プログラム医療機器（SaMD）を開発している企業から、「QMSを持っているのでISMSは要らないのでは」あるいはその逆の相談を受けることがあります。どちらも成り立ちません。QMSとISMSは守る対象が違い、互いに代替できないからです。
一方で、この2つを完全に別物として運用すると、規程が二重になり、監査も二重になり、現場は同じことを2回記録することになります。**実務上の正解は「共通化できる部分を共通化し、目的が違う部分だけ分ける」**という設計です。
本記事では、SaMD開発企業がQMSとISMSをどう噛み合わせるかを整理します。SaMDの規制上の位置づけそのものは プログラム医療機器（SaMD）とは？AI機能の規制上の位置づけ をご覧ください。
免責：本記事は一般的な情報提供です。薬機法およびQMS省令の適用・解釈は厚生労働省・PMDAの公表資料が、規格の要求事項は規格本文および認定機関・審査機関の公表資料が正本です。医療機器該当性および規制対応の判断は、規制当局・登録認証機関および専門家にご確認ください。
守る対象が違う二つのマネジメントシステム
最初に押さえるべきなのは、両者の「リスク」という言葉が指しているものが違うという点です。
| QMS（ISO 13485 / QMS省令） | ISMS（ISO/IEC 27001） | |
|---|---|---|
| 目的 | 医療機器が安全かつ意図した性能を発揮すること | 情報資産の機密性・完全性・可用性を維持すること |
| 守る対象 | 患者・使用者（危害の防止） | 情報資産（漏えい・改ざん・停止の防止） |
| リスクの定義 | 危害の発生確率と重大度（ISO 14971） | 資産への脅威・脆弱性と事業影響 |
| 根拠 | 薬機法／QMS省令、ISO 13485 | ISO/IEC 27001（JIS Q 27001） |
| 第三者確認 | 登録認証機関の適合性調査、当局の調査 | 審査機関によるISMS認証審査 |
| 対象範囲 | 製造販売する医療機器の設計・製造・市販後 | 適用範囲として宣言した組織・業務 |
同じインシデントが両方の観点で評価されることがあります。 たとえばSaMDの推論結果を保存するデータベースが改ざんされた場合、ISMSでは完全性の侵害として扱われ、QMSでは「誤った情報が臨床判断に使われ、患者に危害が及び得る」不具合として扱われます。報告先も時間軸も違うため、インシデント対応手順はこの分岐を最初に判定する形にしておく必要があります。
逆に、情報漏えいだけが起きて患者に危害が及ばないケースはISMS側の事象であり、機器の性能に影響しない設定変更はQMS側の変更管理の事象です。すべてが重なるわけではありません。
QMSが求めるものとISMSが求めるもの
日本でSaMDを製造販売する場合、QMS省令（医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令）への適合が求められます。QMS省令は国際規格である ISO 13485 を基礎とした構成になっており、実務上はISO 13485の枠組みで整備したうえで国内要求を上乗せする形が一般的です。
ソフトウェアに固有の要求としては、医療機器ソフトウェアのライフサイクルプロセスを定めた IEC 62304 が参照されます。開発プロセス、ソフトウェア安全クラス分類、市販後のソフトウェア保守、SOUP（既製ソフトウェア部品）の管理といった要求は、一般的なISMSの「セキュアな開発」管理策より踏み込んだ内容です。
両者が求める文書を並べると、重なりと違いが見えます。
| 領域 | QMS側で求められるもの | ISMS側で求められるもの | 統合の可否 |
|---|---|---|---|
| 方針・目標 | 品質方針、品質目標 | 情報セキュリティ方針、情報セキュリティ目的 | 目的が違うため別文書。上位の経営方針で束ねる |
| 文書・記録管理 | 文書管理、記録の保管年限 | 文書化した情報の管理 | 統合可。1つの文書管理規程に統一できる |
| 教育・力量 | 力量の確保と教育訓練の記録 | 力量・認識・教育記録 | 統合可。教育計画を1本にし、内容でパートを分ける |
| 供給者管理 | 購買情報、供給者評価 | 委託先のセキュリティ管理 | 部分統合。評価表に観点を両方載せる |
