4. 风险管理计划编制实战

风险管理计划（Risk Management Plan, RMP）是 ISO 14971 要求的第一份正式文件，也是整个风险管理体系的“总图”。它不描述某个具体风险如何控制，而是回答四个问题：管什么、谁来管、什么时候管、按什么标准算管住了。很多项目在后期出现“风险文件补做”“评审记录缺失”“控制措施无法追溯”等问题，根源往往不是执行不力，而是计划阶段就没有把范围、职责、时序和评审节点定义清楚。本节以一份可落地的 RMP 为主线，讲清编制方法、与设计开发计划的嵌套关系，以及模板填写中的典型缺陷。

一、计划要素：一份 RMP 必须闭合的六个要素

ISO 14971 第 4.4 条给出了风险管理计划的最低要求。工程实践中可归纳为六个必须闭合的要素：

• 范围界定：覆盖的产品、型号、预期用途、生命周期阶段，以及明确排除的内容。
• 职责分配：谁负责识别、谁负责评价、谁负责批准、谁负责评审，需落到岗位而非部门。
• 活动时序：各项风险管理活动与设计开发阶段的对应关系和时间点。
• 评审节点：在哪些阶段进行风险管理评审，评审的输入、输出和通过准则。
• 可接受准则：风险可接受性判定的具体方法（如矩阵、ALARP、FMEA 的 RPN 阈值）。
• 验证与生产后活动：控制措施验证方式，以及生产和生产后信息的收集与反馈机制。

这六个要素缺一不可。缺少范围界定会导致“漏评”；缺少职责分配会导致“无人负责”；缺少时序会导致“事后补做”；缺少评审节点会导致“无记录”；缺少可接受准则会导致“判定随意”；缺少生产后活动会导致“体系断链”。

二、范围界定：把“管什么”说清楚

范围界定不是简单写一句“本计划适用于 XX 产品”，而要明确三个维度：

产品维度：产品名称、型号规格、软件版本、附件、配套耗材。若同一系列有多个型号，需说明是统一评价还是分型号评价，差异点在哪里。

用途维度：预期用途、适用人群、使用环境、使用方式（如家用/院内）、禁忌症。这些直接决定危害源的识别范围。

生命周期维度：本计划覆盖设计开发、生产、上市后哪个阶段。若只覆盖设计开发阶段，需说明生产后活动由哪份文件承接。

三、职责分配：从部门到岗位到具体动作

职责分配常见缺陷是写成“研发部负责风险管理”“质量部负责评审”这类部门级描述。可执行的职责分配应落到岗位和动作，例如：

职责分配还要明确“谁有权修改计划”。计划一旦批准，修改需走变更控制，否则会出现“计划与实际执行两张皮”。

四、活动时序与评审节点：与设计开发计划的嵌套

风险管理活动不是独立于设计开发的平行线，而应嵌入设计开发的每个阶段。典型嵌套关系如下：

嵌套的关键是“同步或前置”：风险管理评审应安排在设计开发评审之前或同一节点，确保风险结论能作为设计决策的输入。若风险管理评审滞后于设计评审，就会出现“设计已冻结、风险才发现”的被动局面。

五、模板填写：从字段到判断依据

以下是一份 RMP 核心字段的填写示例，参数为教学假设值，用于说明填写粒度：

计划编号：RMP-2024-001
产品：便携式输液泵 P-100 / P-200
预期用途：院内静脉输液，成人患者
覆盖阶段：设计开发至设计确认
可接受准则：严重度≥4 且 概率≥3 判定为不可接受；
            严重度≤2 或 概率≤2 判定为可接受；
            其余进入 ALARP 区，需说明控制措施与收益。
评审节点：R1 计划批准 / R2 设计输入 / R3 设计输出 /
          R4 设计验证 / R5 设计确认
职责：系统工程师（识别）、设计工程师（控制）、
      质量工程师（审核）、管理者代表（批准）
生产后：由 PMS-2024-003 承接，每季度汇总一次

填写时要注意：可接受准则必须可判定，不能写“风险可接受即可”；评审节点必须与设计开发计划中的评审节点对应；职责必须写到岗位。

六、常见缺陷与排障

缺陷一：范围过宽或过窄。范围过宽导致评价深度不足，范围过窄导致漏评。排障方法：对照产品技术要求、说明书、注册资料，逐项确认是否在范围内。

缺陷二：职责只写部门。排障方法：把每条职责改写成“岗位+动作+输出”的句式，若写不出输出，说明职责定义不清。

缺陷三：时序与设计开发计划脱节。排障方法：把 RMP 的评审节点与设计开发计划的评审节点做一张对照表，逐项核对时间差。

缺陷四：可接受准则无法判定。排障方法：用一条真实风险走一遍判定流程，若无法得出明确结论，说明准则需要细化。

缺陷五：计划批准后随意修改。排障方法：建立变更控制记录，任何修改需说明原因、影响范围和批准人。

把 RMP 编好，后续的风险分析、控制、验证和生产后活动才有统一的“轨道”。计划阶段的严谨程度，直接决定整个风险管理体系能否经得起审核和实际使用检验。