Organisme notifié : critères pour choisir son certificateur

Organisme notifié: critères pour choisir son certificateur

Sous le règlement (UE) 2017/745 relatif aux dispositifs médicaux — le RDM, souvent désigné par son acronyme anglais MDR — un organisme séduisant par ses tarifs ou ses délais ne vaut rien si sa portée de désignation ne couvre pas votre dispositif. Rien. Le dossier peut être parfaitement structuré, le système de management conforme à l’ISO 13485 et l’évaluation clinique soigneusement argumentée: sans compétence réglementaire correspondant au produit, la candidature s’arrête à la porte.

La réalité est que choisir son organisme notifié pour un dispositif médical revient à sécuriser un parcours réglementaire de 12 à 18 mois, parfois davantage selon la complexité du dossier, la classe de risque, l’état de la documentation technique et la charge de travail de l’organisme. Le prix compte, naturellement. Mais il arrive après la compétence, la disponibilité réelle et la capacité à comprendre votre technologie sans transformer chaque échange en litige interprétatif.

La base NANDO: le filtre éliminatoire pour votre dispositif

La première erreur consiste à commencer par demander trois devis. La première étape est plus austère: consulter la base européenne NANDO et vérifier la portée exacte de désignation de chaque organisme notifié.

NANDO ne sert pas à décorer le dossier réglementaire. C’est le registre qui permet de vérifier qu’un organisme est bien désigné au titre du RDM et qu’il dispose des codes produits correspondant à votre dispositif. Les catégories concernées comprennent notamment les codes MDA, MDN, MDS et MDT. Leur présence ne garantit pas que l’organisme acceptera votre projet, mais leur absence permet déjà de conclure qu’il ne pourra pas intervenir dans le cadre envisagé.

Un organisme peut être parfaitement reconnu pour certaines familles de dispositifs et inadapté à d’autres. Cette distinction est particulièrement importante pour les entreprises qui présentent leur produit sous un angle technologique — laser, logiciel, système d’imagerie, équipement de diagnostic ou dispositif implantable — alors que la qualification réglementaire repose sur une combinaison de destination, de mode d’action, de classe et de caractéristiques techniques.

Ne vous y trompez pas: un organisme connu dans votre secteur n’est pas nécessairement le bon organisme pour votre produit.

Les points à vérifier dans NANDO

La vérification doit porter sur plusieurs éléments, et pas uniquement sur le nom de l’organisme:

• La désignation au titre du RDM. Une ancienne habilitation sous la directive 93/42/CEE ne suffit pas à démontrer la capacité à certifier sous le règlement (UE) 2017/745.
• Les codes produits couverts. Les codes MDA, MDN, MDS ou MDT doivent être cohérents avec la nature du dispositif et avec les procédés d’évaluation nécessaires.
• La portée de désignation détaillée. Deux organismes peuvent afficher des codes proches, mais avec des limites différentes dans leur périmètre d’intervention.
• La capacité à traiter la classe de risque concernée. Un organisme intervenant sur des dispositifs de classe IIa ne dispose pas automatiquement de l’expérience ou de la portée nécessaire pour un dispositif de classe III.
• Les exclusions éventuelles. Certaines technologies, certains logiciels ou certaines combinaisons de produits peuvent relever de restrictions qui n’apparaissent pas dans une lecture trop rapide du registre.

La classe de risque reste un point de départ, non une conclusion. Un dispositif de classe I bénéficie en principe d’une auto-certification lorsqu’il n’est ni stérile, ni doté d’une fonction de mesurage, ni un instrument chirurgical réutilisable. Dans les autres cas, l’intervention d’un organisme notifié peut devenir obligatoire. Quant aux classes IIa, IIb et III, elles imposent généralement une intervention externe dans le cadre de l’évaluation de la conformité.

Le premier critère de choix n’est ni le prix ni la réputation: c’est la portée de désignation vérifiable dans NANDO.

La portée ne remplace pas l’analyse de recevabilité

Une portée de désignation compatible ne signifie pas que l’organisme acceptera automatiquement votre demande. L’organisme va également examiner la destination prévue, la stratégie réglementaire, les technologies utilisées, la documentation disponible et les ressources nécessaires à l’audit.

