Conseil en logiciels pour dispositifs médicaux (SaMD/MDSW)

Le règlement européen sur les dispositifs médicaux (MDR) définit le cadre juridique applicable à tous les dispositifs médicaux mis sur le marché européen. Il s'applique à toutes les organisations qui développent, fabriquent ou distribuent des dispositifs médicaux au sein de l'Union européenne.

Le RDM établit l'obligation de mettre en place un système de gestion de la qualité (SGQ), généralement mis en œuvre conformément à la norme ISO 13485. Il définit également les exigences en matière de documentation technique, y compris un dossier de gestion des risques et une documentation sur la cybersécurité, comme indiqué dans les normes CEI 62304, ISO 14971 et CEI 81001-5-1.

Au-delà des exigences spécifiques aux produits, le RDM régit également :

• La classification des dispositifs et les voies d'évaluation de la conformité
• Les procédures de certification et les interactions avec les organismes notifiés
• Les activités de surveillance et de vigilance après la mise sur le marché

Nous vous aiderons à interpréter et à appliquer ces exigences de manière stratégique, en vous guidant dans la classification, la certification et la planification de la conformité au RDM. Ensemble, nous définirons la voie réglementaire appropriée qui soutiendra vos objectifs en matière de produits et d'activité.

Ce que le RDM de l'UE représente pour le marché européen, le titre 21 du Code of Federal Regulations (CFR) le définit pour les dispositifs médicaux aux États-Unis. Le sous-chapitre H de ces réglementations couvre les mêmes domaines du cycle de vie des produits, de la conception et du développement à l'autorisation de mise sur le marché et aux activités post-commercialisation.

Il comprend :

• Exigences relatives à un système de gestion de la qualité (QSR – 21 CFR 820.30)
• Contrôles de conception et de développement
• Procédures d'autorisation préalable à la mise sur le marché et de classification des dispositifs
• Surveillance post-commercialisation et identification unique des dispositifs (UDI)

Nous vous aiderons à mettre en place un système qualité conforme et efficace, parfaitement aligné sur les exigences du 21 CFR.

Pour les organisations opérant à la fois sur les marchés américain et européen, nous veillons à ce que vos processus relevant du 21 CFR et du RDM UE fonctionnent ensemble dans un cadre cohérent, réduisant ainsi les doublons et maintenant un système unique et efficace dans toutes les régions.

La norme ISO 13485 est la norme fondamentale pour les organisations qui développent et commercialisent des dispositifs médicaux. Elle définit les exigences relatives à un système de gestion de la qualité (SGQ) afin de garantir la qualité et la sécurité constantes des produits.

La norme ISO 13485 ne spécifie pas comment un produit doit être conçu ou développé ; elle concerne davantage les mesures opérationnelles de votre entreprise.

Nous vous aiderons à mettre en œuvre la norme ISO 13485 de manière à renforcer l'efficacité et à soutenir l'excellence opérationnelle de votre entreprise.

La norme 21 CFR 820, également connue sous le nom de Quality System Regulation (QSR), est l'équivalent américain de la norme ISO 13485. Elle couvre les mêmes domaines clés, des exigences générales du système qualité et des contrôles de conception à la gestion des documents, la traçabilité et les actions correctives et préventives (CAPA).

Avec la réglementation FDA sur les systèmes de gestion de la qualité (QMSR) qui intègre désormais la norme ISO 13485 par référence, le cadre américain est en cours d'harmonisation avec cette norme internationale.

Cet alignement simplifie la conformité mondiale et permet aux organisations de maintenir une approche unifiée de la gestion de la qualité sur tous les marchés.

Nous vous aiderons à aligner la norme 21 CFR 820 sur la norme ISO 13485 et à vous préparer à la transition vers la QMSR (Quality Management System Regulation), qui entrera en vigueur le 2 février 2026.

Nous vous aidons à intégrer efficacement la norme ISO 13485 dans votre système 21 CFR 820, en évitant les doublons et en garantissant la conformité totale avec les deux cadres.

La norme IEC 62304 se concentre spécifiquement sur le cycle de vie des logiciels et couvre les aspects suivants :

• Planification initiale
• Conception et développement
• Mise en œuvre et vérification
• Maintenance continue
• Mise hors service et retrait du marché

Cette norme garantit que chaque phase du cycle de vie du produit est contrôlée et documentée.

