
Risikomanagement und risikobasierte Ansätze
Risikomanagement und risikobasierte Ansätze sind Schlüsselanforderungen während des gesamten Lebenszyklus von Medizinprodukten. Es beginnt bei der Entwicklung über die Markteinführung, fortlaufende Herstellung und Marktüberwachung und endet bei der Außerbetriebnahme.
1. Allgemeines
Die DIN EN ISO 14971 wurde das letzte Mal 2013 revidiert. Das geschah allerdings ohne Änderungen der zugrundeliegenden ISO 14971, sondern lediglich durch das Zufügen des nationalen bzw. europäischen Vorworts und der Anhänge ZA-ZC, welche sich mit der Übereinstimmung zwischen der Norm und den wesentlichen EU-Richtlinien beschäftigt.
Anforderungen an das Risikomanagement werden in verschiedenen für Medizinprodukte anwendbaren Normen und Regularien gestellt. Wichtig sind hierbei die ISO 14971 für Risikomanagement bei Medizinprodukten, die ISO 13485 für Anforderungen an Qualitätsmanagementsysteme für Medizinprodukte, die MDD Medizinprodukterichtlinie 93/42 EWG, die MDR Medizinprodukte-Verordnung (EU) 2017/745 und weitere Regularien verschiedener Länder, in denen ein Medizinprodukt auf den Markt gebracht wird.
2. Risikomanagement gemäß ISO 14971
Definition der Begriffe „Risiko“ und „Risikomanagement“:
Risiko: Kombination der Wahrscheinlichkeit des Auftretens eines Schadens und des Schweregrades dieses Schadens; [QUELLE: ISO 14971:2007, 2.16]
Risikomanagement: Systematische Anwendung von Managementstrategien, Verfahren und Praktiken auf die Aufgaben der Analyse, Bewertung, Beherrschung und Überwachung von Risiken [QUELLE: ISO 14971:2007, 2.22]
Risiken für die Sicherheit und Leistung eines Medizinproduktes können viele und sehr unterschiedliche Ursachen haben. Risikomanagement beginnt daher frühzeitig während der Produktentwicklung und begleitet ein Medizinprodukt über den gesamten Lebenszyklus bis zum Rückzug aus dem Markt.
2.1 Design des Produktes
Es können Risiken im Produktdesign liegen, weshalb die Design-Risikoanalyse eine essentielle Bedeutung in der Produktentwicklung und über den gesamten Lebenszyklus des Medizinproduktes hat. Es müssen alle potentiell möglichen Risiken für die Sicherheit und Leistung systematisch erfasst, analysiert und bewertet werden. Dann ist es nötig, jeweils risikominimierende Maßnahmen so weitgehend festzulegen, wie es nach dem Stand von Wissen und Technik möglich ist. Änderungen am Design eines Produktes erfordern stets die Einbeziehung des Risikomanagements, um sicherzustellen, dass mit der Änderung keine neuen Risiken entstehen können.
2.2 Prozesse zur Herstellung eines Produktes
Auch die Prozesse, die zur Herstellung eines Medizinproduktes eingesetzt werden, können Risiken für die Sicherheit und Leistung und damit für die Produktqualität bergen. Deshalb hat die Prozess-Risikoanalyse neben der Produktdesign-Risikoanalyse ebenfalls eine sehr hohe Bedeutung. Jeder Prozessschritt bei der Herstellung eines Medizinproduktes muss in einer oder mehreren Prozess-Risikoanalysen systematisch erfasst, bezüglich möglicher Risiken analysiert und bewertet werden. Hat ein Prozessschritt einen potentiellen Einfluss auf die Qualität des Produktes, sind auch hier risikominimierende Maßnahmen festzulegen und einzuführen, die geeignet sind Fehler im Prozess und damit letztendlich Produktfehler zu erkennen und auszuschließen.
Beispiele für risikominimierende Maßnahmen: Validierung von Prozessschritten auf zuvor qualifizierten Anlagen, Prozessparameterüberwachung an Anlagen (z. B. Temperaturen, Drücke, Alarmfunktionen an Anlagen), Anlagenwartung und Kalibrierung von Prüfmitteln, Inprozesskontrollen an Zwischenproduktstufen, 100 %-Verifizierung von Qualitätsmerkmalen von Zwischenproduktstufen bzw. am fertigen Produkt, Datenanalysen von Prozessparametern.
