Yılların paslanmaz işleme atölyesi, bir hastane grubuna cerrahi alet gövdesi üretmek için teklif verdi ve teklif kabul edildi. Şartnamede tek bir satır vardı: "Tedarikçi ISO 13485 belgeli olacaktır." Kalite müdürü rahat bir yüz ifadesiyle geldi, elinde ISO 9001 belgesi vardı ve "zaten sistemimiz kurulu, ek belge alırız" dedi. Altı ay sonraki belgelendirme denetiminden çıkan uygunsuzlukların neredeyse tamamı, mevcut kalite yazılımının hiç hesaba katmadığı başlıklardaydı. ISO 13485 ile ISO 9001 farkı, uzaktan bakıldığında birkaç ek maddeymiş gibi görünür; sahada ise kayıt düzeninizin tamamını değiştirir.
İki standart aynı aileden ama aynı mantıkta değil
ISO 9001:2015, üst düzey yapıya (High Level Structure) göre yazılmış, risk ve fırsat temelli, sürekli iyileştirmeyi merkeze alan bir standarttır. ISO 13485:2016 ise bilinçli olarak eski yapıda bırakıldı; sekiz ana maddeli, doküman ve kaydı ayrı ayrı tanımlayan, sürekli iyileştirmeden çok sistemin etkinliğini koruma üzerine kurulu bir standarttır. ISO 13485 ile ISO 9001 farkı daha standardın yazılış felsefesinde kendini belli eder. Bu tercih tesadüf değil: düzenleyici otoriteler bir tıbbi cihaz üreticisinden yenilik değil, kararlılık ve kanıt bekler.
Pratikte bunun anlamı şudur: ISO 9001'de "müşteri memnuniyetini artırdık mı?" diye sorarsınız, ISO 13485'te "ürün mevzuata uygun mu ve bunu kanıtlayabiliyor muyum?" diye sorarsınız. İkinci soru bir yazılıma çok daha ağır bir yük bindirir çünkü kanıt dediğiniz şey kayıttır ve kaydın yıllarca bozulmadan durması gerekir. ISO 9001 mantığıyla kurulmuş bir sistemin medikal işe girerken en çok zorlandığı yer tam olarak burasıdır.
Dokümante bilgi mi, doküman ve kayıt mı?
ISO 9001:2015 madde 7.5, doküman ve kaydı tek bir kavram altında birleştirdi: dokümante bilgi (documented information). ISO 13485 bu birleştirmeyi yapmadı; madde 4.2.4 dokümanların kontrolünü, madde 4.2.5 ise kayıtların kontrolünü ayrı ayrı düzenler. Fark akademik değil, doğrudan yazılım tasarımını ilgilendirir. Doküman revize edilir, kayıt revize edilmez; kayıt oluşur ve dondurulur.
Madde 4.2.4'ün sık kaçırılan bir şartı da var: yürürlükten kalkmış dokümanların en az bir kopyasının saklanması ve bu saklama süresinin, o dokümanlara göre üretilmiş cihazların ömrünü kapsaması gerekir. Yani 2019'da yürürlükten kaldırdığınız bir iş talimatını silemezsiniz; o talimatla üretilmiş cihaz sahada durduğu sürece talimat da arşivde durmalıdır. Eski revizyonları otomatik silen ya da üzerine yazan bir doküman yönetimi kurgusu, medikalde ilk denetimde bulgu alır.
Somut karşılaştırma: hangi madde neyi değiştirir
Aşağıdaki tablo, ISO 9001 tabanlı bir sistemi medikale taşırken elle tutulur biçimde değişen başlıkları gösteriyor. Soldaki sütun ISO 9001:2015'in, sağdaki sütun ISO 13485:2016'nın karşılığıdır.
| Konu | ISO 9001:2015 | ISO 13485:2016 |
|---|---|---|
| Doküman ve kayıt | Tek kavram: dokümante bilgi (7.5) | Ayrı maddeler: doküman 4.2.4, kayıt 4.2.5 |
| Zorunlu yazılı prosedür | Şart değil, kuruluş karar verir | Birçok süreç için dokümante prosedür zorunlu |
| Ürün dosyası | Böyle bir şart yok | Tıbbi cihaz dosyası zorunlu (4.2.3) |
| Kayıt saklama süresi | Kuruluş belirler | Cihaz ömrü boyunca, en az 2 yıl (4.2.5) |
| Önleyici faaliyet | Kaldırıldı, yerine risk temelli düşünme | Ayrı şart olarak korundu (8.5.3) |
| Şikâyet ve bildirim | Müşteri memnuniyeti ölçümü (9.1.2) | Geri besleme 8.2.1, şikâyet 8.2.2, otoriteye bildirim 8.2.3 |
| Proses validasyonu | Genel şartlar içinde | Üretim 7.5.6, sterilizasyon 7.5.7 ayrı ayrı |
Tabloya bakıp "yedi satır, hallederiz" demeyin. Bu yedi satırın her biri ayrı bir kayıt tipi, ayrı bir onay akışı ve ayrı bir saklama kuralı demektir. Tıbbi cihaz kalite kayıtları, ISO 9001 dünyasındaki kayıtlardan hem sayıca hem ömür olarak fazladır. Yazılım tarafında ISO 13485 ile ISO 9001 farkı, işte bu yedi satırın açtığı ek kayıt yüküdür.
