CNC加工サプライヤーにおけるISO 13485とISO 9001：この認証が追加するものとスコープの確認方法

ISO 9001だけでは医療機器部品のサプライヤー適格認定として十分か

ISO 9001は精密部品サプライヤーの基礎となる品質管理認証であり、まともなCNCサプライヤーはすべて保有していると期待される¹⁶²⁶。ISO 9001が対象とするのは文書化された品質管理、是正処置、サプライヤー管理である。プロセスの追跡、設備の校正、手順の文書化を支える一般的なシステムである⁵¹⁶。規制産業においては、セクター固有の規格は任意ではなく交渉の余地がないものと記述され、該当する認証はボーナスではなくフィルタとして扱われるべきである²²²⁶。実務上の帰結はふるい分けの順序である。ISO 9001のみを保有する工場は、公差能力や価格に時間を割く前に除外される。未認証の工場を使うリスクは納入後に顕在化する。自社のコンプライアンス監査や通知機関が、その工場が出せない文書を要求したときである。その時点で部品は、どれだけうまく加工されていようと使えない可能性がある²²。一つのソースは、同じ論理を航空宇宙についてより突きつけて述べており、そこではISO 9001だけではフライトクリティカルなプログラムからサプライヤーを失格させる²¹。この記述はAS9100DについてのものでありISO 13485についてではないため、それ自体が医療機器のルールを定めるわけではない。ただし、セクター固有の認証こそが適格化の層であり一般的な認証ではないというパターンを示している。

ISO 13485のシステムがISO 9001に加えて持つもの

ISO 13485は医療機器のQMS規格であり、ISO 9001がすでに要求する内容に加えて、プロセスバリデーション、デバイス履歴記録、材料ロットトレーサビリティを追加するとソースは記述している⁵。ISO 9001の貢献は一般的な層である。文書化された品質管理、是正処置、サプライヤー管理である⁵。ISO 13485はその層を保持した上で、部品に何が起きたかを医療機器メーカーが再構築できるようにする記録を追加する。この規格は、FDA/CEの法規制適合とISO 14971リスク管理を重点に医療機器を対象とするとも記述されている¹⁵。これは程度の差ではなく種類の差である。ISO 9001は産業横断的な土台であり、ISO 13485は部品が進入する規制環境を軸に書かれている¹⁵。購入者にとって、証明書は入場券であり、追加された記録こそが本体である。証明書を超えて工場のシステムが何を生み出すかを尋ねるとき、答えはプロセスバリデーション、デバイス履歴記録、ロットトレーサビリティに対応づくべきである⁵。ソースはISO 13485の条項ごとの要求事項を全部は列挙していないため、証明書はシステムが存在することのエビデンスとして扱い、工場に対して生成している記録を示すよう求めること。

期限切れ・検証不能な証明書を最初に除外する

これらの確認はコストが低く、技術レビューの前にサプライヤーをふるい落とす。サプライヤーは独立した検証のための認証番号と有効期限を提示すべきであり、認証は現在有効で、認知された認証機関が発行したものであるべきである⁷¹¹。

証明書のスコープは購入する加工と特殊工程を対象に含むか

特殊工程——熱処理、溶接、表面処理、非破壊検査——は、品質管理システム全体とは別個に管理または認定される¹³¹⁵。この分離があるため、工場の名義で発行された有効なISO 13485証明書は、それ自体では、自社部品のアルマイト処理や熱処理を誰が実施するかを語らない。特殊工程が外注される場合、下請けは実施される正確な工程を対象とする現行の証明書で検証されるべきである¹³。検証は工程ごとである。ある特殊工程の証明書は別の工程の代わりにはならない。品質システムが加工、製缶、仕上げ、組立にまたがる事業者は、ベンダー境界で途切れのないトレーサビリティを維持する。これは部品が出荷前に複数のサプライヤーをまたぐときに見るべき条件である¹¹。工場に対し、自社部品が通るすべての工程を挙げさせ、各工程が社内か外注かを明示させ、その正確な工程を対象とする証明書を提出させること¹³。ISO 13485証明書のスコープを読んでCNC加工や特定の特殊工程を対象に含むと確認する方法は、ソース上確立されていないため、この適合性は証明書から推測するのではなく直接確認しなければならない。