Sehr wichtig ist das Bewusstsein, dass es weitere Prozesse gibt, die einen Einfluss auf die Produktqualität nehmen können, auch wenn sie nicht direkte Herstellungsprozessschritte sind.
2.3 Beispiele für weitere Faktoren/Prozesse mit potentiellem Einfluss auf die Sicherheit und Leistung eines Medizinproduktes
Produktionsumgebung: Die Produktionsumgebung, in der ein Medizinprodukt gefertigt wird, kann einen erheblichen Einfluss auf die Qualität eines Produktes nehmen. Es hängt von der Art des Medizinproduktes ab, unter welchen Bedingungen es hergestellt werden soll, um die Leistung und Sicherheit des Medizinproduktes sicherzustellen. Festlegungen zur geforderten Reinheit der Umgebungsluft, Temperaturen und Feuchte sind wichtiger Bestandteil der Produkt- und Prozessentwicklung und werden in der Entwicklungsakte und in der Risikomanagement-Akte dokumentiert. Wenn besondere Anforderungen an die Reinheit der Umgebungsluft gestellt sind, kann die ISO 14644-1 für Reinraumklassen oder GMP-Klassifizierung angewendet werden. In den Normen für Reinräume sind wiederum weiterführende Informationen zu risikobasiertem Vorgehen zu entnehmen.
Prozessmedien: Während der Herstellung von Medizinprodukten können auch verschiedene Prozessmedien zum Einsatz kommen, zum Beispiel Druckluft, Wasser und Reinstdampf für Dampfsterilisation. Insbesondere wenn solche Medien oder auch Hilfsstoffe einen Produktkontakt während des Herstellprozesses haben oder gar im Produkt verbleiben, müssen Qualitätsmerkmale mit Grenzwerten für diese Medien festgelegt bzw. aus zutreffenden Normen entnommen und überwacht werden, um die geforderten Produkteigenschaften und die Prozessqualität sicherzustellen. Ebenso wie Produktionsumgebungsbedingungen (siehe 2.3) werden die Qualitätsanforderungen an diese Medien während der Produkt- und Prozessentwicklung festgelegt und in der Entwicklungsakte und in der Risikomanagement-Akte dokumentiert. Die jeweiligen Abteilungen oder Lieferanten, die Prozessmedien bereitstellen, erstellen in Zusammenarbeit mit Expertinnen und Experten für Risikoanalysen und der Qualitätsabteilung eigene spezifische Risikoanalysen für die Erzeugung des jeweiligen Prozessmediums, sodass die geforderte Qualität der Medien kontinuierlich bereitgestellt werden kann.
Lagerungsbedingungen: Angaben zur Lagerung und Haltbarkeit eines Medizinproduktes sind regulärer Bestandteil der Produktentwicklung. Aber was ist mit den Lagerungsbedingungen für Rohmaterialien, wenn der Lieferant keine Angaben zur Haltbarkeit oder zur Temperatur oder Feuchte macht? Oder wie lange und unter welchen Bedingungen dürfen Halbfertigteile lagern, bis sie zum Fertigprodukt weiterverarbeitet werden? Auch auf diese Themen sollte die Produkt- und Prozessentwicklung eingehen und Lösungen entwickeln und dokumentieren.
2.4 Qualitätsmanagementsystem
Um sichere und leistungsfähige Produkte entwickeln, herstellen und in Verkehr bringen zu können, bedarf es eines effektiven Qualitätsmanagementsystems und gute Kenntnisse über alle zutreffenden normativen/regulatorischen Anforderungen einschließlich produktspezifischer Anforderungen und Normen. Fehlende oder unvollständige Anforderungen im QM-System können Auswirkungen auf die Qualität eines Medizinproduktes haben, die wiederum zu einem Schaden für Patienten, Anwender und Dritte führen können. Deshalb wird von Medizinprodukteherstellern erwartet, dass sie das QM-System ständig überprüfen und an die zutreffenden Anforderungen anpassen. Das Qualitätsmanagementsystem muss gemäß ISO 13485 zwingend Entwicklungsprozesse beinhalten, wenn es eigene Produktentwicklungen gibt, und stets einen Risikomanagement-Prozess. Nur wenn diese Prozesse vollständig, gut etabliert und trainiert sind, sind sichere und effektive Medizinprodukte in Übereinstimmung mit allen regulatorischen Anforderungen möglich.
