Dossier technique classe IIa : test de conformité MDR

Dossier technique classe IIa: test de conformité MDR

Le 26 mai 2021, le règlement (UE) 2017/745 est devenu pleinement applicable. Cinq ans plus tard, on continue de voir passer, sur les bureaux des organismes notifiés et des auditeurs, des dossiers techniques de classe IIa qui ressemblent davantage à un argumentaire commercial mis en forme qu’à une démonstration de conformité. La classe IIa n’est plus le « middle ground » tranquille qu’elle paraissait être sous l’ancienne directive 93/42/CEE. Quiconque s’en tient aux habitudes d’avant 2021 prend déjà du retard sur le cadre légal.

Un dossier technique classe IIa conforme au MDR n’est pas une compilation de certificats, de rapports d’essai et de procédures qualité. C’est une construction probatoire: chaque exigence générale de sécurité et de performance doit être couverte, chaque choix doit être justifié, et chaque conclusion doit renvoyer à une preuve contrôlée. C’est précisément sur cette continuité entre les exigences, les risques, les essais, l’évaluation clinique et la surveillance après commercialisation que les dossiers fragiles se désagrègent.

Le marquage CE d’un dispositif de classe IIa n’est pas une formalité documentaire: c’est la preuve, structurée et opposable, que le fabricant a démontré la conformité à chaque exigence générale de sécurité et de performance applicable.

La voie d’évaluation de conformité: le premier choix qui engage tout le dossier

Pour un dispositif médical de classe IIa, l’article 52, paragraphe 6, du règlement (UE) 2017/745 ouvre plusieurs voies d’évaluation de conformité. Les deux parcours couramment retenus s’appuient sur l’annexe IX ou sur l’annexe XI, selon la configuration du système qualité, du produit et de l’intervention attendue de l’organisme notifié.

La voie de l’annexe IX, chapitres I et III, repose sur l’évaluation du système de management de la qualité et sur l’évaluation de la documentation technique. Cette dernière porte au moins sur un dispositif représentatif par catégorie de dispositifs. La voie de l’annexe XI combine, selon la section applicable, l’examen de la production et l’examen de la documentation technique ou des échantillons représentatifs.

Le choix n’est pas un détail administratif à régler après la rédaction du dossier. Il détermine la nature de l’examen, les échantillons susceptibles d’être demandés, l’organisation des audits et le calendrier de la procédure.

Dans le cadre de l’annexe XI, section 10, l’organisme notifié sélectionne des échantillons représentatifs en tenant compte de plusieurs facteurs: la nouveauté de la technologie, les similitudes de conception et de technologie, les procédés de fabrication et de stérilisation, la destination prévue ainsi que les évaluations antérieures pertinentes. L’organisme peut également demander l’évaluation d’échantillons supplémentaires au cours du cycle.

Le fabricant qui s’engage dans la voie de l’annexe IX doit, de son côté, être prêt à démontrer que son système qualité maîtrise réellement la conception, la fabrication, les contrôles, la gestion des risques et la surveillance du dispositif. Dans les deux cas, la documentation technique reste le centre de gravité de la démonstration.

Aucune voie n’est automatiquement « plus simple ». Une procédure peut paraître plus légère au moment du dépôt et devenir beaucoup plus exigeante lorsque l’organisme notifié demande à vérifier la représentativité des échantillons, la cohérence des variantes ou la solidité des données cliniques.

La voie d’évaluation de conformité choisie n’est pas un détail logistique: elle conditionne ce que l’organisme notifié est en droit de regarder, et à quel moment du cycle de vie.

Ce que les annexes II et III exigent réellement

Le règlement ne fixe ni nombre de pages, ni nombre de jours d’audit, ni coût standard pour un dossier technique de dispositif médical de classe IIa. Il fixe en revanche le contenu et la qualité de la démonstration. La documentation technique doit être claire, organisée, facilement consultable et dépourvue d’ambiguïté.

Elle doit notamment couvrir:

• la description et les spécifications du dispositif;
• la destination prévue, les utilisateurs visés et les conditions d’utilisation;
• la justification de la classification selon l’annexe VIII;
• les informations relatives à la conception et à la fabrication;
• les informations destinées à l’utilisateur, notamment l’étiquetage et la notice;
• la gestion des risques sur l’ensemble du cycle de vie;
• la démonstration de conformité aux exigences générales de sécurité et de performance;
• les résultats des essais, vérifications et validations;
• l’évaluation clinique et ses conclusions;
• le plan et le rapport de surveillance après commercialisation;
• les éléments relatifs au suivi clinique après commercialisation lorsque celui-ci est applicable.

