Auditdauer: Wie lange Ihr Auditor bleiben darf

Über die Auditdauer diskutieren Medizinproduktehersteller und Zertifizierer (hier die Benannten Stellen) regelmäßig.

Diese Regeln und Erfahrungswerte sollten die Hersteller kennen, um mit ihren Benannten Stellen auf Augenhöhe diskutieren und unnötig lange Audits und damit unnötige Kosten abwenden zu können.

1. Regelungen zur Auditdauer

Die Benannten Stellen müssen von der DAkkS akkreditiert sein, um Zertifizierungsaudits (hier ISO 13485) durchführen zu dürfen. Eine Voraussetzung für diese Akkreditierung besteht darin, dass die Zertifizierungsaudits konform mit der ISO 17021 erfolgen. Die ZLG prüft im Rahmen von Audits, ob die Benannten Stellen diese Norm befolgen. Die ISO 17021 gibt Hinweise zur Auditdauer.

a) Dauer der Audits von Managementsystemen

Noch konkretere Forderungen an die Dauer von Audits hat das International Accreditation Forum IAF formuliert.

Diese finden sich zum einen im „IAF Mandatory Document for Duration of QMS and EMS Audits“ (MD 5:2019). Das Dokument regelt die Auditdauer z. B. bei Qualitätsmanagement- und Umweltaudits. Diese Dauer variiert

• mit der Größe der Firma,
• ihrer Komplexität und
• ihrer räumlichen Verteilung.

Zuerst bestimmt man anhand der Größe der Organisation die Auditdauer. Diese beträgt:

Größe der Organisation (Anzahl Mitarbeiter)	Auditdauer (in Summe für Stage 1 und 2)
≤ 5	2,5
10	3,0
20	4,5
50	6
100	8
500	12
1000	15

Anschließend adaptiert man die Zahl anhand der Komplexität der Organisation und ihrer räumlichen Verteilung. Beispiele:

• Bei Firmen mit fünf oder weniger Mitarbeitern soll die Dauer des Audits zwischen 2,5 und 3 Tagen betragen (mindestens 2,5 Tage).
• Bei Firmen mit 10 Mitarbeitern soll das Audit zwischen 3 und 3,5 Tagen dauern (mindestens 3 Tage).
• Bei 50 Mitarbeitern liegt die Auditdauer zwischen 4,5 und 8 Tagen (mindestens 3,5).

Auch das IAF Dokument MD 9:2022 geht auf die Auditdauer ein.

b) Dauer von ISO-13485-Audits

Speziell für ISO-13485-Audits hat die IAF ein weiteres Dokument publiziert, das sich IAF Mandatory Document for the Application of ISO/IEC 17021-1 in the Field of Medical Device Quality Management Systems (ISO 13485) nennt. Dieses Dokument legt die Auditdauer ebenfalls fest.

Größe der Organisation (Anzahl Mitarbeiter)	Auditdauer (in Summe für Stage 1 und 2)
≤ 5	3
10	4
20	5
50	7
100	10
500	14
1000	16

Diese Zahlen liegen etwas über denen anderer QM-Audits. Damit ist aber nicht gesagt, dass die Audits ausschließlich beim Kunden stattfinden müssen. Die ISO 17021 fordert aber mindestens 80 %.

Wenn mehrere Auditoren kommen, reduziert sich die Auditdauer. Beispielsweise können zwei Auditoren die Dauer des Audits halbieren, weil gemäß ISO 17021 die Auditoren bis zu 50 % der Zeit gemeinsam auditieren dürfen.

c) Auditdauer bei mehreren Standorten

Die DAkkS hatte bis 2021 ein Dokument mit dem Titel „IAF – Verbindliches Dokument für die Zertifizierung von Organisationen mit mehreren Standorten auf der Grundlage von stichprobenartigen Überprüfungen“ publiziert. Es entspricht der deutschen Übersetzung des IAF MD 1-Dokuments.

Firmen, die über mehrere Standorte verfügen, z. B. viele Distributionsstandorte, können Audits in Form von stichprobenartigen Prüfungen beantragen. Als Faustregel kann gesagt werden, dass die Anzahl der zu prüfenden Standorte nur mit der Wurzel dieser Standorte zunimmt.

2. Die Praxis

a) Erfahrungsberichte

Audits, QM-System

Viele Benannten Stellen betrachten eine Zertifizierung nach Anhang IX der MDR als eine Erstzertifizierung. Sie argumentieren, dass die MDR neu sei.

