Аудит ISO 13485: какие вопросы задает аудитор

Когда компания готовится к аудиту ISO 13485, ей часто кажется, что главное — собрать комплект документов и показать, что процедуры существуют. На практике аудитор смотрит глубже. Его задача — понять, работает ли система менеджмента качества медицинских изделий в реальной деятельности компании, помогает ли она управлять рисками, прослеживаемостью, изменениями, поставщиками, выпуском продукции и обратной связью с рынка. ISO 13485 остается актуальной редакцией стандарта 2016 года и по-прежнему используется как базовая модель системы качества для медицинских изделий.

Поэтому вопросы аудитора — это не формальность и не «опрос по бумаге». Через них он проверяет, насколько компания действительно контролирует процессы, понимает свои риски, умеет разбирать несоответствия и может доказать, что качество медицинских изделий обеспечивается системно, а не за счет ручного управления и опыта отдельных сотрудников.

Эта статья будет полезна производителям медицинских изделий, разработчикам, контрактным производителям, поставщикам компонентов, руководителям по качеству, специалистам по регуляторным вопросам и внутренним аудиторам. Ниже разберем, какие вопросы чаще всего задает аудитор ISO 13485, что он хочет проверить на самом деле, где компании обычно ошибаются и как подготовиться к аудиту без лишней суеты.

Что это такое простыми словами

Аудит ISO 13485 — это проверка того, как компания управляет качеством медицинских изделий на всем жизненном цикле продукции. Аудитор не ограничивается документами. Он оценивает, как требования ISO 13485 работают в проектировании, закупках, производстве, валидации процессов, прослеживаемости, выпуске продукции, обработке жалоб, корректирующих действиях и контроле изменений.

По сути, вопросы аудитора нужны для одной цели: увидеть связь между написанными правилами и реальной практикой. Если процедура существует только в папке, а сотрудники работают по-другому, это быстро становится заметно. Если же система встроена в повседневную работу, ответы разных подразделений складываются в понятную и логичную картину.

Зачем это нужно компании и бизнесу

Для бизнеса аудит ISO 13485 важен не только потому, что без него нельзя получить или подтвердить сертификат. Он показывает, насколько компания способна стабильно выпускать продукцию, соответствующую установленным требованиям, и насколько ее процессы готовы к внешним проверкам, претензионной работе, возвратам и изменениям в продукции или поставках.

Хорошо подготовленный аудит помогает руководству увидеть слабые места до того, как они приведут к серьезным последствиям. Например, можно заранее обнаружить, что прослеживаемость медицинских изделий формально описана, но в реальности по партии трудно восстановить историю компонентов и операций. Или выяснить, что поставщики одобрены, но критерии их оценки слишком поверхностны, а изменения у внешнего подрядчика не контролируются.

Зрелый подход к аудиту дает бизнесу управляемость. Незрелый — приводит к ситуации, когда сертификат есть, а система не помогает ни в выпуске продукции, ни в предотвращении проблем, ни в прохождении инспекций. Именно поэтому сильные компании готовятся не к «разговору с аудитором», а к проверке собственных процессов на прочность.

Как это связано с ISO 13485 и системой менеджмента качества для медицинских изделий

Стандарт ISO 13485 ориентирован именно на медицинские изделия и регулируемую среду. В центре внимания здесь не абстрактное «качество вообще», а способность организации обеспечивать безопасность изделия, соответствие обязательным требованиям, управляемость критических процессов, полноту записей и воспроизводимость результата.

Поэтому аудитор задает вопросы не только отделу качества. Его интересуют руководители процессов, производство, закупки, разработка, склад, сервис, специалисты по жалобам и сотрудники, отвечающие за выпуск продукции. Для него важно, чтобы система менеджмента качества медицинских изделий была не отдельной функцией одного подразделения, а общей логикой управления компанией.

Если организация занимается проектированием и разработкой медицинских изделий, вопросы будут касаться входных и выходных данных разработки, проверки решений, внесения изменений и передачи результатов в производство. Если часть операций передана на сторону, аудитор отдельно проверит, как компания управляет аутсорсингом, поскольку передача процесса подрядчику не снимает ответственности с владельца системы качества.

Какие вопросы аудитор задает чаще всего

На практике вопросы аудитора почти всегда строятся вокруг одних и тех же блоков. Формулировки могут отличаться, но логика проверки остается похожей.

1. Какие процессы у вас есть и кто за них отвечает

Обычно аудитор начинает с базовых, но очень важных вопросов:

Какие ключевые процессы есть в вашей системе?
Кто является владельцем процесса?
Как вы оцениваете результативность процесса?
Какие записи подтверждают, что процесс выполняется как задумано?

