Fabricant sous contrat ISO 13485 : le vérifier

Ce que vous achète réellement la certification ISO 13485

Quand un sous-traitant vous dit qu’il est certifié ISO 13485, vous avez appris exactement une chose : l’organisation exploite un système de management de la qualité conçu pour les dispositifs médicaux, et un organisme de certification l’a audité au regard de la norme. Vous n’avez pas appris si le certificat couvre votre produit, ni si le système fonctionne comme vous en avez besoin. Ce guide porte sur cet écart, et sur la façon de le combler quand vous vous approvisionnez à Taïwan.

ISO 13485:2016 est la norme internationale de management de la qualité pour les organisations qui conçoivent, produisent, installent et entretiennent des dispositifs médicaux. Contrairement à certaines normes qualité, elle est bâtie autour des exigences réglementaires. L’objectif n’est pas l’amélioration continue pour elle-même : c’est de prouver que l’usine peut produire de façon constante des dispositifs qui satisfont à la fois aux exigences du client et à celles du régulateur. Pour un responsable achats, cela change la valeur de la certification. Vous n’achetez pas une plaque pour le hall d’accueil. Vous achetez un processus documenté, auditable et traçable.

ISO 13485 face à ISO 9001 : pourquoi la distinction compte pour les achats

Les deux sont des normes de management de la qualité, et une usine peut détenir les deux. L’une ne remplace pas l’autre.

ISO 9001:2015 est une norme générale qui vaut pour n’importe quel secteur ; l’accent porte sur l’amélioration continue et la satisfaction du client. ISO 13485:2016 est propre aux dispositifs médicaux, et l’accent porte sur le maintien en état de marche d’un système efficace, documenté et conforme à la réglementation. Quelques différences changent ce que vous pouvez attendre d’un fournisseur :

• La conformité réglementaire est intégrée. ISO 13485 impose à l’organisation d’identifier et de satisfaire les exigences réglementaires applicables tout au long du processus. ISO 9001 ne le demande pas.
• La documentation est plus lourde et obligatoire. ISO 13485 exige des procédures documentées là où ISO 9001 laisse davantage à l’appréciation de l’organisation. Pour un dispositif réglementé, cette documentation est ce qui rend le produit défendable quand les questions arrivent.
• Le risque est rattaché à la sécurité et à l’efficacité. L’approche par les risques d’ISO 13485 vise la sécurité et les performances du produit, et elle fonctionne aux côtés d’ISO 14971 pour la gestion des risques des dispositifs médicaux. La focale risque d’ISO 9001 est plus large et plus orientée gestion.
• La structure. ISO 13485:2016 a conservé l’ancienne structure de chapitres de haut niveau au lieu d’adopter la disposition « Annexe SL » qu’utilise ISO 9001:2015, si bien que les deux ne se correspondent pas article par article. C’est pourquoi une usine a besoin des deux certifications, et pourquoi vous ne pouvez pas supposer que la 9001 couvre le travail médical.

La conclusion pratique : pour un dispositif médical, ISO 9001 seule ne suffit pas. Vous voulez un fabricant certifié ISO 13485, avec un domaine d’application qui corresponde à votre produit. Un fournisseur qui détient les deux vous indique que le même toit gère les dispositifs réglementés et la production d’appareils grand public.

La traçabilité : ce que vous payez réellement

La traçabilité est la colonne vertébrale d’un système 13485. Pour tout dispositif fini, l’usine devrait pouvoir reconstituer quels composants y sont entrés, par quels procédés il est passé, qui les a exécutés et quels ont été les résultats d’inspection.

ISO 13485 exige des enregistrements qui assurent la traçabilité, et pour les dispositifs à risque plus élevé les exigences se resserrent. Quand vous auditez un fournisseur, c’est la capacité à sonder le plus durement, parce que c’est celle qui vous sauve lors d’un incident terrain ou d’un rappel. Si un défaut apparaît dans un lot, la traçabilité vous permet de circonscrire le problème à ce lot au lieu de toutes les unités que vous avez expédiées.

