供應商須要提供風險管理報告嗎？

楔子

ISO 14971 第一版於2000年出版，得以確立醫療器材的風險管理過程，該標準第二版在2007年公布，第三版在2019年公布，醫療器材業者愈加熟諳風險管理有益於保護使用者免於醫療器材的潛在危害，達到保護病患和使用者的安全與發揮器材的預期使用目的。該標準亦為各國健康部採納為適用於醫療器材的風險管理過程，風險管理報告亦是製造商提交技術文件時不可或缺事項。

然而，許多供應商在品質管理系統中實施ISO 14971的標準要求時，面臨各式各樣的挑戰。尤其當客戶或驗證機構在品質管理稽核或技術文件審查階段，除了醫療器材製造商須提供風險管理報告外，亦向外擴散到製造商的零部件或服務供應商，由後者提供其所供應的零部件或服務之風險管理報告。

身為供應商，往往須面對惱人困境，從醫療器材法規、產品及風險管理標準等多方面取得必要資訊和預留資源，以合宜地處理風險管理相關的書面文件和產品資訊。由於供應商未取得或未能整體地瞭解最終醫療器材的產品技術和臨床用途的詳細資訊，難以擷取該項零部件或服務相關的後市場監督資料，亦未能或缺乏必要資格參與最終醫療器材的臨床評估過程和獲悉該器材的臨床利益，為了滿足製造商和驗證機構的審查，供應商迫於無奈，倉促撰寫風險管理文件草稿交件，於該過程中難免會有甚深挫折感，對風險管理原則缺乏整體認識而潛在抗拒，或是在實務上有限度地應用風險管理過程，某些情況下迫於客戶要求，做成風險評估報告甚至超過標準要求的程度。

© All Rights reserved. 版權聲明。

要求事項

歐盟的醫療器材條例（EU MDR 2017/745）, 第10條第2點，明確寫下製造商應按照附錄一第3節建立文件化的風險管理系統，確實實施和維護其有效運作。

ISO 14971標準除了供醫療器材製造商使用外，亦為指引文件，以協助各種潛在使用者將風險管理管理過程運用在醫療器材的整體供應鏈，因此醫療器材供應商亦適用之。或者即使並非醫療器材的製造商，為了擴展其產品到醫療器材產業，亦可採用之。[參見ISO 14971前言]。

醫療器材製造商的品質管理系統，關於採購過程管制項目，亦須考慮採購產品對醫療器材品質的影響，須與醫療器材相關風險相適應；且其查證方式須滿足規定的採購要求，基於供應商監督及再評估規劃事項，供應商達到採購要求的續效，且配合所採購產品有關的風險。製造商應保存供應商符合品質管理標準要求、顧客要求和適用的法規要求的責任，而管制的方式應以涉及的風險及採購要求的能力相匹配，宜以書面協議管制之。 [參見ISO 13485第7.4節, 4.1.5節]。

凡是仔細閱讀上述內容，可以獲得一個主要印象，意味著醫療器材法規要求醫療器材製造商必須實施文件化的風險管理系統，其中並沒有強制要求醫療器材的供應商必須實施風險管理。但是實務上可以發現，供應商已經普遍實施風險管理，又是什麼道理呢？

在供應商處實施風險管理的要求係透過三個主要觸發因子而成為業界認知：

1. 客戶在採購合約中要求供應商提供風險管理評估報告，
2. 供應商已通過ISO 13485驗證並取得ISO 13485證書（或其等同之國家或區域標準）
3. 供應商希望自行決定實施風險管理過程，以掌握自家產品的敏感資訊。

目前可見的指引文件，法規考量方面尚未有明確的監督要求供應商按照ISO 13485進行驗證。該項驗證僅係有助於爭取曝光機會從而接觸更多客戶，但尚非強制性的法規要求。

取得關鍵資料的盲點

延續上述的討論內容，凡事必也正名，先從運用風險管理時必備的名詞著手，以利瞭解標準的解讀方向。

• ［風險］是「傷害發生概率和該傷害嚴重度的組合」；
• ［傷害］是「對人們健康的損傷或損害，或對財產或環境的損害」；
• ［利益］是「使用醫療器材對個人健康的正面影響或期望的結果，或對患者管理或公共衛生的正面影響」。

