Fascicoli del rischio ISO 14971: evidenze e riesame

Un fascicolo di gestione del rischio dovrebbe consentire a un valutatore di ricostruire il motivo per cui una determinata configurazione del dispositivo è stata considerata accettabile, quali evidenze hanno supportato tale decisione e quali nuove informazioni la modificherebbero. Un foglio di calcolo contenente pericoli a cui è stato attribuito un punteggio necessita di collegamenti alle evidenze e alle decisioni per rispondere a tali domande.

Ricerca esaminata: settembre 18, 2026. Questa relazione si rivolge ai fabbricanti di dispositivi medici che predispongono o mantengono evidenze per l'UE e gli Stati Uniti. Gli esempi pratici sono riesami tecnici ipotetici, non risultanze relative al dispositivo di un cliente. I requisiti specifici del prodotto e le procedure controllate dell'organizzazione determinano comunque il lavoro effettivo.

TL;DR

• I criteri di accettabilità richiedono una motivazione. ISO 14971:2019 descrive un processo del ciclo di vita e richiede criteri oggettivi di accettabilità del rischio; i livelli accettabili e la presentazione prescelta richiedono una motivazione specifica per il dispositivo. Definire i criteri prima di applicare i punteggi. L'ISO/TR 24971:2020 fornisce una guida all'applicazione piuttosto che un requisito di certificazione aggiuntivo. ^{1 2}
• Il conteggio dei richiami identifica quesiti di riesame, non la probabilità di guasto di un dispositivo. La nostra esportazione fissata contiene 58,785 numeri distinti di richiamo di prodotto FDA. Device Design ne rappresenta 7,621 e Process control 6,494. Altri 16,709 record rientrano in categorie generiche, non risolte o mancanti. Si utilizzi tale distribuzione per verificare criticamente la copertura delle evidenze, non per stilare una graduatoria dei prodotti o sostenere che un fascicolo del rischio prevenga una percentuale misurata di richiami. Pure Global — Aggregati di richiamo riproducibili, metodi ed estratto dei prezzi specifici per questa relazione
• La decisione di rilascio necessita di evidenze collegate. Per ciascuno scenario di danno rilevante, collegare la configurazione pertinente, la misura di controllo, il risultato di verifica, la motivazione del rischio residuo e l'elemento attivatore del riesame post-commercializzazione. Distinguere i requisiti di legge da norme e linee guida, e distinguere le tariffe di riesame professionale dal costo per la creazione delle evidenze ingegneristiche mancanti.

Che cosa abbiamo effettivamente conteggiato nell'esportazione dei richiami?

L'analisi è iniziata con il catalogo dati condiviso e un'esportazione fissata dei richiami di dispositivi medici di FDA datata agosto 24, 2026. Abbiamo conteggiato ogni riga, verificato l'univocità di product_res_number e raggruppato il testo esatto in root_cause_description. Sono presenti 58,785 righe e 58,785 numeri univoci di richiamo di prodotto, con 44 categorie compreso un valore vuoto. Il supplemento di calcolo conserva il checksum di input, i conteggi delle categorie, i controlli di qualità delle date e le definizioni di raggruppamento. Il denominatore è l'intera istantanea esportata, non i dispositivi venduti, i pazienti trattati, le ispezioni condotte o i fabbricanti operativi. Pure Global — Aggregati di richiamo riproducibili, metodi ed estratto dei prezzi specifici per questa relazione

Questa distinzione è sostanziale. Una singola azione correttiva può riguardare molteplici prodotti a catalogo e generare diversi numeri di richiamo di prodotto. Al contrario, un record di richiamo può descrivere una grande quantità di unità interessate. Senza un collegamento difendibile agli eventi e un denominatore di esposizione, dividere record per record produce una quota di record. La stima della probabilità di danno richiede ulteriori evidenze relative all'esposizione e agli esiti. Abbiamo mantenuto i numeri di richiamo di prodotto come unità per l'intera analisi e abbiamo lasciato al di fuori del suo ambito la frequenza degli eventi, l'esposizione dei pazienti e la sicurezza comparativa dei prodotti.

La risorsa openFDA pertinente è il set di dati device recall, non una raccolta generica di eventi avversi o un feed indifferenziato di provvedimenti esecutivi. La sua documentazione identifica come fonte la banca dati dei richiami di dispositivi medici di FDA e spiega che i dati possono essere rettificati. Il codice di acquisizione pubblicato da FDA mappa root_cause_description a partire dal campo della causa determinata da FDA della banca dati. Alcune etichette di categoria contengono le parole “by firm,” ma descrivere l'intera colonna come un insieme di cause primarie assegnate dal fabbricante ne traviserebbe la provenienza. ^{3 4}

Le categorie principali includono Device Design, 7,621 record o il 13.0%; Process control, 6,494 o il 11.0%; Nonconforming Material/Component, 5,863 o il 10.0%; e Software design, 3,449 o il 5.9%. Queste sono etichette a livello di record di richiamo. L'esportazione lascia irrisolti il metodo di gestione del rischio pre-rilascio, la completezza dei test e l'effetto di progetti alternativi. Tali quesiti richiedono il singolo record, le comunicazioni successive e le evidenze specifiche del prodotto.

