Topp 10 ISO 14971-revisionsfynd från anmälda organ

Enligt EU MDR är riskhantering ett av de mest granskade områdena vid revisioner från anmälda organ. Även företag med ISO 14971-rutiner på plats får ofta avvikelser på grund av svag dokumentationsstruktur, bristande spårbarhet eller inkonsekvent motivering av nytta–risk.

Denna guide beskriver de vanligaste ISO 14971-revisionsfynden och förklarar hur de kan förebyggas inom ramen för MDR-kompatibel teknisk dokumentation.

1. Odefinierade eller inkonsekventa riskacceptanskriterier

Många tillverkare definierar riskacceptanskriterier otydligt eller justerar dem efter att riskutvärderingen har genomförts.

• Ingen fördefinierad acceptansmatris
• Ingen dokumenterad motivering för tröskelvärden
• Olika kriterier tillämpas inkonsekvent

Förebyggande åtgärd: Definiera acceptanskriterier i riskhanteringsplanen innan utvärderingar genomförs.

2. Överberoende av IFU som primär riskkontroll

ISO 14971 kräver en strikt hierarki för riskkontroll:

• Inbyggd säkerhet genom konstruktion
• Skyddsåtgärder
• Säkerhetsinformation (IFU)

Att använda märkning som huvudstrategi utan att undersöka konstruktionsförbättringar leder ofta till avvikelser.

3. Saknad övergripande utvärdering av kvarstående risk

Vissa filer bedömer individuella kvarstående risker men misslyckas med att utvärdera den övergripande kvarstående risken.

• Ingen dokumenterad övergripande slutsats
• Ingen sammanfattning i Risk Management Report

MDR kräver att den övergripande nytta–riskprofilen är acceptabel.

4. Svag motivering av nytta–risk

Ett vanligt fynd är bristande överensstämmelse mellan:

• Riskhanteringsfilen
• Clinical Evaluation Report (CER)
• Post-Market Surveillance-data

Kvarstående risker måste motiveras med klinisk evidens — inte antaganden.

5. Bristande GSPR-spårbarhet

Anmälda organ anger ofta:

“Spårbarheten till Annex I GSPR är otillräcklig.”

• Ingen strukturerad koppling till GSPR-checklista
• Kontroller kopplas inte till specifika klausuler
• Verifieringsbevis refereras inte

För vägledning om strukturerad mappning, se:

• ISO 14971 vs MDR Annex I – Hur man visar GSPR-överensstämmelse

6. Ofullständig faroidentifiering

Vanliga brister inkluderar saknad dokumentation av:

• Förutsebar felanvändning
• Programvarurelaterade faror
• Cybersäkerhetsrisker
• Human factors-överväganden

Ofullständig faroanalys undergräver hela riskprocessen.

7. Riskfilen uppdateras inte med PMS-data

Riskhantering måste vara en levande process.

• Klagomål granskas inte i riskkontext
• Ingen dokumenterad återkopplingsloop
• Trenddata utvärderas inte

MDR kräver kontinuerlig integration över livscykeln.

8. Saknade verifieringsbevis för riskkontroller

Riskkontroller måste verifieras.

• Ingen hänvisning till testrapport
• Ingen valideringsdokumentation
• Verifiering utförd men inte länkad

Spårbarhet mellan kontroll och bevis är ett centralt revisionsfokus.

9. Fragmenterad dokumentationsstruktur

Riskdokumentation finns ofta i:

• Flera kalkylblad
• Separata valideringsrapporter
• Oanknuten klinisk dokumentation

Fragmentering ökar inkonsekvens och revisionsrisk.

För strukturerad filuppsättning, se:

• MDR Risk Management File Structure – Annex II-guide

10. Riskhantering behandlas som en engångsaktivitet

Riskhantering slutförs ibland vid design freeze och ses inte över igen.

• Ingen koppling till ändringshantering
• Ingen dokumentation av periodisk granskning
• Ingen integration med PMS-uppdateringar

Enligt MDR måste riskhantering underhållas kontinuerligt.

Hur man minskar revisionsrisk enligt ISO 14971

För att minska avvikelser bör tillverkare säkerställa:

• Tydliga fördefinierade acceptanskriterier
• Dokumenterad nytta–risk-logik
• Strukturerad GSPR-spårbarhet
• Livscykelintegration med PMS och kliniska data
• Kontrollerad dokumentationsstruktur

För en fullständig översikt av ISO 14971 under MDR, se:

• ISO 14971 Risk Management for Medical Devices – Complete Guide

Slutsats

De flesta ISO 14971-revisionsfynd beror inte på bristande arbete — utan på bristande struktur och spårbarhet.

Tillverkare som anpassar sin riskhanteringsfil till Annex II-kraven och integrerar den i den tekniska dokumentationen minskar avsevärt regulatorisk exponering och påskyndar granskningen från anmälda organ.

Relaterade resurser

• Besök MedQdoc Help Center