ISO 13485: il sistema qualità per i dispositivi medici

Se progetti, produci o distribuisci dispositivi medici, la ISO 13485 è la base su cui poggia la conformità al regolamento MDR. Cosa chiede, a chi serve e come si ottiene.

La ISO 13485 è la norma internazionale che definisce i requisiti di un sistema di gestione per la qualità per le organizzazioni del settore dei dispositivi medici. A differenza della ISO 9001, non nasce per misurare la soddisfazione del cliente ma per dimostrare che l'azienda rispetta in modo costante i requisiti del cliente e quelli regolatori applicabili. In Europa questo significa soprattutto il Regolamento (UE) 2017/745, noto come MDR. In questa guida vediamo cosa chiede la norma, in cosa si distingue dalla ISO 9001, come si collega alla gestione del rischio secondo la ISO 14971 e, soprattutto, perché la certificazione ISO 13485 e la marcatura CE sono due cose diverse che spesso vengono confuse.

Cos'è la ISO 13485 e a cosa serve?

La ISO 13485 è la norma sui sistemi qualità per i dispositivi medici "a fini regolamentari". Il titolo stesso lo dice: il suo scopo è aiutarti a dimostrare a clienti e autorità che sai fornire dispositivi medici e servizi correlati che soddisfano in modo costante i requisiti applicabili. L'edizione vigente è la ISO 13485:2016, che la ISO ha riesaminato e confermato senza modifiche sostanziali.

Per una PMI il valore pratico è duplice. Da un lato la norma organizza i processi che il regolamento MDR ti chiede comunque di avere: controllo della progettazione, dei fornitori, della produzione, dei reclami. Dall'altro offre un linguaggio comune riconosciuto a livello internazionale, che ti permette di parlare con clienti, distributori e autorità senza dover spiegare ogni volta come lavori. Se vuoi un inquadramento generale su cosa sia una certificazione ISO, trovi le basi nella nostra guida sulle certificazioni ISO.

Una norma pensata per i requisiti regolatori

La differenza di fondo con le altre norme sui sistemi di gestione è l'orientamento. La ISO 13485 mette al centro la conformità regolatoria e la sicurezza del dispositivo, non la crescita commerciale o la soddisfazione del cliente in senso ampio. Per questo chiede più procedure documentate, più registrazioni e più controlli formali di quanti ne chieda la ISO 9001.

Un esempio concreto aiuta. In un sistema ISO 9001 puoi decidere tu quanto documentare il processo di gestione dei reclami, purché funzioni. In un sistema ISO 13485 il reclamo va gestito con una procedura scritta, valutato anche per capire se deve essere segnalato all'autorità competente e collegato alla sorveglianza post-commercializzazione. La logica è sempre la stessa: ogni scelta deve lasciare un'evidenza verificabile, perché prima o poi qualcuno ti chiederà di dimostrarla.

A chi si applica: non solo ai fabbricanti

La norma si rivolge alle organizzazioni coinvolte in una o più fasi del ciclo di vita di un dispositivo medico. Rientrano la progettazione e lo sviluppo, la produzione, lo stoccaggio e la distribuzione, l'installazione e l'assistenza tecnica. La ISO 13485 può essere usata anche dai fornitori esterni che lavorano per queste organizzazioni.

In pratica, la certificazione interessa profili molto diversi. C'è il fabbricante che progetta e produce un dispositivo con il proprio marchio. C'è il terzista che stampa componenti in plastica o esegue la sterilizzazione per conto di altri. C'è il distributore che gestisce magazzino, tracciabilità e richiami. E c'è la software house che sviluppa un software classificato come dispositivo medico. Per molti fornitori la ISO 13485 non è un obbligo di legge, ma è il requisito che il cliente fabbricante mette nel contratto di qualifica.

Che rapporto c'è tra ISO 13485 e regolamento MDR?

Il regolamento MDR obbliga ogni fabbricante ad avere un sistema di gestione della qualità, e la ISO 13485 è il modo più diffuso per costruirlo. Non sono però la stessa cosa: il regolamento è legge, la norma è uno strumento volontario che ti aiuta a rispettarla.

L'articolo 10 e il sistema qualità obbligatorio

L'articolo 10 del regolamento MDR elenca gli obblighi generali dei fabbricanti. Tra questi c'è l'obbligo di istituire, documentare, attuare, mantenere, aggiornare e migliorare un sistema di gestione della qualità proporzionato alla classe di rischio e al tipo di dispositivo. L'obbligo vale per tutti i fabbricanti, con la sola eccezione dei dispositivi oggetto di indagine clinica.

