トピック1.5 — 規制とコンプライアンスの全体像

一文で言うと： デジタルヘルス・ケアにおけるコンプライアンスは、法務上の後回しではなく、重なり合う法定義務、必須の標準、任意のアシュアランスの地図であり、リスクに見合った形で、明確な責任者を置いて、意図的に進まなければなりません。誤れば、それは単なる罰金ではなく、安全、公平性、公的信頼の失敗だからです。

医療・ケアにおいてなぜ重要か#

多くのセクターでは、規制は最低ラインを定めるものです。従えば、罰則を避けられます。医療・ケアでは、規制の全体像は、デジタルシステムがうまくいかなかったときにどのように人を傷つけるかについて、苦労して得た教訓を符号化しています。誤って表示された用量、失われた記録、偏ったアルゴリズム、人が持つ最も機微なデータを晒す情報漏えいです。ここでのコンプライアンスは、そうした害について考えたことがあるかどうかの代理指標です。コンプライアンスを書類仕事として扱うリーダーは、自分がそれを考えていないと告白しているのです。

その全体像は実際に混み合っており、それが困難の源です。患者向けのアプリ一つが、同時に、ある機関に規制される医療機器であり、別の機関の管轄の下で個人データを処理し、国の評価を通過して初めて調達され、ケアの規制当局に検査されるサービスの一部であり、かつ、それぞれの専門職規制当局に責任を負う臨床家によって作られている、ということがありえます。この地図を一貫した全体として書いた人はおらず、それは積み重なってできたものです。リーダーとしての仕事は、すべての規則を暗記することではなく、地形の形を把握することです。誰が何を所管し、どの文書が必須で、どれが助言にとどまり、自分のサービスがその中のどこにあるかです。

最後に、これは公費であり法定義務です。準拠していないシステムを導入すれば、組織を執行措置にさらすだけでなく、患者や市民に対して負う義務に違反し、合法的には運用できないものに公費を使うことになりかねません。そのため本トピックは、後に続く、より詳細なトピックの枠組みを示します。臨床安全（トピック1.6 — 臨床安全とリスクマネジメント）、情報ガバナンス（トピック1.7 — 情報ガバナンス、データ保護、サイバーセキュリティ）、データ倫理（トピック1.8 — データ倫理、同意、国民の信頼）、アシュアランス（トピック6.4 — ガバナンスとアシュアランス）です。本トピックは水先案内であり、それらが詳細な海図です。

中核概念#

義務の3つの階層。 最も有用な区別は、法定の規制、必須の標準、任意のアシュアランスの間にあります。法定の規制は法律であり、法的権限を持つ規制当局によって執行され、交渉の余地はありません（例：データ保護法、医療機器を登録する要件）。必須の標準は、一次立法でなくても、システムの中で活動するために満たさなければならない、契約上または方針上の要件です。たとえば、調達がそれを条件とする、国のNHSの文書です。任意のアシュアランスは、信頼を築き、調達を勝ち取り、将来の規制を先取りするために、認知されたベンチマークに対して品質を示すことを自ら選ぶものです。ある要件がどの階層にあるかを知ることで、それを満たさなかった場合に何が起こるか、つまり訴追、市場からの排除、評判上の不利益のいずれかがわかります。

ケア品質委員会（CQC）。 Care Quality Commissionは、イングランドの医療と成人の社会的ケアの独立した規制当局です。提供者を登録し、検査し、サービスが安全か、効果的か、思いやりがあるか、応答的か、良くリードされているかについて評価します。デジタルサービスもその対象です。技術がケア提供の一部であれば、安全とリーダーシップについてのCQCの問いは、運用するシステムにも及び、その「良いリーダーシップ」の領域は、ますますデジタルとデータの成熟度を探るようになっています。

MHRAと医療機器。 Medicines and Healthcare products Regulatory Agency（MHRA）は、英国の医薬品と医療機器を規制します。決定的なのは、ソフトウェアが医療機器になりうることです。医療機器としてのソフトウェア（SaMD）は、ハードウェア機器の一部でなく、診断、予防、モニタリング、治療といった医療目的を意図したソフトウェアです。アプリが用量を計算したり、症状をトリアージしたり、画像を解釈したりするなら、それは医療機器である可能性が非常に高く、市場に出す前に、分類され、登録され、適切な適合マークを付けなければなりません。

