主题 1.5 — 监管与合规格局

一句话概括: 数字医疗与照护领域的合规,不是法律层面的事后补充,而是一张由重叠的法定职责、强制性标准与自愿性保证组成的地图,你必须刻意地、与风险相称地、以清晰的责任归属去驾驭它——因为出错是一次安全、公平与公众信任上的失败,而不仅仅是一笔罚款。

为什么这在医疗与照护领域很重要#

在大多数行业,监管划定的是一条底线:遵守它就能避免处罚。在医疗与照护领域,监管格局承载的是关于数字系统出错时如何伤害人的、来之不易的教训——一个标注错误的剂量、一份丢失的记录、一个有偏见的算法、一次泄露了一个人所拥有的最敏感数据的违规事件。这里的合规,是衡量你是否真正思考过这些伤害的一个代理指标。一位把它当作文书工作的领导者,其实是在告诉你他没有思考过。

这片格局也确实拥挤,而这正是难处所在。一款单一的面向患者的应用,可能同时是一种由某个机构监管的医疗器械,处理着受另一个机构管辖的个人数据,只有通过一项国家评估才能被委托使用,身处一项接受照护监管机构检查的服务之中,并由对自己所属专业监管机构负责的临床医生所构建。没有人把这张地图当作一个连贯整体来书写;它是逐渐堆积起来的。作为领导者,你的工作不是背诵每一条规则,而是掌握这片地形的形状——谁负责什么、哪些工具是强制性的、哪些是咨询性的,以及你的具体服务坐落在其中的哪个位置。

最后,这涉及公共资金与法定职责。当你部署一个不合规的系统时,你不仅是在让你的机构暴露于执法风险之下;你可能正在违反对患者与市民所负有的职责,并把公共资金花在一个你无法合法运行的东西上。这就是为什么本主题为后面更详细的主题——临床安全(主题 1.6——临床安全与风险管理)、信息治理(主题 1.7——信息治理、数据保护与网络安全)、数据伦理(主题 1.8——数据伦理、同意与公众信任)与保证(主题 6.4——治理与保证)——搭建了框架。本主题是导航员;那些主题是详细的海图。

核心概念#

三层义务。 最有用的单一区分,是法定监管、强制性标准与自愿性保证之间的区分。法定监管是法律——由拥有法律权力的监管机构强制执行,不容商量(例如数据保护法,或注册一件医疗器械的要求)。强制性标准是合同或政策上的要求,即使它们不是主要立法,你也必须满足它们才能在某个系统内运作——例如,委托使用所依赖的国家级 NHS 工具。自愿性保证是指你选择依据某个公认的基准来证明质量,以建立信任、赢得采购,或抢在未来监管出台之前行动。知道一项特定要求属于哪一层,能告诉你如果达不到会发生什么:起诉、被逐出市场,还是声誉受损。

照护质量委员会(CQC)。 照护质量委员会是英格兰医疗与成人社会保健的独立监管机构。它对提供者进行注册、检查,并依据服务是否安全、有效、有爱心、响应及时、领导有方来评级。数字服务无法逃避它:凡是技术构成照护交付的一部分之处,CQC 关于安全与领导力的问题就会触及你运行的系统,而它的"领导有方"这一领域正日益审视数字与数据的成熟度。

MHRA 与医疗器械。 药品和保健产品监管局(MHRA)监管英国的药品与医疗器械。至关重要的是,软件本身也可能是一件医疗器械:作为医疗器械的软件(SaMD)是指用于医疗目的——诊断、预防、监测、治疗——却不构成某个硬件设备一部分的软件。如果你的应用计算剂量、对症状进行分诊,或解读图像,它很可能就是一件医疗器械,必须在投放市场之前经过分类、注册,并携带相应的合格标志。

合格标志:UKCA 与 CE。 投放到英国本土市场的医疗器械需要 UKCA 标志(英国合格评定),这是脱欧后英国对应于 CE 标志(欧洲合格)的版本。目前,带有 CE 标志的器械在过渡安排下仍被英国本土接受,而北爱尔兰遵循欧盟规则——因此你需要哪种标志取决于你把器械投放在哪里。这是一个活跃、变动中的领域;把确切的要求当作需要核实的事情,而不是想当然的事情。

