Weiterbildungen: Prozess- Qualitäts- und Risikomanagement

Ende 2019 ist die sogenannte dritte Ausgabe der Norm ISO 14971 ‚Medizinprodukte – Anwendung des Risikomanagements auf Medizinprodukte‘ veröffentlicht worden. Inzwischen wurde diese Norm auch als europäische Norm übernommen (EN ISO 14971:2019) und der Technical Report, also die Erläuterungen zur ISO 14971, aktualisiert (ISO/TR 24971:2020). Trotz umfangreicher Umstrukturierungen, wie z.B. die Verlagerung von 6 Anhängen aus der Norm in den Technical Report, hat sich prinzipiell bei den Anforderungen an das Risikomanagement für Medizinprodukte nicht viel verändert. Ziel des Risikomanagements für Medizinprodukte bleibt die Sicherheit für Patient:innen, Anwender:innen und Dritte. Viele Anforderungen wurden jedoch präzisiert, Begriffe und Formulierungen wurden international üblichen Begriffen und Formulierungen angeglichen. 

Erstaunlich ist, dass die EN ISO 14971:2019 keinen Anhang Z aufweist. Damit fehlt die Grundlage für eine Harmonisierung der Norm sowohl gemäß den Richtlinien AIMD, MDD, IVDD als auch den Verordnungen MDR und IVDR. Aus Sicht der meisten Benannten Stellen ist die EN ISO 14971:2019 jedoch als „Stand der Technik“ trotz fehlender Harmonisierung für alle Medizinproduktehersteller verbindlich. Wichtig bei der Umsetzung der Anforderungen aus der Norm ist nach wie vor die Tatsache, dass die Richtlinien und Verordnungen hierarchisch über den Normen stehen. Die ISO 14971:2019 mit der ISO/TR 24971:2020 stellt beispielsweise für die Risikoakzeptanz drei Ansätze zur Risikobeherrschung zur Auswahl:
a) ein Risiko so weit wie vernünftigerweise durchführbar mindern
b) ein Risiko so weit wie vernünftigerweise erreichbar mindern
c) ein Risiko so weit wie möglich mindern, ohne das Nutzen-Risiko-Verhältnis nachteilig zu beeinflussen
Sowohl in der MDR als auch in der IVDR wird aber im Anhang I Punkt 2 explizit die Auswahl „c“ eingefordert, so dass dieser Ansatz der Risikobeherrschung für die CE-Kennzeichnung eines Medizinproduktes zwingend umgesetzt werden muss.

Die zum Teil zwischen zuständigen Behörden, Benannten Stellen und Medizinprodukteherstellern geführten Diskussionen bei der Risikoeinschätzung sollten mit der geänderten Norm beendet sein. Die Risikomanagementnorm definiert sehr klar und deutlich, dass bei der Eintrittswahrscheinlichkeit das Auftreten eines Schadens und nicht die Auftretenswahrscheinlichkeit eines Produktfehlers oder die Fehlanwendung eines Anwenders gemeint ist. Diese sinnvolle Klarstellung wird unter anderem im Anhang C der ISO 14971:2019 erläutert. Die meisten Medizinproduktehersteller werden feststellen, dass im Risikomanagementplan deutlich mehr schriftlich festgelegt und erläutert werden muss. Insbesondere bei den Bewertungskriterien für einzelne Risiken und der Bewertung des Gesamtrestrisikos wird mehr eingefordert. Außerdem müssen im Risikomanagementplan die Aktivitäten während der Herstellung und der Herstellung nachgelagerter Phasen deutlicher herausgearbeitet werden. Aus Erfahrung ist es sinnvoll, die Unterschiede zwischen der zweiten und dritten Ausgabe der ISO 14971 über eine GAP-Analyse zu veranschaulichen. Anhand der GAPs und den eigenen Prozessbeschreibungen und Aufzeichnungen können dann sehr systematisch und zielführend die geänderten Anforderungen umgesetzt werden. Als Unterstützung für die Umsetzung bietet der TÜV Rheinland entsprechende Seminare und hilfreiche Praxis-Workshops an. Die Umsetzung der Anforderungen der ISO 14971:2019 und der ISO/TR 24971:2020 ist zeitlich kein Mammutwerk, erfordert aber eine systematische Vorgehensweise und auch ein wenig Kreativität.

