Module 0 — Introduction, Comprendre l’ISO 13485:2016

Ce qu’est la norme, à qui elle s’adresse, et pourquoi elle est écrite à des fins réglementaires

Ce module ne contient aucune exigence auditable. Il pose le cadre de lecture de la norme : ce qu’elle est, sur quel terrain elle s’applique, avec quel vocabulaire elle raisonne, et selon quelle logique elle a été écrite. On y traite l’avant-propos, l’Introduction (§ 0.1 à § 0.5) et les chapitres 1 à 3 — domaine d’application, références normatives, termes et définitions. Ces chapitres n’imposent rien : ils délimitent le champ et fixent le sens des mots. Les exigences commencent au chapitre 4, et c’est là que démarre le module 1.

Le temps passé sur ce module n’est pas du temps perdu. L’ISO 13485 est une norme dont les difficultés de mise en œuvre viennent rarement de la technicité d’une clause isolée, et presque toujours d’un contresens sur la nature du texte : on la lit comme une ISO 9001 sectorielle alors qu’elle est un référentiel réglementaire, on cherche une structure HLS qui n’y est pas, on traite « exigences réglementaires applicables » comme une formule de style, on croit pouvoir exclure une clause sans la justifier. Ces quatre contresens sont traités ici.

Ce qu’est l’ISO 13485:2016

L’ISO 13485:2016 est la norme internationale qui spécifie les exigences d’un système de management de la qualité pour les organismes intervenant dans le cycle de vie d’un dispositif médical. Son titre complet mérite d’être lu mot à mot, car il contient déjà tout le programme : « Dispositifs médicaux — Systèmes de management de la qualité — Exigences à des fins réglementaires ». Le domaine est celui du dispositif médical ; l’objet est un système de management de la qualité ; et la finalité, annoncée dès la couverture, est réglementaire. Le texte anglais dit « Requirements for regulatory purposes ». Cette dernière mention n’est pas décorative : elle explique la quasi-totalité des écarts entre cette norme et l’ISO 9001, et on y reviendra longuement.

Il s’agit de la troisième édition, publiée le 1er mars 2016. Elle annule et remplace la deuxième édition, l’ISO 13485:2003, ainsi que le rapport technique ISO/TR 14969:2004, qui ont fait l’objet d’une révision technique ; elle intègre également le corrigendum technique ISO 13485:2003/Cor.1:2009. L’annexe A de la norme, informative, donne la comparaison du contenu entre l’ISO 13485:2003 et l’ISO 13485:2016 : c’est le document de référence pour qui vient de l’édition précédente. Le comité responsable du texte est le comité technique ISO/TC 210, « Quality management and corresponding general aspects for medical devices », c’est-à-dire le comité dédié au management de la qualité pour les dispositifs médicaux — et non le comité généraliste ISO/TC 176 qui produit l’ISO 9001. Cette différence de filiation institutionnelle éclaire la différence d’esprit.

La norme spécifie ce qu’un organisme doit mettre en place pour démontrer son aptitude à fournir régulièrement des dispositifs médicaux et des services associés conformes aux exigences des clients et aux exigences réglementaires applicables. Le § 1 pose les deux termes de cette démonstration côte à côte, et l’ordre dans lequel ils sont ensuite arbitrés dans le corps du texte est constant : quand l’attente du client et l’exigence réglementaire divergent, c’est la seconde qui l’emporte, parce que derrière elle se tiennent la sécurité et la performance du dispositif, donc le patient.

Une norme de système, complémentaire des exigences techniques du produit

Le § 0.1 prend soin d’une précision que beaucoup d’organismes découvrent trop tard : les exigences de système de management de la qualité spécifiées dans la norme sont complémentaires des exigences techniques applicables au produit, nécessaires pour satisfaire aux exigences des clients et aux exigences réglementaires applicables en matière de sécurité et de performance. Autrement dit, l’ISO 13485 ne dit pas comment concevoir un cathéter, quel niveau d’assurance de stérilité atteindre, ni quels essais de biocompatibilité conduire. Elle organise le cadre qui garantit que ces décisions techniques sont prises, tracées, vérifiées et maintenues. La conformité à l’ISO 13485 ne vaut donc jamais présomption de conformité du dispositif : ce sont deux démonstrations distinctes, portées par des documents distincts, contrôlées par des mécanismes distincts.

Le § 0.1 rappelle aussi que l’adoption d’un système de management de la qualité est une décision stratégique de l’organisme, et que la conception de ce système est influencée par sept facteurs qu’il énumère : l’environnement organisationnel et ses évolutions, avec l’influence qu’il exerce sur la conformité des dispositifs ; les besoins variables de l’organisme ; ses objectifs propres ; le produit qu’il fournit ; les processus qu’il emploie ; sa taille et sa structure ; et les exigences réglementaires applicables à ses activités. La conséquence pratique est énoncée juste après, et elle libère plus qu’on ne le croit : la norme n’a pas pour intention d’imposer l’uniformité de la structure des systèmes de management de la qualité, ni l’uniformité de la documentation, ni l’alignement de la documentation sur la structure en clauses de la norme. Un système documentaire qui suit la logique des processus de l’entreprise, et non le plan de la norme, est parfaitement recevable — à condition que la couverture des exigences soit démontrable.

À qui la norme s’adresse

Le champ d’application personnel de l’ISO 13485 est beaucoup plus large que le seul fabricant, et c’est l’un des points les moins bien compris du texte. Le § 0.1 et le § 1 énoncent que la norme s’applique à un organisme impliqué dans une ou plusieurs étapes du cycle de vie d’un dispositif médical. Les étapes citées sont explicites : la conception et le développement, la production, le stockage et la distribution, l’installation, les prestations associées au dispositif — le service après-vente au sens large —, et jusqu’au démantèlement final et à l’élimination. S’y ajoute la conception, le développement ou la fourniture d’activités associées, dont le texte donne comme exemple le support technique. Un organisme n’a donc pas besoin de fabriquer quoi que ce soit pour relever de la norme : il lui suffit d’intervenir sur une étape.

Le texte va plus loin. Les exigences peuvent également être utilisées par les fournisseurs ou d’autres parties externes qui fournissent un produit à de tels organismes. Le § 0.1 en donne une liste d’exemples qui vaut cartographie de la chaîne d’approvisionnement du dispositif médical : matières premières, composants, sous-ensembles, dispositifs médicaux, prestations de stérilisation, prestations d’étalonnage, prestations de distribution, prestations de maintenance. Le § 1 ajoute que les parties externes fournissant des services liés au système de management de la qualité entrent aussi dans ce périmètre.

