医療DXのベンダーマネジメント。開発委託先を制御するPMの仕事

「ベンダーに任せたのに、なんで当局から指摘が来るんですか?」——医療DX案件に入ったばかりのPMから、こういう相談をよくいただきます。

皆さま、こんにちは。山根です。医療DXの現場では、開発の実装そのものを外部ベンダーやSIerに委託するケースがほとんどです。ところが規制業界のベンダーマネジメントは、一般的なIT案件の委託先管理とはかなり勝手が違います。今日はこのテーマを、僕が現場で見てきた範囲で整理してみたいと思います。

0.（結論）委託先も規制の当事者になる、という前提

先に結論から言います。医療DXのベンダーマネジメントで一番大事なのは、「委託先に出したから責任も切り離せる」わけではないという理解です。SaMDや治験DXの領域では、ベンダーが作った成果物も、その作り方の記録も、当局監査の対象になります。つまりベンダーは単なる下請けではなく、規制対応の当事者の一部なんですね。

この前提を握れているかどうかで、PMの動き方がまるっきり変わります。委託先に投げっぱなしにしてしまうと、後になって記録が足りない、検証が説明できないといった問題が一気に噴き出す。以下、段階を追って分解していきます。

1. 一般ITとの違いを3つに分ける

まず、なぜ医療DXのベンダー管理が特別なのかを整理します。個人的には、違いは大きく3つに集約できると考えています。

1-1. 成果物だけでなく「作り方」が問われる

一般ITでは、動くものが納品されれば基本的にOKです。ところが医療DXでは、それがどういう手順で、誰が、どんなレビューを経て作られたかという記録まで問われます。当局や監査から「この機能はどう検証したのか」と聞かれたとき、説明できる状態を残しておく必要があるんですね。ここが抜けていると、機能自体は正しくても「証明できない」という理由で差し戻しになります。

1-2. 委託先にも品質管理義務が及ぶ

これがなかなか理解されにくいところなのですが、規制の重い領域では委託先にも品質管理体制の整備が求められます。ベンダー側に品質文書や変更管理の仕組みがあるか、PMが確認する立場になります。委託したから丸投げでいい、という発想が通用しないのがこの業界です。

1-3. 契約が終わっても記録が残り続ける

開発が終わってプロジェクトが解散しても、記録は数年単位で保管が必要になります。ベンダーが撤退した後に「あの検証記録はどこ?」とならないよう、記録の所在をあらかじめ整理しておくのがPMの仕事です。人が入れ替わる前提で、記録だけは残る設計にしておく。ここを甘く見ると、後で必ず困ります。

2. 契約段階でPMが握るべきこと

ベンダーマネジメントの勝負は、実は契約段階でほぼ決まると僕は思っています。走り出してから条件を変えるのは、規制業界では特に難しいからです。契約時に明示しておきたい項目を表にまとめます。

これらは後から追加しようとすると追加費用や交渉が発生します。最初に握っておくのが結局いちばん安く済む、という体感です。とくに監査権は、いざ当局対応が始まってから「契約に書いていない」と言われると詰みます。多少うるさがられても、契約段階で入れておくべきだと考えています。再委託の条項も見落としがちですが、二次請け・三次請けの記録まで追えないと監査で穴になるので、僕は必ず確認するようにしています。

3. 制御の4つの軸——監査という追加レーン

一般的なPMは、品質・進捗・コストの3つの軸でプロジェクトを制御します。医療DXではここに監査対応という第4の軸が加わります。ちょうど、普通の家の配線工事に「検査に耐える施工記録の作成」が義務づけられるようなイメージでしょうか。工事そのものより、後で検査官に見せる記録の整備に手間がかかる感覚です。

この第4の軸があるぶん、工数も余分にかかります。僕の体感値では、記録整備や監査準備に全体工数の1〜2割程度を見込んでおくと安全です。SaMDや治験のように規制が重い領域ほど、この比率は上がる印象があります。見積り段階でこの工数を織り込まないと、プロジェクト後半で必ず圧迫されます。

• 品質：成果物が要件と規制水準を満たすか
• 進捗：スケジュール通りに進んでいるか
• コスト：予算内に収まっているか
• 監査対応：記録が説明可能な状態で残っているか

この4つ目は、他の3つと違って「後から取り返せない」性質を持っています。品質やコストは途中で軌道修正できても、記録は作られた瞬間を過ぎると再現が難しい。だからこそ、常に走りながら整えていく意識が要ると考えています。

4. ベンダー選定でPMが本当に見るべきもの

ベンダーを選ぶとき、つい開発力やコストの安さに目が行きがちです。でも医療DXでは、僕はそこより規制対応の実績を優先して見るべきだと考えています。

理由はシンプルで、技術力が高くても規制の勘所を知らないベンダーだと、後工程で記録の作り直しが発生するからです。動くものは早く作れても、「これをどう検証記録に残すか」で手が止まる。結果としてスケジュールが崩れ、コストも膨らみます。

