">体外診断用医薬品の分類と承認・認証・届出｜医療機器と何が違うか\u003C\u002Fh2>\u003Cp>体外診断用医薬品には、薬機法上でクラス分類を定義する条文が存在しません。高度管理医療機器・管理医療機器・一般医療機器を定義する第2条第5項から第7項は、いずれも医療機器のみを対象として定められており、医薬品である体外診断用医薬品はここに含まれないためです。それでも承認・認証・届出の3ルートは医療機器と共通の条文群で処理され、どのルートになるかは品目ごとに決まります。\u003C\u002Fp>\u003Ch3 id=\"hb274d68b21\">「クラスI〜III」はIVDでは条文上の区分ではありません\u003C\u002Fh3>\u003Cp>体外診断用医薬品についても実務では「クラスI」「クラスII」「クラスIII」という呼び方が使われますが、これはリスク分類の考え方に由来する慣用であって、薬機法上の区分ではありません。医療機器なら「一般医療機器＝クラスI」のように定義条文と対応させられますが、体外診断用医薬品には対応先となる定義条文がありません。そのため、\u003Cstrong>クラス番号から申請ルートを機械的に導くことはできません\u003C\u002Fstrong>。\u003C\u002Fp>\u003Ch3 id=\"h28a7251450\">リスク分類は一般的名称ごとに定められます\u003C\u002Fh3>\u003Cp>体外診断用医薬品のリスク分類は、品目ごとに割り当てられる一般的名称に紐づいて定められています。一般的名称、定義、クラス分類、分類コード等の実体を示しているのは、局長通知「体外診断用医薬品の一般的名称について」（平成17年4月1日付け薬食発第0401031号）です。同通知は「それぞれ一般的名称を定め、その一般的名称ごとにリスク分類を定めることとしており」という考え方を前提に置いています。\u003C\u002Fp>\u003Cp>ただし、この局長通知は「体外診断用医薬品の一般的名称の改正等について」という同名の改正通知によって随時更新されており、新たな品目の承認等に伴って一般的名称が追加・変更されます（令和3年10月21日 薬生発1021第10号、令和5年6月30日 薬生発0630第3号、令和6年11月8日 医薬発1108第4号ほか）。特定の改正通知だけを見ても現在の一覧にはなりません。\u003C\u002Fp>\u003Cp>したがって実務の出発点は、自社製品に該当する一般的名称の特定です。一覧と検索は、PMDAの「体外診断用医薬品の一般的名称」のページで最新版を確認してください。\u003C\u002Fp>\u003Ch3 id=\"h2006eb4bd6\">3ルートの根拠は条文で確定できます\u003C\u002Fh3>\u003Cp>申請ルートの建て付けは、薬機法の3つの条文で確定します。承認を原則としたうえで、認証と届出が例外として切り出されている構造です。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>ルート\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>条文上の対象\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>根拠条文\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>審査主体\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>承認\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>体外診断用医薬品（①厚生労働大臣が基準を定めて指定するもの及び②第23条の2の23第1項の規定により指定するものを除く）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第23条の2の5第1項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>厚生労働大臣（申請は原則として機構を経由。一部変更承認の申請も同様。同条第15項）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>認証\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第23条の2の23第1項の規定により厚生労働大臣が基準を定めて指定する体外診断用医薬品（＝上の②。指定高度管理医療機器等に含まれる）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第23条の2の23第1項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>登録認証機関\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>届出\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第23条の2の5第1項・第23条の2の23第1項に規定する医療機器及び体外診断用医薬品以外のもの（＝上の①）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第23条の2の12第1項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>審査なし（製造販売をしようとするときに、あらかじめ品目ごとに、厚生労働省令で定めるところにより厚生労働大臣へ届出）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>表の承認の行にある2つの除外は、名前は似ていますが\u003Cstrong>別々の指定\u003C\u002Fstrong>です。①「厚生労働大臣が基準を定めて指定する体外診断用医薬品」は第23条の2の5第1項が独自に置いている除外で、この指定を受けた品目が届出ルートに乗ります。第23条の2の12第1項が、届出の対象を「第23条の2の5第1項又は第23条の2の23第1項に規定する医療機器及び体外診断用医薬品以外」と、残りの品目として定めているためです。これに対して②「同項（＝第23条の2の23第1項）の規定により指定するもの」が認証ルートです。\u003C\u002Fp>\u003Cp>したがって、\u003Cstrong>①②のどちらの指定も受けていない体外診断用医薬品は、原則として承認\u003C\u002Fstrong>になります。「指定がなければ届出で済む」という読み方は逆で、届出になるのは①の指定を受けた品目のほうです。\u003C\u002Fp>\u003Cp>どの品目がどのルートになるかは厚生労働大臣の指定によって決まります。自社製品の一般的名称について認証基準が定められているかどうかは、PMDAの「医療機器基準等情報提供ホームページ」に掲載されている体外診断用医薬品の認証基準の一覧で確認できます。指定の内容は改正されるため、必ず最新の告示・通知で確認してください。\u003C\u002Fp>\u003Cp>承認では、その品目が政令で定めるものであるときに、承認を受けようとするとき及び承認取得後5年ごとに厚生労働大臣の書面又は実地の調査を受けなければならないとされています（第23条の2の5第6項）。対象となる品目の範囲は同法施行令第37条の20が、\u003Cstrong>5年という調査の間隔\u003C\u002Fstrong>は同令第37条の21が定めています。\u003C\u002Fp>\u003Cp>認証では、その認証に係る品目が\u003Cstrong>政令で定めるものであるとき\u003C\u002Fstrong>に、認証を受けようとするとき及び認証取得後5年ごとに、同様の調査を登録認証機関から受けます（第23条の2の23第4項、同令第39条）。ただし、すでに基準適合証の交付を受けていて、その基準適合証に係る品目と同一の区分に属するなどの要件を満たす場合には、この調査を受けることを要しません（第23条の2の5第7項・第23条の2の23第5項）。届出はこれらの条文の対象ではないため、品目ごとの適合性調査という仕組みが付随しません。調査の進め方は\u003Ca href=\"\u002Fblogs\u002Fqms-assesment\">QMS適合性調査の解説記事\u003C\u002Fa>にまとめています。\u003C\u002Fp>\u003Cp>なお、医療機器（非IVD）でクラス分類を判定し、認証基準の有無から届出・認証・承認を確定させる手順は、対象も判断材料も体外診断用医薬品とは別です。医療機器側は\u003Ca href=\"\u002Fblogs\u002Fdevice-classification\">医療機器の認証・承認・届出の違いとクラス分類の判定\u003C\u002Fa>を参照してください。\u003C\u002Fp>\u003Ch3 id=\"h30c3a244cc\">届出品目には設計開発の規定が適用されません\u003C\u002Fh3>\u003Cp>QMS省令第4条第1項は、法第23条の2の5第1項に規定する医療機器及び体外診断用医薬品並びに法第23条の2の23第1項に規定する指定高度管理医療機器等\u003Cstrong>以外\u003C\u002Fstrong>の医療機器等に係る製品について、第30条から第36条の2まで（設計開発）の規定を適用しないと定めています。つまり承認も認証も要しない届出品目については、設計開発の一連の要求事項が適用対象から外れます。\u003C\u002Fp>\u003Cp>ただし、これは「何もしなくてよい」という意味ではありません。施行通知（令和3年3月26日 薬生監麻発0326第4号／令和7年1月31日 医薬監麻発0131第1号による一部改正）の「4．第4条（適用）関係」（1）は、適用しない場合には品質管理監督システム基準書に当該製品が設計開発の管理が必要な医療機器等ではない旨を記載しておくこととし、同（3）は適用しない条項と理由を基準書に明記することを求めています。この記載義務は条文にも直接の根拠があり、QMS省令第4条第3項が「前二項の規定のいずれかに該当する場合においては」品質管理監督システム基準書にその旨及びその理由を記載しなければならないと定め、記載する内容は第7条第1項第1号（品質管理監督システムの範囲。適用を除外する事項又は非適用とする事項がある場合においては、その詳細及びそれを正当とする理由を含む）が定めています。\u003Cstrong>適用除外は「基準書に書いて初めて成立する」\u003C\u002Fstrong>と考えてください。\u003C\u002Fp>\u003Ch2 id=\"hde1823a766\">「医薬品」であることが効く体制要件｜許可の種類と薬剤師\u003C\u002Fh2>\u003Cp>体外診断用医薬品の製造販売業許可は、医療機器の第一種〜第三種とは別の「体外診断用医薬品製造販売業許可」という独立した許可種類です（薬機法第23条の2第1項の表）。そして総括製造販売責任者は原則として薬剤師、製造所には薬剤師である体外診断用医薬品製造管理者を置くことが求められます。ここが医療機器の前提のままでは通らない部分です。\u003C\u002Fp>\u003Ch3 id=\"ha5b1901b5e\">許可の種類は医療機器と別枠です\u003C\u002Fh3>\u003Cp>薬機法第23条の2第1項の表は、高度管理医療機器に第一種、管理医療機器に第二種、一般医療機器に第三種の医療機器製造販売業許可を対応させたうえで、体外診断用医薬品には「体外診断用医薬品製造販売業許可」を対応させています。医療機器の許可については、第一種を受けた者は第二種・第三種を、第二種を受けた者は第三種を受けたものとみなされます（同法施行令第37条の6第1項・第2項）。\u003Cstrong>このみなし規定に体外診断用医薬品製造販売業許可は含まれていません\u003C\u002Fstrong>。医療機器の第一種を持っていても、体外診断用医薬品を製造販売するには別に許可が必要です。許可の申請書は、許可の権限に属する事務を行うこととされた都道府県知事に提出します（薬機法施行規則第114条の2第1項）。実務上の窓口は都道府県の薬務主管課です。製造販売業・製造業の基礎は\u003Ca href=\"\u002Fblogs\u002Fmanufacturing-license\">製造販売業・製造業の解説記事\u003C\u002Fa>で確認できます。\u003C\u002Fp>\u003Ch3 id=\"h8d249a726b\">総括製造販売責任者は原則として薬剤師です\u003C\u002Fh3>\u003Cp>薬機法第23条の2の14第1項は、\u003Cstrong>厚生労働省令で定めるところにより\u003C\u002Fstrong>、医療機器の製造販売業者には「厚生労働省令で定める基準に該当する者」を、体外診断用医薬品の製造販売業者には\u003Cstrong>薬剤師\u003C\u002Fstrong>を置かなければならないと定めています。同項ただし書きには、その製造管理及び品質管理並びに製造販売後安全管理に関し薬剤師を必要としないものとして厚生労働省令で定める体外診断用医薬品についてのみ製造販売をする場合（第1号）や、薬剤師を置くことが著しく困難であると認められる場合その他の厚生労働省令で定める場合（第2号）に、厚生労働省令で定めるところにより、薬剤師以外の技術者をもって代えることができる例外が置かれています。\u003C\u002Fp>\u003Cp>このうち中身を条文で追えるのは第2号です。施行規則第114条の49の2は、薬剤師を置くことが著しく困難であると認められる場合に、大学等で薬学又は化学に関する専門の課程を修了した者などをもって代えることができるとしています。ただし、\u003Cstrong>技術者を置ける期間は総括製造販売責任者として技術者を置いた日から起算して5年\u003C\u002Fstrong>とされ（同条第2項）、あわせて医療機器等総括製造販売責任者補佐薬剤師の設置等が求められます（施行規則第114条の54第6号）。恒久的に薬剤師なしで運用できる仕組みではありません。\u003C\u002Fp>\u003Cp>参入時にもっとも詰まりやすいのがこの要件です。医療機器で総括製造販売責任者を務めてきた担当者がそのまま就任できるとは限らないため、\u003Cstrong>人の手当ては許可申請のスケジュールと同時に検討する\u003C\u002Fstrong>必要があります。\u003C\u002Fp>\u003Ch3 id=\"h857d446162\">製造所には製造業の登録と体外診断用医薬品製造管理者が必要です\u003C\u002Fh3>\u003Cp>製造所側では、まず業の登録が要ります。業として体外診断用医薬品の製造（設計を含みます）をしようとする者は、製造所ごとに厚生労働大臣の登録を受けなければなりません（薬機法第23条の2の3第1項）。医薬品の製造業許可ではなく、医療機器と同じ\u003Cstrong>製造業の登録\u003C\u002Fstrong>の枠組みです。ただし登録は医療機器と体外診断用医薬品で別建てになっており、同条第2項は申請書に記載する責任者を医療機器責任技術者（第4号）と体外診断用医薬品製造管理者（第5号）に書き分けています。\u003Cstrong>医療機器の製造業登録がそのまま体外診断用医薬品に及ぶわけではありません\u003C\u002Fstrong>。\u003C\u002Fp>\u003Cp>登録の対象になる製造工程も、体外診断用医薬品について別に定められています（施行規則第114条の8）。承認・認証品目では設計、反応系に関与する成分の最終製品への充塡工程、国内における最終製品の保管が対象で、届出品目では充塡工程と国内における最終製品の保管が対象です（届出品目には「設計」が入っていません。QMS省令第4条第1項が届出品目に設計開発を適用しないこととも整合します）。登録の申請先は製造販売業許可と同じく都道府県知事で（施行規則第114条の9第1項）、登録は3年を下らない政令で定める期間ごとに更新が必要です（薬機法第23条の2の3第3項）。すでに医療機器の製造業登録がある製造所で体外診断用医薬品を製造する場合の具体的な手続（新規の登録か変更の届出か）は条文からは一意に定まらないため、都道府県の薬務主管課に確認してください。\u003C\u002Fp>\u003Cp>置く人の要件も異なります。医療機器の製造業者は、厚生労働省令で定めるところにより、製造所ごとに責任技術者（医療機器責任技術者）を置きますが（薬機法第23条の2の14第5項）、体外診断用医薬品の製造業者は、自ら薬剤師であってその製造を実地に管理する場合のほか、製造所（設計その他の厚生労働省令で定める工程のみ行う製造所を除く）ごとに薬剤師を置かなければなりません（同条第10項）。この者が体外診断用医薬品製造管理者です（同条第11項）。第10項ただし書きにも、厚生労働省令で定めるところにより、薬剤師以外の技術者による代替が認められる場合が定められています。\u003C\u002Fp>\u003Ch3 id=\"h19835edc07\">医療機器と兼業する場合は許可・総括・GVPの前提が変わります\u003C\u002Fh3>\u003Cp>医療機器の製造販売業許可を持つ事業者が体外診断用医薬品を追加する場合、許可は\u003Cstrong>2つ\u003C\u002Fstrong>になります。1つの事業者が複数種類の製造販売業許可を併有することは制度上想定されており、施行規則は、他の種類の製造販売業の許可を受けている場合にその許可の種類と許可番号を許可台帳の記載事項および変更の届出事項としています（施行規則第114条の7第7号・第114条の69第1項第6号）。\u003C\u002Fp>\u003Cp>総括製造販売責任者は許可ごとに申請書と許可台帳に記載され（施行規則第114条の2第2項第3号・第114条の7第5号）、要件も許可の種類で分かれます。薬機法第23条の2の14第1項が医療機器と体外診断用医薬品について「それぞれ置かなければならない」と書き分けているためです。資格の面では、医療機器側の基準（施行規則第114条の49第1項第1号・第2項第1号）が「薬学に関する専門の課程を修了した者」を含むため、\u003Cstrong>薬剤師は医療機器側の要件も満たし得ます\u003C\u002Fstrong>。ただし同一人が2つの許可の総括製造販売責任者を兼任できるかを明示した規定は見当たらないため、配置は許可権者である都道府県の薬務主管課に確認してください。\u003C\u002Fp>\u003Cp>GVPの種別は\u003Cstrong>入れ替わるのではなく重なります\u003C\u002Fstrong>。GVP省令は第二種・第三種を「製造販売する物」で定義しているため（同令第2条第9項・第10項）、一般医療機器と体外診断用医薬品を併せて製造販売する事業者は、第三種製造販売業者であり、かつ第二種製造販売業者でもあります。既存の第三種の手順を捨てて第二種に一本化されるのではなく、第二種として求められる範囲を上乗せする形になります。\u003C\u002Fp>\u003Ch3 id=\"h44667defa9\">業許可の時点でQMS省令の遵守体制が求められます\u003C\u002Fh3>\u003Cp>見落とされやすいのが、QMSの整備が品目の承認・認証より前に来るという点です。薬機法第23条の2の2第1項第1号は、\u003Cstrong>申請に係る\u003C\u002Fstrong>医療機器又は体外診断用医薬品の製造管理又は品質管理に係る業務を行う体制が厚生労働省令で定める基準に適合しないときは製造販売業許可を与えないことができると定めており、その基準がQMS体制省令（医療機器又は体外診断用医薬品の製造管理又は品質管理に係る業務を行う体制の基準に関する省令／平成26年厚生労働省令第94号）です。なお、同項第2号は申請に係る製造販売後安全管理の方法が厚生労働省令で定める基準に適合しないときを掲げており、GVPの体制も許可の基準です。QMS体制省令第2条第4項は「体外診断用医薬品製造販売業者」を定義し、第3条第1項は体外診断用医薬品製造販売業者を含む第一種医療機器製造販売業者等に対してQMS省令を遵守するために必要な組織の体制の整備を、第2項は医療機器等総括製造販売責任者と管理監督者の適切な配置を含む人員配置を求めています。\u003Cstrong>「承認を取ってからQMSを整える」という順序は成立しません。\u003C\u002Fstrong>\u003C\u002Fp>\u003Ch2 id=\"h5947dbb88e\">体外診断用医薬品のQMS構築実務｜医療機器QMSからの差分\u003C\u002Fh2>\u003Cp>体外診断用医薬品のQMSは、QMS省令の第2章・第3章をそのまま適用して構築します。医療機器QMSとの差分は限られており、実務上効いてくるのは「医療機器のクラスI相当に用意されている緩和が使えない」という一点です。\u003C\u002Fp>\u003Ch3 id=\"hd64ef520e7\">「限定第三種」の緩和は体外診断用医薬品には使えません\u003C\u002Fh3>\u003Cp>QMS省令には、リスクの低い医療機器のみを扱う事業者向けの特則があります。「限定一般医療機器」は、QMS省令第5条の5第3項のただし書きで「一般医療機器のうち製造管理又は品質管理に注意を要するものとして厚生労働大臣が指定する医療機器以外の医療機器」と定義され、これのみを製造販売する事業者が「限定第三種医療機器製造販売業者」です（同令第5条の6第1項）。たとえば、外部委託した工程の管理の方法について\u003Cstrong>受託事業者と合意した場合に\u003C\u002Fstrong>その内容を品質に関する実施要領に定める義務は、限定一般医療機器に係る工程には及ばず（第5条の5第3項ただし書き）、\u003Cstrong>品質管理監督システムにソフトウェアを使用する場合の\u003C\u002Fstrong>バリデーション手順の文書化は限定第三種医療機器製造販売業者が対象から除かれています（第5条の6第1項）。こうした特則が複数の条項に置かれています。\u003C\u002Fp>\u003Cp>条文上、限定一般医療機器は\u003Cstrong>一般医療機器の内数\u003C\u002Fstrong>として定義されています。一般医療機器は薬機法第2条第7項で「高度管理医療機器及び管理医療機器以外の医療機器であつて…厚生労働大臣が薬事審議会の意見を聴いて指定するもの」と定義されているため、医薬品である体外診断用医薬品はここに含まれません。つまり、\u003Cstrong>届出だけで足りる体外診断用医薬品を扱う事業者であっても、限定第三種としての緩和を受けることはできない\u003C\u002Fstrong>という読み方になります。届出品目について外れるのは設計開発（第30条〜第36条の2）だけで、文書管理・記録管理・是正処置・内部監査といった中核の要求事項はそのまま残ります。\u003C\u002Fp>\u003Cp>なお、限定第三種医療機器製造販売業者は条文上「限定一般医療機器のみを製造販売する製造販売業者」と定義されているため（QMS省令第5条の6第1項）、限定一般医療機器だけを扱ってきた事業者が体外診断用医薬品を品目追加した場合に、この「のみ」の要件をどう扱うかという論点が生じます。判断の単位を明示した通知は確認できていないため、品目追加を計画する段階で、許可権者である都道府県の薬務主管課に確認してください。\u003C\u002Fp>\u003Cp>この判断単位を明示した通知は確認できていないため、品目追加を計画する段階で、許可権者である都道府県の薬務主管課に確認してください。\u003C\u002Fp>\u003Cp>医療機器のクラスI相当と体外診断用医薬品を並べて「うちは届出だけだから軽いはず」と見積もると、この差でずれます。\u003C\u002Fp>\u003Ch3 id=\"hc5c072a03e\">製造を外部委託しても製造側の要件は残ります\u003C\u002Fh3>\u003Cp>自社に製造所を持たず、製造を全量外部に委託する場合でも、製造側の要件が消えるわけではありません。委託先が施行規則第114条の8に定める製造工程を行うのであれば、\u003Cstrong>委託先が製造業の登録を受けている必要があり\u003C\u002Fstrong>（薬機法第23条の2の3第1項）、体外診断用医薬品製造管理者（薬剤師）を置く義務も委託先側にかかります（同法第23条の2の14第10項は「体外診断用医薬品の\u003Cstrong>製造業者\u003C\u002Fstrong>は」と定めています）。QMS省令は、この登録を受けた製造所を「登録製造所」と呼んでいます（同令第69条第1項）。放射性体外診断用医薬品に限った用語ではありません。\u003C\u002Fp>\u003Cp>製造販売業者の側にも義務が残ります。外部委託した工程が受託事業者により管理されているようにすること、製品に関連するリスクと受託事業者の能力に応じた方法でその工程を管理すること（QMS省令第5条の5第1項・第2項）、管理の方法について受託事業者と合意した場合にその内容を品質に関する実施要領に定めること（同条第3項）。関係する施設及び登録製造所との間で必要かつ十分な事項について取り決め、これを文書化すること（同令第72条の2第1項）。登録製造所に対し、不具合等を知った場合に自社へ通知させるための手順を文書化させること（同令第69条第1項）。委託先である製造業者には、製造販売業者等が行う製造管理及び品質管理に協力する義務があるため（施行規則第114条の58第2項）、この協力を前提に取決めを組み立てることになります。\u003C\u002Fp>\u003Ch3 id=\"h7deb491aa5\">放射性体外診断用医薬品には第5章が上乗せされます\u003C\u002Fh3>\u003Cp>放射性医薬品たる体外診断用医薬品を扱う場合は、第2章・第3章に加えて第5章（第80条・第81条）が適用されます（QMS省令第3条第3項）。第80条第1項は登録製造所の業務運営基盤として、地崩れ及び浸水のおそれの少ない場所であること、作業所、貯蔵設備、廃棄設備、管理区域の境界という5つの要件を定めています。\u003C\u002Fp>\u003Cp>ただし、この条には適用の範囲を絞る書き分けが3つあります。第一に、対象となる登録製造所からは\u003Cstrong>設計のみを行う登録製造所が除かれます\u003C\u002Fstrong>（第80条第1項）。第二に、容器又は被包の包装、表示又は保管のみを行う登録製造所については第2号ホ及び第4号ニ中の作業室に関する規定が、他の試験検査設備又は他の試験検査機関を利用して自己の責任において試験検査を行う場合であって支障がないと認められるときは同じく試験検査室に関する規定が、それぞれ\u003Cstrong>要件から除かれます\u003C\u002Fstrong>（同項の括弧書き）。第三に、\u003Cstrong>厚生労働大臣が定める数量又は濃度以下の放射性物質のみを取り扱う場合\u003C\u002Fstrong>には、第80条第3項により業務運営基盤の要件の多くが適用されません。\u003C\u002Fp>\u003Cp>第81条は、前条に定めるもののほか、登録製造所が放射性医薬品の製造及び取扱規則の規定に基づき業務を行っていることの確認を求めています。該当する場合は、自社の登録製造所がどの除外に当たるかを先に確定させたうえで、通常のQMS文書体系に加えて施設要件を検討してください。\u003C\u002Fp>\u003Ch3 id=\"he0c75b08ac\">体外診断用医薬品のQMS立ち上げチェックリスト\u003C\u002Fh3>\u003Cp>①から順に確定させます。QMSの体制と文書は業許可の段階で求められるため（薬機法第23条の2の2第1項第1号・QMS体制省令）、③を品目の承認・認証の後に回す順序は成立しません。\u003C\u002Fp>\u003Cp>\u003Cstrong>① 該当性とルートを確定する\u003C\u002Fstrong>\u003C\u002Fp>\u003Cul>\u003Cli>[ ] 自社製品が薬機法第2条第14項の定義に該当することを確認した（装置部分は医療機器として別に整理した）\u003C\u002Fli>\u003Cli>[ ] 該当する一般的名称とリスク分類を特定した\u003C\u002Fli>\u003Cli>[ ] 承認・認証・届出のどのルートになるかを条文に照らして確定した\u003C\u002Fli>\u003C\u002Ful>\u003Cp>\u003Cstrong>② 業許可・製造業の登録と人を手当てする\u003C\u002Fstrong>\u003C\u002Fp>\u003Cul>\u003Cli>[ ] 体外診断用医薬品製造販売業許可の要件として、QMS体制省令第3条の組織体制・人員配置を整備した\u003C\u002Fli>\u003Cli>[ ] 総括製造販売責任者に薬剤師を置いた（または第23条の2の14第1項ただし書きの例外に該当することを確認した）\u003C\u002Fli>\u003Cli>[ ] 製造所（自社・委託先とも）について、体外診断用医薬品の製造業の登録（薬機法第23条の2の3第1項）の要否と対象工程を確認した\u003C\u002Fli>\u003Cli>[ ] 製造所ごとの体外診断用医薬品製造管理者（薬剤師）の配置を確認した\u003C\u002Fli>\u003Cli>[ ] 製造を委託する場合、委託先の製造業の登録と体外診断用医薬品製造管理者の配置を確認し、関係する施設及び登録製造所との取決めを文書化した（QMS省令第72条の2第1項）\u003C\u002Fli>\u003Cli>[ ] 医療機器と兼業する場合、許可・総括製造販売責任者の配置とGVPの種別の扱いを都道府県の薬務主管課に確認した\u003C\u002Fli>\u003C\u002Ful>\u003Cp>\u003Cstrong>③ QMS文書体系と市販後の体制を整える\u003C\u002Fstrong>\u003C\u002Fp>\u003Cul>\u003Cli>[ ] GQP省令ではなくQMS省令の体系で品質管理監督文書を整備した\u003C\u002Fli>\u003Cli>[ ] 品質管理監督システム基準書に、適用しない条項とその理由を記載した（QMS省令第4条第3項・第7条第1項第1号）\u003C\u002Fli>\u003Cli>[ ] 限定一般医療機器・限定第三種医療機器製造販売業者の特則を自社に当てはめていないことを確認した\u003C\u002Fli>\u003Cli>[ ] 放射性体外診断用医薬品を扱う場合、第5章（第80条・第81条）の要件と、自社の登録製造所が適用除外に当たるかを確認した\u003C\u002Fli>\u003Cli>[ ] GVP省令第3章および第14条が準用する各条（第二種製造販売業者）の安全確保業務の手順を整備した\u003C\u002Fli>\u003C\u002Ful>\u003Cp>このリストを見ると分かるように、体外診断用医薬品の立ち上げでは\u003Cstrong>軽くなる部分がほとんどないまま、業許可の段階で文書体系を揃えておく必要\u003C\u002Fstrong>があります。しかも総括製造販売責任者が薬剤師に限定されるため、少人数の兼務体制になりやすいのが実情です。文書の版管理・承認履歴・記録の紐付けを紙とファイルサーバーで回すと、最初の適合性調査で必要な記録を取り出せない状態になりがちです。\u003Ca href=\"\u002Fblogs\u002Feqms-introduction\">電子QMS導入の解説記事\u003C\u002Fa>で触れているように、医療機器QMSに特化したeQMSであれば版管理・承認履歴・監査証跡が標準機能として備わり、QMSmartのような製品は文書体系ごと立ち上げる土台としても検討できます。\u003C\u002Fp>\u003Cp>なお、EU IVDRやFDAの規制など海外展開に関わる要件は本記事の範囲外です。海外規制の全体像は\u003Ca href=\"\u002Fblogs\u002Foverseas-regulations\">海外規制の解説記事\u003C\u002Fa>にまとめています。\u003C\u002Fp>\u003Ch2 id=\"h187fb46b8b\">市販後の安全管理｜体外診断用医薬品はGVP省令の第二種製造販売業者\u003C\u002Fh2>\u003Cp>体外診断用医薬品の製造販売業者は、GVP省令（医薬品、医薬部外品、化粧品、医療機器及び再生医療等製品の製造販売後安全管理の基準に関する省令／平成16年厚生労働省令第135号）上、「第二種製造販売業者」に位置づけられます（同令第2条第9項）。したがって適用されるのは、第二種製造販売業者の製造販売後安全管理の基準を定めた同令第3章です。ただし、第3章は第13条・第14条の2条しかありません。製造販売後安全管理業務手順書の作成、安全管理情報の収集、検討及び安全確保措置の立案、安全確保措置の実施、自己点検、教育訓練といった実体的な要求は、\u003Cstrong>第14条が第3条、第5条から第10条まで（一部の項・号を除く）、第11条及び第12条を読み替えて準用する\u003C\u002Fstrong>ことで及びます。読替えの例としては、第9条の3の「医療機器の安全性」が「医療機器又は体外診断用医薬品の安全性」と読み替えられます。また、記録の保存期間は第3章の外にある同令第16条（雑則）が定めています。\u003C\u002Fp>\u003Ch3 id=\"h8262c0a963\">医療機器とは区分の決まり方が違います\u003C\u002Fh3>\u003Cp>GVP省令第2条第8項から第10項は、第一種を処方箋医薬品、高度管理医療機器又は再生医療等製品、第二種を処方箋医薬品以外の医薬品、管理医療機器又は体外診断用医薬品、第三種を医薬部外品、化粧品又は一般医療機器の製造販売業者と定義しています。医療機器はクラスに応じて第一種から第三種に分かれますが、\u003Cstrong>体外診断用医薬品はリスク分類にかかわらず第二種\u003C\u002Fstrong>です。GVPの中身は\u003Ca href=\"\u002Fblogs\u002Fabout-gvp\">医療機器のGVPとは？\u003C\u002Fa>で確認できます。\u003C\u002Fp>\u003Ch3 id=\"h0a0933368a\">QMSとGVPの接続点を手順として決めておきます\u003C\u002Fh3>\u003Cp>QMS省令とGVP省令は別の省令ですが、接続点が条文に置かれています。QMS省令第70条は、製造販売業者等が製品に係る医療機器等の製造販売後安全管理に関する業務を行う場合においては、QMS省令の規定のほかGVP省令の規定に従わなければならないと定めています。また第55条の2第1項第4号（苦情処理）は、苦情の処理手順に法第68条の10第1項及び法第68条の11の規定に基づく報告の必要性の評価を含めることを求めており、QMSの苦情処理からGVP・不具合報告へ流れる導線が明示されています。\u003C\u002Fp>\u003Cp>実務では、苦情の受付から報告の必要性の評価、安全確保措置、回収の判断までを一連の手順として設計し、どこまでがQMSの記録でどこからがGVPの記録かを決めておくと運用が安定します。役割分担の考え方は\u003Ca href=\"\u002Fblogs\u002Fqms-vs-gvp\">QMSとGVPの違い\u003C\u002Fa>で整理しています。\u003C\u002Fp>\u003Ch2 id=\"h08562665f0\">よくある質問\u003C\u002Fh2>\u003Ch3 id=\"h024126e54a\">体外診断用医薬品は医療機器ですか？\u003C\u002Fh3>\u003Cp>医療機器ではありません。薬機法第2条第14項で「医薬品」の一種として定義されています。ただし業許可・承認・認証・届出・品質管理は医療機器と共通の条文群（第23条の2以降）で規制されるため、実務上は医療機器に近い運用になります。\u003C\u002Fp>\u003Ch3 id=\"h828e863ff8\">体外診断用医薬品にQMS省令は適用されますか？\u003C\u002Fh3>\u003Cp>適用されます。QMS省令の正式名称は「医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令」で、第2条第1項が「医療機器又は体外診断用医薬品（以下『医療機器等』という。）」と定義して体外診断用医薬品を含めています。読み替え規定ではなく、定義そのもので包含されている構造です。\u003C\u002Fp>\u003Ch3 id=\"h4a46558463\">体外診断用医薬品はGQP省令の対象ですか？\u003C\u002Fh3>\u003Cp>対象外です。GQP省令第2条第1項が「品質管理業務」の定義で「医薬品（体外診断用医薬品及び原薬たる医薬品を除く。以下同じ。）」と明文で除外しています。医薬品でありながら品質管理はQMS省令で行う、というのが体外診断用医薬品の位置づけです。\u003C\u002Fp>\u003Ch3 id=\"hfb9933d3f0\">体外診断用医薬品のクラス分類はどこで決まりますか？\u003C\u002Fh3>\u003Cp>薬機法には体外診断用医薬品のクラス分類を定義する条文がありません（第2条第5項から第7項の高度管理・管理・一般医療機器は医療機器のみが対象です）。体外診断用医薬品は一般的名称ごとにリスク分類が定められており、その実体は局長通知「体外診断用医薬品の一般的名称について」（平成17年4月1日 薬食発第0401031号）に示されています。同通知は「体外診断用医薬品の一般的名称の改正等について」という改正通知で随時更新されるため、最新の一覧はPMDAのページで確認してください。\u003C\u002Fp>\u003Ch3 id=\"h0937a5967f\">体外診断用医薬品の総括製造販売責任者は薬剤師でなければなりませんか？\u003C\u002Fh3>\u003Cp>原則として薬剤師です（薬機法第23条の2の14第1項）。医療機器の場合は「厚生労働省令で定める基準に該当する者」で足りるため、ここが参入時の大きな違いになります。同項ただし書きには、その製造管理及び品質管理並びに製造販売後安全管理に関し薬剤師を必要としないものとして厚生労働省令で定める体外診断用医薬品についてのみ製造販売をする場合など、厚生労働省令で定めるところにより薬剤師以外の技術者で代えられる例外が定められています。\u003C\u002Fp>\u003Ch3 id=\"heca6cb8562\">届出だけの体外診断用医薬品なら、QMSは簡略化できますか？\u003C\u002Fh3>\u003Cp>設計開発（QMS省令第30条から第36条の2まで）は適用対象から外れますが（同令第4条第1項）、それ以外は簡略化されません。医療機器のクラスI相当に用意されている「限定一般医療機器」「限定第三種医療機器製造販売業者」の特則は、条文上いずれも一般医療機器の内数として定義されており、医薬品である体外診断用医薬品は含まれないと読めます。\u003C\u002Fp>\u003Ch3 id=\"h76b29579d7\">体外診断用医薬品はGVP省令の対象ですか？\u003C\u002Fh3>\u003Cp>対象です。GVP省令第2条第9項で体外診断用医薬品の製造販売業者は「第二種製造販売業者」に位置づけられ、同令第3章が適用されます。医療機器がクラスに応じて第一種から第三種に分かれるのに対し、体外診断用医薬品はリスク分類にかかわらず第二種です。ただし第3章は第13条・第14条の2条だけで、製造販売後安全管理業務手順書の作成や安全管理情報の収集といった実体的な要求は、第14条が第3条、第5条から第10条まで（一部の項・号を除く）、第11条及び第12条を読み替えて準用することで及びます。記録の保存期間は同令第16条が定めています。\u003C\u002Fp>\u003Ch2 id=\"hb901e6a93e\">まとめ｜IVDのQMSは「医療機器と同じ省令、違う体制」で設計する\u003C\u002Fh2>\u003Cul>\u003Cli>体外診断用医薬品は薬機法第2条第14項で「医薬品」として定義されますが、品質管理はQMS省令で行います。GQP省令は第2条第1項で明文除外されています\u003C\u002Fli>\u003Cli>QMS省令は読み替え規定ではなく、\u003Cstrong>第2条第1項の定義で体外診断用医薬品を包含\u003C\u002Fstrong>しています。IVD専用条文は放射性体外診断用医薬品の第5章（第80条・第81条）だけです\u003C\u002Fli>\u003Cli>薬機法に体外診断用医薬品のクラス分類の定義条文はありません。リスク分類は一般的名称ごとに定められ、承認・認証・届出は第23条の2の5第1項・第23条の2の23第1項・第23条の2の12第1項で切り分けられます\u003C\u002Fli>\u003Cli>体制は医療機器と別物です。\u003Cstrong>体外診断用医薬品製造販売業許可\u003C\u002Fstrong>という独立した許可種類で、総括製造販売責任者は原則\u003Cstrong>薬剤師\u003C\u002Fstrong>、製造所には\u003Cstrong>体外診断用医薬品製造管理者\u003C\u002Fstrong>（薬剤師）を置きます\u003C\u002Fli>\u003Cli>医療機器のクラスI相当に用意されている「限定第三種」の緩和は、条文上、体外診断用医薬品には及ばないと読めます。\u003Cstrong>届出品目でも軽くなるのは設計開発だけ\u003C\u002Fstrong>です\u003C\u002Fli>\u003C\u002Ful>\u003Cp>体外診断用医薬品の立ち上げでは、業許可の段階からQMS省令の遵守体制が求められ（QMS体制省令第3条）、しかも緩和がほとんど使えません。文書体系と記録を最初から電子で立ち上げておくと、初回の適合性調査でも定期の調査でも同じ運用をそのまま使えます。\u003C\u002Fp>\u003Cp>\u003Cstrong>関連記事\u003C\u002Fstrong>\u003C\u002Fp>\u003Cul>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fdevice-classification\">医療機器の認証・承認・届出の違いとクラス分類の判定\u003C\u002Fa> — 医療機器（非IVD）側の申請ルートの確定手順\u003C\u002Fli>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fabout-qms\">医療機器QMS・品質保証（QA）とは？\u003C\u002Fa> — QMS省令の全体像\u003C\u002Fli>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fmanufacturing-license\">医療機器の製造販売業・製造業とは？\u003C\u002Fa> — 業許可・製造業登録の基礎\u003C\u002Fli>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fqms-assesment\">QMS適合性調査とは？\u003C\u002Fa> — 承認・認証に付随する調査の進め方\u003C\u002Fli>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fqms-vs-gvp\">QMSとGVPの違いとは？\u003C\u002Fa> — 品質管理と製造販売後安全管理の役割分担\u003C\u002Fli>\u003C\u002Ful>",{"url":10,"height":11,"width":12},"https:\u002F\u002Fimages.microcms-assets.io\u002Fassets\u002Ff66dcbcc145648f88aa317fc3a705f91\u002F7d6923975df643ff98d66bb6a573bd2e\u002F4.webp",941,1672,"体外診断用医薬品（IVD）は薬機法上「医薬品」ですが、品質管理はGQP省令ではなくQMS省令で行います。定義と該当性、承認・認証・届出の区分、総括製造販売責任者の薬剤師要件、医療機器QMSとの差分を条文根拠つきで整理します。",{"id":15,"createdAt":16,"updatedAt":17,"publishedAt":16,"revisedAt":17,"name":18,"image":19,"profile":23,"subtitle":24,"profile_url":25,"profile_sameas_url":26},"nakano-hiroshi","2026-08-26T03:39:51.777Z","2026-08-26T06:00:24.072Z","中野 裕士",{"url":20,"height":21,"width":22},"https:\u002F\u002Fimages.microcms-assets.io\u002Fassets\u002Ff66dcbcc145648f88aa317fc3a705f91\u002Fe46a86ad1efb41e1a5c9c79aa073373d\u002Fnakano.webp",1402,1122,"\u003Cp>東京工業大学大学院電子物理工学専攻修了。ITベンチャー、戦略コンサルティングファーム、医療機器ベンチャーを経て、株式会社Berryを創業。\u003C\u002Fp>\u003Cp>小児向け医療機器の設計開発から製造販売までを手がける医療機器製造販売業者の代表として、薬事承認の取得、QMS体制の立ち上げ、監査対応までを自ら一通り経験。ソフトウェアエンジニア出身の経歴を活かし、一品一様の製品における製造工程管理の課題を解決するため、医療機器メーカー向けクラウド型eQMSである「QMSmart」を自社開発。