La logique à retenir est simple: pour chaque exigence applicable, le dossier doit indiquer ce qui a été fait, selon quelle méthode, avec quelle norme ou spécification commune, et où se trouve la preuve. Une phrase indiquant que le dispositif est conforme à l’ISO 10993, sans renvoi précis vers le plan d’évaluation biologique, les rapports d’essai et la justification de l’applicabilité des méthodes, ne constitue pas une démonstration suffisante.

Un dossier technique n’est pas un sommaire de normes. C’est une chaîne de preuves traçable.

Le tableau ne remplace pas l’analyse du dossier. Il montre simplement le point où les lacunes apparaissent: rarement dans l’absence totale d’un document, plus souvent dans l’absence de raccordement entre plusieurs documents pourtant présents.

La matrice GSPR: l’ossature que les dossiers sous-estiment

La matrice de conformité aux exigences générales de sécurité et de performance, ou matrice GSPR, est souvent traitée comme une table de correspondance destinée à être remplie en fin de projet. C’est une erreur de méthode. Elle devrait accompagner la conception du dispositif et évoluer avec les choix techniques, les risques, les essais et les modifications de la documentation.

Pour chaque exigence, la matrice doit permettre de comprendre:

1. si l’exigence est applicable au dispositif;

2. pourquoi elle est applicable ou non applicable;

3. quelle méthode permet d’en démontrer la conformité;

4. quelle norme harmonisée, spécification commune ou autre méthode a été utilisée;

5. quel document apporte la preuve;

6. si cette preuve couvre bien le dispositif, sa variante et sa destination prévues.

Une matrice solide ne se contente donc pas de renvoyer vers un rapport de laboratoire. Elle vérifie que le rapport concerne le bon modèle, le bon matériau, la bonne configuration et les conditions d’utilisation revendiquées. Elle relie également les résultats aux mesures de maîtrise des risques et aux informations communiquées à l’utilisateur.

Le problème classique n’est pas l’absence d’une norme. C’est l’utilisation d’une norme comme conclusion automatique. La référence à une norme ne dispense pas de justifier son champ d’application, les écarts éventuels, les éditions utilisées et les parties réellement couvertes par les essais.

Cette logique est particulièrement importante pour les dispositifs laser, les équipements photoniques et les dispositifs intégrant une source d’énergie. Les performances annoncées, les limites d’utilisation, les accessoires compatibles, les paramètres d’émission et les mesures de protection doivent être cohérents dans la documentation de conception, les essais de sécurité, l’analyse des risques, la notice et l’évaluation clinique. Une valeur ou une revendication qui change selon le document consulté devient immédiatement un point de fragilité.

L’évaluation clinique: la zone où les dispositifs de classe IIa se font piéger

Le règlement impose au fabricant de planifier, réaliser et documenter une évaluation clinique afin de confirmer la sécurité et les performances du dispositif dans ses conditions normales d’utilisation, d’évaluer les effets secondaires indésirables et d’apprécier l’acceptabilité du rapport bénéfice/risque. Le rapport d’évaluation clinique fait partie intégrante de la documentation technique.

Il ne s’agit donc pas d’un document à fournir uniquement si l’organisme notifié le demande. Il doit être présent, argumenté, mis à jour et cohérent avec les revendications du fabricant.

L’imprécision s’installe souvent dans la confusion entre évaluation clinique et investigation clinique. Une investigation clinique n’est pas automatiquement imposée à tout dispositif de classe IIa. Le fabricant doit toutefois justifier le niveau de preuve clinique nécessaire et déterminer si les données disponibles permettent réellement de couvrir les revendications, la destination et les risques du dispositif.

Ne pas être automatiquement obligé de conduire une investigation clinique ne signifie pas ne rien avoir à prouver.

Lorsqu’une équivalence avec un autre dispositif est invoquée, cette équivalence doit être démontrée sur les plans technique, biologique et clinique, dans les limites prévues par le règlement. Elle ne peut pas reposer sur une simple proximité commerciale ou sur la ressemblance extérieure entre deux produits. Le fabricant doit disposer d’un accès suffisamment étendu aux données pertinentes du dispositif équivalent pour permettre une comparaison sérieuse. Une brochure commerciale ou une fiche produit ne remplace pas l’accès aux informations techniques et cliniques nécessaires.

L’évaluation clinique doit également rester alignée sur la destination prévue. Un dispositif présenté comme destiné à un usage professionnel et un dispositif revendiqué pour une utilisation par un public différent ne soulèvent pas les mêmes questions de formation, d’environnement d’utilisation, de maîtrise des risques et d’acceptabilité des performances.

