Wie man wirksame und konforme interne Auditprogramme, Audits und Auditverfahren einrichtet und mit ISO 19011 in Einklang bringt.

Für viele Unternehmen der Medizintechnik, die ein Managementsystem nach ISO 13485 einführen, steht die interne Auditierung der unterstützenden Prozesse nicht im Vordergrund. Viele Unternehmen haben keine internen Auditprogramme, bevor sie mit der Umsetzung der ISO 13485 beginnen, und andere haben Teilprogramme, die sich nur auf bestimmte Entwicklungs-, Herstellungs- oder Dienstleistungsprozesse konzentrieren.

In diesem Blog möchten wir eine Anleitung für die Implementierung eines effektiven Auditprogramms geben und die Möglichkeiten erkunden, die sich aus seiner Implementierung und Verwaltung ergeben. Diese Möglichkeiten beziehen sich sowohl auf Organisationen, die sich im Prozess der Systemeinführung befinden, als auch auf solche mit ausgereiften Qualitätsmanagementsystemen und internen Auditprogrammen.

Audit-Programm
Die Durchführung wirksamer interner Audits ist entscheidend für den effektiven Betrieb des Qualitätsmanagementsystems (QMS). Mit Hilfe der Rückmeldungen aus solchen Audits und anderen Informationsquellen, wie z. B. Beschwerden und Serviceprotokollen, schließt die Organisation die Rückkopplungsschleife, um sicherzustellen, dass die QMS-Prozesse unter Kontrolle sind.

Die Planung des internen Auditprogramms sollte Änderungen des Schwerpunkts und der Intervalle auf der Grundlage des damit verbundenen Risikos ermöglichen, wie es in der ISO 13485 (Abschnitt 8.2.4) gefordert wird:

Ein Auditprogramm muss unter Berücksichtigung des Status und der Bedeutung der zu auditierenden Prozesse und Bereiche sowie der Ergebnisse früherer Audits geplant werden.

In den meisten Organisationen werden die Begriffe "Auditprogramm", "Auditplan", "Auditzeitplan", "Auditagenda" usw. falsch verstanden, weil die Existenz der ISO 19011 (Leitlinien für die Auditierung von Managementsystemen) nicht bekannt ist, obwohl sie im Abschnitt über interne Audits in der Norm genannt wird. Wir empfehlen Herstellern dringend, sich mit der ISO 19011 vertraut zu machen, da sie detailliertere Informationen liefert.

Die ISO 19011 definiert das Auditprogramm wie folgt:

Auditprogramm - Vereinbarungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind.

Im Grunde listet das Auditprogramm alle internen Audits auf, die von der Organisation für einen bestimmten Zeitraum geplant sind, z. B. 1 Jahr oder 3 Jahre. Organisationen können ein allgemeines Auditprogramm aufstellen, das sowohl interne Audits als auch alle externen Audits durch benannte Stellen, Kunden, Lieferanten usw. umfasst. Die ISO 13485 verlangt jedoch ein Auditprogramm nur für interne Audits.

Das Auditprogramm muss mindestens die in der ISO 13485 geforderten Auditkriterien, den Umfang, das Intervall und die Methoden enthalten, wobei die ISO 19011 empfiehlt, Faktoren wie das Ziel, den Umfang und die Dauer jedes Audits und die Anzahl der durchzuführenden Audits, die Berichterstattungsmethode und gegebenenfalls das Audit-Follow-up, die Ergebnisse früherer Audits und früherer Programmüberprüfungen, sprachliche, kulturelle und soziale Fragen, das Auftreten interner und externer Ereignisse wie Nichtkonformitäten von Produkten oder Dienstleistungen, Lecks in der Informationssicherheit, Gesundheits- und Sicherheitsvorfälle usw. zu berücksichtigen.

Wir empfehlen, die folgenden Punkte in das Auditprogramm aufzunehmen:

• Art des Audits
• Prozess(e)/Produkt(e) im Geltungsbereich des Audits
• (Leitender) Auditor(en)
• Geplantes Datum
• Durchführungsdatum
• Audit-Nr. (zur internen Nachverfolgung)
• Häufigkeit (einmal in 1, 2 oder 3 Jahren oder mehr als einmal pro Jahr)
• Auditkriterien (die Anforderungen, die als Referenz dienen, mit denen objektive Nachweise verglichen werden).
• Auditmethoden (z. B. Vor-Ort- oder Fernaudit, Befragung der Auditierten, Einsichtnahme in Dokumente und Aufzeichnungen sowie Produktionsbesuche unter Aufsicht).