Un point de droit privé mérite d’être signalé, car il structure la relation commerciale de toute la filière : le fournisseur ou la partie externe peut choisir volontairement de se conformer aux exigences de la norme, ou peut y être contraint par contrat. C’est ce second mécanisme qui explique l’effet de cascade observé sur le marché. Un fabricant certifié impose contractuellement l’ISO 13485 à son stérilisateur, qui l’impose à son propre prestataire logistique, et de proche en proche la norme se propage dans une chaîne d’organismes dont aucun ne met de dispositif sur le marché en son nom. Pour un sous-traitant, la question pertinente n’est donc pas « suis-je fabricant ? » mais « mon donneur d’ordre va-t-il exiger ce référentiel, et sur quel périmètre ? ».

Le § 1 pose enfin le principe d’universalité : les exigences s’appliquent aux organismes quels que soient leur taille et leur type, sauf lorsque le texte l’indique explicitement. Il n’y a pas de seuil d’effectif, pas de régime allégé pour les petites structures. Ce qui varie, c’est l’ampleur de la mise en oeuvre, jamais la liste des exigences applicables. Le même paragraphe ajoute une règle d’extension qui a des conséquences opérationnelles réelles : lorsque des exigences sont spécifiées comme s’appliquant aux dispositifs médicaux, elles s’appliquent également aux services associés fournis par l’organisme. Une prestation d’installation ou de maintenance n’échappe donc pas aux exigences écrites pour le produit.

Les rôles à identifier avant toute autre chose

Le § 0.1 formule une attente préalable à l’ensemble du système, et qui constitue en pratique la première tâche d’un projet ISO 13485. Plusieurs juridictions imposent des exigences réglementaires d’application de systèmes de management de la qualité à des organismes occupant des rôles variés dans la chaîne d’approvisionnement des dispositifs médicaux. En conséquence, la norme attend de l’organisme qu’il accomplisse trois choses, dans cet ordre.

• Identifier son ou ses rôles au titre des exigences réglementaires applicables. Un même organisme peut être fabricant pour une gamme, importateur pour une autre et distributeur pour une troisième ; ces rôles n’emportent pas les mêmes obligations.
• Identifier les exigences réglementaires qui s’appliquent à ses activités au titre de ces rôles. C’est le passage du rôle au corpus : quelles lois, quels règlements, quels textes d’application, dans quelles juridictions de mise à disposition.
• Intégrer ces exigences réglementaires applicables dans son système de management de la qualité. L’intégration est le point d’aboutissement : les exigences identifiées doivent se retrouver dans les processus, les procédures et les enregistrements, et pas seulement dans une veille tenue à part.

Le même paragraphe ajoute un avertissement d’interprétation que l’on gagne à prendre au sérieux : les définitions figurant dans les exigences réglementaires applicables diffèrent d’un pays et d’une région à l’autre, et l’organisme doit comprendre comment les définitions de la norme seront interprétées à la lumière des définitions réglementaires des juridictions dans lesquelles les dispositifs sont mis à disposition. Le mot « dispositif médical » n’a pas exactement la même extension selon le texte réglementaire qui le porte ; celui de « fabricant » non plus. La définition de la norme sert le raisonnement interne, la définition réglementaire fait foi devant l’autorité.

Enfin, la norme se déclare utilisable par des parties internes et externes, y compris les organismes de certification, pour évaluer l’aptitude de l’organisme à satisfaire aux exigences des clients, aux exigences réglementaires applicables au système de management de la qualité et aux exigences propres de l’organisme. C’est la base de l’audit de certification tierce partie, et c’est aussi ce qui rend le texte auditable clause par clause.

« À des fins réglementaires » : la clé de lecture de toute la norme

Si l’on ne devait retenir qu’une chose de ce module, ce serait ce membre de phrase du titre. L’ISO 13485 est une norme de système de management de la qualité écrite à des fins réglementaires. Elle n’a pas été conçue pour améliorer la performance commerciale d’une entreprise, mais pour servir de socle commun aux réglementations nationales et régionales encadrant les dispositifs médicaux. Le § 0.4 le dit sans ambiguïté : la norme a pour objet de faciliter l’alignement mondial des exigences réglementaires appropriées relatives aux systèmes de management de la qualité applicables aux organismes intervenant dans une ou plusieurs étapes du cycle de vie d’un dispositif médical.

Cette finalité produit trois conséquences que l’on retrouve à chaque page du texte, et qu’il vaut mieux avoir identifiées avant d’ouvrir le chapitre 4.

• La conformité prime sur la satisfaction. Là où une norme de management générique cherche à accroître la satisfaction du client, l’ISO 13485 cherche d’abord à garantir que le dispositif est sûr, performant et conforme aux exigences réglementaires applicables. Le client existe toujours dans le texte — le § 5.2 s’intitule « Customer focus » —, mais il n’est plus l’arbitre final. Symptôme parlant : dans le chapitre 8, le § 8.2.1 s’intitule « Feedback », les retours d’information, et non « satisfaction du client » ; et le § 8.2.3 impose de rapporter aux autorités réglementaires. La boucle de retour de l’ISO 13485 remonte vers le régulateur autant que vers le marché.
• Le texte privilégie la stabilité à l’agilité. Une norme qui sert de référence à des réglementations doit être stable, prévisible et vérifiable de la même façon partout. C’est pourquoi elle multiplie les exigences de documentation explicite et de conservation d’enregistrements, là où d’autres référentiels ont assoupli ces obligations au nom de la souplesse. Ce que l’on perd en légèreté, on le gagne en démontrabilité devant une autorité.
• Le texte est écrit pour être contrôlé. Chaque exigence est formulée de manière à pouvoir être vérifiée par un tiers sur pièces : un dossier de dispositif médical, un dossier de conception et de développement, un enregistrement de validation de procédé, une justification consignée. La question que se pose l’auditeur n’est pas « est-ce efficace ? » mais « pouvez-vous le démontrer ? ».

Repère de lecture, donné au § 0.2 : le texte anglais distingue quatre formes verbales, et cette distinction fait foi. « Shall » indique une exigence, « should » une recommandation, « may » une permission, « can » une possibilité ou une capacité. Les informations signalées par « NOTE » servent à comprendre ou à clarifier l’exigence associée : elles ne créent pas d’obligation. Quand cette formation écrit « la norme exige », il y a un shall dans le texte.