Dans les technologies nouvelles, la nouveauté technologique constitue en outre un facteur susceptible d’influencer la sélection des échantillons et l’intensité de l’examen par l’organisme notifié, notamment dans le cadre de l’annexe XI. Le fabricant ne peut pas compenser une preuve clinique faible par une accumulation de rapports techniques sans rapport direct avec le bénéfice clinique revendiqué.

Évaluation clinique, investigation clinique, surveillance après commercialisation, suivi clinique après commercialisation et matériovigilance: cinq objets distincts, cinq corpus documentaires distincts. Les fusionner dans un même chapitre est un signal d’alarme classique en audit.

Gestion des risques et validation: la preuve doit rester raccordée au produit

La gestion des risques ne se résume pas à un fichier ouvert au début du développement et fermé avant le marquage CE. Elle doit suivre le dispositif pendant sa conception, sa validation, sa fabrication et sa surveillance après commercialisation.

Le fichier de risques doit notamment prendre en compte:

• les caractéristiques techniques susceptibles d’avoir une incidence sur la sécurité;
• les erreurs d’utilisation raisonnablement prévisibles;
• les défaillances des composants et accessoires;
• les conditions normales et les mauvais usages prévisibles;
• les risques liés au nettoyage, à la réutilisation ou à la maintenance lorsque ces situations sont pertinentes;
• les risques issus des matériaux, des émissions, des interfaces et de la cybersécurité pour les dispositifs concernés;
• les effets des modifications de conception et des changements de fournisseurs.

Pour un dispositif utilisant une énergie laser ou une technologie photonique, l’analyse doit rester suffisamment concrète. Les risques liés à l’émission, à la puissance, à la durée d’exposition, au profil du faisceau, aux accessoires optiques, aux protections, aux alarmes et aux conditions d’utilisation ne doivent pas être noyés dans une formulation générale sur la sécurité électrique ou la compatibilité électromagnétique.

Les essais de vérification et de validation doivent ensuite répondre à des critères d’acceptation définis à l’avance. Un rapport qui conclut simplement à la réussite sans exposer le protocole, les échantillons, les conditions d’essai, les écarts et leur traitement laisse une partie de la démonstration dans l’ombre.

Le lien avec la notice est tout aussi important. Si une mesure de maîtrise du risque suppose une limite d’utilisation, une formation, une protection ou un avertissement particulier, cette information doit apparaître là où l’utilisateur peut effectivement la trouver. Une mesure qui existe uniquement dans le fichier de risques n’est pas nécessairement une mesure maîtrisée.

ISO 13485:2016: ce que la norme couvre, et ce qu’elle ne couvre pas

Le fabricant doit établir, documenter, mettre en œuvre, maintenir à jour et améliorer en permanence un système de management de la qualité proportionné à la classe de risque et au type de dispositif. L’ISO 13485:2016 est la norme internationale de référence pour ce type de système. Elle ne délivre pas le marquage CE et ne constitue pas une autorisation de mise sur le marché.

La certification par un tiers, lorsqu’elle est obtenue, est délivrée par un organisme de certification compétent et accrédité. L’ISO elle-même ne certifie pas les fabricants.

L’erreur fréquente consiste à présenter un certificat ISO 13485 comme un substitut à l’évaluation de conformité au MDR. Ce n’est pas le cas. L’ISO 13485 démontre la capacité de l’organisation à maîtriser ses processus. L’évaluation de conformité MDR démontre la conformité du dispositif au regard du règlement, des annexes applicables et des exigences générales de sécurité et de performance.

Les deux démarches se complètent, mais elles ne se remplacent pas.

Un audit du système qualité peut d’ailleurs révéler des faiblesses directement visibles dans le dossier technique: gestion des modifications incomplète, fournisseurs critiques mal évalués, plaintes non reliées aux risques, actions correctives sans analyse de leur efficacité ou surveillance après commercialisation traitée comme une formalité documentaire. La certification d’un système ne protège pas contre une application superficielle de ses propres procédures.

Surveillance après commercialisation et matériovigilance: ce que le fabricant ne peut pas sous-traiter

Le système qualité et le dossier technique ne sont pas des livrables figés au jour du marquage CE. Ils doivent continuer à vivre avec le dispositif. La surveillance après commercialisation, le traitement des réclamations, l’analyse des tendances, la matériovigilance et le suivi clinique après commercialisation alimentent cette mise à jour.

