iso-standards-readiness

ISO 規格への適合準備に向けたエビデンスの準備

目的

このスキルは、名称を指定した規格に照らした実質的な人によるレビューに向けて、宣言された適用範囲、管理文書、実施記録、トレーサビリティ、準備状況のエビデンスを整理するために使用します。プロセスのワークフローを要約し、決定論的なローカルチェックを提供します。条項の本文は含まず、監査も実施しません。

これはルーターです。SKILL.md には、境界、レーンの規律、共通ワークフロー、CLI の契約が記載されています。規格ごとの詳細は references/ にあります。

譲れない境界

このスキルでは、以下のことはできません。

• 認証または認定を行う、証明書・認定スケジュール・ライセンスを発行または検証する、あるいは監査・審査・検査の結果を約束すること。
• 法令・規制の適用性、機器の分類、報告義務、適合性評価ルート、製品の認可、市場アクセス、ライセンス取得、人員の適格性、適合性を判断すること。
• 権限を有する経営陣、管理責任者、検査機関の所長、品質管理者、権限を有する署名者、RA/QA、法律顧問、規制当局・所管官庁、認証機関、MDSAP 審査機関、認定機関、審査員、認証機関の代わりを務めること。
• 方法を検証する、測定の不確かさを算出または承認する、計量トレーサビリティを確立する、リスク受容基準を設定する、あるいはリスク、決定ルール、基準範囲が目的に適しているかを判断すること。
• テンプレート、チェックリスト、ファイル名、キーワード、文書数、割合、スクリプトの結果から、実施状況、力量、適合性、コンプライアンス、準備状況を推測すること。

出力には必ず権限を有する人によるレビュー用の、エビデンス準備資料のドラフトと明記してください。未解決の判断事項は解決せず、ブロッカーとして残してください。

ISO および IEC の著作権

ISO および IEC の規格は著作権で保護されています。各規格はISO、IEC、ISO の各国会員機関、またはその他の正規の提供元から入手してください。条項の本文を取得、貼り付け、複製、生成しないでください。組織独自のプロセスを要約し、管理対象の正規の複製を引用してください。ISO の著作権を参照してください。要求事項を引用した認定機関、CAP、スキームのチェックリストには個別のライセンスが適用されます。これらも共有リポジトリやプロンプトに含めないでください。

対象規格

エビデンスを準備する前に、対象規格のリファレンスファイルを読んでください。それぞれに、独自の現行版、レーン、分野の用語、失敗モードが定められています。

規格	プロファイルキー	レーン	リファレンス
ISO 13485 医療機器 QMS	iso-13485	認証	references/iso-13485.md
ISO 14971 機器のリスクマネジメント	iso-14971	独自のレーンなし	references/iso-14971.md
ISO/IEC 17025 試験所および校正機関	iso-17025	認定	references/iso-17025.md
ISO 15189 臨床検査室	iso-15189	認定	references/iso-15189.md

この表にない規格は、同梱されたチェックの対象外です。指定されていない規格にプロファイルを流用しないでください。別の規格の分野用語を借用すると、完全に見えて実際には何の意味も持たないレポートができあがります。

現在のベースライン（時期に関わる記述をする前に台帳を確認してください）

• ISO 13485:2016 第3版。2025年の定期レビュー後も有効であることが確認されています。 EN ISO 13485:2016/A11:2021 は欧州の追補であり、ISO 国際規格の 「Amendment 1:2021」ではありません。
• ISO 14971:2019 第3版。2025年に有効であることが確認されており、 ISO/TR 24971:2020 が参考指針として付属します。ISO 14971 の認証書はありません。
• ISO/IEC 17025:2017 第3版は引き続き有効です。後継版は確認されていません。
• ISO 15189:2022 第4版は2012年版に取って代わり、従来 ISO 22870 に含まれていた POCT の要求事項を取り込みました。認定移行期間は 2025年12月に終了しており、これからではなく、すでに実施済みです。
• FDA QMSR は 2026-02-02 から有効となり、施行されています。Part 820 の名称は Quality Management System Regulation です。QSIT は廃止され、 Compliance Program 7382.850 に置き換えられました。
• MDSAP の現行監査アプローチは MDSAP AU P0002.010、バージョンの日付は 2026-02-02 です。
• 認定の相互承認： Global Accreditation Cooperation Incorporated は 2026-01-01 に本格運用を開始し、ILAC と IAF に取って代わりました。同組織独自の MRA を 運用しています。移行期間中は、従来の IAF MLA／ILAC MRA に基づく成果物も引き続き認められます。
• EU： 現行の統合版 MDR／IVDR、現行の OJEU 整合規格に関する決定、現行の MDCG ガイダンス、 および製品固有の適合性評価ルートを使用してください。

