Il Medical Device Single Audit Program (MDSAP) è un programma di audit – istituito dall’International Medical Device Regulators Forum (IMDRF) – che consente la valutazione della conformità del Sistema di Gestione per la Qualità (SGQ) di un fabbricante di dispositivi medici ai requisiti regolamentari applicabili definiti dalle 5 autorità competenti aderenti al programma (Australia, Brasile, Canada, Giappone e Stati Uniti), il tutto nel contesto di un’unica verifica ispettiva.

Gli audit MDSAP vengono condotti da organismi accreditati e designati dal Consiglio delle Autorità Competenti. L’iter di certificazione per MDSAP è basato su un ciclo di 3 anni e comprende un audit di certificazione iniziale (suddiviso in stadio 1 e stadio 2), un audit di sorveglianza una volta all’anno nei due anni successivi e un audit di ricertificazione al terzo anno.

Oltre agli audit programmati, il programma MDSAP prevede anche la conduzione di audit speciali, audit non annunciati e audit condotti direttamente dalle autorità competenti.

Vediamo nel dettaglio in cosa consistono e in cosa si differenziano queste verifiche ispettive.

Audit di certificazione iniziale – Stadio 1

Nello stadio 1 dell’audit di certificazione iniziale viene esaminata la documentazione resa disponibile dall’organizzazione e viene valutata la preparazione dell’organizzazione per l’audit di stadio 2.

Gli scopi primari di un audit di stadio 1, dunque, sono:

• determinare se la documentazione del SGQ richiesta dalla norma ISO 13485 e dai requisiti applicabili MDSAP è stata adeguatamente definita
• valutare la preparazione dell’organizzazione per l’audit di stadio 2
• raccogliere tutte le informazioni necessarie per pianificare al meglio l’audit di stadio 2
• raccogliere informazioni riguardanti l’ambito del SGQ e altri aspetti essenziali dei dispositivi medici fabbricati dall’organizzazione

Parte dell’audit di stadio 1 (ad esempio, revisione della documentazione) può essere condotta anche off-site o da remoto.

Audit di certificazione iniziale – Stadio 2

Lo stadio 2 dell’audit di certificazione iniziale mira a valutare la corretta implementazione e l’efficacia del SGQ, allo scopo di determinare se tutti i requisiti applicabili della norma ISO 13485 e i pertinenti requisiti regolamentari previsti dalle Autorità Competenti aderenti al programma sono stati rispettati.

Gli obiettivi di questa fase comprendono una valutazione:

• dell’efficacia del SGQ dell’organizzazione
• delle tecnologie relative ai prodotti e ai processi
• dell’adeguatezza della documentazione tecnica dei prodotti
• della capacità dell’organizzazione di soddisfare i requisiti applicabili

In questo contesto, l’organizzazione deve dimostrare di essere in grado di mantenere tutte le evidenze oggettive sufficienti (documentazione e registrazioni) per assicurare l’efficacia del SGQ, garantire che i propri dispositivi medici soddisfino i requisiti di sicurezza e prestazione e assicurare il mantenimento della conformità ai requisiti normativi anche durante tutta la fase post-commercializzazione.

L’audit di stadio 2 deve essere condotto necessariamente in tutti i siti per cui viene richiesta la certificazione e che, quindi, saranno riportati sul certificato.

Audit di sorveglianza

L’audit di certificazione iniziale è seguito da due audit di sorveglianza, uno per ciascuno dei due anni successivi.

Gli obiettivi degli audit di sorveglianza comprendono la valutazione:

• dell’efficacia del SGQ dell’organizzazione
• della capacità dell’organizzazione di soddisfare i requisiti applicabili
• delle tecnologie nuove o modificate relative a prodotti/processi
• della documentazione tecnica del prodotto nuova o modificata

Ogni singolo audit di sorveglianza non deve coprire tutti i requisiti MDSAP, ma come minimo deve riguardare almeno la valutazione delle modifiche apportate all’organizzazione, al SGQ o ai prodotti dopo l’audit precedente e tutti i processi elencati nella tabella dell’appendice 1 del documento  MDSAP AU P0008 – Audit Time Determination Procedure.

Audit di ricertificazione

Lo scopo dell’audit di ricertificazione è confermare la costante idoneità del SGQ dell’organizzazione ai requisiti applicabili della norma ISO 13485 e ai pertinenti requisiti MDSAP.

L’audit di ricertificazione (come quello di certificazione iniziale di stadio 2) deve essere eseguito in tutti i siti registrati sul certificato e deve comprendere tutti i processi.

Audit speciali, audit non annunciati e audit condotti direttamente dalle autorità competenti

Oltre agli audit programmati sopra descritti, la certificazione MDSAP prevede la conduzione di verifiche ispettive aggiuntive o a sorpresa.

Gli audit speciali sono condotti solo se necessario, e si concentrano su elementi specifici del SGQ; vengono svolti, ad esempio, nel caso in cui si debba estendere l’ambito di applicazione di un certificato esistente, o indagare reclami potenzialmente significativi, o nel caso si sospettino gravi non conformità relative ai dispositivi.

Gli audit non annunciati vengono condotti nel caso in cui – durante una delle verifiche ispettive condotte in precedenza – siano state rilevate non conformità di alto livello.

Gli audit condotti direttamente dalle Autorità Competenti sono effettuati per sia per garantire un’adeguata sorveglianza delle attività svolte dagli Organismi di audit MDSAP riconosciuti, sia qualora i report di audit non includano sufficienti dettagli relativi ai processi verificati (specialmente se si tratta di processi critici), o nei casi in cui l’organizzazione non sia stata nel corso del tempo sufficientemente conforme ai requisiti normativi.

Durata degli audit

La durata di un audit MDSAP non è calcolata in base alla dimensione dell’organizzazione – come avviene, ad esempio, per la norma ISO 13485 – bensì varia in base al numero e alla tipologia di processi coperti dal certificato. Per questo, può risultare molto oneroso (in termini di risorse sia umane che economiche) intraprendere il percorso di certificazione secondo il programma MDSAP per le organizzazioni di piccole dimensioni che gestiscono molti processi internamente.

È importante, dunque, non sottovalutare la complessità del raggiungimento della certificazione MDSAP e, per ottimizzare tempi e costi, sarebbe opportuno eseguire una gap-analysis di conformità ai requisiti della norma ISO 13485 e ai requisiti regolamentari applicabili previsti dalle Autorità Competenti aderenti al programma, eventualmente con il supporto di consulenti specializzati.