核心问题：新修订《医疗器械生产质量管理规范》自 2026 年 11 月 1 日施行，《检查指导原则》（国药监械管〔2026〕14 号）同期用于判定和处置。企业的风险管理要做到什么程度才算过关？

• 定位变了：风险管理从设计开发阶段的一份技术报告，变成贯穿质量管理体系运行全过程的基础要求，《规范》132 条中有 12 条直接规定风险管理。

• 考核变实了：200 项检查项目中 20 项直接考核风险，含 3 项关键项目、16 项主要项目和 1 项一般项目。

• 后果变重了：关键项目不符合 3 项，或关键加主要不符合 10 项，即判定"暂停生产整改"，停产整改并经跟踪检查合格方可复工。

• 主线在哪：制度—识别—控制—验证—回顾五环缺一不可（对应《规范》第十二条、第四十八条、第六十九条、第十三条）。

• 时间账：严格判定自 2026-11-01 起，已受理未核查的许可申请同步切换，没有缓冲期。

2026版GMP检查指导原则，医疗器械企业如何做好全流程风险管理

1. 判定依据从 2026 年 11 月 1 日起切换，风险管理失守会直接触及停产红线

国家药监局明确，2026 年 11 月 1 日起药品监督管理部门严格按照新修订《规范》开展生产许可核查和上市后监督检查，并依据《检查指导原则》进行判定和处置；此前已受理但未进行现场核查、或已现场核查但因企业未完成整改而未作出许可决定的申请，以及已备案但未开展现场检查的第一类产品，一并自 11 月 1 日起按新规执行〔1〕。对企业来说，"先按老标准过一遍、以后再补"这条路径已经不存在。

2026版GMP检查指导原则，医疗器械企业如何做好全流程风险管理

判定规则本身也不看单项错误的严重程度，只看命中数量，这是风险管理被推到前台的关键机制。《检查指导原则》把 200 项检查项目分为关键（39 项）、主要（88 项）和一般（73 项）三级，并规定四项停产触发条件——只要命中其中任意一项，上市后检查即判定为"暂停生产整改"，生产许可核查判定为"未通过核查"。

2026版GMP检查指导原则，医疗器械企业如何做好全流程风险管理

数量规则之所以对风险管理特别不友好，是因为风险管理条款中有 16 项属于主要项目。企业若把风险管理做成研发阶段的一份 FMEA 报告，风险管理的评估、验证、生产落地和上市后回顾几个方向会同时失分，累计 10 项并不困难。判定档位与两类情形的对应关系如下。

不符合情形

生产许可核查结论

上市后监督检查结论

未发现关键或主要项目不符合，一般项目不符合不满 5 项

通过核查

不符合项由企业自行整改并在年度自查报告中说明

自行整改

关键项目不超过 2 项，且关键加主要不超过 9 项，且不符合总数不超过 19 项

整改后复查

按时限整改并经跟踪检查符合要求的，最终判定为通过核查

限期整改

存在关键或主要不符合项的，监管部门将对产品质量风险作充分研判，必要时发送风险提示函

关键项目不符合 3 项及以上，或关键加主要不符合 10 项及以上，或不符合总数 20 项及以上，或存在虚假、欺骗行为

未通过核查

暂停生产整改

须停产并完成全部整改、经跟踪检查合格后恢复生产；整改不到位的最终结论仍为暂停生产整改，必要时召回产品

还有两条规则比数量本身更值得防。一是关联即升格：多项不符合项相互关联、可能导致质量管理体系存在系统性风险时，直接视为"质量保证"章节存在关键不符合项，等于一次性占用关键项额度——"到处是小问题"在判定上就是大问题。二是重复即升级：前两次检查重复出现的不符合项，风险等级可按具体情况上升一级，历史整改不彻底会在下一次检查被加倍计价〔1〕。

 

