醫療器械公司為什麼一定要做ISO 14971培訓？從法規、稽核到產品風險一次說清楚
醫療器械公司為什麼一定要做ISO 14971培訓？從法規、稽核到產品風險一次說清楚
ISO 14971是醫療器械風險管理的核心國際標準，現行版本為ISO 14971:2019。它規範企業如何識別危害、估計與評估風險、執行風險控制，並利用生產及上市後資訊持續更新風險管理。
適用對象不只包括醫療器械製造商，也包括IVD體外診斷產品、SaMD醫療軟體、ODM/OEM工廠，以及參與設計、法規、品質、臨床、製造、客訴與上市後監督的人員。
培訓重要的原因，不是為了多取得一張證書，而是讓相關人員能用一致且符合法規的方式判斷風險。風險文件做錯，可能直接影響ISO 13485認證、產品註冊、歐盟CE、美國FDA查廠及產品上市。
ISO 14971培訓是法律明文規定的強制課程嗎？
答案是：法規通常不會直接寫明「每位員工都必須取得ISO 14971培訓證書」，但製造商必須建立有效的風險管理制度，並證明執行人員具備相應能力。
ISO 14971:2019要求製造商建立涵蓋醫療器械全生命週期的風險管理流程，包括危害識別、風險估計、風險評估、風險控制、整體剩餘風險評估及上市後資訊回饋。
ISO 13485則要求企業依教育、訓練、技能及經驗確定人員能力，並保留適當紀錄。因此，負責風險管理的人員如果未接受訓練，也沒有其他客觀能力證據，稽核時很難證明其能勝任工作。
所以更準確的說法是：ISO 14971培訓證書未必是每個市場的獨立法定證件，但風險管理能力及其證據是醫療器械公司不可缺少的要求。
哪些醫療器械公司需要進行ISO 14971培訓？
答案是：只要企業的工作會影響醫療器械安全、性能或法規符合性，就應安排相應層級的培訓。
| 公司或產品類型 | 是否建議培訓 | 培訓重點 |
|---|---|---|
| 醫療器械品牌及法定製造商 | 必須具備能力 | 完整生命週期風險管理 |
| ISO 13485認證企業 | 高度必要 | 品質系統與風險流程整合 |
| 歐盟MDR／IVDR申請企業 | 高度必要 | Annex I、臨床及上市後風險 |
| 美國FDA註冊企業 | 高度必要 | QMSR、設計控制及風險證據 |
| IVD體外診斷產品企業 | 高度必要 | 錯誤結果、使用及性能風險 |
| SaMD醫療軟體企業 | 高度必要 | 軟體失效、資安及可用性風險 |
| AI／ML醫療器械企業 | 高度必要 | 資料、模型、偏差及生命週期風險 |
| ODM／OEM代工廠 | 依責任範圍安排 | 製程、變更及供應鏈風險 |
| 關鍵零件或滅菌供應商 | 建議安排 | 產品安全與製程風險介面 |
| 純經銷商或進口商 | 依市場責任安排 | 客訴、不良事件與上市後回饋 |
即使OEM工廠不負責產品設計，也不能完全排除風險管理。製程變更、材料替換、污染、滅菌、包裝及供應商異常，都可能改變產品風險。
為什麼ISO 13485認證企業不能只做一般風險管理？
答案是：ISO 13485要求在多個品質流程中採用風險導向方法，而ISO 14971提供醫療器械產品風險的完整邏輯。
一般企業常把「風險管理」理解成經營風險、部門風險或SWOT分析，但醫療器械風險管理關注的是患者、使用者及其他人員可能受到的傷害。
如果公司只建立一份形式化FMEA，卻沒有風險管理計畫、危害分析、受益風險分析、整體剩餘風險評估及上市後回饋，通常不足以證明符合ISO 14971。
ISO 13485與ISO 14971有什麼差別？
| 比較項目 | ISO 13485 | ISO 14971 |
|---|---|---|
| 核心目的 | 建立醫療器械品質管理系統 | 管理醫療器械安全風險 |
| 管理對象 | 組織與品質流程 | 產品、危害與傷害 |
| 涵蓋範圍 | 設計、生產、採購、客訴等 | 產品完整生命週期 |
| 主要輸出 | 程序、紀錄及品質系統證據 | 風險管理檔案 |
| 是否可以互相取代 | 不可以 | 不可以 |
| 正確做法 | 將ISO 14971流程整合進ISO 13485 | 由品質系統維持及更新風險管理 |
延伸閱讀建議：ISO 13485品質管理系統如何整合設計開發、客訴、CAPA與上市後監督。
歐盟MDR／IVDR為什麼重視ISO 14971能力？
答案是：歐盟法規要求製造商建立、記錄、執行及維持持續性的風險管理系統。
EU MDR 2017/745 Annex I要求風險管理成為貫穿醫療器械全生命週期的持續迭代流程，而不是產品送審前才製作一次的文件。
製造商需要把風險管理與臨床評估、可用性工程、生物相容性、軟體、資安、標籤、警語及上市後監督相互連結。