Ce que veut dire « exigences réglementaires applicables »

L’expression revient sans relâche dans le corps de la norme : conformité aux exigences réglementaires applicables, maintien du système conformément aux exigences réglementaires applicables, durées de conservation définies au regard des exigences réglementaires applicables. Beaucoup de lecteurs y voient une formule d’usage. C’est au contraire l’un des mécanismes les plus structurants du texte, et le § 0.2 en donne la définition opératoire : lorsque le terme « exigences réglementaires » est employé, il englobe les exigences contenues dans toute loi applicable à l’utilisateur de la norme — le texte cite les lois, règlements, ordonnances ou directives. Et il ajoute une limite d’extension capitale : l’application du terme « exigences réglementaires » est limitée aux exigences relatives au système de management de la qualité et à la sécurité ou à la performance du dispositif médical.

Cette limite est un outil de cadrage précieux. Le droit du travail, le droit fiscal ou le droit de la concurrence s’imposent bien sûr à l’organisme, mais ils ne sont pas des « exigences réglementaires » au sens de l’ISO 13485 et n’ont donc pas à être intégrés au périmètre du système à ce titre. Ce qui doit y entrer, c’est le corpus qui touche au système qualité lui-même et à la sécurité ou la performance du dispositif.

Point décisif : la norme ne dit jamais quelle réglementation s’applique. Elle ne cite aucun texte national ou régional, aucun règlement européen, aucun titre du Code of Federal Regulations. Ce silence est délibéré, puisque le même texte doit pouvoir servir de socle dans des juridictions dont les exigences diffèrent. L’identification du corpus applicable est donc une responsabilité entière de l’organisme, et elle dépend de trois paramètres : les rôles qu’il occupe, la nature et la classe des dispositifs concernés, et les marchés sur lesquels ces dispositifs sont mis à disposition. Selon les juridictions visées, ce corpus pourra comprendre le règlement européen 2017/745 relatif aux dispositifs médicaux, le règlement 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro, le titre 21 du Code of Federal Regulations partie 820 aux États-Unis, ou les textes équivalents d’autres pays. Aucun de ces textes ne figure dans la norme : ils relèvent de l’analyse de l’organisme.

Trois conséquences pratiques en découlent. D’abord, un système ISO 13485 construit sans identification documentée du corpus réglementaire applicable est un système incomplet, quelle que soit la qualité de ses procédures. Ensuite, ce corpus n’est pas figé : il évolue, ce qui impose une veille et un mécanisme de répercussion des évolutions sur le système. Enfin, l’ouverture d’un nouveau marché géographique n’est jamais un simple sujet commercial : elle ajoute un jeu d’exigences réglementaires au périmètre du système de management de la qualité.

Note de méthode : la norme et la réglementation se recouvrent partiellement sans se confondre. Être conforme à l’ISO 13485 ne rend pas conforme à un règlement donné, et être conforme à un règlement ne dispense pas de satisfaire aux exigences de la norme là où elles vont plus loin. Un tableau de correspondance entre les clauses de la norme et les articles du corpus applicable est l’un des livrables les plus utiles d’un projet de mise en conformité.

La relation avec l’ISO 9001

Le § 0.4 traite cette question en quelques lignes qui valent d’être lues à la lettre, tant elles sont souvent déformées. Première affirmation : l’ISO 13485 est une norme autonome — « a stand-alone standard ». Elle se suffit à elle-même. On peut la mettre en oeuvre et s’y faire certifier sans détenir ni appliquer l’ISO 9001. Deuxième affirmation : elle est fondée sur l’ISO 9001:2008, qui a depuis été remplacée par l’ISO 9001:2015. Et pour la commodité des utilisateurs, l’annexe B présente la correspondance entre l’ISO 13485:2016 et l’ISO 9001:2015.

De cette deuxième affirmation découle le point de confusion le plus répandu de tout le référentiel. L’ISO 13485:2016 conserve l’ossature de l’ISO 9001:2008, c’est-à-dire une structure en cinq chapitres d’exigences numérotés de 4 à 8 — système de management de la qualité, responsabilité de la direction, management des ressources, réalisation du produit, mesure, analyse et amélioration. Elle n’a pas adopté la structure haut niveau en dix chapitres, dite HLS ou Annexe SL, que l’ISO 9001:2015 a retenue et que l’on retrouve dans l’ISO 14001:2015, l’ISO 45001:2018 ou l’ISO 27001. Il n’existe donc pas, dans l’ISO 13485, de chapitre 4 « contexte de l’organisme », pas de chapitre 6 « planification », pas de chapitre 9 « évaluation des performances », pas de chapitre 10 « amélioration ». Un consultant qui arrive avec une trame HLS et cherche où placer l’analyse des parties intéressées se heurtera à un texte qui ne raisonne pas ainsi. Le fait que la publication soit datée de 2016, après l’ISO 9001:2015, renforce le malentendu : l’ISO 13485:2016 est postérieure en date mais antérieure en architecture.

Troisième affirmation du § 0.4, et la plus lourde de conséquences juridiques : la norme inclut certaines exigences particulières propres aux organismes intervenant dans le cycle de vie des dispositifs médicaux, et exclut certaines exigences de l’ISO 9001 qui ne sont pas appropriées en tant qu’exigences réglementaires. En raison de ces exclusions, les organismes dont le système de management de la qualité est conforme à l’ISO 13485 ne peuvent pas revendiquer la conformité à l’ISO 9001, sauf si leur système satisfait à l’ensemble des exigences de l’ISO 9001. La relation n’est donc pas d’inclusion : ce n’est pas une ISO 9001 augmentée. C’est un autre texte, plus exigeant sur certains points, muet ou différent sur d’autres. Un organisme qui veut afficher les deux référentiels doit satisfaire aux deux, et le double affichage suppose un double périmètre d’audit.

Ce qui change concrètement d’un texte à l’autre

Le tableau ci-dessous rassemble les écarts d’architecture et d’esprit qui déterminent la conduite d’un projet. La correspondance clause par clause, elle, figure dans l’annexe B de la norme, qui reste la référence à consulter.

Note de source : les intitulés de clauses cités ici sont ceux du sommaire de l’ISO 13485:2016 — § 5.5.2 Management representative, § 8.5.3 Preventive action. La comparaison avec l’ISO 9001:2015 s’appuie sur le § 0.4 et sur l’existence de l’annexe B ; le détail des correspondances est dans cette annexe et non dans ce module.