2. 风险管理考核的是 20 项检查项目，重心落在质量保证、生产与上市后三处

把 200 项检查项目按条文内容筛选一遍，含"风险"表述的共 20 项，分布在 9 个章节。其中关键项目 3 项：2.4.1 变更控制、8.4.2 供应商重大缺陷处置、11.3.1 检验规程制定。这三项的共同点在于，它们都要求企业先做风险判断、再决定做什么，检查时无法用"已按规程执行"作答，必须交出判断过程、判断依据和判断结论。

2026版GMP检查指导原则，医疗器械企业如何做好全流程风险管理

分布本身说明了工作重心。质量保证章节的 4 项条款构成风险管理的中枢，其中 2.6.1 要求建立质量风险管理制度，是把零散风险活动变成制度的分界线；生产管理和分析与改进各 3 项，分别决定风险控制能否落到现场、以及控制措施是否被真实世界信息验证。设计开发、采购与原材料、验证与确认、委托生产各 2 项，说明风险管理不再是某个部门的独角戏，而是跨部门接口。其余五个章节（机构与人员、厂房与设施、设备、文件和数据管理、销售与售后服务）没有直接以"风险"表述的检查项目，但其中的文件、记录与数据管理是全部风险活动能否被核查的载体。

检查项目

要求要点

风险等级

对应《规范》

1.2.1

风险管理理念贯穿质量管理体系运行全过程，控制措施与产品风险相适应

主要

第四条

2.4.1

按变更对安全性、有效性、质量可控性影响的风险程度确定变更管理类型并评审

关键

第十条

2.5.1

持续改进机制包含质量风险管理回顾

主要

第十一条

2.6.1

建立质量风险管理制度，评估产品实现全过程质量风险，验证并实施控制措施

主要

第十二条

2.7.1

收集产品全生命周期质量风险信息，定期实施质量风险管理回顾

一般

第十三条

7.2.1

风险管理理念贯穿设计开发至产品实现全过程，形成文件并保留记录

主要

第四十八条

7.4.1

设计开发输入包含风险控制措施要求

主要

第五十条

8.3.2

结合产品质量风险、原材料用量及影响程度确定是否开展供应商现场审核

主要

第六十一条

8.4.2

供应商存在重大缺陷的应中止采购，并分析缺陷对产品带来的风险

关键

第六十二条

9.1.1

基于风险评估确定验证或确认的范围和程度

主要

第六十九条

9.9.1

对产品质量有影响的计算机软件，确认方法与活动与软件使用风险相适应

主要

第七十七条

10.5.1

物料平衡偏差须查明原因，确认无潜在质量风险后方可按正常产品处理

主要

第八十二条

10.12.1

返工应建立控制程序，并对返工带来的风险进行评估

主要

第八十九条

10.15.1

共用生产车间、生产线或设备的，基于产品质量风险管理原则建立管理制度

主要

第九十二条

11.3.1

基于风险管理原则和产品质量保证能力制定进货、过程和成品检验规程

关键

第九十七条

12.3.1

委托生产前评估受托方风险管理能力，委托期间定期开展现场审核和评估

主要

第一百零九条

12.10.1

将外协加工方作为供应商管理，评估其加工能力、质量保证能力和风险管理能力

主要

第一百一十六条

14.3.1

不良事件及时报告并开展调查分析评价，必要时采取风险控制措施

主要

第一百二十三条

14.4.1

收集分析产品质量、不良事件、顾客反馈等数据，按要求形成质量风险评价报告

主要

第一百二十四条

14.9.1

管理评审内容应当包括质量风险回顾、产品质量评价和法规符合性

主要

第一百二十九条

 

3. 建立三层闭环：制度层定规则、产品实现层控风险、回顾层证有效

新版《规范》第一百三十一条把质量风险管理定义为"在整个产品生命周期中采用前瞻或者回顾的方式，对质量风险进行识别、评估、控制、沟通和审核的活动" 。这一定义决定了风险管理不是一次性作业，而是一个必须自证的循环。把 20 项检查项目按作用归位，可以清楚地看到三层结构以及三者之间的传递关系。

