Medical QMS-software laten maken
Een kwaliteitsmanagementsysteem voor medische hulpmiddelen is geen documentmap met goedkeuringsstempels. Het is het systeem waarmee u aantoont dat een klacht tot een maatregel leidt, die maatregel tot een gewijzigde procedure, en die procedure tot hertraining van precies de mensen die ermee werken. Appfront bouwt zulke software op maat, en zegt erbij wanneer een gevalideerd standaardpakket beter past.
Uw kwaliteitssysteem is iets anders dan uw productsoftware
Twee onderwerpen worden vaak door elkaar gehaald. Het eerste is software die zelf een hulpmiddel is of erin zit. Die valt onder IEC 62304:2006+A1:2015 met de veiligheidsklassen A, B en C, hangt samen met ISO 14971 en volgt één product tot markttoelating. Zit daar uw vraag, ga dan naar medical device software laten maken.
Deze pagina gaat over het tweede: het interne systeem waarmee uw organisatie haar processen bestuurt, over alle producten heen. Dat bestaat ook als er nog geen regel productcode geschreven is. Het omvat documentbeheer, klachten, CAPA, wijzigingsbeheer, training, leveranciers, interne audits en directiebeoordeling.
Meestal hebt u beide nodig. Uw productsoftware wordt beoordeeld binnen de technische documentatie van dat product; uw kwaliteitssysteem wordt beoordeeld als systeem, jaar na jaar.
Het spoor dat een auditor volgt
Een audit is bemonstering, geen controle op goedkeuringsstempels: de auditor pakt één geval en volgt dat door uw organisatie heen om te zien of er op elke schakel bewijs ligt.
Neem een klacht uit het veld. Eerste vraag: is dit een klacht in de zin van de norm, of alleen feedback? ISO 13485:2016 scheidt die twee in clausule 8.2.1 en 8.2.2 en verlangt dat u vastlegt hoe u die afweging maakt. Tweede vraag, met een klok eraan: is het meldingsplichtig, waarvoor clausule 8.2.3 een procedure eist? Die klok start bij kennisname; ligt uw klachtenstroom verspreid over mailbox, servicetool en spreadsheet, dan is dat moment niet verdedigbaar.
Volgt er een CAPA, dan hangen daar een grondoorzaak en een maatregel aan. Stel dat die maatregel een werkinstructie wijzigt: dat document had een vorige versie waarop mensen zijn getraind, en clausule 6.2 vraagt niet alleen dat u traint, maar dat u de effectiviteit van die actie beoordeelt. De auditor vraagt dus wie met de oude versie werkte, wie is hertraind, wanneer, en waaruit blijkt dat het beklijft. En of de medewerker die twee weken later instroomde die instructie ooit toegewezen kreeg.
Eén ingang voor alle signalen, met een vastgelegd moment van kennisname.
Verwijst terug naar de klacht en vooruit naar wat de maatregel raakt: procedures, risicoanalyse, batches.
De nieuwe versie wijst trainingen toe aan rollen, inclusief wie later instroomt.
Een geplande taak met eigen bewijsstuk. Zolang die openstaat, blijft het dossier open.
Waarom CAPA-dossiers sluiten terwijl het probleem blijft
De meeste organisaties hebben hun CAPA-proces op papier netjes staan. Het misgaan zit bijna altijd op hetzelfde punt: de maatregel wordt uitgevoerd, iemand vinkt af dát dat gebeurd is, en het dossier gaat dicht. Wat ontbreekt is de vaststelling, later, dat het probleem er werkelijk niet meer is. Uitvoering is geen effectiviteit. Pas wanneer die klachtcategorie wegblijft, of een steekproef laat zien dat er anders wordt gewerkt, hebt u iets aangetoond.
Clausule 8.5.2 vraagt daarbij iets dat vaak wordt overgeslagen: verifiëren dat de corrigerende maatregel zelf geen nadelig effect heeft op het voldoen aan de regelgeving, of op de veiligheid en prestaties van het hulpmiddel. Een maatregel die het ene risico afdekt en een ander introduceert, is geen oplossing.
CAPA-procedures behoren al jaren tot de meest geciteerde tekortkomingen in FDA-inspectieobservaties, met dezelfde strekking: gesloten zonder onderbouwde effectiviteitsbeoordeling. Software kan dat afdwingen door die beoordeling te behandelen als zelfstandige taak, niet als veld in een formulier.
- Een beoordelingsdatum die losstaat van de uitvoeringsdatum
- Vooraf vastgelegd welk bewijs de effectiviteit moet aantonen
- Een sluitregel die het dossier openhoudt tot die beoordeling rond is
Wat zo'n systeem werkelijk moet dragen
De modules zijn het makkelijke deel; documentbeheer, een klachtenregister en een CAPA-lijst krijgt elke organisatie wel gebouwd. Het onderscheid zit in de samenhang, en of die standhoudt als mensen, versies en producten wisselen.
