Dieser Artikel ist der Auftakt zu einer mehrteiligen Serie zum Risikomanagement für Medizinprodukte. Wir wollen darin nicht nur einen Überblick über die wichtigsten Anforderungen des grundlegenden Standards ISO 14971:2019 geben, sondern auch Tipps zur praktischen Anwendung und Umsetzung.
Das Risikomanagement für Medizinprodukte spielt eine entscheidende Rolle, um die Sicherheit von Patienten, Anwendern und Dritten zu gewährleisten. Bijan Elahi hat dies in seinem Buch „Safety Risk Management for Medical Devices (Academic Press, 2018) so ausgedrückt (eigene Übersetzung): „Unsere Patienten vertrauen uns ihr Leben an. Sie erwarten, dass wir alles Erdenkliche tun, um Medizinprodukte so sicher wie möglich zu machen. Es ist unsere moralische und ethische Verantwortung, gute Methoden des Risikomanagements anzuwenden, um unsere Patienten mit möglichst sicheren Produkten zu versorgen.“ Bei seleon verstehen wir das als unseren Auftrag für das Risikomanagement.
Die internationale Norm ISO 14971:2019 legt die Terminologie, Grundsätze und den Prozess für das Risikomanagement von Medizinprodukten fest, einschließlich Software als Medizinprodukt und In-vitro-Diagnostika. Diese Norm ist auf alle Phasen des Lebenszyklus eines Medizinprodukts anwendbar und ist damit integraler Bestandteil der Produktentwicklung, -produktion und – pflege.
ISO/TR 24971:2020 als Leitfaden
Das Guidance-Dokument ISO/TR 24971:2020 bietet wertvolle Hilfestellungen zur korrekten Anwendung der ISO 14971:2019. Es dient als Orientierungshilfe für Unternehmen, um die Anforderungen der Norm effektiv umzusetzen und sollte bei der Entwicklung des Risikomanagement-Prozesses und seiner Anwendung unbedingt beachtet werden!
Bereich des Risikomanagements
Es ist wichtig zu betonen, dass das Risikomanagement für Medizinprodukte ausschließlich Risiken für Patienten, Anwender und Dritte bzw. die Umwelt betrachtet. Geschäftsrisiken, Planungsrisiken und Projektrisiken werden explizit ausgeschlossen.
Wichtige Definitionen
Die Norm definiert Risiko als die Kombination aus der Wahrscheinlichkeit des Auftretens eines Schadens und der Schwere dieses Schadens. Der Nutzen eines Medizinprodukts liegt im positiven Einfluss auf die Gesundheit einer Person oder das Patientenmanagement. Sicherheit wird als Freiheit von unvertretbaren Risiken definiert, wobei das Medizinprodukt nicht gänzlich frei von Risiken sein muss, solange diese im Verhältnis zum Nutzen vertretbar sind.
Zur Veranschaulichung dieses Konzepts dienen zwei Beispiele: Bei der Anwendung eines Defibrillators können Hautverbrennungen auftreten, aber der Nutzen der Lebensrettung überwiegt das Risiko. Ähnlich werden Strahlenbelastungen in bildgebenden Verfahren in Kauf genommen, da der erwartete Nutzen, wie beispielsweise eine mögliche Diagnose, höher bewertet wird.
Risikomanagement-Prozess nach ISO 14971:2019
Die Norm fordert einen strukturierten Risikomanagement-Prozess, der die folgenden Schritte umfasst:
- Risikoanalyse: Identifikation von Gefährdungen und Gefährdungssituationen eines Produkts.
- Risikobewertung: Einschätzung und Bewertung der mit der Anwendung, Produktion, Transport, Lagerung und Entsorgung des Produkts verbundenen Risiken.
- Risikobeherrschung: Definition und Umsetzung von Maßnahmen zur Beherrschung der identifizierten Risiken.
- Aktivitäten während der Herstellung und der Herstellung nachgelagerter Phasen: Integration von Risikomanagement in den gesamten Lebenszyklus des Medizinprodukts.
Die koordinierte Durchführung dieser Aktivitäten wird im Risikomanagement-Plan festgelegt.
Risikomanagementplan nach ISO 14971:2019
Der Risikomanagementplan (RMP) muss mindestens folgende Elemente enthalten:
Aufgabenbereich der geplanten Risikomanagementaktivitäten:
Darunter sind v.a. eine Beschreibung des Medizinprodukts (incl. Varianten) und die Lebenszyklusphasen zu verstehen, auf die der RMP angewendet werden soll. Bspw. können einige Aktivitäten nur die Design- und Entwicklungsphase des Produkts betreffen, andere wiederum nur die Produktion oder ihre nachgelagerten Phasen (z.B. Feldbeobachtungen). Diese Festlegung erfolgt am Anfang der Produktentwicklung.
Zuweisung von Verantwortlichkeiten und Befugnissen:
Hier werden die Rollen innerhalb des Risikomanagement-Teams definiert und konkreten Personen zugeordnet, so dass ggf. deren Qualifikation gezielt überprüft werden kann. Auch hier erfolgt die Festlegung am Anfang der Produktentwicklung.
