Normes ISO 13485 et marquage CE : deux piliers de la conformité

Normes ISO 13485 et marquage CE: deux piliers de la conformité

Ces deux éléments sont souvent présentés ensemble dans les dossiers réglementaires, mais ils ne couvrent pas le même objet, la même obligation ni le même niveau de preuve.

La différence entre les normes ISO 13485 et le marquage CE tient à une séparation simple: l’ISO 13485 structure le système de management de la qualité du fabricant; le marquage CE atteste la conformité réglementaire d’un dispositif médical déterminé. Le premier concerne l’organisation et ses processus. Le second concerne le produit, son utilisation prévue, ses risques et son accès au marché européen.

Confondre les deux crée une faille de conformité. Elle peut apparaître dans le dossier technique, dans la classification du dispositif, dans la gestion des risques ou lors d’un audit d’organisme notifié.

Nature juridique: référentiel volontaire contre obligation réglementaire

L’ISO 13485:2016 est une norme internationale dédiée au système de management de la qualité des dispositifs médicaux. Elle couvre les processus qui encadrent le cycle de vie du produit: conception, développement, achats, production, traçabilité, libération, surveillance après commercialisation et traitement des non-conformités.

La certification ISO 13485 est délivrée à une organisation dont le système qualité a été évalué par un organisme de certification. Elle ne certifie pas directement chaque dispositif médical fabriqué. Elle vérifie que l’entreprise dispose d’un ensemble de processus documentés, appliqués et contrôlés.

Le marquage CE répond à une autre logique. Dans l’Union européenne, il constitue une obligation légale pour mettre un dispositif médical sur le marché. Il matérialise la déclaration de conformité du fabricant après application de la procédure d’évaluation adaptée au produit et à sa classe de risque.

Le cadre central est le Règlement (UE) 2017/745 relatif aux dispositifs médicaux, appelé MDR. Adopté en 2017, il est devenu applicable en 2021. Le règlement définit les exigences générales de sécurité et de performance, les règles de classification et les modalités de surveillance du dispositif après sa mise sur le marché.

Le marquage CE n’est donc pas une certification générique de l’entreprise. Il s’attache à un produit défini, à une destination médicale et à un périmètre de conformité précis.

L’ISO 13485 contrôle la mécanique qualité de l’entreprise. Le marquage CE autorise le dispositif conforme à entrer sur le marché européen.

La certification ISO 13485 n’est pas juridiquement obligatoire en tant que telle. En revanche, le MDR impose au fabricant de mettre en place un système de management de la qualité proportionné à son activité et à la classe du dispositif. Dans la pratique, l’ISO 13485 constitue le référentiel de référence pour démontrer cette maîtrise.

La nuance est déterminante. Dire que l’ISO 13485 est obligatoire est juridiquement imprécis. Dire qu’elle est facultative au sens opérationnel est tout aussi trompeur, en particulier pour les dispositifs des classes IIa, IIb et III, ou pour les fabricants qui doivent démontrer une maîtrise documentaire et industrielle robuste.

ISO 13485: ce que la norme contrôle réellement

L’ISO 13485 ne vérifie pas seulement l’existence d’un manuel qualité. Elle impose une architecture de processus capable de produire des dispositifs conformes de manière répétable.

Le point critique n’est pas la quantité de documents. C’est la capacité à relier chaque exigence à une preuve exploitable. Une procédure de gestion des risques sans enregistrement d’application ne constitue pas une maîtrise. Une instruction de production non reliée aux contrôles de libération ne garantit pas la conformité du produit. Un formulaire signé après coup ne remplace pas une donnée générée au moment du processus.

Dans un système ISO 13485 correctement construit, les flux suivants doivent être cohérents:

• les exigences réglementaires et les exigences utilisateur sont traduites en spécifications vérifiables;
• les spécifications de conception sont reliées aux essais de vérification et de validation;
• les risques identifiés sont associés à des mesures de réduction et à des contrôles;
• les fournisseurs critiques sont évalués selon l’impact de leurs composants ou prestations;
• la production est définie par des instructions maîtrisées et des critères d’acceptation;
• les équipements de mesure sont identifiés, entretenus et, lorsque nécessaire, étalonnés;
• les réclamations, incidents et retours terrain alimentent les actions correctives;
• les modifications de conception ou de fabrication sont évaluées avant leur déploiement.

Pour un dispositif laser ou photonique, cette chaîne peut inclure des paramètres physiques particulièrement sensibles: puissance optique, énergie par impulsion, durée d’exposition, diamètre du faisceau, stabilité thermique, répétabilité de l’émission et précision du système de délivrance. Une dérive de quelques millimètres sur une optique, ou une variation d’énergie qui modifie la dose délivrée, peut transformer une caractéristique de performance en enjeu de sécurité.