歐盟採用的EN ISO 14971:2019/A11:2021還包含與MDR及IVDR對應的歐洲附錄。只熟悉一般版ISO 14971，而不了解歐盟法規差異，技術文件仍可能被公告機構提出缺失。
2026年美國FDA QMSR為什麼提高培訓必要性？
答案是：FDA的Quality Management System Regulation已於2026年2月2日正式生效，並將ISO 13485:2016納入美國醫療器械品質系統要求。
QMSR適用於擬在美國商業銷售的成品醫療器械製造商。FDA也已停止使用原QSIT查廠方式，改用更新後的醫療器械製造商查廠程序。
這代表企業不能再把風險管理只放在設計部門。採購、製程、變更、客訴、不良事件、CAPA及上市後資料，都可能被要求說明與產品風險之間的關係。
FDA甚至可能審查在2026年2月2日前建立的品質系統紀錄。企業若現在才開始培訓，仍應同步回頭檢查既有風險文件及歷史紀錄。
ISO 14971培訓應該教哪些內容才真正有用？
答案是：有效培訓應讓學員能完成一套真實產品的風險管理文件，而不是只介紹條文。
| 培訓模組 | 實務內容 | 建議產出 |
|---|---|---|
| 標準與法規 | ISO 14971、ISO 13485、MDR／IVDR、FDA QMSR | 法規對照表 |
| 基本概念 | 危害、危害情況、傷害、風險及剩餘風險 | 統一術語 |
| 風險管理計畫 | 範圍、責任、方法、準則及審查安排 | 風險管理計畫 |
| 風險分析 | 預期用途、可合理預見誤用、危害與事件序列 | 危害分析表 |
| 風險評估 | 嚴重度、發生概率及可接受準則 | 風險矩陣 |
| 風險控制 | 本質安全、保護措施及安全資訊 | 控制措施與驗證證據 |
| 剩餘風險 | 個別與整體剩餘風險、受益風險分析 | 評估報告 |
| 生產後資訊 | 客訴、不良事件、趨勢、CAPA及PMS回饋 | 風險更新機制 |
| 實際案例 | 以公司產品進行分組演練 | 可使用的文件初稿 |
課程若沒有實際案例，學員往往知道條文，卻仍分不清「危害」「事件序列」「危害情況」和「傷害」，回到公司後依然不會做文件。
ISO/TR 24971與ISO 14971培訓有什麼關係？
答案是：ISO 14971規定「必須做什麼」，ISO/TR 24971協助企業理解「實務上怎麼做」。
ISO/TR 24971:2020屬於指導性技術報告，不是獨立的強制要求，但它對風險政策、危害識別、風險估計、生產後資訊及常見工具提供更詳細解釋。
培訓如果只照讀ISO 14971條文，容易停留在原則層次。將ISO/TR 24971案例與企業產品結合，才比較容易建立可接受、可維護的風險管理檔案。
2026年AI醫療器械還需要增加哪些培訓內容？
答案是：採用AI或機器學習的醫療器械，不能只使用傳統硬體風險分析方法。
ISO於2026年發布ISO/TS 24971-2:2026，提供機器學習醫療器械如何應用ISO 14971的指導，包括AI／ML特有的資料、模型及生命週期風險。
AI醫療器械培訓應增加資料代表性、偏差、模型性能下降、更新控制、人機互動及上市後監測等內容。
需要注意的是，ISO/TS 24971-2:2026不適用於採用大型語言模型或生成式AI的醫療器械。此類產品還需依其技術、用途及目標市場進行額外法規分析。
ISO 14971與FMEA有什麼差別？
答案是：FMEA只是一種風險分析工具，不能取代完整的ISO 14971流程。
| 比較項目 | ISO 14971風險管理 | FMEA |
|---|---|---|
| 性質 | 完整生命週期管理標準 | 分析工具 |
| 主要起點 | 危害及可能傷害 | 失效模式 |
| 是否考慮正常使用 | 是 | 經常偏重失效情況 |
| 是否要求整體剩餘風險 | 是 | 通常沒有 |
| 是否包含生產後回饋 | 是 | 不一定 |
| 能否單獨證明符合ISO 14971 | 可以建立完整架構 | 不可以 |
FMEA可以用於設計或製程分析，但企業仍須補足預期用途、可合理預見誤用、危害情況、受益風險、整體剩餘風險及上市後資訊。
哪些部門應參加ISO 14971培訓？
答案是：不能只派品質部門或一名管理代表參加。
| 人員 | 建議培訓深度 | 原因 |
|---|---|---|
| 高階主管 | 意識與責任培訓 | 核准政策、資源及風險接受準則 |
| 品質保證QA | 完整實務培訓 | 維持程序、檔案及稽核證據 |
| 法規RA | 完整實務培訓 | 連結市場法規與技術文件 |
| 研發與設計 | 完整實務培訓 | 識別危害及設計控制 |
| 生產與工程 | 專業應用培訓 | 製程、設備及變更風險 |
| 臨床與醫學 | 專業應用培訓 | 臨床受益、傷害及剩餘風險 |
