Czym jest ISO 13485?
ISO 13485:2016 określa wymagania dla systemu zarządzania jakością organizacji uczestniczącej w cyklu życia wyrobu medycznego. Aktualne, trzecie wydanie normy opublikowano w 2016 roku. W odróżnieniu od ISO 9001 norma nie wymaga wykazywania ciągłego doskonalenia biznesowego. Priorytetem jest utrzymanie skuteczności systemu, bezpieczeństwo wyrobu i spełnianie wymagań regulacyjnych, a podejmowane decyzje mają być oparte na zarządzaniu ryzykiem.
Struktura normy obejmuje rozdziały 4-8: system zarządzania jakością i dokumentację (w tym dokumentację wyrobu medycznego i walidację oprogramowania QMS), odpowiedzialność kierownictwa, zarządzanie zasobami, realizację wyrobu (od planowania i projektowania, przez zakupy, po produkcję i walidację procesów specjalnych) oraz pomiary, analizę i doskonalenie wraz z reklamacjami, raportowaniem do organów, nadzorem nad wyrobem niezgodnym i systemem CAPA.
Charakterystyczne wymagania to między innymi: dokumentacja wyrobu (medical device file) dla każdego typu wyrobu, walidacja procesów, których wyniku nie da się w pełni zweryfikować kontrolą (na przykład sterylizacja), identyfikowalność partii (rozszerzona dla wyrobów implantowalnych) oraz obsługa reklamacji i notatek doradczych (advisory notices) z powiadamianiem organów regulacyjnych.
Kogo dotyczy?
Norma jest adresowana do całego łańcucha wartości wyrobów medycznych: wytwórców, ale także dostawców komponentów i usług (na przykład sterylizacji, produkcji kontraktowej, dystrybucji, serwisu), importerów i autoryzowanych przedstawicieli. Organizacja deklaruje w systemie swoją rolę regulacyjną, a wymagania stosuje odpowiednio do tej roli. Norma dopuszcza uzasadnione wyłączenia z rozdziału 7 (na przykład projektowania u producenta kontraktowego).
Dotyczy zarówno klasycznych wyrobów fizycznych, jak i oprogramowania będącego wyrobem medycznym (SaMD) oraz wyrobów do diagnostyki in vitro. Dla firm software'owych ISO 13485 działa w parze z IEC 62304 (cykl życia oprogramowania medycznego) i ISO 14971 (zarządzanie ryzykiem). QMS jest ramą, w której te procesy funkcjonują.
ISO 13485 a MDR i inne rynki
W Unii Europejskiej rozporządzenie o wyrobach medycznych MDR (UE) 2017/745 wymaga od wytwórcy systemu zarządzania jakością (artykuł 10 ustęp 9). Europejska wersja normy, EN ISO 13485:2016, jest zharmonizowana z MDR i IVDR, więc jej stosowanie daje domniemanie zgodności z pokrywanymi wymaganiami. Dla większości klas wyrobów (I sterylne i z funkcją pomiarową, IIa, IIb, III) system jakości podlega ocenie przez jednostkę notyfikowaną w ramach oceny zgodności. Certyfikat ISO 13485 nie zastępuje tej oceny, ale jest jej naturalnym fundamentem i znacznie ją ułatwia.
Poza Unią norma jest równie istotna: program MDSAP (Medical Device Single Audit Program) opiera audyt na ISO 13485 i pozwala jednym audytem pokryć wymagania regulatorów Stanów Zjednoczonych, Kanady, Brazylii, Japonii i Australii, przy czym Kanada wymaga certyfikatu MDSAP od wytwórców wyrobów klasy II-IV. Amerykańska FDA zharmonizowała swoje przepisy o systemie jakości z ISO 13485, włączając normę przez odwołanie do zaktualizowanej regulacji QMSR (21 CFR część 820).
Jak wygląda certyfikacja?
Certyfikat ISO 13485 wydaje akredytowana jednostka certyfikująca po dwuetapowym audycie: Stage 1 (przegląd dokumentacji i gotowości) oraz Stage 2 (audyt wdrożenia na miejscu: produkcja, zapisy partii, reklamacje, CAPA, walidacje procesów). Certyfikat jest ważny 3 lata, z corocznymi audytami nadzoru i recertyfikacją na koniec cyklu. Jeśli wyrób podlega ocenie jednostki notyfikowanej pod MDR, audyt systemu jakości bywa łączony z audytem certyfikacyjnym ISO 13485, co oszczędza czas i koszty.
Audyty ISO 13485 są głębsze technicznie niż typowe audyty ISO 9001: audytor przechodzi produkcję z zapisami partii (device history record), wykonuje ćwiczenia identyfikowalności „od surowca do klienta", bada walidacje procesów specjalnych i szczegółowo analizuje reklamacje oraz CAPA. Ustalenia najczęściej dotyczą walidacji oprogramowania QMS, kompletności dokumentacji wyrobu, uzasadnień statystycznych wielkości próbek i przeterminowanych CAPA.
Ile to trwa i kosztuje?
Wdrożenie systemu ISO 13485 zajmuje zazwyczaj od 6 do 12 miesięcy, czyli dłużej niż ISO 9001, bo norma wymaga głębokiej dokumentacji technicznej: dokumentacji wyrobu, akt zarządzania ryzykiem, walidacji procesów i oprogramowania oraz działającego procesu reklamacji i CAPA. Start-up medyczny budujący system od zera równolegle z rozwojem wyrobu może zgrać wdrożenie z przygotowaniem dokumentacji technicznej pod MDR, bo znaczna część pracy jest wspólna.
Na koszt składają się: audyt certyfikacyjny i audyty nadzoru (liczba dni audytowych zależy od liczby pracowników, zakresu i procesów specjalnych), ewentualne wsparcie konsultanta lub jednostki badawczej oraz czas własnego zespołu, który zwykle stanowi największą pozycję. Dla wytwórców pod MDR dochodzą odrębne opłaty jednostki notyfikowanej za ocenę zgodności wyrobu. Uporządkowany, elektroniczny system jakości znacząco skraca zarówno wdrożenie, jak i same audyty.
Jak pomaga Guardiso?
Guardiso porządkuje system jakości wyrobów medycznych w jednym miejscu: od pierwszej samooceny, przez dokumentację i dowody, po audyt jednostki certyfikującej.
- Komplet 61 wymagań normy (rozdziały 4-8) tworzony automatycznie po włączeniu standardu, ze statusami wdrożenia i przypisanymi właścicielami.
- Polityki i procedury jakości generowane z szablonów, z wersjonowaniem, zatwierdzaniem i pełnym nadzorem nad dokumentami.
- Rejestr ryzyk wspierający podejście oparte na ryzyku, który wiąże ryzyka z wymaganiami, środkami kontroli i dowodami.
- Zadania cykliczne pilnujące terminów: przeglądy zarządzania, audyty wewnętrzne, ponowne oceny dostawców, przeglądy CAPA i rewalidacje.
- Zbieranie dowodów zgodności w jednym miejscu (zapisy szkoleń, protokoły walidacji, analizy danych), gotowych do pokazania audytorowi.
- Portal audytora: jednostka certyfikująca lub notyfikowana dostaje kontrolowany dostęp do dokumentacji bez wysyłania plików mailem.
- Mapowanie krzyżowe na pokrewne ramy (ISO 9001, IEC 62304, ISO 27001). Wspólne elementy systemu zaliczasz raz.