风险与合规：注册、质量、上市后、EHS与合同

11.1 合规地图从产品—主体—地点—活动开始

01产品分类

02注册配置

03生产地点

04质量体系

05上市放行

事实轴	必须确定	责任人	证据	复核触发
产品	预期用途、作用机理、类别、型号、软件和附件	ROLE-C13-02	DOC-C13-01	用途、技术或分类规则变化
主体	注册人/备案人、受托方、进口商、本地负责人、经销商	ROLE-C13-02	证照、授权与质量协议	主体、控制权或责任分工变化
地点	设计、生产、特殊过程、检验、仓储、云和服务地点	ROLE-C13-03	场地清单与许可范围	新地址、搬线、外协或云区域变化
活动	研发、临床、生产、经营、安装、远程访问和上市后	各流程A	适用性矩阵	活动范围或客户场景变化
市场	中国大陆、香港、澳门、台湾或其他地区	ROLE-C13-02	当地上市与经营路径	新市场、转运或最终用户变化

在中国大陆，现行条例、注册备案办法和生产监督管理办法构成本章的主要入口。[SRC-C13-NPC-MDR-2024][SRC-C13-SAMR-REG47-2021][SRC-C13-SAMR-REG53-2022] 企业还需针对产品核验强制性标准、产品技术要求、临床、网络安全、辐射、无菌、体外诊断、动物源材料、组合产品等专项要求；本章不推定任何产品当然适用或豁免。

11.2 许可备案与实际持续一致

取得文件只是起点。LICENSE-C13-* 台账应关联证照类型、主体、地址、产品范围、有效期、报告义务、维护责任、官方入口、原件位置和变更触发。每月把证照与ERP可售配置、MES生产地址、标签模板、UDI数据和在执行合同交叉核对。

失配	例子	预防	发现后动作
主体失配	合同卖方与注册人责任表述冲突	合同主数据调用主体矩阵	停止签署和发货，重做责任链
地址失配	实际关键工序移至未评估地点	场地变更先过法规和质量门	隔离受影响产品、评估报告和处置
配置失配	订单含未获准附件或软件	可售BOM由RA系统下发	停止拣配、纠正配置或走变更
有效期失配	证照维护任务逾期仍接单	到期提前预警和销售硬阻断	冻结新承诺并核验存量权利
标签失配	市场语言、主体或UDI错误	模板与市场配置一一绑定	冻结包装、追溯已发产品

11.3 质量体系与2026年规范切换

GB/T 42061—2022为现行推荐性国家标准，等同采用ISO 13485:2016，可作为体系共同语言，但不能替代具体法规、强制性标准和获准产品技术要求。[SRC-C13-SAMR-GBT42061-2022] 国家药监局已发布新版医疗器械生产质量管理规范，计划于2026年11月1日起施行；截至2026年8月10日尚处过渡期，不能把未来规范写成已经生效。[SRC-C13-NMPA-GMP-2025]

推荐的切换项目使用 CHANGE-C13-GMP2026：

工作包	截止门	最低证据	A
条款与适用性差距	冻结内部解释前	新旧条款、现状、差距、适用理由	ROLE-C13-03
程序与表单修订	培训前	文件清单、流程所有人、批准版本	ROLE-C13-03
系统与权限调整	验证前	用户需求、风险、测试和回退	ROLE-C13-18
供应商与委托协议	生效前	条款映射、双方确认、执行文件	ROLE-C13-06
人员能力	独立上岗前	岗位差距、培训、考核和授权	各流程A
模拟运行与内审	管理评审前	样本、发现、CAPA与有效性	ROLE-C13-03
正式切换	2026年11月1日前按项目计划完成	生效清单、旧版退役、未完成风险	ROLE-C13-01

“已培训”只能证明参加，不证明会执行。切换验收随机抽订单、批记录、变更、投诉和受托生产，要求岗位现场演示从输入到关闭。

11.4 UDI与追溯不是贴码项目

UDI项目包含发码规则、产品标识、生产标识、包装层级、载体质量、注册或备案系统提交、数据库维护、ERP/MES/WMS映射、医院使用和召回。2026年第21号公告对后续品种给出未来分期安排：自2027年6月1日起生产的全部第二类医疗器械及全部第一类体外诊断试剂、自2029年6月1日起生产的全部第一类医疗器械进入相应实施范围；截至本章核验日这些日期尚未全部到来，既有批次公告和特定情形仍需逐品种核验。[SRC-C13-NMPA-UDI-2026]

