Risikomanagement bei Medizinprodukten: ISO 14971 anwenden

Ein Prüfer einer Benannten Stelle erkennt meist innerhalb der ersten Stunde, ob ein Hersteller das Risikomanagement als Ingenieursarbeit oder als Papierkram betrachtet. Er öffnet die Risikomanagementakte, wählt eine einzelne Gefährdung und verfolgt deren Spur: Wo wurde sie identifiziert, welche Maßnahme wurde ergriffen, wurde diese verifiziert, welches Restrisiko blieb, und belegt die klinische Evidenz weiterhin, dass der Nutzen das Risiko überwiegt. Hält diese Spur für jede Gefährdung, erfüllt die Akte ihren Zweck. Reißt sie ab, retten auch die saubersten Vorlagen die Einreichung nicht.

ISO 14971 ist die Norm, die diese Spur zusammenhält, und sie gut anzuwenden ist eine andere Fähigkeit, als ihren Wortlaut zu kennen. Die Anforderungen sind kurz. Die Disziplin, die sie über einen Produktlebenszyklus verlangen, ist es nicht.

Die Risikomanagementakte ist ein System, kein Dokument

ISO 14971:2019 verlangt kein einzelnes Risikodokument. Sie verlangt eine Risikomanagementakte, also die Gesamtheit der Aufzeichnungen, die gemeinsam belegen, dass Risiken über den Lebenszyklus identifiziert, beherrscht und akzeptiert wurden. Diese Akte verzeichnet den Risikomanagementplan, die Aufzeichnungen der Risikoanalyse, den Nachweis, dass jede Maßnahme umgesetzt und wirksam ist, die Bewertung des Gesamtrestrisikos und den Risikomanagementbericht, der die Akte vor der Freigabe abschließt. Sie ist ein Verzeichnis mit Rückverfolgbarkeit, kein Ordner, der eine Woche vor dem Audit zusammengestellt wird.

Der größte Teil der Disziplin steckt im Plan. Er legt den Geltungsbereich fest, die Verantwortlichkeiten, die Kriterien für die Risikoakzeptanz, die Methode zur Beurteilung des Gesamtrestrisikos und die Art und Weise, wie Informationen aus Herstellung und Phase nach dem Inverkehrbringen zurückfließen. Prüfer lesen zuerst den Plan, denn alles Weitere wird daran gemessen. Tauchen die Akzeptanzkriterien im Plan nirgends auf, erscheint aber später in einer Tabelle eine generische 5-mal-5-Matrix, ist die Botschaft eindeutig: Die Kriterien wurden nachträglich so zurechtgelegt, dass die Bewertungen im grünen Bereich landen.

Bauen Sie die Analyse auf Gefährdungen auf, nicht auf einer Fehlerliste

Der häufigste strukturelle Fehler besteht darin, eine Design-FMEA durchzuführen, die Felder einzufärben und das Ganze Risikomanagement zu nennen. Eine FMEA ist ein nützliches Werkzeug, doch sie setzt bei Fehlerarten an und übersieht daher jede Gefährdung, die nichts mit dem Ausfall einer Komponente zu tun hat. Ein korrekt verwendetes Gerät kann auch in der Hand eines geschulten Anwenders und ohne jeden Fehler Schaden verursachen: durch eine scharfe Kante, einen aus dem Material austretenden Stoff oder eine verwirrende Anzeige, die zur falschen Dosis verleitet. ISO 14971 ist gefährdungsorientiert. Sie beginnen bei der Zweckbestimmung und den sicherheitsbezogenen Merkmalen und identifizieren dann die Gefährdungen, die Gefährdungssituationen, die Menschen ihnen aussetzen, und die möglichen Schäden.

Der vernünftigerweise vorhersehbare Fehlgebrauch gehört als primäre Eingangsgröße in diese Analyse, nicht als Fußnote. Die Revision von 2019 hat dies ausdrücklich betont, weil Behörden den Anwendungsfehler als eine der häufigsten Schadensursachen sehen. Hier müssen die Gebrauchstauglichkeit nach IEC 62366-1 und die Risikoakte miteinander sprechen. Eine nutzungsbezogene Gefährdung, die in der formativen Bewertung auftaucht, ist eine Risikoeingabe, und jede Maßnahme, die darauf beruht, dass der Anwender eine Warnung liest, ist genau das, was die Gebrauchstauglichkeitsprüfung unter Druck setzen sollte.

