一、质量风险管理概念

（1）质量风险管理  系在整个产品生命周期中，采用前瞻或回顾的方式，对质量风险进行评估、控制、沟通、审核的系统过程。

（2）质量风险  生产企业中影响产品质量某一特定情况的事件发生可能程度的概率及其后果的组合。

在药品生产的质量管理中，质量风险管理是一种以科学为基础，并且切合实际的决策的过程，有效的质量风险管理能使所作的决策更加全面、合理，同时能向监管部门证明企业处理风险的能力。一般采用被公认的风险管理方法、技术来实施和记录质量风险管理。

二、质量风险管理目的

质量风险管理管理的目的也是风险管理的目标，旨在提供证据信息识别风险并分析，为消除和降低风险提供有效的方法，达到可接受水平。主要包括：①认识风险及风险对药品质量和生产管理的潜在影响；②为决策层提供相关信息；③增进对风险的理解，以利于风险应对策略的正确选择；④识别引发风险的主要因素、系统及企业的薄弱环节；⑤通过沟通了解风险及其不确定性；⑥建立风险优先控制处理顺序；⑦确定风险是否可接受；⑧通过事后调查来进行防范；⑨选择风险控制的不同方式；⑩满足监管要求。

三、质量风险特点

质量风险具有以下特点：①不确定性；②突发性；③复杂性；④损害性；⑤可检测性；⑥管理决策主观性；⑦相关利益者影响性；⑧人文环境依赖性。

在质量风险管理中，了解质量风险的特点至关重要，可有助于正确使用评估方法，从而采取更好的控制方法，消除或降低风险。

四、质量风险管理的意义

实施质量风险管理，对企业生存和发展具有深远的意义，有助于企业做到以下几点：①提高风险管理意识，有效配置和使用风险管理资源；②实施主动性的、前瞻性的管理，改善内部管理和控制；③改进对机会和威胁的识别；④遵守相关法律法规、中国及国际标准、规范的规定和要求；⑤避免或减少损失，改善资金状况和财务报告；⑥提高安全、环保、职业卫生、职业健康水平；⑦提高利益相关者的信心和信任；⑧提高企业的学习能力；⑨增强企业的生存和持续发展能力。

五、质量风险管理原则

质量风险管理应遵循严谨、全面的标准和原则。质量风险管理原则是评价企业把握质量风险重要程度的标准。因此，质量风险管理原则应体现企业的质量风险承受度，应反映企业的价值观、目标和资源。企业应根据所处环境和自身情况，合理确定本企业的质量风险管理原则，遵循的原则主要为：①控制损失，创造价值原则；②融入企业管理过程原则；③支持决策过程原则；④应用系统化结构化的方法原则；⑤以信息为基础原则；⑥环境依赖原则；⑦广泛参与、充分沟通原则；⑧持续改进原则。

六、质量风险管理过程

风险管理流程包括：风险评估、风险控制、风险沟通、风险审核。

质量风险管理应解决五个方面的问题：①哪些可能会出现风险；②出现风险的可能性有多大；③危害或损失如何；④是否与利益相关方沟通；⑤有无控制和防范措施。

对于质量风险管理，应吸收各方面专业人士组成评估团队，运用适宜的质量风险评估技术支持科学和实用的决策，以完成质量风险管理的每一步骤。质量风险管理过程见图2–2。

图2–2  质量风险管理过程 

质量风险管理须以获取内部和外部环境信息为基础，企业相关管理部门可明确其风险管理的目标，在进行具体的风险评估活动时，确定与企业相关的内部和外部信息和参数，并确定风险管理的范围和有关风险策略。外部环境信息包括法律和监管要求、利益相关方的诉求及风险管理的相关信息等；内部环境信息以企业的文化、经营过程和体系为基础，包括企业内影响其风险管理的任何事物。