Le risque, et la relation avec l’ISO 14971

Le risque est présent partout dans l’ISO 13485, mais il y a un sens particulier qu’il faut fixer d’emblée sous peine de dériver. Le § 0.2 énonce que lorsque le terme « risque » est employé, son application dans le domaine d’application de la norme se rapporte aux exigences de sécurité ou de performance du dispositif médical, ou à la satisfaction des exigences réglementaires applicables. La portée est donc délibérément étroite : il ne s’agit pas du risque d’entreprise, ni du risque de réputation, ni du risque de rupture d’approvisionnement pris pour lui-même. Il s’agit du risque pour le patient, l’utilisateur ou le tiers, et du risque de non-conformité réglementaire. Une matrice de risques stratégiques d’entreprise ne répond pas à cette exigence ; une analyse de risque produit, si.

Le chapitre 3 fournit les deux définitions correspondantes, et leur provenance est significative. Le § 3.17 définit le risque comme la combinaison de la probabilité d’occurrence d’un dommage et de la gravité de ce dommage, avec une note explicite : cette définition du risque diffère de celle donnée dans l’ISO 9000:2015. Le § 3.18 définit le management du risque comme l’application systématique de politiques, procédures et pratiques de management aux tâches d’analyse, d’évaluation, de maîtrise et de surveillance du risque. Ces deux définitions sont reprises de l’ISO 14971:2007, la norme d’application du management du risque aux dispositifs médicaux, comme l’indiquent les mentions de source. Le § 3.9, qui définit le cycle de vie comme toutes les phases de la vie d’un dispositif médical, depuis sa conception initiale jusqu’à son démantèlement et son élimination finale, provient de la même source.

Il faut être précis sur le statut de cette relation, car elle est souvent surinterprétée. Le chapitre 2 de l’ISO 13485 ne cite qu’une seule référence normative, l’ISO 9000:2015 « Systèmes de management de la qualité — Principes essentiels et vocabulaire », en précisant qu’elle supersède l’ISO 9000:2005. L’ISO 14971 n’est donc pas une référence normative de l’ISO 13485 : elle en est la source de définitions et la référence méthodologique naturelle. La conséquence pratique n’en est pas moins forte : la norme définit le management du risque et exige que le risque soit traité en de nombreux points du texte, sans décrire de méthode ; le référentiel qui décrit cette méthode est l’ISO 14971. En pratique, un système ISO 13485 sans dossier de gestion des risques conforme à l’ISO 14971 est un système dont les exigences de risque restent formelles, et cela se voit en audit.

Le § 0.2 fournit encore un mécanisme rarement remarqué, qui relie le risque à la portée même des exigences. Lorsqu’une exigence est assortie de l’expression « as appropriate » — le cas échéant, selon le cas —, elle est réputée appropriée à moins que l’organisme ne puisse justifier le contraire. La charge de la preuve est donc inversée : ce n’est pas à l’auditeur de démontrer que l’exigence s’applique, c’est à l’organisme de justifier qu’elle ne s’applique pas. Et le texte énumère quatre cas où une exigence est considérée comme appropriée : lorsqu’elle est nécessaire pour que le produit satisfasse aux exigences, pour la conformité aux exigences réglementaires applicables, pour que l’organisme mène une action corrective, ou pour qu’il maîtrise les risques. Autrement dit, dès que le risque est en jeu, l’expression « le cas échéant » cesse d’être une porte de sortie.

Le vocabulaire qui commande la mise en oeuvre

Le chapitre 3 précise que, pour les besoins du document, les termes et définitions de l’ISO 9000:2015 s’appliquent, ainsi que ceux qu’il énumère ensuite — une vingtaine de définitions propres au domaine du dispositif médical. Les recopier n’apprendrait rien ; en revanche, plusieurs d’entre elles déterminent directement l’étendue du système à construire, et méritent d’être comprises pour ce qu’elles engagent. Le § 0.1 signale d’ailleurs que la grande variété des dispositifs médicaux fait que certaines exigences particulières de la norme ne s’appliquent qu’à des groupes nommés de dispositifs, définis au chapitre 3 : le vocabulaire n’est donc pas ornemental, il commande l’applicabilité.

Ce qui définit le périmètre du produit

Le § 3.11 définit le dispositif médical par une combinaison de trois éléments : une nature — instrument, appareil, équipement, machine, dispositif, implant, réactif destiné à un usage in vitro, logiciel, matériau ou autre article similaire ou apparenté ; une destination fixée par le fabricant, seul ou en association, pour l’être humain ; et une finalité médicale prise dans une liste limitativement énumérée, qui va du diagnostic, de la prévention, de la surveillance, du traitement ou du soulagement d’une maladie jusqu’à la maîtrise de la conception, la désinfection de dispositifs médicaux et la fourniture d’informations au moyen d’un examen in vitro d’échantillons d’origine humaine. Le critère d’exclusion est ensuite énoncé : le dispositif n’atteint pas son action première voulue par des moyens pharmacologiques, immunologiques ou métaboliques dans ou sur le corps humain, même si de tels moyens peuvent concourir à sa fonction. C’est la frontière avec le médicament, et c’est elle qui tranche les cas limites. Une note ajoute que certains produits sont considérés comme des dispositifs médicaux dans certaines juridictions et non dans d’autres, en citant les substances désinfectantes, les aides pour personnes handicapées, les dispositifs incorporant des tissus animaux ou humains et les dispositifs destinés à la fécondation in vitro ou aux techniques d’assistance médicale à la procréation. La qualification n’est donc pas universelle : elle se vérifie juridiction par juridiction.

Le § 3.6 définit le dispositif médical implantable comme un dispositif qui ne peut être retiré que par une intervention médicale ou chirurgicale, et qui est destiné soit à être introduit totalement ou partiellement dans le corps humain ou dans un orifice naturel, soit à remplacer une surface épithéliale ou la surface de l’oeil, et à demeurer en place après l’intervention pendant au moins trente jours. Une note d’entrée précise que cette définition inclut le dispositif médical implantable actif. La conséquence est directe : la norme comporte des exigences particulières qui ne se déclenchent que pour ce groupe, et le critère des trente jours est un critère d’applicabilité, pas une indication clinique.

Le § 3.12 définit la famille de dispositifs médicaux comme un groupe de dispositifs fabriqués par ou pour le même organisme et présentant les mêmes caractéristiques fondamentales de conception et de performance en matière de sécurité, d’usage prévu et de fonction. C’est la notion qui autorise à regrouper plusieurs références sous un même dossier plutôt que d’en ouvrir un par variante ; encore faut-il pouvoir démontrer la communauté de caractéristiques, faute de quoi le regroupement devient un raccourci contestable en audit.

