品質保証 体制 強化 システムの選び方・RFP・受入設計

客先監査や認証監査の直前になって、紙の検査票、Excel、設備ログ、メール承認を集め直していないでしょうか。品質保証 体制 強化 システムの目的は、紙をPDFに置き換えることではありません。「どの製品・ロットに、いつ、誰が、どの条件で、何を実施し、どの版の基準で合否を判断したか」を、権限と変更履歴を保ちながら短時間で再構成できる状態をつくることです。

本稿では、タイを含むASEANの製造拠点が、品質記録の電子化と製造履歴の追跡をRFP（提案依頼書）に落とし込み、FAT/SATで受け入れ、90日で限定範囲を立ち上げるための実務設計を解説します。ISO 9001の一般論だけではなく、現場・品質・IT/OT・経営が同じ判定基準で「自社開発か購入か」を決められる粒度を目指します。

重要：記事内の検索時間、復旧時間、許容時刻差、確認件数などは、特に断りのない限り推奨設計値です。ISO、IATF、FDA、NISTが一律に要求する数値ではありません。実際の値は、顧客固有要求、法令、契約、製品リスク、データ分類、事業影響分析に基づいて決定してください。

品質保証体制を強化するシステムは「記録庫」ではない

監査対応が遅い工場では、記録が存在しないとは限りません。むしろ、記録は多くても相互の関係が切れています。受入検査はExcel、製造条件はPLCや設備PC、工程内検査は紙、変更承認はメール、不適合処置は別システムという状態です。監査員から「この出荷ロットに使われた材料ロット、設備条件、検査結果、変更承認、不適合処置を見せてください」と言われた瞬間、人が複数の台帳を手作業で結び直します。

必要なのは、個々のファイルを保存する機能だけでなく、次の五つを一つの運用として成立させることです。

1. 製品・ロット・シリアル・材料・設備・作業者・検査・変更を結ぶ識別体系
2. 記録が作られた経路、時刻、版、承認、変更の履歴
3. 欠損、重複、時刻ずれ、インターフェース停止を検知する例外管理
4. 職務に応じた閲覧・入力・承認・訂正・出力の権限
5. 監査質問から必要な証跡を再現し、提出範囲を制御する検索と出力

ISOは、ISO 9001を品質マネジメントシステムの枠組みとして説明しており、認証取得は任意です。また、ISO/TC 176の文書化情報ガイダンスは、組織が必要な文書化情報の範囲や媒体を自らの状況に応じて決める柔軟性を示しています。したがって「ISOが特定のクラウド製品を要求している」「決まった帳票を電子化すれば適合する」という理解は正確ではありません。システムは、組織が決めたプロセスを確実に運用し、客観的な証拠を提示できるよう支える手段です。

ISO 9000:2026では、客観的証拠、記録、監査証拠などの用語が整理されています。本稿では規格本文を転載せず、実務上、客観的証拠を「事実の存在または真実性を裏づける検証可能な情報」、記録を「実施した活動や得られた結果を示す情報」、監査証拠を「監査基準に照らして評価できる関連情報」として扱います。正式な定義は公式規格を確認してください。

監査の質問から逆算する記録電子化のデータモデル

システム選定を機能一覧から始めると、画面や帳票の比較に偏ります。先に「監査で何を聞かれ、何をもって答えとするか」を定義します。代表的な質問は次の通りです。

• 出荷ロットAの構成品と材料ロットは何か
• その材料の受入検査とサプライヤ証明書はどこか
• 製造時に使われた設備、治具、プログラム版、設定値は何か
• 作業者は当時、その工程の有効な力量認定を持っていたか
• 適用された作業標準・検査規格・図面はどの版か
• 不適合や逸脱があった場合、誰が評価し、何を根拠に処置したか
• 4M変更が対象製品へどの範囲で影響したか
• 記録を後から訂正した場合、元の値、理由、実施者、承認者は確認できるか

これらを答える最小のキーは、工場によって異なりますが、一般に「製品シリアルまたは製造ロット」「材料ロット」「工程・設備」「イベント時刻」「仕様版」「人またはシステムの主体」です。重要なのは、主キーを一つ決めることより、異なるシステムのキーを変換する対応表と、その変換履歴を管理することです。ERPの製造指図番号、MESのロットID、設備のワークID、検査機のファイル名、顧客の品番が一致しない場合、統合層で関係を保持します。

