Risikomanagement
gemäß ISO 14971

Allgemeines

Die Norm ISO 14971 wurde speziell für Hersteller von Medizinprodukten auf der Grundlage etablierter und über viele Jahre entwickelter Prinzipien des Risikomanagements entwickelt.

Im Allgemeinen geht es darum, Gefährdungen zu identifizieren, die damit verbundenen Risiken einzuschätzen und zu bewerten, diese Risiken zu beherrschen und die Wirksamkeit von Maßnahmen zur Risikobeherrschung zu überwachen.

Die Norm beschreibt neben der Terminologie auch den Prozess des Risikomanagements und dass dieser auf den gesamten Produktlebenszyklus anzuwenden ist. Durch die beschriebenen Anforderungen und Erklärungen gibt das Dokument in gewissem Maße Hilfestellung bei der Umsetzung bzw. Interpretation der Inhalte.

Ein solides Risikomanagement ist ein wichtiger Bestandteil der Entwicklung von sicheren Medizinprodukten, In-vitro-Diagnostika und Zubehör. Die Betrachtung von Risiken beschränkt sich nicht bloß auf das Medizinprodukt in der Anwendung, sondern werden auch durch Daten aus der Produktion und der Produktion nachgelagerten Phasen ergänzt.

Risikomanagement-Plan

Die ISO 14971 fordert, dass die Aktivitäten geplant werden müssen. Dafür ist der RM-Plan zu erstellen. Darin werden beispielsweise eine Beschreibung des Medizinprodukts, die Verantwortlichkeiten und Befugnisse, Akzeptanzkriterien und die Methode zur Beurteilung des Gesamtrestrisikos.

Risikomanagement-Aktivitäten

Die ISO 14971 fordert, dass unterschiedliche Aktivitäten im Rahmen des Risikomanagements durchgeführt werden. Dazu gehören die Erstellung einer Risikoanalyse und Aspekte der Risikobeherrschung.

Risiko-Analyse

Die Risikoanalyse umfasst (1) die Identifizierung von Risiken im Zusammenhang mit dem Gerät und (2) die Bewertung dieser Risiken. Die Identifizierung kann insbesondere bei neuen oder sehr komplexen Geräten schwierig sein. Es ist daher notwendig, einen Produktexperten im RM-Team zu haben. Bei der Risikoanalyse sind entsprechende RM-Methoden zu verwenden. Zum Beispiel kann eine Fehlermöglichkeits- und Auswirkungsanalyse (FMEA) ein nützliches Werkzeug bei der Risikoanalyse sein. Diese Methode gibt einen Überblick über die Ursachen, die zu einem Risiko führen, und die daraus resultierenden Schäden.

Im Allgemeinen ist es ein guter Anfang darüber nachzudenken: "Was kann mit dem Gerät schief gehen?" Das hilft, Gefahren zu erkennen. Jede Gefahr ist mit einem Risiko verbunden, das durch die Schwere des Schadens und die Wahrscheinlichkeit des Auftretens dieses Schadens beschrieben wird. Wenn ein Patient, ein Anwender oder ein Dritter dem Schaden ausgesetzt ist, handelt es sich um eine gefährliche Situation. Eine Gefahrensituation kann zu einem Schaden führen. Aber das passiert natürlich nicht immer.

Bei der Bewertung der Risiken ist zu bedenken, dass eine gefährliche Situation vorliegen muss, um einen Schaden zu verursachen. Das ist eine gute Verbindung zur Risikominderung. Denn wenn die von Ihnen identifizierte Gefahr z.B. mit einer scharfen Kante zusammenhängt und Sie diese durch eine inhärent sichere Konstruktion (Entfernung der scharfen Kante) mindern, kann keine gefährliche Situation entstehen. Es wird also kein Schaden entstehen.

Risikobeherrschung

Die Möglichkeiten der Risikominderung haben sich mit der neuen Version der Norm nicht geändert. Sie sieht wie bisher folgende Möglichkeiten vor, die in der schriftlichen Reihenfolge zu befolgen sind.

• Inhärent sicheres Design
• Schutzmaßnahmen im Medizinprodukt selbst und/oder Herstellungsprozess
• Informationen zur Sicherheit, wie z.B. Kennzeichnung und Gebrauchsanweisung

Die Maßnahmen werden in dieser bestimmten Reihenfolge entsprechend dem individuellen Potential zur tatsächlichen Risikominderung vorgesehen. Im Allgemeinen sind die für die Risikominderung zu ergreifenden Maßnahmen sehr spezifisch für jedes Produkt. Ein zu berücksichtigender Aspekt ist, dass Maßnahmen zur Risikominderung auch neue Risiken mit sich bringen oder sogar den Nutzen des Medizinproduktes verringern können. Daher müssen die implementierten Maßnahmen überprüft werden.

Risikomanagement-Bericht

Im RM-Bericht werden die folgenden Punkte adressiert:

• Die Bestätigung, dass der RM-Plan ausgeführt wurde
• Die Akzeptanz des Gesamt-Restrisikos
• Die Bestätigung, das angemessene Methoden zur Sammlung von Daten aus der Produktion und der Produktion nachgelagerten Phasen implementiert sind.