Nous savons que votre équipe de développement suit déjà des workflows structurés. Notre rôle est de relier ces pratiques quotidiennes aux exigences de la norme IEC 62304, afin que vous puissiez être sûr que vos pratiques de développement existantes répondent aux attentes réglementaires.

Et si certaines exigences de la norme ne sont pas encore entièrement couvertes, nous vous aidons à les relier naturellement au reste de vos activités, en les adaptant à la logique et au rythme de votre organisation.

Aucun dispositif médical ne peut être commercialisé sans un système de gestion des risques approprié, qui est au cœur de la norme ISO 14971.

Cette norme met l'accent sur :

• L'identification des risques potentiels
• L'évaluation et l'atténuation de ces risques
• La surveillance continue des risques tout au long du cycle de vie du produit

Nous vous aidons à comprendre ce que la gestion des risques signifie réellement pour votre produit et vos processus de développement, comment elle est liée à la classification de sécurité des logiciels, à l'ingénierie des exigences, à la conception des logiciels et à la cybersécurité.

Il en résulte un ensemble d'activités logiques et cohérentes qui garantissent que les produits développés par votre équipe sont sûrs, fiables et protègent les patients contre tout préjudice.

Dans le monde actuel des systèmes logiciels interconnectés, qui englobent les appareils mobiles, les réseaux locaux et les plateformes cloud traitant des données sensibles, la cybersécurité est devenue un élément essentiel du développement des logiciels médicaux.

La norme IEC 81001-5-1 définit le cadre de gestion des risques de sécurité en mettant l'accent sur :

• L'identification et l'évaluation des menaces et des vulnérabilités
• La mise en œuvre et le maintien de contrôles de sécurité appropriés
• La surveillance continue de la sécurité de votre produit

Nous aidons votre équipe à comprendre ces principes de cybersécurité et à sélectionner les activités appropriées pour y répondre de manière logique et efficace.

Ensemble, nous concevons des produits sécurisés, en reliant les tâches de cybersécurité à la gestion des risques (ISO 14971) et aux activités du cycle de vie des logiciels (IEC 62304).

Les logiciels pour dispositifs médicaux, en particulier les solutions basées sur le cloud ou interconnectées, traitent de grandes quantités de données. Ces données sont de nature variée, mais beaucoup d'entre elles contiennent des informations hautement sensibles sur les patients. Dans ce contexte, il est essentiel de garantir la confidentialité, l'intégrité et la disponibilité des données.

La norme ISO 27001 fournit le cadre nécessaire à la mise en place d'un système de gestion de la sécurité de l'information (SGSI), une approche structurée pour protéger les informations sensibles au sein de votre organisation.

Bien qu'elle ne soit pas directement obligatoire pour les fabricants de dispositifs médicaux, elle est largement reconnue comme une norme complémentaire pour la conformité aux exigences du RGPD, de la loi HIPAA, de la loi européenne sur l'IA ou du règlement européen MDR en matière d'intégrité, de confidentialité et de protection des données.

Il existe également des liens étroits entre la norme ISO 27001 et les normes relatives aux systèmes de gestion de la qualité, telles que la norme ISO 13485 ou la norme 21 CFR 820.

Nous vous aiderons à relier ces domaines et à mettre en place un système intégré qui traite tous les types de données sensibles, des informations sur les patients aux contrats confidentiels avec les partenaires, en passant par les dossiers des employés et les données financières.

La norme ISO 42001 est la première norme mondiale relative aux systèmes de gestion de l'intelligence artificielle (AIMS).

L'IA fait désormais partie intégrante des technologies modernes, et les logiciels des dispositifs médicaux ne font pas exception. Que vous utilisiez l'IA dans vos opérations internes dans le cadre de votre SMQ ou dans vos dispositifs médicaux, la norme ISO 42001 offre un cadre complet pour gérer cette technologie de manière responsable et efficace.

Tout en introduisant de nouveaux concepts tels que les principes éthiques de l'IA, elle est également étroitement liée aux normes établies. Il existe de forts recoupements avec les concepts de sécurité de l'information (ISO 27001), la norme sur le cycle de vie des logiciels (IEC 62304) ou la norme sur la gestion des risques (ISO 14971).

En tirant parti de ces structures existantes, votre organisation peut intégrer naturellement la gestion de l'IA, sans créer de silos ni de frais généraux inutiles.

Nous aidons les entreprises à intégrer de manière transparente la norme ISO 42001 dans leurs systèmes de gestion de la qualité et leurs pratiques de développement, en garantissant la cohérence et la traçabilité de tous les processus connexes.

