📚 课程目录第1章课程导入与体系全景

1. 课程导入与体系全景

医疗器械的风险管理，不是产品开发完成后补写的一份文件，而是一项贯穿产品全生命周期的工程活动。它要求企业在设计输入阶段就识别可能的危害，在设计输出阶段验证风险控制措施是否有效，在采购、生产、上市后阶段持续收集信息并重新评价剩余风险。ISO 14971 给出了这套活动的通用框架，ISO 13485 则规定了质量管理体系对风险管理活动的组织保障与文件控制要求。本课程的任务，就是把这两条线合成一条可执行、可审核、可追溯的工程路径。

一、什么是医疗器械风险管理体系工程

风险管理体系工程，可以理解为“把风险管理要求工程化”的过程。它包含三层含义：第一层是标准要求，即 ISO 14971 规定的风险管理过程——风险管理计划、风险分析、风险评价、风险控制、综合剩余风险评价、风险管理评审；第二层是体系要求，即 ISO 13485 中 7.1、7.3、7.5、8.2 等条款对风险管理的嵌入要求，例如设计开发策划中必须明确风险管理活动，采购与生产过程中必须控制与风险相关的变更；第三层是工程落地，即把上述要求转化为具体的表单、模板、评审节点、判定准则和责任人。

很多企业把风险管理做成“填 FMEA 表”，问题往往出在缺少第一层与第二层的接口设计。例如，设计开发策划中没有规定风险管理评审的时间点，导致 FMEA 在注册检验前才补做；或者风险管理计划没有引用 ISO 13485 的文件控制程序，导致风险文件版本混乱。体系工程要解决的，正是这些接口问题。

二、范围与产品全生命周期的关系

ISO 14971 明确，风险管理适用于医疗器械的整个生命周期，包括概念、设计开发、生产、上市后监督、停用与废弃。不同阶段的输入、输出和判定依据不同：

概念与设计输入阶段：输入是预期用途、适用人群、使用环境、类似产品投诉数据；输出是初始危害清单、风险可接受准则、风险管理计划。
设计开发阶段：输入是设计参数、材料、软件架构；输出是 FMEA、FTA、风险控制措施及其验证记录。
生产与采购阶段：输入是工艺参数、供应商变更、检验数据；输出是过程 FMEA、变更风险评估、过程确认结论。
上市后阶段：输入是投诉、不良事件、召回、文献；输出是再评价报告、CAPA、风险管理文件更新。

这里有一个关键判断：风险管理的“闭环”不是在设计冻结时结束，而是在产品停用或最后一次上市后监督报告完成时才结束。因此，风险管理文件必须保持“活文件”状态，任何设计变更、工艺变更、供应商变更、法规变更，都应触发风险再评价。

三、ISO 14971 与 ISO 13485 的接口

ISO 14971 回答“风险怎么管”，ISO 13485 回答“谁在什么体系下管、文件怎么控、记录怎么留”。两者的接口可以用一张关系图看清：

从图中可以看到，ISO 14971 的六个过程步骤并不是孤立运行的，它们通过“接口与工程落地”这一中间层，与 ISO 13485 的具体条款一一对应。例如，风险管理计划对应 7.1 产品实现策划，风险控制验证对应 7.3.6 设计验证，上市后信息反馈对应 8.2.1 反馈和 8.5.2 纠正措施。如果企业只做左侧的 FMEA，不打通中间层和右侧体系，审核时就会出现“有风险分析、无风险控制验证记录”或“有 CAPA、无风险再评价”的断裂。

四、课程任务地图

本课程共 30 章，整体按“标准理解—体系搭建—工程实施—审核与改进”四条主线推进。第 1 至 6 章建立概念与标准框架，重点讲清 ISO 14971 的术语、原则、风险管理计划与风险可接受准则；第 7 至 14 章进入工程实施，覆盖危害识别、FMEA、FTA、风险控制措施选择、验证与确认；第 15 至 22 章聚焦体系接口，包括设计开发、采购、生产、变更控制、上市后监督与 CAPA 的衔接；第 23 至 30 章面向审核与持续改进，包含内审检查表、注册申报资料中的风险管理文档、常见不符合项与整改路径。

每章都会围绕一个可交付成果展开。例如，第 4 章会给出风险管理计划的完整模板，第 9 章会给出 DFMEA 的评分准则与示例表格，第 18 章会给出变更风险评估的判定流程。这些成果不是通用模板，而是结合医疗器械行业实际审核要求设计的，可以直接在企业内试用并根据自身产品特点调整。

五、一个教学示例：输液泵的风险管理起点

假设某企业正在开发一款便携式输液泵，预期用途为“在医疗机构内由护士操作，用于成人静脉输液”。在概念阶段，风险管理工程师需要完成三件事：第一，确定风险可接受准则，例如“导致严重伤害的概率应低于 10⁻⁶/台·年，且所有不可接受风险必须通过设计控制降至可接受水平”；第二，识别初始危害，包括过量输注、欠量输注、气泡进入、电池失效、软件死机、报警失效等；第三，制定风险管理计划，明确 FMEA 评审节点设在设计输入评审后、样机测试前、注册检验前三个时间点。

这里的关键参数是“风险可接受准则”的量化表达。示例中采用的风险矩阵为：严重度 S 分 1–5 级，概率 P 分 1–5 级，风险优先数 RPN = S × P。当 S ≥ 4 且 P ≥ 3 时，判定为不可接受，必须采取控制措施；当 S ≤ 2 或 P ≤ 2 时，判定为可接受；中间区域为“合理可行降低”（ALARP），需结合受益-风险分析决定是否进一步控制。这个矩阵会在后续章节反复使用，作为风险评价的统一尺度。

学习建议：在进入第 2 章之前，先找一份你所在企业现有的风险管理文件，对照本节图中的“ISO 14971 过程—接口—ISO 13485 体系”三层结构，检查是否存在断裂点。常见断裂点包括：风险管理计划未引用设计开发策划、风险控制验证记录未关联设计验证报告、上市后投诉未触发风险再评价。记录下这些断裂点，后续章节会逐一给出修复方法。

风险管理体系工程的最终目标，是让每一台医疗器械在上市时，企业能够回答三个问题：已知的危害有哪些？采取了什么控制措施？剩余风险为什么可以接受？这三个问题的答案，必须能在风险管理文件中找到，并且与设计文件、工艺文件、上市后数据保持一致。本课程将沿着这条主线，逐章展开可操作的方法与工具。