（一）风险评估

风险评估包括：风险识别、风险分析和风险评价。

1.风险识别

风险识别也称“风险辩识”，是指发现、列举和描述风险要素的过程。

风险识别的目的是确定可能影响系统或企业目标得以实现的事件或情况。一旦风险得以识别，企业应对当前的控制措施现状（例如设计、人员、过程和系统等）进行识别。

风险识别过程包括：风险源、风险事件、原因和潜在后果的识别。风险识别方法包括：①基于证据的方法  可采用检查表法以及对历史数据的评审；②系统化、结构化访谈的团队方法  可通过一套结构化的提示或问题来识别风险；③归纳推理技术  可采用危险与可操作性分析法（HAZOP）等；④风险评估技术  企业可利用各种支持性的技术来提高风险识别的准确性和完整性，例如头脑风暴法和德尔菲法等。

在整个风险识别过程中无论采用何种识别技术，都应将偏离预期的人为（决策、指挥和操作失误）因素及企业（实力、处境）因素也应被纳入识别范围。

‍集思广益解决问题。

三个臭皮匠，顶个诸葛亮。

2．风险分析

风险分析是要增进对风险的理解，是为风险评价、决定风险是否需要控制以及最适当的控制策略和方法提供信息支持。风险分析包括：初步分析、后果分析、可能性分析、不确定性分析和敏感度分析。

风险分析需要考虑的因素应包括：①导致风险的原因和风险源；②风险事件的正面、负面后果及其发生的可能性；③影响后果、可能性的因素；④风险和风险源的相互关系；⑤有无控制措施及措施有效性。

风险分析可单独采用常规方法，对于复杂的应用可能需要多种方法同时使用。具体方法参阅《GBT 27921–2011 风险管理 风险评估技术》附录。风险评估技术及适用性见表2–3。

续表

（1）与初步分析  应对风险进行全面的筛选，以识别出重大风险，排除次要风险，便于进一步的分析，切勿遗漏发生频率低但有重大累积效应的风险。应记录最初的假定及结果。

药品生产企业在自检中发现缺陷、潜在的隐患以及记录的生产中影响产品质量的偏差和质量事故发生及频次，中间控制的难易程度即可初步认定为质量风险。

（2）后果分析  通过假设特定事件、情况或影响因素已经出现，后果分析可确定风险造成影响的性质和类型。某个事件可能会产生一系列不同严重程度的影响，也可能影响到一系列目标和不同利益相关方。在明确环境信息时，就应当确定所需要分析的后果的类型和受影响的利益相关方。

（3）可能性分析  通常使用三种单独或组合使用的方法来估计可能性，包括：

①回顾性分析预测可能性  利用相关历史数据分析已发生的事件或情况，借此推断出未来发生的可能性。所使用的数据应当与正在分析的系统、设备、企业或活动的类型有关。

②故障树和事件树等技术分析预测可能性  当历史数据无法获取或不够充分时，有必要通过分析系统、活动、设备或企业及其相关的失效或成功状况来推断风险发生的可能性。

③系统化、结构化访谈等技术分析预测可能性  应利用一切现有的相关信息，获得专家判断，常用的方法包括德尔菲法和层次分析法等。

（4）不确定性  不确定性分析包括：明确风险分析结果的方差或准确性。

不确定性可能来自于用于确定结果的参数和假设的共同偏差。在风险分析过程中经常会涉及到相当多的不确定性，这有助于解释风险分析结果解释及沟通，这些不确定性与在风险识别和风险分析时所使用的数据、方法及模型有关。

质量风险可能性分析由于不确定性，故属猜测性，都带有“或许”，极少用“不可能”或“一定”。

（5）敏感性  敏感性分析是确定某个参数输入的变化对风险等级的影响。

敏感性与不确定性分析密切相关，这项分析可用来识别哪些数据是对结果影响较大的，从而更应确保其精确性。

3.风险评价

风险评价是指在风险识别和风险分析的基础上，对风险发生的概率、危害程度、检测性等因素进行综合分析，并与公认或设定的安全标准或指标比较，以衡量风险的程度，并决定是否需要采取相应措施的过程。

