Giải thích về tiêu chuẩn ISO 13485

Bản đánh giá độc lập từ DQS, một tổ chức chứng nhận được công nhận.

ISO 13485 là tiêu chuẩn quốc tế về hệ thống quản lý chất lượng trong lĩnh vực thiết bị y tế. Tiêu chuẩn này quy định các yêu cầu đối với một hệ thống quản lý chất lượng mà một tổ chức cần chứng minh để cung cấp các thiết bị y tế và dịch vụ liên quan đáp ứng nhất quán các yêu cầu của khách hàng và các quy định pháp luật hiện hành. Phiên bản hiện hành là ISO 13485:2016, được bổ sung tại Liên minh Châu Âu bởi EN ISO 13485:2016/A11:2021. Bản sửa đổi của Châu Âu này thiết lập mối quan hệ giữa ISO 13485:2016 và các yêu cầu của Quy định về Thiết bị Y tế của EU (MDR 2017/745) và Quy định về Thiết bị Y tế Chẩn đoán In Vitro (IVDR 2017/746), hỗ trợ các nhà sản xuất chứng minh sự phù hợp với các yêu cầu pháp lý hiện hành. Tại Hoa Kỳ, Quy định về Hệ thống Quản lý Chất lượng (QMSR) của FDA có hiệu lực vào ngày 2 tháng 2 năm 2026, tích hợp tiêu chuẩn ISO 13485:2016 bằng cách tham chiếu vào 21 CFR Phần 820. Hiện tại chưa có kế hoạch sửa đổi chính thức tiêu chuẩn ISO 13485, mặc dù dự kiến sẽ có các hoạt động xem xét khi các công nghệ mới và kỳ vọng về quy định phát triển (Tình trạng tháng 5 năm 2026).

Những điểm chính cần lưu ý

Tại sao tiêu chuẩn ISO 13485 lại quan trọng đến vậy trong bối cảnh pháp lý hiện hành?

Áp lực pháp lý trên các thị trường lớn

Ngành thiết bị y tế là một trong những lĩnh vực được quản lý chặt chẽ nhất trong nền kinh tế toàn cầu, và khung pháp lý ngày càng được thắt chặt. Tại Liên minh Châu Âu, Quy định về Thiết bị Y tế (MDR, Quy định (EU) 2017/745) và Quy định về Chẩn đoán In Vitro (IVDR, Quy định (EU) 2017/746) yêu cầu các nhà sản xuất và đại diện được ủy quyền phải vận hành hệ thống quản lý chất lượng; tiêu chuẩn EN ISO 13485:2016/A11:2021 là tiêu chuẩn hài hòa được hầu hết các nhà sản xuất sử dụng làm nền tảng cho hệ thống quản lý chất lượng (QMS) để đánh giá sự phù hợp với MDR và IVDR. Tại Hoa Kỳ, Quy định về Hệ thống Quản lý Chất lượng (QMSR) của FDA có hiệu lực vào ngày 2 tháng 2 năm 2026, thay thế Quy định 21 CFR Phần 820 (Quy định về Hệ thống Chất lượng) trước đây bằng cách tích hợp ISO 13485:2016 theo tham chiếu, với các bổ sung cụ thể của FDA về ghi nhãn, xử lý khiếu nại và lưu giữ hồ sơ. Cơ quan Y tế Canada từ lâu đã yêu cầu chứng nhận ISO 13485 theo Chương trình Kiểm toán Đơn lẻ Thiết bị Y tế (MDSAP), và các cơ quan quản lý lớn khác (ANVISA của Brazil, TGA của Úc, PMDA của Nhật Bản, SAHPRA của Nam Phi) cũng chấp nhận hoặc yêu cầu các cuộc kiểm toán MDSAP dựa trên ISO 13485.

Kỳ vọng về chuỗi cung ứng và sự giám sát của cơ quan chứng nhận

Môi trường pháp lý đã tạo ra những kỳ vọng cụ thể dọc theo chuỗi giá trị thiết bị y tế. Các cơ quan được chỉ định tại EU và các cơ quan chứng nhận ở những nơi khác kiểm tra việc kiểm soát của nhà cung cấp, hồ sơ thiết kế và phát triển, giám sát sau thị trường và quản lý rủi ro với độ chính xác ngày càng cao. Các nhà cung cấp cấp N về linh kiện, dịch vụ khử trùng, đóng gói và sản xuất theo hợp đồng được kỳ vọng phải vận hành hệ thống quản lý chất lượng tuân thủ tiêu chuẩn ISO 13485 như một điều kiện để làm việc với các nhà sản xuất thiết bị gốc (OEM). Các nhà phát triển, nhà phân phối, nhà nhập khẩu và nhà cung cấp dịch vụ phần mềm y tế (SaMD) cũng phải đối mặt với những kỳ vọng tương đương liên quan đến vai trò của họ trong vòng đời của thiết bị y tế.