選定時には、過去にどんな規制領域の案件を担当したか、当局対応や品質文書の整備を経験しているかをヒアリングするのが有効です。契約書の綺麗さより、担当エンジニアが規制の話を自分の言葉で語れるかどうか。これが個人的にはいちばんの判断材料だと思っています。二社を比べる簡単な整理を載せておきます。

初期のスピードだけ見るとAが魅力的に映りますが、規制の重い案件では後半でBとの差が逆転することが多い、というのが僕の印象です。もちろん、規制の軽い社内ツール程度ならAで十分なこともあります。案件の重さに応じて使い分ける視点も持っておきたいところですね。

5. 選定から契約までの実務手順

抽象論だけだと動きにくいので、僕がベンダー選定から契約締結までにたどる大まかな流れを、所要時間の目安つきで書いておきます。あくまで一例ですが、迷ったときの型として使えると思います。

1. 要件と規制範囲の棚卸し（1〜2週間）：この案件がSaMDに該当するか、治験系か、記録要件はどの水準かを先に固める。ここが曖昧だとベンダーへの説明もぶれます。
2. 候補ベンダーへのヒアリング（2〜3週間）：過去の規制対応実績を具体的に聞く。「経験あり」ではなく「どの領域で、どんな文書を、誰が作ったか」まで掘り下げます。
3. 品質体制のチェック（1週間）：ベンダー側の品質管理文書や変更管理の仕組みを実際に見せてもらう。ここで温度差がわかります。
4. 契約条項のすり合わせ（2〜4週間）：監査権・記録保管・再委託の条項を法務も交えて詰める。ここを急ぐと後で必ず揉めます。

合計で1か月半から2か月ほどかかる印象です。長く感じるかもしれませんが、規制業界ではこの前工程の丁寧さが、後半の炎上リスクを大きく下げてくれます。

6. よくある失敗と、その対処

ここで、僕が現場で見聞きしてきたつまずきをいくつか挙げておきます。どれも「あるある」なので、先に知っておくだけで避けやすくなります。

6-1. 記録を後回しにして炎上する

「まず動くものを作ってから記録は後でまとめる」——これが最も多い失敗です。開発が進むほど記録の再現は難しくなり、監査直前に慌てて作った記録は整合性が取れません。対処は単純で、記録整備を開発と同時進行にすること。スプリントの完了条件に記録の更新を入れてしまうのが有効です。

6-2. 口頭合意で仕様を変えてしまう

ベンダーと現場が仲良くなると、つい口頭やチャットで仕様を変えてしまいます。ところが規制業界では、変更の理由と承認の記録が残っていないと後で説明できません。変更管理のフローを一本に絞り、そこを通さない変更は認めない運用にするのが対処です。窮屈に感じるかもしれませんが、この一手間が監査を乗り切る鍵になります。

6-3. ベンダー任せで規制の一次情報を見ない

「規制のことはベンダーが詳しいから」と丸投げすると、認識のズレに気づけません。PM自身が最低限の一次情報にあたり、ベンダーの説明を検証できる状態にしておく。全部を理解する必要はありませんが、質問できるレベルは持っておきたいところです。

7. PMキャリアとしてのベンダーマネジメント

ここまで実務の話をしてきましたが、キャリアの視点でも少し。医療DXのベンダーマネジメントを経験しているPMは、規制業界の転職市場でかなり評価されやすいと僕は感じています。

理由は、この経験が「規制と現場の翻訳者」としての力を証明するからです。ベンダーに規制要件を伝え、逆にベンダーの実装制約を規制側に説明する。この橋渡しができるPMは、そう多くありません。参入障壁が高いぶん、経験そのものが希少価値になる構造ですね。

もし皆さまが今、一般ITのベンダー管理をしているのであれば、その経験は医療DXでもかなり活きます。違いは「監査という第4の軸」を足せるかどうか。ここを意識的に学べば、移行はそれほど遠くないと個人的には考えています。契約・品質・監査という三点を語れるようになると、面接での説得力がぐっと変わってくる印象です。

8.（まとめ）委託先を制御する、とは記録を制御すること

改めて整理すると、医療DXのベンダーマネジメントの本質は、記録を制御することにあります。誰が何をどう作ったかを説明できる状態を保つ。そのために契約段階で監査権と記録要件を握り、選定では規制対応実績を見て、工数には監査レーンぶんの余裕を持たせる。そして記録は開発と同時進行で残す。地味ですが、これが崩れると後で大きく響きます。

皆さんいかがでしたでしょうか。ベンダー管理は目立たない仕事ですが、規制業界ではPMの真価が最も問われる領域のひとつだと思っています。医療PMクエストでは今日もがんばりましょう。