ISO 13485 ve MDR ilişkisi: kalite sistemi neden ön koşul?

Mühendislik tarafını hakkıyla tamamlamış bir üretici düşünün. Ürün çalışıyor, teknik dokümantasyon yüzlerce sayfa, test raporları temiz ve Onaylanmış Kuruluş denetimi takvime girmiş. Sonra denetim tıkanıyor. Sebep bir tasarım hatası değil: son tasarım değişiklikleri değişiklik kontrolünden geçmemiş, iki kritik tedarikçi yeniden değerlendirilmeden değiştirilmiş ve bir yıllık piyasa geri bildirimi risk dosyasına işlenmek yerine bir e-posta kutusunda bekliyor. Teknik dosya belirli bir anın fotoğrafıydı. Onu güncel ve tutarlı tutması gereken kalite sistemi ise hiç gerçek anlamda işletilmemişti.

Bu tablo sık karşımıza çıkıyor ve kökeninde tek bir yanlış okuma var: ISO 13485 ile AB Tıbbi Cihaz Tüzüğü'nü (Regulation (EU) 2017/745, kısaca MDR) birbirinden ayrı iki proje gibi görmek. Oysa değiller. Kalite yönetim sistemi, MDR uygunluğunun ön koşuludur; cihaz dosyası ise bu sistemin ürettiği çıktılardan yalnızca biridir. Sırayı doğru kurarsanız belgelendirme denetimi büyük ölçüde zaten kontrol altındaki işi teyit eder. Yanlış kurarsanız, önleyebileceğiniz bulgulara karşı düzeltici faaliyet yazmakla yılın önemli bir bölümünü geçirirsiniz.

MDR, kalite sistemini yasal bir zorunluluğa dönüştürür

MDR'nin 10(9) maddesi bu konuda nettir. Üretici; bir kalite yönetim sistemini kurmak, belgelemek, uygulamak, sürdürmek, güncel tutmak ve sürekli iyileştirmek zorundadır. Madde, bu sistemin neleri kapsaması gerektiğini de sıralar: mevzuata uygunluk stratejisi, geçerli Genel Güvenlik ve Performans Gerekliliklerinin belirlenmesi, üst yönetimin sorumluluğu, kaynak ve tedarikçi yönetimi, risk yönetimi, klinik değerlendirme, piyasaya arz sonrası gözetim, vijilans bildirimleri ve düzeltici-önleyici faaliyetler. Bunların hiçbiri isteğe bağlı değildir ve hiçbiri bir kez sunulup unutulan bir belge değildir.

Onaylanmış Kuruluş cihazınızı değerlendirirken kalite sistemini de teknik dokümantasyonla birlikte değerlendirir. Sistem ayakta duramıyorsa, ürünün arkasındaki mühendislik ne kadar güçlü olursa olsun belge düzenlenmez. Kalite sistemini paralel bir ayrıntı değil, bir ön koşul yapan da budur. ISO 13485, bu sistemi kurmanın ve bir denetçiye işlediğini göstermenin uluslararası kabul görmüş yoludur; Avrupa pazarına giren üreticilerin çoğu da 13485'i sonradan eklenecek bir adım olarak değil, ilk hamle olarak ele alır.

Burada belirleyici olan nokta, belgenin tek seferlik bir onay değil, sürmekte olan bir uygunluğun teyidi olmasıdır. Onaylanmış Kuruluş kalite sistemini hem ilk belgelendirmede inceler hem de yıllık gözetim denetimleriyle izlemeyi sürdürür; çoğu cihaz sınıfı için seçilen uygunluk değerlendirme yolu doğrudan kalite sisteminin denetimine dayanır. Bu yüzden zayıf işleyen bir sistem yalnızca ilk denetimi değil, sonraki her gözetimi de tehlikeye atar. Kalite sistemini önce kurmak, dolayısıyla tek bir denetimi geçmenin değil, CE işaretini cihazın ömrü boyunca ayakta tutmanın da koşuludur.

