ISO 13485 代工廠：如何查驗一家

ISO 13485 認證實際上為你買到了什麼

當一家代工廠說它通過 ISO 13485 認證，這告訴你的是：這個組織運作著一套為醫療器材而建的品質管理系統，而且有一家驗證機構依該標準稽核過它。這並沒有告訴你，證書涵蓋了你的產品，或這套系統會照你需要的方式運作。這份指南講的就是這個差別，以及當你從台灣尋源時該如何查核它。

ISO 13485:2016 是一項國際品質管理標準，適用於涉及醫療器材設計、生產、安裝與維修的組織。不同於某些品質標準，它是圍繞法規要求建立的：目標不是為改善而改善，而是展現一種持續的能力—產出同時符合客戶與法規要求的裝置。對一位採購經理來說，這重新定義了認證的價值。你買的不是一塊牌匾。你買的是一套有文件、可稽核、可追溯的流程。

ISO 13485 vs ISO 9001—為什麼這個區別對尋源很重要

兩者都是品質管理標準，一家工廠可以同時持有。它們並不能互相取代。

ISO 9001:2015 是一項適用於任何產業的通用品質標準，它強調持續改善與顧客滿意。ISO 13485:2016 則是醫療器材專屬，強調維持一套有效、有文件、符合法規的系統。幾項差異，改變了你能對供應商有什麼期待：

• 法規符合性內建其中。 ISO 13485 要求組織在整個流程中，識別並滿足適用的法規要求。ISO 9001 沒有這項要求。
• 文件更厚重，而且是強制的。 ISO 13485 要求成文的程序，而 ISO 9001 留給組織較多裁量空間。對一項受法規管制的裝置而言，那些文件正是讓產品站得住腳的東西。
• 風險綁定於安全與效能。 ISO 13485 的風險導向思維，是朝向產品安全與效能的，並與 ISO 14971 醫療器材風險管理搭配運作。ISO 9001 的風險焦點較廣，偏向營運面。
• 架構。 ISO 13485:2016 保留了先前的高階條款架構，而未採用 ISO 9001:2015 所用的通用「Annex SL」版面，因此兩者無法逐條對應。這正是為什麼一家工廠需要兩張認證，而不是假設 9001 就涵蓋了醫療工作。

實用心得：對一項醫療器材而言，光有 ISO 9001 是不夠的。你要的是一家通過 ISO 13485 認證、且範圍相符的製造商。一家雙認證的供應商—ISO 13485 與 ISO 9001—代表一套能在同一個屋簷下，同時處理受管制裝置與一般家電生產的系統。

追溯性：你真正在付錢買的東西

追溯性是 13485 系統的骨幹。它是一種能力—針對任何一台成品裝置，重建出哪些元件進到了它裡面、它經過了哪些製程、由誰執行、以及檢驗結果如何。

ISO 13485 要求組織建立能提供追溯性的紀錄，而對於較高風險的裝置，要求會更嚴。當你稽核一家供應商時，這是要探得最深的能力，因為它正是在現場問題或召回時救你一命的那一項。如果某一批出現瑕疵，追溯性讓你能把問題範圍收斂到某一批號，而不是收斂到你出過的每一台。

稽核時如何查驗：挑一台成品，或一個近期的批號，請供應商把它往回走一遍。他們應該要能拿得出元件批號、那一批的生產紀錄、所用設備的校正狀態，以及檢驗結果，而不必手忙腳亂。能當著你的面做到這件事的供應商，有一套真的系統。那個承諾「晚點寄給你」的供應商，描述的可能是一套還不存在的系統。

器械歷史記錄與醫療器材檔案

有兩個文件概念，在你稽核之前值得先弄懂，因為它們正是 13485 把流程轉化為證據的地方。

器械歷史記錄（Device History Record，DHR） 是一個出自 FDA 長年品質法規（21 CFR 820—如今已在 QMSR 之下與 ISO 13485 調和）的術語，指一台成品裝置或某一批的生產紀錄—也就是證明該裝置係依其主紀錄製造的文件。ISO 13485 透過它的生產紀錄與醫療器材檔案要求，達到相同的結果：對每一種裝置類型或系列，組織會保留一份檔案，內含或指向那些展現符合性的文件。當一家製造商銷往美國市場時，你會想確認它的生產紀錄滿足 DHR 的期待，即使並未使用那個 ISO 術語。

醫療器材檔案（ISO 13485 條款 4.2.3）是某一裝置類型的主參考：產品規格、製造與檢驗程序，以及在相關情況下的安裝與維修要求。它是那份「這台裝置應該怎麼被做出來」的文件。生產紀錄則是那份「這一批實際上是怎麼被做出來」的證據。稽核時，要求查看一份去識別化的醫療器材檔案，以及同一產品一份已完成的批次紀錄，並檢查後者是否遵循了前者。兩者之間的落差，正是品質問題藏身之處。