Germering, September 2020

Regular Services GbR
Gabriele-Münter-Straße 5
D-82110 Germering
Germany

Hans-Peter Wettl ist geschäftsführender Mit-Inhaber der Regular Services GbR. Er blickt auf über 30 Jahre Erfahrung auf dem Gebiet der weltweiten Zulassungen von Medizinprodukten und Qualitätsmanagementsystemen für Medizinproduktehersteller zurück. Neben Beratung im Bereich Regulatory Affairs und Qualitätsmanagementsystemen bietet Regular Services komplette QM-Systeme an, welche von Unternehmen sofort implementiert werden können. Hierfür werden auch regelmäßige Updates angeboten, damit das Unternehmen jederzeit auf neuesten Stand der Regularien ist. Regular Services GbR ist Kooperationspartner vom TÜV Rheinland, in dieser Eigenschaft hält Regular Services pro Jahr über 250 Seminare zu fast allen Themen der Medizinprodukteindustrie.

In unserem Seminar „MDSAP - Medical Device Single Audit Program.“ wird Ihnen praxisgerecht veranschaulicht, wie ein MDSAP-Audit abläuft und wie die Mitarbeiter:innen, inklusive dem Top-Management, zum Erfolg beitragen kann – und muss. Sie erfahren, wie Sie durch die Teilnahme am MDSAP den Marktzugang für Ihre Medizinprodukte effizienter gestalten können.

Die Voraussetzung für die Marktregistrierungen oder Zulassungen von Medizinprodukten ist nicht auf den Nachweis der Performance der Produkte beschränkt, sondern beinhaltet auch den laufenden Nachweis eines funktionierenden Qualitätsmanagementsystems. Dieser Ansatz, Produktnachweis und Qualitätsmanagementnachweis, hat sich mittlerweile weltweit etabliert. Die Überprüfung des Qualitätsmanagementsystems erfolgt je nach Zulassungsverfahren der einzelnen Länder (Jurisdiktionen) initial durch eine Zertifizierung oder Inspektion des Herstellers. Weitere Routine-Audits erfolgen wiederum je nach Anforderungen der einzelnen Jurisdiktionen. Unabhängig der besonderen Anforderungen einzelner Jurisdiktionen, werden im Rahmen der Audits oder Inspektionen immer die gleichen wesentlichen regulativen Qualitätsmanagement-Anforderungen überprüft. In je mehr Länder ein Hersteller seine Produkte also in Verkehr bringt, desto mehr Audits und Inspektionen muss er von den Behörden der jeweiligen Jurisdiktionen über sich ergehen lassen.

Mit Einführung der Qualitätsmanagementnorm ISO 13485:2016 ist eine Plattform geschaffen worden, welche die Mindestanforderungen an ein Qualitätsmanagementsystem definiert und somit global angewendet werden kann. Der Ruf lag also nahe, ob man den „Audit-Tourismus“ nicht abschaffen kann und durch ein effizienteres System für Herstellerkontrollen ersetzen kann. Das war im Prinzip die Geburtsstunde des MDSAP (Medical Device Single Audit Programs). Die Idee ist einfach und einleuchtend: Warum kann nicht eine unabhängige Organisation beim Hersteller Audits durchführen, im Auftrag aller Jurisdiktionen der Welt? Der gemeinsame Nenner eines Qualitätsmanagementsystems ist ja die weltweit anerkannte Norm ISO 13485:2016, welche im Rahmen der MDSAP-Audits nur noch die zusätzlichen Anforderungen einzelner Jurisdiktionen mitbetrachten muss.

