【分享】风 险 管 理（汇总资料）

I 风险管理的法规依据：FDA早在2002年就发布了“21世纪cGMP------一种基于风险的方法”，首次正式提出在制药行业中运用风险管理方法，而在ICH Q9发布不久，欧盟就将风险管理加入到了其GMP的法规中（附录20）。

II 风险管理包括的内容：一般倾向于将整个风险管理过程（注意：风险管理是一个持续的过程）分为三个部分，即：风险评估（Risk Assessment），风险控制（Risk Control）和风险回顾（Risk Review）。

III 风险评估这是风险管理过程的第一步，一般包括风险识别（Risk Identification），风险分析（Risk Analysis）和风险评价（Risk Evaluation）三个部分。风险识别是指确认工艺，设备，系统，操作等等中间存在的风险，简单说就是指出风险在哪里；风险分析是指对指出的各个风险进行分析，一般会分析每个风险的严重性（Severity）以及发生的可能性（Possibility）；然后在风险评价中结合风险的严重性和可能性得出一个风险的等级。在风险等级的划分中，每个公司有自己的做法，可以分为高，中，低；也可以分为1，2，3，4....
其中的难点在于风险分析，需要相当有经验的技术人员以及QA相关人员共同完成为好。举个例子：比如投料的称量过程，因为很明显一般反应对物料的配比要求很精确，所以一旦称量错误，就会造成很严重的问题，所以可以将这里风险的严重性定义为高，而如果称量过程没有适当的SOP，人员没有经过相关的培训或没有第二人核对，那么这个操作发生错误的可能性可以定义为高或中，这样根据严重性和可能性就可以将这个风险的等级定义为高。

IV 风险控制一般包括风险降低（Risk Reduction）和接受风险（Risk Acceptance）两个部分。风险降低是指针对风险评估中确定的风险进行改进，并降低风险。接受风险是指考虑到风险等级和降低风险所需的成本两个方面，从而设定一个可以接受的风险等级，一旦风险降低至该等级，就接受该风险而不用再采取更严格的措施进一步降低风险（因为理论上风险是不可能降为零的）。举个例子：比如上面确定的称量风险，可以通过SOP的应用，操作人员的培训及第二人核对制度（甚至可以采用计算机自动称量系统）而将风险发生的可能性降为低或很低（如计算机系统经过验证，甚至可以认为可能性是零），这样综合风险的严重性和可能性，该称量风险就会降为中或低。（有时中等的风险也可以接受的，不过需要在后期的风险回顾中仔细监控）
其中的难点是制定什么样的风险接受标准，这需要相当的经验以帮助判断。因为风险的接受意味着接受对产品的风险，所以一定要慎重。当然也可以通过后面的实际生产和操作来进行调整。

V 在风险控制与最后的风险回顾中间一般会包括一个风险交流（Risk Communication）的步骤，是指在采取了风险控制措施以后，需要通过实际的生产或操作来检查上述风险控制的措施是否有效，是否可以将风险降低至预期的等级。

VI 风险回顾：是指通过一段时间的运行，需要对整个系统的风险进行审核，因为之前采用的风险控制措施也许没有效果，也或许工艺或设备等发生了一些变更，从而需要对整个过程进行再评估（当然，这里的工作量是相对少的），甚至如果变更是个很重大的变更，应该在变更执行完以后就立刻开始风险回顾的工作。

综上所述，风险管理是一个连续的工作，不是说做完就扔在一边不管了，需要长期的跟踪和回顾，当然如果你按照良好的规范来进行，那么后期的工作将会越来越少，风险也会越来越低。

至于风险管理应该从哪里开始，个人认为可以从验证主计划的完成开始，然后在IQ，OQ，PQ及工艺验证中核对风险控制措施的有效性，在工艺验证结束后进行风险回顾，然后是定期或变更后的重新评估等。（当然，这里的灵活性较大，主要看工艺，系统，设备或操作的复杂性）。