Czym jest ISO 14971?
ISO 14971 („Wyroby medyczne — Zastosowanie zarządzania ryzykiem do wyrobów medycznych") to norma opublikowana przez Międzynarodową Organizację Normalizacyjną, opracowana wspólnie z IEC. Aktualne, trzecie wydanie pochodzi z grudnia 2019 roku; towarzyszy mu przewodnik ISO/TR 24971 z praktycznymi wskazówkami stosowania. W Europie norma funkcjonuje jako EN ISO 14971 i jest zharmonizowana z rozporządzeniami MDR i IVDR, co daje domniemanie zgodności z odpowiednimi wymaganiami tych rozporządzeń.
W odróżnieniu od ISO 27001 czy ISO 13485, ISO 14971 nie jest normą systemu zarządzania. Jest normą procesową. Nie zawiera katalogu kontroli w rodzaju Załącznika A ani struktury wysokiego szczebla (Annex SL). Jej wymagania to obowiązkowe działania procesu (klauzule 4-10) oraz artefakty dowodowe, przede wszystkim plan zarządzania ryzykiem i plik zarządzania ryzykiem. Cechą charakterystyczną normy jest to, że nie narzuca żadnej macierzy ryzyka ani progów akceptowalności. To producent definiuje własne kryteria w polityce najwyższego kierownictwa i w planie, a potem musi się ich konsekwentnie trzymać.
Kogo dotyczy?
Norma jest adresowana do producentów wyrobów medycznych każdego rodzaju: sprzętu, implantów, wyrobów do diagnostyki in vitro oraz samodzielnego oprogramowania medycznego. Formalnie jest dobrowolna, ale w praktyce nie da się jej ominąć: MDR wymaga od producenta systemu zarządzania ryzykiem zgodnego z Załącznikiem I rozdział I, a ISO 14971 jest zharmonizowaną, powszechnie uznaną metodą spełnienia tego wymagania. Analogiczne oczekiwania mają regulatorzy poza Unią: amerykańska FDA uznaje ISO 14971 za normę konsensusową.
Dla firm tworzących oprogramowanie medyczne ISO 14971 jest szczególnie ważna, bo stanowi „silnik ryzyka", na który wprost powołują się IEC 62304 (cykl życia oprogramowania wyrobu medycznego, w którym klasyfikacja bezpieczeństwa oprogramowania opiera się na analizie ryzyka według 14971) oraz ISO 13485 (system zarządzania jakością). Jeden dobrze prowadzony plik zarządzania ryzykiem zasila więc jednocześnie zgodność z MDR, audyt ISO 13485 i dokumentację cyklu życia oprogramowania.
Jak wygląda proces zarządzania ryzykiem?
Proces normy układa się w pętlę obejmującą cały cykl życia wyrobu. Klauzula 4 stawia fundamenty: udokumentowany proces, politykę kryteriów akceptowalności ryzyka zatwierdzoną przez najwyższe kierownictwo, kompetentny personel, plan zarządzania ryzykiem dla każdego wyrobu oraz plik zarządzania ryzykiem zapewniający identyfikowalność każdego zagrożenia.
Klauzula 5 to analiza ryzyka: określenie przewidzianego zastosowania i racjonalnie przewidywalnego niewłaściwego użycia, identyfikacja charakterystyk związanych z bezpieczeństwem, identyfikacja zagrożeń i sytuacji niebezpiecznych oraz oszacowanie ryzyka. Klauzula 6 ocenia ryzyka względem kryteriów z planu. Klauzula 7 to kontrola ryzyka z obowiązkową hierarchią środków: najpierw bezpieczna konstrukcja, potem środki ochronne, na końcu informacje dla bezpieczeństwa; obejmuje też analizę korzyści względem ryzyka dla ryzyk nieakceptowalnych, analizę ryzyk wprowadzanych przez same środki kontroli i sprawdzenie kompletności. Klauzula 8 wymaga oceny całkowitego ryzyka rezydualnego wyrobu jako całości, klauzula 9 przeglądu zarządzania ryzykiem przed zwolnieniem wyrobu do obrotu, a klauzula 10 domyka pętlę: aktywne zbieranie danych z produkcji i fazy poprodukcyjnej, ich przegląd pod kątem bezpieczeństwa i działania w odpowiedzi.
