国家局:独立软件检查指导原则(征求意见稿)

章节

序号

条款

内容

风险等级

规范条款

第一章总则

1

1.1.1

企业应当按照本规范的要求，结合产品特点，建立健全与所生产医疗器械相适应的质量管理体系，并保证其有效运行。质量管理体系涵盖委托研发、委托生产、外协加工以及委托检验等。

***

《规范》第三条

2

1.2.1

企业应当将风险管理理念贯穿于质量管理体系运行全过程，所采取的控制措施应当与产品存在的风险相适应。

**

《规范》第四条

第二章质量保证

3

2.1.1

企业应当履行医疗器械质量安全主体责任，建立符合医疗器械质量管理要求的质量目标，将医疗器械产品安全、有效和质量可控的所有要求，系统地贯彻到质量管理体系运行全过程，确保质量目标被充分理解和有效实现。

***

《规范》第七条

4

2.2.1

企业应当为实现质量目标配备足够并符合要求的人员、厂房设施和设备等资源。

***

《规范》第八条

5

2.2.2

企业各级人员应当共同参与实现质量目标的各项活动并承担相应责任。

**

《规范》第八条

6

2.3.1

企业应当建立质量保证系统并有完整的质量管理体系文件，保证质量管理体系有效运行。质量保证系统应当确保：（一）医疗器械的设计开发、生产管理和质量控制活动符合本规范；（二）管理职责明确；（三）采购和使用的原材料正确无误；（四）中间产品得到有效控制；（五）验证、确认活动符合要求；（六）严格按照规程进行生产和检验；（七）每批产品经审核批准后放行；（八）贮存、运输以及安装等环节有保证产品质量的措施；（九）委托研发、委托生产、外协加工和委托检验等活动处于受控状态。

***

《规范》第九条

7

2.4.1

企业应当建立变更控制程序，根据变更对医疗器械安全性、有效性和质量可控性影响的风险程度和相关法规要求，确定变更管理类型，对变更进行评审，在实施前得到相应批准。必要时，应当对变更进行验证、确认，确保不因变更对产品的安全性、有效性和质量可控性产生不良影响。

***

《规范》第十条

8

2.5.1

企业应当通过质量数据监控、变更管理、不良事件监测、质量风险管理回顾、纠正预防措施、内部审核以及管理评审等方式，实现质量管理体系、工艺和产品质量的持续改进。

**

《规范》第十一条

9

2.6.1

企业应当建立质量风险管理制度，基于法律、法规、规章、标准、科学知识和经验等，评估产品实现全过程的质量风险，验证和实施质量风险控制措施，确保产品质量风险得到有效控制。

**

《规范》第十二条

10

2.7.1

企业应当收集产品全生命周期质量风险信息，定期实施质量风险管理回顾，确保质量风险管理措施持续有效。

*

《规范》第十三条

第三章机构与人员

11

3.1.1

企业应当建立与医疗器械生产相适应的组织机构，明确各部门的职责和权限，明确质量管理职能。

**

《规范》第十四条

12

3.1.2

生产管理部门和质量管理部门负责人不得互相兼任。

***

《规范》第十四条

13

3.2.1

企业应当设立与所生产产品相适应的质量管理部门。

***

《规范》第十五条

14

3.2.2

质量管理部门应当参与和产品质量相关的各项活动，负责审核与本规范有关的文件。

**

《规范》第十五条

15

3.2.3

质量管理部门应当独立履行质量保证和质量控制职责，并对产品质量有否决权。

***

《规范》第十五条

16

3.3.1

企业应当配备足够数量并具有相应资质（含学历、培训和实践经验）的专业技术人员、管理人员、生产操作人员和专职检验人员。

**

《规范》第十六条

17

3.3.2

企业应当明确规定每个岗位的职责，岗位职责不得遗漏，交叉的职责应当有明确规定。

*

《规范》第十六条

18

3.4.1

企业应当配备与所生产产品相适应的关键岗位人员。关键岗位人员至少应当包括企业法定代表人、主要负责人、管理者代表、生产管理部门负责人、质量管理部门负责人和产品放行审核人等，企业主要负责人、管理者代表、生产管理部门负责人、质量管理部门负责人和产品放行审核人应当为企业的全职人员。

**

《规范》第十七条

19

3.4.2

关键岗位人员应当熟悉医疗器械相关法律法规，具有质量管理的实践经验，有能力对生产管理和质量管理中的实际问题作出正确的判断和处理。软件开发、测试、维护人员应当具备与岗位职责要求相适宜的专业知识、实践经验和工作能力。

**

《规范》第十七条,《独立软件附录》2.1.1

20

3.4.3

软件用户测试人员应当具备适宜的软件产品使用经验，或经过培训具备适宜的软件产品使用技能。

***

《独立软件附录》2.1.3

21

3.4.4

黑盒测试应当保证同一软件项的开发人员和测试人员不得互相兼任。

***

《独立软件附录》2.1.2

22

3.5.1

企业法定代表人、主要负责人负责组织制定企业的质量方针和质量目标，并确保质量管理体系有效运行所需的人力资源、基础设施和工作环境等。

**

《规范》第十八条

23

3.5.2

企业法定代表人、主要负责人负责组织实施管理评审，定期对质量管理体系运行情况进行评估，并持续改进。

**

《规范》第十八条

24

3.5.3

企业法定代表人、主要负责人应当确保管理者代表、质量管理部门负责人和产品放行审核人独立履行职责，不受企业内部因素干扰。

***

《规范》第十八条

25

3.5.4

企业法定代表人、主要负责人对医疗器械生产全面负责，应当按照相关法律、法规、规章、强制性标准以及经注册或者备案的产品技术要求组织生产。

***

《规范》第十八条

26

3.6.1

企业应当在高层管理人员中任命一名管理者代表。

***

《规范》第十九条

27

3.6.2

第二类、第三类医疗器械企业管理者代表应当具有医疗器械相关专业大学本科及以上学历或者中级及以上技术职称；第一类医疗器械企业管理者代表应当具有医疗器械相关专业大学专科及以上学历。管理者代表原则上应当具有三年及以上医疗器械质量管理或者生产、技术管理工作经验，熟悉产品生产和质量管理情况，具有良好履职能力。