\u003C\u002Fp>","医療機器メーカー代表／QMSmart開発者","https:\u002F\u002Fwww.berryinc.co.jp\u002F#member","https:\u002F\u002Fservice.qm-smart.com\u002Finterviews\u002Fou0jrft6qi2",[28,32,36],{"id":29,"createdAt":30,"updatedAt":30,"publishedAt":30,"revisedAt":30,"name":31},"i9j-e9ygsax","2025-06-03T15:02:25.990Z","法規制",{"id":33,"createdAt":34,"updatedAt":34,"publishedAt":34,"revisedAt":34,"name":35},"t5sl3s5yi2","2025-06-10T00:30:26.259Z","医療機器",{"id":37,"createdAt":38,"updatedAt":39,"publishedAt":38,"revisedAt":39,"name":40},"apxnqwqnf","2024-05-20T13:39:11.460Z","2024-05-31T01:49:21.189Z","QMS基礎",[42,63,81,99,118,133],{"id":43,"createdAt":44,"updatedAt":45,"publishedAt":45,"revisedAt":45,"title":46,"content":47,"eyecatch":48,"description":50,"reviewer":51,"category":53},"medical-device-cybersecurity","2026-09-01T00:36:36.587Z","2026-09-08T02:16:39.436Z","医療機器サイバーセキュリティ対応の実務とSBOM","\u003Cp>医療機器サイバーセキュリティの規制対応は、\u003Cstrong>①自社製品が基本要件基準第12条第3項の対象かを判定する、②適合をJIS T 81001-5-1と社内文書で示す、③市販後に脆弱性を管理し続ける\u003C\u002Fstrong>、という3層に整理できます。技術部門だけの話ではなく、承認申請の添付資料とQMS適合性調査で品質保証部門・薬事部門が説明を求められる領域です。2026年8月25日には「医療機器におけるSBOM導入・運用ガイドライン（第1版）」（医薬機審発0825第1号）が発出され、SBOMをQMSと市販後安全管理プロセスに統合するという論点が加わりました。\u003C\u002Fp>\u003Ch2 id=\"hfcf7a4a46e\">医療機器サイバーセキュリティ対応で最初に決める3つのこと\u003C\u002Fh2>\u003Cp>最初に決めるべきことは、対象該当性・適合の示し方・市販後運用の3点です。根拠となる通知が層ごとに分かれているため、着手前に3層を切り分けて計画すると手戻りが減ります。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>層\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>決めること\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>主な根拠\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>①該当性\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第12条第3項の対象か。対象なら申請時に適合資料の添付が必要か\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>令和5年厚生労働省告示第67号／薬生機審発0331第8号（令和5年3月31日）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>②適合の示し方\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>JIS T 81001-5-1等への適合をどの社内文書で示すか。基本要件基準CLにどう書くか\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>薬生機審発0517第1号（平成29年5月17日）／薬生機審発0523第1号（令和5年5月23日）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>③市販後の運用\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>脆弱性の特定・評価・開示・修正等、不具合等報告の要否判断、対策に伴う薬事手続、SBOMの維持、既販品への情報提供とSBOM提示準備\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>医薬機審発0328第1号・医薬安発0328第3号（令和6年3月28日）／医薬安発0115第2号（令和6年1月15日）／医薬機審発0423第1号（令和6年4月23日）／医薬機審発0417第1号・医薬安発0417第1号（令和7年4月17日）／医薬機審発0825第1号（令和8年8月25日）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>最も抜けやすいのは②です。\u003Cstrong>適合は「対策を実施した」ことではなく「実施した結果を示す社内文書を特定できる」ことで示します\u003C\u002Fstrong>（薬生機審発0523第1号）。その記録は承認審査だけの資料ではなく、薬生機審発0331第8号 記3（3）はQMS適合性調査（薬機法第23条の2の5第6項又は第23条の2の23第4項の規定による調査。同通知は改正前の項番で「第23条の2の5第7項」と記載していますが、承認品目に係る調査の根拠は令和7年法律第37号による改正（令和8年5月1日施行）で同条第6項に繰り上がっています）の調査権者の求めなどに応じた提示と説明を求めています。\u003C\u002Fp>\u003Ch2 id=\"hf71f58c479\">法的根拠と適用スケジュール ― 基本要件基準第12条第3項\u003C\u002Fh2>\u003Cp>根拠は基本要件基準（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律第41条第3項の規定により厚生労働大臣が定める医療機器の基準。平成17年厚生労働省告示第122号）第12条第3項です。令和5年厚生労働省告示第67号（令和5年3月9日）により第12条に第3項が追加され、令和5年4月1日から適用されています。\u003C\u002Fp>\u003Ch3 id=\"h49e2bad8b2\">第12条第3項は何を要求しているか\u003C\u002Fh3>\u003Cp>条文は次のとおりです。\u003C\u002Fp>\u003Cblockquote>\u003Cp>プログラムを用いた医療機器のうち、他の機器及びネットワーク等と接続して使用する医療機器又は外部からの不正アクセス及び攻撃アクセス等が想定される医療機器については、当該医療機器における動作環境及びネットワークの使用環境等を踏まえて適切な要件を特定し、当該医療機器の機能に支障が生じる又は安全性の懸念が生じるサイバーセキュリティに係る危険性を特定及び評価するとともに、当該危険性が低減する管理が行われていなければならない。また、当該医療機器は、当該医療機器のライフサイクルの全てにおいて、サイバーセキュリティを確保するための計画に基づいて設計及び製造されていなければならない。\u003C\u002Fp>\u003C\u002Fblockquote>\u003Cp>要求は4つです。①動作環境及びネットワークの使用環境等を踏まえた適切な要件の特定、②サイバーセキュリティに係る危険性（機能に支障が生じる又は安全性の懸念が生じるもの）の特定及び評価、③当該危険性が低減する管理、④ライフサイクルの全てにおける、計画に基づく設計及び製造です。\u003C\u002Fp>\u003Cp>薬生機審発0331第8号 記2（3）は、①の「使用環境」を、医療機関・在宅・救急・植込み型機器等の動作環境と、接続するネットワーク種別やOS及び各種ライブラリ等のプラットフォームの両方を特定し、その使用環境に適した運用体制等を含めた医療機器の意図する使用に適切な要件を設定することだと説明しています。②③は「他のリスクと同様に」適切にリスクマネジメントを行うことであり（記2（4））、脅威モデリングは既存のリスクマネジメントプロセスの上で実施します（\u003Ca href=\"\u002Fblogs\u002Fqms-riskmanagement-guide\">医療機器QMSにおけるリスクマネジメント実践ガイド\u003C\u002Fa>）。\u003C\u002Fp>\u003Ch3 id=\"h7699970995\">いつから適用され、既承認品はどう扱われるか\u003C\u002Fh3>\u003Cp>適用日は令和5年4月1日で、1年間の経過措置期間が設定されました。押さえるべきは経過措置の期日よりも、申請区分ごとの取扱いと、既に市場に出ている機器の取扱いです。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>状況\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>取扱い（根拠の特記がないものは薬生機審発0331第8号 記4）\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>令和6年3月31日以前に承認・認証を受けた、又は届出された医療機器\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>改めて申請・届出を行う必要はない（記4（1））\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>同じ機器を\u003Cstrong>令和6年4月1日以降も継続して製造販売している\u003C\u002Fstrong>場合\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>申請・届出は不要だが、適合を確認した上で、資料を求めに応じて提示できるようにしておく（記4（1）なお書き）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>同じ機器で令和6年4月1日以降に一部変更申請が必要になった場合\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>適合を確認した上で、適合を示す資料を添付する（記4（1）ただし書き）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>令和6年4月1日以降に承認申請又は認証申請を行う医療機器\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>適合を確認した上で、適合に関する資料を添付する必要がある\u003C\u002Fstrong>（記4（3））。届出を行う医療機器も適合を確認する\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>令和6年3月31日以前に製造販売し、医療機関等に存在する\u003C\u002Fstrong>医療機器のうち、第12条第3項への適合が確認されていないもの\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>サイバーリスクに関する情報とEOL／EOSに関する情報の提供、医療機関等の求めに応じたSBOM提示準備\u003C\u002Fstrong>（医薬機審発0417第1号・医薬安発0417第1号。下記参照）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>既存品を一斉に作り直す必要はありませんが、令和6年4月1日以降の新規申請と一変申請はすべて適合資料を伴うため、\u003Cstrong>一変予定のある品目から順に整備する\u003C\u002Fstrong>のが現実的です。JIS T 81001-5-1を適用して開発していない既存品目については、令和5年7月20日の質疑応答集（事務連絡）Ａ３が、同規格の附属書F（トランジションヘルスソフトウェア）を適用してよいとしています。\u003Cstrong>ただしこれは適合性確認通知の記1（1）〜（6）の要件に対する取扱いで、記2の追加確認事項4項目を代替するものではありません。\u003C\u002Fstrong>同Ａ３は対策として「セキュリティ運用ガイドラインを更新する」「補完的コントロールを義務付ける」「ヘルスソフトウェアの一部を書き直す」なども可能とした上で、\u003Cstrong>セキュリティに関するリスクアセスメントを行い、リスク評価の結果、受容できないリスクがないことを確認するよう求めています。医療機器外部の補完的対策が必須になる場合もあり、リスクが受容できないと判断された場合は、製造販売業者が医療機関に対して当該医療機器使用の中止勧告を検討することとされています。\u003C\u002Fstrong>適用する場合はその旨を承認（認証）申請書添付資料4項に記載します。\u003C\u002Fp>\u003Cp>なおＱ３の問いは「製造販売承認・認証・届出済みで」今後も製造販売する予定の品目を対象としており、\u003Cstrong>届出品も附属書Fの適用の対象に含まれます\u003C\u002Fstrong>。申請書への記載のほうは、記載欄のある承認・認証申請を伴う品目についての取扱いです。また令和6年4月1日以降に製造販売する医療機器は、適合を確認した上で資料を求めに応じて提示できるようにしておく必要があります（同 記4（1）なお書き）。\u003C\u002Fp>\u003Cp>関連文書としてはほかに、手引書の改訂通知（令和5年3月31日 薬生機審発0331第11号・薬生安発0331第4号。別添が「医療機器のサイバーセキュリティ導入に関する手引書（第2版）」）と、令和5年7月20日・令和6年1月31日の質疑応答集（Q&A、いずれも事務連絡）があります。これらの通知・事務連絡は厚生労働省のウェブサイトで、過年度の通知はPMDAのウェブサイトでも公開されています。\u003C\u002Fp>\u003Cp>なお、薬生機審発0331第8号 記4（1）には「令和6年3月31日以前に製造販売された医療機器に関する取扱いについては追って通知するものとする」という後段があり、既に市場に出ている機器の扱いは留保されていました。この留保に対し、その一部として情報提供するべき事項をまとめたのが、令和7年4月17日の医薬機審発0417第1号・医薬安発0417第1号「医療機器のサイバーセキュリティ対策に関連する情報提供について」です。同通知は、令和6年3月31日以前に製造販売され医療機関等に存在する医療機器のうち第12条第3項への適合が確認されていないものについて、\u003C\u002Fp>\u003Cp>①当該医療機器のサイバーリスクに関する評価及び対策等を適切に実施し、意図する使用環境におけるサイバーリスクに関する情報を医療機関等に提供すること、あわせて\u003Cstrong>医療機関等の求めに応じてソフトウェア部品表（SBOM）を提示できるように準備しておくこと\u003C\u002Fstrong>（記（1））\u003C\u002Fp>\u003Cp>②医療機器のライフサイクルを特定し、EOL（製品寿命終了）及びEOS（サポート終了）に関する情報を医療機関等に提供していない場合はライフサイクルに応じて提供すること（記（2））\u003C\u002Fp>\u003Cp>③医療機器がEOSに達していない場合は、医療機関等に提供したセキュリティパッチ等の情報について医療機器に適用する計画等を医療機関等へ示し、医療機関等と連携して定期点検等の適切な時期に適用すること（記（3））\u003C\u002Fp>\u003Cp>④医療機器がEOSを越えて使用されている場合においても、有効性及び安全性に関する事項その他製品の適正な使用のために必要なサイバーセキュリティに関する情報を収集して医療機関等への情報提供を行い、サイバーセキュリティに関連して不具合が発生し健康被害が発生した若しくはそのおそれがある場合、又は脆弱性に対し外国医療機器の安全確保措置が実施された場合は、不具合等報告の要否を検討し適切な対応をとること（記（4））\u003C\u002Fp>\u003Cp>を求めています。中古医療機器を取扱う販売業者等の求めに応じても、①〜④と同様の対応をします（記（5））。ただし、EOSを過ぎたものと製造販売業者等が判断した医療機器については、納入先である医療機関等に対し、既にEOSなどに関する必要な情報提供をしている場合、SBOMの作成及び提示を要しません。申請・届出の面で既存品を作り直す必要がないことと、市販後に情報提供とSBOM提示の準備が求められることは別の話であり、既販品を抱えている企業ほどこの通知への対応が先に来ます。\u003C\u002Fp>\u003Ch3 id=\"h19bd6ab5f3\">第12条第2項（JIS T 2304）との関係\u003C\u002Fh3>\u003Cp>第12条第3項は第12条第2項（JIS T 2304等への適合。薬生機審発0517第1号 記2（1）は高度管理医療機器又は管理医療機器の承認申請・認証申請を行う製造販売業者等に「JIS T 2304等への適合性を確認すること」を求め、同項のなお書きで「一般医療機器についても同様に確認が必要であること」としています。同 記1（2）はJIS T 2304の他に国際的に用いられている適切な規格等がある場合はそれらへの適合性を確認することをもって適合を確認したものとして差し支えないとしています）に置き換わるものではなく、その上に重ねる要求です。薬生機審発0331第8号 記3（1）は、プログラムを用いた医療機器については従来のJIS T 2304に「これに加えて」JIS T 81001-5-1によってサイバーセキュリティ対策を強化する必要があるとし、注記でJIS T 81001-5-1はJIS T 2304に規定する製品ライフサイクルの要求事項に加えて実施する取組を規定していると明記しています。安全クラスの判定やSOUP管理は第12条第2項側の論点で、\u003Ca href=\"\u002Fblogs\u002Fiec-62304\">IEC 62304とは？医療機器ソフトウェア開発の実務\u003C\u002Fa>で整理しています。\u003C\u002Fp>\u003Ch2 id=\"h91050f3aa6\">自社製品は第12条第3項の対象か ― 該当性の判定\u003C\u002Fh2>\u003Cp>対象は、プログラムを用いた医療機器のうち、①他の機器及びネットワーク等と接続して使用するもの、又は②外部からの不正アクセス及び攻撃アクセス等が想定されるものです。「又は」でつながるためどちらかに当たれば対象で、実務では①の範囲が広く「ネットワークにつながっていないから対象外」という判断が誤りになりやすい点が要点です。前段の「プログラムを用いた医療機器」は、単体プログラムとして流通するプログラム医療機器（SaMD）に限りません。薬生機審発0517第1号 記1（1）はこの語を「プログラムを用いた医療機器（プログラム又はこれを記録した記録媒体を含む。以下同じ。）」と書いており、SaMDはこの語に含まれる一部です。第12条第3項側でも、薬生機審発0331第8号 記2（3）は特定すべき動作環境として「医療機関、在宅、救急、植込み型機器等」を挙げ、SBOM導入・運用ガイドラインは適用対象の構成パターンに電子血圧計・パルスオキシメーター等の組込みソフトウェアや人工呼吸器・透析装置等の機器搭載ソフトウェアを挙げています（4.1、表2。後掲）。\u003Cstrong>据置型・可搬型のハードウェアに組み込んだソフトウェアやファームウェアで動作を制御している医療機器も、この前段に含まれます。\u003C\u002Fstrong>令和6年1月31日の質疑応答集（事務連絡）Ａ１は、WiFiやBluetooth、有線（LANやUSBデバイス）で接続できる仕様は有するものの、患者への使用時等には接続されず製造販売業者等による保守や修理作業においてのみ接続され、注意事項等情報や使用者との契約で接続制限が合意された医療機器についても、「基本要件基準第12条第3項に示されているとおり」①又は②が適用されるため、リスク分析を行うことにより必要なセキュリティ対応・管理を行うこととしています。なおSaMDそのものの該当性判断や承認・認証・届出のルート選択は本記事の範囲外です（\u003Ca href=\"\u002Fblogs\u002Fsamd-qms\">SaMD（プログラム医療機器）の規制とQMS対応ガイド\u003C\u002Fa>）。\u003C\u002Fp>\u003Ch3 id=\"h27db3ce3c6\">「他の機器及びネットワーク等と接続して使用する医療機器」の範囲\u003C\u002Fh3>\u003Cp>薬生機審発0331第8号 記2（1）は範囲を列挙しています。「他の機器」には医療機器、IoT機器、周辺機器、外部記録媒体（USB、SD、HDD、CD、DVD等）、電子カルテ、PC（外部からの持ち込みPCを含む）が含まれ、「ネットワーク」には院内システム、院外システム、グローバルが含まれます。これらに接続して電磁的情報のやり取りをする医療機器が該当するため、常時ネットワーク接続していない機器でもUSBメモリでデータを受け渡す構成なら対象で、保守で技術者が持ち込むPCと接続する機器も同様です。\u003C\u002Fp>\u003Ch3 id=\"he26d6e8102\">「外部からの不正アクセス及び攻撃アクセス等が想定される医療機器」の範囲\u003C\u002Fh3>\u003Cp>同 記2（2）は、想定する攻撃として、脆弱性を攻撃対象とする等の設計者が通常使用において想定していない手法を用いた悪意を持った不正アクセス、意図的に過剰な負荷を与える攻撃（DoS攻撃、DDoS攻撃等）、マルウェアの感染を意図する攻撃によるアクセス等を挙げ、続けて攻撃形式が多様化・高度化しており今後はこれらの手法のほかにも対応することが必要となり得ると述べています。該当性の判定は一度で終わらせず、脅威環境の変化に応じて見直す前提で記録を残してください。\u003C\u002Fp>\u003Ch3 id=\"h09322e3226\">クラス分類で変わるのは「資料の添付」だけ\u003C\u002Fh3>\u003Cp>クラス分類によって適合の必要性は変わりません。変わるのは申請・届出時に資料を添付するかどうかだけです。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>区分\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>適合の確認\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>申請・届出時の資料添付\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>高度管理医療機器・管理医療機器（承認申請又は認証申請）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>必要\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>必要\u003C\u002Fstrong>（JIS T 81001-5-1等への適合性を示す資料）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>一般医療機器（届出）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>必要\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>要さない\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>（薬生機審発0331第8号 記3（4）に基づき作成）\u003C\u002Fp>\u003Cp>一般医療機器は届出時の資料添付を求められませんが「同様に適合性を確認する必要がある」と明記されており、確認の記録は保管してQMS適合性調査で提示できる状態にする必要があります（同 記3（3））。\u003C\u002Fp>\u003Ch2 id=\"hcd1ba0e349\">適合をどう示すか ― JIS T 81001-5-1と適合性確認通知の6要求\u003C\u002Fh2>\u003Cp>第12条第3項への適合は、製造販売業者等自身が確認して示します。薬生機審発0523第1号 記は、JIS T 81001-5-1等への適合性を確認する際に「当該結果を示すか又は当該結果をまとめた社内文書等を特定すること」と求めています。この「社内文書等を特定する」という一文が実務の設計を決めます。同 記 柱書のなお書きは「一般医療機器についても同様に確認が必要であること」としており、次に見る箇条4〜9の確認は届出品にも及びます。粒度については、令和5年7月20日の質疑応答集（事務連絡）Ａ２が、令和6年4月1日以降も引き続き製造販売する既存の医療機器についても、改正後の基本要件基準への適合を確認する上では「適合性確認通知の１の（１）〜（６）及び２の（１）〜（４）のそれぞれの要件に対する社内文書を特定する情報を提示できるようにしておくこと」としています（同Ａ２は、記載先を承認（認証）申請書添付資料4項の電気安全・電磁両立の欄としています）。\u003Cstrong>記1の6項目と記2の4項目のそれぞれについて文書を特定するところまでが求められる\u003C\u002Fstrong>という意味です。先に引いた記 柱書のなお書きが一般医療機器についても「同様に」としていることと合わせると、クラスや新旧で項目が減るわけではありません。\u003C\u002Fp>\u003Ch3 id=\"h20c24cb095\">JIS T 81001-5-1はJIS T 2304の上に載る\u003C\u002Fh3>\u003Cp>JIS T 81001-5-1:2023は「ヘルスソフトウェア及びヘルスITシステムの安全，有効性及びセキュリティ―第5-1部：セキュリティ―製品ライフサイクルにおけるアクティビティ」です。対応国際規格はIEC 81001-5-1:2021、一致の程度はIDT（一致）とされています（日本規格協会の規格情報による）。JIS T 2304が規定するライフサイクルプロセスの各段階にセキュリティのアクティビティを重ねる構造のため、62304対応ができている組織なら既存プロセスに成果物を追加する形になります。\u003C\u002Fp>\u003Ch3 id=\"h78f0f7e819\">箇条4〜9で確認される6項目と、追加で確認される4項目\u003C\u002Fh3>\u003Cp>薬生機審発0523第1号は、適合性を確認する際の留意事項を、記1で規格に関連する要求事項として箇条4〜9の6項目、記2で既存通知等に関連する追加確認事項として4項目に整理しています。下表は各要求と、適合を示すために特定することになる社内文書の対応例です。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>箇条\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>確認内容（記1）／\u003Cstrong>追加\u003C\u002Fstrong>確認事項（記2）\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>社内文書の例\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>箇条4\u003C\u002Fstrong> 一般要求事項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>セキュリティ確保の活動が品質マネジメントシステムに基づくこと。規制当局及び顧客への脆弱性の適時通知の活動の確立。リスクマネジメントが脆弱性・脅威等を考慮したものであること。\u003Cstrong>追加\u003C\u002Fstrong>：セキュリティに対する対応方針と問い合わせ窓口の明確化、顧客に対する脆弱性等の開示手順\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>品質マニュアル・セキュリティ方針、窓口の公表物、脆弱性開示手順書\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>箇条5\u003C\u002Fstrong> ソフトウェア開発プロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>開発計画でのセキュリティ更新・開発環境等の考慮。製品のセキュリティ機能を含むセキュリティ要求事項の特定。意図する使用環境・信頼境界・多層防御等を考慮したアーキテクチャー設計。ベストプラクティスを考慮した設計及び実装。システム試験による脅威への対応方法の実装・有効性の確認。\u003Cstrong>追加\u003C\u002Fstrong>：意図する使用環境をシステム構成図・ネットワーク構成図等で明示\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>開発計画書、セキュリティ要求事項仕様、アーキテクチャ設計書、構成図、試験報告書\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>箇条6\u003C\u002Fstrong> ソフトウェア保守プロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>顧客に対するセキュリティ更新の通知方針を定めること。\u003Cstrong>追加\u003C\u002Fstrong>：ソフトウェア保守計画にサポート終了等の製品寿命の計画、脆弱性の監視、セキュリティ更新等の将来的な脆弱性対策の実施計画をあらかじめ定める\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ソフトウェア保守計画書（EOL／EOS計画、脆弱性監視・更新計画）、顧客通知方針\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>箇条7\u003C\u002Fstrong> セキュリティに関連するリスクマネジメントプロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>意図する使用及び使用環境を考慮した脆弱性の特定、関連する脅威の推定と評価、リスクコントロール手段による脅威のコントロールとその有効性の監視\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>リスクマネジメント計画書・報告書、脅威モデル、セキュリティリスク分析表\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>箇条8\u003C\u002Fstrong> ソフトウェア構成管理プロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>開発、保守及びサポートのための、変更管理及び変更履歴を伴う構成管理プロセスの確立。\u003Cstrong>追加\u003C\u002Fstrong>：構成管理プロセスは、当該医療機器のソフトウェア部品表（SBOM）を適切に作成することによって確認\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>構成管理手順書、変更管理記録、SBOMとその改訂履歴\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>箇条9\u003C\u002Fstrong> ソフトウェア問題解決プロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>セキュリティの脆弱性に関する情報伝達及び処理の手順の策定と、セキュリティ問題に対する、情報開示を含む手順に従った実施\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>問題解決手順書、脆弱性の受付・評価・修正・開示の記録\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>（「確認内容」は薬生機審発0523第1号 記1・記2の記載に基づく。箇条4の追加確認は平成30年7月24日 薬生機審発0724第1号・薬生安発0724第1号に基づくものとされています。「社内文書の例」は文書を特定する際の例示であり、同通知に列挙されているものではありません）\u003C\u002Fp>\u003Cp>追加確認事項が置かれているのは箇条4・5・6・8の4か所だけで、箇条7と箇条9にはありません。そして\u003Cstrong>箇条8の追加確認によって、SBOMは国内でも構成管理プロセスの確認手段として位置づけられています\u003C\u002Fstrong>。任意の先進的な取組ではなく、遅くとも令和5年5月の通知の時点で、適合確認の道具として明示されていました。\u003C\u002Fp>\u003Ch3 id=\"hfc2f01ed2f\">基本要件基準チェックリストに何を書くか\u003C\u002Fh3>\u003Cp>薬生機審発0523第1号の末尾には「参考：基本要件基準CLの適合」として記載例が示されています。列は「基本要件」「当該機器への適用・不適用」「適合の方法」「特定文書の確認」の4つで、記載例では第12条第3項に対し、適用・不適用は「適用」、適合の方法は「認知された基準の該当する項目に適合することを示す」、特定文書の確認は同通知とされています。CLの記載自体は簡潔で、裏付けは前掲の社内文書の一覧が担います。\u003C\u002Fp>\u003Ch3 id=\"h46348524b9\">IEC 81001-5-1などの国際規格を使う場合の条件\u003C\u002Fh3>\u003Cp>薬生機審発0331第8号 記3（2）は、IEC 81001-5-1等の国際的に用いられている適切な規格等への適合性の確認をもって第12条第3項への適合を確認したものとして差し支えないとしています。なお、承認申請（一部変更承認申請を含む）又は認証申請（一部変更認証申請を含む）に際しては、それらの規格等を用いることの妥当性を説明しなければなりません。海外本社の規格体系を流用する場合は、この妥当性説明の資料を申請パッケージに含める前提で準備してください。この国際規格ルートを使う場合でも、薬生機審発0523第1号 記の確認事項は別途満たす必要があります。同 記の柱書は「JIS T 81001-5-1等への適合性を確認する際には」、記2の柱書は「規格への適合性を確認する際」と書いており、いずれも規格名を限定していません。\u003Cstrong>前掲の表で「追加」と示した記2の4項目（箇条4のセキュリティ対応方針・問い合わせ窓口・脆弱性開示手順、箇条5の意図する使用環境の構成図での明示、箇条6のソフトウェア保守計画、箇条8のSBOM）は、規格本文の外にある国内固有の上乗せです。\u003C\u002Fstrong>令和5年7月20日の質疑応答集（事務連絡）Ａ１も、例えばセキュリティに対する窓口の明確化と顧客に対する脆弱性等の開示手順を挙げて、これらは「JIS T 81001-5-1の要求に明示的には含まれていないが、適合性確認通知による要求事項として対応する必要があり」としています。記2（2）（箇条5）・記2（3）（箇条6）は基本要件基準第12条第3項の文言そのものに紐づく要求であり、用いる規格の版や言語によって変わりません。第三者機関の試験を使う場合も同じです。令和6年1月31日の質疑応答集（事務連絡）Ａ４は、第12条第3項の適合性の確認のための第三者機関による試験は必須ではないとした上で、試験機関を活用した場合は申請時に\u003Cstrong>「適合証明書に加えて」\u003C\u002Fstrong>薬生機審発0523第1号 記2に記載されている項目に対する適合性の確認結果を示すか、確認結果をまとめた社内文書等を特定することを求めています。\u003C\u002Fp>\u003Ch2 id=\"h3548df403a\">SBOM対応 ― 2026年8月のSBOM導入・運用ガイドラインで何が変わったか\u003C\u002Fh2>\u003Cp>2026年8月25日発出の「医療機器におけるSBOM導入・運用ガイドライン（第1版）について」（医薬機審発0825第1号）は、\u003Cstrong>SBOMを既存のQMS及び市販後安全管理プロセスへ統合する道筋\u003C\u002Fstrong>を示した点が従来の通知との違いです。ただし同通知が求めているのは、本ガイドラインを参考として必要な対応を行うことであり、ガイドラインへの適合そのものを法令上の要件として課すものではありません。対象読者にはソフトウェア開発部門と並んで品質保証・QMS担当部門、薬事・規制申請部門が明記され（1.3）、すでに適切に導入・運用している場合は手順・手法等の変更を求めるものではないとされています（1.2）。SBOMの作成責任は原則として製造販売業者が負い、サードパーティから提供を受ける場合でも内容の妥当性確認、統合、管理は製造販売業者が実施します（3.2）。なお同1.1は、国内の基本要件基準第12条第3項と並べて米国FD&C法第524B条などを挙げ、国内外の当局が規制要求事項を強化していると述べています（海外規制の全体像は\u003Ca href=\"\u002Fblogs\u002Foverseas-regulations\">海外の医療機器規制入門\u003C\u002Fa>）。\u003C\u002Fp>\u003Ch3 id=\"hf549737833\">SBOMの最小要素とフォーマット\u003C\u002Fh3>\u003Cp>第1版が採用する最小要素は、NTIA（米国商務省電気通信情報局）の「The Minimum Elements for a Software Bill of Materials (SBOM)」に基づき、「医療機器のサイバーセキュリティ導入に関する手引書（第2版）」の附属書Aに示された要素です（2.3）。サプライヤーの名前、コンポーネント名、バージョン、その他の固有識別子（purl、CPE等）、コンポーネント間の関係、SBOMの作成主体、タイムスタンプ（ISO 8601形式）を、少なくとも医療機関等に提供する最終的なSBOMに含めます。コンポーネントハッシュは手引書ではオプション要素ですが可能な限り付与するとされ、フォーマットは新規導入時の推奨として\u003Cstrong>SPDX 2.2以上又はCycloneDX 1.6以上\u003C\u002Fstrong>が示されました（2.4）。SBOMが複数のファイルで構成されている場合は、必ずSBOMの構成（フォルダを含む）を説明する文書を添えます（同2.4）。なお、この最小要素は医療機関等に提供する最終的なSBOMに係るものです。承認・認証申請との関係は令和5年7月20日の質疑応答集（事務連絡）Ａ５が答えており、\u003Cstrong>SBOMを申請時に提出する必要はないものの、承認・認証申請時にはSBOMを作成していることを明示する必要があり（例えばSBOMの文書名を記載する）、申請の際はSBOMを提示できるように準備しておくこと\u003C\u002Fstrong>とされています。申請時に添付するのはJIS T 81001-5-1等への適合性を示す資料（薬生機審発0331第8号 記3（4））で、SBOMは箇条8の適合を示す社内文書として特定される位置づけです。\u003C\u002Fp>\u003Ch3 id=\"h4029e6bf82\">自社製品はどの構成パターンか\u003C\u002Fh3>\u003Cp>ガイドラインは医療機器ソフトウェアの構成を4パターンに分類し、パターンごとに適用範囲を示しています（4.1、表2）。自社製品をこの分類に当てはめるのが最初の作業です。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>パターン\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>構成／製品例\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>適用範囲の考え方（要旨）\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>A\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>自社開発コード主体の組込みソフトウェア（電子血圧計、パルスオキシメーター等）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>自社ファームウェア本体、外部ライブラリ、更新可能な周辺ファームウェア、BSP等のサードパーティコンポーネント。ビルド専用ツール等は通常対象外\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>B\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>自社開発コードと商用OS上で動作する機器搭載ソフトウェア（人工呼吸器、透析装置等）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製品内部で動作する全コンポーネントを原則対象（商用OS、ミドルウェア、ランタイム、OSS、OTS、推移的依存を含む）。初期はトップレベルから段階的に拡張\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>C\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>SaMDとして提供されるソフトウェア（画像解析、AI診断補助プログラム等）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>汎用OS標準搭載の全列挙は求めず、基本性能・安全性に直接関与するものと追加インストール・同梱したものを中心に定義\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>D\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>A〜Cを組み合わせて構成されるソフトウェア（MRI／CTシステム等）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>「構成要素ごとのSBOM」と「システム全体を俯瞰するSBOM／構成情報」の二層構造\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Ch3 id=\"h1f0d3ddde4\">段階的導入と調達・契約への織り込み\u003C\u002Fh3>\u003Cp>ガイドラインは成熟度に応じた段階的導入の道筋を示しています（1.2、3.1）。\u003Cstrong>第1段階\u003C\u002Fstrong>では最小要素を踏まえたSBOMを作成・更新できる体制を整え、対象製品のSBOMを作成し変更管理できる状態にします。\u003Cstrong>第2段階\u003C\u002Fstrong>では、その体制を脆弱性管理・ライセンス管理・EOL／EOS管理といった既存のQMS及び市販後安全管理プロセスと統合します。運用の打ち手としてコンポーネント情報を集約した「SBOMコンポーネントリポジトリ」の構築と表記揺れを吸収する「正規化」が挙げられ、\u003Cstrong>SBOMの更新完了をソフトウェアリリース承認の条件の一つと位置付ける\u003C\u002Fstrong>ことで構成情報の漏れを防止できるとされています（6.1.2）。\u003C\u002Fp>\u003Cp>第三者が実装したソフトウェアについても最終的なSBOMの正確性と網羅性に責任を負うのは製造販売業者です。ガイドライン6.3は、サプライヤーや開発委託先、OEM／ODM先との契約・調達仕様に、①NTIA最小要素に準拠した機械可読なSBOMの提供、②引渡し時までの提供と構成変更時の更新提供、③各コンポーネントのEOS及びEOLの情報提供と変更時の通知、④重大な脆弱性判明時の脆弱性情報・影響範囲・対策方針・SBOM更新の通知、を条項として検討するよう挙げています。あわせてSBOMツールの導入では、販売代理店やツールベンダーがQMS省令（医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令。平成16年厚生労働省令第169号）第37条から第39条に基づく購買管理の対象となり得ること、ツール自体が同令第5条の6（ソフトウェアの使用。限定第三種医療機器製造販売業者は適用除外）に基づくバリデーション・記録の管理・変更管理の対象となり得ることが明記されています（4.3.2）。\u003C\u002Fp>\u003Ch3 id=\"hed39dfc19f\">よくある誤解\u003C\u002Fh3>\u003Cp>ガイドライン2.5は、導入判断や運用定着を妨げる誤解を整理しています。