Norme ISO 13485 ou MDSAP: critères de choix pour le fabricant de dispositifs médicaux

Confondre les deux revient à confondre un référentiel et une voie d’accès auditée à plusieurs autorités.

Le point de rupture est géographique. Un fabricant qui ne vise que l’Union européenne n’obtient aucun raccourci MDR en choisissant le MDSAP. Un fabricant qui met un dispositif de classe II, III ou IV sur le marché canadien ne peut pas l’éviter: le certificat ISO 13485 doit être émis dans le cadre MDSAP. Entre ces deux extrêmes, le choix n’est ni académique ni marketing. Il conditionne la charge d’audit, la structure documentaire, les compétences réglementaires mobilisées et le risque de voir le périmètre d’audit redéfini lors d’un cycle ultérieur, lorsque l’écart entre la portée certifiée et la réalité opérationnelle devient trop visible pour être ignoré.

ISO 13485 organise le système qualité. Le MDSAP teste ce système contre plusieurs juridictions. Aucun des deux ne remplace le dossier technique MDR.

Fondements et périmètre: ISO 13485 face à l’approche MDSAP

ISO 13485:2016, troisième édition publiée en mars 2016, fixe les exigences applicables aux organisations qui conçoivent, produisent, installent ou maintiennent des dispositifs médicaux et des services associés. Elle structure le système qualité autour de la maîtrise documentaire, des fournisseurs, de la production, des non-conformités, des actions correctives et préventives, de la traçabilité et de la surveillance.

C’est une norme de système. Elle ne délivre pas une autorisation de mise sur le marché. Elle ne classe pas un dispositif. Elle n’évalue pas, à elle seule, la démonstration clinique d’un laser dermatologique, la biocompatibilité d’un implant, la cybersécurité d’un logiciel de radiologie ou l’aptitude au nettoyage d’un accessoire réutilisable.

La certification ISO 13485 est également distincte de l’application de la norme. ISO ne certifie pas les fabricants. Une société peut déployer les exigences de la norme sans détenir de certificat tiers. Dans la pratique industrielle, le certificat est néanmoins demandé par des donneurs d’ordre, des distributeurs, des investisseurs et, selon le marché visé, par les autorités elles-mêmes.

Le MDSAP — Medical Device Single Audit Program — ne constitue pas une « ISO 13485 renforcée » au sens vague du terme. C’est un programme d’audit réglementaire unique. L’audit est effectué par un organisme reconnu et examine la conformité du fabricant à ISO 13485, augmentée des exigences applicables dans les juridictions participantes:

• Australie, via la TGA;
• Brésil, via l’ANVISA;
• Canada, via Health Canada;
• Japon, via le MHLW et la PMDA;
• États-Unis, via la FDA.

L’Union européenne n’est pas une autorité membre du programme. Elle y participe comme observateur officiel. Cette distinction est nette. Un rapport MDSAP ne constitue pas un audit MDR, ne remplace pas l’intervention d’un organisme notifié et ne ferme aucune non-conformité liée à l’annexe IX du règlement (UE) 2017/745.

Le comparatif utile ne porte donc pas sur une prétendue qualité intrinsèque de deux labels. Il porte sur le flux de travail réellement imposé au fabricant.

Dans un environnement de photonique médicale, cette différence devient rapidement visible. Le fabricant d’une plateforme laser ne documente pas seulement la calibration d’énergie en joules, la répétabilité de fluence, la dérive de longueur d’onde ou la dissipation thermique du module. Il doit démontrer que ces caractéristiques sont intégrées dans un système de conception maîtrisé: exigences d’entrée, vérification, validation, gestion des changements, libération de production, traitement des réclamations et CAPA.

ISO 13485 fournit la mécanique. MDSAP vérifie que cette mécanique absorbe aussi les obligations réglementaires des pays couverts. Ce n’est pas une nuance de vocabulaire. C’est une profondeur d’audit différente.

La réalité européenne: le MDR ne se résume pas au certificat qualité

Depuis le 26 mai 2021, le règlement (UE) 2017/745 impose au fabricant d’établir, documenter, mettre en œuvre, maintenir, actualiser et améliorer un système de management de la qualité proportionné à la classe de risque et au type de dispositif. La formule « proportionné » est souvent mal lue. Elle ne signifie pas allégé par défaut. Elle signifie calibré sur le risque résiduel, les fonctions cliniques, le niveau d’invasivité, la durée de contact, la criticité logicielle et le profil d’utilisation.

