Produttore conto terzi ISO 13485: come verificarlo

Che cosa vi compra davvero la certificazione ISO 13485

Quando un produttore conto terzi vi dice di essere certificato ISO 13485, avete imparato esattamente una cosa: l’organizzazione gestisce un sistema di gestione della qualità costruito per i dispositivi medici, e un organismo di certificazione lo ha auditato rispetto alla norma. Non avete ancora imparato se il certificato copra il vostro prodotto, né se il sistema funzioni come vi serve. Questa guida parla di quella distanza e di come verificarla quando vi approvvigionate a Taiwan.

La ISO 13485:2016 è la norma internazionale di gestione della qualità per le organizzazioni che progettano, producono, installano e assistono dispositivi medici. A differenza di altre norme della qualità, è costruita attorno ai requisiti normativi. L’obiettivo non è il miglioramento continuo fine a sé stesso, ma dimostrare che la fabbrica sa produrre in modo costante dispositivi conformi sia ai requisiti del cliente sia a quelli del regolatore. Per un responsabile acquisti questo cambia il valore della certificazione. Non state comprando una targa per l’ingresso. State comprando un processo documentato, verificabile e tracciabile.

ISO 13485 e ISO 9001: perché la distinzione conta negli acquisti

Sono entrambe norme di gestione della qualità e una fabbrica può averle tutte e due. Una non sostituisce l’altra.

La ISO 9001:2015 è una norma generale che vale per qualsiasi settore; l’accento è sul miglioramento continuo e sulla soddisfazione del cliente. La ISO 13485:2016 è specifica per i dispositivi medici e l’accento è sul tenere in funzione un sistema efficace, documentato e conforme alla regolamentazione. Alcune differenze cambiano ciò che potete aspettarvi da un fornitore:

• Ambito normativo dei dispositivi medici. Individuate i requisiti applicabili al dispositivo, al mercato e alle attività del fornitore. La panoramica della FDA sulla QMSR spiega come la ISO 13485 sia incorporata nei requisiti statunitensi sui sistemi qualità dei dispositivi medici insieme alle disposizioni applicabili della FDA. Un certificato generale ISO 9001 non dimostra, da solo, che tali requisiti specifici per i dispositivi medici siano soddisfatti.
• La documentazione pesa di più ed è obbligatoria. La ISO 13485 richiede procedure documentate dove la ISO 9001 lascia più spazio alla discrezionalità dell’organizzazione. Su un dispositivo regolamentato, quella documentazione è ciò che rende difendibile il prodotto quando arrivano le domande.
• Il rischio è legato a sicurezza ed efficacia. Il pensiero basato sul rischio della ISO 13485 punta alla sicurezza e alle prestazioni del prodotto e lavora insieme alla ISO 14971 per la gestione del rischio dei dispositivi medici. Il fuoco sul rischio della ISO 9001 è più ampio e più orientato al business.
• Struttura. La ISO 13485:2016 ha mantenuto la precedente struttura di punti di alto livello invece di adottare l’impostazione «Annex SL» usata dalla ISO 9001:2015, quindi le due non si corrispondono punto per punto. La ISO 13485 è una norma autonoma; strutture diverse non creano un obbligo universale di possedere entrambi i certificati. Confermate le norme e le condizioni di certificazione applicabili ai vostri mercati e al vostro contratto.

Nella scelta del fornitore, confrontate le sue attività documentate, il campo di applicazione dei certificati e le registrazioni effettive con il lavoro di cui avete bisogno. I requisiti di certificazione possono dipendere dal mercato e dal contratto. Le domande frequenti della FDA sulla QMSR spiegano che l’autorità non richiede un certificato ISO 13485 e che possederlo non esenta il produttore dalle sue ispezioni. Né un certificato né due certificati, da soli, dimostrano la conformità del vostro dispositivo o provano che cosa produca un determinato sito.

Tracciabilità: la cosa che state davvero pagando

La tracciabilità collega le registrazioni pertinenti di prodotto, produzione e ispezione entro il perimetro definito per il dispositivo e il lavoro svolto. Concordate quali lotti di componenti o materiali, registrazioni dei processi e informazioni sulla distribuzione devono essere collegati, e verificate come vengono mantenuti questi collegamenti.

Determinate l’estensione richiesta della tracciabilità in base al dispositivo, ai requisiti normativi applicabili e ai controlli concordati per il progetto. Usate registrazioni effettive ed evidenze del difetto per definire il perimetro di un’indagine su un problema sul campo. La tracciabilità può aiutare a individuare le unità interessate, ma non garantisce che un difetto sia limitato a un solo lotto o che tutte le registrazioni pertinenti debbano avere lo stesso livello di dettaglio.

