ISO 13485 Zertifizierung: Umgang mit kritischen Lieferanten

Produktbezogene Zulieferer und Hersteller von Produktionsmitteln unterscheiden

Bei der Lieferantenbewertung muss klar zwischen einem Zulieferer für das Medizinprodukt und einem Hersteller von Produktionsmitteln unterschieden werden. Beide Unternehmen können für die Qualität wichtig sein. Ihre regulatorische Rolle ist jedoch eine andere.

Produktbezogene Zulieferer liefern Materialien, Bauteile, Baugruppen oder Dienstleistungen, die unmittelbar in das Medizinprodukt eingehen. Dazu gehören etwa Spritzgussteile, sterile Verpackungen, Sensoren, Klebstoffe oder beschichtete Komponenten. Ihre Leistung kann Produktmerkmale wie Biokompatibilität, Sterilität, Festigkeit oder elektrische Sicherheit direkt bestimmen.

Hersteller von Produktionsmitteln liefern dagegen Maschinen, Anlagen, Werkzeuge, Prüfstände oder Fertigungseinrichtungen. Diese Mittel erzeugen nicht automatisch ein Medizinprodukt. Sie unterstützen dessen Herstellung. Das Risiko liegt daher vor allem in der Fähigkeit des Prozesses, dauerhaft spezifikationsgerechte Ergebnisse zu erzeugen.

Diese Unterscheidung wirkt sich unmittelbar auf die Nachweise aus. Bei einem produktbezogenen Zulieferer stehen zum Beispiel Materialfreigaben, Spezifikationen, Rückverfolgbarkeit und Chargendaten im Vordergrund. Bei einem Anlagenbauer sind dagegen Abnahmekriterien, Funktionsprüfungen, Prozessgrenzen, Wartung und Bedienunterlagen entscheidend. Eine pauschale Forderung nach einem ISO-13485-Zertifikat greift hier oft zu kurz.

Ein Maschinen- und Anlagenbauer muss nicht allein deshalb nach ISO 13485 zertifiziert sein, weil seine Kunden Medizinprodukte herstellen. Entscheidend ist, welche Leistungen er übernimmt und ob diese Leistungen Teil der regulierten Produktrealisierung werden. Ein standardisiertes Bearbeitungszentrum ist anders zu beurteilen als eine kundenspezifische Anlage, die einen kritischen Fertigungsschritt steuert und zugleich Prozessdaten erzeugt.

Für die Abgrenzung helfen vier Fragen:

• Wird das gelieferte Ergebnis Bestandteil des Medizinprodukts?
• Erzeugt oder verändert der Anbieter produktrelevante Daten?
• Kann der Hersteller den Einfluss der Leistung durch eigene Prüfungen sicher erkennen?
• Übernimmt der Anbieter einen Prozess, der für die Produktkonformität wesentlich ist?

Bei einer verneinenden Antwort auf die erste Frage kann dennoch eine hohe Bedeutung vorliegen. Eine Produktionsanlage kann etwa die Dichtheit von Verpackungen bestimmen. Der Anlagenbauer liefert dann zwar kein Verpackungsmaterial, beeinflusst aber die Prozessfähigkeit. In solchen Fällen sind klare technische Anforderungen und eine belastbare Abnahme meist sinnvoller als ein Zertifikat ohne direkten Bezug zur Tätigkeit.

Die Lieferantenakte sollte die Rolle des Unternehmens ausdrücklich festhalten. Beschreiben Sie den Lieferumfang, den Berührungspunkt mit dem Produkt und die verbleibende Verantwortung des Herstellers. So entsteht eine sachliche Begründung für die gewählte Steuerung. Das hilft auch im Audit, wenn ein Auditor nachfragt, warum ein Produktionsmittelhersteller nicht wie ein Komponentenlieferant behandelt wird.

Die Position des VDMA zur Zertifizierung von Zulieferern der Medizintechnik weist ebenfalls auf diese Differenzierung hin. Sie wurde am 3. Juni 2019 veröffentlicht und richtet sich besonders gegen undifferenzierte Zertifizierungsforderungen an Maschinen- und Anlagenbauer. Die praktische Konsequenz ist klar: Nicht die Branchenzugehörigkeit entscheidet, sondern die konkrete Funktion innerhalb der Produkt- und Prozesskette.

Risikobasierte Einstufung und Steuerung kritischer Lieferanten

Risikobasierte Kriterien für die Lieferantenklassifizierung festlegen

Eine belastbare Lieferantenklassifizierung braucht feste Kriterien. Entscheidend ist nicht nur, wie häufig ein Unternehmen liefert. Bewertet werden muss, welchen Einfluss eine Abweichung auf Sicherheit, Leistung und regulatorische Nachweise haben kann.

Erstellen Sie dafür ein einheitliches Bewertungsmodell. Eine Punkteskala von 0 bis 3 ist meist ausreichend:

• Produktwirkung: Beeinflusst die Leistung des Lieferanten ein sicherheitsrelevantes Merkmal?
• Fehlerfolgen: Könnte eine Abweichung zu einer Gefährdung, Rücknahme oder Meldung führen?
• Entdeckbarkeit: Wird der Fehler vor der Freigabe sicher erkannt oder erst im Feld?
• Prozessnähe: Liegt die Ursache in einem Sonderprozess, den der Hersteller selbst nicht vollständig prüfen kann?
• Änderungseinfluss: Kann der Lieferant Material, Software, Standort oder Fertigungsparameter ohne sofort sichtbare Folgen verändern?
• Versorgungsrisiko: Wie schnell lässt sich die Leistung durch eine andere Quelle ersetzen?