Comment la vérifier pendant un audit : choisissez une unité finie ou un numéro de lot récent et demandez au fournisseur de le remonter à l’envers. Il devrait sortir les numéros de lot des composants, les enregistrements de production de ce lot, l’état d’étalonnage des équipements utilisés et les résultats d’inspection, sans partir en courant. Un fournisseur qui fait cela devant vous a un système réel. Celui qui promet de « vous l’envoyer plus tard » décrit peut-être un système qui n’existe pas encore.

Le Device History Record et le dossier du dispositif médical

Deux notions documentaires méritent d’être comprises avant d’auditer, parce que c’est là que la 13485 transforme le processus en preuve.

Le Device History Record (DHR) est un terme issu de la réglementation qualité de longue date de la FDA (21 CFR 820, depuis harmonisée avec ISO 13485 sous la QMSR). C’est l’enregistrement de production d’un dispositif ou d’un lot fini : les documents prouvant que le dispositif a été construit conformément à son dossier maître. ISO 13485 aboutit au même résultat par ses enregistrements de production et par les exigences de son dossier du dispositif médical : pour chaque type ou famille de dispositif, l’organisation tient un dossier qui contient ou référence les documents démontrant la conformité. Si le fabricant vend sur le marché américain, ce que vous voulez voir, ce sont des enregistrements de production qui satisfont aux attentes du DHR, même là où le terme employé par la FDA ne l’est pas.

Le dossier du dispositif médical (article 4.2.3 d’ISO 13485) est la référence maîtresse d’un type de dispositif : spécifications produit, procédures de fabrication et d’inspection et, le cas échéant, exigences d’installation et de maintenance. Il répond à « comment ce dispositif est censé être construit ». Les enregistrements de production répondent à « comment ce lot a réellement été construit ». Pendant un audit, demandez à voir un dossier de dispositif médical expurgé et un dossier de lot complété pour le même produit, puis vérifiez que le second suit le premier. Les écarts entre les deux sont l’endroit où vivent les problèmes de qualité.

La maîtrise de la conception, même si la conception est la vôtre

La maîtrise de la conception est le processus discipliné qui mène un dispositif des exigences jusqu’à une conception vérifiée, validée et prête pour la production : données d’entrée, données de sortie, revue, vérification, validation, transfert et maîtrise des modifications, le tout documenté.

Des responsables achats se disent parfois que la maîtrise de la conception n’a pas d’importance quand la marque possède la conception et que l’usine se contente de la construire. Elle en a, pour deux raisons. D’abord, le transfert de conception, c’est-à-dire le passage d’une conception en production, est lui-même une étape maîtrisée, et une usine qui le gère mal introduira des défauts que la conception d’entrée n’avait pas. Ensuite, une fois la production lancée, chaque modification d’ingénierie que vous demandez passe par la maîtrise des modifications. Un fabricant doté d’une maîtrise de la conception mature traite vos ordres de modification avec gestion des indices et évaluation d’impact. Un fabricant qui en est dépourvu fait des changements au fil de l’eau qui cassent discrètement la traçabilité.

Si votre sous-traitant réalise aussi pour vous du travail de conception et développement, l’ensemble du processus de maîtrise de la conception entre dans le périmètre, et le certificat ISO 13485 doit mentionner « conception et développement » dans son domaine d’application, et pas seulement « fabrication ».

CAPA et traitement des réclamations : comment une usine apprend

Un système qualité montre ce qu’il vaut dans sa façon de réagir à l’échec. ISO 13485 exige des processus d’actions correctives et préventives (CAPA) et de traitement des réclamations, et c’est là que vous découvrez si un fabricant traite les problèmes comme des événements à clore ou comme des données dont on apprend.

Demandez à voir un dossier CAPA clos. Un bon dossier énonce le problème, l’analyse de cause racine, la correction, l’action préventive prise pour empêcher la récurrence, et la preuve que quelqu’un a vérifié que la correction fonctionnait. Un mauvais saute de « problème » à « opérateur reformé » sans rien entre les deux. Ce schéma signifie que le même défaut reviendra. Pour le traitement des réclamations, demandez comment une réclamation venue de votre marché atteint l’atelier et comment la réponse est documentée. Pour des dispositifs vendus sur des marchés réglementés, cette chaîne rejoint aussi des obligations de déclaration, donc elle doit être réelle.