Anforderungen für die Überprüfung von Risikomanagementaktivitäten:
Im RMP wird festgelegt, wann und wie die Risikomanagement-Aktivitäten überprüft werden sollen. Das Wie umfasst neben der Methode auch die notwendigen Personen/Rollen und wie mit dem Ergebnis des Reviews umgegangen wird. Diese Anforderungen können auch unabhängig vom konkreten RMP im QMS nach ISO 13485 festgelegt werden.
Kriterien für die Akzeptanz von Risiken:
Die Risikoakzeptanzkriterien sind ein integraler Bestandteil des Risikomanagements und werden auf Grundlage der unternehmenseigenen Risikopolitik festgelegt. Wichtig ist, dass dies vor dem Beginn der eigentlichen Risikobeurteilung geschieht, da ansonsten die Ergebnisse der Beurteilung die Akzeptanzkriterien beeinflussen könnten.
Methoden zur Bewertung des Gesamtrisikos:
Auch diese werden von der Risikopolitik abgeleitet. ISO/TR 24971:2020 widmet diesem Punkt einen eigenen Abschnitt (Kapitel 8) und beschreibt darin mögliche Ansätze. Auch hier ist eine möglichst frühe Festlegung anzustreben, wird aber nicht gefordert, da hierbei auch Informationen einfließen, die erst spät in der Produktentwicklung zur Verfügung stehen.
Aktivitäten zur Überprüfung der Umsetzung und Wirksamkeit von Risikokontrollmaßnahmen:
Der RMP soll beschreiben, wie diese zwei Nachweisstufen für Risikokontrollmaßnahmen umgesetzt werden sollen. Die Umsetzung (=Implementierung) von Risikokontrollmaßnahmen ist normalerweise Bestandteil der Produktverifizierung. Je nach Natur der Risikokontrollmaßnahme ist damit auch gleichzeitig deren Wirksamkeit nachgewiesen, z.B. das Erreichen eines sicheren Gerätezustands nach dem Erkennen eines Fehlers durch das Greifen einer Schutzmaßnahme. Auch bei Risikokontrollmaßnahmen, die „Safety by Design“ bieten, ist die Produktverifizierung normalerweise ausreichend. Andere Maßnahmen erfordern eine getrennte Überprüfung der Wirksamkeit. Ein Beispiel dafür sind sämtliche Warnhinweise in Gebrauchsanweisungen, die z.B. im Rahmen der Summativen Evaluation der Gebrauchstauglichkeit des Medizinprodukts überprüft werden können. Eine generelle Festschreibung sollte zu Beginn der Produktentwicklung erfolgen und kann später für Sonderfälle ergänzt werden.
Aktivitäten zur Sammlung und Überprüfung relevanter Informationen aus der Produktion und nachgelagerten Phasen:
Der Hersteller muss robuste Prozesse einrichten, um die vielfältigen Informationen aus diesen Phasen zu sammeln, und kann dabei etablierte QMS-Prozesse nach ISO 13485 nutzen. In diesem Bereich gibt es starke Überschneidungen zu Vigilance- und Post-Market-Clinical-Follow-up(PMCF)-Aktivitäten, zu denen der Hersteller auch aus anderen regulatorischen Gründen verpflichtet ist. Die gesammelten Informationen müssen regelmäßig überprüft werden, wobei die Frequenz der Überprüfung vom Produktrisiko, der Anzahl an Geräten im Feld, der Anzahl von Vorfallsmeldungen und dem Schweregrad von Schäden abhängt, die berichtet werden. Die Festlegung der Aktivitäten kann zwar zu Beginn der Produktentwicklung in allgemeiner Form beschrieben werden (v.a. wenn man auf etablierte Prozesse zurückgreifen kann), muss dann aber später konkretisiert und aktualisiert werden.
Der RMP ist also ein „lebendes Dokument“ (ISO/TR 24971:2020, 4.4.1): Zu Beginn der Produktentwicklung stehen noch nicht alle Varianten des Produkts fest oder es können noch keine genauen Aussagen zu den Aktivitäten in der Herstellung und nachgelagerten Phasen gemacht werden. Personalfluktuationen machen die Neuaufnahme von RM-Teammitgliedern oder Änderungen in den Verantwortlichkeiten notwendig. Neue Informationen aus dem Feld erfordern Anpassungen bei den Risikomanagementaktivitäten. All dies führt dazu, dass der RMP innerhalb der Produktlebensdauer angepasst werden muss. Diese Änderungen müssen dokumentiert werden.
Wie geht es weiter?
Wie eingangs gesagt, begleitet das Risikomanagement ein Produkt durch sämtliche Lebensphasen und bildet einen der zentralen Prozesse in der Prozesslandschaft eines Unternehmens. Dabei kann das Risikomanagement nicht losgelöst funktionieren, sondern interagiert in vielerlei Hinsicht mit anderen Entwicklungsaktivitäten. Daher ist es notwendig, dass die Oberste Leitung des Unternehmens grundlegende Voraussetzungen gewährleistet und zentrale Vorgaben macht, welche die Grundlage für die Durchführung des Risikomanagements in einem Unternehmen bilden. Diese Verantwortlchkeiten der Leitung und die sich daraus ergebende Risikopolitik eines Unternehmens wollen wir uns in der nächsten Folge unserer Serie anschauen.
Bitte beachten Sie, dass alle Angaben und Auflistungen nicht den Anspruch der Vollständigkeit haben, ohne Gewähr sind und der reinen Information dienen.