**

《规范》第十九条

28

3.6.3

管理者代表至少应当履行下列职责:（一）贯彻执行相关法律、法规、规章、强制性标准以及经注册或者备案的产品技术要求；（二）建立健全与所生产产品相适应的质量管理体系并保持其有效运行；（三）确保产品符合放行要求，组织开展上市后产品质量信息收集工作。（四）组织开展质量管理体系自查、不良事件监测以及召回等工作，定期向企业法定代表人、主要负责人报告质量管理体系的运行情况和改进需求；（五）配合药品监督管理部门开展监督检查，针对发现的问题，组织企业相关部门按照要求及时整改。

**

《规范》第十九条

29

3.7.1

第二类、第三类医疗器械企业质量管理部门负责人应当具有医疗器械相关专业大学本科及以上学历或者中级及以上专业技术职称；第一类医疗器械企业质量管理部门负责人应当具有医疗器械相关专业大学专科及以上学历。质量管理部门负责人应当具备三年及以上医疗器械生产或者质量管理经验。

**

《规范》第二十条

30

3.7.2

质量管理部门负责人应当履行下列职责：（一）确保原材料和产品的生产、检验均符合相关法律、法规、规章、强制性标准以及经注册或者备案的产品技术要求；（二）组织产品放行审核；（三）确保生产过程中所有重大偏差和不合格情况得到调查并及时、有效处理；（四）组织上市后产品质量管理活动，确保所有与产品质量有关的退货、投诉、不良事件得到调查并及时、有效处理；（五）确保完成产品质量年度回顾分析；（六）确保本部门人员经过相关培训，掌握相关法规、理论知识和实际操作技能；（七）负责与产品质量有关的其他活动。

**

《规范》第二十条

31

3.8.1

生产管理部门负责人应当具有医疗器械相关专业大学专科及以上学历，具备三年及以上医疗器械生产或者质量管理经验。

**

《规范》第二十一条

32

3.8.2

生产管理部门负责人应当履行下列职责：（一）确保按照生产工艺规程、作业指导书等组织生产；（二）确保生产记录真实、准确、完整、及时和可追溯；（三）组织实施厂房设施、设备的维护保养，确保其保持良好的运行状态；（四）确保本部门的员工经过培训，具备与其岗位要求相适应的知识和实际操作技能；（五）负责与产品生产有关的其他活动。

**

《规范》第二十一条

33

3.9.1

放行审核人应当是质量管理部门人员或者其他更高层级质量管理人员，应当经过与产品放行有关的培训，具备产品放行审核能力，能独立承担产品放行审核职责。

**

《规范》第二十二条

34

3.10.1

从事影响产品质量工作的所有人员，应当经过与其岗位要求相适应的法规、岗位职责、实际操作技能的培训，确保相应人员明确并理解自己的职责，熟悉与其职责相关的要求，具有相关理论知识和实际操作技能。

