La certification ISO 13485 par un organisme notifié se déroule en deux temps. Le premier est souvent sous-estimé — considéré comme une formalité documentaire — alors qu'il conditionne tout ce qui suit.
1. À quoi sert réellement le Stage 1
Le Stage 1 répond à une question simple : votre système est-il auditable ?
L'auditeur ne cherche pas encore à savoir si vos processus fonctionnent. Il vérifie que le système existe, qu'il est documenté, que son périmètre est clair, et qu'il y a matière à auditer en profondeur. Concrètement, il regarde :
- le périmètre de certification : quels produits, quels sites, quelles activités
- les exclusions revendiquées et leur justification
- la structure documentaire et sa cohérence
- l'état d'avancement réel : le système a-t-il commencé à produire des enregistrements ?
- la planification du Stage 2 : durée, processus à couvrir, personnes à rencontrer
Les constats du Stage 1 prennent le plus souvent la forme d'observations ou de points d'attention. Une non-conformité majeure y est rare — mais quand elle survient, elle décale tout.
Le Stage 1 ne vous certifie pas. Il vous dit si vous avez le droit de vous présenter au Stage 2.
2. Les douze documents à avoir prêts
La liste précise varie selon l'organisme, mais ces douze reviennent systématiquement. Ils doivent être en version approuvée et signée — un document en projet compte comme absent.
| Document | Ce qui est vérifié |
|---|---|
| 1. Manuel qualité | Périmètre, description des processus et de leurs interactions, exclusions justifiées, rôles réglementaires assumés (fabricant, mandataire, importateur…) |
| 2. Cartographie des processus | Cohérence avec le manuel et avec la liste réelle des procédures. Chaque processus doit renvoyer à quelque chose qui existe. |
| 3. Liste maîtresse des documents | Version, statut, date d'approbation. C'est le document qui permet à l'auditeur de piocher. |
| 4. Politique et objectifs qualité | Objectifs mesurables, avec une valeur cible et un suivi. « Améliorer la satisfaction client » n'est pas un objectif. |
| 5. Organigramme et responsabilités | Représentant de la direction désigné, PRRC identifiée avec ses qualifications, suppléances prévues |
| 6. Procédures obligatoires | Maîtrise documentaire, maîtrise des enregistrements, audit interne, non-conformités, actions correctives et préventives, réclamations, vigilance |
| 7. Dossier du dispositif médical | Le dossier exigé au §4.2.3, distinct du dossier technique MDR mais lié à lui |
| 8. Gestion des risques | Plan et rapport ISO 14971, analyse de risques à jour, cohérence avec les évolutions produit |
| 9. Compte rendu de revue de direction | Signé, avec les entrées exigées et des décisions tracées. Un seul suffit, mais il doit exister. |
| 10. Programme et rapports d'audit interne | Le programme pluriannuel, plus au moins un audit réalisé et ses écarts traités |
| 11. Dossiers fournisseurs | Liste des fournisseurs critiques, critères de qualification, évaluations, accords qualité signés, contrôles à réception |
| 12. Validation des logiciels du SMQ | §4.1.6 : quels outils informatiques sont utilisés dans le système, et comment leur aptitude a été validée |
Les points 11 et 12. La qualification des fournisseurs est presque toujours incomplète — des évaluations sans accord qualité signé, ou des accords non signés par les deux parties. Et la validation des applications informatiques du §4.1.6 est régulièrement découverte pendant l'audit, alors qu'elle représente à elle seule un chantier de plusieurs dizaines de jours sur un parc entier.
3. Les cinq points où ça coince
Les incohérences internes
Le manuel annonce deux sites, la liste des fournisseurs en implique trois. La procédure prévoit une revue semestrielle, le dernier compte rendu date de quatorze mois. La cartographie référence une procédure absente de la liste maîtresse.
Ces écarts sont les plus faciles à trouver et les plus faciles à éviter. Faites relire vos documents entre eux par quelqu'un qui ne les a pas écrits, avec une seule consigne : signaler toute incohérence de chiffre, de liste ou de référence croisée. C'est le contrôle le moins coûteux du processus.
Les exclusions non justifiées
Exclure §7.5.4, §7.5.5, §7.5.7 ou §7.6 est parfaitement légitime quand la production et la stérilisation sont intégralement sous-traitées. Mais chaque exclusion doit être justifiée dans le manuel, et surtout : sous-traiter n'est pas exclure. Le §4.1.5 impose de maîtriser les processus externalisés, avec des accords qualité et une surveillance proportionnée au risque.
Un système qui n'a jamais tourné
Des procédures approuvées la semaine précédente, aucun enregistrement, aucune CAPA, aucun audit interne. L'auditeur le voit immédiatement — les dates d'approbation sont toutes identiques. Ce n'est pas bloquant au Stage 1, mais ça garantit un Stage 2 difficile.
Le périmètre flou
Quels produits exactement ? Quels sites ? Le développement logiciel sous-traité entre-t-il dans le périmètre ? Un périmètre mal défini au Stage 1 se traduit par un Stage 2 plus long, donc plus cher, et par des surprises sur ce qui sera audité.
Les preuves qui expirent
Un certificat fournisseur valide en juillet et périmé en octobre, une habilitation non renouvelée, une calibration dépassée. Ce ne sont pas des erreurs de fond, mais ce sont des non-conformités au Stage 2. Vérifiez les dates d'expiration sur toute la fenêtre Stage 1 → Stage 2, pas seulement à la date du Stage 1.
4. L'intervalle Stage 1 → Stage 2
Comptez généralement deux à six mois. C'est la période la plus déterminante de tout le parcours, et elle sert à deux choses distinctes :
- Traiter les constats du Stage 1 — la partie visible, souvent la plus rapide.
- Faire vivre le système — la partie invisible, et la seule qui compte vraiment. Le Stage 2 échantillonne des enregistrements. S'il n'y en a pas, il n'y a rien à échantillonner.
Pendant cet intervalle, le système doit produire : des non-conformités détectées et traitées, des CAPA ouvertes et closes avec vérification d'efficacité, des changements maîtrisés, des réclamations évaluées, des fournisseurs surveillés, une revue de direction tenue.
Un système qui n'a jamais détecté aucun défaut n'est pas un système parfait. C'est un système qui ne fonctionne pas.
C'est contre-intuitif, mais un dossier vide de non-conformités internes inquiète davantage un auditeur qu'un dossier qui en contient et qui montre comment elles ont été traitées.
5. Comment se passe la journée
Réunion d'ouverture
Présentation de l'équipe d'audit, rappel du programme, confirmation du périmètre. Court, mais c'est là que se confirme ce qui sera regardé.
Revue documentaire
L'auditeur parcourt les documents, pioche, demande des versions, vérifie les approbations. Prévoyez un accès rapide à votre gestion documentaire — chercher un fichier pendant vingt minutes coûte de la crédibilité.
Entretiens ciblés
Direction, responsable qualité, PRRC. Sur le périmètre, les responsabilités, la compréhension du système. Moins fouillé qu'au Stage 2, mais déjà révélateur.
Préparation du Stage 2
Durée, processus à couvrir, personnes à mobiliser, sites à visiter. À suivre attentivement : c'est là que se fixe la charge du prochain audit.
Réunion de clôture
Restitution des constats. Écoutez la qualification exacte de chacun — observation, point d'attention, non-conformité mineure, majeure. Elle détermine ce que vous devrez démontrer, et à quelle échéance.
Désignez une seule personne responsable de fournir les documents pendant l'audit, avec un accès complet et une arborescence qu'elle maîtrise. Le pire scénario n'est pas de manquer un document : c'est de ne pas savoir où il est.