ISO 13485:2016 vs. Version 2003: die 7 strukturierenden Änderungen im Überblick

Die Version 2016 der ISO 13485 ist seit dem Ende der Übergangsfrist im März 2019 die gültige Fassung. Mehr als sieben Jahre. Dennoch stellt sich bei Zertifizierungs- oder Überwachungsaudits regelmäßig heraus: In vielen KMU-Medizinprodukteherstellern wurde die Migration von der Version 2003 nur oberflächlich vollzogen. Eine Umformatierung der Verfahren, ein paar hinzugefügte Absätze, ein neues Inhaltsverzeichnis, das an die Struktur 2016 angeglichen ist. Die grundlegenden Logiken selbst haben sich jedoch nicht geändert.

Genau das erkennen erfahrene Auditoren innerhalb weniger Stunden. Sieben Punkte struktureller Divergenz zwischen den beiden Versionen erzeugen wiederkehrende Abweichungen. Hier sind sie, in der Reihenfolge, in der sie ein QMS in der Praxis am häufigsten schwächen.

1. Der auf das gesamte QMS erweiterte Risikoansatz

Dies ist der wichtigste konzeptionelle Bruch zwischen den beiden Versionen. Die Version 2003 beschränkte den Risikoansatz auf das Produktrisikomanagement, so wie es durch die ISO 14971 strukturiert wird. Die Risikomanagementakte war ein technisches Ergebnis, getrennt vom Qualitätsmanagementsystem.

Die Version 2016 wechselt das Paradigma. Abschnitt 4.1 verlangt ausdrücklich einen „risikobasierten Ansatz bei der Lenkung der für das Qualitätsmanagementsystem erforderlichen geeigneten Prozesse”. Konkret: die Planung der Prozesse, die Häufigkeit der internen Audits, das Maß an Kontrolle über einen Lieferanten, die Tiefe einer Validierung, der Umfang der Wareneingangsprüfungen. Jede dieser Entscheidungen muss sich auf eine dokumentierte Risikoanalyse stützen können, und sei sie noch so einfach.

Ein der Version 2016 konformes QMS legt die Häufigkeit seiner internen Audits nicht aus Gewohnheit oder Bequemlichkeit fest. Es begründet sie mit dem Risikoniveau, das mit dem auditierten Prozess verbunden ist. Ein Sterilisationsprozess wird häufiger auditiert als ein Personalmanagementprozess, und dieser Unterschied wird nachverfolgt, begründet und im Audit vertretbar sein.

Das ist ein Unterschied in der Führungshaltung, nicht nur ein dokumentarischer. Im Audit äußert sich die Abweichung oft durch eine einfache Frage: „Wie haben Sie diese Häufigkeit festgelegt?” Lautet die Antwort „Das haben wir schon immer so gemacht” oder „Es ist für alle jährlich”, so ist das Problem offengelegt.

2. Die ausdrücklich in das QMS integrierten regulatorischen Anforderungen

Die Version 2003 schloss die regulatorische Konformität implizit in ihren Anwendungsbereich ein. Die Version 2016 macht daraus eine ausdrückliche und dokumentierte Verpflichtung: Die Organisation muss die auf ihre Tätigkeiten und ihre Produkte anwendbaren regulatorischen Anforderungen ermitteln und nachweisen, wie ihr QMS ihnen entspricht.

Der Anhang A der Norm bestätigt dies: Abschnitt 4.1 fügt die Notwendigkeit hinzu, „die Anforderungen der Kunden und die anwendbaren regulatorischen Anforderungen an Sicherheit und Leistung zu erfüllen”. Der Anwendungsbereich (Abschnitt 1) präzisiert, dass der Begriff „regulatorische Anforderungen” die „Gesetze, Verordnungen, Erlasse oder Richtlinien” umfasst.

Konkret ist ein QMS, das nicht auf die Verordnung (EU) 2017/745 (MDR) oder auf die auf seine Produkte anwendbaren nationalen Texte Bezug nimmt, nicht konform mit der Version 2016 – selbst wenn seine Prozesse im Übrigen gut beschrieben und angewandt sind. Die Erfassung der regulatorischen Anforderungen ist keine optionale gute Praxis mehr: Sie ist eine Anforderung der Norm.