NICE 与证据标准框架。 国家卫生与照护优化研究所(NICE)发布关于什么有效、什么具有成本效益的指导。它针对数字健康技术的证据标准框架(ESF)按照与风险相称的原则,规定了一款数字产品在被系统采纳之前应当展示的证据。NICE 不像 MHRA 那样是一个发放许可的把关者,但它的判断会深刻影响委托决策——通过 MHRA 注册证明一件器械可以安全销售;满足与 NICE 一致的证据期望,则有助于证明它值得采购(见主题 1.3——循证决策)。

ICO 与数据保护法。 信息专员办公室(ICO)是英国负责数据保护与信息自由的独立监管机构。它执行英国通用数据保护条例(GDPR)与2018 年数据保护法,这两部法律规定了你可以如何合法地处理个人数据——而健康数据属于承受最强保护的"特殊类别"。ICO 可以调查、下令整改,并处以可观的罚款。具体内容在主题 1.7中详述;在这里,只需记住 ICO 是你的数据保护监管机构,健康数据承受着更高的门槛。

强制性的 NHS 工具。 除了主要立法之外,NHS 还运行着自己的强制性工具。数据安全与保护工具包(DSPT)是每一个处理 NHS 患者数据的机构都必须完成的年度自我评估,用以证明数据安全与信息治理标准。数字技术评估标准(DTAC)是一款数字健康技术要被 NHS 机构委托使用所必须满足的基准,涵盖临床安全、数据保护、技术安全、互操作性与可用性。临床安全标准 DCB0129(面向制造商)与 DCB0160(面向部署机构)强制要求一套有文档记录的临床风险管理流程——一份危害日志、一位临床安全官、一份安全论证——它们是主题 1.6 的支柱。

专业监管机构。 受到监管的不只是产品,还有人。总医学委员会(GMC)负责医生的注册与标准制定,护理与助产士委员会(NMC)对护士与助产士做同样的事。当临床医生设计、批准或操作数字服务时,他们的专业职责会随他们而行——一位临床安全官签核一个系统,是在专业问责之下行事,而不仅仅是履行组织架构图上的一个角色。

前景与背景:欧盟制度。 即使在欧盟之外,人工智能法案与(欧盟)2017/745 号条例(欧盟医疗器械条例,MDR)依然重要——它们设定了演进的方向,如果你服务于欧盟市场或北爱尔兰就会受其约束,而且往往预示着英国规则接下来的走向。对这类变化保持前瞻扫描,本身就是一项合规纪律。

合规地图与登记册。 一张合规地图为你的服务列出了所有三层中每一项适用的义务,一份合规登记册则为每一项记录状态、负责人、证据与审查日期。二者结合起来,把一片弥散的格局转化为一个受管理、可审计的处境——这就是"我们认为我们是合规的"与"这是每一项职责的具名负责人与当前证据"之间的区别。

最佳实践#

1. 在争论管控措施之前先给你的服务分类。 第一个问题不是"我们合规吗?",而是"从法律上讲,我们是什么?"及早确定你的产品是否是一件医疗器械(及其风险等级)、你是数据控制者还是处理者,以及哪些强制性 NHS 工具适用。分类错了,下游的每一个决策都会错;分类对了,才能知道上述哪些层级与机构真正约束着你。

2. 构建并维护一份活的合规地图与登记册。 为服务列举法定监管、强制性标准与自愿性保证三层中每一项适用的义务,并为每一项记录负责人、当前状态、支持证据与下一次审查日期。让它保持鲜活,按计划审查,而不是一份为商业论证写一次、此后再也不打开的文件。一份好的登记册,能在任何一天回答"谁拥有这项职责?证据在哪里?"