Pour les produits de diagnostic in vitro (IVD) basés sur des logiciels, la conformité signifie faire le pont entre deux mondes : les exigences scientifiques et cliniques de l'IVDR et les normes techniques et logicielles qui garantissent la fiabilité et la sécurité des produits.

Nous vous aiderons à créer une documentation technique spécifique à l'IVDR, notamment :

• Plans d'évaluation des performances et rapports de validité scientifique
• Déclarations de conformité
• Plans de suivi des performances après commercialisation (PMPF)
• Résumés de sécurité et de performance (SSP)

Notre équipe réunit des experts titulaires d'un doctorat dans les domaines clinique et laboratoire, ainsi que des professionnels expérimentés dans le développement de logiciels pour dispositifs médicaux.

Cela nous permet de relier les exigences spécifiques à l'IVDR aux normes logicielles appropriées, telles que :

• IEC 62304 – processus du cycle de vie des logiciels
• ISO 14971 – gestion des risques
• IEC 81001-5-1 – cybersécurité pour les systèmes IVD connectés ou en réseau

Il en résulte une approche holistique et intégrée couvrant tous les aspects de la conformité, tels que les aspects cliniques, laboratoires, réglementaires, logiciels ou de cybersécurité.

La validation des systèmes informatiques occupe une place particulière dans nos services. Nous pensons que la numérisation et l'automatisation doivent renforcer la gestion de la qualité, et nous vous aiderons à transformer la validation en un processus allégé qui profitera à votre organisation.

Trop souvent, les organisations hésitent à intégrer des outils numériques dans leurs systèmes de gestion de la qualité ou leurs environnements opérationnels, par crainte que la validation ne soit trop complexe, trop longue et trop coûteuse. En conséquence, de nombreux systèmes informatiques restent sous-utilisés, ou pire, non validés et laissés dans l'ombre.

Nous combinons notre approche basée sur les risques, notre expertise clinique, notre connaissance approfondie des cycles de vie des logiciels, notre expertise en matière de sécurité de l'information et notre passion pour les opérations numériques, ce qui rend la CSV efficace, logique et axée sur la valeur.

Nous avons développé et validé de nombreuses solutions logicielles propres, et nous avons également soutenu des projets de validation complexes pour de grands fabricants de dispositifs médicaux, dont les résultats ont finalement été approuvés par les autorités réglementaires.

Une validation appropriée ne doit pas nécessairement être un fardeau. Lorsqu'elle est bien faite, elle donne à votre organisation l'assurance que tous les systèmes logiciels sur lesquels vous comptez fonctionnent de manière fiable, sans menacer la continuité des activités, la qualité des produits ou la sécurité des patients.

Nous savons que le CAPA peut être l'un des aspects les plus exigeants d'un système de gestion de la qualité. De nombreuses équipes le trouvent compliqué, lent et même frustrant, surtout lorsqu'elles savent que c'est le domaine que les organismes notifiés examinent toujours de près.

C'est pourquoi nous intervenons. Notre conseil en matière de CAPA combine notre connaissance approfondie des réglementations et notre expérience pratique acquise lors de la transformation de systèmes de qualité réels. Nous avons travaillé sur des centaines de CAPA et nous n'hésitons pas à aller au fond des choses pour découvrir les causes réelles. Il ne s'agit pas seulement de « clore » une CAPA, mais de corriger ce qui ne fonctionne pas dans votre entreprise.

Nous vous guiderons à chaque étape, de l'identification du problème à l'évaluation de l'efficacité de vos actions.

Vous obtiendrez ainsi des CAPA claires, ciblées et significatives, et pas seulement conformes.

Votre organisation verra ce qui a causé le problème, ce qui a été fait pour le résoudre et dans quelle mesure la solution a réellement fonctionné.

Pour nous, chaque CAPA est une occasion de rendre votre système plus solide et plus efficace. Nous vous montrerons également comment gérer vous-même les futures non-conformités, avec confiance et méthode.

Nous connaissons les audits des deux côtés. Au fil des ans, nous avons audité de nombreuses entreprises, évaluant leur état de préparation à la certification MDR de l'UE, l'efficacité de leurs systèmes de gestion de la qualité et l'exhaustivité de leur documentation technique, y compris les dossiers relatifs à la gestion des risques et à la cybersécurité.