適合マーク：UKCAとCE。 グレートブリテンの市場に置かれる医療機器には、UKCAマーク（UK Conformity Assessed）、つまりCEマーク（Conformité Européenne）の、EU離脱後の英国版が必要です。現時点では、CEマーク付きの機器は経過措置の下でグレートブリテンでも受け入れられ、北アイルランドはEUの規則に従うため、必要なマークは、機器をどこに置くかによります。これは刻々と変わる領域であり、正確な要件は、想定するのではなく確認すべきものとして扱ってください。

NICEとEvidence Standards Framework。 National Institute for Health and Care Excellence（NICE）は、何が有効で、何が費用対効果に優れるかについてのガイダンスを作成しています。デジタルヘルス技術向けのEvidence Standards Framework（ESF）は、リスクに見合って、システムが採用する前にデジタル製品が示すべきエビデンスを定めています。NICEはMHRAのような免許の門番ではありませんが、その判断はコミッショニングに大きな影響を与えます。MHRAの登録を通過すれば、機器が販売して安全であることが証明され、NICEに整合したエビデンスの期待を満たすことは、購入する価値があることの証明に役立ちます（トピック1.3 — エビデンスに基づく意思決定参照）。

ICOとデータ保護法。 Information Commissioner's Office（ICO）は、データ保護と情報公開に関する英国の独立した規制当局です。英国の一般データ保護規則（GDPR）と2018年データ保護法を執行し、これらが個人データを適法に処理できる方法を規定します。健康データは「特別な種類」であり、最も強い保護が適用されます。ICOは調査を行い、変更を命じ、多額の罰金を科すことができます。実質的な内容はトピック1.7で扱います。ここでは単に、ICOがデータ保護の規制当局であり、健康データはより高い基準を課されることを押さえてください。

NHSの必須文書。 一次法とは別に、NHSは独自の必須文書を運用しています。Data Security and Protection Toolkit（DSPT）は、NHSの患者データを扱うすべての組織が、データセキュリティと情報ガバナンスの標準を示すために完了しなければならない、年次の自己評価です。Digital Technology Assessment Criteria（DTAC）は、デジタルヘルス技術がNHSの組織に調達されるために満たすべき基準線であり、臨床安全、データ保護、技術的セキュリティ、相互運用性、使いやすさにわたります。臨床安全標準のDCB0129（製造者向け）とDCB0160（導入する組織向け）は、ハザードログ、臨床安全責任者、安全性ケースといった、文書化された臨床リスクマネジメントのプロセスを義務づけ、トピック1.6の背骨をなしています。

専門職の規制当局。 製品だけでなく、人も規制されています。General Medical Council（GMC）は医師を登録し、標準を定め、Nursing and Midwifery Council（NMC）は看護師と助産師に対して同じことを行います。臨床家がデジタルサービスを設計し、承認し、運用するとき、その専門職としての義務は彼らとともに移動します。システムを承認する臨床安全責任者は、組織図上の役割だけでなく、専門職としての説明責任の下で行動しているのです。

視野と文脈：EUの制度。 EU域外であっても、AI法と規則（EU）2017/745（EU医療機器規則、MDR）は重要です。進む方向を示し、EU市場や北アイルランドにサービスを提供するなら拘束し、英国の規則が次にどこへ向かうかをしばしば先取りして示します。そうした変化を見渡すホライズンスキャニング自体が、コンプライアンスの規律です。

コンプライアンスマップと台帳。 コンプライアンスマップは、自分のサービスについて、3つの階層にわたる適用可能なすべての義務を一覧にし、コンプライアンス台帳は、それぞれについて状況、責任者、エビデンス、見直し日を記録します。両者が合わさって、拡散した全体像を、管理され、監査可能な立場へと変えます。「準拠していると思う」と「各義務について、責任者の名前と最新のエビデンスはこれだ」との違いです。