前方追跡と後方追跡を同じ設計にする

客先監査のトレーサビリティでは、完成品から材料へ遡る後方追跡だけでなく、問題の材料ロットから影響する仕掛・完成品・出荷先を洗い出す前方追跡も必要になります。両方向を別々のExcelで管理すると、分割・合流・再投入・リワークの履歴が抜けやすくなります。

推奨するデータ構造は、各イベントを「入力対象」「処理」「出力対象」「時刻」「場所」「実行主体」「適用仕様」「結果」「関連証跡」で表すことです。ロットの分割や合流は、親子関係を上書きせずイベントとして追加します。廃棄、保留、再検査、特採、手直しも通常工程と同じ履歴鎖に含めます。詳しい設計は、トレースフォワード／バックワードシステムの解説も参考になります。

監査証跡と製造トレーサビリティを混同しない

監査証跡は、電子記録に対して誰が何をいつ作成・変更・承認したかを示す履歴です。一方、製造トレーサビリティは、製品、材料、工程、設備、検査などの来歴と関係を追えることです。両者は連携しますが同義ではありません。

例えば、製造条件の値が「180」から「185」に訂正された場合、監査証跡は変更前後、理由、実施者、時刻、承認を示します。製造履歴は、その値がどのロットやシリアルに適用されたかを示します。片方だけでは「記録の信頼性」と「製品影響範囲」を同時に説明できません。

導入前に行う現状棚卸し：帳票ではなく証拠の流れを調べる

品質記録電子化の第一歩は、すべての紙帳票を数えることではありません。監査質問から証拠が生まれ、承認され、保管され、検索され、廃棄されるまでの流れを確認します。対象工程ごとに次を棚卸ししてください。

棚卸しの成果物は帳票一覧ではなく、「監査質問―必要証拠―発生源―識別キー―責任者―保持根拠―提出形式」の対応表です。ここに現行の取得時間と手作業を記録すると、導入後の受入試験にも使えます。

RFP要件表：ベンダー比較をデモの印象から切り離す

RFPでは、「トレーサビリティ機能あり」「監査対応可能」のような曖昧な表現を避けます。要件ごとに、対象、入力、期待結果、異常時、検証方法、証拠を定義します。次の表はたたき台です。

RFPには「適合／一部適合／個別開発／非対応」だけでなく、標準機能か設定か開発か、前提条件、制限、参照できる画面、検証方法を記入させます。デモは自社の代表シナリオで行い、ベンダーが用意したきれいなサンプルだけで判断しません。

推奨設計値をRFPにどう書くか

例えば「検索は高速であること」では、受け入れられません。初期案として「本プロジェクトで定義した代表照会10件について、監査証跡パックの構成要素をP95で3分以内に検索できること」と書けます。これは推奨設計値であり、規格要求ではありません。対象データ量、同時利用者、検索範囲、ネットワーク条件を併記し、業務影響に応じて変更します。

同様に、参加システムの時刻差±1分、インターフェース異常の5分以内通知、パイロットのRTO 4時間・RPO 15分、四半期ごとの権限レビューも推奨設計値です。顧客要求やリスクが厳しければ短縮し、手動工程で十分なら別の統制を採用します。

システム構成：既存設備を止めずに証拠鎖をつなぐ

品質保証体制強化システムは、一枚岩にする必要はありません。現実的には、ERP、MES、QMS、設備、検査機、文書管理、ID基盤、データ基盤を連携します。重要なのは製品機能の名称より、各層の責任を明確にすることです。

1. 発生源層：PLC、センサー、検査機、作業端末、サプライヤ証明書など。元の値、単位、品質状態を残します。
2. 収集・統合層：プロトコル変換、バッファ、再送、重複排除、時刻正規化、マッピングを行います。
3. 業務文脈層：製造指図、品番、BOM、工程、ロット・シリアル、仕様版、承認を結びます。
4. 証拠保管層：記録、添付、監査証跡、保持ルール、改ざん検知、バックアップを管理します。
5. 利用層：検索、前方・後方追跡、監査証跡パック、ダッシュボード、例外キューを提供します。