Un secondo calcolo cambia l'interpretazione del primo. Other contribuisce con 8,928 record; Under Investigation by firm contribuisce con 6,777; Unknown/Undetermined by firm contribuisce con 647; Pending contribuisce con 344; e 13 record sono vuoti. Insieme, queste categorie contengono 16,709 record, pari al 28.4% dell'esportazione. Si tratta di un gruppo, definito dall'analista, di etichette aspecifiche, non risolte o assenti. “Other” può comprendere indagini concluse il cui specifico meccanismo causale rimane non disponibile in questo campo codificato.

La decisione gestionale utile è pertanto circoscritta: riservare l'impegno di riesame alla transizione dalla progettazione alla produzione, alle ipotesi sui materiali in ingresso, al comportamento del software e alle evidenze che le misure di controllo rimangano efficaci. I fabbricanti di un semplice materiale di consumo sterile e di un dispositivo di infusione connesso necessitano di priorità di collaudo distinte e specifiche per il prodotto. I loro pericoli, utilizzatori, modelli di esposizione ed evidenze applicabili differiscono.

Quanto incide la tassonomia sulla priorità apparente?

Il raggruppamento delle categorie può creare una conclusione apparentemente precisa che dipende da una scelta non dichiarata. Si consideri il confezionamento. Sommando solo Packaging e Packaging process control si ottengono 3,117 record, pari al 5.3% dell'esportazione. L'aggiunta di Package design/selection e Packaging change control produce 4,268, o il 7.3%. Entrambe le somme sono riproducibili; rispondono a quesiti diversi. Nessuna delle due costituisce un conteggio diretto dei cedimenti della barriera sterile. Un richiamo correlato al confezionamento potrebbe riguardare l'identificazione, la protezione o un'altra funzione. Pure Global — Aggregati di richiamo riproducibili, metodi ed estratto dei prezzi specifici per questa relazione

La differenza è di 1,151 record. È sufficientemente ampia da far apparire diversa una graduatoria dei “rischi principali”, eppure nulla nei dispositivi sottostanti è cambiato. L'analista ha modificato il paniere. Il supplemento conserva pertanto le etichette originali complete, consentendo ai lettori di esaminare le categorie alla base di qualsiasi raggruppamento proposto. Un responsabile della qualità può selezionare una popolazione di prodotti più ristretta e leggerne gli avvisi effettivi, ma dovrebbe documentare tale selezione prima di interpretarne il risultato.

Lo stesso problema si presenta per il software. Software design è un'etichetta distinta da Software change control, Software Design Change, Software Manufacturing/Software Deployment, Software in the Use Environment e Software design (manufacturing process). Combinarle può risultare utile per un quesito di governance del software. È opportuno contrassegnarla esplicitamente come gruppo definito dall'analista e pubblicarne le categorie costitutive. Mantenere il campo originale e un gruppo separato definito dall'analista consente a un altro valutatore di riprodurre o contestare il raggruppamento senza perdere la tracciabilità della provenienza.

Anche la qualità delle date è importante. Un controllo di plausibilità segnala 21 date di avvio al di fuori dei limiti prescelti 1976–2026, compreso un valore con l'anno 0010. Manteniamo tali record nel denominatore di categoria comprensivo di tutti i record, segnaliamo il problema relativo alle date ed evitiamo di ricavare una tendenza storica da date non verificate. L'esclusione di una data sospetta da una tendenza richiederebbe una regola dichiarata; riscriverla impostandola su un anno ipotizzato creerebbe dati privi di riscontro. Questa relazione non formula alcuna affermazione in merito al fatto che le proporzioni osservate siano aumentate o diminuite nell'arco di un periodo specificato.

Per un riesame interno, trasformare ogni record pertinente in un quesito con una precisa collocazione della risposta. Se un dispositivo comparabile ha presentato un problema di materiale, la domanda utile è quale attributo del materiale sia rilevante per la funzione prevista e in che modo il prodotto attuale dimostri il controllo di tale attributo. Il certificato di un fornitore può rispondere a una questione di identificazione, lasciando tuttavia irrisolto un problema prestazionale. Se un prodotto comparabile ha evidenziato un problema di aggiornamento software, occorre verificare quali versioni, interfacce e stati di installazione siano coperti dalle attuali evidenze di regressione.

Una ricerca sui richiami può anche fornire controevidenze rispetto alla ricostruzione preferita da un team. Un gruppo focalizzato sulla progettazione potrebbe scoprire che una modifica di produzione ha invalidato le sue ipotesi. Un gruppo focalizzato sulla fabbricazione potrebbe scoprire che un processo invariato produce sistematicamente un progetto con margini inadeguati. Nessuna delle due scoperte dimostra che l'azienda presenti il medesimo problema. Essa identifica una contestazione plausibile che dovrebbe essere accolta, respinta o approfondita mediante evidenze relative al prodotto. Registrare tale determinazione invece di copiare le descrizioni dei richiami dei concorrenti in una tabella dei pericoli come se fossero eventi verificati per il proprio dispositivo.

Quali requisiti disciplinano un fascicolo di gestione del rischio per l'UE o gli Stati Uniti?

