Norme ISO 13485 et marquage CE : quelles différences réelles ?

Norme ISO 13485 et marquage CE: quelles différences réelles?

Pourtant, un certificat ISO 13485 ne permet pas d’apposer un marquage CE sur un seul de ces produits. La confusion persiste parce que les deux dispositifs se croisent dans le même flux documentaire. Ils ne contrôlent pas le même objet.

La norme ISO 13485 encadre l’organisation qui conçoit, fabrique, installe ou maintient un dispositif médical. Le marquage CE atteste la conformité réglementaire d’un dispositif déterminé au règlement (UE) 2017/745. L’un examine la robustesse du système. L’autre engage la conformité d’un produit, de son indication, de ses performances, de ses risques et de sa surveillance après commercialisation.

Cette distinction n’est pas sémantique. Elle décide du contenu du dossier, des preuves à produire, de l’intervention d’un organisme notifié et, au bout de la chaîne, du droit de mise à disposition sur le marché européen.

Un certificat ISO 13485 valide un système de management. Le marquage CE porte sur un dispositif médical identifié, avec une destination, une classe de risque et un dossier technique propres.

Deux objets de conformité, deux mécanismes de preuve

La comparaison entre norme ISO 13485 et marquage CE devient simple dès que l’on fixe l’unité évaluée.

ISO 13485:2016 est une norme internationale de système de management de la qualité. Elle vise les organismes impliqués dans le cycle de vie des dispositifs médicaux: conception, développement, fabrication, stockage, installation, distribution, service ou activités associées. Son terrain est opérationnel. Gestion documentaire, maîtrise des fournisseurs, traitement des non-conformités, actions correctives, traçabilité, validation des processus, gestion des réclamations: le système doit produire des enregistrements cohérents et reproductibles.

Le marquage CE relève du cadre réglementaire des dispositifs médicaux. Pour les DM couverts par le règlement (UE) 2017/745, il matérialise une déclaration de conformité portant sur un produit donné. Le fabricant engage sa responsabilité par une déclaration UE de conformité. Il doit démontrer que le dispositif satisfait aux exigences générales de sécurité et de performances applicables à sa destination.

Un même fabricant peut donc présenter une architecture qualité rigoureuse et échouer sur un produit précis. Exemple classique: un système laser dispose de procédures de contrôle de production stables, de qualifications fournisseurs et d’une gestion des changements documentée. Mais son dossier clinique ne démontre pas suffisamment le bénéfice-risque pour l’indication revendiquée. Le système qualité est utilisable. Le marquage CE du dispositif, lui, reste bloqué.

À l’inverse, un dossier produit ne devient pas robuste parce qu’une entreprise détient un certificat ISO. La certification ne remplace ni l’analyse des risques, ni les essais de sécurité électrique, ni les données de performance, ni l’évaluation clinique, ni le plan de surveillance après commercialisation.

Le raccourci « ISO 13485 = certification marquage CE médical » est donc techniquement faux. Il mélange une capacité organisationnelle et une conformité produit.

Ce que le règlement impose réellement au fabricant

Le règlement (UE) 2017/745 a été publié le 5 mai 2017. Son article 10, paragraphe 9, impose au fabricant d’établir, documenter, mettre en œuvre, maintenir, actualiser et améliorer continuellement un système de gestion de la qualité. Ce système doit être proportionné à la classe de risque et au type de dispositif.

C’est ici que la confusion se densifie. Le règlement impose bien un système qualité. Il ne désigne pas ISO 13485 comme l’unique mécanisme réglementaire possible. La mise en conformité ISO 13485 et CE n’est donc pas une équation où le certificat de norme devient le laissez-passer réglementaire.

Dans la pratique, ISO 13485 fournit une matrice immédiatement exploitable pour répondre à une large partie des attentes organisationnelles du règlement. Elle donne un langage d’audit, une logique de maîtrise documentaire et une discipline des preuves. Pour un fabricant de dispositif électromédical, elle évite surtout un système fragmenté: une procédure de conception isolée, une gestion des fournisseurs indépendante, un processus de vigilance construit tardivement et des dossiers de lots impossibles à réconcilier.

Mais l’alignement n’est pas l’équivalence.

Un système de management compatible avec ISO 13485 peut ne pas couvrir avec une granularité suffisante certains points propres au règlement: responsabilités réglementaires du fabricant, exigences de la documentation technique, obligations de surveillance après commercialisation, articulation avec l’identification unique du dispositif, règles de déclaration des incidents graves ou contenu du résumé des caractéristiques de sécurité et des performances cliniques lorsque celui-ci est requis.

À la paillasse documentaire, l’écart apparaît vite. Un manuel qualité peut décrire une revue de conception. Le règlement demande ensuite de démontrer que le dispositif fini satisfait aux exigences qui s’appliquent à lui. Une procédure existe; le dossier doit prouver son exécution et son résultat. La tolérance d’erreur est nulle sur ce point.

