ISO 13485 代工厂：如何核查一家

ISO 13485 认证究竟为您买到了什么

当一家代工厂说自己通过了 ISO 13485 认证，这只告诉您：该组织运行着一套为医疗器械而建的质量管理体系，并且有一家注册审核机构按标准对它做过审核。它并没有告诉您该证书覆盖了您的产品，也没有告诉您这套体系是按您所需要的方式运作的。本指南讲的正是这个区别，以及从台湾采购时该如何核查。

ISO 13485:2016 是面向从事医疗器械设计、生产、安装与售后服务的组织的国际质量管理标准。与某些质量标准不同，它是围绕法规要求构建的：目标不是为改进而改进，而是证明一种持续稳定地生产出既满足客户要求、又满足法规要求的设备的能力。对于一位采购经理，这重新定义了认证的价值。您买的不是一块牌匾，您买的是一套有文件、可审核、可追溯的流程。

ISO 13485 与 ISO 9001—这个区别为何对采购至关重要

两者都是质量管理标准，一家工厂可以两者兼具。但它们并不可以互相替代。

ISO 9001:2015 是适用于任何行业的通用质量标准，强调持续改进与客户满意。ISO 13485:2016 则是医疗器械专用的，强调维持一套有效、有文件、符合法规的体系。几项会改变您对供应商预期的差异：

• 法规符合性内建其中。 ISO 13485 要求组织在整个流程中识别并满足适用的法规要求，ISO 9001 则不要求。
• 文件更繁重且是强制性的。 ISO 13485 要求成文的程序，而 ISO 9001 把更多内容留给组织自行裁量。对于一款受监管的设备，正是这些文件让产品经得起追责。
• 风险与安全和有效性挂钩。 ISO 13485 基于风险的思维是面向产品安全与性能的，并与用于医疗器械风险管理的 ISO 14971 协同工作。ISO 9001 的风险关注更宽泛、更偏向经营层面。
• 结构。 ISO 13485:2016 保留了早先的高层级条款结构，而没有采用 ISO 9001:2015 所用的通用“Annex SL”布局，因此两者无法逐条对应。这正是为什么一家工厂需要同时持有两项认证，而不能假定 9001 就覆盖了医疗工作。

实际启示：对于一款医疗器械，仅有 ISO 9001 是不够的。您要的是一家通过 ISO 13485 认证、且认证范围相匹配的制造商。一家双认证供应商—ISO 13485 与 ISO 9001—所传达的，是一套能在同一屋檐下既处理受监管设备、又处理一般家电生产的体系。

可追溯性：您真正在为之付费的东西

可追溯性是一套 13485 体系的骨干。它是这样一种能力：对于任何一台成品，都能重构出哪些元件进入了它、它经过了哪些工序、由谁执行、检验结果如何。

ISO 13485 要求组织建立能提供可追溯性的记录，而对于风险更高的设备，要求会更严。当您审核一家供应商时，这是最该深挖的一项能力，因为正是它在现场问题或召回发生时救您于水火。如果某一批次冒出一处缺陷，可追溯性能让您把问题的范围圈定到一个批次，而不是圈定到您曾出货过的每一台。

审核时如何核查：挑一台成品或一个近期的批号，要求供应商把它倒着追溯一遍。他们应当能拿出元件批号、那一批次的生产记录、所用设备的校准状态，以及检验结果，而无需临时手忙脚乱。一家能当着您的面做到这一点的供应商，才有一套真实的体系。一家承诺“稍后发给您”的供应商，描述的可能是一套尚不存在的体系。

器械历史记录与医疗器械文档

有两个文件概念，值得在审核之前先搞清楚，因为它们正是 13485 把流程转化为证据的地方。

器械历史记录（Device History Record，DHR） 是一个源自 FDA 长期沿用的质量法规（21 CFR 820—现已在 QMSR 之下与 ISO 13485 协调统一）的术语，指一台成品或一个批次的生产记录—即证明该设备是按其主记录制造的文件。ISO 13485 通过其生产记录与医疗器械文档的要求达到同样的结果：对于每一种设备类型或系列，组织都保存一份文档，其中包含或引用那些证明符合性的文件。当一家制造商向美国市场销售时，您会希望看到其生产记录满足 DHR 的期望，哪怕并未使用这个 ISO 术语。

医疗器械文档（ISO 13485 条款 4.2.3）是某一设备类型的主参照：产品规格、制造与检验程序，以及在相关情况下的安装与售后服务要求。它是那份“这台设备本应如何制造”的文件。而生产记录则是“这一批次实际如何制造”的证据。审核时，请要求查看一份脱敏的医疗器械文档，以及同一产品一份已完成的批次记录，并核对后者是否遵循前者。两者之间的缝隙，正是质量问题藏身之处。