An toàn bệnh nhân, quản lý rủi ro và kỷ luật sau khi đưa sản phẩm ra thị trường

Nguyên tắc cốt lõi của tiêu chuẩn này là đảm bảo an toàn cho bệnh nhân. ISO 13485 yêu cầu áp dụng quản lý rủi ro trong suốt quá trình sản xuất sản phẩm, phù hợp với ISO 14971 (tiêu chuẩn phổ biến nhất về quản lý rủi ro cho thiết bị y tế), và các tổ chức phải vận hành các quy trình xử lý khiếu nại, giám sát sau thị trường, cảnh giác, và hành động khắc phục và phòng ngừa nhằm xác định và giải quyết các vấn đề an toàn trong thực tế. Sự kết hợp giữa kỷ luật thiết kế trước khi đưa sản phẩm ra thị trường và các vòng phản hồi sau khi đưa sản phẩm ra thị trường là điều làm nên sự khác biệt giữa hệ thống quản lý chất lượng thiết bị y tế (QMS) và quản lý chất lượng thông thường.

Chứng chỉ được công nhận so với chứng chỉ không được công nhận: Tại sao điều đó lại quan trọng

Khi lựa chọn đối tác chứng nhận, điều quan trọng là phải phân biệt giữa chứng nhận được công nhận và chứng nhận không được công nhận. Chứng nhận được công nhận có nghĩa là chính tổ chức chứng nhận được đánh giá chính thức, phê duyệt và giám sát liên tục bởi một tổ chức công nhận độc lập. Điều này mang lại sự đảm bảo bổ sung về năng lực, tính khách quan, phương pháp kiểm toán và sự chấp nhận quốc tế. Chứng chỉ không được công nhận có thể xác nhận rằng việc đánh giá đã được thực hiện, nhưng nhìn chung chúng không cung cấp mức độ giám sát bên ngoài, uy tín pháp lý hoặc sự công nhận trên thị trường tương tự.

Do đó, làm việc với một tổ chức chứng nhận được công nhận mang lại những lợi thế rõ ràng: chứng chỉ được các cơ quan quản lý, khách hàng, tổ chức mua sắm và đối tác kinh doanh tin tưởng rộng rãi hơn; chúng phù hợp hơn với các thị trường được quản lý và quy trình đánh giá nhà cung cấp; và chúng cung cấp bằng chứng mạnh mẽ hơn cho thấy cuộc kiểm toán đã được thực hiện theo các quy tắc được công nhận và các yêu cầu công nhận được kiểm soát. DQS nắm giữ chứng nhận ISO 13485 từ các tổ chức công nhận quốc tế được công nhận, bao gồm DAkkS ở Đức, ANAB ở Hoa Kỳ và Hội đồng Tiêu chuẩn Canada, hỗ trợ sự chấp nhận quốc tế và độ tin cậy của các chứng chỉ của mình.

Các yêu cầu cốt lõi đối với tiêu chuẩn ISO 13485

Tiêu chuẩn ISO 13485:2016 được cấu trúc thành tám điều khoản. Điều khoản 1 đến 3 bao gồm phạm vi, tài liệu tham khảo chuẩn mực, và các thuật ngữ và định nghĩa. Các điều khoản yêu cầu — dựa trên đó tổ chức được kiểm toán — là các điều khoản từ 4 đến 8.

Điều 4 — Hệ thống quản lý chất lượng

Tổ chức này lập tài liệu, triển khai và duy trì hệ thống quản lý chất lượng. Các yêu cầu bao gồm các yêu cầu chung về hệ thống quản lý chất lượng (bao gồm cả việc kiểm soát các quy trình thuê ngoài và phần mềm được sử dụng trong hệ thống quản lý chất lượng), sổ tay chất lượng, kiểm soát tài liệu và kiểm soát hồ sơ. Các yêu cầu về tài liệu được thiết kế rõ ràng và chi tiết, phản ánh mục đích quy định của tiêu chuẩn.

Điều khoản 5 — Trách nhiệm quản lý

Ban lãnh đạo cấp cao thiết lập chính sách chất lượng và mục tiêu chất lượng, tiến hành đánh giá quản lý và đảm bảo nguồn lực sẵn có. Điều khoản này quy định vai trò của người đại diện quản lý, truyền thông nội bộ, cũng như trách nhiệm và quyền hạn cần thiết để vận hành hệ thống quản lý chất lượng.