3. 为每一项义务指派具名的责任人。 责任分散正是合规失效的方式:人人都以为别人负责。为每一项职责指派一位具名负责人——数据保护方面的数据保护官、DCB0129/0160 方面的临床安全官、DSPT 方面的高级信息风险负责人——并让地图上的"负责人"一栏名副其实,赋予他们履行职责所需的权力与时间。没有具名的问责,就不是问责。

4. 讲求相称性、依据风险行事,而不是走过场。 监管理应获得与证据同等的相称对待(见主题 1.3):把严谨性集中在对患者、公平与信任风险最高的地方,让低风险工作保持轻量。走过场式的合规——填完表格却错过了本意——既浪费又危险,因为它制造出虚假的安心感。目标是满足每一项要求的目的,这通常也就满足了字面上的要求。

5. 把强制性的 NHS 工具当作设计输入,而不是出口关卡。 DTAC、DSPT 与 DCB0129/0160 从一开始就融入交付,而不是在上线前附加上去,成本最低、也最有效。在上线时才发现 DTAC 不合格,可能耗费数月;事后拼凑出的临床安全论证既单薄又缺乏说服力。把这些工具编织进探索与交付之中,让满足它们成为把事情做好的副产品。

6. 对监管变化进行前瞻扫描,并对应对措施负责。 监管在不断演进——UKCA 的时间表在变化,欧盟 AI 法案在逐步生效,作为医疗器械的软件制度也在演变。指派专人追踪相关监管机构与征询意见,针对你的合规地图维护一份简短的"监管变化"观察清单,并在截止日期变成紧急状况之前,把信号转化为有计划的工作。被一项本可提前知道的规则变化打个措手不及,是一种可以避免的、自找的失败。

7. 持续保存证据,并让它随时可供审计。 监管机构、委托方与 CQC 的"领导有方"审查员要求你展示,而不是断言。持续保持危害日志、数据保护影响评估、DSPT 提交材料与 DTAC 证据的更新与可检索性,而不是在检查压力之下临时重建它们。持续性的证据也比它所取代的那种周期性手忙脚乱更便宜。

8. 跨监管机构协调,而不是各自为政。 因为一项服务会触及多个机构,它的合规职能之间必须相互沟通:临床安全、信息治理与产品负责人应当共享同一份对服务的看法,而不是各自维护三份互不相通的看法。一项满足 MHRA 要求的变更,可能制造出一个数据保护问题;一次用户体验修复,可能改变临床风险画像。把合规当作一幅协调一致的整体图景来运行,并将其接入更广泛的治理体系(主题 6.4——治理与保证)。

与团队讨论的问题#

1. 对于我们的旗舰数字服务,我们能否说出每一个适用的监管机构与强制性标准、每一项的负责人是谁,以及当前证据存放在哪里——而不需要任何人现去查找? 这检验的是你是否真正掌握了这张地图,还是仅仅相信自己是合规的。它之所以重要,是因为在医疗与照护领域,这些义务确实相互重叠——一款分诊应用可能同时是 MHRA 监管下的医疗器械、ICO 管辖下的数据处理操作、需要 DTAC 的受委托技术,以及一项接受 CQC 检查的服务的一部分——而任何一层出现的缺口都可能让服务停摆或伤害患者。值得摆到台面上的张力在于,假设"信息治理负责那个"或"供应商受监管,不是我们"的那种舒适感,与为每一项职责确认具名所有权及现行证据的那种不适感之间的对立。具体地梳理这项服务:列出各个机构,把每一项义务放入其所属的层级(法定、强制性、自愿性),并试着当场为其中三项拿出当前证据。如果做不到,你就找到了第一个缺口。一个好的、诚实的答案是一份填写完整、有具名负责人与注明日期证据的合规登记册,并坦率承认目前哪些职责无人认领或缺乏证据,而不是自信地挥挥手说"我们是合规的"。