Эти вопросы нужны не ради схемы процессов на стене. Аудитор смотрит, понимают ли сотрудники свою ответственность и может ли компания показать, как процесс реально управляется. Если владелец процесса не может объяснить, по каким критериям он оценивает результат, это тревожный сигнал.

2. Как вы учитываете регуляторные требования к медицинским изделиям

Следующий частый блок — связь системы качества с обязательными требованиями:

Какие регуляторные требования применимы к вашей продукции?
Как вы отслеживаете их изменения?
Как эти требования отражены в документации, разработке, маркировке, выпуске и пострыночных процессах?

Здесь аудитор хочет убедиться, что ISO 13485 для медицинских изделий не существует отдельно от реальных обязательств компании. Незрелый подход выглядит так: регуляторные требования знает один специалист, а остальные подразделения с ними почти не связаны. Зрелый — когда требования встроены в процессы, документы и критерии принятия решений.

3. Как вы управляете рисками

Вопросы об управлении рисками медицинских изделий почти всегда являются центральными:

Как вы определяете риски, связанные с изделием и процессами?
Как результаты оценки рисков влияют на производство, контроль, закупки и изменения?
Когда вы пересматриваете риски?
Как риск-анализ связан с жалобами, несоответствиями и корректирующими действиями?

Аудитор не ждет красивую таблицу ради самой таблицы. Ему важно увидеть, что риски реально влияют на решения компании. Если документы по рискам есть, но они не используются при изменении конструкции, поставщика или процесса, это выглядит слабо.

4. Как вы управляете документами и записями

Почти всегда звучат вопросы такого типа:

Как вы утверждаете и изменяете документы?
Как исключаете использование устаревших версий?
Какие записи подтверждают выполнение операций?
Как обеспечиваете их сохранность и доступность?

Документированная информация ISO 13485 важна не сама по себе, а как доказательство управляемости процесса. Поэтому аудитор смотрит не на количество документов, а на их пригодность к работе. Если на участке лежит старая инструкция, а в системе действует новая версия, это уже не мелочь, а показатель слабого управления изменениями.

5. Как вы управляете поставщиками и внешними исполнителями

Для многих компаний это одна из самых чувствительных тем. Типовые вопросы аудитора:

По каким критериям вы выбираете и одобряете поставщика?
Как вы его переоцениваете?
Как контролируете изменения у поставщика?
Какие требования к качеству и записям закреплены в договоренностях?
Как вы действуете, если проблема связана с поставленным компонентом или внешним процессом?

Аудитор понимает, что качество медицинских изделий часто зависит от поставщиков, контрактных производителей, стерилизационных площадок и лабораторий. Поэтому формальное «поставщик давно с нами работает» не считается достаточным ответом. Нужны критерии, записи, оценка результативности и понятная логика действий при отклонениях.

6. Как обеспечивается прослеживаемость медицинских изделий

Очень частый сценарий — аудитор выбирает конкретную партию, заказ или изделие и просит показать его историю:

Из каких компонентов собрано изделие?
Кто выполнял операции?
Какие были результаты контроля?
Какие номера партий использовались?
Куда продукция была отгружена?

Это один из самых показательных участков аудита. Если прослеживаемость медицинских изделий выстроена хорошо, компания быстро восстанавливает цепочку. Если нет, то становятся заметны пробелы в записях, смешение партий, неясность статусов и слабый контроль выпуска.

7. Какие процессы вы валидировали и почему

Термин «валидация процессов» означает подтверждение того, что процесс стабильно дает ожидаемый результат, когда одного итогового контроля недостаточно. Аудитор обычно спрашивает:

Какие процессы вы считаете требующими валидации?
По каким критериям вы это определили?
Какие данные подтверждают, что процесс стабилен?
Когда проводится повторная оценка после изменений?

Это особенно важно для стерилизации, специальных производственных операций, автоматизированных процессов и программного обеспечения, если они влияют на качество продукции. Незрелый подход — валидировать «для отчета». Зрелый — понимать, почему процесс критичен и какие параметры действительно влияют на результат.

8. Как вы работаете с несоответствиями, жалобами и CAPA

CAPA (система корректирующих и предупреждающих действий, то есть порядок устранения причин проблем и предупреждения повторения) — один из ключевых объектов внимания на аудите. Типовые вопросы такие:

Как вы фиксируете несоответствия?
Как определяете причину проблемы?
Как принимаете корректирующие действия?
Как проверяете их результативность?
Как жалобы клиентов влияют на улучшения процессов?