Điều khoản 6 — Quản lý tài nguyên

Các yêu cầu đề cập đến việc cung cấp các nguồn lực, bao gồm nguồn nhân lực (năng lực, đào tạo, nhận thức), cơ sở hạ tầng và môi trường làm việc. Đối với các thiết bị vô trùng và thiết bị cấy ghép hoạt động, các yêu cầu về kiểm soát ô nhiễm và môi trường làm việc được nêu rõ.

Điều khoản 7 — Thực hiện sản phẩm

Điều khoản lớn nhất bao gồm toàn bộ vòng đời của thiết bị y tế: lập kế hoạch hiện thực hóa sản phẩm, các quy trình liên quan đến khách hàng, thiết kế và phát triển, mua sắm (bao gồm đánh giá và tái đánh giá nhà cung cấp), sản xuất và cung cấp dịch vụ, nhận dạng và truy xuất nguồn gốc, kiểm soát thiết bị giám sát và đo lường, và các hoạt động quản lý rủi ro được áp dụng xuyên suốt. Các yêu cầu cụ thể áp dụng cho các thiết bị vô trùng, thiết bị cấy ghép và các thiết bị cần lắp đặt hoặc bảo dưỡng.

Điều khoản 8 — Đo lường, Phân tích và Cải tiến

Tổ chức này lập kế hoạch và thực hiện các quy trình giám sát, đo lường, phân tích và cải tiến, bao gồm phản hồi (giám sát sau thị trường), xử lý khiếu nại, báo cáo cho các cơ quan quản lý, kiểm toán nội bộ, giám sát và đo lường quy trình và sản phẩm, kiểm soát sản phẩm không phù hợp, phân tích dữ liệu và hành động khắc phục và phòng ngừa (CAPA). Điều khoản này thể hiện rõ nhất mối liên hệ của tiêu chuẩn với việc giám sát sau thị trường.

Các nhóm đối tượng mục tiêu và lĩnh vực ứng dụng của tiêu chuẩn ISO 13485

ISO 13485 là tiêu chuẩn tham chiếu toàn cầu thực tế cho các tổ chức hoạt động ở bất kỳ giai đoạn nào trong vòng đời của thiết bị y tế. Các nhóm người dùng điển hình bao gồm:

• Các nhà sản xuất thiết bị y tế, từ các nhà phát triển phần mềm và thiết bị di động (SaMD) nhỏ và các công ty khởi nghiệp đến các nhà sản xuất thiết bị gốc (OEM) đa quốc gia lớn.
• Các nhà sản xuất thiết bị chẩn đoán trong ống nghiệm (IVD), nơi quá trình chuyển đổi song song với Quy định IVDR của EU đã thúc đẩy việc áp dụng đáng kể các hệ thống quản lý chất lượng dựa trên tiêu chuẩn ISO 13485.
• Các nhà sản xuất theo hợp đồng và các công ty thiết kế cần có khả năng tích hợp liền mạch vào các cuộc kiểm toán hệ thống quản lý chất lượng của khách hàng.
• Các nhà cung cấp linh kiện, dịch vụ khử trùng, nhà cung cấp bao bì và nhà cung cấp dịch vụ phát triển phần mềm ngày càng cần chứng nhận hoặc đánh giá sự phù hợp như một điều kiện cung cấp hàng hóa.
• Các nhà phân phối, nhà nhập khẩu và đại diện được ủy quyền có nghĩa vụ pháp lý theo MDR, IVDR hoặc các quy định quốc gia tương đương.
• Các đơn vị lắp đặt và cung cấp dịch vụ cho các thiết bị y tế cần lắp đặt hoặc bảo trì chuyên nghiệp.

Một hệ thống quản lý chất lượng thiết bị y tế được thiết kế tốt sẽ hỗ trợ việc đưa ra quyết định sáng suốt bằng cách cung cấp cho lãnh đạo và các nhà quản lý vận hành thông tin có cấu trúc, có thể truy vết về thiết kế, sản xuất, hiệu suất của nhà cung cấp và hành vi sau khi đưa sản phẩm ra thị trường. Nó cung cấp cơ sở cho việc quản lý dựa trên bằng chứng về an toàn bệnh nhân và tuân thủ quy định; bản thân hệ thống không tự hoạt động, nhưng nó cho phép mọi người trong tổ chức đưa ra các quyết định sáng suốt hơn.

