各位医械同仁大家好，在 2025 版《医疗器械生产质量管理规范》中，“质量风险管理” 是贯穿全规范的核心理念之一 —— 总则明确风险管理全程贯穿，第二章质量保证专门设置质量风险管理条款，后续生产管理、采购管理、验证与确认、偏差管理等章节，均以风险为核心逻辑展开。
但在体系落地过程中，不少企业始终存在一个核心困惑：我们长期按照 GB/T 42062（ISO 14971）建立的产品风险管理体系（PRM），和新 GMP 重点强调的质量风险管理（QRM），究竟是什么关系？是同一套内容的两种表述？还是两套独立的管理要求？文件是否需要分开建立？日常工作中又该如何落地？
针对这些共性疑问，我们整理了 14 个核心问题，从概念边界、法规依据、流程方法、文件管理、体系融合五个维度逐一拆解，帮助大家彻底理清两套风险管理体系的定位，真正把质量风险管理要求落到实处。
一、概念边界：QRM 与 PRM 不是包含关系，而是相辅相成的两套体系
很多人第一反应是 “质量风险管理包含产品风险管理”，这是最常见的认知误区。两者管理对象、风险来源、关注焦点完全不同，是并行但深度协同的两个体系。
核心差异：一个管产品安全，一个管过程质量
产品风险管理（PRM）：管理对象是成品本身的安全，风险来源于产品设计、原材料、软件功能等固有属性，核心是评估产品在临床使用中可能对患者、使用者造成的伤害。
质量风险管理（QRM）：管理对象是生产与质量过程的稳定性，风险来源于生产、检验、供应链、仓储等环节，核心是防范过程失控导致产品质量偏离预定要求。
打个比方：一个设计完美、固有风险极低的产品，可能因为生产环节交叉污染、供应商物料变更失控而出现质量问题；反过来，一个生产过程完全受控的产品，如果设计本身存在缺陷，依然无法保障临床安全。两者缺一不可，共同支撑医疗器械的安全有效。
终极目标一致：最终都是为了保护患者
ICH Q9 开篇即明确：“保护患者是质量管理中的首要任务。” QRM 的终极目标同样是患者安全，只是实现路径不同：
PRM 通过优化产品设计，直接降低临床使用风险； QRM 通过保障生产过程稳定可控，确保每一批产品都能兑现设计赋予的安全性能。 为什么医疗器械要做区分，药品领域却不用？
根本原因在于产品本质的差异：
药品的核心是化学 / 生物分子，高度均一，产品安全几乎完全由生产过程的纯度、稳定性决定，过程质量与产品安全深度绑定，因此 ICH Q9 天然融合了质量与安全的管理。 医疗器械是物理、电子、软件结合的复杂系统，高度异质，风险不仅来自生产，更内生于设计本身（机械结构、软件逻辑、人机交互等）。即便生产零缺陷，设计缺陷依然可能导致致命风险。因此器械领域可以清晰划分出 “产品设计端风险管理” 和 “生产过程端质量管理” 两套体系。
二、法规依据：两套体系各自的合规源头
两类风险管理对应不同的法规与标准体系，企业在建立文件时需要分别对标：
产品风险管理（PRM）：核心依据为《医疗器械监督管理条例》、GB/T 42062-2022（等同 ISO 14971）、YY/T 1437-2023（等同 ISO 24971），是产品注册、全生命周期管理的强制要求。
质量风险管理（QRM）：核心依据源自 ICH Q9（药品质量风险管理），并被全面纳入 2025 版《医疗器械生产质量管理规范》，是生产质量管理体系运行的核心原则之一。
简单来说，PRM 是注册端的强制要求，QRM 是生产体系端的核心方法，两者共同构成医疗器械监管的风险管理框架。
三、流程逻辑：PRM 重文件闭环，QRM 重灵活嵌入
两类风险管理的运行流程在底层逻辑上相通，但形式化程度、侧重点差异显著。
流程结构的差异
PRM：遵循 “分析→评价→控制→生产后监督” 的线性迭代逻辑，强调严谨的文件化追溯，有两个核心决策节点：受益 - 风险分析、综合剩余风险评价，所有过程必须形成完整的风险管理文档。
QRM：遵循 “评估→控制→沟通→评审” 的逻辑框架，更强调基于科学知识的决策、形式与风险相匹配，以及跨部门的信息沟通。
关键认知：不是每个 QRM 风险都要走完整四步流程
这里特别提醒大家：QRM 的四个步骤是逻辑要素，不是强制的、必须生成独立文件的四个行政步骤。执行的形式、范围、深度，完全与风险等级相匹配：
低风险场景（如普通文件修订）：评估的思考过程体现在审核意见中，接受就是控制决策，部门内沟通即完成，措施落地即完成评审，不需要单独写风险报告。 高风险场景（如共线生产、重大工艺变更）：需要完整的风险评估报告、控制方案、跨部门评审、效果验证，形成完整的文件闭环。 风险控制的优先级不同
ISO 14971 明确规定了风险控制的优先顺序：设计固有安全→防护措施→安全信息 / 培训，体现 “设计安全优于告知安全” 的理念。
