La maîtrise des fournisseurs est l’un des chapitres de l’ISO 13485 qui génère le plus d’écarts en audit, en particulier dans les PME. La section 7.4 est exigeante sur la méthode. Avoir un contrat avec un fournisseur ne suffit pas à démontrer la maîtrise.
Ce que la section 7.4 exige
La section 7.4 se décompose en trois volets. Traiter le premier seul est l’erreur de périmètre la plus courante.
7.4.1 Processus d’achat. Évaluation et sélection des fournisseurs sur la base de leur capacité à fournir des produits conformes aux exigences spécifiées, de leur performance, de l’effet du produit acheté sur la qualité du dispositif, et proportionnellement au risque. Les critères de sélection sont documentés, les résultats enregistrés. La réévaluation est planifiée, réalisée, et ses résultats conservés, avec les actions déclenchées en cas d’écart.
7.4.2 Informations relatives aux achats. Les informations d’achat décrivent le produit commandé : spécifications, critères d’acceptation, exigences de qualification du personnel du fournisseur, exigences SMQ le cas échéant. Point souvent absent des PME : l’accord de notification des changements. Le fournisseur doit s’engager contractuellement à signaler tout changement de procédé, de matière ou de sous-traitant avant sa mise en œuvre. Sans cet accord, la maîtrise repose sur la découverte fortuite d’un changement.
7.4.3 Vérification du produit acheté. L’étendue du contrôle à réception n’est pas uniforme. Elle dépend des résultats d’évaluation du fournisseur et du risque associé. Un fournisseur critique nouvellement qualifié justifie un contrôle renforcé ; un fournisseur courant et stable, un contrôle allégé.
La classification par criticité : la traduction opérationnelle du risque
La norme impose une maîtrise proportionnée au risque. La classification par criticité est la façon concrète de la mettre en œuvre. Elle se construit avant de choisir les méthodes de qualification.
Fournisseurs critiques. Leurs produits ou services entrent dans la composition du dispositif ou affectent sa sécurité et ses performances : matières premières biocompatibles, prestataire de stérilisation, sous-traitant d’un composant clé. Qualification rigoureuse obligatoire.
Fournisseurs importants. Leur défaillance peut affecter la qualité sans impact direct sur la sécurité : prestataire logistique, fournisseur d’emballage primaire. Niveau de maîtrise intermédiaire.
Fournisseurs courants. Fournitures de bureau, services généraux sans impact sur la qualité produit. Maîtrise minimale suffisante.
Les méthodes de qualification acceptables
Le choix de la méthode découle du niveau de criticité.
Audit fournisseur, sur site ou à distance. La méthode la plus robuste pour les fournisseurs critiques. Planifiée, conduite selon un programme défini, conclue par un rapport.
Questionnaire d’auto-évaluation. Recevable pour les fournisseurs importants. Insuffisant seul pour un fournisseur critique.
Revue de documentation. Certificats ISO 13485 ou ISO 9001, rapports d’audits menés par d’autres clients, rapports d’inspection. Un certificat ISO 13485 facilite la qualification mais ne la remplace pas. Il atteste du SMQ du fournisseur, pas de sa capacité à répondre à vos exigences spécifiques. Selon le produit acheté, l’ISO 9001 reste recevable, à condition de couvrir la capacité technique attendue.
Contrôle renforcé à réception. Mesures supplémentaires pour les fournisseurs nouveaux ou en cours de qualification, en application directe de 7.4.3.
Les trois pièges les plus fréquents
Piège 1 : qualifier une fois, ne jamais réévaluer. La réévaluation périodique est obligatoire. Elle est planifiée dans le programme d’audit fournisseurs et réalisée, même quand le fournisseur n’a posé aucun problème. Son absence est un écart systématique.
Piège 2 : baser la qualification sur le seul certificat ISO. Un fournisseur certifié ISO 13485 a un SMQ conforme. Il n’a pas forcément la capacité de répondre à vos spécifications techniques particulières. La qualification doit couvrir cette capacité spécifique.
Piège 3 : ne pas relier les changements fournisseur à la gestion des modifications. Un changement de procédé, de matière, de sous-traitant, ou un certificat arrivé à expiration doit déclencher une réévaluation. C’est précisément l’objet de l’accord de notification prévu en 7.4.2. Sans ce lien contractuel, la liste des fournisseurs qualifiés se périme sans que personne ne le voie.