איך לצלוח ביקורת FDA בעידן ה-QMSR: המדריך האולטימטיבי עם Cheat sheet לכל נושא

עודכן ספטמבר 2026.

מאז פרסום המדריך פורסמו מכתבי האזהרה הראשונים תחת ה-QMSR, ובכולם מצוטט סעיף 7.1.

מאז שה-QMSR נכנס לתוקף ב-2 בפברואר 2026, ה-FDA הוציא לגמלאות את ה-QSIT הוותיק והחליף אותו ב-Compliance Program 7382.850. במקביל שולב ISO 13485:2016 בהפניה לתוך 21CFR Part 820.

התוצאה: ביקורת שמאורגנת אחרת, נעה אחרת, ובודקת דברים שקודם לא היו בהישג ידה.

מאז כניסת התקנה לתוקף כבר יש נתונים אמיתיים על מה ה-FDA מוצא, ואיפה חברות נופלות.

הנה מדריך מעשי לצליחה של ביקורות FDA, אבל קודם נדבר על התמונה הגדולה, אחר כך נסקור את הממצאים האמיתיים מהשטח, ואז אתן לכם Cheat sheet קצר ופרקטי לכל אחד מהנושאים שאתם צריכים לצלוח.

גזרו, הדביקו על הקיר, והשתמשו בזה בהיערכות שלכם לביקורת הבאה.

התמונה הגדולה: איך הביקורת בנויה עכשיו

הביקורת מאורגנת סביב שישה תחומי מערכת איכות, בתוספת ארבע דרישות FDA נוספות (OAFRs) ותחומים כלליים שנשארים בתוקף (רישום החברה, רישום מוצרים, אישור שיווק, היסטוריית ציות).

ששת תחומי מערכת האיכות:

  1. פיקוח הנהלה (Management Oversight)

  2. מדידה, ניתוח ושיפור (Measurement, Analysis and Improvement)

  3. עיצוב ופיתוח (Design and Development)

  4. בקרת שינויים (Change Control)

  5. מיקור חוץ ורכש (Outsourcing and Purchasing)

  6. ייצור ומתן שירות (Production and Service Provisions)

ארבע דרישות ה-FDA הנוספות (OAFRs):

  1. דיווח לרשויות - MDR

  2. תיקון והסרה מהשוק (Corrections and Removals)

  3. מעקב אחר מכשירים (Device Tracking, כשרלוונטי)

  4. UDI

שימו לב לשינוי מבני חשוב אחד:

תת-מערכת ה-CAPA הישנה פוצלה.

פעולה מתקנת, ניתוח נתונים ופעולה מונעת הן כעת תחומי הערכה נפרדים בתוך מדידה, ניתוח ושיפור.

אי אפשר יותר "לסמן וי" על CAPA כקופסה אחת.

ועוד שינוי אחד שמשפיע על ההיערכות: החוקרים כבר לא מיישמים תוכניות דגימה סטטיסטיות.

לפי סעיף 3.B.(3) בתוכנית, בחירת הרשומות נעשית לפי סיכון המוצר שזוהה ולפי שיקול דעתו המקצועי של החוקר.

המשמעות למי שנערך היא שאין תיק שאפשר להניח שלא ייבחר, וכל הרשומות בתהליך שזוהה כבעל סיכון גבוה צריכות להיות ברמה אחידה.

שני מודלי הביקורת: תדעו לאיזה אתם נכנסים

זה אולי הדבר הכי מעשי להבין, כי הוא קובע כמה עמוק החוקר יחפור. ה-FDA עובד עם שני מודלים:

מודל

מתי הוא חל

עומק הבדיקה

מודל 1

פיקוח שאינו בסיסי (surveillance שגרתי), מעקב ציות, ביקורת לסיבה מיוחדת (for cause), הקצאת סיכון ספציפי למוצר (SPRA), וביקורת PMA שלאחר אישור

לפחות אלמנט אחד בכל אחד מששת התחומים, ולפחות אלמנט אחד בכל OAFR רלוונטי.

מודל 2

פיקוח בסיסי (baseline, כולל ביקורת ראשונה שמבססת קו בסיס) וביקורת PMA שלפני אישור

רשימת אלמנטים מינימליים מוגדרת לכל תחום, כפי שהיא מופיעה ב-Figure 2 של תוכנית הציות

הטעות הנפוצה היא להתכונן עם צ'קליסט אוניברסלי. חברה לפני ביקורת ראשונה או לפני אישור PMA נמצאת במודל 2, כלומר בדיקה מקיפה של כל האלמנטים, ולכן צריכה היערכות עמוקה משמעותית מזו של חברה ותיקה בפיקוח שגרתי במודל 1.

