Gestion des risques ISO 14971 : les pièges de la mise en œuvre

Gestion des risques ISO 14971: les pièges de la mise en œuvre

L’AMDEC a été réalisée, les tableaux sont remplis, les signatures sont présentes; pourtant, le dossier ne permet pas toujours de comprendre comment les dangers ont été identifiés, comment les mesures de maîtrise ont été choisies ni comment leur efficacité sera suivie après la mise sur le marché.

C’est là que l’examen critique devient difficile. L’AMDEC n’est pas la gestion des risques. Un dossier figé à la fin de la conception ne répond pas à l’ambition de l’ISO 14971:2019, qui organise un processus couvrant le cycle de vie du dispositif, depuis la définition de son usage prévu jusqu’à sa fin de vie. Le problème n’est donc pas seulement documentaire. Il touche à la manière dont l’entreprise prend ses décisions de conception, arbitre les risques résiduels et exploite les informations issues du terrain.

Au-delà de l’AMDEC: repenser la gestion des risques comme un système dynamique

Le premier piège, souvent coûteux en temps d’audit, consiste à assimiler gestion des risques et AMDEC. L’AMDEC Produit ou Process est une méthode d’analyse des modes de défaillance. Elle aide à repérer les défaillances possibles d’un composant, d’une fonction ou d’une étape de fabrication. L’ISO 14971:2019 décrit pour sa part un processus plus large, centré sur les dangers, les situations dangereuses et les dommages susceptibles de toucher le patient, l’utilisateur ou un tiers.

Les deux démarches peuvent parfaitement se compléter. Elles ne produisent toutefois ni la même information ni le même niveau de preuve. Une AMDEC peut révéler qu’un capteur peut dériver, qu’un logiciel peut générer une commande incorrecte ou qu’une étape d’assemblage peut produire un défaut. Elle ne suffit pas à démontrer dans quelles circonstances ce défaut crée une situation dangereuse, quel dommage peut en résulter, comment sa probabilité doit être estimée ni quelle mesure de maîtrise est la plus pertinente.

La différence est particulièrement visible pour les dispositifs laser et les équipements actifs. Une défaillance de commande peut provoquer une émission inattendue, mais le risque clinique dépendra aussi de l’usage prévu, de la zone traitée, de l’accès à l’émission, des protections prévues, du profil de l’utilisateur et de la possibilité de détecter l’anomalie avant qu’elle ne produise un dommage. Le tableau des modes de défaillance n’est qu’un point de départ. La gestion des risques doit relier cette défaillance à un scénario d’exposition et à une conséquence clinique.

Le processus comprend notamment les activités suivantes:

• définir le dispositif, son usage prévu, les utilisateurs, l’environnement d’utilisation et les caractéristiques liées à la sécurité;
• identifier les dangers et les situations dangereuses prévisibles;
• estimer les risques associés aux dommages potentiels;
• évaluer l’acceptabilité de ces risques selon des critères définis à l’avance;
• déterminer et mettre en œuvre les mesures de maîtrise;
• vérifier que ces mesures ont bien été appliquées et qu’elles sont efficaces;
• évaluer les risques résiduels et le rapport bénéfice-risque;
• recueillir les données issues de la fabrication, de l’utilisation et de la surveillance après commercialisation.

Cette dernière dimension change complètement la nature du dossier. La gestion des risques n’est pas terminée lorsque la conception est gelée ou lorsque le dossier technique est envoyé à l’organisme notifié. Les plaintes, les incidents, les erreurs d’utilisation observées, les évolutions de l’état de l’art et les résultats du suivi clinique peuvent modifier l’appréciation initiale.

Une AMDEC décrit des défaillances possibles; la gestion des risques doit démontrer ce qu’elles signifient pour la sécurité, comment elles sont maîtrisées et ce qui se passe lorsque le dispositif rencontre la réalité du terrain.

Pour fixer les différences, il est utile de comparer les deux approches sans les opposer artificiellement:

L’indice de criticité ou le RPN peut aider à organiser une analyse interne. Il ne constitue pas, à lui seul, une estimation conforme au raisonnement de l’ISO 14971. Deux modes de défaillance peuvent obtenir le même score tout en présentant des profils cliniques très différents. À l’inverse, un indice faible ne signifie pas automatiquement que le risque est acceptable. La valeur d’un tableau ne se mesure donc pas au nombre de lignes remplies, mais à la qualité du lien entre défaillance, exposition, dommage et mesure de maîtrise.

