Spiegazione della norma ISO 13485

Una panoramica indipendente fornita da DQS, un ente di certificazione accreditato.

La norma ISO 13485 è lo standard internazionale per i sistemi di gestione della qualità nel settore dei dispositivi medici. Essa specifica i requisiti di un sistema di gestione della qualità che un'organizzazione deve dimostrare di possedere per fornire dispositivi medici e servizi correlati che soddisfino costantemente i requisiti dei clienti e le normative applicabili. La versione attuale è la norma ISO 13485:2016, integrata nell’Unione Europea dalla norma EN ISO 13485:2016/A11:2021. Questo emendamento europeo stabilisce la relazione tra la norma ISO 13485:2016 e i requisiti del Regolamento UE sui dispositivi medici (MDR 2017/745) e del Regolamento sui dispositivi medici per la diagnostica in vitro (IVDR 2017/746), aiutando i produttori a dimostrare la conformità ai requisiti normativi applicabili. Negli Stati Uniti, il Regolamento della FDA sul sistema di gestione della qualità (QMSR) è entrato in vigore il 2 febbraio 2026, incorporando per riferimento la norma ISO 13485:2016 nel 21 CFR Parte 820. Attualmente non è prevista alcuna revisione formale della norma ISO 13485, sebbene si prevedano attività di revisione man mano che le nuove tecnologie e le aspettative normative si evolvono (Situazione a maggio 2026). 

Punti chiave in sintesi 

Perché la norma ISO 13485 è così importante nel panorama normativo? 

Pressione normativa nei principali mercati 

Il settore dei dispositivi medici è uno dei settori più fortemente regolamentati dell’economia globale e il quadro normativo continua a diventare sempre più rigoroso. Nell’Unione Europea, il Regolamento sui dispositivi medici (MDR, Regolamento (UE) 2017/745) e il Regolamento sui dispositivi diagnostici in vitro (IVDR, Regolamento (UE) 2017/746) impongono ai produttori e ai rappresentanti autorizzati di attuare un sistema di gestione della qualità; la norma EN ISO 13485:2016/A11:2021 è lo standard armonizzato utilizzato dalla maggior parte dei produttori come base del sistema di gestione della qualità (QMS) per la valutazione della conformità all’MDR e all’IVDR. Negli Stati Uniti, il Regolamento della FDA sul sistema di gestione della qualità (QMSR) è entrato in vigore il 2 febbraio 2026, sostituendo il precedente 21 CFR Parte 820 (Regolamento sul sistema di qualità) incorporando per riferimento la norma ISO 13485:2016, con integrazioni specifiche della FDA in materia di etichettatura, gestione dei reclami e tenuta dei registri. Health Canada richiede da tempo la certificazione ISO 13485 nell’ambito del Medical Device Single Audit Program (MDSAP), e altre importanti autorità di regolamentazione (l’ANVISA brasiliana, la TGA australiana, la PMDA giapponese, la SAHPRA sudafricana) accettano o richiedono audit MDSAP basati sulla norma ISO 13485. 

Aspettative della catena di fornitura e controllo da parte degli organismi notificati 

Il contesto normativo ha generato aspettative concrete lungo tutta la catena del valore dei dispositivi medici. Gli organismi notificati nell’UE e gli organismi di certificazione in altre parti del mondo esaminano con crescente rigore il controllo dei fornitori, la documentazione relativa alla progettazione e allo sviluppo, la sorveglianza post-commercializzazione e la gestione dei rischi. I fornitori di livello N di componenti, servizi di sterilizzazione, imballaggio e produzione per conto terzi sono tenuti ad applicare sistemi di gestione della qualità conformi alla norma ISO 13485 come condizione per collaborare con i produttori di apparecchiature originali (OEM). Gli sviluppatori, i distributori, gli importatori e i fornitori di servizi di Software-as-a-medical-device (SaMD) devono soddisfare aspettative equivalenti in relazione al loro ruolo nel ciclo di vita dei dispositivi medici. 

Sicurezza del paziente, gestione del rischio e disciplina post-commercializzazione 

La logica alla base della norma è la sicurezza del paziente. La norma ISO 13485 richiede che la gestione del rischio sia applicata durante l’intero processo di realizzazione del prodotto, in linea con la norma ISO 14971 (la norma più diffusa per la gestione del rischio dei dispositivi medici), e che le organizzazioni gestiscano i reclami, la sorveglianza post-commercializzazione, la vigilanza e i processi di azioni correttive e preventive in grado di identificare e risolvere i problemi di sicurezza sul campo. La combinazione tra la disciplina di progettazione pre-commercializzazione e i cicli di feedback post-commercializzazione è ciò che distingue il sistema di gestione della qualità (QMS) dei dispositivi medici dalla gestione generica della qualità. 

