P2: 

Quality Systems: What Works, What can  Ghada Haddad, MBA

Quality Risk Management 
Overview 
Ghada Haddad
Executive Director, Global cGMP & Compliance Auditing 
Organization
Merck & Co., Inc.
1

Overview
• Building quality into drug product manufacturing 
processes up front is better than testing products 
for defects later. 

– Risk management is most effective when used 
prospectively during product development and 
process design, 
• Where design and control systems are easily 
modified to reduce risks and improve product 
quality. 

1
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

Scope of Quality Risk Management (QRM)
Pharmaceutical companies must deal with general risks and product‐specific risks

General risks Product‐specific risks

What is QRM?
Quality Risk Management:
A systematic process for the assessment, 
control, communication and review of risks to 
the quality of the drug (medicinal) product 
across the product lifecycle. (ICH Q9) 

from ICH Q10 Glossary

ICH Q9 describes a wide range of applications of QRM including:
• Quality Management • Regulatory Review • Production Validation
• Change Control • Product Development • Laboratory Control/Stability 
• Operations • Facilities/Equipment Studies
• Regulatory Inspection • Materials Management • Packaging 4

2
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

QRM Implementation requires Integration into the Pharmaceutical Quality 
Systems  
The principles and tools of QRM can be applied 
throughout the product lifecycle

Benefits of QRM

Ensures limited resources are focused on areas that can have the greatest impact on product safety and performance.
Supports more qualified  prioritization decision making 
Helps reduce overall cost
Helps provide rationale for not spending time on low risk activities
Helps focusing on ensuring highest quality through Right First Time principles

Ensures decision making is consistent throughout:
Product lifecycle
Product family
Company

Promotes proactive quality, supporting right first time operations:
Is an iterative and continuous process where prior risks that became problems are either mitigated or recognized and reviewed in a 
predictive manner for the future.
Provides a framework to better understand processes, what is critical and why? 

Provides a mechanism for  formal risk communication to management
6

3
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

Current Challenges with QRM

• Bias and high levels of subjectivity in Risk Assessment outputs
• Issues with Tools & Risk Scoring models– e.g. overly complex and 
ambiguous
• Non‐robust risk reduction estimation methods
• Problems in arriving at reliable residual risk levels
• Inability to adequately link QRM work with a) GMP controls, b) 
Qualification & Validation activities
• Poor understanding of formality in QRM work
• The need for better competencies in risk‐based decision making

“Appropriate use of quality risk management can facilitate but 
does not obviate industry’s obligation to comply with regulatory 
7
requirements.” ICHQ9

Quality Risk Management DOES NOT EQUAL Risk Assessments

The outcomes of risk assessments are highly dependent on technical 
knowledge, standard practices/tools & training

QRM Standards (guidelines for scoring definitions and 
thresholds for Risk Control decisions)

Role of decision 
makers/ management 
Role based QRM  Consistent QRM Application (competence & 
training program authority)

4
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

Initiating and Planning QRM Activities

Clearly define the risk question or problem statement, scope and expected 
decisions

Identify and gather facts and supporting data (process flows, design documents, 
complaints data, SOPs etc.)

Identify facilitator and team of SMEs

Identify risk assessment methodology based on gathered data, scope, expected 
outcome

Identify scoring criteria and risk control thresholds

Risk Assessment Tools
“It is important to note that no one tool or set of tools is applicable to every situation in 
which a quality risk management procedure is used. ”
‐ ICHQ9 Briefing Pack

Tool(s) selected should be compatible   Inappropriate tool selection
with the risk assessment strategy and   Risk assessment tools have 
ease of input, processing, and output of  different strengths and limitations
data  Proper understanding of these 
strengths and limitations is crucial 
Not all risk assessments require a 
formal tool  Potential risks may not be 
Risk assessments may require the  identified if the wrong tool is 
combination of tools to properly assess  selected to address the problem 
the problem statement  statement

10

5
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

Risk Assessment ‐Risk Identification
The systematic use of information to identify potential sources of harm (hazards) referring to the 
risk question or problem description 
‐ ICHQ9

Brainstorming
SME Interviews
Flow Charts
Process Mapping
Affinity Diagrams Analysis of Risks from 
similar projects
Cause/Effect Diagrams
11

Using appropriate rating 
schemes & scales 
Risk Assessment – Risk Analysis

Estimation of the risk associated with the identified hazards
‐ ICHQ9

What are the consequences?