Les trois niveaux à séparer sont les suivants:

1. Le système qualité du fabricant. Il organise les processus: contrôle des modifications, qualification des fournisseurs, libération des produits, gestion des réclamations, audits internes et actions correctives.

2. La conformité du dispositif. Elle est établie à partir de la destination revendiquée, de la classification, des exigences générales de sécurité et de performances, de l’analyse des risques et des preuves disponibles.

3. La surveillance pendant le cycle de vie. Elle capte les signaux terrain, réévalue le rapport bénéfice-risque et force, si nécessaire, la mise à jour du dossier, de l’étiquetage ou des mesures correctives.

Le fabricant qui concentre son budget sur un audit ISO sans verrouiller ces trois niveaux achète une structure. Il n’achète pas la conformité réglementaire du produit.

Le dossier technique: la zone que le certificat ISO ne couvre pas

Le marquage CE ne se construit pas à partir d’un certificat affiché dans une salle de réunion. Il se construit dans une documentation technique maintenue à jour. Pour les dispositifs autres que les dispositifs faisant l’objet d’une investigation, cette documentation est une obligation réglementaire distincte. Les annexes II et III du règlement (UE) 2017/745 en définissent l’ossature.

Pour un dispositif photonique, cette différence est particulièrement visible. Un système qualité peut encadrer la calibration d’un capteur optique et l’étalonnage d’une source. Mais le dossier technique doit établir, pour le produit concerné:

• sa description et ses variantes, avec la destination médicale exacte;
• sa classification et la justification de cette classification;
• les spécifications de conception et de fabrication;
• les exigences générales de sécurité et de performances applicables, avec une matrice de conformité traçable;
• l’analyse et la maîtrise des risques;
• les méthodes de vérification et de validation;
• les preuves de biocompatibilité, de compatibilité électromagnétique, de sécurité électrique ou logicielle lorsque ces domaines s’appliquent;
• les données de performance, y compris les performances revendiquées;
• les informations fournies avec le dispositif: étiquetage, notice, contre-indications, avertissements;
• la documentation de surveillance après commercialisation.

Dans un dispositif laser, l’écart entre processus et produit peut être matériel. Le système qualité établit comment sont gérées les dérives de puissance, les composants critiques et les changements de micrologiciel. Le dossier CE doit documenter les limites de fonctionnement du modèle concerné, les paramètres de sortie pertinents, les mesures de sécurité, les risques liés à l’énergie délivrée et les données qui soutiennent l’usage médical revendiqué. Une procédure de contrôle ne démontre pas, à elle seule, qu’une configuration donnée est acceptable pour une indication donnée.

Le marquage CE n’évalue pas la qualité abstraite d’une entreprise. Il examine si un produit défini reste sûr et performant dans les conditions d’utilisation revendiquées.

La documentation technique doit rester vivante. Une modification de matériau, de capteur, de sous-traitant critique, d’algorithme de traitement d’image ou de version logicielle ne se traite pas comme une ligne de configuration anodine. Le fabricant doit mesurer l’impact sur la conformité, les risques, les performances et les données cliniques. C’est précisément là que la qualité du système ISO 13485 devient utile: elle impose une discipline de changement. Mais la décision réglementaire reste liée au produit.

Évaluation clinique: le point de rupture entre qualité et droit de mise sur le marché

L’évaluation clinique relève directement de la conformité CE. L’article 61 et l’annexe XIV du règlement (UE) 2017/745 imposent au fabricant de conduire cette évaluation et de la documenter. Son objet est de vérifier, à partir de données cliniques suffisantes, que le dispositif atteint les performances prévues et que son rapport bénéfice-risque reste acceptable.

Un certificat ISO 13485 peut confirmer que l’entreprise possède une procédure d’évaluation clinique, une matrice de compétences et un circuit de validation. Il ne démontre pas que les données du dispositif sont suffisantes.

C’est une séparation nette. L’audit ISO s’intéresse à la maîtrise du flux de travail: qui collecte les publications, qui approuve la recherche bibliographique, qui traite les réclamations, qui déclenche la mise à jour du rapport. L’évaluation de conformité s’intéresse au contenu: les données concernent-elles réellement le dispositif? la population? l’indication? la technologie? les performances revendiquées? les risques résiduels?

Pour un logiciel médical intégrant une mesure photonique ou une aide au diagnostic, une erreur fréquente consiste à confondre validation analytique et preuve clinique. Un algorithme peut atteindre une précision technique stable sur un jeu de données contrôlé. Cette mesure ne règle pas automatiquement l’évaluation clinique. Il faut encore établir la pertinence clinique de la sortie, les conditions d’usage, les limitations, les utilisateurs visés et l’effet réel de l’outil sur la décision médicale, si une telle revendication est formulée.

L’investigation clinique n’est pas automatiquement obligatoire pour tous les dispositifs. Le règlement exige des preuves cliniques appropriées; la nécessité d’une investigation dépend notamment du dispositif, de sa classe, de sa nouveauté, de ses revendications et de la disponibilité de données pertinentes. Présenter une investigation comme une formalité universelle serait aussi imprécis que de promettre un délai standard de marquage CE.

