Interne audit ISO 13485: planning, checklist en voorbeeld
Een interne audit ISO 13485 is de controle die je zelf uitvoert op je kwaliteitsmanagementsysteem (QMS), voordat de certificerende instelling komt kijken. De norm vraagt om geplande interne audits, uitgevoerd door onafhankelijke auditoren, met vastgelegde bevindingen en opvolging. De norm staat bij ISO . Een samenvatting van alle eisen vind je op de pagina eisen van de norm.
De interne audit is geen formaliteit. Bij stage 1 en stage 2 kijkt de auditor of jouw eigen audit echt werkt: heeft die gaten gevonden, en zijn die gaten gedicht?
Wat eist ISO 13485 voor de interne audit?
Het kernvoorschrift staat in paragraaf 8.2.4 van de norm. In de praktijk komt het neer op vijf eisen:
- Planning: audits volgen een geplande frequentie, gebaseerd op de status en het belang van de processen.
- Scope: het hele QMS wordt in een gecontroleerde cyclus geaudit, niet alleen de makkelijke delen.
- Onafhankelijkheid: auditoren controleren niet hun eigen werk.
- Vastlegging: de planning, de auditbevindingen en de resultaten staan op papier of in een systeem.
- Opvolging: correcties en correctieve acties volgen zonder onnodig uitstel. Daarna controleer je of de genomen acties echt zijn uitgevoerd en of ze werken.
Dat laatste punt is waar veel bedrijven struikelen. Een audit die afsluit met een lijstje bevindingen, zonder dat er iets met die bevindingen gebeurt, levert bij de externe audit een bevinding op.
Auditplan opzetten: een voorbeeld
Een auditplan is een tabel die per jaar laat zien welke processen wanneer en door wie worden gecontroleerd. Het voorbeeld hieronder is fictief: een fabrikant van een klasse IIa-hulpmiddel met vijf kernprocessen.
| Proces | Risico-indicatie | Frequentie | Auditor | Kwartaal |
|---|---|---|---|---|
| Documentbeheer | Gemiddeld | Jaarlijks | Kwaliteitsmedewerker B | Q1 |
| Ontwerp en ontwikkeling | Hoog | Halfjaarlijks | Externe adviseur | Q2 en Q4 |
| Leveranciersbeheersing | Hoog | Jaarlijks | Inkoper, niet verantwoordelijk voor de leverancier | Q3 |
| Traceerbaarheid en productie | Hoog | Halfjaarlijks | Kwaliteitsmedewerker A | Q1 en Q3 |
| CAPA en klachten | Hoog | Jaarlijks | Kwaliteitsmanager, niet betrokken bij de CAPA’s | Q4 |
Een hoge risico-indicatie betekent dat een proces vaker wordt gecontroleerd. Die keuze moet je onderbouwen, bijvoorbeeld met het aantal klachten, afwijkingen of wijzigingen in het afgelopen jaar.
Stap voor stap
Bepaal de scope en de frequentie
Leg vast welke processen je jaarlijks auditeert en welke vaker. Koppel dat aan je risicomanagement en aan je klachtendata.
Kies auditoren die niet zelf het proces runnen
Dat hoeft geen externe partij te zijn. Een medewerker uit een ander team kan een proces auditen, mits hij of zij de werking niet zelf beheert. Leg de keuze vast.
Maak een checklist per proces
Gebruik de checklist hieronder als basis en vertaal de vragen naar jouw systeem. Vraag bij elk punt om bewijs, niet alleen om een ja of nee.
Voer de audit uit en leg bevindingen vast
Noteer per bevinding: waar, wat, bewijs, en de classificatie (afwijking of verbeterpunt). Een afwijking krijgt een CAPA-nummer. CAPA staat voor corrigerende en preventieve actie; zie CAPA.
Volg de acties op
Bepaal een eigenaar en een termijn per actie. Controleer na afronding of de oorzaak is weggenomen. Die controle vraagt de auditor later ook.
Rapporteer aan de directie
Bespreek de uitkomsten in de management review (de directiebeoordeling, zie eisen van de norm). Daar beslist de directie over prioriteiten en middelen.
Checklist voor een interne audit
| Vraag aan het proces | Bewijs dat je laat zien | Veelgemaakte fout |
|---|---|---|
| Is de procedure de laatste versie? | Documentbeheer, goedkeuring en versiegeschiedenis | Een oude werkinstructie hangt nog aan de productielijn |
| Doet de medewerker het zoals beschreven? | Waarneming op de werkvloer plus training | Procedure bestaat, maar niemand kent hem |
| Worden records consequent ingevuld? | Steekproef van 5 tot 10 recente records | Velden blijven leeg zonder reden |
| Is er een CAPA geopend bij afwijkingen? | Koppeling tussen afwijking en CAPA-nummer | Afwijking wordt hersteld maar niet geregistreerd |
| Is de effectiviteit gecontroleerd? | Meetgegevens na de actie | Actie is afgesloten zonder controle |
Een steekproef is genoeg voor de meeste processen. Pak records uit verschillende periodes en niet alleen de records die je al kent.
Bevindingen: wat schrijf je op?
Een goede bevinding bevat drie elementen: de eis of procedure, wat je zag, en het bewijs. “Het proces is niet goed” is geen bevinding. “Werkinstructie WI-042 versie 3 is in gebruik op lijn 2, terwijl versie 5 is goedgekeurd op 14 maart” wel.
Classificeer de bevinding. Een afwijking betekent dat het systeem niet voldoet aan de norm of aan je eigen procedure. Een verbeterpunt betekent dat het voldoet, maar beter kan. Alleen afwijkingen vragen om een formele CAPA.
Veelgemaakte fouten bij de interne audit
- Auditor audit zijn eigen werk. Een kwaliteitsmanager die zijn eigen CAPA-proces controleert, levert geen onafhankelijk oordeel op.
- Alleen de makkelijke processen. Een auditplan dat altijd documentbeheer kiest en nooit leveranciers of traceerbaarheid, valt bij de externe audit op.
- Audit zonder opvolging. Bevindingen staan op papier, maar er is geen eigenaar en geen deadline.
- Geen bewijs in het rapport. Een rapport met alleen conclusies is moeilijk te verdedigen.
- Audit alleen voor de auditor. Als de interne audit pas in de week voor stage 1 gebeurt, ziet de auditor dat.
De stage 1 en stage 2 controleren of de interne audit is uitgevoerd, niet alleen of er een rapport bestaat. Begin daarom ruim voor de externe audit.
Interne audit en startups
Voor een kleine organisatie is het verstandig om de eerste interne audit als leerinstrument te zien. Vooral bij een beginnend medtech-bedrijf ontdek je dan gaten terwijl ze nog makkelijk te dichten zijn. Je hoeft niet alles in een keer te auditeren. Begin met de kernprocessen die voor je product het meest tellen, en breid uit.
Een interne auditor hoeft niet duur opgeleid te zijn. Wel moet hij de norm kennen en het proces dat hij controleert begrijpen. Voor de kosten van een externe audit en de bijbehorende interne inzet zie je kosten en tijdlijn.