Các tiêu chuẩn liên quan đến ISO 13485

Cấu trúc hài hòa và các sự kết hợp điển hình

Không giống như hầu hết các tiêu chuẩn hệ thống quản lý ISO khác, ISO 13485 không được căn chỉnh theo Cấu trúc cấp cao (Phụ lục SL). Đây là một lựa chọn có chủ ý của ISO/TC 210, nhằm mục đích giữ cho tiêu chuẩn ổn định đối với các cơ quan quản lý thiết bị y tế đã tích hợp nó bằng cách tham chiếu. Các tổ chức vận hành ISO 13485 song song với ISO 9001 thường sử dụng một hệ thống quản lý chất lượng tích hợp duy nhất, trong đó các yếu tố của ISO 9001 được xếp lớp lên trên nền tảng ISO 13485, thừa nhận rằng hai tiêu chuẩn này có chung nguồn gốc trí tuệ nhưng không còn chung cấu trúc điều khoản. Nhiều nhà sản xuất thiết bị y tế cũng vận hành song song các hệ thống ISO 14001 (môi trường) và ISO 45001 (sức khỏe và an toàn nghề nghiệp), nhưng việc tích hợp với ISO 13485 sẽ đơn giản hơn do sự khác biệt về cấu trúc.

Kết nối ISO 9001

Tiêu chuẩn ISO 13485 ban đầu được phát triển từ ISO 9001 và đã chia sẻ phương pháp tiếp cận khái niệm của nó trong nhiều thập kỷ. Tuy nhiên, phiên bản năm 2016 của ISO 13485 đã cố ý không được điều chỉnh cho phù hợp với phiên bản sửa đổi năm 2015 của ISO 9001, và hiện không có dấu hiệu nào cho thấy ISO/TC 210 có kế hoạch điều chỉnh cho phù hợp với ISO 9001:2026. Do đó, các tổ chức không nên cho rằng việc tuân thủ một tiêu chuẩn đồng nghĩa với việc tuân thủ tiêu chuẩn kia; các yêu cầu khác nhau ở những lĩnh vực quan trọng, đặc biệt là về tài liệu, quản lý rủi ro, báo cáo quy định, thiết kế và phát triển, và các hoạt động sau khi đưa sản phẩm ra thị trường.

MDSAP và các quy định kèm theo

Chương trình Kiểm toán Đơn lẻ Thiết bị Y tế (MDSAP) là một chương trình kiểm toán sử dụng tiêu chuẩn ISO 13485:2016 làm tiêu chuẩn cốt lõi và bổ sung các yêu cầu cụ thể của từng quốc gia cho các cơ quan quản lý tham gia (TGA của Úc, ANVISA của Brazil, Health Canada, FDA của Hoa Kỳ và PMDA/MHLW của Nhật Bản). Một cuộc kiểm toán MDSAP thành công được các cơ quan quản lý tham gia công nhận theo nhiều cách khác nhau — bắt buộc ở một số nơi, được chấp nhận như bằng chứng ở những nơi khác. EN ISO 13485:2016/A11:2021 là phiên bản hài hòa của tiêu chuẩn châu Âu, với Phụ lục ZA và ZB làm rõ cách tiêu chuẩn này tương ứng với EU MDR và IVDR. Quy định về Hệ thống Quản lý Chất lượng của FDA (QMSR), có hiệu lực từ ngày 2 tháng 2 năm 2026, kết hợp ISO 13485:2016 bằng cách tham chiếu và bổ sung các điều khoản cụ thể của FDA về ghi nhãn, xử lý khiếu nại và lưu giữ hồ sơ; QMSR không tự động cập nhật lên các phiên bản ISO 13485 trong tương lai mà không có quy định riêng của FDA.

Quản lý rủi ro và các tiêu chuẩn kỹ thuật liên quan

Tiêu chuẩn ISO 13485 có liên hệ chặt chẽ với một bộ tiêu chuẩn về rủi ro và an toàn sản phẩm, không phải là các tiêu chuẩn hệ thống quản lý được chứng nhận nhưng được ISO 13485 tham chiếu hoặc được các cơ quan quản lý yêu cầu. ISO 14971 (ứng dụng quản lý rủi ro cho thiết bị y tế) là tiêu chuẩn tham chiếu về quản lý rủi ro được công nhận. IEC 62304 (quy trình vòng đời phần mềm thiết bị y tế), IEC 62366-1 (kỹ thuật khả dụng) và loạt tiêu chuẩn IEC 60601 (an toàn điện của thiết bị điện y tế) là các tiêu chuẩn kỹ thuật sản phẩm tương tác với hệ thống quản lý chất lượng ISO 13485 nhưng bản thân chúng không phải là chứng nhận hệ thống quản lý chất lượng. Không nên coi chúng là tương đương với ISO 13485.