“变更是万恶之源。”

在新版《医疗器械生产质量管理规范》的官方解读会上，国家药监局医疗器械监督管理司监管一处的李一捷处长，用这句在业内管代中流传甚广的“金句”，点明了本次修订的核心关切之一。

变更，是企业在运营中无法避免的动态。从原料替换、工艺优化，到设备升级、软件迭代，任何旨在提升效率、降低成本或适应市场的改动，都可能如蝴蝶振翅，在复杂的质量体系中引发难以预料的连锁反应。

“任何设计原材料生产工艺方面的变更，都有可能影响到最终医疗器械产品的安全性和有效性。”李一捷处长在解读中强调。

与2014版规范相比，2025版新GMP对“变更控制”的要求发生了深刻转变。它不再是某一个章节下的孤立条款，而是演变为一套贯穿设计开发、采购、生产、验证、委托生产等全流程、全要素的系统性工程。

理解并构建这道针对“万恶之源”的防火墙，已成为所有IVD企业在新规下生存与发展的必修课。

无处不在的变更

在新规的官方解读中，一个显著的感受是：“变更”这个词出现的频率极高，且散落在各个章节。

“到这里为止，我们讲了几个变更了？如果我没记错，我至少应该讲了三个变更了。”李一捷处长在解读第九章“验证与确认”时专门提及，“第一个就是第十条的变更的总体要求，然后第五十六条的设计开发变更的要求，还有刚才在采购环节中讲到了供应商管理中对于变更的相关要求。那么到了第九章，我们依然在谈具体的质量控制活动中的变更要求，可见变更管理是多么的重要。”

这种“分散”绝非偶然，而是立法逻辑的体现。2014版GMP仅在“设计开发”章节提到了“变更”一词。而新规中，“变更控制”在第二章“质量保证”中被确立为一项总体要求，并像一条主线，串联起后续多个关键质量控制活动。

“变更控制在这里也是一个总体要求，他引领了7、8、9、12章节中关于变更管理的具体条款。”李一捷处长解释道。这意味着，企业必须建立一个顶层的变更控制理念，并将其具体化到设计开发、采购、生产、验证及委托生产的每一个环节。

这种“总分结构”的设计，迫使企业必须用系统化、全局化的思维去看待任何细微的改动，而不能“头痛医头，脚痛医脚”。

十大“变更”防控点

基于李一捷处长的系统解读，我们梳理出新GMP中明确涉及“变更控制”要求的十大关键节点，它们共同构成了一张从内部到外部、从硬件到软件的立体防控网。

1、总则性要求：变更控制的“宪法”

第十条：企业应当建立变更控制程序，根据变更对医疗器械安全性、有效性和质量可控性影响的风险程度和相关法规要求，确定变更管理类型，对变更进行评审，在实施前得到相应批准。必要时，应当对变更进行验证、确认。

这是所有变更管理的总纲。核心在于“基于风险”。企业必须首先建立一个变更控制程序，并根据风险高低对变更进行分类管理，高风险的变更必须经过更严格的评审、验证和批准。

2、设计开发变更：产品之“源”

第五十六条：企业应当对设计开发变更进行识别并评估变更影响。必要时，应当对设计开发变更进行验证、确认，并在实施前得到批准。

设计是产品质量的源头。此条款要求对任何设计更改进行严格的影响评估，确保变更不会引入新的风险或导致产品偏离既定要求。这是防止“设计缺陷”流入生产环节的关键闸口。

3、采购与供应商变更：失控的“外源风险”

第六十八条：企业应当要求供应商提前告知关键原材料生产条件、规格型号、图样、生产工艺、质量标准和检验方法等发生的变更。企业应当评估变更对产品质量影响的范围和程度，必要时采取措施并对供应商进行现场审核。

这是一个极为重要的新增条款。李一捷处长指出：“变更，我们管代们经常会说变更是万恶之源，你体系内部发生的变更，你对它进行控制，相对来讲都还要去提起重视，更何况是发生在你体系控制之外的这些变更，它本身的风险不可预知和它不可控性就会更强。”

这意味着，IVD企业必须将关键原料（如抗原、抗体、酶、磁珠）供应商的变更，纳入自身的严格管控体系，建立主动告知和联合评估机制。

4、验证与确认中的变更：人、机、料、法、环、测

第七十四条：关键原材料、生产环境、生产工艺、主要生产和检验设备、检验方法等影响产品质量的主要因素发生变更时，企业应当进行验证或者确认。

这是对“生产要素”变更的集中规定。任何可能影响产品质量的“生产要素”发生变化，都不能直接实施，必须通过验证或确认来证明变更后的状态仍然能够持续生产出合格产品。

5、生产因素的变更：需注册/备案的“重大变更”

第七十四条还明确：需要进行注册变更、备案变更或者生产事项变更报告的，应当按照相关要求完成。

此条将质量体系内部变更与监管法规要求直接挂钩。企业需准确识别哪些变更是需要向药监部门申报的，确保体系合规与法规合规同步。

6、软件变更：数字化下的隐形风险

第七十七条：设计开发、生产、检验、仓储等过程中采用的计算机软件对产品质量有影响的……软件确认至少包括首次使用前的确认、更改后必要的再确认等。

随着IVD企业数智化转型，LIMS、MES等系统广泛应用。软件的任何“更改”，包括功能升级、BUG修复，都可能影响数据完整性和产品质量。新规要求对此类变更进行基于风险的再确认。