La norme ne fixe pas elle-même la puissance acceptable d’un laser médical. Elle exige que le fabricant définisse ses paramètres, justifie ses tolérances et démontre la maîtrise des écarts. La valeur réglementaire vient de la cohérence entre la destination prévue, l’analyse de risques, les essais et les contrôles de production.

Certification du système, pas approbation automatique du produit

Une entreprise certifiée ISO 13485 peut développer plusieurs familles de produits. La certification porte sur le périmètre du système qualité évalué: activités, sites, processus et catégories de dispositifs concernées. Elle ne signifie pas que chaque nouveau produit est automatiquement conforme au MDR.

La séparation se lit dans les documents:

La certification ISO 13485 réduit le risque de désorganisation. Elle ne supprime pas le risque de mauvais classement, de preuve clinique insuffisante ou de dossier technique incomplet.

Le marquage CE: une procédure liée au produit et à sa classe de risque

Le marquage CE est la conséquence visible d’une évaluation de conformité. Il repose sur une démonstration documentée de la sécurité et des performances du dispositif pour sa destination prévue.

Le MDR répartit les dispositifs médicaux en quatre classes de risque: I, IIa, IIb et III. Plus la classe augmente, plus la procédure d’évaluation devient exigeante et plus l’intervention d’un organisme notifié devient structurante. À partir de la classe IIa, l’évaluation implique un organisme notifié selon la procédure applicable.

La classe ne dépend pas uniquement de la sophistication technologique. Elle dépend notamment de l’usage prévu, du caractère invasif, de la durée d’utilisation, de la partie du corps concernée, de la fonction du dispositif et de l’impact potentiel d’une défaillance.

Un équipement optique destiné à l’observation et un système laser délivrant une énergie thérapeutique peuvent utiliser des composants proches, mais relever de logiques de risque très différentes. Le générateur laser n’est pas classifié en fonction de sa seule longueur d’onde ou de sa puissance nominale. La destination médicale et les conséquences d’une erreur sont déterminantes.

La classification doit donc être établie avant de figer la stratégie réglementaire. Elle influence:

• le niveau d’évaluation de conformité;
• la nécessité et le périmètre d’intervention d’un organisme notifié;
• la profondeur du dossier technique;
• les preuves cliniques attendues;
• la surveillance après commercialisation;
• le volume et la fréquence des audits;
• la planification des modifications du produit ou du procédé.

Le dossier technique n’est pas un dossier marketing

Le dossier technique de marquage CE doit permettre de reconstruire la démonstration de conformité sans dépendre d’un argument commercial. Un lecteur compétent doit pouvoir identifier le produit, comprendre sa destination prévue, examiner ses risques et vérifier que les performances annoncées sont soutenues par des preuves.

Le contenu exact dépend du dispositif et de sa classe. La logique documentaire reste toutefois stable:

1. Description du dispositif

Architecture, variantes, accessoires, composants critiques, logiciel éventuel et principe de fonctionnement.

2. Destination prévue

Utilisateurs visés, patients ou populations concernés, environnement d’utilisation, indications et limites.

3. Classification réglementaire

Règle appliquée, justification du niveau de risque et conséquences sur la procédure de conformité.

4. Analyse et maîtrise des risques

Dangers identifiés, estimation des risques, mesures de réduction et vérification de leur efficacité.

5. Vérification et validation

Essais de performance, sécurité électrique lorsque pertinente, compatibilité, logiciel, biocompatibilité, stabilité et validation du procédé selon les caractéristiques du produit.

6. Évaluation clinique

Analyse des données cliniques disponibles, justification de la sécurité et des performances, cohérence avec la destination prévue.

7. Étiquetage et informations fournies

Notice, avertissements, contre-indications, conditions d’utilisation, maintenance et limites de performance.

8. Surveillance après commercialisation

Collecte des incidents, réclamations, tendances, actions correctives et réévaluation du bénéfice-risque.

Une certification ISO 13485 facilite la production et la maîtrise de ces éléments. Elle ne dispense pas de les produire pour le dispositif concerné.

ISO 13485 contre marquage CE: la comparaison opérationnelle

Pour un fabricant, la mauvaise question consiste à demander quel dispositif documentaire choisir entre l’ISO 13485 et le marquage CE. Il ne s’agit pas de deux voies concurrentes. Il s’agit de deux couches de conformité qui se recouvrent partiellement.

L’ISO 13485 répond à la question: l’entreprise sait-elle concevoir, fabriquer, contrôler et surveiller un dispositif médical selon des processus maîtrisés?

