Affaires réglementaires medtech : faut-il externaliser ?

Affaires réglementaires medtech: faut-il externaliser?

L’externalisation des affaires réglementaires dans le dispositif médical est souvent présentée comme une réponse simple à un problème qui ne l’est pas: le fabricant n’a pas les compétences en interne, recrute un consultant réglementaire medtech et récupère, en prime, la promesse d’un accès au marché plus rapide. C’est séduisant. C’est aussi incomplet.

Depuis l’entrée en application du Règlement (UE) 2017/745 relatif aux dispositifs médicaux, la conformité ne se résume plus à constituer un dossier technique et à obtenir un marquage CE. Il faut maintenir une veille réglementaire, documenter l’évaluation clinique, piloter la gestion des risques, organiser la surveillance après commercialisation, traiter la matériovigilance et conserver une traçabilité exploitable. Le fabricant peut déléguer des tâches. Il ne délègue pas sa responsabilité juridique.

La question n’est donc pas seulement de savoir si un cabinet coûte moins cher qu’un recrutement. Elle consiste à déterminer quelles compétences doivent rester sous contrôle direct, quelles activités peuvent être confiées à un prestataire et quel dispositif de surveillance permettra de le défendre devant un organisme notifié ou l’ANSM.

Le MDR a transformé la conformité en fonction permanente

Avant le MDR, certaines entreprises pouvaient encore traiter les affaires réglementaires comme un projet ponctuel: classification du produit, constitution du dossier, échanges avec l’organisme notifié, puis passage à autre chose. Cette approche est devenue difficilement tenable, en particulier pour les fabricants qui commercialisent plusieurs références, intègrent du logiciel ou modifient régulièrement leur produit.

Le Règlement (UE) 2017/745 impose une logique de cycle de vie. La conformité doit accompagner le dispositif avant sa mise sur le marché, pendant son exploitation commerciale et après sa commercialisation. La documentation n’est plus un dossier que l’on ferme; c’est un système de preuves qui doit rester cohérent avec le produit réellement fabriqué et utilisé.

Cette évolution crée une tension classique dans les entreprises medtech:

• le produit évolue plus rapidement que la documentation réglementaire;
• les exigences de l’organisme notifié peuvent se préciser en cours d’évaluation;
• les équipes techniques connaissent parfois mal les conséquences réglementaires d’une modification logicielle ou matérielle;
• les données cliniques disponibles ne couvrent pas toujours les indications revendiquées;
• la surveillance post-commercialisation est traitée comme une formalité alors qu’elle peut remettre en cause l’évaluation clinique initiale.

La réalité est que l’externalisation des affaires réglementaires ne répond pas à un manque ponctuel de rédaction. Elle répond surtout à un besoin de gouvernance. Encore faut-il que le fabricant sache gouverner ce qu’il externalise.

Le cadre normatif ne s’arrête d’ailleurs pas au MDR. Le système de management de la qualité s’appuie notamment sur l’ISO 13485:2016, tandis que la gestion des risques relève de l’ISO 14971. Pour les logiciels dispositifs médicaux, l’IEC 62304 peut également structurer le cycle de développement logiciel. Ces textes ne forment pas une collection de certificats à accrocher dans une salle de réunion. Ils doivent se retrouver dans les processus, les enregistrements et les décisions quotidiennes.

Externaliser une tâche réglementaire peut réduire la charge interne. Externaliser la compréhension de ses propres obligations ne réduit rien: cela déplace simplement le risque, souvent sans le supprimer.

Recrutement ou cabinet spécialisé: le mauvais calcul consiste à comparer deux factures

Le débat entre recrutement et externalisation est généralement réduit au coût apparent d’un salarié face aux honoraires d’un cabinet. C’est une comparaison trop courte pour être utile.

Un responsable réglementaire interne apporte une présence quotidienne, une mémoire de l’organisation et une capacité à arbitrer directement avec la qualité, la R&D, la production et la direction. Il comprend progressivement les choix de conception, les contraintes industrielles et les compromis historiques du produit. Pour une entreprise qui possède un portefeuille stable et plusieurs projets simultanés, cette continuité peut devenir déterminante.

À l’inverse, un cabinet spécialisé ou un consultant indépendant peut offrir immédiatement une expertise que l’entreprise ne possède pas encore: classification d’un dispositif, stratégie de marquage CE, préparation d’un dossier technique, réponse aux observations d’un organisme notifié, évaluation clinique ou surveillance post-commercialisation. Il peut également apporter une expérience de plusieurs produits et de plusieurs environnements réglementaires.