Bei der Schätzung der Wahrscheinlichkeit halten es viele Teams für klarer, sie so aufzuteilen, wie es ISO/TR 24971 beschreibt: P1, die Wahrscheinlichkeit, dass eine Gefährdungssituation eintritt, und P2, die Wahrscheinlichkeit, dass diese Gefährdungssituation zu einem Schaden führt. Die Trennung beendet die bekannte Pattsituation, in der sich alle einig sind, dass ein Fehler selten ist, aber niemand gefragt hat, wie oft dieser Fehler tatsächlich jemanden verletzt.

Die Logik verschiebt sich je nach Gerätetyp. Bei einem In-vitro-Diagnostikum ist der Schaden fast immer indirekt, denn das Gerät berührt den Patienten selten, aber ein falsches oder verspätetes Ergebnis steuert die klinische Entscheidung, die ihn berührt. Die Risikoakte für Diagnostika aufzubauen bedeutet, diesen indirekten Weg nachzuzeichnen, vom falschen Ergebnis über die Fehldiagnose oder die verzögerte Behandlung bis zum Patienten, und genau so erwartet der Rechtsrahmen für In-vitro-Diagnostika die Risikobegründung.

Die Risikobeherrschung folgt der Reihenfolge der Norm, nicht der günstigsten

ISO 14971 und die MDR verlangen beide die Maßnahmen zur Risikobeherrschung in einer festen Rangfolge. Zuerst die inhärent sichere Konstruktion und Herstellung. Dann Schutzmaßnahmen im Gerät oder im Herstellungsprozess. Zuletzt Informationen zur Sicherheit, also Warnhinweise, Kennzeichnung und, wo sinnvoll, Schulung. Diese Reihenfolge ist keine Präferenz. Ein Prüfer hinterfragt einen Warnhinweis dort, wo eine Konstruktionsänderung möglich gewesen wäre, denn ein Hinweis ist die schwächste und am leichtesten zu übergehende Maßnahme. Teams, die zur Gebrauchsanweisung greifen, sobald eine Neukonstruktion unbequem wird, sammeln schnell Abweichungen.

Zwei Prüfungen werden häufiger übersprungen als alle anderen. Jede Maßnahme muss sowohl auf Umsetzung als auch auf Wirksamkeit verifiziert werden, und jede Maßnahme muss auf neue Risiken untersucht werden, die sie selbst einführt. Eine Schutzvorrichtung, die eine Verletzung verhindert, aber einen Finger einklemmt, hat das Gesamtrisiko nicht gesenkt, sondern verlagert. Sind die Maßnahmen umgesetzt, bewerten Sie das Restrisiko jeder Gefährdungssituation und danach das Gesamtrestrisiko des Geräts, das mehr ist als die Summe der einzelnen Zeilen.

Eine Feinheit trennt den europäischen Weg von alten Gewohnheiten. Die MDR verlangt, Risiken so weit wie möglich und ohne Rücksicht auf die Kosten zu reduzieren, was strenger ist als der Gedanke einer möglichst geringen, vertretbaren Risikohöhe, den manche Altakten noch tragen. ISO 14971:2019 bleibt in wirtschaftlichen Fragen neutral und überlässt die Akzeptanz Ihren definierten Kriterien, während ISO/TR 24971 erläutert, wie sich beides vereinbaren lässt. Wenn Sie nach Europa verkaufen, formulieren Sie Ihre Kriterien nach dem Maßstab so weit wie möglich und halten Sie jedes Kostenargument aus der Begründung heraus.

Die Nutzen-Risiko-Analyse ist der Punkt, an dem die Akte auf die klinische Evidenz trifft

Die Nutzen-Risiko-Analyse ist der Teil, den Teams am ehesten zu knapp halten. In der Revision von 2019 ist sie eine definierte Tätigkeit, und sie wird nicht erst ausgelöst, wenn ein Restrisiko hoch erscheint. Sie wägen die Restrisiken einzeln und insgesamt gegen den klinischen Nutzen des Geräts ab und halten die Begründung fest. Die Nutzenseite stammt nicht aus dem Ingenieursurteil. Sie stammt aus klinischen Daten, was bedeutet, dass die Risikomanagementakte und der klinische Bewertungsbericht übereinstimmen müssen.