社内説明で反論材料になるのは次の2点です。「Excelが1つあれば十分」＝導入初期の可視化には有効だが、表記揺れの抑止、更新漏れの防止、識別子による自動照合、変更履歴の一貫管理に限界がある。「ツールが出力した脆弱性すべてに対応が必要」＝検出結果には悪用不可能なものや当該製品構成では影響を受けないものも含まれ、リスク評価と影響範囲を踏まえた優先順位付けが不可欠。\u003C\u002Fp>\u003Cp>同2.5は「ツールで生成すれば内容は自動的に正しい」という誤解についても、SBOMの正確性・完全性は解析対象の定義、ビルド手順、ツール設定や検出能力、運用プロセスに依存するとし、\u003Cstrong>SBOM生成ツールについてもコンピュータ化システムバリデーションの考え方を踏まえ、意図した用途に対して適切に機能していることを確認した上で、その成果物を有効な情報として扱う\u003C\u002Fstrong>としています（CSV／CSAの考え方は\u003Ca href=\"\u002Fblogs\u002Fcsv-csa\">CSV（コンピュータ化システムバリデーション）とCSA入門\u003C\u002Fa>）。\u003C\u002Fp>\u003Ch2 id=\"h3f2503084d\">市販後に何をし続けるのか ― 脆弱性管理・報告・変更手続\u003C\u002Fh2>\u003Cp>市販後にやり続けるのは、脆弱性の特定・評価・開示・修正等と、その結果として生じる報告と薬事手続です。根拠は医薬機審発0328第1号・医薬安発0328第3号（令和6年3月28日）で、脆弱性を「システムのセキュリティポリシーを破るために悪用される可能性のある、システムの設計、導入又は運用管理における欠陥又は弱み」（JIS T 81001-1:2022 3.4.22）と定義した上で、製造販売業者等がこれらを行う必要があるとしています。\u003C\u002Fp>\u003Ch3 id=\"h693641234f\">脆弱性情報の収集と評価（IPA／JPCERT\u002FCCとの関係）\u003C\u002Fh3>\u003Cp>同通知 記1（1）は、脆弱性の特定及び検出のため、医療機関等と連携するとともにIPA（独立行政法人情報処理推進機構）又はJPCERT\u002FCCのウェブサイトから適時情報収集に努めることを求めています（GVP省令（平成16年厚生労働省令第135号）第7条の規定に沿って収集する場合は窓口への登録を要しません）。脆弱性と思われる情報を入手したときは、情報の受付、確認及び評価を行い、修正策、緩和策又は補完的対策を行う手順と、使用している医療機関へ情報提供する手順を確立します（記1（2））。脆弱性を確認した場合は\u003Cstrong>情報セキュリティ早期警戒パートナーシップ\u003C\u002Fstrong>の手順に基づき対処し、他の製造販売業者等への影響も考慮して適時かつ適切な範囲に開示します（記1（3））。同パートナーシップにおいてIPAは届出の受付機関、JPCERT\u002FCCは連絡及び公表に係る調整機関です。\u003C\u002Fp>\u003Cp>評価の手順はSBOM導入・運用ガイドラインが整理しています。JVN・NVD等の脆弱性情報データベースやベンダーのアドバイザリーを収集してSBOMと照合し、影響を受ける可能性のある製品・バージョンを特定します（6.2.1）。次に、公表されている深刻度（CVSSスコア等）、悪用の可能性、当該コンポーネントの医療機器内での役割、使用環境における露出状況、回避策の有無を踏まえ、「直ちに対応すべきもの」「次回の定期アップデートで対応するもの」「リスク受容としてモニタリングのみ行うもの」に整理します（6.2.2）。「影響なし」と判断した場合も判断理由を品質記録として残します（6.2.4）。\u003C\u002Fp>\u003Ch3 id=\"h49500297f7\">サイバーセキュリティに起因する不具合等報告の考え方\u003C\u002Fh3>\u003Cp>不具合等報告も通常と同じ枠組みで実施します。根拠は薬機法第68条の10第1項で、考え方は医薬安発0115第2号（令和6年1月15日）別添にあります。対象は薬機法（昭和35年法律第145号）第2条第4項に定義された医療機器のうち、無線又は有線により、メディア媒体を含む他の機器、ネットワーク等との接続が可能なプログラム医療機器（SaMD）を含む医療機器及びプログラムを用いた附属品等で、\u003Cstrong>医療機器のクラス分類を問いません\u003C\u002Fstrong>（別添 2.）。\u003C\u002Fp>\u003Cp>判断の骨格は同 別添 4.（3）です。脆弱性は全てが報告の対象ではありません。当該医療機器のSBOM及び設計情報等から、脆弱性が存在するソフトウェアの存在、使用の有無及び機能性能に関する影響等を評価し、使用目的、使用部位、蓋然性等を総合的に判断した結果、悪用が原因で死亡や重篤な健康被害が発生した場合、又は発生するおそれがあると判断した場合に報告します。逆に、脆弱性が存在するソフトウェアが使用されていない場合、又はセキュリティパッチ等の対策により問題が除去又は機能性能に影響がない程度にリスクを低減可能で健康被害が発生するおそれがないと判断できる場合は報告不要で、経時的にモニターし報告の必要が出てきた場合には報告します。\u003Cstrong>「自社製品に当該コンポーネントは含まれていない」と説明するには、含まれていないことを示す構成情報が必要\u003C\u002Fstrong>であり、ここでSBOMが報告要否判断の一次資料になります。なお一般の情報セキュリティを想定したCVSSスコアは臨床環境や患者安全への影響へ置き換えて再評価する必要があり、EOS後を含めた不具合情報の収集義務（薬機法第68条の2の6第1項）と行政報告義務（同法第68条の10第1項）も残ります（同 別添 4.（3）・（4））。なお、自社製品の脆弱性に対して\u003Cstrong>外国医療機器の安全確保措置が実施された場合\u003C\u002Fstrong>も、不具合等報告の要否を検討する必要があります（同 別添 4.（2））。外国で先に措置が打たれた場合に、国内での検討が漏れやすい経路です。\u003C\u002Fp>\u003Ch3 id=\"hc351d93d9e\">対策に伴う変更は一変か、軽微変更届か、いずれも不要か\u003C\u002Fh3>\u003Cp>サイバーセキュリティ対策の多くは薬事手続を伴わずに実施できます。医薬機審発0423第1号（令和6年4月23日）別添が事例を整理しており、いずれも\u003Cstrong>これらの変更等に伴う医療機器としての機能の追加・変更等がない場合に限り\u003C\u002Fstrong>という条件付きです。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>手続\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>事例\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>軽微変更届の対象\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>使用方法欄における動作環境であるOSの種類やクラウド動作の追加・変更・削除（汎用PC製品へのクラウド環境での動作の追加、iOS 17製品への異なる種類のOSであるAndroid 13の追加）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>いずれの手続も不要\u003C\u002Fstrong>（次回の一変申請時に記載整備を要する）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>①ネットワークポート（物理的なインタフェースと論理的なIPポートの双方）の削除\u003C\u002Fp>\u003Cp>②ネットワーク接続の禁止又は接続要件の厳格化（SSL通信への限定等） \u003C\u002Fp>\u003Cp>③セキュリティ機能（認証、認可、暗号化、ログ、リモート更新等）又は補完的対策（ファイアウォール等）の変更・追加 \u003C\u002Fp>\u003Cp>④動作環境であるOS等のバージョンの追加・変更・削除（Windows 10製品へのWindows 11の追加、サービス終了に伴うWindows 8の削除等）、及び動作環境として用いるデータベース等のバージョンの追加・変更\u003C\u002Fp>\u003Cp>⑤操作方法や注意事項の変更（併用医療機器を特定させ、EOS製品を使用不可としてリスク軽減を図る等）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>本事例の対象外\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製品の有効性及び安全性に関わる機能に影響する場合、及び本来の使用方法ができなくなる変更。ペースメーカや植込み型除細動器等で医療機関側が遠隔モニタリングを行う目的でネットワークに接続している医療機器は、接続の可否が有効性及び安全性の根幹に関わるため対象外\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>表の3行目「本事例の対象外」に当たる場合、\u003Cstrong>この事例集を根拠に手続不要と判断することはできません\u003C\u002Fstrong>。一変申請又は軽微変更届の要否を個別に検討します。\u003C\u002Fp>\u003Cp>また、表の④は使用方法欄に「動作環境」として記載しているOS・データベース・ランタイム等の更新を指すものです。使用方法欄に記載していない、\u003Cstrong>製品内部に同梱・組み込んだOSSライブラリやサードパーティコンポーネントを脆弱性対応で更新する場合に直接該当する行は、この事例集にはありません\u003C\u002Fstrong>（SBOM導入・運用ガイドラインの構成パターンBは、商用OS・ミドルウェア・ランタイム・OSS・OTS・推移的依存を「製品内部で動作する全コンポーネント」として製品側に位置づけています）。同別添は事例が限定列挙ではないことも明記し、個別の取扱いは必要に応じてPMDA又は登録認証機関に相談するよう求めています。一変と軽微変更届の一般的な区分判断、提出書類、届出期限は\u003Ca href=\"\u002Fblogs\u002Fpartial-change-application\">一部変更承認申請と軽微変更届\u003C\u002Fa>で整理しています。\u003C\u002Fp>\u003Ch3 id=\"h0a7270439a\">医療機関との責任分界（VPN装置等の付属機器を含む）\u003C\u002Fh3>\u003Cp>令和8年3月19日の事務連絡「医療機器に接続するVPN装置等のネットワーク機器におけるサイバーセキュリティ対策の徹底について（注意喚起）」（厚生労働省医薬局医療機器審査管理課・医薬安全対策課。事務連絡のため文書番号はありません）は、VPN装置を悪用した侵入によるランサムウェア被害の増加を踏まえ、①リモートメンテナンスに使用するVPN装置等のネットワーク機器など\u003Cstrong>医療機器本体以外の付属機器についても、保守契約等に基づき医療機関との間で責任分界が明らかになっていることを確認する\u003C\u002Fstrong>こと、②製造販売業者に管理の責任がある、\u003Cstrong>医療機器に接続する\u003C\u002Fstrong>VPN装置等のネットワーク機器についてファームウェア等が最新であること及びサポート終了機器が存在しないことを確認し、サポート終了時は医療機関に情報提供して機器更新等の対応を行うこと、③VPN装置について認証の強化、アクセス制御の実施その他の適切なセキュリティ対策を実施することを求めています。これは都道府県あての注意喚起の依頼で、新たな法令上の義務を課すものではなく、既存の枠組みの徹底を求めるものです。責任分界は納入時に決めるもので、医薬機審発0328第1号 記2（2）も、サイバーセキュリティに関する保守計画、インシデントを処理するためのポリシー及び役割を医療機関に説明した上で納入することを求めています。なお医療機関側の対策については、医療機関向けの手引書が別に発出されています。\u003C\u002Fp>\u003Ch2 id=\"h4cd74bcb69\">QMSへの組み込みとセルフチェックリスト\u003C\u002Fh2>\u003Cp>サイバーセキュリティ対応の成果物は、独立した文書群ではなくQMS省令の記録として管理します。専用の手順書を別立てするより、既存の設計開発・苦情処理・記録管理の各手順にセキュリティ観点を差し込むほうが運用が破綻しません。\u003C\u002Fp>\u003Ch3 id=\"ha0c3394675\">設計開発プロセスに載せる（第30条〜第36条の2）\u003C\u002Fh3>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>サイバーセキュリティで載せるもの\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第30条第4項第5号（設計開発）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>工程入力情報から工程出力情報への追跡可能性を確保する方法。セキュリティ要求事項→アーキテクチャ設計→システム試験のトレーサビリティ\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第36条第2項・第5項（設計開発の変更の管理）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>変更が機能、性能、安全性及び使用性並びに\u003Cstrong>法令の規定等の適合性\u003C\u002Fstrong>に及ぼす影響の有無及び程度の検証（第2項）。照査の範囲に\u003Cstrong>既に引き渡された製品\u003C\u002Fstrong>への影響評価を含めること（第5項）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第36条の2（設計開発に係る記録簿）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製品又は類似製品グループごとに作成する、適合を証明する記録・変更の記録・参照資料に係る記録簿。脅威モデル、セキュリティ試験報告書、SBOMはここに綴じる\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>第36条第2項の「法令の規定等の適合性」という文言が要点です。セキュリティ機能の変更が第12条第3項への適合に影響するかの検証は、規格の要請である以前にQMS省令の要求であり、前掲の医薬機審発0423第1号による手続の判断はこの検証の出力として記録されるべきものです。なおセキュリティリスクは、第26条第3項が求める製品実現の全工程におけるリスクマネジメントの対象に含めます。\u003C\u002Fp>\u003Ch3 id=\"hf2aa6499bf\">苦情処理と厚生労働大臣等への報告に載せる（第55条の2／第55条の3）\u003C\u002Fh3>\u003Cp>QMS省令第55条の2第1項は、苦情処理の手順に含める事項として、第3号に苦情の調査、\u003Cstrong>第4号に法第68条の10第1項及び法第68条の11の規定に基づく報告の必要性の評価\u003C\u002Fstrong>、第6号に修正又は是正措置の必要性の評価を挙げています。サイバーセキュリティに起因する不具合等報告の要否判断は、この第4号の評価そのものです。第55条の3は同じ報告に係る手順の文書化と記録の作成・保管を求めています。医療機関からの連絡が苦情として入ることもIPA／JPCERT\u002FCC経由の脆弱性情報として入ることもありますが、入口が違っても報告の必要性の評価に合流させる設計が必要です（\u003Ca href=\"\u002Fblogs\u002Fcomplaint-handling\">QMSの苦情処理とは？\u003C\u002Fa>）。\u003C\u002Fp>\u003Ch3 id=\"hb9a32e9fc4\">記録として残す（第9条第2項・第3項）\u003C\u002Fh3>\u003Cp>セキュリティ対応の記録は、QMS省令第9条第2項の管理下に置きます。同項は、記録の識別、保管、\u003Cstrong>セキュリティ確保\u003C\u002Fstrong>（漏えい、滅失又は毀損の防止その他安全管理）、\u003Cstrong>完全性の確保\u003C\u002Fstrong>（記録が正確であり、作成された時点から不適切な改変がない状態を保つこと）、検索、保管期間及び廃棄についての管理方法に関する手順の文書化を求めています（記録の完全性の考え方は\u003Ca href=\"\u002Fblogs\u002Fdata-integrity\">データインテグリティとは？\u003C\u002Fa>）。医療機器等の使用によって得られた個人情報を保有する場合は、同条第3項により適正な管理方法を定めて管理します。SBOM導入・運用ガイドライン6.1.3も、SBOMの生成・更新・利用に関する記録を既存の文書・記録管理プロセスの中で管理し、内部監査や当局査察、QMS適合性調査等において説明可能な状態を維持することを求めています。\u003C\u002Fp>\u003Cp>脅威モデル、脆弱性の評価と対応判断、SBOMの版と承認履歴は、いずれも「誰がいつ何を根拠に判断したか」を後から問われる記録です。ファイルサーバーと表計算ソフトで運用していると、第9条第2項が求める完全性の確保を証明するのに手間がかかり、調査対応の場面で説明が滞ります。医療機器QMSに特化した電子QMSであれば、版管理・承認履歴・監査証跡が記録側の標準機能として残るため、脆弱性1件ごとの判断の経緯を時系列で追える状態を維持しやすくなります。あわせて、セキュリティの証跡を外部サービスに預ける以上、提供事業者自身の情報セキュリティ体制も選定基準に入れてください。\u003C\u002Fp>\u003Ch3 id=\"hd4d7c16489\">着手チェックリスト\u003C\u002Fh3>\u003Cp>該当性の判定→社内文書の特定→CL記載→SBOM体制→市販後手順の順に埋めてください。\u003C\u002Fp>\u003Cul>\u003Cli>[ ] 「プログラムを用いた医療機器」であり、他の機器及びネットワーク等と接続して使用するか、又は外部からの不正アクセス及び攻撃アクセス等が想定されるかを判定し、判定根拠を記録した\u003C\u002Fli>\u003Cli>[ ] 動作環境と使用環境（ネットワーク種別、OS、各種ライブラリ等）を特定し、システム構成図・ネットワーク構成図として文書化した\u003C\u002Fli>\u003Cli>[ ] リスクマネジメントのプロセスに、脆弱性の特定・脅威の評価・リスクコントロール・有効性の監視を組み込んだ\u003C\u002Fli>\u003Cli>[ ] JIS T 81001-5-1の箇条4〜9それぞれについて、適合を示す社内文書を特定した一覧を作成した\u003C\u002Fli>\u003Cli>[ ] IEC 81001-5-1等の国際規格を用いる場合、申請時に妥当性を説明する資料を準備した\u003C\u002Fli>\u003Cli>[ ] 基本要件基準CLの第12条第3項の欄に、適用・不適用、適合の方法、特定文書の確認を記載した\u003C\u002Fli>\u003Cli>[ ] セキュリティに対する対応方針と問い合わせ窓口を明確化し、顧客に対する脆弱性等の開示手順を定めた\u003C\u002Fli>\u003Cli>[ ] ソフトウェア保守計画に、製品寿命、脆弱性の監視、セキュリティ更新の実施計画、顧客への通知方針を定めた\u003C\u002Fli>\u003Cli>[ ] SBOMの適用範囲を定義し、構成パターンA〜Dのどれに当たるかを整理した\u003C\u002Fli>\u003Cli>[ ] SBOMを最小要素を満たす形式（SPDX 2.2以上／CycloneDX 1.6以上）で作成し、製品型番・バージョンとの対応を追跡でき、更新完了をリリース承認の条件に加えた\u003C\u002Fli>\u003Cli>[ ] SBOMツールの選定・導入について、購買管理（第37条〜第39条）とバリデーション（第5条の6）の要否を検討した\u003C\u002Fli>\u003Cli>[ ] IPA／JPCERT\u002FCCからの情報収集経路を確保し、脆弱性の受付・評価・修正・開示の手順を確立した\u003C\u002Fli>\u003Cli>[ ] 不具合等報告の要否判断を、苦情処理手順（第55条の2第1項第4号）と報告手順（第55条の3）に組み込んだ\u003C\u002Fli>\u003Cli>[ ] VPN装置等の付属機器について、医療機関との責任分界を保守契約等で明確にした\u003C\u002Fli>\u003Cli>[ ] 令和6年3月31日以前に製造販売した機器について、サイバーリスクの評価・対策とEOL／EOS情報の提供状況を棚卸しし、医療機関等の求めに応じてSBOMを提示できる準備（又は既にEOSなどに関する必要な情報提供をしており作成・提示を要しないことの記録）を整えた（医薬機審発0417第1号・医薬安発0417第1号）\u003C\u002Fli>\u003C\u002Ful>\u003Ch2 id=\"h08562665f0\">よくある質問\u003C\u002Fh2>\u003Ch3 id=\"h5377a4e205\">自社の医療機器は基本要件基準第12条第3項の対象になりますか？\u003C\u002Fh3>\u003Cp>プログラムを用いた医療機器で、①他の機器及びネットワーク等と接続して使用する、②外部からの不正アクセス及び攻撃アクセス等が想定される、のいずれかに当たれば対象です。①の「他の機器」にはUSB・SD・HDD・CD・DVD等の外部記録媒体、電子カルテ、外部から持ち込まれたPCが含まれ（薬生機審発0331第8号 記2（1））、有線・無線を問わないため常時接続していない機器でも該当し得ます。\u003C\u002Fp>\u003Ch3 id=\"hb866bc37e8\">JIS T 81001-5-1の「認証」を取得する必要がありますか？\u003C\u002Fh3>\u003Cp>求められているのは、製造販売業者等自身による適合性の確認です。高度管理医療機器・管理医療機器の承認申請又は認証申請ではJIS T 81001-5-1等への適合性を示す資料の添付が必要で、その示し方は、確認した結果を示すか、結果をまとめた社内文書等を特定することとされています（薬生機審発0523第1号 記）。薬生機審発0523第1号・薬生機審発0331第8号のいずれも、第三者認証の取得を求めてはいません。IEC 81001-5-1等の国際規格を用いることもできますが、申請時に妥当性を説明する必要があります（薬生機審発0331第8号 記3（2））。\u003C\u002Fp>\u003Ch3 id=\"h5e6dc85b3f\">一般医療機器（クラスI・届出）も対応が必要ですか？\u003C\u002Fh3>\u003Cp>必要です。ただし届出の際に資料の添付は要さないとされています（薬生機審発0331第8号 記3（4））。適合の確認等の記録は保管し、QMS適合性調査の調査権者の求めなどに応じて提示できる状態にしておく必要があります（同 記3（3））。市販後の不具合等報告についても、対象は医療機器のクラス分類を問いません（医薬安発0115第2号 別添 2.）。\u003C\u002Fp>\u003Ch3 id=\"h062da1acaf\">OSのバージョンを追加するときは一部変更承認申請が必要ですか？\u003C\u002Fh3>\u003Cp>医療機器としての機能の追加・変更等がない場合、動作環境であるOS等のバージョンの追加・変更・削除は一変申請も軽微変更届も不要です（次回の一変申請時に記載整備を要します）。一方、異なる種類のOSの追加やクラウド動作の追加は軽微変更届の対象です（医薬機審発0423第1号 別添）。製品の有効性及び安全性に関わる機能に影響する場合は本事例の対象外で、遠隔モニタリング目的でネットワーク接続する植込み型機器等も対象外です。なお、使用方法欄に動作環境として記載していない、製品に組み込んだOSSライブラリ等を脆弱性対応で更新する場合は、この事例集に直接該当する行がないため個別に判断します。\u003C\u002Fp>\u003Ch3 id=\"h0d62a68b89\">サイバーセキュリティに起因する不具合は報告義務がありますか？\u003C\u002Fh3>\u003Cp>薬機法第68条の10第1項に基づく不具合等報告の枠組みで扱います。基本的考え方は医薬安発0115第2号（令和6年1月15日）に示されており、脆弱性は全てが報告対象ではなく、SBOM及び設計情報等から影響を評価し、悪用が原因で死亡や重篤な健康被害が発生した場合又は発生するおそれがあると判断した場合に報告します。QMS省令側では第55条の2第1項第4号が報告の必要性の評価を、第55条の3が報告手順の文書化と記録を求めています。\u003C\u002Fp>\u003Ch3 id=\"hb7c9d61cd4\">SBOMはExcelで作ってはいけないのですか？\u003C\u002Fh3>\u003Cp>導入初期にExcel等で主要コンポーネントを可視化し、関係者間で構成認識を揃えることは有効とされています。ただしExcelのみの運用では、表記揺れの抑止、更新漏れの防止、ソフトウェア識別子を用いた自動照合、変更履歴の一貫管理に限界があります。継続的な活用には、標準フォーマット（SPDX 2.2以上／CycloneDX 1.6以上）への対応、ツールによる一元管理、表記揺れを吸収する正規化を段階的に導入する必要があります（SBOM導入・運用ガイドライン 2.4・2.5）。\u003C\u002Fp>\u003Ch2 id=\"ha214098e44\">まとめ\u003C\u002Fh2>\u003Cp>医療機器サイバーセキュリティの規制対応は、基本要件基準第12条第3項の該当性判定から始まり、JIS T 81001-5-1の箇条ごとに適合を示す社内文書を特定し、市販後の脆弱性管理と報告・変更手続を回し続けるところまでが一続きです。\u003C\u002Fp>\u003Cul>\u003Cli>適合は、製造販売業者等自身が確認し、箇条4〜9それぞれについて「結果を示すか、結果をまとめた社内文書等を特定する」ことで示す（薬生機審発0523第1号）\u003C\u002Fli>\u003Cli>令和6年4月1日以降の承認申請・認証申請は適合資料の添付が必要。既存品も次の一変で対応が必要になるため、一変予定のある品目から着手する\u003C\u002Fli>\u003C\u002Ful>\u003Cp>適合を示す社内文書、脅威モデル、脆弱性ごとの評価と判断の記録、SBOMの版と承認履歴は、いずれもQMS適合性調査で提示を求められる可能性があります。医療機器QMSに特化した電子QMSであるQMSmartのように、版管理・承認履歴・監査証跡を標準機能として備えた基盤の上に記録を載せておくと、脆弱性が公表されるたびに文書を探し回る状態から抜け出せます。まずは対象製品の該当性を判定し、判定根拠を1枚の記録に残すところから始めてください。\u003C\u002Fp>",{"url":49,"height":11,"width":12},"https:\u002F\u002Fimages.microcms-assets.io\u002Fassets\u002Ff66dcbcc145648f88aa317fc3a705f91\u002F10a75b5e02e7402fb8eb738c43498d01\u002F3.webp","医療機器サイバーセキュリティの規制対応を解説。基本要件基準第12条第3項の該当性判定、JIS T 81001-5-1で適合を示す社内文書、2026年8月のSBOM導入・運用ガイドライン、市販後の脆弱性管理をQMS省令の条番号付きで整理。",{"id":15,"createdAt":16,"updatedAt":17,"publishedAt":16,"revisedAt":17,"name":18,"image":52,"profile":23,"subtitle":24,"profile_url":25,"profile_sameas_url":26},{"url":20,"height":21,"width":22},[54,58,62],{"id":55,"createdAt":56,"updatedAt":56,"publishedAt":56,"revisedAt":56,"name":57},"samd","2026-08-26T03:35:38.342Z","プログラム医療機器",{"id":59,"createdAt":60,"updatedAt":60,"publishedAt":60,"revisedAt":60,"name":61},"ahi_3qbg7","2025-04-04T09:17:49.229Z","ソフトウェア",{"id":29,"createdAt":30,"updatedAt":30,"publishedAt":30,"revisedAt":30,"name":31},{"id":64,"createdAt":65,"updatedAt":66,"publishedAt":66,"revisedAt":66,"title":67,"content":68,"eyecatch":69,"description":73,"reviewer":74,"category":76},"samd-qms","2026-08-26T03:31:05.649Z","2026-08-31T13:37:35.762Z","SaMD（プログラム医療機器）の規制とQMSガイド","\u003Cp>SaMD（Software as a Medical Device、プログラム医療機器）は、ソフトウェア単体で医療機器として規制される製品カテゴリです。日本では薬機法上の「医療機器プログラム」として承認・認証の対象となり、開発企業にはQMS省令に基づく品質管理監督システムの構築が求められます。本記事では、医療機器該当性の判断からQMS構築の実務までを条番号と一次通知に基づいて整理し、令和7年4月1日から適用された小規模SaMD製造販売業者向けの国内品質業務運営責任者の要件拡張についても正確に解説します。\u003C\u002Fp>\u003Ch2 id=\"hfa40d95296\">SaMDの規制対応で押さえるべき5つの要点\u003C\u002Fh2>\u003Cp>SaMDの規制対応は「該当性の判断」「業許可と三役の設置」「承認・認証」「QMSの構築」「市販後の変更管理」の5工程に分解できます。ソフトウェア企業がつまずきやすいのは、QMS省令とJIS T 2304（IEC 62304）の関係、そして国内品質業務運営責任者の人選です。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>論点\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>結論\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>根拠\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>法令上の位置づけ\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>「医療機器プログラム」として医療機器そのものに該当する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>薬機法第2条第13項\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>該当性の判断\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>表示・説明資料・広告等に基づき、\u003Cstrong>使用目的とリスクの程度\u003C\u002Fstrong>が医療機器の定義に該当するかで判断する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>該当性ガイドライン3\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令の適用\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>設計開発（第30条〜第36条の2）を含め全面的に適用される\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>JIS T 2304との関係\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令の代替ではなく、上乗せで求められる\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>基本要件基準第12条第2項\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>国内品質業務運営責任者\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>3年以上の経験要件は維持。小規模SaMD企業に限りカウントできる職種が拡張された\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>医薬監麻発0131第1号\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>本記事は2026年8月時点の法令・通知に基づきます。改正が続く領域のため、実務判断では厚生労働省・PMDAの一次情報を必ず確認してください。\u003C\u002Fp>\u003Ch2 id=\"he8782f3a8a\">SaMD（プログラム医療機器）とは\u003C\u002Fh2>\u003Cp>SaMDとは、ハードウェアに組み込まれず、ソフトウェア単体で医療機器としての機能を果たす製品です。日本の法令用語では「医療機器プログラム」および「プログラム医療機器」がこれに対応します。\u003C\u002Fp>\u003Cp>薬機法における「医療機器プログラム」の定義は、独立した定義条項ではなく\u003Cstrong>第2条第13項（「製造販売」の定義）の括弧書き\u003C\u002Fstrong>に置かれています。同項は製造販売を「…をし、又は輸入をした医薬品（原薬たる医薬品を除く。）、医薬部外品、化粧品、医療機器若しくは再生医療等製品を、それぞれ販売し、貸与し、若しくは授与し、又は医療機器プログラム（医療機器のうちプログラムであるものをいう。以下同じ。）を電気通信回線を通じて提供すること」と規定しています。物理的な引き渡しを伴わないダウンロード配信も製造販売として捉える条文構造になっており、その中で医療機器プログラムが定義されています。行政通知で使われる「プログラム医療機器」は、医療機器プログラム又はこれを記録した記録媒体たる医療機器を指します。\u003C\u002Fp>\u003Ch3 id=\"hff680da4d4\">SaMDとSiMDの違いは条文上も確認できる\u003C\u002Fh3>\u003Cp>SaMDと対比されるのがSiMD（Software in a Medical Device、組込みソフトウェア）です。両者の違いはQMS省令の「構成部品等」の定義に現れています。施行通知「2．第2条（定義）について（3）」は構成部品等を「…製品の一部となるもの及び\u003Cstrong>製品のソフトウェア（製品が法第2条第13項に規定する医療機器プログラムである場合を除く。）\u003C\u002Fstrong>」と説明しており、組込みソフトウェアは構成部品等、SaMDは製品そのものという扱いの違いが読み取れます。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>観点\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>SaMD\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>SiMD\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製品としての単位\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ソフトウェア単体が医療機器\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ハードウェア医療機器の一部\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令上の扱い\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製品そのもの\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>構成部品等（第2条第3項）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>提供形態\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>電気通信回線を通じた提供、記録媒体\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ハードウェアに組み込んで出荷\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>承認・認証の単位\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>プログラム単位\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ハードウェア医療機器として\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>なお「SaMD」はIMDRF（International Medical Device Regulators Forum）による国際的な呼称で、日本の法令には登場しません。承認申請書や社内文書では「医療機器プログラム」「プログラム医療機器」を使います。\u003C\u002Fp>\u003Ch2 id=\"h65075b0529\">医療機器該当性の判断と上市までの規制ルート\u003C\u002Fh2>\u003Cp>自社ソフトウェアが医療機器に該当するかは「プログラムの医療機器該当性に関するガイドライン」（令和3年3月31日付け薬生機審発0331第1号・薬生監麻発0331第15号。令和5年3月31日付け薬生機審発0331第1号・薬生監麻発0331第4号により一部改正）で判断します。該当すれば製造販売業許可の取得と、承認または認証の手続きが必須になります。\u003C\u002Fp>\u003Ch3 id=\"h5885203cf0\">該当性は「使用目的」と「リスクの程度」で判断する\u003C\u002Fh3>\u003Cp>同ガイドラインは、該当性が「製造販売業者等による当該製品の表示、説明資料、広告等に基づき、当該プログラムの使用目的及びリスクの程度が医療機器の定義に該当するか」により判断されると定めています（「3 該当性の基本的考え方」）。同じ機能を有するプログラムであっても使用目的が異なれば判断は変わりうるため、開発の企画段階で、どのような表示・説明資料・広告を行うかまで含めて使用目的を設計することが実務上の要になります。なお、副作用または機能の障害が生じた場合でも人の生命及び健康に影響を与えるおそれがほとんどないプログラム（一般医療機器＝クラスIに相当するもの）は、医療機器の範囲から除かれます。\u003C\u002Fp>\u003Cp>リスクの程度は原則としてGHTFクラス分類ルールで判断しますが、同ルールでは判断し難い場合について、同ガイドライン「6 人の生命及び健康に影響を与えるリスクの程度の考え方」が次の2点を考慮するよう示しています。\u003C\u002Fp>\u003Col>\u003Cli>医療機器プログラムにより得られた結果の重要性に鑑みて疾病の治療、診断等にどの程度寄与するのか\u003C\u002Fli>\u003Cli>医療機器プログラムの機能の障害等が生じた場合において人の生命及び健康に影響を与えるおそれ（不具合があった場合のリスク）を含めた総合的なリスクの蓋然性がどの程度あるか\u003C\u002Fli>\u003C\u002Fol>\u003Cp>また同ガイドラインは、医療機器に該当しない典型的な事例として、患者説明を目的とするもの、院内業務支援・メンテナンスを目的とするもの、使用者が自らの医療・健康情報を閲覧等することを目的とするもの、生命及び健康に影響を与えるリスクが低いと考えられるものの4類型を挙げています。電子カルテやレセプト請求は原則非該当ですが、同じデータから解析結果を提示して診断を支援する機能を加えると該当性の検討が必要です。判断に迷う場合はPMDAの「医療機器プログラム総合相談」のうち「医療機器該当性に関する相談」を利用できます。\u003C\u002Fp>\u003Ch3 id=\"h7325960997\">業許可・クラス分類と二段階承認\u003C\u002Fh3>\u003Cp>上記のとおりクラスI相当のプログラムは医療機器の範囲から除かれるため、SaMDはクラスII（管理医療機器）以上が対象になります。認証基準があるものは登録認証機関の認証、ないものはPMDAの審査を経た承認です。クラス分類と承認・認証・届出の使い分けは\u003Ca href=\"\u002Fblogs\u002Fdevice-classification\">医療機器のクラス分類と承認・認証・届出の違い\u003C\u002Fa>で解説しています。製造販売業許可は扱う医療機器のクラスに応じて第一種・第二種・第三種に分かれ、クラスIIのSaMDのみを扱う企業は第二種医療機器製造販売業許可が必要です。許可要件には総括製造販売責任者・国内品質業務運営責任者・安全管理責任者の三役の設置が含まれます。\u003C\u002Fp>\u003Cp>SaMDは開発期間に比べ技術と外部環境の変化が速いため、制度面の手当ても進んでいます。「プログラム医療機器実用化促進パッケージ戦略（DASH for SaMD）」の第2弾として2023年9月に二段階承認の考え方が施策化され、「プログラム医療機器の特性を踏まえた二段階承認に係る取扱いについて」（令和5年11月16日 医薬機審発1116第2号）が発出されました。PMDAも2024年7月1日に「プログラム医療機器審査室」を「プログラム医療機器審査部」へ組織改編し、審査員の増員により1チーム体制から領域別2チーム体制へ拡充しています。\u003C\u002Fp>\u003Ch2 id=\"h24a7f75733\">SaMDに求められるQMS ― QMS省令とJIS T 2304の関係\u003C\u002Fh2>\u003Cp>SaMDにもQMS省令は全面的に適用され、設計開発（第30条〜第36条の2）も例外ではありません。\u003Cstrong>JIS T 2304（IEC 62304）はQMS省令の代替ではなく、上乗せの要求\u003C\u002Fstrong>である、という理解が出発点になります。\u003C\u002Fp>\u003Ch3 id=\"hf00f68f3d8\">【よくある誤解】「SaMDはJIS T 2304だけでよい」は誤り\u003C\u002Fh3>\u003Cp>「QMS省令の設計開発はハードウェア中心の要求なので、単体プログラムはJIS T 2304に従えばよい」という説明を見かけますが、これは誤りです。正しくは次の2層構造です。\u003C\u002Fp>\u003Cul>\u003Cli>\u003Cstrong>QMS省令\u003C\u002Fstrong>：設計開発を「どう管理するか」を要求する。計画・入力・出力・照査・検証・バリデーション・移管・変更管理・記録簿の各条文が適用される\u003C\u002Fli>\u003Cli>\u003Cstrong>基本要件基準第12条第2項\u003C\u002Fstrong>：プログラムを用いた医療機器について、JIS T 2304への適合をもって同項への適合を確認したものとする（「医療機器の基本要件基準第12条第2項の適用について」薬生機審発0517第1号・平成29年5月17日。同項は平成29年11月25日から適用され、平成29年11月24日が経過措置期間終了日）\u003C\u002Fli>\u003C\u002Ful>\u003Cp>QMS省令の設計開発プロセスを構築したうえで、その中でJIS T 2304のライフサイクルプロセスを回す必要があります。国際的に認知された他の適切な規格による場合は、その妥当性を承認・認証申請で説明することとされています。\u003C\u002Fp>\u003Ch3 id=\"h14221ce940\">設計開発の条文とソフトウェア開発の対応\u003C\u002Fh3>\u003Cp>設計開発そのものの基礎は\u003Ca href=\"\u002Fblogs\u002Fqms-design-development\">QMSの設計開発とは？\u003C\u002Fa>で解説しています。SaMD開発での論点は次のとおりです。