Come verificarla durante un audit: prendete un’unità finita o un numero di lotto recente e chiedete al fornitore di ripercorrerlo a ritroso. Devono tirare fuori i numeri di lotto dei componenti, le registrazioni di produzione di quel lotto, lo stato di taratura delle apparecchiature usate e i risultati delle ispezioni, senza affanni. Un fornitore che lo fa davanti a voi ha un sistema vero. Chi promette di «mandarlo più tardi» forse sta descrivendo un sistema che non esiste ancora.

Il Device History Record e il fascicolo del dispositivo medico

Prima di un audit vale la pena avere chiari due concetti di documentazione, perché è lì che la 13485 trasforma il processo in evidenza.

Il Device History Record (DHR) è un termine ereditato dalla precedente regolamentazione Quality System della FDA. Dal 2 febbraio 2026 è in vigore la regolamentazione del sistema di gestione della qualità (QMSR). Nella sua norma definitiva, risposta 31, la FDA ha eliminato i termini distinti DHR, DMR e DHF e i requisiti relativi a questi tipi di registrazioni, perché i loro elementi sottostanti sono in gran parte coperti dai punti 4.2 e 7 della ISO 13485. Molti elementi del precedente DHR sono richiesti nella registrazione del dispositivo o del lotto prevista dal punto 7.5.1. Gli obblighi di tenuta delle registrazioni non sono scomparsi. Per il mercato statunitense, chiedete come le procedure e le registrazioni attuali soddisfino i requisiti applicabili della QMSR e come le registrazioni precedenti siano ricondotte a tali requisiti. Il vecchio nome della cartella, da solo, non è una prova di conformità e il cambiamento non impone di per sé di rinominare ogni vecchia registrazione.

Il fascicolo del dispositivo medico (punto 4.2.3 della ISO 13485) è il riferimento principale per un tipo di dispositivo: specifiche di prodotto, procedure di fabbricazione e ispezione e, dove pertinente, requisiti di installazione e assistenza. Risponde alla domanda «come si suppone che questo dispositivo venga costruito». Le registrazioni di produzione rispondono a «come è stato costruito davvero questo lotto». Durante un audit chiedete di vedere un fascicolo del dispositivo medico in versione oscurata e una registrazione di lotto completata per lo stesso prodotto, poi controllate che la seconda segua il primo. È negli scarti tra i due che vivono i problemi di qualità.

Controlli di progettazione, anche se il progetto è vostro

I controlli di progettazione sono il processo disciplinato che porta un dispositivo dai requisiti a un progetto verificato, validato e pronto per la produzione: input di progetto, output, riesame, verifica, validazione, trasferimento e controllo delle modifiche, tutto documentato.

Essere proprietari del progetto e controllare le modifiche di fabbricazione sono responsabilità diverse. Prima di avviare la produzione, concordate chi gestisce il trasferimento del progetto, le revisioni approvate, la valutazione delle modifiche e la loro approvazione. Chiedete al fornitore di mostrare come il lavoro assegnatogli si colleghi alle informazioni controllate del proprietario del progetto. Le attività e le evidenze da esaminare dipendono dall’effettiva ripartizione del lavoro e dai requisiti applicabili, non semplicemente da chi possiede il progetto.

Se il fornitore svolge attività di progettazione e sviluppo, verificate che il campo di applicazione del suo sistema qualità e le sue registrazioni coprano le attività assegnate, ed esaminate ogni esclusione o non applicabilità dichiarata. La risposta 45 della norma definitiva della FDA spiega l’applicabilità dei requisiti di progettazione e sviluppo in funzione del dispositivo nel quadro della QMSR e riconosce le esclusioni documentate consentite dall’autorità regolatoria. Confermate i requisiti con il vostro team per gli affari regolatori; una particolare frase su un certificato non sostituisce la verifica del perimetro, delle responsabilità e delle registrazioni.

CAPA e gestione dei reclami: come impara una fabbrica

Un sistema qualità mostra quanto vale nel modo in cui risponde a un guasto. La ISO 13485 richiede processi di azione correttiva e preventiva (CAPA) e di gestione dei reclami, ed è qui che scoprite se un produttore tratta i problemi come eventi da chiudere o come dati da cui imparare.