設備ネットワークからクラウドへ直接つなぐ構成を前提にせず、ゾーン分離、許可された通信経路、ゲートウェイ、バッファ、監視を含めてIT/OTで設計します。NISTの製造データに関する推奨は、データの来歴、完全性、信頼性をライフサイクルで扱う観点を与えます。契約上、米国のCUIを扱う場合などはNIST SP 800-171 Rev.3が関連し得ますが、すべての工場へ一律に適用される基準ではありません。契約とデータ分類を先に確認してください。

時刻・単位・マスタは監査で効く

設備Aが現地時刻、設備BがUTC、検査機が手動設定の場合、イベント順序が逆転して見えることがあります。保存時刻、発生時刻、受信時刻、タイムゾーンを区別し、時計同期の状態も監視します。参加システム間の時刻差±1分は推奨設計値であり、工程速度やリスクに応じて調整します。

単位変換は元値と変換後を両方保持し、変換式の版を追跡します。品番、設備、工程、欠陥コードなどのマスタは、誰がいつ変更し、どの時点から有効かを管理します。マスタの誤りは大量の記録を間違った文脈へ結びつけるため、単なるIT設定ではなく品質上の変更として扱います。

役割分担：品質部門だけに背負わせない

システム導入後も、証拠の意味を決めるのはプロセスオーナーです。品質保証部門だけが全記録の責任者になる構成は長続きしません。次の役割を明示します。

職務分離では、入力者が自分の例外を最終承認できない、管理者が監査証跡を消せない、ベンダーの保守IDが常時有効にならない、といった否定要件も試験します。代理承認や緊急アクセスを禁止するだけでなく、期限、理由、事後確認を伴う管理手続として設計します。

監査証跡パック：提出物を事前に製品化する

監査のたびにフォルダを作るのではなく、代表的な監査質問に対する「証跡パック」を標準化します。パックには少なくとも次を含めます。

• 表紙：対象製品・ロット、検索条件、抽出日時、抽出者、システム版
• 系譜：材料から工程、検査、完成品、出荷までの関係
• 仕様：適用された図面、作業標準、検査規格、プログラムの版
• 実績：重要工程条件、検査結果、設備・治具、作業者資格の当時状態
• 例外：不適合、逸脱、保留、再検査、手直し、特採と承認
• 変更：関連する4M変更、発効時点、影響評価、確認結果
• 記録の履歴：訂正や承認の監査証跡
• 完全性サマリー：欠損、例外、対象外、抽出上の制約

パックの目的は情報を最大量出すことではありません。顧客情報、個人情報、設備機密、他製品のデータを必要以上に含めないよう、テンプレートと権限で提出範囲を制御します。出力したPDFだけを正本とせず、抽出条件と元データへ戻れる識別子を付けます。

四半期または顧客監査前のリハーサルでは、品質担当者が答えを知っている質問だけを使わず、内部監査員が無作為にロットと質問を選びます。「代表10問、P95で3分以内」は推奨設計値です。時間だけでなく、証拠の完全性、正しい版、権限、説明可能性を採点します。

4M変更と監査証跡を結びつける

人・機械・材料・方法の変更は、承認書だけで終わりません。変更前後の境界ロット、初品確認、検査強化、教育、設備条件、顧客承認の要否を製造履歴へ接続します。対象範囲の設計はタイ製造業向け4M変更管理システムで詳しく説明しています。監査では、「変更を承認した」だけでなく「承認した条件が現場へ展開され、対象製品で確認された」ことを一つの証拠鎖として示せるようにします。

FAT/SAT受入試験：正常系の画面確認で終わらせない

FAT（Factory Acceptance Test）は主に供給者側の環境で、設計・設定・機能が合意仕様を満たすか確認します。SAT（Site Acceptance Test）は実際の工場、ネットワーク、設備、利用者、データ、運用条件で、システム全体が目的を果たせるか確認します。名称や契約上の区分は案件によって異なりますが、少なくとも試験目的と環境を区別します。

FATで確認する項目

SATで確認する項目

SATでは、実設備の時刻ずれ、ネットワーク瞬断、バーコード読取不良、シフト交代、タイ語氏名、既存マスタの揺れ、オフライン手順など、現場固有の条件を入れます。最低でも一つの通常ピークシフト相当のデータ量と、停止後のバックフィルを試すことを推奨設計値とします。