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>見出し\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>SaMD開発での論点\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>ISO 13485:2016\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第30条\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>設計開発\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第4項（1号 段階／2号 照査／3号 検証・バリデーション・設計移管／4号 責任権限／5号 追跡可能性／6号 資源）を文書化。ソフトウェア開発計画と一体で作る\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.1／7.3.2\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第31条\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>設計開発への工程入力情報\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ソフトウェア要求仕様（SRS）が該当\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.3\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第32条\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>設計開発からの工程出力情報\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第1項第3号の「出荷可否決定等基準」がリリース判定基準に相当\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.4\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第33〜35条\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>照査／検証／バリデーション\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>JIS T 2304のソフトウェア検証とは対象が異なる。用語の対応を社内で定義する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.5〜7.3.7\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第35条の2\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>設計移管業務\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>（実務解釈）SaMDでは「実際の製造」がビルド・配布のプロセスに相当すると整理できる\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.8\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第36条\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>設計開発の変更の管理\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>変更により製品標準書（第7条の2）と記録簿の見直しが生じる（施行通知44．第36条関係（7））\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.9\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第36条の2\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>設計開発に係る記録簿\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>施行通知45．（3）が「ソフトウェアの検証及びバリデーション結果」を明記。同（4）でDHFに相当と説明\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.10\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>ソフトウェア安全クラス分類やライフサイクルプロセスの詳細は\u003Ca href=\"\u002Fblogs\u002Fiec-62304\">IEC 62304入門：医療機器ソフトウェアライフサイクル\u003C\u002Fa>を参照してください。あわせてISO 14971（リスクマネジメント）、IEC 62366（\u003Ca href=\"\u002Fblogs\u002Fusability\">医療機器のユーザビリティとは？\u003C\u002Fa>）への対応が必要です。\u003C\u002Fp>\u003Cp>サイバーセキュリティについては、基本要件基準第12条第3項が「\u003Cstrong>プログラムを用いた医療機器のうち、他の機器及びネットワーク等と接続して使用するもの、又は外部からの不正アクセス等が想定されるもの\u003C\u002Fstrong>」を対象としています。オンラインで提供されるSaMDはほぼ該当すると考えてよいものの、要求は無条件ではなく、この適用範囲に当たるかをまず判定してください。該当する場合はJIS T 81001-5-1への適合をもって同項への適合を確認します。関連通知は二層構造で、取扱い通知（令和5年3月31日 薬生機審発0331第8号）が条項の解釈を示し、適合性確認通知（令和5年5月23日 薬生機審発0523第1号）が申請時に示すべき資料を具体化しています。既存品目についても、令和6年4月1日以降に製造販売を継続するのであれば改正後の基本要件基準への適合を確認しておく必要があります。\u003C\u002Fp>\u003Ch3 id=\"h36106699a4\">【混同注意】QMS省令第5条の6は「製品のソフト」ではない\u003C\u002Fh3>\u003Cp>QMS省令第5条の6（ソフトウェアの使用）はSaMDそのものへの要求ではなく、\u003Cstrong>品質管理監督システムの運用に使うソフトウェアのバリデーション\u003C\u002Fstrong>を求める条文です。施行通知「10．第5条の6関係（2）」は対象例として基幹系情報システム（ERP・MES）、文書・記録の管理システム、CAD、苦情・不適合・是正措置および予防措置の管理システムを挙げ、経理処理や事務処理用のソフトウェアは対象外と明記しています。\u003C\u002Fp>\u003Cp>同条はバリデーション手順の文書化（第1項）、初回使用時と変更時の事前バリデーション（第2項）、リスクに応じた実施（第3項）、記録の保管（第4項）で構成されます。実務は\u003Ca href=\"\u002Fblogs\u002Fsoftware-validation\">QMSのソフトウェアバリデーションとは？\u003C\u002Fa>を参照してください。\u003C\u002Fp>\u003Ch2 id=\"h23cd983603\">【令和7年4月適用】小規模SaMD製造販売業者は国内品質業務運営責任者の要件が拡張された\u003C\u002Fh2>\u003Cp>令和7年（2025年）4月1日から、一定要件を満たす小規模なSaMD企業に限り、国内品質業務運営責任者としてカウントできる職務経験の範囲が拡張されました。\u003Cstrong>3年以上の実務経験という要件そのものが免除されたわけではありません。\u003C\u002Fstrong> 変わったのは「どの職務経験を3年としてカウントできるか」であり、研修の修了と外部アドバイザーへの委託が条件になります。\u003C\u002Fp>\u003Cp>根拠は令和7年1月31日 医薬監麻発0131第1号で、改正されたのは施行通知の逐条解説「84．第72条（国内品質業務運営責任者）関係（3）」です。背景には規制改革実施計画（令和6年6月21日閣議決定）の「スタートアップ等によるSaMDの開発及び生産を円滑化する観点から」という要請があります。\u003C\u002Fp>\u003Cp>QMS省令第72条第1項第2号は国内品質業務運営責任者の要件として「品質管理業務その他これに類する業務に\u003Cstrong>三年以上\u003C\u002Fstrong>従事した者であること」を定めています。従来この要件に該当する者は、施行通知84．（3）が示す1)〜6)の類型（第一種医療機器製造販売業者は1)〜5)まで、第二種・第三種医療機器製造販売業者および体外診断用医薬品製造販売業者は1)〜6)まで）に限られていました。具体的には、1) 管理監督者、2) 管理責任者、3) 医療機器等総括製造販売責任者、4) 旧法下における品質保証責任者・製造管理者・責任技術者、5) 製造販売業者または製造業の製造管理・品質管理に係る業務に従事した者、6) ISO 9001またはISO 13485の認証を受けた事業者等（製品の製造販売または製造を行うものに限り、サービス提供等のみを行うものを除く）に係る品質マネジメントシステムの継続的改善または維持に係る業務に従事した者、です。\u003C\u002Fp>\u003Ch3 id=\"he3d091c8a1\">対象となる企業の3条件\u003C\u002Fh3>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>#\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>要件\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>1\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>管理医療機器であるプログラム医療機器（薬機法第2条第13項に規定する医療機器プログラム又はこれを記録した記録媒体たる医療機器）の製造販売\u003Cstrong>のみ\u003C\u002Fstrong>を行うこと\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>2\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第二種医療機器製造販売業者であること\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>3\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>中小企業基本法（昭和38年法律第154号）第2条第5項の小規模企業者であること（おおむね常時使用する従業員20人以下。商業またはサービス業を主たる事業とする場合は5人以下）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>実務上の分岐点は3の判定です。同項の基準は原則として常時使用する従業員20人以下ですが、商業またはサービス業を主たる事業とする場合は5人以下となります。SaaSとしてSaMDを提供する事業者や受託開発を主業とする事業者は「サービス業」と整理される可能性があり、その場合の基準は5人以下です。日本標準産業分類上の主たる事業で判断されるため、\u003Cstrong>20人以下だからと自己判断せず、許可権者である都道府県に確認してください。\u003C\u002Fstrong>\u003C\u002Fp>\u003Cp>さらに、通常の該当者（1)〜6)）を\u003Cstrong>国内品質業務運営責任者として置くことが困難な場合\u003C\u002Fstrong>に限られます。無条件の緩和ではありません。ハードウェア医療機器も扱う企業や、高度管理医療機器のSaMDを扱う企業は対象外です。\u003C\u002Fp>\u003Ch3 id=\"h9af9ee2565\">追加された3類型と研修\u003C\u002Fh3>\u003Cp>対象企業では、次の7)〜9)のいずれかに該当し、かつ厚生労働省が指定する研修を修了した者を置くことができます。いずれも3年以上の従事が必要で、この年数は自社・他社を問わず合計で構いません。\u003C\u002Fp>\u003Cul>\u003Cli>7) プログラム医療機器の製造販売業者または製造業者において、プログラム医療機器のプログラムの設計開発に係る業務に3年以上従事した者\u003C\u002Fli>\u003Cli>8) 同じく、プログラムの設計開発に係る業務および品質管理に係る業務に合わせて3年以上従事した者\u003C\u002Fli>\u003Cli>9) ソフトウェア開発に係る業務に主たる開発の責任者として3年以上従事した者\u003C\u002Fli>\u003C\u002Ful>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>研修科目（表1）\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>時間\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>一 薬機法その他関連法規／二 国内品質業務運営責任者の役割／三 医療機器及び体外診断用医薬品の製造管理及び品質管理の基準／四 体制省令（平成26年厚生労働省令第94号）・区分省令（同第95号）・QMS調査／五 医療機器の不具合報告制度・回収報告制度／六 医療機器の製造販売後安全管理の基準\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>8時間（表1の時間欄）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>受け皿として、公益財団法人医療機器センターが「SaMD製造販売業のための国内品質業務運営責任者研修」をeラーニングで実施しています（令和7年3月24日付け厚生労働省医薬局監視指導・麻薬対策課事務連絡により指定）。2026年8月時点の受講料は55,000円（税込）、全講義動画の視聴と修了テストの合格が修了要件です（\u003Ca href=\"https:\u002F\u002Fwww.jaame.or.jp\u002Fworkshop\u002Fcorp\u002Fqmsrelief\u002Ftop.html\">公益財団法人医療機器センター\u003C\u002Fa>）。\u003C\u002Fp>\u003Ch3 id=\"h96c1e70ef3\">外部アドバイザーの要件と委託業務\u003C\u002Fh3>\u003Cp>7)〜9)の者を国内品質業務運営責任者とする場合は、表2の要件をすべて満たす外部アドバイザーとの間で契約を締結し、当該外部アドバイザーに表3の業務を委託することが求められます。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>外部アドバイザーの要件（表2）\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>一 1)〜6)のいずれかの者として3年以上従事した者\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>二 国内の品質管理業務を適正かつ円滑に遂行しうる能力を有する者\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>三 他の製造販売業者の国内品質業務運営責任者を兼務していないこと（複数の小規模SaMD製造販売業者の外部アドバイザーの兼務は可能だが、各社の業務に支障を来さないこと）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>委託する業務内容（表3）\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>一 定期的に国内品質業務運営責任者と会議を実施するとともに、第72条第2項に係る業務を適切かつ遅滞なく遂行できるよう必要な指導、助言を行う\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>二 品質等に関する情報を得たときや回収を行うとき等、速やかな対応を要する場合に、対応が適切かつ迅速に行われるよう必要な指導、助言を行う\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>この取扱いは恒久措置ではありません。通知本文には「本運用は、医療機器業界において、ソフトウェア開発及び品質管理の両領域の知見を有する人材が充実するまでの間の\u003Cstrong>暫定的な運用\u003C\u002Fstrong>であり、…利用実態調査の結果等を踏まえ、取扱いを変更・廃止する際には、厚生労働省からその旨を連絡する」と明記されています。この枠組みで体制を組む場合も、社内で品質管理経験を積んだ人材を育てる計画を並行して持つべきです。\u003C\u002Fp>\u003Ch2 id=\"h15feb9af9a\">SaMDのQMS構築 6ステップとチェックリスト\u003C\u002Fh2>\u003Cp>SaMDのQMS構築は、該当性の確認から市販後対応まで6ステップで進めます。設計開発プロセスは既存の開発体制を土台にできる一方、文書・記録の管理と市場出荷判定の仕組みはゼロから作るのが通例です。\u003C\u002Fp>\u003Col>\u003Cli>\u003Cstrong>該当性の確認\u003C\u002Fstrong>：該当性ガイドラインで自己判断し、判断が割れる場合はPMDA相談を利用する\u003C\u002Fli>\u003Cli>\u003Cstrong>業許可と三役の設置\u003C\u002Fstrong>：製造販売業許可の申請と三役の選任。国内品質業務運営責任者の人選に困った場合は前セクションの枠組みが使えるか確認する\u003C\u002Fli>\u003Cli>\u003Cstrong>QMS文書体系の整備\u003C\u002Fstrong>：品質管理監督システム基準書（第7条）、製品標準書（第7条の2）、各手順書と記録様式を整備する\u003C\u002Fli>\u003Cli>\u003Cstrong>設計開発プロセスの構築\u003C\u002Fstrong>：第30条〜第36条の2の要求を満たす手順にJIS T 2304、ISO 14971、IEC 62366を組み込む\u003C\u002Fli>\u003Cli>\u003Cstrong>QMS適合性調査への対応\u003C\u002Fstrong>：承認・認証の申請に伴い、PMDAまたは登録認証機関の調査を受ける\u003C\u002Fli>\u003Cli>\u003Cstrong>市販後の運用\u003C\u002Fstrong>：不具合報告、市場への出荷判定、アップデートの変更管理とサイバーセキュリティ対応を回す\u003C\u002Fli>\u003C\u002Fol>\u003Cp>ステップ3で多くの企業が直面するのが文書・記録の管理です。SaMD開発チームはソースコードのバージョン管理には慣れていても、QMS省令第8条（品質管理監督文書の管理）が求める改訂状況の識別や最新版の利用可能性、第9条（記録の管理）が求める記録の完全性の確保を、汎用のクラウドストレージや表計算ソフトで満たすのは容易ではありません。医療機器QMSに特化した電子QMSであれば版管理・承認履歴・監査証跡が標準機能として備わり、少人数のチームでも適合状態を維持しやすくなります。\u003Ca href=\"https:\u002F\u002Fservice.qm-smart.com\u002F?utm_source=yakuji-navi&utm_medium=link&utm_campaign=samd-qms\">QMSmart\u003C\u002Fa>のような電子QMS自体も第5条の6にいう「品質管理監督システムに使用するソフトウェア」に当たるため、選定時にはバリデーションの支援体制も確認しておくとよいでしょう。\u003C\u002Fp>\u003Ch3 id=\"ha32c938f8d\">SaMDのQMS立ち上げチェックリスト\u003C\u002Fh3>\u003Cul>\u003Cli>[ ] 表示・説明資料・広告等に基づく使用目的とリスクの程度から該当性を検討し、根拠を文書化した\u003C\u002Fli>\u003Cli>[ ] クラス分類と、承認・認証のいずれのルートかを確定した\u003C\u002Fli>\u003Cli>[ ] 三役の候補者が要件を満たすか確認した\u003C\u002Fli>\u003Cli>[ ] 国内品質業務運営責任者が第72条第1項第2号の3年要件を満たすか、満たさない場合に令和7年改正の枠組みが使えるかを判定した\u003C\u002Fli>\u003Cli>[ ] 品質管理監督システム基準書（第7条）と製品標準書（第7条の2）を作成した\u003C\u002Fli>\u003Cli>[ ] 設計開発手順書が第30条第4項の6項目をすべて文書化している\u003C\u002Fli>\u003Cli>[ ] 工程出力情報（第32条）に出荷可否決定等基準を含めた、または参照可能にした\u003C\u002Fli>\u003Cli>[ ] 要求とテストのトレーサビリティを確保する仕組みを整備した（第30条第4項第5号）\u003C\u002Fli>\u003Cli>[ ] 設計開発に係る記録簿（第36条の2）にソフトウェアの検証・バリデーション結果を含めた\u003C\u002Fli>\u003Cli>[ ] アップデート時の変更管理手順に、製品標準書と記録簿の見直しを組み込んだ\u003C\u002Fli>\u003Cli>[ ] QMS運用に使うソフトウェアについて第5条の6のバリデーション手順を文書化した\u003C\u002Fli>\u003Cli>[ ] 市場への出荷判定（第72条第2項第3号）の手順と記録様式を整備した\u003C\u002Fli>\u003C\u002Ful>\u003Ch2 id=\"h08562665f0\">よくある質問\u003C\u002Fh2>\u003Ch3 id=\"hd69c13e30c\">SaMDとSiMDは何が違いますか？\u003C\u002Fh3>\u003Cp>SaMDはソフトウェア単体で医療機器に該当するもの、SiMDはハードウェア医療機器に組み込まれたソフトウェアです。日本の法令上、SaMDは「医療機器プログラム」として製品そのものとして扱われ、SiMDはQMS省令第2条第3項の「構成部品等」に含まれます。施行通知2．第2条（定義）について（3）は構成部品等の定義から医療機器プログラムを明示的に除外しており、扱いの違いが条文上も確認できます。\u003C\u002Fp>\u003Ch3 id=\"h1380bc2e4e\">健康管理アプリは医療機器プログラムに該当しますか？\u003C\u002Fh3>\u003Cp>原則として非該当ですが、機能によっては該当します。該当性ガイドラインは「使用者が自らの医療・健康情報を閲覧等することを目的とするプログラム」と「生命及び健康に影響を与えるリスクが低いと考えられるプログラム」を該当しない典型例に挙げています。ただし取得データを解析して診断や治療方針の判断に用いる機能を加えると該当性の検討が必要です。\u003C\u002Fp>\u003Ch3 id=\"hfdaf90259e\">SaMDにもQMS省令はすべて適用されますか？\u003C\u002Fh3>\u003Cp>適用されます。SaMDは医療機器そのものであるため、設計開発（第30条〜第36条の2）についてもソフトウェアだからという理由で適用が外れることはありません。滅菌や清浄度管理のように製品の性質上該当しない条文はありますが、適用除外は製品特性に基づいて個別に判断し、根拠を文書化しておく必要があります。\u003C\u002Fp>\u003Ch3 id=\"h22f3d4e740\">JIS T 2304に適合すればQMS省令の設計開発要求は満たせますか？\u003C\u002Fh3>\u003Cp>満たせません。JIS T 2304はQMS省令の代替ではなく、基本要件基準第12条第2項に基づく上乗せの要求です（薬生機審発0517第1号。同項は平成29年11月25日から適用）。QMS省令が設計開発を「どう管理するか」を定め、JIS T 2304がソフトウェアライフサイクルプロセスの中身を定めるという関係にあり、両方を満たす手順書が必要です。\u003C\u002Fp>\u003Ch3 id=\"h980eb1faeb\">品質管理業務の経験が3年ない人を国内品質業務運営責任者にできますか？\u003C\u002Fh3>\u003Cp>原則としてできません。QMS省令第72条第1項第2号の3年以上という年数要件は令和7年の改正後も維持されています。変更されたのは、管理医療機器であるプログラム医療機器の製造販売のみを行う第二種医療機器製造販売業者のうち小規模企業者に限り、プログラムの設計開発やソフトウェア開発責任者としての3年以上の経験もカウントできるようになった点です。所定の研修の修了と外部アドバイザーへの委託が条件で、通常の該当者を置くことが困難な場合に限られます。\u003C\u002Fp>\u003Ch3 id=\"h86b3bf6bdd\">SaMDのアップデートのたびに承認申請が必要ですか？\u003C\u002Fh3>\u003Cp>変更の内容によります。承認事項に該当する変更であれば手続きが必要になるため、変更が承認事項に当たるかを個別に評価する仕組みを、設計開発の変更管理手順（QMS省令第36条）に組み込んでおく必要があります。判断に迷う変更はPMDAへの相談を検討してください。設計開発の変更に伴い製品標準書（第7条の2）と設計開発に係る記録簿（第36条の2）の見直しが生じる点も、施行通知44．第36条関係（7）で示されています。\u003C\u002Fp>\u003Ch2 id=\"ha214098e44\">まとめ\u003C\u002Fh2>\u003Cp>SaMDの規制対応は、該当性の判断から業許可と三役の設置、承認・認証、QMSの構築、市販後の変更管理へと連なる一連のプロセスです。最も誤解されやすいのがQMS省令とJIS T 2304の関係で、JIS T 2304は基本要件基準第12条第2項に基づく上乗せの要求であり、QMS省令の設計開発要求を代替するものではありません。\u003C\u002Fp>\u003Cp>人の面では、令和7年4月1日から小規模SaMD製造販売業者に限り国内品質業務運営責任者の職務経験の範囲が拡張されました。ただし3年要件そのものは維持され、研修の修了と外部アドバイザーへの委託が条件で、かつ暫定的な運用とされています。仕組みの面では、文書の版管理と記録の完全性の確保に早い段階で手を打つことが、少人数の体制で適合状態を保つ近道になります。本記事の内容は2026年8月時点のものです。実務判断の際は厚生労働省・PMDAの最新の一次情報をご確認ください。\u003C\u002Fp>",{"url":70,"height":71,"width":72},"https:\u002F\u002Fimages.microcms-assets.io\u002Fassets\u002Ff66dcbcc145648f88aa317fc3a705f91\u002Fd4554ce1fe5145709de19818d1cee998\u002Fsamd.webp",1024,1536,"SaMD（プログラム医療機器）の医療機器該当性の判断から承認・認証ルート、QMS省令とJIS T 2304の関係までを条番号付きで解説。令和7年4月適用の国内品質業務運営責任者の要件拡張と、QMS立ち上げチェックリストも掲載しています。",{"id":15,"createdAt":16,"updatedAt":17,"publishedAt":16,"revisedAt":17,"name":18,"image":75,"profile":23,"subtitle":24,"profile_url":25,"profile_sameas_url":26},{"url":20,"height":21,"width":22},[77,78,79,80],{"id":55,"createdAt":56,"updatedAt":56,"publishedAt":56,"revisedAt":56,"name":57},{"id":59,"createdAt":60,"updatedAt":60,"publishedAt":60,"revisedAt":60,"name":61},{"id":29,"createdAt":30,"updatedAt":30,"publishedAt":30,"revisedAt":30,"name":31},{"id":33,"createdAt":34,"updatedAt":34,"publishedAt":34,"revisedAt":34,"name":35},{"id":82,"createdAt":83,"updatedAt":84,"publishedAt":84,"revisedAt":84,"title":85,"content":86,"eyecatch":87,"description":89,"reviewer":90,"category":92},"cfr-part11","2026-08-26T03:31:08.333Z","2026-08-31T13:37:22.591Z","21 CFR Part 11とは？医療機器の対応要否と4つの場面","\u003Cp>21 CFR Part 11は、FDA（米国食品医薬品局）が規制する電子記録と電子署名の要件を定めた連邦規則です。日本の医療機器メーカーにとっては「米国向けの話」と受け止められがちですが、FDAへの申請、査察対応、米国子会社やOEM先からの要求、eQMS（電子QMS）の導入検討という4つの場面で対応の要否を判断する必要が生じます。本記事では適用範囲と条項ごとの要求事項を整理し、2026年2月2日に施行されたQMSRとの関係、日本のQMS省令との位置づけ、システム選定時の確認項目までをまとめます。\u003C\u002Fp>\u003Ch2 id=\"h2053ff89fb\">21 CFR Part 11とは？対応が必要になる4つの場面\u003C\u002Fh2>\u003Cp>21 CFR Part 11は、米国連邦規則集タイトル21のPart 11「\u003Ca href=\"https:\u002F\u002Fwww.ecfr.gov\u002Fcurrent\u002Ftitle-21\u002Fpart-11\">Electronic Records; Electronic Signatures\u003C\u002Fa>（電子記録・電子署名）」を指し、FDAが1997年3月20日に公示し、同年8月20日に施行した規則です（62 FR 13430）。電子記録と電子署名が紙の記録・手書き署名と同等に信頼できると認められるための条件を定めており、Subpart A（総則）、Subpart B（電子記録）、Subpart C（電子署名）の3部で構成されます。\u003C\u002Fp>\u003Ch3 id=\"hf056f0209a\">適用範囲は「前提規則」で決まる\u003C\u002Fh3>\u003Cp>Part 11が適用されるかどうかは、その記録が\u003Cstrong>FDAの他の規制（前提規則＝predicate rules）によって作成・保管・提出を求められているか\u003C\u002Fstrong>で決まります（§11.1）。医療機器メーカーの場合、前提規則にあたるのは主に21 CFR Part 820（QMSR）や21 CFR Part 803（不具合報告）です。\u003C\u002Fp>\u003Cp>ここから2つの帰結が導かれます。第一に、前提規則が存在しない記録は、電子化していてもPart 11の対象外です。第二に、前提規則が求める記録であっても\u003Cstrong>紙で作成・保管している限りPart 11は適用されません\u003C\u002Fstrong>（§11.1(b)は「電子的手段で伝送された紙記録には本パートを適用しない」と定めています）。Part 11は「電子で扱うなら満たすべき条件」であって、電子化そのものを義務づけるものではありません（§11.2）。\u003C\u002Fp>\u003Ch3 id=\"h1c699f675a\">対応要否の早見表\u003C\u002Fh3>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>自社の状況\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>Part 11の対応\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>判断の根拠\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>日本国内のみで販売。FDAへの申請・登録なし\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>不要（QMS省令・ER\u002FES指針は別途適用）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>前提規則が存在しない\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>FDAへ510(k)\u002FPMAを申請予定。QMSの記録は紙で運用\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>原則不要\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>電子記録を使用していない\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>FDA登録済み。設計管理・CAPA・苦情処理の記録を電子で作成・保管\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>必要\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMSRが求める記録を電子で扱う\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>米国子会社・OEM先のFDA登録製品に関する記録を自社システムで保持\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>必要\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>前提規則の対象記録を保持している\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>FDA査察で電子記録を画面提示・出力する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>必要\u003C\u002Fstrong>（§11.10(b)の複製提供を含む）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>査察対象記録が電子形式\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Ch3 id=\"h3451625959\">対応が問われる4つの場面\u003C\u002Fh3>\u003Cp>実務でPart 11が表面化するのは、次の4つの場面です。\u003C\u002Fp>\u003Col>\u003Cli>\u003Cstrong>FDA向け申請（510(k)\u002FPMA）\u003C\u002Fstrong> — 申請の裏づけとなる設計管理記録やバリデーション記録を電子で保持していれば、前提規則（QMSR）の対象記録としてPart 11の要求を受けます。\u003C\u002Fli>\u003Cli>\u003Cstrong>FDA査察\u003C\u002Fstrong> — 査察官は電子記録を画面上で確認し、複製の提出を求めます。エクスポート機能がないシステムは§11.10(b)の不備として指摘されます。\u003C\u002Fli>\u003Cli>\u003Cstrong>米国子会社・OEM先からの要求\u003C\u002Fstrong> — 自社が直接FDAに登録していなくても、供給先が登録企業なら供給者管理の一環として問われます。求められるのはカタログ上の「Part 11対応」表示ではなく、システム機能・運用手順・バリデーション記録の3点セットです。\u003C\u002Fli>\u003Cli>\u003Cstrong>eQMS・電子文書管理システムの導入\u003C\u002Fstrong> — 選定段階で要求を把握していないと、導入後に不足が判明して追加開発が必要になります。導入前の要件定義に落とし込むのが最も安価です。\u003C\u002Fli>\u003C\u002Fol>\u003Ch2 id=\"h8873bad7a9\">電子記録の要求事項：§11.10 クローズドシステムの管理\u003C\u002Fh2>\u003Cp>電子記録に対する中核の要求は§11.10「クローズドシステムの管理」に集約され、(a)から(k)までの11項目が定められています。クローズドシステムとは、記録の内容に責任を持つ者がシステムへのアクセスを管理しているシステムを指し、社内で運用するeQMSや文書管理システムの多くがこれに該当します（§11.3の定義）。\u003C\u002Fp>\u003Ch3 id=\"h8232604617\">§11.10 (a)〜(k) の要求事項\u003C\u002Fh3>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>条項\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>要求事項\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>実務で問われること\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(a)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>システムのバリデーション（正確性・信頼性・一貫した意図どおりの動作、および\u003Cstrong>無効又は改変された記録を識別できること\u003C\u002Fstrong>）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>導入時のバリデーションと、変更時の再バリデーション\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(b)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>人が読める形式と電子形式で、正確かつ完全な複製をFDAの査察・レビュー・複写のために提供できること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>PDF出力・CSVエクスポート等の手段の有無\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(c)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>保管期間を通じて記録を保護し、正確かつ速やかに検索できる状態を維持すること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>バックアップ、媒体・ファイル形式の陳腐化対策\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(d)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>システムアクセスを権限を与えられた者に限定すること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ロール設計、退職・異動時のアカウント停止\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(e)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>安全でコンピュータが自動生成する、タイムスタンプ付きの監査証跡\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>後述\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(f)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>操作順序のチェック（手順・イベントの許容される順序を強制）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>承認前に発行できない等のワークフロー制御\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(g)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>権限のチェック（システム使用・電子署名・記録の変更を許可された者だけが行えること）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>承認権限の設定と、その設定変更の記録\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(h)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>機器のチェック（データ入力元や操作指示の有効性の判定）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>測定機器等からの自動取込がある場合\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(i)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>開発・保守・使用する要員の教育・訓練・経験の確認\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>教育訓練記録との紐付け\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(j)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>自らの電子署名で開始した行為に責任を負わせる文書化された方針の策定と遵守\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>電子署名に関するSOPと周知記録\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(k)\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>システム文書（操作・保守手順書）の配付・アクセス・使用の管理と変更管理\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>手順書自体の版管理\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Ch3 id=\"h1bab32017d\">§11.10(e) が求める監査証跡\u003C\u002Fh3>\u003Cp>§11.10(e)は、電子記録の作成・変更・削除について、\u003Cstrong>操作者・日時・操作内容を独立して記録する監査証跡\u003C\u002Fstrong>を求めています。要件は次の4点です。\u003C\u002Fp>\u003Cul>\u003Cli>安全であり、\u003Cstrong>コンピュータが自動生成する\u003C\u002Fstrong>こと（手入力の変更履歴台帳では要件を満たしません）\u003C\u002Fli>\u003Cli>\u003Cstrong>タイムスタンプ付き\u003C\u002Fstrong>であること\u003C\u002Fli>\u003Cli>変更前の情報を\u003Cstrong>上書きしない\u003C\u002Fstrong>こと（旧値と新値の双方が追跡できること）\u003C\u002Fli>\u003Cli>記録の保管期間\u003Cstrong>以上\u003C\u002Fstrong>保持し、FDAの閲覧・複写に供せること\u003C\u002Fli>\u003C\u002Ful>\u003Cp>なお、監査証跡そのものの考え方やALCOA+との関係は\u003Ca href=\"\u002Fblogs\u002Fdata-integrity\">データインテグリティ（ALCOA+）の実践ガイド\u003C\u002Fa>で詳しく解説しています。本記事ではPart 11が条項として何を要求しているかに絞ります。