2. 我们在哪些地方是在走过场式合规——满足了表格却错过了本意——又在哪些地方对低风险工作过度设防? 本主题主张相称的、依据风险的合规,这个问题迫使你诚实地检查两个方向的失败。它之所以重要,是因为在一个安全攸关的环境中,虚假的安心感是切实危险的:一份被标注为"已满足"的 DSPT,或是上线前一周才拼凑出的临床安全论证,可能看起来合规,却让真正的危害无人管理;与此同时,一个笨重的保证流程扼杀一项低风险的内容变更,会浪费稀缺的产能,并滋生对整个体系的犬儒态度。值得讨论的取舍在于,相称性需要判断力与为之辩护的信心,这比套用一条把一切都当作高风险的统一规则更难执行。挑两三项当前事项——一项真正高风险,一项低风险——追问你所投入的严谨程度是与对患者、公平和信任的风险相匹配,还是出于习惯与恐惧。考虑你的 DTAC 与 DCB0129/0160 工作是否真正塑造了设计,还是为了过关而被反向拼凑出来的。一个好的答案会指出一个具体的走过场案例和一个具体的过度设防案例,并承诺依风险校准严谨程度,而不是到处套用同一套生硬标准。

3. 如果一项影响我们的监管即将发生变化,我们会如何知道?谁负责把这个信号转化为有计划的工作? 这探究的是前瞻扫描,即把被截止日期打个措手不及的机构,与提前为之规划的机构区分开来的那项纪律。它之所以重要,是因为这个领域现在异常活跃——UKCA 与 CE 标志的时间表、作为医疗器械的软件制度、分阶段生效的欧盟 AI 法案、不断演进的 NHS 工具——而一项你早就知道即将到来却没有做准备的规则变化,是一种可能把一项服务逐出市场的、自找的创伤。张力在于,前瞻扫描没有即时回报,因此它是交付压力下最先被放弃的事情,而它的缺失在截止日期到来之前是不可见的。探讨目前谁在追踪相关的监管机构与征询意见,是否有一份与你的合规地图挂钩的观察清单,以及一个信号是如何变成一张有负责人和日期的工单、而不是某人收件箱里的一份担忧的。考虑你是否会听说一项只影响你服务中面向北爱尔兰或欧盟部分的变化。一个好的答案会说出负责监管前瞻扫描的人或角色,指出一份具体的观察清单,并描述上一次一项即将到来的变化在截止日期之前被转化为有计划工作的情形。

4. 我们是否诚实地为自己分了类——是不是医疗器械、是控制者还是处理者——还是我们悄悄选择了能降低我们负担的那种解读? 这把本主题中后果最重大的决策摆到台面上,因为分类驱动着下游的每一项义务,也是最容易自欺欺人的地方。它之所以重要,是因为所有的激励都指向同一个方向:把产品称为"一款健康类应用"而不是作为医疗器械的软件,或称为"一个处理者"而不是控制者,能够规避成本、证据与审视——但如果算法解读数据以指导临床行动,或者你决定了处理的目的,那么诚实的分类就不是可选项,监管机构会不管你的偏好而径行适用它。张力在于,更便宜的解读往往足以在内部对话中站得住脚,却经不住 MHRA 或 ICO 的问询,而分类错误是通向执法行动与 NHS 销售渠道崩溃最快的路径。具体地梳理它:说明产品实际做什么,寻求法律意见而不是创始人的直觉,并测试你所声明的分类,在一个监管机构面对同样的事实时是否站得住脚。一个好的、诚实的答案会展示一份及早经由专业意见得出的、有文档记录的分类,说出谁签署了它,并坦率承认任何处于边界地带的判断,以及它将如何随着产品变化而被持续审查。

5. 当一项对我们服务的变更同时触及几个监管机构时,我们的合规职能看到的是一幅共享的图景,还是三幅互不相通的图景? 这检验的是协调性,即本主题警示的、临床安全、信息治理与产品各自持有部分图景时会出现的失败。它之所以重要,是因为一项单一服务确实横跨多个机构——一款分诊应用的用户体验变更可能改变其临床风险画像,一项满足 MHRA 要求的修复可能引出一个数据保护问题,一项 DTAC 要求可能同时牵动所有这些——因此各自为政的结构意味着没有人拥有整体的合规处境,变更就会在团队之间的缝隙中掉落。张力在于,专业职能出于充分的理由是按学科组织的,然而患者所体验到的服务是同一件事,协调这些视角需要付出没有哪个单一团队有动机去出资的协调成本。探讨每项服务是否有一份共享的合规地图,还是若干份各自私有的地图;某个领域的变更是否可靠地触发其他领域的审查;以及这如何与董事会层面的治理相连接(主题 6.4)。一个好的答案会指出对每项服务都有一幅单一的协调一致的图景,描述一次近期变更是如何被所有受影响的监管机构一起评估的,并坦承各学科目前仍在哪些地方各自为政。