Audits internes et revue de direction

Deux exigences de la 13485 vous disent si le système tourne tout seul ou seulement quand un client regarde. Les audits internes : l’organisation s’audite elle-même au regard de la norme, selon un calendrier. La revue de direction : la direction examine formellement les données qualité, résultats d’audit, réclamations, état des CAPA, non-conformités, et agit en conséquence.

Pendant un audit fournisseur, demandez le calendrier des audits internes et un rapport d’audit interne récent, et demandez quand a eu lieu la dernière revue de direction. Une usine qui s’audite régulièrement, et dont les revues de direction débouchent sur des actions, a un système qui se corrige lui-même. Une usine où tout cela n’existe qu’à l’état de modèles vierges a un certificat, pas un système qualité en fonctionnement. Cette différence finira par apparaître dans votre produit.

Comment vérifier un fabricant sous contrat ISO 13485 quand on s’approvisionne à Taïwan

Taïwan dispose d’une base profonde de fabricants certifiés ISO 13485. C’est précisément pour cela qu’il vous faut une routine de vérification plutôt qu’une confiance dans le logo.

1. Confirmez que le certificat est authentique et en cours de validité. Récupérez le numéro de certificat, l’organisme de certification et l’accréditation qui le soutient. Vérifiez-le dans le registre de l’organisme de certification ou dans une base de données inter-organismes, et faites correspondre le nom de l’entité juridique à celui de votre contrat.
2. Lisez le domaine d’application. Confirmez qu’il couvre votre type de dispositif et le travail dont vous avez besoin : fabrication seule, ou conception et développement plus fabrication.
3. Auditez la traçabilité en direct. Sortez un numéro de lot et faites-le remonter à l’envers dans l’atelier.
4. Confrontez la documentation à la réalité. Comparez un dossier du dispositif médical à un dossier de lot réel du même produit.
5. Mettez la maîtrise des modifications à l’épreuve. Demandez comment un ordre de modification d’ingénierie circule dans leur système et qui le valide.
6. Vérifiez que le soutien réglementaire correspond à votre marché. Si vous vendez aux États-Unis, contrôlez que leurs enregistrements de production répondent aux attentes du DHR, et demandez quel accompagnement documentaire et quels essais ils fournissent pour les dépôts.

Pour la question plus large du choix d’un partenaire taïwanais, la check-list de visite d’usine, les signaux d’alerte et la protection de la propriété intellectuelle, voyez notre guide de l’acheteur sur les sous-traitants de dispositifs médicaux à Taïwan.

Comment nous procédons

Gooten Innolife détient les certifications ISO 13485:2016 et ISO 9001:2015, et chaque certificat que nous détenons est vérifiable : demandez, et nous vous donnerons les numéros à contrôler. Nous fabriquons à Taichung, Taïwan, avec la production, la R&D et l’assurance qualité sur un même site, si bien que les questions de traçabilité et les modifications d’ingénierie se règlent dans l’atelier.

L’assurance qualité parcourt notre processus en cinq phases, avec contrôle avant série, en cours de production et inspection finale, plus des essais en tierce partie. Nous avons une expérience de conformité CE, FCC, RoHS et PSE, et nous fournissons un accompagnement documentaire et des essais pour les dépôts auprès de la FDA. Nous avons expédié plus de 1 000 000 d’unités à des clients dans plus de 50 pays, dont un leader américain des appareils de repousse capillaire qui a construit quatre générations de produit avec nous depuis 2008.

Vous pouvez consulter nos pages qualité et certifications et services OEM/ODM pour le tableau complet.

Vérifiez-nous avant de vous engager

Si vous évaluez un fabricant sous contrat ISO 13485, passez-nous à la check-list ci-dessus. Contactez nos ingénieurs, envoyez le détail technique et confrontez nos réponses à votre propre standard d’audit.