Le problème apparaît lorsque l’entreprise achète du temps sans définir le résultat attendu. Un prestataire facturant des jours d’intervention ne garantit pas, à lui seul, la qualité du système documentaire. Et un recrutement interne ne garantit pas davantage la conformité si la personne est isolée, sans autorité sur les équipes ou sans budget pour obtenir les données nécessaires.

Les critères qui font réellement varier l’arbitrage

Le choix dépend moins de la taille affichée de la société que de la complexité et de la maturité du portefeuille. Plusieurs paramètres pèsent directement sur la décision:

• La classe de risque des dispositifs: plus le produit est exposé à une évaluation approfondie, plus la stratégie réglementaire doit être intégrée tôt à la conception.
• La diversité du portefeuille: plusieurs familles de dispositifs impliquent plusieurs logiques de classification, de justification clinique et de surveillance.
• La présence d’un logiciel: les exigences documentaires, la cybersécurité, la gestion des versions et l’analyse des modifications peuvent rendre insuffisante une compétence réglementaire généraliste.
• Le calendrier de mise sur le marché: une entreprise en phase de levée ou de lancement peut avoir besoin d’une expertise immédiate, alors qu’un recrutement prendra plusieurs mois à produire ses effets.
• La capacité interne à produire les preuves: un consultant ne peut pas inventer des données cliniques, des essais de biocompatibilité ou des preuves de performance qui n’existent pas.
• La fréquence des changements: un dispositif qui évolue chaque trimestre exige une organisation permanente, pas seulement une intervention au moment du renouvellement du dossier.
• La relation avec l’organisme notifié: plus les échanges sont nombreux et techniques, plus la continuité du pilotage devient importante.

La question du coût du consultant réglementaire medtech doit donc être posée à partir d’un périmètre précis. Une mission limitée à une revue de classification n’a pas le même contenu qu’une prise en charge du dossier technique, de l’évaluation clinique, de la PMS et des réponses à l’organisme notifié. Il n’existe pas de tarif moyen sérieux que l’on puisse appliquer indistinctement à une start-up logicielle et à un fabricant de dispositifs implantables.

Comparaison des modèles

Le modèle hybride est souvent le plus robuste pour une PME ou une start-up medtech: un responsable interne conserve la maîtrise des décisions, des priorités et de la documentation, tandis qu’un cabinet intervient sur les points où l’expertise manque ou lorsque la charge augmente brutalement. Ce modèle n’est pas magique. Il échoue lorsque le salarié interne devient un simple relais administratif du prestataire et que personne, en pratique, ne comprend l’argumentaire réglementaire.

La PRRC n’est pas un parapluie juridique

L’article 15 du MDR impose au fabricant de désigner une personne chargée de veiller au respect de la réglementation, souvent désignée par l’acronyme PRRC ou PCVRR en français. Cette personne doit disposer des compétences et de l’expérience nécessaires en matière de réglementation des dispositifs médicaux. Elle intervient notamment sur la conformité de la libération des dispositifs, la mise à jour de la documentation technique et de la déclaration UE de conformité, ainsi que sur les obligations de surveillance après commercialisation et de vigilance.

Cette exigence est centrale dans l’arbitrage entre recrutement et externalisation. Une entreprise ne peut pas simplement déclarer qu’elle travaille avec un cabinet et considérer que l’obligation est réglée. La désignation doit être effective, les responsabilités doivent être documentées et la personne doit être en mesure d’exercer sa fonction avec une disponibilité suffisante.

Le MDR prévoit des dispositions spécifiques pour les micro et petites entreprises, notamment la possibilité de disposer de la personne requise de manière permanente et continue, sans qu’elle soit nécessairement intégrée à l’organisation, sous réserve du respect des conditions applicables. Attention à la nuance: cela ne signifie pas que toutes les entreprises peuvent externaliser librement la fonction de PRRC, ni que la responsabilité du fabricant disparaît derrière le contrat.

Pour une entreprise plus importante, les conditions de désignation doivent être examinées avec davantage de prudence. Le fait de confier des activités réglementaires à un prestataire ne transforme pas automatiquement ce prestataire en titulaire valable de toutes les responsabilités prévues par le MDR. La qualification de la personne, son positionnement, son accès à la direction et son rôle réel dans le système de management doivent être cohérents.

