1.3　风险管理在验证活动中的应用

风险管理原则被有效地应用于多个行业和政府领域，实施质量风险管理能够提供主动的方法识别、科学评估以及控制产品质量和患者安全的潜在风险。

验证作为有效质量体系的组成部分，涉及产品和工艺整个生命周期，在验证工作中应用风险管理，不仅是法规的要求，也是整合资源，聚焦对产品质量和患者安全更关键的系统、功能和关键控制。

本章节根据法规和指南的要求，着重阐述验证生命周期各阶段风险管理的应用，通过使用适宜的风险管理工具，达到法规要求“确认或验证的范围和程度应当经过风险评估来确定”这一目的，并为持续改进工艺性能和产品质量提供契机。

1.3.1　法规要求

中国GMP（2010年修订）将质量风险管理作为质量管理中的单独一节进行了阐述，具体条款如下。

第十三条　质量风险管理是在整个产品生命周期中采用前瞻或回顾的方式，对质量风险进行评估、控制、沟通、审核的系统过程。

第十四条　应当根据科学知识及经验对质量风险进行评估，以保证产品质量。

第十五条　质量风险管理过程所采用的方法、措施、形式及形成的文件应当与存在风险的级别相适应。

条款中不仅阐述了质量风险管理的定义，同时还阐述了质量风险管理的两个基本原则和文件要求。

中国GMP（2010年修订）中也提出了在确认与验证中应用质量风险管理的要求：

第一百三十八条　企业应当确定需要进行的确认或验证工作，以证明有关操作的关键要素能够得到有效控制。确认或验证的范围和程度应当经过风险评估来确定。

1.3.2　质量风险管理实施流程

质量风险管理是一种事先的、有组织的活动，基于各种历史数据、法规文献、理论分析、意见及风险涉众，对所有风险相关过程进行分析和评估，识别出潜在风险，进行风险分级，通过风险评估的结果来决定所需采用的适宜控制方法，从而达到管理质量风险的目的。

图1-3-1概述了质量风险管理的常规流程，包含风险评估、风险控制、风险评审和风险沟通四个方面内容。图中并未标明判断节点，在此流程中的任何一个点均可能需要做出判断，这些判断可能会返回上一步，并进一步寻找信息，对流程进行调整，甚至根据可以支持这个判断的信息来终止风险管理流程。

1.3.2.1　启动风险管理

质量风险管理包括系统的流程设计，以协调、推进和改进基于科学的风险决策制定。当计划和启动质量风险管理过程时，必须考虑以下步骤：

①开发风险问题，包括辨识潜在风险的相关假设；

②收集与风险评估相关的潜在危险、伤害或影响人体健康的背景信息和资料和/或数据；

③成立适宜的风险评估小组，确定主导人和必要的资源；

④保证在开展流程之前完成培训；

⑤确定风险管理流程的时间计划、交付物与决策水平。

1.3.2.2　风险评估

风险评估包括风险识别、风险分析和风险评价三个步骤。

风险评估适用于组织的各个层级，评估范围可涵盖项目、设备/系统、工艺、单个活动或具体事项等。在不同情境中，所使用的评估工具和技术可能会有差异。

它包括确定危害以及分析并评估与暴露这些危害相关的风险（如下文所示）。质量风险评估始于一个明确的问题描述或风险问题。采用如下提问：

可能出现什么错误？

出错的可能性（概率）多大？

结果（严重性）是什么？

（1）风险识别

风险识别是指参考风险评估问题或风险描述，系统地利用信息来确定可能的危害（危险）因素的过程。这种信息可能包括历史数据、理论分析、指导性的意见等内容。风险识别关注“可能出现什么错误？”这一问题，包括确定其可能的后果。这为质量风险管理流程的进一步工作提供了基础。

风险评估流程中最为重要的步骤就是要保证在有经验的主题专家的参与下，准备一套准确且完整的潜在危害清单。在建立一个综合的潜在危害清单之前即开始进行严重性、风险发生的可能性和/或可检测性的判定，这将影响任何结果的可信度和有效性。

识别出对产品质量和患者安全有影响的系统或设备的部件/功能和/或工艺关键控制，无论风险高低，均应是确认测试和日常监控的重点。

（2）风险分析

风险分析是对所关联已经确认了的危害因素进行评估。这是将危害发生的可能性及其危害严重性联系起来的一种定性或定量过程，并要考虑可检测性是否可接受。

在整个风险评估过程中，风险分析是最重要的环节，需要相当有经验的技术人员以及质量相关人员共同完成。如果在风险分析过程中，由于人员的专业技术或者对评估的理解出现差错，有可能会造成本来风险很高的因素被误评为低风险等级，进而忽略风险所造成产品的质量缺陷，甚至会影响患者的用药安全；或者本来很低的风险被误评为高风险，造成不必要的资源和成本的浪费。

