ISO 14971 风险管理 — 在说明书里加警告是最后手段

要点 — 风险管理不是一类提交文件，而是贯穿整个开发过程的活动。实务中最常出错的，是风险控制的优先顺序：①通过设计实现本质安全 → ②防护措施 → ③安全信息（说明书・警告）。把设计本可解决的问题用说明书警告替代，就是跳过了顺序，这本身即构成被指出的事由。以2026年9月确认信息为准整理。

风险管理文档不是"文件的合订本"

实务中索要风险管理资料，常得到这样的回答 —"风险分析表已经做好了"。

表只是产出的一部分。ISO 14971要求的是过程，大致如下：

1. 风险管理计划 — 先确定要判断什么、依据什么标准
2. 界定使用目的与安全相关特性 — 这台器械做什么、在什么条件下使用
3. 识别危险（源） — 什么可能出错
4. 风险估计与评价 — 发生得多频繁、多严重
5. 风险控制 — 为降低风险做了什么（见下方优先顺序）
6. 剩余风险评价 — 控制之后仍然存在的风险
7. 总体剩余风险可接受性的判断
8. 生产与生产后信息 — 把上市后回流的信息再送回风险管理

第8步最常被遗忘。 风险管理不会在拿到许可时结束，每当上市后信息进来，它都要重新循环一轮。

风险控制的优先顺序 — 本文的核心

降低风险的方法有既定顺序。

顺序	方法	例
①	通过设计实现本质安全	从根本上取消危险结构 — 无法插错的接口形状、危险输出在物理上不可能出现的电路
②	器械本身或制造工序中的防护措施	联锁、报警、双重安全装置、工序检验
③	安全信息	说明书中的警告、标签上的注意标识、培训

顺序在实务上只意味着一件事：③是①和②解决不了时才用的手段。

因此，如果风险分析表的控制栏全部填着"在使用说明书中加入警告语"，这本身就是一个信号。审查者会问："这一条为什么不能用设计来防？"答不上来，就变成补正。

反过来，知道这个顺序会改变开发会议的用语。"加个警告吧"之前，会先问"能不能用结构挡住"，而这段讨论的记录，正是风险管理文档所需要的依据。

三个常见误解

①"风险必须降到零。" 并非如此。风险管理不是消除风险的活动，而是判断并记录的活动。若有风险残留，所要求的是给出它是否可接受的判断，以及作出该判断的依据。

②"把风险分析表写好就行。" 表是产出，审查看的是连接。识别出的危险接到了哪项控制，那项控制实际有效又由什么来验证 — 这条链一断，表再细密也没有意义。

③"开发结束后整理即可。" 回溯编写的风险管理文档是看得出来的，因为设计决策与风险控制之间的因果是反的。本应是风险分析改变了设计，而在回溯文件里，风险条目是按已定型的设计摆上去的。

其他资料在这里汇合

风险管理不是一份独立资料，而是其他资料汇入的节点。

• 可用性 — 使用错误带来的风险。结果与风险管理文档相连才具有分量（可用性指南）
• 生物学安全性 — 材料带来的风险。ISO 10993-1本身就要求"在风险管理过程中进行评价"（ISO 10993指南）
• 软件 — 软件失效产生的风险及其控制
• 性能试验・电气安全 — 证明控制措施确实起作用的验证数据

也就是说，单份资料再好，若不在风险管理中汇成一幅图，资料就会悬空。 如何在技术文件中建立这层连接，见技术文件撰写实务；术语定义另见风险管理术语页。

在韩国适用时的注意点

风险管理是韩国基准规格与质量管理体系两侧都要求的一条轴。但要记住，在韩国实际适用的是告示所确定的版本与要求。 国际标准的最新修订不会自动成为韩国要求，因此在申报时点核对相关基准规格与质量要求的原文更为稳妥。

这个结构与ISO 10993相同 — 了解国际标准，但按告示确认韩国要求。

常见退回与补正事由

• 风险控制大多填为"在说明书中加入警告"，缺少设计层面考虑的依据
• 识别出的危险、控制措施与验证数据之间追溯性断裂
• 可用性与生物学安全性的结果未体现在风险管理文档中
• 剩余风险的可接受判断缺乏依据
• 文件中没有把上市后信息反馈回来的程序
• 设计变更后风险管理文档未更新

启动前检查清单

• 编制风险管理计划 — 先确定可接受性的判断标准
• 界定使用目的、使用者与使用环境（与可用性文件取同一组值）
• 识别危险 — 不仅正常使用，还包括可合理预见的误用
• 按①设计 → ②防护措施 → ③信息的顺序考虑控制方案，并记录该顺序
• 为每项控制连接验证数据（哪项试验证明其有效）
• 将可用性、生物学安全性、软件的结果汇入文档
• 撰写剩余风险与总体剩余风险可接受性的判断依据
• 建立设计变更后更新文档的程序，以及上市后信息回流的程序

---

风险管理在开发早期启动，是改进设计的工具；在最后启动，就只是文书工作。 只要有产品的使用目的与结构概要，我们会先指出应优先审视哪些危险、哪些资料需要在此汇合，详见免费事前评估。