Relaties zijn het product
Klacht, afwijking, CAPA, procedure, trainingstoewijzing, leverancier, batchnummer: elk object verwijst naar de andere, in beide richtingen. Zijn dat ingetypte tekstverwijzingen, dan bestaat het spoor alleen in het hoofd van de kwaliteitsmanager en vertrekt het met hem mee.
Goedkeuringsdatum en ingangsdatum
Een document heeft een goedkeuringsmoment en een moment waarop het geldig wordt; daartussen zit de hertraining. Een systeem dat alleen de status goedgekeurd kent, kan niet tonen wie op welke dag met welke versie mocht werken. Wijs training toe aan rollen, niet aan een ooit ingevoerde namenlijst.
Rechten, handtekening en logging
Wie mag goedkeuren is een rolvraag, geen persoonsvraag; anders loopt het systeem vast zodra iemand van functie wisselt. De audittrail legt oude waarde, nieuwe waarde, wie, wanneer en waarom vast, en is voor niemand aanpasbaar.
Data die de directiebeoordeling voedt
De directiebeoordeling vraagt een vaste set: klachttrends per productfamilie, doorlooptijden van CAPA's, effectiviteitsbeoordelingen die over datum zijn, uitkomsten van interne audits en leveranciersprestaties. Wie die handmatig uit vier systemen knipt, heeft een rapportageproject.
De kaders waar dit systeem in past
ISO 13485:2016 is de actuele editie, de derde. In Europa geldt EN ISO 13485:2016+A11:2021, met de bijlagen ZA en ZB waarin per clausule staat welke eisen van de MDR en de IVDR wel, deels of niet worden afgedekt. Die bijlagen wijzen aan waar u meer moet doen dan de norm.
De verplichting komt uit MDR (EU) 2017/745. Artikel 10, lid 9 draagt fabrikanten op een kwaliteitsmanagementsysteem op te zetten, te onderhouden en continu te verbeteren, in verhouding tot risicoklasse en type hulpmiddel, en somt op wat het moet bestrijken: regelgevingsstrategie, risicomanagement, klinische evaluatie, wijzigingsbeheer, post-market surveillance en UDI.
Een notified body is een conformiteitsbeoordelingsinstantie die door een lidstaat is aangewezen en in de NANDO-database staat; in Nederland zijn dat er vier. Bij klasse I zonder steriliteit, meetfunctie of herbruikbaarheid verklaart u zelf de conformiteit; speelt dat wel, dan geldt onder bijlage IX van de MDR een surveillanceaudit ten minste jaarlijks en ten minste eens per vijf jaar een onaangekondigde audit. Markttoezicht ligt bij de IGJ.
Levert u buiten Europa, dan komt er meer bij: de Amerikaanse Quality Management System Regulation is per 2 februari 2026 van kracht en neemt ISO 13485:2016 door verwijzing op in 21 CFR part 820; via het Medical Device Single Audit Program kan één audit dienen voor Australië, Brazilië, Canada, Japan en de Verenigde Staten. Raakt uw systeem persoonsgegevens van patiënten, dan speelt daarnaast uw GDPR compliance-platform.
Test je idee eerst — werkend prototype in 1 dag
Met OneDayBuild maken we je idee in één dag tastbaar voor €950, zodat je weet of verdere ontwikkeling de investering waard is. Besluit je door te gaan met de volledige bouw? Dan verrekenen we de kosten volledig.
Bekijk OneDayBuild →De validatielast die bij u komt te liggen
Dit punt komt in gesprekken over zelfbouw vaak te laat aan bod. ISO 13485:2016 stelt in clausule 4.1.6 dat u de toepassing van computersoftware in uw kwaliteitssysteem valideert vóór ingebruikname en opnieuw na wijzigingen aan de software of de toepassing ervan, in een omvang die in verhouding staat tot het risico, met bewijsstukken die u bewaart.
Bij een gekocht eQMS levert de leverancier daarvoor een groot deel van het dossier mee. Bouwt u zelf, dan verschuift die last naar u, telkens wanneer een release een kwaliteitsproces raakt. Elke handige verbetering in de CAPA-workflow vraagt dan om een afweging, een testronde en een vastlegging.
Dat is te doen en soms de moeite waard, maar het is een structurele post in uw kwaliteitsorganisatie, geen projectkost. Wie hem niet inplant, ontdekt hem tijdens de eerste surveillanceaudit.