Аудитор хочет увидеть, что компания не просто закрывает проблему, а разбирается, почему она возникла. Если все меры сводятся к фразам «провели беседу» или «усилили контроль», это обычно воспринимается как слабый уровень зрелости.

9. Как вы управляете изменениями

Контроль изменений — тема, на которой компании часто «сыплются». Вопросы бывают такими:

Как вы инициируете и согласуете изменения?
Кто оценивает влияние изменений на качество, риски и документацию?
Нужно ли повторно проводить проверку, валидацию или обучение?
Как изменение доводится до всех заинтересованных подразделений?

Аудитор проверяет, не вносятся ли изменения фрагментарно. Например, спецификация уже обновлена, а инструкция на производстве старая; поставщик изменил материал, а риск-анализ не пересматривали; конструкцию скорректировали, а критерии контроля остались прежними. Именно на таких разрывах видно, насколько система управляет реальностью.

Что важно учитывать на практике

Главное — понимать, что аудитор редко оценивает отдельный документ вне контекста. Обычно он проверяет цепочку. Например, берет жалобу, затем смотрит, было ли расследование, к каким выводам пришли, какие действия приняли, изменился ли риск-анализ, обновили ли документы, обучили ли персонал и проверили ли результат.

Поэтому готовиться к аудиту ISO 13485 нужно не от списка бумажек, а от реальных сценариев. Полезно заранее пройти несколько сквозных маршрутов: выпуск партии, изменение поставщика, обработка жалобы, закрытие несоответствия, вывод обновленной версии изделия, повторная оценка валидированного процесса. Если на таких сценариях система начинает давать сбои, аудитор почти наверняка это увидит.

Типовые ошибки и слабые места

Наиболее распространенная ошибка — воспринимать аудит как разговор, к которому можно подготовить «правильные ответы». На деле аудитор сопоставляет ответы с записями, документами и действиями на местах. Если сотрудники формально знают процедуру, но не понимают ее смысл и не могут показать применение, это быстро вскрывается.

Среди типовых слабых мест чаще всего встречаются:

формальные внутренние аудиты, которые ничего важного не выявляют;
слабая связь между управлением рисками и реальными изменениями;
неполная прослеживаемость;
поверхностная оценка поставщиков;
валидация процессов без понятных критериев;
корректирующие действия без анализа причин;
документы, не совпадающие с фактической практикой;
жалобы и обратная связь, которые не используются для улучшений.

Практические рекомендации и лучшие подходы

Лучше всего к внешнему аудиту готовятся компании, которые учат сотрудников не «что отвечать», а как объяснить логику процесса и показать доказательства. Полезно, чтобы каждый владелец процесса мог коротко и уверенно ответить на четыре вопроса: что он делает, по каким правилам, какими записями это подтверждается и как он понимает, что процесс работает результативно.

Перед аудитом имеет смысл провести внутреннюю проверку именно в формате вопросов аудитора. Не просто открыть процедуру, а попросить показать конкретную запись, конкретную партию, конкретную жалобу, конкретное изменение и связанное с ним решение. Такой подход быстро показывает слабые места и позволяет устранить их до прихода внешней стороны.

Итоги

Аудит ISO 13485 — это не формальная проверка документов, а оценка того, насколько система менеджмента качества медицинских изделий встроена в реальную работу компании. Вопросы аудитора помогают увидеть, умеет ли организация управлять процессами, рисками, поставщиками, прослеживаемостью, жалобами, изменениями и выпуском продукции так, чтобы качество не зависело от случая.

Чем более зрелой является система, тем спокойнее и содержательнее проходят ответы на вопросы аудитора. И наоборот: если процессы не связаны между собой, записи неполны, а решения принимаются вручную и несистемно, именно это и станет главным выводом аудита. Поэтому лучшая подготовка — не репетиция ответов, а наведение порядка в процессах и доказательствах их работы.

Полезные сервисы и ресурсы по сертификации ISO

Планируете пройти сертификацию по ГОСТ ISO 13485 или другим стандартам? Отправьте одну заявку и получите до 5 коммерческих предложений за 1 раз только от аккредитованных ФСА органов по сертификации.

📢 Подписывайтесь на наш Telegram-канал с новостями и статьями по ISO;
💬 Присоединяйтесь к чату специалистов по системам менеджмента;
💰 Рассчитайте примерную стоимость сертификации в нашем онлайн-калькуляторе;
🗺️ Найдите орган по сертификации в нашем реестре — по стандарту или прямо на карте.