Chi lavora nella qualità dei dispositivi medici sente nominare la ISO 14971 quasi sempre insieme alla ISO 13485, come se fossero due facce della stessa medaglia. In parte lo sono: la seconda chiede un sistema di gestione qualità basato sul rischio, la prima definisce come quel rischio va gestito nel concreto.
Cos’è la ISO 14971 e come si collega alla ISO 13485
La ISO 14971 è la norma internazionale che definisce il processo di gestione del rischio per i dispositivi medici, dalla progettazione fino al monitoraggio post-market. Non è un documento a sé stante: la ISO 13485 la richiama esplicitamente in più punti, perché un sistema di gestione qualità conforme deve dimostrare che il rischio viene identificato, valutato e ridotto in modo sistematico, non affrontato caso per caso.
Il collegamento con il regolamento MDR è altrettanto diretto. Il fascicolo tecnico di un dispositivo deve includere l’evidenza di un processo di risk management coerente con i requisiti della ISO 14971, e questo vale a prescindere dalla classe di rischio del prodotto, anche se il livello di approfondimento richiesto cambia molto tra un dispositivo di classe I e uno impiantabile.
Le fasi del processo di risk management
Il processo parte dall’identificazione dei pericoli: tutto ciò che potrebbe causare un danno, dal malfunzionamento meccanico a un errore d’uso prevedibile. Per ogni pericolo si stima la probabilità che si verifichi e la gravità del danno potenziale, e da questa combinazione si ricava il livello di rischio.
A questo punto entra in gioco la valutazione: se il rischio è accettabile secondo i criteri definiti dall’azienda, si documenta e si passa oltre. Se non lo è, servono misure di mitigazione, che possono agire sulla progettazione del dispositivo, sulle protezioni integrate o, come ultima risorsa, sulle informazioni fornite all’utilizzatore attraverso etichette e istruzioni d’uso.
Il processo non si chiude con l’immissione sul mercato. La ISO 14971 richiede una revisione continua del profilo di rischio, alimentata dai dati raccolti attraverso la sorveglianza post-market: reclami, segnalazioni di incidenti, feedback dal campo. Un rischio considerato accettabile al momento della progettazione può risultare diverso alla luce dell’uso reale del dispositivo.
Cosa verifica l’auditor durante l’audit
Durante un audit ISO 13485, verificare la gestione del rischio non significa controllare che esista un file di risk management. Significa capire se il processo è stato applicato davvero: se i pericoli identificati sono coerenti con il tipo di dispositivo, se le misure di mitigazione sono tracciabili, se il file viene aggiornato quando arrivano nuovi dati dal post-market.
Un errore frequente, che un auditor esperto individua subito, è la presenza di un documento di risk management scritto una volta in fase di progettazione e mai più toccato, nonostante il dispositivo sia sul mercato da anni e abbia generato reclami o segnalazioni nel frattempo.
Domande frequenti
È la norma internazionale che definisce il processo di gestione del rischio per i dispositivi medici, dall’identificazione dei pericoli alla valutazione, mitigazione e monitoraggio continuo del rischio durante tutto il ciclo di vita del prodotto.
La ISO 13485 richiede un sistema di gestione qualità basato sul rischio e richiama esplicitamente i principi della ISO 14971, che di fatto diventa un riferimento imprescindibile per soddisfare quel requisito.
Servono misure di mitigazione, che intervengono prima sulla progettazione del dispositivo, poi su eventuali protezioni integrate e, come ultima opzione, sulle informazioni fornite all’utilizzatore tramite etichette e istruzioni.
Sì. La ISO 14971 richiede una revisione continua, alimentata dai dati di sorveglianza post-market come reclami e segnalazioni di incidenti, per verificare che il profilo di rischio resti coerente con l’uso reale del dispositivo.
Vuoi capire come applicare la gestione del rischio ISO 14971 nella pratica dell’audit? Leggi il nostro approfondimento auditor ISO 13485.