Planification contre résultats: structurer le dossier de gestion des risques selon l’ISO 14971:2019

Le plan de gestion des risques et le dossier de gestion des risques ne sont pas deux noms pour le même document. Le plan explique comment l’entreprise entend conduire le processus. Le dossier rassemble les résultats obtenus et les preuves associées. Cette distinction paraît élémentaire, mais elle disparaît régulièrement dans les dossiers de dispositifs médicaux.

Un fabricant peut produire une analyse détaillée et ne disposer d’aucun plan réellement exploitable. Dans ce cas, les tableaux montrent ce qui a été fait, mais pas selon quelles règles les décisions ont été prises. Les critères d’acceptabilité peuvent avoir changé en cours de projet, les responsabilités peuvent être implicites et le lien avec les essais de vérification ou de validation peut rester difficile à établir.

Le plan doit notamment préciser:

• le dispositif couvert et ses variantes, accessoires, logiciels, consommables et interfaces pertinentes;
• les étapes du cycle de vie prises en compte, de la conception à la mise au rebut;
• les utilisateurs prévus et les utilisateurs raisonnablement prévisibles;
• les méthodes utilisées pour identifier les dangers et les situations dangereuses;
• les échelles et les règles d’estimation de la probabilité et de la gravité;
• les critères d’acceptabilité du risque, définis avant l’analyse et appliqués de manière cohérente;
• les responsabilités relatives à l’analyse, à la validation, à l’approbation et à la mise à jour;
• les liens avec la vérification, la validation, l’aptitude à l’utilisation, l’évaluation clinique et la surveillance après commercialisation;
• les modalités de revue du dossier lorsque des informations nouvelles apparaissent.

Le plan n’a pas besoin d’être un document volumineux pour être utile. Il doit surtout permettre à un lecteur extérieur de comprendre la logique du fabricant. Une simple mention de l’utilisation d’une AMDEC, accompagnée d’une échelle de sévérité et de probabilité, ne décrit ni le processus ni les décisions attendues. Elle ne dit pas comment sont traitées les erreurs d’utilisation, les interactions avec d’autres dispositifs, les risques liés au logiciel, les conditions anormales d’utilisation ou les informations remontées après la commercialisation.

Le rôle des critères d’acceptabilité

Les critères d’acceptabilité sont un autre point sensible. Ils doivent être définis avant que les résultats de l’analyse ne soient connus. Sinon, le fabricant risque d’ajuster implicitement la méthode pour faire entrer les résultats dans une zone acceptable. Ce biais peut être difficile à repérer dans un tableau final, mais il apparaît lorsque les règles changent d’un dispositif à l’autre sans justification ou lorsque la frontière entre risque acceptable et risque inacceptable n’est pas expliquée.

La question n’est pas de trouver une matrice universelle. Une matrice peut être pertinente pour un dispositif et mal adaptée à un autre. Ce qui compte est la cohérence de la méthode avec la gravité des dommages envisagés, l’usage prévu, les données cliniques disponibles et le niveau de maîtrise réellement accessible par la conception.

La documentation doit aussi permettre de suivre les décisions. Lorsqu’une mesure de maîtrise est envisagée puis écartée, le dossier doit expliquer pourquoi. Lorsqu’un risque est considéré comme acceptable, cette conclusion doit reposer sur les critères établis et sur les informations disponibles, pas sur l’absence d’incident connu. L’absence de signal n’est pas toujours une preuve d’absence de risque: elle peut aussi refléter une durée d’utilisation limitée, une faible capacité de détection ou un système de retour d’information insuffisant.

L’interconnexion critique entre aptitude à l’utilisation et sécurité du patient

Les erreurs d’utilisation ne sont pas de simples défauts de rédaction de la notice. Elles peuvent créer des situations dangereuses, même lorsque le dispositif fonctionne conformément à ses spécifications techniques. Une commande mal comprise, un retour d’information ambigu, une alarme ignorée ou une séquence d’utilisation mal conçue peuvent conduire à une exposition inappropriée, à un retard de traitement ou à une décision clinique erronée.