工場の検査エビデンスは自社の重要寸法に対して十分か

認証はシステムが存在することを示し、検査記録は工場が自社の公差を維持できることを示す。実務上の指標は、部品に同梱されてくる検査報告書、厳しい公差特性へのCMM対応能力、材料証明書とトレーサビリティ、不適合を扱う明確なプロセスである⁶。

原材料から完成部品まで途切れないトレーサビリティ連鎖を要求する

ISO 13485は材料ロットトレーサビリティを追加し、医療機器部品は材料トレーサビリティ記録を要すると記述されている⁵²⁶。これを満たす連鎖は、原材料の試験成績書からすべての製造工程を経て、完成部品の適合証明書（certificate of conformance）に至るまで、全環が存在し読み取り可能で保管されていることである²⁷。実務では、文書パッケージはミル証明書を発生源のヒートまたはロットに紐づけ、ロットまたはシリアル記録が原材料を工程内作業と最終検査に接続する²⁷。適用される図面リビジョンと規格を参照する適合証明書が、その連鎖の終端に置かれる²⁷。発注をリリースする前に、類似部品の完全なパッケージを見せてもらうこと。ソースは文書連鎖の構造を航空宇宙の文脈で記述しており、ISO 13485の医療機器部品に要求される記録保管期間は述べていない。したがって保管期間は、このエビデンスが与えられる数値ではなく、サプライヤーへの質問事項である¹¹²⁷。

変更管理と是正処置の記録はデバイスを守るのに十分か

再バリデーションは、設備、材料、作業者、プロセスパラメータの変更時に引き起こされ、プロセス変更後には初品検査が必要である。新しい部品に限った話ではない¹²³⁰。FAIを新しい部品番号での一回限りの事象として扱う工場では、機械が交換されたりセットアップが移されたりした後もプロセスが適合部品を作り続けていることの証明が得られない。是正処置は、サプライヤー監査が失格につながる欠陥を最もしばしば見つける箇所である。不完全または未文書化の是正処置システムは、サプライヤー適格認定監査で最も多い失格要因と記述されており、購入者は直近12か月分の不適合記録と是正処置記録を要求するよう勧められている³²。その履歴を出せない工場、または実装済みの対応を伴わない未完了の是正処置を抱える工場は、加工能力にかかわらずレビューに落ちる³²。受注決定前に二つ尋ねること。自社のシステムでは何が新しいFAIを引き起こすのか、直近12か月の不適合記録と是正処置記録を見せられるのか¹²³⁰³²。ソースは、ISO 13485がプロセス、材料、設備、場所の変更前にOEM承認を要求するかどうかを述べていない。その管理が自社のデバイスに必要なら、証明書がそれを与えてくれると仮定せず、発注書に書き込むこと。

ISO 9001単独をめぐるソース間の相違

相違はISO 9001が要求されるかどうかではなく、その射程がどこまで及ぶかについてである。一方の立場は、ISO 9001はまともなサプライヤーがすべて保有すべき基礎であり、セクター固有の規格は規制産業にとって追加的かつ交渉の余地のない層だとする¹⁶²⁶。もう一方は、ISO 9001だけではフライトクリティカルなプログラムからサプライヤーを失格させると述べており、これは医療機器ではなく航空宇宙とAS9100Dについての記述である²¹。医療機器の購入者にとって実務上の読みはいずれでも同じである。ISO 9001は床であり、ISO 13485はサプライヤーが自社の規制届出を支援できるかを決めるフィルタである²²²⁶。規制産業でISO 9001単独が十分であり得るかについて、ソースは解決していないため、一般論に依存せず、通知機関または顧客が要求する具体的な認証を確認すること。

ソースが確立していないこと

• ISO 9001を超えるISO 13485の条項ごとの要求事項（設計管理、プロセスのバリデーション、トレーサビリティ、不適合品管理）を列挙するソースはない。
• ISO 13485証明書のスコープの読み方として、CNC加工や特定の特殊工程への適合を確認する方法を説明するソースはない。
• ISO 13485認証機関の認定要件とその検証方法を扱ったソースはない。
• ISO 13485のクレーム処理、有害事象報告、CAPAのタイムラインを述べたソースはない。
• ISO 13485がプロセス、材料、設備、場所の変更前にOEM承認を要求するかどうかを述べたソースはない。
• 医療機器部品のトレーサビリティに要求される記録保管期間を述べたソースはない。
• CNC加工サプライヤーにおけるISO 14971リスク管理の実装詳細を扱ったソースはない。