ISO 14971 beschreibt, wie Hersteller von Medizinprodukten Risiken systematisch erkennen, bewerten, beherrschen und über die gesamte Lebensdauer des Produkts überwachen. Sie gilt für Medizinprodukte, In-vitro-Diagnostika und Software als Medizinprodukt — vom Verbandmittel bis zum bildgebenden System.
Der wichtigste Punkt vorweg, weil er in jeder zweiten Anfrage steckt: Nach ISO 14971 kann man sich nicht zertifizieren lassen. Die Norm beschreibt einen Prozess, nicht ein Managementsystem. Es gibt kein akkreditiertes Zertifizierungsverfahren, keine Stelle, die ein Unternehmenszertifikat ausstellen dürfte, und kein Register, in dem ein solches Zertifikat geführt würde. Wer Ihnen ein „ISO-14971-Zertifikat” anbietet, verkauft ein Papier ohne Grundlage im System.
Was stattdessen zählt, ist die Anwendung — und die wird an zwei Stellen geprüft. Im Audit nach ISO 13485 prüft der Auditor, ob ein Risikomanagementprozess beschrieben, verantwortlich zugeordnet und über die Produktentwicklung, die Beschaffung, die Fertigung und die Marktbeobachtung hinweg wirksam ist. Im Konformitätsbewertungsverfahren prüft die benannte Stelle produktbezogen die Risikomanagementakte gegen die grundlegenden Sicherheits- und Leistungsanforderungen. Die MDR verlangt Risikomanagement ausdrücklich; ISO 14971 ist der anerkannte Weg, diese Anforderung zu erfüllen.
Was der Prozess verlangt
Der Ablauf ist ein geschlossener Kreis: Er beginnt vor der Entwicklung und endet erst, wenn das letzte Produkt aus dem Markt ist.
| Schritt | Was dabei entsteht |
|---|---|
| Risikomanagementplan | Geltungsbereich, Verantwortlichkeiten, Akzeptanzkriterien, Methoden, Planung der Verifizierung — vor Beginn der Entwicklung |
| Bestimmung der Zweckbestimmung | Vorgesehener Gebrauch, Anwenderkreis, Umgebung und die vernünftigerweise vorhersehbare Fehlanwendung |
| Identifizierung der Gefährdungen | Gefährdungen, Gefährdungssituationen und die Ereignisfolgen, die vom einen zum Schaden führen |
| Risikoabschätzung | Schweregrad des Schadens und Wahrscheinlichkeit seines Eintritts, jeweils begründet |
| Risikobewertung | Vergleich mit den im Plan festgelegten Akzeptanzkriterien |
| Risikobeherrschung | Maßnahmen in fester Rangfolge: sicheres Design zuerst, dann Schutzmaßnahmen, erst zuletzt Information für die Sicherheit |
| Bewertung des Restrisikos | Bewertung nach Umsetzung der Maßnahmen, einschließlich neu entstandener Risiken |
| Gesamt-Restrisiko | Eigenständige Bewertung aller verbleibenden Risiken zusammen, mit Nutzen-Risiko-Abwägung |
| Risikomanagementbericht | Zusammenfassender Nachweis vor der Freigabe: Plan umgesetzt, Akte vollständig, Restrisiko vertretbar |
| Produktion und Marktbeobachtung | Rückfluss aus Fertigung, Reklamationen, Vigilanz und klinischer Nachbeobachtung in die Akte |
Zwei Punkte dieser Kette werden regelmäßig übersehen. Der erste ist die Rangfolge der Beherrschungsmaßnahmen: Ein Risiko darf nicht durch einen Warnhinweis in der Gebrauchsanweisung gelöst werden, wenn eine konstruktive Lösung möglich ist. Der zweite ist die Bewertung des Gesamt-Restrisikos. Sie ist keine Summe der Einzelrisiken, sondern eine eigene Betrachtung: Kann das Produkt in der Summe seiner verbleibenden Risiken noch als vertretbar gelten, gemessen an seinem Nutzen?
Die aktuelle Fassung hat zudem klargestellt, dass wirtschaftliche Erwägungen bei der Risikominderung nicht als Begründung taugen. Was technisch möglich ist, ist umzusetzen. Diese Verschärfung ist der Grund, warum ältere Risikomanagementakten mit einer Kosten-Nutzen-Begründung heute zu Feststellungen führen.