UDI控制点	错误世界	证据
产品标识主数据	同一配置重复建码或变化未维护	注册配置—DI映射
生产标识	批号、序列号、日期与实物不一致	MES生成与扫描
包装层级	单台、箱、托盘关系断裂	聚合拆分事件
印刷质量	可见但机器不可读	验证和在线抽检
数据库	标签已变、数据库未更新	发布回执与差异报表
召回	只能按产品族，不能按受影响范围	客户—序列—批次反查测试

11.5 设计和生产变更

变更不能按发起部门定风险。一次供应商换料可能触发设计、风险、验证、注册、工艺、标签、库存、客户和上市后影响；一次“仅软件修复”也可能改变性能或网络风险。CHANGE-C13-* 先建立事实，再由各专业给结论和生效条件。

正在绘制业务流程…

变更批准日期、生效日期和首个使用批次分开。批准只说明方案可执行；只有培训、物料、设备、系统、标签、证照与验证条件全部满足才生效。旧版库存要决定继续使用、返工、重标、隔离、报废或客户通知，并记录数量守恒。

11.6 上市后风险、召回和定期复盘

上市后数据包括投诉、维修、退货、使用错误、不良事件、文献、监管信息、经销商反馈、网络安全漏洞和类似产品信号。趋势分母按装机台数、使用次数、检测量或在市场时间选择，不能只看投诉件数。严重度很高的单例不因发生率低而自动接受；高频轻微问题也可能提示可用性或制造漂移。

决策	必答问题	证据所有人
是否停止发货	当前证据下继续发货是否增加不可接受风险	ROLE-C13-03
是否建议停用	哪些序列、场景、软件或附件受影响	ROLE-C13-05
是否报告	哪一辖区、哪类事件、何时获知、时限和内容	ROLE-C13-16
是否现场纠正/召回	风险能否通过升级、检查、替换、退回或销毁降低	ROLE-C13-16
是否设计/注册变更	根因控制是否改变安全有效或获准资料	ROLE-C13-02
财务如何反映	收入、退款、应收、库存、预计支出和现金	ROLE-C13-17

11.7 EHS、设施和特殊制造风险

医疗器械制造的EHS取决于具体工艺：机加工、清洗、粘接、涂覆、激光、辐射、环氧乙烷、实验室试剂、生物材料、洁净室、公用系统和危险废物的风险完全不同。本章不提供项目许可结论。典型做法是 EHS-C13-01 工艺—物质—设备—排放—人员—应急清单，由 ROLE-C13-12 结合法定项目事实和属地要求核验。

控制对象	经营上必须知道	不能用什么替代
化学品与生物材料	数量、危害、储存、使用、泄漏和废弃	供应商“安全”一句话
洁净与公用系统	分区、压差、温湿度、用水、气体、监测和报警	一次验收报告
外协灭菌/辐射	装载、剂量/残留、运输、放行和变更	外协商证书复印件
人员职业健康	暴露、PPE、培训、监测和应急	签署免责
废物和排放	分类、暂存、转移、台账和许可	普通垃圾清运合同
设施停机	受影响工序、产品、环境和恢复确认	设备重新启动即生产

11.8 合同、渠道和廉洁风险

医院和公共采购场景通常涉及招标、经销、学术或临床支持、样机、试用、捐赠、培训和售后。内部控制应把商业目的、对象、价格、审批、交付、使用和凭证连起来，并按属地反商业贿赂、招投标、财税和单位制度由专业人员核验。本章不列动态处罚或阈值。

渠道协议至少明确授权产品与地区、价格和库存、标签宣传、追溯、投诉传递、不良事件、现场行动、培训、分包、数据、审计、终止和库存退出。经销商不愿透露最终用户或拒绝传递投诉，是业务和合规双重红旗。

