医疗软件的风险管理不能仅凭 ISO 14971 的工具来开展。IEC 62304——医疗软件生命周期标准——引入了其自身针对软件缺陷相关风险的方法。这两项标准是互补的，必须在技术文档中加以衔接。
IEC 62304 为软件风险管理带来了什么
IEC 62304 根据软件缺陷对患者造成后果的严重程度，将软件划分为三个安全等级。
A 类： 无伤害或可忽略的伤害。 B 类： 非严重伤害。 C 类： 死亡或严重伤害。
该分类决定了开发周期中所要求的严格程度：测试、文档、需求可追溯性、代码评审、配置管理。等级越高，活动越正式化，所期望记录的证据也越重要。
IEC 62304 的安全分类不同于 MDR 分类（规则 11），但二者相关联：MDR 下的 IIb 类 SaMD 往往意味着 IEC 62304 下的 B 类或 C 类软件。
ISO 14971 与 IEC 62304 如何衔接
ISO 14971 评估与器械整体相关的风险——包括与软件缺陷相关的风险。IEC 62304 则确定为控制这些风险所需的软件开发严格程度。
二者之间的联系在于：IEC 62304 的活动（验证测试、确认测试、代码评审、异常管理）即是 ISO 14971 意义上的软件风险控制措施。其有效性有助于降低 FMEA 中所识别的软件缺陷相关风险的发生概率。
在技术文档中，这种衔接必须予以记录：在 ISO 14971 FMEA 中识别出的软件缺陷相关风险，必须与控制这些风险的 IEC 62304 活动相关联。审查 SaMD 文档的公告机构会核查这种一致性。
公告机构的具体期望
一份构建良好的医疗软件文档应包含：一份涵盖软件缺陷相关风险并以 IEC 62304 活动作为控制措施加以引用的 FMEA；附有所选等级理由说明的 IEC 62304 分类文档；按照 IEC 62304 记录的验证与确认测试结果；以及一份证明软件需求在整个开发周期中可追溯性的配置管理报告。