ISO 13485 ile MDR'nin aynı yöne baktığı yerler

ISO 13485'in 2016 revizyonu mevzuat beklentileri göz önünde tutularak hazırlandı ve 10. madde ile örtüşmesi geniştir. Üst yönetim sorumluluğu, doküman ve kayıt kontrolü, tasarım ve geliştirme kontrolleri, satın alma ve tedarikçi değerlendirmesi, proses validasyonu, şikâyet yönetimi, iç tetkik, yönetim gözden geçirmesi ve düzeltici-önleyici faaliyet; tümü MDR'nin tanımladığı yükümlülüklere karşılık gelir. Avrupa Birliği'nde EN ISO 13485:2016 uyumlaştırılmış bir standarttır ve Ek ZA'sı, kapsadığı kalite sistemi gereklilikleri için taşıdığı uygunluk varsayımını ortaya koyar.

Sade bir ifadeyle, 13485'e uygun bir kalite sistemi, tüzüğün sizde zaten bulunduğunu varsaydığı omurgadır; uyumlaştırılmış ek, hangi gereklilikleri karşıladığını dahi adıyla belirtir. Bu örtüşme, sağlam bir 13485 uygulamasının uygunluk değerlendirmesindeki sürtünmeyi neden bu kadar azalttığını açıklar. Denetçi, MDR incelemesi sırasında süreçlerinizle ilk kez tanışmaz; hâlihazırda işlettiğiniz bir sistemin, tüzüğün ihtiyaç duyduğu işi yapıp yapmadığını teyit eder.

ISO 13485'in bittiği, MDR'nin devam ettiği yer

Örtüşme, eşdeğerlik demek değildir; fark da hazırlıksız üreticilerin zaman kaybettiği yerdir. Tek başına bir 13485 belgesi, MDR'nin her yükümlülüğünü karşılamaz. Tüzük, standardın ya hafifçe değindiği ya da hiç adlandırmadığı süreçler ekler ve kalite sisteminin bunların her birini sahiplenecek biçimde genişletilmesi gerekir.

En açık örnek klinik değerlendirmedir. ISO 13485 tasarım geçerli kılmayı ister; MDR ise 61. madde ve Ek XIV kapsamında bir klinik değerlendirme planı ve raporu, cihaz sınıfına uygun klinik kanıt ve piyasaya arz sonrası klinik takip programı ister. Piyasaya arz sonrası gözetim ikinci örnektir: standardın 8.2.1 maddesi geri bildirim ve izleme beklerken, 83 ila 86. maddeler planlı bir gözetim sistemi, periyodik güvenlik güncelleme raporları ve eğilim raporlaması ister. Vijilans ise ciddi olaylar ve saha güvenliği düzeltici faaliyetleri için 87 ila 92. maddeler kapsamında sabit bildirim süreleri getirir.

Bunların üstüne, ISO karşılığı hiç bulunmayan yükümlülükler biner. MDR; 15. madde uyarınca atanmış bir Mevzuat Uyumundan Sorumlu Kişi (PRRC), 27 ila 31. maddeler kapsamında Tekil Cihaz Tanımlaması (UDI) ve EUDAMED kaydı, implant edilebilir ve sınıf III cihazlar için ise bir Güvenlik ve Klinik Performans Özeti talep eder. Her şeyin altında Ek I'deki Genel Güvenlik ve Performans Gereklilikleri yer alır. Eski direktifler temel gerekliliklerden söz ederken, MDR geçerli her gerekliliğin karşılandığına dair belgelenmiş kanıt bekler; bu kanıtı üreten ve tasarım ile klinik tablo değiştikçe güncel tutan da kalite sistemidir.

Entegrasyonun özü basittir. Bunların hiçbiri kalite sisteminin alternatifi değildir. Hepsi, sisteme tasarımdan itibaren yerleştirilmesi gereken modüllerdir; böylece bir klinik değerlendirme güncellemesi, bir periyodik güvenlik güncelleme raporu ya da bir UDI kaydı, denetimden bir hafta önce elle derlenmek yerine kontrollü bir prosedürle üretilir.

Tedarikçi kontrolü bu farkın somut bir örneğidir. ISO 13485 satın alma kontrolleri ve tedarikçi değerlendirmesi ister; MDR ise kritik tedarikçiler ve dışarıya yaptırılan süreçler için daha sıkı bir gözetim, açık sözleşmesel yükümlülükler ve zincir boyunca izlenebilirlik bekler. Aynı süreç alanı her iki çerçevede de bulunur, ancak MDR çıtayı yükseltir; kalite sisteminizin tedarikçi onayı ve izleme adımları bu yükseltilmiş beklentiye göre yeniden boyutlandırılmalıdır.