Vermeiden Sie eine bloße Addition ohne fachliche Prüfung. Ein Lieferant mit wenigen Punkten kann trotzdem kritisch sein, wenn eine einzige Eigenschaft besonders schwer wiegt. Sinnvoll ist daher eine Ausschlussregel: Führt ein Fehler möglicherweise zu einer schwerwiegenden Verletzung oder zum Verlust einer wesentlichen Produkteigenschaft, wird der Lieferant mindestens in die höchste Überwachungsstufe eingeordnet.

Trennen Sie außerdem zwischen kritisch und strategisch. Ein strategischer Lieferant ist schwer ersetzbar. Ein kritischer Lieferant beeinflusst dagegen die Produkt- oder Prozesskonformität. Beide Merkmale können zusammenfallen, müssen es aber nicht. Diese Unterscheidung verhindert, dass Einkaufssorgen und Patientenschutz in derselben Schublade landen.

Definieren Sie für jede Klasse eine passende Steuerung. Bei niedriger Einstufung reichen oft Spezifikation, Wareneingangskontrolle und regelmäßige Aktualisierung der Stammdaten. Die mittlere Stufe kann zusätzliche Prozessnachweise, Kennzahlen und eine engere Änderungsinformation verlangen. Für die höchste Stufe sind meist vertiefte Nachweise, festgelegte Eskalationswege und eine formale Freigabe durch die Qualitätsfunktion angemessen.

Die Kriterien müssen zur Produktfamilie passen. Ein Werkstoff kann bei einem einfachen Gehäuse unkritisch sein, bei einem Implantat aber eine zentrale Sicherheitsfunktion berühren. Deshalb sollte die Bewertung immer mit der jeweiligen Produktakte, den wesentlichen Produktmerkmalen und der geltenden Risikobewertung verknüpft werden.

Prüfen Sie die Einstufung mindestens bei neuen Produkten, neuen Lieferumfängen und wesentlichen Prozessänderungen. Auch wiederkehrende Signale wie ungewöhnliche Ausschusswerte, verspätete Prüfberichte oder häufige Nacharbeit können eine Neubewertung auslösen. So bleibt die Klassifizierung lebendig und wird nicht zu einer einmal ausgefüllten Tabelle, die irgendwann Staub ansetzt.

Als Ergebnis sollte für jeden Lieferanten klar erkennbar sein: Risikoklasse, Begründung, erforderliche Nachweise, Freigabestelle und nächster Prüftermin. Diese fünf Angaben machen die Entscheidung im Audit verständlich und im Alltag handhabbar.

Lieferanten vor der Freigabe gezielt qualifizieren

Vor der Freigabe braucht jeder relevante Lieferant eine nachvollziehbare Eignungsprüfung. Ziel ist nicht, möglichst viele Dokumente zu sammeln. Entscheidend ist, ob der Anbieter seine zugesagte Leistung dauerhaft, kontrolliert und transparent erbringen kann.

Fordern Sie zunächst ein vollständiges Lieferantenprofil an. Dazu gehören unter anderem Rechtsname, Standorte, Ansprechpartner, Leistungsumfang und eingesetzte Unterauftragnehmer. Prüfen Sie außerdem, ob der Vertragspartner tatsächlich der Hersteller ist oder nur als Vermittler auftritt.

Bewerten Sie anschließend die vorhandenen Nachweise. Je nach Tätigkeit können folgende Unterlagen sinnvoll sein:

• gültige Zertifikate des Qualitätsmanagementsystems mit Geltungsbereich und Standort,
• aktuelle Auditberichte oder eine nachvollziehbare Selbstauskunft,
• Prozessbeschreibungen für die beauftragte Leistung,
• Prüf- und Freigabekonzepte,
• Nachweise über Ausbildung und Befähigung des eingesetzten Personals,
• Angaben zu Kapazitäten, Produktionsstandorten und Notfallvorsorge,
• Liste wesentlicher Unterauftragnehmer.

Ein Zertifikat allein reicht nicht als Freifahrtschein. Prüfen Sie den genauen Geltungsbereich: Passt er zum bestellten Produkt, zum Standort und zum Prozess? Ein Zertifikat für Entwicklung und Vertrieb belegt beispielsweise nicht automatisch die Beherrschung einer ausgelagerten Sterilisation. Auch abgelaufene oder nur als Entwurf vorliegende Dokumente dürfen keine Freigabe ersetzen.

Führen Sie bei höherem Einfluss eine fachliche Bemusterung durch. Dabei bewertet der Hersteller konkrete Muster, Prüfberichte, Prozessdaten oder Erstserien. Legen Sie vorher fest, welche Merkmale akzeptabel sind und wer die Ergebnisse freigibt. Die Bemusterung sollte nicht nur das Ergebnis, sondern auch die Fähigkeit des Lieferanten zur reproduzierbaren Herstellung zeigen.

