Risikomanagement für Medizinprodukte nach ISO 14971:2019 – Risikoakzeptanzkriterien

Nachdem in den ersten beiden Artikeln dieser Serie Grundlagen, Rahmenbedingungen und generelle Planung für das Risikomanagement in der Medizinproduktentwicklung erläutert wurden, adressiert dieser Artikel einen speziellen Aspekt des Risikomanagementplans: die Definition der Risikoakzeptanzkriterien durch den Hersteller.

Warum ein ganzer Artikel nur zu diesem Thema? Weil die Risikoakzeptanzkriterien einen integralen Bestandteil des Risikomanagements bilden und letztendlich die Antwort auf die provokative Frage geben „Wieviele Tote pro Jahr im Zusammenhang mit der Anwendung Ihres Medizinprodukts sind Sie als Hersteller bereit zu akzeptieren?“ Die spontane Antwort auf diese Frage wird voraussichtlich immer lauten: „Keine!“. Dies ist zwar ein edles Ansinnen, doch in der Praxis für viele Medizinprodukte nicht umsetzbar und daher nicht zielführend für die Formulierung der Risikoakzeptanzkriterien. Daher ist es besser, die Eingangsfrage folgendermaßen umzuformulieren: „Wieviele Tote pro Jahr im Zusammenhang mit der Anwendung Ihres Medizinprodukts müssen Sie als Hersteller auf Grund der inhärenten Risiken bei der Anwendung akzeptieren, ohne dass sich ein negatives Nutzen-Risiko-Verhältnis ergibt?“

Normative Anforderung

Die Erarbeitung der Risikoakzeptanzkriterien muss die Anforderungen der ISO 14971:2019, Kapitel 4.4 d) erfüllen. Gemäß ISO/TR 24971:2020, Kapitel 4.4.5 legt die Norm Wert auf Folgendes:

• Die Ableitung der Risikoakzeptanzkriterien soll auf der Politik des Herstellers für die Definition eines akzeptablen Restrisikos basieren. Das schließt Situationen ein, in der die Auftretenswahrscheinlichkeit des Schadens nicht geschätzt werden kann und die Risikobeurteilung nur auf Basis des Schweregrads erfolgt.
• Die Risikoakzeptanzkriterien können für mehrere gleichartige Medizinprodukte oder eine Familie von Medizinprodukten einheitlich festgelegt werden.
• Die Risikoakzeptanzkriterien müssen VOR Beginn der Risikobeurteilung festgelegt werden, um sie vor einer Beeinflussung durch die Ergebnisse der Risikobeurteilung zu schützen.

Wichtig zur Umsetzung

Die folgenden Punkte bilden bewährte Hinweise aus der Praxis zur konkreten Durchführung der Ermittlung der Risikoakzeptanzkriterien ab:

• Laut ISO 14971:2019, Kapitel 4.4 sind die Risikoakzeptanzkriterien Teil des Risikomanagementplans (RMP). In vielen Fällen jedoch wird die Erarbeitung im Template zur Risikoanalyse erfolgen, da dort diese Vorgaben direkt und evtl. automatisiert verwertet werden. Da umgekehrt der RMP (incl. der Risikoakzeptanzkriterien) vor der Risikoanalyse freigegeben werden muss, ist es sinnvoll, die Risikoakzeptanzkriterien incl. der wichtigsten Überlegungen und Festlegungen in den RMP zu überführen und durch dessen Freigabe diesen Teil der Risikoanalyse festzulegen. Damit ist die zeitliche Logik der Ereignisse gewahrt, ohne dass die praktischen Vorteile der automatisierten Verarbeitung der Risikoakzeptanzkriterien leidet.
• Nochmals: Einmal definiert, dürfen die Risikoakzeptanzkriterien im weiteren Entwicklungsverlauf nicht mehr geändert werden! Wenn das auf Grund neu aufgetauchter Literatur oder neuer Erkenntnisse unvermeidlich ist, müssen alle bis zu diesem Zeitpunkt beurteilten Risiken neu beurteilt werden!
• Für die Festlegung der einzelnen Stufen für Schweregrad und Auftretenswahrscheinlichkeit hat sich eine 5×5-Matrix als guter Kompromiss zwischen Granularität und Beherrschbarkeit erwiesen. Im Weiteren wird davon ausgegangen, dass P1 die Stufe der niedrigsten Auftretenswahrscheinlichkeit („kaum vorstellbar“) bezeichnet und P5 die der höchsten („bei jeder Anwendung“) Analog dazu beim Schweregrad: S1 für kaum spürbare Beeinträchtigungen und S5 für Tod des Patienten, Anwenders oder Dritte.