Chiedete di vedere una registrazione CAPA chiusa ed esaminate il problema, eventuali correzioni immediate o misure di contenimento, l’analisi delle cause, l’azione scelta e le evidenze di efficacia adeguate al problema e al rischio. L’azione correttiva affronta le non conformità effettive e le loro cause; l’azione preventiva affronta le non conformità potenziali. La risposta 20 della norma definitiva della FDA mantiene questa distinzione. Una registrazione che riporta solo un nuovo addestramento dell’operatore lascia irrisolte le questioni relative alla causa e all’efficacia; da sola non dimostra che il difetto si ripeterà. Per i reclami, chiedete come le informazioni raggiungano il team responsabile, come venga registrata la risposta e come siano valutati gli eventuali criteri di segnalazione applicabili.

Audit interni e riesame della direzione

Due requisiti della 13485 vi dicono se il sistema gira da solo o soltanto quando c’è un cliente a guardare. Audit interni: l’organizzazione si verifica da sé rispetto alla norma, secondo un programma. Riesame della direzione: i vertici esaminano formalmente i dati della qualità (risultati degli audit, reclami, stato delle CAPA, non conformità) e agiscono di conseguenza.

Durante un audit fornitore chiedete il programma degli audit interni e un rapporto di audit interno recente, e chiedete quando si è tenuto l’ultimo riesame della direzione. Una fabbrica che si verifica con regolarità e i cui riesami della direzione producono azioni ha un sistema che si corregge da solo. Una in cui tutto questo esiste solo come modelli in bianco ha una certificazione ma non un QMS funzionante. Quella differenza finirà per comparire nel vostro prodotto.

Come verificare un produttore conto terzi ISO 13485 quando vi approvvigionate a Taiwan

Taiwan ha una base profonda di produttori certificati ISO 13485. Proprio per questo vi serve una routine di verifica invece della fiducia nel logo.

1. Confermate che il certificato sia reale e in corso di validità. Procuratevi il numero del certificato, l’organismo di certificazione e l’accreditamento che gli sta dietro. Controllatelo nel registro dell’organismo di certificazione o in una banca dati tra certificatori, e fate combaciare la ragione sociale con quella del vostro contratto.
2. Leggete la dichiarazione di scopo. Verificate che copra il vostro tipo di dispositivo e il lavoro che vi serve: sola fabbricazione, oppure progettazione e sviluppo più fabbricazione.
3. Verificate la tracciabilità dal vivo. Estraete un numero di lotto e fatevelo ripercorrere a ritroso in reparto.
4. Confrontate la documentazione con la realtà. Mettete a confronto un fascicolo del dispositivo medico con una registrazione di lotto reale dello stesso prodotto.
5. Mettete alla prova il controllo delle modifiche. Chiedete come un ordine di modifica tecnica si muove nel loro sistema e chi lo approva.
6. Confermate che il supporto normativo corrisponda al vostro mercato. Per il mercato statunitense, chiedete come le procedure e le registrazioni di produzione attuali del fornitore soddisfino i requisiti applicabili della QMSR, compresa la corrispondenza con le registrazioni precedenti. Confermate il supporto per la documentazione di fabbricazione e le prove incluso nel perimetro concordato.

Per la domanda più ampia su come scegliere un partner taiwanese (la checklist della visita in fabbrica, i segnali d’allarme e la protezione della proprietà intellettuale), vedete la nostra guida per valutare un fornitore a Taiwan.

Come lo gestiamo noi

Gooten Innolife possiede le certificazioni ISO 13485:2016 e ISO 9001:2015, e ogni certificazione che abbiamo è verificabile: chiedete e vi diamo i numeri da controllare. Produciamo a Taichung, Taiwan, con produzione, R&S e assicurazione della qualità su un unico sito, così le domande sulla tracciabilità e le modifiche tecniche si risolvono in reparto.

L’assicurazione della qualità attraversa il nostro processo in cinque fasi, con controllo prima della serie, in linea e ispezione finale, oltre a prove di terza parte. Abbiamo esperienza di conformità con CE, FCC, RoHS e PSE e offriamo supporto documentale e prove per le pratiche FDA. Abbiamo spedito oltre 1.000.000 di unità a clienti in più di 50 paesi, tra cui un leader statunitense dei dispositivi per la ricrescita dei capelli che con noi ha costruito quattro generazioni di prodotto dal 2008.

Potete esaminare la nostra qualità e le certificazioni e i servizi OEM/ODM per il quadro completo.

Verificateci prima di impegnarvi

Se state valutando un produttore conto terzi ISO 13485, passateci attraverso la checklist qui sopra. Contattate i nostri ingegneri, mandate il dettaglio tecnico e confrontate le nostre risposte con il vostro standard di audit.