ベストプラクティス#

1. 統制を議論する前に、自分のサービスを分類する。 最初の問いは「準拠しているか」ではなく、「私たちは法的に何者か」です。自分の製品が医療機器か（そしてそのリスククラス）、データ管理者か処理者か、どのNHSの必須文書が適用されるかを、早期に判断します。分類を誤れば、その先のあらゆる判断が誤りになり、正しく行えば、上記のどの階層と機関が実際に自分を拘束するかがわかります。

2. 生きたコンプライアンスマップと台帳を構築し、維持する。 サービスについて、法定の規制、必須の標準、任意のアシュアランスにわたる適用可能な義務をすべて列挙し、それぞれに責任者、現在の状況、裏づけとなるエビデンス、次回の見直し日を記録します。それを、ビジネスケースのために一度書いて二度と開かない文書ではなく、予定に沿って見直される生きたものに保ってください。良い台帳は、いつ何時でも「この義務は誰のもので、エビデンスはどこにあるか」に答えます。

3. 各義務に、一人の名前での説明責任を割り当てる。 責任の拡散こそが、コンプライアンスが失敗する仕方です。誰もが、ほかの誰かが担っていると思い込みます。各義務に、名前のある責任者を与えます。データ保護責任者にはデータ保護を、臨床安全責任者にはDCB0129/0160を、上級情報リスク責任者にはDSPTを。そしてマップの責任者の欄を、それを果たす権限と時間とともに、現実のものにします。名前の付かない説明責任は、説明責任ではありません。

4. 形式的なチェックではなく、比例的でリスクに基づいて対応する。 規制には、エビデンスと同じ比例性がふさわしいものです（トピック1.3参照）。患者、公平性、信頼へのリスクが最も高いところに厳密さを集中させ、低リスクの仕事は軽く保ちます。形式的なコンプライアンス、つまり書式を完成させながら趣旨を外すことは、無駄であると同時に危険です。偽りのアシュアランスを作り出すからです。各要件の目的を満たすことを目指してください。通常、それは文言も満たします。

5. NHSの必須文書を、出口の関門ではなく、設計への入力として扱う。 DTAC、DSPT、DCB0129/0160は、稼働直前に付け足すのではなく、最初からデリバリーに組み込むのが、最も安く最も効果的です。ローンチ時に発見されたDTACの不合格は、数か月を失わせかねず、後から組み立てられた臨床安全性ケースは、薄く説得力を欠きます。これらの文書を、ディスカバリーとデリバリーに折り込み、それを満たすことが、うまく働くことの副産物になるようにします。

6. 規制の変化をホライズンスキャンし、その対応に責任を持つ。 規制は動きます。UKCAのスケジュールは変わり、EUのAI法は段階的に発効し、医療機器としてのソフトウェアの制度は進化します。関連する規制当局と意見募集を追跡する担当を置き、コンプライアンスマップに対する短い「規制変更」のウォッチリストを維持し、期限が緊急事態になる前に、シグナルを計画された仕事に変えます。事前にわかっていた規則変更に不意を突かれるのは、避けられる、自ら招いた失敗です。

7. エビデンスを継続的に保ち、監査に耐える状態にする。 規制当局、コミッショナー、CQCの「良いリーダーシップ」のレビュー担当者は、主張ではなく示すことを求めます。ハザードログ、データ保護影響評価、DSPTの提出物、DTACのエビデンスを、検査のプレッシャーの下で再構築するのではなく、最新で取り出せる状態に保ってください。継続的なエビデンスは、それが置き換える定期的な駆け込みより安くもあります。

8. 規制当局ごとに縦割りにせず、横断的に調整する。 一つのサービスは多くの機関に関わるため、そのコンプライアンス機能は互いに話し合わなければなりません。臨床安全、情報ガバナンス、プロダクトオーナーは、サービスについて、切り離された三つではなく、一つの見方を共有すべきです。MHRAを満たす変更が、データ保護の問題を生むことがあり、UXの修正が、臨床リスクのプロファイルを変えることもあります。コンプライアンスを、より広いガバナンス（トピック6.4 — ガバナンスとアシュアランス）に結びつけた、一つの調整された姿として運営してください。

