Nach Dutzenden ISO-13485-Zertifizierungsaudits und Begleitungen bei der Vorbereitung kehren bestimmte Abweichungen mit vorhersehbarer Regelmäßigkeit wieder. Sie zu kennen ermöglicht es, sie zu beheben, bevor der Auditor sie findet. Hier sind die zehn, die mir am häufigsten begegnen.
Abweichung 1: unzureichende Ursachenanalyse bei CAPA
Die mit Abstand häufigste Abweichung. Die Korrekturmaßnahme beschreibt, was getan wurde, ohne zu dokumentieren, warum das Problem aufgetreten ist. Der Auditor fragt nach der Ursachenanalyse. Wenn sie nicht existiert oder sich auf “Bedienerfehler” oder “fehlende Schulung” beschränkt, ist das eine unmittelbare Abweichung. Eine falsch identifizierte Grundursache führt zu einer wirkungslosen Korrekturmaßnahme: Das Problem kehrt zurück.
Abweichung 2: fehlende oder formale Wirksamkeitsprüfung der CAPA
Die CAPA wird administrativ geschlossen, ohne Nachweis, dass die Maßnahme die Ursache beseitigt hat. Die Wirksamkeitsprüfung muss vor der Maßnahme geplant werden (im Voraus definierte Kriterien), nach einer ausreichenden Frist durchgeführt und mit objektiven Daten dokumentiert werden. “Kein Wiederauftreten beobachtet” ohne Verlaufsdaten ist keine Wirksamkeitsprüfung.
Abweichung 3: unvollständiges internes Auditprogramm über den Zyklus
Bestimmte Prozesse des QMS wurden in den letzten drei Jahren nicht auditiert. Die “schwierigen” Prozesse — Produktion, Lieferantenlenkung, Verwaltung der Ausrüstung — werden häufig zugunsten der dokumentenbezogenen Prozesse vermieden. Der Auditor prüft die Abdeckung des Programms über den vollständigen Zyklus.
Abweichung 4: fehlende Validierung der QMS-Software
Die im QMS eingesetzte Software (ERP, Fertigungssteuerung, Dokumentenmanagement-Tool, Tracking-Tabellen) wurde nicht gemäß Abschnitt 4.1.6 validiert. Das ist eine systematische Abweichung in digitalisierten KMU. Die Validierung muss nicht aufwendig sein — aber sie muss existieren und dokumentiert werden.
Abweichung 5: nicht durchgeführte Neubewertung der Lieferanten
Die Lieferanten wurden ursprünglich qualifiziert und werden nicht mehr periodisch neu bewertet. Oder die Neubewertungen sind geplant, aber nicht durchgeführt. Der Auditor fordert die Aufzeichnungen der Neubewertung an: ihr Fehlen ist eine Abweichung.
Abweichung 6: abgelaufene Kalibrierung eines oder mehrerer Geräte
Ein Messgerät, dessen Kalibrierung zum Zeitpunkt des Audits abgelaufen ist. Das ist eine faktische, unmittelbare Abweichung, ohne Diskussionsspielraum. Die Einrichtung eines Erinnerungssystems (geteilter Kalender, automatische Benachrichtigung) ist die einfachste Lösung, um sie zu vermeiden.
Abweichung 7: Managementbewertung mit fehlenden Eingaben
Die Managementbewertung deckt nicht alle verpflichtenden Eingaben aus Abschnitt 5.6.2 ab. Typischerweise: fehlende Analyse der Post-Market-Rückmeldungen, fehlende Prüfung der neuen regulatorischen Anforderungen oder fehlende Daten zur Wirksamkeit der Prozesse. Ein Protokoll, das sich auf eine Gesprächsrunde ohne Daten beschränkt, ist keine konforme Managementbewertung.
Abweichung 8: Dokumente ohne Version, ohne Datum oder weiterhin in veralteter Fassung zugänglich
Verfahren ohne Revisionsnummer, Formulare ohne Freigabedatum oder veraltete Versionen, die weiterhin im gemeinsamen Netzlaufwerk verfügbar sind. Die Dokumentenlenkung bleibt ein Klassiker unter den Audit-Abweichungen, auch in alteingesessenen QMS.
Abweichung 9: dokumentierte Schulung, aber nicht überprüfte Kompetenzen
Die Schulungsaufzeichnungen existieren: Anwesenheitslisten, Bescheinigungen. Aber die Überprüfung des Kompetenzerwerbs ist nicht nachverfolgt. Abschnitt 6.2 verlangt, die Wirksamkeit der Schulungen sicherzustellen, nicht nur sie durchzuführen. Ein Test, ein Quiz, eine bewertete praktische Anwendung: Irgendetwas muss belegen, dass die Kompetenz erworben wurde.
Abweichung 10: QMS nicht mit den geltenden regulatorischen Anforderungen verknüpft
Das QMS nimmt keinen Bezug auf die MDR, die IVDR oder die geltenden nationalen Regelwerke. Die Qualitätspolitik spricht von Kundenzufriedenheit und kontinuierlicher Verbesserung, ohne die regulatorischen Anforderungen zu erwähnen. Abschnitt 4.1 verlangt, dass die regulatorischen Anforderungen identifiziert und in das QMS integriert werden. Ein QMS, das sich regulatorisch selbst ignoriert, ist nicht konform mit der Fassung von 2016.