风险评价是将风险分析的结果与预先设定的风险原则相比较，或者在各种风险的分析结果之间进行比较，确定风险的等级。

（1）风险指数计算  通常使用采集到的2～3个因素的参数刻度数值计算风险指数，运用公式计算风险指数。

以后果严重度、频度和探测度3个因素计算风险指数如下：

  （2﹣1）

式中 RPN  ——风险顺序数，也用作“风险指数”；

 S——后果严重度，1﹦几乎无；2﹦非常轻微；3﹦轻微；4﹦较小；5﹦中等；6﹦大；7﹦很大；8﹦非常大；9﹦严重；10﹦灾难；

O ——频度，也为发生概率，可能性，1﹦几乎不发生；2﹦极少；3﹦非常少；4﹦很少；5﹦低；6﹦中等；7﹦高；8﹦很高；9﹦非常高；10﹦几乎必然发生；

 D——检测度，如1﹦几乎必然；2﹦非常高；3﹦很高；4﹦高；5﹦中等；6﹦低；7﹦很低；8﹦非常低；9﹦极低；10﹦几乎不可能。

式中的后果严重度、频度和探测度3个因素各10个参数刻度数值相乘即为风险指数，3个因素的参数刻度数值的个数各自可根据企业自身风险管理的设计要求设定可达10个。以每个参数刻度数值个数各自取5个计算，风险等级根据计算结果，1～8为“低”，9～35为“中”，36～125为“高”。

以后果严重度、频度2个因素计算风险指数如下：

    （2﹣2）

式中  RPN ——风险顺序数，也称作“风险指数”；

 S——后果严重度；

 O——频度，也为发生概率，可能性。

式中的后果严重度、频度2个因素各10个参数刻度数值相乘即为风险指数，2个因素的参数刻度数值的个数，企业可根据自身风险管理的设计要求设定达10个。以可能性和后果严重性两个因素各自取5个参数刻度数值计算，风险等级根据计算结果，1～4为“低”，5～9为“中”，10～25为“高”。计算的风险指数以风险矩阵法分析，结果见图2–3。

图2–3  风险指数矩阵法示例

（2）风险等级确定  

运用的风险评估技术或工具涉及计算风险指数并确定风险级别，如失效模式和效应分析（FMEA）、风险矩阵和风险指数法等，或在HAZOP结束后，均应计算风险指数并确定风险级别，确定质量风险处理先后顺序。

风险评估的结果既是一个对风险定量估计也是一个对风险范围的定性描述。当风险被定量地表达，则运用数字0～1或0%～100%的范围来表示其概率。质量风险分析还可用高、中、低三个定性描述来表示，但应尽可能详细地表述。这些风险输出需要进行排序和筛选。

如果是定性分析，那么应该对使用的术语和概念进行清晰的说明，并记录所有风险原则的设定基础。即使已实现全面的定量分析，还应注意到，此时计算获得的风险等级值是估计值，应确保其精确度不会与所使用的原始数据及分析方法的精确度存在偏差。风险等级应当采用最匹配的风险类型术语表达，以利于进一步的风险评价。在某些情况下，风险等级可以通过风险后果的可能性分布来表述。

具体方法参阅《GBT 27921–2011 风险管理 风险评估技术》附录。

（3）控制措施评估

风险的等级水平不仅取决于风险本身，还与现有风险控制措施的充分性和有效性密切相关。在进行控制措施评估时，需要解决的问题包括：①对于一个具体的风险，现有的控制措施是什么；②这些控制措施是否足以应对风险，是否可以将风险控制在可接受范围之内；③在实际中，控制措施是否在以预定方式正常运行，当需要时，能否证明这些控制措施是有效的。

依据风险的可容许程度，可以将风险划分为如下三个区域:

①不可接受区域  在该区域内无论相关活动可以带来什么收益，风险等级都是无法承受的，必须不惜代价进行风险控制。

②中间区域  对该区域内风险的控制需要考虑实施控制措施的成本与收益，并权衡机遇与潜在后果。

③广泛可接受区域  该区域中的风险等级轻微或很小，无需采取任何风险控制措施。

（三）风险控制

风险管理的根本目的在于尽可能将消除风险或降低风险到一个可接受的水平。对风险控制所做的努力应与该风险的严重性相适应。风险控制是在完成风险评估之后，选择并执行一种或多种改变风险事件发生的可能性和后果的措施。

风险控制包括：消除风险、降低风险、接受风险。

采取措施消除和降低风险，改善危险因素和质量风险的可检测性，对不能消除的风险要降低到一个可接受的水平，对不能消除的可接受风险要加强管理控制，在控制已识别风险的同时，要避免引入新的风险。应采取的纠正与预防措施，对于高风险，在采取措施消除或降低风险前，不得进行药品生产的任何操作；必须深入调查，查明原因，建立纠正措施，进行整改。并且还要建立长期预防措施。对纠正与预防措施要进行评估其有效性。对于中风险采取措施能够控制风险发生可能性的同时，可以继续生产，要加强培训与沟通，加强生产过程中的检查、控制，立即查明原因，采取措施进行整改。对于低风险，可以继续生产，进一步强化和规范生产操作管理，对存在的问题按照纠正措施及时给予纠正。

（四）风险沟通

风险沟通即风险通报，就是决策制定者及其他人员间交换或分享风险及其管理信息。参与者可以在风险管理过程的任何阶段进行交流。成功的风险评估依赖于与利益相关方的有效沟通与协商。

在完成风险评估并采取相应控制手段以后，企业需要对整个质量风险管理的执行情况及年度风险审核的结果和改进计划在组织内部进行协商与沟通。协商与沟通主要应该包括以下几个方面：①将识别的结果以文件的形式固定下来，并得到质量负责人的批准。②对全体管理与技术人员包括一线操作人员进行培训和考核，使其掌握生产过程中需要控制的关键环节。质量管理人员与风险管理人员对生产过程中的质量风险的控制情况进行监督，发现偏差进行及时的记录和处理。③在确保识别出的风险因素全部得到控制的情况下，对生产出的产品指标检测情况、生产过程的工艺控制情况和生产过程中发生的偏差以及偏差的处理等信息进行分析，确认是否出现新的或已存在但此前未识别的偏差。如果有，则重新执行风险识别的过程。

一个正式的风险通报过程已成为风险管理的一部分，这可包括许多相关部门间的沟通，所含信息涉及质量风险是否存在及其本质、法律责任、严重性、可能性、可接受性、处理方法、检测能力或其它内容。风险沟通能使管理各方掌握更多更全面的信息，从而及时调整或改进措施时间和效果。技术人员、QA、QC、岗位管理人员、生产人员通过沟通与传达风险信息，可确保生产中风险控制。质量风险管理过程的所有结果都应记录。

（五）风险审核

风险审核即风险回顾，也叫风险评审，是对质量风险管理的全过程进行监测，并定期进行回顾评审。

质量风险管理的一个重要的工作就是对风险控制的情况进行审查和评价，观察系统是否有超出当时风险衡量所在状态的情况，是否有必要通过技术改进或采取其他措施消除和降低风险。

质量风险审核有助于检验风险控制的有效性；为企业决策层提供风险管理信息，有利于产品质量的持续改进和提高；为药监部门提供企业质量动态和质量管理效果。

企业应该建立风险审查规程，全面、系统分析一个周期内产品质量各项指标以及风险控制情况，总结偏差特点和趋势，建立风险消除和降低的改进计划。此外，企业还应该在以下情况发生时，则重新执行风险识别、评估流程：①原辅料、与药品直接接触的包装材料发生变更；②工艺、设备、生产环境（或厂房）和检验方法发生变更；③法律法规或技术要求发生变更；④企业的管理层或客户提出对质量更高的要求。

在一个风险管理周期完成后，风险管理过程所采用的方法、措施、形式及形成的文件，应交给质量管理部门归档并长期保存。