チームで話し合うための問い#

1. 主力のデジタルサービスについて、適用されるすべての規制当局と必須の標準、それぞれの責任者、現在のエビデンスの所在を、誰かが調べに行かなくても挙げられるか。 これは、地図を実際に持っているのか、それとも準拠していると信じているだけなのかを試します。医療・ケアでは義務が実際に重なるため、これは重要です。トリアージのアプリは、MHRAの下での医療機器であり、ICOの下でのデータ処理の運用であり、DTACを要する調達対象の技術であり、CQCが検査するサービスの一部でもありえます。どの階層の穴も、サービスを止めたり、患者を傷つけたりしかねません。浮かび上がらせるべき緊張は、「IGが対処している」や「規制されているのはサプライヤーで、私たちではない」と想定する安心と、各義務について名前付きの責任者と生きたエビデンスを確認する居心地の悪さの間にあります。サービスを具体的に検討してください。機関を列挙し、各義務を階層（法定、必須、任意）に位置づけ、そのうち三つについて、その場で最新のエビデンスを出してみます。出せないなら、最初のギャップを見つけたことになります。良い誠実な答えは、責任者の名前と日付入りのエビデンスが入力されたコンプライアンス台帳であり、自信ありげに「準拠している」と手を振るのではなく、現時点で責任者がいない、あるいはエビデンスのない義務について、率直に述べます。

2. 私たちは、どこで形式的なコンプライアンス、つまり書式を満たしながら要点を外していて、どこで低リスクの仕事を作り込みすぎているか。 本トピックは、比例的でリスクに基づくコンプライアンスを主張しており、この問いは、両方向の失敗を正直に確認させます。安全性が重要な環境では、偽りのアシュアランスは積極的に危険なので、これは重要です。「満たしている」とされたDSPTや、稼働の一週間前に組み立てられた臨床安全性ケースは、コンプライアンスに見えながら、現実のハザードを管理されないまま残しうるのに対し、低リスクのコンテンツ変更を抑え込む重いアシュアランスのプロセスは、希少なキャパシティを浪費し、制度全体への冷笑を生みます。議論すべきトレードオフは、比例性には判断と、それを擁護する自信が必要であり、すべてを高リスクとして扱う画一的なルールより、運用が難しいことです。現在の案件を二、三取り上げてください。一つは本当に高リスク、一つは低リスクのもので、適用した厳密さが、患者、公平性、信頼へのリスクに見合っていたか、それとも習慣と恐れに動かされたかを問います。DTACとDCB0129/0160の作業が、本当に設計を形づくっているのか、通過するために逆算されているのかを考えてください。良い答えは、形式的なチェックの具体例と作り込みすぎの具体例を挙げ、あらゆる場所に一つの鈍い基準を当てはめるのではなく、厳密さをリスクに合わせて調整することを約束します。

3. 私たちに影響する規制が変わろうとしていることを、どうやって知るのか。そして、そのシグナルを計画された仕事に変える責任は誰にあるのか。 これは、期限に不意を突かれる組織と、それに備える組織を分ける規律、ホライズンスキャニングを探ります。UKCAとCEマークのスケジュール、医療機器としてのソフトウェアの制度、段階的に発効するEUのAI法、進化するNHSの文書と、この領域は現在、異例なほど動いているため、これは重要です。来るとわかっていながら備えなかった規則変更は、サービスを市場から引き離しうる、自ら招いた傷です。緊張は、ホライズンスキャニングには即効性のある見返りがないため、デリバリーのプレッシャーの下で真っ先に切り捨てられ、その不在は、期限が来るまで見えないことです。現在、誰が関連する規制当局と意見募集を追跡しているか、コンプライアンスマップに結びついたウォッチリストがあるか、シグナルが、誰かの受信箱の中の心配事ではなく、責任者と日付の付いたチケットになる仕組みがあるかを探ってください。サービスのうち、北アイルランドやEU向けの部分だけに影響する変更を、そもそも耳にするだろうかも考えます。良い答えは、規制のホライズンスキャニングを担う人または役割を挙げ、具体的なウォッチリストを示し、迫っている変更を期限前に計画された仕事に変えた直近の例を説明します。