Iniziare con una breve registrazione dell'applicabilità. Identificare il prodotto, la destinazione d'uso, i mercati, la classificazione, la fase del ciclo di vita e il percorso di sottomissione o di valutazione della conformità. Identificare quindi ogni requisito legale applicabile, l'edizione delle norme tecniche, le linee guida e le aspettative probatorie specifiche per il prodotto. L'importante distinzione è quella tra un obbligo e un possibile metodo per soddisfarlo. Verificare l'edizione e lo stato giurisdizionale anche quando il titolo di una norma risulta familiare. ¹

Per l'UE, l'Allegato I dell'MDR richiede un sistema di gestione del rischio documentato e iterativo e un approccio ordinato alle misure di controllo del rischio. L'Allegato II riguarda la documentazione tecnica, inclusi l'analisi dei benefici-rischi e la gestione del rischio. L'Allegato III disciplina la documentazione sulla sorveglianza post-commercializzazione. Queste interconnessioni implicano che la modifica delle rivendicazioni cliniche, del processo di produzione o delle informazioni di sicurezza disponibili possa influire su più di un documento. L'organizzazione deve comunque scegliere un'impostazione fruibile per gestire tali collegamenti. ⁵

La Commissione europea spiega che l'uso di norme armonizzate è volontario e che una norma citata supporta la presunzione di conformità nell'ambito della sua specifica copertura. Un team dovrebbe registrare l'edizione europea applicabile, l'emendamento e lo stato nella Gazzetta Ufficiale, unitamente a eventuali limitazioni, anziché presumere che il solo titolo internazionale soddisfi ogni requisito dell'MDR. Una matrice delle norme è utile soltanto se registra ciò che le evidenze coprono effettivamente. Un elenco di norme copiato senza alcuna motivazione di applicabilità è difficile da mantenere quando il prodotto subisce modifiche. ⁶

Negli Stati Uniti, il QMSR è entrato in vigore il 2 febbraio 2026 e incorpora ISO 13485:2016 mediante riferimento, con ulteriori requisiti FDA. ISO 14971 svolge un ruolo distinto nel riconoscimento delle norme. I requisiti ispettivi di FDA continuano ad applicarsi ai fabbricanti in possesso di un certificato ISO 13485. Separatamente, il database delle norme riconosciute di FDA elenca ISO 14971 Terza Edizione 2019-12 con il numero di riconoscimento 5-125, con riconoscimento completo e una specifica qualificazione relativa alla cybersicurezza nel relativo testo esplicativo. ^{7 8}

Il risultato pratico è una mappa controllata dei requisiti con una motivazione per ogni inclusione. Si supponga che un'azienda abbia una famiglia di prodotti commercializzata in entrambi i mercati. Essa può mantenere un'analisi del rischio ingegneristica comune, collegando al contempo evidenze e decisioni specifiche per il rispettivo mercato. Ciò evita che due inventari dei pericoli redatti in modo indipendente divergano tra loro. La dichiarazione UE, la sottomissione per gli Stati Uniti e il riesame interno per il rilascio conservano le rispettive finalità distinte.

Assegnare la titolarità di tale mappa. Gli affari regolatori possono identificare il percorso applicabile e le aspettative documentali; l'ingegneria può spiegare quale configurazione e quali test supportino le rivendicazioni tecniche; la qualità può collegare i controlli di produzione e delle modifiche; le competenze cliniche possono valutare la pertinenza dei danni e dei benefici. Un coordinatore dovrebbe riconciliare i dissensi in una registrazione decisionale approvata. Registrare la conclusione specifica di ciascuna funzione: il collaudo della configurazione software pertinente, ad esempio, o la valutazione degli obblighi di mercato applicabili.

Che cosa dovrebbe consentire il fascicolo a un'altra persona di ricostruire?

Si consideri il fascicolo come un indice di evidenze controllate, con spiegazioni sufficienti a ripercorrere una decisione. Esso può fare riferimento a registrazioni conservate in diversi sistemi, purché tali registrazioni rimangano identificabili, accessibili e sotto un adeguato controllo. La seguente organizzazione rappresenta una struttura operativa raccomandata, non l'affermazione che l'ISO imponga esattamente questi nomi per le cartelle. Essa attua la finalità legata al ciclo di vita descritta da ISO 14971 e impiega l'ISO/TR 24971 come guida per l'applicazione. ^{1 2}

In primo luogo, definire la configurazione valutata. Includere i confini del prodotto o della famiglia, gli utilizzatori e gli ambienti d'uso previsti, gli accessori, le versioni software rilevanti, le ipotesi di fabbricazione e le combinazioni supportate. Spiegare perché le varianti appartengono allo stesso gruppo. Se una famiglia condivide un'analisi ma differisce per contatto con il paziente, erogazione di energia, materiali o interazione con l'operatore, identificare quali ipotesi ed evidenze richiedano una trattazione separata. Il fascicolo dovrebbe consentire di stabilire se una variante di nuova proposta rientri nei confini valutati.

In secondo luogo, identificare il piano e le regole decisionali. Indicare responsabilità, punti di riesame, criteri di accettabilità, approccio di verifica e il metodo per la raccolta delle informazioni di produzione e post-produzione. Spiegare in che modo il team gestirà l'incertezza e le evidenze contrastanti. Un piano che si limiti ad affermare che “tutti i rischi saranno ridotti al verde” lascia il valutatore senza alcun motivo per fidarsi dei colori. I criteri dovrebbero essere coerenti con la destinazione d'uso e la natura del danno, anziché comparire soltanto dopo che i risultati dei test sono noti.

