Unangekündigte Audits durch Benannte Stellen

Unangekündigte Audits sind stichprobenhafte Prüfungen von Qualitätsmanagementsystemen durch Benannte Stellen mit den folgenden Zielen:

• Herausfinden, ob Medizinproduktehersteller konform mit ihrem QM-System (z. B. gemäß ISO 13485) arbeiten
• Abweichungen schnell identifizieren und darauf reagieren können
• Betrugsversuche zuverlässiger aufdecken

Inzwischen liegen erste Erfahrungen mit unangekündigten Audits vor.

Update: Änderungen durch die MDR

Historie der unangekündigten Audits

Die unangekündigten Audits sind eine Folge des Brustimplantate-Skandals. Danach wurde die Forderung laut, Medizinproduktehersteller nicht nur im Rahmen der ISO 13485 zu überprüfen, sondern auch unangekündigt und stichprobenhaft. Und zwar, um sicherzustellen, dass die Vorgaben der QM-Systeme im Arbeitsalltag wirklich erfüllt werden.

Die MDR schreibt dazu:

„Die Position der Benannten Stellen gegenüber den Herstellern sollte gestärkt werden, auch in Bezug auf ihr Recht bzw. ihre Verpflichtung, unangekündigte Vor-Ort-Audits sowie physische Kontrollen oder Laboruntersuchungen an Produkten durchzuführen, um sicherzustellen, dass die Hersteller auch nach der ursprünglichen Zertifizierung die Vorschriften jederzeit einhalten.“

Unangekündigte Audits haben aber nicht nur Herstellern, sondern auch Benannte Stellen zu befürchten:

„Die für Benannte Stellen zuständige Behörde kann erforderlichenfalls zusätzlich zu der regelmäßigen Überwachung oder der Vor-Ort-Bewertung kurzfristige, unangekündigte oder anlassbezogene Überprüfungen durchführen, um einer besonderen Problematik nachzugehen oder die Einhaltung der Anforderungen zu überprüfen.“

MDR: Regulatorische Anforderungen

Unangekündigte Audits bei Vigilanzmeldungen

Die MDR hat die Anforderungen an die unangekündigten Audits konkretisiert. Sie verlangt von den Benannten Stellen, dass sie im Fall einer Vigilanzmeldung entscheidet, ob sie ein unangekündigtes Audit durchführt (MDR, Anhang VII, 4.10).

Unangekündigte Audits mindestens alle fünf Jahre

Unabhängig davon muss die Benannte Stelle die Hersteller, die über ein vollständiges QM-System verfügen, mindestens einmal alle fünf Jahre unangekündigt auditieren. Die MDR schreibt dazu im Anhang IX 3.4:

„Die Benannte Stelle führt nach dem Zufallsprinzip — mindestens einmal alle fünf Jahre — am Standort des Herstellers und gegebenenfalls der Zulieferer des Herstellers und/oder seiner Subunternehmer unangekündigte Audits durch […]. Die Benannte Stelle erstellt einen Plan für diese unangekündigten Vor-Ort-Audits, den sie dem Hersteller jedoch nicht mitteilt.

Im Rahmen solcher unangekündigten Vor-Ort-Audits prüft die Benannte Stelle eine angemessene Stichprobe der hergestellten Produkte oder eine angemessene Stichprobe aus dem Herstellungsprozess, um festzustellen, ob das hergestellte Produkt mit der technischen Dokumentation übereinstimmt […]“

Die fünf Jahre stellen die Mindesthäufigkeit dar. Die Benannten Stellen müssen bei der Festlegung der Intervalle die Risikoklasse und die Art der Produkte berücksichtigen.

Durchführung von unangekündigten Audits

Was bei unangekündigten Audits geprüft wird

Eine Verschärfung gilt den unangekündigten Audits durch Benannte Stellen. Die EU hat eine Empfehlung veröffentlicht, wie diese Audits durchzuführen sind. Beispielsweise soll geprüft werden:

1. Gibt es eine präzise Zweckbestimmung?
2. Ist das Produkt richtig klassifiziert?
3. Sind die grundlegenden Anforderungen erfüllt?
4. Sind die Gefahren [Anm.: sind Gefährdungen gemeint?] ermittelt?
5. Sind Risiken so weit wie möglich minimiert?
6. Gibt es ein als akzeptabel bewertetes Risiko-Nutzen-Verhältnis?