設計管制—即使設計是你自己的

設計管制是一套有紀律的流程，把一台裝置從需求帶到一個經驗證、經確效、可量產的設計：設計輸入、輸出、審查、驗證、確效、移轉與變更管制，全都有文件。

採購經理有時會假設，當品牌擁有設計、工廠只負責製造時，設計管制無關緊要。它們仍然要緊，理由有二。第一，設計移轉—把一項設計搬進量產—本身就是一個受管制的步驟，一家把移轉處理得很差的工廠，會引入任何來料設計都不該負責的瑕疵。第二，一旦量產開始，你所要求的每一項工程變更，都會流經變更管制。一家設計管制成熟的製造商，會用版次管制與衝擊評估來處理你的變更單。一家沒有的，則會做出臨時性的變更，悄悄地破壞了追溯性。

如果你的代工廠也替你做設計與開發工作，那麼完整的設計管制流程都在範圍之內，而那張 ISO 13485 證書的範圍聲明裡，就必須寫上「設計與開發」，而不只是「製造」。

CAPA 與客訴處理—一家工廠如何學習

一套品質系統的好壞，僅取決於它對失效的回應。ISO 13485 要求矯正與預防措施（CAPA）以及客訴處理流程，而這些正是你看得出一家製造商，究竟是把問題當成待結案的事件、還是當成可學習之資料的地方。

要求查看一份已結案的 CAPA 紀錄。一份好的紀錄會載明問題、根因分析、矯正、為阻止再發而採取的預防措施，以及某人已驗證修正確實有效的證據。一份差的紀錄，會從「問題」直接跳到「操作員已再訓練」，中間什麼都沒有—這種模式意味著同樣的瑕疵會再回來。至於客訴處理，要問一件來自你市場的現場客訴，是怎麼傳到工廠現場的，以及回應是怎麼被記錄的。對於銷往受管制市場的裝置，這條鏈也連向通報義務，所以它必須是真的。

內部稽核與管理審查

有兩項 13485 要求，會告訴你這套系統究竟是自己在運轉，還是只在客戶盯著時才動。內部稽核是組織依標準、按表定週期自我稽核。管理審查則是領導階層正式檢視品質資料—稽核結果、客訴、CAPA 狀態、不符合事項—並據以行動。

在供應商稽核時，要求查看內部稽核排程與一份近期的內部稽核報告，並問上一次管理審查是何時進行的。一家定期自我稽核、且其管理審查會產出行動的工廠，擁有一套能自我修正的系統。一家這些東西只以空白範本形式存在的工廠，有的是一張證書，而非一套運作中的 QMS，而這個差別會在你的產品上顯現出來。

從台灣尋源時，如何查驗一家 ISO 13485 代工廠

台灣擁有深厚的 ISO 13485 認證製造商基礎，這正是為什麼你需要一套查驗程序，而不是對那個標誌的信任。

1. 確認證書真實且現行有效。 取得證書編號、驗證機構，以及背後的認證授權。拿它去對照驗證機構的登錄系統，或一個跨驗證機構的資料庫。把法人名稱與你的合約比對。
2. 細讀範圍聲明。 確認它涵蓋了你的裝置類型與你需要的工作—是僅限製造，還是設計與開發及製造。
3. 當場稽核追溯性。 抽一個批號，讓他們在現場把它往回走一遍。
4. 拿文件對照實況。 把一份醫療器材檔案，和同一產品一份實際的批次紀錄做比對。
5. 測試變更管制。 問一張工程變更單是怎麼流經他們系統的，以及由誰簽核。
6. 確認法規支援符合你的市場。 如果你銷往美國，查證他們的生產紀錄滿足 DHR 的期待，並問他們為送件提供哪些文件與測試支援。

關於「選擇一家台灣夥伴」這個更廣的問題—工廠參訪檢核表、警訊，以及 IP 保護—請見我們的台灣醫療器材代工廠採購指南。

我們是怎麼做的

得利誠（Gooten Innolife）持有 ISO 13485:2016 與 ISO 9001:2015 認證，而我們持有的每一張證書都可查驗—開口問，我們就把編號給你去查。我們在台灣台中製造，生產、研發與品保同址，因此追溯性的疑問與工程變更，都在現場就解決。

品質保證貫穿我們的五階段流程，涵蓋產前、製程中與出貨終檢，並輔以第三方測試。我們有 CE、FCC、RoHS 與 PSE 的合規經驗，並為 FDA 送件提供文件與測試支援。我們已出貨超過 1,000,000 台給 50 多個國家的客戶，其中包括一家美國生髮設備領導品牌—自 2008 年起，他們已與我們合作打造了四個產品世代。

你可以查閱我們的品質與認證以及 OEM/ODM 服務，以了解全貌。

在你託付之前，先查驗我們

如果你正在審核一家 ISO 13485 代工廠，就拿上面的檢核表來考我們。聯繫我們的工程師，把技術細節寄來，並拿你自己的稽核標準來對照我們的答案。