In terzo luogo, registrare gli scenari di danno e le decisioni sulle misure di controllo. Mantenere la correlazione tra una sorgente di potenziale danno, una sequenza prevedibile di eventi, una situazione pericolosa e il danno risultante. Un modo di guasto può contribuire a tale catena senza essere identico al danno. Ad esempio, una sigillatura incompleta del confezionamento è una condizione di guasto; l'esposizione di un paziente vulnerabile a microrganismi durante l'uso costituisce una parte diversa dello scenario; l'infezione è un possibile danno. Mantenere chiare queste distinzioni aiuta a individuare quale misura di controllo intervenga su ciascun passaggio.

In quarto luogo, collegare ciascuna misura di controllo selezionata alle evidenze della sua implementazione e alle evidenze della sua efficacia. La revisione di un disegno può dimostrare che un connettore è stato riprogettato. Dimostrare la prevenzione delle connessioni errate previste richiede evidenze delle prestazioni in condizioni pertinenti. Un rapporto di prova può supportare l'efficacia, ma solo per i campioni, le configurazioni, le condizioni e i criteri di accettabilità testati. Includere tali limiti nel collegamento, affinché un lettore successivo possa valutarne l'applicabilità senza dover cercare tra allegati non pertinenti.

In quinto luogo, preservare la decisione sul rischio residuo e la decisione complessiva. Spiegare perché i rischi residui soddisfano i criteri definiti, identificare le questioni irrisolte e documentare l'autorità competente per il rilascio o per ulteriori attività. La decisione complessiva dovrebbe considerare il dispositivo nelle sue effettive condizioni d'uso, comprese le interazioni tra le misure di controllo. Infine, collegare tale decisione alle informazioni monitorate dopo il rilascio e alle modifiche che riaprono la valutazione. Una conclusione attuale e chiaramente identificabile rende il fascicolo utilizzabile per una sottomissione o una modifica ingegneristica, anche quando contiene una consistente documentazione storica.

Come si verifica se una misura di controllo dispone di evidenze sufficienti?

Si utilizzi un ipotetico dispositivo sterile monouso per distinguere le diverse tipologie di evidenze. Si presuma che la misura di controllo proposta sia un confezionamento sigillato destinato a proteggere il dispositivo durante le condizioni dichiarate di conservazione e distribuzione. Il riesame dovrebbe stabilire se la relazione supporti il materiale, il processo di sigillatura, la geometria del dispositivo, la dichiarazione di invecchiamento e le condizioni di distribuzione che definiscono la configurazione proposta. Il fabbricante necessiterebbe di un piano di test specifico per il dispositivo al fine di applicare questo metodo di riesame. ²

Si inizi dal claim. Se il team commerciale promette una determinata durata di conservazione mentre l'evidenza copre un intervallo più breve, un'affermazione nella tabella dei rischi secondo cui il confezionamento è stato “validato” cela tale discrepanza. Se il team di produzione cambia fornitore di buste, si verifichi quali attributi e ipotesi di processo possano essere ragionevolmente ricollegati alle evidenze esistenti. Si riesamini lo studio precedente rispetto al nuovo materiale e alle ipotesi portate avanti. Si registri la motivazione alla base del bridging o dell'acquisizione di ulteriori evidenze.

Successivamente, si distingua la presenza della misura di controllo dalle sue prestazioni. Una specifica di acquisto e una distinta base approvata possono stabilire quale busta debba essere utilizzata. I record di produzione e i controlli in accettazione possono aiutare a stabilire cosa sia stato effettivamente utilizzato. Un programma di test pertinente può valutare le prestazioni nelle condizioni stabilite. Questi elementi rispondono a quesiti differenti. Sceglierne uno come sostituto di tutti gli altri lascia una lacuna che un dashboard di completezza documentale potrebbe non evidenziare.

Si consideri un secondo esempio ipotetico: un dispositivo per uso domiciliare presenta un'avvertenza destinata a prevenire una configurazione non sicura. Il team dovrebbe chiedersi se gli utilizzatori previsti siano in grado di notare, comprendere e agire in base alle informazioni nel punto di utilizzo. La guida sui fattori umani di FDA affronta gli utilizzatori, gli ambienti d'uso e le interfacce utente nella valutazione del rischio correlato all'uso. Essa supporta l'esame dell'interazione effettiva, piuttosto che considerare la presenza di una frase di avvertenza come prova che lo scenario sia stato controllato. ⁹

Si consideri ora un limite software progettato per prevenire un output fuori intervallo. Requisiti, riesame dell'implementazione e risultati di verifica dovrebbero fare riferimento alla medesima versione e alle stesse condizioni al contorno. Si includa ciò che accade in caso di input mancante, operatività interrotta, ripristino e combinazioni rilevanti con altre funzioni. La guida di FDA del 2023 sulle sottomissioni software collega la documentazione software alla valutazione di sicurezza ed efficacia; il livello di documentazione e il contenuto della sottomissione richiedono una decisione di applicabilità a sé stante. Un'affermazione generica secondo cui il software è stato “completamente validato” fornisce scarse informazioni su quale comportamento sia stato valutato. ¹⁰

Per i prodotti connessi, si preveda una specifica interfaccia di cybersicurezza. La guida di FDA di febbraio 3, 2026 ha sostituito il documento di giugno 2025. Essa distingue la valutazione del rischio di sicurezza dalla stima della probabilità di un comune evento accidentale e affronta aspetti quali la modellazione delle minacce, l'architettura e i controlli lungo il ciclo di vita. La voce riconosciuta ISO 14971 fa ora esplicito riferimento alla sfruttabilità per la stima del rischio di cybersicurezza. Non si forzi uno scenario guidato da un aggressore all'interno di una stima numerica di occorrenza non supportata al solo fine di adattarlo a un foglio di calcolo esistente. Si colleghi l'analisi della sicurezza informatica alle potenziali conseguenze sulla sicurezza, preservando al contempo il ragionamento specifico per la cybersicurezza. ^{11 8}

Come può un team evidenziare l'incertezza prima di approvare il fascicolo?

