新旧对照：独立软件GMP检查指导原则，2026征求意见稿到底改了什么

背景：两份文件从哪来

本次对比的两份文件，都是围绕《医疗器械生产质量管理规范》及其附录"独立软件"落地的现场检查指导文件：

• 旧版：2020年6月发布实施的《医疗器械生产质量管理规范独立软件现场检查指导原则》，共11章105条，是2019年《附录独立软件》落地后的配套检查细则。
• 新版：2026年9月公开征求意见的《医疗器械生产质量管理规范独立软件检查指导原则（征求意见稿）》，起草说明中明确"独立软件检查项目共203项，其中关键项目41项、主要项目95项、一般项67项"。

需要特别提示的是，新版上位法--《医疗器械生产质量管理规范》（2026年修订）已于2025年11月4日由国家药监局发布，自2026年11月1日起施行。新版配套检查指导原则目前仍在征求意见阶段（反馈截止2026年10月8日），正式文本以届时印发为准。

一、体量翻倍：从105条到203项，并首次分级

最直观的变化是数量与结构：

| 维度 | 2020版 | 2026征求意见稿 |<br/>| --- | --- | --- |<br/>| 章节 | 11章（机构人员、厂房设施、设备、文件管理、设计开发、采购、生产管理、质量控制、销售售后、不合格品、不良事件） | 14章（新增总则、质量保证、验证与确认、委托生产与外协加工等） |<br/>| 条款数 | 105条 | 203项 |<br/>| 风险分级 | 无系统分级，仅个别条款前标"" | 明确三级：关键（）、主要（）、一般（*），并标注对应《规范》/附录条款 |

新版把"总则"和"质量保证"前置为独立章节，单独列出"验证与确认""委托生产与外协加工"，与2026版《规范》新增的三章（质量保证、验证与确认、委托生产与外协加工）一一对应。检查项目逐条标注风险等级，直接服务"按风险分级判定、分级处置"的检查逻辑。

二、从"检查条款"到"质量体系要求"：理念升级

旧版逐条写"应当建立……查看……"，是面向检查员的现场核查清单；新版更强调企业主体的质量体系能力建设：

• 新版第二章"质量保证"要求企业"履行医疗器械质量安全主体责任，建立符合质量管理要求的质量目标"，并系统列出质量保证系统应确保的九个方面（设计开发到委托生产全过程受控、变更受控、每批经审核批准后放行等）。
• 新增"变更控制程序"作为关键项目（***）：要求根据变更对安全性、有效性和质量可控性的风险程度确定变更类型，实施前评审批准，必要时验证确认。
• 新增"质量风险管理制度"与"质量风险管理回顾"，要求收集产品全生命周期质量风险信息并定期回顾。

这意味着企业不能只满足于"有文件"，而要证明体系真正运行、风险真正受控、变更真正闭环。

三、机构和人员：从"模糊要求"到"可任职资格审查"

新版对关键岗位人员的学历、职称、经验给出了硬性门槛，这是旧版没有的：

• 管理者代表：二类、三类企业须医疗器械相关本科及以上学历或中级及以上职称，原则三年以上质量管理或生产、技术管理经验；一类企业须专科及以上学历。
• 质量管理部门负责人：二类、三类企业须本科或中级职称加三年经验；一类企业须专科。
• 生产管理部门负责人：专科及以上学历加三年经验。
• 产品放行审核人：须为质量管理部门人员或更高级别质量管理人员，经放行培训、能独立承担放行审核。

旧版仅要求"技术、生产、质量管理部门负责人应当熟悉法规、有实践经验"，新版把"熟悉"变成了可核查的任职资格。同时保留并强化了旧版的独立软件特色要求：黑盒测试开发测试不得兼任（新版）、用户测试人员须有使用经验或经培训（新版）。

四、设计开发：独立软件特色要求被"打散融合"进全过程

旧版用整整一章（第5章）集中规定软件生存周期过程；新版把软件生存周期要求拆散融入"设计开发""采购""生产管理""销售售后""分析与改进"各章，并与《规范》通用条款对应。核心要求基本保留并细化：

• 软件安全性级别判定（新版**，须风险控制前综合判定、仅可外部措施降级）。
• 软件配置管理、可追溯性分析（新版分别定为、*，要求形成报告供评审）。
• 软件需求分析、设计、编码、验证、确认、更新、缺陷管理、现成软件使用、网络安全保证等全流程活动要求保留。
• 白盒测试覆盖率要求（语句、判定、条件、路径）保留并明确与安全性级别相适宜。
• 软件版本命名规则与版本变更匹配要求保留（新版分别、*）。