**

《规范》第二十三条

35

3.10.2

企业应当指定部门或者专人负责培训管理工作，建立培训制度，制定培训计划，保留培训记录，并对培训实际效果进行评估。

*

《规范》第二十三条

36

3.11.1

对从事影响产品质量工作的人员，企业应当根据生产产品特性对其健康进行管理，并建立健康档案。

*

《规范》第二十四条

第四章厂房与设施

37

4.1.1

厂房的选址、设计、布局、建造、改造和维护应当符合医疗器械生产要求，能够最大限度地避免混淆和差错，便于清洁、操作和维护。

**

《规范》第二十五条

38

4.2.1

企业应当根据所生产产品特性、工艺流程合理设计、布局和使用厂房与设施。

**

《规范》第二十六条

39

4.2.2

企业应当有整洁的生产环境，有适当的照明、温度、湿度和通风控制条件，符合产品质量以及相关技术标准的要求。

*

《规范》第二十六条

40

4.3.1

厂房与设施的设计和安装应当能够有效防止昆虫或者其他动物进入，并根据产品特性采取必要的防护措施。

*

《规范》第二十七条

41

4.3.2

厂房与设施的维护和维修活动不得影响产品质量。

*

《规范》第二十七条

42

4.4.1

生产区应当有足够的空间，与所生产产品和规模相适应。

*

《规范》第二十八条

43

4.5.1

仓储区应当能够满足原材料、中间产品、成品等贮存条件要求，按照待检、合格、不合格、退货或者召回等情形进行合理存放，避免混淆和差错，便于检查和监控。

*

《规范》第二十九条

44

4.6.1

企业应当配备与产品生产规模、品种、检验要求相适应的检验场所和设施。

*

《规范》第三十条

45

4.7.1

企业应当根据产品特性、生产工艺以及外部环境等配置相应设施，如供配电系统、空气调节系统以及安全防护设施等。

**

《规范》第三十一条

46

4.7.2

企业应当对相关设施进行确认并开展日常监测和维护，确保符合预定用途。

**

《规范》第三十一条

47

4.8.1

研发、生产、检验、贮存等过程中使用信息化系统的，企业应当配备满足预定用途的硬件设施和软件运行环境，并采取适宜措施防止外来因素干扰。

*

《规范》第三十三条

48

4.9.1

研发、生产、检验和贮存区不应作为非本区工作人员的直接通道。企业应当采取适宜措施，防止未经批准人员进入。

*

《规范》第三十四条

49

4.10.1

企业应当保存厂房和设施相关的文档，包括但不限于总平面布局图、生产区域分布图、使用说明、维护保养规定等。

*

《规范》第三十五条

第五章设备

50

5.1.1

企业应当配备与所生产产品和规模相匹配的生产设备、检验仪器和设备、工装夹具等，以及在软件生存周期过程持续提供充分、适宜、有效的软件开发和测试环境，并确保有效运行。

***

《规范》第三十六条

51

5.1.2

设备和仪器的设计、选型、安装、维护和维修应当符合预定用途，便于操作、清洁和维护。

*

《规范》第三十六条

52

5.1.3

软件开发和测试环境包括软硬件设备、开发测试工具、网络等资源以及病毒防护、数据备份与恢复等保证措施。

**

《独立软件附录》2.2.1

53

5.2.1

企业应当建立设备和仪器档案，包括但不限于采购、安装、确认等文件和记录。

*

《规范》第三十七条

54

5.3.1

企业应当建立主要设备和仪器的使用、维护和维修操作规程，保留相关记录，确保相关活动可追溯。

*

《规范》第三十八条

55

5.3.2

软件开发和测试环境维护应当形成文件，确定软件开发和测试环境定期验证、更新升级、病毒防护等活动要求，保持相关记录。

***

《独立软件附录》2.2.2

56

5.4.1

企业应当标明主要设备、仪器和工装夹具的编号与名称。出现异常情况时，应当配备异常状态标识，防止非预期使用。

*

《规范》第三十九条

57

5.5.1

企业应当按照操作规程和校准或者检定计划，定期对主要设备和仪器进行校准或者检定，校准的量程范围应当涵盖实际使用范围。

*

《规范》第四十条

58

5.5.2

企业应当配备适当的计量器具，计量器具的量程和精度应当满足使用要求，并标明校准或者检定有效期。

*

《规范》第四十条

59

5.5.3

企业应当保留校准或者检定记录。

*

《规范》第四十条

60

5.6.1

企业应当对经过改造或者重大维修的设备和仪器进行再确认，符合要求后方可使用。

**

《规范》第四十一条

第六章文件和数据管理

61

6.1.1

企业应当建立健全质量管理体系文件，包括质量方针和质量目标、质量手册、程序文件、技术文件和记录，以及法规要求的其他文件。

**

《规范》第四十二条

62

6.1.2

质量手册应当对质量管理体系作出规定。程序文件应当根据产品设计开发、生产和质量管理等活动的实际需要制定，包含本规范所规定的各项程序。

*

《规范》第四十二条

63

6.1.3

技术文件应当包括产品技术要求以及相关标准、生产工艺规程、作业指导书、检验和试验操作规程、安装和服务操作规程等。

**

《规范》第四十二条

64

6.2.1

企业应当建立文件控制程序，系统设计、制定、审核、批准、发放和保存质量管理体系文件，并符合下列要求：（一）文件的起草、修订、审核、批准、替换或者撤销、复制、保管和销毁等应当按照文件控制程序管理，并有相应分发、替换或者撤销、销毁记录；应当根据文件不同用途与类型，明确适宜受控方法；（二）修订或者更新文件时，应当经过评审和批准，并确保能够识别文件修订或者更新状态；（三）分发和使用的文件应当为适宜文本，已撤销或者作废文件应当进行标识，防止误用；（四）明确必要的质量管理体系文件如技术文件等作废后的保存期限，以满足产品维修和产品质量责任追溯等需要。

*

《规范》第四十三条

65

6.3.1

企业应当指定部门或者人员负责识别医疗器械相关法律、法规、规范、标准等外部文件变化情况，及时更新质量管理体系文件。

*

《规范》第四十四条

66

6.4.1

企业应当建立记录控制程序，包括记录的标识、保管、检索、保存期限和处置要求等，并符合下列要求：（一）记录应当保证产品设计开发、生产、质量控制和产品放行等活动可追溯；（二）记录应当真实、准确、完整、及时、清晰，易于识别和检索，防止破损和丢失；

***

《规范》第四十五条

67

6.4.2

企业应当建立记录控制程序，包括记录的标识、保管、检索、保存期限和处置要求等，并符合下列要求：（三）记录不得随意涂改或者销毁，必须更改时，应当注明更改理由、更改人员和日期，原有信息清晰可辨；（四）记录保存期限至少应当与企业所规定的医疗器械寿命期保持一致或者符合相关法规要求，且自产品放行之日起不少于2年。

*

《规范》第四十五条

68

6.5.1

采用信息化管理方式的，企业应当确保电子记录或者数据真实、准确、完整、及时和可追溯，并符合下列要求：（一）建立用户权限管理，确保可能对电子记录或者数据真实准确产生影响的权限得到有效控制；（二）电子记录或者数据更改、删除应当由经授权的人员操作，保留更改、删除记录；（三）电子记录或者数据应当进行备份，保存期限应当不低于本章定义的记录保存期限，且在保存期内便于查阅；（四）采用电子签名的，应当符合相关法律法规要求。

***

《规范》第四十六条

第七章设计开发

69

7.1.1

企业应当建立设计开发控制程序，对设计开发的阶段进行划分，并明确软件生存周期过程控制要求。应当对医疗器械设计开发全过程实施策划和控制，规定设计开发的策划、输入、输出、验证、确认、转换、变更和评审等活动以及相关文档控制要求，明确软件开发策划、软件需求分析、软件设计、软件编码、验证与确认、软件更新、风险管理、缺陷管理、可追溯性分析、配置管理、文件与记录控制、现成软件使用、网络安全保证、软件发布、软件部署、软件停运等活动要求。

**

《规范》第四十七条，《独立软件附录》2.3.1

70

7.2.1

企业应当将风险管理理念贯穿于软件生存周期全过程，制定风险管理控制程序，使用风险管理方法和工具，结合产品识别、分析、评价、控制、监测软件功能、接口、用户界面、现成软件、网络安全等风险，并保留相关记录。

**

《规范》第四十八条，《独立软件附录》2.3.3

71

7.2.2

软件生存周期过程质量保证活动要求应当与软件安全性级别相适宜。

***

《独立软件附录》2.3.2

72

7.2.3

软件安全性级别应当在采取风险控制措施之前，结合软件的预期用途、使用场景和核心功能进行综合判定，并仅可通过外部风险控制措施降低级别。

**

《独立软件附录》2.3.2

73

7.3.1

软件配置管理应当建立控制程序并形成文件，规范软件版本、源代码、文件、工具、现成软件等控制要求，确定配置标识、变更控制、配置状态记录等活动要求。使用配置管理工具保证软件质量，并贯穿于软件生存周期全过程。