Diese Änderung hat eine unmittelbare Auswirkung auf die Dokumentation: Die Qualitätspolitik, das Qualitätshandbuch oder sein Äquivalent sowie die Schlüsselverfahren müssen das QMS ausdrücklich im anwendbaren regulatorischen Rahmen verankern. In der Praxis setzt dies auch einen Überwachungsmechanismus voraus: Abschnitt 5.6.2, Punkt l), macht „neue oder überarbeitete anwendbare regulatorische Anforderungen” zu einer verpflichtenden Eingabe der Managementbewertung. Ein QMS, das der Entwicklung des regulatorischen Rahmens nicht folgt, ist strukturell nicht konform.

Für Medizinproduktehersteller, die unter der MDR tätig sind, ist diese Konvergenz zwischen Norm und Verordnung ein starker Hebel: Ein gut auf die Version 2016 abgestimmtes QMS erfüllt bereits einen erheblichen Teil der Anforderungen von Artikel 10(9) der MDR.

3. Die Validierung der im QMS verwendeten Software

Abschnitt 4.1.6 ist eine der bei Migrationen am häufigsten übergangenen Bestimmungen. Er verlangt, dass die im Rahmen des QMS verwendete Software vor ihrer Inbetriebnahme und nach jeder wesentlichen Änderung Gegenstand einer Validierung ist.

Der Anwendungsbereich ist weit und wird oft missverstanden. Es geht nicht allein um die in Medizinprodukte eingebettete Software (die unter die Entwicklung nach §7.3 und die IEC 62304 fällt), noch um die Produktionssoftware (abgedeckt durch §7.5.6). Abschnitt 4.1.6 zielt auf jede Software ab, deren Ausfall die Produktkonformität innerhalb des QMS selbst beeinträchtigen könnte: ein ERP, eine Dokumentenmanagement-Software, ein Werkzeug zur Auditplanung, eine Tabellenkalkulation zur Berechnung der Reinigungsgrenzwerte oder zur Verfolgung der Nichtkonformitäten.

Die Norm präzisiert, dass „der spezifische Ansatz und die mit der Validierung und Revalidierung der Software verbundenen Tätigkeiten dem mit ihrer Verwendung verbundenen Risiko angemessen sein müssen”. Dieser Grundsatz der Verhältnismäßigkeit ist wesentlich. Die Validierung einer Tabellenkalkulation zur Reklamationsverfolgung erfordert nicht denselben Grad an Formalisierung wie die eines in die Chargenfreigabe integrierten ERP. Aber in beiden Fällen sind ein dokumentiertes Verfahren, Annahmekriterien, Tests, aufgezeichnete Ergebnisse und eine Freigabe zur Inbetriebnahme erforderlich.

In Organisationen, die ohne Formalisierung dieses Vorgehens auf digitale Werkzeuge umgestiegen sind (Cloud-Dokumentenmanagement, SaaS-ERP, Kollaborationswerkzeuge), ist diese Abweichung systematisch. Sie wird kritisch, wenn die Software automatisch durch den Anbieter aktualisiert wird: Ohne definierten Revalidierungsprozess stellt jede Aktualisierung ein unbeherrschtes Risiko dar.

4. Die verstärkte und risikoproportionale Lieferantenkontrolle

Abschnitt 7.4.1 der Version 2016 führt eine Verhältnismäßigkeitsanforderung ein, die in der Version 2003 fehlte. Es geht nicht mehr nur darum, eine Liste zugelassener Lieferanten zu führen und regelmäßige Bewertungen durchzuführen: Das Maß an Kontrolle, das über jeden Lieferanten ausgeübt wird, muss durch das Risiko begründet sein, das sein Ausfall für die Qualität und Konformität des Endprodukts darstellt.

Der Anhang A der Norm fasst die Änderung zusammen: §7.4.1 „fokussiert die Kriterien für die Auswahl des Lieferanten auf die Auswirkung der Leistung des Lieferanten auf die Qualität des Medizinprodukts, die mit dem Medizinprodukt verbundenen Risiken und die Tatsache, dass das Produkt die anwendbaren regulatorischen Anforderungen erfüllt”. Die Version fügt Anforderungen an die Überwachung, die Neubewertung und die zu ergreifenden Maßnahmen hinzu, wenn die Beschaffungsanforderungen nicht erfüllt werden.

Konkret bringt dies mehrere Verpflichtungen mit sich. Die Kriterien der Erstauswahl müssen dokumentiert und auf nachvollziehbare Weise angewandt werden. Die Erstbewertungen müssen aufgezeichnet, nicht nur geplant sein. Die regelmäßigen Neubewertungen müssen stattfinden, nachverfolgt werden, und ihre Schlussfolgerungen müssen in die Entscheidungen zur Aufrechterhaltung oder zum Entzug der Qualifikation einfließen. Ein Lieferant kritischer Rohstoffe oder sterilisierter Komponenten kann nicht mit demselben Maß an Kontrolle behandelt werden wie ein Lieferant von Büromaterial. Die Version 2016 verlangt, dass diese Differenzierung ausdrücklich und dokumentiert ist.