Certificazione accreditata vs. non accreditata: perché è importante 

Nella scelta di un partner di certificazione, è importante distinguere tra certificazione accreditata e non accreditata. La certificazione accreditata implica che l’ente di certificazione stesso sia formalmente valutato, approvato e monitorato continuamente da un organismo di accreditamento indipendente. Ciò fornisce un’ulteriore garanzia in termini di competenza, imparzialità, metodologia di audit e accettazione a livello internazionale. I certificati non accreditati possono confermare che è stata effettuata una valutazione, ma in genere non offrono lo stesso livello di supervisione esterna, credibilità normativa o riconoscimento di mercato. 

Collaborare con un ente di certificazione accreditato offre quindi chiari vantaggi: i certificati godono di maggiore fiducia da parte delle autorità di regolamentazione, dei clienti, delle organizzazioni di approvvigionamento e dei partner commerciali; sono più adatti ai mercati regolamentati e ai processi di qualificazione dei fornitori; e forniscono una prova più solida del fatto che l’audit sia stato eseguito secondo regole riconosciute e requisiti di accreditamento controllati. DQS detiene accreditamenti ISO 13485 rilasciati da organismi di accreditamento riconosciuti a livello internazionale, tra cui DAkkS in Germania, ANAB negli Stati Uniti e lo Standards Council of Canada, a sostegno del riconoscimento internazionale e della credibilità dei propri certificati. 

Requisiti fondamentali della norma ISO 13485

La norma ISO 13485:2016 è strutturata in otto clausole. Le clausole da 1 a 3 riguardano l’ambito di applicazione, i riferimenti normativi, i termini e le definizioni. Le clausole relative ai requisiti — in base alle quali viene sottoposta a audit un’organizzazione — sono le clausole da 4 a 8. 

Clausola 4 — Sistema di gestione della qualità 

L’organizzazione documenta, implementa e mantiene un sistema di gestione della qualità. I requisiti riguardano i requisiti generali del SGQ (compresi i controlli sui processi esternalizzati e sul software utilizzato nel SGQ), il manuale di qualità, il controllo dei documenti e il controllo delle registrazioni. I requisiti di documentazione sono espliciti e dettagliati per definizione, riflettendo lo scopo normativo della norma. 

Clausola 5 — Responsabilità della direzione 

L’alta direzione definisce la politica della qualità e gli obiettivi di qualità, conduce i riesami della direzione e garantisce la disponibilità delle risorse. La clausola specifica il ruolo del rappresentante della direzione, la comunicazione interna e le responsabilità e le autorità necessarie per il funzionamento del sistema di gestione della qualità. 

Clausola 6 — Gestione delle risorse 

I requisiti riguardano la messa a disposizione delle risorse, comprese le risorse umane (competenza, formazione, sensibilizzazione), le infrastrutture e l’ambiente di lavoro. Per i dispositivi sterili e i dispositivi impiantabili attivi, vengono specificatamente indicati i requisiti relativi al controllo della contaminazione e all’ambiente di lavoro. 

Clausola 7 — Realizzazione del prodotto 

La clausola più ampia copre l’intero ciclo di vita del dispositivo medico: pianificazione della realizzazione del prodotto, processi relativi al cliente, progettazione e sviluppo, acquisti (compresa la valutazione e la rivalutazione dei fornitori), produzione e fornitura di servizi, identificazione e tracciabilità, controllo delle apparecchiature di monitoraggio e misurazione e attività di gestione dei rischi applicate in tutte le fasi. Requisiti specifici si applicano ai dispositivi sterili, ai dispositivi impiantabili e ai dispositivi che richiedono installazione o manutenzione. 

Clausola 8 — Misurazione, analisi e miglioramento 

L’organizzazione pianifica e attua processi di monitoraggio, misurazione, analisi e miglioramento, inclusi il feedback (sorveglianza post-commercializzazione), la gestione dei reclami, la segnalazione alle autorità di regolamentazione, l’audit interno, il monitoraggio e la misurazione dei processi e del prodotto, il controllo dei prodotti non conformi, l’analisi dei dati e le azioni correttive e preventive (CAPA). È in questa clausola che il collegamento tra la norma e la vigilanza post-commercializzazione risulta più esplicito.

Destinatari e ambiti di applicazione della norma ISO 13485

La norma ISO 13485 è il riferimento globale di fatto per le organizzazioni che operano in qualsiasi fase del ciclo di vita dei dispositivi medici. Tra i gruppi di utenti tipici figurano: 

• Produttori di dispositivi medici, dai piccoli sviluppatori di SaMD e start-up ai grandi OEM multinazionali. 
• Produttori di dispositivi diagnostici in vitro (IVD), dove la transizione parallela all’IVDR dell’UE ha determinato una significativa diffusione delle implementazioni di sistemi di gestione della qualità (QMS) basati sulla norma ISO 13485. 
• Produttori a contratto e studi di progettazione, che devono essere in grado di integrarsi senza soluzione di continuità negli audit dei sistemi di gestione della qualità (QMS) dei clienti. 
• Fornitori di componenti, servizi di sterilizzazione, fornitori di imballaggi e fornitori di servizi di sviluppo software, che necessitano sempre più spesso di certificazione o di una valutazione di conformità come condizione per la fornitura. 
• Distributori, importatori e rappresentanti autorizzati con obblighi normativi ai sensi del MDR, dell’IVDR o di regimi nazionali equivalenti. 
• Installatori e fornitori di servizi per dispositivi medici che richiedono installazione o manutenzione professionale. 