\u003C\u002Fp>\u003Ch3 id=\"hd4e79c0711\">§11.30 オープンシステムの管理\u003C\u002Fh3>\u003Cp>記録の内容に責任を持つ者がシステムアクセスを管理していないシステムはオープンシステムに分類され、§11.30が適用されます（§11.3の定義）。§11.10の要求に加えて、記録の真正性・完全性・必要に応じた機密性を担保するために、\u003Cstrong>文書の暗号化や適切なデジタル署名標準の使用\u003C\u002Fstrong>といった追加の措置が求められます。\u003C\u002Fp>\u003Cp>判断の基準は、設置場所やクラウドかどうかではなく\u003Cstrong>アクセス制御を誰が握っているか\u003C\u002Fstrong>です。SaaS型のeQMSであっても、自社がアカウントの発行・権限設定・失効を管理しているならクローズドシステムに該当します。\u003C\u002Fp>\u003Ch2 id=\"ha1306e65ed\">電子署名の要求事項：署名の表示・記録との結合・本人確認\u003C\u002Fh2>\u003Cp>電子署名の要求は、Subpart B の§11.50・§11.70と、Subpart C の§11.100〜§11.300に分かれています。前者は「署名として何を表示し、記録とどう結びつけるか」、後者は「その署名が本人のものであることをどう担保するか」を定めています。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>条項\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>要求事項の要点\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.50\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>署名した電子記録には、\u003Cstrong>署名者の印字された氏名・署名を実行した日時・署名の意味\u003C\u002Fstrong>（レビュー、承認、責任、作成\u003Cstrong>など\u003C\u002Fstrong>。原文は "such as" による例示で、この4つに限定されない）を含める。これらは電子記録と同じ管理下に置き、画面表示や印刷物など人が読める形式にも表示する\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.70\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>電子署名・手書き署名を対応する電子記録に\u003Cstrong>結合\u003C\u002Fstrong>し、署名を切り出し・複写・転記して記録を偽造できないようにする\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.100\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>電子署名は\u003Cstrong>個人に一意\u003C\u002Fstrong>であり、再利用・再割当てをしない(a)。署名を付与する前に\u003Cstrong>本人確認\u003C\u002Fstrong>を行う(b)。電子署名が手書き署名と法的に同等であることをFDAに証明する文書を、手書き署名して提出する(c)\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.200\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>生体認証によらない電子署名は、IDコードとパスワードなど\u003Cstrong>2つ以上の識別要素\u003C\u002Fstrong>を用いる。連続したセッション中の最初の署名は全要素、以降は本人しか実行できない1要素でよいが、セッションをまたぐ場合は毎回全要素を用いる。他人の署名を使用するには2名以上の共謀が必要な設計とする\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.300\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>IDコードとパスワードの組み合わせの一意性(a)、定期的な確認・失効・改訂(b)、紛失・盗難時の失効と代替発行の手順(c)、不正使用の検知・報告の仕組み(d)、トークン等の初回および定期的な試験(e)\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>実務で見落とされやすいのが§11.100(c)です。これは「自社の電子署名は手書き署名と法的に同等である」と証明する文書に関する要求で、システム機能では代替できません。\u003Cstrong>電子署名の使用開始前（または使用と同時）までにFDAへ実際に提出する必要があり\u003C\u002Fstrong>、社内で整備しただけでは満たされません。提出は手書き署名を付した書面で行い、電子・紙のいずれの形式でも受け付けられます。提出先はFDAの「Letters of Non-Repudiation Agreement」のページで案内されています（§11.100(c)(1)）。\u003C\u002Fp>\u003Cp>§11.200(a)(1)の「連続したセッション中の2回目以降は1要素でよい」という規定は、裏を返せば\u003Cstrong>セッションが切れたら再度すべての要素を求める\u003C\u002Fstrong>ということです。業務システムのログイン状態をそのまま署名に流用する設計は、この要求を満たさない可能性があります。\u003C\u002Fp>\u003Ch2 id=\"h6a8af680a8\">FDAの執行スタンスとQMSR施行後のPart 11\u003C\u002Fh2>\u003Cp>Part 11は1997年の制定以来、条文自体はほとんど変わっていませんが、FDAの執行方針とその周辺のガイダンスは大きく動いています。2026年時点で押さえるべきは、2003年の裁量的執行、2026年2月のCSA改訂ガイダンス、そして2026年2月2日のQMSR施行の3点です。\u003C\u002Fp>\u003Ch3 id=\"hcdb2485985\">2003年ガイダンスによる裁量的執行\u003C\u002Fh3>\u003Cp>FDAは2003年に「Part 11, Electronic Records; Electronic Signatures — Scope and Application」を発出し、\u003Cstrong>バリデーション・監査証跡・記録の保管・記録の複製\u003C\u002Fstrong>の各要求と、\u003Cstrong>Part 11の発効前から稼働していたシステム（レガシーシステム）に対するすべての要求\u003C\u002Fstrong>について、裁量的執行（enforcement discretion）の方針を示しました。\u003C\u002Fp>\u003Cp>ただしこれは「対応しなくてよい」という意味ではありません。同ガイダンスは裁量的執行の対象を上記に限ったうえで、\u003Cstrong>それ以外の規定は執行する\u003C\u002Fstrong>と明言し、例として§11.10(d)のアクセス制限、(f)の操作順序チェック、(g)の権限チェック、そして§11.30のオープンシステムの管理を名指ししています。\u003Cstrong>電子署名に関する条項（§11.50・§11.70・§11.100・§11.200・§11.300）も丸ごとこのリストに含まれており\u003C\u002Fstrong>、次章で扱う電子署名の要求は当初から裁量的執行の対象外です。\u003C\u002Fp>\u003Cp>医療機器メーカーの場合、頼れる範囲はさらに限られます。FDAは後述のCSAガイダンスで、バリデーションに関する裁量的執行は\u003Cstrong>ISO 13485の4.1.6・7.5.6・7.6に基づく製造・品質マネジメントシステム用ソフトウェアのバリデーション要求には適用されない\u003C\u002Fstrong>と明示しました。QMSRがISO 13485:2016を引用している以上、バリデーションはQMSR側の要求として独立に残ります。\u003C\u002Fp>\u003Ch3 id=\"h2dcefdc9cc\">CSAガイダンスとバリデーション要求（現行版は2026年2月3日発出）\u003C\u002Fh3>\u003Cp>§11.10(a)が求めるシステムのバリデーションについては、FDAが2025年9月24日にCSA（Computer Software Assurance）の最終ガイダンスを発出し（Federal Register 2025-18468／90 FR 45945）、\u003Cstrong>2026年2月3日に改訂版「Computer Software Assurance for Production and Quality Management System Software」を発出しました（Docket No. FDA-2022-D-0795）。\u003C\u002Fstrong>現行版はこの2026年2月3日版で、2025年9月版は置き換えられています。改訂の理由は、ガイダンス末尾のGuidance History表にFDA自身が記載しています。Level 2ガイダンス手続き（21 CFR 10.115(g)(4)）に基づく改訂であり、21 CFR Part 820の改正（QMSR）との整合が目的です。名称が「Quality System」から「Quality Management System」に変わったのもこれに伴うもので、2025年9月版の脚注2でも、規則の施行後にPart 820への参照を規則に合わせて更新すると予告されていました。\u003C\u002Fp>\u003Cp>2025年9月版は2022年9月13日のドラフト（87 FR 56059）を最終化したもので、2026年2月版はそれを改訂したものです。いずれの版も「\u003Ca href=\"https:\u002F\u002Fwww.fda.gov\u002Fregulatory-information\u002Fsearch-fda-guidance-documents\u002Fgeneral-principles-software-validation\">General Principles of Software Validation\u003C\u002Fa>」の第6章（Validation of Automated Process Equipment and Quality System Software）を置き換えます。内容は、リスクに応じて検証の厚みを変えるアプローチを認めるものです。なお本ガイダンスは、医療機器そのものに該当するソフトウェア（device software functions／SaMD等）の設計・開発における検証・バリデーション要求については扱いません。\u003C\u002Fp>\u003Ch3 id=\"h8984154802\">CSAガイダンスが示したPart 11の適用判断\u003C\u002Fh3>\u003Cp>2026年2月3日版のCSAガイダンスは、製造・品質マネジメントシステムに使うソフトウェアについて「いつPart 11が適用されるか」をFDA自身が整理した節を持ちます。判断の軸は、\u003Cstrong>その文書がPart 820（QMSR）で要求されるものかどうか\u003C\u002Fstrong>です。\u003C\u002Fp>\u003Cp>FDAは「Part 820が要求する文書を電子形式で保持しているなら、一般にPart 11が適用される」とし、\u003Cstrong>とりわけ\u003C\u002Fstrong>考慮すべき点として「\u003Cstrong>バリデーション済みの状態を裏づける証拠として必要な記録か\u003C\u002Fstrong>」を挙げています（考慮事項はこれに限られません）。たとえば、基幹管理システムが製造前の材料チェックを正しく確実に自動化していることを示す文書はこれに該当し、電子形式であればPart 11の対象になります。一方、市販ソフトウェアが起動時に自動保存する一般的な動作ログは、その証拠として必要でない限り対象外とされています。社内の電子記録を棚卸しする際は、この軸がまず仕分けの出発点になります。\u003C\u002Fp>\u003Ch3 id=\"h75b53061af\">QMSR施行後もPart 11は存続する\u003C\u002Fh3>\u003Cp>2026年2月2日、21 CFR Part 820を改正しISO 13485:2016を引用するQMSRが施行されました。ここで誤解が生じやすいのですが、\u003Cstrong>QMSRはPart 11を置き換えるものではありません\u003C\u002Fstrong>。Part 11はPart 820とは独立した規則であり、QMSR施行後も電子記録・電子署名の要求はそのまま残ります。QMSRが求める設計管理・CAPA・苦情処理・内部監査などの記録を電子的に扱う場合、引き続きPart 11が適用されます。\u003C\u002Fp>\u003Ch2 id=\"he54039d1e0\">日本のQMS省令・施行通知との関係\u003C\u002Fh2>\u003Cp>日本の医療機器メーカーには、Part 11とは別に電磁的記録に関する国内の要求が適用されます。根拠はQMS省令の第9条（記録側）と第8条（文書側）で、Part 11と条項単位で対応づけて設計すると二重対応を避けられます。\u003C\u002Fp>\u003Cp>記録側の根拠はQMS省令第9条（記録の管理）第2項です。同項は記録について「セキュリティ確保（当該記録について、漏えい、滅失又は毀損の防止その他安全管理を行うことをいう。）」と「完全性の確保（当該記録が正確であり、記録が作成された時点から不適切な改変がない状態を保つことをいう。）」の管理方法を文書化するよう求めており、§11.10の(c)(d)(e)に相当する日本法上の根拠となります。\u003C\u002Fp>\u003Cp>文書側の根拠は第8条（品質管理監督文書の管理）第2項第7号「品質管理監督文書の劣化又は紛失を防止すること」で、施行通知（薬生監麻発0326第4号）14．第8条関係（8）はこの例として「文書を電磁的に管理する場合にはそのバックアップ等必要な管理方法を定めること」を挙げています。詳細は\u003Ca href=\"\u002Fblogs\u002Fdocument-management\">QMSの文書管理システムとは？\u003C\u002Fa>を参照してください。\u003C\u002Fp>\u003Ch3 id=\"hde02581614\">施行通知が参照するER\u002FES指針との位置づけ\u003C\u002Fh3>\u003Cp>施行通知14．第8条関係（9）は、電磁的管理の方法について「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」（平成17年4月1日付薬食発第0401022号厚生労働省医薬食品局長通知）＝いわゆるER\u002FES指針を参照することが望ましいとしています。ただしPart 11とER\u002FES指針は別制度であり、\u003Cstrong>一方に適合すれば他方も自動的に満たされるわけではありません\u003C\u002Fstrong>。ER\u002FES指針の三要件（真正性・見読性・保存性）への具体的な対応方法は\u003Ca href=\"\u002Fblogs\u002Fsoftware-validation-guide\">ソフトウェアバリデーション実践ガイド\u003C\u002Fa>で解説しています。\u003C\u002Fp>\u003Ch2 id=\"h6aa697a0d6\">Part 11対応チェックリストとeQMS選定時の確認項目\u003C\u002Fh2>\u003Cp>Part 11への適合は、\u003Cstrong>システム機能・運用手順・バリデーション記録の3点が揃って初めて成立します\u003C\u002Fstrong>。「Part 11対応」と表示された製品を導入しただけでは適合しません。以下のチェックリストで自社の現状を棚卸ししてください。\u003C\u002Fp>\u003Ch3 id=\"h9d0ebf7617\">自社運用のチェックリスト\u003C\u002Fh3>\u003Cul>\u003Cli>[ ] 適用対象となる記録の範囲を特定し、文書化している（前提規則との対応づけ）\u003C\u002Fli>\u003Cli>[ ] 対象システムのバリデーションを実施し記録を保管している（§11.10(a)）\u003C\u002Fli>\u003Cli>[ ] 電子記録を人が読める形式と電子形式で出力できる（§11.10(b)）\u003C\u002Fli>\u003Cli>[ ] バックアップと復旧手順を定め、復旧テストを実施している（§11.10(c)）\u003C\u002Fli>\u003Cli>[ ] アクセス権限をロールで設計し、退職・異動時の停止手順がある（§11.10(d)）\u003C\u002Fli>\u003Cli>[ ] 監査証跡が自動生成され、旧値を上書きせず保管期間以上残る（§11.10(e)）\u003C\u002Fli>\u003Cli>[ ] 承認前の発行を防ぐなど操作順序を制御する仕組みがある（§11.10(f)(g)）\u003C\u002Fli>\u003Cli>[ ] 開発・保守・使用に関わる要員の教育訓練記録がある（§11.10(i)）\u003C\u002Fli>\u003Cli>[ ] 電子署名に関する社内方針を文書化し、周知記録がある（§11.10(j)）\u003C\u002Fli>\u003Cli>[ ] 電子署名に氏名・日時・意味が表示され、記録と結合されている（§11.50／§11.70）\u003C\u002Fli>\u003Cli>[ ] 使用開始前までに手書き署名を付した証明文書をFDAへ提出済みである（§11.100(c)）\u003C\u002Fli>\u003Cli>[ ] IDコード・パスワードの一意性・有効期限・紛失時の手順を定めている（§11.300）\u003C\u002Fli>\u003C\u002Ful>\u003Ch3 id=\"h8107d13007\">eQMSベンダーに確認すべき7項目\u003C\u002Fh3>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>#\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>確認項目\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>対応条項\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>1\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>監査証跡が自動生成され、管理者を含む誰も編集・削除できないこと（§11.10(e)の趣旨を満たす実務水準として）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(e)\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>2\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>監査証跡が旧値と新値の双方を保持し、保管期間以上残ること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(e)\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>3\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>役割ベースのアクセス制御と、権限設定変更の履歴が残ること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(d)(g)\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>4\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>電子署名に氏名・日時・意味が表示され、出力物にも反映されること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.50\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>署名が記録と結合され、切り離しや転記ができない設計であること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.70\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>6\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>パスワード有効期限・失効・不正試行の検知機能があること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.300\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ベンダーがバリデーション用の文書（テストスクリプト等）を提供し、供給者監査に応じること\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>§11.10(a)\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>日本の医療機器メーカーの場合、eQMSを導入する時点でQMS省令第5条の6（ソフトウェアの使用）が適用される点にも注意が必要です。同条第1項は品質管理監督システムにソフトウェアを使用する場合のバリデーション手順の文書化を、第2項は初回使用時および変更時のバリデーション実施を求めています。つまり、Part 11対応とQMS省令対応は\u003Cstrong>同じバリデーション作業のなかで同時に満たすことができます\u003C\u002Fstrong>。\u003C\u002Fp>\u003Cp>文書管理や記録の電子化を検討する段階であれば、医療機器QMSに特化した\u003Ca href=\"\u002Fblogs\u002Feqms-introduction\">電子QMSの導入\u003C\u002Fa>を選択肢に入れる価値があります。\u003Ca href=\"https:\u002F\u002Fservice.qm-smart.com\u002F?utm_source=yakuji-navi&utm_medium=link&utm_campaign=cfr-part11\">QMSmart\u003C\u002Fa>は監査証跡・電子署名・アクセス制御を標準機能として備えており、上記7項目の確認とバリデーション文書の整備を導入プロセスのなかで進められます。\u003C\u002Fp>\u003Ch2 id=\"h08562665f0\">よくある質問\u003C\u002Fh2>\u003Ch3 id=\"h3ac6b4d3b0\">日本国内向けだけの医療機器メーカーも21 CFR Part 11に対応する必要がありますか？\u003C\u002Fh3>\u003Cp>原則として不要です。Part 11は前提規則が作成・保管を求める記録に適用されるため、FDAへの申請・登録がなく米国市場と関わりがなければ対象外です。ただしQMS省令第8条・第9条とER\u002FES指針は適用されるため、電子記録の管理そのものは必要です。\u003C\u002Fp>\u003Ch3 id=\"hf8fe00013d\">紙で運用していれば21 CFR Part 11の対象外ですか？\u003C\u002Fh3>\u003Cp>対象外です（§11.1(b)）。Part 11は電子で扱う場合の条件を定めた規則で、電子化を義務づけるものではありません（§11.2）。ただし2003年ガイダンスは、紙に加えて電子でも記録を保持し、その電子記録を規制対象業務の遂行に依拠している場合はPart 11の対象になるとしています。紙と電子が混在する運用では、どちらが「正」かを手順書で明確にしておかないと、査察時に電子側の管理不足を指摘される可能性があります。\u003C\u002Fp>\u003Ch3 id=\"hf06d156fe7\">「Part 11対応」と書かれたクラウドサービスを使えば自動的に適合しますか？\u003C\u002Fh3>\u003Cp>適合しません。Part 11への適合はシステム機能・運用手順・バリデーション記録の3点で成立します。ベンダーが提供できるのはシステム機能だけで、アクセス権限の設計、電子署名に関する社内方針（§11.10(j)）、要員の教育訓練記録（§11.10(i)）、自社環境でのバリデーションは利用者側の責任です。\u003C\u002Fp>\u003Ch3 id=\"h4d4061fc27\">電子署名は電子契約サービスの署名と同じものですか？\u003C\u002Fh3>\u003Cp>同じではありません。Part 11の電子署名は§11.50の表示事項（氏名・日時・署名の意味）、§11.70の記録との結合、§11.100〜§11.300の本人確認と識別要素の管理を満たす必要があります。一般的な電子契約サービスは契約文書への署名を目的としており、QMSの記録に対する継続的な管理までは想定していない場合があります。\u003C\u002Fp>\u003Ch3 id=\"hcca77a5884\">監査証跡はどのくらいの期間保管する必要がありますか？\u003C\u002Fh3>\u003Cp>§11.10(e)は、監査証跡を\u003Cstrong>対象となる電子記録の保管期間以上\u003C\u002Fstrong>保持し、FDAの閲覧・複写に供することを求めています。したがって保管期間は前提規則側で決まります。日本国内の記録については、QMS省令第9条第5項により第68条が定める期間の保管が別途求められます（第67条は品質管理監督文書の保管期限で、記録側とは別の条です）。Part 11と第68条の両方の要求を満たす長い方の期間を設定するのが実務的です。\u003C\u002Fp>\u003Ch3 id=\"h2c4434bf86\">ER\u002FES指針に対応していれば21 CFR Part 11も満たせますか？\u003C\u002Fh3>\u003Cp>自動的には満たせません。両者は別制度で要求の粒度も異なります。Part 11は§11.10(a)〜(k)や§11.200の識別要素など管理項目を条項単位で定めているため、ER\u002FES指針の三要件（真正性・見読性・保存性）を満たす運用でも条項ごとの対応確認が別途必要です。ER\u002FES指針側の対応方法は\u003Ca href=\"\u002Fblogs\u002Fsoftware-validation-guide\">ソフトウェアバリデーション実践ガイド\u003C\u002Fa>で解説しています。\u003C\u002Fp>\u003Ch3 id=\"hb46afab6fd\">QMSR（2026年2月2日施行）でPart 11の要求は変わりましたか？\u003C\u002Fh3>\u003Cp>変わっていません。QMSRは21 CFR Part 820を改正しISO 13485:2016を引用したものですが、Part 11は独立した規則のため施行後も要求はそのまま残ります。QMSRが求める設計管理・CAPA・苦情処理などの記録を電子的に扱う場合、引き続きPart 11が適用されます。\u003C\u002Fp>\u003Ch2 id=\"ha214098e44\">まとめ\u003C\u002Fh2>\u003Cul>\u003Cli>21 CFR Part 11は、FDAの前提規則が求める記録を\u003Cstrong>電子で扱う場合\u003C\u002Fstrong>に適用されます。紙運用のみ、あるいはFDAとの関わりがなければ対象外です（§11.1(b)／§11.2）\u003C\u002Fli>\u003Cli>中核は§11.10のクローズドシステムの管理(a)〜(k)。電子署名は§11.50・§11.70と§11.100〜§11.300が規定し、\u003Cstrong>§11.100(c)の証明文書は使用開始前までにFDAへ実際に提出\u003C\u002Fstrong>が必要です\u003C\u002Fli>\u003Cli>2003年ガイダンスの裁量的執行は免除を意味しません。§11.10(d)(f)(g)は当初から執行対象で、バリデーションの進め方は\u003Cstrong>2026年2月改訂のCSAガイダンス\u003C\u002Fstrong>（現行版）が示しています\u003C\u002Fli>\u003Cli>QMSR施行後もPart 11は存続します。日本のQMS省令第9条第2項・第8条第2項第7号・第5条の6と対応づけ、一度のバリデーションで両方を満たす設計が効率的です。適合はシステム機能・運用手順・バリデーション記録の3点で成立し、eQMS選定時は本記事の7項目でベンダーに確認してください\u003C\u002Fli>\u003C\u002Ful>",{"url":88,"height":71,"width":72},"https:\u002F\u002Fimages.microcms-assets.io\u002Fassets\u002Ff66dcbcc145648f88aa317fc3a705f91\u002F1847bbb4658b46e7b1b139f9ceed8dac\u002Fpart11.webp","21 CFR Part 11（電子記録・電子署名）を医療機器メーカーの視点で解説。対応が必要になる4つの場面、§11.10のアクセス制御や電子署名の要件、QMSR施行後の位置づけとQMS省令との関係をチェックリスト付きで整理します。",{"id":15,"createdAt":16,"updatedAt":17,"publishedAt":16,"revisedAt":17,"name":18,"image":91,"profile":23,"subtitle":24,"profile_url":25,"profile_sameas_url":26},{"url":20,"height":21,"width":22},[93,97,98],{"id":94,"createdAt":95,"updatedAt":95,"publishedAt":95,"revisedAt":95,"name":96},"data-integrity","2026-08-26T03:35:39.491Z","データインテグリティ",{"id":29,"createdAt":30,"updatedAt":30,"publishedAt":30,"revisedAt":30,"name":31},{"id":59,"createdAt":60,"updatedAt":60,"publishedAt":60,"revisedAt":60,"name":61},{"id":100,"createdAt":101,"updatedAt":102,"publishedAt":102,"revisedAt":102,"title":103,"content":104,"eyecatch":105,"description":107,"reviewer":108,"category":110},"iec-62304","2026-08-26T03:31:09.495Z","2026-08-31T13:25:43.217Z","IEC 62304とは？医療機器ソフトウェア開発の実務","\u003Cp>医療機器にソフトウェアを搭載する、あるいはソフトウェアそのものを医療機器として承認申請する場合、IEC 62304（国内ではJIS T 2304）への適合が求められます。ただし規格の目次を読んでも、自社が何をどこまでやればよいのかは見えてきません。作業量を左右するのは安全クラスの判定であり、実務で最も詰まるのはSOUP（開発過程が不明なソフトウェア）の管理です。\u003C\u002Fp>\u003Cp>この記事では、安全クラスA・B・Cの判定と格下げの条件、クラス別に要求されるプロセスの違い、SOUP管理の要求事項、QMS省令の設計開発プロセス（第30条〜第36条の2）への載せ方を、箇条番号と条文に沿って整理します。\u003C\u002Fp>\u003Ch2 id=\"h1ff0f136dc\">IEC 62304とは？対象範囲と規格の版\u003C\u002Fh2>\u003Cp>IEC 62304は、\u003Cstrong>医療機器ソフトウェアの開発と保守について、ライフサイクル全体で実施すべきプロセス・アクティビティ・タスクを規定した国際規格\u003C\u002Fstrong>です。国内ではJIS T 2304として制定されており、現行版はJIS T 2304:2017（IEC 62304:2006およびAmendment 1:2015に一致）です。\u003C\u002Fp>\u003Cp>規定しているのは\u003Cstrong>製品の性能ではなく開発のプロセス\u003C\u002Fstrong>です。適合とは「ソフトウェア安全クラスに従って、この規格で特定した全てのプロセス、アクティビティ及びタスクを実行すること」（箇条1.4）であり、成果物の記録がなければ適合を主張できません。\u003C\u002Fp>\u003Ch3 id=\"hd1a3f4958f\">対象になるソフトウェアと、対象にならないソフトウェア\u003C\u002Fh3>\u003Cp>適用範囲は「\u003Cstrong>ソフトウェアそれ自体が医療機器である場合、又はソフトウェアが完成品である医療機器に組み込まれているか若しくは不可欠な部分となっている場合\u003C\u002Fstrong>」（箇条1.2）で、プログラム医療機器（SaMD）と組込みソフトウェアの両方が対象です。医療機器としての妥当性確認と最終的なリリースは対象外で、JIS T 0601-1やIEC 82304-1といった製品規格が担います。\u003C\u002Fp>\u003Cp>一方、\u003Cstrong>QMSの運用に使うソフトウェアはIEC 62304の対象ではありません\u003C\u002Fstrong>。文書管理システム、製造設備の制御ソフト、測定機器の解析ソフトなどは、QMS省令（医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令。平成16年厚生労働省令第169号）第5条の6（ソフトウェアの使用）、第45条（製造工程等のバリデーション）、第53条（監視及び測定に係る設備及び器具の管理。第8項が監視及び測定に使用するソフトウェアの適用のバリデーション、第11項がその結果の記録を要求）が求めるバリデーションの対象で、要求の性質が異なります。「医療機器そのものを作る話」か「QMSを回すために導入した道具の話」かで、参照すべき規格も条文も変わります。\u003C\u002Fp>\u003Ch3 id=\"h76698532e1\">IEC 62304とJIS T 2304の版の対応\u003C\u002Fh3>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>規格・版\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>内容\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>IEC 62304:2006（初版）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>医療機器ソフトウェア―ソフトウェアライフサイクルプロセス\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>IEC 62304 Amendment 1:2015\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>安全クラス判定の考え方の明確化、レガシーソフトウェア（箇条4.4）の追加など\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>JIS T 2304:2012\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>IEC 62304:2006 に対応（旧版）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>JIS T 2304:2017\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>IEC 62304:2006 + Amd.1:2015 に一致（IDT）。国内の現行版\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>古い解説はJIS T 2304:2012を前提にしている場合があります。安全クラスAの定義はAmendment 1:2015で変更されているため、参照する版を必ず確認してください。\u003C\u002Fp>\u003Ch2 id=\"h1e732751f0\">日本でJIS T 2304への適合が必要になる法的根拠\u003C\u002Fh2>\u003Cp>国内での根拠は、医療機器の基本要件基準（平成17年厚生労働省告示第122号）第12条第2項です。同項は平成29年11月25日から適用され、厚生労働省通知「医療機器の基本要件基準第12条第2項の適用について」（平成29年5月17日 薬生機審発0517第1号）により、JIS T 2304への適合をもって同項への適合を確認したものとされています。\u003C\u002Fp>\u003Cp>\u003Cstrong>確認が求められるタイミングは「製造販売」ではなく「申請」です\u003C\u002Fstrong>。経過措置期間終了日（平成29年11月24日）の翌日以降に承認申請又は認証申請を行う製造販売業者等が対象で、通知には高度管理医療機器・管理医療機器が明示されたうえで、一般医療機器についても同様に確認が必要と記載されています。\u003C\u002Fp>\u003Cp>また、\u003Cstrong>確認の対象はJIS T 2304に限られません\u003C\u002Fstrong>。通知は一貫して「JIS T 2304等」と記載し、プログラムを用いた医療機器のライフサイクルプロセスについて国際的に用いられている適切な規格等がある場合は、それらへの適合性を確認することをもって第12条第2項への適合を確認したものとするとしています。IEC 62304の原文やそのAAMI版で運用している場合、JIS版に置き換える必要はありません。\u003C\u002Fp>\u003Cp>基本要件基準は、薬機法（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）第41条第3項に基づき厚生労働大臣が定める医療機器の基準で、第12条は「プログラムを用いた医療機器に対する配慮」を定めています。承認・認証申請では適合性チェックリストに適合状況を記載しますが、「適合しています」と書くだけでは足りず、安全クラスの分類根拠とクラスに応じたプロセスの実施記録を提示できる状態が必要です。なお第12条第3項（サイバーセキュリティ）には別途「医療機器の基本要件基準第12条第3項の適用について」（令和5年3月31日 薬生機審発0331第8号）が発出されており、JIS T 81001-5-1が関係します。\u003C\u002Fp>\u003Ch3 id=\"h9c1c5b5a75\">すでに販売中のソフトウェアはどうするか\u003C\u002Fh3>\u003Cp>箇条3.36は、レガシーソフトウェアを「法規制に適合して市場に出荷され、現在も市販されているが、この規格の現行版に適合して開発されたという客観的な証拠が不十分な医療機器ソフトウェア」と定義しています。該当する場合は箇条4.4により、箇条5〜箇条9をすべて適用する代わりに、4.4.2（リスクマネジメントアクティビティ）、4.4.3（ギャップ分析）、4.4.4（ギャップ解消アクティビティ）、4.4.5（レガシーソフトウェアを使用する根拠）で適合性を実証できます。ギャップ分析は安全クラスに基づき、5.2、5.3、5.7および箇条7の要求事項に対して行います。過去の製品を今から全工程やり直す必要はない、という逃げ道がここにあります。\u003C\u002Fp>\u003Cp>国内でも同様の措置が用意されています。薬生機審発0517第1号は、経過措置期間終了日（平成29年11月24日）までに設計が完了している医療機器について、JIS T 2304等の要求事項と当該医療機器に関して利用可能な情報等との差分を分析し、リスクが受容可能になるようリスクマネジメントの中で対応して必要な記録を残すことを求めています。箇条4.4のギャップ分析と実質的に同じ作業です。\u003C\u002Fp>\u003Ch3 id=\"hcc0b6fba0d\">QMS省令とIEC 62304は相互に参照し合う\u003C\u002Fh3>\u003Cp>見落とされがちですが、IEC 62304の側もQMSを前提にしています。箇条4.1は製造業者が要求事項に適合する能力をもつことの実証を求め、その手段としてJIS Q 13485（ISO 13485）と並んで「医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令」、すなわちQMS省令を挙げています。独立した62304対応プロジェクトを立てるのではなく、既存の設計開発プロセスに組み込むのが本来の姿です。規制とQMS構築の全体像は\u003Ca href=\"\u002Fblogs\u002Fsamd-qms\">SaMD（プログラム医療機器）の規制とQMS対応ガイド\u003C\u002Fa>で整理しています。\u003C\u002Fp>\u003Ch2 id=\"h1c0426cda7\">ソフトウェア安全クラスA・B・Cの判定手順\u003C\u002Fh2>\u003Cp>ソフトウェア安全クラスは、ソフトウェアシステムに起因する危険状態が最悪の場合にもたらす危害のリスクに応じてA・B・Cに分類します（箇条4.3 a）。この判定で実施すべきプロセスの数が大きく変わるため、62304対応の作業量を決める最大の分岐点です。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>クラス\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>定義（箇条4.3 a）\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>A\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ソフトウェアシステムが危険状態の一因とならない。または、危険状態の一因となるが、そのソフトウェアシステム以外（external to）で実施するリスクコントロール手段を考慮すれば、受容できないリスクは生じない\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>B\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>危険状態の一因となり、そのソフトウェアシステム以外で実施するリスクコントロール手段を考慮しても受容できないリスクが生じる場合で、\u003Cstrong>重傷の可能性はない\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>\u003Cstrong>C\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>同上の場合で、\u003Cstrong>死亡又は重傷の可能性がある\u003C\u002Fstrong>\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>BとCの境界は「重傷の可能性があるかどうか」です。ソフトウェアの故障の発生確率が低いことを根拠にクラスを下げることはできません。\u003C\u002Fp>\u003Ch3 id=\"hf98f7d298d\">判定で外してはいけない3つの前提\u003C\u002Fh3>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>前提\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>内容\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ソフトウェアの故障の発生確率は1として扱う\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>故障確率を定量的に推定する広く認められた方法がないため、常に起きるものとして扱う。「テストで潰しているから発生確率は低い」という主張は通らない。一連の事象のうちソフトウェア以外の事象の確率を推定できない場合は、危害の重大さに焦点を合わせて評価する（附属書B.4.3）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>考慮できるのはexternal toのリスクコントロール手段だけ\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ソフトウェア自身に実装した安全機能を根拠にクラスは下げられない。