Wichtig ist hierbei, dass die Häufigkeit der Audits entsprechend der Bedeutung des Prozesses, dem Status und den Ergebnissen früherer Audits festgelegt wird. Das folgende Beispiel zeigt, dass die Bedeutung des Prozesses für das QMS und der Status des Prozesses im letzten Jahr die Häufigkeit der Audits für diesen speziellen Prozess im QMS der Organisation bestimmen.

Die Organisation kann die Häufigkeit auch aufgrund von Änderungen am Produkt oder Prozess erhöhen. So könnte beispielsweise eine größere Änderung an einem Produkt oder Prozess ein gezieltes Audit in einem bestimmten Bereich oder einer Reihe von Anforderungen erforderlich machen. Um dies zu unterstützen, könnte die Organisation z. B. zusätzlich zum geplanten Audit ein gezieltes Audit des Design- und Entwicklungsprozesses für ein bestimmtes Produkt durchführen.

Ein internes Auditprogramm wird in der Regel jedes Jahr festgelegt und im Rahmen der Managementbewertung bestätigt. Alle Prozesse/Bereiche müssen durch mindestens ein internes Audit während eines Zertifizierungszyklus abgedeckt werden, der auf 3 Jahre ausgedehnt werden kann.

Die nächste wichtige Definition stammt aus der ISO 19011:

Auditplan - Beschreibung der Aktivitäten und Vorkehrungen für ein Audit.

Ein interner Auditplan muss für jedes interne Audit separat erstellt werden, wobei der Status und die Bedeutung der zu auditierenden Prozesse und Bereiche zu berücksichtigen sind. In der Regel wird im internen Auditplan Folgendes festgelegt:

• Geprüfte Stelle(n). Die Organisation als Ganzes oder Teile davon werden gemäß der Definition in ISO 19011 auditiert. Obwohl es sich bei der/den auditierten Stelle(n) in der Regel um Mitarbeiter der Medizinprodukteherstellung handelt.
• Audit-Nummer. Die eindeutige Nummer des Audits.
• Ziele des Audits. Das interne Audit hat drei Hauptziele: die Überprüfung der Einhaltung der Normen und Vorschriften, die Überprüfung der Einhaltung des eigenen QMS und die Ermittlung von Verbesserungsmöglichkeiten.
• Umfang des Audits. Der Umfang des internen Audits muss festgelegt werden. Er umfasst in der Regel eine Beschreibung der physischen und virtuellen Standorte, Funktionen, Organisationseinheiten, Tätigkeiten und Prozesse sowie des erfassten Zeitraums.
• Audit-Kriterien. Die übergreifenden Auditkriterien werden durch das interne Auditprogramm festgelegt und etwaige auditspezifische Anforderungen dokumentiert (z. B. produktspezifische Normen).
• Audit-Team. Name(n) und Rolle(n)/Funktion(en) der Mitglieder des Auditteams (Auditoren und technische Experten). Der Leiter des Auditteams (leitender Auditor) wird benannt.
• Audit-Termin(e). Datum/Daten, an dem/denen das Audit durchgeführt wird.
• Audit-Agenda. Zeitplan für die internen Audittätigkeiten.
• Audit-Dokumentation. Dokumente/Aufzeichnungen, die zur Vorbereitung des internen Audits erforderlich sind (z. B. Qualitätshandbuch, interne Auditverfahren, frühere interne Auditberichte).
• Audit-Methodik (Überprüfung von Dokumenten/Aufzeichnungen, Interviews, Fern-/Vor-Ort-Audit, ...)

Die Auditagenda ist somit ein Element des Auditplans, das in der Regel Datum, Uhrzeit, Thema (Prozess(e)), Auditor(en), geprüfte Person(en) und Ort des Audits festlegt.

Der interne Auditplan muss mit dem genehmigten Auditprogramm übereinstimmen und wird dem Management, das für die Prozesse/Bereiche oder Produkte verantwortlich ist, im Voraus mit einem festgelegten Zeitrahmen (z. B. mindestens zwei bis drei Wochen vorher) zugestellt.

