iso-13485-certification

ISO 13485 QMS エビデンス準備

目的

このスキルは、QMS の適用範囲、管理文書、実施記録、トレーサビリティ、および実質的なレビューに向けた準備状況のエビデンスを整理するために使用します。プロセスのワークフローを要約し、決定論的なローカルチェックを提供しますが、ISO 箇条の本文を含むものではなく、監査を実施するものでもありません。

譲れない境界

このスキルは以下を行えません。

• QMS を認証すること、証明書を発行または検証すること、監査結果を約束すること。
• 法的/規制上の適用可否、デバイスの分類、報告義務、適合ルート、製品承認、市場アクセス、またはコンプライアンスを判断すること。
• 権限を持つ経営層、管理責任者、RA/QA、法務顧問、規制当局/所管当局、認証機関、MDSAP 監査機関、認定機関、または認証機関に代わること。
• テンプレート、チェックリスト、ファイル名、キーワード、文書数、パーセンテージ、またはスクリプトの結果から、実施、適合、コンプライアンス、または準備状況を推測すること。

出力には常に 権限を持つ人間によるレビュー用のドラフトのエビデンス準備資料 というラベルを付けてください。未解決の決定事項はブロッカーとして保持してください。

ISO の著作権

ISO 規格は著作権で保護されています。ISO 13485 および関連規格は、ISO、ISO 国内会員、またはその他の正規の入手先から入手してください。箇条の本文を取得、貼り付け、複製、または生成しないでください。組織のプロセスを要約し、管理された正規のコピーを引用してください。ISO copyright を参照してください。

現在のベースライン（2026-07-23 調査）

• ISO 13485: ISO 13485:2016、第 3 版は、2025 年の体系的なレビュー後に確認され、現在も有効です。
• 欧州の修正: EN ISO 13485:2016/A11:2021 は欧州の EN 修正であり、ISO の国際的な「Amendment 1:2021」ではありません。欧州のソース根拠が適用される場合にのみ、AC:2018/A11:2021 を追跡してください。
• FDA QMSR: 2026-02-02 以降、有効かつ施行されています。現在の Part 820 のタイトルは Quality Management System Regulation です。FDA は QSIT の使用をやめ、コンプライアンスプログラム 7382.850 を使用しています。これは将来の移行ではなく、実施済みとして扱ってください。
• MDSAP: 現在の公式な Audit Approach は MDSAP AU P0002.010、バージョン日付は 2026-02-02 です。
• EU: 現在の統合版 MDR/IVDR テキスト、現在の OJEU 整合規格決定、現在の MDCG ガイダンス、および製品固有の適合ルートを使用してください。
• リスクマネジメント: ISO 14971:2019、第 3 版は 2025 年に確認されました。欧州の業務では、EN ISO 14971:2019/A11:2021 を区別してください。

時間に敏感な記述を行う前に、references/source-ledger.md を読んでください。

5 つのレーンを分離しておく

1. ISO 13485 認証

認証機関は、定義されたマネジメントシステムの適用範囲を、正規の規格および認証スキームに対して評価します。証明書は、その記載された組織、サイト、活動、技術/製品範囲、版、および有効期間に限定されます。

2. FDA QMSR 査察/コンプライアンス

FDA は、適用される FDA 要件を評価します。ISO 認証は製造業者を査察から免除するものではなく、FDA は ISO 13485 証明書を発行しません。現在の eCFR および FDA の補足規定を使用してください。旧 QSR の箇条構成を現在の要件マップとして使用しないでください。

3. MDSAP 監査

MDSAP に認められた監査機関は、現在の MDSAP アプローチおよび適用される参加管轄区域の要件を用いて規制監査を実施します。ISO のみの監査は MDSAP ではなく、FDA の査察は MDSAP 監査計画に従いません。

4. EU MDR/IVDR 適合性評価

EU の適合性評価には、一般的な QMS 文書を超える、製品、技術文書、市販後、警戒、経済事業者、および認証機関の要件が含まれます。NANDO で認証機関の現在の法令/タスク/指定コードの範囲を確認してください。ISO 認証/認定のみでは、認証機関の指定や EU の製品適合にはなりません。