זהו את המודל הצפוי לכם, והתאימו את עומק ההיערכות אליו.

מה ה-FDA באמת מוצא: חמשת הממצאים המובילים

לפי Keisha Thomas, סגנית מנהל במשרד להערכת מוצרים ואיכות (OPEQ) ב-FDA, אלה תחומי הליקויים שחוזרים הכי הרבה ב-Form 483 בביקורות ה-QMSR הראשונות, לפי סדר השכיחות:

  1. ניהול סיכונים (המקום הראשון, בפער)

  2. מיקור חוץ ורכש

  3. טיפול בתלונות ומשוב

  4. UDI

  5. פעולות מתקנות

המשפט שסיכם את הכל מפי ה-FDA היה "risk, risk, risk, risk".

ניהול סיכונים הוא הציר שכל השאר נתלה עליו.

אם תזכרו דבר אחד מהמדריך הזה, שיהיה זה: החוקר מצפה שסיכון יהיה נוכח בכל החלטה ובכל תהליך במערכת האיכות.

עכשיו לעיקר. לכל נושא ה-Cheat sheet שלו.

Cheat sheet 1: ניהול סיכונים (הליקוי מספר 1)

מה החוקר בודק: האם קובץ ניהול הסיכונים חי ומתעדכן, והאם מידע שלאחר שיווק (post-market) זורם בחזרה אליו באופן רציף.

ה-FDA סוקר את קובץ הסיכונים עוד לפני שהוא מגיע לאתר.

איך להיערך:

  • ודאו שקובץ הסיכונים הוא מסמך חי, לא מסמך שנחתם פעם אחת ונשכח.

  • הראו קשר מפורש: תלונה או סטייה אחרונה שהובילה להערכת סיכון מחדש ומתועדת.

  • ודאו שכל החלטת סיכון מגובה בראיה אובייקטיבית, לא ב"נמשיך לנטר" ריק.

  • בדקו שכל תהליך מרכזי במערכת האיכות מפנה לניהול הסיכונים ומושפע ממנו.

  • ל-combination products: ודאו עמידה בדרישות ניהול הסיכונים ומימוש המוצר לפי 21CFR Part 4.4.

Cheat sheet 2: מיקור חוץ ורכש (הליקוי מספר 2)

מה החוקר בודק: האם בקרת הספקים מבוססת סיכון, או תבנית גנרית שמתייחסת לכל הספקים אותו דבר.

איך להיערך:

  • יישמו הסמכה וניטור מדורגים לפי סיכון. חוזה עם מעקר קריטי דורש בקרה אחרת מספק אריזה.

  • הימנעו מתבניות אחידות לכל הספקים. החוקר מזהה גישה של "העתק הדבק" מיד.

  • ודאו שרשומות פיקוח הספקים משקפות בקרה יזומה, לא פעולות תגובתיות בדיעבד.

  • היו מוכנים להציג את דוחות ביקורת הספקים עצמם (ראו Cheat sheet 6, זה שינוי משמעותי).

Cheat sheet 3: טיפול בתלונות ומשוב (הליקוי מספר 3)

מה החוקר בודק: האם שרשרת התלונה שלמה ומחוברת, מהקליטה ועד ה-CAPA וניהול הסיכונים.

איך להיערך:

  • חזקו את דרישות הקליטה: מזהה מכשיר - UDI, אופן הכשל, ובהירות לגבי ההשפעה.

  • חדדו את כללי ההסלמה: מתי תלונה הופכת לחובת דיווח - MDR, מתי היא מפעילה CAPA.

  • תעדו איך תלונה שנסגרה מזינה החלטות בניהול סיכונים וב-CAPA.

  • בדקו את השרשרת מקצה לקצה: תלונה, משוב, ניתוח נתונים, CAPA, ומבדק פנימי שבודק אפקטיביות. אם השרשרת נשברת בנקודה כלשהי, מצאתם פער לפני החוקר.

Cheat sheet 4: ה-UDI (הליקוי מספר 4)

מה החוקר בודק: האם ה-UDIs עקביים בכל המערכות והתצורות בפועל.