La PRRC doit pouvoir alerter. Si elle identifie une documentation clinique insuffisante, une procédure de libération mal appliquée ou un signal de vigilance non traité, son rôle n’est pas de rendre le problème présentable. Son rôle est d’empêcher que le problème soit commercialisé, ignoré ou maquillé dans un tableau de suivi.

Une PRRC sans accès aux données, sans autorité et sans possibilité d’escalade n’est pas une fonction de conformité. C’est un nom ajouté à un organigramme pour satisfaire une lecture superficielle du MDR.

Ce que l’ISO 13485 exige réellement des processus externalisés

La sous-traitance réglementaire ne constitue pas une zone franche du système qualité. Le chapitre 4.1.5 de la norme DIN EN ISO 13485:2016 impose au fabricant de maîtriser les processus externalisés qui influent sur la conformité du produit.

Cette exigence est parfois interprétée de façon minimale: signer un contrat, demander une attestation de compétence et archiver une facture. Ce n’est pas un dispositif de maîtrise. Un audit cherchera plutôt à comprendre comment le fabricant sélectionne le prestataire, définit le périmètre de la mission, contrôle les livrables et vérifie que le processus externalisé reste conforme dans le temps.

La maîtrise doit couvrir au moins quatre dimensions.

1. Définir le périmètre sans ambiguïté

Un contrat qui prévoit une assistance réglementaire générale est rarement suffisant. Il faut préciser les livrables et les interfaces:

• qui établit la stratégie de classification;
• qui rédige ou approuve les parties du dossier technique;
• qui collecte les données cliniques;
• qui valide l’évaluation clinique;
• qui traite les incidents et les réclamations;
• qui décide de l’ouverture d’une investigation de vigilance;
• qui prépare les éléments de PMS et de PSUR lorsque ceux-ci sont requis;
• qui approuve les modifications du dispositif et l’impact sur la conformité;
• qui conserve les versions finales des documents et les preuves d’approbation.

Sans cette répartition, les responsabilités se dissolvent dans une succession de réunions. Le prestataire affirme qu’il a livré son rapport. Le fabricant affirme qu’il attendait une analyse complémentaire. L’organisme notifié, lui, constate que le dossier n’est pas cohérent.

2. Qualifier le prestataire sur des preuves

La qualification ne devrait pas reposer uniquement sur une présentation commerciale ou sur le nombre de consultants affiché sur un site internet. Il faut examiner les compétences adaptées au produit: expérience du MDR, compréhension de la classe de risque concernée, capacité à traiter les logiciels, connaissance des exigences cliniques et pratique des échanges avec les organismes notifiés.

Le fabricant doit également comprendre qui réalise effectivement la mission. Un cabinet peut avoir une solide réputation et confier le dossier à un intervenant junior mal encadré. Ce n’est pas nécessairement rédhibitoire, mais le niveau de supervision doit être explicite.

3. Contrôler les livrables

Un document réglementaire n’est pas conforme parce qu’il est long. Il doit être cohérent avec le dispositif, les risques identifiés, les données disponibles et les revendications commerciales.

Le contrôle peut inclure:

1. une revue des hypothèses réglementaires et de la classification;

2. une vérification de la cohérence entre analyse de risques, exigences essentielles ou exigences générales de sécurité et performance, essais et évaluation clinique;

3. une revue des références normatives et de leur version applicable;

4. une validation des responsabilités et des signatures;

5. un suivi des écarts, des actions correctives et des délais;

6. une vérification de la conservation des enregistrements dans le système documentaire du fabricant.

Le prestataire peut rédiger. Le fabricant doit être capable de comprendre et d’approuver.

4. Auditer la relation dans le temps

Le fournisseur qui était compétent lors de la mise sur le marché peut devenir insuffisant lorsque le produit évolue, que le cadre réglementaire se précise ou que l’activité de matériovigilance augmente. L’évaluation doit donc être périodique et fondée sur des éléments concrets: qualité des livrables, respect des délais, gestion des écarts, réactivité lors d’un incident et capacité à maintenir la veille réglementaire.

Les inspections de l’ANSM rappellent que le risque n’est pas théorique. En 2018, sur 677 inspections menées par l’agence, dont 75 inopinées, 10,7 % ont donné lieu à des sanctions pour non-conformités. Ce chiffre ne permet pas de conclure que la sous-traitance est en cause. Il montre en revanche qu’un système documentaire insuffisant et des processus mal maîtrisés peuvent produire des conséquences administratives concrètes.