3. Risikobasierte Ansätze gemäß ISO 13485:2016 - praktische Anwendung der Anforderungen
In der ISO 13485 wurden mit der Normenänderung 2016 Anforderungen an die Anwendung risikobasierter Ansätze integriert. Doch was bedeutet das, und wie sind diese Anforderungen umzusetzen? In der Einleitung der ISO 13485:2016 Kapitel 0.2 wird klargestellt, in welchem Zusammenhang bestimmte Begriffe verwendet werden. Hier sind Begrifflichkeiten definiert, die für das Verständnis eines risikobasierten Ansatzes nicht immer ausreichend hilfreich sind. Sie verdeutlichen aber, dass sich die Anforderung nach risikobasierten Ansätzen nicht allein auf das Produkt- und Produktionsprozess-Risikomanagement bezieht, sondern auch auf Qualitätsmanagementprozesse und mögliche regulatorische „Noncompliance“.
Ein aktuelles Thema, von dem zurzeit viele Behörden, Benannte Stellen und Unternehmen sprechen, ist der risikobasierte Ansatz. In der seit 2016 aktuellen Ausgabe der DIN EN ISO 13485 wird dieser Begriff erwähnt, jedoch erfolgt keine genaue Definition oder wie dieser risikobasierte Ansatz umzusetzen ist.
Viele Unternehmen stehen vor der Frage, ob sich der risikobasierte Ansatz nur auf Produktionsprozesse oder auf alle Prozesse bezieht. Zudem wirft es die Frage auf, ob sich die Risikobewertung nach Produkt- und Patientensicht oder nach Geschäftsinteressen richten soll.
In der DIN EN ISO 13485 werden keine konkreten Anforderungen gestellt, wie und wo der Hersteller den risikobasierten Ansatz darstellen soll. In den einzelnen Kapiteln gibt es aber jeweils Hinweise, dass der risikobasierte Ansatz zu verwenden ist. Letztendlich fordert und erlaubt die ISO 13485 die Anpassung von Aufwänden an potentielle Risiken. Der Hersteller ist nun gefordert, risikobasierte Ansätze für verschiedene Prozesse zu entwickeln und seine Aktivitäten beim Messen, Analysieren und Verbessern an die Ergebnisse der Risikobetrachtungen anzupassen.
Die Schwierigkeit besteht darin, diese Hinweise zu finden, da diese nicht immer direkt gegeben werden wie z. B. in Abs. 4.1.2 b) „Die Organisation muss einen Risikobasierten Ansatz für die Lenkung von geeigneten Prozessen anwenden …“ Das bedeutet gleichzeitig, dass nicht für alle Prozesse risikobasierte Ansätze erforderlich sind, sondern nur für geeignete Prozesse, zum Beispiel internes Audit, Wartungsaktivitäten und -intervalle oder risikobasierte Prüfungen/Tests.
Risikobasierte Ansätze müssen sich gemäß ISO 13485-Anforderungen im Qualitätsmanagementsystem wiederfinden bei:
- Lenkung interner Prozesse (Kapitel 4)
- Lenkung ausgelagerter Prozesse und Entscheidungen über Auslagerung (Kapitel 4)
- Validierung von computerisierten Systemen (CSV) (Kapitel 4)
- Überprüfung der Wirksamkeit von Schulungen (Kapitel 6.2)
- Entwicklung von Produkten (Kapitel 7.1 – 7.3)
- Beurteilung und Auswahl von Lieferanten (Kapitel 7.4)
- Kontrolle der Lieferanten einschließlich Verifizierung von beschafften Produkten (Kapitel 7.4)
- Validierung von Prozessen und Computersoftware (Kapitel 7.5 und 7.6)
- Verhindern ungewollter Resultate durch Verbessern des QM-Systems (Kapitel 8)
Teilweise werden Hinweise auf risikobasierte Ansätze nur indirekt durch Anmerkungen in verschiedenen Kapiteln der ISO 13485 gegeben wie z. B. in Abs. 8.2.4 „Anmerkung: Für weitere Informationen siehe ISO 19011“.
Bei der Norm ISO 19011 handelt es sich um einen Leitfaden zur Auditierung von Managementsystemen. In dieser Norm wird dann ein direkter Hinweis gegeben. Abs. 6.3.2.1 „Risikobasierter Ansatz der Planung: Der Auditteamleiter sollte einen risikobasierten Ansatz für die Planung des Audits auf der Grundlage der Informationen im Auditprogramm und der von der Audierten Organisation bereitgestellten Informationen verfolgen.“
Da diese Hinweise keine konkreten Vorgaben geben, wie der risikobasierte Ansatz umzusetzen ist, gibt es an dieser Stelle einen relativ kreativen Freiraum, wie dieser Ansatz dargestellt werden kann.
