2. 法规与标准基线

风险管理体系工程的第一项基础工作，不是写风险文件，而是把“法规与标准基线”划清楚。基线不清，后续的风险分析范围、验证深度、文档结构都会失焦。本节要解决三个问题：这些法规和标准各自管什么、彼此如何衔接、在体系中形成怎样的合规证据链。

一、法规与标准不是同一层级的约束

《医疗器械监督管理条例》（国务院令第739号）是行政法规，规定的是上市许可、注册人义务、生产与经营责任、不良事件监测等强制性要求。它不直接告诉你“如何做风险分析”，但要求你必须建立与产品风险相适应的质量管理体系，并在注册申报中提交风险管理资料。因此，条例是“必须合规”的上位约束。

注册审查指导原则是监管机构发布的审评技术文件，属于技术审评层面的要求。它把条例的强制要求翻译成“审评时看什么、看到什么程度算通过”。例如，某类有源器械的指导原则会明确要求提供风险分析报告、关键性能验证、软件安全性级别说明、可用性工程资料等。指导原则不是法律，但在注册实践中具有事实上的强制力——不满足，审评就会发补。

ISO 14971:2019 是风险管理的过程标准，回答“风险管理怎么做”：从风险管理计划、风险分析、风险评价、风险控制、剩余风险评价，到生产和生产后信息反馈，形成闭环。ISO/TR 24971 是它的实施指南，回答“具体怎么落地”：如何界定预期用途、如何识别与安全有关的特征、如何构建危害、可预见事件序列和伤害之间的关系、如何选择风险控制措施。两者是“要求+指南”的配套关系。

IEC 62366-1 管可用性工程，聚焦“使用错误”这一风险来源。它要求形成用户界面规范、识别与安全有关的任务、评估使用错误、验证可用性。IEC 62304 管医疗器械软件生命周期，按软件安全性级别（A/B/C）规定开发、维护、风险管理、配置管理和问题解决过程。两者都是 ISO 14971 在特定风险源上的展开：可用性工程处理“人因风险”，软件生命周期处理“软件失效风险”。

二、适用边界：谁在什么条件下被触发

判断适用边界，关键看产品属性和风险来源，而不是看标准名气。可以按以下逻辑判断：

• 只要在中国境内注册、生产、经营医疗器械，条例即适用，无例外。
• 注册申报时，对应产品的注册审查指导原则适用；若没有专门指导原则，则参照通用要求及同类产品审评要点。
• 只要产品需要建立风险管理过程，ISO 14971 即适用；ISO/TR 24971 作为方法参考，不单独作为符合性声明对象。
• 产品存在用户界面、且使用错误可能导致伤害时，IEC 62366-1 适用。若产品无用户交互（如部分植入物），可用性工程可裁剪，但裁剪理由必须记录。
• 产品含软件（含嵌入式软件、独立软件、软件组件）时，IEC 62304 适用。软件安全性级别由软件失效可能导致的伤害严重程度决定，A级最低、C级最高。

三、合规证据链：从要求到记录

合规证据链的本质是：每一条适用要求，都能追溯到一份受控记录；每一份记录，都能反向支撑一条要求。以一款含嵌入式软件的输液泵为例，其证据链可以这样组织：

条例要求注册人建立质量管理体系并提交风险管理资料 → 风险管理计划规定范围、职责、接受准则 → ISO 14971 过程输出风险分析、风险评价、风险控制、剩余风险评价记录 → ISO/TR 24971 提供危害识别与场景构建方法 → IEC 62366-1 输出用户界面规范、与安全有关任务清单、使用错误评估报告、可用性验证报告 → IEC 62304 输出软件安全性级别判定、软件开发计划、软件需求、架构设计、单元验证与集成测试、软件风险管理记录 → 注册审查指导原则要求的申报资料清单逐项对应上述文件 → 最终形成注册申报资料中的风险管理报告与软件研究资料。

这条链的关键在于“接口对齐”：ISO 14971 中的风险控制措施，要能对应到 IEC 62304 的软件需求或 IEC 62366-1 的界面设计；可用性验证中发现的新的使用错误，要能回写到 ISO 14971 的风险分析中；软件安全性级别判定，要能引用 ISO 14971 的伤害严重度结论。接口不对齐，证据链就是断的。

四、落地时的三个常见误区

第一个误区是把 ISO 14971 当成“写一份风险报告”。实际上它要求的是持续过程：设计变更、生产变更、投诉、不良事件都要触发风险再评价。第二个误区是把 IEC 62304 的软件安全性级别当成“软件重要程度”的泛泛描述。级别判定必须落到具体伤害场景：软件失效是否可能直接导致死亡或严重伤害（C级）、是否可能导致非严重伤害（B级）、是否不可能导致伤害（A级）。第三个误区是可用性工程只做“形成性评价”不做“总结性评价”。形成性评价用于发现界面问题，总结性评价用于验证与安全有关的任务是否可被正确完成，两者证据作用不同，不能互相替代。