Un riesame delle evidenze diventa più utile quando distingue un risultato osservato da una conclusione dedotta. Si consideri un ipotetico studio a banco in cui non si verifica alcun guasto tra le 100 unità testate. L'osservazione direttamente supportata è pari a zero guasti osservati in tali condizioni di prova. Le prestazioni sul campo rimangono soggette all'incertezza di campionamento e alle differenze nelle condizioni d'uso. Se i campioni fossero indipendenti e rappresentativi di un processo binomiale definito, il limite superiore di confidenza unilaterale al 95% sarebbe pari a circa il 3%, calcolato come uno meno 0.05 elevato alla potenza di uno diviso per 100. Tali presupposti potrebbero non descrivere un test accelerato, un campione selezionato nel caso peggiore o l'uso clinico. Il calcolo illustra l'incertezza; il criterio di accettazione richiede una giustificazione a parte. ¹

La questione successiva riguarda il collegamento tra la prova e lo scenario di danno. Il guasto di un componente può portare o meno a una situazione pericolosa, e una situazione pericolosa può portare o meno a uno specifico danno. Il passaggio da uno studio a banco sul comportamento del componente alla probabilità di danno per il paziente richiede evidenze per i passaggi intermedi. Si documentino le ipotesi intermedie. Laddove le evidenze supportino unicamente una stima qualitativa, una valutazione qualitativa motivata può comunicare l'incertezza in modo più onesto rispetto a svariate cifre decimali copiate in una matrice di rischio.

Si separi inoltre l'indipendenza dalla numerosità dei campioni. Letture ripetute su una singola unità e osservazioni condotte su cento unità supportano inferenze differenti sulla variabilità tra unità. Più lotti realizzati con un unico lotto di materiale invariato potrebbero non esplorare la variabilità introdotta da un cambio di fornitore. Si tratta di questioni attinenti al disegno dello studio e all'inferenza formulata, non di motivi per esigere una determinata dimensione campionaria in ogni progetto. Il fascicolo dovrebbe identificare quali fonti di variabilità siano rilevanti e spiegare come le evidenze disponibili le affrontino.

Per ciascuna ipotesi rilevante, si crei una breve registrazione contenente l'ipotesi, le evidenze a supporto, i limiti di applicabilità e le conseguenze qualora risulti errata. Un'ipotesi sulla durata di conservazione potrebbe dipendere da uno specifico materiale e dalle condizioni di conservazione. Un'ipotesi sui fattori umani potrebbe dipendere dal gruppo di utilizzatori previsti e dall'addestramento. Un'ipotesi sul software potrebbe dipendere da un'interfaccia che rimane disponibile durante il ripristino. Questa registrazione rappresenta uno strumento di lavoro proposto a fini redazionali. Contribuisce a rendere i collegamenti tra controllo ed evidenze discussi nelle linee guida sui fattori umani e sul software di FDA riesaminabili a livello interfunzionale. ^{9 10}

Si distingua ora il disaccordo sui fatti dal disaccordo sui criteri. Due revisori possono concordare sul risultato del test, ma essere in disaccordo sul fatto che il campione rappresenti la configurazione offerta. Possono concordare sull'applicabilità, ma divergere sul rischio residuo accettabile. Risolvere il primo disaccordo richiede una decisione sulle evidenze o sull'applicabilità; risolvere il secondo richiede l'applicazione dei criteri approvati dall'organizzazione e dell'autorità decisionale preposta. Il verbale di una riunione in cui si afferma che il team ha raggiunto il consenso è incompleto a meno che non registri quale questione sia stata risolta e la base per risolverla.

Si utilizzino disposizioni esplicite per le lacune nelle evidenze. “Report non disponibile” indica un problema di reperimento o di proprietà finché l'esistenza e la pertinenza del report non siano confermate. “Test non eseguito” identifica una lacuna diversa. “Test eseguito su una configurazione precedente” richiede una valutazione di applicabilità. “Test fallito” richiede un'indagine e una decisione sulle sue implicazioni. “Criterio modificato dopo il riesame dei risultati” richiede una giustificazione trasparente e la valutazione di potenziali distorsioni. Combinare questi stati in un unico stato ambra priva i decisori delle informazioni necessarie per scegliere l'azione successiva.

La registrazione del riesame può concludersi con una breve tabella decisionale: evidenza accettata con i relativi limiti, analisi supplementare richiesta, test supplementari richiesti, claim o configurazione modificati, oppure decisione di rilascio rinviata. Si tratta di disposizioni amministrative proposte, non di sostituti delle procedure formali dell'organizzazione. Ciascuna dovrebbe identificare un responsabile e la configurazione interessata. Laddove una conclusione dipenda da informazioni successive, si indichi se tale dipendenza consenta il rilascio in base ai criteri applicabili o precluda una decisione. Ciò è più informativo rispetto all'etichettare l'intero fascicolo come “completo” lasciando irrisolte le sue ipotesi di maggiore impatto.

Che cosa può aggiungere un esempio reale di enforcement?

