Warum Risikomanagement der wichtigste Befund in den ersten QMSR-Warnschreiben der FDA ist

In den ersten beiden Monaten der Inspektionen gemäß der neuen Qualitätsmanagementsystemverordnung (QMSR) der FDA wurden im Bereich Risikomanagement mehr Beanstandungen im Rahmen des Formulars 483 festgestellt als in jedem anderen Bereich.

Beamte der FDA präsentierten diese Daten auf der MedCon-Konferenz im April und merkten an, dass sie davon ausgehen, dass sich dieser Trend auch im nächsten Jahr fortsetzen wird.

„Ich wäre schockiert, wenn das nicht ganz oben auf der Liste der 483 Punkte stünde“, sagte Jeffrey Wooley, ein Compliance-Beauftragter im Center for Devices and Radiological Health (CDRH) der FDA.

Die vier QMSR-Warnschreiben, die die FDA seit Inkrafttreten der neuen Verordnung im Februar veröffentlicht hat, bestätigen dies. Alle vier verweisen auf ISO 13485:2016, Abschnitt 7.1, Risikomanagement bei der Produktrealisierung. Ebenso wichtig ist, dass die Risikodokumentationen der vier Hersteller, obwohl diese sehr unterschiedliche Medizinprodukte herstellen, ähnliche Merkmale aufweisen.

Im Folgenden gehen wir auf die von der FDA angeführten Punkte ein, erläutern, warum die Antworten des Unternehmens unzureichend waren und zeigen Ihnen, wie Sie Ihre eigene Risikodokumentation prüfen können, bevor dies ein Prüfer tut.

Die zentralen Thesen

• Alle vier QMSR-Warnschreiben, die die FDA seit Inkrafttreten der Verordnung im Februar veröffentlicht hat, beziehen sich auf ISO 13485 Klausel 7.1, Risikomanagement bei der Produktrealisierung.
• Der häufigste Fehler: Daten zu Beschwerden, Rücksendungen, Rückrufen und Korrekturmaßnahmen erreichten nie die Risikodatei.
• Die FDA wies 483 Antworten zurück, die Pläne ohne Datumsangabe, überarbeitete Dokumente oder Nachweise für die Wirksamkeit der Korrekturen enthielten.
• Sie können Ihren eigenen Prozess testen, indem Sie die jüngsten Beschwerden und offenen CAPAs eines Geräts bis zu dessen Risikodatei zurückverfolgen.

Erfahren Sie in unserem kostenlosen Whitepaper „ Wie Sie auf ein FDA-Warnschreiben oder eine 483-Beobachtung reagieren“ , wie eine effektive 483-Antwort aussieht.

Wofür rügt die FDA Unternehmen im Rahmen des QMSR-Gesetzes?

Im Rahmen der QMSR-Richtlinien rügt die FDA Medizinproduktehersteller am häufigsten wegen Mängeln im Risikomanagement, insbesondere wegen fehlender Dokumentation und Aufrechterhaltung der Risikomanagementprozesse gemäß ISO 13485, Abschnitt 7.1. Jedes bisher veröffentlichte Warnschreiben im Rahmen der QMSR-Richtlinien enthält einen Verweis auf Abschnitt 7.1. In denselben Schreiben werden auch Designänderungen, Korrekturmaßnahmen, die Bearbeitung von Beschwerden und die Lieferantenkontrolle beanstandet.

QMSR-Warnschreiben unter Bezugnahme auf ISO 13485 Abschnitt 7.1

Warum verweist die FDA immer wieder auf das Risikomanagement im Rahmen von QMSR?

Die FDA verweist immer wieder auf das Risikomanagement, da QMSR die Anforderungen von der Risikoanalyse während der Designvalidierung auf einen dokumentierten Risikomanagementprozess für die gesamte Produktrealisierung ausgeweitet hat, und viele Unternehmen diesen Wandel noch nicht vollzogen haben. Die Lücken lassen sich zudem leicht nachweisen.