監査証跡パックの受入では、実製品に近いテストロットを使い、前方追跡と後方追跡、版の再現、例外、訂正履歴を一度に確認します。必須キーの存在率100%はプロジェクトで定義した必須項目に対する推奨設計値です。値が正しいことまで存在確認だけで保証しないため、設備元データ、紙の暫定記録、ERP数量との照合も行います。

欠陥の重大度と受入判断

欠陥は、単なる件数で判断せず、監査証拠の信頼性と製品影響で分類します。例として、誤ったロットへ結びつく、権限外で履歴を変更できる、欠損を検知しない、復元できない問題は重大です。表示崩れや操作回数の多さも、現場が迂回運用を始める原因なら軽視できません。

条件付き受入をする場合は、暫定統制、担当者、期限、再試験、未解決時の判断を明記します。「後で直す」という議事録だけで本番化しません。

90日導入ロードマップ：一製品群・一ライン・一証跡パックから始める

90日で全工場の品質記録を置き換えるのではなく、監査価値が高く、境界が定義できる範囲を本番相当で成立させます。「一製品群、一ライン、一つの監査証跡パック」を推奨設計値として、次の四段階で進めます。

0〜15日：目的と境界を固定する

• 対象顧客、製品群、工程、設備、記録、監査質問を選定
• 顧客固有要求、法令、契約、内部規程、保持根拠を整理
• 現行の証拠取得を実演し、時間、欠損、転記、属人作業を記録
• 識別キーとシステム境界、データオーナーを決定
• 成功基準、対象外、意思決定者、変更管理を合意

この期間に画面設計へ入る必要はありません。「どの質問へ、どの証拠で、どの品質で答えるか」が決まらなければ、後工程の速さは手戻りを増やします。

16〜35日：RFP具体化とプロトタイプ

• 代表データを匿名化し、前方・後方追跡をプロトタイプ化
• 例外、訂正、版、権限、保持、出力のシナリオを作成
• Do/Buy候補へ同じシナリオを提示
• インターフェースと責任分界を合意
• FAT/SATプロトコルと証拠様式を先に作成

36〜65日：構築・連携・移行

• ID、ロール、マスタ、データ品質ルールを設定
• 設備・ERP・MES・検査機との接続を段階的に構築
• バッファ、再送、重複排除、例外キュー、監視を実装
• 移行データの件数、ハッシュ、却下理由、再実行を記録
• 運用手順、教育、バックアップ、障害時の暫定記録を準備

66〜90日：FAT/SAT、並行運用、監査リハーサル

• FATの欠陥を是正し、現地条件でSATを実施
• 期間を定めて現行記録と照合し、差異の原因を分類
• 内部監査員による予告なしの証跡検索を実施
• 復元、権限レビュー、オフラインからの復帰を演習
• 残課題、暫定統制、次ライン展開条件を経営判断

90日終了時の成果は「システムをインストールした」ではなく、定義した監査質問に対して、現場運用を含む証拠鎖が再現でき、受入証拠が承認されている状態です。

Do/Buy判断：標準化する部分と競争力を残す部分を分ける

市販QMS/MES/トレーサビリティ製品を買うか、自社開発するかは二択ではありません。記録保管、ID連携、監査ログ、バックアップなど共通統制は標準製品を使い、工程固有の接続や判定ロジックだけを構成・開発するハイブリッドも現実的です。

Buyが向く条件

• 標準的な文書、教育、不適合、CAPA、監査、承認ワークフローが中心
• 複数拠点で共通プロセスとアップデートを維持したい
• 権限、監査証跡、保持、バックアップを自社で一から実装したくない
• 製品ロードマップ、サポート、セキュリティ情報を継続的に得たい

Doまたは強い個別構成が向く条件

• 設備、治具、独自工程、既存MESとのリアルタイム連携が差別化要因
• ロット分割・合流、連続材、混合、再投入などの系譜が標準モデルに合わない
• ネットワーク制約、データ所在地、性能、現場UIに固有要件がある
• 自社に製品オーナー、OT/IT、テスト、セキュリティ、保守の継続能力がある

比較では初期費用だけでなく、版上げ、マスタ運用、接続変更、監査対応、教育、データ移行、退出時のデータ取得まで含むライフサイクル負担を評価します。根拠のない「何％削減」の数字ではなく、自社の現行作業を計測し、提案者の前提を一つずつ検証します。