Il regolamento indica anche gli aspetti minimi che il sistema deve coprire. Tra questi ci sono la strategia per la conformità regolatoria, l'identificazione dei requisiti generali di sicurezza e prestazione, la responsabilità della direzione, la gestione delle risorse e dei fornitori, la gestione del rischio, la valutazione clinica, la realizzazione del prodotto, l'identificazione unica del dispositivo (UDI), la sorveglianza post-commercializzazione, la segnalazione degli incidenti gravi e le azioni correttive e preventive.

La versione armonizzata e la presunzione di conformità

La versione europea della norma, la EN ISO 13485:2016 con l'emendamento A11:2021, è pubblicata come norma armonizzata a supporto del regolamento MDR. L'aggiornamento A11 ha aggiunto gli allegati che collegano i requisiti della norma a quelli del regolamento. Chi applica una norma armonizzata gode di una presunzione di conformità ai requisiti del regolamento che quella norma copre.

Attenzione però alla parola "copre". La presunzione vale solo per i requisiti indicati negli allegati di collegamento della versione EN, non per tutto il regolamento. Per questo un sistema ISO 13485 ben fatto è una base solida, ma non ti esonera dal verificare punto per punto cosa chiede l'MDR.

Cosa la ISO 13485 non copre da sola

Alcuni obblighi dell'MDR richiedono processi che la norma non descrive in dettaglio. Il caso più tipico è la strategia di conformità regolatoria: la classificazione del dispositivo, la scelta della procedura di valutazione della conformità, la gestione delle modifiche significative. Altri esempi sono la valutazione clinica e il follow-up clinico post-commercializzazione, la gestione dei codici UDI e la figura della persona responsabile del rispetto della normativa, prevista dall'articolo 15 del regolamento.

Un'azienda che ha "solo" la ISO 13485 e si affaccia all'MDR deve quindi integrare il sistema con questi elementi. È uno dei punti dove vediamo più ritardi: il sistema qualità c'è, ma manca il collegamento con il regolamento.

Certificazione ISO 13485 e marcatura CE: qual è la differenza?

La certificazione ISO 13485 attesta che il tuo sistema qualità è conforme alla norma. La marcatura CE attesta che il dispositivo è conforme al regolamento MDR e può essere immesso sul mercato europeo. Sono due atti diversi, rilasciati in base a regole diverse, anche quando le verifiche avvengono nello stesso periodo.

La certificazione ISO 13485 è volontaria e viene rilasciata da un organismo di certificazione accreditato, secondo la ISO/IEC 17021-1 e il documento mandatorio IAF MD 9 dedicato ai sistemi qualità per i dispositivi medici. La valutazione della conformità ai fini della marcatura CE, invece, per la maggior parte delle classi di rischio richiede l'intervento di un organismo notificato: un ente designato da un'autorità nazionale proprio per il regolamento MDR. Quando l'organismo notificato valuta il sistema qualità secondo l'allegato IX dell'MDR, rilascia un certificato UE, che non è un certificato ISO 13485.

Un esempio: classe I e classe IIa

Pensa a due aziende. La prima produce un dispositivo di classe I non sterile e senza funzione di misura: per la marcatura CE dichiara da sola la conformità, senza organismo notificato. Deve comunque avere un sistema qualità conforme all'MDR, e la certificazione ISO 13485 è il modo più credibile per dimostrarlo a ospedali e distributori.

La seconda produce un dispositivo di classe IIa. Qui l'organismo notificato verifica il sistema qualità e la documentazione tecnica. Avere già un sistema ISO 13485 rodato rende la verifica molto più lineare, ma il certificato ISO non sostituisce la valutazione prevista dal regolamento. Molti fabbricanti affrontano le due verifiche in modo coordinato, proprio per non duplicare il lavoro.

Cosa chiede la ISO 13485 in più rispetto alla ISO 9001?

La ISO 13485 condivide con la ISO 9001 l'approccio per processi, ma è più prescrittiva e più orientata alla sicurezza del prodotto. Una differenza strutturale: la ISO 9001 segue la struttura comune delle norme sui sistemi di gestione, mentre la ISO 13485 ha mantenuto una struttura propria e include un allegato di corrispondenza con la ISO 9001. Se conosci già la ISO 9001, la guida sul sistema di gestione qualità ISO 9001 ti dà il quadro di partenza; qui ci concentriamo su ciò che cambia.

