GMP System Risk Assessment with FMEA shows how to validate the right functions and defend the decision before an auditor.
- FMEA should connect failure modes to patient safety, product quality, data integrity and detectability.
- Risk controls must translate into requirements, test cases, procedural controls, monitoring and periodic review.
- The article helps teams avoid risk assessments that look complete but do not change validation scope or control design.
Đọc theo cụm: CSV dược phẩm: validation lifecycle theo GAMP 5, IQ OQ PQ và risk asse
Risk Assessment hệ thống GMP là công cụ quyết định test bao nhiêu là đủ cho computerized system, LIMS, MES, SCADA hoặc module tính toán có tác động GxP.
Nếu điểm S-O-D được chấm theo cảm tính, toàn bộ validation scope phía sau mất khả năng defend trước auditor. ICH Q9(R1) yêu cầu QRM có logic, đúng người tham gia và kiểm soát subjectivity.
Bài này phân tích cách dùng FMEA theo ICH Q9(R1) và GAMP 5 để nối failure mode, RPN, controls, RTM và test case thành một hồ sơ defensible.
Đánh giá rủi ro (Risk Assessment) là nền tảng để quyết định test scope tỷ lệ với rủi ro thực tế của hệ thống. Nếu chưa quen ba giai đoạn thẩm định, xem IQ OQ PQ là gì trước khi vào FMEA.
Nó tạo documented rationale để defend validation scope trước auditor trong suốt lifecycle.
Bài này giúp anh/chị:
- Phân biệt risk assessment thật với paperwork làm sau validation
- Chấm Severity, Occurrence và Detection dựa trên evidence
- Kết nối FMEA với RTM, IQ/OQ/PQ và test case cụ thể
- Nhận diện trigger bắt buộc phải review lại risk assessment
- Defend scope testing bằng documented rationale thay vì cảm tính
Risk Assessment Không phải “Nghi lễ” sau khi Xong Việc
Phần này giúp QA nhìn ra rủi ro, bằng chứng và tiêu chí defend khi inspector hỏi sâu.
Lưu ý trạng thái pháp lý: Các nhận định GMP trong bài được đối chiếu trực tiếp theo 21 CFR Part 11, 21 CFR 211.192, 21 CFR 211.68, EU GMP Annex 11.
Nhiều tổ chức thực hiện risk assessment sau khi đã validation xong — để “hợp thức hóa” những gì đã làm. Đây là sai lầm về chronology làm vô hiệu hóa toàn bộ giá trị của risk assessment.
ICH Q9(R1) 2023 — revision quan trọng nhất kể từ ICH Q9 gốc, được finalized tháng 1/2023 với focus mới vào kiểm soát tính chủ quan (subjectivity): người ra quyết định cần “assure that subjectivity in quality risk management activities is managed and minimized” (§4.1), và khi lập nhóm, nhóm nên gồm “experts from the appropriate areas” — quy định rõ: risk management phải là một “systematic process” áp dụng trong toàn bộ lifecycle, không phải một-time activity.
ICH Q9(R1) được thông qua ở Step 4 ngày 18/01/2023 và đưa kiểm soát tính chủ quan thành điểm chính của QRM. GAMP 5 Second Edition (2022) bổ sung critical thinking, sự tham gia của nhà cung cấp và việc điều chỉnh khối lượng thẩm định theo rủi ro.
Thực hiện risk assessment trước khi bắt đầu validation mang lại ba lợi ích không thể thay thế. Thứ nhất, nó xác định test scope proportionate với risk — test nhiều ở chỗ cần, test ít ở chỗ không cần, không test uniform. Thứ hai, nó tạo ra defensible documented rationale cho mọi scope decision — khi inspector hỏi “tại sao anh test kỹ phần này?”, câu trả lời đến từ risk assessment, không phải từ judgment cá nhân.
Thứ ba, nó identifies residual risks sau khi controls được implemented — inspector cần biết rằng nhà máy hiểu remaining risks và có monitoring plan tương ứng.
