ISO 13485 代工厂：如何核查一家
ISO 13485 认证究竟给您买到了什么
一家代工厂说自己过了 ISO 13485 认证，这句话能说明的其实只有一件事：这个组织运行着一套为医疗器械建的质量管理体系，并且有注册审核机构按标准审核过。至于证书范围覆不覆盖您的产品、这套体系是不是按您需要的方式在运转？没说。本指南讲的就是这个区别，以及从台湾采购时该怎么核查。
ISO 13485:2016 是面向医疗器械设计、生产、安装与售后服务组织的国际质量管理标准。它和一般质量标准不太一样，是围绕法规要求建起来的：重点不在为改进而改进，而在证明一种能力：持续稳定地做出既满足客户要求、又满足法规要求的器械。所以对采购经理来说，认证的价值要换个角度看：您买的不是一块牌匾，是一套有文件、可审核、可追溯的流程。
ISO 13485 与 ISO 9001：这个区别为何直接影响采购
两个都是质量管理标准，一家工厂可以两张都拿，但谁也替代不了谁。
ISO 9001:2015 是适用于任何行业的通用质量标准，重点在持续改进和客户满意。ISO 13485:2016 是医疗器械专用标准，重点在维持一套有效、成文、符合法规的体系。几项差异，直接影响您对供应商的预期：
- 医疗器械的法规范围。 先确认器械、目标市场及供应商所执行活动适用的要求。FDA 的 QMSR 说明指出，美国器械质量体系要求纳入 ISO 13485，并结合适用的 FDA 规定。单凭一张通用的 ISO 9001 证书，无法证明已满足这些医疗器械要求。
- 文件要求重得多，而且是强制的。 ISO 13485 要求成文的程序，ISO 9001 把更多内容留给组织自行裁量。受监管的器械真出了事，能让产品经得起追责的就是这些文件。
- 风险管理挂钩安全与有效性。 ISO 13485 的风险思维直接面向产品安全与性能，和医疗器械风险管理标准 ISO 14971 配套使用。ISO 9001 的风险关注更宽泛，偏经营层面。
- 结构不同。 ISO 13485:2016 保留了早先的高层条款结构，没有跟着 ISO 9001:2015 改用通用的“Annex SL”框架，两者没法逐条对应。ISO 13485 是独立标准；条款结构不同，不代表所有工厂都必须同时持有两张证书。应确认目标市场与合同适用的标准及认证条件。
采购时，应把供应商的文件化活动、证书范围与实际记录，对照您需要委托的工作。是否必须持有相关 ISO 证书，需根据市场与合同确认。FDA 的 QMSR 常见问题说明，FDA 不要求持有 ISO 13485 证书，持有证书也不能免除 FDA 检查。单凭一张或两张证书，都不能证明您的器械已符合法规，也不能证明某一厂区实际制造哪些产品。
可追溯性：您真正花钱买的东西
可追溯性是在器械与实际工作所界定的范围内，关联相关的产品、生产及检验记录。先约定哪些元件或材料批号、工序记录与流向信息需要相互关联，再确认这些关联如何维持。
追溯的必要范围应根据器械、适用法规要求与约定的项目控制决定。调查现场问题时，应以实际记录和缺陷证据界定范围。可追溯性有助于找出受影响的产品，但不能保证缺陷只限于一个批次，也不代表所有相关记录都必须有相同的细致程度。
审核时怎么验？挑一台成品或一个近期批号，请供应商当场倒着追一遍。元件批号、该批次的生产记录、所用设备的校准状态、检验结果，应该都能拿出来，不用临时翻箱倒柜。能当着您的面做到，体系就是真实的；说“稍后发给您”的，讲的可能是一套还不存在的体系。
器械历史记录与医疗器械文档
有两个文件概念，建议在审核前先弄清楚，因为 13485 把流程变成证据，靠的就是它们。
器械历史记录（Device History Record，DHR） 是 FDA 旧版质量体系法规使用的名称。自 2026 年 2 月 2 日起，质量管理体系法规（QMSR） 已生效。FDA 最终规则的第 31 项回应说明，DHR、DMR 与 DHF 不再作为独立的法规术语与记录类型要求，因为其基本要素大多已由 ISO 13485 的 4.2 与 7 条款涵盖。许多原 DHR 要素仍须保存在 7.5.1 条款要求的器械或批次记录中，保存记录的义务并未消失。涉及美国市场的工作，应询问现行程序与记录如何满足适用的 QMSR 要求，以及旧记录如何对应；文件夹沿用旧名称本身不能证明符合性，这项变更也不等于必须给所有旧记录改名。