Più documentazione e il fascicolo del dispositivo

La ISO 13485 chiede procedure documentate per molti processi in cui la ISO 9001 lascia libertà. In più, per ogni tipo o famiglia di dispositivi chiede di tenere un fascicolo del dispositivo: l'insieme dei documenti che descrivono il prodotto, le specifiche, i processi di produzione, imballaggio, etichettatura, installazione e assistenza.

Anche la conservazione dei documenti ha regole più rigide. Le registrazioni devono restare disponibili almeno per la vita del dispositivo definita dal fabbricante e comunque non meno di quanto richiesto dalle norme applicabili. Per un'azienda che produce impianti con vita utile lunga, questo significa archivi che durano molti anni e devono restare leggibili.

Rischio applicato ai processi e al prodotto

La ISO 9001 parla di rischi e opportunità a livello di sistema. La ISO 13485 applica un approccio basato sul rischio al controllo dei processi del sistema qualità e chiede una gestione del rischio documentata nella realizzazione del prodotto. Se vuoi capire come si ragiona sui rischi nei sistemi di gestione in generale, trovi un approfondimento nella guida su rischi e opportunità nelle norme ISO.

La norma chiede anche di validare il software usato nel sistema qualità e nei processi produttivi, in proporzione al rischio. Il foglio di calcolo che governa i lotti o il gestionale che registra la tracciabilità non sono dettagli informatici: se sbagliano, sbaglia il sistema.

Mantenere l'efficacia, non solo migliorare

Dove la ISO 9001 insiste sul miglioramento continuo e sulla soddisfazione del cliente, la ISO 13485 chiede di mantenere l'efficacia del sistema e di raccogliere i feedback del mercato come input per la sicurezza del prodotto. I reclami vanno gestiti con procedure precise, valutati anche ai fini della segnalazione alle autorità, e collegati alle azioni correttive.

Ci sono poi requisiti specifici che la ISO 9001 non contempla: controllo dell'ambiente di lavoro e della contaminazione, requisiti per i dispositivi sterili, tracciabilità rafforzata per i dispositivi impiantabili, avvisi di sicurezza e gestione dei prodotti restituiti. Sono questi i punti dove un'azienda "ISO 9001" scopre di avere più lavoro del previsto.

Come si integra la gestione del rischio secondo la ISO 14971?

La ISO 14971 è la norma internazionale sull'applicazione della gestione del rischio ai dispositivi medici. Descrive un processo per identificare i pericoli, stimare e valutare i rischi, controllarli e monitorare l'efficacia dei controlli lungo tutto il ciclo di vita. È anch'essa disponibile come norma armonizzata europea.

La ISO 13485 e la ISO 14971 lavorano in coppia. La prima ti chiede di avere un processo di gestione del rischio per il prodotto; la seconda ti dice come farlo. La ISO 14971 non impone livelli di rischio accettabili: chiede al fabbricante di definire criteri di accettabilità oggettivi e di applicarli in modo coerente. Non richiede di per sé un sistema qualità, ma nella pratica la gestione del rischio vive dentro il sistema ISO 13485.

Un errore tipico è trattare il fascicolo di gestione del rischio come un documento da compilare una volta, al momento della progettazione. In realtà deve restare aggiornato con i dati post-mercato: un reclamo ricorrente, un incidente segnalato, un cambio di fornitore di un componente critico sono tutti eventi che possono modificare la valutazione. Se l'analisi dei rischi non si muove mai, in audit è un segnale che il collegamento tra produzione, reclami e progettazione non funziona.

Come si ottiene la certificazione ISO 13485?

Il percorso per arrivare alla certificazione segue le tappe tipiche di ogni sistema di gestione, con qualche attenzione in più legata al settore. La durata dipende dalla complessità dei dispositivi, dal numero di processi e da quanto è già strutturato in azienda.

Analisi iniziale e campo di applicazione

Il primo passo è definire con precisione il campo di applicazione: quali dispositivi, quali sedi, quali fasi del ciclo di vita. La ISO 13485 consente di escludere alcuni requisiti solo in casi precisi: per esempio, la progettazione si può escludere se i requisiti regolatori applicabili lo permettono, e i requisiti di realizzazione del prodotto non applicabili alle tue attività si possono dichiarare non applicabili, motivando la scelta.