ICH Q9(R1) 2023 — 6 Thay đổi Cốt lõi so với ICH Q9 Gốc
ICH Q9(R1) không phải là revision nhỏ — đây là structural update với 6 chủ đề lớn: kiểm soát subjectivity trong risk scoring, tăng cường quản lý product availability risks (§6.1: phòng ngừa thiếu thuốc phát sinh từ sự cố chất lượng/sản xuất), làm rõ khái niệm formality (mức độ rigour phải tương xứng với level of risk), củng cố risk-based decision making, đổi tên “Risk Identification” thành “Hazard Identification” để phản ánh đúng bản chất cần xác định hazard trước, và bổ sung làm rõ vai trò của detection controls: dù detectability không phải yếu tố riêng trong mọi phương pháp, kiểm soát phát hiện vẫn quan trọng vì giúp giảm xác suất xảy ra harm (§5).
Mỗi thay đổi này có implication trực tiếp cho cách tổ chức document và justify risk assessment trong hồ sơ thẩm định.
Phương pháp FMEA: Hiểu đúng về S, O và D để Không Chấm Sai
Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.
FMEA (Failure Mode and Effects Analysis) là công cụ risk assessment phổ biến nhất trong pharmaceutical GMP, được ICH Q9 explicitly nhận diện là primary risk assessment tool bên cạnh Fault Tree Analysis và HACCP. Framework yêu cầu, với mỗi potential failure mode: xác định failure mode (điều gì có thể sai?), xác định effect (hậu quả đối với patient/product là gì?), chấm điểm S-O-D, tính RPN, và xác định controls.
$$RPN = S \times O \times D$$
Ba điểm số có specific requirements về justification mà nhiều đội thẩm định hiểu sai.
Severity — Phải Dựa trên Hậu quả với Bệnh nhân, Không phải Độ khó Kỹ thuật
Severity (S) phải được chấm dựa trên hậu quả đối với bệnh nhân — không phải khó khăn kỹ thuật hay cost to fix. Một calculation error dẫn đến wrong dose phải được chấm S=8–10 (Very High đến Hazardous — direct patient safety impact) bất kể lỗi đó dễ hay khó xảy ra về mặt kỹ thuật. Chấm S=2 cho lỗi công thức tính assay trong LIMS mà không có lập luận về hậu quả lâm sàng sẽ không bảo vệ được trước auditor.
ICH Q9(R1) không quy định thang điểm S/O/D hay ngưỡng RPN. Vì vậy SOP của site nên tự định nghĩa quy tắc cho failure mode có Severity cao, ví dụ: mọi failure mode có S ≥ 8 phải có control được verify bằng test, bất kể RPN tổng. Đây là ví dụ quy tắc nội bộ, không phải trích dẫn từ ICH Q9(R1).
Occurrence — Phải Dựa trên Historical Data, Không phải Wishful Thinking
Occurrence (O) phải dựa trên historical data từ similar systems hoặc analogous failure modes trong industry literature. Nếu không có historical data, phải document assumption và lý do chọn mức O tương ứng. Không được chấm O=1 (remote — less than 1 in 1,500,000) cho failure modes chưa có historical data chỉ vì “chúng tôi nghĩ nó hiếm xảy ra” — đây là chính xác loại subjectivity mà ICH Q9(R1) tập trung address.
Detection — Điểm số Bị Bỏ qua Nhiều Nhất
Detection (D) là điểm số nhiều nhà máy bỏ qua nhất. Nếu failure xảy ra mà không có automatic alert, không có independent check, không có monitoring mechanism, Detection score phải cao (D=8–10, nghĩa là phát hiện khó) — không phải thấp. Sai lầm phổ biến: chấm D=2 (very high chance of detection) chỉ vì “có QC analyst review” mà không verify rằng review process đó thực sự reliable và documented. Manual review không có defined criteria không phải là effective detection control.