Il serait imprudent de croire qu’un contrat avec un cabinet protège contre une inspection. L’ANSM évaluera le fabricant, ses pratiques et sa capacité à démontrer la conformité. La responsabilité du fabricant reste engagée, même lorsque la tâche a été confiée à un tiers.

L’externalisation ciblée est plus défendable que l’externalisation totale

Confier l’ensemble des affaires réglementaires à un prestataire peut sembler efficace dans une phase de lancement. Pour une jeune entreprise sans équipe réglementaire, il est parfois difficile de faire autrement. Mais une externalisation totale crée rapidement une dépendance documentaire: le fabricant ne sait plus où se trouvent les versions de référence, pourquoi une position a été retenue ou quelles données manquent encore.

Une approche ciblée est généralement plus solide. Elle consiste à conserver en interne les décisions structurantes et à externaliser les activités qui nécessitent une expertise spécialisée, une capacité ponctuelle ou un renfort opérationnel.

Documentation technique et marquage CE

La rédaction du dossier technique peut être confiée à un consultant, mais les données d’entrée doivent appartenir à l’entreprise. La R&D doit fournir les caractéristiques réelles du produit, la qualité doit confirmer les processus applicables, la production doit valider la reproductibilité et la direction doit assumer les revendications commerciales.

Un dossier technique qui décrit un dispositif idéal mais pas le produit fabriqué est un document élégant et inutile. Le consultant ne doit pas être chargé de rendre cohérent ce que l’organisation produit de manière contradictoire.

Évaluation clinique

L’évaluation clinique est un domaine où la sous-traitance apporte souvent une valeur réelle, notamment lorsque l’entreprise ne dispose pas d’une compétence méthodologique suffisante. Mais un rapport clinique ne peut pas compenser une indication trop ambitieuse, des données insuffisantes ou une comparaison mal choisie.

Le prestataire peut analyser la littérature, structurer la stratégie et identifier les lacunes. Il ne peut pas transformer une absence de preuve en preuve par la seule sophistication du vocabulaire.

Il faut également maintenir la cohérence entre l’évaluation clinique, les revendications marketing, les résultats de performance et la surveillance après commercialisation. Une brochure qui promet davantage que le dossier clinique crée un risque réglementaire immédiat, indépendamment de la qualité de la rédaction du rapport.

Surveillance post-commercialisation et matériovigilance

La PMS et la matériovigilance sont souvent les premières activités externalisées, parce qu’elles exigent une organisation continue et des compétences qui ne sont pas toujours disponibles au lancement. Cette décision peut être pertinente à condition que le prestataire ait accès aux données: réclamations, retours utilisateurs, incidents, tendances, réparations, non-conformités de production et informations issues des distributeurs.

Un prestataire qui ne reçoit que les incidents officiellement déclarés ne dispose pas d’une vision suffisante. Les signaux faibles peuvent apparaître dans les tickets du support, les demandes de remplacement ou les retours commerciaux. La surveillance post-commercialisation ne consiste pas à attendre qu’un événement suffisamment grave arrive jusqu’au service réglementaire.

Le fabricant doit conserver la capacité de décider rapidement: signalement, action corrective de sécurité, mise à jour de l’analyse de risques, modification du dossier technique ou information des autorités. La mission peut être externalisée; la décision de sécurité ne doit pas devenir un sujet de comité mensuel.

Veille réglementaire

La veille est une autre activité adaptée à l’externalisation, surtout pour les petites structures. Mais il faut définir les textes et les juridictions couverts, les modalités d’alerte, la qualification de l’impact et l’intégration des changements dans les procédures internes.

Recevoir une lettre d’information ne constitue pas une veille réglementaire maîtrisée. Le fabricant doit pouvoir démontrer qu’il a identifié les changements pertinents, évalué leur impact et décidé d’une action ou d’une absence d’action justifiée.

Le modèle économique ne se résume pas à la réduction des coûts fixes

L’un des arguments les plus répandus en faveur de l’externalisation est la maîtrise des coûts fixes. Il est raisonnable: recruter une équipe complète de spécialistes en réglementation, qualité, clinique et vigilance n’est pas toujours proportionné à l’activité d’une petite entreprise.

Mais la rentabilité d’un CRO réglementaire pour dispositif médical dépend du périmètre et de la qualité du pilotage. Le coût apparent d’une mission peut augmenter si le prestataire doit reconstruire une documentation dispersée, corriger des décisions antérieures ou rechercher des preuves que l’entreprise aurait dû conserver.