C’est ici que les dossiers trop commerciaux rencontrent leur premier mur. Une présentation qui parle de « plateforme intelligente de photothérapie » ou de « solution non invasive de nouvelle génération » ne fournit pas une base suffisante pour déterminer le régime applicable. L’organisme notifié a besoin de savoir ce que fait exactement le dispositif, dans quelle indication, pour quelle population, avec quelles limites, et par quel mécanisme il revendique son bénéfice clinique.

La formulation de la destination prévue doit donc être stabilisée avant toute sollicitation sérieuse. Une destination qui évolue entre la réunion de cadrage, le devis et le dépôt officiel est un excellent moyen de provoquer une réévaluation de la classe, du code produit et de l’étendue de l’évaluation clinique.

Délais et charge de travail: anticiper un cycle de 12 à 18 mois

Le délai de certification sous le RDM se situe généralement entre 12 et 18 mois. Certains dossiers se rapprochent de 13 à 18 mois selon leur niveau de complexité, la qualité des réponses apportées et la disponibilité de l’organisme. Ce délai ne correspond pas à une simple attente administrative: il inclut une succession de revues documentaires, d’échanges techniques, d’audits et de corrections.

La promesse d’un passage accéléré doit donc être examinée avec une méfiance raisonnable. Un calendrier court peut correspondre à une capacité réelle, mais aussi à une estimation commerciale établie avant lecture du dossier. Or la charge de travail de chaque organisme varie constamment. Les délais d’attente spécifiques ne sont pas figés et peuvent changer selon les secteurs, les équipes disponibles et le nombre de demandes déjà engagées.

Un fabricant qui construit son lancement commercial sur un délai annoncé oralement prend un risque industriel, pas seulement réglementaire.

Ce que recouvre réellement le délai

Le cycle de certification dépend notamment de la qualité de ce qui est remis à l’organisme. Un dossier technique incomplet ne gagne pas du temps parce qu’il a été envoyé plus tôt. Il crée des cycles de questions supplémentaires.

Les facteurs les plus déterminants sont les suivants:

1. La classification et la voie d’évaluation de la conformité. Plus la classe de risque est élevée, plus l’analyse du système qualité, de la documentation technique et des données cliniques devient exigeante.

2. La maturité du système de management de la qualité. Une certification ISO 13485 peut faciliter la structuration du système, mais elle ne remplace pas l’évaluation réalisée au titre du RDM.

3. La cohérence du dossier technique. Les exigences générales de sécurité et de performance, la gestion des risques, la biocompatibilité, les essais électriques, la cybersécurité ou encore les données cliniques doivent se répondre sans contradiction.

4. La qualité de l’évaluation clinique. Une revue bibliographique superficielle ne compense pas l’absence de données adaptées à la destination revendiquée.

5. La réactivité du fabricant. Chaque question mal comprise, chaque réponse partielle et chaque modification non maîtrisée allongent le calendrier.

6. La disponibilité des experts de l’organisme. Le dossier peut être recevable et pourtant attendre l’intervention d’un spécialiste compétent sur un domaine technique précis.

Le calendrier doit donc être construit à rebours du lancement prévu, avec des marges pour les non-conformités, les demandes de complément et les évolutions de conception. Prévoir la certification juste avant la première mise sur le marché n’est pas une stratégie; c’est une absence de stratégie avec un logo CE au bout de la phrase.

Comparer les délais sans se faire vendre une illusion

Lorsque vous interrogez plusieurs organismes, demandez une estimation écrite et ventilée. Un délai global de « six mois » n’a pas la même signification selon qu’il commence à la signature du contrat, à la recevabilité du dossier, à la réception de la documentation complète ou au premier audit.

La comparaison doit faire apparaître:

• la date estimée de revue de recevabilité;
• le délai avant le premier audit;
• le nombre de cycles de revue documentaire inclus dans l’estimation;
• les conditions de suspension du calendrier;
• les délais de réponse attendus du fabricant;
• la disponibilité des experts pour les sujets cliniques, logiciels ou techniques;
• le calendrier prévisionnel de décision et d’émission du certificat.

Cette dernière distinction est souvent négligée. Un organisme peut annoncer une date de fin qui correspond à la clôture de l’audit, alors que la décision de certification et l’émission effective du certificat interviennent plus tard. Pour un fabricant qui prépare une mise sur le marché, cette nuance n’a rien d’académique.

