L’AMDEC (Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité — FMEA en anglais) est l’outil de gestion des risques le plus répandu dans le secteur des dispositifs médicaux. Elle est utile, bien documentée, et familière aux auditeurs. Elle est aussi l’outil le plus fréquemment transformé en exercice formel sans valeur analytique réelle.
Un tableau AMDEC mal rempli est pire qu’un tableau vide : il donne l’illusion d’une analyse faite, alors que les risques réels n’ont pas été sérieusement examinés.
Ce que l’AMDEC est censée faire
L’AMDEC recense les modes de défaillance possibles d’un dispositif ou d’un processus, analyse leurs effets potentiels sur la sécurité du patient ou de l’utilisateur, et évalue la criticité de chaque mode de défaillance selon deux dimensions : la gravité de l’effet et la probabilité d’occurrence.
Pour chaque mode de défaillance à risque inacceptable, des mesures de maîtrise sont définies. Après mise en place des mesures, le risque résiduel est réévalué. Si le risque résiduel reste acceptable, la ligne est clôturée. Sinon, des mesures supplémentaires sont requises.
Les erreurs qui vident l’AMDEC de sa substance
Erreur 1 : des modes de défaillance trop génériques. “Défaillance du composant A” n’est pas un mode de défaillance exploitable. Un mode de défaillance précis décrit ce qui se passe exactement : “rupture de la soudure du connecteur A lors d’une sollicitation en traction supérieure à 15 N”, “dérive de la calibration du capteur X après 500 cycles d’utilisation”. La précision est la condition d’une analyse utile.
Erreur 2 : des effets définis comme “dommage au patient” sans précision. “Dommage au patient” n’est pas un effet. L’effet doit décrire le mécanisme : “sous-dosage du médicament administré conduisant à une efficacité insuffisante du traitement”, “décharge électrique non intentionnelle sur le patient lors de la procédure de défibrillation”. La précision de l’effet conditionne l’évaluation correcte de la gravité.
Erreur 3 : des indices de gravité et de probabilité attribués sans justification. Une case “3” dans la colonne gravité sans explication de la base de ce chiffre est un chiffre arbitraire. Les critères de notation doivent être définis dans la politique de gestion des risques et appliqués de façon cohérente.
Erreur 4 : des mesures de maîtrise non vérifiées. Une AMDEC qui liste des mesures de maîtrise sans documenter leur vérification d’efficacité est incomplète. La section 6.3 de l’ISO 14971 exige de vérifier l’efficacité des mesures de maîtrise avant de conclure sur l’acceptabilité du risque résiduel.
Erreur 5 : une AMDEC figée après la conception. L’AMDEC est un document vivant. Elle doit être mise à jour lors de chaque modification significative du dispositif et lors de chaque révision du fichier de gestion des risques déclenchée par des données post-marché.
Ce que les ON cherchent dans une AMDEC
Un ON expérimenté ne lit pas une AMDEC ligne par ligne. Il sélectionne les modes de défaillance à risque élevé initial ou résiduel et examine en détail l’analyse correspondante : le mode de défaillance est-il précis ? L’effet est-il bien décrit ? La mesure de maîtrise est-elle pertinente par rapport à la cause identifiée ? La vérification d’efficacité est-elle documentée avec des données objectives ?