Consultant spécialisé dans les aspects réglementaires des DM, Guillaume Promé nous explique que les nouvelles révisions des normes ISO 9001 et 13485 vont rester compatibles, mais qu'elles se traduisent par une séparation plus prononcée, et des efforts supplémentaires pour les utilisateurs des deux référentiels.

La période actuelle est riche en évolutions en matière de système de management de la qualité (SMQ). La norme ISO 9001:2015 vient d'être publiée et sa petite sœur, l'ISO 13485 (SMQ à des fins réglementaires, dans le secteur des DM), sera mise à jour vraisemblablement début 2016.

Alors que les évolutions de l'ISO 13485 sont dans la continuité de la précédente version, avec des nouveautés qui épousent les pratiques actuelles et qui adoptent les exigences réglementaires, l'ISO 9001 connaît, quant à elle, une révision en profondeur.

La précédente version de l'ISO 9001 date de 2008, avec une évolution mineure par rapport à la version 2000. La norme était donc construite en fonction du contexte de la fin des années 1990 !

Le monde a beaucoup évolué depuis : les nouvelles technologies de l'information ont bouleversé l'économie, les développements s’accélèrent, demandent plus de souplesse, les start-up peuvent rivaliser avec les grands groupes et la part de l'industrie diminue au profit du service.

Pour mieux épouser ces tendances, l'ISO 9001:2015 se veut moins directive, et plus adaptée au monde du service. Elle permet de dépasser son domaine d'application (démontrer l'aptitude de l'organisme à fournir des produits et services conformes aux exigences et à améliorer la satisfaction client) et bénéficie d'un nouveau "packaging" (sa structure, son vocabulaire) moins... intimidant.

Se pose alors la question de la compatibilité des deux référentiels, l'ISO 9001 étant ouvert et adapté à tout contexte, l'ISO 13485 étant plus contraignant et centré sur le secteur du dispositif médical, avec un contexte industriel réglementé, où la sécurité et les performances des produits mis sur le marché sont les principaux enjeux. Car - c’est particulièrement vrai en Europe - énormément d'industriels du DM doivent gérer une double certification, pour répondre aux attentes de certains clients, à diverses exigences réglementaires ou par choix stratégique.

L'iSO 9001:2015 fait peau neuve

Le premier gros changement de l'ISO 9001, le plus visible, mais aussi le plus déroutant, concerne son changement de structure.

Rappelons que l'ISO 13485 a été construite à partir de l'ISO 9001, avec les mêmes chapitres et de nombreuses exigences communes. La partie "réalisation du produit" a été consolidée. Les exigences en matière d'amélioration continue et d'augmentation de la satisfaction client n'ont pas été reprises, car sans rapport avec les exigences réglementaires.

Faire cohabiter les deux normes était aisé ; une compatibilité d’ailleurs revendiquée dans le texte de l'ISO 13485 : "même format que l'ISO 9001 pour faciliter la lecture (…) permet d'aligner ou d'intégrer son propre SMQ avec les exigences correspondantes" avec, en annexe, un tableau comparant les deux normes, paragraphe par paragraphe, et expliquant les différences.

Mais ça, c'était avant !

Avec l'ISO 9001:2015, une nouvelle structure est utilisée : la HLS (High-Level Structure). Il s'agit d'une structure imaginée par l'ISO pour être utilisée pour toutes les normes de système de management (de la qualité, environnemental, de la sécurité routière...). Des dizaines de normes sont ainsi concernées. Cette structure commune doit faciliter la mise en œuvre de plusieurs référentiels. Elle compte 10 chapitres (contre 8 jusqu'à présent) et contient ses propres exigences.

Toujours réalisable, le jeu des correspondances entre les normes 13485 et 9001 est plus ardu. Si certains chapitres sont encore facilement comparables, d'autres ont été profondément réécrits.

L'illustration ci dessous schématise de façon simplifiée la lecture croisée des deux normes.

Cette réelle difficulté est frustrante et devrait compliquer les audits qui, jusqu'à maintenant, pouvaient aborder les deux référentiels en parallèle.

Cette situation serait due au calendrier, la structure HLS ayant été introduite après les débuts des travaux de révision de l'ISO 13485. Cela ne consolera pas les utilisateurs des deux référentiels qui devront attendre la prochaine révision majeure de l'ISO 13485 pour, peut-être, voir adoptée la structure HLS. Rendez-vous pour cela dans les années 2020 !

Des moyens à la mesure des ambitions de l'ISO 9001:2015

L'ISO 9001:2015 se veut plus ouverte. Une revendication claire de la nouvelle version est de permettre la prise en compte de l’environnement (au sens large) de l'organisme. Alors que l'ISO 13485 se focalise sur le client et la réglementation (votre SMQ est là pour garantir le respect de leurs exigences), l'ISO 9001:2015 va plus loin. Client et réglementation ne sont qu'une composante des “parties intéressées” et il faudra en plus considérer les “enjeux” de l'organisme, pour comprendre son “contexte”.