 First things first

Bevor es an die eigentliche Ermittlung der Risikoakzeptanzkriterien geht, sollte man sich Gedanken über die Charakterisierung der einzelnen Klassen für den Schweregrad und die Auftretenswahrscheinlichkeit machen. Während die Charakterisierung der Schweregrade rein qualitativ erfolgt, d.h. durch eine möglichst genaue Beschreibung der zu erwartenden Verletzungen bzw. Schädigungen, sollte man immer anstreben, bei der Auftretenswahrscheinlichkeit neben der qualitativen Beschreibung auch eine quantitative Angabe zu machen. Weiter unten wird beschrieben, wie dies entweder durch Quellenstudium oder bei ungenügender Quellenlage durch sinnvolle Abschätzungen gelingt. Die qualitative Beschreibung der Auftretenswahrscheinlichkeiten macht es später in den Diskussionen leichter, die eigene Erfahrung besser den Klassen der Auftretenswahrscheinlichkeit zuzuordnen. Genauso ermöglichen die Charakterisierung der Schweregrade später ihre Zuordnung zu konkreten Schäden, die im Zusammenhang mit dem zu entwickelnden Produkt auftreten können.

Eine beispielhafte qualitative Einteilung der Klassen für den Schweregrad kann lauten:

Quellen für die Festlegung der Risikoakzeptanzkriterien

Für die konkrete Formulierung der Risikoakzeptanzkriterien ist es notwendig, die Grenzlinie zwischen nicht akzeptablen und akzeptablen Risiken auf der Basis valider Daten zu spezifizieren. Als Quellen für diese Daten kommen in Frage:

• veröffentlichte Standards
• wissenschaftliche oder technische Untersuchungen
• Felddaten ähnlicher, bereits gebräuchlicher medizinischer Geräte, einschließlich öffentlich verfügbarer Berichte über Vorfälle (z.B. BfArM, MAUDE-Datenbank, in Zukunft auch EUDAMED)
• Usability Tests mit typischen Anwendern
• Klinische Evidenz
• Ergebnisse relevanter Untersuchungen oder Simulationen
• Expertenmeinung
• externe Qualitätsbewertungsverfahren für in vitro diagnostische medizinische Geräte

Übertragung auf Auftretenswahrscheinlichkeit

Wenn irgendwie möglich, sollte man immer anstreben, die Grenzen der P-Klassen zu quantisieren. Dabei beginnt P1 grundsätzlich bei 0 und P5 endet bei 1 (100%). Alle Grenzen dazwischen müssen individuell bestimmt werden. Idealerweise lässt sich mit obigen Methoden und Quellen ein Stand der Technik ermitteln, der die maximal akzeptierte Häufigkeit eines lebensbedrohlichen Schadens beschreibt. In den meisten Fällen wird man für diesen Schweregrad  nur ein Ereignis aus der Klasse P1 für akzeptabel erklären, um für diesen überhaupt die Möglichkeit zu haben, das Risiko in den akzeptablen Bereich zu mitigieren. Damit beschreibt die maximal akzeptierte Häufigkeit für diesen Schweregrad die Grenze zwischen P1 und P2, genauer die untere Grenze des Bereichs P2_min von P2). Alle Ereignisse mit einer Wahrscheinlichkeit von P<P2_min können dann der Klasse P1 zugeordnet werden. Für ein neues Gerät sollte keine Verschlechterung eintreten, sondern eine Verbesserung angestrebt werden. P2_min sollte daher tendenziell niedriger angesetzt werden als im Stand der Technik. Analog ist das auf die PX_min der anderen P-Klassen zu übertragen: Man überträgt diesen Vorgang auf jeden Schweregrad und kann durch die Häufung exemplarischer Risiken die Trennlinie zwischen akzeptablen und nicht akzeptablen Risiken bestimmen. Durch Zuordnung der mit diesen Risiken verbundenen Auftretenswahrscheinlichkeiten ergeben sich dann die einzelnen PX_min der anderen P-Klassen.

Aufmerksamen Lesern wird aufgefallen sein, dass das genannte Kriterium bei einer Einteilung der Schweregrade wie im oben genannten Beispiel dazu führt, dass man die Grenze für die vertretbare Auftretenswahrscheinlichkeit für die zweithöchste S-Klasse sucht, nicht für die höchste. Der Hintergrund ist, dass der direkte Tod als Schaden glücklicherweise eher selten eintritt, aber dementsprechend auch die Datenlage für ein solches Ereignis nicht so gut sein wird. Anders ist dies bei lebensbedrohlichen Situationen, da hier in vielen Fällen der Tod noch abgewendet werden kann. Ein Beispiel für eine solche Situation ist das Induzieren von Kammerflimmern durch einen Implantierten Cardioverter-Defibrillator (ICD) als Folge einer falsch positiven Schockabgabe. Hier besteht sicher eine lebensbedrohliche Situation, die aber in den meisten Fällen durch die Abgabe eines weiteren Schocks gelöst werden kann. Solche Ereignisse treten also viel häufiger auf, sind damit besser in der Literatur beschrieben und somit besser für die Quantifizierung der vertretbaren Auftretenswahrscheinlichkeit geeignet.

