醫學實驗室風險管理的轉型思維邁步走（四之一）

從反應式到主動式：ISO 22367:2026帶動IVD與醫學實驗室的生存指南

Medical Laboratories— Application of Risk Management: The Mandatory Shift

From reactive to pro-active: ISO 22367:2026 promotes survival challenge of IVD and medical laboratories

本部落格文章為作者基於 ISO 22367:2026 公開資訊、EN ISO 22367:2026 實施指引、ISO 14971/ISO 15189 系統以及醫學實驗室實務經驗，以人工智慧協助進行個人解讀與教育性分享，採用通常部落格撰稿原則撰寫，旨在提供及時且切合實務的技術思路，作者與發布平台不對因使用本文資訊而導致的任何直接或間接損失承擔責任。歡迎轉載時標註來源並保留免責聲明。

CC BY-NC-ND。非供AI模型訓練。

1. Executive Summary / 執行摘要 — 為何這是生死存亡之戰

【一句話總結】ISO 22367:2026 不是另一個可以應付的文件，而是首次將「強制主動式風險管理」寫入法規層級的醫學實驗室國際標準，它終結了過去以投訴、不符合項驅動的反應式管理的合法性，要求所有醫學實驗室、IVD製造商與供應鏈在2026年4月20日EN版生效後，證明自己具備前瞻性識別、量化、控制患者安全風險的能力。

【背景盲點揭露】多數實驗室仍誤以為 ISO 15189:2022 第8.5章的風險思維已經足夠。事實查核：ISO 15189 僅要求「考慮風險」，而 ISO 22367:2026 要求建立獨立、文件化、閉環的風險管理系統，包含風險管理計畫、風險分析、風險評估、風險控制、剩餘風險評估、風險管理報告、風險監控七大交付物。沒有這些，15189認可將在2027年追蹤稽核中被開立重大不符合。

【產業衝擊量化】參考產業界營運成本模型：
- 人力成本 +20%~50%：需要專職風險經理，而非實習生兼職。管理職責條款4.2要求「證據」而非承諾，管理審查必須有風險專題。
- 確證與研發成本 +10%~30%：每一個風險控制措施必須確證（8.6），失敗不能篡改數據，必須啟動新的風險循環，這是稽核員最期待看到的「帶有管理成績的從失敗中學到教訓」過程紀錄。
- 供應鏈溢價 +15%~30%：BOM成本上漲，硬體冗餘、更優材料、軟體V&V加強。廉價採血管導致靜電吸附堵塞流水線的案例將被寫入不符合。
- 管理與稽核成本 +5%~10%：但ROI在於降低重測率、醫療賠償、維持市場准入。

【核心變革：主動 vs 反應】
- 前瞻性風險管理：適用於新活動或已知可預見風險，必須在新檢測項目、新設備引入前完成沙盤推演，識別預定用途、合理可預見誤用、安全相關特性（D.2 定量/定性性能特性、輔助病患資訊、D.3.1-D.3.41 共41個提問清單）。
- 回顧性風險管理：僅限於無法預見的突發、已有預案的場景，如：品質失控、訴怨、事故。過去把回顧性當日常的實驗室，將被認定為系統失效。

【關鍵盲點】90%的實驗室在風險分析階段只識別「停電、溶血」等顯而易見危害，卻忽略「軟體升級導致資料格式不相容」「LIS欄位截斷導致危急值未傳遞」「AI輔助判讀模型漂移」等隱性殺手。附錄E.8-E.10要求分析危害→可預見事件序列→危險情況→傷害的完整鏈條，本文圖1已重建此邏輯。

【結論先行】不主動，就是被動等死。2026版是一個分水嶺，能快速建立強大風險管理系統的實驗室與IVD製造商將建立護城河，淘汰低水平競爭者，長期獲得更安全的診斷服務並收取風險溢價。

圖1：風險分析的核心要素 / Core Elements of Risk Analysis — ISO 14971/IVDR思維

2. System Interactions / 系統交互與流程解構 — 不再是孤島

2.1 與現有管理系統的強制耦合
ISO 22367:2026 附錄A是理解系統交互的鑰匙。它明確要求風險管理不是孤立程序，而是驅動QMS的核心。

- ISO 15189:2022：附錄A.1-A.15將風險映射到文件管控、供應商管理（A.3）、設計開發（A.4）、不符合識別（A.5）、申訴（A.6）、矯正措施（A.7）、持續改進（A.9）、內部稽核（A.10）、設施環境（A.11）、設備試劑耗材（A.12）、LIS控制（A.13）、檢驗過程品質管控（A.14）、變更管理（A.15）。風險輸出必須成為設計輸入。例如，採購新流水線時，風險分析報告必須作為採購申請的附件，否則採購流程被視為失控。

- ISO 14971:2019：ISO 22367:2026繼承了14971的風險術語與原則，但調整了「患者、實驗室工作人員、服務提供者」三類受害者，而非14971的患者與操作者。製造商提供的剩餘風險資訊（ISO 14971風險管理文件）不能替代實驗室自身的分析。實驗室必須審查製造商的風險檔案，評估是否需要額外控制。這就是本文圖2的「向上游傳導壓力」的來源。

- ISO 31000:2018 / ISO 31073:2022：ISO 22367:2026補充而非替代企業層面的商業、經濟、法律風險管理。實驗室不能用企業風險報告來替代患者安全風險報告。

- ISO 15190:2020 安全要求：與生物安全風險交叉，附錄E.2-E.6列舉了操作錯誤、設備故障、資訊傳遞失誤等危害。

- EU IVDR 2017/746 & FDA CLIA/CAP & CNAS-CL02：IVDR要求LDT（實驗室開發測試）必須有風險管理檔案，22367成為其技術基礎。CAP GEN.74800等條款已要求主動風險評估。