Le § 3.15 définit le produit comme le résultat d’un processus et distingue quatre catégories génériques — services, logiciels, matériels et produits issus de processus à caractère continu. Une note signale que cette définition diffère de celle de l’ISO 9000:2015. Le § 0.2 la complète d’une précision qui évite bien des débats de périmètre : lorsque le terme « produit » est employé, il peut également signifier « service », et il s’applique à un élément de sortie destiné à un client ou exigé par lui, ainsi qu’à tout élément de sortie prévu résultant d’un processus de réalisation du produit. Le § 3.16 ajoute le produit acheté, défini comme un produit fourni par une partie extérieure au système de management de la qualité de l’organisme, avec une note importante : la fourniture n’implique pas nécessairement un arrangement commercial ou financier. Une fourniture gratuite, un prêt ou un transfert intragroupe relèvent donc du processus d’achat.

Le § 3.19 définit le système de barrière stérile comme l’emballage minimal qui empêche l’entrée de micro-organismes et permet une présentation aseptique du produit au point d’utilisation. La définition est issue de l’ISO 11607-1. Elle mérite d’être notée ici parce qu’elle est la clé de lecture des exigences particulières relatives à la validation des procédés de stérilisation et des systèmes de barrière stérile, que le module consacré au chapitre 7 traitera.

Ce qui définit les rôles dans la chaîne

Quatre définitions du chapitre 3 fixent le vocabulaire des acteurs, et c’est à partir d’elles que l’organisme identifie ses rôles au sens du § 0.1. Trois d’entre elles sont reprises du document GHTF/SG1/N055:2009, ce qui témoigne de la volonté d’alignement international du texte.

• Le fabricant (§ 3.10) est la personne physique ou morale ayant la responsabilité de la conception et/ou de la fabrication d’un dispositif médical avec l’intention de le rendre disponible pour utilisation sous son nom, que ce dispositif soit conçu ou fabriqué par elle-même ou pour son compte par un tiers. Une note capitale précise que cette personne porte la responsabilité juridique ultime de la conformité aux exigences réglementaires applicables dans les juridictions de mise à disposition, sauf si cette responsabilité est spécifiquement imposée à une autre personne par l’autorité réglementaire. Sous-traiter la fabrication ne transfère donc pas la responsabilité. Une autre note énumère ce que recouvre « conception et/ou fabrication » : développement de spécifications, production, façonnage, assemblage, traitement, conditionnement, reconditionnement, étiquetage, réétiquetage, stérilisation, installation ou refabrication.
• Le mandataire (§ 3.2), l’authorized representative, est la personne physique ou morale établie dans un pays ou une juridiction qui a reçu du fabricant un mandat écrit pour agir en son nom pour des tâches spécifiées, au titre des obligations du fabricant sous la législation de ce pays ou de cette juridiction. Le mandat est écrit et son étendue est spécifiée : ce qui n’y figure pas n’est pas couvert.
• L’importateur (§ 3.7) est la personne physique ou morale de la chaîne d’approvisionnement qui, la première, met à disposition dans le pays ou la juridiction de commercialisation un dispositif médical fabriqué dans un autre pays ou une autre juridiction. Le critère est celui de la primauté dans la chaîne, et non celui du transport.
• Le distributeur (§ 3.5) est la personne physique ou morale de la chaîne d’approvisionnement qui, en son nom propre, favorise la mise à disposition d’un dispositif médical auprès de l’utilisateur final. Deux notes précisent que plusieurs distributeurs peuvent intervenir dans une même chaîne, et que les personnes qui réalisent des activités telles que le stockage et le transport pour le compte du fabricant, de l’importateur ou du distributeur ne sont pas des distributeurs au sens de cette définition. Le prestataire logistique n’est donc pas un distributeur — distinction qui change l’analyse des rôles de bien des organismes.

Une note du § 3.10 tranche par ailleurs un cas fréquent : le mandataire, le distributeur ou l’importateur qui se borne à ajouter son adresse et ses coordonnées sur le dispositif ou son emballage, sans recouvrir ni modifier l’étiquetage existant, n’est pas considéré comme un fabricant. À l’inverse, une autre note indique que celui qui modifie la destination d’un dispositif ou le modifie sans agir pour le compte du fabricant d’origine, et le met à disposition sous son propre nom, devrait être considéré comme le fabricant du dispositif modifié.

Ce qui définit la surveillance du dispositif après sa mise sur le marché

Quatre définitions arment le versant aval du système, celui qui distingue le plus nettement l’ISO 13485 d’un référentiel qualité générique.

• La réclamation (§ 3.4) est une communication écrite, électronique ou orale alléguant des déficiences liées à l’identité, à la qualité, à la durabilité, à la fiabilité, à l’utilisabilité, à la sécurité ou à la performance d’un dispositif médical libéré de la maîtrise de l’organisme, ou liées à un service affectant la performance de tels dispositifs. Une note signale que cette définition diffère de celle de l’ISO 9000:2015. Trois points font la différence en pratique : le canal oral compte autant que l’écrit, l’allégation suffit — elle n’a pas à être fondée pour déclencher le traitement —, et le champ couvre l’identité et l’utilisabilité, pas seulement le défaut technique. C’est une définition beaucoup plus large que celle du sens commercial courant.
• L’avis de sécurité (§ 3.1), l’advisory notice, est l’avis émis par l’organisme postérieurement à la livraison du dispositif médical pour fournir des informations complémentaires ou recommander une action à entreprendre concernant l’utilisation du dispositif, sa modification, son retour à l’organisme qui l’a fourni, ou sa destruction. Une note indique que l’émission d’un avis de sécurité peut être requise pour se conformer aux exigences réglementaires applicables.
• La surveillance après commercialisation (§ 3.14) est le processus systématique de collecte et d’analyse de l’expérience acquise à partir des dispositifs médicaux mis sur le marché. Le mot important est « systématique » : une remontée d’information au fil de l’eau, non organisée, ne satisfait pas la définition.
• L’étiquetage (§ 3.8) recouvre l’étiquette, la notice d’utilisation et toute autre information relative à l’identification, à la description technique, à la destination et à l’utilisation correcte du dispositif médical, à l’exclusion des documents d’expédition. Sa maîtrise est un sujet réglementaire à part entière, et non une question de communication produit.