Gemäß der alten Qualitätsmanagementsystem-Verordnung (QSR) bezog sich die FDA typischerweise auf die Risikoanalyse im Rahmen der Designvalidierung, wie Wooley auf der MedCon anmerkte. Unter der QMSR wird das Risikomanagement zu einem Prozess, der sich durch Design, Produktion, Einkauf und die Aktivitäten nach der Markteinführung zieht.

Beachten Sie, dass die Risikoanalyse nur ein Schritt in einem umfassenden Risikomanagementprozess ist. Dieser umfasst auch die Kontrolle von Gefahren, die Überprüfung dieser Kontrollen und die Aktualisierung der Analyse, sobald Produktions- und Markteinführungsinformationen vorliegen. Jeder der vier Buchstaben beschreibt einen Risikoprozess, der diesen vollständigen Kreislauf nicht durchlaufen hat.

Wie erkennt die FDA Lücken im Risikomanagement gemäß QMSR?

Risikomanagementlücken lassen sich leicht nachweisen, da ein Prüfer lediglich die Verfahrensanweisungen mit den Akteninhalten vergleichen muss. Keisha Thomas, stellvertretende Direktorin für Compliance und Qualität beim CDRH, erklärte im Juni auf der RAPS Quality Conference, dass Prüfer Unternehmen finden, deren Risikodokumentation zwar existiert, aber nicht systematisch im gesamten Qualitätssystem angewendet wird.

In drei der vier Schreiben legte das Unternehmen mit seinen eigenen Verfahrensweisen die Messlatte so hoch, dass es sie verfehlte:

• Fehlende Prozess-FMEA: Das Risikomanagementverfahren des Fußpedalherstellers verlangte Prozess-FMEAs, aber das geprüfte Produkt hatte keine.
• Fehlende FMEAs innerhalb einer Produktlinie: Das Verfahren des Herstellers von Wundtherapieprodukten sah für jedes Produkt FMEAs für Anwender, Design und Prozesse vor. Eine Produktlinie hatte keine.
• Veraltete Risikoanalysen: Der Hersteller von Dialyselösungen verlangte im Rahmen seines Designkontrollverfahrens Risikoaktualisierungen, sobald neue Gefahren auftraten. Die Produktrisikoanalysen hatten sich jedoch seit ihrer Erstellung nicht verändert.

Bei kleineren Unternehmen kann die Lücke beispielsweise in einer Verfahrensvorlage bestehen, die FMEAs verspricht , die gar nicht existieren. Bei größeren Unternehmen liegt das Problem häufiger in der mangelnden Einheitlichkeit zwischen Abteilungen und Standorten. FDA-Vertreter wiesen auf der MedCon insbesondere auf Risikoskalen hin, die von Abteilung zu Abteilung variieren.

Sie sagten außerdem, dass Verfahren, die lediglich die Vorschrift oder Norm wiederholen, nicht zeigen, wie die Arbeit tatsächlich ausgeführt wird. Eine Mitarbeiterin beginnt mit dem Unternehmensverfahren und lässt sich dann vom Team Spalte für Spalte durch ein Risiko der Risikoanalyse führen. Diese interne Vorgehensweise ist eine der schnellsten Methoden, um festzustellen, ob das Verfahren der tatsächlichen Praxis entspricht.

Welches Muster weisen die ersten QMSR-Warnschreiben auf?

Gemeinsames Merkmal der ersten vier QMSR-Warnschreiben der FDA ist, dass Daten zur Markteinführung und zur Qualität nach der Markteinführung nie wieder in die Risikoanalyse einfließen.

Kein festgelegter Weg für Nachmarktdaten

In einem Warnschreiben an den Hersteller der Fußpedalsteuerung stellte die FDA fest, dass dessen Risikomanagementverfahren nicht darlegte, wie Beschwerden, unerwünschte Ereignisse und Rückrufe in das Risikomanagement einfließen.