時期に関わる記述をする前に references/source-ledger.md を確認してください。ISO カタログとの 照合が引き続き必要な項目など、出典に関する制限が記録されています。

保証の各区分を混同しない

ここで重大な誤りのほとんどを引き起こすのは、文書の不足ではなく、区分の混同です。 認証、認定、規制当局による査察、義務的な免許、規制上の監査プログラム、および製品の適合性評価は、 それぞれ異なる機関が異なる基準に基づいて決定するものであり、いずれも他のものの代わりにはなりません。 常に違反されているルールが2つあります。

• 組織は認証を受け、試験所は認定を受けます。「ISO 17025 certified」や「ISO 15189 certified」は、カテゴリーの取り違えです。
• 認証書が規制当局に取って代わることはありません。ISO 13485 認証を受けても FDA の査察が免除されるわけではなく、 ISO 15189 認定を受けても CLIA の要件を満たすわけではありません。

区分ごとの完全な表、適用範囲の記述に関する制限、およびタイトル付けのルールについては、 references/assurance-lanes.md を確認してください。

基本ワークフロー

Step 1: 規格、目的、権限を持つ責任者を明示する

規格、作業が支援する区分、責任者を明記します。責任者には、経営者代表または試験所責任者、 品質責任者、法務／適用可能性の責任者、プロセスまたは技術の責任者、承認者、およびエスカレーション先を含めます。 区分は明示された入力であり、推測してはなりません。

PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_scope_intake.py \
  assets/templates/scope-intake-template.json --standard iso-13485

該当するテンプレートとプロファイルを使用します。

プロファイル	テンプレート
iso-13485, iso-14971	assets/templates/scope-intake-template.json
iso-17025	assets/templates/laboratory-scope-intake-template.json
iso-15189	assets/templates/medical-laboratory-scope-intake-template.json

--standard の既定値は iso-13485 です。配布されているすべてのテンプレートは、意図的にフェイルクローズになるよう設計されています。 テンプレートをこのスキルの外部にコピーし、組織で管理された証拠を用いて記入してください。 適用可能性が未確定の場合は HUMAN_DECISION_REQUIRED が発生します。ブロッカーとして残してください。

Step 2: 出典／バージョンの証拠を確定する

すべての規格、規制、ガイダンス、制度文書、監査モデル、および製品の出典について、発行元、 正式名称、版／バージョン／日付、認可された保管場所、アクセス日と最新版確認日、適用範囲／適用可能性の責任者、 影響評価、ステータス、証拠、および承認を記録します。

検索結果のスニペットを、管理された要求事項として使用しないでください。発行元が新版を公開した際に、 参照先の版を黙って更新しないでください。FDA が取り込んだのは特定の ISO 13485 版であり、 その後に ISO または EN が新版を発行しても、その版は変更されません。

ステップ 3：管理対象文書と記録のインベントリを作成する

手順書の名称を数えたり、キーワードを検索したりしないでください。文書、記録、出典のバージョン、担当者、承認、発効日、保持の根拠、トレーニング、変更記録を関連付けた明示的な台帳を作成してください。

PYTHONDONTWRITEBYTECODE=1 python3 scripts/audit_document_records.py \
  assets/templates/document-register-template.json

このチェックは規格に依存しません。エビデンスアーキテクチャについては、references/evidence-architecture.md を参照してください。

ステップ 4：プロセスの実施状況をレビューする

プロファイルで宣言したドメイン全体について、管理対象の手順とサンプル記録を評価してください。ドメインの一覧は規格ごとのリファレンスファイルに記載されています。各項目に、担当者、ステータス、エビデンス ID、出典／バージョン、承認、未解決のギャップへのリンクを記載してください。

活動を説明する手順書は、その活動が実施されたことのエビデンスではありません。報告する各ドメインで記録をサンプリングし、何をサンプリングし、何をサンプリングしなかったかを明記してください。

ステップ 5：該当するレーンに特化したチェックを実行する

デバイスレーン（iso-13485、iso-14971）—リスク／設計／製造／市販後の連鎖：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_traceability.py \
  assets/templates/traceability-matrix-template.json

すべての規格 — 是正処置と有効性：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_capa.py \
  assets/templates/capa-record-template.json