医疗器械文档（ISO 13485 条款 4.2.3）是某一器械类型的主参照：产品规格、制造与检验程序，相关情况下再加上安装与售后服务要求。它回答的是“这台器械应该怎么造”；生产记录回答的是“这一批实际怎么造的”。审核时，请对方出示一份脱敏的医疗器械文档，加上同一产品一份已完成的批次记录，核对后者有没有照着前者执行。两份文件对不上的地方，往往就是质量问题藏身的地方。
设计控制：哪怕设计归您所有
设计控制是把一款器械从需求带到经过验证、经过确认、可以投产的那套严谨流程：设计输入、输出、评审、验证、确认、转移与变更控制，全部成文。
拥有设计与控制制造变更是不同的责任。量产前应约定谁负责设计转移、批准版本、变更评估与放行，再请供应商展示其受托工作如何衔接设计所有人的受控信息。应核查哪些活动与证据，取决于实际分工和适用要求，不能只看设计归谁所有。
如果供应商承接设计开发，应核查质量体系范围与记录是否涵盖受托活动，并检查其主张的删减或不适用项目。FDA 最终规则的第 45 项回应说明，QMSR 的设计开发要求有其适用器械范围，也承认经法规主管机构允许并有文件记录的删减。请与您的法规团队确认要求；证书上某个特定词句，不能代替对范围、职责与记录的核查。
CAPA 与投诉处理：一家工厂怎么学习
一套质量体系的成色，看它怎么应对失败就知道。ISO 13485 要求有纠正与预防措施（CAPA）和投诉处理流程，正是在这里，您能看出一家制造商是把问题当成要关掉的事件，还是当成可以学习的数据。
请对方提供一份已关闭的 CAPA 记录，核查问题、即时纠正或遏制措施、原因分析、选择的措施，以及与问题及风险相称的有效性证据。纠正措施处理实际的不合格项及其原因；预防措施处理潜在的不合格项。FDA 最终规则的第 20 项回应保留了这一区别。如果记录只有操作员再培训，原因与有效性仍有待查清，不能仅凭这一点就断定缺陷一定复发。投诉方面，应询问信息如何传到负责团队、如何记录响应，以及如何评估适用的报告条件。
内部审核与管理评审
有两项 13485 要求，能告诉您这套体系是自己在转，还是客户盯着才转。一个是内部审核：组织按计划对照标准审自己。另一个是管理评审：管理层正式评审质量数据（审核结果、投诉、CAPA 状态、不合格项），然后真的据此行动。
供应商审核时，请索取内部审核计划表和一份近期的内部审核报告，再问一句上次管理评审什么时候开的。定期审自己、管理评审开完能落成行动的工厂，体系能自我纠错。这些东西只有空白模板的工厂，有证书，但没有能运转的 QMS。这个差别，最终会落到您的产品上。
从台湾采购时，如何核查一家 ISO 13485 代工厂
台湾通过 ISO 13485 认证的制造商很多，底子也厚。正因为选择多，您需要一套核查流程，光认那个标志不够。
- 确认证书真实有效。 拿到证书编号、认证机构，以及背后的认可资质。到认证机构的注册系统或跨注册机构数据库里核对，再把法人主体名称和您的合同对一下。
- 通读范围声明。 确认它覆盖您的器械类型和您需要的工作：只有制造，还是设计开发加制造。
- 现场验追溯。 抽一个批号，让他们在车间里倒着追一遍。
- 拿文件对照现实。 把一份医疗器械文档和同一产品的一份实际批次记录放在一起比对。
- 测变更控制。 问清一份工程变更单在他们体系里怎么流转，由谁签核。
- 确认法规支持对得上您的市场。 涉及美国市场的工作，应询问供应商现行程序与生产记录如何满足适用的 QMSR 要求，包括旧记录如何对应，并确认约定范围内包含哪些制造文件与测试支持。
至于选台湾合作伙伴这个更大的话题（工厂参观清单、危险信号、知识产权保护），可以参考 台湾供应商评估指南这一篇。
我们自己是怎么做的
Gooten 得利诚持有 ISO 13485:2016 与 ISO 9001:2015 认证，每一张证书都查得到：您开口，我们就把可以核对的编号给您。我们在台湾台中生产，产线、研发与质量保证都在同一个厂区，追溯问题和工程变更在车间里就能解决。
质量保证贯穿我们的五阶段流程，覆盖产前、制程与出货终检，再辅以第三方测试。我们有 CE、FCC、RoHS 与 PSE 的合规经验，也为 FDA 申报提供文件与测试支持。到现在已向 50 多个国家的客户出货超过 1,000,000 台，其中有一家美国生发设备头部品牌，从 2008 年起和我们共同做了四个产品世代。
全貌可以看我们的 质量与认证 和 OEM/ODM 服务。
签约之前，先来核查我们
如果您正在甄别 ISO 13485 代工厂，就拿上面这份清单来考我们。联系我们的工程师，把技术细节发过来，再拿我们的答案对照您自己的审核标准。
技术讨论前可先签署 NDA。