Tarifs et article 50: la transparence ne signifie pas l’uniformité

L’article 50 du RDM impose aux organismes notifiés de publier leurs redevances standard pour les activités d’évaluation de la conformité. Cette obligation est utile, mais elle ne transforme pas le marché en tableau comparatif parfaitement lisible. Les grilles tarifaires restent hétérogènes, les périmètres de prestation diffèrent et certains coûts dépendent du volume documentaire, du nombre de sites ou de la complexité du dispositif.

Les ordres de grandeur disponibles montrent des écarts significatifs. Les tarifs d’audit du système de management de la qualité peuvent se situer entre 3 600 et 6 000 euros selon l’organisme. La revue de la documentation technique et clinique peut aller d’environ 2 080 à 19 500 euros. Quant à l’audit inopiné, les tarifs publiés peuvent varier de 1 840 à 9 250 euros.

Ces chiffres ne constituent pas un devis et ne doivent pas être comparés comme si chaque organisme vendait exactement la même prestation. Ils montrent néanmoins une chose: la facture finale ne se résume pas au montant initial annoncé pour l’audit de certification.

Ce que le devis doit permettre de comprendre

Un devis exploitable doit distinguer les différentes composantes du parcours:

La publication des tarifs standard répond à une exigence de transparence. Elle ne garantit ni l’absence de frais additionnels, ni l’harmonisation des pratiques entre organismes européens. Les tarifs ne sont pas totalement uniformes à l’échelle de l’Union, et les conditions contractuelles peuvent modifier sensiblement le coût réel.

La bonne question n’est donc pas: « Quel organisme est le moins cher? » Elle est plutôt: « Quel est le coût complet du parcours, avec les audits, les cycles de revue, les déplacements, la surveillance et les modifications prévisibles? »

Un devis peu élevé peut être une économie. Il peut aussi être simplement incomplet.

Le prix ne compense pas une portée insuffisante

Le prix ne doit être comparé qu’entre organismes réellement habilités à traiter le même périmètre. Mettre en concurrence un organisme dont la portée couvre précisément votre technologie avec un autre qui ne couvre qu’une partie de la famille de produits n’a aucun sens.

La tentation est pourtant forte, surtout pour les jeunes entreprises qui ont déjà consommé une part importante de leur budget en développement, essais et industrialisation. Mais réduire le choix à la facture initiale revient à ignorer les coûts d’un changement de stratégie: reprise de la documentation, allongement du délai, nouvelle analyse clinique ou impossibilité de faire certifier certaines variantes.

Le RDM ne prévoit pas un marché aux enchères du marquage CE. Il prévoit une évaluation de conformité par un organisme compétent, indépendant et désigné pour le périmètre concerné.

Le paysage français: GMED et AFNOR Certification

La France dispose de deux organismes notifiés désignés au titre du RDM: GMED, notifié depuis juillet 2020, et AFNOR Certification, désigné le 23 avril 2024 sous le numéro 0333.

Cette situation élargit le choix national, mais elle ne supprime pas la nécessité de comparer les portées de désignation et les conditions d’intervention. Le simple fait qu’un organisme soit français ne constitue pas un argument réglementaire suffisant. La langue des échanges peut faciliter le travail, tout comme la proximité culturelle ou la connaissance de certains environnements industriels, mais la décision doit rester fondée sur des critères documentés.

En avril 2024, AFNOR Certification faisait partie d’un paysage européen qui comptait 46 organismes notifiés RDM. Ce chiffre a depuis évolué, et il serait imprudent de le présenter comme un état permanent du marché. Il donne toutefois une indication utile: le choix ne se limite pas nécessairement à deux acteurs français. Des organismes d’autres États membres peuvent être pertinents si leur portée, leurs équipes et leurs conditions contractuelles correspondent au dispositif.

Organisme français ou organisme européen?

Le choix national présente certains avantages pratiques:

• échanges en français avec les équipes qualité et réglementaires;
• compréhension plus immédiate des pratiques documentaires de l’entreprise;
• organisation facilitée des audits sur les sites français;
• possibilité de mobiliser des interlocuteurs connaissant le cadre institutionnel national.

Mais un organisme européen peut disposer d’une expertise plus directement alignée avec une technologie particulière, notamment pour certains logiciels médicaux, dispositifs implantables, équipements de diagnostic ou systèmes combinant plusieurs fonctions. La localisation ne doit pas masquer la compétence réelle.