| 客訴與售後 | 基礎加應用培訓 | 將市場資訊回饋至風險檔案 |
| 採購與供應商品質 | 基礎加應用培訓 | 管理外包與關鍵供應商風險 |
| 內部稽核員 | 稽核應用培訓 | 判斷流程是否有效落地 |
小型公司可以由同一人兼任數項職責，但仍需要明確證明其能力及授權。
ISO 14971培訓通常需要多久？
答案是：只做標準認知約需一天；要能實際完成文件，通常需要兩至三天。
| 課程類型 | 建議時間 | 適合對象 |
|---|---|---|
| 管理層意識培訓 | 2–4小時 | 高階主管、部門主管 |
| 條文與基礎培訓 | 1天 | 新進人員、跨部門人員 |
| 實務應用培訓 | 2天 | QA、RA、研發、工程 |
| 公司產品工作坊 | 2–3天 | 風險管理團隊 |
| 文件整改與輔導 | 2–8週 | 已有產品但文件不完整的企業 |
實際時間取決於產品風險等級、產品數量、目標市場及現有文件成熟度。高風險、軟體、AI、滅菌或植入式產品通常需要更深入的專業模組。
ISO 14971培訓後應保留哪些能力證據？
答案是：簽到表和培訓證書只是基本資料，還需要證明學員能正確應用。
建議保留培訓教材、課程大綱、講師資格、簽到紀錄、測驗結果、案例演練、能力評估及後續工作成果。
如果學員培訓後仍無法完成危害分析或錯誤使用風險矩陣，公司應安排補訓、實務指導或重新評估。
稽核真正關心的是「誰做了這份風險文件、他為什麼有能力做，以及文件能否經得起產品與法規檢查」。
ISO 14971培訓常見問題FAQ
沒有ISO 14971培訓證書，ISO 13485一定會開缺失嗎？
不一定只因為沒有證書就直接開缺失。但如果企業無法提供培訓、經驗、資格或工作成果等能力證據，而且風險文件又存在明顯錯誤，極可能形成培訓能力或風險管理方面的不符合。
只讓品質主管參加培訓可以嗎？
不建議。風險管理需要研發、品質、法規、生產、臨床及上市後人員共同提供資料。只由品質主管製作文件，容易與實際產品設計及市場資訊脫節。
沒有設計開發的OEM工廠也要學嗎？
需要依責任範圍安排。OEM工廠至少要了解製程、材料、設備、污染、包裝、供應商及變更如何影響產品風險，並知道何時需要通知客戶或法定製造商。
ISO 14971課程難度高嗎？
概念本身不難，難點在於把標準轉換成產品實例。如果課程使用企業自己的產品、客訴及製程案例，通常兩天可以建立基本能力；複雜軟體、AI、IVD或高風險產品則需要額外專業訓練。
線上培訓有效嗎？
有效，但要有互動、測驗及案例演練。如果目標只是建立基礎認知，線上培訓即可；如果需要完成公司實際風險管理檔案，現場或小班工作坊通常更有效率。
培訓費用如何計算？
費用通常依人數、課程天數、線上或現場、授課語言、產品複雜度及是否包含文件工作坊決定。標準公開班、企業內訓及「培訓加文件輔導」的工作量差異較大，建議先確認產品、目標市場與學員背景後再報價。
完成培訓就能通過CE或FDA審查嗎？
不能保證。培訓是建立能力的起點，產品仍需具備完整且一致的風險管理檔案、驗證證據、臨床或性能資料，以及上市後監督機制。
舊版ISO 14971培訓需要重新上課嗎？
如果企業仍使用ISO 14971:2007或更早版本，建議重新培訓。如果已接受ISO 14971:2019培訓，可以透過差異培訓、年度複訓或案例工作坊更新能力。AI／ML醫療器械還應增加ISO/TS 24971-2:2026相關內容。
下一步如何執行？
第一步，確認公司的產品類型、風險等級、目標市場及目前採用的ISO 14971版本。
第二步，盤點風險管理程序、計畫、分析報告、風險控制、剩餘風險、客訴、CAPA及上市後監督之間是否一致。
第三步，依職責安排分層培訓。管理層掌握責任與資源，執行人員接受完整實務課程，相關部門完成基礎及介面培訓。
第四步，以一項真實產品進行工作坊，直接建立或修訂風險管理文件。培訓完成後，再透過測驗、案例及實際工作成果確認能力。
ODI MORGAN服務推薦
ODI MORGAN可依醫療器械公司的產品、目標市場及現有管理系統，提供以下服務：
ISO 14971:2019條文與實務培訓
ISO/TR 24971:2020應用培訓
AI／ML醫療器械風險管理培訓
EU MDR／IVDR風險管理差異培訓
美國FDA QMSR與ISO 13485整合培訓
醫療器械風險管理程序與表單建立
危害分析、FMEA及受益風險工作坊
風險管理檔案差距分析與整改
ISO 13485認證前風險文件預審
中、英、越文企業內訓與線上培訓
企業可先提供產品說明、預期用途、產品分類、銷售市場及現有風險文件。
ODI MORGAN將協助判斷適合的課程深度、參訓部門與文件工作範圍，讓培訓結果能直接用於ISO 13485認證、產品註冊及客戶稽核。