La documentazione pubblica di enforcement fornisce una direttrice probatoria diversa rispetto a un grafico aggregato sui richiami. La warning letter di FDA a Royal Philips del 9 settembre 2025 esamina le osservazioni emerse dalle ispezioni presso stabilimenti correlati agli ultrasuoni e la valutazione dell'agenzia in merito alle risposte presentate. Comprende criticità relative ad azioni correttive, reclami ed evidenze sui dispositivi. Si tratta del resoconto, riferito a una data specifica, dei rilievi e delle preoccupazioni di FDA, non di una stima generale delle prestazioni del settore né di una dichiarazione relativa a ogni prodotto Philips. ¹²

Per un fabbricante diverso, il valore risiede nell'estrapolare una domanda di riesame, non nel copiare una conclusione. Quando un'azione correttiva è supportata da una prova, che cosa dimostra che tale prova affronta il meccanismo di guasto identificato? Quando un reclamo viene chiuso, cosa collega la motivazione della chiusura alle evidenze disponibili? Quando per un dispositivo è definita un'ipotesi relativa alla vita utile o alla manutenzione, dove si trovano le informazioni di supporto e in che modo viene comunicata tale ipotesi? Queste domande possono portare alla luce anelli mancanti anche quando le registrazioni aziendali riguardano prodotti diversi, cause diverse ed esiti diversi.

Un utile esercizio di riesame parte da uno scenario di danno significativo e lo segue in entrambe le direzioni. In avanti, esaminare come l'analisi abbia condotto a una misura di controllo e come tale controllo sia stato implementato e verificato. A ritroso, partire da un reclamo, da un test non superato o da un componente modificato e determinare quali ipotesi di rischio possa influenzare. I due percorsi dovrebbero convergere su una configurazione e su una decisione identificabili. Se approdano a versioni differenti dell'analisi, riconciliare le ipotesi e le evidenze prima di approvare la conclusione attuale.

Registrare i limiti probatori del riesame. Una warning letter pubblica può omettere dettagli tecnici riservati. Una risposta descritta come inadeguata a una determinata data può essere successivamente integrata. Un'affermazione circa l'attuale stato di conformità richiede una verifica separata delle informazioni pubbliche successive. Allo stesso modo, un avviso di richiamo può identificare un'azione senza fornire evidenze sufficienti a ricostruire l'intera decisione sul rischio assunta dal fabbricante. Le evidenze pubbliche supportano domande mirate; raramente supportano un audit esterno completo.

Per un riesame della direzione, l'azione risultante può essere concreta. Selezionare un campione ridotto e giustificato tra uno scenario di danno grave, una recente modifica di progettazione, una modifica di produzione e un segnale post-market. Registrare la logica di campionamento. Chiedere alle diverse funzioni di dimostrare il percorso delle evidenze piuttosto che limitarsi a riferire che un documento è approvato. Eventuali lacune diventano indagini assegnate con ambito, responsabile, data di scadenza e disposizione. Si tratta di un esercizio di riesame proposto a livello editoriale, non di una dimensione campionaria imposta da FDA né di un metodo garantito per superare un'ispezione.

Anche la sua misura di successo dovrebbe essere concreta. Il team dovrebbe essere in grado di identificare la configurazione interessata, reperire le evidenze applicabili, spiegarne i limiti e definire la decisione ancora necessaria. Un recupero più rapido può essere utile a livello operativo, ma nessun obiettivo arbitrario di recupero in novanta secondi stabilisce l'adeguatezza normativa. Una conclusione prontamente accessibile ma non supportata resta comunque non supportata. Una conclusione più lenta ma ben supportata da evidenze può invece rivelare un problema di indicizzazione che merita un'azione correttiva diversa.

Come dovrebbero collegarsi il rischio residuo e le informazioni post-market?

Una decisione sul rischio residuo dovrebbe esplicitare il ragionamento che permane dopo aver preso in considerazione le misure di controllo. Separare la gravità di un possibile danno dalla stima della sua probabilità, dal grado di confidenza in tale stima e dalle evidenze a supporto di entrambi. Se le informazioni disponibili sono scarse, dichiarare l'incertezza e determinare quale decisione essa consenta. Sostituire le informazioni mancanti con un comodo punteggio basso può creare una falsa precisione. La descrizione pubblica di ISO lascia esplicitamente i livelli di rischio accettabile al contesto del dispositivo e ai criteri del fabbricante. ¹

Una discussione sul rapporto beneficio-rischio deve affrontare esplicitamente le questioni irrisolte relative alle misure di controllo. Identificare il beneficio previsto, la popolazione, le alternative disponibili ove pertinenti, gli scenari di danno residui e la qualità delle informazioni di supporto. La linea guida di FDA sui fattori beneficio-rischio nelle decisioni di disponibilità del prodotto, conformità ed enforcement dimostra che tali valutazioni sono contestuali. L'accettazione pre-market richiede una decisione distinta nel contesto della sottomissione applicabile. ¹³

La visione d'insieme del dispositivo può rivelare interazioni sfuggite alle singole righe. Ad esempio, un allarme proposto potrebbe ovviare al ritardo nel riconoscimento di un guasto ma introdurre distrazione o una procedura di ripristino fonte di confusione. Un limite più stringente potrebbe ridurre un output non sicuro aumentando al contempo le interruzioni durante l'uso previsto. Questi trade-off ipotetici richiedono una decisione coerente sull'uso effettivo del dispositivo, non una gara per raggiungere la somma più bassa di punteggi ordinali. Laddove la matrice del team sia ordinale, i relativi punteggi moltiplicati o mediati rimangono costrutti di attribuzione di punteggi ordinali anziché probabilità misurate.

