La question revient dans presque toutes les chaînes de fabrication de dispositifs médicaux : un sous-traitant ou un prestataire travaillant pour un fabricant certifié ISO 13485 doit-il lui-même être certifié ? La réponse n’est pas binaire. La ramener à un « oui » ou un « non » crée des problèmes dans les deux sens : soit on exige une certification là où la maîtrise suffit, soit on relâche le contrôle là où il devient critique. La bonne question n’est jamais « est-il certifié ? », mais « la maîtrise est-elle proportionnée au risque et documentée ? ».
Ce que dit la section 4.1.5 : maîtrise, pas certification
La section 4.1.5 de l’ISO 13485:2016 vise tout processus externalisé ayant une incidence sur la conformité du produit. Elle impose au fabricant de le surveiller et d’en assurer la maîtrise. Elle ne dit nulle part que le sous-traitant doit être certifié ISO 13485. Elle exige que les éléments de maîtrise soient proportionnés au risque associé et à l’aptitude de la partie externe à satisfaire aux exigences, conformément à la clause 7.4 sur les achats.
Concrètement, cela renvoie aux critères de 7.4.1 : évaluation et sélection du fournisseur fondées sur sa capacité, ses performances et l’incidence du produit ou de la prestation sur le dispositif médical. La certification ISO 13485 d’un sous-traitant est la façon la plus directe de démontrer cette aptitude sur une activité critique. Elle n’est pas la seule.
L’obligation que beaucoup oublient : l’accord qualité écrit
La section 4.1.5 se termine par une phrase que peu de fabricants intègrent réellement : les éléments de maîtrise « doivent comprendre des dispositions écrites relatives à la qualité ». Autrement dit, un accord qualité écrit n’est pas une option réservée aux prestataires non certifiés. C’est une exigence socle, applicable à tout processus externalisé qui affecte la conformité, que le sous-traitant soit certifié ou non.
Cet accord définit les exigences qualité applicables, la répartition des responsabilités, les livrables, les modalités de contrôle et la notification des modifications. Un sous-traitant certifié ISO 13485 sans accord qualité formalisé reste une non-conformité 4.1.5. La certification prouve l’aptitude, l’accord écrit prouve la maîtrise. Les deux ne se substituent pas.
Quand la certification ISO 13485 du sous-traitant est attendue
Pour les activités à fort impact sur la sécurité du dispositif final — stérilisation externalisée, assemblage critique, tests de performance, fabrication de composants biocompatibles — la certification ISO 13485 du sous-traitant est la solution la plus robuste. Elle démontre l’existence d’un SMQ complet, audité par un tiers indépendant.
Lors de l’audit du fabricant, l’organisme notifié identifie les fournisseurs et sous-traitants concernés et détermine s’il est nécessaire de procéder à un audit spécifique de l’un d’eux. Quand la criticité le justifie, il peut demander à auditer directement le sous-traitant ou à consulter sa certification. Cette possibilité est prévue par les exigences applicables aux organismes notifiés dans le MDR. Anticiper cette lecture évite de découvrir un point faible en cours d’audit.
Maîtriser un sous-traitant non certifié : les leviers
Si le sous-traitant ne dispose pas de la certification ISO 13485, le fabricant doit compenser par une maîtrise plus active et documentée. Quatre leviers, à calibrer selon la criticité.
Audit du sous-traitant
Le fabricant réalise ou fait réaliser des audits réguliers, avec rapport documenté et suivi des non-conformités relevées. C’est le levier le plus direct pour objectiver l’aptitude d’un prestataire non certifié.
Exigences contractuelles et accord qualité
Au-delà de l’accord qualité exigé par 4.1.5, le contrat précise les exigences qualité applicables, les livrables attendus, les indicateurs de performance suivis et les modalités de contrôle.
Contrôle renforcé à réception
Des contrôles systématiques à la réception des produits ou des prestations vérifient la conformité. L’étendue de la vérification se règle sur le résultat de l’évaluation du fournisseur et sur le risque associé, conformément à 7.4.3.
Revue périodique des performances
Des réunions régulières examinent les indicateurs, traitent les non-conformités et anticipent les risques. Elles alimentent la réévaluation du fournisseur prévue par 7.4.1.
Un point de proportionnalité, souvent négligé : pour un processus à faible criticité, une certification ISO 9001 du prestataire, combinée à une vérification à réception, peut constituer une preuve d’aptitude suffisante. Tout se joue sur l’incidence réelle du processus sur le dispositif final, pas sur le nom de la norme affichée.
Ce que le fabricant ne peut jamais déléguer
Quelle que soit la qualité du sous-traitant et la rigueur de la maîtrise exercée, la responsabilité réglementaire reste celle du fabricant. L’Article 10 du MDR est explicite : le fabricant est responsable de la conformité de ses dispositifs, y compris lorsque des activités de conception ou de fabrication sont réalisées par des tiers. La défaillance d’un sous-traitant ne l’exonère pas. La section 4.1.5 le formule d’ailleurs dans les mêmes termes : l’organisme reste responsable de la conformité pour les processus externalisés.
C’est là que se joue la vraie décision. Externaliser un procédé transfère l’exécution, jamais la responsabilité. Le fabricant qui l’a compris ne cherche pas à tout certifier. Il documente une maîtrise proportionnée au risque, et il la tient.
Vous vous demandez si la maîtrise de vos sous-traitants tiendra face à l’audit de votre organisme notifié ? Échanger avec nous.