Den in ISO 13485 geforderten risikobasierten Ansatz schrittweise umzusetzen, bedeutet im Wesentlichen:- Risiken pro Prozess identifizieren
Dazu können im QM-Handbuch oder einem anderen Q-Dokument alle relevanten Prozesse aufgelistet und die damit verbundenen Risiken identifiziert werden, siehe Beispiel Tabelle 1. Risiken im Sinne der ISO 14971 und auch regulatorische Risiken sollten dabei nicht unberücksichtigt bleiben. - Maßnahmen festlegen
In einer weiteren Spalte der in Schritt a) genannten Tabelle können die Maßnahmen ergänzt werden, mit denen die Risiken beherrscht werden sollen. - Festlegen von Risikoklassen
- Anpassen der Maßnahmen an die Risikoklasse
Beispiel für die risikobasierte Planung interner Audits: Zwei praktische Beispiele für eine mögliche Umsetzung des risikobasierten Ansatzes sollen im Folgenden anhand des Risikomanagements selbst und der Planung von internen Audits dargestellt werden:
Die in der ISO 19011 erwähnte Grundlage der bereitgestellten Informationen der Organisation können z. B. aus dem Auditbericht der Benannten Stelle, aus internen CAPA-Maßnahmen, Reklamationen oder aus den regulatorischen Anforderungen der jeweiligen Vertriebsgebiete erfolgen. Auch die Ergebnisse vorangegangener interner oder externer Audits wie Behördenaudits, Third Party Audits, konzerninterne standortübergeordnete Audits sollten für ein risikobasiertes internes Auditprogramm herangezogen werden.
Für die Anforderungen aus Vertriebsgebieten in anderen Ländern bietet sich das MDSAP „Companion Document“ an, das als Checkliste für die entsprechenden Anforderungen verwendet werden kann. Mit der Einbindung des Dokuments in das eigene interne Audit kann das Risiko von regulatorischen „Nonkonformitäten“ in bestimmten Vertriebsländern gesenkt werden, indem diese mit auditiert werden.
Gem. der DIN EN ISO 13485 Abs. 8.2.4 muss in geplanten Abständen ein internes Audit durchgeführt werden. Dies kann für die Umsetzung des risikobasierten Ansatzes so verstanden werden, dass Prozesse, die stärker risikobehaftet sind als andere, oder Prozesse, in denen Auffälligkeiten vorgekommen sind, in einem kleineren geplanten Intervall auditiert werden, als die Prozesse in denen keine Auffälligkeiten festgestellt werden konnten.
Hierfür bietet sich an, die Prozesse, die gem. der DIN EN ISO 13485 schon im QM-Handbuch dargestellt sind, mit einer entsprechenden Risikobewertung in tabellarischer Form zu ergänzen. Das könnte so dargestellt werden, dass alle Unternehmensprozesse den entsprechenden Normkapiteln bzw. Anforderungen gegenübergestellt werden und mit den jeweiligen erkannten Risiken und den entsprechenden Risikominimierungsmaßnahmen ergänzt werden.
Tabelle 1: Beispiele für Qualitätsmanagementprozesse und mögliche Risiken
SEP / Prozess | Normanforderung | Beispiele für Risiken |
---|---|---|
Lenkung von Dokumenten | 4.2 Dokumentationsanforderung | Veraltete Prüfblätter werden genutzt |
Entwicklung | 7.3 Entwicklung | Produkt entspricht nicht den regulatorischen Anforderungen |
Verpackung | 7.5 Produktion und Dienstleistungserbringung | Produktkontamination |
Qualitätsmanagementsystem - Lieferantenmanagement bei ausgelagerten Prozessen (outsourcing) |
4.1.5 (Allgemeine Anforderungen an das QM-System) | Lieferant nimmt Änderungen vor ohne diese vor Einführung zu kommunizieren |
Qualitätsmanagementsystem - Computersoftwarevalidierun | 4.1.6 (Allgemeine Anforderungen an das QM-System) | Qualitätsrelevante Software ist nicht validiert, mögliche Risiken: Datenübertragung/ Datenspeicherung nicht korrekt, falsche Berechnungen, Rückverfolgbarkeit nicht vollständig |
Wartungstätigkeiten | 6.3 Infrastruktur | Wartungsintervalle sind nicht festgelegt oder werden nicht eingehalten; Zu viele bzw. zu wenig Wartungsaktivitäte |
Änderungskontrolle | 7.3.9 Lenkung von Entwicklungsänderungen | Änderungen werden unkontrolliert eingeführt; Einfluss von geplanten Änderungen auf Sicherheit und Leistung von Produkten, auf Konformität mit regulatorischen Anforderungen, ... wird nicht oder unzureichend analysie |
Qualitätsmanagementsystem - Beschaffungsprozess | 7.4.1 Beschaffungsprozess | Lieferant nimmt Änderungen vor ohne diese vor Einführung zu kommunizieren; Es wird nicht die vereinbarte Qualität geliefert; Lieferant arbeitet mit veralteter Spezifikation |
Qualitätsmanagementsystem – Reklamationen und Marktüberwachung | 8.2.1 Rückmeldunge | Daten aus Reklamationen und weiteren Informationen aus dem Markt gehen nicht in das Risikomanagement ein |
Ein weiterer Schritt wäre die Darstellung, wie risikobehaftet ein Prozess ist. Diese Darstellung könnte ebenfalls in einer tabellarischen Form angegeben werden.