すべての規格 — 校正機関、標準物質の供給業者、紹介先または委託先の検査機関など、サプライヤーならびに外部から提供される製品およびサービス：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_supplier_controls.py \
  assets/templates/supplier-controls-template.json

CAPA の有効性に関するエビデンスが保留中または有効でない場合、クローズはできません。重要なサプライヤーの管理は、リスクに基づく管理策と承認がエビデンスで確認できるまで保留のままにしてください。

check_traceability.py は設計およびリスクのトレーサビリティを対象とし、計量学的トレーサビリティではありません。同じ語が使われていますが、検査機関の業務には適さないツールです。

ステップ 6：レーン固有の規制当局向けエビデンスは別途対応する

米国のデバイスレーンのみ：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_qmsr_transition.py \
  assets/templates/qmsr-transition-template.json

現行の Part 820／FDA の出典根拠、補足条項、旧式の QSR／QSIT 参照、発効日前の記録、検査時に閲覧可能なマネジメント／品質／サプライヤー監査記録、現行の検査プロセスに関するトレーニング、苦情およびサービス記録、ラベリング／包装管理、サプライヤー／ソフトウェア／変更に関するエビデンス、ならびに禁止されている証明書の同等性に関する主張をレビューしてください。旧 820 と ISO の条項対応表を、現行の管理フレームワークとして作成しないでください。

検査機関のレーンには、これに相当する一括チェックはありません。CLIA、ライセンス、および各国の検査に関するエビデンスは、権限を持つコンプライアンス担当者が管理します。references/iso-15189.md を参照してください。

ステップ 7：対象範囲を限定した準備状況マニフェストを作成する

エビデンステンプレートをスキルの外部にコピーしてください。ローカルの .json、.md、または .markdown エビデンスへの相対パスのみを使用し、マニフェストごとに宣言するレーンの目的は 1 つにしてください。

PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_evidence_manifest.py \
  /path/to/evidence-manifest.json \
  --standard iso-17025 \
  --base-dir /path/to/controlled-export \
  --verify-files \
  --output /path/to/manifest-report.json

次に、同じプロファイルを基準として、ドメインレベルのギャップビューを生成します。

PYTHONDONTWRITEBYTECODE=1 python3 scripts/gap_analyzer.py \
  /path/to/evidence-manifest.json \
  --standard iso-17025 \
  --base-dir /path/to/controlled-export \
  --verify-files \
  --output /path/to/gap-report.json

アナライザーは、明示的なマニフェストラベルを使用します。ファイル名、キーワード、または独自の規格文書からエビデンスを推測せず、コンプライアンススコアも計算しません。expected_domains に含まれていないドメインは not-assessed と報告されますが、これは該当なしとの判定ではありません。

クローズドなレビューに関する確認事項は、references/gap-analysis-checklist.md を参照してください。

ステップ 8：人によるレビューと管理された引き継ぎ

以下を提示してください。

• 宣言した規格、範囲、保証レーン、および未解決の適用可能性に関する判断；
• 正確な出典／バージョンのベースライン；
• サンプリングしたエビデンスと、そのサンプルの限界；
• プロセスとリスクごとに分類した構造上の所見；
• 担当者と日付を含むアクション、変更、CAPA；
• 承認状況；および
• 次の判断に責任を持つ権限者。

成果物に「証明書」、「認定」、「コンプライアンスレポート」、「監査合格」、「みなしステータス」、「検査準備完了」というタイトルを決して付けないでください。適切なタイトルは、作成対象のレーンを明記した Draft evidence review for authorized human assessment です。

CLI の動作と安全性

同梱されているすべての CLI は、以下のとおりです。

• Python 標準ライブラリのみを使用します。
• ネットワークリクエストを実行しません。
• サイズに上限のあるローカル JSON を受け付けます。オプションのエビデンス検証では、サイズに上限のあるローカル JSON／Markdown のみを受け付けます。
• シンボリックリンクの入力、重複する JSON キー、非有限数、過大なサイズ／ネスト／項目数、安全でないエビデンスパスを拒否します。
• リストにない --standard の値は、デフォルト値にフォールバックせず拒否します。
• 動的評価、実行可能なデシリアライズ、pickle、シェル実行を使用しません。
• --force が明示されていない場合、レポートの上書きを拒否します。
• キーを決定的な順序で並べた JSON を生成します。

マニフェスト自体は、管理された組織記録として扱ってください。オプションの SHA-256 比較で検出できるのはローカルファイルの不一致のみです。ユーザーが提供したマニフェストの出所、真正性、妥当性、信頼性を確立するものではありません。JSON の local_path および evidence.location フィールドの値は、ユーザーが管理するエクスポートを参照するものであり、同梱されたスキルリソースを参照するものではありません。未解決のプレースホルダーを開いてはなりません。