Le marquage CE répond à la question: ce dispositif précis satisfait-il aux exigences réglementaires européennes applicables à sa destination et à sa classe de risque?

Le défaut le plus fréquent n’est pas l’absence totale de documents. C’est la rupture entre les documents. Les exigences produit sont rédigées par la recherche et développement, l’analyse de risques par la qualité, les essais par un laboratoire, la notice par le marketing et le dossier réglementaire par une équipe distincte. Si aucune matrice ne relie ces éléments, la conformité devient déclarative.

Le contrôle doit porter sur les interfaces. Une caractéristique annoncée dans la notice doit apparaître dans les spécifications. Une mesure de sécurité doit être associée à un risque identifié. Un risque résiduel doit être reflété dans l’information utilisateur. Un changement de composant doit être évalué sur la performance, la biocompatibilité, la compatibilité électromagnétique ou la stabilité selon son impact.

Le rôle de l’organisme notifié dans la procédure

L’organisme notifié intervient dans l’évaluation de conformité lorsque la procédure applicable au dispositif l’exige. Son intervention ne se limite pas à vérifier la présence d’un certificat ISO 13485.

Il examine le système qualité dans le périmètre pertinent et évalue les éléments réglementaires liés au produit. Selon le dispositif, l’analyse peut porter sur la classification, le dossier technique, l’évaluation clinique, la gestion des risques, la production et la surveillance après commercialisation.

Le certificat ISO 13485 peut constituer une preuve importante de maturité organisationnelle. Il ne remplace pas l’évaluation du produit. Un fabricant peut disposer d’un système qualité bien documenté et présenter un dossier clinique insuffisant. Il peut également produire un dossier technique détaillé alors que ses contrôles de production ne démontrent pas la répétabilité nécessaire.

La durée maximale de validité des certificats de conformité délivrés par un organisme notifié sous le MDR est de cinq ans. Cette durée ne doit pas être interprétée comme une période pendant laquelle le fabricant pourrait interrompre la surveillance. La conformité est maintenue par la continuité du système qualité, la gestion des modifications, la surveillance terrain et la capacité à répondre aux audits.

Pour les dispositifs médicaux, le marquage CE ne clôt pas le cycle réglementaire. Il ouvre une période de surveillance. Les incidents, réclamations et écarts de performance peuvent modifier l’évaluation du bénéfice-risque. Un dispositif qui reste conforme sur le papier mais dont les défauts terrain ne sont pas traités présente une défaillance de système.

Gestion des risques: le point de jonction entre les deux approches

La gestion des risques est l’un des points où l’ISO 13485 et le MDR se rencontrent le plus directement. La norme organise le processus. Le règlement exige que le fabricant démontre que les risques du produit sont acceptables au regard de ses bénéfices et de sa destination.

Pour une technologie laser, les paramètres à surveiller sont rarement isolés. La puissance optique, la durée d’impulsion et le diamètre du spot peuvent se combiner pour déterminer l’énergie déposée sur une surface. Une dérive thermique peut modifier le rendement d’émission. Un défaut d’alignement peut déplacer le faisceau de plusieurs millimètres. Une erreur logicielle peut appliquer un profil d’exposition différent de celui sélectionné par l’opérateur.

L’analyse de risques doit traiter ces scénarios comme des chaînes de défaillance, pas comme une simple liste de composants.

Les questions pertinentes sont concrètes:

• Quelle est la tolérance maximale sur l’énergie délivrée?
• Que se passe-t-il si le capteur de puissance fournit une valeur erronée?
• La température du module optique modifie-t-elle le flux ou la stabilité du faisceau?
• Le dispositif empêche-t-il une émission lorsque l’accessoire installé ne correspond pas au protocole?
• La valeur affichée à l’écran correspond-elle à la valeur effectivement délivrée?
• Une alarme est-elle détectée, enregistrée et transmise à l’utilisateur?
• La maintenance peut-elle modifier un paramètre critique sans nouvelle vérification?
• Les accessoires et consommables sont-ils couverts par la destination prévue?

Ces questions relèvent de l’ingénierie produit, mais elles doivent être gérées dans le système qualité. C’est ici que l’ISO 13485 devient opérationnelle: elle impose une discipline de conception, de validation, de modification et de traçabilité.

Le MDR, lui, transforme cette discipline en exigence de conformité opposable pour le produit. La preuve doit rester cohérente jusqu’à l’étiquetage, la notice et la surveillance après commercialisation.

Un système qualité faible produit des preuves dispersées. Un dossier réglementaire faible les expose. Dans les deux cas, la défaillance se trouve dans la traçabilité.