（3）风险评价

风险评价是将所确定和分析的风险与所给定的风险标准进行比较的过程。风险评价考虑到所有上述三个基本问题的证据强度。

风险评估的输出可以采用对风险的定量估计，也可以采用定性描述。当风险被定量地表达，通常运用数值表达它的概率（例如，从1到5，5为最严重，1为最不严重的评分标准，比从1到100这样的评分标准使用起来更为简单且更为有效）。另外，风险还可以运用如“高”“中”或“低”等定性描述词来表达，使用定性的方法时应尽可能详细地确定定性依据。

另外，某些时候，使用定量法可以进一步进行风险排序。

1.3.2.3　风险控制

风险控制包括在降低和/或接受风险方面所做出的决定。风险控制的目的是为了将风险降低到一个可接受的水平。在风险控制方面所投入的资源应与风险的重要性成正比。

风险控制应关注以下问题：

风险是否超过了可接受水平？

可以用什么方法来降低或消除风险？

效益、风险和资源之间的恰当的平衡点是什么？

控制已确认的风险是否会引入新的风险？

（1）风险降低

风险降低是着眼于当风险超过了某个特定可接受水平后降低或消除质量风险的过程。风险降低可能包括降低伤害的严重性和可能性所采取的行动。增加危险因素和质量风险可检测性的过程也可以作为风险控制策略中的一部分。通过实施风险降低措施，新的风险可能被引入到系统中或者显著增加其他已经存在的风险。因此，在实施风险降低过程后，需要适当地返回风险评估对风险中任何可能的改变进行辨识和评价。

风险降低可采用合适的措施使风险得到如下控制：

①消除；

②替代；

③降低；

④程序控制。

（2）接受风险

接受风险可以是接受残余风险的正式决议，或者是当剩余风险不具体时的被动接受。对于某些类型的危险，即使最好的质量风险管理实践也不能完全消除风险。在这些情况下，可以认为已经应用了最佳质量风险管理策略且质量风险也降低到了一个可接受水平。

实施风险管理的可接受标准如下：

①正确的描述风险；

②识别出根本原因；

③有具体的消除或降低风险的解决方案；

④已确定补救、纠正与预防行动计划；

⑤行动有负责人和目标完成日期；

⑥随时监控行动计划的进展状态；

⑦按计划进行/完成预定的行动，行动计划有效。

1.3.2.4　风险沟通

风险沟通是决策者与其他人员之间分享有关风险和风险管理的信息的过程。各方可在风险管理流程中的任何阶段进行交流。

通过风险沟通，能够促进风险管理的实施，使各方掌握更全面的信息，从而调整或改进整改措施及其效果。风险沟通应沟通的信息包括：

①风险的性质；

②发生的可能性；

③严重程度；

④可接受性；

⑤控制和纠正预防措施；

⑥可检测/预测性。

应恰当地记录质量风险管理的过程和结果，如与药监部门的沟通、与患者沟通，或在公司内沟通。

1.3.2.5　风险评审

质量风险管理是一个持续进行的过程，考虑到新的知识经验，应对风险管理过程的输出和结果进行审核。一旦启动一个质量风险管理流程，这个流程将被持续应用到那些可能会影响到最初质量风险管理决策的事件中。应建立定期回顾审核的机制，回顾频率应基于相应的风险水平确定。

1.3.3　质量风险管理工具

质量风险管理的原则之一是质量风险管理流程的评估结果，正式性和文件化应与其风险级别相适应。通常来说，最好能运用一个系统的质量风险管理工具，但正式的风险管理工具经常是既不合适又不必需的，因为实施质量风险管理流程只是为先前的非文件化或历史数据提供了一种合适的知识管理和文档框架，所以，只要符合质量风险管理的要求，使用非正式的风险管理程序（如使用经验工具或内部程序）也被认为可接受。

风险管理的正式程度包括：简易化程度，相关项目专家、组织构架、工具和文件系统的严谨和正式程度。风险管理的严谨和正式性要求程度受许多因素的组合影响，包括（但不限于）：

