风险估计与风险评价是 ISO 14971 流程中紧接危险源识别之后的步骤。风险估计对风险进行量化。风险评价则将其与可接受性准则进行比较，以决定是否需要采取风险控制措施。这两个步骤完全取决于风险管理方针中所定义的可接受性准则的质量。
ISO 14971 中风险的两个组成部分
ISO 14971 将风险定义为两个参数的组合：损害发生的概率和该损害的严重度。
严重度根据对患者或使用者健康的影响来评估：从无法察觉的损害到致命的后果。ISO 14971:2019 和技术报告 ISO/TR 24971 提供了指示性的严重度等级，每个制造商应根据自身情况进行调整。
概率根据导致损害的事件序列在实际使用条件下发生的可能性来评估。它考虑了失效模式的发生概率、该失效模式导致危险状态的概率，以及危险状态导致损害的概率。
如何构建一个可经得起审查的风险矩阵
风险矩阵将严重度/概率的组合可视化，并定义可接受性区域。其构建应建立在文件化的依据之上，而非任意的选择。
**第一步：定义严重度等级。**多少个等级？三个、四个、五个等级都很常见。每个等级的准则必须清晰且彼此区分，并附有参考示例。
**第二步：定义概率等级。**原则相同。各等级必须根据器械的使用背景及其预期使用基数进行校准——对于每年使用 100 次的器械而言，“罕见”概率与每年使用 100,000 次的器械并不相同。
**第三步：定义可接受性区域。**绿色区域（风险按现状可接受）、橙色区域（在可行的情况下希望降低风险）、红色区域（风险不可接受，强制采取风险控制措施）。这些区域之间的边界必须有理有据。
**第四步：记录风险方针的依据。**哪些参考依据指导了这些选择？类似器械的流行病学数据、行业警戒数据、工业标准？正是这些文件使风险矩阵在审查员面前经得起推敲。
公告机构会核查什么
公告机构会核查矩阵是否与器械的风险水平相一致，可接受性阈值是否有论证（而不只是从模板中照搬），以及矩阵是否在 FMEA 中得到一致应用——也就是说，同一个失效模式从一行到另一行是否会获得相同的评分。
矩阵应用中的不一致——同一类型的影响在某一行评为 3、在另一行评为 5 而没有论证——表明这份 FMEA 是由多人在缺乏协调的情况下填写的，或者根本没有对准则进行真正的思考。