שבע הבהרות של ה-FDA שלא כתובות בתוכנית הציות
את המבנה של תוכנית הציות החדשה כבר פירקתי כאן באפריל, במאמר שיטת הבדיקה החדשה של ה-FDA: כך נראות ביקורות QMSR בעידן שאחרי QSIT. את ההיערכות המעשית, כולל Cheat sheet לכל תחום, כתבתי ביולי באיך לצלוח ביקורת FDA בעידן ה-QMSR.
מי שלא קרא אותם, שם נמצא הבסיס: ששת תחומי ה-QMS, ארבע דרישות ה-FDA הנוספות, ושני מודלי הביקורת.
המאמר הזה עוסק במשהו אחר.
ב-1 באפריל 2026 קיים ה-FDA מפגש Town Hall ייעודי בשם Medical Device Risk-Based Inspections.
בחלק הגדול שלו הוצג מה שכבר כתוב בתוכנית הציות, אבל בשאלות ובתשובות נאמרו כמה דברים שלא מופיעים בשום מסמך רשמי, וחלקם משנים בפועל את מה שצריך לעשות בנהלים. אלה שבע ההבהרות שאני חושבת שהכי חשוב להכיר.
1. אין יותר דגימה סטטיסטית
חוקרי ה-FDA כבר לא מיישמים תוכניות דגימה סטטיסטיות. לפי סעיף 3.B.(3) בתוכנית הציות, החוקרים יבצעו סקירת רשומות ולא רק דגימה של רשומות.
בחירת הרשומות נעשית לפי סיכון המוצר שזוהה, לפי ניסיון החוקר ולפי שיקול דעתו המקצועי.
המשמעות המעשית היא שאי אפשר להסתמך על כך שתיק חלש לא ייבחר.
אם החוקר זיהה שהסיכון של המוצר מרוכז בתהליך עיקור מסוים, הוא יבקש את התיקים של אותו תהליך, גם אם מדובר בשלושה תיקים ברצף שכולם בעייתיים.
2. תקן ISO 14971 לא מאומץ בהפניה
ה-QMSR מאמץ בהפניה מחייבת את תקן ISO 13485:2016 ואת סעיף 3 של תקן ISO 9000:2015. הוא לא מאמץ את תקן ISO 14971.
ה-FDA הבהיר שאין כלי מחייב ואין חובה לניקוד מספרי, אבל נדרש תהליך שיטתי, מתועד וחוזר על עצמו שמתאים למכשיר.
בפועל כמעט כל יצרן עובד לפי ISO 14971 ממילא, כי זה מה ש-MDR דורש וזה מה שהנוטיפייד בודי בודק.
הנקודה המעשית היא לא לוותר על תקן 14971, אלא להבין שהחוקר לא יבדוק התאמה לתקן, אלא יבדוק אם התהליך שהגדרתם באמת מיושם ואם ההחלטות שנגזרו ממנו מתועדות.
3. תהליכים מנהליים: אין צורך בהערכת סיכון נפרדת
זו ההבהרה שחוסכת הכי הרבה עבודה מיותרת. סעיף 4.1.2(b) דורש גישה מבוססת סיכון בבקרת תהליכי מערכת האיכות, וזה כולל תהליכים מנהליים כמו בקרת מסמכים והדרכה. הרבה חברות הבינו מזה שהן צריכות לייצר הערכות סיכון נפרדות לכל תהליך מנהלי.
ה-FDA אמר במפורש שזה לא נדרש. במקום זה, ההחלטות צריכות להפנות לתיעוד ניהול הסיכונים הקיים של המוצר.
הדוגמה שניתנה: החלטה על תדירות הדרכה צריכה להתבסס על רמת הסיכון של תהליכי הייצור, ולא על הערכת סיכון עצמאית של ההדרכה.
איך זה נראה בנוהל. נוסח שלא עומד בדרישה:
הדרכה חוזרת מתבצעת אחת לשנתיים לכל העובדים.
נוסח שעומד בדרישה:
תדירות ההדרכה החוזרת נקבעת לפי רמת הסיכון של התהליך שהעובד מבצע, כמפורט בטבלת סיווג התהליכים. תהליכים מיוחדים ותהליכים שזוהו כאמצעי בקרת סיכון בקובץ ניהול הסיכונים: הדרכה חוזרת שנתית והסמכה מחדש. שאר התהליכים: הדרכה חוזרת אחת לשנתיים.
וטבלת סיווג התהליכים נגזרת מקובץ ניהול הסיכונים, שכבר קיים אצלכם.
אותו היגיון חל על תדירות מבדקי ספקים, על עומק חקירת תלונות ועל היקף תיקוף התהליכים.
4. מותר להשתמש בגישות סיכון שונות לתהליכים שונים
ה-FDA הבהיר שאפשר להשתמש בגישות הערכת סיכון שונות לחלקים שונים של מערכת האיכות, כל עוד הגישה מתאימה לסיכון הספציפי.
הדוגמאות שהוצגו:
תלונה על פגם קוסמטי מצדיקה עומק חקירה אחר מתלונה על נזק למטופל.
תהליך רכש של תכן או ייצור במיקור חוץ עשוי להיות בסיכון גבוה יותר מתהליך רכש של עיבוד שבבי שנעשה בבית.
התנאי היחיד הוא שההחלטה תהיה מתועדת.
ה-FDA הפנה לסעיף 4.2.5, בקרת רשומות, בהקשר הזה.