**

《独立软件附录》2.3.4

74

7.4.1

软件可追溯性分析应当建立控制程序并形成文件，涵盖现成软件、网络安全的控制要求，形成软件可追溯性分析报告以供评审。使用可追溯性分析工具保证软件开发、软件更新过程满足可追溯性要求，并贯穿于软件生存周期全过程。

***

《独立软件附录》2.3.6

75

7.5.1

企业应当根据产品特性对设计开发进行策划，明确设计开发输入、输出、转换、验证与确认等阶段需要开展的具体活动，确定软件需求分析、软件设计、软件编码、风险管理、缺陷管理、可追溯性分析、配置管理、文件与记录控制、现成软件使用、网络安全保证、评审等活动要求，形成相关文件和记录，并适时更新。

*

《规范》第四十九条，《独立软件附录》2.3.8

76

7.5.2

企业应当制定设计开发计划，明确各阶段适用的验证、确认、转换、变更和评审等活动以及输出要求，确定各部门在不同阶段的活动和接口，明确职责和分工。设计开发计划应当经过评审和批准，并在实施过程中定期回顾。

**

《规范》第四十九条

77

7.5.3

软件开发策划应当保证软件开发和测试的人员及环境与软件开发要求相适宜。

*

《独立软件附录》2.3.8

78

7.6.1

设计开发输入应当开展软件需求分析，综合分析法规、标准、用户、产品、功能、性能、接口、用户界面、网络安全、警示提示等软件需求，确定风险管理、可追溯性分析、现成软件使用评估、软件确认测试计划创建、评审等活动要求，形成软件需求规范和评审记录并经批准，适时更新并经批准。可追溯性分析此时应当分析软件需求与风险管理、软件需求与产品需求的关系。

**

《规范》第五十条，《独立软件附录》2.3.9

79

7.7.1

软件设计应当依据软件需求规范实施软件体系架构、功能、性能、算法、接口、用户界面、单元、网络安全等设计，确定风险管理、可追溯性分析、现成软件使用评估、软件验证测试计划创建、评审等活动要求，形成软件设计规范和评审记录并经批准，适时更新并经批准。可追溯性分析此时应当分析软件设计与软件需求之间的关系。

**

《独立软件附录》2.3.10

80

7.8.1

软件编码应当依据软件设计规范实施，确定源代码编写与注释、现成软件使用、可追溯性分析、各级测试用例创建、评审等活动要求，形成评审记录，并适时更新。源代码编写与注释应当符合软件编码规则文件的要求。测试用例应当保证软件验证与确认测试的充分性、适宜性、有效性。可追溯性分析此时应当分析源代码与软件设计、源代码与测试用例的关系。

**

《独立软件附录》2.3.11

81

7.9.1

设计开发输出应当满足各阶段的输入要求。

**

《规范》第五十一条

82

7.9.2

设计开发输出至少应当包括源代码、软件技术文档、采购、生产、检验、使用和服务所需的相关信息以及产品技术要求等。设计开发输出应当经过验证并得到批准。

***

《规范》第五十一条

83

7.10.1

企业应当结合产品特性，开展设计开发到生产的转换活动，确保设计开发输出的生产环境、原材料控制、生产工艺和质量控制等相关规程得到验证并适用于商业化生产。设计开发转换应当重点关注关键工序和特殊过程的识别以及验证、确认等。

**

《规范》第五十二条

84

7.11.1

企业应当在设计开发的适宜阶段进行评审，持续评价设计开发输出满足输入要求的能力，识别问题并提出必要的改进措施。

*

《规范》第五十三条

85

7.12.1

企业应当对设计开发进行验证，确定源代码审核、静态分析、动态分析、单元测试、集成测试、系统测试、评审等活动要求，涵盖现成软件、网络安全的验证要求，并保持相关记录。

**

《规范》第五十四条，《独立软件附录》2.3.12

86

7.12.2

白盒测试应当确定语句、判定、条件、路径等测试覆盖率要求，并与软件安全性级别相适宜，确保设计开发输出满足输入要求。

**

《独立软件附录》2.3.12

87

7.12.3

企业应当保留单元测试、集成测试、系统测试相关文件，至少包括测试计划、测试报告、测试结果和结论以及测试过程记录等。测试应当依据相应测试计划实施，涵盖现成软件、网络安全的测试要求，确定缺陷管理、风险管理、可追溯性分析、评审等活动要求，形成相应软件测试记录、测试报告以及评审记录，并适时更新。可追溯性分析此时应当分析各级测试用例与软件设计、系统测试与软件需求、系统测试与风险管理的关系。

**

《规范》第五十四条，《独立软件附录》2.3.13

88

7.13.1

企业应当对设计开发进行确认，确定用户测试、临床评价、评审等活动要求，涵盖现成软件、网络安全的确认要求，并保持相关记录。

**

《规范》第五十五条，《独立软件附录》2.3.14

89

7.13.2

软件确认应当保证软件满足用户需求和预期目的，且软件已知剩余缺陷的风险均可接受。

**

《独立软件附录》2.3.14

90

7.13.3

用户测试应当依据用户测试计划在真实使用环境或模拟使用环境下实施，涵盖现成软件、网络安全的测试要求，确定缺陷管理、风险管理、可追溯性分析、评审等活动要求，形成用户测试记录、测试报告以及评审记录并经批准，适时更新并经批准。可追溯性分析此时应当分析用户测试与用户需求、用户测试与风险管理的关系。