6. 在我们的服务依赖第三方供应商的地方,我们是否清楚知道哪些职责是他们的、哪些仍然是我们的——还是我们在假设"他们受监管,所以我们就没问题"? 这揭示了分类错误与责任分散共同滋生的共担责任缺口,因为采购一个受监管的组件并不能转移你自己的职责。它之所以重要,是因为供应商可能持有医疗器械合格标志,而你作为部署机构,仍然欠着一份 DCB0160 临床安全论证,仍然是你患者数据的控制者,并要向 CQC 回答服务是如何运行的——"他们的合规"与"你的合规"之间的接缝,正是义务最容易被漏掉的地方。张力既是商业性的,也是监管性的:供应商更喜欢那种暗示由他们承担负担的合同,而接受这种舒适感、而不是精确地划定边界,是很有诱惑力的。梳理一个真实的供应商关系:列出合同与其标志实际涵盖了什么,哪些仍然是你的法定或强制性职责,以及你的登记册是否以你这一方具名负责人的形式记录了这一划分。一个好的、诚实的答案会以书面形式区分供应商的义务与你保留的义务,说出每一项保留职责的负责人是谁,并能展示你所持有的证据,而不是你所假设供应商持有的证据。

实践中:一个医疗与照护案例#

一个整合照护系统(ICS)计划推出一款智能手机应用,让患有长期病症的患者记录症状,并使用一个算法标记出可能正在恶化、需要临床复核的患者。诱惑是把它当作"只是一款应用"直接推上线。

相反,数字总监从分类入手。由于该算法解读患者数据以指导临床行动,法律意见确认它是作为医疗器械的软件,因此 MHRA 制度适用,供应商必须持有适用于英国本土市场的正确合格标志——这是一个团队标记为需要关注的 UKCA 问题,因为过渡性的 CE 安排还在演变。该 ICS 是患者数据的控制者,因此 ICO 的数据保护职责对其具有约束力,一份数据保护影响评估随之开启(为主题 1.7提供输入)。由于它正被 NHS 机构委托使用,DTAC 适用;由于它被部署用于临床用途,DCB0160 要求一份临床安全论证、一份危害日志,以及一位具名的临床安全官(主题 1.6)。

团队构建了一份合规地图:每一项义务被放入其所属层级,每一项都有一位具名负责人——数据保护官、临床安全官、高级信息风险负责人、产品负责人——并配有一份追踪状态与证据的登记册。团队没有把 DTAC 与安全论证当作上线关卡,而是从探索阶段起就将其编织进交付之中,使危害日志随着设计一同成长。NICE 的证据标准框架塑造了他们在扩大规模之前要求供应商提供的有效性证据。一份前瞻扫描说明标记出欧盟 AI 法案与该算法的未来以及任何面向欧盟的意图相关。当 CQC 后来审查该服务的领导力时,该 ICS 用一份鲜活的登记册与当前证据来回答"领导有方"方面的问题,而不是临时手忙脚乱。这款应用比天真的计划所设想的上线得更晚,但合法。

行业视角#

同样一片格局,却会因你所处的位置不同而带来截然不同的负担。

初创企业#

一家小型数字医疗公司对医疗器械与 DTAC 制度感受最为尖锐,因为通过这些考验要花费它可能负担不起的金钱与时间,而诱惑在于低估分类——坚称产品"只是一款健康类应用",而不是医疗器械——以规避负担。这是可能采取的最危险的一步:分类错误是通向执法行动与 NHS 销售渠道崩溃最快的路径。有纪律的做法是及早诚实分类,构建一份轻量但真实的合规地图,并把 DTAC 与一个干净的数据保护姿态当作打开 NHS 市场的销售资产,而不是障碍。负责监管前瞻扫描的具名负责人,可能只是一位身兼数职的创始人,但观察清单仍然需要存在。

