ISO 13485 代工厂：如何核查一家
ISO 13485 认证究竟给您买到了什么
一家代工厂说自己过了 ISO 13485 认证，这句话能说明的其实只有一件事：这个组织运行着一套为医疗器械建的质量管理体系，并且有注册审核机构按标准审核过。至于证书范围覆不覆盖您的产品、这套体系是不是按您需要的方式在运转？没说。本指南讲的就是这个区别，以及从台湾采购时该怎么核查。
ISO 13485:2016 是面向医疗器械设计、生产、安装与售后服务组织的国际质量管理标准。它和一般质量标准不太一样，是围绕法规要求建起来的：重点不在为改进而改进，而在证明一种能力：持续稳定地做出既满足客户要求、又满足法规要求的器械。所以对采购经理来说，认证的价值要换个角度看：您买的不是一块牌匾，是一套有文件、可审核、可追溯的流程。
ISO 13485 与 ISO 9001：这个区别为何直接影响采购
两个都是质量管理标准，一家工厂可以两张都拿，但谁也替代不了谁。
ISO 9001:2015 是适用于任何行业的通用质量标准，重点在持续改进和客户满意。ISO 13485:2016 是医疗器械专用标准，重点在维持一套有效、成文、符合法规的体系。几项差异，直接影响您对供应商的预期：
- 法规符合性是内建的。 ISO 13485 要求组织在整个流程中识别并满足适用的法规要求，ISO 9001 没有这一条。
- 文件要求重得多，而且是强制的。 ISO 13485 要求成文的程序，ISO 9001 把更多内容留给组织自行裁量。受监管的器械真出了事，能让产品经得起追责的就是这些文件。
- 风险管理挂钩安全与有效性。 ISO 13485 的风险思维直接面向产品安全与性能，和医疗器械风险管理标准 ISO 14971 配套使用。ISO 9001 的风险关注更宽泛，偏经营层面。
- 结构不同。 ISO 13485:2016 保留了早先的高层条款结构，没有跟着 ISO 9001:2015 改用通用的“Annex SL”框架，两者没法逐条对应。这也是为什么一家工厂两项认证都得有，不能有了 9001 就当医疗业务也覆盖了。
说白了：做医疗器械，只有 ISO 9001 不够。您要找的是通过 ISO 13485 认证、范围也对得上的制造商。两张证都有的供应商，说明同一个屋檐下，受监管器械做得了，一般家电也做得了。
可追溯性：您真正花钱买的东西
可追溯性是一套 13485 体系的骨架。意思是：随便挑一台成品，都能重建出哪些元件装了进去、走过哪些工序、谁做的、检验结果如何。
ISO 13485 要求组织建立能支撑可追溯性的记录，器械风险越高，要求越严。审核供应商时，这一项最值得深挖：真出了现场问题或召回，救您的就是它。某个批次冒出缺陷，有可追溯性，问题能圈定在一个批次里；没有，您出过货的每一台都得算进去。
审核时怎么验？挑一台成品或一个近期批号，请供应商当场倒着追一遍。元件批号、该批次的生产记录、所用设备的校准状态、检验结果，应该都能拿出来，不用临时翻箱倒柜。能当着您的面做到，体系就是真实的；说“稍后发给您”的，讲的可能是一套还不存在的体系。
器械历史记录与医疗器械文档
有两个文件概念，建议在审核前先弄清楚，因为 13485 把流程变成证据，靠的就是它们。
器械历史记录（Device History Record，DHR） 这个词出自 FDA 长期沿用的质量法规（21 CFR 820，现已在 QMSR 之下与 ISO 13485 协调统一），指一台成品或一个批次的生产记录，也就是证明该器械是按其主记录造出来的文件。ISO 13485 走的路径不同，结果一样：通过生产记录和医疗器械文档的要求，对每一种器械类型或系列，组织都保存一份文档，包含或引用证明符合性的文件。如果这家制造商的产品要卖美国，您要看的是生产记录满足 DHR 的期望，哪怕工厂内部用的是 ISO 的说法。
医疗器械文档（ISO 13485 条款 4.2.3）是某一器械类型的主参照：产品规格、制造与检验程序，相关情况下再加上安装与售后服务要求。它回答的是“这台器械应该怎么造”；生产记录回答的是“这一批实际怎么造的”。审核时，请对方出示一份脱敏的医疗器械文档，加上同一产品一份已完成的批次记录，核对后者有没有照着前者执行。两份文件对不上的地方，往往就是质量问题藏身的地方。
