Computer Software Assurance ist der risikobasierte Ansatz der FDA, um Vertrauen herzustellen und zu erhalten, dass Software fit für ihren Intended Use ist – gemeint ist im Wortlaut der Guidance der Intended Use der Software als Teil von Produktion oder Qualitätsmanagementsystem, ausdrücklich unterschieden vom Intended Use des Medizinprodukts selbst. Der Aufwand folgt dem Least-Burdensome-Prinzip: nicht mehr Nachweislast, als das Risiko erfordert. (QFINITY-Systematik: Wir verorten den Intended Use auf der Prozessebene – das System ist dafür fit for purpose; siehe die Einträge Intended Use und Fit for Purpose.) Für hohes Prozessrisiko kommt mehr Rigor in Betracht – etwa geskriptetes oder hybrides Testen; bei geringerem Prozessrisiko genügen oft ungeskriptete Methoden wie Szenario-Testen, Error Guessing oder exploratives Testen. Diese Zuordnung ist laut Guidance ausdrücklich nicht exklusiv: Gewählt wird, was die Eignung am wirksamsten nachweist – auch ungeskriptetes Testen kann bei hohem Risiko die bessere Wahl sein; Detailtiefe und Nachweise je Testfall folgen dem Risiko. Die Grundlage für den CSA-Ansatz ist ein umfassendes Verständnis des Prozesses und der Funktion sowie der damit verbundenen Risiken für den Patienten oder das Produkt. Der CSA-Ansatz kann während des gesamten Lebenszyklus computergestützter Systeme, einschließlich der Softwareentwicklung, angewendet werden, solange die Risiken verstanden und dokumentiert werden.
Die CSA-Grundsätze sollten auf alle Computersysteme angewandt werden, die an der Herstellung eines Medizinprodukts oder den damit verbundenen Qualitätssystemen (z. B. ERP, LIMS usw.) beteiligt sind. Software, die selbst ein Bestandteil eines Medizinprodukts ist, ist ausdrücklich ausgenommen.
Die wichtigsten Schritte des CSA-Ansatzes sind:

Definieren des Intended Use (auf System- und/oder Funktionsebene)
Definition des risikobasierten Ansatzes zur Sicherung der Softwarequalität
Festlegung der geeigneten Testaktivitäten

In all diesen Schritten unterstreicht der CSA-Ansatz die Notwendigkeit von Critical Thinking bei der Entwicklung der Lebenszyklusstrategie eines computergestützten Systems, insbesondere im Hinblick auf den Umfang und die Tiefe der damit verbundenen Test- und Dokumentationsaktivitäten.
Formal gilt die Guidance für Software in Produktion und Qualitätsmanagementsystem von Medizinprodukteherstellern – die Validierungspflicht folgt aus der in Part 820 (QMSR) einbezogenen ISO 13485. Die Übertragung auf Pharma-GxP-Systeme ist methodisch, nicht ihr Geltungsbereich.