4. 自分たちが何者か、つまり医療機器かどうか、管理者か処理者かを正直に分類したか。それとも、負担を軽くする解釈を静かに選んでいないか。 これは、本トピックで最も重大な決定を表に出させます。分類はその先のすべての義務を左右し、自分を欺きやすい場所だからです。誘因はすべて一方向に引っ張るため、これは重要です。製品を、医療機器としてのソフトウェアではなく「ウェルネスアプリ」と呼んだり、管理者ではなく「処理者」と呼んだりすれば、コスト、エビデンス、精査を避けられます。しかし、アルゴリズムがデータを解釈して臨床行動に情報を与えるなら、あるいは処理の目的を自分が決めているなら、誠実な分類は任意ではなく、規制当局は、あなたの好みにかかわらずそれを適用するでしょう。緊張は、より安い解釈は、内部の会話を乗り切るには十分に擁護できても、MHRAやICOの照会には通用しないことが多く、誤った分類は、執行措置とNHSへの営業パイプラインの崩壊への最短ルートだということです。具体的に検討してください。製品が実際に何をするかを述べ、創業者の勘ではなく法的助言を得て、同じ事実を規制当局が読んだときに、自分が述べたクラスが通用するかを試します。良い誠実な答えは、助言を得て早期に到達した文書化された分類を示し、誰が承認したかを挙げ、際どい判断があればそれについて、製品が変わるにつれてどう見直しを続けているかとともに率直に述べます。

5. サービスへの一つの変更が、同時に複数の規制当局に関わるとき、私たちのコンプライアンス機能は、共有された一つの姿を見ているか、それとも切り離された三つの姿を見ているか。 これは連携を試します。臨床安全、情報ガバナンス、プロダクトがそれぞれ部分的な見方を持つときに、本トピックが警告する失敗です。一つのサービスは実際に複数の機関にまたがるため、これは重要です。トリアージのアプリのUXの変更は、臨床リスクのプロファイルを変えうるし、MHRAを満たす修正は、データ保護の問いを生みうるし、DTACの要件は、そのすべてに影響します。縦割りの構造では、コンプライアンスの立場の全体を誰も所有せず、変更がチームの間に落ちます。緊張は、専門機能は、もっともな理由で分野ごとに組織される一方、サービスは、患者には一つのものとして体験され、それらの見方を調整するには、どの単一チームにも資金を出す動機のない連携の労力がかかることです。サービスごとに共有のコンプライアンスマップが一つあるのか、私的なものがいくつもあるのか、一つの分野での変更が、ほかの分野でのレビューを確実に引き起こすのか、そしてこれが取締役会レベルのガバナンス（トピック6.4）にどう結びつくかを探ってください。良い答えは、各サービスについての単一の調整された見方を示し、影響を受けるすべての規制当局に対して、まとめて評価された最近の変更を説明し、専門分野がまだ縦割りで動いている箇所について正直です。

6. サービスがサードパーティのサプライヤーに依存している場合、どの義務が彼らのもので、どれが私たちに残るのかを正確に知っているか。それとも「彼らは規制されているから、私たちは守られている」と想定していないか。 これは、誤った分類と責任の拡散の両方が助長する、責任分担のギャップを浮かび上がらせます。規制された部品を購入しても、自分自身の義務は移転しないからです。サプライヤーが医療機器の適合マークを保持していても、導入する組織として、自分たちにはなおDCB0160の臨床安全性ケースの義務があり、患者のデータ管理者であり続け、サービスの運営についてCQCに対して責任を負います。そして「彼らのコンプライアンス」と「自分たちのコンプライアンス」の継ぎ目こそ、義務が落ちる場所であるため、これは重要です。緊張は、規制面だけでなく商業面にもあります。サプライヤーは、自分たちが負担を負うことを示唆する契約を好み、境界を正確にマッピングするより、その安心を受け入れたくなります。実際のサプライヤーとの関係を一つ検討してください。契約と彼らのマークが実際に何をカバーしているか、自分たちの法定または必須の義務として何が残るか、自分たちの台帳がその分担を、こちら側の責任者の名前とともに記録しているかを列挙します。良い誠実な答えは、サプライヤーの義務と、自分たちに残る義務を書面で区別し、残る義務ごとに責任者を挙げ、サプライヤーが持っていると想定するエビデンスではなく、自分たちが持っているエビデンスを示せます。

