Fabricant sous contrat ISO 13485 : le vérifier

Ce que vous achète réellement la certification ISO 13485

Quand un sous-traitant vous dit qu’il est certifié ISO 13485, vous avez appris exactement une chose : l’organisation exploite un système de management de la qualité conçu pour les dispositifs médicaux, et un organisme de certification l’a audité au regard de la norme. Vous n’avez pas appris si le certificat couvre votre produit, ni si le système fonctionne comme vous en avez besoin. Ce guide porte sur cet écart, et sur la façon de le combler quand vous vous approvisionnez à Taïwan.

ISO 13485:2016 est la norme internationale de management de la qualité pour les organisations qui conçoivent, produisent, installent et entretiennent des dispositifs médicaux. Contrairement à certaines normes qualité, elle est bâtie autour des exigences réglementaires. L’objectif n’est pas l’amélioration continue pour elle-même : c’est de prouver que l’usine peut produire de façon constante des dispositifs qui satisfont à la fois aux exigences du client et à celles du régulateur. Pour un responsable achats, cela change la valeur de la certification. Vous n’achetez pas une plaque pour le hall d’accueil. Vous achetez un processus documenté, auditable et traçable.

ISO 13485 face à ISO 9001 : pourquoi la distinction compte pour les achats

Les deux sont des normes de management de la qualité, et une usine peut détenir les deux. L’une ne remplace pas l’autre.

ISO 9001:2015 est une norme générale qui vaut pour n’importe quel secteur ; l’accent porte sur l’amélioration continue et la satisfaction du client. ISO 13485:2016 est propre aux dispositifs médicaux, et l’accent porte sur le maintien en état de marche d’un système efficace, documenté et conforme à la réglementation. Quelques différences changent ce que vous pouvez attendre d’un fournisseur :

• Périmètre réglementaire des dispositifs médicaux. Identifiez les exigences applicables au dispositif, au marché et aux activités du fournisseur. La présentation de la QMSR par la FDA explique comment ISO 13485 est intégrée aux exigences américaines relatives aux systèmes qualité des dispositifs médicaux, aux côtés des dispositions applicables de la FDA. Un certificat général ISO 9001 ne démontre pas, à lui seul, que ces exigences propres aux dispositifs médicaux sont satisfaites.
• La documentation est plus lourde et obligatoire. ISO 13485 exige des procédures documentées là où ISO 9001 laisse davantage à l’appréciation de l’organisation. Pour un dispositif réglementé, cette documentation est ce qui rend le produit défendable quand les questions arrivent.
• Le risque est rattaché à la sécurité et à l’efficacité. L’approche par les risques d’ISO 13485 vise la sécurité et les performances du produit, et elle fonctionne aux côtés d’ISO 14971 pour la gestion des risques des dispositifs médicaux. La focale risque d’ISO 9001 est plus large et plus orientée gestion.
• La structure. ISO 13485:2016 a conservé l’ancienne structure de chapitres de haut niveau au lieu d’adopter la disposition « Annexe SL » qu’utilise ISO 9001:2015, si bien que les deux ne se correspondent pas article par article. ISO 13485 est une norme autonome ; des structures différentes ne créent pas d’obligation universelle de détenir les deux certificats. Confirmez les normes et les conditions de certification applicables à vos marchés et à votre contrat.

Pour vos achats, confrontez les activités documentées du fournisseur, le domaine d’application de ses certificats et ses enregistrements réels au travail dont vous avez besoin. Les exigences de certification peuvent dépendre du marché et du contrat. La FAQ de la FDA sur la QMSR explique que la FDA n’exige pas de certificat ISO 13485 et qu’un certificat ne dispense pas un fabricant d’une inspection par la FDA. Ni un certificat ni une paire de certificats ne suffisent à établir la conformité de votre dispositif ou à prouver ce qu’un site donné fabrique.

La traçabilité : ce que vous payez réellement

La traçabilité relie les enregistrements pertinents sur le produit, la production et les inspections dans le périmètre défini pour le dispositif et le travail effectué. Convenez des lots de composants ou de matières, des enregistrements de procédés et des informations de distribution à relier, puis vérifiez comment ces liens sont maintenus.

Déterminez l’étendue requise de la traçabilité à partir du dispositif, des exigences réglementaires applicables et des mesures de maîtrise convenues pour le projet. Appuyez-vous sur les enregistrements réels et les éléments attestant le défaut pour délimiter une investigation sur le terrain. La traçabilité peut aider à identifier les unités concernées, mais elle ne garantit ni qu’un défaut se limite à un seul lot ni que tous les enregistrements pertinents doivent présenter le même niveau de détail.

