Die Risikomanagementakte ist der Nachweis, dass ein Hersteller die Risiken seines Medizinprodukts systematisch ermittelt, bewertet, beherrscht und über die gesamte Lebensdauer weiter beobachtet. Sie ist Pflichtbestandteil der technischen Dokumentation und der Bestandteil, an dem Benannte Stellen am häufigsten Nachforderungen stellen.
Was die Akte enthalten muss
Am Anfang steht der Risikomanagementplan: Er legt Umfang, Verantwortlichkeiten, die Kriterien für die Risikoakzeptanz und das Vorgehen zur Verifizierung der Maßnahmen fest. Es folgen die Analyse mit Zweckbestimmung, vernünftigerweise vorhersehbarem Fehlgebrauch, identifizierten Gefährdungen und den Gefährdungssituationen, die daraus entstehen können.
Zu jeder bewerteten Gefährdungssituation gehören die Beherrschungsmaßnahme, der Nachweis ihrer Umsetzung und der Nachweis ihrer Wirksamkeit. Dabei gilt eine feste Rangfolge: zuerst sichere Auslegung, dann Schutzmaßnahmen am Produkt oder in der Fertigung, erst zuletzt Information für die Anwender. Den Abschluss bildet der Risikomanagementbericht mit der Bewertung des Gesamtrestrisikos.
Der Unterschied zwischen Norm und Verordnung
Die einschlägige Norm für den Prozess ist ISO 14971. Sie wird in vielen Unternehmen mit einer Wahrscheinlichkeits-Schweregrad-Matrix umgesetzt, in der Risiken als vertretbar gelten, sobald sie in ein grünes Feld fallen.
Genau hier entsteht der häufigste Konflikt. Die europäische Verordnung verlangt, jedes Risiko so weit wie möglich zu senken, unabhängig davon, ob es die eigene Akzeptanzschwelle bereits unterschreitet. Ein Risiko darf also nicht deshalb unbehandelt bleiben, weil die Matrix es als grün ausweist. Wirtschaftliche Erwägungen dürfen in diese Entscheidung nicht einfließen. Wer eine ältere Akte übernimmt, findet diese Begründung fast immer und muss sie ersetzen.
Die Verbindung zum Markt wird unterschätzt
Der Risikoprozess endet nicht mit der Markteinführung. Informationen aus Herstellung und Anwendung müssen zurückfließen und die Annahmen der Analyse überprüfen. Wenn ein Fehler häufiger auftritt als angenommen oder eine Anwendungssituation gemeldet wird, die niemand vorhergesehen hat, gehört das in die Akte.
Damit ist die Risikomanagementakte fest an die Post-Market Surveillance und an die Vigilanz gekoppelt. In der Praxis fehlt diese Kopplung oft: Reklamationen laufen im Kundendienst auf, Vorkommnisse im Regulatory-Bereich, und die Risikoakte bleibt bei der Entwicklung liegen. Auditoren prüfen deshalb gern rückwärts — sie greifen sich ein gemeldetes Vorkommnis und fragen, wo es in der Akte auftaucht.
Woran es scheitert
An der fehlenden Trennung von Gefährdung und Gefährdungssituation. Ein scharfkantiges Gehäuse ist eine Gefährdung, die Schnittverletzung beim Auspacken die Situation. Wer beides vermischt, erhält Listen mit hunderten Einträgen, die niemand mehr pflegt.
Der zweite Fehler ist die Bewertung nach der Maßnahme, ohne die Ausgangslage zu dokumentieren. Ohne den Wert vor der Maßnahme lässt sich die Wirksamkeit nicht belegen — und im Zertifizierungsaudit nach ISO 13485 ist genau das die Frage, die gestellt wird.