実践例：医療・ケアの事例#

ある統合ケアシステム（ICS）が、慢性疾患のある患者が症状を記録できるスマートフォンアプリの導入を計画しており、アルゴリズムを使って、悪化している可能性のある人を臨床レビューのためにフラグ付けします。「ただのアプリ」として扱って稼働させたい誘惑があります。

その代わりに、デジタル責任者は分類から始めます。アルゴリズムが患者データを解釈して臨床行動に情報を与えるため、法的助言は、それが医療機器としてのソフトウェアであることを確認し、MHRAの制度が適用され、サプライヤーはグレートブリテン市場に適した適合マークを保持していなければなりません。これは、CEの経過措置が進展するなかでチームが注視すべきとして挙げる、UKCAの問題です。ICSは患者データの管理者であるため、ICOのデータ保護義務が拘束し、データ保護影響評価が開始されます（トピック1.7へ）。NHSの組織に調達されるのでDTACが適用され、臨床利用に導入されるので、DCB0160は、臨床安全性ケース、ハザードログ、名前のある臨床安全責任者を要求します（トピック1.6）。

チームはコンプライアンスマップを作ります。各義務をその階層に置き、それぞれに、データ保護責任者、臨床安全責任者、上級情報リスク責任者、プロダクトリードといった名前付きの責任者を置き、状況とエビデンスを追跡する台帳を備えます。DTACや安全性ケースを稼働の関門として扱うのではなく、ディスカバリーからデリバリーに折り込み、ハザードログが設計とともに成長するようにします。NICEのEvidence Standards Frameworkが、拡大する前にサプライヤーに求める有効性のエビデンスを形づくります。ホライズンスキャンのメモは、EUのAI法が、アルゴリズムの将来と、EU向けの野心にとって関連があることを指摘します。のちにCQCがサービスのリーダーシップをレビューするとき、ICSは「良いリーダーシップ」の問いに、駆け込みではなく、生きた台帳と最新のエビデンスで答えます。アプリは、素朴な計画より遅れて、しかし適法に出荷されます。

セクター別の視点#

同じ全体像でも、自分がどこにいるかによって、課される負担はまったく異なります。

スタートアップ#

小さなデジタルヘルス企業は、医療機器とDTACの制度を最も鋭く感じます。それらをクリアするには、持っていないかもしれない資金と時間がかかるため、過小に分類して、製品は医療機器ではなく「ただのウェルネスアプリ」だと主張し、負担を避けたくなります。それは取りうる最も危険な手です。誤った分類は、執行措置とNHSの営業パイプラインの崩壊への最短ルートです。規律ある道は、早期に正直に分類し、軽量だが本物のコンプライアンスマップを作り、DTACと清潔なデータ保護の姿勢を、NHS市場への障害ではなく、それを開く販売上の資産として扱うことです。規制のホライズンスキャニングの責任者は、別の仕事を兼ねる創業者一人かもしれませんが、ウォッチリストは存在しなければなりません。