Ein häufiger Konflikt entsteht an der Schnittstelle zur Entwicklung. Der Risikomanagementplan ist vor Beginn der Entwicklung zu erstellen, weil er die Akzeptanzkriterien festlegt, an denen später gemessen wird. Wer ihn erst schreibt, wenn erste Prototypen existieren, gerät in die Versuchung, die Kriterien an das anzupassen, was das Produkt ohnehin leistet. Genau darauf achten erfahrene Prüfer: Sie vergleichen das Datum des Plans mit den Meilensteinen der Entwicklung.
Für wen die Norm gilt — und wo sie nicht weiterhilft
Sie gilt für jeden Hersteller eines Medizinprodukts, unabhängig von Klasse und Größe. Auch bei einem Produkt der niedrigsten Risikoklasse ohne Beteiligung einer benannten Stelle ist die Risikomanagementakte Pflicht, weil die MDR sie verlangt. Der Unterschied liegt nur darin, wer sie prüft.
Sie ist außerdem für Zulieferer und Entwicklungsdienstleister im Gesundheitswesen relevant, die sicherheitsrelevante Komponenten oder Software liefern. Formal ist der Hersteller verantwortlich, praktisch reicht er die Anforderungen weiter. Ein Zulieferer ohne eigenen Risikomanagementprozess wird in der Lieferantenbewertung auffällig.
Sie hilft nicht weiter, wenn Sie ein Managementsystem aufbauen wollen. ISO 14971 regelt einen Prozess, nicht die Organisation drumherum. Dokumentenlenkung, Schulung, interne Audits, Lieferantenbewertung und Rückverfolgbarkeit stehen in ISO 13485.
Sie hilft ebenfalls nicht weiter als Marktargument. Weil es kein Zertifikat gibt, gibt es nichts vorzuzeigen. Wer gegenüber Kunden Nachweise braucht, legt das ISO-13485-Zertifikat und die CE-Kennzeichnung vor.
Was statt eines Zertifikats geprüft wird
Der übliche Irrtum ist, es gebe einen Prüfweg zu einem eigenständigen Nachweis. Den gibt es nicht. Belastbar sind drei Dinge.
Der Prozess im Qualitätsmanagementsystem. Eine Verfahrensanweisung mit Verantwortlichkeiten, Methoden und Akzeptanzkriterien, verknüpft mit Entwicklung, Beschaffung, Herstellung, Änderungswesen und Marktbeobachtung. Das prüft der Auditor der Zertifizierungsstelle im Rahmen der ISO-13485-Zertifizierung.
Die produktbezogene Akte. Vollständig, aktuell und mit dem Risikomanagementbericht abgeschlossen. Das prüft die benannte Stelle im Konformitätsbewertungsverfahren — bei Produkten höherer Klassen als Teil der technischen Dokumentation.
Die Wirksamkeit im laufenden Betrieb. Reklamationen, Vigilanzfälle und Erkenntnisse aus der Marktbeobachtung müssen nachweislich in die Akte zurückfließen und dort zu Neubewertungen führen. Eine Akte, die seit der Zulassung unverändert ist, während Beschwerden eingegangen sind, ist ein Befund für sich.
Bei der Auswahl der Stelle für die ISO-13485-Zertifizierung gelten die üblichen Kriterien; sie muss akkreditiert und für Medizinprodukte zugelassen sein. Näheres steht unter Zertifizierungsstelle. Für die Konformitätsbewertung ist die Auswahl deutlich enger, weil es nur wenige benannte Stellen mit passendem Geltungsbereich gibt und die Wartezeiten entsprechend lang sind.
Ein praktischer Hinweis zur Struktur: Die Risikomanagementakte ist kein einzelnes Dokument, sondern eine Zusammenstellung mit Verweisen. Sie darf auf Prüfberichte, Verifizierungsnachweise, Usability-Berichte und biologische Bewertungen verweisen, statt sie zu enthalten. Verlangt ist dann aber, dass die Verweise eindeutig auf Version und Fundstelle zeigen. Sammlungen mit Verweisen auf „die aktuelle Fassung” ohne Stand sind der häufigste formale Mangel an ansonsten guten Akten.
Woran Prüfungen scheitern
Die Risikoanalyse folgt dem Design statt es zu steuern. Die Akte wurde nach Abschluss der Entwicklung geschrieben, um eine Lücke zu füllen. Erkennbar ist das daran, dass jede Maßnahme bereits im Produkt steckt und keine Entwicklungsentscheidung dokumentiert auf eine Risikobewertung zurückgeht.