Dans le même temps, nous nous sommes également retrouvés de l'autre côté, en tant que responsables de processus, représentants de la gestion de la qualité et spécialistes des affaires réglementaires dans diverses organisations.

C'est pourquoi nos services d'audit offrent toujours ces deux perspectives. Nous comprenons ce que les auditeurs doivent voir, ainsi que ce que signifie gérer la complexité de la conformité au sein d'une organisation.

Lorsque nous auditons vos processus ou votre documentation technique, nous allons au-delà d'une simple liste de contrôle. Nous vous aidons à comprendre ce qui pourrait poser problème à l'avenir, à identifier les domaines dans lesquels votre système pourrait devenir non viable et à reconnaître les points sur lesquels les auditeurs externes se concentrent généralement.

Vous recevrez non seulement un rapport d'audit, mais aussi une évaluation pratique accompagnée de conseils clairs, de propositions d'améliorations et d'une évaluation détaillée de votre situation actuelle avant une inspection ou la soumission de documentation technique.

La mise en œuvre de la directive NIS2 est un autre domaine dans lequel nous aidons nos clients à intégrer cette nouvelle réglementation européenne dans leurs structures opérationnelles et de gouvernance existantes.

Nous nous appuyons sur les normes et les cadres que de nombreuses organisations connaissent déjà bien, tels que ISO 27001, ISO 27002 et IEC 81001-5-1. Ceux-ci constituent une base solide pour la mise en œuvre de la NIS2, en particulier dans des domaines tels que la confidentialité des données, la continuité des activités et la reprise après sinistre.

Avec notre aide, vous mettrez en place un système de gestion complet qui intègre pleinement les exigences de la directive NIS2 dans votre gouvernance de la qualité et de l'information. Cela comprend la définition et la mise en œuvre de processus tels que la gestion des incidents, les procédures de signalement et les contrôles basés sur les risques.

Il en résulte un environnement intégré où la directive NIS2 s'intègre naturellement à votre système de gestion de la qualité existant, non pas comme un système distinct, mais comme un cadre cohérent suivant une approche GRC (gouvernance, risque et conformité).

Grâce à notre ensemble de services de mise en œuvre des réglementations et des normes, nous aidons également nos clients à se conformer à la nouvelle loi européenne sur l'IA, une réglementation européenne complète régissant l'utilisation sûre et responsable de l'intelligence artificielle.

Comme pour les autres cadres réglementaires, l'approche la plus efficace consiste à intégrer les processus requis à votre système de gestion existant, plutôt que de créer des procédures redondantes ou qui se chevauchent.

Pour les logiciels médicaux basés sur l'IA, la loi européenne sur l'IA s'applique presque toujours, car ces systèmes sont généralement classés comme présentant un risque élevé.

Cependant, la conformité peut être mise en place efficacement à l'aide de normes que vous appliquez peut-être déjà, notamment :

• IEC 62304 pour les processus du cycle de vie des logiciels
• ISO 14971 pour la gestion des risques
• IEC 81001-5-1 pour la cybersécurité
• ISO/IEC 23894 pour l'identification des dangers et des risques spécifiques à l'IA

Nous vous aidons à examiner votre configuration actuelle, à identifier les lacunes dans vos processus au regard de la loi européenne sur l'IA, et à intégrer de manière transparente les contrôles et la documentation requis dans votre système de gestion de la qualité et votre cadre de développement existants.

Nous aidons les entreprises dans tous les aspects des soumissions 510(k) et PMA, de la définition de la voie réglementaire appropriée à la préparation et à la gestion des dossiers de soumission complets.

Tout commence par la stratégie et la planification réglementaires, qui consistent à déterminer la voie appropriée, à identifier les dispositifs de référence et à répertorier la documentation requise.

À partir de là, nous vous aidons à préparer :

• Une documentation technique conforme aux normes IEC 62304 et 21 CFR 820.30, et prête à être soumise
• Des dossiers de gestion des risques conformes à la norme ISO 14971
• Une documentation sur la cybersécurité et les enregistrements connexes

Nous vous aidons également dans vos interactions avec la FDA, notamment les réunions préalables à la soumission, les réponses aux questions de la FDA et les mesures de suivi après la soumission.

Grâce à notre expérience, vous bénéficiez d'un partenaire de confiance pour l'ensemble du processus, qui vous garantit une soumission complète, conforme et stratégiquement positionnée pour réussir sur le marché américain.