GAMP 5 dược phẩm và CSV theo rủi ro
Đặt FMEA vào lifecycle GAMP 5 dược phẩm và CSV theo rủi ro để chọn mức test vừa đủ và defensible.
Từ Bảng FMEA đến Test Cases: Kết nối Risk và Validation Scope
Phần này biến khái niệm thành tình huống thực tế để đội vận hành tự soi gap.
Bảng FMEA phải là “kim chỉ nam” cho kế hoạch thẩm định — không phải tài liệu đứng độc lập. Kết nối từ FMEA đến test cases phải được document tường minh trong RTM (Requirements Traceability Matrix). IQ OQ PQ Trong Dược Phẩm: Hướng Dẫn Thẩm Định Thiết Bị & Hệ Thống GxP Từ A-Z
Khi inspector hỏi “Tại sao anh test phần này kỹ vậy?”, quy trình defense chuẩn là: chỉ vào FMEA → “failure mode này có RPN cao vì Severity=9 (direct patient safety impact) và Detection=8 (không có automatic alert)” → chỉ vào RTM → “do đó test case OQ-047 và OQ-048 được thiết kế để specifically verify control mechanism này.”
Ngược lại, với failure modes có RPN thấp (Severity thấp vì không có direct patient impact, Detection thấp vì có automatic monitoring), validation team có documented justification để reduce testing scope. Đây là cách GAMP 5 scalable validation principle được implement trong practice và cách FDA CSA Guidance (February 2026, superseding September 2025) endorses proportionate approach. GAMP 5 Dược Phẩm: Thẩm định Hệ thống Máy tính theo Tiếp cận Rủi ro – Tư duy, không phải Checklist
Ví dụ Thực tế: FMEA cho LIMS Calculation Module
| Failure Mode | Effect | S | O | D | RPN | Control |
|---|---|---|---|---|---|---|
Formula tính assay sai |
Kết quả hàm lượng sai → wrong dose |
9 |
3 |
7 |
189 |
OQ test case verify formula với known inputs |
User tự approve kết quả mình nhập |
Cherry-picking không bị phát hiện |
8 |
4 |
6 |
192 |
OQ test SoD — system rejects self-approval |
Audit trail có thể bị xóa |
Data integrity violation |
9 |
2 |
8 |
144 |
OQ test immutability với admin account |
Instrument interface bị ngắt giữa chừng |
Data loss không được flagged |
7 |
3 |
8 |
168 |
OQ resilience test — connection drop simulation |
Timestamp không sync với NTP server |
Audit trail timestamp sai |
6 |
4 |
5 |
120 |
IQ verify NTP configuration; OQ verify timestamp accuracy |
Bảng trên minh họa cách mỗi failure mode dẫn trực tiếp đến một test case cụ thể trong IQ hoặc OQ — không phải test “cho đủ”, mà test vì đây là control mechanism cho một identified risk.
Thực chiến FMEA cho thiết bị standalone: Khi đánh giá rủi ro cho các thiết bị standalone (như cân phân tích, pH meter), các đội thẩm định thường bỏ sót failure mode liên quan đến sự can thiệp cục bộ của người dùng. Một rủi ro điển hình là analyst tự ý thay đổi system time trên thiết bị để khớp với thời gian ghi chép thủ công. Trong FMEA, lỗi này phải được chấm Severity cao (S=8-9) vì phá vỡ nguyên tắc Contemporaneous của dữ liệu. Nếu thiết bị không tự động khóa quyền chỉnh giờ (Detection kém), RPN sẽ lập tức vượt ngưỡng cảnh báo.
Để kiểm soát rủi ro này, giải pháp không chỉ là ghi vào SOP “cấm chỉnh giờ”, mà phải áp dụng technical control: khóa time edit rights bằng password admin, đồng thời cấu hình time-sync tự động với NTP server. Bằng chứng thẩm định (OQ test case) sẽ đánh giá trực tiếp việc analyst account bị từ chối quyền truy cập màn hình cấu hình thời gian, biến một biện pháp quản lý rủi ro trên FMEA thành một chốt chặn kỹ thuật vững chắc trước auditor.