La norme IEC 62366-1, consacrée à l’ingénierie de l’aptitude à l’utilisation, apporte le cadre nécessaire pour analyser ces situations. Son rôle n’est pas de vérifier, à la fin du projet, si la notice est lisible. Elle impose une démarche de conception et d’évaluation centrée sur les interactions entre l’utilisateur et le dispositif. Cette démarche doit alimenter la gestion des risques lorsqu’une erreur d’utilisation peut contribuer à un dommage.

Le piège courant consiste à traiter l’aptitude à l’utilisation comme une activité indépendante, menée en parallèle de l’analyse des risques puis résumée dans un rapport final. Dans un dossier solide, les deux sujets se répondent:

1. l’usage prévu et les profils d’utilisateurs orientent l’analyse des tâches;

2. l’analyse des tâches fait apparaître les erreurs d’utilisation prévisibles;

3. ces erreurs sont reliées aux situations dangereuses possibles;

4. les mesures de maîtrise sont recherchées d’abord dans la conception;

5. les essais d’aptitude à l’utilisation vérifient que ces mesures fonctionnent dans des conditions représentatives;

6. les résultats des essais sont répercutés dans le dossier de gestion des risques.

Pour un dispositif laser, cette articulation peut concerner le choix du mode d’émission, la sélection d’un paramètre, l’identification de la zone traitée, la confirmation d’un accessoire, la compréhension d’une alarme ou la distinction entre un état prêt et un état actif. La notice peut compléter le dispositif, mais elle ne devrait pas être la réponse principale à une erreur grave qui pourrait être empêchée par une interface, un verrouillage, une architecture de commande ou un retour d’information plus clair.

Une instruction supplémentaire ne neutralise pas nécessairement un risque. Elle suppose que l’utilisateur la lise, la comprenne, la mémorise et l’applique dans le contexte réel. Ce niveau de dépendance doit être justifié, en particulier lorsque les conséquences potentielles sont sévères ou lorsque l’environnement de travail est contraint.

Quand l’erreur humaine devient un problème de conception

Parler d’erreur humaine ne doit pas conduire à déplacer la responsabilité vers l’utilisateur. Dans de nombreux cas, l’erreur est favorisée par le dispositif lui-même: information insuffisante, logique de commande inattendue, signal d’alarme peu discriminant, configuration par défaut inadaptée ou absence de confirmation avant une action irréversible.

L’analyse doit donc dépasser la question de savoir si l’utilisateur a suivi la procédure. Elle doit examiner si la procédure est compréhensible, si l’action attendue est compatible avec le contexte et si le dispositif offre des moyens raisonnables de détecter ou de récupérer une erreur. Cette approche est particulièrement importante pour les dispositifs utilisés sous pression, avec des gants, une visibilité réduite, une formation variable ou plusieurs équipements présents simultanément.

Réduction des risques et rapport bénéfice-risque: les exigences du règlement MDR

Le règlement (UE) 2017/745 ne demande pas seulement que les risques soient recensés. Il impose une logique de réduction des risques et une évaluation du rapport bénéfice-risque qui doit rester cohérente avec l’usage prévu, l’évaluation clinique et les données disponibles.

Le choix des mesures de maîtrise suit une hiérarchie connue: agir autant que possible sur la conception et la fabrication, ajouter des protections lorsque la réduction à la source ne suffit pas, puis fournir les informations nécessaires à la sécurité. Cette hiérarchie est essentielle dans les dossiers de dispositifs actifs et laser. Une mise en garde ne compense pas automatiquement l’absence d’un dispositif de protection, d’un verrouillage ou d’une conception empêchant une commande dangereuse.

La formulation européenne relative à la réduction des risques est importante. Le fabricant doit rechercher les possibilités de réduction applicables et expliquer les décisions prises. Il ne suffit pas de déclarer qu’une solution n’a pas été retenue parce qu’elle serait difficile à intégrer ou parce qu’elle augmenterait la complexité du dispositif. Le dossier doit montrer que les options pertinentes ont été examinées et que les compromis ont été évalués au regard de la sécurité et des performances cliniques.