①风险问题的危急程度（例如：影响患者安全或产品质量）；

②问题、工艺或系统的复杂性；

③相关历史数据和相关文献的可用性；

④工艺知识和经验的实用性程度。

没有一个或一套工具适用于所有的质量风险管理过程。ICH Q9中给出了制药行业与药政机构公认的几种风险管理工具，以下列几种工具为例进行质量风险管理流程的简要说明。

（1）失效模式和影响分析（Failure Mode and Effects Analysis，FMEA）

FMEA是确定某个产品或工艺的潜在失效模式，评定这些失效模式所带来的风险，根据影响的重要程度予以风险分级并制定和实施各种改进和补偿措施的设计方法。

该工具潜在使用领域包括：

①风险优先性排序（使用打分法）；

②风险控制活动的有效性监督；

③用于设备和厂房，也可被用于生产工艺分析以确定高风险步骤或关键参数。

实施步骤包括：

①成立评估小组；

②将大的复杂的工艺分解成易执行的步骤；

③识别已知和潜在的失效模式；

④通过集体讨论得出已有失效和潜在失效的列表。

风险评估判定标准可采用以下两种方法：

①定性法：高、中、低；

②打分法：5、3、1。

表1-3-1是风险评估定性判定标准。

危害的严重性是三项风险参数中最重要的一个。一般而言，严重性高的风险不应当依赖于检测机制来降低风险的评级。所识别出的危害发生可能性是次要的风险参数，如果危害发生可能性非常低，即使严重性高也不一定要采取特别措施来进行控制或预防。应把严重性和可能性合在一起来评价风险级别。在进行评价之后，将风险级别和可检测性合并到一起来确定整体的风险优先性。通过表1-3-2、表1-3-3所列判定矩阵对风险优先性进行评价。表1-3-4为FMEA风险管理工具的矩阵示例。

（2）危害分析和关键控制点（Hazard Analysis and Critical Control Points， HACCP）

HACCP是一种系统化、积极主动和预防性的风险管理方法，用以确保产品的质量、可靠性和安全性。HACCP使用科学的原理和技术去分析、评估、预防和控制风险或由于产品设计、开发、生产和使用所产生的危害后果。表1-3-5为HACCP风险管理工具的简化矩阵示例。

该工具潜在使用领域包括：

①用以识别并处理物理、化学和生物危害相关联的风险；

②当对工艺了解足够全面时，有助于支持关键控制点的识别；

③促进生产工艺中关键点的监控。

具体实施步骤包括：

①对过程的每一步实施危害分析；

②为每个步骤制定预防性措施；

③定义关键控制点（CCP）；

④建立目标水平关键限度；

⑤建立CCP监测体系；

⑥建立当监测显示关键控制点不在控制状态时应该采取的纠正措施；

⑦建立确认规程并证明HACCP体系行之有效；

⑧对所有规程步骤建立文件并保留记录。

（3）危害操作分析（Hazard and Operability Analysis， HAZOP）

HAZOP是基于假定风险事件与设计或操作目的之间的偏差，以辨识危险因素的系统的头脑风暴技术。

该工具潜在使用领域包括：

①原料药和制剂产品生产工艺，如处方、设备/系统等；

②工艺安全性危险因素评估；

③生产过程中关键控制点的日常监控。

如何实施HAZOP？

①辨识设计缺陷、工艺过程危害及操作性问题；

②分析每个工艺单元或操作步骤，识别出那些具有潜在危险的偏差。

（4）初步危害分析（Preliminary Hazard Analysis，PHA）

PHA基于适用的以往的经验和风险或失效的知识，通过分析、识别未来的危险、危险状态和可能发生危害的事件，并估计它们在某一具体活动、厂房、产品或系统内发生的可能性。

该工具潜在使用领域包括：

①已存在的系统更适用；

②针对产品、工艺和设备/系统设计；

③适用于普通产品、分类产品和特殊产品；

④开发早期，在设计细节或操作程序方面仅有少量信息时使用，常常是进一步研究的先驱（先兆）。

如何实施PHA？

①确定风险事件发生的可能性；

②对健康可能导致的伤害或损伤的程度的定性评估；

③确定可能的补救措施。

（5）其他质量风险管理工具

一些简易的质量风险管理工具可以支持风险的识别，包括：

①流程图；

②检查表；

③工序图；

④因果图（石川图/鱼骨图）；

⑤风险排序和筛选；

⑥统计学工具；

⑦头脑风暴法。

除了ICH给出的风险管理工具外，传统的调试与确认活动中还使用了其他两种不太正式但被行业所认可的方法：系统影响性评估和部件关键性评估。一般情况下，简易的质量风险管理工具常常会和其他工具结合应用，来完成一项具体的质量风险管理流程，如部件关键性评估常常和FMEA联用执行设备/系统的功能/部件风险评估。