2.2 核心流程的閉環不可打破
條款4.4定義六大要素：風險管理計畫→風險分析→風險評估→風險控制→風險管理審查→風險監控。任何斷裂都是重大不符合。

表1：六大核心要素

核心要素	稽核員關注的〈現場證據〉	常見違規與現場失效場景
風險管理計畫	一份針對特定專案的、動態更新的計畫文件，明確範圍、職責和風險可接受準則。	使用一份通用範本應付所有專案。計畫制定後束之高閣，與實際操作脫節。
風險分析	FMEA、FTA或其他系統性分析工具的應用記錄，清晰識別出危害、事件序列和危險情況。	分析流於形式，只識別出一些顯而易見的危害，如“停電”，而忽略了「軟體升級導致資料格式不相容」等隱性殺手。
風險評估	依據預設的風險可接受準則，對每一個風險進行評估的會議紀要或報告。	風險矩陣定義模糊，所有風險都被評估為「可接受」，逃避實施控制措施的責任。
風險控制	具體的控制措施實施記錄，如修改SOP、增加查證步驟、引入新的硬體防護。	控制措施停留在「加強訓練」這種空洞的口號上，沒有具體或流程上的實質性改變。
風險管理審查	審查及批准的許可權清晰的最終審查報告，確認總體剩餘風險在可接受範圍內。	審查報告由不具備資質的人員簽署，或在專案上線後才匆忙補簽。
風險監控	針對已識別風險的持續性資料收集和分析，如不合格率趨勢、用戶回饋。	監控系統形同虛設，資料只收集不分析，無法對風險的變化做出預警。

 

風險管理規劃（第5章）：必須明確範圍（例如：全新的NGS檢測方法）、職責（指定具備許可權和資格的人員）、風險可接受準則（不能事後修改）、控制措施與監督計畫。稽核員現場證據檢查表（Table 2）顯示，最常見違規是使用通用範本應付所有專案，計畫束之高閣。

主動風險分析（第6章）：技術含量最高。要求挖掘根本原因與傳播路徑。附錄D列出41個安全相關特性提問，從D.3.1預期用途如何被使用，到D.3.31網路安全測試，D.3.35故意濫用，D.3.38標本量是否足夠，D.3.40周轉時間是否足夠。每一個性能指標微小下降都可能演變為災難。案例：血糖儀在正常範圍偏倚小，但在低血糖區域偏倚增大，對胰島素治療新生兒可能致命。

風險評估（第7章）：核心是風險可接受準則，不能是主觀感覺，必須基於法規、產業標準、公認技術水準、利益相關方關切。風險矩陣建議5x5，結合概率與嚴重度。Table 3定義紅黃綠區：

- 紅區：災難性/嚴重 + 頻繁/合理可能 = 必須立即控制，否則禁止執行。
- 黃區：ALARP原則，必須盡最大努力降低，並進行詳細受益-風險分析，證明受益遠大於風險，需管理層批准。
- 綠區：可直接接受，但仍需記錄與監督。

表2：風險分級：

風險等級	嚴重性 (Severity)	發生概率 (Probability)	處置策略
不可接受區 (Red Zone)	災難性的/嚴重的	頻繁/合理可能	必須立即實施風險控制措施。若無法降低，則該專案/流程禁止執行。
評估區 (Yellow Zone)	嚴重的/中等的	偶爾/極少	ALARP原則 (As low As Reasonable Practicable)。必須盡最大努力降低風險，並進行詳細的受益—風險分析，證明受益遠大於風險。必須有管理階層批准的正式文件。
可接受區 (Green Zone)	輕微的/可忽略的	極少/不可能	可直接接受，但仍需記錄在案，並在後續進行持續的監督。

 

風險控制（第8章）：優先順序遞減防禦架構：

1. 本質安全設計：這是最高等級的防範措施。藉由改變產品設計，從實際設備上消除危害。例如：將一個需要手動稀釋的樣本，改為由儀器在特定空間自動稀釋，徹底排除人為稀釋錯誤與環境干擾的可能性。改變產品設計消除危害，例如樣本自動稀釋取代手動稀釋。

2. 防護型措施：在檢驗流程中增加雙人覆核、強制儀器校正、品質控制。

3. 安全資訊與訓練：警告標籤、人員訓練。這是最低級防線。

標準潛臺詞：不要過度依賴人。人是不可靠的，流程也是。只有奠基在設計中的安全，才是真正的安全。 

反面案例：某實驗室發現其資訊系統（LIS）資料錄入錯誤，當下反應的控制措施是「對所有寫入操作員進行再次訓練」。結果，錯誤率在短期下降後迅速反彈；正確做法是修改代碼，增加格式校驗與邏輯檢查，讓系統自動拒絕明顯的錯誤寫入。 

剩餘風險評估後，必須確保總體剩餘風險可接受，並形成風險管理報告（9.4）。條款8.4要求評估控制措施是否引入新風險，8.6要求驗證有效性。 

2.3 風險分析工具鏈
附錄G推薦多種風險分析工具：

- PHA初步危害分析：適用於早期概念階段，快速識別。

- FTA故障樹分析：自頂向下，適用於複雜系統單一危害的邏輯追溯，例如：危急值未報告的頂端事件。

- FMEA/FMECA失效模式與效應關鍵分析：自底向上，計算RPN（嚴重度x發生度x可探測度），適用於檢驗流程改進。

表G.1樣本標記過程FMEA示例顯示，如何識別腕帶未核對→樣本標識錯誤→錯誤結果。

- 過程FMEA/FMECA：聚焦流程步驟。

（見續篇）