FMEA statt Risikoanalyse. Es liegt eine Konstruktions- und Prozess-FMEA vor, aber keine Betrachtung von Gefährdungssituationen und Ereignisfolgen. Fehlanwendung durch den Anwender kommt darin gar nicht vor.
Akzeptanzkriterien so gewählt, dass alles akzeptabel ist. Die Risikomatrix ist so gestaltet, dass kein Feld eine Maßnahme erzwingt. Das fällt auf, sobald der Prüfer nach einem Risiko fragt, das ursprünglich nicht akzeptabel war.
Restrisiken nicht offengelegt. Verbleibende Risiken sind in der Akte bewertet, tauchen in der Gebrauchsanweisung aber nicht auf. Die Information für die Sicherheit ist Teil der Beherrschung und muss beim Anwender ankommen.
Gesamt-Restrisiko fehlt oder ist eine Addition. Statt einer eigenständigen Bewertung mit Nutzen-Risiko-Abwägung steht eine Tabellensumme.
Gebrauchstauglichkeit nicht angebunden. Ergebnisse der Usability-Bewertung, insbesondere identifizierte Anwendungsfehler, sind nicht in die Risikoakte eingeflossen.
Marktdaten ohne Rückkopplung. Reklamationen und Vigilanzmeldungen werden bearbeitet, aber niemand hat geprüft, ob sie eine Annahme der Risikoabschätzung widerlegen.
Änderungen ohne erneute Bewertung. Ein Lieferantenwechsel, eine Materialänderung oder ein Software-Update wurde umgesetzt, ohne die betroffenen Risiken neu zu bewerten.
Vorhersehbare Fehlanwendung fehlt. Betrachtet wurde der bestimmungsgemäße Gebrauch. Was ein übermüdeter Anwender im Nachtdienst tatsächlich tut, kommt in der Akte nicht vor.
Verifizierung der Maßnahmen nicht belegt. Zu jeder Beherrschungsmaßnahme fehlt der Nachweis, dass sie umgesetzt und dass sie wirksam ist. Beides ist verlangt, und beides wird geprüft.
Zulieferer nicht eingebunden. Sicherheitsrelevante Annahmen betreffen ein zugekauftes Bauteil, aber es gibt keine Vereinbarung, die den Lieferanten zur Meldung von Änderungen verpflichtet. Ändert er still die Zusammensetzung, bricht die Bewertung, ohne dass es jemand merkt.
Produktionsdaten bleiben ungenutzt. Ausschuss, Nacharbeit und Prüfergebnisse aus der Fertigung sagen etwas über Eintrittswahrscheinlichkeiten aus. In den meisten Akten werden sie nicht ausgewertet, obwohl die Norm die Information aus der Produktion ausdrücklich einbezieht.
Abgrenzung zu verwandten Normen und Vorschriften
| Norm oder Vorschrift | Was sie regelt | Verhältnis zu ISO 14971 |
|---|---|---|
| ISO 13485 | Qualitätsmanagementsystem für Medizinprodukte | Zertifizierbar; verlangt Risikomanagement, beschreibt es aber nicht |
| MDR | Europäisches Medizinprodukterecht | Rechtsgrundlage; verlangt Risikomanagement über den Lebenszyklus, ISO 14971 ist der Weg dorthin |
| ISO/TR 24971 | Leitfaden zur Anwendung | Keine Anforderungen, sondern Hilfestellung und Beispiele |
| IEC 62304 | Software-Lebenszyklus | Setzt die Risikoeinstufung aus dem Risikomanagement voraus |
| IEC 62366-1 | Gebrauchstauglichkeit | Liefert Anwendungsfehler an das Risikomanagement, ersetzt es nicht |
| ISO 10993-1 | Biologische Beurteilung | Liefert Daten zu einer bestimmten Gefährdungsart innerhalb der Akte |
| ISO 9001 | Qualitätsmanagement allgemein | Ohne Medizinproduktebezug; kein Ersatz für ISO 13485 |
Die praktisch folgenreichste Verwechslung betrifft das Verhältnis von Norm und Recht. Die MDR verlangt das Risikomanagement, die Norm beschreibt, wie es geht. Wer die Norm anwendet, erfüllt die rechtliche Anforderung damit nicht automatisch: Der europäische Anhang der Norm weist ausdrücklich auf Punkte hin, an denen die Verordnung strenger ist als der Normtext. Wer diese Abweichungen nicht kennt, baut eine formal normkonforme Akte, die im Konformitätsbewertungsverfahren dennoch beanstandet wird.