1、软件分类
软件的确认活动应根据软件的风险性和复杂性来决定。组织应明确软件需求和要求，找出软件应用的风险点，但是如何确定软件的复杂程度呢？根据GAMP 5《（良好自动化生产实践规范）指南》中的规定，根据软件在质量管理体系的不同应用，可将软件的复杂程度分为4类，下面根据各类软件的类型结合其各自的特点逐一分析。
第一类为基础设施软件，包括计算机操作系统及工具软件，典型示例有，操作系统（应用于PC和服务器的操作平台）：windows10, Windows server 、Linux和 UNIX类操作系统。数据库软件：Oracle 数据库、SQL Server等。工具软件：Office、AutoCAD等。该类软件可靠性通常非常高。
第二类为不可配置软件。该类软件可以输入并储存运行参数，但是不能对软件进行配置，典型示例包括仪表、仪器、设备软件，商业现成软件COTS软件。对于这类软件可以根据用户需求规范来进行测试，验证活动通常在部署或验收测试阶段完成。
第三类为可配置软件，该软件通常非常复杂，典型示例包括实验室信息管理系统，企业ERP系统，简单文档管理系统等。对于这类软件，详细的用户需求规范是非常必要的，应采用适当的规范来保证软件的可追溯性，并保证实施足够的测试范围。
第四类为定制软件，该类软件一般指管理流程、产品生产及检验过程定制的软件，例如，有源医疗器械调试、检验内部开发的应用软件，实现精益制造的管理的MES系统等。这类软件风险通常非常高，应进行全面的确认来管理。
2、确认思路
传统的医疗器械质量体系过程确认包括设计确认（DQ）、安装确认（IQ）、运行确认（OQ）、性能确认（PQ），通过整个生产过程的稳定性来保证产品的质量。但是软件的确认与传统确认有所不同，软件确认主要是指通过一系列的客观证据来证明软件符合其预期用途。而且随着计算机软件及自动化水平的应用，国内外对于质量管理体系中软件的监管认知不断在提升，将一种基于风险的概念引入到软件确认的方法，通过风险识别、分析和控制的手段使软件适用于其在质量体系中的预期用途。
通过风险控制的思维，识别并采取适当的活动，从而建立对软件使用的信心，并且基于风险的概念，能够使确认活动遵循一种最少负担的方法，识别软件确认中所必需的活动，从而有效地利用资源，促进医疗器械产品质量。
根据软件的生命周期定义可知，软件确认活动主要体现在软件定义阶段、设计开发阶段、软件维护三个阶段，具体包括软件定义、实施、测试、部署、维护。软件定义包括：需求定义，失效风险分析，预期用途，确认计划，软件需求审核，软件开发生命周期模型选择，风险管理计划，风险控制措施识别。
软件实施包括：软件失效风险分析，软件架构文档及评审，设计规范，开发和设计评审，风险控制措施识别，代码评审和代码验证，追溯性分析，供应商审核。
软件测试包括：测试计划，单元测试，数据验证，集成测试，用户用例测试，接口测试，回归测试，供应商提供的测试套件，系统测试，性能测试。
软件部署包括：用户过程评审，内部培训，IQ，OQ，PQ，最终接受测试，操作者认证。
软件维护包括：维护计划，缺陷分析，结构兼容性分析，系统监测，备份和过程恢复，操作控制，回归分析。
更多软件确认内容，请参考标准：ISO TR 80002-2 2017医疗器械软件-第2部分医疗器械质量体系软件验证