Ein Rückruf, der die Risikoanalyse nicht veränderte

Der Hersteller von Dialyselösungen startete im April 2025 einen Rückruf der Klasse I, aber laut Warnschreiben der FDA wurden in der Risikoanalyse des Produkts, die zuletzt im November 2020 überarbeitet wurde, immer noch alle Risiken als vernachlässigbar oder akzeptabel eingestuft.

Versäumnisse, die nie zu Beschwerden führten

Bei der Firma Doppler überprüfte der FDA-Ermittler zahlreiche Rücksendeformulare, in denen Gerätefehler gemeldet wurden, aber keines davon wurde als Beschwerde behandelt.

Eine Korrekturmaßnahme, die die Risikoakte nie gesehen hat.

In dem Warnschreiben der FDA an den Hersteller des Wundtherapieprodukts wird auf eine dokumentierte Korrekturmaßnahme hingewiesen, die jedoch nie in die Risikoanalyse einbezogen wurde.

Die FDA bezog sich bei den letzten beiden Feststellungen auf die Bereiche Beschwerdebearbeitung (21 CFR 820.35(a)) und Korrekturmaßnahmen (Klausel 8.5.2), nicht auf Klausel 7.1. Jede dieser Feststellungen beschreibt jedoch ein Signal, das die Risikoakte benötigte, aber nie erhielt.

Warum befand die FDA die Antworten der Unternehmen auf Frage 483 als unzureichend?

In den ersten QMSR-Warnschreiben beurteilte die FDA die meisten Antworten der vier Unternehmen auf das Formular 483 als unzureichend oder konnte sie gar nicht bewerten. Jedes Unternehmen hatte vor Erhalt des Warnschreibens auf das Formular 483 geantwortet, und die FDA beanstandete unter anderem folgende Antworten:

1. Eine Beschreibung geplanter Korrekturen ohne Zeitplan oder überarbeitete Dokumente
2. Schulungsnachweise, die nicht belegen, dass die Mitarbeiter die aktualisierten Verfahren verstanden haben.
3. Das Bestehen von Wiederholungsprüfungen an zurückbehaltenen Proben wurde als Begründung dafür angeführt, auf eine Feldmaßnahme wegen nicht spezifikationskonformer Chargen zu verzichten.
4. Vermerke CAPAs als wirkungslos, solange das zugrunde liegende Problem nicht behoben wird
5. Neue CAPAs, die nach demselben CAPA-Verfahren verwaltet werden, das die FDA als mangelhaft beanstandet hatte, wurden von der FDA neu eingeführt.

Für Gerätehersteller, die auf ein Formular 483 antworten, verweisen diese Schreiben auf fünf Handlungspunkte:

1. Legen Sie für jede Verpflichtung ein Datum fest: Geben Sie für jede Korrekturmaßnahme ein Fertigstellungsdatum an und senden Sie die überarbeitete Vorgehensweise anstelle einer Beschreibung davon.
2. Blicken Sie sowohl zurück als auch nach vorn: Prüfen Sie die bereits ausgelieferten Produkte und die nach dem alten Verfahren erstellten Aufzeichnungen. Die FDA fragte ein Unternehmen, wie es frühere Testergebnisse eines nicht kalibrierten Messgeräts auswerten würde.
3. Zeigen Sie Effektivität, nicht Aktivität: Schulungsnachweise, abgeschlossene CAPAs und neue Qualitätspläne zählen nur dann, wenn man nachweisen kann, dass sie funktioniert haben.
4. Korrigieren Sie das Verfahren, bevor Sie sich darauf verlassen: Neue CAPAs, die im Rahmen eines mangelhaften CAPA-Verfahrens eröffnet werden, übernehmen dessen Lücken, worauf die FDA in einem Schreiben hingewiesen hat.
5. Die Lücke dazwischen schließen: Die FDA rügte ein Unternehmen dafür, dass es keine vorläufigen Risikokontrollen beschrieben hatte, während seine FMEAs überarbeitet wurden.

Wie können Sie Ihren Risikomanagementprozess vor einer QMSR-Inspektion testen?