- Risicoklasse per systeemfunctie, met bijbehorende validatiediepte
- Testbewijs bij ingebruikname en bij elke rakende wijziging
- Een wijzigingsprocedure die bepaalt wanneer hervalidatie nodig is
- Validatierecords die de levensduur van het systeem overleven
Wanneer maatwerk niet het antwoord is
Voor een aanzienlijk deel van de medtech-organisaties is een gevalideerd eQMS de verstandigere keuze; het zou oneerlijk zijn dat niet te zeggen. Pakketten als Greenlight Guru, Qualio, MasterControl, Veeva Vault QMS en Matrix Requirements zijn opgebouwd rond de structuur van ISO 13485 en dragen een deel van de validatielast. Hebt u een gangbaar portfolio en processen die niet wezenlijk afwijken, dan is bouwen vrijwel altijd de duurdere en tragere route naar hetzelfde resultaat.
Maatwerk wordt pas een redelijke afweging in vier situaties. De eerste is een proces dat werkelijk afwijkt, bijvoorbeeld een organisatie die onder één systeem zowel hulpmiddelen produceert als een zelf gereguleerde dienst levert. De tweede is zware integratie, wanneer de vastlegging pas klopt als het systeem meekijkt met uw PLM, MES, productielijn of requirements-tooling. De derde is een pakket dat uw organisatie in een keurslijf dwingt, waardoor iedereen omwegen bouwt in Excel. De vierde is vastlopen op de roadmap van een leverancier.
Er bestaat een tussenvorm die vaak werkt: het standaardpakket blijft de vastlegging voor de kernprocessen en er wordt alleen gebouwd voor het deel dat afwijkt. Dat vraagt een koppelvlak dat de traceerbaarheid over de systeemgrens houdt, en twee omgevingen die beide onder 4.1.6 gevalideerd zijn. We beginnen daarom met de vraag waarin u afwijkt; blijkt daaruit dat een pakket beter past, dan zeggen we dat.
Veelgestelde vragen over medical QMS-software
De vragen die kwaliteitsmanagers stellen vlak voordat ze een keuze maken.
Voor veel medtech-organisaties is dat inderdaad de betere keuze. Pakketten als Greenlight Guru, Qualio, MasterControl, Veeva Vault QMS en Matrix Requirements zijn gebouwd rond de structuur van ISO 13485:2016 en worden geleverd met validatiedocumentatie. Maatwerk wordt pas logisch als uw processen echt afwijken, of als u zwaar moet integreren met eigen ontwikkel- of productiesystemen.
U, als fabrikant. ISO 13485:2016 vraagt in clausule 4.1.6 dat u de toepassing van computersoftware in het kwaliteitssysteem valideert vóór ingebruikname en opnieuw na wijzigingen, in verhouding tot het risico. Bij een gekocht eQMS levert de leverancier een groot deel van dat dossier mee; bouwt u zelf, dan stelt u het op bij elke release die een kwaliteitsproces raakt.
Zij beoordeelt uw processen, niet de software van uw leverancier. Wel vraagt zij naar uw validatiedossier onder clausule 4.1.6 en naar traceerbaarheid: kunt u een klacht volgen tot en met de effectiviteitsbeoordeling van de bijbehorende CAPA? Onder bijlage IX van de MDR gebeurt dat ten minste jaarlijks, en ten minste eens per vijf jaar onaangekondigd.
Meestal niet. Software die u bouwt rond processen die u nog niet hebt vastgesteld, legt de verkeerde processen vast en maakt ze daarna lastiger te veranderen. Krijg eerst uw procesarchitectuur op orde en automatiseer pas wat stabiel is gebleken. Wie naar een eerste certificaat toewerkt, is beter af met een gevalideerd standaardpakket.
Leg vooraf vast wie eigenaar is van de broncode, waar het validatiedossier ligt en in welk formaat u uw gegevens eruit krijgt, inclusief de audittrail en de verwijzingen tussen records. Vraag om documentatie die een andere partij kan lezen. Die vragen gelden net zo goed voor een pakketleverancier.
MDR (EU) 2017/745 verlangt in artikel 10 dat de technische documentatie, de EU-conformiteitsverklaring en eventuele certificaten ten minste tien jaar beschikbaar blijven nadat het laatste hulpmiddel op de markt is gebracht, en ten minste vijftien jaar bij implanteerbare hulpmiddelen. Voor het systeem betekent dat exporteerbare formaten en een migratiepad.
Gerelateerde diensten
Deze trajecten lopen het vaakst naast een kwaliteitssysteem.
Medical device software laten maken
Voor software die zelf een hulpmiddel is: ontwikkeling volgens IEC 62304, risicomanagement volgens ISO 14971 en technische documentatie voor markttoelating.
GDPR compliance-platform laten maken
Verwerkt u persoonsgegevens van patiënten, dan komen verwerkingsregister, bewaartermijnen en datalekregistratie erbij: een eigen dossier met eigen toezicht.
Bespreek waarin uw kwaliteitssysteem afwijkt
Vertel ons welke processen niet passen in wat een standaardpakket veronderstelt en welke systemen mee moeten kijken. We nemen door welk deel u beter koopt, welk deel bouwen rechtvaardigt en wat de validatie onder 4.1.6 van u gaat vragen.