איך להיערך:

  • התאימו את ה-UDIs בין התיוג, המערכות הפנימיות, מאגר GUDID, והתצורות המשווקות בפועל.

  • עדכנו את ה-UDIs בכל פעם שתצורת דגם או אריזה משתנה.

  • בצעו התאמה (reconciliation) יזומה לפני הביקורת, לא אחרי שהחוקר מצביע על פער.

Cheat sheet 5: פעולות מתקנות/CAPA (הליקוי מספר 5)

מה החוקר בודק: עומק חקירת שורש שמתאים לחומרת הבעיה, והאם CAPA מחובר לשאר המערכת.

איך להיערך:

  • התאימו את עומק חקירת השורש לחומרת הבעיה. בעיה חמורה דורשת חקירה עמוקה יותר.

  • העריכו השלכות חוצות-מוצר וחוצות-ספק (Horizontal analysis) לפני סגירת הפעולה המתקנת

  • זכרו שהתחום פוצל: פעולה מתקנת, ניתוח נתונים ופעולה מונעת נבדקים בנפרד. ודאו שכל אחד מהם עומד בפני עצמו.

  • אם יצאתם מסיווג OAI (Official Action Indicated) או VAI (Voluntary Action Indicated) קודם: ודאו שהפעולות המתקנות עומדות ב-QMSR, לא ב-QSR הישן.

Cheat sheet 6: רשומות שה-FDA יכול כעת לעיין בהן (שינוי דרמטי)

מה השתנה: ה-FDA יכול כעת לעיין בדוחות מבדקים פנימיים, בתוצאות מבדקי ספקים וברשומות סקרי הנהלה. עד עכשיו אלה היו מחוץ לתחום. זה מצמצם את הפער בין הלך הרוח שהיה לביקורת FDA לבין זה שהיה ל-ISO או MDSAP.

איך להיערך:

  • ודאו שרשומות סקרי ההנהלה מלאות, אמינות ועקביות פנימית, ומשקפות מערכת שבאמת עובדת.

  • תרגיל מומלץ: קחו את שלוש רשומות סקרי ההנהלה האחרונות, והדגישו כל החלטה. על כל אחת שאלו: האם אני יכולה לקשור אותה לראיה אובייקטיבית? אם אותם סיכונים עולים רבעון אחרי רבעון בלי פעולה ברורה, קשה מאוד להגן על זה כשהרשומה פתוחה לעיון.

  • קיראו מחדש את דוחות המבדקים הפנימיים בעיניים של חוקר FDA: האם הם מזהים את אותן בעיות שצצות אחר כך בתלונות או באי-התאמות? אם לא, המבדק הפנימי לא באמת בודק אפקטיביות.

Cheat sheet 7: תרבות איכות ואפקטיביות הדרכה (מה שה-FDA בוחן בעקיפין)

מה החוקר בודק: תרבות איכות משתקפת בהחלטות ובפעולות, לא במסמך ייעודי. אפקטיביות ההדרכה נמדדת מול רמת הסיכון.

איך להיערך:

  • אל תבנו "מסמך תרבות איכות". ה-FDA מחפש לראות שההחלטות והפעולות בפועל משקפות קבלת החלטות מבוססת סיכון.

  • אל תייצרו הערכות סיכון נפרדות לתהליכים מנהליים. ה-FDA אמר במפורש שזה לא נדרש. במקום זה, כל החלטה על תדירות, עומק או היקף בנוהל מנהלי צריכה להפנות לרמת הסיכון בקובץ ניהול הסיכונים של המוצר. לדוגמה: תדירות ההדרכה החוזרת נגזרת מרמת הסיכון של התהליך שהעובד מבצע, ולא מערך אחיד לכל העובדים.

  • התאימו את הוכחת אפקטיביות ההדרכה לרמת הסיכון: תהליכים בסיכון גבוה דורשים ראיות חזקות (הערכת מפקח, מבחני מיומנות, הדגמה מעשית, ניטור ביצועים). מבחן ידע פשוט לבדו לא מספיק.

  • ודאו שההחלטות מבוססות הסיכון "מוצדקות ומתועדות היטב". זה הביטוי המדויק שה-FDA מחפש.

