Die Beherrschung der Lieferanten gehört zu den Kapiteln der ISO 13485, die im Audit die meisten Abweichungen verursachen, insbesondere in KMU. Abschnitt 7.4 stellt hohe Anforderungen an die Methode. Einen Vertrag mit einem Lieferanten zu haben reicht nicht aus, um die Beherrschung nachzuweisen.
Was Abschnitt 7.4 verlangt
Abschnitt 7.4 gliedert sich in drei Teile. Nur den ersten zu behandeln ist der häufigste Fehler beim Anwendungsbereich.
7.4.1 Beschaffungsprozess. Bewertung und Auswahl der Lieferanten auf der Grundlage ihrer Fähigkeit, den festgelegten Anforderungen entsprechende Produkte zu liefern, ihrer Leistung, der Auswirkung des beschafften Produkts auf die Qualität des Medizinprodukts und risikoangemessen. Die Auswahlkriterien werden dokumentiert, die Ergebnisse aufgezeichnet. Die Neubewertung wird geplant, durchgeführt und ihre Ergebnisse werden aufbewahrt, zusammen mit den bei Abweichungen ausgelösten Maßnahmen.
7.4.2 Beschaffungsangaben. Die Beschaffungsangaben beschreiben das bestellte Produkt: Spezifikationen, Annahmekriterien, Anforderungen an die Qualifizierung des Lieferantenpersonals, gegebenenfalls QMS-Anforderungen. Ein in KMU oft fehlender Punkt: die Vereinbarung zur Änderungsmitteilung. Der Lieferant muss sich vertraglich verpflichten, jede Änderung von Verfahren, Material oder Unterauftragnehmer vor deren Umsetzung zu melden. Ohne diese Vereinbarung beruht die Beherrschung auf der zufälligen Entdeckung einer Änderung.
7.4.3 Verifizierung des beschafften Produkts. Der Umfang der Wareneingangskontrolle ist nicht einheitlich. Er hängt von den Ergebnissen der Lieferantenbewertung und vom zugehörigen Risiko ab. Ein neu qualifizierter kritischer Lieferant rechtfertigt eine verstärkte Kontrolle; ein gewöhnlicher, stabiler Lieferant eine leichtere.
Die Einstufung nach Kritikalität: die operative Übersetzung des Risikos
Die Norm verlangt eine risikoangemessene Beherrschung. Die Einstufung nach Kritikalität ist der konkrete Weg, sie umzusetzen. Sie wird aufgebaut, bevor die Qualifizierungsmethoden ausgewählt werden.
Kritische Lieferanten. Ihre Produkte oder Dienstleistungen gehen in die Zusammensetzung des Medizinprodukts ein oder beeinflussen dessen Sicherheit und Leistung: biokompatible Rohstoffe, Dienstleister für die Sterilisation, Unterauftragnehmer einer Schlüsselkomponente. Eine konsequente Qualifizierung ist zwingend erforderlich.
Wichtige Lieferanten. Ihr Versagen kann die Qualität beeinträchtigen, ohne sich direkt auf die Sicherheit auszuwirken: Logistikdienstleister, Lieferant der Primärverpackung. Mittleres Maß an Beherrschung.
Gewöhnliche Lieferanten. Büromaterial, allgemeine Dienstleistungen ohne Auswirkung auf die Produktqualität. Ein Mindestmaß an Beherrschung genügt.
Die akzeptablen Qualifizierungsmethoden
Die Wahl der Methode ergibt sich aus der Kritikalitätsstufe.
Lieferantenaudit, vor Ort oder aus der Ferne. Die robusteste Methode für kritische Lieferanten. Geplant, nach einem definierten Programm durchgeführt, mit einem Bericht abgeschlossen.
Selbstbewertungsfragebogen. Zulässig für wichtige Lieferanten. Allein unzureichend für einen kritischen Lieferanten.
Überprüfung der Dokumentation. Zertifikate ISO 13485 oder ISO 9001, Berichte von Audits anderer Kunden, Inspektionsberichte. Ein ISO-13485-Zertifikat erleichtert die Qualifizierung, ersetzt sie aber nicht. Es bescheinigt das QMS des Lieferanten, nicht seine Fähigkeit, Ihre spezifischen Anforderungen zu erfüllen. Je nach beschafftem Produkt bleibt die ISO 9001 zulässig, sofern sie die erwartete technische Fähigkeit abdeckt.
Verstärkte Wareneingangskontrolle. Zusätzliche Maßnahmen für neue Lieferanten oder Lieferanten, deren Qualifizierung noch läuft, in direkter Anwendung von 7.4.3.
Die drei häufigsten Fallstricke
Fallstrick 1: einmal qualifizieren, nie neu bewerten. Die regelmäßige Neubewertung ist verpflichtend. Sie wird im Lieferantenauditprogramm geplant und durchgeführt, auch wenn der Lieferant keinerlei Probleme bereitet hat. Ihr Fehlen ist eine systematische Abweichung.
Fallstrick 2: die Qualifizierung allein auf das ISO-Zertifikat stützen. Ein nach ISO 13485 zertifizierter Lieferant verfügt über ein konformes QMS. Er hat jedoch nicht zwangsläufig die Fähigkeit, Ihre besonderen technischen Spezifikationen zu erfüllen. Die Qualifizierung muss diese spezifische Fähigkeit abdecken.
Fallstrick 3: Lieferantenänderungen nicht mit dem Änderungsmanagement verknüpfen. Eine Änderung von Verfahren, Material oder Unterauftragnehmer oder ein abgelaufenes Zertifikat muss eine Neubewertung auslösen. Genau das ist der Zweck der in 7.4.2 vorgesehenen Mitteilungsvereinbarung. Ohne diese vertragliche Verknüpfung veraltet die Liste der qualifizierten Lieferanten, ohne dass es jemand bemerkt.