Cycle de vie: la conformité ne s’arrête pas à la première mise sur le marché

Un dispositif médical évolue après son lancement. Les fournisseurs changent. Les composants sont remplacés. Les logiciels reçoivent des mises à jour. Les performances sont ajustées. Le fabricant reçoit des réclamations et découvre des conditions d’utilisation qui n’étaient pas prévues lors du développement.

Chaque changement doit être filtré par son impact réglementaire et technique. Une modification apparemment mineure peut affecter la conformité si elle touche une fonction essentielle, une caractéristique de sécurité ou une performance revendiquée.

Un changement de diode laser peut modifier le rendement quantique, la dissipation thermique ou la stabilité de la puissance. Un changement d’optique peut modifier le diamètre du faisceau et donc la distribution d’énergie. Un changement de logiciel peut modifier le flux de travail, les verrouillages ou les valeurs affichées à l’utilisateur. Le dossier technique doit pouvoir démontrer que ces effets ont été évalués.

L’ISO 13485 fournit la structure de contrôle des changements:

• demande de modification;
• analyse de l’impact;
• évaluation des risques;
• essais de vérification ou de validation;
• approbation;
• mise en production;
• mise à jour des documents concernés;
• suivi après implémentation.

Le marquage CE impose que cette maîtrise reste compatible avec la conformité du produit. Si un changement modifie substantiellement le dispositif ou sa destination, le fabricant ne peut pas simplement conserver l’ancienne démonstration par inertie documentaire.

La surveillance après commercialisation complète ce dispositif. Les données terrain servent à confirmer la pertinence des hypothèses de risque et la stabilité des performances. Pour un dispositif de mesure, une dérive répétée de quelques pourcents peut signaler un problème de calibration. Pour un système d’émission d’énergie, une variation de puissance ou de durée d’impulsion peut avoir une conséquence clinique directe.

Le traitement des réclamations ne doit donc pas être séparé du dossier de conception. Il doit revenir vers l’analyse de risques, les spécifications et les contrôles de production.

La certification ISO 13485 est-elle obligatoire?

La réponse binaire est non pour la certification elle-même, mais oui pour l’exigence de fond qu’elle permet généralement de démontrer.

Le MDR n’impose pas que chaque fabricant détienne formellement un certificat ISO 13485. Il impose un système de management de la qualité adapté aux dispositifs concernés et à leur niveau de risque. Un fabricant peut donc devoir démontrer la conformité de son système sans présenter un certificat ISO 13485 comme unique preuve.

Cette possibilité ne doit pas être confondue avec une facilité. Construire un système équivalent, le documenter, le faire fonctionner et démontrer son efficacité demande les mêmes éléments structurants: responsabilités, gestion documentaire, conception maîtrisée, contrôle des fournisseurs, production, libération, actions correctives et surveillance.

Dans les faits, l’ISO 13485 fournit une grille de lecture reconnue par les acteurs de l’évaluation de conformité. Elle réduit les ambiguïtés d’audit et facilite la démonstration de la maîtrise des processus. Pour un fabricant qui vise une commercialisation européenne durable, l’absence de certification peut être défendable dans certains périmètres, mais elle augmente la charge de preuve et le risque d’interprétation.

La certification ne doit cependant pas devenir un objectif isolé. Obtenir un certificat en laissant le dossier technique incomplet n’améliore pas la conformité du dispositif. De même, produire un dossier CE sans capacité industrielle stable crée une conformité fragile, difficile à maintenir dès le premier changement de série ou de fournisseur.

Le verdict: complémentaires, jamais interchangeables

L’ISO 13485 et le marquage CE ne sont pas deux appellations pour le même contrôle.

L’ISO 13485 certifie un système de management de la qualité dans un périmètre défini. Elle structure les processus, les responsabilités, les preuves et la maîtrise du cycle de vie.

Le marquage CE traduit la conformité réglementaire d’un dispositif médical déterminé. Il s’appuie sur la classe de risque, le dossier technique, l’évaluation clinique, la gestion des risques, les performances et la procédure d’évaluation applicable sous le MDR.

La décision est donc nette:

• ISO 13485 seule: non recommandée pour accéder au marché européen, car elle ne constitue pas une autorisation de mise sur le marché;
• marquage CE sans système qualité robuste: non recommandé, car la conformité risque de ne pas résister à l’évaluation, aux modifications et à la surveillance après commercialisation;
• ISO 13485 intégrée à une stratégie CE documentée: approche recommandée.

Le fabricant qui traite ces deux exigences comme des blocs séparés accumule des documents. Celui qui les relie construit une preuve. En réglementation des dispositifs médicaux, la différence entre les deux se mesure dans la traçabilité, la répétabilité des performances et la capacité à défendre chaque décision technique devant un évaluateur.