1.3.4　质量风险管理在产品生命周期验证活动中的应用

实施基于生命周期的验证策略，从基于证据的法规符合性到包含基于科学和风险的法规符合性的演变是重要的。通过聚焦生产操作中对工艺控制和产品质量起关键作用的因素可达到有效控制风险和持续改进的目的。质量风险管理在厂房、生产和控制系统的整个生命周期中的应用如图1-3-2所示。

1.3.4.1　CQA&CPP评估

在工艺设计阶段，质量风险管理的应用可以促进对产品工艺、生产设备/系统的认识，有助于早期工艺的开发。质量风险管理原则的合理应用可以实现以下目标：

①根据减少对产品的质量和对病人的风险来设计产品和工艺；

②优先进行必要的开发实验以收集并提高对产品的知识；

③建立稳定的控制策略以实现对关键质量属性（CQA）的充分风险管理。

在工艺设计阶段，质量风险管理主要用于以下几个方面：

①识别关键质量属性；

②设计能重复实现关键质量属性（CQA）的工艺；

③识别关键工艺参数（CPP）和物料属性；

④确定关键工艺参数，物料属性和过程控制的合理范围；

⑤支持合格供应商选择。

工艺设计阶段所执行的风险评估为变量控制和监测奠定基础，早期的风险评估有助于确立目标产品在工艺设计和优化阶段潜在的关键质量属性（CQAs）及其可接受范围。基于此评估，有效和高效的开发研究（如实验设计），以明确设计空间，降低工艺失败的可能性。这些风险不仅可以通过设计消除，也可以通过工艺过程控制来降低。产品关键属性是一个连续体，并不是一个非是即否的问题。其风险评估分析通常使用“严重性与不确定性”，而不是“严重性与发生可能性”。表1-3-6以关键质量属性评估为例进行说明。

以关键质量属性评估为基础，初步定义生产工艺，实施质量风险评估进行初始的参数分类，初始的工艺参数分类可以使用粗犷的风险评估方法，通常为因果性分析，基于对工艺控制的初始理解从质量/工艺和控制程度进行评估，如表1-3-7所示。

通过初始评估识别的关键工艺参数，在实验设计时应进行研究，制定工艺参数的操作范围。工艺表征实验完成后，应基于研究数据，以关键性为基础，对参数进行最终分类，最终确定商业化生产工艺的关键质量属性和关键工艺参数，并建立控制策略控制风险。控制策略为确保工艺控制以及每个批次符合这些关键工艺参数和关键质量属性提供了理论基础。

风险管理工具如工艺FMEA、风险排序和筛选、决策树或鱼骨图，对于评估这些潜在的不确定性及其对产品质量的影响是有用的。FMEA可以帮助团队作出必要的最优决策，如为了降低风险，在哪里使用哪些控制措施等。

1.3.4.2　技术转移风险评估

技术转移的目的是“在药物开发部门与生产部门或在不同的生产岗位中进行知识转移，以实现药物的最终生产”。

质量风险管理在技术转移阶段的应用可以达到以下目的：

①评估与管理工艺和产品质量的风险以达到技术转移和扩大生产的结果；

②帮助知识的转移；

③在商业化生产的过程中驱动控制策略的决策，以降低风险。

在技术转移过程中，质量风险管理过程的结果可以用来实施纠正和预防措施，以妥善管理确定的风险并提供及时的过程控制的管理。质量风险管理可以用于开发一个基于风险的验证总计划，以确定确认和验证活动的程度。在技术转移的阶段，详细的风险管理工具如FMEA或HAZOP会被经常用到。

1.3.4.3　多产品共线风险评估

共线生产是指在药品生产中，有多个产品使用共用的厂房设施、设备/系统等情况。多产品共线风险评估用于评估交叉污染或多产品共线相关的风险，确定控制交叉污染的策略使风险最小化。

经可行性评估确定可以共线生产的产品，应列出共线生产涉及的厂房设施、设备/系统和品种的清单，并明确所采取的防止交叉污染的措施，如采用阶段性生产方式、设备的清洁及其验证、生产计划的合理安排、部分风险高的工序采用专用设备或容器具等。

进行多产品共线风险评估首先应考虑产品处理是否有特殊要求，是否需要在专用厂房生产。如需要专用厂房，则只能在单一车间生产；如不需专用厂房，进行后续多产品共线风险评估。对可以共线生产的药品，应根据产品的具体特性、工艺和预定用途等因素做具体分析。可行性评估可考虑以下因素：