Ein Vor-Ort-Audit ist besonders sinnvoll, wenn Dokumente offene Fragen lassen, die Leistung schwer prüfbar ist oder der Anbieter einen wesentlichen Prozess übernimmt. Das Audit sollte einen klaren Umfang haben. Prüfen Sie etwa Dokumentenlenkung, Schulungen, Produktionsfreigaben, Abweichungsbearbeitung und die Trennung fehlerhafter Ware.

Halten Sie offene Punkte in einem Maßnahmenplan fest. Für jede Abweichung gehören Verantwortlicher, Frist, Nachweis und Abschlussentscheidung hinein. Kritische Lücken müssen vor der Freigabe geschlossen werden. Bei weniger schwerwiegenden Punkten kann eine bedingte Freigabe mit Termin und zusätzlicher Kontrolle vertretbar sein.

Die Entscheidung sollte durch mindestens zwei Funktionen getragen werden, etwa Einkauf und Qualität. Bei technischen Leistungen kommt zusätzlich die zuständige Entwicklung oder Produktion hinzu. So verhindert das Unternehmen, dass Zeitdruck aus dem Einkauf eine Qualitätsentscheidung ersetzt.

Schließen Sie die Qualifizierung mit einem formalen Freigabevermerk ab. Er sollte den zugelassenen Leistungsumfang, die betroffenen Standorte, Einschränkungen und die Gültigkeitsdauer nennen. Ohne diesen klaren Rahmen ist ein Lieferant zwar im System angelegt, aber noch nicht wirklich freigegeben.

Qualitätsvereinbarungen mit klaren Verantwortlichkeiten abschließen

Eine Qualitätsvereinbarung übersetzt die Anforderungen des Qualitätsmanagementsystems in konkrete Pflichten zwischen Hersteller und Lieferant. Sie ergänzt den Einkaufsvertrag. Beide Dokumente sollten klar voneinander getrennt bleiben: Der Einkaufsvertrag regelt vor allem Preis, Menge und Lieferbedingungen; die Qualitätsvereinbarung regelt qualitäts- und compliancebezogene Abläufe.

Beschreiben Sie zunächst den genauen Geltungsbereich. Nennen Sie betroffene Produkte, Standorte, Dienstleistungen und gegebenenfalls Medizinproduktefamilien. Legen Sie außerdem fest, welche Dokumente verbindlich sind. Dazu können Spezifikationen, Zeichnungen, Prüfpläne, Arbeitsanweisungen und genehmigte Muster gehören. Eine Rangfolge verhindert später Streit, wenn Unterlagen unterschiedliche Angaben enthalten.

Besonders wichtig ist eine klare Zuordnung der Aufgaben. Die Vereinbarung sollte nicht nur festhalten, wer etwas tut, sondern auch wann, in welcher Form und mit welchem Nachweis. Bewährt hat sich eine Verantwortungsmatrix für wiederkehrende Qualitätsprozesse:

• Erstellung und Pflege technischer Spezifikationen
• Prüfung und Freigabe von Fertigungs- und Prüfunterlagen
• Bearbeitung von Abweichungen und fehlerhaften Lieferungen
• Bewertung und Genehmigung geplanter Änderungen
• Aufbewahrung und Herausgabe qualitätsrelevanter Aufzeichnungen
• Bearbeitung von Beschwerden und Meldungen aus dem Feld
• Information bei Behördenanfragen oder regulatorischen Ereignissen

Regeln Sie Meldefristen mit konkreten Zeitangaben. Eine pauschale Formulierung wie „unverzüglich“ lässt zu viel Spielraum. Für eine mögliche Produktgefährdung kann beispielsweise eine Erstinformation innerhalb eines Arbeitstags erforderlich sein. Für weniger dringende Abweichungen kann eine schriftliche Meldung innerhalb von fünf Arbeitstagen genügen. Die Frist muss zur Schwere des Ereignisses passen.

Ein weiterer Kernpunkt ist die Änderungsanzeige. Der Lieferant sollte geplante Änderungen an Material, Rezeptur, Software, Prozess, Standort, Prüfverfahren oder Unterauftragnehmern vor ihrer Umsetzung mitteilen. Legen Sie fest, welche Änderungen eine vorherige schriftliche Zustimmung erfordern. Ohne diese Regel kann ein Lieferant rechtlich zulässige, aber für das Medizinprodukt problematische Anpassungen vornehmen.

Die Vereinbarung sollte auch den Zugang zu Aufzeichnungen und Betriebsstätten regeln. Dazu gehören angemessene Vorlaufzeiten, Ansprechpartner, Vertraulichkeit und der Umgang mit fremden Kundenbereichen. Bei ausgelagerten Tätigkeiten muss zudem feststehen, ob der Hersteller Unterauftragnehmer direkt einbeziehen darf oder ob die Kommunikation ausschließlich über den Hauptlieferanten läuft.

Definieren Sie Anforderungen an die Aufbewahrung. Die Dauer muss zu den gesetzlichen und regulatorischen Vorgaben des jeweiligen Marktes passen. Entscheidend sind außerdem Lesbarkeit, Schutz vor nachträglicher Manipulation und eine kontrollierte Herausgabe. Bei elektronischen Daten sollten Version, Ersteller, Freigabe und Änderungsverlauf nachvollziehbar bleiben.

Schreiben Sie schließlich fest, wann die Vereinbarung überprüft wird. Neue Produkte, neue Märkte, wesentliche Prozessänderungen oder wiederkehrende Qualitätsprobleme können eine Aktualisierung auslösen. Eine Qualitätsvereinbarung ist kein statisches Formular, sondern ein gelenktes Dokument.