Was tun bei unzureichender Quellenlage?

Nun stellt sich die Frage, was zu tun ist, wenn die Recherche nach Akzeptanzkriterien nicht den gewünschten Erfolg gebracht hat, z.B. weil das zu entwickelnde Produkt so neu ist, dass es keine Präzedenz- oder vergleichbare Produkte gibt? In diesem Fall heißt es zur Frage am Anfang dieses Artikels zurückzukehren und sich zu fragen, wie oft pro Jahr man bereit ist, sich mit einem Todesfall oder einer lebensbedrohlichen Situation im Zusammenhang mit der Anwendung des eigenen Geräts auseinanderzusetzen. Diese Frage wird für Hersteller von Produkten mit einem inhärent hohen Risiko (z.B. Defibrillatoren oder Herz-Lungen-Maschinen) mit höheren Werten beantwortet werden (müssen) als von Herstellern von Produkten mit niedrigem Risiko (z.B. Blutdruckgeräte) und kann natürlich auch lauten „einmal in zehn Jahren“.

Um daraus nun verwertbare Grenzwerte für die P-Klassen zu ermitteln, kann man folgenden Ansatz verwenden:

1. Bestimme die Lebensdauer des Produkts (Einsatzzeit im Feld) in Jahren
2. Schätze die Anzahl der Anwendungen pro Gerät und Jahr
3. Schätze die Dauer einer Anwendung in Stunden
4. Schätze die Anzahl der verkauften Geräte pro Jahr
5. Nun gibt es verschiedene Möglichkeiten auf eine Bezugsgröße für die P1/P2-Grenze zu kommen:
   1. Anzahl von Ereignissen während der Lebensdauer eines Geräts: Dies entspricht der Anzahl verkaufter Geräte pro Jahr
   2. Anzahl von Ereignissen über das gesamte im Feld befindliche Gerätekollektiv: Die entspricht dem Produkt der Anzahl verkaufter Geräte pro Jahr und ihrer Lebensdauer
   3. Anzahl von Ereignissen über die Gesamtheit aller Anwendungen pro Jahr: Multipliziere die Anzahl der Geräte im Feld mit der Anzahl der Anwendungen pro Gerät und Jahr
   4. Anzahl von Betriebsstunden für alle Geräte pro Jahr: Multipliziere die Anzahl aller Anwendungen pro Jahr mit der Anwendungsdauer

Die P1/P2-Grenze für den Schweregrad S2 ergibt sich dann wiederum als Produkt der Antwort auf die Eingangsfrage und den Kehrwert der oben ermittelten Bezugsgröße. Damit ist auch klar, dass die Auftretenswahrscheinlichkeit kleiner wird, je detailreicher die obige Abschätzung wird und in dem Beispiel mit der Berechnung der Gesamtbetriebsstunden ihren minimalen Wert erreicht.

Analog zu diesem Vorgehen kann man auch für die anderen Schweregrade Grenzwerte der Auftretenswahrscheinlichkeiten ermitteln bzw. abschätzen.

Dieses Vorgehen kann im Übrigen auch bei ausreichender Quellenlage im Rahmen der Markbeobachtung verwendet werden, um überprüfen zu können, dass sich die Rückmeldungen aus dem Feld wie erwartet verhalten oder ob es Abweichungen gibt, die genauer untersucht werden sollten.

Risikoakzeptanzmatrix

Insgesamt ergibt sich aus den oben genannten Schritten die Risikoakzeptanzmatrix, wie sie unten exemplarisch abgebildet ist. Die Risikoakzeptanzkriterien werden durch die Grenzlinien (unten dick eingezeichnet) gebildet zwischen den Bereichen, für die das Risiko als akzeptabel eingestuft wird, und den Bereichen, für die es als nicht akzeptabel eingestuft wird.

Legende:

N=Nicht akzeptabel

A=Akzeptabel (“As-low-as-possible”-Bereich)

Nach Möglichkeit sollte zum Zweck der Vergleichbarkeit von Risiken eine einzige Risikoakzeptanzmatrix im Projekt festgelegt werden.

