ISO 14971 第 6 章定义了与风险控制相关的要求。它规定了一套并非可选的风险处置逻辑：控制措施必须遵循明确的层级、其有效性必须经过验证，并且不得引入新的风险。
风险控制措施的层级
ISO 14971:2019 要求按照既定的优先顺序应用控制措施。
第 1 级：通过设计实现的固有安全。 在源头消除或降低危险。更换材料以避免毒性，修改几何形状以消除割伤风险，用安全的能源替代危险的能源。这是最稳健的控制措施——它降低风险而不依赖于使用者的行为。
第 2 级：防护装置。 物理屏障、报警装置、自动切断系统、集成于产品或其包装中的防护装置。即使使用者未采取特别的预防措施，这些措施也能降低风险。
第 3 级：用于安全的信息。 IFU 中的警告、标签上的提示、使用者培训、禁忌症。这是最不稳健的控制措施——其有效性完全取决于使用者的行为。
层级按此顺序应用：如果某项第 1 级措施切实可行，则必须在考虑第 2 级措施之前予以采用，而第 2 级措施又优先于第 3 级措施。对于本可在设计阶段处理的风险，若制造商仅采用第 3 级措施（信息/警告），则必须说明为何第 1 级和第 2 级措施不可行。
有效性验证：许多人跳过的步骤
ISO 14971 第 6.3 节表述明确：每项控制措施的有效性都必须经过验证。该验证必须以客观数据加以记录——而不是一份意向声明。
按措施类型而言，“有效性验证”在实践中的含义如下。
对于设计措施：通过机械、化学或电气测试，证明危险确实已被消除，或风险确实已按照既定标准降低。
对于防护装置：在具有代表性的使用条件下，对报警装置、切断系统、物理屏障进行功能测试。
对于信息措施：依据 ISO 62366 进行可用性确认——目标使用者是否理解该警告并能正确执行？理解度测试或可用性研究是预期的验证形式。
控制措施引入的风险
第 6.4 节要求验证所采用的控制措施本身不会引入新的风险。紧急停止按钮可能在关键操作过程中造成意外停机的风险。声音报警可能引起惊吓。表面涂层可能存在过敏风险。
这些新风险必须按照同一流程进行评估和处置。这是一个必须加以记录的迭代循环。