危险源识别是整个风险管理过程的基础。未被识别的危险源就是未被管理的风险——它不会出现在分析中，不会有任何控制措施，也不会被纳入受益/风险报告。如果该危险源在产品上市后显现，制造商将无法证明自己已预见并管理了该情况。
ISO 14971:2019 第 5.4 节要求制造商识别可能影响安全性的器械定性和定量特征，以及可预见的危险源、危险情况和损害。
危险源识别的信息来源
完整的危险源清单无法通过填写通用模板获得。它需要交叉多个信息来源来构建。
预期用途与正常使用条件。 这是首要来源，但单独使用并不充分。它涵盖了理想使用场景下的风险——而理想场景从来都不是唯一的真实场景。
可预见的错误使用。 这是最常被忽视的来源。ISO 14971 不仅要求识别与正确使用相关的风险，还要求识别与可预见的错误使用相关的风险：未经培训的专业人员使用、在非预期适应症中使用、配置错误、遗漏某个准备步骤等。关于可用性的 IEC 62366 标准为分析这些场景提供了结构化方法。
器械的物理、化学和生物特性。 材料特性（潜在毒性、生物相容性）、机械特性（强度、磨损、疲劳）、电气特性（针对有源器械）、热特性。
同类器械的历史数据。 关于已知失效模式的临床文献、其他制造商的警戒数据（可在主管当局的公共数据库和 EUDAMED 中获取）、当局的事件报告（FDA MAUDE、法国 ANSM 数据库）。
该器械先前版本的上市后反馈。 如果制造商已销售该器械多年，过去的投诉和事件是发现最初未预见的危险源的宝贵来源。
如何记录完整性
公告机构无法核实每一个可能的危险源都已被识别——因为不存在通用的危险源清单。他们核实的是识别过程是否系统化并有文件记录。
文件应展示咨询了哪些来源、采用了什么方法、覆盖了什么范围。一份没有识别过程文件记录的危险源清单，会使审核员无法评估其完整性。