**

《独立软件附录》2.3.15

91

7.13.4

设计开发确认可以采用临床评价或者非临床评价方式。开展临床试验的，应当符合医疗器械临床试验相关要求。

*

《规范》第五十五条

92

7.14.1

企业应当对设计开发变更进行识别并评估变更影响。必要时，应当对设计开发变更进行验证、确认，并在实施前得到批准。

***

《规范》第五十六条，《独立软件附录》2.3.16

93

7.14.2

软件更新应当形成文件，涵盖现成软件、网络安全的变更控制要求，确定软件更新请求评估、软件更新策划、软件更新实施、风险管理、验证与确认、缺陷管理、可追溯性分析、配置管理、文件与记录控制、评审、用户告知等活动要求，形成相关文件和记录并经批准，适时更新并经批准。

**

《独立软件附录》2.3.16

94

7.14.3

验证与确认应当根据软件更新的类型、内容和程度实施相适宜的回归测试、用户测试等活动。

**

《独立软件附录》2.3.16

95

7.15.1

软件版本控制应当基于合规性要求确定软件版本命名规则，涵盖软件、现成软件、网络安全的全部软件更新类型，各字段含义应当明确且无歧义无矛盾。

**

《独立软件附录》2.3.5

96

7.15.2

软件版本变更应当符合软件版本命名规则的要求，并与软件更新情况相匹配。

***

《独立软件附录》2.3.5、

2.3.16

97

7.16.1

现成软件使用应当形成文件，确定风险管理、验证与确认、缺陷管理、可追溯性分析、软件更新、配置管理、文件与记录控制、网络安全保证等活动要求。遗留软件还应当确定现有文件、上市后使用情况、用户投诉、不良事件、召回情况等评估活动要求。使用开源软件应当遵循相应开源许可协议。

*

《独立软件附录》2.3.7

98

7.17.1

软件缺陷管理应当形成文件，确定软件缺陷评估、软件缺陷修复、回归测试、风险管理、配置管理、评审等活动要求，形成软件缺陷分析报告以供评审。使用缺陷管理工具保证软件质量，并贯穿于软件生存周期全过程。

**

《独立软件附录》2.3.17

99

7.18.1

企业应当建立产品设计开发文档，包括设计开发过程中建立或者引用的记录，确保历次设计开发输出过程以及相关活动可追溯。

**

《规范》第五十七条

100

7.19.1

委托设计开发医疗器械的，委托方应当对受托方研发与持续技术支持能力进行评估。

*

《规范》第五十八条

101

7.19.2

企业应当与受托方签订协议，明确委托设计开发活动范围、责任以及设计开发文档转移要求。

**

《规范》第五十八条

102

7.19.3

企业应当对委托设计开发过程和结果进行管理并承担相应责任，确保设计开发过程满足法律法规和协议要求。

**

《规范》第五十八条

第八章采购与原材料管理

103

8.1.1

企业应当建立采购控制程序，确保采购的原材料或者服务符合规定要求，且不低于法律、法规、规章和强制性标准相关要求。

***

《规范》第五十九条

104

8.2.1

企业应当根据采购原材料或者服务对产品影响程度，对采购原材料或者服务以及供应商进行分类管理。

*

《规范》第六十条

105

8.2.2

供应商管理应当考虑采购原材料或者服务、对产品质量安全影响程度、首次供应或者持续供应等因素。

**

《规范》第六十条

106

8.3.1

企业应当建立供应商审核制度，明确供应商选择、评价和再评价准则和方法，根据审核评价结果建立合格供应商名单。

*

《规范》第六十一条

107

8.3.2

企业应当结合产品质量风险以及对产品质量影响程度，确定是否对供应商进行现场审核。

**

《规范》第六十一条

108

8.4.1

企业应当对供应商定期进行综合评价，回顾分析其供应原材料或者服务的质量、技术水平、交付能力等。

*

《规范》第六十二条

109

8.4.2

经评估认为供应商存在重大缺陷的，企业应当中止采购，及时分析相关缺陷对产品带来的风险，必要时采取相应措施。

***

《规范》第六十二条

110

8.5.1

企业应当与关键供应商签订质量协议，明确采购原材料或者服务的技术要求、验收标准和双方质量责任。（一）针对外包软件，应当与供应商签订外包软件质量协议，明确外包软件需求分析、交付形式、验收方式与准则、设计开发文件交付、知识产权归属、维护等要求以及双方质量责任承担要求。（二）云计算服务协议应当明确网络安全保证、患者数据与隐私保护等责任承担要求。

**

《规范》第六十三条，《独立软件附录》2.4.22.4.3

111

8.5.2

企业应当建立关键供应商质量档案。档案至少包括：供应商资质证明文件、审核报告、采购合同或者质量协议、采购物品清单、产品技术要求或者质量标准、验收准则，供应商能力或者绩效监测、定期审核、评价和再评价结果以及由其引发的相关措施记录等。