Bản đồ Hồ sơ: Quy trình QRM theo ICH Q9(R1) ↔ Bằng chứng trong Validation Dossier
Phần này dịch từng bước của quy trình quản lý rủi ro thành artifact cụ thể mà auditor có quyền đòi xem.
Một risk assessment chỉ tồn tại trên giấy nếu không kết nối được với hồ sơ vận hành xung quanh nó. Quy trình QRM trong ICH Q9(R1) Section 4 chạy từ khởi xướng (§4.2 Initiating) qua assessment (§4.3), control (§4.4), communication (§4.5) đến review (§4.6), với §5 đặt ra nhóm công cụ phương pháp — mỗi bước tương ứng với một nhóm bằng chứng khác nhau trong validation dossier, đây chính là thứ inspector đối chiếu khi họ nói “show me your risk management file”.
| Bước QRM (ICH Q9(R1)) | Artifact bắt buộc trong dossier | Câu hỏi auditor thường hỏi |
|---|---|---|
§4.2 Initiating a QRM Process — định nghĩa risk question, scope, phân công |
Problem statement / risk question được phê duyệt; văn bản phân công team, leader và trách nhiệm QRM (link §4.1 Responsibilities). |
“Risk question được định nghĩa thế nào trước khi đánh giá? Ai được giao trách nhiệm — và authority của họ nằm ở đâu trong tổ chức?” |
§4.3 Risk Assessment — identification, analysis, evaluation |
Risk assessment report được phê duyệt trước khi khóa validation scope; FMEA worksheet kèm định nghĩa thang S/O/D và rationale từng điểm số. |
“Vì sao function này Severity = 7 chứ không phải 9? Dựa trên hậu quả gì với bệnh nhân hay chỉ là độ khó kỹ thuật?” |
§4.4 Risk Control — reduction và acceptance |
Mapping risk → control → test case trong RTM; văn bản chấp nhận residual risk với rationale và approval. |
“Residual risk này được chấp nhận dựa trên bằng chứng gì? Ai là người ký, và họ có authority ở mức rủi ro đó không?” |
§4.5 Risk Communication |
Biên bản review liên phòng ban — QA, system owner, IT/OT, business — kèm quyết định và dissent nếu có. |
“Ngoài validation lead, ai đã tham gia quyết định risk này? Business owner có đồng ý với risk acceptance không?” |
§4.6 Risk Review |
Review log định kỳ và event-driven (change, deviation, regulatory update) + version history của risk assessment. |
“Lần cuối risk assessment được update là khi nào? Trigger gì? Có deviation nào lộ failure mode chưa được đánh giá không?” |
§5 Risk Management Methodology — chọn công cụ |
Rationale lựa chọn phương pháp (FMEA ba yếu tố, risk matrix định tính, HACCP, PHA) phù hợp complexity của system. |
“Vì sao anh chọn FMEA 3-factor thay vì ma trận 2D đơn giản? Công cụ có phù hợp mức độ ảnh hưởng của hệ thống không?” |
Điểm thường bị sót là §4.5 và §4.6: nhiều tổ chức có FMEA worksheet đẹp nhưng không có biên bản communication nào chứng minh quyết định risk được chia sẻ với các stakeholder chịu ảnh hưởng — và risk assessment bản 1.0 đứng yên suốt ba năm vận hành dù hệ thống đã qua nhiều change. Hai khoảng trống này là lý do câu hỏi đầu tiên của nhiều inspector không phải “cho tôi xem FMEA” mà là “cho tôi xem risk management file”.