11.9 风险登记册

风险ID	触发	领先指标	控制	恢复	所有者
RISK-C13-01 配置漂移	订单、BOM、标签或软件不一致	手工改配置次数	RA可售基线与系统阻断	冻结、追溯、纠正和变更	ROLE-C13-02
RISK-C13-02 关键供应中断	单一来源、交付或质量恶化	齐套天数、SCAR趋势	风险分层、双源、库存和协议	批准替代或客户重排	ROLE-C13-06
RISK-C13-03 过程失控	参数、环境、量测异常	首过率与漂移	验证、SPC、维护和线清	隔离、调查、再确认	ROLE-C13-08
RISK-C13-04 误放行	记录缺失或越权	放行退回、临时授权	三层放行与权限	冻结库存、追溯已发	ROLE-C13-11
RISK-C13-05 上市后信号漏报	投诉分散或经销商迟报	首响、未知序列比例	单入口、疑似即报、趋势	现场行动、补报和CAPA	ROLE-C13-16
RISK-C13-06 网络与数据	共享高权、未批准云/跨境	异常登录、日志缺口	最小权限、分区、数据地图	隔离、恢复、通知和评估	ROLE-C13-18
RISK-C13-07 现金挤压	验收长、应收、质保金、召回	现金转换与压力情景	合同现金表、信用门	催收、重排、融资方案	ROLE-C13-17

11.10 内审、管理评审与检查准备

内审目标是验证过程有效运行，不是把条款逐条问“有没有文件”。审计样本从风险出发：选一个新产品、一项关键供应变更、一批返工品、一个已放行序列、一条严重投诉、一笔海外交付和一个高权账户，沿对象穿过多系统和岗位。发现要写事实、证据、要求、风险和范围，避免只写“文件不完善”。

正在绘制业务流程…

管理评审输入至少包括审核、监管检查、过程与产品、供应商、投诉和上市后、CAPA、变更、资源、培训、法规标准、财务与现金及上次行动。输出要有决策、所有者、资源、期限和有效性。仅记录“继续加强质量意识”不是可执行输出。

外部检查准备坚持日常可用，不建“检查专用第二套记录”。接待时确认授权和范围，安排事实所有人回答；不猜、不补、不删。无法即时提供的资料登记请求、责任人和预计时间。复印或导出保留清单，涉及个人信息、商业秘密和跨境访问时按合法程序处理，但不能以保密为名妨碍依法检查。

11.11 CAPA有效性与问题升级

纠正解决当前对象，纠正措施消除已发生问题的系统原因，预防性控制应基于风险和趋势。CAPA不是所有问题的唯一容器：小偏差可在偏差流程关闭，重大或重复问题升级CAPA；产品安全风险先采取即时措施，不等待CAPA委员会。

根因假设	证据试验	无效“措施”	有效性观察
操作员未看最新版	查系统调用、培训、现场文件	再培训全部人员	旧版能否被系统阻断、抽样零调用
供应商变更漏报	查协议、通知、采购和来料特征	发警告邮件	关键供应变更提前率和盲测
量测方法不足	重复性、再现性、边界样本	增加终检一次	方法能力、逃逸和假拒趋势
销售过度承诺	查激励、证据包、审批和例外	通报批评销售	承诺偏差与资格门逃逸下降
接口重复过账	重放、幂等键和部分失败模拟	每日人工删重复	压力重放零财务差异

有效性期限必须足以观察原风险。低频投诉不能用一个月“未复发”关闭；可结合装机量、使用次数和同类指标。若措施把问题转移到另一环节，例如终检拦住更多缺陷但工艺不改善，CAPA仍未有效。

11.12 重大事件经营备忘录

重大事件备忘录使用 DECISION-C13-*，第一页只写已知、未知、患者/人员保护、冻结范围、法定时钟、唯一A和下一更新时间；第二页比较方案的风险、证据、数量、收入、成本、AR/AP、现金、产能和恢复；第三页记录决定、反对意见、专业停止门和有效期。数字每次更新保留版本，避免会议中多份表互相矛盾。

重大事件不应由公关先定义事实。客户沟通可以快速，但区分已确认、初步判断和仍在调查；不作无法兑现的绝对保证。对监管、客户、员工和公众的不同信息必须来自同一事实主表，任何修正保留原因和时间。