Die Frage stellt sich in nahezu jeder Fertigungskette von Medizinprodukten: Muss ein Unterauftragnehmer oder Dienstleister, der für einen nach ISO 13485 zertifizierten Hersteller arbeitet, selbst zertifiziert sein? Die Antwort ist nicht binär. Sie auf ein „Ja” oder ein „Nein” zu reduzieren, schafft in beiden Richtungen Probleme: Entweder verlangt man eine Zertifizierung, wo die Beherrschung genügt, oder man lockert die Kontrolle, wo sie kritisch wird. Die richtige Frage lautet nie „Ist er zertifiziert?”, sondern „Ist die Beherrschung dem Risiko angemessen und dokumentiert?”.
Was Abschnitt 4.1.5 sagt: Beherrschung, nicht Zertifizierung
Abschnitt 4.1.5 der ISO 13485:2016 betrifft jeden ausgelagerten Prozess, der sich auf die Konformität des Produkts auswirkt. Er verlangt vom Hersteller, ihn zu überwachen und seine Beherrschung sicherzustellen. Nirgends steht, dass der Unterauftragnehmer nach ISO 13485 zertifiziert sein muss. Er verlangt, dass die Elemente der Beherrschung dem zugehörigen Risiko und der Fähigkeit der externen Partei, die Anforderungen zu erfüllen, angemessen sind, in Übereinstimmung mit Abschnitt 7.4 über die Beschaffung.
Konkret verweist dies auf die Kriterien von 7.4.1: Bewertung und Auswahl des Lieferanten auf der Grundlage seiner Fähigkeit, seiner Leistung und der Auswirkung des Produkts oder der Dienstleistung auf das Medizinprodukt. Die ISO-13485-Zertifizierung eines Unterauftragnehmers ist der direkteste Weg, diese Fähigkeit für eine kritische Tätigkeit nachzuweisen. Sie ist nicht der einzige.
Die Pflicht, die viele vergessen: die schriftliche Qualitätsvereinbarung
Abschnitt 4.1.5 endet mit einem Satz, den wenige Hersteller tatsächlich umsetzen: Die Elemente der Beherrschung „müssen schriftliche Qualitätsvereinbarungen umfassen”. Mit anderen Worten: Eine schriftliche Qualitätsvereinbarung ist keine Option, die nicht zertifizierten Dienstleistern vorbehalten ist. Sie ist eine Basisanforderung, anwendbar auf jeden ausgelagerten Prozess, der die Konformität beeinflusst, ob der Unterauftragnehmer zertifiziert ist oder nicht.
Diese Vereinbarung legt die anwendbaren Qualitätsanforderungen, die Verteilung der Verantwortlichkeiten, die Lieferobjekte, die Kontrollmodalitäten und die Mitteilung von Änderungen fest. Ein nach ISO 13485 zertifizierter Unterauftragnehmer ohne formalisierte Qualitätsvereinbarung bleibt eine Abweichung nach 4.1.5. Die Zertifizierung belegt die Fähigkeit, die schriftliche Vereinbarung belegt die Beherrschung. Beide ersetzen sich nicht gegenseitig.
Wann die ISO-13485-Zertifizierung des Unterauftragnehmers erwartet wird
Für Tätigkeiten mit starkem Einfluss auf die Sicherheit des Endprodukts — ausgelagerte Sterilisation, kritische Montage, Leistungsprüfungen, Fertigung biokompatibler Komponenten — ist die ISO-13485-Zertifizierung des Unterauftragnehmers die robusteste Lösung. Sie belegt das Vorhandensein eines vollständigen QMS, das von einem unabhängigen Dritten auditiert wird.
Beim Audit des Herstellers ermittelt die Benannte Stelle die betroffenen Lieferanten und Unterauftragnehmer und bestimmt, ob ein spezifisches Audit eines von ihnen erforderlich ist. Wenn die Kritikalität es rechtfertigt, kann sie verlangen, den Unterauftragnehmer direkt zu auditieren oder sein Zertifikat einzusehen. Diese Möglichkeit ist in den für Benannte Stellen geltenden Anforderungen der MDR vorgesehen. Diese Lesart vorwegzunehmen erspart es, mitten im Audit eine Schwachstelle zu entdecken.
Einen nicht zertifizierten Unterauftragnehmer beherrschen: die Hebel
Verfügt der Unterauftragnehmer nicht über die ISO-13485-Zertifizierung, muss der Hersteller dies durch eine aktivere und dokumentierte Beherrschung ausgleichen. Vier Hebel, je nach Kritikalität zu kalibrieren.
Audit des Unterauftragnehmers
Der Hersteller führt regelmäßige Audits durch oder lässt sie durchführen, mit dokumentiertem Bericht und Nachverfolgung der festgestellten Abweichungen. Es ist der direkteste Hebel, um die Fähigkeit eines nicht zertifizierten Dienstleisters objektiv zu belegen.
Vertragliche Anforderungen und Qualitätsvereinbarung
Über die von 4.1.5 geforderte Qualitätsvereinbarung hinaus legt der Vertrag die anwendbaren Qualitätsanforderungen, die erwarteten Lieferobjekte, die überwachten Leistungskennzahlen und die Kontrollmodalitäten fest.
Verstärkte Wareneingangskontrolle
Systematische Kontrollen beim Wareneingang der Produkte oder Leistungen überprüfen die Konformität. Der Umfang der Verifizierung richtet sich nach dem Ergebnis der Lieferantenbewertung und dem zugehörigen Risiko, in Übereinstimmung mit 7.4.3.
Regelmäßige Leistungsüberprüfung
Regelmäßige Besprechungen prüfen die Kennzahlen, behandeln Abweichungen und nehmen Risiken vorweg. Sie speisen die in 7.4.1 vorgesehene Neubewertung des Lieferanten.
Ein oft vernachlässigter Punkt der Verhältnismäßigkeit: Für einen Prozess geringer Kritikalität kann eine ISO-9001-Zertifizierung des Dienstleisters, kombiniert mit einer Wareneingangsprüfung, einen ausreichenden Fähigkeitsnachweis darstellen. Alles hängt von der tatsächlichen Auswirkung des Prozesses auf das Endprodukt ab, nicht vom Namen der ausgewiesenen Norm.
Was der Hersteller niemals delegieren kann
Unabhängig von der Qualität des Unterauftragnehmers und der Strenge der ausgeübten Beherrschung bleibt die regulatorische Verantwortung beim Hersteller. Artikel 10 der MDR ist eindeutig: Der Hersteller ist für die Konformität seiner Produkte verantwortlich, auch wenn Konstruktions- oder Fertigungstätigkeiten von Dritten ausgeführt werden. Das Versagen eines Unterauftragnehmers entbindet ihn nicht. Abschnitt 4.1.5 formuliert es in denselben Worten: Die Organisation bleibt für die Konformität der ausgelagerten Prozesse verantwortlich.
Genau hier fällt die eigentliche Entscheidung. Das Auslagern eines Prozesses überträgt die Ausführung, niemals die Verantwortung. Der Hersteller, der das verstanden hat, versucht nicht, alles zertifizieren zu lassen. Er dokumentiert eine risikoangemessene Beherrschung und hält sie aufrecht.
Fragen Sie sich, ob die Beherrschung Ihrer Unterauftragnehmer dem Audit Ihrer Benannten Stelle standhält? Sprechen Sie mit uns.