Tıbbi cihaz dosyası: 13485'in getirdiği yeni klasör
Madde 4.2.3, her cihaz tipi ya da cihaz ailesi için bir tıbbi cihaz dosyası oluşturmanızı ister. Bu dosyanın içinde ürünün genel tanımı, kullanım amacı, etiket ve kullanım talimatı, üretim ve ambalajlama şartnameleri, ölçüm ve izleme yöntemleri, kurulum ve servis şartları bulunur. Yani ürünle ilgili her şeyin tek bir yerden görülebilmesi beklenir.
ISO 9001 tabanlı sistemlerde bu bilgiler dağınık durur: şartname kalitede, etiket pazarlamada, kullanım talimatı teknik ofiste. Denetçi "şu cihazın dosyasını görebilir miyim?" dediğinde üç departmandan dosya toplanıyorsa, dosya aslında yok demektir. Medikal kalite yönetim sistemi yazılımı seçerken sorulacak ilk soru şudur: ürün kartının altında bu yedi kalemi ilişkili kayıt olarak tutabiliyor musunuz?
Medikale yeni giren işletmelerin ilk tökezlediği yer, cihaz ömrünü hiç tanımlamadan kayıt saklama süresi belirlemektir. Bir işletmede "kayıtlar 5 yıl saklanır" yazan bir prosedür gördük; ürettikleri cihazın kullanım ömrü ise etiketinde 10 yıl yazıyordu. Denetçi iki belgeyi yan yana koydu ve bulguyu yazdı. Önce cihaz ömrünü yazılı olarak tanımlayın, saklama süresini ondan türetin; tersi değil.
Tasarım dosyası ve madde 7.3 zinciri
ISO 13485'in tasarım ve geliştirme maddesi, ISO 9001'inkinden çok daha ayrıntılıdır. Planlama (7.3.2), girdiler (7.3.3), çıktılar (7.3.4), gözden geçirme (7.3.5), doğrulama (7.3.6), geçerli kılma (7.3.7), transfer (7.3.8) ve değişiklik kontrolü (7.3.9) ayrı ayrı tanımlanır. Madde 7.3.10 ise bütün bunların tek bir tasarım ve geliştirme dosyasında toplanmasını ister.
Buradaki en kritik halka 7.3.8, yani tasarımın üretime transferidir. Tasarım çıktısının üretim şartnamesine dönüştüğünün ve üretim yeteneğinin bunu karşıladığının doğrulanması gerekir. Otomotivden gelenler bu maddeyi APQP'nin ürün-proses onayı fazına benzetir; benzetme yanlış değildir ama medikalde transfer kaydının ayrı ve imzalı olması beklenir. Bir başka fark, tasarım değişikliği yapıldığında değişikliğin cihaz güvenliğine ve performansına etkisinin risk analizi ile değerlendirilmesi zorunluluğudur. Risk dosyası güncellenmeden kapatılan bir tasarım değişikliği, denetimde majör uygunsuzluk konusudur.
Şikâyet, geri besleme ve otoriteye bildirim
ISO 9001 dünyasında müşteri şikâyeti bir memnuniyet göstergesidir. ISO 13485'te ise şikâyet, hastanın zarar görme ihtimalini taşıyan bir sinyaldir ve üç ayrı madde ile düzenlenir. Madde 8.2.1 sahadan geri beslemenin toplanmasını, 8.2.2 şikâyetlerin dokümante bir prosedürle ele alınmasını, 8.2.3 ise mevzuatın gerektirdiği durumlarda düzenleyici otoriteye bildirim yapılmasını ister.
Bu üçlünün yazılıma yansıması bir süre takibidir. Şikâyet kaydı açıldığı anda, olayın bildirime tabi olup olmadığına dair bir değerlendirme adımı tetiklenmeli; bildirime tabiyse mevzuatın öngördüğü süre sayacı başlamalıdır. Bu değerlendirmeyi yapan kişinin kim olduğu ve kararının gerekçesi kayıtta durmalıdır. Şikâyet kaydından düzeltici faaliyet kaydına geçiş de otomatik olmalı; iki kaydı elle eşleştiren sistemlerde er ya da geç bir şikâyet düzeltici faaliyetsiz kapanır.
Proses validasyonu ve temiz oda kayıtları
ISO 9001'de "çıktısı sonradan doğrulanamayan prosesler geçerli kılınır" cümlesi genel bir şart olarak durur. ISO 13485 bunu ikiye ayırır: madde 7.5.6 üretim ve hizmet sunum proseslerinin geçerli kılınmasını, madde 7.5.7 ise sterilizasyon ve steril bariyer sistemlerinin geçerli kılınmasını ayrıca düzenler. Sterilizasyon her partide ürün üzerinden doğrulanamaz; bu yüzden prosesin kendisinin geçerli kılınması ve geçerliliğinin sürdürülmesi istenir.