①拟共线生产品种的特性；

②共线生产品种的工艺；

③共线生产品种的预定用途。

根据评估的不同阶段可采用的质量风险管理工具：

①初始阶段：决策树；

②过程中：流程图；

③后期：FMEA。

1.3.4.4　高致敏性产品厂房设施布局风险评估

高致敏性、高活性产品厂房设施的布局需要进行风险评估，以确保高致敏性、高活性产品生产用厂房，生产设施和设备的设计、选型和布局，符合相关法律、法规的要求，并通过风险分析，采取相应控制措施将高致敏性、高活性产品对相邻的厂房、设施及生产产品影响的风险降低至可接受水平。

在识别高致敏性、高活性产品厂房设施布局风险的过程中，可从以下方面（但不限于以下）进行风险识别：

①产品特性；

②厂房选址；

③厂房布局区划；

④厂房布局人流、物流、废物流、样品流；

⑤厂房、生产设施和设备的独立性；

⑥产尘量大的操作区域控制措施；

⑦废气净化处理；

⑧空气净化系统；

⑨取样操作控制；

⑩车间工艺流程布局的合理性；

其他公用工程布局的合理性。

可采用的质量风险管理工具：FMEA。

1.3.4.5　GMP设计审核

GMP设计审核是对可能影响产品质量的系统进行GMP符合性的审核，是项目初期的设计阶段风险评估的一种方式。

质量风险管理的起始点为识别对质量而言关键的工艺要求。GMP设计审核支持厂房、系统或设备关键要素的风险控制策略的确立，将关键要素的风险降低或规避至可接受标准水平，从而保证可持续满足关键的工艺要求。

GMP设计审核主要包括以下工作：

①对设计进行有文件记录的审查，审查其与操作和法规预期要求的符合性；

②保证所提出的概念能够符合设计基础（Basis of Design， BOD）中所规定的要求；

③保证所提出的设计能够最大程度降低对产品质量/患者安全性的风险；

④保证设计符合GMP要求，而且其性能可以通过文件记录下来；

⑤对设施、公用工程和设备进行有计划的评估。

ISPE（国际制药工程协会）基准指南第5卷“调试和确认”中要求的GMP设计审核范围如下：

①设计符合GMP；

②符合性能标准（用户需求说明和功能说明、设计说明）；

③设计考虑了厂房气流和压力体系；

④设计考虑了工艺流——可能对产品造成的污染；

⑤设计考虑了人流；

⑥设计考虑了建造材料；

⑦设计考虑了清洁问题；

⑧设计考虑了可靠性和能力；

⑨设计考虑了调试的要求；

⑩设计考虑了“可建造性”和设备的安装；

设计考虑了“质量关键”设备和仪器的维护和使用；

设计考虑了启动和关机的规程；

设计考虑了“标准解决方案”的使用；

设计考虑了已规定了所要求的文件；

文件资料清单。

1.3.4.6　系统影响性评估

系统影响性评估（System Impact Assessment，SIA）是评估系统的运行、控制、报警和故障状况对产品质量影响的过程。SIA是用于判断哪些系统需要进行验证/确认的文件依据，适用于大部分的工艺和辅助设备、厂房设施和公用系统。

初步的系统影响性评估在工程早期，即在系统界定和设备订货之间进行。由于直接影响系统要进行验证或确认工作，所以对供应商及其文件的要求相对于其他系统就要更严格，必要时需要进行设备/系统的供应商审计。

系统影响性评估流程图源于ISPE基准指南第5卷“调试和确认”，如图1-3-3所示。

（1）确定系统

系统是具有特定功能的一组工程组件（例如：设施、设备、管道、仪表、计算机硬件和计算机软件）。在系统确定的过程中应考虑整个系统，而不需考虑系统中的某些部件。系统举例如下：

①反应罐系统；

②纯蒸汽系统；

③注射用水系统；

④分装机系统。

（2）系统范围界定

系统范围界定应考虑系统的范围是什么，哪些包含在系统中，哪些不包含在系统中。系统范围的界定可以使用P&ID、设备清单等工程文件，根据系统设计的目的和范围，将对其具有直接影响的部件归入最适宜的系统之中。

