ISO 13485 a ISO 9001 u dostawców obróbki CNC: co dodaje certyfikat i jak zweryfikować zakres

Czy samo ISO 9001 wystarczy do kwalifikacji dostawcy części wyrobów medycznych?

ISO 9001 to bazowa certyfikacja zarządzania jakością u dostawców części precyzyjnych i oczekuje się jej od każdego rzetelnego dostawcy obróbki CNC¹⁶²⁶. Obejmuje udokumentowane zarządzanie jakością, działania korygujące i nadzór nad dostawcami — ogólny system, który utrzymuje procesy pod kontrolą, wyposażenie wzorcowane, a procedury spisane⁵¹⁶.

Dla branż regulowanych norma branżowa jest opisywana jako niepodlegająca negocjacji, a nie opcjonalna, i właściwy certyfikat powinien być traktowany jako filtr, a nie bonus²²²⁶. Praktyczną konsekwencją jest kolejność odsiewania: warsztat z samym ISO 9001 odpada, zanim poświęcisz czas na zdolność tolerancji albo cenę.

Ryzyko pracy z warsztatem bez certyfikatu ujawnia się po dostawie, gdy twój własny audit zgodności albo jednostka notyfikowana zażąda dokumentacji, której warsztat nie potrafi przedstawić — w tym momencie części mogą być bezużyteczne, niezależnie od tego, jak dobrze zostały obrobione²².

Jedno źródło wyraża tę samą logikę ostrzej dla lotnictwa, gdzie samo ISO 9001 dyskwalifikuje dostawcę w programach krytycznych dla lotu²¹. To stwierdzenie dotyczy AS9100D, a nie ISO 13485, więc samo nie ustanawia reguły dla wyrobów medycznych; pokazuje wzorzec, że certyfikacja branżowa jest warstwą kwalifikującą, a nie ogólna.

Co system ISO 13485 dodaje ponad ISO 9001

ISO 13485 to norma SMJ dla wyrobów medycznych, a źródła opisują ją jako dodającą walidację procesów, zapisy historii wyrobu i identyfikowalność partii materiałowych ponad to, czego już wymaga ISO 9001⁵. Wkład ISO 9001 to warstwa ogólna: udokumentowane zarządzanie jakością, działania korygujące i nadzór nad dostawcami⁵.

ISO 13485 zachowuje tę warstwę i dodaje zapisy, których producent wyrobu potrzebuje, by odtworzyć, co wydarzyło się z częścią. Normę opisuje się też jako obejmującą wyroby medyczne z naciskiem na zgodność regulacyjną FDA/CE i zarządzanie ryzykiem wg ISO 14971¹⁵.

To różnica rodzaju, a nie tylko stopnia: ISO 9001 to fundament międzybranżowy, podczas gdy ISO 13485 jest napisana wokół środowiska regulacyjnego, do którego części wejdą¹⁵. Dla kupującego certyfikat jest biletem wstępu, a dodane zapisy są istotą.

Gdy zapytasz, co system warsztatu wytwarza ponad certyfikat, odpowiedź powinna mapować się na walidację procesów, zapisy historii wyrobu i identyfikowalność partii⁵. Źródła nie wyszczególniają pełnych, punkt po punkcie wymagań ISO 13485, więc traktuj certyfikat jako dowód, że system istnieje, i poproś warsztat o pokazanie zapisów, jakie generuje.

Najpierw odrzuć certyfikaty wygasłe albo niemożliwe do zweryfikowania

Te kontrole kosztują niewiele i odsiewają dostawców przed jakąkolwiek oceną techniczną. Dostawcy powinni podać numery certyfikatów i daty wygaśnięcia do niezależnej weryfikacji, a certyfikaty powinny być aktualne i wydane przez uznany organ certyfikujący⁷¹¹.

Czy zakres certyfikatu obejmuje obróbkę i procesy specjalne, które kupujesz?

Procesy specjalne — obróbka cieplna, spawanie, obróbki powierzchniowe i badania nieniszczące — są kontrolowane lub akredytowane osobno od ogólnego systemu zarządzania jakością¹³¹⁵. To rozdzielenie jest powodem, dla którego ważny certyfikat ISO 13485 na papierze firmowym warsztatu sam przez się nie mówi ci, kto wykonuje anodowanie albo obróbkę cieplną twoich części.

Gdy procesy specjalne są podwykonawczone, poddostawcy powinni być zweryfikowani aktualnymi certyfikatami obejmującymi dokładnie ten proces, który wykonują¹³. Weryfikacja jest specyficzna dla procesu: certyfikat dla jednego procesu specjalnego nie zastępuje certyfikatu dla innego.

Dostawcy, których systemy jakości obejmują obróbkę, obróbkę blach, wykańczanie i montaż, utrzymują identyfikowalność bez przerw na granicach dostawców — to warunek, którego szukasz, gdy część przechodzi przez kilku dostawców, zanim zostanie wysłana¹¹.

Poproś warsztat o wymienienie każdej operacji, przez którą przejdzie twoja część, o wskazanie, czy każda jest wykonywana u siebie czy podwykonawczo, i o przedstawienie certyfikatu obejmującego dokładnie ten proces¹³.

Źródła nie ustanawiają, jak odczytać zakres certyfikatu ISO 13485, by potwierdzić, że wymienia obróbkę CNC albo konkretny proces specjalny, więc to pokrycie trzeba potwierdzić bezpośrednio, a nie wywnioskować z certyfikatu.

Czy dowody inspekcji warsztatu są wystarczające dla twoich wymiarów krytycznych?