Les fabricants doivent notifier les incidents graves selon les obligations et les délais prévus par le règlement. Les délais maximaux sont encadrés: quinze jours calendaires en règle générale, dix jours en cas de décès ou de détérioration grave inattendue de l’état de santé d’une personne, et deux jours en cas de menace grave pour la santé publique. Ces délais courent à partir du moment où le fabricant a connaissance de l’incident ou dispose d’éléments suffisants pour considérer qu’un lien causal avec le dispositif est possible, et non à partir de la fin de l’enquête interne.

Cela ne signifie pas qu’il faut attendre d’avoir établi une causalité définitive avant d’agir. La procédure de vigilance doit permettre de qualifier rapidement l’événement, de documenter les informations disponibles et de compléter l’analyse au fur et à mesure.

Le rapport périodique actualisé de sécurité, ou PSUR, n’est pas un rapport annuel d’activité. Il doit exploiter les informations issues de la surveillance, des incidents, des actions correctives, des données cliniques et des tendances pertinentes. Il alimente la réévaluation du rapport bénéfice/risque et doit pouvoir conduire à une modification du dossier, de la notice, de l’analyse des risques ou du plan de suivi.

Le suivi clinique après commercialisation, ou SCAC, poursuit une logique comparable sur le terrain clinique. Il ne doit pas être déclenché uniquement lorsque le dispositif rencontre une difficulté. Il doit être prévu en fonction des risques, de la nouveauté de la technologie, de la maturité des données et des revendications cliniques.

EUDAMED au 28 mai 2026: quatre modules obligatoires, pas le module de vigilance

La chronologie d’EUDAMED mérite une attention particulière, car les obligations opérationnelles ne se confondent pas avec la disponibilité technique de chaque module.

Au 28 mai 2026, les quatre modules rendus obligatoires sont les suivants:

• l’enregistrement des opérateurs économiques;
• l’enregistrement des dispositifs et des données UDI;
• l’enregistrement des organismes notifiés et des certificats;
• la surveillance du marché.

Le module de vigilance n’entre pas dans cette liste des quatre modules obligatoires à cette date. Il ne faut donc pas présenter la notification des incidents graves comme une obligation devant être exécutée via le module de vigilance d’EUDAMED au 28 mai 2026.

L’obligation de signaler les incidents graves demeure, elle, pleinement applicable. Le fabricant doit utiliser les canaux et procédures de déclaration prévus par le cadre réglementaire applicable, notamment les circuits nationaux lorsque la déclaration ne passe pas encore par le module de vigilance obligatoire d’EUDAMED. La distinction est pratique, mais elle n’est pas secondaire: une entreprise peut être en conformité avec son obligation de vigilance tout en ne déclarant pas l’incident dans le module EUDAMED qui n’est pas encore rendu obligatoire.

Pour un dispositif de classe IIa, le dossier technique doit néanmoins être suffisamment maîtrisé pour alimenter correctement les enregistrements concernés. La cohérence entre la désignation commerciale, l’UDI-DI, les variantes, le fabricant, le mandataire, le certificat et les informations de surveillance devient une condition opérationnelle de la conformité. Une erreur dans les données UDI n’est pas seulement une erreur de saisie: elle peut créer une discordance entre le produit mis sur le marché et les documents évalués.

Durée de conservation et maîtrise des archives

Le fabricant ou son mandataire doit conserver la déclaration de conformité UE, la documentation technique et les documents liés à l’évaluation de conformité pendant au moins dix ans après la mise sur le marché du dernier dispositif. Pour les dispositifs implantables, la durée minimale passe à quinze ans.

Ces durées ne sont pas des suggestions de bonne pratique. Elles doivent être prises en compte dans les procédures d’archivage, les contrats avec les prestataires, la gestion des sauvegardes et les plans de continuité d’activité.

La question devient particulièrement sensible lorsqu’un fabricant cesse son activité, change de mandataire ou transfère une gamme à une autre entité. Les documents doivent rester accessibles, lisibles et protégés contre les modifications non maîtrisées. La conservation d’un fichier dans un emplacement technique quelconque ne suffit pas si personne ne peut garantir son intégrité, sa disponibilité ou sa relation avec la version du produit commercialisée.

Dix ans, quinze ans pour l’implantable: ce sont des durées de conservation opposables, pas des durées « de bonne pratique ». Le fabricant qui ferme doit avoir prévu la transmission de ses archives à un mandataire ou à un successeur désigné.