Về cấp pháp lý: EU GMP Annex 11 §1 yêu cầu risk management “throughout the lifecycle” của computerized system và EU GMP Chapter 1 §1.12–1.13 định nghĩa QRM là “a systematic process for the assessment, control, communication and review of risks”, với mức công sức, mức formality và tài liệu “commensurate with the level of risk” — đây là các yêu cầu ràng buộc trong jurisdiction tương ứng. ICH Q9(R1) là guideline về phương pháp, và GAMP 5 Second Edition là industry framework triển khai risk-based approach — cả hai là guidance, không phải luật. Dossier tốt trích đúng tầng: nêu Annex 11/Chapter 1 khi nói về nghĩa vụ, nêu Q9(R1)/GAMP 5 khi nói về cách làm. Tại Việt Nam, nguyên tắc QRM là yêu cầu bắt buộc theo Thông tư 28/2025/TT-BYT của Bộ Y tế (hiệu lực từ 01/07/2025), thông qua các phụ lục áp dụng WHO-GMP, PIC/S GMP và EU-GMP.
Risk Assessment là Tài liệu “Sống”: Review và Update Criteria
Phần này giúp QA nhìn ra rủi ro, bằng chứng và tiêu chí defend khi inspector hỏi sâu.
Risk assessment không phải document viết một lần rồi archive. Ngay từ bản ICH Q9 gốc và giữ nguyên trong Q9(R1) §4.6, risk review đã được yêu cầu là một phần liên tục (ongoing) của hệ thống chất lượng, với tần suất dựa trên mức rủi ro — và đây là một trong những điểm mà nhiều tổ chức fail khi bị inspect.
Ba Triggers Bắt buộc Phải Review
Major system changes: khi một change impact assessment xác định change ảnh hưởng đến validated functions, risk assessment phải được reviewed để xác định xem residual risks có thay đổi không và có cần additional controls không. Change Control GMP: Phân loại, Impact Assessment và Quyết định Revalidation theo ICH Q10
Significant deviations: khi một deviation hoặc OOS investigation phát hiện failure mode mà risk assessment đã không identify, đây là evidence rằng risk assessment không đủ comprehensive — phải update. OOS Investigation GMP: Phase 1, Phase 2 và 10 Lỗi Phổ biến theo FDA 21 CFR 211.192
Regulatory changes: khi có revision của EU GMP Annex 11, ICH Q9, hoặc FDA guidance ảnh hưởng đến requirements, risk assessment phải được reviewed để ensure alignment với current regulatory expectations.
(quan sát từ thực tiễn ngành: periodic review hàng năm là best practice được ghi nhận rộng rãi — ICH Q9(R1) không specify tần suất cụ thể, chỉ yêu cầu risk management là continuous process trong lifecycle) Một risk assessment không được reviewed sau 3+ năm vận hành trong môi trường có regular system changes là risk assessment không còn phản ánh current state của system — và là finding tiềm năng khi bị inspect.
Change Control GMP và impact assessment
Risk assessment phải được review lại khi Change Control GMP và impact assessment có thể ảnh hưởng validated functions.
FAQ về Risk Assessment Hệ thống GMP
Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.
Phải làm trước khi khóa validation scope. Nếu risk assessment chỉ được viết sau khi test xong, nó chỉ hợp thức hóa quyết định cũ và không còn là cơ chế risk-based decision making.
Severity phải dựa trên hậu quả với patient safety, product quality hoặc batch disposition. Không chấm Severity theo độ khó kỹ thuật hoặc chi phí sửa lỗi.
Không có ngưỡng chung cho mọi công ty; SOP phải định nghĩa threshold. Tuy nhiên failure mode có Severity cao vẫn cần attention ngay cả khi RPN tổng không quá cao.
Detection score cao nghĩa là khó phát hiện failure, do đó rủi ro lớn hơn. Manual review không có criteria rõ ràng không nên được coi là detection control mạnh.
Khi có major system change, significant deviation, failure mode mới, regulatory change hoặc periodic review cho thấy trạng thái hệ thống đã khác baseline ban đầu.
Mỗi failure mode quan trọng phải trace tới control và test case tương ứng trong RTM. Khi auditor hỏi vì sao test sâu một chức năng, câu trả lời phải bắt đầu từ FMEA.
