ICH Q9已经发布很久了，现在很多企业仍不知道如何开展这方面的工作或者在实施的工作中遇到很多的问题，这里简单地发表一些个人的观点：

I 风险管理的法规依据：FDA早在2002年就发布了“21世纪cGMP------一种基于风险的方法”，首次正式提出在制药行业中运用风险管理方法，而在ICH Q9发布不久，欧盟就将风险管理加入到了其GMP的法规中（附录20）。

II 风险管理包括的内容：一般倾向于将整个风险管理过程（注意：风险管理是一个持续的过程）分为三个部分，即：风险评估（Risk Assessment），风险控制（Risk Control）和风险回顾（Risk Review）。

III 风险评估这是风险管理过程的第一步，一般包括风险识别（Risk Identification），风险分析（Risk Analysis）和风险评价（Risk Evaluation）三个部分。风险识别是指确认工艺，设备，系统，操作等等中间存在的风险，简单说就是指出风险在哪里；风险分析是指对指出的各个风险进行分析，一般会分析每个风险的严重性（Severity）以及发生的可能性（Possibility）；然后在风险评价中结合风险的严重性和可能性得出一个风险的等级。在风险等级的划分中，每个公司有自己的做法，可以分为高，中，低；也可以分为1，2，3，4....
IV 风险控制一般包括风险降低（Risk Reduction）和接受风险（Risk Acceptance）两个部分。风险降低是指针对风险评估中确定的风险进行改进，并降低风险。接受风险是指考虑到风险等级和降低风险所需的成本两个方面，从而设定一个可以接受的风险等级，一旦风险降低至该等级，就接受该风险而不用再采取更严格的措施进一步降低风险（因为理论上风险是不可能降为零的）。举个例子：比如上面确定的称量风险，可以通过SOP的应用，操作人员的培训及第二人核对制度（甚至可以采用计算机自动称量系统）而将风险发生的可能性降为低或很低（如计算机系统经过验证，甚至可以认为可能性是零），这样综合风险的严重性和可能性，该称量风险就会降为中或低。（有时中等的风险也可以接受的，不过需要在后期的风险回顾中仔细监控）
其中的难点是制定什么样的风险接受标准，这需要相当的经验以帮助判断。因为风险的接受意味着接受对产品的风险，所以一定要慎重。当然也可以通过后面的实际生产和操作来进行调整。

V 在风险控制与最后的风险回顾中间一般会包括一个风险交流（Risk Communication）的步骤，是指在采取了风险控制措施以后，需要通过实际的生产或操作来检查上述风险控制的措施是否有效，是否可以将风险降低至预期的等级。

VI 风险回顾：是指通过一段时间的运行，需要对整个系统的风险进行审核，因为之前采用的风险控制措施也许没有效果，也或许工艺或设备等发生了一些变更，从而需要对整个过程进行再评估（当然，这里的工作量是相对少的），甚至如果变更是个很重大的变更，应该在变更执行完以后就立刻开始风险回顾的工作。
综上所述，风险管理是一个连续的工作，不是说做完就扔在一边不管了，需要长期的跟踪和回顾，当然如果你按照良好的规范来进行，那么后期的工作将会越来越少，风险也会越来越低。
至于风险管理应该从哪里开始，个人认为可以从验证主计划的完成开始，然后在IQ，OQ，PQ及工艺验证中核对风险控制措施的有效性，在工艺验证结束后进行风险回顾，然后是定期或变更后的重新评估等。（当然，这里的灵活性较大，主要看工艺，系统，设备或操作的复杂性）。