ベンダーへ必ず聞く質問

1. 監査証跡は管理者を含め誰がどの条件で閲覧・削除・出力できますか。
2. 訂正、取消、再承認、代理承認は前後値と理由をどう保持しますか。
3. 接続断、重複、順不同、遅延、時刻ずれをどう検知し復旧しますか。
4. ロット分割・合流・リワーク・再投入を標準機能で扱えますか。
5. バージョンアップでデータモデル、API、帳票、監査証跡はどう変わりますか。
6. 契約終了時に添付、関係、マスタ、履歴をどの形式で受け取れますか。
7. 障害・脆弱性・データ侵害の通知、調査、証拠提供の責任分界は何ですか。
8. タイ現地で一次対応できる時間帯、言語、エスカレーション経路は何ですか。
9. FAT/SATの欠陥を誰が再現し、修正し、再試験の証拠を残しますか。
10. 要件を満たせない場合の代替統制と残余リスクは何ですか。

ガバナンス・セキュリティ・保存期間

品質記録は長期間残る一方、システム、担当者、サプライヤ、暗号方式は変わります。保存期間を「全部10年」など一律に決めず、記録種別ごとに法令、顧客要求、契約、製品寿命、保証、訴訟保全、内部方針の根拠を紐づけます。関連する監査証跡は、少なくとも対象記録と同じ期間を初期の推奨設計値とし、より長い要求があれば従います。

バックアップは取得だけでなく復元で検証します。パイロットのRTO 4時間・RPO 15分は推奨設計値です。業務影響分析を行い、停止時に安全・品質・出荷へ与える影響から決めます。復旧後は、オフライン記録とシステム記録を照合し、重複や欠損を例外として承認します。

アクセス権は入社・異動・退職で更新し、四半期レビューを推奨設計値とします。共有IDを避け、保守アクセスは時間制限、承認、多要素認証、操作記録を伴わせます。機密性だけでなく、完全性と可用性を含めて設計してください。

FDA Part 11は、FDA規制の対象となる電子記録・電子署名について、適用範囲を踏まえた管理を考える際の一次情報です。ただし、一般製造業の全記録に一律適用されるとは限りません。該当するpredicate rule、提出・保持の用途、システムの利用方法を規制担当者と確認します。適用外でも、アクセス管理、変更履歴、システム検証、電子署名の考え方を参考にする場合は、「法的要求」と「自社が採用した統制」を区別して記録します。

2026年時点のIATF情報をどう扱うか

自動車産業では、IATFの公式コミュニケ、Sanctioned Interpretations、FAQを継続的に確認する必要があります。2026年7月のIATF Stakeholder Communiqué SC-2026-005によれば、IATF 16949 Revision 2の作業は五つの優先テーマを中心に進められ、mid-2027の公開が計画されています。ただし、これは当時の計画で変更される可能性があり、第2版は本稿執筆時点で未公開です。

したがって、RFPに未公開版の要求を確定要件として書き込むのではなく、変更可能性へ対応できる版管理、設定変更、影響評価、再試験、教育、契約上のアップデート責任を要件化します。2026年6月のSC-2026-004が示すように、Rules 6th EditionやIATF 16949に関するSanctioned InterpretationsとFAQも公式チャネルで更新されます。最新状態はIATF公式サイトで判断し、記事やベンダー資料だけで確定しないでください。

FAQ：監査対応・品質記録電子化・製造履歴追跡

品質保証 体制 強化 システムとは何ですか？

品質プロセス、記録、製造履歴、権限、変更履歴、検索、提出を一つの統制された証拠鎖として運用する仕組みです。QMS製品単体を指す場合もありますが、本稿ではERP、MES、設備、検査機、文書管理、ID基盤を含む全体システムとして扱います。導入の成否は製品名より、監査質問に対するデータ関係と責任分担で決まります。

監査対応のために記録を電子化すれば紙はすぐ廃止できますか？

廃止時期は、顧客・法令・契約要求、電子記録の信頼性、現場のオフライン手順、移行照合、受入結果で決めます。紙を撮影したPDFだけでは、検索、版管理、承認、訂正履歴、製品との関係が不足することがあります。並行運用には期限と照合目的を持たせ、永久に二重入力しない設計が必要です。

客先監査のトレーサビリティは何分で提示すべきですか？

すべての工場へ適用される共通時間はありません。本稿の「代表10問をP95で3分以内」は受入条件を具体化するための推奨設計値です。顧客要求、工程リスク、データ量、監査方法に合わせて決め、速度だけでなく完全性、正しい版、アクセス範囲も評価してください。