Production Readiness — Chuẩn hóa trước Go-live
Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.
Để đưa quy trình đánh giá rủi ro vào trạng thái production-ready, đội triển khai cần biến insight trong bài thành bằng chứng vận hành. Điểm bắt đầu không phải là mua thêm công cụ, mà là xác định dữ liệu nào có tác động GxP, hệ thống nào tạo ra dữ liệu đó, ai sở hữu dữ liệu, và bằng chứng nào phải xuất hiện trong hồ sơ khi auditor yêu cầu.
Trong thực tế nhà máy, bước chuẩn hóa nên đi theo logic risk-based. Các điểm dữ liệu ảnh hưởng trực tiếp đến batch release, deviation investigation, audit trail review, electronic signature hoặc validated state phải được ưu tiên trước. Những dữ liệu hỗ trợ năng suất có thể triển khai sau, nhưng không được trộn chung với dữ liệu GxP nếu chưa có ranh giới hệ thống rõ ràng.
Điểm kiểm soát cuối cùng của một hồ sơ risk assessment trước khi được ban hành là khả năng chuyển nội dung thành checklist hành động: phạm vi hệ thống, ranh giới dữ liệu, chủ sở hữu bằng chứng và tiêu chí chấp nhận phải đủ rõ để áp dụng vào một cuộc họp QA hoặc một change control thật.
Khi dùng bài này như tài liệu tham chiếu nội bộ, hãy đọc theo ba lớp: lớp một là yêu cầu quy định và chuẩn mực ngành; lớp hai là rủi ro vận hành tại nhà máy Việt Nam nơi hệ thống giấy, Excel và nền tảng số thường cùng tồn tại; lớp ba là bằng chứng có thể kiểm tra lại sau triển khai.
Tác giả: Phạm Đức Phương Nam — nampham.net
Ghi Chú Minh Bạch
Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.
Nguồn quy định chính
- ICH Q9(R1) Quality Risk Management 2023 — database.ich.org
- EU GMP Chapter 1 Sections 1.4, 1.12–1.13 — health.ec.europa.eu
- FDA Guidance for Industry — Process Validation: General Principles and Practices — fda.gov
Tiêu chuẩn và hướng dẫn chuyên môn
- ISPE GAMP 5 Second Edition 2022 — ispe.org
Ghi chú về mức độ chắc chắn của số liệu
- Periodic review hàng năm là observation thực tiễn ngành; ICH Q9(R1) yêu cầu continuous risk management nhưng không chỉ định tần suất cố định.
Lưu ý: Nội dung bài viết mang tính tham khảo kiến trúc kỹ thuật và không thay thế cho SOP, validation plan hoặc quy định chính thức của cơ quan quản lý dược phẩm sở tại.
QRM theo ICH Q9(R1) là gì — quản lý rủi ro chất lượng trong dược phẩm
Đọc tiếp để nắm định nghĩa chuẩn, ví dụ Việt Nam và bằng chứng GMP liên quan.
QRM theo ICH Q9(R1) là gì — quản lý rủi ro chất lượng trong dược phẩm →
Câu hỏi quyết định — 3 điểm cần chốt trước khi Go-live
Trước khi áp dụng quy trình đánh giá rủi ro mới, QA, Engineering và owner hệ thống nên khóa ba quyết định sau để tránh biến rủi ro trên giấy thành lỗ hổng vận hành thực tế:
- Ranh giới hệ thống hoặc quy trình đánh giá rủi ro nào phải được định nghĩa lại trước khi audit tiếp theo?
- Bằng chứng GMP nào cần được tạo tự động thay vì dựa vào giải thích thủ công sau sự cố?
- Ai là owner chịu trách nhiệm cập nhật SOP, URS, FMEA hoặc traceability matrix sau khi phát hiện khoảng trống rủi ro?
Để chuyển các khuyến nghị trong bài thành kế hoạch triển khai khả thi, xem thêm tại nampham.net.