Im Audit ist die typische Abweichung eine Lieferantenakte, in der alle Dienstleister mit demselben generischen Raster bewertet werden, ohne jede Modulation nach Risiko. Diese einheitliche Formalisierung mag streng erscheinen; sie ist in Wirklichkeit nicht konform.

5. Die in die Nachproduktionstätigkeiten integrierte Rückmeldung

Abschnitt 8.2.1 der Version 2016 strukturiert den Rückmeldungsprozess um. Dies ist eine wichtige Logikänderung, die der Anhang A in zwei Punkten zusammenfasst: Die Rückmeldung muss künftig „aus den Produktions- und Nachproduktionstätigkeiten” stammen, und die gesammelten Informationen müssen „als Eingabe in das Risikomanagement zur Überwachung und Aufrechterhaltung der Produktanforderungen dienen”.

Unter der Version 2003 konnten Kundenreklamationen als isolierte Ereignisse behandelt werden: Eingang, Analyse, Antwort, Abschluss. Die Version 2016 schreibt vor, sie in eine strukturierte Schleife einzubinden. Die Daten aus Reklamationen, Meldungen, Rückmeldungen aus dem Feld und Zufriedenheitsumfragen müssen einen Prozess speisen, der es ermöglicht, Trends zu erkennen, schwache Signale zu identifizieren und Korrektur- oder Vorbeugemaßnahmen auszulösen.

Die Norm fügt eine spezifische Anforderung für Hersteller hinzu, die regulatorischen Verpflichtungen zur Nachproduktionsüberwachung unterliegen: „Verlangen die anwendbaren regulatorischen Anforderungen von der Organisation, spezifische Erfahrungen aus den Nachproduktionstätigkeiten zu gewinnen, so muss die Bewertung dieser Erfahrungen Teil des Rückmeldungsprozesses sein” (§8.2.1).

Für Hersteller unter der MDR schafft diese Klausel eine direkte Brücke zu den Verpflichtungen der Überwachung nach dem Inverkehrbringen (Artikel 83 bis 86) und der Vigilanz (Artikel 87 bis 92). Ein dem §8.2.1 der Version 2016 konformer Rückmeldungsprozess bildet die operative Grundlage des von der MDR geforderten Plans zur Überwachung nach dem Inverkehrbringen. Die beiden Systeme sind nicht gleichbedeutend, aber das erste speist strukturell das zweite.

In der Praxis ist die häufigste Abweichung ein Reklamationsprozess und ein Nachproduktionsüberwachungsprozess, die in zwei dokumentarischen Silos ohne formalisierte Interaktion abgeschottet sind. Die Version 2016 verlangt, dass diese Prozesse miteinander verschnittstellt werden.

6. Die formalisierte Kontrolle der ausgelagerten Prozesse

Abschnitt 4.1.5 verlangt, dass die Organisation die ausgelagerten Prozesse überwacht und kontrolliert, sobald sie die Produktkonformität beeinträchtigen. Die Version 2003 war in diesem Punkt weniger präskriptiv.

Die Formulierung der Norm ist präzise: „Die Kontrollmaßnahmen müssen dem verbundenen Risiko und der Fähigkeit der externen Partei, die Anforderungen gemäß 7.4 zu erfüllen, angemessen sein. Die Kontrollmaßnahmen müssen schriftliche Qualitätsvereinbarungen umfassen.”

Der geläufige Fehler besteht darin, davon auszugehen, dass ein Unterauftragsvertrag genügt, um die Kontrolle nachzuweisen. Das ist nicht zwangsläufig der Fall. Die „schriftlichen Qualitätsvereinbarungen” müssen die Modalitäten zur Überprüfung präzisieren, dass der Dienstleister die Anforderungen der Organisation einhält: Audits, Leistungsbewertungen, Wareneingangsprüfungen, Übermittlung von Qualitätsdaten. Sie müssen ebenfalls präzisieren, wie die Ergebnisse dieser Überwachung aufgezeichnet und bei den Requalifizierungsentscheidungen berücksichtigt werden.