Le meilleur organisme notifié pour une medtech n’est donc pas nécessairement celui qui est le plus proche géographiquement. C’est celui qui cumule une portée de désignation adaptée, une expérience démontrable sur des produits comparables, une organisation disponible et des règles contractuelles intelligibles.

L’expertise sectorielle doit être vérifiable

Les fabricants doivent demander des éléments concrets sur l’expérience de l’organisme:

• types de dispositifs déjà évalués dans la même famille;
• expérience des logiciels et de la cybersécurité, lorsque ces sujets sont applicables;
• pratique de l’évaluation clinique pour des indications comparables;
• capacité à examiner les essais spécifiques à la technologie;
• organisation des équipes et recours à des experts externes;
• gestion des changements après certification;
• modalités de traitement des incidents de matériovigilance et des actions correctives.

Attention à ne pas confondre confidentialité et opacité. L’organisme ne pourra évidemment pas transmettre les dossiers d’autres fabricants. Il doit néanmoins être capable de présenter son organisation, ses domaines de compétence et la manière dont il affecte les experts à votre demande.

Un interlocuteur commercial qui promet une compréhension immédiate de votre produit ne remplace pas un expert capable de défendre une décision d’évaluation dans un dossier d’audit ou devant une autorité compétente.

Les obligations après le certificat: le choix engage plusieurs années

Le certificat de marquage CE délivré sous le RDM a une durée maximale de validité de cinq ans. Cette échéance ne signifie pas que le fabricant peut fonctionner quatre ans et onze mois sans interaction avec l’organisme notifié.

Pour les dispositifs des classes IIa, IIb et III, le RDM impose des audits de surveillance au moins tous les douze mois. Le dispositif reste également soumis à la surveillance après commercialisation, à la matériovigilance, à la gestion des réclamations, à l’analyse des incidents et aux éventuelles actions correctives.

Un organisme notifié doit donc être évalué sur la relation de suivi, pas uniquement sur sa capacité à délivrer le premier certificat. Un certificat obtenu dans des conditions difficiles peut générer une charge documentaire importante pendant toute sa durée de vie. À l’inverse, une revue exigeante mais structurée peut éviter des incompréhensions lors des audits ultérieurs.

Les sujets à clarifier avant signature

Le fabricant doit obtenir une position claire sur les changements qui pourront intervenir après la certification:

• modification d’un composant critique;
• changement de fournisseur ou de site de fabrication;
• évolution du logiciel;
• nouvelle indication ou extension de la destination prévue;
• modification de l’étiquetage;
• ajout d’une référence dans une gamme;
• changement de procédé de stérilisation;
• mise à jour du dossier de gestion des risques;
• nouvelles données de matériovigilance;
• évolution du plan de surveillance après commercialisation.

Un changement présenté comme « mineur » par l’équipe de développement peut être considéré comme significatif dans l’analyse réglementaire. Tout dépend de son impact sur la sécurité, les performances, la destination prévue et les exigences générales de sécurité et de performance.

Le choix de l’organisme notifié influence donc aussi la manière dont l’entreprise gérera son portefeuille de produits. Pour une gamme amenée à évoluer rapidement, les règles de notification et de revue des modifications doivent être comprises avant la signature du contrat, pas après la première demande de changement.

La réalité du transfert de certificat: pas de porte de sortie rapide

Le transfert d’un certificat vers un autre organisme notifié est souvent évoqué comme une solution de secours: désaccord avec l’auditeur, délais trop longs, changement de politique commerciale ou volonté de réduire les coûts. La réalité est moins confortable.

Le transfert constitue une procédure administrative et technique lourde. Il ne suffit pas de demander au nouvel organisme de reprendre le certificat existant. Celui-ci doit examiner la validité du certificat, le périmètre couvert, le système qualité, la documentation technique, les éventuelles non-conformités ouvertes, les audits réalisés et les obligations de surveillance encore en cours.

Selon la situation, le nouvel organisme peut demander des informations complémentaires, reprendre une partie de l’évaluation ou imposer des conditions spécifiques avant d’accepter la responsabilité du suivi. Le fabricant doit également organiser la transition avec l’ancien organisme, en tenant compte des contrats, des dates de validité et des exigences applicables.