Internes Auditteam
Die Entwicklung einer geeigneten Strategie für interne Audits ist eine der wichtigsten ersten Aufgaben. Dazu gehört auch die Festlegung, wer die Audits durchführen soll, wie die Auditoren geschult werden sollen und wie häufig die Audits durchgeführt werden sollen. Der Grad der Intensität und Häufigkeit der internen Audits trägt dazu bei, die Größe des Auditteams und den Schulungsbedarf zu bestimmen.

Größere und hochdynamische Medizinprodukteunternehmen profitieren in der Regel von häufigeren Audits, während kleinere Unternehmen einen entspannteren Zeitplan einhalten können. Eine Organisation, die häufigere Audits benötigt, kann wiederum von einem größeren Pool an geschulten Auditoren profitieren. Dies würde die Gesamtzeit, die jeder Auditor für ein Audit aufwendet, minimieren und die Unparteilichkeit des Auditprozesses erhöhen.

Die Prüfer dürfen keine Verantwortung in den von ihnen geprüften Bereichen haben. Es ist jedoch von strategischem Vorteil, Prüfer auszuwählen, deren Abteilungen einen Bezug zu den von ihnen geprüften Bereichen haben. So könnte z. B. ein Einkäufer den Versand und die Eingangskontrolle auditieren, die F&E-Abteilung könnte die Fertigung auditieren, und die Fertigung könnte die Qualitätsaspekte des QMS auditieren, usw. Die Prüfung einer eng verwandten Abteilung ermöglicht es den Auditoren, eingehende Kenntnisse über die Prozesse dieser Abteilungen zu erlangen, die später zur Verfeinerung und Verbesserung des Managementsystems beitragen können.

Schulungen und Qualifikationen der internen Auditoren
Alle internen Auditoren müssen für die Durchführung von Audits geschult werden. Eine wirksame Auditorenschulung ist wahrscheinlich eine der größten Wertschöpfungsmöglichkeiten, die Unternehmen in Bezug auf ihr QMS haben. Die Schulung sollte der Komplexität der zu auditierenden Bereiche angemessen sein und eine Schulung über die internen Auditverfahren und -systeme des Unternehmens sowie eine Schulung über die geltenden Auditkriterien umfassen. Die Auditoren und alle Mitarbeiter sollten verstehen, dass interne Audits Systemaudits und keine Personenaudits sind.

Einige Medizinprodukteunternehmen schicken ihre Mitarbeiter zu externen Schulungen für interne Auditoren, andere schulen und qualifizieren sie intern. Beide Optionen haben ihre Vor- und Nachteile. Die Möglichkeit, interne Auditoren auszubilden und zu wechseln, bietet zweifellos zusätzliche Vorteile. In vielen Unternehmen der Medizintechnik zum Beispiel verbringen die Mitarbeiter ihre gesamte Karriere in einer einzigen Position. Die Ausbildung zum internen Auditor hilft und ermöglicht es einem Mitarbeiter, eine wichtige Rolle bei der Aufrechterhaltung des Qualitätsmanagementsystems des Unternehmens zu spielen, was zu mehr Abwechslung am Arbeitsplatz führt und die Arbeitszufriedenheit potenziell erhöht.

Die Anforderungen an die Qualifikation der Auditoren können im Verfahren für interne Audits oder in den Personalverfahren beschrieben werden, und die Aufzeichnungen müssen aufbewahrt werden und bei Bedarf für externe Audits zur Verfügung stehen.

Wird das interne Audit von externen Auditoren durchgeführt, sind auch deren Ausbildung und Kompetenzen festzulegen, und in der Praxis müssen externe Auditoren von einem qualifizierten Anbieter stammen. Für die internen Auditoren muss ein Nachweis über ihre Qualifikation geführt werden (Lebenslauf, Zeugnisse, ...) und sie müssen in Ihrem internen Auditverfahren geschult werden.

Durchführung von internen Audits
Das Audit beginnt mit einer Eröffnungsbesprechung mit der/den geprüften Stelle(n) und/oder dem für den geprüften Bereich zuständigen Management, dem Auditteam und ggf. dem/den Managementvertreter(n). Während der Eröffnungssitzung ist der Auditplan zu bestätigen, und das Auditteam erläutert die Klassifizierung der Auditergebnisse und das Berichtsverfahren.