Powiązanie z MDR, ISO 13485 i IEC 62304
ISO 14971 rzadko występuje samodzielnie. Jest ogniwem łączącym ekosystem regulacyjny wyrobów medycznych:
- MDR (UE) 2017/745: Załącznik I rozdział I wymaga systemu zarządzania ryzykiem przez cały cykl życia; plik zarządzania ryzykiem według ISO 14971 to standardowy dowód. Uwaga na różnicę: MDR nie pozwala redukować oszacowanego ryzyka informacjami dla użytkownika, a analiza korzyść-ryzyko jest obowiązkowa dla każdego ryzyka, nie tylko nieakceptowalnego.
- ISO 13485: system zarządzania jakością wymaga zarządzania ryzykiem w realizacji produktu (klauzula 7.1) i wprost odsyła do ISO 14971; audytor ISO 13485 ocenia plik zarządzania ryzykiem podczas audytu QMS.
- IEC 62304: klasyfikacja bezpieczeństwa oprogramowania (klasy A/B/C), która decyduje o rygorze całego cyklu życia oprogramowania, wynika bezpośrednio z analizy ryzyka prowadzonej według ISO 14971.
- ISO/TR 24971: oficjalny przewodnik stosowania ISO 14971, z przykładowymi pytaniami do identyfikacji charakterystyk bezpieczeństwa i wskazówkami dotyczącymi kryteriów akceptowalności.
Jak wygląda ocena zgodności?
ISO 14971 nie ma własnego, samodzielnego programu certyfikacji. Organizacje nie otrzymują „certyfikatu ISO 14971" tak, jak otrzymują certyfikat ISO 27001 czy ISO 13485. Zgodność z normą jest oceniana pośrednio, ale bardzo wnikliwie: audytor jednostki certyfikującej podczas audytu ISO 13485 oraz recenzenci jednostki notyfikowanej podczas oceny zgodności MDR przeglądają plan i plik zarządzania ryzykiem, sprawdzając kompletność procesu i identyfikowalność zagrożeń.
W praktyce oceniający wykonują tak zwany trace: wybierają kilka zagrożeń i podążają śladem od identyfikacji, przez oszacowanie i ocenę, po środki kontroli, dowody ich weryfikacji (wdrożenia i skuteczności, czyli dwa osobne dowody) oraz ocenę ryzyka rezydualnego. Najczęstsze znaleziska to: brak odrębnej oceny całkowitego ryzyka rezydualnego (nowość wzmocniona w wydaniu 2019), środki kontroli bez weryfikacji skuteczności, kryteria akceptowalności zmieniane w trakcie projektu oraz martwa pętla poprodukcyjna (dane z reklamacji, które nigdy nie wracają do analizy ryzyka).
Jak pomaga Guardiso?
Guardiso przekształca wymagania procesu ISO 14971 w prowadzony krok po kroku system z rejestrem ryzyk, dowodami i pętlą poprodukcyjną, które nie rozjeżdżają się w plikach Excela.
- Wymagania klauzul 4-10 tworzone jako kontrole po włączeniu standardu (od polityki i planu, przez analizę oraz kontrolę ryzyka, po przegląd i fazę poprodukcyjną), ze statusami i właścicielami.
- Darmowa samoocena dojrzałości procesu zarządzania ryzykiem z podpowiedziami, czego szuka audytor w pliku zarządzania ryzykiem.
- Rejestr ryzyk z konfigurowalną metodyką: własne skale dotkliwości i prawdopodobieństwa oraz progi akceptowalności, zgodnie z filozofią normy, która nie narzuca macierzy.
- Identyfikowalność zagrożenie → ocena → środek kontroli → weryfikacja → ryzyko rezydualne, czyli dokładnie ta pętla, którą audytor prześledzi w pliku.
- Zadania cykliczne dla pętli poprodukcyjnej: przeglądy danych z produkcji i rynku w zaplanowanych odstępach, z dowodami wykonania.
- Mapowanie krzyżowe na MDR, ISO 13485, IEC 62304 i ISO 27001: jeden proces ryzyka zasila wiele ram jednocześnie.