La notion d'enjeux n'est pas définie dans la norme, mais des pistes sont données : on regardera les enjeux internes (performance, valeurs, éthique, connaissance...) et les enjeux externes (économique, environnement, technologique...). Ces enjeux seront pris en compte pour délimiter et planifier le SMQ.

La notion de parties intéressées est plus facile à aborder, il s'agit des personnes ou organismes susceptibles d'influencer les performances de l'organisme, ou à l"inverse d'être affectés par ces performances. On pense aux fournisseurs et aux clients mais la norme invite à pousser la réflexion : les utilisateurs sont des parties intéressées (le monde du DM s'y intéresse déjà lors de l'évaluation de l'aptitude à l'utilisation), tout comme les employés, les investisseurs, les concurrents...

La norme vous permet de dimensionner votre SMQ en tenant compte de l'ensemble des parties intéressées et des enjeux que vous jugez pertinents, avec pour seul impératif de ne pas oublier ceux en lien avec le domaine d'application de la norme.

Cette ouverture répond à la pratique. Il est courant que des organismes se déclarent attachés au respect de l’environnement, à la solidarité, à l'amélioration de la santé publique... L'ISO 9001:2015 ouvre grand ses bras pour accueillir ces nouvelles problématiques. A vous d'en profiter.

L'ISO 9001 se risque aux risques

Depuis le début du millénaire (plus modestement, depuis l'ISO 9001:2000), il est demandé d'avoir une approche processus du SMQ. Cette approche a parfaitement été adoptée par les organismes et plus particulièrement par les industriels, qui naturellement "découpent" leurs activités en processus, avec des données d'entrées, des données de sorties, des interactions, des objectifs, des indicateurs... Du classique.

Mais dorénavant, la révision de 2015 exige en complément une approche par les risques.

C'est une tradition de l'ISO : prendre un mot du dictionnaire et le détourner de sa signification commune. Alors que le Larousse définit le risque comme étant la "Possibilité, probabilité d'un fait, d'un événement considéré comme un mal ou un dommage", l'ISO considère qu'un risque peut avoir des effets négatifs... ou positifs (sic).

Il faut en fait considérer une approche par les risques et opportunités.  Les risques peuvent provoquer un écart par rapport aux résultats attendus, et les opportunités font naître des situations favorables à l'obtention des résultats attendus.

Les risques et opportunités doivent être identifiés et évalués. Ce travail sera la base de la planification de vos actions.

Les acteurs du DM ont l'habitude de raisonner en terme de risques, mais ce sont des risques pour l'utilisateur du dispositif médical ; des risques avec un dommage physique potentiel ; des risques à maîtriser selon la norme ISO 14971.

L'ISO 9001:2015 va plus loin. Sans imposer de méthode, elle demande de traiter l'ensemble des risques et opportunités associés au contexte de l'organisme, et à ses objectifs.

Notez que cette démarche est évoquée dans le DIS.2 de l'ISO 13485 : "l’organisme doit appliquer une approche fondée sur les risques en ce qui concerne les processus appropriés nécessaires au SMQ" avec une évolution sémantique notable depuis le DIS.1 où il était demandé de "considérer une approche fondée sur les risques lors du développement des processus nécessaires au SMQ".

Pour rebondir, il y a une réelle "opportunité" pour les utilisateurs des deux référentiels de profiter des exigences de l'iSO 9001 pour construire l'approche par les risques, alors qu'il y a un "risque" pour les utilisateurs exclusifs de l'ISO 13485 de passer complètement à côté de cette notion...

Autres changements

Les exigences vis à vis de la documentation sont maintenant très souples. Exit "document", "procédure", "manuel qualité" et autres "enregistrements". Place aux "informations documentées" dont certaines seront "à conserver".

Mais l'ISO 13485 est légitimement plus directive et reste sur l’ancienne approche. Il n’y a pas de conflit car l'ISO 9001 n’exige pas d’abandonner les précédentes exigences.

L'ISO 9001 ne parle plus de responsabilité de la direction mais de leadership. On retiendra que c'est la direction qui est explicitement responsable de l'efficacité du SMQ (la fonction de responsable qualité n'est d'ailleurs plus demandée mais reste toujours attribuable) et que l'”implication du personnel” (un des 7 principes de management de la qualité) est soulignée. Ce personnel devra être "incité", "orienté", "soutenu"... dans sa démarche qualité.

Enfin, l'ISO 9001 demande de gérer les connaissances organisationnelles nécessaires pour mettre en œuvre les processus et assurer la conformité des produits, dans le but de protéger des pertes de connaissance et d'encourager leur développement. Du bon sens, parfaitement applicable en contexte DM.

En conclusion : oui, les normes restent compatibles. Les exigences ne créent pas de conflits mais se complètent. On regrettera évidement la séparation prononcée des deux normes. Les utilisateurs des deux référentiels sont à la peine. La compatibilité est maintenue mais les efforts nécessaires sont multipliés, au point que certains s’interrogent sur le maintien des deux certificats...

---

Qualitiso, F-34000 Montpellier, www.qualitiso.com