Deux dernières définitions structurent la démonstration de sécurité et de performance. L’évaluation clinique (§ 3.3) est l’appréciation et l’analyse des données cliniques relatives à un dispositif médical, en vue de vérifier la sécurité et la performance cliniques du dispositif lorsqu’il est utilisé conformément à la destination prévue par le fabricant. L’évaluation des performances (§ 3.13) est l’appréciation et l’analyse des données permettant d’établir ou de vérifier l’aptitude d’un dispositif médical de diagnostic in vitro à atteindre sa destination. La première concerne les dispositifs médicaux, la seconde les dispositifs de diagnostic in vitro : ce sont deux démonstrations distinctes, et les confondre est une erreur courante dans les organismes qui exploitent les deux gammes.

L’approche processus et la logique de la procédure documentée

Le § 0.3 énonce que la norme est fondée sur une approche processus du management de la qualité. La définition qu’il en donne est volontairement simple : toute activité qui reçoit des éléments d’entrée et les convertit en éléments de sortie peut être considérée comme un processus, et souvent l’élément de sortie d’un processus forme directement l’élément d’entrée du processus suivant. Pour fonctionner efficacement, un organisme doit identifier et gérer de nombreux processus liés entre eux ; l’application d’un système de processus au sein d’un organisme, avec l’identification de ces processus et de leurs interactions et leur management pour produire le résultat souhaité, constitue l’approche processus.

Le texte précise ce que cette approche met en avant lorsqu’elle est utilisée dans un système de management de la qualité : comprendre et satisfaire les exigences, considérer les processus en termes de valeur ajoutée, obtenir des résultats de performance et d’efficacité des processus, et améliorer les processus sur la base de mesures objectives. Ces quatre points ne sont pas une exigence en tant que telle — l’exigence correspondante se trouve au chapitre 4 —, mais ils donnent la grille de lecture attendue : une cartographie des processus qui ne montre pas les interactions, ou qui ne débouche sur aucune mesure objective, ne répond pas à l’esprit du texte.

« Documented » : un verbe qui engage trois obligations

Voici l’un des mécanismes les plus efficaces et les plus sous-estimés de la norme. Le § 0.2 pose que lorsqu’une exigence impose que quelque chose soit « documenté », il est également exigé que cette chose soit établie, mise en oeuvre et tenue à jour. En trois mots, la norme désamorce la stratégie documentaire de façade. Documenter n’est pas rédiger : c’est établir la disposition, la mettre réellement en oeuvre dans l’activité, et la maintenir dans le temps. Une procédure écrite, approuvée, classée et jamais appliquée ne satisfait pas l’exigence — non par sévérité de l’auditeur, mais parce que la norme a défini le mot ainsi. C’est aussi ce qui explique que l’auditeur, devant une procédure impeccable, demande immédiatement les enregistrements qui prouvent qu’elle vit.

Ce mécanisme s’articule avec un choix de vocabulaire qui distingue nettement l’ISO 13485 de l’ISO 9001:2015. L’ISO 13485 exige nommément des procédures documentées à de nombreux endroits de son texte, là où l’ISO 9001:2015 a supprimé la notion même de procédure documentée au profit de la catégorie unique des informations documentées, en laissant l’organisme décider du support et du degré de formalisation. Cette différence n’est pas cosmétique : elle a une raison réglementaire. Une autorité de tutelle et un organisme notifié ont besoin de pouvoir demander un document identifié, maîtrisé et opposable ; la souplesse de l’information documentée s’accommode mal de ce besoin. Concrètement, cela signifie qu’un projet ISO 13485 produit un corpus documentaire plus explicite et plus nommément désigné qu’un projet ISO 9001 de taille comparable, et que la maîtrise des documents et des enregistrements y occupe une place structurante — le chapitre 4 lui consacre les § 4.2.4 et § 4.2.5, en plus du manuel qualité au § 4.2.2 et du dossier de dispositif médical au § 4.2.3.

Note de méthode : le § 0.1 rappelant que la norme n’exige ni uniformité de la documentation ni alignement de celle-ci sur la structure en clauses, il n’y a aucune obligation de créer un document distinct par exigence. Ce qui est exigé, c’est que la disposition existe, soit appliquée, soit maintenue et puisse être retrouvée. Une procédure unique peut couvrir plusieurs exigences dès lors que la couverture est traçable.

Le principe d’applicabilité : ce qui peut être écarté, et à quelles conditions

Le § 1 traite de l’applicabilité des exigences en trois alinéas distincts, qu’il faut lire séparément car ils règlent trois situations différentes. Ils sont fréquemment amalgamés, et cet amalgame produit des systèmes dont le périmètre est indéfendable en audit.

Premier alinéa, les processus non réalisés par l’organisme. Le texte énonce que les processus exigés par la norme, qui sont applicables à l’organisme mais ne sont pas réalisés par lui, restent de la responsabilité de l’organisme et sont pris en compte dans son système de management de la qualité par la surveillance, le maintien et la maîtrise de ces processus. Il ne s’agit donc pas d’une exclusion : un processus externalisé demeure dans le périmètre, avec une obligation de maîtrise renforcée. La stérilisation confiée à un prestataire, la conception confiée à un bureau d’études, la production confiée à un façonnier restent des processus du système ; ce qui change, c’est le mode de maîtrise, pas l’appartenance au périmètre. La responsabilité, elle, ne se sous-traite jamais — ce que confirme la note du § 3.10 sur la responsabilité juridique ultime du fabricant.

Deuxième alinéa, la maîtrise de la conception et du développement. Le texte prévoit que si les exigences réglementaires applicables permettent des exclusions des activités de maîtrise de la conception et du développement, cela peut être utilisé comme justification de leur exclusion du système de management de la qualité. Il ajoute que ces exigences réglementaires peuvent prévoir des approches alternatives, qui doivent alors être traitées dans le système, et qu’il incombe à l’organisme de s’assurer que les revendications de conformité à la norme reflètent toute exclusion des activités de maîtrise de la conception et du développement. Trois conséquences : la porte d’exclusion n’est ouverte que par la réglementation, jamais par la seule décision de l’organisme ; l’approche alternative éventuellement prévue par le texte réglementaire doit être intégrée au système ; et l’exclusion doit apparaître dans la revendication de conformité elle-même, ce qui signifie qu’un distributeur ne peut pas se prévaloir d’une conformité ISO 13485 sans mention de cette exclusion.