*

《规范》第六十三条

112

8.6.1

企业应当明确采购信息和采购要求，包括采购原材料或者服务的类别、验收准则、规格型号、规程等内容。

*

《规范》第六十四条

113

8.6.2

企业应当保留采购记录，包括采购合同、采购清单、检验报告等，采购记录应当真实、准确、完整和可追溯。

**

《规范》第六十四条

114

8.7.1

企业应当建立原材料进货验收制度，对采购的原材料进行检查、检验或者验证，确保满足要求后方可入库。

**

《规范》第六十五条

115

8.8.1

企业应当建立仓储管理制度，确保原材料、中间产品以及成品等能够正确贮存、发放、使用和运输，防止混淆和差错。相关活动应当保留记录。

*

《规范》第六十六条

116

8.9.1

原材料的发放和使用一般应当遵循先进先出原则。

*

《规范》第六十七条

117

8.9.2

超过贮存期的原材料应当进行复验，经评估符合规定后方可使用。超过有效期的原材料，应当按照不合格品处理。

*

《规范》第六十七条

118

8.10.1

企业应当要求供应商提前告知外包软件的软件功能及性能、核心算法与架构、外部组件、软件版本、开发环境、关键开发人员、质量标准和测试方法等发生的变更。

*

《规范》第六十八条

119

8.10.2

企业应当评估变更对产品质量影响的范围和程度，必要时采取措施并对供应商进行现场审核。

**

《规范》第六十八条

120

8.11.1

现成软件采购应当形成文件，根据现成软件的类型、使用方式、对产品质量影响程度，确定分类管理、质量控制、供应商审核等活动要求。

**

《独立软件附录》2.4.1

第九章验证与确认

121

9.1.1

企业应当基于风险评估确定验证或者确认的范围和程度，以证明相关设施设备、操作以及产品实现过程中的关键要素得到有效控制。

**

《规范》第六十九条

122

9.2.1

厂房、设施以及主要设备应当经过确认。企业应当采用经过验证或者确认的生产工艺、操作规程和检验方法进行生产和检验，确保在验证或者确认过的状态下开展相关活动。

***

《规范》第七十条

123

9.3.1

企业应当形成确认的文件和记录，并能以文件和记录证明厂房、设施、设备的设计、安装、运行符合预定用途、设计标准以及本规范要求，其性能在正常操作方法和工艺条件下能够持续符合要求。

**

《规范》第七十一条

124

9.4.1

工艺验证或者确认应当证明生产过程按照规定的工艺参数能够持续生产出符合强制性标准、产品技术要求和预期用途的产品。

**

《规范》第七十二条

125

9.4.2

特殊过程应当经过确认，关键工序应当经过验证。

***

《规范》第七十二条

126

9.5.1

关键原材料、生产环境、生产工艺、主要生产和检验设备、检验方法等影响产品质量的主要因素发生变更时，企业应当进行验证或者确认。需要进行注册变更、备案变更或者生产事项变更报告的，企业应当按照相关要求完成。

***

《规范》第七十四条

127

9.6.1

首次验证或者确认后，企业应当根据产品质量回顾分析情况对生产工艺、设备设施等进行再验证或者再确认，确保其能够达到预期结果。

**

《规范》第七十五条

128

9.6.2

使用历史数据开展回顾性验证或者确认的，企业应当确保所使用数据适当且充分。

**

《规范》第七十五条

129

9.7.1

企业应当制定验证或者确认计划，并根据验证或者确认对象制定方案。方案应当经过审核和批准，至少包括：验证或者确认对象、部门和人员职责、实施环境、方法、取样要求、接收准则等。

*

《规范》第七十六条

130

9.7.2

企业应当按照方案实施验证或者确认，形成报告并保留相关记录。

*

《规范》第七十六条

131

9.8.1

设计开发、生产、检验、仓储等过程中采用的计算机软件对产品质量有影响的，企业应当进行确认并保留记录和结论。软件确认至少包括首次使用前的确认、更改后必要的再确认等，确认或者再确认的方法和活动应当与软件使用的风险相适应。

**

《规范》第七十七条

第十章生产管理

132

10.1.1

企业应当建立生产过程控制程序，明确操作人员、生产设备、原材料和中间产品、生产工艺和操作规程、生产环境、过程检验或者监控等要求，并按照要求组织生产。

***

《规范》第七十八条

133

10.2.1

每批产品均应当有生产记录，并满足追溯要求。

***

《规范》第八十一条

134

10.2.2

生产记录至少包括产品名称、规格型号、软件版本、生产批号或者产品编号（医疗器械唯一标识）、生产日期、数量、主要设备、操作人员等内容。

*

《规范》第八十一条

135

10.3.1

企业应当建立产品标识控制程序，采用适宜方法对产品进行标识，防止混淆、差错以及不合格中间产品流入下道工序。

*

《规范》第八十三条

136

10.4.1

产品说明书、标签应当符合相关法律、法规、规章以及标准要求并进行有效管控。

**

《规范》第八十四条

137

10.5.1

企业应当建立产品防护程序，规定产品及其组成部分的防护要求，包括污染防护、静电防护、粉尘防护、腐蚀防护、运输防护和网络安全防护等。防护措施包括但不限于包装、标识、防护罩以及特殊的搬运和贮存要求等。

*

《规范》第八十五条

138

10.6.1

企业应当结合产品特性和生产实际建立清场管理制度，防止生产涉及的原材料混用、相关文件差错使用。

*

《规范》第八十六条

139

10.6.2

生产开始前，企业应当对前次清场情况进行确认。清场记录和确认应当纳入批生产记录。

*

《规范》第八十六条

140

10.7.1

企业应当建立不合格品控制程序，对生产过程中的不合格原材料、中间产品和成品等进行及时有效的标识、记录、隔离并开展评审。

**

《规范》第八十八条

141

10.8.1

企业应当建立产品追溯程序，规定产品追溯范围、程度、标识和必要的记录，包括原材料编号、批号或者序列号管理、医疗器械唯一标识等。

*

《规范》第九十条

142

10.9.1

企业应当按照国家实施医疗器械唯一标识有关要求开展赋码、数据上传和维护更新，保证信息真实、准确、完整和可追溯。

**

《规范》第九十一条

143

10.10.1

停产后重新生产的，企业应当制定相应规程，明确对生产环境、生产设备、供应商等的评估要求，必要时开展验证或者确认。

**

《规范》第九十四条

144

10.11.1

软件发布应当形成文件，确定软件产品文件创建、软件产品与文件归档备份、软件版本识别与标记、交付形式评估与验证、病毒防护等活动要求，保证软件发布的可重复性。

**

《独立软件附录》2.5.1

145

10.12.1

物理交付方式应当确定软件产品复制、许可授权以及存储媒介包装、标记、防护等要求，网络交付方式应当确定软件产品标记、许可授权、网络安全保证等要求。

**

《独立软件附录》2.5.2

第十一章质量控制与产品放行

146

11.1.1

企业应当建立质量控制程序，明确产品质量管理组织机构、检验人员、检验操作规程以及取样、检验设备、产品放行以及留样等要求，确保原材料或者成品在放行前完成必要的检验，质量符合要求。