Die ganze Welt mag das Ziel sein, vorerst haben sich aber nur fünf teilnehmende Jurisdiktionen zu einem derartigen Audit-Ansatz geeinigt und zu diesen gehören USA, Kanada, Brasilien, Japan und Australien. Diese fünf Jurisdiktionen wollen weitgehend auf Inspektionen oder Audits beim Hersteller verzichten - im Gegenzug soll eine sogenannte Auditing Organisation (AO) regelmäßige und geplante Audits beim Hersteller durchführen. Weitgehend verzichten heißt jedoch nicht ganz verzichten. Je nach Art des Medizinprodukts und Zulassungsverfahrens sowie der Jurisdiktion, nehmen sich die Behörden nach wie vor das Recht heraus, im eigenen Namen beim Hersteller Inspektionen durchzuführen. Der weitgehende Verzicht auf Audits oder Inspektionen beschränkt sich primär auf Routine-Audits.

Das Auditprogramm von MDSAP der AOs sieht ein initiales Zertifizierungs-Audit vor, zwei aufeinanderfolgende Überwachungsaudits, gefolgt von einer Re-zertifizierung, wieder gefolgt von zwei Überwachungsaudits und so weiter. Zusätzlich sind auch unangekündigte Audits vorgesehen. Der Hersteller erhält bei einem erfolgreichen Audit dann ein entsprechendes Zertifikat. Das Zertifikat bescheinigt, dass das Qualitätsmanagementsystem des Herstellers im Einklang mit der ISO 13485:2016 UND den jeweils anwendbaren regulativen Anforderungen der teilnehmenden MDSAP-Jurisdiktionen ist.

Wichtig für das Verständnis einer AO ist, dass diese Organisationen den Hersteller zwar kontrollieren, aber keine “Exekutivgewalt“ haben. Die Aufgabe der AO ist ein Audit durchzuführen und das Ergebnis entsprechend an die einzelnen Behörden der teilnehmenden Mitglieder von MDSAP zu kommunizieren. Nach bestimmten Kriterien kann die AO auch unangekündigte Audits durchführen oder auch Zertifikate zurückziehen. Was das aber für den Hersteller in Hinblick auf seine Zulassungen und Auslieferung von Produkten in den einzelnen Jurisdiktionen bedeutet, entscheiden die Behörden der Jurisdiktionen, nicht die AO.Bei negativen Auditergebnissen entscheiden somit die einzelnen Behörden für ihre Jurisdiktion, was mit dem Hersteller zu geschehen hat. Die Behörden setzen sich in diesem Fall direkt mit dem Hersteller in Verbindung um gegebenenfalls erforderliche Korrekturmaßnahmen einzufordern. Ferner kann eine sofortige Inspektion durch die Behörde oder der Entzug einer Produktzulassung die Folge gravierender Auditabweichungen sein.

Wohl kein anderes Thema erhitzt die Gemüter mehr als das Thema „Auditabweichungen“. Weniger die Tatsache, dass es Auditabweichungen geben kann, vielmehr die Tatsache, dass Auditabweichungen von Auditoren und Inspektoren sehr unterschiedlich ausgelegt werden. Wenngleich Auditabweichungen auch in Zukunft die Handschrift eines Auditors oder Inspektors tragen werden, hat man durch das MDSAP einheitliche Regeln aufgestellt. Die bekannten „Hauptabweichungen“ oder „Nebenabweichungen“ gibt es in dieser Form nicht mehr. Vielmehr hat man ein Art Punktesystem eingeführt. Die Norm ISO 13485:2016 wird in zwei Blöcke unterteilt: Normanforderungen mit indirekter Auswirkung auf die Produktkonformität (Clause 4.1 bis 6.3) und Normanforderungen mit direkter Auswirkung auf die Produktkonformität (Clause 6.4 bis 8.5).Bei einer Abweichung, welche einer Normanforderung mit indirekter Auswirkung auf die Produktkonformität zuzuordnen ist, gibt es einen Punkt. Bei einer Abweichung, welche einer Normanforderung mit direkter Auswirkung auf die Produktkonformität zuzuordnen ist, gibt es drei Punkte.
Die Audit-Historie des Herstellers spielt hierbei zusätzlich eine entscheidende Rolle. Hatte der Hersteller beim letzten oder vorletzten Audit zur gleichen Normanforderung eine Abweichung, erhöhen sich Punkte bei Normpunkt bei indirekter Auswirkung von einen auf zwei Punkte und bei direkter Auswirkung von drei auf vier Punkte.