ICH Q9 没有规定统一的控制优先级，企业可根据风险场景灵活选择控制手段。
评审 / 回顾的节奏不同
PRM 评审：上市前必须完成完整的风险管理评审，确认综合剩余风险可接受；上市后通过上市后监督持续收集信息，定期更新评审。
QRM 回顾：是质量管理的常规组成部分，持续开展、定期回顾，结合新知识、新经验动态调整控制措施，对应新 GMP 第十三条 “定期实施质量风险管理回顾” 的要求。
四、术语区分：这些专属概念不要混用
由于管理对象不同，两类风险管理的术语体系有明确边界，切忌混用到同一份文件中：
PRM 专属术语：受益、受益 - 风险分析、危险情况、综合剩余风险、使用错误、可合理预见的误使用。这些概念围绕 “临床使用中的患者伤害” 展开，是产品风险管理的核心表达。
QRM 不涉及上述术语：它的评估焦点是 “过程失控对产品质量的负面影响”，不直接评价临床受益，也不评估用户端的使用错误。
五、落地实操：QRM 怎么建、怎么管、怎么不漏项
这是企业最关心的部分。质量风险管理不是让大家再做一套和 PRM 平行的纸面文件，而是要嵌入到现有质量管理体系的各个环节中。
文件化要求：不强制独立文档，嵌入现有流程即可
和 PRM 强制要求 “每个产品建立独立风险管理文档” 不同，QRM 的文件化高度灵活，核心原则是 “与风险相称”：
一般风险：直接嵌入变更控制记录、偏差报告、验证方案、供应商评估表等现有文件中，不需要单独出具 QRM 报告。 高复杂、高影响的风险（如新产线引入、共线生产评估、重大工艺变更）：单独编制《质量风险评估报告》，完整记录评估、控制、评审全过程。 没有 “第一份文档” 的强制起点
QRM 不是像 PRM 那样，在设计开发阶段就必须启动第一份文件。它是持续的嵌入式活动，首次启动可能出现在新产品导入、新供应商评估、首次重大偏差处理、工艺变更等任意场景中，随质量管理活动自然发生。
零散记录如何追溯与统计？
既然 QRM 记录分散在各个流程文件中，就需要一套索引机制实现统一管理：
统一编号与链接：正式的独立 QRM 报告赋予专属编号；嵌入在变更、偏差中的风险评估，在对应文件中明确标注，并同步索引到 QRM 主清单。
建立《质量风险管理活动主清单》：记录每一项 QRM 活动的编号、主题、涉及产品 / 工艺、启动日期、负责人、关联文件号、当前状态、下次回顾日期。这是我们非常推荐的管理工具，也是监管检查中能够直观体现企业 QRM 运行全貌的核心文件。
电子化系统赋能：通过 QMS 系统的标签、链接功能，将偏差、变更、CAPA 等模块中的风险记录关联归集，便于检索与统计分析。
定期回顾时，基于主清单做数据提炼：按风险来源（供应商 / 工艺 / 设备 / 人员）分类、按产品线统计、分析风险等级趋势、识别系统性薄弱环节，最终输出《年度质量风险管理回顾报告》，作为管理评审的核心输入。
延后评审的风险如何追踪闭环？
部分控制措施的有效性需要时间验证，不能立即完成评审，这类风险要做好追踪管理：
在《质量风险管理活动清单》标记为 “进行中 - 待评审”，明确计划完成日期； 采用 “定期评审 + 触发式评审” 结合：月度 / 季度质量回顾时集中核查待评审项；约定条件达成（如 3 个月生产数据齐备）时，负责人主动触发评审； 评审完成后更新清单状态，关联评审记录编号，形成完整 PDCA 闭环。
怎么确保该做的风险评估不遗漏？
避免 QRM 流于形式、该评的没评，核心是做到三点：
制度化触发条件：在《质量风险管理制度》中，明确列出必须启动正式 QRM 评估的场景清单，比如重大变更、重大偏差、新产品导入、新供应商引入、共线生产、停产复产等。
嵌入现有流程：将 QRM 评估设为强制节点写入对应 SOP，比如变更控制 SOP 中明确 “重大变更必须附质量风险评估报告”，供应商引入申请表中设置 “质量风险评估” 栏目。
培养风险文化：通过培训让各岗位形成 “决策前先评估风险” 的意识，让风险管理从 “合规任务” 变成 “工作习惯”。
质量风险管理是 2025 版新 GMP 的核心升级方向之一，它不是给企业增加一套额外的合规负担，而是提供一套科学的决策工具，让质量管理从 “凭经验、靠检查” 转向 “基于风险、前置防控”。
厘清 PRM 与 QRM 的边界，把质量风险思维嵌入到生产、采购、验证、偏差、变更的每一个环节，才能真正构建起覆盖产品全生命周期的风险管理体系，既满足监管要求，也切实提升企业的质量管控能力。
医械加油站将持续更新新 GMP 条款深度解读、体系落地实操、合规避坑干货，助力医疗器械企业合规升级、高质量发展。
📋 医械加油站持续更新新版GMP核查专栏系列全景规划，覆盖GMP核查从框架认知到模块拆解、从文件编写到问题整改、从内审应答到供应商管理的完整链路，欢迎持续关注！