Trois conséquences pratiques en découlent.

1. Chaque risque doit conduire à une décision traçable

Pour chaque situation dangereuse significative, le dossier doit permettre de voir quelles mesures ont été envisagées, lesquelles ont été retenues et comment leur efficacité a été vérifiée. Une mesure de maîtrise n’est pas seulement une action inscrite dans une colonne. Elle doit être reliée à une exigence de conception, à un essai, à une inspection, à une validation ou à une information de sécurité.

Une mesure peut également créer un nouveau risque. L’ajout d’un verrouillage, par exemple, peut modifier le déroulement de l’utilisation; une alarme supplémentaire peut augmenter la charge cognitive; une protection physique peut limiter l’accès à une zone nécessaire au traitement. La maîtrise des risques doit tenir compte de ces effets secondaires, au lieu de considérer chaque mesure comme bénéfique par définition.

2. Le rapport bénéfice-risque ne remplace pas la réduction du risque

Un bénéfice clinique important ne dispense pas de rechercher une mesure de réduction raisonnablement disponible. Le rapport bénéfice-risque intervient lorsque des risques résiduels subsistent après l’application des mesures de maîtrise appropriées. Il ne doit pas servir à justifier trop tôt une architecture qui aurait pu être rendue plus sûre.

L’évaluation doit prendre en compte la gravité et la probabilité du dommage, la nature du bénéfice attendu, la population concernée, les alternatives disponibles et les données cliniques pertinentes. Une appréciation globale, placée en fin de dossier, ne suffit pas toujours à expliquer pourquoi un risque particulier reste acceptable.

3. Les documents réglementaires doivent raconter la même histoire

Le dossier de gestion des risques, l’évaluation clinique, les informations fournies avec le dispositif et les données de surveillance après commercialisation doivent être cohérents. Une limitation d’utilisation présentée comme essentielle dans l’analyse des risques ne peut pas disparaître de la notice. Un effet indésirable décrit dans les données cliniques ne devrait pas être absent de l’évaluation des risques. Un signal récurrent issu des réclamations doit pouvoir être retrouvé dans les revues du dossier.

Pour les dispositifs concernés, cette cohérence s’étend également au résumé des caractéristiques de sécurité et des performances. L’organisme notifié cherchera moins une répétition mot pour mot qu’une logique commune: mêmes usages, mêmes populations, mêmes limitations, mêmes mesures de maîtrise et même appréciation du risque résiduel.

Boucle fermée: intégrer les données de surveillance après commercialisation

La surveillance après commercialisation est souvent traitée comme une obligation réglementaire séparée, gérée par une autre équipe et rangée dans un autre répertoire. Cette séparation organisationnelle devient un problème lorsque les données de PMS, de PMCF ou de matériovigilance ne retournent pas effectivement dans le dossier de gestion des risques.

La boucle doit fonctionner dans les deux sens. Le dossier de gestion des risques définit certains besoins de surveillance: événements à suivre, signaux à rechercher, utilisateurs ou conditions d’emploi nécessitant une attention particulière. En retour, les informations collectées après la mise sur le marché peuvent confirmer les hypothèses initiales, les remettre en cause ou faire apparaître un scénario qui n’avait pas été suffisamment étudié.

Les sources pertinentes comprennent notamment:

• les incidents et les quasi-incidents;
• les réclamations et les retours des utilisateurs;
• les interventions du service après-vente;
• les rapports de matériovigilance et les actions correctives de sécurité;
• les résultats du suivi clinique après commercialisation;
• les données de production indiquant une dérive ou une récurrence;
• les publications et les informations disponibles sur des dispositifs comparables;
• les évolutions de l’état de l’art et des pratiques cliniques;
• les changements de logiciel, de fournisseur, de matériau, d’accessoire ou de procédé.

Toutes ces informations ne justifient pas automatiquement une révision complète du dossier. Elles doivent en revanche faire l’objet d’une évaluation documentée. La question est de savoir si elles modifient un danger connu, la probabilité ou la gravité d’un dommage, l’efficacité d’une mesure de maîtrise, l’acceptabilité d’un risque résiduel ou le rapport bénéfice-risque du dispositif.