7、偏差与变更的联动：从纠正到预防

第八十七条（偏差处理）与第一百二十五条（纠正预防措施）虽未直接出现“变更”二字，但逻辑紧密相连。偏差调查可能导致流程、方法等变更，而纠正预防措施的实施本身就是一种变更，且“措施应当与问题影响程度相适应，且经验证无不良影响”。

这要求企业建立偏差、CAPA与变更管理的联动机制，确保改进措施本身是安全、受控的“变更”。

8、委托生产中的变更：双向沟通与联合评估

第一百一十二条：委托方设计变更、采购变更等应当及时通知受托方，并监督其执行变更要求；应当采取有效措施，确保及时获知受托方发生的可能影响产品质量的变更，并与受托方开展联合评估。

在委托生产模式下，变更管理复杂度倍增。此条款明确了委托方和受托方在变更信息沟通、传递、执行和反馈上的双向责任，防止因信息断层导致质量体系脱节。

9、文件与记录变更：可追溯性的基石

第四十五条：记录必须更改时，应当注明更改理由、更改人员和日期，原有信息清晰可辨。

李一捷处长特别强调，新增“注明更改理由”是为了解决检查中经常发现“记不清为何而改”的问题，确保任何记录（包括电子记录）的更改本身是可追溯、可审计的，这本身也是一种特殊的变更控制。

10、质量风险管理回顾：变更有效性的“回头看”

第十三条：企业应当收集产品全生命周期质量风险信息，定期实施质量风险管理回顾，确保质量风险管理措施持续有效。

所有针对风险实施的变更控制措施，其长期有效性如何？需要通过定期的风险回顾来评价。这是一个闭环，确保变更不是“一变了之”，而是持续受控。

从“被动应对”到“主动防控”

通过梳理上述十大要点，可以清晰看到新GMP在变更管理上的监管逻辑升级：

首先，是要基于风险，分级管理。

不再“一刀切”，要求企业根据变更对产品安全有效性的影响程度，自行判定变更类型并采取相应控制措施，这赋予了企业更大的自主权，也提出了更高的风险管理能力要求。

其次，要强调验证，用数据说话。

无论是生产要素变更还是软件变更，“必要时进行验证、确认”是高频要求。监管希望看到的是客观证据，而非主观承诺。变更的合理性必须通过科学的数据来证明。

然后，是记录升级，追溯到底。

记录更改必须写明“理由”，这看似细微，实则直击许多企业质量记录的“形式主义”弊端，要求每一次改动都必须“师出有名”，经得起回溯调查。

接下来，要内外兼修，全域覆盖。

防控范围从企业内部延伸到关键供应商，从实体生产要素扩展到虚拟的软件和数据，从注册人延伸到受托生产企业，形成了全域、全要素的变更控制视野。

最后，必须闭环管理，持续改进。

变更管理与偏差、CAPA、风险回顾、管理评审等环节紧密联动，形成“识别-控制-验证-回顾”的PDCA循环，使变更管理成为推动质量体系持续改进的核心引擎。

构建防火墙

面对新规布下的天罗地网，IVD企业当务之急是重构自身的变更控制体系，构建真正的“防火墙”。

第一，全面识别与风险评估。立即对企业所有活动进行梳理，识别出所有可能触发“变更”的环节，不仅包括传统的工艺、物料、设备，更要涵盖软件、数据、供应商、委托生产等。并对每类变更进行初步的风险评估，确定其管理类型和等级。

第二，建立分级的变更控制程序。依据新规第十条的总要求，制定或修订本企业的《变更控制管理程序》。程序必须明确变更的申请、评估、审批、实施、验证/确认、效果跟踪的全流程，并针对不同风险等级的变更，规定不同的评审层级、验证要求和批准权限。

第三，将供应商变更管理纳入核心。立即与所有关键原材料供应商沟通，在质量协议中明确供应商的变更告知义务，并建立对应的评估、审核（必要时现场审核）和批准流程。将供应商变更视为“内部变更”一样进行严格管理。

第四，高度重视软件与数据变更。对所用软件（包括生产、检验、仓储管理软件）进行盘点和风险评估，建立软件清单和变更控制流程。任何软件的更新、升级、配置更改，必须经过评估和必要的确认。同时，强化电子记录的管理，确保其更改的权限控制和痕迹可溯。

第五，在委托生产中建立清晰的变更沟通链。无论是作为委托方还是受托方，都必须在协议中细化变更管理的条款。建立日常沟通机制，确保任何一方的变更都能及时、准确地传递，并经过双方联合评估后协调执行，防止出现管理真空。

“医疗器械产品的特性是由设计来去决定的，即使是在完成设计之后，产品在投入生产后跟设计相关，跟生产相关的诸多的变化，也会引入新的风险。”李一捷处长的总结意味深长。

写在最后

变更本身不是“恶”，失控的变更才是“万恶之源”。新GMP用一套环环相扣、贯穿始终的条款，倒逼企业必须建立系统性的变更管理思维和能力。

对于IVD企业而言，这不仅是合规的代价，更是构建核心竞争力、实现高质量发展的契机。谁能率先筑起这道智能、坚固的“防火墙”，谁就能在未来的市场竞争中，更从容地应对变化，更稳健地保障患者的生命安全。

来源：诊断科学