【转讨论贴】剖析质量风险管理实施过程中的几大误读

清歌一曲月如霜

1、ICH Q9对风险的定义的误读
ICH Q9中对风险的定义：“Risk:The combination of the probability of occurrence of harm and the severity of that harm (ISO/IEC Guide 51).”翻译成中文的意思是“风险是危害发生的可能性与危害的严重性的组合”，这一定义自从2005年11月9日ICH Q9 第四步发布后被大量应用于各种场合，包括后续的法规指南文件、各种培训课程等，然而居然没有人对此定义提出过异议，仅从字面上这句话没有任何问题，风险的确是危害发生的可能性与危害的严重性的组合，但是如果从名词释义的角度上来讲，这个定义却存在很多问题，首先仅从语法上来看，风险是...组合，本身这种定义方式就有问题。这句话本来的含义是风险主要有两个要素组成，危害的严重性和发生的可能性，但是它作为定义却很牵强。让我们再来看看ISO 31000 2009中关于风险的定义：“risk ：effect of uncertainty on objectives”，翻译成中文的意思是“风险是不确定性对目标的影响”。再看下其语法：风险是...影响。仅从语法上看，这个定义更加恰当。
虽然看似这只是一个风险定义的问题，但是从实施风险管理的角度来讲，ICH Q9对于风险定义的误读或者说是不清晰其实影响还是比较深远的。ICH Q9作为一个对制药行业几乎奉为圣经的实施质量风险管理的最基础最重要的指南文件，在制药行业几乎没有人会对其内容尤其是定义性的内容产生怀疑，尤其是在国内制药行业更加会对其内容深信不疑。但是正是这种不敢或者根本想不到要去质疑的普遍性导致了大家对于实施质量风险管理时的种种误区或困惑。
风险是危害严重性和发生可能性的组合，看起比较清晰的定义实际上在一定程度上误导了很多人。虽然这个定义本身没有错，但是对实施风险管理来说，这种定义是远远不够的，它只是一种对于风险的机械的解释，或者说只是告诉了风险的计算公式，而并没有告诉风险到底是什么，也就是说他告诉了我们Y=X*Z，但是并没有告诉我们Y到底是什么？
风险到底是什么？其实在现有的很多行业的规范性文件中都有描述，从目前的各种定义来看，ISO 31000 2009对于风险的定义是得到了普遍的认可的。即风险是不确定性对于目标的影响。这其中有三个要素：目标、不确定性和影响。
仅从心理学的角度讲，风险其实是人对于事物的影响的一种主观认知，风险虽然是客观存在的，但是却又只是人的一种主观认知。也就是人对于风险的认知必然是主观的，风险不存在着有无的问题，只有高低之别。风险的高低则取决于人对于其接受程度，如果拓展至组织，则是组织对风险的接受程度。
综上，我们要想在企业更好地实施质量风险管理，要让风险管理在企业中发挥更有效的作用，首先就需要正确理解风险的定义，而不能迷信于或者叫做不能满足于ICH Q9中对风险的定义，然后再去对风险管理在企业中的地位进行正确的定位，逐步明确其基础型作用，只有如此才能真正发挥好风险管理的作用。



CH Q9的定义，打个比方，就像定义一头大象，它的定义就好像是说大象是四条腿加一个身子、一个头加两只大耳朵再加一条尾巴的组合体，而没有首先说明大象是什么什么动物。ICH Q9中对于风险的定义的问题就在于这，它告诉了我们风险是由危害的严重性和发生可能性组成的组合，然而却没有像先说明大象是动物这样的最基本信息。而ISO 31000 2009 中对风险的定义相对来说就更加严谨，风险是不确定性对于目标的影响，首先它向我们明确了风险是一种影响，然后再告诉我们是什么影响，如果还要更进一步就到了风险是有危害的严重性和发生可能性组成的。
之说以说ICH Q9中对于风险的定义有问题，就在于这里，它其实并没有告诉我们风险到底是什么？而是直接告诉了我们风险怎么得出或者怎么计算出的，这就让对于风险的概念没有什么基础的人很难更好地理解风险。



