ISO 13485 代工廠：怎麼查核才算數
ISO 13485 認證實際上買到了什麼
一家代工廠跟你說他有 ISO 13485 認證，這句話能告訴你的其實只有一件事：這個組織跑著一套為醫療器材建的品質管理系統，而且有驗證機構照標準稽核過。至於證書範圍有沒有涵蓋你的產品、這套系統會不會照你需要的方式運作？沒講。這份指南要講的就是這個差別，還有從台灣採購時該怎麼查。
ISO 13485:2016 是國際品質管理標準，管的是做醫療器材設計、生產、安裝與維修的組織。它跟一般品質標準不太一樣，是繞著法規要求建起來的：重點不在「為改善而改善」，而在證明一種能力：穩定做出同時符合客戶要求和法規要求的器材。所以對採購負責人來說，認證的價值要換個角度看：你買的不是牆上那塊牌子，是一套有文件、可稽核、可追溯的流程。
ISO 13485 vs ISO 9001：這個區別對採購為什麼重要
兩個都是品質管理標準，一家工廠可以兩張都拿，但誰也代替不了誰。
ISO 9001:2015 是跨產業的通用品質標準，重點放在持續改善和顧客滿意。ISO 13485:2016 是醫療器材專用，重點在維持一套有效、有文件、符合法規的系統。幾個差異，直接影響你能對供應商期待什麼：
- 法規符合性是內建的。 ISO 13485 要求組織在整個流程中識別並滿足適用的法規要求；ISO 9001 沒有這一條。
- 文件要求重很多，而且是強制的。 ISO 13485 要求成文的程序，ISO 9001 給組織的裁量空間大得多。受管制的器材真出了事，能讓產品站得住腳的就是那些文件。
- 風險管理綁著安全與效能。 ISO 13485 的風險思維指向產品安全與效能，跟 ISO 14971 醫療器材風險管理搭著用；ISO 9001 的風險焦點比較廣，偏營運面。
- 架構不同。 ISO 13485:2016 保留舊版的高階條款架構，沒跟著 ISO 9001:2015 改用通用的「Annex SL」框架，所以兩者沒辦法逐條對照。這也是為什麼工廠要兩張認證都拿，不能有 9001 就當作醫療也能做。
講白一點：醫療器材光有 ISO 9001 不夠，你要找的是通過 ISO 13485 認證、而且範圍對得上的製造商。兩張都有的供應商，代表同一個屋簷下，受管制的器材做得了，一般健康家電也做得了。
可追溯性：你真正付錢買的東西
可追溯性是 13485 系統的骨幹。意思是：隨便挑一台成品，都能重建出哪些元件裝進去、走過哪些製程、誰做的、檢驗結果如何。
ISO 13485 要求組織建立能提供可追溯性的紀錄，器材風險越高，要求越嚴。稽核供應商的時候，這一項要挖最深，因為真的出現場問題或召回，救你的就是它。某一批出了瑕疵，有可追溯性，你能把問題收斂到那個批號；沒有的話，你出過的每一台都得算進去。
稽核時怎麼驗？挑一台成品或一個近期批號，請供應商當場往回追一遍。元件批號、該批的生產紀錄、所用設備的校正狀態、檢驗結果，應該都能不慌不忙拿出來。能當著你的面做到，系統就是真的；跟你說「之後再寄給你」的，講的可能是一套還不存在的系統。
器械歷史記錄與醫療器材檔案
有兩個文件概念，建議稽核前先弄懂，因為 13485 把「流程」變成「證據」，靠的就是它們。
器械歷史記錄（Device History Record，DHR） 這個詞出自 FDA 行之有年的品質法規（21 CFR 820，如今已在 QMSR 之下和 ISO 13485 調和），指的是一台成品或一個批次的生產紀錄，也就是證明器材是照著主紀錄做出來的文件。ISO 13485 走的路不一樣，結果一樣：透過生產紀錄和醫療器材檔案的要求，每一種器材類型或系列，組織都保留一份檔案，內含或指向那些證明符合性的文件。如果這家製造商的產品要賣美國，你要確認的是生產紀錄滿足 DHR 的期望，就算他們內部用的是 ISO 的講法。
醫療器材檔案（ISO 13485 條款 4.2.3）是某一器材類型的主參考：產品規格、製造與檢驗程序，必要時再加上安裝與維修要求。它回答的是「這台器材應該怎麼做」；生產紀錄回答的是「這一批實際上怎麼做的」。稽核時，請對方拿一份去識別化的醫療器材檔案，加上同一產品一份做完的批次紀錄，檢查後者有沒有照著前者走。兩份文件對不起來的地方，通常就是品質問題躲的地方。