Certyfikacja pokazuje, że system istnieje; zapisy inspekcji pokazują, że warsztat utrzyma twoje tolerancje. Praktyczne wskaźniki to raporty inspekcji dołączane do części, zdolność CMM dla cech o ciasnych tolerancjach, atesty materiałowe i identyfikowalność oraz przejrzysty proces obsługi niezgodności⁶.

Wymagaj nieprzerwanej łańcucha identyfikowalności od surowca do gotowej części

ISO 13485 dodaje identyfikowalność partii materiałowych, a dla części wyrobów medycznych opisuje się wymóg zapisów identyfikowalności materiałowej⁵²⁶. Łańcuch, który to spełnia, biegnie od raportu z badań surowca, przez każdą operację produkcyjną, do certyfikatu zgodności gotowej części — każde ogniwo obecne, czytelne i zarchiwizowane²⁷.

W praktyce pakiet dokumentacji wiąże atesty hutnicze z pochodzącym wytopem lub partią, a zapisy partii lub numerów seryjnych łączą materiał wejściowy z operacjami międzyoperacyjnymi i kontrolą końcową²⁷. Certyfikat zgodności odnoszący się do właściwej rewizji rysunku i specyfikacji zamyka ten łańcuch²⁷.

Zanim zwolnisz zamówienie, poproś o pokazanie kompletnego pakietu dla porównywalnej części. Źródła opisują strukturę łańcucha dokumentacji w kontekście lotniczym i nie podają okresu przechowywania zapisów wymaganego dla części wyrobów medycznych wg ISO 13485, więc przechowywanie to pytanie do dostawcy, a nie liczba, którą ten dowód może dostarczyć¹¹²⁷.

Czy zapisy kontroli zmian i działań korygujących są wystarczająco mocne, by chronić wyrób?

Rewalidacja jest wyzwalana, gdy zmienia się wyposażenie, materiały, operatorzy lub parametry procesu, a inspekcja pierwszej sztuki jest wymagana po zmianach procesu — nie tylko dla nowych części¹²³⁰. Warsztat traktujący FAI jako jednorazowe zdarzenie dla nowego numeru części zostawia cię bez dowodu, że proces nadal produkuje części zgodne po wymianie maszyny albo przeniesieniu ustawienia.

Działania korygujące to miejsce, gdzie audyty dostawców najczęściej znajdują dyskwalifikujące braki. Niekompletny albo niedokumentowany system działań korygujących jest opisywany jako najczęstszy dyskwalifikator w auditach kwalifikacji dostawców, a kupującym doradza się zażądanie zapisów niezgodności i działań korygujących za poprzednie 12 miesięcy³².

Warsztat, który nie potrafi przedstawić tej historii albo który nosi otwarte działania korygujące bez zaimplementowanych odpowiedzi, oblewa przegląd niezależnie od swojej zdolności obróbczej³². Zadaj dwa pytania przed przyznaniem zamówienia: co wyzwala nowy FAI w twoim systemie i czy można pokazać ostatnie dwanaście miesięcy zapisów niezgodności i działań korygujących¹²³⁰³².

Źródła nie podają, czy ISO 13485 wymaga zatwierdzenia przez OEM przed zmianą procesu, materiału, wyposażenia lub lokalizacji, więc jeśli twój wyrób potrzebuje tej kontroli, zapisz ją w zamówieniu zakupu, zamiast zakładać, że zapewnia ją certyfikat.

Gdzie źródła różnią się co do samego ISO 9001

Rozbieżność dotyczy tego, jak daleko sięga ISO 9001, a nie tego, czy jest wymagane. Jedna pozycja utrzymuje, że ISO 9001 to baza, którą powinien posiadać każdy rzetelny dostawca, i że norma branżowa jest dodatkową, niepodlegającą negocjacji warstwą dla branż regulowanych¹⁶²⁶.

Druga stwierdza, że samo ISO 9001 dyskwalifikuje dostawcę w programach krytycznych dla lotu — to stwierdzenie dotyczy lotnictwa i AS9100D, a nie wyrobów medycznych²¹.

Dla kupującego wyrobów medycznych praktyczny odczyt jest taki sam w obu przypadkach: ISO 9001 to podłoga, a ISO 13485 to filtr decydujący o tym, czy dostawca może wesprzeć twój zgłoszenie regulacyjne²²²⁶.

Źródła nie rozstrzygają, czy samo ISO 9001 kiedykolwiek wystarcza w dziedzinie regulowanej, więc zweryfikuj konkretny certyfikat, którego wymaga twoja jednostka notyfikowana albo klient, zamiast polegać na regule ogólnej.

Czego źródła nie potwierdzają

• Żadne źródło nie wyszczególnia wymagań ISO 13485 punkt po punkcie ponad ISO 9001 (kontrola projektu, walidacja procesów, identyfikowalność, kontrola wyrobu niezgodnego).
• Żadne źródło nie wyjaśnia, jak odczytać zakres certyfikatu ISO 13485, by potwierdzić, że obejmuje obróbkę CNC albo konkretne procesy specjalne.
• Żadne źródło nie omawia wymagań akredytacji jednostki certyfikującej ISO 13485 ani sposobu ich weryfikacji.
• Żadne źródło nie podaje obsługi skarg, raportowania zdarzeń niepożądanych ani terminów CAPA w ISO 13485.
• Żadne źródło nie podaje, czy ISO 13485 wymaga zatwierdzenia przez OEM przed zmianą procesu, materiału, wyposażenia lub lokalizacji.
• Żadne źródło nie podaje okresu przechowywania zapisów wymaganego dla identyfikowalności części wyrobów medycznych.
• Żadne źródło nie omawia szczegółów implementacji zarządzania ryzykiem ISO 14971 u dostawcy obróbki.