2、对正式和非正式风险评估的误读
在企业实施风险管理时，常常会有人提出正式和非正式风险评估的两种开展形式，那么什么是正式地风险评估，什么是非正式地风险评估呢？什么情况下采用正式地风险评估，什么情况采用非正式地风险评估呢？其实在这个问题上目前许多人还存在误解。
首先我们来看看什么是正式和非正式吧，正式的含义是合乎一定的标准或程序，也就是按照一定的标准或SOP或流程开展的；非正式的含义则是非正规的不需要按照一定的标准、SOP或流程来开展。推及风险评估的开展形式，则是参照既定SOP、标准或流程开展的风险评估就是正式的风险评估，而没有参照既定SOP、标准或流程开展的风险评估就是非正式的风险评估。
再来看看GMP中要求的风险管理吧，既然是GMP明确要求的风险评估，那么从某种意义上讲这类风险评估是需要符合GMP的基本原则的，GMP的基本原则其中就有“写我要做的、做我所写的、记我所做的”，推及对风险评估的要求就是风险评估应该按照既定的操作规程开展，并做好记录。从这个角度讲，符合GMP的风险评估就是需要按照既定的操作规程开展的风险评估，即正式地风险评估。
最后我们来看看我们目前对于正式和非正式地风险评估的一些误读，我们常常会脱口而出，我们按照GMP的要求进行了正式和非正式地风险评估......其实这是一种对于正式和非正式风险评估的误读。如果要符合GMP，我们做的风险评估就必须是正式的。
至于那些所谓的非正式地风险评估虽然在整个风险管理体系中也是相当重要的，但是并不符合GMP的基本原则，切忌以风险评估可以采用正式和非正式地方式开展而在GMP实施过程中过多地采用非正式地方式。



3、对风险控制措施中严重性是否能够降低的误读
在风险评估的流程中有一个很重要的步骤：风险控制，在制定风险控制措施时，现在很普遍的一种观点是要从风险三要素中发生可能性和发现可能性（可检测性）入手降低，而风险的严重性是无法降低的。这种观点前半部分其实是没有什么问题的，的确制定风险控制措施，绝大部分情况下都是从发生可能性和发现可能性两方面入手去降低风险，但是对于风险的严重性是否可以降低这个问题，还是存在误读的。相对而言，风险的严重性一般无法降低这种说法可能更加准确一点，为什么？
首先来看我们对于风险的共识：风险是客观存在的，不存在着有无，只有高低。大家对于这种观点都是普遍认同的。如果将这个观点推及至风险的严重性，其实也是同样的道理，风险的严重性不存在有无，只有高低，既然客观存在高低，那么从逻辑上讲就有降低的可能性。
再来看一下风险评估的标准，实施上我们在评估风险时通常会对风险的三个要素（严重性、发生可能性和可检测性）或者两个要素（严重性和可能性）制定高低的标准，先姑且不看如何定这个标准，但是事实上，我们已经对风险的严重性进行了高低的分级，既然已经有分级，那么也就是客观上已经承认了风险的严重性是有高低的等级，既然有高低的等级，那么从逻辑上讲就有降低的可能性。
最后来看看我们什么时候需要针对风险的严重性采取风险降低措施吧。事实上在我们制定风险控制措施的时候，有一些风险制定了针对发生可能性、可检测性的风险控制措施，可能评价出来的风险等级还是很高，这其中可能是因为风险严重性太高、发生可能性太高抑或可检测性太低，但是不管什么原因，最后的结论可能就是风险无法接受。在这种情况下，处理方式可能有两种，一种是拒绝风险，也就是讲发生可能性降低至0，另外一种可能性就是改变设计，降低风险的影响程度。举个比较常见的例子，如汽车的安全气囊，就是用来降低车祸发生时的危害的严重性的。
所以风险的严重性是可以降低的，只是一般在制定风险控制措施的时候首先不考虑降低风险严重性而已。