（3）系统影响性评估

系统影响性评估工作将系统分为三类：直接影响系统、间接影响系统和无影响系统。

直接影响系统是对产品质量有直接影响的系统。

间接影响系统是指系统不会对产品质量有直接影响，但是通常会对直接影响系统提供支持。

无影响系统是指系统不会对产品质量有任何直接的或间接的影响。

表1-3-8中的9个问题可用于进行系统影响性的判断。

若表1-3-8中所列1～8个问题中任何一个的答案为“是”，系统即必须被评估为具有直接影响，直接影响系统按照图1-3-4所示进行验证工作。

如果表1-3-8中所列1～8个问题的答案均为“否”，第9个问题为“是”，则系统被评估为间接影响系统。

如果所有问题的答案均为“否”，则系统被评估为无影响系统。

在系统的影响性判定过程中应综合考虑系统的功能，系统的影响判定会根据实现的功能不同而不同。

1.3.4.7　分析仪器分类风险评估

分析仪器的复杂性和使用功能不同，所需要的确认级别和范围也不一样，用户可以根据仪器的复杂程度（仪器配置，控制软件，数据储存及处理的程度）和使用需求，将仪器分为A、B、C三类，不同的类别进行不同程度的确认活动。这种方法是一种简单的基于风险的分类方法，将在QC验证章节进行详细介绍，此处不再赘述。

1.3.4.8　部件关键性评估

对于系统影响性评估阶段判定为直接影响的系统将继续进行部件关键性评估工作（CCA）。

（1）关键部件

关键部件是指系统中某个部件的运行、接触、数据、控制、报警或故障会对产品的质量参数（功效、特性、安全、纯度、质量）有直接的影响。

（2）非关键部件

非关键部件是指系统中某个部件的运行、接触、数据、控制、报警或故障会对产品的质量参数（功效、特性、安全、纯度、质量）有间接的影响或没有影响。

判定标准：根据罗列的功能和部件对产品的影响来评估其GMP关键程度。

功能和部件的GMP影响评估以产品的5个质量参数为基础（功效、特性、安全、纯度、质量）。对于每一项会对产品质量产生影响的功能和所有提供该功能的设备、部件或仪表都归类为关键部件和非关键部件两种，如图1-3-5所示。

这种归类根据ISPE基准指南第5卷“调试和确认”和ISPE GPG“基于风险管理的调试和确认”中提出的问题进行，如表1-3-9所示。

以上七个问题中只要有一个问题的答案是“是”，就将该功能/部件归类为关键的功能/部件。关键功能/部件需要进行进一步的风险评估，使用FMEA风险评估工具，识别部件/功能可能的失效情况，评估风险优先性，确定风险控制措施，其中风险控制措施可分为以下五类：

①更改设计；

②通过建立SOP，进行日常管理；

③补充设计规范的详细信息；

④通过确认活动进行证实；

⑤其他风险控制措施。

1.3.4.9　计算机化系统风险评估

质量风险管理在计算机化系统中的应用主要包括初步风险评估和功能性风险评估。初步风险评估一般进行GxP关键性评估，进行评估之后对于GxP关键系统进行进一步的评估，包括风险影响分级、软硬件分类评估、21CFR Part11适用性评估等。基于以上评估确定计算机化系统可增减生命周期活动，并进行进一步的功能性风险评估确定验证程度，这一内容将在第3章计算机化系统验证部分进行详细介绍，此处不再赘述。

1.3.4.10　清洁验证风险评估

清洁验证中选择的取样规则和取样点也可以基于风险，选择相对于清洁后残留物残留风险最高的标识区域。验证取样点应该是工艺残留物积聚风险最高的点（如工艺设备中最难清洁和最难干燥的“最差条件”点）。取样点选择的标准也可以扩大至包括可检测性和工艺残留物在日常目视检查中被监测到的可能性。提高可检测性的方法之一是通过使用内孔表面检测仪、照相机、观察镜或可拆卸设备拆开检查（如管道弯头和转换板）。在日常检查中，残留物积聚可能性和检测可能性的考虑将帮助集中资源在形成残留风险最大的区域取样。最后，在评估中可以通过考虑药品的毒性和生物活性来考虑严重性。对于高活性的化合物，可以选择更多的取样点监测，尤其是那些产品积聚中度风险和日常检查中视线受限的区域。

基于风险评估来确定清洁工艺和清洁验证的范围和程度，可以考虑以下因素：

①产品的溶解度；

②产品的治疗剂量；

③回收率研究；

④设备的取样点和接触面积；

⑤确定最差情况的产品。

可采用的质量风险管理工具包括：

①因果图；

②FMEA；

③故障树；

④头脑风暴法。

1.3.4.11　工艺验证风险评估

在生产工艺中有很多影响产品关键质量属性的因素，每个因素都存在着不同的潜在风险，必须对每个因素进行充分的识别分析、评估，从而来反映工艺的一些重要性质。

应用质量风险管理的方法对生产工艺进行关键性评估，确定生产工艺中的关键步骤、关键物料属性、关键中间控制和关键工艺参数及关键操作、关键步骤等关键控制点，为商业化生产中的关键设备的确认、针对关键步骤的工艺验证、确定关键物料（原料和中间体）及其质量指标、确定工艺中的中间控制点、设备预防性维护计划提供依据。

