内部审核由 ISO 13485 第 8.2.2 条定义。它有两项职能：验证质量管理体系是否符合标准及法规要求，以及验证其是否得到了切实的实施和保持。一次执行良好的内部审核是一种管理工具。一次草率应付的内部审核只是一个被勾选的方框，给人一种虚假的掌控感。
年度审核方案的结构
标准要求制定一份经过策划的审核方案，并考虑各过程的状态和重要性以及以往审核的结果。具体而言，年度方案应在整个认证周期（3 年）内覆盖质量管理体系的全部过程，对于高风险过程或近期出现过不符合项的过程则应采用更高的审核频率。
方案应在周期开始时制定，并在日程表中锁定具体日期。一份在两次运营紧急事务之间随波逐流、临时拼凑而成的审核方案，最终总是不完整的。
内部审核员的资格
内部审核员必须接受 ISO 13485 标准、适用法规要求（MDR、IVDR）以及审核技术方面的培训。ISO 19011 是开展质量管理体系审核的参考指南。
有两项要求是不可妥协的。
独立性。 审核员不能审核自己的工作。在小型机构中，这意味着需要在不同职能之间进行交叉，或在内部独立性无法保证的过程中借助外部审核员。
实践培训。 仅仅参加过审核员培训是不够的。在有人陪同的观察实践中积累经验——即在独立开展审核之前与一名经验丰富的审核员搭档共同审核——才是达到真正胜任水平的条件。
结果的运用：大多数中小企业忽视的环节
一份只是指出偏差、之后却毫无后续动作的审核报告毫无用处。内部审核过程必须与 CAPA 过程相衔接：每一项发现的不符合项都应生成一项纠正措施，明确责任人和期限，并随后进行有效性验证。
内部审核的结果为管理评审提供输入。管理层应当看到跨多个周期的趋势：相同的不符合项是否在相同的过程中反复出现？某些过程是否始终更为薄弱？这些趋势会为下一轮审核方案指明方向。
一次从不产生任何不符合项的内部审核是可疑的。要么是审核员缺乏严谨性，要么是受审核的范围不足。一个真实运行的质量管理体系总会产生改进的机会。