Bunun kayıt tarafındaki karşılığı şudur: her sterilizasyon partisi için yükleme şeması, çevrim parametreleri, biyolojik veya kimyasal indikatör sonucu ve serbest bırakma onayı bir arada tutulur. Bu dört kalemden biri eksikse parti sevk edilemez. Sahada gördüğümüz klasik sorun, çevrim yazıcı çıktısının otoklav başındaki bir klasörde, indikatör sonucunun laboratuvar defterinde, serbest bırakma onayının ise kalite müdürünün e-postasında durmasıdır. Denetçi bir parti numarası verip üçünü birden istediğinde arama üç ayrı yerde başlar.
Temiz odada çalışan işletmeler için madde 6.4.1 çalışma ortamı şartlarını, 6.4.2 ise kontaminasyon kontrolünü tanımlar. Partikül sayımı, basınç farkı, personel giriş kaydı ve periyodik temizlik doğrulamaları düzenli aralıklarla kayda geçer. Bu kayıtların en zayıf halkası genellikle sıklıktır: prosedürde "haftalık" yazar, kayıtlarda bazı haftalar boştur. Otomatik hatırlatmalı bir görev listesi bu boşlukları kapatmanın en pratik yoludur; kâğıt çizelgede eksik hafta ancak denetimde fark edilir.
İzlenebilirlik: parti yetmez, birim gerekir
Madde 7.5.9 izlenebilirliği düzenler ve implante edilebilir cihazlar için 7.5.9.2'de şartları ağırlaştırır. İmplante edilebilir bir cihazda, cihazın izlenmesini sağlayan bileşenlerin, kullanılan malzemelerin ve çalışma ortamı koşullarının kaydı tutulur; dağıtım kayıtlarında cihazın gittiği adres de izlenebilir olmalıdır. Otomotivdeki parti bazlı izlenebilirlik burada yetmez.
Buna bir de tekil cihaz kimliği uygulaması eklenir. Cihazın tekil kimlik numarası, üretim kaydı, sterilizasyon partisi ve sevkiyat kaydıyla bağlı olmalıdır ki bir geri çağırmada hangi hastaneye kaç adet gittiğini saatler içinde çıkarabilesiniz. Medikal cihaz izlenebilirlik programı ararken test edeceğiniz senaryo tek cümledir: elimde bir seri numarası var, bu cihazın hammadde partisinden hastane teslim tarihine kadar olan geçmişini kaç dakikada çıkarabiliyorum?
Belgelendirme denetiminde ISO 9001'den gelen sistemlerde en çok yazdığım bulgu, sürekli iyileştirme kayıtlarının bol, tasarım transferi ve validasyon kayıtlarının boş olmasıdır. İyileştirme önerisi kutusu doludur, sterilizasyon proses validasyonu raporu ise "tedarikçiden gelecek" notuyla beklemektedir. ISO 13485 ile ISO 9001 farkı en net burada, kayıtların ağırlık merkezinde görünür. Medikalde denetçi iyileştirmeye değil, geçerli kılmaya bakar.
Mevcut QMS yazılımınız yetiyor mu? Dört soruluk test
ISO 13485 ile ISO 9001 farkı yazılım tarafında dört somut yeteneğe indirgenir. Birincisi: kayıt tipine göre farklı saklama süresi tanımlayabiliyor ve süre dolduğunda imha listesi üretebiliyor musunuz? İkincisi: yürürlükten kalkan doküman revizyonlarını silmeden, erişimi kısıtlı bir arşivde tutabiliyor musunuz? Üçüncüsü: bir ürün kartının altında tıbbi cihaz dosyasının tüm kalemlerini ilişkili kayıt olarak görebiliyor musunuz? Dördüncüsü: şikâyet kaydından bildirim değerlendirmesine ve düzeltici faaliyete giden akış, süre sayacıyla birlikte yürüyor mu?
Dört sorunun hepsine evet diyemiyorsanız, yazılımın etrafında elektronik tablo üretmeye başlarsınız ve sistem ikiye bölünür. PaKalite'nin 18 modülü tek veritabanında çalıştığı için şikâyet, düzeltici faaliyet, doküman ve ürün kayıtları birbirine bağlı durur; hangi standartların desteklendiğini standartlar sayfasında görebilirsiniz. Ürün seçiminden bağımsız olarak yapmanız gereken ilk iş aynıdır: cihaz ömrünü tanımlayın, kayıt listesini çıkarın, her kaydın saklama süresini yazın. Bu üç adım tamamlanmadan alınan yazılım kararı, altı ay sonra yeniden açılır. Cihaz ömrü tanımı olmadan ne saklama süresi kurulur ne de arşiv planlanır; bu tanım medikal kalite sisteminin çivisidir.