清歌一曲月如霜

风险是一种客观的存在，对于个人来说是一种主观的认知，其实并不存在发生了才叫风险抑或没有发生才叫做风险这个问题。如果要从时态上来看风险，风险本身就有三种时态：过去、现在、将来。
如果要归纳成问题的话就是：某种风险过去发生过吗？（可以计算发生概率）某种风险现在发生了吗？（可以测量发现概率）某种风险未来会发生吗？（可以估计发生可能性）会造成什么影响？（影响严重性）
从这个角度来看，风险的定义是不用考虑是否已经发生的，只是发生概率的问题，已经发生了，可能发生概率和发现概率会高点，没有发生可能概率会低点或者发现概率低。

清歌一曲月如霜

风险包括未发生的风险，和已经发生的风险。
原因有三
1-风险控制的目的是将风险降低到可接受水平以下，而不是彻底消除为零。
既然这个原则成立，那么即使采取了风险控制措施，风险发生的可能性是存在的。实际上，也是有很多案例的。
2-2010版GMP
第十三条 质量风险管理是在整个产品生命周期中采用前瞻或回顾的方式，对质量风险进行评估、控制、沟通、审核的系统过程。
回顾的方式，应该用于已发生的风险问题。
3-EU GMP
1.12 Quality risk management is a systematic process for the assessment, control,communication and review of risks to the quality of the medicinal product. It can be applied both proactively and retrospectively.

青城/怒云

清歌一曲月如霜 发表于 2014-9-17 18:23
风险包括未发生的风险，和已经发生的风险。
原因有三
1-风险控制的目的是将风险降低到可接受水平以下，而 ...

ICH风险说得够详细
国内也出版了相关风险管理的书
主要在执行
概念不是太重要

清歌一曲月如霜

青城/怒云 发表于 2014-9-17 18:35
ICH风险说得够详细
国内也出版了相关风险管理的书
主要在执行

理论缺乏实际

LK8275610

风啊风，疯啊疯，木意思

清歌一曲月如霜

LK8275610 发表于 2014-9-17 19:51
风啊风，疯啊疯，木意思

百度说：风险，就是生产目的与劳动成果之间的不确定性，大致有两层含义：一种定义强调了风险表现为收益不确定性；而另一种定义则强调风险表现为成本或代价的不确定性，若风险表现为收益或者代价的不确定性，说明风险产生的结果可能带来损失、获利或是无损失也无获利，属于广义风险，所有人行使所有权的活动，应被视为管理风险，金融风险属于此类。而风险表现为损失的不确定性，说明风险只能表现出损失，没有从风险中获利的可能性，属于狭义风险。风险和收益成正比，所以一般积极进取的投资者偏向于高风险是为了获得更高的利润，而稳健型的投资者则着重于安全性的考虑。

LK8275610

清歌一曲月如霜 发表于 2014-9-17 20:01
百度说：风险，就是生产目的与劳动成果之间的不确定性，大致有两层含义：一种定义强调了风险表现为收益不 ...

，不接地气啊，活不好啊；
应付为主，何来效果

毒手药王邓智先

看看，

syhorchid

风险管理，已入歧途。

下一站幸福

值得讨论的话题{:soso_e179:}

冰城

不知道风险的严重性如何降低，纯理论的评论和想法无意义。
在讨论风险的降低时，一个很重要的前提时，降低风险的消耗和投入不应大于风险自身产生的成本，所以，可以让作者好好谈谈，而不是空谈。

幻影

前面有人发过了吧。

清风无嗔

太复杂了

囊萤映雪

还有不少误读

西岭飘雪

谢谢分享！！！！！！！！

青翼蝠王

学习风险。。。。。