Der Bericht muss vor dem kommerziellen Vertrieb des Medizinprodukts abgeschlossen sein.

TR ISO 24971

Über die Inhalte der Norm hinaus gibt es einen Technical Report, den TR/ISO 24971. In diesem Dokument sind weitere Erklärungen zu der ISO 14971 aufgeführt und es werden wesentlich konkretere Hilfestellungen geboten. Im Rahmen der Aktualisierten Fassung der ISO 14971 wird auch der ISO/TR 24971 aktualisiert.

Die folgenden Änderungen entstehen durch die ISO 14971:2019 gegenüber der Version von 2012:

• Es wurden normative Verweise aufgenommen
• Die Definitionen wurden aktualisiert
• Stärkerer Fokus auf den Nutzen des Medizinproduktes oder des IVDs
• Klarstellung bezüglich der Anwendbarkeit der Norm für alle Risiken im Zusammenhang mit Medizinprodukten und IVDs
• Der RM-Plan muss nun Kriterien für die Bestimmung und Akzeptanz des gesamten Restrisikos enthalten
• Aktualisierung der Anforderungen bezüglich der Notwendigkeit, Restrisiken (z.B. für den Patienten oder Anwender) offenzulegen
• Die Anforderungen in Bezug auf den RM-Bericht wurden aktualisiert
• Die Verbindung zur Überwachung nach dem Inverkehrbringen wurde näher erläutert
• Informative Anhänge wurden entfernt. Sie sind jetzt im technischen Bericht TR/ISO 24971 verfügbar.

Risikopolitik unter ISO 14971:2019

Die Risikopolitik nach ISO 14971 ist die Grundlage für die Festlegung von Akzeptanzkriterien für Risiken. Sie ist also eine Art Leitbild oder Rahmen, anhand derer die Akzeptanzkriterien abzuleiten sind. Normativ wird dabei gefordert, dass die Risikopolitik einen Rahmen schafft, der sicherstellt, dass geltende nationale oder regionale Vorschriften und relevante Internationale Normen die Grundlage der Kriterien sind. Darüberhinaus ist der Stand der Technik zu berücksichtigen.

Wie kann also eine Risikopolitik aussehen? Was kann sie beinhalten? DIe folgenden Punkte sind einige Beispiele:

• Eine Verpflichtung, anwendbare regulatorische Anforderungen einzuhalten.
• Eine Verpflichtung, anwendbare normative Anforderungen einzuhalten.
• Eine Verpflichtung, Risiken so weit wie möglich zu verringern, wie es ohne Beeinträchtigung des Nutzen-Risiko-Verhältnisses möglich ist.

• Eine Verpflichtung, die grundsätzliche Reihenfolge der Risikobeherrschung einzuhalten: 1) Inhärent sicheres Design und Herstellung, 2) Schutzmaßnahmen im Medizinprodukt oder Herstellungsprozess, 3) Information für die Sicherheit
• Eine Verpflichtung, den Stand der Technik bei der Umsetzung von Risikobeherrschungsmaßnahmen zu berücksichtigen.

ISO 14971 vs. MDR / IVDR

Die EN ISO 14971:2019 ist unter beiden Verordnungen als harmonisierte Norm gelistet. Bei der Anwendung des Risikomanagement-Systems ist alledings darauf zu achten, dass die MDR klar fordert, alle Risiken so weit zu verringern, wie es ohne Beeinträchtigung des Nutzen-Risiko-Verhältnisses möglich ist.

Die normativen Anforderungen lassen mehr Spielraum zu. Allerdings sind die regulatorischen Anforderungen maßgebend, da sie gesetzlich bindend sind.

Eintrittswahrscheinlichkeit

Wir beobachten in Projekten, dass eine Vielzahl unterschiedlicher Methoden zur Angabe der Eintrittswahrscheinlichkeiten genutzt werden, obwohl es detaillierte normative Anforderungen dazu gibt.

Ein Risiko ist die Kombination der Eintrittswahrscheinlichkeit und des Schweregrades. Die Eintrittswahrscheinlichkeit des Schadens hängt allerdings von einer Kombination anderer Eintrittswahrscheinlichkeiten ab:

• Wie hoch ist die Wahrscheinlichkeit, dass aus einer Gefährdung eine Gefahrensituation wird? (P1)
• Wie hoch ist die Wahrscheinlichkeit, dass aus einer Gefahrensituation ein Schaden entsteht? (P2)

Die resultierende Eintrittswahrscheinlichkeit des Schadens selbst ist also eine Kombination aus P1 und P2. Es ist zwar zulässig, die Eintrittswahrscheinlichkeit des Schadens zur Definition des Risikos als "P" anzugeben, es ist aber auch zulässig, eine Kombiation aus "P1" und "P2" anzugeben. Wichtig ist, dass bei der Definition von "P" berücksichtigt wird, dass "P1" und "P2" enthalten sind. Ansonsten kommt es oft zu unsinnigen Eintrittswahrscheinlichkeiten innerhalb der Risikoanalyse.