設計管制：就算設計是你自己的
設計管制是一套有紀律的流程，把器材從需求一路帶到經驗證、經確效、可以量產的設計：設計輸入、輸出、審查、驗證、確效、移轉、變更管制，全程留文件。
採購有時會想：設計是品牌的，工廠只管生產，設計管制關我什麼事？其實還是有關，理由兩個。第一，設計移轉（把設計搬進量產）本身就是受管制的步驟。移轉做得差的工廠，會做出客供設計本身根本沒有的瑕疵。第二，量產開始後，你提的每一張工程變更單都要走變更管制。設計管制成熟的製造商，處理你的變更會有版本管制和影響評估；不成熟的就隨手改，可追溯性就這樣悄悄被弄壞了。
還有一種情況：代工廠也幫你做設計開發。那完整的設計管制流程都算在範圍內，而且那張 ISO 13485 證書的範圍聲明必須寫「設計與開發」，不能只寫「製造」。
CAPA 與客訴處理：一家工廠怎麼學習
品質系統好不好，看它怎麼回應失效就知道。ISO 13485 要求有矯正與預防措施（CAPA）和客訴處理流程，而這兩處最容易看出一家製造商把問題當成「結案了事」，還是當成可以學的資料。
請對方拿一份已結案的 CAPA 紀錄出來。好的紀錄會寫清楚問題、根因分析、矯正、防止再發的預防措施，還有人去驗證過修正真的有效的證據。差的紀錄從「問題」直接跳到「作業員已再教育」，中間什麼都沒有。這種寫法，同一個瑕疵之後還會再來。客訴處理則要問：你市場上的一件現場客訴，是怎麼傳回工廠現場的？回應怎麼記錄？賣進受管制市場的器材，這條鏈還連著通報義務，所以不能是做做樣子。
內部稽核與管理審查
有兩項 13485 要求，能看出這套系統是自己在轉，還是客戶盯著才會動。一個是內部稽核：組織照標準、按表定週期查自己。另一個是管理審查：管理階層正式檢視品質數據（稽核結果、客訴、CAPA 狀態、不符合事項），然後真的採取行動。
供應商稽核時，請對方拿內部稽核排程和一份近期的內部稽核報告，再問上一次管理審查什麼時候開的。會定期查自己、管理審查開完有行動的工廠，系統能自我修正。這些東西只有空白範本的工廠，有證書，但沒有一套會運作的 QMS。這個差別，最後會出現在你的產品上。
從台灣採購時，怎麼查核一家 ISO 13485 代工廠
台灣通過 ISO 13485 認證的製造商很多，底子也厚。正因為選擇多，你需要一套查核程序，光認標章不夠。
- 確認證書真實、有效。 拿到證書編號、驗證機構、背後的認證體系，去驗證機構的登錄系統或跨機構資料庫查，再把法人名稱和你的合約比對一下。
- 範圍聲明讀仔細。 確認涵蓋你的器材類型和你要的工作：只有製造，還是設計開發加製造。
- 當場稽核可追溯性。 抽一個批號，請他們現場往回追一遍。
- 拿文件對現況。 醫療器材檔案和同一產品的實際批次紀錄放在一起比。
- 測變更管制。 問工程變更單在他們系統裡怎麼跑、誰簽核。
- 確認法規支援對得上你的市場。 要賣美國，查證生產紀錄滿足 DHR 的期望，再問他們為送件提供哪些文件與測試支援。
至於「怎麼挑一家台灣夥伴」這個更大的題目（工廠參訪檢核表、警訊、IP 保護），可以參考台灣醫療器材代工廠採購指南這一篇。
我們自己是怎麼做的
得利誠（Gooten Innolife）持有 ISO 13485:2016 與 ISO 9001:2015 認證，每一張證書都查得到。開口問，我們就把編號給你去查。我們在台中生產，研發、生產、品保都在同一個廠區，可追溯性的疑問、工程變更，現場就能處理掉。
品質保證貫穿我們的五階段流程，涵蓋產前、製程中與出貨終檢，再搭配第三方測試。我們有 CE、FCC、RoHS 與 PSE 的合規經驗，也為 FDA 送件提供文件與測試支援。到現在出貨超過 1,000,000 台、客戶遍及 50 多個國家，其中有一家美國生髮設備領導品牌，從 2008 年起已經和我們做了四個產品世代。
完整資訊可以看品質與認證和 OEM/ODM 服務兩個頁面。
把產品交給我們之前，先查核我們
如果你正在評估 ISO 13485 代工廠，就拿上面的檢核表來考我們。聯繫我們的工程師，把技術細節寄過來，再用你自己的稽核標準對照我們的答案。
技術討論前可先簽署 NDA。