Comment la vérifier pendant un audit : choisissez une unité finie ou un numéro de lot récent et demandez au fournisseur de le remonter à l’envers. Il devrait sortir les numéros de lot des composants, les enregistrements de production de ce lot, l’état d’étalonnage des équipements utilisés et les résultats d’inspection, sans partir en courant. Un fournisseur qui fait cela devant vous a un système réel. Celui qui promet de « vous l’envoyer plus tard » décrit peut-être un système qui n’existe pas encore.

Le Device History Record et le dossier du dispositif médical

Deux notions documentaires méritent d’être comprises avant d’auditer, parce que c’est là que la 13485 transforme le processus en preuve.

Le Device History Record (DHR) est un terme hérité de l’ancienne réglementation Quality System de la FDA. Depuis le 2 février 2026, la réglementation sur le système de management de la qualité (QMSR) est en vigueur. Dans sa règle définitive, réponse 31, la FDA a supprimé les termes distincts DHR, DMR et DHF ainsi que les exigences relatives à ces types d’enregistrements, car leurs éléments sous-jacents sont largement couverts par les articles 4.2 et 7 d’ISO 13485. De nombreux éléments auparavant inclus dans le DHR sont requis dans l’enregistrement du dispositif ou du lot prévu à l’article 7.5.1. Les obligations de tenue des enregistrements n’ont pas disparu. Pour le marché américain, demandez comment les procédures et les enregistrements actuels satisfont aux exigences applicables de la QMSR et comment les anciens enregistrements y sont rattachés. L’ancien nom du dossier ne constitue pas, à lui seul, une preuve de conformité, et ce changement n’impose pas en soi de renommer chaque ancien enregistrement.

Le dossier du dispositif médical (article 4.2.3 d’ISO 13485) est la référence maîtresse d’un type de dispositif : spécifications produit, procédures de fabrication et d’inspection et, le cas échéant, exigences d’installation et de maintenance. Il répond à « comment ce dispositif est censé être construit ». Les enregistrements de production répondent à « comment ce lot a réellement été construit ». Pendant un audit, demandez à voir un dossier de dispositif médical expurgé et un dossier de lot complété pour le même produit, puis vérifiez que le second suit le premier. Les écarts entre les deux sont l’endroit où vivent les problèmes de qualité.

La maîtrise de la conception, même si la conception est la vôtre

La maîtrise de la conception est le processus discipliné qui mène un dispositif des exigences jusqu’à une conception vérifiée, validée et prête pour la production : données d’entrée, données de sortie, revue, vérification, validation, transfert et maîtrise des modifications, le tout documenté.

Détenir la conception et maîtriser les modifications de fabrication sont des responsabilités différentes. Convenez, avant le démarrage de la production, de qui gère le transfert de conception, les révisions approuvées, l’évaluation des modifications et leur approbation. Demandez au fournisseur de montrer comment le travail qui lui est confié s’articule avec les informations maîtrisées du détenteur de la conception. Les activités et les preuves à examiner dépendent de la répartition réelle du travail et des exigences applicables, et pas simplement de l’identité du propriétaire de la conception.

Si votre fournisseur effectue des activités de conception et développement, vérifiez que le domaine d’application de son système qualité et ses enregistrements couvrent les activités qui lui sont confiées, puis examinez toute exclusion ou non-applicabilité invoquée. La réponse 45 de la règle définitive de la FDA explique l’applicabilité des exigences de conception et développement selon le dispositif dans le cadre de la QMSR et reconnaît les exclusions documentées permises par l’autorité réglementaire. Confirmez les exigences avec votre équipe chargée des affaires réglementaires ; une formulation particulière sur un certificat ne remplace pas la vérification du périmètre, des responsabilités et des enregistrements.

CAPA et traitement des réclamations : comment une usine apprend

Un système qualité montre ce qu’il vaut dans sa façon de réagir à l’échec. ISO 13485 exige des processus d’actions correctives et préventives (CAPA) et de traitement des réclamations, et c’est là que vous découvrez si un fabricant traite les problèmes comme des événements à clore ou comme des données dont on apprend.

