Sous-traitants & fournisseurs critiques

Audit fournisseur ISO 13485 : ce que votre donneur d'ordre va vérifier

L'Article 10 MDR oblige le fabricant à maîtriser ses fournisseurs critiques, ISO 13485 §7.4 en fixe les modalités concrètes. Résultat : si vous fabriquez un composant, assurez un service de stérilisation, fournissez un packaging primaire ou intégrez un logiciel embarqué dans un DM, votre client peut vous auditer. Dans certains cas, l'organisme notifié du fabricant peut venir directement dans vos locaux.

ISO 13485 MDR Art. 10 Audit fournisseur ISO 19011
Échanger avec nous →
Cadrage

Êtes-vous un fournisseur critique au sens du MDR ?

La notion de fournisseur "critique" n'est pas définie textuellement par le MDR. C'est le fabricant qui détermine le niveau de criticité de chaque fournisseur, en évaluant l'impact de son activité sur la conformité et la sécurité du dispositif final, conformément à l'ISO 13485 §7.4.1. En pratique, les organismes notifiés examinent cette classification lors des audits de certification : un fournisseur mal évalué ou non surveillé constitue une non-conformité directe.

Vous êtes probablement un fournisseur critique si vous fabriquez ou fournissez :

  • Un composant qui entre dans le produit fini et participe à ses performances ou à sa sécurité
  • Un service de stérilisation, primaire ou terminale
  • Un service d'assemblage ou de fabrication sous-traitée du dispositif ou d'une partie significative
  • Un logiciel embarqué ou un module SaMD intégré
  • Un packaging primaire (en contact direct avec le DM stérile)
  • Un service de calibration ou de validation d'équipements critiques
  • Un service de transport ou de stockage en chaîne du froid pour un DM thermosensible
Échangeons sur votre cas

Trois niveaux d'exigence selon votre criticité

Niveau Profil Exigences attendues
Critique faibleFournisseur de matières premières standard, transport non spécialiséÉvaluation initiale documentée, questionnaire fournisseur, traçabilité des lots. Réévaluation périodique enregistrée dans le SMQ (ISO 13485 §7.4.1).
Critique moyenComposants intégrés, packaging non primaire, services standardsISO 9001 encore acceptée par certains fabricants. ISO 13485 de plus en plus exigée. Maîtrise documentée du processus, audit fournisseur sur site.
Critique fortStérilisation, assemblage, composants déterminants, packaging primaire, logiciels embarqués (IEC 62304)ISO 13485 requise en pratique. Certification recommandée avant toute relation contractuelle avec un fabricant classe IIa ou supérieure. Audit ON direct possible.

Source : pratique des ON français (LNE-GMED, AFNOR Cert.), MDR Article 10, ISO 13485:2016 §7.4, AFNOR (audit fournisseur ISO 13485).

Cinq prestations adaptées à votre maturité

Diagnostic de maturité DM

Audit flash de votre organisation actuelle vs exigences ISO 13485 et MDR Article 10. Identification des écarts, évaluation de la criticité de votre activité, cadrage du chemin vers la certification ou la conformité contractuelle exigée par vos donneurs d'ordre.

Durée 1 à 3 jours sur site
Préparation à un audit client (donneur d'ordre)

Votre client va vous auditer dans 4 à 12 semaines. Nous structurons votre dossier, identifions les questions probables, simulons l'audit, formons l'équipe à la posture audit.

Durée 2 à 6 semaines selon écart initial
Mise en place d’un SMQ ISO 13485

Construction complète d'un SMQ conforme ISO 13485:2016, calibré pour votre activité de sous-traitant (certaines exigences relatives à la conception ne s'appliquent pas, d'autres sont renforcées).

Durée 6 à 12 mois selon taille et existant
Préparation à la certification ISO 13485

Audit à blanc complet, identification des écarts résiduels, plan de remédiation, accompagnement pendant l'audit de certification.

Durée 8 à 12 semaines
Suivi annuel et préparation aux audits de surveillance

Audit interne annuel, mise à jour SMQ, préparation à l'audit de surveillance ON. Pour les sous-traitants certifiés qui veulent externaliser leur veille et leur audit interne.

Durée 5 à 10 jours par an
Retour terrain

Cinq erreurs que nous voyons souvent chez les sous-traitants débutants en DM

# Erreur Conséquence
1« On est ISO 9001, ça suffit »ISO 9001 est une base solide. Pour un sous-traitant critique moyen, elle peut suffire selon les exigences du fabricant donneur d'ordre. Pour un critique fort, ISO 13485 est devenue le standard attendu par les ON et la majorité des fabricants classe IIa et supérieure. Vérifier les exigences contractuelles avant de supposer que votre certification actuelle couvre le périmètre.
2Sous-estimer la traçabilitéL'ISO 13485 impose une traçabilité documentée des produits, par lot ou par numéro de série selon la classe du dispositif et les exigences du fabricant donneur d'ordre. Les modalités concrètes dépendent de votre activité, mais elles sont systématiquement vérifiées en audit fournisseur. Anticiper les impacts sur votre système d'information dès la phase de mise en place du SMQ.
3Confondre qualification et validation des procédésL'ISO 13485 §7.5.6 impose de qualifier les équipements (IQ/OQ/PQ) et de valider les procédés spéciaux dont les résultats ne peuvent pas être entièrement vérifiés a posteriori. Un sous-traitant peut maîtriser son procédé depuis des années sans en avoir la preuve documentée au sens DM. C'est systématiquement un point de friction en audit : le savoir-faire ne suffit pas, il faut démontrer la reproductibilité par des enregistrements.
4Ne pas anticiper l'audit ON directPour les sous-traitants critiques forts, l'ON peut venir directement vous auditer. Si vous n'êtes pas prêts, votre client peut perdre son certificat.
5Penser que la certification suffitLe certificat est un point de départ, pas une fin. La maîtrise réelle se voit en audit fournisseur, surtout sur la gestion des changements et la maîtrise des fournisseurs.