Daraus folgt, dass die Aufwände maximal sind. Das IAF (MD9) geht von folgenden Verhältnissen aus:

• Erstzertifizierung: 100 %
• Re-Zertifizierung: 66 %
• Überwachungsaudit: 33 %

Die IAF MD9 Tabelle veranschlagt beispielsweise für eine Firma mit 11 bis 15 Personen ca. 4,5 Tage. Allerdings kann diese Zahl deutlich nach oben abweichen, weil mehrere Regelwerke zu prüfen sind:

• MDR Anhang IX
• ISO 13485
• ggf. noch MDD 93/42 Anhang II)

Leider gibt es in solchen Fällen kein einheitliches Berechnungsschema der Benannten Stellen, auch wenn alle mit der o. g. Tabelle beginnen.

Wie bereits dargestellt ist eine Erstzertifizierung aufwändiger als eine Rezertifizierung. Und eine Rezertifizierung dauert normalerweise doppelt so lange wie das normale Überwachungsaudit. Das führt für den genannten Fall beispielhaft zu folgenden Auditdauern:

• Erstzertifizierung: 9 Tage
• Re-Zertifizierung: 6 Tage
• Überwachungsaudit: 3 Tage

Die Praxis zeigt jedoch, dass insbesondere die Erstzertifizierungen nicht ganz so lange dauern, weil die Benannten Stellen über nicht ausreichend viele Auditoren verfügen.

Dass für eine Firma der genannten Größe zwei Auditoren für 3,5 bis 4 Tage auditieren, ist nicht ungewöhnlich.

Reviews, Technische Dokumentation

Für die Prüfung der Technischen Dokumentation war früher ein Tag üblich. Mit der MDR steigt die Dauer meist auf 1,5 bis 2 Tage. Das hängt allerdings auch ab von:

1. Produkt und den Prozessen: Eine Steril-Validierung zu prüfen, ist aufwändig.
2. Klasse des Produkts: Je höher die Klasse, desto umfangreicher die Prüfung. Es kommt auch vor, dass die Benannte Stelle bei einem IIb-Produkt auf einem Arzt mit aktueller Klinik-Erfahrung besteht.

b) Fallen

Hersteller und Benannte Stellen kommen bei der Berechnung der Auditdauer regelmäßig zu unterschiedlichen Ergebnissen. Das liegt meist daran, dass sie von unterschiedlichen Voraussetzungen ausgehen und die folgenden Fragen nicht geklärt haben:

• Mit oder ohne Anhangszertifikat
  Handelt es sich beim dem Audit „nur“ um ein ISO-13485-Audit oder muss auch die Konformität mit den Vorgaben der Medizinprodukterichtlinien (z. B. MDD Anhang II) oder der Medizinprodukteverordnungen (z. B. MDR Anhang IX) geprüft werden?
• Technische Dokumentation
  Die oben genannten Werte beziehen sich auf das Audit, nicht auf das Review der Technischen Dokumentation. Da manche Benannten Stellen beides zusammen durchführen, ist den Herstellern der Unterschied nicht klar. Abhängig von der Klasse der Produkte sind die Benannten Stellen verpflichtet, eine gewisse Menge an technischen Dokumentationen zu prüfen.
• Scope des Audits (Prozesse und Rechtsbereiche)
  Wenn eine Firma ausschließlich als Distributor tätig ist, d. h. keine Entwicklung und keine Produktion stattfindet, darf die Dauer um 50 % reduziert werden. Umgekehrt erhöht sich die Dauer, wenn die Auditoren auch die Konformität mit anderen Rechtsbereichen (z. B. Kanada) feststellen sollen.
• Freiheitsgrade
  Die oben genannten Leitfäden der DAkkS bzw. des IAF erlauben im Gegensatz zur MDSAP nur sehr diskrete Stufen der Reduktion wie 0 % oder 50 %. Zwischenwerte sind nicht möglich, obwohl viele Auditoren und Benannte Stellen bemüht sind, vernünftige Regelungen zu finden.

3. Fazit

Diese Angaben können Ihnen als Argumentationshilfe dienen, wenn Ihre Benannte Stelle einen überzogen langen Besuch ankündigt. Allerdings stellt sich das Problem bei der momentanen Überlastung der Benannten Stelle nicht mehr so häufig. Umgekehrt werden die Aufwände durch die MDR steigen.

---

Änderungshistorie

• 2023-02-15: Neues Dokument IAF MD 9:2022 ergänzt