ماذا تتطلب ISO 14971 من إدارة المخاطر للبرمجيات الطبية؟

عملية مستمرة بدلاً من FMEA لمرة واحدة

تصف ISO 14971:2019 إدارة المخاطر من فكرة المنتج الأولى حتى إيقاف التشغيل. بالنسبة للبرمجيات الطبية، يعني ذلك: لا يتم جمع المخاطر فقط قبل وضع علامة CE، بل يتم ربطها بالمتطلبات، والهندسة المعمارية، والاختبارات، والتغييرات، والأمن السيبراني ومراقبة السوق. يتطلب الملحق I رقم 3 من MDR أيضًا نظام إدارة مخاطر مستمر وتكراري لكل منتج.

في البداية، يوجد خطة إدارة المخاطر. تحدد المسؤوليات، وخطوات الفحص، ومعايير قبول المخاطر، وطرق التقييم، بالإضافة إلى جمع وتحليل بيانات الإنتاج وما بعد السوق. يجب تحديد المعايير قبل التقييم؛ لا تذكر المعايير عمدًا قيمة رقمية مقبولة عالمياً.

من الخطر إلى المخاطر المتبقية

تشمل العملية الأساسية وفقًا لـ ISO 14971:2019:

1. وصف الاستخدام المقصود والاستخدام غير الصحيح المتوقع بشكل معقول،
2. تحديد الميزات المتعلقة بالسلامة والمخاطر،
3. نمذجة حالات الخطر والأضرار المحتملة،
4. تقييم المخاطر بناءً على المعايير المحددة،
5. اختيار وتنفيذ تدابير التحكم في المخاطر والتحقق من فعاليتها،
6. تقييم المخاطر الفردية المتبقية والمخاطر المتبقية الإجمالية،
7. إذا لزم الأمر، موازنة الفوائد والمخاطر المتبقية،
8. تقييم معلومات الإنتاج وما بعد السوق بشكل مستمر.

تبدأ تسلسل الضوابط بتصميم آمن بطبيعته. بعد ذلك تأتي تدابير الحماية وأخيرًا معلومات السلامة. بالنسبة للبرمجيات، قد يعني ذلك على سبيل المثال: منع الحالات الخطرة من خلال التصميم، والتحقق من صحة المدخلات، وإنشاء مستوى أمان احتياطي، والتواصل بوضوح حول القيود المتبقية. لا تعوض التحذيرات عن أي تقليل محتمل للمخاطر.

تتبع المعلومات يجعل السجل موثوقًا

يجب أن تكون كل ضابطة قابلة للتتبع إلى الخطر المعني، ومتطلب، وإثبات التحقق. يمكن أن تؤدي المعلومات الجديدة من الدعم، والثغرات الأمنية، وتقارير الأخطاء أو الاستخدام السريري إلى تغيير التقييم الأصلي ويجب أن تعود إلى سجل المخاطر، والاختبارات، وأي تقييم سريري ومعلومات الاستخدام.

في الاتحاد الأوروبي، تم إدراج EN ISO 14971:2019 بما في ذلك A11:2021 كمعيار موحد. تطبيقها طوعي؛ يمكن أن توفر افتراض الامتثال لمتطلبات MDR المغطاة. لا تحل محل MDR ولا تقييم المنتج المحدد، لكنها تقدم إطار عملية معترف به.