從名詞定義中可以得知，根據ISO 14971進行的風險管理過程必然優先考量病患或使用者的人身安全。亦即風險管理的首要安全目的。與該目的相關知識必須從臨床使用時醫療器材的設計和使用、臨床資料佐證和製造商的上市後監督系統 （PMS）（包括上市後臨床追蹤監督（PMCF））（另文介紹）綜合整理而得。如果不能取得與瞭解上述資訊，醫療器材供應商就缺乏啟動風險管理過程的必要材料，從而在風險管理過程中缺乏佐證資料和臨床資訊，風險管理步調困難重重，難以為繼。 

對策

為了便於更好地理解風險管理過程，可以參考在ISO/TR 24971第 5.4.7 節圖一描述某個系列發生的不良事件：

• 電氣危害
• 狀況：線路電壓220V，經由絕緣電線連接到主動式醫療器材
• 事件序列：
• A: 電線絕緣外皮破損，P(A) = 0.01
• B: 絕緣外皮露出導電線，P(B)=0.10
• C. 使用者啟動醫療器材，P(C)=0.10
• D. 使用者掀開保護外殼，P(D)=0.10
• 可能危害情況：使用者可能會曝露在線路電壓的作用，P1=PA*PB*PC*PD
• 使用者可能受到不同程度的危害，亦即：不適感（P2=0.10）、皮膚燒傷（P2=0.01）或嚴重時引起心臟動（P2=0.001）。

在上述圖一的示例可以考慮為典型的供應商相關事項。假設醫療器材製造商將電源轉換器與接線架的組裝過程外包給供應商，製造商必須給定醫療器材需要的電氣規格。此處的重要理解，該規格便是供應商風險管理的關鍵。使用正確的產品規格，便可以明確風險管理過程中雙方的職責：

1. 醫療器材製造商將「自上而下」地進行風險管理，從傷害（心臟顫動）到危險情況（使用者曝露於供電線路的電壓）到器材故障（不再連接電源）。
2. 由於製造商無法更深入地瞭解電源轉換器的生產規格，遂將風險評估電源轉換器的責任委託給供應商。

上述情況可以有數種不同方式處理問題。此處暫且討論兩種解決方式，一種是困難的解決方式，一種是務實的解決方式。

較常見到的方式，較為複雜且相對較為困難。供應商須要從頭開始建構自己產品的風險過程及風險分析。通常是做出生產過程的故障模式及效應分析（PFMEA），供應商將評估其製造現場的每個生產步驟，從而找出生產過程裡潛在的故障模式和相關的故障原因。如果按照既有的傳統方式進行PFMEA，供應商須決定自有產品的故障發生率，嚴重程度及可檢測性等級，而且由此所產生的風險將在供應商自己訂定的可接受性圖表中加以評估。供應商將計算風險優先順序編號（RPN），旨在保持在RPN<125的既定管制閥值以下。只不過，由於PFMEA的技術未僅僅用於醫療器材產業，上述閥值往往缺乏合宜來源或何以規定該值的充分理由；另外，很可能供應商的評估等級未能與製造商的評估等級保持一致。

很明顯，這種供應商PFMEA不符合製造商的風險評估。製造商和供應商雙方都將花費相當多的資源，仍然可能得到不符合規定的結果。最好的情況，將收到稽核機構的評審意見，從而引起更高的投入成本。最壞的情況則是傷害患者健康。

務實做法

對於許多醫療器材從業者而言，務實的方法可能乍看起來很簡單而難以置信。務實的建議係供應商根本不須要採用全面的風險評估及分析。既然製造商已經建立完整的風險管理程序及執行過程，做出醫療器材的危害識別、風險評估、風險分析及檢查殘餘風險，則供應商的風險管理過程允宜在製造商完成其風險分析的地方開始。供應商將根據製造商確定的器材故障處開始執行風險評估。供應商不需要探討危害、危險情況或危害方式，因為製造商已經做出器材風險評估的該等事項。