external toの手段にはハードウェア、独立したソフトウェアシステム、医療処置その他が含まれる（箇条4.3 a 注記1）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>分類が終わるまではクラスCを適用する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>デフォルトはCであり、下げるには根拠が要るという建て付け（箇条4.3 g）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>前提となる危険状態の特定とリスク評価は、JIS T 14971（ISO 14971）のリスクマネジメントプロセスに従います（箇条4.2）。IEC 62304は単独では完結せず、その成果物を入力として受け取る構造です。手順は\u003Ca href=\"\u002Fblogs\u002Fqms-riskmanagement-guide\">医療機器QMSにおけるリスクマネジメント実践ガイド\u003C\u002Fa>を参照してください。\u003C\u002Fp>\u003Ch3 id=\"h9835d1260d\">安全クラスを下げられる2つのルート\u003C\u002Fh3>\u003Cp>安全クラスの引き下げには規格が認めるルートが2つあり、どちらも根拠の文書化が条件です。\u003C\u002Fp>\u003Col>\u003Cli>\u003Cstrong>external toのリスクコントロール手段を追加する\u003C\u002Fstrong> — 当初B又はCに分類したソフトウェアシステムについて、そのソフトウェアシステム以外で実施するリスクコントロール手段（システムアーキテクチャの改善など）を追加で実施し、新しい安全クラスに分類し直すことができます（箇条4.3 a）。\u003C\u002Fli>\u003Cli>\u003Cstrong>ソフトウェアアイテムを分離する\u003C\u002Fstrong> — ソフトウェアシステムをソフトウェアアイテムに分割した場合、各アイテムは元のクラスを\u003Cstrong>継承\u003C\u002Fstrong>します。別のクラスに分類するには正当な根拠を文書で示す必要があり、その根拠には新しいソフトウェアアイテムを\u003Cstrong>どのように分離するのか\u003C\u002Fstrong>の説明が必要です（箇条4.3 d、e）。\u003C\u002Fli>\u003C\u002Fol>\u003Cp>分離は物理的な分離に限られず、あるソフトウェアアイテムが他のアイテムに悪影響を及ぼさないためのあらゆるメカニズムを含みます。ただしクラスCでは、リスクコントロールに必要なアイテム間の分離を特定し、分離が有効であることを確実にする方法を明示することが別途要求されます（箇条5.3.5）。「モジュールを分けたのでこちらはクラスAです」と主張するには、その分離が破れないことの説明まで求められます。なお分類を確定できるのはアーキテクチャが固まった時点以降で、それ以前の分類をプロセスの省略の正当化に使わないことが望ましいとされています（附属書B.4.3）。\u003C\u002Fp>\u003Ch2 id=\"hb37c2a2ffa\">安全クラス別に要求されるプロセス\u003C\u002Fh2>\u003Cp>クラスAで要求されないのは、アーキテクチャの設計（5.3）、詳細設計（5.4）、結合及び結合試験（5.6）と、リスクマネジメントプロセス（箇条7）の大部分です。逆に開発計画・要求事項分析・システム試験・リリース・保守・構成管理・問題解決は、クラスAであっても実施しなければなりません。規格では各要求事項の末尾に適用クラスが記載されています。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>プロセス／アクティビティ\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>クラスA\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>クラスB\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>クラスC\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.1 開発計画\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○（5.1.4、5.1.5、5.1.10〜5.1.12を除く）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○（5.1.4を除く）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.2 要求事項分析\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○（5.2.3を除く）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.3 アーキテクチャの設計\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>−\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○（5.3.5を除く）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.4 詳細設計\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>−\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.4.1のみ\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.5 ユニットの実装\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.5.1のみ\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○（5.5.4を除く）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.6 結合及び結合試験\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>−\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.7 システム試験\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.8 リリース\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○（5.8.3、5.8.5、5.8.6を除く）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>6 保守プロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7 リスクマネジメントプロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.4.1のみ\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>8 構成管理プロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>9 問題解決プロセス\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>○\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>（JIS T 2304:2017 の各細分箇条に付記された適用クラスをもとに作成）\u003C\u002Fp>\u003Cp>クラスBとCの差は詳細設計まわりに集中しています。クラスBで要求されるのは5.4.1（ソフトウェアユニットへの分解）までで、5.4.2〜5.4.4（詳細設計の開発と検証）はクラスC限定です。ほかにクラスC固有の要求として5.1.4（開発規格・方法・ツールの計画）、5.3.5（分離の特定）、5.5.4（追加のユニット合否判定基準）があります。\u003C\u002Fp>\u003Cp>一方、\u003Cstrong>箇条7（リスクマネジメント）にクラスC限定の要求事項はありません。\u003C\u002Fstrong>クラスAで要求されるのは7.4.1（医療機器ソフトウェアの安全性に関わる変更の分析）だけで、クラスB・Cでは箇条7の全項目が要求されます。リスクコントロール手段の選択と文書化（7.2.1）もクラスBで要求されるため、クラスBだからと省略することはできません。\u003C\u002Fp>\u003Ch2 id=\"hae59e26e53\">ソフトウェアライフサイクルプロセスの実務\u003C\u002Fh2>\u003Cp>IEC 62304は、開発プロセス（箇条5）、保守プロセス（箇条6）、3つの支援プロセス（箇条7 リスクマネジメント、箇条8 構成管理、箇条9 問題解決）で構成されます。開発プロセスだけを整備して支援プロセスを落とすのが典型的な失敗パターンです。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>アクティビティ\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>残す成果物\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.1 開発計画\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>プロセス・成果物・トレーサビリティ・構成管理・問題解決の扱いを定めた計画書（5.1.1）。反復的な開発も可\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.2 要求事項分析\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ソフトウェア要求事項仕様と、その検証記録。リスクコントロール手段の包含（5.2.3）はクラスB・C\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.3 アーキテクチャの設計\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>アイテムとインタフェースの設計書、SOUP要求事項（5.3.3、5.3.4）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.4 詳細設計\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ユニットへの分解（5.4.1、クラスB・C）。ユニット及びインタフェースの詳細設計とその検証（5.4.2〜5.4.4）はクラスC\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.5 ユニットの実装\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>実装と、ユニット検証の手順・結果（5.5.2、5.5.5）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.6 結合及び結合試験\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>結合計画（5.1.5）に沿った試験記録\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.7 システム試験\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>要求事項ごとのインプット・予想結果・合否判定基準・手順と結果\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.8 リリース\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>検証完了確認、既知の残留異常の一覧と評価、バージョン・作成手順・作成環境の記録\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>\u003Cstrong>5.8.2（既知の残留異常の文書化）はクラスAでも要求されます。\u003C\u002Fstrong>「既知の不具合を残したままリリースしてよいか」ではなく、「残したものを文書化し、受容できないリスクにならないことを確認したか」（5.8.3、クラスB・C）が問われます。\u003C\u002Fp>\u003Ch3 id=\"h0a47b90b70\">保守プロセスと支援プロセスはクラスAでも省略できない\u003C\u002Fh3>\u003Cp>保守プロセス（箇条6）は保守計画の確立（6.1）、フィードバックの監視・文書化・評価（6.2.1）、変更要求の評価・承認（6.2.4）、5.8に従った再リリース（6.3.2）で構成され、すべてクラス共通の要求です。支援プロセスのうち、構成管理（箇条8）と問題解決（箇条9）も全項目がクラスAで要求されます。箇条7で例外的にクラスAに適用されるのは7.4.1（安全性に関わる変更の分析）だけです。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>支援プロセス\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>主な要求\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>クラスAへの適用\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>箇条7 リスクマネジメント\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>危険状態の一因となるアイテムと潜在的原因の特定（7.1.1、7.1.2）、リスクコントロール手段の選択・実施・検証（7.2、7.3.1）、トレーサビリティの文書化（7.3.3）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.4.1（安全性に関わる変更の分析）のみ\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>箇条8 構成管理\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>構成アイテム識別手段の確立（8.1.1）、SOUPの特定（8.1.2）、システム構成の文書化（8.1.3）、承認済み変更要求に限る変更（8.2.1）、変更のトレーサビリティ維持（8.2.4）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>全項目\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>箇条9 問題解決\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>問題報告の作成（9.1）、調査（9.2）、関係者への通知（9.3）、変更管理プロセスの使用（9.4）、記録の保持（9.5）、傾向分析（9.6）、解決の検証（9.7）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>全項目\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Ch2 id=\"h150d632c6a\">SOUP（開発過程が不明なソフトウェア）の管理\u003C\u002Fh2>\u003Cp>SOUPは「既に開発されていて一般に利用できるが、医療機器に組み込むことを目的に開発したものではないソフトウェアアイテム、又は以前開発されたソフトウェアアイテムでその開発プロセスについての十分な記録が利用できないもの」と定義されています（箇条3.29）。OSS、商用ライブラリ、OS、既製品（OTS）が該当し、自社の過去資産でも開発記録が不十分なものはSOUPです。なお\u003Cstrong>医療機器ソフトウェアシステム全体をSOUPであると主張することはできません\u003C\u002Fstrong>（箇条3.29 注記）。\u003C\u002Fp>\u003Ch3 id=\"had490ef8b9\">SOUP管理でやることチェックリスト\u003C\u002Fh3>\u003Cul>\u003Cli>[ ] SOUPアイテムを洗い出し、名称・製造業者・SOUPを特定する識別子を文書化する（8.1.2、\u003Cstrong>クラスA・B・C\u003C\u002Fstrong>）\u003C\u002Fli>\u003Cli>[ ] 識別子にバージョン、リリース年月日、パッチ番号、アップグレードの識別子を含める（8.1.2 注記）\u003C\u002Fli>\u003Cli>[ ] 標準ライブラリもSOUP構成アイテムに含める（8.1.2）\u003C\u002Fli>\u003Cli>[ ] 各SOUPアイテムの、意図する使用に必要な機能・性能要求事項を明確にする（5.3.3、クラスB・C）\u003C\u002Fli>\u003Cli>[ ] 各SOUPアイテムの正常な動作に必要なシステムハードウェア・ソフトウェアを明確にする（5.3.4、クラスB・C）\u003C\u002Fli>\u003Cli>[ ] 医療機器アーキテクチャが全SOUPアイテムの正常な動作を支援していることを検証する（5.3.6、クラスB・C）\u003C\u002Fli>\u003Cli>[ ] SOUPを含む結合・結合試験の計画を開発計画書に示すか引用する（5.1.5、クラスB・C）\u003C\u002Fli>\u003Cli>[ ] SOUPに起因する故障・予期せぬ結果を危険状態の潜在的原因として検討する（7.1.2、クラスB・C）\u003C\u002Fli>\u003Cli>[ ] SOUPアイテムの供給者が公開している異常リストを評価する（7.1.3、クラスB・C）\u003C\u002Fli>\u003C\u002Ful>\u003Ch3 id=\"h0ae7c5a3ed\">既知の異常リストの評価が最大の関門\u003C\u002Fh3>\u003Cp>実務で最も詰まるのが7.1.3（公開されたSOUP異常リストの評価）です。SOUPに起因する故障又は予期せぬ結果が危険状態の一因となるソフトウェアアイテムの潜在的原因になっている場合、当該医療機器に使用しているSOUPアイテムの\u003Cstrong>バージョンに関係する\u003C\u002Fstrong>、供給者が公開している異常リストを最低限度として評価し、既知の異常によって危険状態の原因となる一連の事象が生じるかを判断しなければなりません。\u003C\u002Fp>\u003Cp>つまり「このライブラリのこのバージョンについて、公開されている既知の不具合をすべて確認し、自社機器で危害につながるかを一件ずつ判断した記録」が必要です。依存パッケージが数百に及ぶ開発では、バージョンを固定して依存関係と評価結果を継続的に管理する仕組みがなければ運用が破綻します。SBOM（ソフトウェア部品表）の整備は、この要求への実務的な回答です。\u003C\u002Fp>\u003Ch2 id=\"h9fe7d6d610\">QMS省令・ISO 13485の設計開発への組み込み方\u003C\u002Fh2>\u003Cp>IEC 62304のライフサイクルは、QMS省令第5節「製品実現」の設計開発プロセス（第30条〜第36条の2）に載せるのが正しい実装です。62304用の手順書を独立して作るのではなく、既存の設計開発手順にソフトウェア固有のアクティビティを組み込みます。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>QMS省令\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>ISO 13485:2016\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>対応するIEC 62304のプロセス\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第30条（設計開発）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.1、7.3.2\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.1 ソフトウェア開発計画\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第31条（設計開発への工程入力情報）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.3\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.2 ソフトウェア要求事項分析\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第32条（設計開発からの工程出力情報）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.4\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.3 アーキテクチャの設計、5.4 詳細設計\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第33条（設計開発照査）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.5\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>各アクティビティの評価タスク\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第34条（設計開発の検証）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.6\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.5.5、5.6、5.7 の検証・試験\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第35条（設計開発バリデーション）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.7\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>（62304の対象外。製品規格側で対応）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第35条の2（設計移管業務）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.8\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5.8 ソフトウェアリリース\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第36条（設計開発の変更の管理）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.9\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>箇条6 保守、箇条8 構成管理\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第36条の2（設計開発に係る記録簿）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>7.3.10\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>全プロセスの成果物\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>（ISO 13485:2016の箇条番号は、施行通知（令和3年3月26日 薬生監麻発0326第4号。令和7年1月31日一部改正）の各条の解説に示された対応関係による）\u003C\u002Fp>\u003Ch3 id=\"he875ce453c\">リスクマネジメントと使用性は省令側でも要求されている\u003C\u002Fh3>\u003Cp>QMS省令第31条第1項第1号は工程入力情報として「意図した用途に応じた機能、性能、\u003Cstrong>使用性\u003C\u002Fstrong>及び安全性に係る製品要求事項」を、第3号は「第26条第3項に規定するリスクマネジメントに係る工程出力情報たる要求事項」を挙げています。リスクマネジメントの成果物を設計開発の入力にすることは、規格の要請である以前に日本の省令の要求です。第1号の「使用性」は、施行通知38．第31条関係（3）が「IEC 62366-1のUsabilityに相当するもの」と明記しています（\u003Ca href=\"\u002Fblogs\u002Fusability\">医療機器のユーザビリティとは？\u003C\u002Fa>）。\u003C\u002Fp>\u003Cp>トレーサビリティも同様で、第30条第4項第5号が設計開発計画において「工程入力情報から工程出力情報への追跡可能性を確保する方法」の文書化を求めています。IEC 62304側では、5.1.1 c)がシステム要求事項・ソフトウェア要求事項・ソフトウェアシステム試験・ソフトウェアに実装するリスクコントロール手段の間のトレーサビリティを開発計画に含めるよう求め、7.3.3が危険状態からソフトウェアアイテム、ソフトウェアの原因、リスクコントロール手段、その検証までのトレーサビリティの文書化を求めています。両者は同じトレーサビリティマトリクスで満たせます。設計開発プロセス全体の要求事項は\u003Ca href=\"\u002Fblogs\u002Fqms-design-development\">QMSの設計開発とは？\u003C\u002Fa>を参照してください。\u003C\u002Fp>\u003Ch3 id=\"h7f44931272\">設計開発に係る記録簿に何を綴じるか\u003C\u002Fh3>\u003Cp>QMS省令第36条の2は、製品又は類似製品グループごとに、設計開発に係る要求事項への適合を証明する記録、変更の記録、参照した資料に係る記録簿の作成と保管を求めています。施行通知45．第36条の2関係（3）は、この記録簿に含まれうるものとして「ソフトウェアの検証及びバリデーション結果」を明示しています。\u003C\u002Fp>\u003Cp>IEC 62304の成果物、すなわち開発計画書、要求事項仕様、アーキテクチャ設計、トレーサビリティマトリクス、SOUP一覧、各試験の記録、既知の残留異常の一覧、問題報告と解決の記録は、そのまま記録簿の中身になります。これらがリポジトリや課題管理ツールに散在していると、適合性調査で「記録簿として提示してください」と言われた時点で行き詰まります。\u003C\u002Fp>\u003Cp>開発チームの成果物を開発ツールに置いたままにせず、QMSの文書・記録管理の版管理下に置くことが必要です。どの版が承認済みで、いつ誰が改訂し、どの製品バージョンに対応するのかを、開発部門と品質保証部門が同じ台帳で追える状態にしておくと、設計変更のたびに記録簿を作り直す手間がなくなります。\u003C\u002Fp>\u003Ch2 id=\"h08562665f0\">よくある質問\u003C\u002Fh2>\u003Ch3 id=\"had22a28e5a\">ソフトウェア安全クラスは誰がどうやって決めるのですか？\u003C\u002Fh3>\u003Cp>製造業者が、JIS T 14971に基づくリスク分析の結果をもとに分類します（箇条4.3 a）。判定はソフトウェアの故障の発生確率を1とし、そのソフトウェアシステム以外（external to）で実施するリスクコントロール手段だけを考慮して行います。分類した安全クラスはリスクマネジメントファイルへの文書化が必要で（箇条4.3 c）、分類が終わるまではクラスCの要求事項が適用されます（箇条4.3 g）。\u003C\u002Fp>\u003Ch3 id=\"hb23ccbd002\">クラスAならほとんど何もしなくてよいのですか？\u003C\u002Fh3>\u003Cp>いいえ。クラスAでも、開発計画（5.1）、要求事項分析（5.2）、ユニットの実装（5.5.1）、システム試験（5.7）、リリース（5.8）、保守（箇条6）、構成管理（箇条8）、問題解決（箇条9）は要求されます。省略できるのはアーキテクチャの設計（5.3）、詳細設計（5.4）、結合及び結合試験（5.6）と箇条7の大部分です。SOUPの特定（8.1.2）もクラスAで要求されます。\u003C\u002Fp>\u003Ch3 id=\"h15b79cc2b3\">OSSを使うと承認は通らなくなりますか？\u003C\u002Fh3>\u003Cp>なりません。OSSはSOUPとして扱い、規格が求める管理を実施すれば問題ありません。名称・製造業者・識別子の文書化（8.1.2）、意図する使用に必要な機能・性能要求事項の明確化（5.3.3）、必要なシステムハードウェア・ソフトウェアの明確化（5.3.4）、公開されている異常リストの評価（7.1.3）などです。管理されていないOSSが混入している状態が問題になります。\u003C\u002Fp>\u003Ch3 id=\"h0c2078c327\">QMSで使う業務システムのバリデーションとIEC 62304は何が違うのですか？\u003C\u002Fh3>\u003Cp>対象物が違います。IEC 62304は医療機器そのもの、または医療機器に組み込まれたソフトウェアの開発ライフサイクルを規定する規格です。一方、文書管理システムや製造設備の制御ソフトのようにQMSの運用に使用するソフトウェアには、QMS省令第5条の6（ソフトウェアの使用）、第45条（製造工程等のバリデーション）、第53条（設備及び器具の管理）が導入時・変更時のバリデーションを求めています。詳しくは\u003Ca href=\"\u002Fblogs\u002Fsoftware-validation\">QMSのソフトウェアバリデーションとは？\u003C\u002Fa>を参照してください。\u003C\u002Fp>\u003Ch3 id=\"hf795d74a64\">IEC 62304は改訂される予定がありますか？\u003C\u002Fh3>\u003Cp>2026年8月時点で発行されていません。「2026年8月発行予定」とする情報が流通していますが、実際の進捗はそれより後ろです。2025年の委員会原案（CD1）に約1,500件のコメントが寄せられ、IEC SC62A\u002FMT49は第2版ではなく第2次委員会原案（CD2）を出す段階にあります。FDISは2028年、発行は2029年になる可能性があり、IECが示す発行予測も2028年10月です。\u003C\u002Fp>\u003Cp>議論されている主な変更は、安全クラスA・B・Cを2段階のプロセス厳格度レベル（I・II）に置き換えること、適用範囲をヘルスソフトウェア全般へ拡大すること、AI\u002FMLライフサイクルの要求追加、レガシーソフトウェアの参考附属書化です。旧クラスAがレベルI、旧クラスB・CがレベルIIに相当するとされており、影響が最も大きいのは現在クラスBの製品です。\u003C\u002Fp>\u003Cp>内容は発行まで確定せず、JIS T 2304の改正時期も未定です。当面はJIS T 2304:2017への適合を前提に整備してください。ただしクラスBの製品は、将来レベルII（現行クラスC相当）へ引き上げられる前提で詳細設計とその検証の記録を残しておくと、移行時のギャップが小さくなります。\u003C\u002Fp>\u003Ch2 id=\"ha214098e44\">まとめ\u003C\u002Fh2>\u003Cp>IEC 62304対応は、安全クラスの判定に始まり、クラスに応じたプロセスを実行し、その成果物を設計開発に係る記録簿（QMS省令第36条の2）として維持するところまでが一続きです。クラスの分類根拠、SOUP一覧、トレーサビリティマトリクスの3点が揃っていない状態は、審査や適合性調査で必ず指摘されます。\u003C\u002Fp>\u003Cp>とくにSOUP一覧とトレーサビリティマトリクスは、製品のバージョンが変わるたびに版が動き、承認者と改訂履歴を伴う文書です。設計開発ファイルを電子的に管理する場合、QMS省令第8条第2項が求める文書の版管理・改訂状況の識別と、第9条第2項が求める記録の完全性の確保を同時に満たす必要があります。医療機器QMSに特化した電子QMSであるQMSmartのように、これらを標準機能として備えた基盤の上に設計開発ファイルを載せておくと、開発部門と品質保証部門が同じ版を参照したまま設計変更を回せます。\u003C\u002Fp>\u003Cp>まずは自社ソフトウェアが適用対象かを切り分け、JIS T 14971に基づくリスク分析から安全クラスを分類するところに着手してください。\u003C\u002Fp>",{"url":106,"height":11,"width":12},"https:\u002F\u002Fimages.microcms-assets.io\u002Fassets\u002Ff66dcbcc145648f88aa317fc3a705f91\u002F4c98668f45f94934a9b74391fce6dc9c\u002FIEC%2062304.webp","IEC 62304（JIS T 2304）とは何かを実務目線で解説。ソフトウェア安全クラスA・B・Cの判定と格下げの条件、SOUP管理の要求事項、QMS省令第30条〜第36条の2の設計開発への組み込み方を条番号付きで整理します。",{"id":15,"createdAt":16,"updatedAt":17,"publishedAt":16,"revisedAt":17,"name":18,"image":109,"profile":23,"subtitle":24,"profile_url":25,"profile_sameas_url":26},{"url":20,"height":21,"width":22},[111,112,113,114],{"id":55,"createdAt":56,"updatedAt":56,"publishedAt":56,"revisedAt":56,"name":57},{"id":59,"createdAt":60,"updatedAt":60,"publishedAt":60,"revisedAt":60,"name":61},{"id":29,"createdAt":30,"updatedAt":30,"publishedAt":30,"revisedAt":30,"name":31},{"id":115,"createdAt":116,"updatedAt":116,"publishedAt":116,"revisedAt":116,"name":117},"je725wboz","2025-03-28T00:53:46.776Z","実践ガイド",{"id":119,"createdAt":120,"updatedAt":121,"publishedAt":121,"revisedAt":121,"title":122,"content":123,"eyecatch":124,"description":126,"reviewer":127,"category":129},"device-classification","2026-08-26T03:31:07.357Z","2026-08-31T13:17:34.015Z","医療機器の認証・承認・届出の違いとクラス分類の判定","\u003Cp>医療機器を日本国内で製造販売するには、品目ごとに「届出」「認証」「承認」のいずれかの手続きが必要です。どのルートになるかは、製品の性能や価格ではなく、\u003Cstrong>その製品に割り当てられる一般的名称（JMDNコード）とクラス分類\u003C\u002Fstrong>によって決まります。この記事では、自社製品のクラスを判定する手順から、認証と承認が分かれる仕組み、提出先・審査主体・QMS適合性調査の要否までを、薬機法の条文根拠とともに整理します。開発は進んでいるが薬事の出口が見えていない、という段階の担当者が、自社の申請ルートを自力で確定できる状態になることを目的としています。\u003C\u002Fp>\u003Ch2 id=\"hbb884cb752\">【結論】医療機器の認証・承認・届出は、クラス分類と認証基準の有無で決まります\u003C\u002Fh2>\u003Cp>医療機器の申請ルートは、クラスI（一般医療機器）なら届出、認証基準が定められた管理医療機器・高度管理医療機器なら登録認証機関の認証、それ以外は厚生労働大臣の承認、という3つに整理できます。判断の材料は2つだけで、\u003Cstrong>①自社製品のクラス分類\u003C\u002Fstrong>と\u003Cstrong>②その製品に認証基準が定められているかどうか\u003C\u002Fstrong>です。\u003C\u002Fp>\u003Cp>クラスI〜IVという区分は国際整合（GHTF）に由来するもので、薬機法上の用語ではありません。薬機法（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）はこれに対応する区分として\u003Cstrong>高度管理医療機器・管理医療機器・一般医療機器\u003C\u002Fstrong>を第2条第5項から第7項で定義しており、具体的な品目の指定は「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律第二条第五項から第七項までの規定により厚生労働大臣が指定する高度管理医療機器、管理医療機器及び一般医療機器」（平成16年7月20日 厚生労働省告示第298号）で行われています。各クラスがどのようなリスクを想定した区分なのか、医療機器の定義そのものから確認したい場合は、\u003Ca href=\"\u002Fblogs\u002Fabout-medical-device\">医療機器の定義と種類の解説記事\u003C\u002Fa>を先にご覧ください。本記事は、クラスが決まったあとの「どこに何を出すか」に絞って解説します。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>クラス\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>薬機法上の区分\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>根拠条文\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>原則の申請ルート\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>クラスI\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>一般医療機器\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第2条第7項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>届出\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>クラスII\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>管理医療機器\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第2条第6項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>認証（認証基準がない品目は承認）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>クラスIII\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>高度管理医療機器\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第2条第5項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>承認（認証基準が定められた品目は認証）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>クラスIV\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>高度管理医療機器\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>第2条第5項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>承認\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>注意したいのは、\u003Cstrong>クラスIIが必ず認証、クラスIIIが必ず承認というわけではない\u003C\u002Fstrong>点です。クラスIIでも認証基準が定められていない品目は承認申請になり、クラスIIIでも認証基準が定められた品目（指定高度管理医療機器）は認証で足ります。「クラス＝ルート」で覚えると、申請直前に手戻りします。\u003C\u002Fp>\u003Ch3 id=\"h1160216c1f\">この記事の進め方は3ステップです\u003C\u002Fh3>\u003Col>\u003Cli>\u003Cstrong>ステップ1\u003C\u002Fstrong>：製品に該当する一般的名称（JMDNコード）を特定し、クラス分類を判定する\u003C\u002Fli>\u003Cli>\u003Cstrong>ステップ2\u003C\u002Fstrong>：その一般的名称に認証基準が定められているかを確認する\u003C\u002Fli>\u003Cli>\u003Cstrong>ステップ3\u003C\u002Fstrong>：確定したルートに沿って、提出先・必要書類・QMS適合性調査の準備を進める\u003C\u002Fli>\u003C\u002Fol>\u003Ch2 id=\"hd5c6cd4de6\">ステップ1｜一般的名称（JMDNコード）から自社製品のクラス分類を判定する\u003C\u002Fh2>\u003Cp>クラス分類は、製品の商品名や構造から自分で推定するものではなく、\u003Cstrong>厚生労働省が告示で指定した「一般的名称」に紐づいて決まっています\u003C\u002Fstrong>。したがって判定作業の実体は、「自社製品がどの一般的名称に該当するか」を特定する作業です。ここを外すと、以降のルート判断がすべてずれます。\u003C\u002Fp>\u003Cp>一般的名称は日本医療機器名称（JMDN：Japan Medical Device Nomenclature）として体系化され、それぞれにJMDNコード、クラス分類、特定保守管理医療機器・設置管理医療機器等の該当性が割り当てられています。同じ「カテーテル」でも、使用目的と適用部位が違えばクラスが変わります。製品カテゴリの一般名ではなく、\u003Cstrong>告示上の一般的名称の定義文と自社製品の使用目的を突き合わせる\u003C\u002Fstrong>のが正しい手順です。\u003C\u002Fp>\u003Ch3 id=\"h418a2a996b\">一般的名称はPMDAの基準等情報提供ホームページで検索する\u003C\u002Fh3>\u003Cp>一般的名称とクラス分類は、PMDA（独立行政法人医薬品医療機器総合機構）の「医療機器基準等情報提供ホームページ」（https:\u002F\u002Fwww.std.pmda.go.jp\u002FstdDB\u002F ）で公開されています。同サイトの一般的名称検索では、名称・JMDNコード・定義文からの検索ができ、該当する一般的名称のクラス分類と、後述する認証基準の有無を同じ画面で確認できます。\u003C\u002Fp>\u003Cp>検索時のコツは、製品名ではなく\u003Cstrong>使用目的を表す言葉と適用部位で引く\u003C\u002Fstrong>ことです。たとえば「単回使用」「滅菌済み」「〇〇用」といった修飾語が定義文に含まれているかどうかで、該当する一般的名称が変わります。候補が複数出た場合は、それぞれの定義文を読み比べ、自社製品の使用目的・原理・適用部位に最も近いものを選びます。