Neden önce kalite sistemi kurulmalı

Her MDR çıktısı bir sürecin sonucudur. Klinik değerlendirme; tanımlı girdileri, yazarları ve gözden geçirmesi olan bir prosedürdür. Teknik dokümantasyon, doküman kontrolü altında tutulan kayıtlar bütünüdür. Piyasa sonrası veriler, düzeltici faaliyeti ve tasarım değişikliğini besler. ISO 14971'e göre risk yönetimi bir kez kapatılan bir dosya değildir; MDR, fayda-risk değerlendirmesinin gerçek dünya verileriyle güncel tutulmasını ister. Bu süreçleri yürüten sistem yerinde değilse, cihaz dosyası bir kerelik bir belgeye dönüşür ve bir şey değiştiği anda güncelliğini yitirir.

Denetçiler bu kaymayı çabuk görür. Birbirini tutmayan kayıtlar, etki değerlendirmesi yapılmamış bir tasarım değişikliği, değerlendirilmeden değiştirilen bir tedarikçi, risk dosyasına hiç ulaşmamış bir şikâyet; bunların her biri, işin kendisi için değil belge için kurulmuş bir sistemin işaretidir. Önce kalite sistemini kurmak, uygunluğu sürekli kılan şeydir; öyle ki bir denetçinin üçüncü yılda açtığı dosya, banttan inen ürünle hâlâ örtüşür.

Sıra tersine döndüğünde, yani önce teknik dosya hazırlanıp kalite sistemi sonradan eklenmeye çalışıldığında, çoğu zaman birbiriyle konuşmayan iki ayrı yapı ortaya çıkar. Dosyadaki kararlar ile sahadaki uygulama zamanla ayrışır ve denetçi bu boşluğu ilk saatlerde fark eder. Sistemi önce kurmak ise teknik dosyayı sistemin doğal bir çıktısına dönüştürür.

Denetimlerde en sık görülen başarısızlık örüntüleri

Birkaç tekrar eden örüntü, MDR'yi temiz geçen firmaları tıkananlardan ayırır:

• Hiç buluşmayan iki proje. Bir danışman teknik dosyayı toplarken bir başkası prosedürleri yazar ve ikisi de sahada gerçekte olanla örtüşmez.
• Belgelenmiş ama yaşatılmayan sistem. Prosedürler, ekibin aslında uygulamadığı ideal bir süreci anlatır; deneyimli bir denetçi bunu saatler içinde fark eder.
• Donmuş risk yönetimi. Risk dosyası bir kez tamamlanıp rafa kaldırılır; piyasa sonrası verilerle güncellenen canlı bir fayda-risk dengesinin yerini tutmaz.
• Tepkisel piyasa gözetimi. PMS, MDR'nin tarif ettiği planlı ve proaktif sistem yerine olay sonrası şikâyet yönetimi gibi yürütülür.
• Zayıf tedarikçi kontrolü. Daha hafif bir rejime göre boyutlanmış satın alma kontrolleri, MDR'nin kritik tedarikçiler ve dışarıya yaptırılan süreçler için beklentisini karşılamaz.

Önce kalite sistemi yaklaşımının getirisi

Sistemi öne almak, önemli olan yerlerde geri döner: daha kısa bir Onaylanmış Kuruluş incelemesi, belgelendirme denetiminde daha az uygunsuzluk ve gözetim denetimleri boyunca, cihazın tüm yaşam döngüsünde ayakta kalan bir tıbbi cihaz CE belgesi. Aynı omurga başka pazarlara da iyi taşınır. Bir pazar için genişletilmiş bir 13485 sistemi, diğerlerine giden yolun çoğunu kat etmiştir; tek bir MDSAP denetiminin aynı anda birden çok otoriteyi karşılayabilmesinin nedeni de budur. Kalite sistemini MDR için gerçekten işler kılmak adına harcanan emek nadiren boşa gider; her yeni pazarın üzerine inşa edildiği temel odur.