ISO 13485 代工廠：怎麼查核才算數
ISO 13485 認證實際上買到了什麼
一家代工廠跟你說他有 ISO 13485 認證，這句話能告訴你的其實只有一件事：這個組織跑著一套為醫療器材建的品質管理系統，而且有驗證機構照標準稽核過。至於證書範圍有沒有涵蓋你的產品、這套系統會不會照你需要的方式運作？沒講。這份指南要講的就是這個差別，還有從台灣採購時該怎麼查。
ISO 13485:2016 是國際品質管理標準，管的是做醫療器材設計、生產、安裝與維修的組織。它跟一般品質標準不太一樣，是繞著法規要求建起來的：重點不在「為改善而改善」，而在證明一種能力：穩定做出同時符合客戶要求和法規要求的器材。所以對採購負責人來說，認證的價值要換個角度看：你買的不是牆上那塊牌子，是一套有文件、可稽核、可追溯的流程。
ISO 13485 vs ISO 9001：這個區別對採購為什麼重要
兩個都是品質管理標準，一家工廠可以兩張都拿，但誰也代替不了誰。
ISO 9001:2015 是跨產業的通用品質標準，重點放在持續改善和顧客滿意。ISO 13485:2016 是醫療器材專用，重點在維持一套有效、有文件、符合法規的系統。幾個差異，直接影響你能對供應商期待什麼：
- 醫療器材的法規範圍。 先確認器材、目標市場及供應商所執行活動適用的要求。FDA 的 QMSR 說明指出，美國器材品質系統要求納入 ISO 13485，並搭配適用的 FDA 規定。單憑一張通用的 ISO 9001 證書，無法證明已滿足這些醫療器材要求。
- 文件要求重很多，而且是強制的。 ISO 13485 要求成文的程序，ISO 9001 給組織的裁量空間大得多。受管制的器材真出了事，能讓產品站得住腳的就是那些文件。
- 風險管理綁著安全與效能。 ISO 13485 的風險思維指向產品安全與效能，跟 ISO 14971 醫療器材風險管理搭著用；ISO 9001 的風險焦點比較廣，偏營運面。
- 架構不同。 ISO 13485:2016 保留舊版的高階條款架構，沒跟著 ISO 9001:2015 改用通用的「Annex SL」框架，所以兩者沒辦法逐條對照。ISO 13485 是獨立標準；條款架構不同，不代表所有工廠都必須同時持有兩張證書。應確認目標市場與合約適用的標準及認證條件。
採購時，應把供應商的文件化活動、證書範圍與實際紀錄，對照你需要委託的工作。是否必須持有相關 ISO 證書，需依市場與合約確認。FDA 的 QMSR 常見問題說明，FDA 不要求持有 ISO 13485 證書，持有證書也不能免除 FDA 檢查。單憑一張或兩張證書，都不能證明你的器材已符合法規，也不能證明某一廠區實際製造哪些產品。
可追溯性：你真正付錢買的東西
可追溯性是在器材與實際工作所界定的範圍內，連結相關的產品、生產及檢驗紀錄。先議定哪些元件或材料批號、製程紀錄與流向資料需要相互連結，再確認這些關聯如何維持。
追溯的必要範圍應依器材、適用法規要求與議定的專案管制決定。調查現場問題時，應以實際紀錄和瑕疵證據界定範圍。可追溯性有助於找出受影響的產品，但不能保證瑕疵只限於一個批次，也不代表所有相關紀錄都必須有相同的細緻程度。
稽核時怎麼驗？挑一台成品或一個近期批號，請供應商當場往回追一遍。元件批號、該批的生產紀錄、所用設備的校正狀態、檢驗結果，應該都能不慌不忙拿出來。能當著你的面做到，系統就是真的；跟你說「之後再寄給你」的，講的可能是一套還不存在的系統。
器械歷史記錄與醫療器材檔案
有兩個文件概念，建議稽核前先弄懂，因為 13485 把「流程」變成「證據」，靠的就是它們。
器械歷史記錄（Device History Record，DHR） 是 FDA 舊版品質系統法規使用的名稱。自 2026 年 2 月 2 日起，品質管理系統法規（QMSR） 已生效。FDA 最終規則的第 31 項回應說明，DHR、DMR 與 DHF 不再作為獨立的法規用語與紀錄類型要求，因為其基本要素大多已由 ISO 13485 的 4.2 與 7 條款涵蓋。許多原 DHR 要素仍須保存在 7.5.1 條款要求的器材或批次紀錄中，保存紀錄的義務並未消失。涉及美國市場的工作，應詢問現行程序與紀錄如何滿足適用的 QMSR 要求，以及舊紀錄如何對應；資料夾沿用舊名稱本身不能證明符合性，這項變更也不等於必須替所有舊紀錄改名。