Le signal faible mérite une analyse, pas seulement un classement

Un événement isolé peut sembler insuffisant pour justifier une action. Il peut pourtant révéler une faiblesse de conception, une mauvaise compréhension d’une instruction ou une condition d’utilisation mal couverte. À l’inverse, plusieurs réclamations ne constituent pas automatiquement un nouveau risque si elles concernent un phénomène déjà correctement évalué et maîtrisé.

Le travail consiste à rechercher les tendances et les liens entre les données. Une même anomalie peut apparaître sous des formes différentes dans les plaintes, les rapports de maintenance et les retours des commerciaux. Si chaque service utilise sa propre terminologie, le signal peut rester invisible. La gestion des risques exige alors une consolidation suffisamment structurée pour permettre une lecture transversale.

Lorsqu’une information est significative, le fabricant doit pouvoir montrer ce qui a été décidé: révision d’une analyse, modification d’un essai, amélioration d’une interface, changement d’étiquetage, mise à jour de la formation, action corrective ou justification de l’absence d’action. La trace de cette décision est aussi importante que la modification elle-même.

Une non-conformité relevée sur ce point peut avoir des conséquences réglementaires et opérationnelles sérieuses: demande de compléments, nécessité de réviser le dossier, actions correctives, surveillance renforcée ou difficultés dans la poursuite de l’évaluation de conformité. Ces conséquences dépendent du contexte, de la nature de l’écart et de la capacité du fabricant à démontrer la maîtrise du risque; elles ne se traduisent pas automatiquement par une durée déterminée d’arrêt de commercialisation.

Ce que les fabricants doivent corriger en priorité

La conformité à l’ISO 14971 ne se joue pas dans le volume de documentation livré à l’auditeur. Elle se joue dans la cohérence du raisonnement et dans la capacité de l’organisation à maintenir ce raisonnement lorsque le dispositif évolue ou que de nouvelles données apparaissent.

Trois chantiers permettent généralement de remettre un dossier sur de bons rails:

1. Séparer clairement le plan de gestion des risques et les résultats de l’analyse. Le plan doit expliquer la méthode, les responsabilités, les critères d’acceptabilité et les liens avec les autres activités. Le dossier doit ensuite rassembler les preuves produites et les décisions prises.

2. Traduire les résultats des AMDEC dans le langage de l’ISO 14971. Un mode de défaillance doit être relié à une situation dangereuse, à une séquence d’événements, à un dommage possible et à une estimation argumentée. Un RPN ne peut pas remplacer cette démonstration.

3. Organiser le retour des informations vers le dossier. Les changements de conception, les incidents, les plaintes, les résultats cliniques et les évolutions de l’état de l’art doivent déclencher une évaluation. La fréquence des revues doit être définie selon le dispositif et les sources de données; une date annuelle ajoutée mécaniquement au document ne suffit pas.

4. Relier l’aptitude à l’utilisation à l’analyse des risques. Les erreurs prévisibles doivent être prises en compte dès la conception et vérifiées dans des conditions représentatives. La notice ne doit pas devenir la réponse par défaut à une faiblesse d’interface.

5. Documenter les arbitrages. Lorsqu’une mesure de réduction n’est pas retenue, lorsqu’un risque résiduel est accepté ou lorsqu’une donnée nouvelle ne conduit pas à une action, la justification doit être compréhensible et vérifiable.

Un organisme notifié n’attend pas un dossier théorique dans lequel aucun risque ne subsisterait. Il cherche la preuve d’un processus vivant, proportionné au dispositif et capable d’intégrer les informations nouvelles. Les tableaux AMDEC, les plans copiés d’un projet précédent et les notices très détaillées ne peuvent pas tenir lieu de cette preuve.

La gestion des risques des dispositifs médicaux, et plus encore celle des dispositifs laser ou photoniques, demande une continuité entre la conception, la validation, l’usage et la surveillance. C’est cette continuité qui transforme une analyse documentaire en véritable système de maîtrise. L’ISO 14971:2019 ne demande pas seulement de savoir quels risques ont été identifiés; elle demande de montrer comment l’entreprise les comprend, les réduit, les réévalue et apprend de leur comportement sur le terrain.