「ALARPまで下げた」では、もう通らない

「残留リスクはALARPまで下げてあるから問題ない」ーーリスクマネジメント報告書で、いまだにこの一文を見かける。だが、ISO 14971:2019への適合を説明する文脈で、この言葉だけでリスク低減の十分性を示すことはできない。改訂の重要なポイントの一つが、まさにここにある。

ALARP（As Low As Reasonably Practicable、合理的に実行可能な限り低く）は、リスク低減で得られる便益と、そのために必要な負担とが著しく不均衡になるところで、それ以上の低減を求めない、という考え方である。旧版の14971では、この概念は参考附属書で説明されていた。そして現行版のISO 14971:2019は、ALARPをリスク受容の基本原則として採用していない。

代わりに据えられたのは、方針と基準である。製造業者は、適用される法規制、関連規格、一般に認知された最新の技術水準（state of the art）、利害関係者の懸念などを踏まえてリスク受容の方針を定め、その方針から導いた基準に照らして個別の残留リスクを評価する。したがって「追加対策は費用に見合わない」という説明だけで、基準を満たさない残留リスクをそのまま受容することはできない。ここが、旧来の感覚との分かれ目である。

ただし「すべての残留リスクを例外なく基準以下にせよ」と読むのも行き過ぎだ。個別の残留リスクが基準上受容できず、かつ追加のリスクコントロールが実行可能でない場合には、ベネフィット・リスク分析を行う経路がある。さらに、個別リスクとは別に、製品全体の残留リスクを総合的に評価する段階も残っている。コストを口実にできないことと、受容基準を超えた残留リスクに対する評価経路が存在しないことは、別の話である。

ここで筆者が繰り返し言うのは、確率の低減だけに寄りかかるな、ということである。リスクコントロールでは、発生確率の低減に焦点が当たりやすい。しかし重大な危害について、確率を下げたことだけを根拠に「十分」と結論づけてよいとは限らない。

重大性そのものを下げられる場合もあるーー放射エネルギーの上限設定、投与量の制限、可動範囲や機械的エネルギーの制限、衝撃吸収構造などである。本質的に安全な設計によって危害の重大性又は発生確率を低減できるのなら、保護手段や安全に関する情報に先立って、その可能性を検討すべきである。

一方で、すべての対策が重大性に効くわけではない。指の切断を防ぐガードは事故の発生確率を下げるが、ガードを越えて手が入ってしまえば、切断という重大性は変わらない。だからこそ、各リスクコントロールが危害の重大性に作用するのか、危害の発生確率に作用するのかを明確にする。

後者については、可能な範囲で、危険状態に至る確率と、危険状態から危害に至る確率のどちらに作用するのかも書き分ける必要がある。とはいえ、対策を積み増せばよいという話でもない。過度なインターロックが緊急操作を遅らせる、安全機構がユーザビリティを落とし誤使用を招くーーリスク低減策は、それ自体が新たなリスクを生む。14971が求めているのは対策の数ではなく、一般に認知された最新の技術水準を踏まえたうえで、対策の有効性、新たに生じるリスク、医療上のベネフィットへの影響まで含めて評価することである。

実務で問題になるのは、ALARPという四文字が文書に残っていること自体ではない。国や地域の法令、ガイダンス、契約要求の文脈でこの語が使われることもある。問われるのは、その語によって「基準は満たしていないが、費用に見合わないので対策を止めた」という判断が覆い隠されていないか、現行の受容基準・リスクコントロールの優先順位・ベネフィット・リスク分析が曖昧にされていないか、である。審査員、監査員、あるいは規制当局が見るのは、次の点だ。

• リスク受容基準は、経営者が定めた方針に基づいているか
• 適用法規、関連規格及び一般に認知された最新の技術水準を考慮しているか
• リスクコントロールを、本質的に安全な設計及び製造、医療機器自体又は製造工程における保護手段、安全に関する情報及び必要に応じた教育訓練、の優先順位で検討したか
• 残留リスクを、あらかじめ定めた基準で評価したか
• 受容できない場合に、追加対策又はベネフィット・リスク分析へ進んだか
• リスクコントロールによって生じた新たなリスクも評価したか
• 製品全体の残留リスクを総合的に評価したか

この分野の解説動画