小規模事業者#

確立した小規模の提供者、つまり一般診療所、地域薬局、介護施設、単独拠点のクリニック、スタートアップ段階を過ぎた小規模なヘルステックのサプライヤーは、大きなトラストと同じ法定および必須の義務を負いますが、それを果たすためのデータ保護責任者も、臨床安全責任者も、コンプライアンスのチームもありません。DSPTは毎年完了しなければならず、患者データは依然として特別な種類の基準を課され、導入された臨床ソフトウェアは依然としてDCB0160を呼び込みますが、これらは通常、すでに運営を切り盛りしている診療所マネージャーや経営者の上に降りかかります。現実的な対応は、コンプライアンスマップを意図的に小さく、しかし本物にし、すべての専門性を自前で持つふりをせず、連合体、CSU、サプライヤーの臨床安全に関する文書といった、共有または調達された専門性に頼り、自分の患者のデータ管理者であり続けることのように、委任できない義務について厳格であることです。サプライヤーのアシュアランスが、自分に残る義務をカバーしていると考えることが、ここでの典型的な罠です。助けは買い入れても、法的に自分のものであるものの名前付きの責任は保ってください。

大企業#

NHSトラストや大規模なICSは、多くのサービスを同時に抱えるため、その課題はポートフォリオ規模の連携です。数十のシステムがそれぞれ複数の規制当局に関わり、義務がチームの間に落ちてはなりません。失敗モードは組織のサイロです。臨床安全、情報ガバナンス、調達がそれぞれ部分的な見方を持ち、あるサービスのコンプライアンスの立場の全体を誰も見ていません。対策は、サービスごとの共有コンプライアンスマップ、取締役会レベルのガバナンス（トピック6.4）に結びついた一人の名前での説明責任、そしてCQCの「良いリーダーシップ」のレビューやICOの照会に、生きた立場から答えられる、監査に耐える継続的なエビデンスです。大規模なヘルステックや製薬の企業は、成熟した薬事の仕組みを持ち込みますが、それを、製品が実際にどう作られるかと切り離されたコンプライアンス工場として扱わないよう、注意しなければなりません。

政府#

NHS England、保健社会福祉省、MHRA、NICEといった国の機関は、しばしば規制当局そのもの、あるいは必須文書の作成者であるため、その仕事の進め方が、システム全体が越えなければならない基準を定め、その決定は議会と国民の精査を集めます。ここでのコンプライアンスの仕事は、国民規模の説明責任です。DTACやESFのような文書は市場全体を形づくるため、標準そのものの比例性と明確さは、礼儀ではなく義務です。不適切に調整された国の要件は、あらゆる場所で有用なイノベーションを停滞させるか、あらゆる場所でリスクを素通しにするかのどちらかだからです。国の機関は、EUのAI法、MDR、適合マークの制度が、英国の政策をどう形づくるべきかを予測する、システムのためのホライズンスキャニングの責任も負います。標準が何を要求し、なぜそうなのかについての透明性は、大規模に公的な信頼を維持することの一部です。

よくある失敗パターン#

• 誤った分類。 負担を避けるために、製品は医療機器ではない、あるいは自分は管理者ではなく処理者だと主張する。対策：法的助言を得て、早期に正直に分類する。分類がそのほかすべてを左右する。
• 形式的なコンプライアンス。 根底のリスクが管理されないまま、通過するためにDSPTや安全性ケースを完成させる。対策：形式だけでなく目的を満たす。成果物が実際に設計を形づくったかを検証する。
• 稼働の関門としてのコンプライアンス。 ローンチ時にDTACや臨床安全のギャップを発見する。対策：必須文書を、ディスカバリーからデリバリーに折り込む。
• 拡散した責任。 すべての義務が、誰かほかの人のものだと思い込まれる。対策：生きた台帳で、義務ごとに一人の名前での説明責任を置く。
• サイロ化した規制対応。 臨床安全、IG、プロダクトが、一つのサービスについて切り離された見方を持つ。対策：一つの共有コンプライアンスマップと、調整されたガバナンス。
• ホライズンスキャニングの欠如。 見通せたはずの規則変更に不意を突かれる。対策：コンプライアンスマップに結びついた、責任者のいるウォッチリスト。
• 古いエビデンス。 検査のプレッシャーの下で、ハザードログや評価を再構築する。対策：継続的で、監査に耐えるエビデンス。

