Der Risikomanagementplan ist das Dokument, das festlegt, wie der Risikomanagementprozess für ein bestimmtes Medizinprodukt angewendet wird. Abschnitt 4.4 der ISO 14971:2019 legt dessen Inhalt fest. Es handelt sich um ein Planungs- und Steuerungsdokument – nicht um ein Ergebnisdokument.
Diese Unterscheidung ist von grundlegender Bedeutung und wird häufig übersehen. Viele Hersteller verfassen einen Plan, der gleichzeitig die Methode und die Ergebnisse enthält. Beide gehören in getrennte Dokumente.
Was der Risikomanagementplan enthalten muss
Geltungsbereich des Produkts. Beschreibung des betreffenden Produkts, der Zweckbestimmung und der abgedeckten Varianten. Ein Risikomanagementplan muss klar angeben, welches Produkt oder welche Produktfamilie er abdeckt.
Zuweisung von Verantwortlichkeiten und Befugnissen. Wer ist für die Risikoanalyse verantwortlich? Wer genehmigt die Akzeptanzkriterien? Wer validiert die Risikobeherrschungsmaßnahmen? Wer unterzeichnet den abschließenden Risikomanagementbericht? Diese Verantwortlichkeiten müssen namentlich zugewiesen oder definierten Funktionen zugeordnet werden.
Anforderungen an die Überprüfungen. Wie häufig wird die Risikomanagementakte überprüft? Welche Ereignisse lösen eine Überprüfung aus (gemeldeter Vorkommnis, neue klinische Veröffentlichung, Produktänderung)?
Akzeptanzkriterien für Risiken. Die von der Leitung genehmigte Risikomanagementpolitik, übersetzt in operative Kriterien: Risikomatrix mit den Schwellenwerten für Schweregrad und Wahrscheinlichkeit, Akzeptanzstufen (akzeptabel, Reduzierung erwünscht, nicht akzeptabel).
Methoden zur Identifizierung von Gefährdungen. Welche Methoden werden zur Identifizierung von Gefährdungen eingesetzt: FMEA, Fehlerbaumanalyse (FTA), vorläufige Gefährdungsanalyse (PHA), Literaturrecherche zu den bekannten Fehlermodi des betreffenden Produkttyps.
Verknüpfung mit den geltenden regulatorischen Anforderungen. Verweis auf die Anforderungen des Anhangs I der MDR, der geltenden harmonisierten Normen und der einschlägigen MDCG-Leitlinien.
Was oft fälschlicherweise in den Plan aufgenommen wird
Der Risikomanagementplan wird gelegentlich mit der Risikomanagementakte verwechselt – dem Dokument, das die Ergebnisse der Analyse enthält. Man nimmt dann Listen von Gefährdungen, Risikobewertungen, Beherrschungsmaßnahmen und Wirksamkeitsprüfungen darin auf.
Diese Elemente haben ihren Platz in der Risikomanagementakte. Sie in den Plan aufzunehmen schafft ein hybrides Dokument, das unangenehm zu auditieren und schwer aktuell zu halten ist.
Die Regel ist einfach: Der Plan beschreibt die Methode. Die Akte enthält die Ergebnisse. Der Bericht fasst die Schlussfolgerungen zusammen.
Die Ausrichtung am Risiko des Produkts
Ein Risikomanagementplan für ein Heftpflaster der Klasse I darf nicht dieselbe Tiefe aufweisen wie ein Plan für einen Defibrillator der Klasse IIb. Die ISO 14971 verlangt Verhältnismäßigkeit – der Grad an Sorgfalt muss an das Risikoniveau des Produkts angepasst sein. Ein übermäßig komplexer Plan für ein einfaches Produkt ist ebenso problematisch wie ein unzureichender Plan für ein Produkt mit hohem Risiko.