可采用的质量风险管理工具包括：①FMEA；②HACCP。

1.3.4.12　无菌工艺模拟风险评估

由于无菌操作本身就存在着风险，其工艺步骤容易产生故障，污染情况的检测、控制和管理等方面存在着挑战性，对产品而言，无菌操作为风险管理关注的焦点。无菌工艺之所以独特，是因为产品的无菌得不到保障或是内毒素超标很可能给患者带来严重危害，而无菌和内毒素不合格的可检测性很低。

无菌工艺模拟风险评估为无菌环境以及内毒素控制的建立与维护提供了一种评估与评价的工具。风险评估可以用于确定生产中的最差条件，包括容器规格、设置、灌装速度、批量和操作条件。如果可能的话，应努力减少或改变有风险的工艺步骤、改进厂房、设备和工艺设计来降低确定的风险。

在确定了无菌工艺模拟操作单元和参数之后，针对每个已经确定的操作单元和参数，要分析其失效时可能产生的危害。例如：灌装过程信息可能包含生产线速度、生产线能力/灌装时间/公用设施、干扰因素的数量与类型、灭菌和内毒素失效的频率、培养基灌装结果、人员监控和环境监控趋势等。

可采用的质量风险管理工具包括：①鱼骨图；②风险排序和筛选；③FMEA。

1.3.4.13　运输验证风险评估

使用风险评估的方法可以更有效地确定用户对物流运输的要求和运输方案的制定，在进行评估时，应考虑以下几点：

①整个系统的生命周期费用；

②重复利用系统；

③特定环境下的存储时间；

④产品存储运输中的可再利用系统的确定，如有机产品、无机产品、泡沫等；

⑤产品储存空间的要求；

⑥产品退回的费用；

⑦产品是否会在外界环境中暴露；

⑧整个系统的适用性情况（根据产品的数量和地理位置进行确定）；

⑨季节要求；

⑩运输系统的复杂性；

系统中可能发生的故障时间。

可采用的质量风险管理工具：HACCP。

1.3.4.14　质量体系运行风险评估

产品生命周期中最长的阶段通常是商业化大生产阶段。在商业化阶段应用质量风险管理可以达到以下目标。

①在商业化运营的过程中可以主动地评估和管理工艺和产品质量风险。

②通过持续的改善以建立稳定的控制策略和调整措施（如果需要），以确保达到预期目的。

③持续工艺性能和产品质量。

在商业化生产阶段，质量风险管理在有关产品质量或患者安全事件方面的变更控制、偏差、失败或调查的有效决策时也是很有用的。

工艺控制的基本原理是识别变异的来源、检测变异、理解变异的影响，然后使用与其相关的风险相适应的方式来控制变异。统计学工具如统计过程控制（SPC）、控制图和多变量分析可以被用来评估工艺变异和监控工艺性能。完成工艺性能确认后，在建立变异统计学的显著评价之前，加大对工艺参数和质量属性的检测和取样。统计学技术也被用来确定趋势限、警戒限、行动限和拒绝放行限。然而这些限度的识别和响应也应该基于对风险和控制的良好理解。

关键工艺参数和关键质量属性将按照既定的控制策略在整个生命周期中持续进行监控。工艺监控的目的是保证工艺在验证状态下持续操作而不仅仅依赖于监控工艺参数和质量属性。周期性的工艺风险评估回顾和统计工具中的工序能力数据，是确定监控范围和频率的重要依据。例如对产品质量影响高风险的参数比其他参数应有更频繁的工艺监控。监控工作也包括厂房和设备控制、生产环境和关键设施。对风险水平和范围的理解可为决定是在批次内还是批次之间实施监控提供支持。工艺监控也应包括不良趋势的识别，优化工艺知识和支持工艺改进。

从第三阶段获取的数据应当用于改进和优化工艺。当被批准时，可使用获取的知识更新风险评估和控制策略。

（1）偏差管理中风险管理的应用

偏差是与批准的规程、建立的标准或期待的结果的偏离，应评估偏差对生产系统和产品质量潜在的影响程度。应用风险管理可提供指导，识别偏差事件可采用正式评估方法或者非正式方法，从而可以更有效地管理资源，得出适宜的措施。具体包括以下内容：