Troisième alinéa, les exigences non applicables. Le texte énonce que si une exigence des chapitres 6, 7 ou 8 de la norme n’est pas applicable en raison des activités entreprises par l’organisme ou de la nature du dispositif médical pour lequel le système de management de la qualité est appliqué, l’organisme n’a pas besoin d’inclure cette exigence dans son système. Et il ajoute la contrepartie : pour toute clause déterminée comme non applicable, l’organisme enregistre la justification, comme décrit au § 4.2.2 — c’est-à-dire dans le manuel qualité. Deux points doivent être retenus avec exactitude. D’une part, le champ de cette non-applicabilité couvre les chapitres 6, 7 et 8, et non le seul chapitre 7 : c’est un point sur lequel de nombreux commentaires se trompent, et le texte de la norme fait foi. D’autre part, les chapitres 4 et 5 ne sont pas concernés — le système de management de la qualité et la responsabilité de la direction s’appliquent intégralement, sans aménagement possible.

Les deux critères de non-applicabilité sont limitativement énoncés : les activités entreprises par l’organisme, ou la nature du dispositif médical. Un fabricant qui ne réalise aucune installation peut ainsi conclure à la non-applicabilité des exigences relatives aux activités d’installation ; un fabricant de dispositifs non stériles, à celles portant sur les dispositifs stériles. En revanche, ni la taille de l’organisme, ni le coût de mise en oeuvre, ni la faible probabilité d’un événement, ni l’absence d’exigence du client ne sont des motifs recevables. Et dans tous les cas, la justification doit être enregistrée : la non-applicabilité non justifiée est un écart, même lorsque la non-applicabilité elle-même était fondée.

Note de vigilance : le mot « exclusion » et la formule « non applicable » ne désignent pas la même chose dans le texte. Le deuxième alinéa parle d’exclusion, ouverte par la réglementation et portant sur la maîtrise de la conception et du développement, avec effet sur la revendication de conformité. Le troisième alinéa parle d’exigences non applicables des chapitres 6, 7 ou 8, avec justification enregistrée selon le § 4.2.2. Employer un mot pour l’autre dans le manuel qualité expose à une demande de clarification en audit.

Compatibilité avec les autres systèmes de management

Le § 0.5 clôt l’introduction sur un point de portée. La norme n’inclut pas d’exigences spécifiques à d’autres systèmes de management, tels que ceux propres au management environnemental, au management de la santé et de la sécurité au travail ou au management financier. Elle permet toutefois à un organisme d’aligner ou d’intégrer son propre système de management de la qualité avec les exigences de systèmes de management connexes, et il lui est possible d’adapter son ou ses systèmes de management existants pour établir un système conforme aux exigences de la norme. L’intégration est donc permise, jamais imposée — et elle se heurte en pratique à la différence d’architecture évoquée plus haut, l’ISO 14001 et l’ISO 45001 suivant la structure haut niveau que l’ISO 13485 n’a pas adoptée.

L’architecture du référentiel

Les exigences de l’ISO 13485:2016 se répartissent en cinq chapitres numérotés de 4 à 8, précédés des trois chapitres de cadrage traités dans ce module. Cette ossature raconte une trajectoire simple : sur quoi repose le système, qui le porte, avec quels moyens, pour réaliser quel produit, et comment on vérifie que l’ensemble tient. Le tableau ci-dessous en donne la vue d’ensemble, avec le nombre d’exigences que la checklist d’implémentation Management Qualité recense par chapitre — 288 au total. Ces chiffres ne figurent pas dans la norme : ils décrivent le découpage opérationnel retenu pour la mise en oeuvre, et ils sont donnés ici parce qu’ils disent quelque chose de juste sur l’effort à prévoir.

Le déséquilibre est frappant, et il est instructif. Le chapitre 7 concentre à lui seul près de la moitié des exigences. C’est le coeur métier : il suit le dispositif de la définition des exigences du client jusqu’à sa préservation, en passant par la conception et le développement — dix sous-clauses, du § 7.3.1 au § 7.3.10, dont le dossier de conception et de développement au § 7.3.10 —, les achats, et une section production et prestation de service qui compte onze sous-clauses. On y trouve les exigences particulières les plus spécifiques du référentiel : la propreté du produit au § 7.5.2, les activités d’installation au § 7.5.3, les prestations associées au § 7.5.4, les exigences particulières relatives aux dispositifs médicaux stériles au § 7.5.5, la validation des processus de production et de prestation de service au § 7.5.6, les exigences particulières relatives à la validation des processus de stérilisation et des systèmes de barrière stérile au § 7.5.7, l’identification au § 7.5.8 et la traçabilité au § 7.5.9. La séquence opérationnelle du chapitre peut se résumer ainsi : Exigences client -> Conception et développement -> Achats -> Production -> Préservation et traçabilité.

Le chapitre 8 est le second poste en volume, et c’est là que se loge la différence la plus visible avec un référentiel qualité générique. Aux mécanismes classiques d’audit interne, de maîtrise du produit non conforme, d’analyse des données et d’action corrective, il ajoute trois dispositifs propres au domaine réglementé : les retours d’information au § 8.2.1, le traitement des réclamations au § 8.2.2 et le rapport aux autorités réglementaires au § 8.2.3. Il conserve par ailleurs une clause d’action préventive distincte au § 8.5.3, là où l’ISO 9001:2015 a fondu cette notion dans l’approche par les risques. Le § 8.3 est structuré en quatre temps qui reflètent la logique du domaine : généralités, actions en réponse à un produit non conforme détecté avant livraison, actions en réponse à un produit non conforme détecté après livraison, et retraitement.

Les chapitres 4 et 5 sont les deux chapitres non aménageables, et le chapitre 4 concentre à lui seul les exigences documentaires qui donnent au référentiel son caractère opposable : le manuel qualité au § 4.2.2, qui porte notamment les justifications de non-applicabilité, et le dossier de dispositif médical au § 4.2.3, exigence emblématique de l’édition 2016. Le chapitre 6, le plus court avec dix-huit exigences, ne doit pas pour autant être traité à la légère : le § 6.4.2, consacré à la maîtrise de la contamination, est une clause à fort enjeu pour les fabricants de dispositifs stériles.

Le texte se clôt sur deux annexes informatives, c’est-à-dire non contraignantes. L’annexe A donne la comparaison du contenu entre l’ISO 13485:2003 et l’ISO 13485:2016 : c’est l’outil de transition pour un organisme venant de l’édition précédente. L’annexe B donne la correspondance entre l’ISO 13485:2016 et l’ISO 9001:2015 : c’est l’outil de ceux qui exploitent les deux référentiels ou qui viennent d’une culture ISO 9001. Une bibliographie complète l’ouvrage.