\u003C\u002Fp>\u003Ch3 id=\"h46635b8b90\">該当する一般的名称が見つからない場合の進め方\u003C\u002Fh3>\u003Cp>既存の一般的名称に当てはまらない場合、新しい一般的名称の新設が必要になる可能性があります。この判断は自社だけで完結させず、PMDAの相談制度（医療機器該当性・一般的名称に関する相談）を活用してください。なお都道府県の薬務主管課は製造販売業許可・製造業登録の窓口であり、品目のクラス判定そのものを決定する権限は持ちません。一般的な薬事相談の入口としては利用できますが、判定の最終確認先はPMDAです。特に既存製品に無い作用原理を持つ製品や、プログラム医療機器のように該当性の判断自体が論点になる製品では、開発の早い段階で相談したほうが結果的に早く進みます。\u003C\u002Fp>\u003Cp>判定を誤ったまま申請すると、審査の途中でルート自体をやり直すことになり、数か月単位の遅延につながります。\u003Cstrong>「たぶんクラスIIだろう」で開発計画を組まない\u003C\u002Fstrong>ことが重要です。\u003C\u002Fp>\u003Ch3 id=\"hdf3c11ec2c\">クラス判定チェックリスト\u003C\u002Fh3>\u003Cul>\u003Cli>[ ] 製品の使用目的・適用部位・作用原理を文章で書き出した\u003C\u002Fli>\u003Cli>[ ] PMDA 医療機器基準等情報提供ホームページで一般的名称を検索した\u003C\u002Fli>\u003Cli>[ ] 候補となる一般的名称の定義文を読み、自社製品の使用目的と一致することを確認した\u003C\u002Fli>\u003Cli>[ ] JMDNコードとクラス分類（I〜IV）を記録した\u003C\u002Fli>\u003Cli>[ ] 特定保守管理医療機器・設置管理医療機器に該当するかを確認した\u003C\u002Fli>\u003Cli>[ ] 該当する一般的名称が特定できない場合、PMDAへの相談ルートを確保した（必要に応じて都道府県の薬務主管課にも一般相談）\u003C\u002Fli>\u003C\u002Ful>\u003Ch2 id=\"h87fc1211c2\">ステップ2｜認証基準の有無で「認証」と「承認」が分かれます\u003C\u002Fh2>\u003Cp>クラスが決まったら、次に確認するのは\u003Cstrong>その一般的名称に認証基準が定められているかどうか\u003C\u002Fstrong>です。認証基準が定められている品目は「指定高度管理医療機器等」と呼ばれ、厚生労働大臣ではなく登録認証機関の認証を受けることになります（薬機法第23条の2の23第1項）。\u003C\u002Fp>\u003Cp>薬機法第23条の2の5第1項は、承認の対象を「医療機器（\u003Cstrong>一般医療機器並びに第23条の2の23第1項の規定により指定する高度管理医療機器及び管理医療機器を除く\u003C\u002Fstrong>）」と定めています。つまり法律の建て付けとしては、まず承認を原則としたうえで、届出（クラスI）と認証（認証基準のある品目）が例外として切り出されている構造です。この読み方ができると、「なぜ同じクラスIIで認証と承認に分かれるのか」が理解しやすくなります。\u003C\u002Fp>\u003Ch3 id=\"h67aafd3b39\">「指定高度管理医療機器等」に該当するかを確認する\u003C\u002Fh3>\u003Cp>指定高度管理医療機器等の範囲は、「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律第二十三条の二の二十三第一項の規定により厚生労働大臣が基準を定めて指定する医療機器」（平成17年3月25日 厚生労働省告示第112号）で指定されています。この告示は改正が頻繁に行われるため、必ずPMDAの基準等情報提供ホームページで最新の状態を確認してください。\u003C\u002Fp>\u003Ch3 id=\"hf78e53e1e2\">認証基準は技術基準と使用目的の両方で構成されます\u003C\u002Fh3>\u003Cp>認証基準は、対象となる一般的名称と使用目的、そして適合すべき技術基準（JIS等）の組み合わせで定義されています。つまり「一般的名称が合っている」だけでは足りず、\u003Cstrong>使用目的が認証基準の想定する範囲に収まっていること\u003C\u002Fstrong>、そして\u003Cstrong>指定された技術基準に適合していること\u003C\u002Fstrong>の両方が必要です。\u003C\u002Fp>\u003Ch3 id=\"hae26b37c50\">認証基準に適合しない場合は承認申請になります\u003C\u002Fh3>\u003Cp>認証基準が定められた一般的名称であっても、自社製品の使用目的が基準の範囲外だったり、指定された技術基準の一部に適合できなかったりする場合は、認証ではなく承認申請の対象になります。開発仕様を固める前に認証基準の本文を読み込み、「この基準に合わせにいくのか、外れることを前提に承認を狙うのか」を意思決定しておくと、試験計画とスケジュールが安定します。\u003C\u002Fp>\u003Ch2 id=\"h740aeef151\">届出・認証・承認の3ルート比較｜提出先・審査主体・期間・調査の要否\u003C\u002Fh2>\u003Cp>3つのルートは、審査する主体と提出先がそれぞれ異なります。届出には審査がなく、認証は民間の登録認証機関が、承認は厚生労働大臣（実務上の審査はPMDA）が担当します。QMS適合性調査が必要になるのは認証と承認の2ルートで、届出には不要です。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>項目\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>届出\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>認証\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>承認\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>対象\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>一般医療機器（クラスI）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>指定高度管理医療機器等（認証基準が定められた管理医療機器・高度管理医療機器）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>クラスIV、および認証基準のないクラスII・III\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>根拠条文\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>薬機法第23条の2の12第1項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>薬機法第23条の2の23第1項\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>薬機法第23条の2の5第1項\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>審査主体\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>審査なし（届出）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>登録認証機関\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>厚生労働大臣（審査はPMDAが実施）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>提出先\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>PMDA（機構が届出を受理。第23条の2の13第1項）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>登録認証機関\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>PMDA（厚生労働大臣が機構に審査等を行わせる。第23条の2の7）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>主な提出資料\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製造販売届書＋添付文書（案）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>認証申請書＋認証基準への適合性に関する資料等（第23条の2の23第3項）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>承認申請書＋品質・有効性・安全性に関する資料（第23条の2の5第3項）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>QMS適合性調査\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>不要\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>必要（第23条の2の23第4項）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>必要（第23条の2の5第6項）\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>変更時の手続き\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>変更後30日以内に届出（第23条の2の12第2項）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>軽微変更届／認証事項一部変更認証\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>軽微変更届／一部変更承認\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Ch3 id=\"haa7c0e6559\">届出ルート（一般医療機器）\u003C\u002Fh3>\u003Cp>一般医療機器は、製造販売をしようとするときに\u003Cstrong>あらかじめ\u003C\u002Fstrong>品目ごとに届け出ます（薬機法第23条の2の12第1項）。届出は審査を伴わないため、承認・認証で必要となる審査手数料は発生せず、要件を満たした届出が受理されれば製造販売を開始できます。\u003C\u002Fp>\u003Cp>ただし書類が届書1枚で済むわけではありません。届出には施行規則第114条の47第3項に基づき添付文書案を添付する必要があり、届け出る製品が基本要件基準（法第41条第3項）に適合していることも前提になります（平成26年11月21日 薬食機参発1121第41号）。届出は審査がない代わりに、\u003Cstrong>適合性の判断がすべて自己責任である点に留意してください。\u003C\u002Fstrong>\u003C\u002Fp>\u003Cp>提出先を誤解しやすいのがこのルートです。\u003Cstrong>一般医療機器の製造販売届出は、都道府県ではなくPMDA（機構）が受理します\u003C\u002Fstrong>（薬機法第23条の2の13第1項、同法施行令第37条の38）。都道府県知事が窓口になるのは製造販売業許可と製造業登録であり、品目ごとの届出とは層が異なります。届け出た事項を変更したときは、30日以内に変更の届出が必要です（同条第2項）。\u003C\u002Fp>\u003Cp>もう一つ誤解が多いのが、QMSの扱いです。\u003Cstrong>品目ごとのQMS適合性調査が不要なだけで、一般医療機器の製造販売業者もQMS省令の適用は受けます。\u003C\u002Fstrong> QMS省令第4条第1項は、承認・認証の対象でない製品について第30条から第36条の2まで（設計開発に関する規定）を適用しないと定めており、文書管理・記録管理・是正処置といった基本的な要求事項は変わらず求められます。\u003C\u002Fp>\u003Cp>ただし、適用除外は第4条第1項だけではありません。一般医療機器のうち厚生労働大臣が指定するもの以外は\u003Cstrong>限定一般医療機器\u003C\u002Fstrong>とされ（QMS省令第5条の5第3項）、これのみを製造販売する事業者は\u003Cstrong>限定第三種医療機器製造販売業者\u003C\u002Fstrong>として（同第5条の6第1項）、内部監査（第56条）・購買工程（第37条・第38条）・教育訓練（第23条）・ソフトウェアバリデーション（第5条の6）など30か条にわたって個別の特則が置かれています。自社にどこまで求められるかは、この区分を確認したうえで判断してください。いずれにせよ「クラスIだからQMSは不要」という理解は誤りです。\u003C\u002Fp>\u003Ch3 id=\"hf11794eb31\">認証ルート（指定高度管理医療機器等）\u003C\u002Fh3>\u003Cp>認証は、厚生労働大臣の登録を受けた登録認証機関が、認証基準への適合性と製造管理・品質管理の方法を審査するルートです。認証が与えられない要件は薬機法第23条の2の23第2項に列挙されており、製造販売業許可を受けていないこと、製造所が登録を受けていないこと、認証基準に適合しないこと、QMS基準に適合しないことなどが該当します。\u003Cstrong>製品試験だけでなく、業許可と製造所登録、QMS体制が揃っていないと認証は下りません。\u003C\u002Fstrong>\u003C\u002Fp>\u003Ch3 id=\"h83b276f4c6\">承認ルート（クラスIV、認証基準のない品目）\u003C\u002Fh3>\u003Cp>承認は、品質・有効性・安全性に関する資料を添えてPMDAに申請し、厚生労働大臣の承認を受けるルートです（薬機法第23条の2の5第1項・第3項）。厚生労働大臣は機構（PMDA）に医療機器等審査等を行わせることができ、その場合、申請者は機構が行う審査を受けることになります（同法第23条の2の7）。\u003C\u002Fp>\u003Cp>審査期間の目安として、PMDAは\u003Cstrong>2008年に厚生労働省が設定した「医療機器の審査迅速化アクションプログラム」\u003C\u002Fstrong>の数値を公表しています。新医療機器が12か月（優先審査品目は9か月）、改良医療機器が臨床データありで9か月・臨床データなしで6か月、後発医療機器が4か月です（PMDA「承認について（大臣承認）」2026年8月時点）。ただしこれは2008年に設定された目安であり、PMDAが中期計画で業務目標として掲げる総審査期間の目標値とは別のものです（中期計画の目標値は新医療機器の通常品目が14か月、改良医療機器が臨床データありで10か月・臨床データなしで6か月、後発医療機器が4か月）。\u003Cstrong>PMDAのいう総審査期間は、行政側の審査期間と申請者側の照会対応期間を合計した、申請から承認までの全期間\u003C\u002Fstrong>を指します。\u003C\u002Fp>\u003Cp>令和6年度の実績（速報値）は、新医療機器の通常品目が80%タイル値で11.7か月、改良医療機器（臨床あり）が60%タイル値で8.9か月、同（臨床なし）が6.0か月、後発医療機器が3.8か月で、いずれの区分も目標値を達成しています（PMDA「医療機器にかかるPMDAの取組」2025年6月4日）。ただしこれはタイル値であり、\u003Cstrong>一定割合の品目はこの期間を超えます\u003C\u002Fstrong>。照会事項が多い品目ほど申請者側の期間が伸びるため、開発計画では実績値に余裕を持たせて逆算してください。\u003C\u002Fp>\u003Cp>審査手数料は申請区分ごとに定められ、改定されることがあります。金額はPMDAの「審査等手数料・対面助言等の手数料について」で最新版を確認してください。\u003C\u002Fp>\u003Ch3 id=\"h2d6110a34b\">どのルートでも前提になる業許可と製造業登録\u003C\u002Fh3>\u003Cp>品目の届出・認証・承認は、いずれも\u003Cstrong>製造販売業許可を持っていることが前提\u003C\u002Fstrong>です。医療機器の製造販売業許可は、取り扱う最上位のクラスに応じて第一種（高度管理医療機器）・第二種（管理医療機器）・第三種（一般医療機器）に分かれます（薬機法第23条の2第1項）。上位の許可は下位の許可を包含するため、第一種を持っていれば第二種・第三種の許可を受けたものとみなされます（同法施行令第37条の6）。\u003C\u002Fp>\u003Cp>許可権者は法文上は厚生労働大臣ですが、施行令第80条第3項第1号により、実際には医療機器等総括製造販売責任者が業務を行う事務所の所在地の都道府県知事が行います。有効期間は5年で更新が必要です（薬機法第23条の2第4項、施行令第36条）。設計・組立て・滅菌等を行う製造所は、製造業の登録も必要で、こちらも5年ごとの更新です（薬機法第23条の2の3第1項・第3項、施行令第37条の7）。業許可と製造業登録の要件は\u003Ca href=\"\u002Fblogs\u002Fmanufacturing-license\">製造販売業・製造業の解説記事\u003C\u002Fa>で詳しく整理しています。\u003C\u002Fp>\u003Ch2 id=\"h1debf42cc8\">登録認証機関の選び方と認証申請の進め方\u003C\u002Fh2>\u003Cp>登録認証機関は、厚生労働大臣の登録を受けて基準適合性認証を行う第三者機関です（薬機法第23条の6第1項）。機関数は増減があり、認証業務から撤退した事例も報告されているため、現在の登録機関と各機関の認証範囲は、厚生労働省が公表する一覧で必ず確認してください。\u003Cstrong>重要なのは、機関ごとに認証できる医療機器の範囲（認証範囲）が異なる点です\u003C\u002Fstrong>。すべての医療機器を認証できる機関もあれば、限られた分野のみを扱う機関もあるため、まず自社製品の一般的名称が対象に含まれているかを確認します。\u003C\u002Fp>\u003Cp>登録の要件は薬機法第23条の7に定められており、ISO\u002FIEC が定める製品認証機関の基準および品質マネジメントシステム審査機関の基準への適合と、被審査者からの独立性が求められます。\u003Cstrong>登録は3年ごとの更新制\u003C\u002Fstrong>です（薬機法第23条の6第3項）。製造販売業許可・製造業登録・QMS適合性調査がいずれも\u003Cstrong>5年周期\u003C\u002Fstrong>であるのに対し、登録認証機関の登録だけが\u003Cstrong>3年周期\u003C\u002Fstrong>になっています。\u003C\u002Fp>\u003Cp>なお、機関の登録とは別に、\u003Cstrong>品目の認証も取消しの対象\u003C\u002Fstrong>です。認証を受けた医療機器が認証基準に適合しなくなるなど、薬機法第23条の2の23第2項各号に該当するに至ったときは、認証を与えた登録認証機関がその認証を取り消します。\u003C\u002Fp>\u003Cp>組織としてのISO認証取得プロセスとの違いは、\u003Ca href=\"\u002Fblogs\u002Fthird-party-verification\">外部認証取得の実務を解説した記事\u003C\u002Fa>も参考になります。\u003C\u002Fp>\u003Ch3 id=\"h4cc4e61d0c\">認証範囲・審査体制・スケジュールで選ぶ\u003C\u002Fh3>\u003Cul>\u003Cli>\u003Cstrong>認証範囲\u003C\u002Fstrong>：厚生労働省が公表する認証範囲一覧で、自社製品の一般的名称が対象かを確認する\u003C\u002Fli>\u003Cli>\u003Cstrong>QMS適合性調査の体制\u003C\u002Fstrong>：製品審査とQMS適合性調査を同一機関で受けられるか、海外製造所への実地調査に対応できるか\u003C\u002Fli>\u003Cli>\u003Cstrong>スケジュールと料金体系\u003C\u002Fstrong>：標準的な処理期間、照会対応の回数と追加費用の有無、認証後のサーベイランス費用\u003C\u002Fli>\u003Cli>\u003Cstrong>コミュニケーション\u003C\u002Fstrong>：照会事項のやり取りの速さ、英語対応の要否\u003C\u002Fli>\u003C\u002Ful>\u003Cp>審査期間と費用は機関・品目によって幅があるため、複数機関から見積りと標準処理期間を取り、比較してから決めることをおすすめします。\u003C\u002Fp>\u003Ch3 id=\"h79a1de30a6\">認証申請の流れ\u003C\u002Fh3>\u003Col>\u003Cli>一般的名称と認証基準を確定し、認証範囲に対応する登録認証機関を選定する\u003C\u002Fli>\u003Cli>認証機関に事前相談し、必要な資料と試験項目を確認する\u003C\u002Fli>\u003Cli>認証基準が指定する技術基準（JIS等）への適合性試験を実施する\u003C\u002Fli>\u003Cli>認証申請書と添付資料を提出する（薬機法第23条の2の23第3項）\u003C\u002Fli>\u003Cli>製品審査とQMS適合性調査を受ける（同条第4項）\u003C\u002Fli>\u003Cli>認証を取得し、製造販売を開始する\u003C\u002Fli>\u003C\u002Fol>\u003Cp>技術基準への適合性試験は外部試験機関に委託することが多く、ここが全体の律速になりやすい工程です。試験の枠取りを含めて逆算したスケジュールを組んでください。\u003C\u002Fp>\u003Ch2 id=\"h37a0e74d93\">申請前に固めるQMS体制｜QMS適合性調査は申請とセットで走ります\u003C\u002Fh2>\u003Cp>認証・承認のどちらのルートでも、製品そのものの審査と並行して\u003Cstrong>QMS適合性調査を受ける必要があります\u003C\u002Fstrong>。承認では厚生労働大臣（実務上はPMDA）の書面調査または実地調査を（薬機法第23条の2の5第6項）、認証では登録認証機関の調査を受けます（同法第23条の2の23第4項）。調査で確認されるのは、QMS省令（医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令／平成16年厚生労働省令第169号）への適合状況です。\u003C\u002Fp>\u003Cp>つまり、製品が完成していてもQMSが構築・運用されていなければ、申請は前に進みません。QMS適合性調査の全体像は\u003Ca href=\"\u002Fblogs\u002Fqms-assesment\">QMS適合性調査の解説記事\u003C\u002Fa>で確認できます。\u003C\u002Fp>\u003Ch3 id=\"h312b10b7ba\">調査は5年ごとに繰り返されます\u003C\u002Fh3>\u003Cp>QMS適合性調査は、初回の認証・承認時だけの通過儀礼ではありません。承認品目は承認取得後5年ごと（薬機法第23条の2の5第6項、施行令第37条の21）、認証品目は認証取得後5年ごと（同法第23条の2の23第4項、施行令第39条）に、定期的な調査を受けなければなりません。\u003Cstrong>一度きりの対応として体制を組むと、5年後に同じ苦労を繰り返す\u003C\u002Fstrong>ことになります。\u003C\u002Fp>\u003Ch3 id=\"h4ff36712e4\">基準適合証があれば調査を省略できる場合があります\u003C\u002Fh3>\u003Cp>すでに基準適合証（薬機法第23条の2の6第1項、認証側は第23条の2の24第1項）の交付を受けており、製品群・製造所などの要件を満たす場合は、調査を受けることを要しないとされています（第23条の2の5第7項、第23条の2の23第4項）。複数品目を継続的に申請していく計画があるなら、基準適合証の対象範囲を意識した製造所・製品群の設計が、後続品目の負担を大きく左右します。\u003C\u002Fp>\u003Ch3 id=\"hd8ab4a02f4\">申請前QMS体制チェックリスト\u003C\u002Fh3>\u003Cul>\u003Cli>[ ] 製造販売業許可（取り扱うクラスに対応した種類）を取得している\u003C\u002Fli>\u003Cli>[ ] 設計・組立て・滅菌等を行う製造所が製造業の登録を受けている\u003C\u002Fli>\u003Cli>[ ] 品質マニュアルおよびQMS省令が求める手順書を整備している\u003C\u002Fli>\u003Cli>[ ] 設計開発の記録（設計移管・設計検証・設計妥当性確認）が追跡できる状態にある\u003C\u002Fli>\u003Cli>[ ] リスクマネジメント（ISO 14971）の記録が設計開発の記録と紐づいている\u003C\u002Fli>\u003Cli>[ ] 供給者管理・購買記録が整備されている\u003C\u002Fli>\u003Cli>[ ] 内部監査とマネジメントレビューを少なくとも1サイクル実施している\u003C\u002Fli>\u003Cli>[ ] 文書の版管理・承認履歴・廃止文書の識別が運用されている（QMS省令第8条第2項）\u003C\u002Fli>\u003Cli>[ ] 調査で提示を求められる記録を、保管期間を満たす形で保管している\u003C\u002Fli>\u003C\u002Ful>\u003Cp>どの手順書と記録が必要かの全体像は、\u003Ca href=\"\u002Fblogs\u002Fqms-required-documents\">QMS必須文書リストの記事\u003C\u002Fa>にまとめています。\u003C\u002Fp>\u003Cp>申請準備の段階で負荷が集中しやすいのが、この文書と記録の整備です。版管理・承認履歴・教育訓練記録の紐付けを紙やファイルサーバーで運用していると、QMS省令第8条第2項が求める「改訂状況の識別」や「廃止文書の識別」が属人的になり、調査当日に必要な記録を取り出せないという事態が起こりがちです。医療機器QMSに特化した電子QMS（eQMS）であれば、版管理・承認履歴・監査証跡が標準機能として備わり、初回の適合性調査だけでなく5年ごとの定期調査にも同じ運用のまま対応できます。QMSmartのような医療機器向けeQMSは、申請前のQMS体制構築の土台としても検討する価値があります。\u003C\u002Fp>\u003Ch2 id=\"h08562665f0\">よくある質問\u003C\u002Fh2>\u003Ch3 id=\"h27f6aa581c\">医療機器の「認証」と「承認」はどう違いますか？\u003C\u002Fh3>\u003Cp>審査する主体が違います。認証は厚生労働大臣の登録を受けた民間の登録認証機関が、あらかじめ定められた認証基準への適合性を審査するもので（薬機法第23条の2の23第1項）、承認は厚生労働大臣がPMDAの審査を経て品質・有効性・安全性を個別に評価するものです（同法第23条の2の5第1項）。認証は「決められた基準に合っているか」の確認、承認は「その製品の有効性と安全性が妥当か」の個別評価、と整理すると分かりやすくなります。\u003C\u002Fp>\u003Ch3 id=\"h5fd7a65509\">クラスIIの医療機器は必ず認証ですか？\u003C\u002Fh3>\u003Cp>いいえ、必ずしも認証ではありません。認証の対象は「厚生労働大臣が基準を定めて指定する」管理医療機器・高度管理医療機器に限られるため（薬機法第23条の2の23第1項）、認証基準が定められていないクラスIIの品目は承認申請の対象になります。逆にクラスIIIでも、認証基準が定められた指定高度管理医療機器であれば認証で足ります。\u003C\u002Fp>\u003Ch3 id=\"h05c63f10f1\">自社製品のクラス分類はどこで調べられますか？\u003C\u002Fh3>\u003Cp>PMDAの「医療機器基準等情報提供ホームページ」（https:\u002F\u002Fwww.std.pmda.go.jp\u002FstdDB\u002F ）で、一般的名称・JMDNコードから検索できます。まず自社製品の使用目的・適用部位・作用原理を整理し、該当する一般的名称の定義文と突き合わせてください。該当する一般的名称が見つからない場合は、PMDAの相談制度（医療機器該当性・一般的名称に関する相談）を利用します。都道府県の薬務主管課は業許可・製造業登録の窓口であり、品目のクラス判定を決定する権限はありません。\u003C\u002Fp>\u003Ch3 id=\"h60473ebfda\">一般医療機器（クラスI）の製造販売届出はどこに提出しますか？\u003C\u002Fh3>\u003Cp>PMDA（独立行政法人医薬品医療機器総合機構）が受理します。薬機法第23条の2の12第1項は届出先を厚生労働大臣と定めていますが、同法第23条の2の13第1項および施行令第37条の38により、機構が届出を受理することとされています。都道府県知事が窓口となるのは製造販売業許可と製造業登録であり、品目ごとの届出とは手続きの層が異なります。\u003C\u002Fp>\u003Ch3 id=\"h6978f7253e\">認証・承認の取得にはどのくらいの期間がかかりますか？\u003C\u002Fh3>\u003Cp>承認については、2008年に厚生労働省が設定した「医療機器の審査迅速化アクションプログラム」に基づく目安をPMDAが公表しており、新医療機器12か月（優先審査品目9か月）、改良医療機器は臨床データありで9か月・臨床データなしで6か月、後発医療機器4か月とされています（PMDA「承認について（大臣承認）」2026年8月時点）。ただしこれは2008年設定の目安で、PMDAが中期計画で掲げる総審査期間の目標値（新医療機器の通常品目14か月など）とは別のものです。PMDAのいう総審査期間は照会対応の期間も含む申請から承認までの全期間を指し、令和6年度は新医療機器の通常品目が80%タイル値で11.7か月と目標を達成しています。ただしタイル値のため、一定割合の品目はこの期間を超えます。認証の期間は登録認証機関と品目により幅があるため、選定時に各機関の標準的な処理期間を確認してください。\u003C\u002Fp>\u003Ch3 id=\"h2ec7fb375f\">認証・承認の申請にQMS適合性調査は必ず必要ですか？\u003C\u002Fh3>\u003Cp>必要です。承認では薬機法第23条の2の5第6項、認証では同法第23条の2の23第4項により、申請時および取得後5年ごとの調査が義務づけられています。ただし、すでに交付を受けている基準適合証の範囲に該当するなど一定の要件を満たす場合は、調査を要しないとされる規定があります（第23条の2の5第7項、第23条の2の23第5項）。届出（一般医療機器）には品目ごとのQMS適合性調査はありませんが、QMS省令の適用自体は受けます（第4条第1項により設計開発に関する第30条から第36条の2までが適用されないほか、限定一般医療機器のみを製造販売する事業者には条ごとの特則があります）。\u003C\u002Fp>\u003Ch3 id=\"h8da0eb4067\">認証や承認を取得したあと、製品を変更したらどうなりますか？\u003C\u002Fh3>\u003Cp>変更の内容に応じて手続きが変わります。承認事項の変更は一部変更承認または軽微変更届、認証事項の変更は認証事項一部変更認証または軽微変更届で対応します。届出品目については、届け出た事項を変更したときは30日以内に変更の届出が必要です（薬機法第23条の2の12第2項）。なお、製造管理・品質管理の方法に影響を与えない一部変更については、QMS適合性調査が適用されない場合があります（施行令第37条の25）。\u003C\u002Fp>\u003Ch2 id=\"ha214098e44\">まとめ\u003C\u002Fh2>\u003Cul>\u003Cli>医療機器の申請ルートは、\u003Cstrong>クラス分類\u003C\u002Fstrong>と\u003Cstrong>認証基準の有無\u003C\u002Fstrong>の2つで決まります。クラスIIが必ず認証、クラスIIIが必ず承認ではありません\u003C\u002Fli>\u003Cli>クラス分類は製品名からではなく、\u003Cstrong>一般的名称（JMDNコード）から特定\u003C\u002Fstrong>します。PMDA 医療機器基準等情報提供ホームページで検索できます\u003C\u002Fli>\u003Cli>届出はPMDAが受理し審査はありません。認証は登録認証機関、承認は厚生労働大臣（審査はPMDA）が担当します。\u003Cstrong>一般医療機器の届出先を都道府県と誤認しない\u003C\u002Fstrong>でください\u003C\u002Fli>\u003Cli>認証・承認にはQMS適合性調査が必須で、初回だけでなく\u003Cstrong>5年ごとに繰り返し\u003C\u002Fstrong>ます。基準適合証による省略規定もあります\u003C\u002Fli>\u003Cli>品目の申請の前提として、製造販売業許可（第一種〜第三種）と製造所の製造業登録が必要です\u003C\u002Fli>\u003C\u002Ful>\u003Cp>申請ルートが確定したら、次はQMS体制の構築が実務の中心になります。文書管理・記録管理を電子化しておくと、初回の適合性調査だけでなく5年ごとの定期調査や複数品目の同時申請でも、同じ運用を再利用できます。\u003C\u002Fp>\u003Cp>\u003Cstrong>関連記事\u003C\u002Fstrong>\u003C\u002Fp>\u003Cul>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fabout-medical-device\">医療機器の定義と種類・各クラスの意味を解説\u003C\u002Fa> — クラス分類そのものの意味を確認したい方へ\u003C\u002Fli>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fmanufacturing-license\">医療機器の製造販売業・製造業とは？\u003C\u002Fa> — 品目申請の前提となる業許可・製造業登録\u003C\u002Fli>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fqms-assesment\">QMS適合性調査とは？\u003C\u002Fa> — 認証・承認とセットで受ける調査の全体像\u003C\u002Fli>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fthird-party-verification\">外部認証取得の全プロセス\u003C\u002Fa> — 第三者認証の実務\u003C\u002Fli>\u003Cli>\u003Ca href=\"\u002Fblogs\u002Fqms-required-documents\">医療機器QMS必須文書リスト\u003C\u002Fa> — 申請前に整える手順書と記録\u003C\u002Fli>\u003C\u002Ful>",{"url":125,"height":11,"width":12},"https:\u002F\u002Fimages.microcms-assets.io\u002Fassets\u002Ff66dcbcc145648f88aa317fc3a705f91\u002F070b29c24717487cb3e0a41fcebc3210\u002Fclass.webp","医療機器の認証・承認・届出はクラス分類で決まります。一般的名称（JMDNコード）からクラスを判定する手順、認証基準の有無で認証と承認が分かれる仕組み、提出先と審査期間、QMS適合性調査の要否までを薬機法の条文根拠つきで整理します。",{"id":15,"createdAt":16,"updatedAt":17,"publishedAt":16,"revisedAt":17,"name":18,"image":128,"profile":23,"subtitle":24,"profile_url":25,"profile_sameas_url":26},{"url":20,"height":21,"width":22},[130,131,132],{"id":29,"createdAt":30,"updatedAt":30,"publishedAt":30,"revisedAt":30,"name":31},{"id":33,"createdAt":34,"updatedAt":34,"publishedAt":34,"revisedAt":34,"name":35},{"id":115,"createdAt":116,"updatedAt":116,"publishedAt":116,"revisedAt":116,"name":117},{"id":94,"createdAt":134,"updatedAt":135,"publishedAt":136,"revisedAt":135,"title":137,"content":138,"eyecatch":139,"description":141,"reviewer":142,"category":144},"2026-08-26T03:30:58.671Z","2026-08-26T09:15:59.193Z","2026-08-26T05:57:13.386Z","データインテグリティとは？医療機器QMSの実務対応","\u003Cp>データインテグリティ（Data Integrity、DI）は製薬業界のGMPで語られることが多い概念ですが、医療機器メーカーにとっても他人事ではありません。医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令（平成16年厚生労働省令第169号。以下「QMS省令」）第9条第2項は記録の「完全性の確保」を求めており、その施行通知はこれを明確に「データインテグリティ」と呼んでいます。本記事では、ALCOA+の9原則を医療機器QMSの記録に当てはめながら、日本の法令上どこまでが義務なのか、紙やExcelの運用で何が問題になるのか、監査証跡をどう設計するのかを整理します。QMS適合性調査やISO 13485審査を控えた品質保証部の担当者が自社の記録管理を点検できるよう、セルフチェックリストも用意しました。\u003C\u002Fp>\u003Ch2 id=\"hf96ecf36e9\">データインテグリティとは？医療機器メーカーが押さえるべき結論\u003C\u002Fh2>\u003Cp>データインテグリティとは、データが生成されてから廃棄されるまでのライフサイクル全体を通じて、完全かつ一貫性があり、正確で信頼できる状態が保たれていることを指します。医療機器メーカーにとってこれは努力目標ではなく、QMS省令第9条第2項に基づく法的な要求事項です。\u003C\u002Fp>\u003Cp>本記事の結論を先に3点で示します。\u003C\u002Fp>\u003Col>\u003Cli>\u003Cstrong>国際的な判断基準はALCOA+の9原則です。\u003C\u002Fstrong> Attributable（帰属性）、Legible（判読性）、Contemporaneous（同時性）、Original（原本性）、Accurate（正確性）の5原則に、Complete（完全性）、Consistent（一貫性）、Enduring（耐久性）、Available（可用性）の4原則を加えたものです。\u003C\u002Fli>\u003Cli>\u003Cstrong>日本の医療機器メーカーにとっては法的義務です。\u003C\u002Fstrong> QMS省令第9条第2項が記録の「完全性の確保」を明文で求めており、その解釈を示す施行通知はこれを「データインテグリティ」と呼んでいます。GMPの話だから自社には関係ない、という理解は誤りです。\u003C\u002Fli>\u003Cli>\u003Cstrong>紙でもExcelでも要求水準は同じです。\u003C\u002Fstrong> ただし「誰が・いつ・何を・なぜ変更したか」を後から証明する監査証跡の要求を、紙とExcelだけで満たすのは運用負荷の面で現実的に困難です。\u003C\u002Fli>\u003C\u002Fol>\u003Cp>データインテグリティという言葉に馴染みがなくても、実質的にはすでに取り組んでいるはずです。記録に日付と署名を入れる、訂正するときは二重線を引いて訂正印を押す、記録を施錠した書庫に保管する。これらはすべてデータインテグリティの実践です。本記事が扱うのは、その延長線上にある「電子的な記録をどう扱うか」という論点です。QMS省令の全体像から確認したい方は\u003Ca href=\"\u002Fblogs\u002Fabout-qms\">医療機器QMS・品質保証（QA）とは？\u003C\u002Fa>もあわせてご覧ください。\u003C\u002Fp>\u003Ch2 id=\"h4df0b35d4f\">ALCOA+（アルコアプラス）の9原則と医療機器QMSでの具体例\u003C\u002Fh2>\u003Cp>ALCOA+とは、記録が信頼できるかどうかを判断するための9つの原則です。Attributable、Legible、Contemporaneous、Original、Accurateの頭文字をとったALCOAの5原則に、Complete、Consistent、Enduring、Availableの4原則を「+」として加えた枠組みで、GxP領域の査察・監査で共通の判断軸として使われています。\u003C\u002Fp>\u003Ch3 id=\"h2981dad446\">9原則を医療機器QMSの記録に当てはめる\u003C\u002Fh3>\u003Cp>抽象的な原則のままでは実務に落ちません。QMS省令が作成・保管を求める記録に当てはめると、次のようになります。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>原則\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>分類\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>意味\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>医療機器QMSでの具体例\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Attributable\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ALCOA\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>誰が行ったか特定できる\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>設計開発照査の議事録に出席者と承認者が記名されている。試験検査の記録に実施者の署名がある\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Legible\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ALCOA\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>判読できる・恒久的である\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>鉛筆や消えるボールペンを使わない。スキャンした苦情記録の文字が判読できる\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Contemporaneous\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ALCOA\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>行為と同時に記録する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>製造ロット記録を作業終了後にまとめて清書せず、工程ごとにその場で記入する\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Original\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ALCOA\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>原記録またはその真正な写し\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>測定機器から出力された生データを保持する。