當風險分析得到上述初步結果，製造商便會將器材故障事項，依照供應商承擔的零部件或服務，傳達給供應商。供應商將評估此等器材故障，以前述的電線脫落為例。供應商的責任是確定此類故障的潛在原因。該項例子，可以鑑別能源傳輸電線缺少固定螺絲釘的過程故障模式。一旦決定根本原因（缺少螺絲釘鎖緊件），即可採取對策減少或消除危害，可行方式如：使用經過查證的外表檢測系統進行百分之百的過程檢查及成品抽樣檢查。

由上述說明方式得以了解，供應商不需要重新假設或推敲缺少螺絲釘鎖緊件的後果，因為製造商已經做了前置的風險分析及評估。供應商毋須猜測能源傳輸電線剝離的影響，而是利用製造商傳遞來的知識（使用者曝露於可能導致心室顫動的器材二次線路的電壓）。這樣做，供應商可以將其寶貴的資源用於鑑別根本原因，進行徹底改進，從而消除該項根本原因，例如：工作場所佈置或安排的不足之處、委外生產訂單的備註事項是否完整，或是否需要增加製程中管制事項。由此種思考模式出發或許能夠引發更多的務實解決方向。

供應商可以將他對概率的估算範圍針對特定故障事件的發生，意即其零部件產品不符合客戶規格的故障率，而製造商則須收集各個供應商提供的故障率（以概率表示），決定醫療器材發生傷害的概率，例如：由於脫落的電線被覆而逐步引發臨床病患心室肌肉顫動的概率。亦即ISO 14971附件C中討論的P1 x P2的必要內容。因此，供應商零部件故障的發生概率成為製造商醫療器材發生傷害概率的輸入項目之一。

因此，供應商甚至可能不會評估零部件的殘餘風險。製造商應該可以理解這種情況，因為風險被定義為「傷害發生概率和該傷害嚴重度的組合」，零部件供應商是要如何獲得醫療器材的「傷害」資料呢？合理的做法，應該是製造商應評估供應商提供的零部件故障率，是否能夠使醫療器材的臨床預期使用時的風險達到可接受的水準。

心得

1. 風險分析是製造商的責任，因此需要鑑別危險和傷害、危險情況和器材的故障模式。
2. 供應商須支援製造商，並且為製造商的風險分析提供意見，惟僅限於其所提供的零部件相關資訊。供應商將決定零部件風險管理的製程故障、根本原因和交付產品的故障發生率，及決定採取何種對策以消除或降低零部件的風險，但供應商不宜也毋須重複製造商的風險分析過程或風險評估，供應商也無從評估其客戶的醫療器材是否達到後者可以接受的風險。

因應措施

有的從業人士偶爾會意識到，ISO 14971風險管理計劃是否有必要及其代表的意義？由上述討論可了解到，風險管理計劃的重要及不可或缺。製造商和供應商宜共同商討如何敘述雙方合作時的風險管理計劃，必要時予以補充或更新，亦可討論或互相交換正確資訊時所需要的細部事項，例如用於傷害嚴重度和發生傷害或發生器材故障的可能性的評估方案。

如果是製造商的角色，宜於理解風險管理過程是製造商的責任。若是缺少製造商的前期投入，其供應商就無法順利完成風險管理過程，因為供應商並未足以獲得所需的醫療器材之設計、預期使用方式和臨床方面的特定知識。

如果是供應商的角色，請謹慎避免重複製造商的醫療器材風險分析。委婉徵詢客戶的意見，並利用製造商使用其零部件所生產的醫療器材的瞭解。不宜高估供應商的能力或產品性能，因為供應商未必能取得所需要的醫療器材資訊。

風險管理計劃宜於作為零部件供應商和醫療器材製造商之間的協調與溝通文件。確保雙方的風險管理管制要項之間具備穩固與密切的聯繫，最終得以確保臨床患者的安全。

（本篇竟）