2026版GMP检查指导原则，医疗器械企业如何做好全流程风险管理

三层中最容易被做成形式的是第三层。多数企业能够完成风险分析和控制措施，也能在生产现场执行既定要求，但缺少"回顾"这一步——用投诉、不良事件、退货、物料平衡偏差、过程能力数据去检验当初的风险判断是否仍然成立，并据此修订制度、设计输入和检验规程。这一层恰好对应 2.7.1、14.3.1、14.4.1 和 14.9.1 四项检查项目，也是《规范》第十一条把质量风险管理回顾写入持续改进机制的原因 。检查中判断闭环是否运行的唯一依据是记录：回顾的输入数据、结论、以及结论引发的变更，三者缺一即不成立。

 

 

4. 分阶段落地：六个环节的必做动作与可核查证据

把三层结构落到具体工作上，需要按产品生命周期拆成可分配责任、可检查成果的环节。下表按六个环节给出对应检查项目、必做动作、应形成的证据以及检查中高发的不符合情形，可直接作为跨部门整改任务分解表使用。

环节

对应检查项目

必做动作

应形成的证据

高发不符合情形

设计开发与设计转换

7.2.1、7.4.1、9.1.1

制定风险管理计划并明确各阶段活动；在设计输入中写明风险控制措施要求；用风险评估结果反推验证与确认的范围、项目和样本量

风险管理计划、风险分析记录（保留工具使用过程）、风险控制措施清单、验证与确认范围的风险依据

只有一份风险报告，无分析过程；验证方案与风险评估结论无对应关系

采购与供应商

8.3.2、8.4.2、8.10.2

按对产品质量的影响给物料和供应商分级；据分级结果确定现场审核对象；在关键供应商质量协议中写明变更提前告知义务

供应商分级清单与判定依据、现场审核报告、质量协议、供应商变更影响评估记录

分级规则与实际执行不一致；发现重大缺陷后未评估产品风险即恢复采购

验证与确认

9.1.1、9.6.1、9.7.1、9.9.1

以风险评估确定验证与确认的范围和程度；主要因素变更后重新验证；依据质量回顾结果安排再验证；软件按使用风险确定确认强度

验证与确认计划及方案、范围确定的风险依据、软件确认记录与结论、再验证计划

风险评估与验证方案各写各的；设备或工艺变更后未触发再验证

生产与过程控制

10.5.1、10.12.1、10.15.1

设定物料平衡限度并对偏差查明原因；返工前完成风险评估；共线生产建立防混淆、防交叉污染方案并做清洁验证

物料平衡限度文件、偏差调查报告、返工风险评估、共线风险评估报告与清洁验证记录

偏差记录只写"已处理"未做风险判断；共线生产仅凭经验结论，无评估文件

质量控制与产品放行

11.3.1、11.10.1

按风险分层设定检验项目、抽样方案与频次；放行前确认不合格、返工、返修、降级使用、紧急放行等特殊情况已按规定处理完毕

检验规程及其风险分层依据、产品放行单、特殊情况处理与审批记录

检验规程照抄强制性标准与产品技术要求，无风险分层依据；特殊情况未闭环即放行

上市后与回顾

14.3.1、14.4.1、2.7.1、14.9.1

定期汇总投诉、不良事件、退货、偏差与过程数据；形成质量风险评价报告；实施年度风险管理回顾并回写制度与设计输入

质量风险评价报告、风险管理回顾报告、管理评审输入与输出、修订后的制度与设计输入文件

回顾做成数据罗列，无结论、无整改动作；管理评审未纳入质量风险回顾

这张表在使用时应注意两个接口。一是设计开发环节输出的风险控制措施，必须能对应到生产、检验环节的具体操作规程，否则 7.2.1 与 11.3.1 之间会被认定为脱节。二是上市后回顾形成的结论必须回写文件，检查时会交叉比对版本记录：如果回顾报告提出的调整在下一次文件修订中找不到痕迹，第三层就会被判定为未实际运行。