Interne Audits sollten nicht nur anhand einer ISO 13485-Norm oder 21 CFR Part 820 durchgeführt werden, sondern vielmehr anhand der QMS-Prozesse der Organisation, obwohl Mechanismen zur Bewertung der Angemessenheit eines Managementsystems zur Erfüllung internationaler Normen in interne Auditsysteme integriert werden können.

Die qualifizierten Auditoren sollten dem ursprünglichen Auditplan folgen, um das Qualitätsmanagementsystem zu überprüfen. In der Regel ist es von Vorteil, zunächst einen intensiven Plan und eine Agenda zu entwickeln, um ausschließlich die Umsetzung des Qualitätsmanagementsystems zu überprüfen. Sobald das Unternehmen Vertrauen in die Umsetzung des Systems gewonnen hat, sollte es einen Plan entwickeln, der die Bereiche, die am meisten Aufmerksamkeit erfordern, intensiver abdeckt. Bei Organisationen mit ausgereiften QMS können diese Bereiche auf der Grundlage der Ergebnisse früherer Audits sowie der relativen Bedeutung für die Ziele des Qualitätsmanagementsystems gewichtet werden.

Viele Unternehmen verwenden Audit-Checklisten, um die Auditoren durch die Prüfung bestimmter Prozesse und Abteilungen zu leiten. Diese Checklisten helfen bei der Erstellung von Prüfpfaden, indem sie den Prüfer auffordern, verwandte Systeme zu überprüfen, und sie zeigen externen Prüfern oft genau, was interne Prüfer untersucht haben. Wir empfehlen den Herstellern nicht, sich jedes Jahr an dieselben Checklisten zu halten, um zu verhindern, dass die internen Auditoren den ganzheitlichen und umfassenden Überblick über den Stand der Qualitätsmanagementprozesse verlieren.

Die vom Auditteam gesammelten Informationen werden mit Hilfe der im Auditprogramm und -plan dokumentierten Auditmethodik erhoben (siehe oben). Die Auditergebnisse werden in den Audit-Notizen und der Checkliste dokumentiert und die letzten Auditergebnisse werden vom Auditteam am Ende des Audits während der Abschlussbesprechung am letzten internen Audittag zusammengefasst und den Anwesenden vorgestellt. Etwaige Meinungsverschiedenheiten zwischen dem Auditteam und der geprüften Stelle in Bezug auf die Auditergebnisse oder Schlussfolgerungen sollten in der Abschlussbesprechung erörtert und, wenn möglich, ausgeräumt werden. Falls dies nicht möglich ist, sollte dies protokolliert werden.

Überprüfung der Ergebnisse
Nach der Durchführung von Audits sollten die Ergebnisse überprüft und untergeordnet werden. Einige Feststellungen können die Anwendung des Systems für Abhilfemaßnahmen erforderlich machen, bei anderen kann es sich um einfachere Korrekturen handeln. Solche Maßnahmen werden in der Regel von der geprüften Stelle innerhalb eines vereinbarten Zeitrahmens beschlossen und durchgeführt. Es war nie die Aufgabe der Prüfer, die Feststellungen weiterzuverfolgen und die Pläne für Abhilfemaßnahmen zu genehmigen, sondern die geprüfte Stelle sollte die für das Prüfungsprogramm zuständige(n) Person(en) und/oder das Prüfungsteam über den Stand dieser Maßnahmen informieren. Der Abschluss und die Wirksamkeit dieser Maßnahmen sollten überprüft werden. Diese Überprüfung kann Teil eines nachfolgenden Audits sein. Die Ergebnisse der Prüfungen und Abhilfemaßnahmen sollten in die Managementbewertungen einfließen, um den internen Prüfungskreislauf zu schließen.

Abschließend möchten wir betonen, dass von allen Elementen des Qualitätsmanagementsystems das interne Audit den größten Zeit- und Arbeitsaufwand verursacht, sobald ein System eingeführt ist. Die optimale Nutzung interner Audits kann zu einer stärkeren Einbeziehung der Mitarbeiter führen, die Arbeitszufriedenheit verbessern und mehr Möglichkeiten zur kontinuierlichen Verbesserung des bestehenden Systems bieten. Die Auditoren von Qserve verfügen über umfangreiche Erfahrungen bei der Einführung wirksamer Auditprogramme und der Durchführung interner Audits. Zögern Sie nicht, Ihre internen Audits auszulagern und Ihr internes Auditsystem noch heute zu verbessern.