Un sistema di gestione della qualità dei dispositivi medici ben progettato supporta decisioni informate, fornendo alla dirigenza e ai responsabili operativi informazioni strutturate e tracciabili relative alla progettazione, alla produzione, alle prestazioni dei fornitori e al comportamento post-commercializzazione. Esso costituisce la base per una gestione basata su dati concreti della sicurezza dei pazienti e della conformità normativa; il sistema di per sé non agisce, ma consente alle persone all’interno dell’organizzazione di prendere decisioni più informate

Norme correlate alla norma ISO 13485

Struttura armonizzata e combinazioni tipiche

A differenza della maggior parte delle altre norme ISO sui sistemi di gestione, la norma ISO 13485 non è allineata alla Struttura di Alto Livello (Allegato SL). Si tratta di una scelta deliberata da parte dell’ISO/TC 210, volta a mantenere stabile la norma per le autorità di regolamentazione dei dispositivi medici che l’hanno incorporata per riferimento. Le organizzazioni che applicano la norma ISO 13485 insieme alla norma ISO 9001 gestiscono in genere un unico sistema di gestione della qualità (QMS) integrato, in cui gli elementi della norma ISO 9001 si sovrappongono alla struttura di base della norma ISO 13485, riconoscendo che le due norme condividono un patrimonio intellettuale ma non più la struttura delle clausole. Molti produttori di dispositivi medici applicano parallelamente anche i sistemi ISO 14001 (ambiente) e ISO 45001 (salute e sicurezza sul lavoro), ma l’integrazione con la norma ISO 13485 è necessariamente più limitata a causa delle differenze strutturali.

Il collegamento con la norma ISO 9001

La norma ISO 13485 deriva originariamente dalla norma ISO 9001 e ne condivide l’approccio concettuale da decenni. L’edizione del 2016 della norma ISO 13485, tuttavia, non è stata intenzionalmente allineata alla revisione del 2015 della norma ISO 9001, e al momento non vi sono indicazioni che l’ISO/TC 210 intenda allinearsi alla norma ISO 9001:2026. Le organizzazioni non dovrebbero quindi dare per scontato che la conformità a una norma implichi la conformità all’altra; i requisiti differiscono in aree importanti, in particolare per quanto riguarda la documentazione, la gestione dei rischi, la rendicontazione normativa, la progettazione e lo sviluppo, nonché le attività post-commercializzazione.

MDSAP e requisiti normativi specifici per paese

Il Medical Device Single Audit Program (MDSAP) è un programma di audit che utilizza la norma ISO 13485:2016 come standard di base e aggiunge requisiti specifici per paese per le autorità di regolamentazione partecipanti (la TGA australiana, l’ANVISA brasiliana, Health Canada, la FDA statunitense e la PMDA/MHLW giapponese). Il superamento di un audit MDSAP viene riconosciuto dalle autorità di regolamentazione partecipanti in modi diversi: in alcuni casi è obbligatorio, in altri è accettato come prova. La norma EN ISO 13485:2016/A11:2021 è la versione armonizzata europea della norma, con gli allegati ZA e ZB che chiariscono la corrispondenza della norma con il MDR e l’IVDR dell’UE. Il regolamento della FDA sul sistema di gestione della qualità (QMSR), in vigore dal 2 febbraio 2026, incorpora per riferimento la norma ISO 13485:2016 e aggiunge disposizioni specifiche della FDA in materia di etichettatura, gestione dei reclami e tenuta dei registri; Il QMSR non si aggiorna automaticamente alle future revisioni della norma ISO 13485 senza un’apposita procedura normativa da parte della FDA.

Gestione del rischio e norme tecniche correlate

La norma ISO 13485 è strettamente collegata a una serie di norme relative alla gestione del rischio e alla sicurezza dei prodotti che non sono norme di sistema di gestione certificabili, ma a cui fa riferimento la norma ISO 13485 o che sono richieste dalle autorità di regolamentazione. La norma ISO 14971 (applicazione della gestione del rischio ai dispositivi medici) è il riferimento riconosciuto in materia di gestione del rischio. La norma IEC 62304 (processi del ciclo di vita del software per dispositivi medici), la norma IEC 62366-1 (ingegneria dell’usabilità) e la serie IEC 60601 (sicurezza elettrica delle apparecchiature elettromedicali) sono norme tecniche di prodotto che interagiscono con il sistema di gestione della qualità (SGQ) ISO 13485, ma non costituiscono di per sé certificazioni SGQ. Queste non dovrebbero essere descritte come equivalenti alla norma ISO 13485.