| 設計管理 | 設計計画、インプット／アウトプット、検証、妥当性確認、設計移管、設計変更 | セキュアな開発、変更管理 | 部分統合。設計管理の枠を主軸にセキュリティ観点を組み込む |
| リスクマネジメント | ISO 14971（患者への危害） | 情報セキュリティリスクアセスメント | 別プロセス。ただし入出力を接続する |
| 不適合・是正 | 不適合製品の管理、CAPA | 不適合と是正処置 | 統合可。1つの是正処置プロセスに統合しやすい |
| 内部監査 | QMS内部監査 | ISMS内部監査 | 統合可。同一の監査計画で対象を両方カバーする |
| マネジメントレビュー | QMSのレビュー | ISMSのレビュー | 統合可。1回の会議で両方のインプットを審議する |
| 市販後 | 苦情処理、不具合報告、市販後調査 | インシデント管理 | 部分統合。受付は一本化し、判定で分岐させる |
この表の要点は、マネジメントシステムとしての「回し方」の部分（文書管理・教育・是正・内部監査・マネジメントレビュー）はほぼ統合でき、製品固有の部分（設計管理・ISO 14971・市販後の不具合報告）は分けたほうがよいということです。
文書体系を二重に持つか、統合するか
実務上の選択肢は3つです。
① 完全分離
QMSとISMSをまったく別の文書体系として運用します。規制当局の調査とISMS審査でそれぞれの体系を見せればよく、説明は明快です。ただし、文書管理規程・教育記録・是正処置・内部監査が二重になり、小規模組織では現場が回りません。20〜50名規模の企業が初期にこれを選ぶと、記録の記入漏れが是正処置の常連になります。
② 完全統合
1つの統合マネジメントシステムとして、すべての規程を共通化します。運用負荷は最小になりますが、文書がどちらの要求に応えているのかが読み取りにくくなり、審査・調査で説明に時間がかかります。とくにリスクマネジメントを1本化しようとすると、ISO 14971の危害ベースの評価と情報セキュリティのリスクアセスメントが混ざり、どちらも精度が落ちます。
③ 共通層＋個別層（推奨）
マネジメントシステムの共通部分を1つにし、製品固有の要求だけを個別文書として持つ構成です。
共通層：文書管理規程／教育訓練規程／是正処置規程／内部監査規程／マネジメントレビュー規程
個別層（QMS）：設計開発管理規程／リスクマネジメント手順（ISO 14971）／
ソフトウェアライフサイクル手順（IEC 62304）／市販後安全管理手順
個別層（ISMS）：リスクアセスメント手順／適用宣言書／アクセス制御規程／
インシデント対応手順／事業継続手順
この構成なら、内部監査は1回の計画で両方を回し、マネジメントレビューは1回の会議で両方のインプットを審議できます。是正処置も1つのプロセスに流し、発生源がQMSかISMSかを属性として持たせれば足ります。
ISMS文書の作り方全般は ISMS文書体系｜何をどこまで作るか をご覧ください。
設計管理とリスクマネジメント（ISO 14971）の接点
統合設計でいちばん神経を使うのがここです。ISO 14971のリスクマネジメントと、ISMSのリスクアセスメントは統合してはいけません。 評価軸が違うためです。
| ISO 14971 | ISMSリスクアセスメント | |
|---|---|---|
| リスクの主語 | 患者・使用者に及ぶ危害 | 組織の情報資産 |
| 評価の軸 | 危害の重大度 × 発生確率 | 影響度 × 発生可能性（機密性・完全性・可用性） |
| 受容の判断 | 便益とのバランス（ベネフィット・リスク） | 組織のリスク受容基準 |
| 出力 | リスクマネジメントファイル | リスク対応計画、適用宣言書 |
ただし、両者を「接続」することは必要です。接続点は次の2つです。
1. セキュリティ上の脆弱性が患者への危害につながる経路
SaMDにおいて、認証の不備・改ざん・可用性の喪失は、患者への危害に直結し得ます。処方支援のロジックが改ざんされれば誤った提案が出ますし、緊急時に使う機能が停止すれば診療が滞ります。したがって、ISMSのリスクアセスメントで識別した脅威のうち、製品の安全性に影響するものはISO 14971のリスク分析にインプットするという接続が要ります。
逆方向もあります。ISO 14971で「この機能の誤作動は重大な危害につながる」と評価されたなら、その機能を支えるコンポーネント・データ・アクセス経路は、ISMS側で最も高い保護水準を割り当てるべき情報資産になります。