Un cas concret : sous-traitant d'usinage, première certification ISO 13485

3

jours · diagnostic

9

mois · construction SMQ

12

mois · délai contractuel

Une PME de 25 personnes, certifiée ISO 9001, fournissant des pièces usinées à un fabricant DM classe IIb. L’ON du donneur d’ordre signale au fabricant lors d’un audit que la maîtrise du fournisseur usinage doit être renforcée. Le fabricant exige une certification ISO 13485 sous 12 mois.

Notre intervention : diagnostic 3 jours, identification des écarts (gestion documentaire, validation des procédés d’usinage, traçabilité par lot, formation des opérateurs aux exigences DM). Construction du SMQ sur 9 mois, certification obtenue à l’échéance. Maintenance annuelle assurée depuis.

Questions fréquentes

Le MDR n'impose pas la certification au sous-traitant. C'est votre client (le fabricant) qui impose la certification ou un niveau de maîtrise équivalent, en fonction de l'analyse de risque qu'il a documentée selon Article 10 et ISO 13485 §7.4. En pratique, pour un sous-traitant critique fort, la certification est devenue le standard de marché.
Le coût dépend de deux variables principales : les honoraires de préparation (conseil, mise en place du SMQ, audit à blanc) et les frais de l'organisme certificateur. Ces derniers sont calculés selon l'IAF MD 9, qui détermine les durées d'audit en fonction du nombre d'employés et de la complexité des activités sous-traitées. Une entreprise de 10 personnes n'a pas le même temps d'audit qu'une de 80. Nous établissons une estimation précise lors du cadrage initial, une fois votre périmètre d'activité et votre effectif connus.
Oui. Nous préparons l'audit avec vous (revue documentaire, simulation, formation à la posture audit), et nous pouvons être présents en tant que support technique le jour de l'audit, à votre demande.
Un sous-traitant qui réalise des activités ayant une incidence sur la conformité du dispositif final est soumis aux exigences de la clause 7.4 de l’ISO 13485. Le fabricant doit l’évaluer, le qualifier et le surveiller selon des critères définis. Selon la criticité de l’activité sous-traitée, le fabricant peut exiger une certification ISO 13485 du sous-traitant ou se satisfaire d’un audit de qualification. Le sous-traitant doit également disposer de procédures documentées, assurer la traçabilité de ses activités et notifier toute modification susceptible d’affecter la conformité du produit. L’étendue des obligations varie selon la nature de la prestation.

Accompagnement sous-traitant ISO 13485
La clause 7.4.1 de l’ISO 13485 impose au fabricant de définir des critères de sélection, d’évaluation et de réévaluation de ses fournisseurs. L’évaluation initiale peut prendre plusieurs formes : audit sur site, questionnaire d’auto-évaluation, analyse de dossier technique, revue de certificats. La criticité du fournisseur détermine la rigueur du processus : un fournisseur de composants critiques ou d’activités externalisées à fort impact sera audité périodiquement. Les résultats de surveillance doivent être enregistrés dans le SMQ et réévalués à intervalles définis. Un fournisseur non évalué ou non surveillé est une non-conformité directe lors d’un audit de certification.

Voir notre prestation audit fournisseur ISO 13485
La certification ISO 13485 n’est pas une obligation légale pour un sous-traitant. C’est le fabricant qui reste responsable de la conformité finale du dispositif. Cependant, en pratique, de nombreux fabricants et organismes notifiés l’exigent contractuellement pour les fournisseurs critiques, car elle simplifie l’évaluation et la surveillance. Pour les activités moins critiques, un audit de qualification ou un questionnaire peut suffire. La tendance du marché va vers une exigence croissante de certification, notamment pour les prestataires de stérilisation, de fabrication de composants ou de logiciels embarqués (IEC 62304).

Préparer votre certification ISO 13485
Un accord qualité fournisseur (ou Quality Agreement) est un document contractuel qui formalise les responsabilités réciproques du fabricant et de son sous-traitant en matière de qualité et de conformité réglementaire. Il précise les exigences applicables, les modalités de contrôle, les conditions de notification des modifications et les obligations de traçabilité. L’ISO 13485 ne rend pas cet accord obligatoire sous cette forme exacte, mais la clause 7.4.3 impose que les dispositions d’approvisionnement spécifient clairement les exigences. En pratique, pour toute activité externalisée critique, l’accord qualité est la preuve documentée que le fabricant a maîtrisé sa chaîne d’approvisionnement.

Encadrer vos relations sous-traitants

Audit client à venir, certification à préparer ?

Plus tôt nous prenons connaissance de la demande, plus le plan est solide.

Échanger avec nous →

Voir aussi : Conseil et accompagnement · Audit · Fabricants