***

《规范》第九十五条

147

11.2.1

检验人员教育背景、技术能力和数量应当与产品检验检测工作相匹配，经过与所从事检验检测操作相关的实践培训并考核合格后上岗。

**

《规范》第九十六条

148

11.3.1

企业应当依据法律、法规、规章、强制性标准以及经注册或者备案的产品技术要求，基于风险管理原则和产品质量保证能力等，制定进货检验规程、过程检验规程和成品检验规程等文件。

***

《规范》第九十七条

149

11.3.2

检验规程应当覆盖产品技术要求载明的性能指标，不能覆盖的应当予以说明，必要时给出经确认的替代解决方案。

**

《规范》第九十七条

150

11.4.1

检验方法应当与产品的性能指标相适应。

***

《规范》第九十八条

151

11.4.2

对检验工作所需的辅助用品，企业应当根据其控制特点制定管理文件，确保满足检验要求。

*

《规范》第九十八条

152

11.5.1

企业应当按照检验规程开展检验检测活动。

***

《规范》第一百条

153

11.5.2

每批产品均应当有检验记录，并满足追溯要求。

***

《规范》第一百条

154

11.5.3

检验记录应当包括进货检验、过程检验和成品检验记录、报告或者证书，内容至少包括产品或者原材料信息、检验项目、检验设备、检验结果、检验日期、检验人员、复核人员等。

*

《规范》第一百条

155

11.6.1

检验设备管理至少包括下列内容：（一）检验设备经过校准或者检定，结果经过确认；（二）明确检验设备搬运、储存、维护和维修等要求；（三）检验设备不符合要求时，应当立即停止使用，并对以往检验结果进行评价。必要时，采取相应措施并保留记录。

*

《规范》第一百零一条

156

11.7.1

企业应当根据产品特性制定检验结果不合格调查处理规程。

*

《规范》第一百零三条

157

11.7.2

任何检验不合格均应当进行调查处理，并保留记录。

**

《规范》第一百零三条

158

11.7.3

对检验过程偏差造成的不合格，可以进行复检。

*

《规范》第一百零三条

159

11.8.1

企业应当建立产品放行工作程序，明确软件版本识别、安装卸载测试、产品完整性检查、产品放行条件、审核和批准要求等。确认产品至少符合下列条件后，经授权的放行人员按照规定签发产品放行单：（一）完成所有规定的工艺流程；（二）批生产记录完整齐全；（三）质量控制记录完整齐全，结果符合规定要求，已按照规定签发记录；（四）产品生产过程中出现的不合格情况已经按照规定处理完毕；（五）产品说明书、标签及其版本、医疗器械唯一标识赋码符合规定要求。

***

《规范》第一百零四条,《独立软件附录》2.6.1

160

11.8.2

完成放行的产品应当附有合格证明文件，合格证明文件可以是产品检验报告、放行单、合格标识或者合格证等。

*

《规范》第一百零四条

161

11.8.3

委托生产的，产品放行包括生产放行和上市放行。医疗器械注册人、备案人负责上市放行，受托生产企业负责生产放行。

***

《规范》第一百零四条

162

11.9.1

需要常规控制的进货检验、过程检验和成品检验项目一般不得进行委托检验。

*

《规范》第一百零六条

163

11.9.2

对于检验条件和设备要求较高，确需委托检验的项目，可以委托具有资质的机构进行检验。

*

《规范》第一百零六条

164

11.9.3

委托检验的，企业应当与受托检验机构签订质量协议，明确规定双方责任和委托检验要求。

*

《规范》第一百零六条

165

11.9.4

委托方应当对受托检验机构的检验能力开展评价，并对委托检验结果进行确认。

**

《规范》第一百零六条

第十二章委托生产与外协加工

166

12.1.1

委托生产医疗器械的，委托方质量管理体系应当覆盖医疗器械全生命周期。受托生产企业质量管理体系应当包括与受托生产活动相关内容。

***

《规范》第一百零七条

167

12.1.2

委托双方应当建立有效沟通机制，确保质量管理体系有效衔接与运行。

**

《规范》第一百零七条

168

12.2.1

委托方与受托方应当签订质量协议，明确双方在产品生产全过程中各自的权利、义务和责任。委托方不得通过协议转移依法应当由其履行的义务和责任。

***

《规范》第一百零八条

169

12.3.1

委托生产前，委托方应当对受托方生产能力、质量保证能力和风险管理能力进行现场评估，确认其具备受托生产能力，并能持续符合本规范要求；委托生产期间，应当定期对受托方质量管理体系进行现场审核和评估。

**

《规范》第一百零九条

170

12.3.2

受托方应当接受委托方的审核和监督，并及时采取纠正预防措施落实其整改要求。

*

《规范》第一百零九条

171

12.4.1

委托方应当设置相应的质量管理机构，配备足够数量和能力的专职质量管理人员，以及熟悉产品、具有相应专业知识的技术人员，对委托生产活动进行有效监测和控制。

**

《规范》第一百一十条

172

12.4.2

受托方的管理者代表、生产管理部门负责人、质量管理部门负责人、放行审核人等关键岗位人员应当熟悉受托生产产品生产和质量管理情况。

**

《规范》第一百一十条

173

12.5.1

委托方应当与受托方共同策划完成生产转换活动，确保产品技术要求、原材料和生产工艺要求以及说明书和标签等有效转移到受托方。

**

《规范》第一百一十一条

174

12.5.2

受托方应当开展试生产以及相应验证与确认活动，试生产应当包括所转移的全部生产和质量控制过程。

***

《规范》第一百一十一条

175

12.6.1

委托方设计变更、采购变更等应当及时通知受托方，并监督其执行变更要求；应当采取有效措施，确保及时获知受托方发生的可能影响产品质量的变更，并与受托方开展联合评估。

**

《规范》第一百一十二条

176

12.6.2

受托方应当落实委托方的变更要求，并结合生产质量管理情况向委托方反馈变更需求。

**

《规范》第一百一十二条

177

12.7.1

委托方应当建立产品上市放行规程，明确放行标准、条件，对医疗器械生产过程记录、质量控制记录和受托方生产放行文件进行审核，符合标准和条件的，经授权的放行人员签字后方可上市。产品上市放行由委托方自行完成，不得委托其他企业进行。

