Due livelli di rischio nella ISO 13485
La parola "rischio" nella ISO 13485 ha due significati, ed è utile tenerli separati.
- Rischio legato al prodotto: la possibilità che il dispositivo causi danni a pazienti, utilizzatori o altre persone. Si gestisce con il processo della ISO 14971 ed è richiesto dal punto 7.1, che chiede di documentare uno o più processi di gestione del rischio nella realizzazione del prodotto.
- Approccio basato sul rischio per il sistema: il livello di controllo su processi, fornitori, software e formazione va proporzionato al rischio. Lo chiede il punto 4.1.2 e torna in molti altri punti della norma.
Il secondo dipende dal primo. Un fornitore il cui componente può causare un danno grave richiede controlli più forti; una procedura il cui errore non tocca la sicurezza del paziente può essere gestita in modo più semplice.
La ISO 14971:2019 in sintesi
La ISO 14971:2019, Medical devices — Application of risk management to medical devices, stabilisce la terminologia, i principi e il processo di gestione del rischio dei dispositivi medici, compreso il software come dispositivo medico e i dispositivi medico-diagnostici in vitro. Chiede al fabbricante di definire criteri oggettivi di accettabilità del rischio, ma non fissa livelli di rischio accettabili: questi dipendono dal dispositivo e dal contesto. Secondo i cataloghi ISO la norma è stata riesaminata e confermata nel 2025.
La guida all'applicazione è il rapporto tecnico ISO/TR 24971:2020, richiamato dalla stessa 14971. In Europa la versione armonizzata è la EN ISO 14971:2019 con la modifica A11:2021, che collega la norma ai requisiti dell'MDR e dell'IVDR.
Le fasi del processo di gestione del rischio
| Fase | Domanda a cui risponde | Documento tipico |
|---|---|---|
| Pianificazione | Chi fa cosa, con quali criteri di accettabilità? | Piano di gestione del rischio |
| Analisi del rischio | Quali pericoli e situazioni pericolose può generare il dispositivo, in uso normale e in caso di uso scorretto prevedibile? | Analisi dei pericoli, FMEA, albero dei guasti |
| Valutazione del rischio | Ogni rischio è accettabile secondo i criteri del piano? | Matrice o tabella di valutazione |
| Controllo del rischio | Quali misure lo riducono: progetto sicuro, protezioni, informazioni per la sicurezza? | Elenco delle misure e prove della loro efficacia |
| Rischio residuo complessivo | Considerando tutto, i benefici superano il rischio residuo? | Valutazione del rischio residuo complessivo |
| Riesame e attività post-produzione | Il piano è stato attuato? Cosa dicono i dati dal campo? | Rapporto di gestione del rischio, aggiornamenti periodici |
L'ordine delle misure di controllo conta: prima la sicurezza intrinseca nel progetto e nella produzione, poi le misure di protezione nel dispositivo o nel processo, infine le informazioni per la sicurezza e, quando serve, la formazione degli utilizzatori. Avvertenze nelle istruzioni non bastano se il rischio si può eliminare con il progetto.
Dove la gestione del rischio si collega alla ISO 13485
| Punto | Collegamento |
|---|---|
| 4.1.2 e 4.1.5 | Controlli su processi e fornitori proporzionati al rischio |
| 4.1.6, 7.5.6, 7.6 | Validazione del software proporzionata al rischio legato al suo uso |
| 6.2 | Verifica dell'efficacia della formazione proporzionata al rischio dell'attività |
| 7.1 | Processi documentati di gestione del rischio nella realizzazione del prodotto |
| 7.3.3 | Gli output della gestione del rischio sono input di progettazione |
| 7.3.9 | Le modifiche di progetto vanno valutate anche per l'effetto sulla gestione del rischio |
| 7.4.1 | Selezione e controllo dei fornitori proporzionati al rischio del prodotto acquistato |
| 8.2.1 | Le informazioni di ritorno sono input alla gestione del rischio |
Rischio e regolamento MDR
L'articolo 10(9) dell'MDR inserisce la gestione del rischio, secondo la sezione 3 dell'allegato I, tra gli aspetti minimi del sistema qualità. L'allegato I chiede di ridurre i rischi per quanto possibile senza compromettere il rapporto beneficio-rischio. È uno dei motivi per cui la versione europea della ISO 14971 ha allegati Z dedicati: indicano dove la norma soddisfa il regolamento e dove serve attenzione. L'articolo 83 chiede inoltre che i dati della sorveglianza post-commercializzazione servano ad aggiornare la determinazione del rapporto beneficio-rischio e a migliorare la gestione del rischio.
Errori comuni
- Analisi del rischio scritta a progetto finito, solo per l'audit: non ha guidato nessuna scelta.
- Criteri di accettabilità assenti o vaghi, che rendono la valutazione soggettiva.
- Misure di controllo senza verifica di efficacia.
- Nessun collegamento con reclami e dati dal campo: il fascicolo di gestione del rischio non viene mai aggiornato dopo il lancio.
- Rischio di processo confuso con rischio di prodotto, con una sola tabella che mescola tutto.
Domande frequenti
La ISO 14971 è obbligatoria per la certificazione ISO 13485?
La ISO 13485 chiede processi documentati di gestione del rischio nella realizzazione del prodotto e indica la ISO 14971 come riferimento. In pratica è la norma usata da quasi tutti i fabbricanti, ed è armonizzata per MDR e IVDR.
Qual è la versione in vigore della ISO 14971?
La ISO 14971:2019, terza edizione, confermata nel 2025. In Europa si usa la EN ISO 14971:2019 con la modifica A11:2021.
Cos'è la ISO/TR 24971?
È il rapporto tecnico che fornisce indicazioni pratiche per applicare la ISO 14971; la versione attuale è del 2020.
Fonti
Questa pagina è stata redatta con il supporto di strumenti di intelligenza artificiale; contenuti e fonti sono stati verificati da RA-CERT S.R.L.S. prima della pubblicazione.