Tabelle 2: Beispiel für die Bewertung von Schweregrad und Auftretenswahrscheinlichkeit von Risiken innerhalb von Prozessen

Durch die Identifizierung der Risiken mit den entsprechenden Maßnahmen und der Zuordnung in Risikoklassen kann die Auditfrequenz der einzelnen Prozesse in der Auditplanung festgelegt werden und mit einem dokumentierten risikobasierten Ansatz begründet werden.
Die Prozesse Verpackung und Entwicklung wurden in diesem Beispiel als kritischer eingestuft als der Prozess Lenkung von Dokumenten. In dem Auditplan könnte also festgelegt werden, dass Lenkung von Dokumenten innerhalb einer Zertifikatslaufzeit nur einmal auditiert wird, während die beiden Prozesse Verpackung und Entwicklung einmal jährlich auditiert werden, solange keine Auffälligkeiten im Management Review oder CAPA-Management festgestellt wurden. Für Auffälligkeiten, z. B. aus den Datenanalysen des Managementreviews, Abweichungen im Herstellungsprozess, CAPA-Prozess, Reklamationen können Kennzahlen (Trigger) definiert werden, ab deren Über- oder Unterschreitung die Auditfrequenz für den entsprechenden Prozess, in dem die Auffälligkeiten vorkommen, erhöht bzw. verringert werden kann.
Unter der Voraussetzung, dass alle anwendbaren Normanforderungen innerhalb der Zertifikatslaufzeit mindestens einmal auditiert werden, kann das in der Vergangenheit häufig angewendete komplette jährliche interne Systemaudit risikobasiert auf einzelne und flexibler gestaltete Prozessaudits reduziert werden und somit der Auditumfang und Aufwand verringert werden.
4. Zusammenfassung
Risikomanagement nach ISO 14971 und Anwendung risikobasierter Ansätze im Sinne der ISO 13485 meinen gemäß Definitionen, die in den Normen gegeben sind, unterschiedliche Aktivitäten zu völlig unterschiedlichen Themen. Dennoch gibt es große Gemeinsamkeiten:
- Aufspüren, Analysieren, Bewerten von möglichen Risiken
- Festlegen risikominimierender Maßnahmen
- Bewertung zur Akzeptanz von Restrisiken
Im Risikomanagement nach ISO 14971 und auch bei der Einführung und Umsetzung von risikobasierten Ansätzen nach ISO 13485 kann qtec kompetente Unterstützung geben. Sprechen Sie uns an. Das qtec-Experten-Team hat sich intensiv in diese Thematik eingearbeitet. Wir beantworten gern Ihre Fachfragen rund um Risikomanagement und risikobasierte Ansätze.
Unter der Voraussetzung, dass alle anwendbaren Normanforderungen innerhalb der Zertifikatslaufzeit mindestens einmal auditiert werden, kann das in der Vergangenheit häufig angewendete komplette jährliche interne Systemaudit risikobasiert auf einzelne und flexibler gestaltete Prozessaudits reduziert werden und somit der Auditumfang und Aufwand verringert werden.
Unser Expertenwissen für Ihren Erfolg
Wir haben fundiertes Fachwissen bei der Zulassung von Medizinprodukten weltweit. Stellen Sie uns Ihre Fragen – wir geben konkrete Antworten und stellen auf Wunsch ein Projekt-Team für Sie zusammen.