Il monitoraggio post-market dovrebbe verificare le ipotesi da cui dipendeva il rilascio. Definire quali modelli di reclamo, riscontri del servizio di assistenza, non conformità, evidenze della letteratura o modifiche metterebbero in discussione l'analisi. Individuare chi li valuta e dove viene registrata la decisione che ne deriva. Un trend è utile solo quando numeratore, denominatore, intervallo temporale e qualità dei dati sono adeguati al quesito. “I reclami sono diminuiti” può riflettere un minor numero di dispositivi in servizio, un ritardo nelle segnalazioni o una variazione nelle prassi di codifica, piuttosto che un controllo efficace.

Per l'UE, l'MDR distingue la relazione sulla sorveglianza post-commercializzazione dal rapporto periodico di aggiornamento sulla sicurezza, o PSUR. Ai sensi dell'articolo 86, i PSUR per la classe IIa vengono aggiornati quando necessario e almeno ogni due anni; i PSUR per le classi IIb e III almeno annualmente. Il documento MDCG 2022-21 fornisce indicazioni sulla preparazione del PSUR. Le valutazioni urgenti del rischio richiedono attenzione non appena l'informazione si manifesta, indipendentemente dal ciclo di rendicontazione programmato. ^{5 14}

Il medical device reporting statunitense e la valutazione di correzione/rimozione sono obblighi distinti, ciascuno con i propri criteri. Gli aggiornamenti del fascicolo di gestione del rischio, le decisioni sulle segnalazioni e le indagini ingegneristiche necessitano ciascuno di una propria disposizione documentata. Le pagine guida di FDA in materia di segnalazioni e richiami offrono il punto di partenza per identificare il processo applicabile. Creare un collegamento tra tali processi affinché un segnale di sicurezza raggiunga i decisori responsabili senza fare affidamento su un aggiornamento documentale annuale. ^{15 16}

Cosa dovrebbe accadere quando il dispositivo viene modificato?

Una registrazione della modifica dovrebbe iniziare con la differenza proposta e con i presupposti che essa potrebbe invalidare. “Fornitore equivalente” o “aggiornamento software minore” è una conclusione proposta, non l'evidenza di partenza. Identificare i materiali, i parametri di fabbricazione, le interfacce, i claim prestazionali, gli utilizzatori e le configurazioni interessati. Determinare quindi quali evidenze esistenti rimangano applicabili, quali necessitino di un raccordo documentato e quali debbano essere sostituite. La linea guida di FDA per decidere se una modifica richieda un nuovo 510(k) fornisce un quadro decisionale separato per le sottomissioni negli Stati Uniti; esso dipende da una solida valutazione tecnica sottostante. ¹⁷

Si consideri l'ipotetica sostituzione di un componente. Il nuovo componente soddisfa una specifica principale, ma la sua distribuzione delle tolleranze, il comportamento di invecchiamento o l'interazione con un'altra parte possono differire. Un riesame appropriato inizia con gli attributi rilevanti per il funzionamento del dispositivo. Si domanda quindi se le informazioni del fornitore, l'analisi ingegneristica, la verifica o altre evidenze affrontino adeguatamente la modifica. La decisione di acquisto dovrebbe utilizzare la risultante valutazione tecnica unitamente alle considerazioni commerciali. Allo stesso modo, una ripetizione integrale dei test per ogni caratteristica non correlata può consumare risorse senza affrontare il presupposto modificato.

Per il software, identificare le versioni distribuite e gli stati di transizione, oltre alla versione finale. Una modifica può influire su installazione, migrazione dei dati, compatibilità, rollback o ripristino, anche quando la sua nuova funzione si comporta correttamente. Il fascicolo del rischio dovrebbe rimandare alle evidenze per tali stati rilevanti e alla decisione sulle anomalie non risolte. Se la modifica altera una misura di sicurezza o una dipendenza, collegare il riesame della sicurezza anziché trattare la cybersecurity come un documento prodotto una sola volta per una sottomissione precedente. ^{10 11}

Una checklist di rilascio può quindi porre quattro domande specifiche. Quali configurazioni sono coperte dalla conclusione revisionata? Quali registrazioni collegate sono state modificate? Quali claim o istruzioni devono cambiare di conseguenza? Cosa deve accadere ai prodotti già distribuiti? Le risposte possono condurre a diversi processi differenti, tra cui una documentazione aggiornata, nuovi test, una valutazione della sottomissione specifica per il mercato o una valutazione delle azioni post-market. La checklist dovrebbe rendere visibili tali decisioni senza preselezionare l'esito.

La registrazione necessita inoltre di una netta demarcazione tra attività aperte e limitazioni accettate. Un risultato di prova non risolto, una modifica del fornitore non riesaminata e una limitazione documentata supportata da una motivazione approvata sono stati differenti. Etichettare tutti e tre come “accettabile con monitoraggio” impedisce alla direzione di vedere ciò che resta ancora indeciso. Se il monitoraggio è parte di una decisione motivata, specificare la questione monitorata, le evidenze da raccogliere, la condizione di escalation e la persona responsabile di intervenire.