Le calcul pertinent doit intégrer:

• le temps interne consacré à briefer et contrôler le prestataire;
• les reprises causées par des données techniques incomplètes;
• les retards de soumission ou d’évaluation par l’organisme notifié;
• la nécessité de corriger un système qualité mal documenté;
• la dépendance à une seule personne chez le fournisseur;
• les coûts de transfert en cas de changement de cabinet;
• les conséquences d’une non-conformité sur la commercialisation ou la surveillance du produit.

Il n’existe pas, sur la base des éléments disponibles, de pourcentage universel d’économies permettant de conclure que l’externalisation est toujours plus rentable. Les projections de croissance du marché mondial de la sous-traitance réglementaire traduisent un besoin croissant d’expertise, pas une garantie de retour sur investissement pour chaque fabricant.

Le budget des affaires réglementaires d’une start-up medtech doit donc être construit par phase et par risque. Une mission de classification et de stratégie initiale n’a pas la même valeur qu’un accompagnement complet jusqu’au marquage CE. De même, une activité de PMS limitée à quelques références ne se compare pas à la surveillance d’un portefeuille distribué dans plusieurs pays.

Comment contractualiser sans perdre le contrôle

Un bon contrat de sous-traitance réglementaire ne doit pas seulement mentionner la confidentialité et les délais. Il doit organiser la responsabilité opérationnelle.

Les clauses utiles concernent notamment:

• le périmètre exact des prestations;
• les livrables attendus et leurs formats;
• les critères d’acceptation;
• les compétences des personnes affectées à la mission;
• les modalités de remplacement et de continuité;
• l’accès aux données et aux systèmes documentaires;
• la gestion des versions et des droits d’approbation;
• les délais d’alerte en cas de risque réglementaire ou de signal de vigilance;
• les obligations de traçabilité;
• les modalités d’audit du prestataire;
• la restitution des données à la fin du contrat;
• la gestion des écarts et des actions correctives.

Le fabricant doit aussi éviter un piège fréquent: acheter une production documentaire sans obtenir les fichiers de travail, les justifications et l’historique des décisions. Au terme du contrat, il ne doit pas dépendre du prestataire pour expliquer son propre dossier à l’organisme notifié.

La question de la propriété documentaire doit être traitée avec précision. Le fabricant doit pouvoir accéder aux versions approuvées, aux données sources et aux éléments nécessaires à la continuité de la conformité. Une plateforme externe qui devient le seul lieu de conservation du dossier technique crée un risque de disponibilité et de transfert.

Mon verdict: externaliser l’expertise, pas la responsabilité

Pour une start-up ou une PME medtech, l’externalisation des affaires réglementaires est souvent pertinente lorsqu’elle est progressive, documentée et pilotée par un référent interne. Elle permet d’accéder à des compétences rares sans supporter immédiatement une structure de coûts fixes disproportionnée. Elle peut accélérer la préparation d’un dossier technique, renforcer une stratégie clinique ou sécuriser la PMS.

Mais l’externalisation totale et non contrôlée est une mauvaise stratégie. Elle fragilise la connaissance interne, complique les audits et crée une dépendance au prestataire. Surtout, elle donne parfois à la direction l’illusion que la conformité a été transférée avec le bon de commande.

Le choix le plus défendable est généralement le suivant:

1. conserver en interne la responsabilité des décisions, des priorités et de l’approbation finale;

2. désigner une PRRC conforme aux exigences de l’article 15 du MDR, avec une autorité et une disponibilité réelles;

3. externaliser les tâches nécessitant une expertise spécialisée ou une capacité ponctuelle;

4. intégrer les processus externalisés au système de management ISO 13485;

5. auditer le prestataire et contrôler ses livrables;

6. conserver une documentation complète, accessible et compréhensible par l’entreprise;

7. prévoir dès le départ la continuité et la sortie du contrat.

La conformité medtech n’est pas un service que l’on commande pour obtenir un certificat et que l’on oublie ensuite. C’est une fonction de maîtrise du risque. Le cabinet peut fournir les outils, l’expérience et les ressources. Le fabricant, lui, reste celui qui met le dispositif sur le marché, signe la déclaration de conformité et répond aux autorités.

Ne vous y trompez pas: externaliser peut être une décision rationnelle. Croire que cela permet d’externaliser la responsabilité ne l’est pas.