Un dispositif de classe I non stérile et un système laser de classe IIb avec logiciel embarqué, consommables, interverrouillages de sécurité et maintenance sur site ne présentent pas le même volume de preuves. Dans le second cas, le SMQ doit tenir une chaîne complète, sans discontinuité entre conception et terrain.

Sous MDR, le système qualité couvre notamment:

• la stratégie de conformité réglementaire;
• la gestion des risques;
• l’évaluation clinique et le suivi clinique après commercialisation;
• la réalisation du produit;
• l’identification unique des dispositifs, ou UDI;
• la surveillance après commercialisation;
• la vigilance;
• les actions correctives et préventives.

C’est précisément le point où le certificat ISO 13485 est fréquemment surinterprété. Il atteste qu’un système qualité a été audité selon un périmètre donné. Il ne prouve pas que la documentation technique est complète. Il ne remplace ni le rapport d’évaluation clinique, ni le plan de surveillance après commercialisation, ni les rapports périodiques de sécurité lorsqu’ils sont requis, ni l’analyse bénéfice-risque actualisée.

Pour un équipement de diagnostic optique, le dossier MDR doit pouvoir relier une exigence clinique à une exigence système, puis à une méthode de vérification. Exemple: une limite de puissance optique n’est pas un chiffre isolé dans une fiche de spécification. Elle doit se retrouver dans les exigences de conception, l’analyse de risque, les protocoles de vérification, les tolérances de production, les critères de réception et, si nécessaire, la procédure de service. Une dérive de 5 % peut être sans effet sur une mesure de laboratoire et devenir significative si elle affecte un seuil décisionnel clinique ou un dispositif de sécurité.

Les normes harmonisées publiées au Journal officiel de l’Union européenne restent volontaires. Leur application apporte une présomption de conformité pour les exigences qu’elles couvrent. Elle ne dispense jamais le fabricant de démontrer l’adéquation de son dispositif au MDR. Le piège est double:

1. traiter ISO 13485 comme si elle couvrait l’intégralité du règlement;

2. utiliser un certificat MDSAP comme argument de marquage CE.

Les deux raisonnements échouent en audit. Le premier laisse des trous dans la documentation réglementaire. Le second mélange des cadres juridictionnels qui ne se substituent pas l’un à l’autre.

La bonne architecture européenne part du MDR, pas du certificat. On définit d’abord la qualification du produit, sa classe, son usage prévu, les règles de classification, le parcours d’évaluation de conformité et l’intervention éventuelle d’un organisme notifié. Le SMQ est ensuite configuré pour supporter ce parcours. ISO 13485 est alors un outil solide. Le MDSAP, lui, ne devient rationnel que si la feuille de route commerciale dépasse l’Europe.

Stratégie d’exportation: quand le MDSAP devient un levier incontournable

Le Canada tranche le débat. Pour les fabricants de dispositifs médicaux de classes II, III et IV, un certificat de système qualité ISO 13485 émis par un organisme d’audit reconnu MDSAP est requis. Pour les classes III et IV, le certificat couvre la conception et la fabrication. Une certification ISO 13485 conventionnelle, même techniquement robuste, ne satisfait donc pas seule cette exigence.

Le MDSAP devient également cohérent lorsque le fabricant prévoit une présence réelle sur plusieurs marchés participants. Le mot utile est « réelle ». Il ne suffit pas d’inscrire les États-Unis ou le Japon sur une présentation investisseurs. Il faut un programme produit, une stratégie d’enregistrement, des ressources réglementaires et un calendrier de lancement compatibles avec l’effort demandé.

Le passage MDSAP depuis ISO 13485 mérite une analyse de delta, pas une simple extension de certificat. Le fabricant doit identifier, processus par processus, les exigences nationales additionnelles qui affectent ses preuves. Les écarts se concentrent rarement dans le manuel qualité. Ils apparaissent dans les zones où le terrain réglementaire touche le produit:

• gestion des enregistrements et des changements;
• traitement des réclamations et remontées de vigilance;
• articulation entre distributeur, importateur, fabricant légal et sous-traitant;
• traçabilité des activités de conception;
• contrôle des fournisseurs critiques;
• validation des procédés spéciaux;
• maintien des preuves de libération;
• gestion des actions correctives sur plusieurs territoires.