设计控制—即便设计归您所有

设计控制是把一款设备从需求带到经验证、经确认、可投产的设计的那套严谨流程：设计输入、输出、评审、验证、确认、转移与变更控制，全部成文。

采购经理有时会假定：当设计归品牌所有、工厂只负责制造时，设计控制就无关紧要了。它们仍然要紧，原因有二。其一，设计转移—把设计导入生产—本身就是一个受控步骤，一家把转移做得糟糕的工厂，会引入任何来图设计都不该为之负责的缺陷。其二，一旦生产开始，您所要求的每一项工程变更都会流经变更控制。一家设计控制成熟的制造商，会以版本控制和影响评估来处理您的变更单。而没有这套流程的工厂，则会做出临时性的改动，悄无声息地破坏可追溯性。

如果您的代工厂还为您做设计与开发工作，那么完整的设计控制流程就在范围之内，而这份 ISO 13485 证书的范围声明就需要写明“设计与开发”，而不只是“制造”。

CAPA 与投诉处理—一家工厂如何学习

一套质量体系的好坏，取决于它对失败的响应。ISO 13485 要求有纠正与预防措施（CAPA）以及投诉处理流程，而正是在这里，您能看出一家制造商是把问题当作要关闭的事件，还是当作可供学习的数据。

请要求查看一份已关闭的 CAPA 记录。一份好的记录会陈述问题、根本原因分析、纠正措施、为阻止复发所采取的预防措施，以及有人验证过修复确实有效的证据。一份糟糕的记录会从“问题”直接跳到“操作员已再培训”，中间什么都没有—这种模式意味着同样的缺陷还会回来。至于投诉处理，请询问：一条来自您市场的现场投诉是如何抵达工厂车间的，以及响应是如何被记录的。对于在受监管市场销售的设备，这条链条还连着报告义务，因此它必须是真实存在的。

内部审核与管理评审

有两项 13485 要求，能告诉您这套体系是自行运转，还是只在客户盯着时才运转。内部审核，是组织按计划对照标准审核自身。管理评审，是管理层正式评审质量数据—审核结果、投诉、CAPA 状态、不合格项—并据此采取行动。

在供应商审核中，请索取内部审核计划表和一份近期的内部审核报告，并询问上一次管理评审是何时进行的。一家定期自我审核、且其管理评审能产出行动的工厂，拥有一套自我纠错的体系。一家这些只以空白模板形式存在的工厂，则是有证书而无可运作的 QMS，而这个差别会在您的产品上显现出来。

从台湾采购时，如何核查一家 ISO 13485 代工厂

台湾拥有深厚的 ISO 13485 认证制造商基础，而这恰恰是您需要一套核查流程、而非仅仅信任那个标志的原因。

1. 确认证书真实且有效。 拿到证书编号、认证机构，以及其背后的认可资质。对照认证机构的注册系统或跨注册机构数据库核查它。把法人主体名称与您的合同相匹配。
2. 阅读范围声明。 确认它覆盖了您的设备类型和您所需要的工作—是仅限制造，还是设计与开发加制造。
3. 现场审核可追溯性。 抽一个批号，让他们在车间里把它倒着追溯一遍。
4. 拿文件对照现实。 把一份医疗器械文档与同一产品一份实际的批次记录做比较。
5. 测试变更控制。 询问一份工程变更单是如何流经他们体系的，以及由谁签署核准。
6. 确认法规支持匹配您的市场。 如果您向美国销售，核实其生产记录满足 DHR 期望，并询问他们为申报提供哪些文件与测试支持。

关于选择一家台湾伙伴这个更大的问题—工厂参观清单、危险信号与知识产权保护—请参见我们的 台湾医疗器械代工厂采购指南。

我们是怎么做的

Gooten 得利诚持有 ISO 13485:2016 与 ISO 9001:2015 认证，且我们持有的每一张证书都可查验—开口询问，我们就给您可供核对的编号。我们在台湾台中制造，产线、研发与质量保证同址，因此可追溯性问题和工程变更都在车间里解决。

质量保证贯穿我们的五阶段流程，涵盖产前、制程与出货终检，并辅以第三方测试。我们具备 CE、FCC、RoHS 与 PSE 的合规经验，并为 FDA 申报提供文件与测试支持。我们已向 50 多个国家的客户出货超过 1,000,000 台，其中包括一家自 2008 年起与我们共同打造了四个产品世代的美国生发设备领先品牌。

您可以查看我们的 质量与认证 和 OEM/ODM 服务 以了解全貌。

在您签约之前，先核查我们

如果您正在甄别一家 ISO 13485 代工厂，就用上面这份清单来考验我们。联系我们的工程师，把技术细节发过来，再拿我们的答案去对照您自己的审核标准。