成熟度モデル#

チェックリスト#

• サービスの法的分類（医療機器とそのクラス、管理者/処理者）が確認され、文書化されている。
• 生きたコンプライアンスマップが、法定、必須、任意の階層にわたるすべての義務を一覧にしている。
• 各義務に、それを果たす権限と時間を持つ、一人の名前の責任者がいる。
• NHSの必須文書（DTAC、DSPT、DCB0129/0160）が、稼働直前に付け足されるのではなく、デリバリーに組み込まれている。
• 厳密さが、患者、公平性、信頼へのリスクに合わせて調整されており、画一的な形式チェックではない。
• エビデンス（ハザードログ、DPIA、DSPT、DTAC）が最新で、取り出せ、監査に耐える。
• 責任者が、維持されたウォッチリストに対して、規制のホライズンスキャニングを行っている。
• 関係する市場の適合マーク（UKCA/CE）の要件が、想定ではなく確認されている。
• コンプライアンス機能が、各サービスについて一つの調整された見方を共有し、ガバナンス（トピック6.4）に結びついている。
• 台帳が、一度書かれて放棄されるのではなく、予定に沿って見直されている。

主要な情報源#

• Care Quality Commission — How CQC regulatesとsingle assessment framework（cqc.org.uk）。
• MHRA — Medical devices: software applications (apps)とSoftware and AI as a Medical Deviceのガイダンス（gov.uk）。
• NICE — Evidence Standards Framework for digital health technologies (ESF)（nice.org.uk）。
• Information Commissioner's Office — Guide to Data ProtectionとGuide to the UK GDPR（ico.org.uk）。
• NHS England — Data Security and Protection Toolkit (DSPT)（dsptoolkit.nhs.uk）。
• NHS England — Digital Technology Assessment Criteria (DTAC)。
• NHS Digital / NHS England — 臨床リスクマネジメントの標準DCB0129とDCB0160。
• GMC — Good medical practice、NMC — The Code（専門職の標準）。
• GOV.UK — グレートブリテン市場向けのUKCA markingとCE markingのガイダンス。

参考文献#

1. Regulatory compliance — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_compliance
2. Care Quality Commission — Wikipedia — https://en.wikipedia.org/wiki/Care_Quality_Commission
3. Medicines and Healthcare products Regulatory Agency — Wikipedia — https://en.wikipedia.org/wiki/Medicines_and_Healthcare_products_Regulatory_Agency
4. Medical device — Wikipedia — https://en.wikipedia.org/wiki/Medical_device
5. UKCA marking — Wikipedia — https://en.wikipedia.org/wiki/UKCA_marking
6. CE marking — Wikipedia — https://en.wikipedia.org/wiki/CE_marking
7. National Institute for Health and Care Excellence — Wikipedia — https://en.wikipedia.org/wiki/National_Institute_for_Health_and_Care_Excellence
8. Information Commissioner's Office — Wikipedia — https://en.wikipedia.org/wiki/Information_Commissioner%27s_Office
9. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
10. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
11. General Medical Council — Wikipedia — https://en.wikipedia.org/wiki/General_Medical_Council
12. Nursing and Midwifery Council — Wikipedia — https://en.wikipedia.org/wiki/Nursing_and_Midwifery_Council
13. Artificial Intelligence Act — Wikipedia — https://en.wikipedia.org/wiki/Artificial_Intelligence_Act
14. Regulation (EU) 2017/745 (EU Medical Device Regulation) — Wikipedia — https://en.wikipedia.org/wiki/Regulation_(EU)_2017/745
15. How CQC regulates — Care Quality Commission — https://www.cqc.org.uk/about-us/how-we-do-our-job/how-we-regulate
16. Software and AI as a Medical Device — MHRA, GOV.UK — https://www.gov.uk/government/publications/software-and-artificial-intelligence-ai-as-a-medical-device
17. Evidence Standards Framework for digital health technologies (ESF) — NICE — https://www.nice.org.uk/about/what-we-do/digital-health
18. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
19. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
20. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
21. Clinical risk management standards DCB0129 and DCB0160 — NHS England — https://digital.nhs.uk/services/clinical-safety
22. UKCA marking guidance — GOV.UK — https://www.gov.uk/guidance/using-the-ukca-marking