Le piège du système en papier
Un système qualité peut être complet sur le papier et tomber en trente minutes d'audit. C'est même le cas le plus fréquent.
La raison est simple : l'organisme notifié n'audite pas vos procédures, il audite ce que vous en faites. Il demande un enregistrement, une preuve, une trace. Une procédure de revue de direction sans compte rendu signé, un processus de qualification fournisseur sans accord qualité, une maîtrise des changements sans change control clos — chacun de ces écarts est une non-conformité, quelle que soit la qualité de la rédaction.
Ce qui se fait sans être écrit ne compte pas. Ce qui est écrit sans être fait compte double — contre vous.
Notre approche part donc de l'inverse : d'abord comment vous travaillez réellement, ensuite comment l'écrire de façon conforme. Un système décrit au plus près de vos pratiques est un système que vos équipes appliquent, donc un système qui produit des preuves.
Ce que couvre la norme
L'ISO 13485:2016 s'organise en cinq chapitres opposables. Les points où se concentrent les non-conformités :
| Chapitre | Ce qui est réellement regardé |
|---|---|
| §4 — Système qualité | Manuel qualité, maîtrise documentaire, dossier du dispositif médical, validation des applications informatiques utilisées dans le SMQ |
| §5 — Responsabilité de la direction | Politique et objectifs mesurables, responsabilités définies, revue de direction tenue avec les bonnes entrées et de vraies décisions |
| §6 — Ressources | Compétences et formation tracées, infrastructures, environnement de travail |
| §7 — Réalisation du produit | Planification, conception et développement, achats et fournisseurs, production, traçabilité, maîtrise des équipements de mesure |
| §8 — Mesure et amélioration | Retours d'information, réclamations, vigilance, audits internes, non-conformités, actions correctives et préventives |
La norme autorise à exclure les exigences du chapitre 7 non applicables — typiquement §7.5.4, §7.5.5, §7.5.7 et §7.6 quand la production et la stérilisation sont intégralement sous-traitées. Chaque exclusion se justifie dans le manuel qualité. Mais sous-traiter un processus ne dispense pas de le maîtriser : l'article §4.1.5 impose des accords qualité et une surveillance proportionnée au risque.
Les écarts qu'on retrouve le plus souvent
Confondre pharmacovigilance et matériovigilance
Fréquent dans les groupes qui font à la fois du médicament et du dispositif. Ce sont deux réglementations distinctes, avec des délais, des formulaires et des autorités différents. Amender une procédure de pharmacovigilance pour « couvrir aussi les DM » ne fonctionne pas et se voit immédiatement en audit.
Qualifier les fournisseurs sans accord qualité signé
Une fiche d'évaluation ne suffit pas. Le MDR et l'ISO 13485 attendent des accords qualité signés, une surveillance périodique et des contrôles à réception documentés. C'est un des sujets les plus systématiquement sous-traités par les jeunes structures, et un de ceux qui remontent le plus en audit.
S'appuyer sur le corporate sans mesurer la conséquence
Adosser ses achats, sa revue de direction ou son manuel qualité au niveau groupe réduit la charge — mais élargit d'autant l'empreinte d'audit. L'organisme notifié ira regarder chez le corporate. Et un processus rendu par une entité du groupe reste un processus externalisé au sens du §4.1.5 : il lui faut un accord qualité, même en interne.
Oublier la validation des applications informatiques
Le §4.1.6 impose de valider les logiciels utilisés dans le système qualité — GED, ERP, outil de gestion documentaire, suivi des CAPA. Beaucoup de fabricants découvrent cette exigence pendant l'audit. C'est un chantier à part entière, souvent chiffré à plusieurs dizaines de jours quand il porte sur un parc entier.
Laisser expirer les preuves
Un certificat fournisseur qui expire entre le Stage 1 et le Stage 2, une habilitation non renouvelée, une calibration périmée. Ce ne sont pas des erreurs de fond, ce sont des non-conformités quand même. Un simple échéancier suffit à les éviter — encore faut-il l'avoir.
Comment nous intervenons
Gap analysis
Exigence par exigence, ce qui est couvert et ce qui ne l'est pas, avec la charge associée. C'est le point de départ et il conditionne tout le reste : voir le diagnostic de conformité.
Architecture documentaire
Définir la structure avant d'écrire : cartographie des processus, arborescence, codification, niveaux documentaires. Une structure mal posée se paie pendant des années.
Rédaction
Procédures, instructions et formulaires écrits pour être appliqués — dans votre vocabulaire, à votre échelle. Un SMQ de start-up n'a pas à ressembler à celui d'un groupe de mille personnes.
Déploiement
Formation des équipes, mise en application, production des premiers enregistrements. C'est la phase la plus longue et celle qu'on sous-estime toujours.
Vérification
Audit interne, revue de direction, traitement des écarts. Le système doit avoir tourné et démontré qu'il détecte ses propres défauts avant de se présenter devant un organisme notifié.
Questions fréquentes
Combien de temps faut-il pour être certifié ?
Pour une structure qui part de zéro, comptez douze à dix-huit mois entre le lancement et le certificat. La rédaction n'est pas le chemin critique — c'est l'application. L'organisme notifié exige de voir le système fonctionner : plusieurs mois d'usage réel, un audit interne et une revue de direction tenus, des enregistrements produits. On ne comprime pas cette durée en ajoutant des consultants.
L'ISO 13485 est-elle obligatoire ?
Pas en tant que telle. Le MDR impose un système de management de la qualité sans nommer de norme. L'ISO 13485 est la norme harmonisée qui donne présomption de conformité — en pratique, tout fabricant qui passe devant un organisme notifié s'y conforme.
Quelle différence avec l'ISO 9001 ?
L'ISO 9001 vise la satisfaction client et l'amélioration continue ; l'ISO 13485 vise la sécurité du patient et la conformité réglementaire. Elle est beaucoup plus prescriptive : traçabilité, dossier de conception, maîtrise des changements, surveillance après commercialisation, vigilance. Être certifié ISO 9001 ne dispense d'aucune exigence de l'ISO 13485.
Sommes-nous trop petits pour un vrai SMQ ?
Non — mais la norme n'impose pas la même lourdeur à tous. Une structure de dix personnes peut avoir un système proportionné, à condition qu'il soit complet sur les exigences applicables. Le problème n'est jamais la taille, c'est la copie d'un système conçu pour une autre échelle.
Et pour le marché américain ?
La FDA a aligné son référentiel sur l'ISO 13485 avec le QMSR, applicable en février 2026. L'essentiel de votre système est donc réutilisable, mais des écarts subsistent — notamment sur les définitions, les plaintes et les dossiers. Un delta à traiter spécifiquement, pas une simple traduction.
Où en est votre système ?
Deux jours suffisent à le savoir précisément, avec la charge chiffrée de ce qu'il reste à faire.
Le diagnostic de conformité Prendre contact