Changer d’organisme en urgence n’est donc pas l’équivalent réglementaire de changer de fournisseur d’électricité.

Dans quels cas envisager un transfert?

Un transfert peut être pertinent lorsqu’il existe une raison structurelle:

• le certificat arrive à échéance et le périmètre historique n’est plus adapté;
• l’organisme ne couvre plus une technologie essentielle à la gamme;
• la stratégie industrielle a évolué;
• le fabricant change de modèle économique ou de localisation;
• la relation contractuelle ne permet plus d’assurer un suivi acceptable;
• le portefeuille s’est étendu à des dispositifs pour lesquels l’organisme initial ne dispose pas de la portée nécessaire.

En revanche, le transfert est rarement une réponse réaliste à un désaccord ponctuel sur une non-conformité. Une interprétation exigeante n’est pas, en soi, un motif réglementaire suffisant pour rechercher un certificateur plus accommodant. Le rôle de l’organisme notifié n’est pas de valider la stratégie commerciale du fabricant; il consiste à évaluer la conformité selon le RDM.

La meilleure prévention reste une sélection initiale suffisamment documentée. Il faut examiner les règles de décision, les attentes en matière de preuves cliniques, la gestion des écarts et la gouvernance des échanges. Les zones de désaccord se traitent mieux lorsqu’elles sont identifiées avant l’audit.

La méthode de sélection qui résiste à l’audit

Pour choisir un organisme notifié dans de bonnes conditions, la décision peut être conduite en cinq étapes, à condition de ne pas les réduire à un appel d’offres administratif.

1. Définir précisément le produit. Destination prévue, classe de risque, variantes, accessoires, logiciel, composants critiques et sites concernés doivent être identifiés avant la comparaison.

2. Vérifier NANDO. Les codes produits et la portée de désignation doivent être documentés pour chaque organisme présélectionné.

3. Demander une revue de recevabilité. L’organisme doit pouvoir expliquer les documents nécessaires, les points sensibles et les conditions de prise en charge.

4. Comparer le coût complet. Le devis doit intégrer les audits, les revues documentaires, les cycles de réponse, les audits inopinés, les déplacements et la surveillance.

5. Évaluer la relation de long terme. Les règles de modification, de suivi clinique, de matériovigilance et de renouvellement doivent être compatibles avec la stratégie du fabricant.

Cette méthode permet d’écarter deux mauvais réflexes. Le premier consiste à choisir l’organisme le moins cher sans vérifier sa compétence réglementaire. Le second consiste à choisir le plus prestigieux sans examiner sa disponibilité, ses délais ni la manière dont il traite les petites structures.

Le prestige ne clôt pas une non-conformité. Le prix bas ne raccourcit pas une revue clinique. Et la proximité géographique ne dispense personne de produire un dossier technique cohérent.

Verdict: choisir une capacité d’évaluation, pas un logo

Pour un dispositif médical soumis au RDM, les critères de choix d’un organisme notifié suivent une hiérarchie assez claire:

1. Portée de désignation dans NANDO, avec les codes produits réellement applicables;

2. Compétence technique et clinique sur la technologie et la classe de risque;

3. Disponibilité opérationnelle et calendrier crédible sur 12 à 18 mois;

4. Transparence du coût complet, conformément à l’esprit de l’article 50;

5. Qualité du suivi après certification, notamment pour les audits annuels, les modifications et la surveillance après commercialisation;

6. Conditions de transfert et de résiliation, à examiner avant que le problème ne se présente.

GMED et AFNOR Certification offrent aux fabricants français deux options nationales désignées au titre du RDM. Elles ne doivent toutefois pas être choisies par automatisme: la comparaison doit porter sur la portée, l’expertise, les équipes disponibles et le modèle de suivi. Les organismes européens peuvent également entrer dans la sélection lorsque leur compétence correspond mieux au produit.

La conclusion est moins spectaculaire qu’une promesse de certification rapide, mais elle a l’avantage d’être défendable: le meilleur organisme notifié n’est pas celui qui promet le marquage CE le plus vite. C’est celui dont la désignation couvre réellement votre dispositif, dont la méthode d’évaluation est compatible avec votre niveau de preuve et dont les exigences restent supportables après la délivrance du certificat.

Parce que le véritable test ne commence pas le jour où le certificat arrive. Il commence au premier audit de surveillance.