終了コード：

• 0：指定されたフィールドに構造上の指摘事項がありません。ただし、コンプライアンス、適合性、力量、認定の結果を示すものではありません。
• 1：構造上またはエビデンス上の不足が見つかりました。
• 2：標準のリストにない値を含む、無効または安全でない入力／出力がありました。

各インターフェースについて、python3 scripts/<name>.py --help を実行してください。

テンプレート

プロファイルごとのスコープ受付：

• assets/templates/scope-intake-template.json — デバイスのライフサイクル
• assets/templates/laboratory-scope-intake-template.json — 試験／校正
• assets/templates/medical-laboratory-scope-intake-template.json — 検査

共通の台帳と記録：

• assets/templates/document-register-template.json
• assets/templates/capa-record-template.json
• assets/templates/traceability-matrix-template.json
• assets/templates/supplier-controls-template.json
• assets/templates/evidence-manifest-template.json
• assets/templates/qmsr-transition-template.json — 米国のデバイス向けレーンのみ

マネジメントシステムの文書：

• assets/templates/quality-manual-template.md
• assets/templates/procedures/CAPA-procedure-template.md
• assets/templates/procedures/document-control-procedure-template.md

すべてのテンプレートは、意図的に draft／pending としてあり、プレースホルダーを使用し、担当者／ステータス／エビデンス／承認の各フィールドを含んでいます。コピーして管理してください。配布されたテンプレートを編集して、承認済みの記録と称するものを作成してはなりません。

参考資料

共通：

• references/assurance-lanes.md — 各レーンで判断する内容と、名称付けのルール
• references/source-ledger.md — 日付入りの権威ある情報源の基準と、出所に関する制約
• references/evidence-architecture.md — 文書および記録の構成
• references/gap-analysis-checklist.md — エビデンスレビューでのフェイルクローズ方式の確認事項
• references/quality-manual-guide.md — 管理対象となるマニュアルの作成

規格ごと：

• references/iso-13485.md — デバイス QMS のプロセス／エビデンスのフレームワーク、QMSR、MDSAP、EU
• references/iso-14971.md — リスクマネジメントの連鎖と、リンク欠落による障害モード
• references/iso-17025.md — 試験所の力量、トレーサビリティ、不確かさ、判定ルール
• references/iso-15189.md — 医療検査室、POCT、報告、CLIA レーン

エージェントの運用手順

1. 環境を確認します。 調査の目的、制約（予算、時間、倫理面）、およびユーザーが下す必要のある判断を明確にします。
2. 入力を特定します。 データまたはユーザーから、形式、識別子、パラメーターを確認します。結果を左右する値を推測せず、質問してください。
3. まず小規模に実行します。 選択肢の短い候補リストを、明示的な前提とともに提示してから、候補を絞り込みます。
4. 上記の指示と参考資料を使用して、タスク全体を実行します。
5. 結果を検証します。 前提を明記し、明示的な基準に基づいて代替案を比較し、統計計画には検出力と解析方法の選択を含めます。
6. 報告します。 実行した内容（バージョン、コマンド、パラメーター）、確認した内容、未確定の内容を明記します。

次のような場合	対応
設計上の選択が不明な効果量やコストに左右される	単一の推測値ではなく、シナリオ（楽観的、予測的、悲観的）を提示します。
これらの指示に記載された関数、フラグ、エンドポイントがインストール済みのバージョンにない	インストール済みバージョンのドキュメント（help()、--help、公式ドキュメント）を確認し、適宜対応してユーザーに伝えます。API を捏造してはいけません。
必須の入力、識別子、パラメーターが曖昧	ユーザーに質問するか、実行前に前提を明示します。

誠実性に関するルール

• 結果、パラメーター、識別子、引用、統計値を決して捏造しません。実行または検証できない場合は、その旨を明確に伝えます。
• 推測には推測であることを明記し、確立された根拠と新たな仮説を区別します。
• ここに記載されたバージョン固有の詳細は古くなっている可能性があるため、インストール済みバージョンの公式ドキュメントで確認します。
• 金銭がかかる操作、共有 GPU やクラウドのクォータを消費する操作、個人データや患者データを扱う操作、または取り消せない操作の前には、ユーザーに確認します。

関連スキル

• analytical-method-validation：Python スクリプト（plan_validation、check_response、check_a…）を使用して、分析法のバリデーション、検証、移管を計画・評価します