对于根据MDD/AIMDD/IVDD获得CE标志的制造商来说，突击审核并不是一个新概念。然而，由于MDR/IVDR现在对此作出了规定，公告机构（NB）受到了更严格的监督，以确保它们执行此类审核，现在我们和NB机构签订的认证合同中，都会对突击审核的要求进行约定。

以下我们回答了制造商经常提出的关于突击审核的问题。

 

突击审核有多“突击”？

与认证、监督和重新认证审核不同，突击审核没有事先协调，即它是真正的突击审核。制造商不会提前收到审核通知，类似于美国FDA进行的突击国内机构检查。

这与欧盟委员会建议2013/473/EU的附录III以及公告机构（如BSI关于突击审核的FAQ）提供的指南一致，指南指出这些审核必须是“在没有事先通知的情况下”进行的。

MDR/IVDR规定，突击审核可能针对制造商及其供应商/分包商进行。我们的客户已收到制造商的报告，称他们的供应商/分包商也在没有事先通知的情况下接受了此类审核。

根据MDR/IVDR附录IX第3.4节的规定，公告机构必须制定突击审核计划，但不得向制造商披露。这与公告机构在审核前不通知制造商和/或其供应商/分包商的做法一致。根据《公告机构行为准则》，突击审核是独立于常规审核周期之外的计划和执行。

然而，突击审核也有一些明显的例外情况，例如在公共假日或场所不运营的其他时间段。例如，SGS（NB 1639）就有允许制造商选择节假日或双休日等不影响正常工作的时间段的案例。

突击审核到底审核什么？还有审核持续多长时间？

根据《公告机构行为准则》，突击审核通常由两名审核员完成，持续一天（审核日为8小时）。然而，公告机构可以记录使用单一审核员或缩短/延长持续时间的理由。    

大家要注意，如果在制造商的场所进行最终产品检查，突击审核的最短持续时间为一天。

 

审核的重点领域是什么？

正如《公告机构行为准则》所指出的，突击审核以产品为中心。因此，它应基于验证最近生产的、已批准的设备类型的适当样品的符合性，例如序列号、批次。

此类审核涉及基于可追溯性的方法，基于以下原则：

选择符合性声明涵盖的单个（或多个）目录编号，并与有效的CE证书相关联；

在所选目录编号范围内随机选择最近的序列号、批次；

对于所选的序列号、批次，要求提供涵盖整个流程的相关供应链文件。这从进货点（例如材料/组件）到最终放行（例如批次历史记录、制造流程单、材料清单等）。从成品设备的角度来看，这将包括构成设备历史记录和设备主记录/主设备文件的文件；

审核员通常会审查供应商/分包商执行的流程，验证以下方面：

l接收/放行的进货符合既定规格（并与成品设备技术文件中的规格一致）；

l工艺设备与成品设备技术文件中规定的规格一致，例如验证工艺的参数和放行标准一致；

l进货、在制品和最终检查步骤（包括验收标准）与成品设备技术文件中提供的信息一致；

l在制品或最终检查期间，对样品或100%的测试结果进行比较，与设计验证期间执行的相同测试进行比较，以确保规格与成品设备技术文件一致（包括在现场见证此类测试的执行）；

l验证工艺控制和产品符合性与技术文件的任何变更是否得到公告机构的批准。

 

现场审核与远程审核

疫情时间各个机构都有远程审核的情况，现在没有特殊情况，突击审核仅在现场进行。

具体而言，MDR/IVDR附录IX第3.4节规定，突击审核在“制造商的场所，以及适当情况下，制造商的供应商和/或分包商的场所”进行。

 

审核周期

设备获得CE标志后，制造商应预计多久会接受突击审核？

MDR/IVDR规定，至少每五年进行一次突击审核。除此之外，对于获得CE认证后多久可能进行突击审核，没有其他明确要求。

《公告机构行为准则》指出，突击审核的频率可能会增加，具体取决于以下情况：

如果设备属于高风险，例如III类、IIb类植入式、D类；

设备经常不符合要求，例如：

公告机构收到的高频率警戒问题；

在常规审核计划中观察到的投诉率显著高于类似设备；

在常规审核计划中观察到的不合格产品数量显著增加。

突击审核也可能出于特定原因进行，类似于美国FDA进行的“有因”检查。例如，当制造商被怀疑存在重大质量问题，包括媒体报道的欺诈行为时。

《公告机构行为准则》还规定，公告机构可以自行决定，对于在过去12个月内已经接受过突击审核的分包商，可以免除再次接受突击审核的需要。

需要注意的是，根据欧盟委员会建议2013/473/EU的附录III，高风险设备每两年需要接受一次突击审核，而中/低风险设备的频率则降低为每三年一次。

 