Ausgelagerte Prozesse und externe Validierungen wirksam lenken

Bei einem ausgelagerten Prozess bleibt die Verantwortung für die Konformität des Medizinprodukts beim Hersteller. Sie lässt sich nicht dadurch verlagern, dass ein externer Betrieb die Arbeit ausführt oder einen eigenen Prüfbericht vorlegt. Lücken entstehen insbesondere dann, wenn der Lieferant seinen Arbeitsschritt beherrscht, der Hersteller die Bedeutung des Ergebnisses für das Gesamtprodukt aber nicht sauber nachweisen kann.

Definieren Sie daher vor Beginn der Tätigkeit eine Prozessschnittstelle. Sie sollte festlegen, welche Eingaben der Lieferant erhält, welches Ergebnis er liefern muss und welche Merkmale anschließend noch beim Hersteller geprüft werden. Bei einer externen Sterilisation gehören dazu zum Beispiel freigegebene Verpackungen, Beladungsmuster, zulässige Prozessparameter, Freigabekriterien und die Zuordnung der Sterilisationslose.

Für jede externe Validierung sollte ein abgestimmtes Prüfkonzept vorliegen. Es beschreibt mindestens:

• den validierten Prozess und seinen vorgesehenen Zweck,
• die kritischen Prozessparameter und Akzeptanzgrenzen,
• die verwendeten Mess- und Prüfmethoden,
• die Anforderungen an Muster, Chargen und Reproduzierbarkeit,
• die Regeln für Abweichungen, Wiederholungen und ungültige Ergebnisse,
• die Form des Validierungsberichts und seine Freigabe.

Teilen Sie die Validierung in nachvollziehbare Phasen. Bei Anlagen und Herstellprozessen können etwa Installations-, Funktions- und Leistungsprüfungen sinnvoll sein. Bei einem Reinigungsprozess müssen dagegen unter anderem Worst-Case-Produkte, Rückstände, Probenahmestellen und Nachweisgrenzen betrachtet werden. Welche Bezeichnungen verwendet werden, ist weniger wichtig als die klare Begründung, warum der gewählte Nachweis den Prozess abdeckt.

Der Hersteller sollte das Validierungsprotokoll vor der Durchführung genehmigen. Nachträgliche Zustimmung zu einem bereits abgeschlossenen Versuch ist nur begrenzt belastbar. Prüfen Sie außerdem, ob der Lieferant die tatsächlichen Produktionsbedingungen verwendet hat. Kleine Abweichungen bei Material, Personal, Ausrüstung oder Losgröße können die Aussagekraft eines ansonsten sauberen Berichts schmälern.

Bei externen Prüfungen muss die Datenintegrität gesichert sein. Rohdaten, Berechnungen, Geräteeinstellungen, Umgebungsbedingungen und Auswertungen müssen einander zugeordnet werden können. Eine Zusammenfassung ohne Einsicht in die wesentlichen Rohdaten reicht bei kritischen Ergebnissen meist nicht aus. Elektronische Aufzeichnungen brauchen nachvollziehbare Zugriffs- und Änderungsregeln.

Regeln Sie auch den Umgang mit dem Validierungsstatus. Der Lieferant muss mitteilen, wenn ein validierter Prozess außerhalb der festgelegten Grenzen betrieben wurde oder sich die Prozessfähigkeit verschlechtert. Eine Revalidierung kann bei neuen Materialien, neuen Geräten, Standortwechseln, längeren Unterbrechungen oder ungünstigen Trenddaten erforderlich werden. Nicht jede kleine Anpassung braucht eine vollständige Wiederholung; sie braucht aber eine begründete Bewertung.

Bei Produktionsanlagen sollte die Abnahme nicht mit der technischen Inbetriebnahme enden. Der Hersteller muss nachweisen können, dass die Anlage unter realen Bedingungen ein konformes Ergebnis erzeugt. Dazu gehören definierte Testläufe, geschulte Bediener, freigegebene Programme und eine dokumentierte Übergabe in den Routinebetrieb.

Die endgültige Freigabe des externen Prozesses sollte die zuständige Qualitätsfunktion erteilen. Sie bewertet nicht nur den Bericht, sondern auch offene Abweichungen, Einschränkungen und die Übertragbarkeit auf die laufende Produktion.

Validierungsnachweise, Prüfmittel und Software des Lieferanten prüfen

Bei Lieferantenprüfungen zählt nicht die Menge der Unterlagen, sondern ihre Beweiskraft. Ein Validierungsbericht, ein Kalibrierschein oder ein Softwareprotokoll muss eindeutig zeigen, welches Objekt geprüft wurde, unter welchen Bedingungen und mit welchem Ergebnis. Fehlt diese Verbindung, bleibt der Nachweis lückenhaft.

Prüfen Sie bei Validierungsunterlagen zuerst die Identität des Gegenstands. Dazu gehören Anlagenname, Seriennummer, Softwareversion, Standort, Prozess und Prüfdatum. Vergleichen Sie diese Angaben mit dem tatsächlich eingesetzten System. Ein Bericht für Version 4.2 belegt nicht automatisch die Eignung von Version 4.5.