***

《规范》第一百一十三条

178

12.7.2

受托方应当建立生产放行规程，明确生产放行标准、条件，对医疗器械生产过程记录和质量控制记录进行审核，符合标准、条件的，经授权的放行人员签字后方可出厂。

***

《规范》第一百一十三条

179

12.8.1

受托方应当及时向委托方报告生产过程中出现的可能影响产品质量的偏差、变更、异常情况，并保留处理记录。

**

《规范》第一百一十四条

180

12.9.1

产品实现过程中涉及外协加工的，企业应当建立外协加工控制程序，对外协加工过程实施控制，确保满足相关法律法规要求。

*

《规范》第一百一十五条

181

12.10.1

企业至少应当将外协加工方作为供应商进行管理，对外协加工方加工能力、质量保证能力、风险管理能力等进行评估。

**

《规范》第一百一十六条

182

12.10.2

双方应当签订外协加工质量协议，明确外协加工的内容、质量标准或者技术要求、验收准则和双方责任，以及相关工艺、验证与确认、放行条件、变更和沟通机制等要求。

**

《规范》第一百一十六条

第十三章销售与售后服务

183

13.1.1

产品销售与售后服务等活动应当符合医疗器械相关法律、法规、规章和规范要求。

**

《规范》第一百一十七条

184

13.1.2

企业应当保留产品销售记录，并满足追溯要求。

**

《规范》第一百一十七条

185

13.1.3

销售记录至少包括医疗器械名称、规格、型号、软件完整版本号、数量、生产批号或者产品编号（序列号）、医疗器械唯一标识、使用期限（预期使用期限）、销售日期、购货单位名称、地址、联系方式。

*

《规范》第一百一十七条

186

13.2.1

企业应当采用经验证或者确认的运输条件和工具运输产品并做好产品防护。

**

《规范》第一百一十八条

187

13.3.1

企业应当具备与所生产产品相适应的售后服务能力，建立健全售后服务制度。

*

《规范》第一百一十九条

188

13.3.2

企业应当规定售后服务要求，保留售后服务记录，并满足追溯要求。软件停运应当形成文件，确定停运后续用户服务、数据迁移、患者数据与隐私保护、用户告知等活动要求，保持相关记录。

*

《规范》第一百一十九条，

《独立软件附录》2.7.2

189

13.4.1

需要由企业安装的医疗器械，企业应当确定安装要求和安装验证接收标准，并保留安装和验收记录。软件部署应当形成文件，确定交付、安装、设置、配置、用户培训等活动要求，保持相关记录。

*

《规范》第一百二十条，《独立软件附录》2.7.1

190

13.4.2

由使用单位或者其他企业进行安装、维修的，企业应当提供安装要求、标准和维修零部件、资料、密码等，并进行指导。

*

《规范》第一百二十条

第十四章分析与改进

191

14.1.1

企业应当开展产品和质量管理体系监测、分析和改进活动，确保产品安全有效、质量管理体系持续有效运行。

**

《规范》第一百二十一条

192

14.2.1

企业应当建立产品质量投诉和顾客反馈处理程序，明确相关部门职责，及时接收、调查、评价和处理投诉与反馈意见，并保留相关记录。

*

《规范》第一百二十二条

193

14.3.1

企业应当建立医疗器械不良事件监测制度，对发生的不良事件及时报告，并开展调查、分析、评价，必要时采取风险控制措施。

**

《规范》第一百二十三条

194

14.4.1

企业应当建立数据分析程序，确定适宜的数据收集方法、控制标准、分析方法和统计技术，收集分析与产品质量、不良事件、顾客反馈和质量管理体系运行有关数据，应当涵盖软件缺陷、网络安全事件要求。评价产品安全性和有效性，按要求形成质量风险评价报告，并将数据分析结果作为改进输入内容。

**

《规范》第一百二十四条，《独立软件附录》2.8.1

195

14.5.1

企业应当建立纠正措施程序，确定产生问题的原因，采取有效措施，防止相关问题再次发生。应当建立预防措施程序，确定潜在问题的原因，采取有效措施，防止问题发生。

**

《规范》第一百二十五条

196

14.5.2

企业采取的纠正预防措施应当与问题影响程度相适应，且经验证无不良影响。措施有效性应当进行确认。

**

《规范》第一百二十五条

197

14.6.1

企业应当建立医疗器械召回管理制度，收集医疗器械安全相关信息，对可能的缺陷产品进行调查、评估，及时召回缺陷产品，并按照规定报告有关部门。

**

《规范》第一百二十六条

198

14.7.1

企业应当建立产品信息告知程序，及时将与产品安全有关的变化信息通知相关企业、使用单位或者消费者。

*

《规范》第一百二十七条

199

14.7.2

网络安全事件应急响应应当形成文件，确定网络安全事件风险管理、应急响应措施验证、用户告知、召回等活动要求，保持相关记录。

**

《独立软件附录》2.8.2

200

14.8.1

企业应当建立质量管理体系内部审核程序，确定审核准则、范围、频次、参加人员、方法、记录要求、纠正预防措施有效性评定等内容。

**

《规范》第一百二十八条

201

14.8.2

企业应当制定内部审核计划，按计划实施内部审核并形成审核报告，对审核发现的不合格问题应当采取纠正预防措施。

*

《规范》第一百二十八条

202

14.9.1

企业应当建立管理评审程序，定期开展管理评审。管理评审内容应当包括质量风险回顾、产品质量评价以及质量管理体系变更需求、法规符合性和改进的可能性等。

**

《规范》第一百二十九条

203

14.9.2

企业应当形成管理评审报告并有相应改进措施，确保质量管理体系的持续适宜性、充分性和有效性。

*

《规范》第一百二十九条