小型企业#

一家成熟的小型服务提供者——一家全科诊所、一家社区药房、一家养老院、一家单一场所的诊所,或是一家已过初创阶段的小型健康科技供应商——承担着与大型信托机构同样的法定与强制性职责,却没有数据保护官、临床安全官或合规团队来履行它们。DSPT 每年仍要完成,患者数据仍然触发特殊类别的门槛,任何被部署的临床软件仍然牵涉 DCB0160,然而这些通常都落到了一位已经在负责运营的执业经理或业主身上。现实的做法是刻意让合规地图保持小而真实,依靠共享的或委托的专业知识——一个联合体、一个 CSU,或供应商的临床安全文档——而不是假装自己内部掌握了每一项专业知识,并对那些无法外包的职责一丝不苟,比如始终作为自己患者数据的控制者。把供应商的保证当作覆盖了你保留职责的做法,是这里典型的陷阱:购买帮助,但保留对法律上属于你的事项的具名所有权。

大型企业#

一家 NHS 信托机构或大型 ICS 同时持有许多服务,因此它的挑战是项目组合规模的协调:数十个系统,每一个都触及若干监管机构,义务绝不能在团队之间掉落。失败模式是组织性的孤岛——临床安全、信息治理与采购各自持有部分图景,以至于没有人看到某项服务的整体合规处境。纠正之道是每项服务一份共享的合规地图、接入董事会层面治理的具名问责(主题 6.4),以及持续、随时可供审计的证据,这样一次 CQC 的"领导有方"审查或一次 ICO 问询,才能从一个鲜活的处境出发来作答。一家大型健康科技或制药企业带来了成熟的监管事务机制,但必须警惕把它当作一个与产品实际构建方式脱节的合规工厂。

政府机构#

一个国家机构——NHS England、卫生与社会保健部、MHRA、NICE——往往就是监管机构,或是强制性工具的制定者,因此它的工作方式设定了整个系统必须达到的标准,它的决策会吸引议会与公众的审视。在这里,合规工作就是人群规模的问责:像 DTAC 或 ESF 这样的工具塑造着整个市场,因此标准本身的相称性与清晰度是一项职责,而不是一种美德,因为一项校准不当的国家级要求,要么在全国范围内阻碍有用的创新,要么在全国范围内对风险放行。国家机构还承担着为整个系统进行前瞻扫描的责任,预判欧盟 AI 法案、MDR 与合格标志制度应当如何塑造英国政策。就一项标准要求什么、为什么要求保持透明,是在规模上维护公众信任的一部分。

常见失败模式#

• 分类错误。 坚称一款产品不是医疗器械,或声称你是处理者而不是控制者,以规避负担。解药:及早、诚实地分类,并寻求法律意见;分类驱动其他一切。
• 走过场式合规。 为了过关而完成 DSPT 或一份安全论证,而底层风险却无人管理。解药:满足目的,而不仅仅是形式;检验这份文件是否真正塑造了设计。
• 合规作为上线关卡。 在上线时才发现 DTAC 或临床安全方面的缺口。解药:从探索阶段起就把强制性工具编织进交付之中。
• 责任分散。 每一项职责都被假设为别人的。解药:在一份鲜活的登记册中为每一项义务指定具名责任人。
• 监管机构各自为政。 临床安全、信息治理与产品各自持有对同一项服务互不相通的看法。解药:一份共享的合规地图,协调一致的治理。
• 缺乏前瞻扫描。 被一项本可预见的规则变化打个措手不及。解药:一份与合规地图挂钩的、有负责人的观察清单。
• 陈旧的证据。 在检查压力之下临时重建危害日志与评估。解药:持续的、随时可供审计的证据。