Umgang mit besonderen Risiken

Es gibt seltene Fälle von Medizinprodukten, in denen dieses Konzept an Grenzen stößt und zwar dann, wenn produktspezifische Risiken eklatant andere Auftretenswahrscheinlichkeiten haben als andere, unspezifischere Risiken. Ein Beispiel für eine solche Konstellation ist der Detektionsalgorithmus eines Automatisierten Externen Defibrillators (AED). Trotz der sehr hohen Qualität der Algorithmen bleiben in der Praxis Restrisiken von ein Promille bis ein Prozent, dass der AED bei der Analyse eine falsche Entscheidung über das Vorliegen eines defibrillationspflichtigen Rhythmus fällt. Der Partikularstandard IEC 60601-2-4:2010+A1:2018 fordert sogar nur 90% Sensitivität, d.h. bis zu 10% falsch negative Schockempfehlungen wären noch in Ordnung. Weitere risikomindernde Maßnahmen jenseits eines möglichst zuverlässigen Designs des Algorithmus existieren nicht. Im Vergleich zu der Auftretenswahrscheinlichkeit, die für andere lebensbedrohliche Risiken (z.B. im Zusammenhang mit der elektrischen Sicherheit) als akzeptabel gilt, liegt die Wahrscheinlichkeit für eine falsch positive oder falsch negative Entscheidung des Detektionsalgorithmus typischerweise um den Faktor 100 bis 1000 höher. Nun hat man die Wahl zwischen Pest und Cholera: Entweder man schiebt die Akzeptanzgrenze für die Auftretenswahrscheinlichkeit so hoch, dass die Restrisiken des Detektionsalgorithmus akzeptabel sind und verzerrt damit die gesamte Matrix in der Form, dass viele eigentlich nicht akzeptable Risiken problemlos im akzeptablen Bereich liegen. Das kann dazu führen, dass diese Risiken nicht wie eigentlich erforderlich mitigiert werden.
Die Alternative wirkt auf den ersten Blick ernüchternd: Wählt man die Akzeptanzgrenze auf Grundlage der häufiger auftretenden Risiken aus, bleiben die Risiken für eine falsch negative oder eine falsch positive Schockentscheidung inakzeptabel hoch ohne Chance einer ausreichenden Mitigation. Ist das dann das Aus für ein solches Produkt?

Zum Glück nein, denn nun schlägt die Stunde des Kapitels 7.4 der ISO 14971:2019: Die Nutzen-Risiko-Analyse. Demnach kann ein Hersteller für Risiken, die als nicht akzeptabel eingestuft werden und für die eine weitere Risikokontrolle nicht möglich ist, diese Risiken gegenüber dem Nutzen des Geräts nach seiner Zweckbestimmung auf Grundlage entsprechender Daten und Literatur abwägen. Ist der Nutzen erkennbar höher als die Risiken, dann ist trotz allem eine positive Bewertung des Nutzen-Risiko-Verhältnisses möglich. Selbstredend muss diese Entscheidung ausführlich begründet und untermauert werden. Trotz dieser erschwerten Nachweisbedingungen erscheint somit die ehrliche Einstufung der Risiken als „nicht akzeptabel“ gemäß der allgemeinen Risikoakzeptanzkriterien als die bessere Vorgehensweise. Im konkreten Fallbeispiel des AEDs greift diese Argumentation: Da die Defibrillation die einzige lebensrettende Therapie bei ventrikulärem Flimmern darstellt sind die Risiken einer falschen Schockentscheidung trotz ihrer Höhe akzeptabel.

Fazit und Ausblick

Die Festlegung der Risikoakzeptanzkriterien ist ein zentraler Schritt im Rahmen des Risikomanagements, der intensive Recherche nach Daten und Literatur erfordert. Notfalls können die Kriterien auch durch seriöse Annahmen und Abschätzungen hergeleitet werden. Im Vorfeld erfolgt eine Festlegung der Anzahl und Art der Klassen für den Schweregrad und die Auftretenswahrscheinlichkeit. Die Risikoakzeptanzkriterien dürfen im weiteren Verlauf der Entwicklung nicht mehr geändert werden oder man muss sämtliche Risiken vollständig überarbeiten.

Nachdem dieser wichtige Schritt erfolgt ist, kann man sich der Identifizierung und Bewertung der Risiken widmen. Den damit verbundenen Aktivitäten und Methoden widmen wir uns im nächsten Artikel dieser Reihe

Bitte beachten Sie, dass alle Angaben und Auflistungen nicht den Anspruch der Vollständigkeit haben, ohne Gewähr sind und der reinen Information dienen.