Bewerten Sie danach die fachliche Aussagekraft:

• Sind Zweck und Geltungsbereich eindeutig beschrieben?
• Decken die Tests die vorgesehenen Betriebs- und Belastungsgrenzen ab?
• Sind Normalbetrieb und begründete Worst-Case-Bedingungen berücksichtigt?
• Wurden Abweichungen bewertet und abschließend behandelt?
• Sind Rohdaten, Berechnungen und Freigaben nachvollziehbar verknüpft?
• Ist erkennbar, wer die Ergebnisse geprüft und genehmigt hat?

Bei Prüfmitteln muss die messtechnische Rückführbarkeit bis zum verwendeten Standard nachvollziehbar sein. Prüfen Sie Identifikationsnummer, Messbereich, Genauigkeit, Kalibrierstatus und Fälligkeitsdatum. Wichtig ist außerdem die Eignung für die konkrete Messaufgabe. Ein gültiger Kalibrierschein beweist nicht, dass das Gerät für eine enge Toleranz oder einen besonderen Messbereich ausreichend geeignet ist.

Bewerten Sie auch die Folgen eines abgelaufenen oder fehlerhaften Prüfmittels. Der Lieferant sollte nachweisen können, welche Produkte, Chargen oder Prüfungen betroffen waren und wie die Auswirkung untersucht wurde. Eine bloße Neukalibrierung stellt den ursprünglichen Prüfstatus nicht rückwirkend wieder her.

Bei Software benötigen Sie eine nachvollziehbare Zuordnung von Anforderungen, Tests und Ergebnissen. Prüfen Sie insbesondere Benutzerrollen, Zugriffsschutz, Datenänderungen, Schnittstellen, Sicherungen und Wiederherstellung. Für eine Software zur Prüfdatenerfassung ist außerdem wichtig, ob ungültige Eingaben erkannt werden und ob nachträgliche Änderungen sichtbar bleiben.

Die Softwareprüfung darf sich nicht auf einen Screenshot oder eine Herstellererklärung beschränken. Fordern Sie eine dokumentierte Bewertung der vorgesehenen Nutzung. Je näher die Anwendung an Produktfreigabe, Prüfentscheidung oder regulatorischer Aufzeichnung liegt, desto genauer müssen Funktionen und Datenfluss betrachtet werden.

Kontrollieren Sie bei elektronischen Nachweisen außerdem die Zeitstempel und die Versionierung. Stimmen Zeitpunkte von Prüfung, Freigabe und Produktionscharge überein? Sind nachträgliche Änderungen erkennbar? Lassen sich exportierte Daten wieder dem Originalsystem zuordnen? Solche Details entscheiden oft darüber, ob ein Datensatz als belastbarer Nachweis gilt.

Für die Lieferantenakte sollte eine kurze Nachweismatrix genügen. Sie ordnet jedem geforderten Ergebnis das Dokument, die Version, den Prüfstatus, offene Einschränkungen und den nächsten Überprüfungstermin zu.

Lieferanten durch Audits und Leistungsdaten überwachen

Audits und Leistungsdaten zeigen, ob ein Lieferant seine vereinbarten Leistungen im Alltag stabil erbringt. Eine einmalige Freigabe bildet dagegen nur einen früheren Zeitpunkt ab. Die laufende Überwachung muss deshalb auf tatsächlichen Ergebnissen beruhen, nicht auf einem guten Eindruck.

Planen Sie Audits nach Anlass und Erkenntniswert. Ein festes Jahresintervall ist nicht immer sinnvoll. Häufige Fehler, ein Standortwechsel, neue Unterauftragnehmer oder auffällige Trends können ein früheres Audit auslösen. Bei stabilen Leistungen kann sich der Abstand verlängern. Diese Entscheidung sollte dokumentiert und fachlich begründet sein.

Ein wirksames Audit betrachtet nicht nur einzelne Fehler. Es prüft, ob das System des Lieferanten Ursachen erkennt und dauerhaft beseitigt. Achten Sie deshalb auf wiederkehrende Abweichungen, verspätete Korrekturmaßnahmen, nachträgliche Datenänderungen und Unterschiede zwischen Schichtteams oder Produktionslosen.

Für die laufende Bewertung eignen sich wenige, klar definierte Kennzahlen:

• Anteil fristgerecht gelieferter Ware,
• Quote nicht konformer Lieferungen,
• Fehler je Los oder je Liefermenge,
• Durchlaufzeit für Abweichungsberichte,
• Termintreue bei Korrekturmaßnahmen,
• Anzahl ungeplanter Prozessänderungen,
• Häufigkeit von Nacharbeit und Sonderfreigaben.

Die Kennzahlen brauchen eine feste Auswertelogik. Legen Sie Schwellenwerte, Beobachtungszeiträume und Eskalationsstufen fest. Ein einzelner Fehler kann weniger bedeuten als drei kleine Abweichungen mit derselben Ursache. Deshalb sollten absolute Werte und Trends gemeinsam betrachtet werden.

Ergänzen Sie die Zahlen durch qualitative Informationen. Beschwerden aus Produktion oder Service, Rückmeldungen aus Wareneingang, Ergebnisse eigener Prüfungen und die Qualität der Kommunikation liefern wichtige Hinweise. Ein Lieferant mit niedriger Fehlerquote, aber wiederholt unklaren Antworten kann ein höheres Steuerungsproblem zeigen als die Statistik zunächst vermuten lässt.