Demandez à voir un dossier CAPA clos et examinez le problème, toute correction immédiate ou mesure de confinement, l’analyse des causes, l’action choisie et les preuves d’efficacité adaptées au problème et au risque. L’action corrective traite les non-conformités réelles et leurs causes ; l’action préventive traite les non-conformités potentielles. La réponse 20 de la règle définitive de la FDA maintient cette distinction. Un dossier qui mentionne seulement une nouvelle formation des opérateurs laisse ouvertes les questions de cause et d’efficacité ; il ne prouve pas, à lui seul, que le défaut se reproduira. Pour les réclamations, demandez comment les informations parviennent à l’équipe responsable, comment la réponse est enregistrée et comment les éventuels critères de déclaration applicables sont évalués.

Audits internes et revue de direction

Deux exigences de la 13485 vous disent si le système tourne tout seul ou seulement quand un client regarde. Les audits internes : l’organisation s’audite elle-même au regard de la norme, selon un calendrier. La revue de direction : la direction examine formellement les données qualité, résultats d’audit, réclamations, état des CAPA, non-conformités, et agit en conséquence.

Pendant un audit fournisseur, demandez le calendrier des audits internes et un rapport d’audit interne récent, et demandez quand a eu lieu la dernière revue de direction. Une usine qui s’audite régulièrement, et dont les revues de direction débouchent sur des actions, a un système qui se corrige lui-même. Une usine où tout cela n’existe qu’à l’état de modèles vierges a un certificat, pas un système qualité en fonctionnement. Cette différence finira par apparaître dans votre produit.

Comment vérifier un fabricant sous contrat ISO 13485 quand on s’approvisionne à Taïwan

Taïwan dispose d’une base profonde de fabricants certifiés ISO 13485. C’est précisément pour cela qu’il vous faut une routine de vérification plutôt qu’une confiance dans le logo.

1. Confirmez que le certificat est authentique et en cours de validité. Récupérez le numéro de certificat, l’organisme de certification et l’accréditation qui le soutient. Vérifiez-le dans le registre de l’organisme de certification ou dans une base de données inter-organismes, et faites correspondre le nom de l’entité juridique à celui de votre contrat.
2. Lisez le domaine d’application. Confirmez qu’il couvre votre type de dispositif et le travail dont vous avez besoin : fabrication seule, ou conception et développement plus fabrication.
3. Auditez la traçabilité en direct. Sortez un numéro de lot et faites-le remonter à l’envers dans l’atelier.
4. Confrontez la documentation à la réalité. Comparez un dossier du dispositif médical à un dossier de lot réel du même produit.
5. Mettez la maîtrise des modifications à l’épreuve. Demandez comment un ordre de modification d’ingénierie circule dans leur système et qui le valide.
6. Vérifiez que le soutien réglementaire correspond à votre marché. Pour le marché américain, demandez comment les procédures et les enregistrements de production actuels du fournisseur satisfont aux exigences applicables de la QMSR, y compris la correspondance avec les anciens enregistrements. Confirmez l’accompagnement en matière de documentation de fabrication et d’essais inclus dans le périmètre convenu.

Pour la question plus large du choix d’un partenaire taïwanais, la check-list de visite d’usine, les signaux d’alerte et la protection de la propriété intellectuelle, voyez notre guide pour évaluer un fournisseur à Taïwan.

Comment nous procédons

Gooten Innolife détient les certifications ISO 13485:2016 et ISO 9001:2015, et chaque certificat que nous détenons est vérifiable : demandez, et nous vous donnerons les numéros à contrôler. Nous fabriquons à Taichung, Taïwan, avec la production, la R&D et l’assurance qualité sur un même site, si bien que les questions de traçabilité et les modifications d’ingénierie se règlent dans l’atelier.

L’assurance qualité parcourt notre processus en cinq phases, avec contrôle avant série, en cours de production et inspection finale, plus des essais en tierce partie. Nous avons une expérience de conformité CE, FCC, RoHS et PSE, et nous fournissons un accompagnement documentaire et des essais pour les dépôts auprès de la FDA. Nous avons expédié plus de 1 000 000 d’unités à des clients dans plus de 50 pays, dont un leader américain des appareils de repousse capillaire qui a construit quatre générations de produit avec nous depuis 2008.

Vous pouvez consulter nos pages qualité et certifications et services OEM/ODM pour le tableau complet.

Vérifiez-nous avant de vous engager

Si vous évaluez un fabricant sous contrat ISO 13485, passez-nous à la check-list ci-dessus. Contactez nos ingénieurs, envoyez le détail technique et confrontez nos réponses à votre propre standard d’audit.