Comment lire la suite de la formation

La formation compte sept modules. Celui-ci pose le cadre ; les six suivants épousent les cinq chapitres d’exigences, le chapitre 7 étant scindé en deux parties tant il est vaste. Chaque module est bâti de la même façon : ce dont parle le chapitre et pourquoi, puis les exigences expliquées une à une, puis la mise en oeuvre concrète. Les deux parties comptent autant l’une que l’autre. Comprendre l’exigence sans savoir la mettre en oeuvre ne mène nulle part ; appliquer une recette sans comprendre l’exigence conduit à des systèmes qui s’effondrent au premier cas particulier.

• Module 0 — Introduction : ce module. Avant-propos, Introduction § 0.1 à § 0.5, chapitres 1 à 3.
• Module 1 — Chapitre 4, Système de management de la qualité : exigences générales, exigences relatives à la documentation, manuel qualité, dossier de dispositif médical, maîtrise des documents et des enregistrements.
• Module 2 — Chapitre 5, Responsabilité de la direction : engagement, écoute client, politique, planification, responsabilité et autorité, représentant de la direction, communication interne, revue de direction et ses éléments d’entrée et de sortie.
• Module 3 — Chapitre 6, Management des ressources : mise à disposition des ressources, ressources humaines, infrastructures, environnement de travail et maîtrise de la contamination.
• Module 4 — Chapitre 7, première partie, § 7.1 à § 7.3 : planification de la réalisation du produit, processus relatifs aux clients, et l’ensemble du bloc conception et développement, du § 7.3.1 au § 7.3.10.
• Module 5 — Chapitre 7, seconde partie, § 7.4 à § 7.6 : achats, production et prestation de service avec les exigences particulières relatives aux dispositifs stériles, à la stérilisation et aux systèmes de barrière stérile, identification, traçabilité, propriété du client, préservation du produit, et maîtrise des équipements de surveillance et de mesure.
• Module 6 — Chapitre 8, Mesure, analyse et amélioration : retours d’information, traitement des réclamations, rapports aux autorités réglementaires, audit interne, surveillance et mesure des processus et du produit, maîtrise du produit non conforme, analyse des données, amélioration, action corrective et action préventive.

Un mot sur les sources, car il conditionne la confiance à accorder à ce contenu. Tout ce qui est présenté comme une exigence provient du texte de l’ISO 13485:2016, troisième édition. Rien n’y est ajouté et aucune clause n’est inventée. Ce qui relève de la mise en oeuvre s’appuie sur la checklist d’implémentation Management Qualité, qui décline ces exigences en actions vérifiables assorties de leurs preuves, et sur la pratique de terrain. En cas de divergence entre la norme et un outil d’accompagnement, la norme fait foi, toujours.

À retenir

• L’ISO 13485:2016 est la troisième édition, publiée le 1er mars 2016 par le comité ISO/TC 210 ; elle annule et remplace l’ISO 13485:2003 et l’ISO/TR 14969:2004 et intègre le corrigendum Cor.1:2009. L’annexe A donne la comparaison avec l’édition 2003.
• Son titre porte sa clé de lecture : exigences à des fins réglementaires. La conformité réglementaire et la sécurité ou la performance du dispositif priment sur la satisfaction du client, et le chapitre 8 fait remonter l’information vers l’autorité réglementaire autant que vers le marché.
• Elle s’applique à tout organisme intervenant dans une ou plusieurs étapes du cycle de vie du dispositif, et peut être utilisée par les fournisseurs et parties externes — matières premières, composants, sous-ensembles, stérilisation, étalonnage, distribution, maintenance —, volontairement ou par obligation contractuelle.
• La première tâche exigée par le § 0.1 est en trois temps : identifier ses rôles au titre des exigences réglementaires applicables, identifier les exigences réglementaires correspondantes, puis les intégrer au système de management de la qualité.
• « Exigences réglementaires » désigne les exigences contenues dans toute loi applicable — lois, règlements, ordonnances, directives — limitées au système de management de la qualité et à la sécurité ou la performance du dispositif. La norme ne dit jamais lesquelles s’appliquent : c’est à l’organisme de les identifier, marché par marché.
• Le mot « risque » a une portée définie au § 0.2 : sécurité ou performance du dispositif, et conformité réglementaire. Les définitions du risque (§ 3.17) et du management du risque (§ 3.18) viennent de l’ISO 14971 ; la seule référence normative de la norme, au chapitre 2, est l’ISO 9000:2015.
• Lorsqu’une exigence est assortie de « as appropriate », elle est réputée appropriée sauf justification contraire de l’organisme — notamment dès qu’elle est nécessaire à la conformité du produit, à la conformité réglementaire, à une action corrective ou à la maîtrise des risques.
• « Documenté » signifie établi, mis en oeuvre et tenu à jour. L’ISO 13485 exige nommément des procédures documentées à de nombreux endroits, là où l’ISO 9001:2015 a supprimé la notion au profit des informations documentées.
• La norme est autonome, fondée sur l’ISO 9001:2008, et conserve la structure en chapitres 4 à 8. Elle n’a pas adopté la structure haut niveau en dix chapitres : c’est le contresens le plus fréquent. L’annexe B donne la correspondance avec l’ISO 9001:2015.
• La conformité à l’ISO 13485 ne permet pas de revendiquer la conformité à l’ISO 9001, en raison des exigences de cette dernière que la norme exclut ; il faudrait satisfaire à l’intégralité des exigences de l’ISO 9001 pour le faire.
• Les processus applicables mais non réalisés par l’organisme restent de sa responsabilité et sont pris en compte dans le système par la surveillance, le maintien et la maîtrise : externaliser n’est pas exclure.
• Les exigences des chapitres 6, 7 ou 8 non applicables en raison des activités de l’organisme ou de la nature du dispositif peuvent ne pas être incluses, à condition que la justification soit enregistrée comme décrit au § 4.2.2. Les chapitres 4 et 5 s’appliquent intégralement. L’exclusion de la maîtrise de la conception et du développement relève d’un mécanisme distinct, ouvert par les exigences réglementaires applicables, et doit apparaître dans la revendication de conformité.
• Le vocabulaire du chapitre 3 commande l’applicabilité : le dispositif implantable (§ 3.6) déclenche des exigences particulières, la réclamation (§ 3.4) couvre l’oral comme l’écrit et la simple allégation, le distributeur (§ 3.5) exclut le prestataire de stockage et de transport, et le fabricant (§ 3.10) conserve la responsabilité juridique ultime même lorsqu’il sous-traite.
• Le chapitre 7 concentre l’essentiel de l’effort de mise en oeuvre, ce qui explique qu’il soit traité en deux modules dans cette formation.