Can we detect if things 
What is the likelihood  go wrong?
it will go wrong? 12

6
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

Risk Assessment ‐Risk Evaluation

(QRM allows) “Both industry and competent authorities to focus on areas of greatest 
risk and understanding of residual risks”
‐ ICHQ9 Briefing Pack

Risk Evaluation compares analyzed risks against defined risk criteria to determine whether 
further risk reduction should be explored
Is the risk 
acceptable?
What is the level of 
risk?

13

Risk Control results in a 
decision to reduce or accept 
Risk Control   the risk

Process through which decisions are reached and protective measures are implemented for
reducing risks to, or maintaining risks within acceptable levels
-ICH Q9

Risk reduction focuses on 
reducing the probability of 
occurrence of harm and/or the  Risk Control
severity of harm Risk Reduction

Risk acceptance by the  Risk Acceptance

7
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

Risk Communication
• Takes place throughout the risk management 
process;
 Clear and unambiguous
 Structured and standardized.
 Convey the appropriate amount of detail and 
content to facilitate its purpose
 Traceable and auditable for formal risk outputs
 Permit recipients to execute their responsibilities 
and duties

• Must be directed to the appropriate stakeholders 
and management, including Quality;

15

In a mature QRM process, QRM is 
integrated into the Quality System and 
Risk Review‐ Event based and Scheduled review  includes event based and scheduled 
reviews.nies are on a journey towards 
this vision.

Risk management outputs must 
be reviewed and updated
periodically to reflect the 
current state. Risk review 
should consider:

•New knowledge and 
experience

•Utilized for planned and 
unplanned events

•Reconsideration of risk 
acceptance decisions, as 
appropriate  16

8
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

QRM Application to Systems Across their Lifecycle
PDA Technical Report 54‐5: 

Quality Risk Management for the Design, Qualification, and 
Operation of Manufacturing Systems

• How QRM might be applied to systems

• Illustrate “how” application be accomplished, using specific 
risk tools, control strategies, and mechanisms of utilizing 
information from the QRM process.

• Controlling the system critical aspects is crucial to ensuring 
product quality and patient safety.
17

DRP3

18

9
Slide 18

DRP3 this table is still hard for me to understand. What is this trying to convey?
patelda, 4/16/2018
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

Using QRM to Characterize a System

• Characterizing the system with respect to potential effect on 
product quality is an essential step within the system lifecycle.

• Two methods for characterizing a manufacturing system:
 Process‐Based Approach‐
 Leverages existing process risk assessments
 Extracts information needed to design and qualify 
systems

 System‐Based Approach‐
 Performed for each system
 Uses a top‐down approach to classify the system, 
identify critical aspects and assess design risks
19

Characterizing a system – Using Process Based Approach

20

10
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

Characterizing a system – Using System Based Approach

21

Developing Commissioning and Qualification Strategy

22 22

11
P2: Quality Systems: What Works, What can  Ghada Haddad, MBA
be Improved, What Should Change?

QRM Integrated into the PQS
Discrepancy  Define discrepant events based on the level of risk and prioritize 
resources to manage the most critical quality issues
Management 

Corrective  Manage risks identified within the process as a result of an event 
or part of continuous improvement or preventive action 
Action/Preventive 
identification. 
Action 

Change Control Evaluate potential impact and effect of implementing a change 
23
within a system 

Define the frequency and scope of audits based on several risk 
Audits and Inspections  factors 

Questions 

24

12