2010版GMP第一百三十八条：企业应当确定需要进行的确认或验证工作，以证明有关操作的关键要素能够得到有效控制。确认或验证的范围和程度应当经过风险评估来确定。这是2010版GMP少有的几个条款中明确规定要进行风险评估的条款之一。此条款规定“验证或确认的范围和程度应当经过风险评估来确定。” 这里使用了“应当”一词，应该怎么理解呢？也就是说是否所有验证在开展前都必须开展风险评估呢？如果是，那么是否所有的验证都可以进行风险评估呢？如果不是，那么那些验证在开展前可以不开展风险评估呢？欢迎正在从事风险评估、曾经开展过风险评估、对风险评估感兴趣的广大战友们来讨论此问题。