Das ist die Verbindung, die Einreichungen am häufigsten falsch knüpfen. Die in der Risikoakte aufgeführten Gefährdungen und Schäden sollten dieselben sein, die die klinische Bewertung im realen Gebrauch auf Häufigkeit und Schweregrad prüft. Meldet die klinische Bewertung ein unerwünschtes Ereignis, das die Risikoakte nie vorhergesehen hat, ist die Risikoakte veraltet. Behauptet die Risikoakte einen Nutzen, den die klinischen Daten nicht stützen, bricht die Nutzen-Risiko-Schlussfolgerung zusammen. Ein Prüfer liest beide Dokumente nebeneinander, daher sollten sie so geschrieben sein, dass man sie so lesen kann, auf der Ebene einzelner Risiken gegenseitig referenziert. Für einen Hersteller, der eine CE-Einreichung vorbereitet, macht diese Übereinstimmung zwischen Risikoakte, klinischer Bewertung und Qualitätssystem aus dem CE-Weg für Medizinprodukte statt einer Dokumentenjagd ein einziges schlüssiges Argument.

Die Norm verlangt außerdem, dass wesentliche Restrisiken den Anwendern offengelegt werden. Die Offenlegung ist kein Weg, ein nicht akzeptables Risiko akzeptabel zu machen. Sie ist der letzte Schritt, nachdem die Nutzen-Risiko-Analyse zu dem Schluss gekommen ist, dass der Nutzen überwiegt. Ein bekanntes Restrisiko zu verschweigen, damit die Gebrauchsanweisung sauber bleibt, ist sowohl ein Sicherheits- als auch ein Auditversagen.

Das Risikomanagement endet nicht mit der Markteinführung

Eine Risikoakte, die am Tag der CE-Kennzeichnung stehen bleibt, ist konstruktionsbedingt unvollständig. ISO 14971 schließt ihren Kreis mit Tätigkeiten in der Herstellung und nach dem Inverkehrbringen. Der Hersteller sammelt Informationen aus der Fertigung, dem Markt, aus Beschwerden, der Vigilanz und der klinischen Nachbeobachtung nach dem Inverkehrbringen und prüft dann, ob etwas davon eine Risikoschätzung oder die Gesamtschlussfolgerung zum Nutzen-Risiko-Verhältnis verändert. Die MDR formalisiert dies über die Überwachung nach dem Inverkehrbringen und die regelmäßige Sicherheitsberichterstattung, doch der Motor dahinter ist dieselbe Risikoakte.

In der Praxis braucht die Akte auch nach der Einführung Verantwortliche, nicht nur während der Entwicklung. Ein Anstieg bei einer bestimmten Beschwerde ist ein Signal, dass eine Wahrscheinlichkeitsschätzung zu optimistisch war. Ein Rückruf eines Wettbewerbers bei gemeinsam genutzter Technik ist ein Grund, die eigenen Gefährdungen erneut zu betrachten. Eine überarbeitete Norm, ein neues Verständnis des Stands der Technik, ein als gefährlich neu eingestuftes Material: Jedes davon ist eine Eingangsgröße. Der Risikomanagementprozess ist in das Qualitätssystem eingebettet, damit diese Überprüfungen planmäßig stattfinden und nicht erst nach einem Vorfall. Ein ausgereiftes ISO 13485 Qualitätsmanagementsystem hält die Risikoakte zwischen den Audits lebendig und verknüpft Entwicklungslenkung, Beschaffung und Korrekturmaßnahmen mit den Gefährdungen, die sie betreffen.

Wo Teams wirklich Zeit verlieren

Die wiederkehrenden Probleme betreffen selten die Unkenntnis der Anforderungen. Sie entstehen daraus, die Akte als Liefergegenstand statt als Prozess zu behandeln: Akzeptanzkriterien, die zum Ergebnis passend geschrieben sind, Maßnahmen, die sich auf die Kennzeichnung stützen, ein Restrisiko, das Zeile für Zeile, aber nie als Ganzes bewertet wird, und eine Nutzen-Risiko-Analyse ohne klinische Evidenz darunter. Jedes davon ist für einen erfahrenen Prüfer früh sichtbar.

ISO 14971 gut anzuwenden ist überwiegend Disziplin. Definieren Sie Ihre Kriterien, bevor Sie etwas bewerten, folgen Sie der Rangfolge der Maßnahmen auch dann, wenn die Neukonstruktion der härtere Weg ist, halten Sie Risikoakte und klinische Bewertung in einer Erzählung, und lassen Sie beide nach der Einführung offen. Um zu sehen, wie die formale Risikobeurteilung neben der Konformitätsbewertung und einem zertifizierten Qualitätssystem steht, zeigt unser ISO 14971 Risikomanagement-Service, wo sie in das größere Bild der Medizinprodukte gehört.