転記した数値だけを残さない\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Accurate\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>ALCOA\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>正確で誤りがない\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>校正記録の測定値が機器の出力と一致している。単位や桁の誤りがない\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Complete\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>+\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>欠落がない\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>再測定を行った場合、初回の測定データも理由とともに残す\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Consistent\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>+\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>時系列・形式が一貫している\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>内部監査記録の日付が監査計画と矛盾しない。ページ番号が連続している\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Enduring\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>+\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>保管期間を通じて残る\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>保管期限まで媒体が劣化せず、バックアップが取得されている\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Available\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>+\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>必要時に取り出せる\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>適合性調査で求められた記録を、その場で検索して提示できる\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>この表を自社の記録一覧と突き合わせると、どの原則が弱いかが見えてきます。多くの企業でつまずくのはAttributableとCompleteです。\u003C\u002Fp>\u003Ch3 id=\"h36032d15be\">ALCOA+はどこで定義された枠組みか\u003C\u002Fh3>\u003Cp>ALCOA+は単一の法令や規格に定義された用語ではなく、複数の規制当局のガイダンスを通じて実務上定着してきた枠組みです。代表的なものとして、英国MHRAが2018年に公表した「GXP」Data Integrity Guidance and Definitions、およびPIC\u002FSが2021年7月に発効させたPI 041-1（Good Practices for Data Management and Integrity in Regulated GMP\u002FGDP Environments）が挙げられます。\u003C\u002Fp>\u003Cp>略号の使い分けについては、注意点が1つあります。米国FDAの「Data Integrity and Compliance With Drug CGMP: Questions and Answers」（Guidance for Industry、2018年12月）では「ALCOA」の語が用いられ、「+」を付した9原則という整理は採られていません。さらにMHRAのガイダンス自身も、本文では「ALCOA+」ではなく「ALCOA」の略号を用いると述べたうえで、\u003Cstrong>どちらの略号を使っても期待される水準に違いはない\u003C\u002Fstrong>としています（同ガイダンス3.10）。\u003C\u002Fp>\u003Cp>つまり「ALCOA+でなければならない」という規制上の要求はありません。9つの属性が確保されていれば、社内でどちらの呼び方を使っても差し支えないと理解してください。\u003C\u002Fp>\u003Ch2 id=\"he16c4f34fa\">日本の医療機器メーカーにDI対応は義務か — QMS省令の条文根拠\u003C\u002Fh2>\u003Cp>日本の医療機器メーカーにとって、データインテグリティへの対応は法的義務です。根拠はQMS省令第9条第2項であり、その解釈を示す施行通知が明示的に「データインテグリティ」という語を用いています。\u003C\u002Fp>\u003Cp>日本語のデータインテグリティ解説の多くは製薬・GMPの文脈で書かれているため、医療機器メーカーの担当者が自社に関係があるのかを判断しにくい状況にあります。ここでは条文レベルで整理します。\u003C\u002Fp>\u003Ch3 id=\"h94dae8faab\">QMS省令第9条第2項 — 完全性の確保がDIの直接の根拠\u003C\u002Fh3>\u003Cp>QMS省令第9条（記録の管理）第2項は、次のように定めています。\u003C\u002Fp>\u003Cblockquote>\u003Cp>製造販売業者等は、前項の記録の識別、保管、セキュリティ確保（当該記録について、漏えい、滅失又は毀損の防止その他安全管理を行うことをいう。）、完全性の確保（当該記録が正確であり、記録が作成された時点から不適切な改変がない状態を保つことをいう。）、検索、保管期間及び廃棄についての所要の管理方法に関する手順を文書化しなければならない。\u003C\u002Fp>\u003C\u002Fblockquote>\u003Cp>注目すべきは「完全性の確保」の定義部分です。「記録が正確であり、記録が作成された時点から不適切な改変がない状態を保つこと」は、ALCOA+のAccurate（正確性）・Original（原本性）・Complete（完全性）が求める内容と重なります。特に「作成された時点から」という起点の置き方は、記録が作成された後の改変を追跡・防止せよという要求であり、後述する監査証跡の直接の根拠になります。この規定は令和3年の改正で追加されました。なお同条第3項では、医療機器等の使用によって得られた個人情報の適正管理も求められています。苦情処理や設計開発で患者情報を扱う場合は、この規定もあわせて確認してください。\u003C\u002Fp>\u003Ch3 id=\"hd1b4cbf6ec\">施行通知はこれを「データインテグリティ」と呼んでいる\u003C\u002Fh3>\u003Cp>QMS省令の解釈を示す施行通知（令和3年3月26日付薬生監麻発0326第4号。令和7年1月31日一部改正。以下「施行通知」）の「15．第9条関係（3）」は、次のように記載しています。\u003C\u002Fp>\u003Cblockquote>\u003Cp>第２項のセキュリティ、完全性の確保（データインテグリティ）に関する手順とは、例えば、記録の一貫性が分かるよう日付及びページ番号等を付与すること、記録を修正した場合に修正箇所等が分かるように修正すること、意図していないアクセスから制限すること等が考えられること。\u003C\u002Fp>\u003C\u002Fblockquote>\u003Cp>厚生労働省の通知がQMS省令第9条第2項の要求を「データインテグリティ」と明記している事実は、実務上大きな意味を持ちます。義務の根拠そのものは条文である第9条第2項ですが、条文に「データインテグリティ」という語は出てきません。社内でDI対応の必要性を説明する際は、条文と通知をセットで示すのが最も伝わりやすい形になります。\u003C\u002Fp>\u003Cp>ここで挙げられた3つの具体策は、通知の文言どおり「例えば〜等が考えられること」という\u003Cstrong>例示\u003C\u002Fstrong>であり、この3つだけを行えば足りるというものでも、これ以外は不要というものでもありません。ただし実装の指針としては有用です。「日付及びページ番号等の付与」は一貫性の担保、「修正箇所等が分かるように修正すること」は監査証跡、「意図していないアクセスから制限すること」はアクセス権限に対応します。\u003C\u002Fp>\u003Ch3 id=\"h21287875c1\">文書の劣化防止（第8条第2項第7号）とソフトウェアのバリデーション（第5条の6）\u003C\u002Fh3>\u003Cp>記録だけでなく、品質管理監督文書についても同様の要求があります。QMS省令第8条第2項第7号は「品質管理監督文書の劣化又は紛失を防止すること」を求めており、施行通知「14．第8条関係（8）」はこの号について、保管方法（鍵のついた所定の棚での保管、ファイリングの方法等）を定めることや、「文書を電磁的に管理する場合にはそのバックアップ等必要な管理方法を定めること」等が考えられる、としています。ここで注意したいのは、法的な義務は第8条第2項柱書と第7号が求める「劣化又は紛失を防止する管理方法を手順書に記載すること」であって、バックアップはその具体策として通知が挙げた例示だという点です。とはいえ電子化を選ぶのであれば、劣化・紛失防止の実装としてバックアップの方法を手順書に落とすのが現実的な解になります。文書管理の要求事項全般は\u003Ca href=\"\u002Fblogs\u002Fdocument-management\">QMSの文書管理システムとは？\u003C\u002Fa>で解説しています。\u003C\u002Fp>\u003Cp>もう一つ見落とされやすいのが、QMS省令第5条の6（ソフトウェアの使用）第1項です。品質管理監督システムにソフトウェアを使用する場合、その適用に係るバリデーションについて手順を文書化しなければならないと定めています（限定一般医療機器のみを製造販売する限定第三種医療機器製造販売業者は、この条の適用から除かれます）。施行通知「14．第8条関係（3）」はQMS省令第2章が文書化を要求する手順を32件列挙していますが、その1件目がこの規定であり、ISO 13485:2016の4.1.6に対応することが示されています。\u003C\u002Fp>\u003Cp>対象範囲は施行通知「10．第5条の6関係（2）」で例示されており、基幹系情報システム（ERP・MES）、文書・記録の管理システム、CAD、苦情・不適合・是正措置および予防措置の管理システムが挙げられています。経理処理や事務処理に使用するソフトウェア等、医療機器の品質・安全性・有効性に影響しないものは対象外です。バリデーションの深さも一律ではなく、施行通知「10．第5条の6関係（5）」はソフトウェアの使用によるリスクに応じて管理の程度を定める趣旨であるとし、適用のバリデーションにISO\u002FTR 80002-2を参照できることを示しています。\u003C\u002Fp>\u003Cp>なお、記録や文書を電磁的に管理する具体的方法については、施行通知「14．第8条関係（9）」が「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」（平成17年4月1日付薬食発第0401022号 厚生労働省医薬食品局長通知）、いわゆるER\u002FES指針を参照することが望ましいとしています。指針の内容と最新規制との関係は\u003Ca href=\"\u002Fblogs\u002Fsoftware-validation-guide\">医療機器QMSソフトウェアバリデーション実践ガイド 〜ER\u002FES指針と最新規制の統合解説〜\u003C\u002Fa>で扱っています。\u003C\u002Fp>\u003Ch3 id=\"hd6622fc2b2\">製薬GMPとの違いは「規定の建て付け」と「保管期限の長さ」\u003C\u002Fh3>\u003Cp>要求される中身はほぼ同じですが、規定の建て付けが異なります。製薬GMPでは、改正GMP省令（令和3年8月1日施行）第8条第2項が、医薬品製品標準書・手順書・記録について「その信頼性を継続的に確保するため」の事項を文書化するよう求め、第20条第2項が、あらかじめ指定した者に、①手順書等・記録に欠落がないこと、②作成された内容が正確であること、③他の手順書等・記録との不整合がないことを、それぞれ継続的に管理させることを義務づけています。この3点はPIC\u002FSのPI 041におけるデータインテグリティの定義をもとに作成されたもので、Complete（完全性）・Accurate（正確性）・Consistent（一貫性）に対応します。GMP省令の逐条解説（令和3年4月28日付薬生監麻発0428第2号）も、この規定がデータインテグリティの確保に関するものであることを明示しています。\u003C\u002Fp>\u003Cp>医療機器のQMS省令は、これを第9条第2項において「完全性の確保」という定義と手順の文書化という形でまとめており、GMPのように担当者の指定までは求めていません。どちらが厳格かという話ではなく、GMPは「\u003Cstrong>誰が何を継続的に管理するか\u003C\u002Fstrong>」を、QMS省令は「\u003Cstrong>どのような管理方法を手順書に定めるか\u003C\u002Fstrong>」を\u003Cstrong>書き分けている、と理解するのが正確\u003C\u002Fstrong>です。なお、条文そのものに「データインテグリティ」「ALCOA+」という語が現れない点は両省令に共通で、いずれも施行通知（逐条解説）がその語を当てています。\u003C\u002Fp>\u003Cp>医療機器固有の論点は保管期限の長さです。QMS省令第67条（品質管理監督文書の保管期限）および第68条（記録の保管期限）は、次の期間を定めています。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>対象\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>特定保守管理医療機器に係る製品\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>それ以外の医療機器等に係る製品\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>起算点\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>品質管理監督文書（第67条）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>15年（有効期間＋1年が15年より長い場合はその期間）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5年（有効期間＋1年が5年より長い場合はその期間）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>廃止の日から\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>記録（第68条）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>15年（同上）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>5年（同上）\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>作成の日から\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>いずれも教育訓練に係るものは5年間です。なお第67条第1項ただし書により、製品の製造又は試験検査に用いた品質管理監督文書については、第68条に規定する期間、当該文書が利用できるように保管することで足りるとされています。\u003C\u002Fp>\u003Cp>ここで効いてくるのがEnduring（耐久性）とAvailable（可用性）です。15年後にその記録を読み出して提示できるでしょうか。当時のファイル形式が読めるか、外付けHDDが生きているか、担当者しか場所を知らないフォルダが残っているか。保管期限が長い医療機器業界では、この論点が製薬以上に重くのしかかります。\u003C\u002Fp>\u003Ch2 id=\"hb8b3ff6b58\">紙・Excel運用に潜むDIリスクと典型的な指摘パターン\u003C\u002Fh2>\u003Cp>紙とExcelでの記録管理は違法ではありませんが、ALCOA+の観点で穴が生じやすい運用です。ここでは指摘を受けやすいパターンを、違反する原則とあわせて整理します。\u003C\u002Fp>\u003Ctable>\u003Ctbody>\u003Ctr>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>典型的な運用\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>何が問題か\u003C\u002Fp>\u003C\u002Fth>\u003Cth colspan=\"1\" rowspan=\"1\">\u003Cp>違反する原則\u003C\u002Fp>\u003C\u002Fth>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>作業後にまとめて記録を清書する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>行為と記録の時点がずれ、事後の再構成であることが疑われる\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Contemporaneous\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>鉛筆や消えるボールペンで記入する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>記録が改変可能な状態にあり、原本として扱えない\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Legible \u002F Original\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>修正液や塗りつぶしで訂正する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>修正前の値が失われ、訂正の履歴が追えない\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Original \u002F Complete\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>共有アカウントでExcelを編集する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>誰が入力・変更したかを特定できない\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Attributable\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>共有フォルダに「最新版」「最新版2」が並ぶ\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>最新版が判別できず、廃止版が使われるおそれがある\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Consistent\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>測定をやり直し、良い結果だけを残す\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>初回データが欠落する。意図的であれば重大な逸脱として扱われる\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Complete \u002F Accurate\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>バックアップを取得していない\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>媒体の故障やPCの入れ替えで記録が消失する\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Enduring\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>退職者のPCやローカルフォルダに記録が残る\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>保管場所が管理されず、必要時に取り出せない\u003C\u002Fp>\u003C\u002Ftd>\u003Ctd colspan=\"1\" rowspan=\"1\">\u003Cp>Available\u003C\u002Fp>\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\u003Cp>Excelそのものが禁止されているわけではありません。問題は、標準的なExcelファイルには変更履歴を強制的に残す仕組みがなく、誰がいつどのセルを書き換えたかを事後に証明できない点にあります。さらにExcelマクロ等を品質管理監督システムの一部として使う場合は、第5条の6に基づき自社でバリデーションの手順を文書化し、実施・記録する責任が生じます。\u003C\u002Fp>\u003Ch2 id=\"hb26ceb39e7\">監査証跡・電子署名・版管理・アクセス権限 — DIを担保する4つの仕組み\u003C\u002Fh2>\u003Cp>データインテグリティを実際に担保するのは、監査証跡・電子署名・版管理・アクセス権限という4つの仕組みです。これらは施行通知「15．第9条関係（3）」が例示する具体策と、第8条第2項が求める文書管理の要求に、それぞれ対応しています。\u003C\u002Fp>\u003Ch3 id=\"h4a8791c28e\">監査証跡（audit trail）とは\u003C\u002Fh3>\u003Cp>監査証跡とは、記録に対して「誰が・いつ・何を・なぜ」変更したかを、変更前の値とともに時系列で自動的に残す仕組みです。オーディットトレイルとも呼ばれ、電子記録におけるデータインテグリティの中核をなします。\u003C\u002Fp>\u003Cp>ここでいう監査証跡は、医療機器QMSやGxP領域における記録の変更履歴を指します。会計監査やJ-SOX（内部統制報告制度）で使われる同名の用語や、データベースの操作ログ一般とは目的が異なるため、社内で議論する際は文脈を揃えておくと混乱を避けられます。\u003C\u002Fp>\u003Cp>紙の記録における監査証跡は、訂正時の二重線・訂正印・訂正日・訂正理由の記載です。電子記録では、これをシステムが自動的に記録します。電子記録については、PIC\u002FSのPI 041-1「9.6 Audit trails for computerised systems」が、電子記録の作成・変更・削除の日時を独立して記録する、セキュアでコンピュータが生成しタイムスタンプの付いた監査証跡をシステムが備えるべきとしており、手動で残す方式ではなくシステムによる自動生成が前提とされています。\u003C\u002Fp>\u003Cp>監査証跡が満たすALCOA+の原則は4つあります。変更者が特定できることでAttributable、変更時刻が自動記録されることでContemporaneous、変更前の値が保持されることでOriginal、変更の全履歴が欠落なく残ることでCompleteを担保します。逆にいえば、監査証跡のない電子記録は、これら4原則を同時に失っている状態です。日本の法令上の根拠は、QMS省令第9条第2項が求める「完全性の確保」＝「記録が作成された時点から不適切な改変がない状態を保つこと」です。施行通知「15．第9条関係（3）」は、その実装例として「記録を修正した場合に修正箇所等が分かるように修正すること」を挙げています。\u003C\u002Fp>\u003Cp>実務設計で決めるべき論点は4点あります。第1に監査証跡を取得する対象範囲、第2に監査証跡そのものの保管期間（QMS省令に監査証跡の保管期間を定めた規定はありませんが、監査証跡は記録と切り離せないメタデータであるため、第68条が定める記録の保管期限に合わせるのが実務上の基本です）、第3に誰がいつレビューするか、第4に監査証跡自体が改変されない仕組みになっているか。特に第3のレビュー運用は、仕組みを導入しただけで運用していない状態になりやすく、調査で確認されるポイントです。\u003C\u002Fp>\u003Ch3 id=\"hf3a2196cc4\">電子署名 — 責任の帰属を電子的に確定する\u003C\u002Fh3>\u003Cp>電子署名は、承認者が誰であるかを電子的に確定し、Attributableを担保する仕組みです。単なる氏名の入力欄ではなく、本人しか実行できない認証を伴っている必要があります。\u003C\u002Fp>\u003Cp>医薬品・医療機器分野における要件は前述のER\u002FES指針が示しています。同指針は電磁的記録について真正性・見読性・保存性の3要件を掲げたうえで、電子署名には「署名者の氏名」「署名が行われた日時」「署名の意味（作成、確認、承認等）」を含めることを求めています（同指針4.(3)）。「署名の意味」は「等」を付した例示ですので、作成・確認・承認の3種に限定する必要はなく、自社の承認フローに合わせて定義してかまいません。\u003C\u002Fp>\u003Ch3 id=\"hcf8c86a534\">版管理とアクセス権限\u003C\u002Fh3>\u003Cp>版管理はQMS省令第8条第2項が明文で求めている要件です。同項第3号は変更内容および最新の改訂状況が識別できるようにすること、第4号は改訂版を利用できるようにすること、第8号は廃止した文書が意図に反して使用されることを防止することを求めています。第8号は文書を保持する場合には廃止されたものであることが適切に識別できるようにしておくことも定めており、共有フォルダに旧版が残っている運用はこの識別が働いていない状態にあたります。\u003C\u002Fp>\u003Cp>アクセス権限の設定は、施行通知「15．第9条関係（3）」が例示する「意図していないアクセスから制限すること」に直接対応します。編集権限を業務上必要な範囲に限定するのが、この例示の中身です。加えて、権限の付与・変更・削除の履歴を残しておくと、調査で運用の実態を示しやすくなります（PIC\u002FS PI 041-1「9.5 System security for computerised systems」は、最小権限の原則と利用者権限の定期的なレビューを挙げています）。ここは法令上の要求ではなく実務上の備えとして押さえてください。よく問題になるのが、システム管理者が記録を直接編集でき、その操作が監査証跡に残らないケースです。管理者権限であっても記録の改変が追跡できる設計になっているかは、システム選定時に必ず確認してください。\u003C\u002Fp>\u003Cp>これら4つを紙やファイルサーバーの運用だけで成立させようとすると、変更履歴の手動記録、版の目視確認、フォルダ権限の個別設定といった作業が積み上がり、担当者の負荷と抜け漏れのリスクが同時に増えていきます。医療機器QMSに特化した電子QMS（eQMS）であれば、監査証跡・電子署名・版管理・アクセス権限が標準機能として備わるため、第9条第2項が求める記録の完全性の確保と、第8条第2項が求める文書管理の要件を、運用努力ではなく仕組みで満たすことができます。QMSmartはこれら4機能を標準で備えており、第5条の6が求めるソフトウェアの適用のバリデーションについても、導入時に必要な文書を整えられる構成になっています。導入の判断材料は\u003Ca href=\"\u002Fblogs\u002Feqms-introduction\">電子QMS導入のメリットと課題\u003C\u002Fa>にまとめています。\u003C\u002Fp>\u003Ch2 id=\"h0f8a882b77\">データインテグリティ対応の実務ステップとセルフチェックリスト\u003C\u002Fh2>\u003Cp>DI対応は、対象記録の棚卸しから始めて手順書への反映で完結させます。いきなりシステムを検討するのではなく、自社がどの記録を、どの媒体で、いつまで保管しているかを可視化するのが最初の一歩です。\u003C\u002Fp>\u003Ch3 id=\"h4fdc5295fb\">5つの実務ステップ\u003C\u002Fh3>\u003Col>\u003Cli>\u003Cstrong>対象記録を棚卸しする。\u003C\u002Fstrong> 施行通知「15．第9条関係（2）」は、QMS省令第9条第1項で作成・保管が求められる記録として47項目を列挙し、各項目にQMS省令の条番号とISO 13485:2016の箇条番号を対で記載しています。この一覧をそのまま棚卸しの出発点に使えます。必要な文書と記録の全体像は\u003Ca href=\"\u002Fblogs\u002Fqms-required-documents\">医療機器QMS必須文書リスト\u003C\u002Fa>も参考になります。\u003C\u002Fli>\u003Cli>\u003Cstrong>媒体・保管場所・保管期限をマッピングする。\u003C\u002Fstrong> 記録ごとに媒体（紙／PDF／システム内）、保管場所、保管期限、責任部門を一覧化し、第67条・第68条の期限まで判読性と可用性が保てるかを媒体ごとに評価します。\u003C\u002Fli>\u003Cli>\u003Cstrong>手順書に反映する。\u003C\u002Fstrong> 第9条第2項が求めているのは「手順を文書化」することです。識別、保管、セキュリティ確保、完全性の確保、検索、保管期間、廃棄の7項目について管理方法を落とし込みます。\u003C\u002Fli>\u003Cli>\u003Cstrong>ソフトウェアを使う場合はバリデーションを行う。\u003C\u002Fstrong> 第5条の6に基づき、適用のバリデーションについて手順を文書化し、初めて使用するとき、およびソフトウェアまたはその適用を変更するときに実施します。第3項はリスクに応じたバリデーションを求めており、施行通知「10．第5条の6関係（5）」はこれを管理の程度を定める趣旨としています。対象システムのリスク評価から着手するのが順序です。\u003C\u002Fli>\u003Cli>\u003Cstrong>教育訓練と定期的な有効性確認を行う。\u003C\u002Fstrong> 仕組みを入れても、運用する人が「なぜ後追い記入がいけないのか」を理解していなければ形骸化します。ALCOA+の考え方を教育訓練に組み込み、内部監査で監査証跡のレビュー実施状況を確認する運用にしてください。\u003C\u002Fli>\u003C\u002Fol>\u003Ch3 id=\"haf1d91d81f\">DI対応セルフチェックリスト\u003C\u002Fh3>\u003Cp>自社の現状を点検するためのチェックリストです。根拠となる条番号もあわせて示しています。なお施行通知を根拠に挙げた項目は、通知が「例えば〜等が考えられること」として示した\u003Cstrong>例示\u003C\u002Fstrong>にあたります。これらを行えば十分というものではなく、逆にこの形でなければならないというものでもありません。自社の記録の性質に合わせて読み替えてください。\u003C\u002Fp>\u003Cul>\u003Cli>[ ] 記録の識別・保管・セキュリティ確保・完全性の確保・検索・保管期間・廃棄の管理方法を手順書に記載している（第9条第2項）\u003C\u002Fli>\u003Cli>[ ] QMS省令が求める記録を一覧化し、媒体と保管場所を把握している（施行通知15．第9条関係（2））\u003C\u002Fli>\u003Cli>[ ] 記録に日付およびページ番号等を付与し、一貫性が分かるようにしている（施行通知15．第9条関係（3））\u003C\u002Fli>\u003Cli>[ ] 記録を修正した場合、修正箇所と修正前の内容が分かる方法をとっている（同上）\u003C\u002Fli>\u003Cli>[ ] 記録へのアクセス権限を業務上必要な範囲に制限している（同上）\u003C\u002Fli>\u003Cli>[ ] 電子記録について、誰が・いつ・何を変更したかが自動的に記録される（監査証跡）\u003C\u002Fli>\u003Cli>[ ] 監査証跡を誰がいつレビューするかを手順で定め、実施記録が残っている\u003C\u002Fli>\u003Cli>[ ] システム管理者による記録の変更も監査証跡に残る設計になっている\u003C\u002Fli>\u003Cli>[ ] 品質管理監督文書の劣化・紛失を防止する管理方法を定めている（第8条第2項第7号）\u003C\u002Fli>\u003Cli>[ ] 電磁的に管理する文書のバックアップ方法を手順書に定めている（施行通知14．第8条関係（8））\u003C\u002Fli>\u003Cli>[ ] 文書の最新の改訂状況が識別でき、改訂版が利用できる状態にある（第8条第2項第3号・第4号）\u003C\u002Fli>\u003Cli>[ ] 廃止した文書が意図に反して使用されない仕組みがある（第8条第2項第8号）\u003C\u002Fli>\u003Cli>[ ] QMSに使用するソフトウェアの適用のバリデーション手順を文書化している（第5条の6第1項）\u003C\u002Fli>\u003Cli>[ ] 保管期限（第67条・第68条）まで記録が判読可能かつ取り出し可能である\u003C\u002Fli>\u003Cli>[ ] 医療機器等の使用によって得られた個人情報の管理方法を定めている（第9条第3項）\u003C\u002Fli>\u003C\u002Ful>\u003Ch2 id=\"h08562665f0\">よくある質問\u003C\u002Fh2>\u003Ch3 id=\"h7f79fe9a1d\">データインテグリティとALCOA+の違いは何ですか？\u003C\u002Fh3>\u003Cp>データインテグリティは「記録が信頼できる状態にあること」という目的そのものを指し、ALCOA+はそれが達成されているかを判断するための9つの原則を指します。目的と評価軸の関係にあると理解してください。実務では、自社の記録がALCOA+の9原則を満たしているかを点検することがデータインテグリティの確保につながります。\u003C\u002Fp>\u003Ch3 id=\"hc3bf635af5\">QMS省令に「データインテグリティ」という言葉は出てきますか？\u003C\u002Fh3>\u003Cp>QMS省令の条文そのものには「データインテグリティ」という語はありませんが、第9条第2項が「完全性の確保」を求めており、その解釈を示す施行通知「15．第9条関係（3）」が明確に「セキュリティ、完全性の確保（データインテグリティ）」と記載しています。したがって日本の医療機器メーカーにとってDI対応は法的な要求事項です。義務の根拠は条文である第9条第2項であり、通知はその要求が一般にデータインテグリティと呼ばれるものだと示すもの、と整理してください。\u003C\u002Fp>\u003Ch3 id=\"h28bd97b168\">医療機器メーカーもPIC\u002FSのDIガイドラインに従う必要がありますか？\u003C\u002Fh3>\u003Cp>PIC\u002FSのガイダンスはGMP／GDP環境を対象としたもので、医療機器QMSに直接適用されるものではありません。ただしALCOA+の考え方は共通しているため、実務上の参考資料として有用です。医療機器メーカーにとっての直接の根拠はQMS省令第9条第2項であり、施行通知はその解釈を示すものです。社内手順はこの条文を軸に整えてください。\u003C\u002Fp>\u003Ch3 id=\"h46677e86c6\">紙の記録だけでもデータインテグリティは満たせますか？\u003C\u002Fh3>\u003Cp>満たせます。QMS省令は電子化を義務づけていません。日付・署名・二重線と訂正印による訂正・施錠保管といった基本を徹底すれば、紙でもALCOA+の要求に応えられます。ただし記録量が増えるほど、検索性（Available）と保管期間中の判読性（Enduring）を人手で維持するコストが上がる点は考慮が必要です。\u003C\u002Fp>\u003Ch3 id=\"h7aaaaa8bce\">Excelはどこまでなら使ってよいのでしょうか？\u003C\u002Fh3>\u003Cp>使ってはいけないという規定はなく、線引きは記録の重要度で決まります。判断の目安は、その記録が製品の品質・安全性・有効性の判断に直結するかどうかです。第5条の6第3項はソフトウェアの使用に伴うリスクに応じてバリデーションを行うことを求めており、施行通知「10．第5条の6関係（5）」はこれをリスクに応じて管理の程度を定める趣旨だとしています。QMS省令はもともとリスクに応じた作り込みを想定しているということです。出荷可否の判定に使う試験検査記録のように影響が大きいものから優先して仕組み側で担保し、影響の小さい記録は運用ルールで補うという順序が現実的です。なお、シート保護やパスワードは編集を制限するだけで変更履歴を残さないため、監査証跡の代替にはなりません。\u003C\u002Fp>\u003Ch3 id=\"h23fb2e5074\">監査証跡とシステムのアクセスログは同じものですか？\u003C\u002Fh3>\u003Cp>目的が異なります。アクセスログは主に「誰がいつシステムに接続し、どの画面を開いたか」を記録するもので、記録の中身がどう変わったかまでは追えないのが一般的です。監査証跡（audit trail）は変更前後の値と変更理由を保持し、事象の経過を後から再構成できることを目的とします。EU GMP Annex 11（第9項）や21 CFR Part 11では、監査証跡に実施者・日時・変更前の値・変更後の値・変更理由が残ることが前提とされており、接続履歴だけのログではこれを満たせません。既存システムを評価する際は、ログの有無ではなく変更前の値が残るかどうかで判断してください。\u003C\u002Fp>\u003Ch3 id=\"h5e763a7914\">監査証跡はどこまで残せばよいですか？\u003C\u002Fh3>\u003Cp>QMS省令に監査証跡の保管期間や取得範囲を定めた規定はないため、対象範囲・保管期間・レビュー方法は自社で決めて手順書に落とすことになります。監査証跡は記録と切り離せないメタデータであるため、保管期間は第68条が定める記録の保管期限（特定保守管理医療機器は15年、それ以外は5年が基本）に合わせるのが実務上の基本です。対象範囲は医療機器の品質・安全性・有効性に影響する記録を優先し、リスクに応じて設定してください。仕組みを導入しただけでレビューを運用していない状態は指摘対象になりやすいため、レビューの頻度と担当者まで決めておくことをおすすめします。\u003C\u002Fp>\u003Ch3 id=\"ha2cf1dac7f\">QMS適合性調査ではデータインテグリティをどう見られますか？\u003C\u002Fh3>\u003Cp>記録が要求どおりに作成・保管されているか、手順書に定めた管理方法が実際に運用されているかという観点で確認されます。具体的には、第9条第2項が求める7項目の管理方法が手順書に記載されているか、記録の訂正が追跡可能な方法で行われているか、電子記録の場合は監査証跡とアクセス権限が機能しているかが見られます。\u003C\u002Fp>\u003Ch2 id=\"h25fceaff32\">まとめ — データインテグリティは「電子化」ではなく「証明できる状態」の問題\u003C\u002Fh2>\u003Cp>データインテグリティの本質は、記録が信頼できることを後から第三者に証明できる状態をつくることにあります。電子化はそのための手段のひとつであり、目的ではありません。本記事の要点は次の4点です。\u003C\u002Fp>\u003Col>\u003Cli>\u003Cstrong>ALCOA+の9原則が判断軸です。\u003C\u002Fstrong> Attributable、Legible、Contemporaneous、Original、Accurateの5原則に、Complete、Consistent、Enduring、Availableを加えた枠組みで自社の記録を点検してください。\u003C\u002Fli>\u003Cli>\u003Cstrong>日本の医療機器メーカーには法的義務があります。\u003C\u002Fstrong> QMS省令第9条第2項が記録の完全性の確保を求め、施行通知「15．第9条関係（3）」がこれをデータインテグリティと明記しています。\u003C\u002Fli>\u003Cli>\u003Cstrong>保管期限の長さが医療機器固有の論点です。\u003C\u002Fstrong> 第67条・第68条が定める最長15年という期間を通じて、記録が判読可能かつ取り出し可能である必要があります。\u003C\u002Fli>\u003Cli>\u003Cstrong>担保するのは監査証跡・電子署名・版管理・アクセス権限の4つの仕組みです。\u003C\u002Fstrong> これらが機能していれば、ALCOA+の主要な原則は自動的に満たされます。\u003C\u002Fli>\u003C\u002Fol>\u003Cp>紙とExcelでの運用は違法ではありませんが、記録量が増え保管期限が長くなるほど、この4つを人手で維持するコストは上がっていきます。記録管理の電子化を検討する段階では、監査証跡・電子署名・版管理・アクセス権限が標準機能として備わっているか、そして第5条の6が求める適用のバリデーションに必要な文書が用意されているかを選定基準に含めてください。まずは施行通知「15．第9条関係（2）」の記録一覧で自社の記録を棚卸しし、本記事のセルフチェックリストで現状を点検するところから始めることをおすすめします。\u003C\u002Fp>",{"url":140,"height":71,"width":72},"https:\u002F\u002Fimages.microcms-assets.io\u002Fassets\u002Ff66dcbcc145648f88aa317fc3a705f91\u002Fa65c5e45eef949a8aa6d62ed5fad5544\u002Fdataintergrity.webp","データインテグリティ（ALCOA+）とは何かを医療機器QMSの視点で解説します。QMS省令第9条第2項が求める記録の完全性の確保、監査証跡・電子署名・版管理の実務、紙やExcel運用に潜む落とし穴とセルフチェックリストまで網羅。",{"id":15,"createdAt":16,"updatedAt":17,"publishedAt":16,"revisedAt":17,"name":18,"image":143,"profile":23,"subtitle":24,"profile_url":25,"profile_sameas_url":26},{"url":20,"height":21,"width":22},[145,146,150,154],{"id":94,"createdAt":95,"updatedAt":95,"publishedAt":95,"revisedAt":95,"name":96},{"id":147,"createdAt":148,"updatedAt":148,"publishedAt":148,"revisedAt":148,"name":149},"li42d_41r","2024-10-22T03:22:45.239Z","文書管理",{"id":151,"createdAt":152,"updatedAt":152,"publishedAt":152,"revisedAt":152,"name":153},"zok07f3-fr","2024-10-16T06:41:44.552Z","バリデーション",{"id":29,"createdAt":30,"updatedAt":30,"publishedAt":30,"revisedAt":30,"name":31},1788838836134]