品質記録電子化で最初に対象にすべき記録は何ですか？

監査頻度、製品リスク、検索負荷、欠損の起きやすさ、他記録への接続性から選びます。代表例は、最終検査だけでなく、材料受入、重要工程条件、版情報、不適合・特採、4M変更です。一製品群・一ライン・一証跡パックを初期の推奨設計値にすると、90日で端から端まで検証しやすくなります。

製造履歴追跡では設備データを全部保存すべきですか？

「全部」は要件になりません。製品品質の判断、異常解析、顧客要求、法令、工程能力に必要な値と粒度を決めます。高頻度データは原データ、集約値、イベント、保持期間を分け、どの処理をしたか追跡できるようにします。不要なデータの無期限保存は費用、検索、セキュリティ上の負担になります。

ISO 9001認証のために特定のシステムが必要ですか？

ISO 9001認証は任意であり、ISOが特定ベンダーのシステムを指定しているわけではありません。組織は自らの状況に必要な文書化情報と統制を決めます。システムはプロセスの実行と証拠提示を支えますが、責任、力量、リスク対応、改善を代替しません。

FDA Part 11に準拠すれば一般製造業の監査にも十分ですか？

一律には言えません。FDA Part 11の適用はFDA規制下の電子記録・電子署名と関連規則に依存します。一般製造業では契約・顧客・業界要求を先に確認してください。Part 11由来の管理を自主採用する場合も、法的適用と内部方針を区別し、過剰な機能や検証を避けます。

クラウドとオンプレミスのどちらが監査に有利ですか？

配置だけでは決まりません。ID、権限、変更管理、監査証跡、バックアップ、復旧、接続断、データ所在地、サプライヤ管理を含む統制が重要です。工場停止時の継続方法と、契約終了時に関係性を保ったままデータを取り出せるかを比較してください。

RFPで費用を比較するときの注意点は何ですか？

ライセンスと初期開発だけでなく、設備接続、データ整備、移行、検証、教育、運用、監視、版上げ、追加拠点、監査支援、退出まで同じ期間と前提で比較します。根拠のないROI率ではなく、現行作業時間、欠損件数、再取得作業など自社の基準値を測り、提案の仮定を検証します。

まとめ：監査で答えられることを受入条件にする

品質保証体制を強化するシステムは、紙を減らすプロジェクトではなく、製品と証拠の関係を信頼できる形で再現するプロジェクトです。監査質問からデータモデルを逆算し、前方・後方追跡、監査証跡、版、例外、権限、保持、復旧をRFPに落とします。FATでは機能と異常系、SATでは現場・設備・利用者を含む端から端までを確認し、監査証跡パックを受入成果物にしてください。

ISO 9001の認証は任意で、ISO 10013は文書化情報のためのガイダンスです。IATF 16949 Revision 2は2026年9月時点で未公開であり、mid-2027は変更可能な計画です。FDA Part 11やNIST文書も適用範囲を確認して使います。そして、3分検索、時刻差±1分、RTO 4時間・RPO 15分、90日パイロットなどは規格要求ではなく推奨設計値として、自社リスクで調整します。

現在の帳票・設備・ERP/MESを前提に、監査質問、識別キー、RFP範囲、FAT/SATの作り方を整理する段階から相談できます。タイ工場で品質記録電子化や客先監査トレーサビリティを検討中であれば、TOMAS TECHへのお問い合わせから、対象製品・工程と現在困っている監査質問をお知らせください。

参考情報

1. ISO, ISO 9001 explained
2. ISO/TC 176, Guidance on the requirements for Documented Information of ISO 9001:2015
3. ISO Online Browsing Platform, ISO 9000:2026
4. ISO, ISO 10013:2021 — Quality management systems — Guidance for documented information
5. IATF, Stakeholder Communiqué SC-2026-005 — IATF 16949 2nd Edition status
6. IATF, Stakeholder Communiqué SC-2026-004 — SIs and FAQs
7. U.S. FDA, Part 11, Electronic Records; Electronic Signatures — Scope and Application
8. NIST, Recommendations for Ensuring Traceability and Trustworthiness in Manufacturing-Related Data
9. NIST, SP 800-171 Rev. 3