Bewerten Sie Korrekturmaßnahmen nach ihrer Wirksamkeit. Eine neue Schulung oder eine zusätzliche Endkontrolle ist nicht automatisch eine Ursachenlösung. Fragen Sie, ob der Fehler danach tatsächlich seltener auftritt und ob die Maßnahme unter realen Bedingungen funktioniert. Bleibt die Ursache bestehen, braucht es eine neue Entscheidung statt eines weiteren freundlichen Erinnerungsmails.

Führen Sie Auditergebnisse und Kennzahlen in einer gemeinsamen Lieferantenbewertung zusammen. Das Ergebnis kann eine unveränderte Freigabe, eine engere Überwachung, eine begrenzte Lieferfreigabe oder eine Suspendierung sein. Legen Sie dabei auch fest, wer die Entscheidung trifft und wie die Wiederzulassung erfolgt.

Berichten Sie wesentliche Entwicklungen an die Qualitätsleitung und in die Managementbewertung. So werden Lieferantenprobleme nicht nur im Einkauf bearbeitet, sondern als Teil der Wirksamkeit des Qualitätsmanagementsystems erkannt.

Abweichungen, Änderungen und Beschwerden mit Lieferanten steuern

Abweichungen, Änderungen und Beschwerden brauchen einen gemeinsamen Steuerungsprozess. Der Lieferant darf nicht nur informiert werden. Er muss die Ursache untersuchen, die betroffenen Produkte eingrenzen und belastbare Entscheidungen ermöglichen.

Starten Sie bei jeder Abweichung mit einer eindeutigen Beschreibung: betroffene Teilenummer, Los, Lieferdatum, Fehlerbild und Entdeckungsort. Sichern Sie außerdem Belege wie Fotos, Messwerte, Prüfprotokolle und Muster. Eine klare Faktenbasis verhindert lange Diskussionen über Vermutungen.

Fordern Sie vom Lieferanten eine strukturierte Untersuchung. Sie sollte mindestens enthalten:

• Abgrenzung aller möglicherweise betroffenen Lose,
• Bewertung bereits ausgelieferter oder verbauter Ware,
• Analyse der unmittelbaren und systemischen Ursache,
• sofortige Eindämmungsmaßnahmen,
• dauerhafte Korrektur- und Vorbeugemaßnahmen,
• Nachweis der Wirksamkeit nach angemessener Frist.

Die Entscheidung über Sperrung, Nacharbeit, Rücksendung oder Sonderfreigabe muss beim Hersteller liegen, wenn die Produktkonformität betroffen ist. Der Lieferant kann technische Daten liefern, aber nicht allein über die Verwendung fehlerhafter Ware entscheiden. Begründen Sie jede Ausnahme schriftlich und verknüpfen Sie sie mit der betroffenen Charge.

Änderungen sollten über eine formale Änderungsanzeige laufen. Der Lieferant muss dabei nicht nur die geplante Anpassung nennen. Er sollte auch Gründe, Zeitplan, betroffene Spezifikationen, Prüfungen und mögliche Auswirkungen offenlegen. Kritisch sind etwa neue Rohstoffe, geänderte Rezepturen, Produktionsverlagerungen, neue Prüfmethoden und der Austausch eines Unterauftragnehmers.

Bewerten Sie eine Änderung vor ihrer Umsetzung. Die Prüfung kann technische, regulatorische und wirtschaftliche Folgen umfassen. Fragen Sie zum Beispiel: Muss die Risikobewertung aktualisiert werden? Ändert sich eine Produkteigenschaft? Sind zusätzliche Prüfungen oder Muster erforderlich? Wird eine Meldung an eine Behörde oder eine Information an Kunden nötig?

Eine Beschwerde des Kunden darf nicht isoliert an den Einkauf gehen. Ordnen Sie sie dem betroffenen Lieferanten, Produkt, Los und Prozess zu. Prüfen Sie, ob ähnliche Fälle in Wareneingang, Produktion, Service oder Rückmeldungen aus dem Feld vorliegen. Erst die Zusammenführung zeigt, ob ein Einzelfehler oder ein Muster entsteht.

Definieren Sie klare Eskalationsstufen. Ein wiederholter Fehler ohne wirksame Reaktion kann zu verstärkter Eingangskontrolle, Lieferstopp oder einer erneuten Lieferantenbewertung führen. Bei möglicher Gefährdung müssen Qualitätsmanagement und verantwortliche Fachstellen sofort eingebunden werden. Die Meldepflichten nach der geltenden Medizinprodukte-Regulierung sind dabei separat zu prüfen.

Führen Sie alle Vorgänge in einer nachvollziehbaren Historie. Sie sollte ursprüngliche Meldung, Entscheidungen, Freigaben, Kommunikation, Maßnahmen und Wirksamkeitsprüfung enthalten.

Beispiel: Produktionsanlage ohne pauschale ISO-13485-Zertifizierung bewerten

Ein Maschinenbauer liefert nicht automatisch ein Medizinprodukt. Deshalb sollte der Hersteller die Anlage nach ihrer konkreten Funktion bewerten und nicht allein nach einem Zertifikatsstatus des Lieferanten.

Beispiel: Ein Anlagenbauer entwickelt eine automatische Montagelinie für einen Einwegkatheter. Die Linie setzt Komponenten zusammen, prüft die Einführtiefe per Kamera und speichert die Prüfergebnisse. Der Anlagenbauer liefert die Maschine, nicht den Katheter. Trotzdem kann seine Leistung die Produktkonformität erheblich beeinflussen.