值得注意：旧版"软件生存周期过程控制程序"作为单一集中要求，新版转为按阶段嵌入，对企业文件体系的组织方式提出了不同要求--不再是单独一本程序，而是贯穿各阶段。

五、采购与供应商：新增关键供应商档案与外包软件管控

新版采购章（第八章）在旧版基础上显著强化：

• 新增"关键供应商质量档案"（*）：至少含资质证明、审核报告、质量协议、采购清单、验收准则、绩效监测与再评价记录。
• 细化外包软件管理：要求供应商提前告知软件功能性能、核心算法架构、外部组件、软件版本、开发环境、关键开发人员、质量标准和测试方法等变更（），并评估对产品质量影响范围程度，必要时现场审核（*）。
• 云计算服务协议须明确网络安全保证、患者数据与隐私保护责任（**），与旧版一致并保留。

旧版"与供应商签订外包软件质量协议"为关键项目（*），新版将质量协议要求融入关键供应商档案与外包管控，管控颗粒度更细。

六、生产、质控与放行：UDI与双放行成为硬要求

新版把旧版分散的要求整合强化，并对接UDI与委托生产：

• 生产记录明确含"软件版本、生产批号（医疗器械唯一标识）"（*）。
• 新增产品追溯程序含"原材料编号、批号或序列号管理、医疗器械唯一标识"（），并单独要求按UDI有关要求开展赋码、上传和维护（*，新版第十一条）。
• 产品放行拆分为"生产放行"与"上市放行"双轨：委托生产的，注册人/备案人负责上市放行，受托方负责生产放行，且上市放行不得委托（***）。
• 质量控制明确"软件版本识别、安装卸载测试、产品完整性检查"等放行条件（***），与旧版一致。

对独立软件企业而言，UDI赋码与数据维护、以及委托生产场景下的双放行责任划分，是2026版落地的重点新增负担。

七、新增"委托生产与外协加工"专章：适配注册人制度

这是结构上的最大新增之一（第十二章，166-182项）。旧版仅在采购章提及外包软件；新版用整章规定：

• 委托双方签订质量协议，委托方不得通过协议转移法定义务（***）。
• 委托前现场评估受托方能力，委托期间定期审核（**）。
• 受托方试生产须覆盖所转移的全部生产和质控过程（***）。
• 委托方上市放行自行完成、不得委托（）；受托方建立生产放行规程（）。
• 外协加工方作为供应商管理，签外协加工质量协议（**）。

这与MAH（注册人）制度下"注册人不一定自己生产"的现实直接对应，独立软件企业若采用委托开发、委托生产、云部署等模式，需重点评估该章合规差距。

八、销售售后与分析改进：软件停运、网络安全被正式写入

旧版"销售和售后服务"含软件部署、停运；新版（第十三、十四章）进一步固化：

• 软件停运须形成文件，确定后续用户服务、数据迁移、患者数据与隐私保护、用户告知（*）。
• 网络安全事件应急响应须形成文件，确定风险管理、应急响应验证、用户告知、召回（**，对应附录2.8.2）。
• 数据分析程序须涵盖软件缺陷、网络安全事件要求（**）。
• 新增内部审核计划、管理评审须含质量风险回顾与法规符合性评价等细化要求。

这部分把"软件下线怎么退场""网络安全出事怎么应急"这些数字产品特有风险，从附录要求上升为检查项目。

对企业落地的启示

1. 先对照203项做差距分析，尤其是新增的"质量保证""验证与确认""委托生产与外协加工"三块，旧版几乎没有对应条款。
2. 关键岗位任职资格是硬门槛，管理者代表、质量负责人、放行审核人的学历职称经验要提前补齐并留证。
3. 变更控制、风险管理回顾、质量风险管理是新增的关键/主要项目，须建立可追溯的闭环记录。
4. 委托与外包模式（含云、含外包开发）按新专章重建质量协议与审核机制，上市放行责任不可转嫁。
5. UDI赋码与数据维护、双放行流程要提前打通系统，避免2026年11月1日过渡期后检查不达标。

需再次提示：本文基于2026年9月公开征求意见文本撰写，正式施行文本以国家药监局印发版本为准；征求意见反馈截止2026年10月8日，企业如有意见可通过官方渠道提交。

免责声明：本文为法规学习对比，不构成法律或注册合规意见，具体操作以官方正式文件及监管要求为准。

【来源】国家药监局综合司公开征求意见 | 国家药监局2026年第14号通知