Qui si gioca molto. Un distributore che non progetta né produce avrà un sistema molto più snello di un fabbricante di dispositivi sterili. Un terzista che stampa componenti deve chiarire con il cliente quali responsabilità restano a lui e quali passano al fabbricante. Un'analisi iniziale fatta bene confronta la situazione attuale con la norma e con i requisiti regolatori, e restituisce un piano concreto.

Implementazione e audit interno

Segue la fase di costruzione: procedure, fascicoli dei dispositivi, gestione del rischio, qualifica dei fornitori, controllo della produzione, gestione dei reclami e delle segnalazioni. Il sistema deve poi girare per un periodo sufficiente a produrre registrazioni reali: un audit di certificazione non valuta procedure scritte ma processi che funzionano.

Prima dell'audit esterno serve un audit interno completo e un riesame della direzione. Chi fa il percorso con Complaion svolge l'audit interno con noi: lo conduce il Lead Auditor Complaion, che verifica il sistema con occhio indipendente rispetto alle persone che lo gestiscono ogni giorno. Su come si organizza un audit interno efficace trovi una guida dedicata all'audit interno ISO.

Audit di certificazione e ciclo triennale

L'audit di certificazione si svolge in due fasi: la prima verifica la documentazione e la preparazione, la seconda verifica sul campo l'efficacia del sistema. Le trovi descritte nella guida sugli audit di stage 1 e stage 2. Gli auditor devono avere competenza specifica sui dispositivi medici e sui requisiti regolatori, come previsto dal documento IAF MD 9.

Il certificato ha un ciclo di tre anni, con audit di sorveglianza almeno annuali e un audit di ricertificazione alla scadenza. Nel frattempo il sistema deve continuare a funzionare: reclami, azioni correttive, audit ai fornitori e aggiornamenti della gestione del rischio sono proprio ciò che gli auditor andranno a cercare.

Perché il sistema qualità è decisivo nella transizione all'MDR?

Il sistema qualità è la condizione di partenza da cui dipende tutto il resto, anche nella transizione dalle vecchie direttive al regolamento MDR. Il Regolamento (UE) 2023/607 ha prorogato il periodo transitorio per i dispositivi certificati secondo le direttive precedenti: fino al 31 dicembre 2027 per i dispositivi di classe III e per gran parte dei dispositivi impiantabili di classe IIb, fino al 31 dicembre 2028 per le altre classi interessate.

La proroga però non è automatica. Tra le condizioni previste c'è che il fabbricante abbia messo in atto un sistema qualità conforme all'articolo 10 dell'MDR e abbia presentato domanda a un organismo notificato entro le scadenze fissate dal regolamento stesso. In altre parole, anche per sfruttare la proroga il sistema qualità doveva esserci prima del certificato.

Il quadro normativo dei dispositivi medici è soggetto a modifiche: negli ultimi anni il regolamento MDR è stato aggiornato più volte, per esempio con l'obbligo di informare in anticipo le autorità in caso di interruzione della fornitura di alcuni dispositivi. Prima di pianificare, verifica sempre su EUR-Lex la versione consolidata vigente e le scadenze applicabili ai tuoi dispositivi. Un sistema ISO 13485 ben gestito ti permette di assorbire queste modifiche come aggiornamenti di processo, non come emergenze.

Quali sono gli errori più comuni?

Il primo errore è pensare che la certificazione ISO 13485 equivalga alla marcatura CE. Abbiamo visto aziende presentarsi a un cliente ospedaliero con il certificato ISO convinte di aver "fatto l'MDR". Il certificato dimostra un sistema qualità, non la conformità del dispositivo al regolamento.

Il secondo errore è copiare il sistema ISO 9001 e cambiare l'intestazione. Mancano quasi sempre il fascicolo del dispositivo, la validazione del software, la gestione delle segnalazioni alle autorità e una gestione del rischio collegata ai dati di mercato. In audit emergono come non conformità sistemiche, difficili da chiudere in poco tempo.

Il terzo errore riguarda i fornitori. Molte PMI del settore affidano all'esterno lavorazioni critiche come sterilizzazione, stampaggio o confezionamento, ma li qualificano con un questionario generico. La ISO 13485 chiede controlli proporzionati al rischio del prodotto fornito, accordi scritti sulla qualità e monitoraggio delle prestazioni nel tempo.