Pour une PME européenne de dispositifs médicaux, le déclencheur MDSAP est généralement l’un des trois suivants.

1. Le Canada fait partie du lancement initial. Ici, le choix n’est pas stratégique: il est imposé par le cadre applicable aux classes II à IV. Retarder l’entrée MDSAP revient à décaler la trajectoire canadienne.

2. Le portefeuille vise au moins deux autorités participantes à horizon court. Un audit unique peut réduire la répétition des visites et créer une base documentaire plus homogène. Il ne supprime pas les obligations locales hors audit, mais il diminue la fragmentation du système qualité.

3. Le fabricant subit déjà une multiplication des audits clients et réglementaires. Le MDSAP peut alors devenir une architecture de consolidation. À une condition: que le périmètre certifié recouvre réellement les activités, les sites et les familles de produits concernées.

Le MDSAP est en revanche mal dimensionné dans deux configurations fréquentes: un fabricant exclusivement européen sans projet d’export établi, ou une structure dont le SMQ ISO 13485 est encore instable. Dans ce cas, l’audit multi-juridictions ne corrige rien. Il amplifie les défauts de conception documentaire, de qualification fournisseur ou de gestion CAPA.

Ajouter le MDSAP à un système ISO 13485 immature ne crée pas de conformité. Cela augmente seulement la surface d’audit.

Il faut aussi neutraliser une attente erronée concernant les États-Unis. Le MDSAP est volontaire pour la FDA. Un certificat ISO 13485 ne protège pas le fabricant d’une inspection FDA. Un rapport MDSAP peut être accepté par l’agence en remplacement de certaines inspections de routine, mais la FDA conserve sa capacité d’inspection. Le MDSAP réduit une redondance possible; il ne retire pas l’autorité de contrôle.

Cycle de vie et exigences d’audit: la charge opérationnelle réelle

Un audit n’est pas un événement annuel isolé. C’est la sortie visible d’un système qui doit produire des enregistrements exploitables 365 jours par an. C’est encore plus vrai pour les fabricants de dispositifs à haute composante technologique: laser de chirurgie, capteur photonique, logiciel d’aide au diagnostic, générateur RF ou système robotisé.

Le cycle MDSAP s’étend sur trois ans. Il comprend un audit initial complet, deux audits annuels de surveillance partiels, puis un audit complet de recertification. La durée maximale de validité du certificat est de trois ans.

Ce rythme produit une contrainte opérationnelle nette. Le fabricant ne peut pas traiter la surveillance comme une répétition comprimée de l’audit initial. Les auditeurs suivent une logique de tâches et de processus. Une CAPA ouverte sur une non-conformité de production peut conduire vers la validation du procédé, le fournisseur de sous-ensembles optiques, le contrôle à réception, le dossier de lot, la compétence du personnel, la procédure de libération et la gestion des réclamations. Un écart isolé devient rapidement une chaîne de preuves insuffisante.

Les écarts les plus coûteux ne sont pas toujours les plus spectaculaires. Un générateur laser peut atteindre la puissance nominale lors d’un essai de réception et rester non maîtrisé réglementairement si le fabricant ne démontre pas:

• la tolérance d’erreur acceptée sur la mesure de puissance;
• la fréquence de recalibrage des instruments;
• la traçabilité métrologique;
• les critères de libération du lot;
• le traitement des résultats hors spécification;
• la qualification du sous-traitant qui assemble le module;
• l’analyse de risque associée à une dérive de performance;
• le lien entre la dérive constatée et les actions de terrain éventuelles.

L’audit ISO 13485 vérifie déjà une partie substantielle de cette chaîne. L’audit MDSAP demande en plus que la chaîne tienne face aux exigences des juridictions retenues. Le gain n’est donc pas « moins d’audits » dans l’absolu. Le gain, lorsqu’il existe, est une réduction de la duplication entre autorités et une meilleure cohérence d’audit.