Ein strukturiertes quality agreement kann diese Anforderung erfüllen. Ein internes Verfahren zur Steuerung der ausgelagerten Prozesse ebenfalls. Entscheidend ist nicht die Form des Dokuments, sondern die Realität der ausgeübten Kontrolle und ihre Nachvollziehbarkeit.

Diese Änderung steht in unmittelbarer Resonanz mit der MDR, die den Hersteller ausdrücklich für die Kontrolle seiner Lieferkette in die Verantwortung nimmt, auch für die an Dritte übertragenen Tätigkeiten. Artikel 10(9) der MDR verlangt, dass der Hersteller ein QMS einrichtet, dokumentiert, umsetzt und aufrechterhält, das insbesondere „die Ressourcenverwaltung, einschließlich der Auswahl und Kontrolle von Zulieferern und Unterauftragnehmern” abdeckt.

7. Die angereicherten verpflichtenden Eingaben der Managementbewertung

Abschnitt 5.6.2 der Version 2016 geht auf 12 verpflichtende Eingabeelemente über, gegenüber 7 in der Version 2003. Diese Erweiterung ist nicht kosmetisch. Drei Ergänzungen spiegeln die Entwicklung der Philosophie der Norm wider.

Die Behandlung der Reklamationen (Punkt b) wird zu einem eigenständigen Eingabeelement, getrennt von den allgemeinen Rückmeldungen (Punkt a). Unter der Version 2003 gingen die Reklamationen im „Kundenfeedback” unter. Die Version 2016 verlangt, dass sie in der Managementbewertung als eigenständige Kategorie dargestellt werden, mit ihren eigenen Trends und Schlussfolgerungen.

Die Meldung an die Regulierungsbehörden (Punkt c) ist eine vollständig neue Eingabe. Die Leitung muss in der Managementbewertung über die an die zuständigen Behörden erfolgten Meldungen informiert werden. Dies ist eine logische Folge der Integration der regulatorischen Anforderungen in den Anwendungsbereich des QMS: Ist die regulatorische Konformität ein Ziel des Systems, so sind die regulatorischen Meldungen ein Leistungsindikator dafür.

Die neuen oder überarbeiteten regulatorischen Anforderungen (Punkt l) bilden die letzte hinzugefügte Eingabe. Die Managementbewertung muss eine Analyse der Entwicklungen des anwendbaren regulatorischen Rahmens einbeziehen. Ohne diese Eingabe steuert die Leitung das QMS ohne Sicht auf die kommenden oder laufenden Änderungen.

Die Ausgabeelemente wurden ebenfalls angereichert. Abschnitt 5.6.3 umfasst 4 verpflichtende Ausgabeelemente, darunter ein neues: die „Änderungen, die erforderlich sind, um neuen oder überarbeiteten anwendbaren regulatorischen Anforderungen zu entsprechen” (Punkt c). Die Managementbewertung begnügt sich nicht mehr damit, die regulatorischen Entwicklungen festzustellen; sie muss über die zu ergreifenden Maßnahmen entscheiden, um ihnen zu entsprechen.

Im Audit erzeugt eine Managementbewertung, die diese 12 Eingaben und 4 Ausgaben nicht abdeckt, eine Abweichung. Grundlegender noch beraubt eine Bewertung, die sich nicht auf diese Daten stützt, die oberste Leitung der für eine wirksame Steuerung des QMS wesentlichen Informationen.

Zusammenfassend

Diese sieben Entwicklungen sind keine redaktionellen Anpassungen. Sie spiegeln eine reifere Qualitätsmanagementphilosophie wider, die auf die proaktive Beherrschung der Risiken, die Nachvollziehbarkeit der Entscheidungen und die Integration des regulatorischen Rahmens in den Kern des QMS ausgerichtet ist.

Ein wirklich auf die Version 2016 abgestimmtes QMS gleicht in seiner Funktionslogik nicht einem auf der Version 2003 aufgebauten. Die Dokumentenstruktur kann ähnlich sein. Die Prozesse können dieselben Namen tragen. Aber die Art, wie die Entscheidungen getroffen, begründet und nachverfolgt werden, ist grundlegend anders.

Oft werden bei einem Rezertifizierungsaudit oder einem ersten Audit durch eine neue Benannte Stelle die Lücken einer oberflächlichen Migration sichtbar. Besser ist es, sie im Vorfeld selbst zu erkennen. Ein auf diese sieben Punkte fokussiertes Voraudit ermöglicht es, den tatsächlichen Abstand zwischen dem QMS, so wie es dokumentiert ist, und den Anforderungen, so wie sie in der Norm tatsächlich formuliert sind, zu ermessen.