Sie können den häufigsten QMSR-Befund überprüfen, indem Sie ein Gerät auswählen und dessen neueste Signale bis zu seiner Risikodatei zurückverfolgen:

1. Aktuelle Signale abrufen: Sammeln Sie die letzten fünf Beschwerden zum Gerät und seine offenen CAPAs.
2. Finden Sie die Risikobewertung: Suchen Sie für jeden Eintrag den Datensatz, aus dem hervorgeht, dass jemand ihn anhand der Risikodatei bewertet hat, sowie das Datum, an dem die Datei geändert wurde (oder den dokumentierten Grund, warum sie nicht geändert wurde).
3. Überprüfen Sie Ihre Auslöser: Bestätigen Sie, dass Ihr Risikomanagementverfahren die Auslöser für eine Überprüfung benennt, z. B. Beschwerdetrends, Rückrufe, Korrektur- und Vorbeugemaßnahmen (CAPAs), neue Verwendungszwecke und Lieferantenwechsel. Es sollte auch festlegen, wer für die jeweilige Überprüfung verantwortlich ist und diese genehmigt. Die FDA legt keinen Zeitplan für die Aktualisierung von Risikoanalysen fest, Prüfer erwarten jedoch ein definiertes Verfahren.
4. Risikokontrollen konkretisieren: Unklare oder fehlende Risikokontrollbeschreibungen sind ein häufiges Problem. Jede Kontrolle sollte beschreiben, was sie ist, wo sie implementiert wird und wie sie überprüft wurde.
5. Überprüfen Sie Ihre eigenen Versprechen: Vergewissern Sie sich, dass alle in Ihren Verfahren geforderten FMEAs existieren und dass keine Risikokontrolle monatelang ungeprüft geblieben ist.

Die größte Herausforderung bei dieser Übung besteht darin, die Daten an einem Ort zusammenzuführen. Sind sie über Dokumente und Tabellenkalkulationen verstreut, können die Teams die Trends nicht erkennen, die für eine Risikobewertung relevant sind.

Ein vernetztes Qualitätsmanagementsystem (QMS) schließt diese Lücke weitgehend. Wenn Beschwerde-, CAPA- und Risikomanagementdatensätze in einem System gespeichert sind, kann ein Beschwerdeuntersuchungs- oder CAPA-Workflow so konfiguriert werden, dass er eine Risikobewertung beinhaltet.

Das System speichert einen datierten Nachweis dieser Entscheidung; genau dieser Nachweis fehlt laut den Schreiben. Die nordamerikanische Organisation von Siemens Healthineers beispielsweise hat Risikomanagement, CAPA und Änderungsmanagement auf AssurX standardisiert und bei ihren FDA- und ISO-Audits keine Mängel im Qualitätsmanagementsystem festgestellt.

Risikomanagement ist die QMSR-Feststellung, die Sie verhindern können

Gemäß QMSR soll sich die Risikodatei mit der Produkthistorie weiterentwickeln. In den ersten vier Warnschreiben waren die Risikodateien jedoch statisch oder unvollständig, obwohl sich Beschwerden, Rücksendungen, Rückrufe und Korrekturmaßnahmen anhäuften.

Eine Risikodokumentation, die sich seit der Markteinführung nicht verändert hat, gehört mittlerweile zu den am einfachsten zu erstellenden QMSR-Meldepunkten für die FDA. Für kleine und mittlere Medizinproduktehersteller ist die Schließung dieses Kreislaufs oft der schnellste Weg, das regulatorische Risiko zu reduzieren. Bei größeren Unternehmen besteht die Herausforderung darin, den Kreislauf an allen Standorten und in allen Abteilungen einheitlich zu gestalten.

Über den Autor

Stephanie Ojeda ist Vice President of Product Management für die Life-Sciences-Branche bei AssurX. Sie verfügt über mehr als 18 Jahre Erfahrung in der Leitung von Qualitätssicherungsfunktionen in verschiedenen Branchen, darunter Pharma, Biotechnologie, Medizintechnik, Lebensmittel und Getränke sowie Fertigung.