La décision doit aussi intégrer la conservation des documents. Sous MDR, le fabricant conserve la documentation pendant au moins dix ans après la mise sur le marché du dernier dispositif couvert par la déclaration UE de conformité. Pour certains dispositifs implantables, les exigences de conservation sont plus longues. Ce point affecte directement l’architecture numérique: droits d’accès, intégrité des versions, signature électronique, archivage des dossiers de conception, traçabilité des modifications logicielles et capacité à reconstituer un état documentaire historique.

Un outil de gestion documentaire mal paramétré ne se voit pas dans un organigramme. Il se voit lorsqu’un auditeur demande la version exacte de l’analyse de risque associée à un changement de firmware, puis la preuve que la validation correspondante a été approuvée avant libération. Si la chaîne prend 40 minutes à reconstruire, le problème n’est pas l’ergonomie du logiciel. C’est la maîtrise de configuration.

Ce que le MDSAP ne couvre pas à votre place

Le MDSAP améliore l’efficience d’un programme d’audit. Il ne transforme pas une stratégie réglementaire incomplète en stratégie acceptable. Cette limite doit être formulée sans ambiguïté, car elle conditionne l’allocation des budgets.

Ni ISO 13485 ni MDSAP ne remplacent:

• la qualification réglementaire du produit et sa classification;
• la documentation technique exigée pour le marquage CE;
• l’évaluation clinique;
• le plan et les données de surveillance après commercialisation;
• le suivi clinique après commercialisation lorsque requis;
• la vigilance et les déclarations d’incidents;
• les enregistrements nationaux et obligations d’importation;
• les exigences spécifiques de cybersécurité pour les logiciels de dispositif;
• la conformité aux normes de sécurité électrique, de compatibilité électromagnétique et d’aptitude à l’utilisation;
• les démonstrations de biocompatibilité, de performance analytique ou de validation logicielle selon IEC 62304;
• les autorisations locales préalables à la mise sur le marché, qui restent du ressort de chaque autorité nationale.

Un cas fréquent illustre ce point. Une plateforme de photothérapie reçoit un certificat MDSAP sans observation majeure. Le rapport d’audit valide le SMQ, les contrôles de production, la libération de lots et la gestion des réclamations. Quelques mois plus tard, la même plateforme fait l’objet d’une remarque FDA sur la soumission 510(k), puis d’une question européenne sur l’équivalence clinique revendiquée. Aucun de ces deux points n’est du ressort de l’audit MDSAP. Le certificat reste valide. Le dossier de mise sur le marché, lui, n’avance pas.

Le même raisonnement vaut pour les logiciels embarqués. ISO 13485:2016 a élargi la notion de logiciel en intégrant les exigences relatives au cycle de vie logiciel dans le SMQ. Le MDSAP hérite de cette intégration. Mais la validation selon IEC 62304, la cybersécurité selon les pratiques attendues par la FDA ou la maîtrise des risques logiciels selon ISO 14971 restent des exercices de documentation technique distincts. Ils ne sont pas « couverts » par un certificat système, quelle que soit la maturité de l’audit.

Il faut également rappeler une limite souvent oubliée. Le périmètre d’audit n’est pas un acquis permanent. Il se négocie à chaque cycle, en fonction de l’évolution du portefeuille, des sites de production, des familles de produits, des sous-traitants critiques et des activités de conception effectivement exercées. Une extension mal préparée du périmètre déclenche presque mécaniquement des non-conformités documentaires: processus récemment intégrés sans preuves suffisantes, familles de produits hétérogènes rassemblées sous un même périmètre sans matrice de couverture claire, sites satellites insuffisamment préparés. À l’inverse, un périmètre trop étroit crée des angles morts qui ressortent lors d’une inspection ciblée d’une autorité.

C’est pourquoi la vraie question n’est pas « ISO 13485 ou MDSAP ». Elle est: quelle structure réglementaire mon produit exige-t-il, sur quels marchés doit-il réellement être disponible, et quel système qualité rend cette trajectoire tenable sans reconstruire la documentation à chaque étape. Le certificat vient ensuite. Il n’est ni le point de départ, ni la garantie finale. C’est un indicateur de maturité du système, daté, révisable, et soumis à l’épreuve du terrain.

La conformité se gagne dans la documentation technique et la pratique du SMQ. Le certificat n’en est que la photographie, prise à un instant donné.