In einem Interview mit DeviceMed berichtet ein Vertreter einer Benannten Stelle, dass sie bei unangekündigten Audits besonders darauf achten würden, ob die Dokumentation aktuell sei und ob die Produkte tatsächlich den Kriterien entsprächen. Der erste Punkt betrifft etwas stärker die Entwicklung, der zweite etwas mehr die Produktion.

Diese Schwerpunktsetzung ist nachvollziehbar: Schließlich will man sicherstellen, dass Medizinproduktehersteller nicht in Vorbereitung auf reguläre Audits alles in Ordnung bringen und dazwischen die Vorgaben des eigenen QM-Systems nicht beachten oder sogar vorsätzlich dagegen verstoßen. Bei einem unangekündigten Audit hat der Hersteller keine Chance mehr, beispielsweise

• veraltete oder fehlende Entwicklungsdokumente zu aktualisieren oder zu verbessern,
• fehlende Produktprüfungen zu kaschieren oder
• Aufzeichnungen von Produktprüfungen zu fälschen.

Wie oft unangekündigte Audits stattfinden

Mir hat ein Vertreter einer Benannten Stelle verraten, nach welchen Kriterien sie die Hersteller auswählen bzw. die Frequenz bestimmen, mit denen sie einzelne Hersteller auditieren. Es sind drei Parameter:

1. Das Risiko, das von den Produkten ausgeht. Dabei orientiert sich die Benannte Stelle v. a. an der Klassifizierung gemäß MDD (I, IIa, IIb, III).
2. Die Probleme, die es mit dem Produkt oder der Produktklasse, in den letzten Jahren gab. Dabei ist unerheblich, ob die Informationen von den Herstellern selbst oder aus anderen Quellen wie den BfArM-Berichten stammen.
3. Das Maß, in dem sich Hersteller verdächtig machen, insbesondere bei einem Audit. Auditoren haben ein gutes Gefühl dafür, ob Hersteller mit offenen Karten spielen. Sie merken, auch wenn sie es nicht immer nachweisen können, ob das QM-System gelebt wird oder ob das nur Potemkin’sche Dörfer sind.

Konkreter sind die Forderungen der EU: Die Benannten Stellen sollten mindestens einmal alle drei Jahre unangekündigte Audits durchführen. Sie sollten die Häufigkeit der unangekündigten Audits erhöhen, wenn die Produkte ein erhebliches Risiko bergen, wenn die Produkte der fraglichen Art häufig nicht konform sind oder wenn bestimmte Informationen vermuten lassen, dass eine Nichtkonformität der Produkte oder des Herstellers vorliegt. Der Zeitplan der unangekündigten Audits sollte unvorhersehbar sein. Grundsätzlich sollte ein unangekündigtes Audit nicht weniger als einen Tag dauern und von mindestens zwei Prüfern durchgeführt werden.

Update: am 13.06.2016 haben die deutschen Behörden die Häufigkeit von unangekündigten Audits in einer Bekanntmachung klarer spezifiziert:

• Nicht anlassbezogene unangekündigte Audits:
  • Aktive implantierbare Produkte und Medizinprodukte der Klasse III und implantierbare Produkte der Klasse IIb: Einmal alle drei Jahre
  • Nicht implantierbare Produkte der Klasse IIb und Medizinprodukte der Klasse IIa sowie IVD: alle fünf Jahre
• Anlassbezogene unangekündigte Audits: Entscheidet die Benannte Stelle aufgrund des Anlassses. Hierzu macht die Bekanntmachung keine Aussagen.

Update: Die MDR hat die Mindesthäufigkeit von unangekündigten Audits mit fünf Jahren festgelegt.

Unterstützung bei der Vorbereitung auf unangekündigte Audits

Wenn Ihnen der Gedanke an solche unangekündigte Audits Schwierigkeiten bereitet, dann melden Sie sich. Mit meinem Team aus Auditoren und Risikomanagement-, Qualitätsmanagement-, Usability und Software-Experten kann ich Ihnen schnell helfen, die Konformität Ihrer Produkte und Ihrer Entwicklung mit den einschlägigen Gesetzen und Normen (IEC 62304, IEC 62366, ISO 14971 und ISO 13485) zu prüfen. Wir helfen Ihnen auch mit konkreten, schnell umsetzbaren Tipps, mögliche Fehler auszubügeln; damit Sie unangekündigten Audits gelassen entgegensehen können.