哪些供应商会接受突击审核？

欧盟委员会建议2013/473/EU规定，如果可能确保更有效的控制，则1）负责确保符合法律要求的流程的分包商（“关键分包商”）或2）关键组件或整个设备的供应商（“关键供应商”）将接受突击审核。

公告机构文件NBOG BPG 2010-1（与GHTF SG3/N17/2008一致）进一步将“关键供应商”定义为提供可能影响设备安全性和性能的材料、组件或服务的供应商。它还指出，关键供应商是指未能满足特定要求可能导致1）对患者、临床医生或其他人员的不合理风险，或2）性能显著下降的供应商。这可能包括为符合质量管理体系（QMS）或法规要求所需的服务供应商，例如内部审核承包商或授权代表。

《公告机构行为准则》指出，任何制造商、供应商和分包商都可能接受突击审核（并且整个供应链都应被考虑）。然而，它还需要记录选择特定场所的理由，并提供了几种应考虑进行突击审核的分包商/供应商类型的示例。

《公告机构行为准则》中提供的示例与NBOG BPG 2020-1中为公告机构确定是否需要审核供应商场所的标准一致。这些包括：    

  制造商采购流程和其他QMS流程的审核结果，即是否有足够的证据证明制造商采购控制的稳健性，或者是否需要更有效的控制？

所采购物品或流程的关键性，即关于符合法律要求以及设备安全性和性能的关键性。

因此，制造商应做好准备，确保那些对符合法律要求至关重要的关键分包商以及可能影响设备安全性和/或性能的关键供应商（如上所述）接受突击审核。

NBOG BPG 2010-1的附录2规定，公告机构在与供应商的协议中需要检查的事项包括制造商、公告机构和主管当局在需要时访问供应商场所的程序。因此，制造商应在供应/质量协议中加入允许突击审核的条款。

 

制造商与供应商审核比例

制造商与其供应商/分包商之间的突击审核比例没有明确规定。相反，如上所述，突击审核的周期基于多个因素。其中，制造商采购控制的效率以及与所提供产品/服务相关的风险是最关键的考虑因素。

具有稳健采购控制的制造商，包括对关键供应商的现场审核，可能会减少供应商接受突击审核的可能性。然而，不能100%保证这些供应商不会被选中进行突击审核。

 

供应商接受审核时的流程安排

到达时

与制造商的突击审核类似，公告机构将在没有事先通知的情况下到达。到达后，审核员将出示其身份证明并解释访问目的。然后，他们将要求与现场最高级别的执行官/经理交谈。

进入场所

如果有任何制造商、供应商或分包商场所需要1）访客事先授权/批准，或2）额外的安全检查或许可，应通知公告机构。这是为了确保这些安排不会妨碍公告机构进行突击审核的能力。

场所应完全遵守所有审核员的要求，包括访问相关文件和制造/测试设施。

审核期间公告机构的关注领域

突击审核以产品为中心。因此，供应商/分包商将被审核的主要标准是相关技术文件中规定的规格和要求。这是因为这些要求是为了证明符合适用的通用安全与性能要求（GSPR）并确立设备的安全性和性能。

这些要求还包括与供应商/分包商相关的任何信息，例如他们持有的QMS认证及其自身的QMS要求，以及制造商与供应商/分包商之间的合同要求。

审核后

审核完成后，被审核的场所将收到一份简短的审核摘要。完整的审核报告将在场外编制，通常在一周内完成，并提交给持有CE证书的制造商。

如果适用，需要向公告机构提交纠正措施计划，以解决任何发现的问题，这和常规审核是一样的。

制造商可以参加供应商的突击审核吗？

鉴于此类审核的突击性质，除非供应商地理位置靠近制造商，否则制造商的代表通常无法亲自参与供应商的突击审核。

付款

突击审核的一个重要考虑因素是付款。与常规审核一样，制造商需要为突击审核付费，包括在供应商场所进行的审核。

任何拒绝付款的制造商将1）违反其与公告机构之间的合同，2）面临CE证书的暂停，并最终被撤销。这也适用于供应商/分包商阻碍或阻止公告机构进行突击审核的情况。    

 

 

来源：欧杰MDR认证

关键词： 医疗器械突击审核