设计控制：哪怕设计归您所有
设计控制是把一款器械从需求带到经过验证、经过确认、可以投产的那套严谨流程：设计输入、输出、评审、验证、确认、转移与变更控制，全部成文。
采购经理有时会想：设计归品牌所有，工厂只管制造，设计控制跟我有什么关系？还是有关系，原因有两个。其一，设计转移（把设计导入生产）本身就是一个受控步骤。转移做得糟的工厂，会做出任何客户图纸都不该背的缺陷。其二，量产开始后，您提的每一份工程变更都要走变更控制。设计控制成熟的制造商，处理您的变更单会有版本控制和影响评估；没有这套流程的，随手就改，可追溯性就这样悄无声息地被毁掉了。
还有一种情况：代工厂还替您做设计开发。那完整的设计控制流程就在范围之内，这张 ISO 13485 证书的范围声明就必须写明“设计与开发”，不能只写“制造”。
CAPA 与投诉处理：一家工厂怎么学习
一套质量体系的成色，看它怎么应对失败就知道。ISO 13485 要求有纠正与预防措施（CAPA）和投诉处理流程，正是在这里，您能看出一家制造商是把问题当成要关掉的事件，还是当成可以学习的数据。
请对方出示一份已关闭的 CAPA 记录。合格的记录会写明问题、根本原因分析、纠正措施、防止复发的预防措施，还有人验证过整改确实有效的证据。糟糕的记录从“发现问题”直接跳到“已对操作员再培训”，中间什么都没有。这种写法，同样的缺陷还会回来。投诉处理方面，要问清：一条来自您市场的现场投诉是怎么传到车间的？响应又是怎么记录的？在受监管市场销售的器械，这条链还连着报告义务，所以不能是走过场。
内部审核与管理评审
有两项 13485 要求，能告诉您这套体系是自己在转，还是客户盯着才转。一个是内部审核：组织按计划对照标准审自己。另一个是管理评审：管理层正式评审质量数据（审核结果、投诉、CAPA 状态、不合格项），然后真的据此行动。
供应商审核时，请索取内部审核计划表和一份近期的内部审核报告，再问一句上次管理评审什么时候开的。定期审自己、管理评审开完能落成行动的工厂，体系能自我纠错。这些东西只有空白模板的工厂，有证书，但没有能运转的 QMS。这个差别，最终会落到您的产品上。
从台湾采购时，如何核查一家 ISO 13485 代工厂
台湾通过 ISO 13485 认证的制造商很多，底子也厚。正因为选择多，您需要一套核查流程，光认那个标志不够。
- 确认证书真实有效。 拿到证书编号、认证机构，以及背后的认可资质。到认证机构的注册系统或跨注册机构数据库里核对，再把法人主体名称和您的合同对一下。
- 通读范围声明。 确认它覆盖您的器械类型和您需要的工作：只有制造，还是设计开发加制造。
- 现场验追溯。 抽一个批号，让他们在车间里倒着追一遍。
- 拿文件对照现实。 把一份医疗器械文档和同一产品的一份实际批次记录放在一起比对。
- 测变更控制。 问清一份工程变更单在他们体系里怎么流转，由谁签核。
- 确认法规支持对得上您的市场。 要卖美国，核实生产记录满足 DHR 期望，再问清他们为申报提供哪些文件与测试支持。
至于选台湾合作伙伴这个更大的话题（工厂参观清单、危险信号、知识产权保护），可以参考 台湾医疗器械代工厂采购指南这一篇。
我们自己是怎么做的
Gooten 得利诚持有 ISO 13485:2016 与 ISO 9001:2015 认证，每一张证书都查得到：您开口，我们就把可以核对的编号给您。我们在台湾台中生产，产线、研发与质量保证都在同一个厂区，追溯问题和工程变更在车间里就能解决。
质量保证贯穿我们的五阶段流程，覆盖产前、制程与出货终检，再辅以第三方测试。我们有 CE、FCC、RoHS 与 PSE 的合规经验，也为 FDA 申报提供文件与测试支持。到现在已向 50 多个国家的客户出货超过 1,000,000 台，其中有一家美国生发设备头部品牌，从 2008 年起和我们共同做了四个产品世代。
全貌可以看我们的 质量与认证 和 OEM/ODM 服务。
签约之前，先来核查我们
如果您正在甄别 ISO 13485 代工厂，就拿上面这份清单来考我们。联系我们的工程师，把技术细节发过来，再拿我们的答案对照您自己的审核标准。
技术讨论前可先签署 NDA。