成熟度模型#

检查清单#

• 服务的法律分类(医疗器械及其等级;控制者/处理者)已被确认并记录在案。
• 一份鲜活的合规地图列出了法定、强制性与自愿性三层中的每一项义务。
• 每一项义务都有一位具备权力与时间去履行它的单一具名负责人。
• 强制性的 NHS 工具(DTAC、DSPT、DCB0129/0160)被编织进交付之中,而不是在上线时附加上去。
• 严谨程度依据患者、公平与信任风险进行校准——而不是一刀切地走过场。
• 证据(危害日志、DPIA、DSPT、DTAC)保持最新、可检索,并随时可供审计。
• 一位具名负责人依据维护中的观察清单开展监管前瞻扫描。
• 相关市场的合格标志要求(UKCA/CE)已被确认,而不是被想当然。
• 各合规职能对每项服务共享一幅协调一致的图景,并接入治理体系(主题 6.4)。
• 登记册按计划被审查,而不是写一次就被搁置。

关键来源#

• 照护质量委员会 ——CQC 如何监管 与单一评估框架(cqc.org.uk)。
• MHRA ——医疗器械:软件应用(应用程序) 与作为医疗器械的软件与 AI 指导(gov.uk)。
• NICE ——数字健康技术证据标准框架(ESF)(nice.org.uk)。
• 信息专员办公室 ——数据保护指南 与英国 GDPR 指南(ico.org.uk)。
• NHS England ——数据安全与保护工具包(DSPT)(dsptoolkit.nhs.uk)。
• NHS England ——数字技术评估标准(DTAC)。
• NHS Digital / NHS England ——临床风险管理标准DCB0129 与DCB0160。
• GMC ——《良好医疗实践》;NMC ——《行为准则》(专业标准)。
• GOV.UK ——面向英国本土市场的UKCA 标志 与CE 标志 指导。

参考文献#

1. Regulatory compliance — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_compliance
2. Care Quality Commission — Wikipedia — https://en.wikipedia.org/wiki/Care_Quality_Commission
3. Medicines and Healthcare products Regulatory Agency — Wikipedia — https://en.wikipedia.org/wiki/Medicines_and_Healthcare_products_Regulatory_Agency
4. Medical device — Wikipedia — https://en.wikipedia.org/wiki/Medical_device
5. UKCA marking — Wikipedia — https://en.wikipedia.org/wiki/UKCA_marking
6. CE marking — Wikipedia — https://en.wikipedia.org/wiki/CE_marking
7. National Institute for Health and Care Excellence — Wikipedia — https://en.wikipedia.org/wiki/National_Institute_for_Health_and_Care_Excellence
8. Information Commissioner's Office — Wikipedia — https://en.wikipedia.org/wiki/Information_Commissioner%27s_Office
9. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
10. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
11. General Medical Council — Wikipedia — https://en.wikipedia.org/wiki/General_Medical_Council
12. Nursing and Midwifery Council — Wikipedia — https://en.wikipedia.org/wiki/Nursing_and_Midwifery_Council
13. Artificial Intelligence Act — Wikipedia — https://en.wikipedia.org/wiki/Artificial_Intelligence_Act
14. Regulation (EU) 2017/745 (EU Medical Device Regulation) — Wikipedia — https://en.wikipedia.org/wiki/Regulation_(EU)_2017/745
15. How CQC regulates — Care Quality Commission — https://www.cqc.org.uk/about-us/how-we-do-our-job/how-we-regulate
16. Software and AI as a Medical Device — MHRA, GOV.UK — https://www.gov.uk/government/publications/software-and-artificial-intelligence-ai-as-a-medical-device
17. Evidence Standards Framework for digital health technologies (ESF) — NICE — https://www.nice.org.uk/about/what-we-do/digital-health
18. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
19. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
20. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
21. Clinical risk management standards DCB0129 and DCB0160 — NHS England — https://digital.nhs.uk/services/clinical-safety
22. UKCA marking guidance — GOV.UK — https://www.gov.uk/guidance/using-the-ukca-marking