Die Bewertung sollte zunächst die einzelnen Funktionen trennen:

• Mechanische Module positionieren und fügen die Bauteile.
• Ein Bildverarbeitungssystem erkennt sichtbare Montagefehler.
• Eine Steuerung verwaltet Prüfprogramme und Freigabesignale.
• Eine Datenschnittstelle überträgt Ergebnisse in das Produktionssystem.

Nicht jede dieser Funktionen braucht dieselbe Kontrolle. Für die mechanische Konstruktion können technische Abnahmetests, Materialnachweise und Wartungsvorgaben ausreichen. Die Prüfsoftware erfordert dagegen eine dokumentierte Bewertung der Anforderungen, Testfälle, Benutzerrechte und Datenaufzeichnung. Ihre Einstufung ergibt sich aus der vorgesehenen Nutzung, nicht aus der Bezeichnung „Maschine“.

Der Hersteller kann den Lieferanten daher auch ohne pauschale Zertifizierung angemessen steuern. Er sollte die Anlage nach der Installation unter realen Bedingungen prüfen. Dazu gehören repräsentative Bauteile, freigegebene Programme und typische Bedienabläufe. Zusätzlich sind Grenzfälle sinnvoll, etwa falsch positionierte Komponenten, beschädigte Oberflächen oder absichtlich veränderte Prüfmuster. So zeigt sich, ob die Erkennung tatsächlich funktioniert oder nur im Normalfall gut aussieht.

Besondere Aufmerksamkeit verdient die Schnittstelle zwischen Anlage und Qualitätsentscheidung. Darf das System ein Produkt automatisch freigeben? Werden fehlerhafte Datensätze gesperrt? Ist nachvollziehbar, wer ein Prüfprogramm ändert? Kann ein Bediener ein Warnsignal übergehen? Diese Fragen müssen vor dem Routinebetrieb beantwortet werden.

Für die Abnahme sollten messbare Kriterien gelten:

• geforderte Taktleistung unter festgelegten Bedingungen,
• nachgewiesene Prüfgenauigkeit mit bekannten Referenzmustern,
• vollständige und unveränderbare Speicherung relevanter Ergebnisse,
• kontrollierte Benutzerrollen und Programmversionen,
• definierte Reaktion bei Stromausfall, Netzwerkfehler oder Sensorausfall,
• verfügbare Wartungs- und Ersatzteilstrategie.

Erst wenn diese Kriterien erfüllt sind, kann der Hersteller entscheiden, ob die Anlage in den validierten Produktionsprozess übernommen wird. Der Anlagenbauer muss dabei nicht sämtliche Anforderungen eines Medizinprodukteherstellers erfüllen. Er muss aber die vereinbarten technischen und qualitätsrelevanten Nachweise für seinen Lieferumfang erbringen.

Eine ISO-13485-Zertifizierung kann in einzelnen Fällen einen zusätzlichen Hinweis auf ein geeignetes Qualitätsmanagementsystem geben. Sie ersetzt jedoch weder die technische Abnahme noch die Prüfung der konkreten Anlagenfunktion. Umgekehrt ist das Fehlen dieses Zertifikats kein ausreichender Grund, einen fachlich geeigneten Maschinenbauer automatisch auszuschließen. Diese sachliche Trennung entspricht auch der Position der VDMA-Arbeitsgemeinschaft Medizintechnik aus dem Jahr 2019.

Fehlende Lieferantenanforderungen als Zertifizierungsrisiko schließen

Fehlende oder zu allgemeine Lieferantenanforderungen können eine Zertifizierung gefährden. Der kritische Punkt liegt oft nicht beim Lieferanten selbst, sondern in der eigenen Dokumentation: Sie zeigt nicht eindeutig, welche Anforderungen gelten, wie deren Erfüllung nachgewiesen wird und wer die Ergebnisse bewertet.

Schließen Sie diese Lücke mit einer anforderungsbezogenen Lieferantenmatrix. Ordnen Sie jeder externen Leistung konkrete Vorgaben zu. Dazu gehören technische Spezifikationen, zulässige Toleranzen, Verpackungs- und Kennzeichnungsregeln, Aufbewahrungsfristen, Freigabekriterien sowie relevante regulatorische Anforderungen. Vermeiden Sie Sammelbegriffe wie „geeignete Qualität“. Sie lassen zu viel Interpretationsspielraum.

Prüfen Sie außerdem, ob die Anforderungen in allen gelenkten Dokumenten übereinstimmen. Widersprüche zwischen Bestellung, Zeichnung, Prüfplan und Qualitätsvereinbarung sind ein typisches Zertifizierungsrisiko. Legen Sie deshalb fest, welches Dokument im Konfliktfall Vorrang hat und wie Änderungen an diesen Unterlagen freigegeben werden.

Eine vollständige Anforderungsliste sollte mindestens folgende Punkte abdecken:

• genauer Leistungsumfang und betroffene Artikel,
• anzuwendende Spezifikationen und Ausgabestände,
• Prüfungen vor Lieferung und erforderliche Prüfberichte,
• Regeln für Kennzeichnung, Losbildung und Rückverfolgbarkeit,
• Anforderungen an qualifiziertes Personal und besondere Umgebungsbedingungen,
• Vorgaben für Aufzeichnungen und deren Bereitstellung,
• Pflichten bei Änderungen, Abweichungen und Unterauftragnehmern,
• Fristen für qualitätsrelevante Mitteilungen.