2. 設計管理の枠にセキュリティ要求を入れる
ISO 13485の設計管理は、設計インプット → アウトプット → 検証 → 妥当性確認 → 設計移管 → 設計変更という流れで管理されます。セキュリティ要求をこの枠の設計インプットとして明示的に入れると、検証・妥当性確認の対象に自動的に乗り、記録が残ります。ISMS側に別途「セキュアな開発の記録」を作る必要がなくなり、審査でも設計管理の記録をそのまま見せられます。
この発想は セキュリティ・バイ・デザイン の考え方と同じです。設計インプットに入っていないセキュリティ要求は、実装されないか、後付けの高コストな改修になります。
なお、SaMDの市販後はソフトウェア更新の扱いが論点になります。セキュリティパッチの適用が製品の変更管理（場合によっては一部変更の手続）に該当するかどうかは、変更の内容と製品の承認・認証の範囲によって判断が分かれます。「セキュリティ対応だから迅速に出せる」とは限らないため、パッチ適用のリードタイムを前提にした脆弱性管理の設計が必要です。ここは規制側の判断が伴うため、個別に当局・登録認証機関へご確認ください。
認証・調査の受け方と適用範囲
QMSとISMSでは、第三者が見に来る枠組みが別です。同じ組織に、違う目的の外部確認が年に複数回入るという前提でスケジュールを組む必要があります。
適用範囲の設計では、次の点に注意します。
- ISMSの適用範囲にSaMDの設計・開発・市販後対応を含めるか。医療機関や販売パートナーは、製品の開発体制に対して情報セキュリティの証明を求めてきます。開発を範囲外にすると、証明の意味が薄くなります
- 製造委託先・開発委託先の扱い。QMS側では購買・供給者管理、ISMS側では委託先管理として評価します。評価表を共通化し、観点を両方載せるのが効率的です
- サーバ側の運用をどう位置づけるか。クラウド上で推論を実行するSaMDでは、サーバ側の可用性・完全性が製品の性能に直結します。ここはISMSの中心領域でありながら、QMS側の妥当性確認の前提でもあります
適用範囲の切り方は ヘルスケア企業のISMS適用範囲設計 に詳しくまとめています。医療機関へ直接提供する場合は3省2ガイドライン対応も重なります（ISMS文書と3省2ガイドライン対応文書の統合）。
まとめ
SaMD開発企業がQMSとISMSを扱ううえでの要点は次のとおりです。
- QMSは患者への危害を、ISMSは情報資産を守る。目的が違い、互いに代替しない
- 文書体系は共通層＋個別層が現実解。文書管理・教育・是正・内部監査・マネジメントレビューは統合でき、設計管理とリスクマネジメントは分ける
- ISO 14971とISMSリスクアセスメントは統合しない。評価軸が違うため、混ぜると両方の精度が落ちる
- ただし両者は接続する。セキュリティ脆弱性から患者への危害へつながる経路をISO 14971にインプットし、危害の大きい機能を支える資産にISMS側で高い保護水準を割り当てる
- セキュリティ要求は設計インプットに入れる。検証・妥当性確認の記録が自動的に残り、二重管理を避けられる
- 市販後はセキュリティパッチと変更管理の関係を先に整理する。迅速な適用が常に可能とは限らない
ポテックはヘルスケア領域に特化してISMS認証取得を支援しています。QMSを既にお持ちの企業では、既存の文書・記録のどこまでを流用できるかを見極めるところから着手します。品質管理プロセスの構築支援もオプションでご用意しています。
支援内容と料金は ISMS認証取得支援サービス を、個別のご相談は お問い合わせ をご覧ください。ISMS全体の見取り図は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド にあります。
参考・出典
- 独立行政法人 医薬品医療機器総合機構（PMDA）
- 医療機器・体外診断用医薬品｜厚生労働省
- ISO（ISO 13485・ISO 14971 の規格情報）
- ISO/IEC 27001 Information security management systems｜ISO
- 情報マネジメントシステム認定センター（ISMS-AC）
※医療機器該当性、QMS省令の適用、変更手続の要否は個別の製品・変更内容により判断が分かれます。規制対応の最終判断は規制当局・登録認証機関および専門家にご確認ください。