Cheat sheet 8: הערכות רגולטוריות מרחוק (RRA)

מה השתנה: ה-FDA שילב הערכות רגולטוריות מרחוק (RRAs) בארגז הכלים. RRA היא לא ביקורת מבחינה משפטית, אבל היא דרך נוספת של ה-FDA לאסוף מידע ולעצב צעדים בלי בהכרח להתחיל באתר.

איך להיערך:

  • אל תיערכו רק לחוקר שמגיע לדלפק הקבלה. המעורבות של ה-FDA יכולה להתחיל מרחוק.

  • חזקו בקרת מסמכים וזמינות רשומות: מה שמתבקש על-ידי החוקר צריך להיות נגיש במהירות.

  • הגדירו בעלות ברורה על התגובה: מי אחראי לספק מה, ומי מתאם.

  • תרגלו תגובה מאורגנת, בזמן ועקבית, בין אם האינטראקציה מתחילה באתר ובין אם מרחוק.

Cheat sheet 9: ה-MDSAP הוא לא מגן

מה לזכור: MDSAP נשאר רלוונטי, וה-FDA ממשיך להשתמש בו במקום חלק מביקורות הפיקוח. אבל הוא לא הופך אתכם לבלתי נראים.

איך להיערך:

  • אל תניחו ש-MDSAP מוריד אתכם מהרדאר. ה-FDA עדיין יכול לבצע ביקורת for cause, סביב פעילות PMA, או סביב חשש ממוצר ספציפי.

  • אם תחום המוצר שלכם הפך לנקודת מיקוד של ה-FDA - זה שיש לכם MDSAP לא ימנע תשומת לב של ה-FDA.

  • התייחסו ל-MDSAP כחלק מנוף הפיקוח, לא כמחסה ממנו.

הצ'קליסט המסכם: מה לעשות עכשיו

לפני שהחוקר מתיישב מולכם (באתר או מרחוק), עברו על אלה:

  • החליפו את צ'קליסט ה-QSIT הישן בהיערכות שמבוססת על ששת התחומים ועל Compliance Program 7382.850.

  • בצעו mock audit לפי המסגרת החדשה, כולל שני מודלי הביקורת.

  • בצעו ניתוח פערים על רשומות שנוצרו לפני 2 בפברואר 2026, וודאו שהן עומדות ב-QMSR.

  • זהו את מודל הביקורת הצפוי לכם (1 או 2) והתאימו את עומק ההיערכות.

  • הכינו לעיון את רשומות סקר ההנהלה, מבדקים פנימיים ומבדקי הספקים, כאילו חוקר FDA עומד לקרוא אותן.

  • בידקו את החיבורים בין תלונות, משוב לקוחות, ניתוח נתונים ו-CAPA.

  • שימו את ניהול הסיכונים במרכז. זה הליקוי מספר 1, וזה הציר שהחוקר עוקב אחריו.

  • הכינו את הצוות להערכה מרחוק ולכך שהחוקר עשוי לבחון כל דבר שנדרש כדי לוודא שהתהליכים אפקטיביים.

שורה תחתונה

אם אתם לוקחים שלושה דברים מהמדריך הזה, שיהיו אלה:

סיכון הוא שם המשחק. זה הליקוי מספר 1, וזה מה שהחוקר מחפש בכל תחום. אם קובץ הסיכונים שלכם לא חי ולא מחובר לתלונות, ל-CAPA ולסקרי ההנהלה, שם תיפלו. תתקנו את זה קודם.

מה שהיה סגור בפני ה-FDA, פתוח עכשיו. סקר הנהלה, מבדק פנימי ומבדק ספקים כבר לא מוגנים. תעברו עליהם היום בעיניים של חוקר, ותתקנו את מה שלא יחזיק מים כשחוקר FDA יקרא אותו.

תדעו לאיזו ביקורת אתם נכנסים. חברה לפני ביקורת ראשונה או לפני PMA (מודל 2) צריכה היערכות עמוקה בהרבה מחברה ותיקה בפיקוח שגרתי (מודל 1). אל תתכוננו עם צ'קליסט אחיד לכולם.

ה-FDA עדיין FDA, וסמכות האכיפה לא רוככה בכהוא זה. מה שהשתנה זה שהחוקר רואה יותר ובודק עמוק יותר איך החלקים מתחברים. אל תבזבזו אנרגיה על הוויכוח אם הביקורות "באמת השתנו". פשוט תשבו, תריצו את הצ'קליסטים למעלה, ותסגרו את הפערים לפני שהחוקר מוצא אותם בשבילכם.