5. 製品および管轄区域に固有の管理

分類、意図された用途、主張、ソフトウェア/サイバーセキュリティ、臨床または 性能エビデンス、生体適合性、電気安全、滅菌、UDI、 登録、報告、およびその他の管理には、別途認可された分析が必要です。

コアワークフロー

ステップ 1: 目的と認可された担当者を定義する

その作業が内部 QMS の開発、ISO 認証の 準備、FDA 査察の準備、MDSAP、EU 適合性評価、または特定の組み合わせのいずれを 支援するのかを明記します。管理責任者、RA/QA オーナー、法務/ 適用範囲オーナー、プロセスオーナー、承認者、およびエスカレーション経路を記載します。

実行:

PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_scope_intake.py \
  assets/templates/scope-intake-template.json

配布されたテンプレートは意図的にフェイルクローズします。スキルの外部にコピーし、 管理された組織のエビデンスで完成させてください。

ステップ 2: ソース/バージョンのエビデンスを凍結する

すべての標準、規制、ガイダンス、監査モデル、および製品ソースについて、次を記録します:

• 発行元、公式タイトル、版/バージョン/日付、および認可された場所;
• アクセス日および最新性レビュー日;
• 適用範囲/適用可能性オーナー;
• 影響評価、ステータス、エビデンス、および承認。

検索スニペットを管理された要求事項として使用しないでください。発行元が新しい版を リリースしたときに、組み込まれた版を黙って更新しないでください。

ステップ 3: 管理された文書および記録を棚卸しする

名前付きの手順を数えたり、キーワードをスキャンしたりしないでください。文書、 記録、ソースバージョン、オーナー、承認、発効日、保存根拠、トレーニング、および 変更記録を関連付けた明示的な台帳を構築します。

PYTHONDONTWRITEBYTECODE=1 python3 scripts/audit_document_records.py \
  assets/templates/document-register-template.json

エビデンスアーキテクチャについては references/mandatory-documents.md をお読みください。

ステップ 4: プロセス実施状況をレビューする

管理された手順およびサンプリングされた記録について、次を評価します:

• 適用範囲、ガバナンス、役割、および管理権限;
• 文書/記録/外部ソースの管理;
• リスクマネジメント;
• 設計/開発、移管、および変更;
• サプライヤー、購買、および外部委託プロセス;
• 製造/サービス、インフラストラクチャ、環境、受入、およびリリース;
• プロセス、設備、試験方法、およびソフトウェアのバリデーション;
• 識別、トレーサビリティ、保存、設置、およびサービス;
• フィードバック、苦情、市販後サーベイランス、および警戒;
• 不適合、CAPA、および有効性;
• 内部監査およびマネジメントレビュー;
• 力量/トレーニング; および
• 統合変更管理。

各項目には、オーナー、ステータス、エビデンス ID、ソース/バージョン、承認、および未解決ギャップの リンクが必要です。references/iso-13485-requirements.md をお読みください。

ステップ 5: トレーサビリティと焦点を絞ったチェックを構築する

リスク/設計/製造/市販後:

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_traceability.py \
  assets/templates/traceability-matrix-template.json

CAPA/有効性:

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_capa.py \
  assets/templates/capa-record-template.json

サプライヤー管理:

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_supplier_controls.py \
  assets/templates/supplier-controls-template.json

保留中または有効でない CAPA 有効性エビデンスはクローズをブロックします。重要なサプライヤー 管理は、リスクベースの管理と承認が証拠付けられるまでブロックされたままです。

ステップ 6: 現在の QMSR エビデンスを個別に対応する

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_qmsr_transition.py \
  assets/templates/qmsr-transition-template.json

現在の Part 820/FDA ソース根拠、補足条項、廃止された QSR/QSIT 参照、発効日前の記録、査察でアクセス可能な管理/ 品質/サプライヤー監査記録、現在の査察プロセスのトレーニング、苦情および サービス記録、ラベリング/包装管理、サプライヤー/ソフトウェア/変更エビデンス、 および禁止されている証明書等価性の主張をレビューします。