醫療器材檔案（ISO 13485 條款 4.2.3）是某一器材類型的主參考：產品規格、製造與檢驗程序，必要時再加上安裝與維修要求。它回答的是「這台器材應該怎麼做」；生產紀錄回答的是「這一批實際上怎麼做的」。稽核時，請對方拿一份去識別化的醫療器材檔案，加上同一產品一份做完的批次紀錄，檢查後者有沒有照著前者走。兩份文件對不起來的地方，通常就是品質問題躲的地方。
設計管制：就算設計是你自己的
設計管制是一套有紀律的流程，把器材從需求一路帶到經驗證、經確效、可以量產的設計：設計輸入、輸出、審查、驗證、確效、移轉、變更管制，全程留文件。
擁有設計與管制製造變更是不同的責任。量產前應議定誰負責設計移轉、核准版本、變更評估與放行，再請供應商展示其受託工作如何銜接設計所有人的受控資料。應查核哪些活動與證據，取決於實際分工和適用要求，不能只看設計歸誰所有。
如果供應商承接設計開發，應查核品質系統範圍與紀錄是否涵蓋受託活動，並檢視其主張的排除或不適用項目。FDA 最終規則的第 45 項回應說明，QMSR 的設計開發要求有其適用器材範圍，也承認經法規主管機關允許並有文件記錄的排除。請與你的法規團隊確認要求；證書上某個特定詞句，不能取代對範圍、職責與紀錄的查核。
CAPA 與客訴處理：一家工廠怎麼學習
品質系統好不好，看它怎麼回應失效就知道。ISO 13485 要求有矯正與預防措施（CAPA）和客訴處理流程，而這兩處最容易看出一家製造商把問題當成「結案了事」，還是當成可以學的資料。
請對方提供一份已結案的 CAPA 紀錄，查核問題、即時改正或圍堵措施、原因分析、選擇的措施，以及與問題及風險相稱的有效性證據。矯正措施處理實際的不符合事項及其原因；預防措施處理潛在的不符合事項。FDA 最終規則的第 20 項回應保留了這項區別。如果紀錄只有作業員再教育，原因與有效性仍有待釐清，不能僅憑這點就斷定瑕疵一定再發。客訴方面，應詢問資訊如何傳到負責團隊、如何記錄回應，以及如何評估適用的通報條件。
內部稽核與管理審查
有兩項 13485 要求，能看出這套系統是自己在轉，還是客戶盯著才會動。一個是內部稽核：組織照標準、按表定週期查自己。另一個是管理審查：管理階層正式檢視品質數據（稽核結果、客訴、CAPA 狀態、不符合事項），然後真的採取行動。
供應商稽核時，請對方拿內部稽核排程和一份近期的內部稽核報告，再問上一次管理審查什麼時候開的。會定期查自己、管理審查開完有行動的工廠，系統能自我修正。這些東西只有空白範本的工廠，有證書，但沒有一套會運作的 QMS。這個差別，最後會出現在你的產品上。
從台灣採購時，怎麼查核一家 ISO 13485 代工廠
台灣通過 ISO 13485 認證的製造商很多，底子也厚。正因為選擇多，你需要一套查核程序，光認標章不夠。
- 確認證書真實、有效。 拿到證書編號、驗證機構、背後的認證體系，去驗證機構的登錄系統或跨機構資料庫查，再把法人名稱和你的合約比對一下。
- 範圍聲明讀仔細。 確認涵蓋你的器材類型和你要的工作：只有製造，還是設計開發加製造。
- 當場稽核可追溯性。 抽一個批號，請他們現場往回追一遍。
- 拿文件對現況。 醫療器材檔案和同一產品的實際批次紀錄放在一起比。
- 測變更管制。 問工程變更單在他們系統裡怎麼跑、誰簽核。
- 確認法規支援對得上你的市場。 涉及美國市場的工作，應詢問供應商現行程序與生產紀錄如何滿足適用的 QMSR 要求，包括舊紀錄如何對應，並確認議定範圍內包含哪些製造文件與測試支援。
至於「怎麼挑一家台灣夥伴」這個更大的題目（工廠參訪檢核表、警訊、IP 保護），可以參考台灣供應商評估指南這一篇。
我們自己是怎麼做的
得利誠（Gooten Innolife）持有 ISO 13485:2016 與 ISO 9001:2015 認證，每一張證書都查得到。開口問，我們就把編號給你去查。我們在台中生產，研發、生產、品保都在同一個廠區，可追溯性的疑問、工程變更，現場就能處理掉。
品質保證貫穿我們的五階段流程，涵蓋產前、製程中與出貨終檢，再搭配第三方測試。我們有 CE、FCC、RoHS 與 PSE 的合規經驗，也為 FDA 送件提供文件與測試支援。到現在出貨超過 1,000,000 台、客戶遍及 50 多個國家，其中有一家美國生髮設備領導品牌，從 2008 年起已經和我們做了四個產品世代。
完整資訊可以看品質與認證和 OEM/ODM 服務兩個頁面。
把產品交給我們之前，先查核我們
如果你正在評估 ISO 13485 代工廠，就拿上面的檢核表來考我們。聯繫我們的工程師，把技術細節寄過來，再用你自己的稽核標準對照我們的答案。
技術討論前可先簽署 NDA。