ההיגיון שהוביל להחלטה צריך להופיע במסמך עצמו, בצורה שקריאה למי שלא היה בדיון.
5. רשומות שנוצרו לפני 2 בפברואר 2026 לא דורשות שכתוב
אין צורך לעדכן או ליצור מחדש רשומות שנוצרו לפני כניסת ה-QMSR לתוקף, וגם לא להחליף מינוח ישן.
אם כתוב אצלכם Design History File, זה יכול להישאר.
ההקלה הזאת חלה על המינוח ועל הפורמט.
היא לא חלה על התוכן.
אם ניתוח פערים חושף פער ציות אמיתי, נדרשת תוכנית יישום שסוגרת אותו.
חברות שהשקיעו זמן בשינוי שמות מסמכים היו יכולות לוותר על זה ולהשקיע את אותו זמן בבדיקה אם התוכן עומד בדרישות.
6. מבדק נוטיפייד בודי לא מחליף מבדק פנימי
תעודת ISO 13485 ומבדק נוטיפייד בודי אינם שווי ערך לציות ל-QMSR.
ה-FDA אמר שמבדק נוטיפייד בודי יכול להשלים את המבדק הפנימי, והמידע שעולה ממנו יכול להיות בעל ערך, אבל הוא לא מחליף את דרישת המבדק הפנימי לפי סעיף 8.2.4. הם משרתים מטרות שונות ופועלים לפי נהלים שונים.
בנוסף, החוקרים לא עובדים לפי גישת ה-MDSAP. הם עובדים לפי תוכנית הציות 7382.850.
סטטוס MDSAP כן משפיע על סיווג סוג הביקורת, אבל לא על אופן ביצועה.
על השינויים ב-MDSAP שנוגעים ל-FDA כתבתי ב-MDSAP Audit Approach v10: מה השתנה ב-2 בפברואר 2026. (במועד כתיבת מאמר זה, גרסה 11 של ה-MDSAP משוחררת).
מה עושים עם זה?
אם תוכנית המבדק הפנימי שלכם נבנתה סביב תת-המערכות של QSIT, או שהיא מסתמכת על כך שהנוטיפייד בודי כבר בדק תחום מסוים, צריך לבנות אותה מחדש סביב ששת התחומים של תוכנית הציות. אפשר להשתמש בממצאי הנוטיפייד בודי כדי להחליט איפה להעמיק, וזה שימוש נכון בהם.
7. הרף לאכיפה לא השתנה, ואלה הדוגמאות ל-OAI
ה-FDA אמר במפורש שהרף לנקיטת פעולות ציות לא השתנה עם ה-QMSR.
מה שהשתנה הן הדוגמאות בתוכנית הציות, שמנוסחות עכשיו בשפת ISO 13485.
בין תשע הדוגמאות לממצא שתומך בדירוג OAI, שתיים נוגעות ישירות לניהול סיכונים:
כשל בהקמה, ביישום או בתחזוקה של תהליך אחד או יותר לניהול סיכונים במימוש המוצר, סעיף 7.1.
נתוני משוב ומעקב אחרי שיווק שאינם משמשים כקלט לניהול הסיכונים, סעיף 8.2.1.
דוגמה שלישית היא דפוס של ליקויים שחוצה תחום אחד או יותר.
זה רלוונטי במיוחד בשיטה החדשה, שבה כל ביקורת נוגעת בכל ששת התחומים ולכן דפוס כזה קל יותר לזיהוי.
הפער שה-FDA לא סגר - יצרני קבלן
עורכי הדין של Hyman, Phelps & McNamara הצביעו בבלוג שלהם על שאלה שה-FDA לא ענה עליה במפגש: איך יצרן קבלן (Contract Manufacturer), שאינו הבעלים של תיעוד ניהול הסיכונים של המוצר, אמור להדגים ציות למודל שכולו מבוסס על אותו תיעוד.
אם אתם יצרן קבלן, או שאתם מפעילים קבלן משנה (Subcontractor), כדאי להסדיר את זה בהסכם האיכות: מי מספק את מידע הסיכון, באיזה פורמט, מתי הוא מתעדכן, ומה קורה כשהערכת הסיכון משתנה. כל עוד אין הבהרה מה-FDA, הסכם האיכות הוא המקום שבו אפשר לסגור את הפער.
מה לעשות עם שבע ההבהרות האלה
עברו על הנהלים המנהליים, בקרת מסמכים, הדרכה, בקרת ספקים, וודאו שכל החלטה על תדירות, עומק או היקף מפנה לרמת סיכון ולא לערך שרירותי. זה שינוי של פסקה בכל נוהל.
בנו טבלת סיווג תהליכים שנגזרת מקובץ ניהול הסיכונים, והפנו אליה מכל הנהלים האלה.
בדקו שהנוהל שלכם לניהול סיכונים מגדיר מי אחראי, מתי הקובץ מתעדכן ומה מזין אותו.
בנו מחדש את תוכנית המבדק הפנימי סביב ששת התחומים.
הפסיקו לשנות שמות מסמכים ישנים, ובדקו במקום זה את התוכן שלהם.
במאמר הבא ניכנס לנושא שעומד מאחורי רוב הממצאים בשטח: שרשרת העקיבות של ניהול הסיכונים, איפה היא נקטעת, ואיך בודקים אותה לפני שחוקר עושה את זה במקומכם.