不合格产品的控制由 ISO 13485 第 8.3 节涵盖。这是审核中受到最严格检查的流程之一，因为它直接反映出质量管理体系的成熟度。一个善于管理不合格的组织会从错误中学习；一个管理不善的组织则会重蹈覆辙。
第 8.3 节的要求（8.3.1）
组织识别并控制不符合要求的产品，以防止其被非预期地使用或交付。形成文件的程序规定了控制措施、职责与权限。它涵盖相关产品的识别、不合格的记录、对其严重程度、影响、范围及涉及批次的评价、处理决定，以及直至实际处理完成的可追溯性。
第 8.3 节并未提供一份地位对等的选项清单。它按不合格被发现的时机区分两种情形。
交付前发现的不合格品（8.3.2）
在此阶段，组织采取以下三种措施中的一项或多项。
消除不合格。 按照形成文件的程序进行返工、维修，或将产品重新分类到其符合要求的类别中。
防止其被按最初预期使用或应用。 当返工不可行，或风险不足以支持在现状下使用时，予以隔离或销毁。
经让步授权使用、放行或接收。 这并非空白支票。让步需要理由、由授权人员出具的正式授权，并符合适用的法规要求。记录须保存批准该让步的人员身份。若存在可强制执行的客户或法规要求，则不得单方面给予任何让步。
返工：一项受约束的措施（8.3.4）
返工绝非简单的”重来一次”。第 8.3.4 节要求形成文件的程序，并考虑返工对产品可能造成的不良影响。返工后，产品须重新验证，以证明其满足要求。未经此项重新验证、或未分析其对产品影响即进行的返工，是本章节在审核中被开具的典型偏差。
交付后发现的不合格品（8.3.3）
当不合格在产品投放市场后才被识别，组织应采取与缺陷的实际或潜在影响相称的措施。它评价是否有必要通知客户、经销商或使用者。当不合格对安全构成风险时，须强制评价是否需要发出安全通告，即 MDR 意义上的现场安全纠正措施（FSCA），并按法规要求形成文件。
所要求的可追溯性
对于每一项已处理的不合格，质量管理体系保存不合格的准确描述、涉及的产品或批次及其数量、所采取的措施及其理由、做出决定的人员身份，以及实际处理的证据，包括返工后的重新验证。
这种可追溯性并非可选项。当审核员要求查看某一具体不合格的处理过程时，应能够从最初的发现一直追溯到关闭证据，没有任何缺口。
产品不合格 vs 体系不合格
第 8.3 节涵盖的是产品不合格。体系不合格——未遵守某项程序、或审核中发现的与标准要求的偏差——则归入纠正措施流程（第 8.5.2 节）。
将二者混在同一程序中会造成缺口。在内部审核中发现的偏差不会生成一张产品不合格记录单，它会生成一项纠正措施。