Kann man so sagen. Mehr noch, zusätzlich zu den „Basispunkten“, je nach Normanforderung gibt es noch „Eskalationspunkte“. Hat der Hersteller zum Beispiel keine Prozessbeschreibung oder bringt der Hersteller nichtkonforme Produkte in Verkehr gibt es noch einen zusätzlichen Punkt.
Wiederholungs-Abweichungen können somit zu fatalen Folgen führen. Die Erwartungshaltung der Behörden ist eindeutig, wenn der Hersteller zu einer Normanforderung nicht konform ist, dann bitte nur einmal und nicht noch einmal. Dies würde nämlich auf ein nicht funktionierendes Korrekturmaßnahmen-Management schließen lassen.

Auditzeiten, das zweite Reizthema neben Auditabweichungen, werden mit MDSAP ebenfalls neu definiert. Der gesamte Fragenkatalog für ein Audit umfasst bis zu 90 sogenannter „Tasks“. Jeder Task ist mit vorgegebenen Zeiten hinterlegt (ca. 30 Minuten), die der Auditor einhalten muss. Rechnerisch ergeben sich hieraus ca. 50 Stunden, je nach Komplexität des Herstellers (z.B. im Falle mehrerer Produktionsstandorte) kann sich diese Zeit noch erhöhen. In der Regel setzen die AOs daher mehrere Auditoren ein, die zeitgleich das Audit durchführen, um das Audit auf 4 oder 5 Tage zu beschränken. Mehrere Auditoren bedeuten wiederum, dass die einzelnen Auditoren kompetente Ansprechpartner beim Hersteller erwarten.

Ein „qualifizierter Gastgeber“ alleine, in der Regel der Qualitätsmanagementbeauftragte (QMB), funktioniert mit hoher Wahrscheinlichkeit nicht, da ein Klarstellen von ggf. aufgetretenen Missverständnissen aufgrund der vorgegebenen Zeit schwierig ist. Lange Diskussionen lassen die stringenten Zeitvorgaben nicht zu. Im Prinzip muss daher jede Antwort auf Fragen vom Auditor „auf Anhieb sitzen“ und der Befragte muss genau wissen, was der Auditor erwartet. Die Gefahr einer Abweichung wäre sonst zu groß.

Hersteller begrüßen grundsätzlich den Ansatz von MDSAP, jedoch die uneingeschränkte Transparenz gegenüber allen teilnehmenden MDSAP-Behörden beunruhigt so manchen. Dennoch wird mit dem MDSAP ein neues Audit- und Inspektionszeitalter eingeläutet, welches wohl nicht zu stoppen ist. Ob man das jetzt gut findet oder nicht.
Die einzige Möglichkeit das MDSAP erfolgreich zu bestehen, ist eine solide Vorbereitung auf das Audit. Neben einem wasserdichten Qualitätsmanagementsystem als solches, sind hochqualifizierte Mitarbeiter:innen eine zwingende Voraussetzung. Ein Basisverständnis für die ISO 13485 alleine reicht sicher nicht aus. Speziell das Verständnis für die regulativen Anforderungen, welche die Anforderungen der ISO 13485 ergänzen, müssen alle Mitarbeiter:innen für ihren Fachbereich verinnerlicht haben.