Berücksichtigen Sie auch die regulatorische Reichweite. Ein Lieferant für einen europäischen Markt kann andere Nachweise benötigen als ein Lieferant für die Vereinigten Staaten. Bei Materialien mit Körperkontakt sind etwa Informationen zur Zusammensetzung und Biokompatibilität relevant. Bei Verpackungen können Nachweise zur Barrierewirkung und zur Aufrechterhaltung der Sterilität entscheidend sein.

Besonders häufig fehlen Anforderungen an die Rückverfolgbarkeit. Legen Sie fest, welche Verbindung zwischen Rohstoff, Produktionslos, Prüfprotokoll und ausgelieferter Ware bestehen muss. Bei einem späteren Vorkommnis muss der Hersteller betroffene Einheiten eingrenzen können. Eine einfache Chargennummer reicht nur dann, wenn sie tatsächlich bis zu den relevanten Aufzeichnungen führt.

Prüfen Sie die Lieferantenanforderungen außerdem gegen die Medical Device File und die technische Dokumentation. Jede externe Leistung, die dort als Eingabe, Nachweis oder Prozessbestandteil erscheint, braucht eine eindeutige Quelle. Fehlt diese Verbindung, kann ein Auditor die Frage stellen, ob der Lieferprozess überhaupt vollständig gelenkt wird.

Erstellen Sie vor dem Zertifizierungsaudit eine Lückenprüfung. Suchen Sie nicht nur nach fehlenden Dokumenten, sondern auch nach stillschweigenden Annahmen. Wer legt etwa fest, dass ein Prüfbericht vollständig ist? Wer akzeptiert eine Lieferung ohne diesen Bericht? Was passiert, wenn der Lieferant die geforderte Aufbewahrungsfrist nicht erfüllen kann? Solche Fragen bringen oft die wahren Schwachstellen ans Licht.

Schließen Sie jede Lücke mit einer konkreten Maßnahme, einem Verantwortlichen und einem überprüfbaren Nachweis. Erst wenn Anforderungen, Lieferantendokumente und interne Produktakten zusammenpassen, entsteht ein schlüssiger Nachweis für die Zertifizierungsstelle.

Fazit: Kritische Lieferanten risikobasiert freigeben und überwachen

Eine belastbare Lieferantensteuerung endet nicht mit der Freigabe. Sie muss auch dann funktionieren, wenn sich Märkte, Produkte, Standorte oder gesetzliche Vorgaben verändern. Der wichtigste Prüfstein lautet daher: Kann das Unternehmen seine Entscheidungen jederzeit begründen?

Ein gutes System schafft dafür einen klaren Regelkreis. Neue Erkenntnisse aus Produktion, Service, Beschwerden und der Überwachung nach dem Inverkehrbringen fließen in die Lieferantenakte zurück. Dadurch bleibt sichtbar, ob die bisherige Einstufung noch passt oder ob zusätzliche Maßnahmen nötig werden.

Für die Leitung sind besonders drei Fragen entscheidend:

• Welche Lieferanten können die Produktsicherheit unmittelbar beeinflussen?
• Wo bestehen Abhängigkeiten, die bei einem Ausfall die Versorgung gefährden?
• Welche Entscheidungen brauchen eine dokumentierte Eskalation?

Die Antwort sollte nicht nur in Verfahrensanweisungen stehen. Sie muss in der Praxis erkennbar sein: durch nachvollziehbare Freigaben, aktuelle Statusangaben und eindeutige Verantwortungen. Das stärkt die Aussagekraft des Qualitätsmanagementsystems und erleichtert die Bewertung durch die Zertifizierungsstelle.

Für die Zukunft empfiehlt sich ein abgestuftes Modell. Kritische Lieferanten erhalten eine engere Überwachung. Bei stabilen Ergebnissen kann der Aufwand sinken. Bei neuen Risiken wird er erhöht. So bleibt die Steuerung angemessen, ohne jeden Anbieter mit demselben bürokratischen Gewicht zu belasten.

Besonders wichtig ist die Notfallfähigkeit. Für unverzichtbare Lieferquellen sollte der Hersteller wissen, wie lange die Versorgung ausfällt, welche Alternativen bestehen und welche Freigaben ein Wechsel erfordert. Ein zweiter Lieferant ist dabei nicht automatisch eine echte Lösung. Unterschiede bei Material, Prozess oder Prüfverfahren können eine neue technische Bewertung auslösen.

Am Ende zählt die Verbindung von Patientenschutz, Produktkonformität und betrieblicher Handlungsfähigkeit. Eine ISO-13485-konforme Lieferantensteuerung fordert kein starres Zertifikatsdenken. Sie verlangt nachvollziehbare Entscheidungen, passende Kontrollen und den Mut, eine bisherige Freigabe neu zu bewerten, wenn die Fakten sich ändern.

Wer diese Prinzipien konsequent anwendet, reduziert nicht nur das Zertifizierungsrisiko. Er erkennt Schwachstellen früher, reagiert schneller auf Störungen und schafft eine Lieferkette, die auch unter Druck verlässlich bleibt.