①从系统中完全移除风险；

②降低风险对系统的影响性；

③降低风险发生的可能性；

④加强风险的检测性方法。

如果运用恰当，风险管理可以通过监控发生的可能性来达到风险降低的效果。这种做法将转入CAPA体系来进行。

应用风险管理对偏差进行分类时，应首先根据偏差的严重程度进行风险分级，定义影响性时可考虑以下几个方面：

①事件导致对产品、工艺或者系统的影响；

②对产品、工艺或者系统的验证状态相关的影响；

③事件影响CQA、CPP、法规要求或者其他公司质量体系文件的要求；

④事件影响批号、批量、生产运行等；

⑤事件影响设备或者设施的持续应用。

（2）风险评估决定纠正与预防措施

制药企业应有一个执行调查投诉、产品退回、不合规、召回、偏差、审计、监管检查和发现后建立纠正预防措施的体系，保持工艺性能和产品质量监测趋势。这个风险评估的目的是确定适当的风险降低活动，这些活动将会产生以下作用或影响：

①将系统风险完全去除；

②降低风险对系统的影响性；

③降低风险发生的可能性；

④风险识别后增强风险的监测方法。

如果风险评估得当，那么通过一定时间来监测风险发生的可能性，可追溯CAPA的执行效果。

当选择风险评估工具的时候，需要考虑以下三点：

①判断风险在之前的系统风险评估过程中是否被识别到；

②判断这是否是一个互相关联的多种失效模式引起的新风险；

③判断这是否是一个单一失效模式引起的新风险。

（3）变更控制中风险管理的应用

在厂房设施、设备、工艺和/或系统出现变更时，应基于风险管理的理念，采取措施并保证由于变更而对之前已经确认的设施、设备、工艺和/或系统造成的影响制定了适宜的要求。使用风险管理来评估与变更执行相关的风险是一个正式的过程，以确保对产品、工艺或系统的变更以受控和协调的方式进行。

变更分类中应用风险管理应评估变更对已验证系统的影响，考虑如下：

①变更会对产品、工艺或系统产生的不利影响；

②如果有的话，不利影响与产品、工艺或系统的验证状态有关；

③变更影响关键质量属性、关键工艺参数、关键属性、关键属性设计要素、法规要求或公司其他的质量要求；

④变更影响工艺控制或控制策略的检测机制（对关键质量属性、关键工艺参数、法规要求或其他公司许可文件记录的其他质量要求而执行的控制策略）。

（4）生产系统持续监控风险管理的应用

生产系统持续监控风险管理应该根据系统的特性、风险性和复杂性来选择操作活动。在计划操作活动时，可基于风险评估做出决策。在整个商业化运行阶段，对系统和工艺进行持续监控对于确保系统及其所支持的工艺保持预期的功能和持续有效性至关重要。为了满足这一目标，以下两个关键领域是持续监测的重点：

①系统的关键属性；

②风险控制。

可采用的质量风险管理工具：FMEA。

（5）维护活动阶段基于风险做出决策

应该根据系统的特性、风险性和复杂性来选择维护活动。在计划维护活动时，可基于风险评估做出的决策包括：

①系统的影响性；

②部件的关键性；

③维护的频率；

④定期的审查；

⑤再验证活动。

可采用的质量风险管理工具：FMEA。

（6）再验证风险评估

在设备/系统的整个生命周期内，应持续进行验证状态评估，必要时执行再验证测试活动。针对设备/系统在验证（确认）活动中应进行的测试项目（包括但不限于部件、功能等）展开风险评估，分析设备/系统是否会随着时间的变化产生功能性漂移，进而对可能产生漂移的项目进行再确认，可能存在风险的情况举例如下。

①零部件的安装位置发生变动，进而影响设备运转稳定性。

②零部件的材质发生变化，完整性破坏，进而影响产品质量。

③零部件的连锁运行状态是否会发生变化，进而影响设备运行或产品质量。

④电气元件、线路是否会产生老化，影响监视、控制、测量等信号的传输，进而影响设备运行或产品质量。

⑤设备/系统的某一项功能是否会在长时间运行后发生变化，产生功能错乱或功能损坏，进而影响设备运行或产品质量。

⑥设备/系统的某一项运行参数是否会在长时间运行后产生漂移，进而影响设备运行或产品质量。

（7）设备/系统退役风险评估

设备/系统计划退役时也应进行风险评估，决定以下内容：

①设备/系统生产出的产品的相关数据与记录保存和移交方法；

②设备/系统退役确认的内容。