Les lacunes qui reviennent dans les audits de dossiers de classe IIa

Sans avancer de statistique non sourcée, certaines lacunes apparaissent avec une régularité frappante dans les revues de dossiers de classe IIa. Elles ne sont pas toutes de même gravité, mais elles signalent souvent une rupture dans la chaîne de preuves:

• une matrice GSPR absente ou remplie par une mention générale de conformité, sans preuve documentaire pour chaque exigence applicable;
• une justification de classification posée comme un acquis, sans analyse de la règle pertinente de l’annexe VIII et de la destination revendiquée;
• un rapport d’évaluation clinique formel, mais pauvre en données probantes ou incapable de couvrir les revendications du fabricant;
• une équivalence invoquée sans accès suffisant aux données techniques, biologiques et cliniques du dispositif de comparaison;
• un fichier de risques qui ne se raccorde pas aux GSPR, aux essais, à la notice et aux données de surveillance;
• des risques résiduels non réévalués après une modification de conception, de matériau, de logiciel ou de fournisseur;
• des rapports d’essai fournis sans protocole clair, sans critères d’acceptation ou sans traitement documenté des écarts;
• un étiquetage qui ne reflète pas la destination, les limites d’utilisation et les avertissements retenus dans l’évaluation clinique;
• un système qualité certifié ISO 13485, mais des procédures de surveillance après commercialisation qui ne sont pas réellement exécutées;
• un PSUR sans analyse exploitable, un SCAC non déclenché ou des réclamations non intégrées à la réévaluation des risques;
• des données UDI et des informations d’enregistrement qui ne correspondent pas aux variantes et aux documents soumis à l’évaluation;
• une confusion entre la certification ISO 13485, le certificat délivré dans le cadre de l’évaluation MDR et le marquage CE;
• une conservation documentaire non garantie en cas de fin d’activité, de changement de mandataire ou de transfert de la gamme.

Aucune de ces lacunes n’est un simple défaut de forme. Elle traduit une discontinuité entre ce que le fabricant affirme, ce qu’il a évalué, ce qu’il a testé et ce qu’il peut réellement démontrer.

Le test réel de conformité

Le test de conformité d’un dossier technique classe IIa ne consiste pas à vérifier si chaque rubrique possède un document portant le bon titre. Il consiste à suivre une revendication ou une exigence à travers toute la documentation: conception, risques, validation, évaluation clinique, étiquetage, fabrication et surveillance.

Si le dispositif est revendiqué pour une destination donnée, cette destination doit rester stable dans les documents. Si un risque est maîtrisé par une limitation d’utilisation, cette limitation doit apparaître dans la notice et être prise en compte dans l’évaluation clinique. Si une performance est annoncée, son niveau doit être défini, mesuré et relié au bénéfice revendiqué. Si une modification intervient, le fabricant doit pouvoir montrer qu’il a évalué son incidence sur les risques, les essais, la clinique et la conformité réglementaire.

C’est cette lecture transversale que l’organisme notifié pratique, même lorsque ses demandes arrivent sous forme de questions séparées. Répondre à chaque question par un document isolé peut donner l’impression d’avancer tout en laissant intacte la faiblesse principale: l’absence de cohérence d’ensemble.

Verdict de l’auditeur

Le dossier technique d’un dispositif de classe IIa sous MDR n’est ni un roman ni une brochure. C’est un dossier de preuves, articulé autour de chaque exigence générale de sécurité et de performance, soutenu par une évaluation clinique documentée, entretenu par un système qualité vivant et conservé sur dix ans au minimum — quinze ans pour les dispositifs implantables.

La surveillance après commercialisation doit continuer à alimenter cette démonstration. Le PSUR et le suivi clinique après commercialisation ne sont pas des annexes décoratives. La vigilance doit être gérée selon les obligations applicables, sans confondre l’obligation de déclarer les incidents graves avec la disponibilité ou le caractère obligatoire du module de vigilance d’EUDAMED. Au 28 mai 2026, les quatre modules obligatoires concernent les opérateurs économiques, les dispositifs et les données UDI, les organismes notifiés et les certificats, ainsi que la surveillance du marché.

La recommandation tient en peu de mots: choisir la voie d’évaluation de conformité en connaissance de cause, bâtir la matrice GSPR comme une vraie matrice, traiter l’évaluation clinique comme un rapport à part entière, relier chaque mesure de maîtrise au dossier de risques et aux informations destinées à l’utilisateur, exécuter réellement le PSUR et le suivi clinique après commercialisation, puis anticiper la conservation documentaire au-delà de la vie commerciale du produit.

Le reste — le vocabulaire, les promesses du fabricant, les kits de mise en conformité et les certificats exhibés comme des trophées — regarde les vitrines. Le texte, lui, regarde les coulisses.