Il quarto errore è trascurare la sorveglianza post-commercializzazione. Reclami archiviati senza analisi delle tendenze, segnalazioni valutate in ritardo, azioni correttive che non risalgono alla causa: sono tutte situazioni che un auditor collega subito a un rischio per il paziente. Un sistema che raccoglie i dati di mercato in modo ordinato è anche quello che regge meglio le verifiche.

Come semplificare il percorso con Complaion

Un sistema ISO 13485 funziona quando procedure, fascicoli, gestione del rischio, fornitori e reclami restano collegati tra loro e aggiornati nel tempo. Complaion ti aiuta a costruirlo e a mantenerlo così. Partiamo dalle tue esigenze e ti proponiamo il percorso più adatto: la certificazione ISO 13485, un sistema integrato con la ISO 9001 o la preparazione del sistema qualità richiesto dall'MDR. Un Lead Auditor dedicato con esperienza nel settore dei dispositivi medici ti segue in ogni fase e conduce l'audit interno; la piattaforma raccoglie le evidenze, gestisce i documenti e i fascicoli, tiene lo scadenziario di validazioni, riesami e audit ai fornitori e prepara l'audit con l'organismo di certificazione. Il percorso con Complaion ti aiuta a evitare le non conformità e porta all'audit esterno con un successo del 100%. È il metodo con cui abbiamo già accompagnato oltre 1.000 clienti. Scopri il servizio ISO 13485 oppure contattaci per un'analisi iniziale e un preventivo su misura.

Domande frequenti sulla ISO 13485

Cos'è la ISO 13485 in parole semplici?

La ISO 13485 è la norma internazionale che definisce come deve essere organizzato il sistema qualità di un'azienda che lavora con i dispositivi medici. Riguarda progettazione, produzione, distribuzione, installazione e assistenza, oltre ai fornitori di queste aziende. Il suo obiettivo è dimostrare che i dispositivi rispettano in modo costante i requisiti dei clienti e quelli regolatori.

La certificazione ISO 13485 è obbligatoria?

No, la certificazione è volontaria. Il regolamento MDR obbliga però ogni fabbricante ad avere un sistema di gestione della qualità, e la ISO 13485 è la norma armonizzata più usata per costruirlo. Per terzisti e distributori la certificazione è spesso un requisito contrattuale chiesto dai fabbricanti clienti.

La ISO 13485 sostituisce la marcatura CE?

No. La certificazione ISO 13485 riguarda il sistema qualità dell'azienda, mentre la marcatura CE riguarda la conformità del singolo dispositivo al regolamento MDR. Per la maggior parte delle classi di rischio la marcatura richiede la valutazione di un organismo notificato, che rilascia un certificato UE distinto dal certificato ISO.

Che differenza c'è tra ISO 13485 e ISO 9001?

Entrambe sono norme sui sistemi qualità, ma la ISO 13485 è orientata alla conformità regolatoria e alla sicurezza del prodotto. Chiede più procedure documentate, un fascicolo per ogni tipo di dispositivo, gestione del rischio, validazione del software e gestione delle segnalazioni alle autorità. Inoltre non segue la struttura comune delle norme ISO sui sistemi di gestione, e include un allegato di corrispondenza con la ISO 9001.

Un distributore di dispositivi medici può certificarsi ISO 13485?

Sì. La norma si applica a chiunque partecipi a una fase del ciclo di vita del dispositivo, inclusi stoccaggio e distribuzione. Un distributore può dichiarare non applicabili i requisiti legati alla progettazione e alla produzione, motivando la scelta, e concentrarsi su magazzino, tracciabilità, gestione dei reclami e richiami.

Quanto dura la certificazione ISO 13485?

Il certificato ha un ciclo di tre anni. In questo periodo l'organismo di certificazione svolge audit di sorveglianza almeno annuali e, alla scadenza, un audit di ricertificazione. Per mantenere il certificato il sistema deve restare attivo e aggiornato, con evidenze su reclami, azioni correttive, fornitori e gestione del rischio.

Quanto costa ottenere la ISO 13485?

Non esiste un costo standard. Dipende dal numero e dalla classe dei dispositivi, dalle fasi del ciclo di vita coperte, dal numero di sedi e di persone, dalle lavorazioni affidate all'esterno e da quanto il sistema è già strutturato. Il modo più affidabile per saperlo è partire da un'analisi iniziale e chiedere un preventivo su misura.