 

 

5. 把风险管理回顾做成年度机制，而不是年度动作

回顾是三层结构里唯一没有明确频次要求的环节，《规范》第十三条只要求"定期实施"，这反而更容易做成走过场。可行的做法是把回顾与已有的年度工作绑定，明确触发条件、输入清单、输出成果和回写路径，让它在管理评审前完成，成为管理评审的正式输入。

•触发条件：固定年度周期之外，出现重大变更、严重不良事件或集中投诉、召回、关键供应商重大缺陷、连续偏差或物料平衡超限时，应启动专项回顾。

•输入清单：不良事件与投诉数据、退货与召回记录、偏差与不合格品统计、物料平衡与过程能力数据、变更台账、验证与再验证结果、供应商绩效与审核结论、法规与标准更新情况。

•输出成果：质量风险评价报告应以结论形式回答三个问题——原有风险控制措施是否仍然有效、是否出现原评估未识别的新风险、哪些措施需要新增或撤销。

•回写路径：措施调整写入质量风险管理制度与控制措施清单，设计相关调整写入设计开发文档与产品技术要求，检验相关调整写入进货、过程和成品检验规程，并保留文件版本的修订记录。

•评审衔接：回顾结论作为管理评审的固定输入，管理评审报告中体现质量风险回顾内容与改进措施，形成 14.9.1 要求的对应关系。

 

6. 11 月 1 日前的自查与整改节奏

先做文件层面的差距识别，再做现场一致性核对，最后补齐回顾与回写记录。同时要关注《检查指导原则》的适用范围——无菌、植入、体外诊断试剂、定制式义齿、独立软件类产品的生产质量管理还需同时符合新修订《规范》和相应现行附录要求，相应检查指导原则将另行修订发布。

□确认质量风险管理制度已建立（对应 2.6.1），并覆盖产品实现全过程，而非仅研发阶段。

□确认变更控制程序中已按风险程度划分变更类型，并保留分级判定记录（对应 2.4.1）。

□确认设计开发文档中的风险控制措施可追溯到生产、检验规程的具体条款（对应 7.2.1、7.4.1、11.3.1）。

□确认验证与确认方案中写明了范围确定的风险依据，并对主要因素变更设置了再验证触发条件（对应 9.1.1、9.6.1）。

□确认供应商分级规则与现场审核记录、质量协议中的变更告知条款三者一致（对应 8.3.2、8.4.2）。

□确认物料平衡偏差、返工、共线生产三类活动均有独立的风险评估记录（对应 10.5.1、10.12.1、10.15.1）。

□确认上一年度已完成质量风险评价报告与风险管理回顾，且结论已回写相关文件（对应 2.7.1、14.4.1）。

□确认最近一次管理评审的记录中包含质量风险回顾内容（对应 14.9.1）。

□倒查上一次监督检查的不符合项，确认整改措施已固化到文件中，避免重复出现导致等级上升。

 

7. 结论与行动建议

2026 版《规范》与《检查指导原则》对风险管理的要求可以概括为一句话：它不再考核企业有没有做过风险评估，而是考核企业是否在用风险判断驱动决策，并且这套判断能被记录证明。判定规则中的数量阈值和升格条款，使"局部失分"很容易累积成停产后果，这是本次修订对企业最实际的压力来源。

先在第一层补齐质量风险管理制度和变更风险分级（2.6.1、2.4.1），把 3 项关键项目的判定依据固定下来；再在第二层把已有的风险控制措施逐条对应到验证确认、生产规程和检验规程（9.1.1、10.x、11.3.1），解决"两张皮"的问题；最后建立第三层的年度回顾机制并完成一次真实的回写（2.7.1、14.4.1、14.9.1），形成完整证据链。三层中前两层多数企业已有基础，决定能否通过检查的往往是第三层是否真正运行过一次。

 

 

 

本文由广州佳誉医疗器械有限公司/佛山浩扬医疗器械有限公司联合编辑