Le délai dépend du profil de risque, de la maturité du dossier, de la qualité des preuves, de la procédure applicable, de la disponibilité de l’organisme notifié et des non-conformités relevées. Aucun chiffre unique ne tient sur banc d’essai.

Après le marquage CE, le système qualité doit produire des données

Le marquage CE n’est pas une ligne d’arrivée. C’est l’ouverture d’un cycle de surveillance avec une obligation de retour d’information. La surveillance après commercialisation, la vigilance et, lorsque requis, le suivi clinique après commercialisation alimentent l’évaluation clinique, le dossier de gestion des risques et les documents de sécurité et de performance.

La différence entre ISO 13485 et CE devient alors fonctionnelle.

ISO 13485 fournit les mécanismes internes:

• collecte et analyse des réclamations;
• traitement des produits non conformes;
• investigations de causes;
• actions correctives et préventives;
• maîtrise documentaire des mises à jour;
• surveillance des fournisseurs et sous-traitants;
• traçabilité des lots, versions et équipements lorsque le processus l’exige.

Le règlement fixe l’obligation réglementaire de transformer ces informations en décisions de conformité produit. Une hausse de réclamations n’est pas seulement une non-conformité qualité. Elle peut modifier l’analyse de risques, exiger une action de sécurité, nourrir un rapport périodique de sécurité ou imposer une déclaration de vigilance.

La dissociation est critique pour les dispositifs comportant un logiciel évolutif. Une procédure de gestion des versions peut être propre, les approbations horodatées et les essais de non-régression enregistrés. Si une mise à jour modifie une performance revendiquée, une population cible ou l’interprétation d’un signal, le fabricant doit réexaminer le dossier de conformité. La propreté du flux de travail ne dispense pas de l’analyse réglementaire.

À compter du 28 mai 2026, quatre modules d’EUDAMED deviennent obligatoires: enregistrement des acteurs, enregistrement des dispositifs et des IUD, organismes notifiés et certificats, ainsi que surveillance du marché. Cette infrastructure ne transforme pas l’enregistrement en preuve de conformité. Elle augmente la traçabilité réglementaire des acteurs, des produits et des certificats. Le dossier reste la pièce maîtresse.

ANSM, organisme notifié, fabricant: trois rôles, trois responsabilités

Parler d’« homologation ANSM » pour un dispositif médical marqué CE est un mauvais schéma de lecture. L’ANSM n’attribue pas, de manière générale, le marquage CE aux dispositifs médicaux.

L’autorité française intervient notamment dans la surveillance du marché, la vigilance, les mesures de police sanitaire, la désignation et la surveillance des organismes notifiés, ainsi que dans certains contextes d’investigations cliniques ou de dérogations exceptionnelles. Son rôle est celui d’une autorité compétente. Ce n’est pas celui d’un guichet de certification produit généralisé.

L’organisme notifié intervient dans l’évaluation de conformité lorsque la procédure applicable le requiert. Il examine les éléments pertinents du système qualité et du dossier produit selon le périmètre de son intervention. Son certificat ne déplace pas la responsabilité du fabricant: celui-ci demeure responsable de la conformité du dispositif, de la déclaration UE de conformité, de la documentation technique et de la surveillance après commercialisation.

Le fabricant, enfin, porte le dispositif sur le marché. C’est lui qui doit être capable de répondre à une question simple, mais lourde: « Montrez la preuve que cette version de ce dispositif, pour cette indication, reste conforme aujourd’hui. »

Une entreprise de classe I ne doit pas non plus conclure trop vite à l’absence totale d’organisme notifié. Des exceptions existent, notamment pour les dispositifs de classe I stériles, avec fonction de mesurage ou instruments chirurgicaux réutilisables. La classe seule ne suffit pas; la sous-catégorie et les caractéristiques du dispositif déterminent la procédure.

Verdict: ISO 13485 est un socle; le marquage CE est la décision produit

La comparaison ISO 13485 contre marquage CE ne se tranche pas par préférence. Les deux sont nécessaires dans une stratégie de mise sur le marché robuste, mais ils ne sont pas substituables.

ISO 13485 est recommandée comme infrastructure qualité. Elle stabilise les processus, rend les preuves auditables et réduit les pertes de traçabilité entre conception, production, fournisseurs, réclamations et actions correctives. Dans une organisation qui fabrique des dispositifs complexes, s’en passer expose à une documentation instable.

Le marquage CE reste non négociable pour le dispositif concerné. Il exige un dossier technique, une évaluation clinique, une gestion des risques, une surveillance après commercialisation et une déclaration UE de conformité. Aucun certificat de système ne compense l’absence de données produit suffisantes.

Le verdict est donc binaire: un certificat ISO 13485 sans dossier CE solide ne permet pas de commercialiser légalement le dispositif; un dossier CE traité sans système qualité maîtrisé finit par perdre sa cohérence au premier changement critique ou au premier signal de vigilance.