旧 820 から ISO への条項マップを現在の管理フレームワークとして構築しないでください。

ステップ 7: 範囲を限定した準備状況マニフェストを組み立てる

エビデンステンプレートをスキルの外部にコピーします。ローカルの .json、 .md、または .markdown エビデンスへの相対パスのみを使用してください。

PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_evidence_manifest.py \
  /path/to/evidence-manifest.json \
  --base-dir /path/to/controlled-export \
  --verify-files \
  --output /path/to/manifest-report.json

次に、ドメインレベルのギャップビューを生成します:

PYTHONDONTWRITEBYTECODE=1 python3 scripts/gap_analyzer.py \
  /path/to/evidence-manifest.json \
  --base-dir /path/to/controlled-export \
  --verify-files \
  --output /path/to/gap-report.json

アナライザーは明示的なマニフェストラベルを使用します。ファイル名、 キーワード、または独自の標準テキストからエビデンスを推測せず、コンプライアンススコアも計算しません。

ステップ 8: 人によるレビューと管理された引き継ぎ

提示するもの:

• 宣言されたスコープ、保証レーン、および未解決の適用可否判断
• 正確なソース/バージョンのベースライン
• サンプリングされた証拠と制約事項
• プロセスとリスク別にグループ化された構造上の所見
• 措置/変更/CAPA の担当者と日付
• 承認状態、および
• 次の判断を担当する権限を有する当事者

結果に「証明書」、「コンプライアンスレポート」、「監査合格」、「検査準備完了」といった タイトルを決して付けないでください。適切なタイトルは 権限を有する人による評価のための QMS 証拠レビュー草案 です。

CLI の動作と安全性

同梱のすべての CLI は:

• Python 標準ライブラリのみを使用します;
• ネットワークリクエストを一切行いません;
• 範囲が制限されたローカル JSON を受け付けます。任意の証拠検証は、範囲が制限された ローカル JSON/Markdown のみを受け付けます;
• シンボリックリンク入力、重複する JSON キー、非有限数、過剰な サイズ/ネスト/項目数、および安全でない証拠パスを拒否します;
• 動的評価、実行可能なデシリアライゼーション、pickle、シェル実行を使用しません;
• --force が明示されない限り、レポートの上書きを拒否します; および
• 決定論的にソートされた JSON を生成します。

マニフェスト自体を管理された組織の記録として扱ってください。任意の SHA-256 比較は、ローカルファイルの不一致のみを検出します。それは来歴、 真正性、妥当性、またはユーザー提供のマニフェストへの信頼を確立するものではありません。JSON の local_path フィールドおよび evidence.location フィールドの値は、ユーザーの管理されたエクスポートを 指しており、同梱のスキルリソースを指すものではありません。未解決のプレースホルダーは決して開いてはなりません。

終了コード:

• 0: 指定されたフィールドに構造上の所見なし; コンプライアンスの結果ではありません;
• 1: 構造上/証拠上のギャップが見つかりました;
• 2: 無効または安全でない入力/出力。

各インターフェースについては python3 scripts/<name>.py --help を実行してください。

テンプレート

• assets/templates/quality-manual-template.md
• assets/templates/procedures/CAPA-procedure-template.md
• assets/templates/procedures/document-control-procedure-template.md
• assets/templates/scope-intake-template.json
• assets/templates/document-register-template.json
• assets/templates/capa-record-template.json
• assets/templates/traceability-matrix-template.json
• assets/templates/qmsr-transition-template.json
• assets/templates/evidence-manifest-template.json
• assets/templates/supplier-controls-template.json

すべてのテンプレートは意図的に draft/pending であり、プレースホルダーを使用し、 担当者/ステータス/証拠/承認のフィールドを含みます。それをコピーして管理してください。 配布されたテンプレートを、承認済み記録であるかのように編集してはなりません。

リファレンス

• references/iso-13485-requirements.md — プロセス/証拠フレームワークと保証の境界
• references/mandatory-documents.md — 文書化と記録のアーキテクチャ
• references/gap-analysis-checklist.md — フェイルクローズドな証拠レビューの質問
• references/quality-manual-guide.md — 管理されたマニュアルの作成
• references/source-ledger.md — 日付付きの権威ある公式ソースのベースライン