Infine, preservare la relazione con le decisioni precedenti. Non sovrascrivere la spiegazione storica in modo tale da far apparire una configurazione rilasciata in precedenza come se fosse stata valutata utilizzando evidenze successive. Un valutatore dovrebbe essere in grado di stabilire cosa fosse noto all'epoca, cosa sia cambiato e perché la conclusione sia stata revisionata. Tale cronologia favorisce l'apprendimento derivante dalla modifica ed evita che un team successivo riutilizzi un presupposto obsoleto per il fatto di reperire un report di prova precedente privo del razionale che lo sostituisce.

In che modo un fabbricante dovrebbe definire l'ambito del lavoro e il relativo costo?

Prima di richiedere un preventivo, occorre distinguere tra la revisione delle evidenze e la creazione delle evidenze. Il riesame di un fascicolo esistente può identificare le lacune e proporre un piano di lavoro. Risultati di prova mancanti, supporto clinico o convalida di processo richiedono un lavoro supplementare di generazione di evidenze. Un capitolato dei lavori utile specifica le configurazioni del dispositivo, i mercati, le registrazioni disponibili, i deliverable, i cicli di revisione, le responsabilità e i criteri di accettazione per l'output di consulenza. Indica inoltre quali attività di laboratorio, cliniche, di fabbricazione e software richiedano una titolarità separata.

La pagina pubblica dei prezzi di Pure Global, verificata il 18 settembre 2026, elenca il supporto US Agent a partire da $1,000 all'anno e la rappresentanza UE a partire da $2,000 all'anno per un gruppo di dispositivi. L'ambito UE include il riesame della documentazione predisposta; la compilazione della documentazione tecnica è separata. L'ambito annuale per gli Stati Uniti esclude parimenti la compilazione di 510(k) e di altre sottomissioni pre-market. Le tariffe governative e quelle applicabili di terze parti sono separate. La pagina indica un contratto triennale, il recesso anticipato con il 50% del valore contrattuale residuo e un'opzione di un anno con una tariffa per il primo anno superiore del 50%. Questi termini descrivono i servizi citati, non un prezzo a sé stante per un fascicolo ISO 14971. Pure Global — Prezzi, ambito dei servizi specifico per mercato e termini contrattuali

Anche la cartella di lavoro interna dei prezzi approvata è stata verificata a fronte delle dichiarazioni commerciali della bozza. Le sue righe per gli Stati Uniti elencano separatamente le attività relative all'iter regolatorio a $5,000 per progetto, la compilazione e sottomissione di 510(k) a $15,000–$20,000 per sottomissione previa conferma dell'ambito, e il supporto ad hoc RAQA a $250 all'ora. Nessuna riga specifica un servizio per il fascicolo di gestione del rischio ISO 14971. Tali distinzioni sono mantenute nell'estratto dei prezzi per ambito del supplemento di calcolo. Il lettore dovrebbe pertanto richiedere un ambito specifico e un preventivo aggiornato per le attività sul fascicolo del rischio, anziché considerare la tariffa annuale del rappresentante come il budget per l'ingegneria. Pure Global — Aggregati riproducibili dei richiami, metodi ed estratto dei prezzi per ambito per questo report

Per una discussione pratica sulla definizione dell'ambito, preparare un inventario delle evidenze con il relativo stato anziché un semplice elenco di nomi di file. Per ciascun controllo rilevante, identificare se l'implementazione sia documentata, se esistano evidenze di efficacia, se l'applicabilità sia stata riesaminata e se sia stata approvata una decisione. Includere la configurazione e la versione. Ciò consente di distinguere un problema di collegamento documentale da una carenza di evidenze tecniche. Essi possono apparire simili in una checklist di sottomissione, pur richiedendo quantità di lavoro molto differenti.

Definire le priorità di lavoro in base alle conseguenze sulla decisione. Un collegamento mancante a un report esistente e applicabile può essere risolto rapidamente. Una discrepanza tra la shelf life dichiarata e le evidenze disponibili può influire sul claim di rilascio. Uno scenario di danno grave identificato di recente può richiedere un'indagine più ampia. Stimare la rilevanza e il costo a partire dalla carenza di evidenze e dalla decisione su cui incide, piuttosto che dal numero di pagine da modificare. Richiedere una scomposizione del lavoro che identifichi la decisione resa possibile da ciascun deliverable, unitamente alle dipendenze e alle esclusioni.

Un fabbricante può iniziare con una revisione pilota circoscritta: una configurazione rappresentativa, un insieme selezionato di scenari di danno rilevanti e le relative evidenze collegate di produzione e post-market. L'output dovrebbe identificare la struttura riutilizzabile, le lacune specifiche per la configurazione e le questioni che richiedono un lavoro specialistico. Ampliare l'ambito solo dopo aver compreso tali limiti. Si tratta di un approccio di acquisto proposto, non di una sequenza regolatoria vincolante o della garanzia di una tempistica specifica.

Il risultato pronto per il rilascio è un fascicolo la cui conclusione possa essere seguita e contestata. Esso identifica il dispositivo valutato, i controlli scelti, le evidenze che li supportano, le limitazioni residue e le informazioni che potrebbero modificare la decisione. Le registrazioni dei richiami, le norme tecniche, i requisiti legali e i prezzi dei servizi forniscono ciascuno un tipo diverso di evidenza. Mantenere distinti tali ruoli aiuta il team a concentrare i propri sforzi sulle decisioni di prodotto non risolte, anziché produrre un raccoglitore più voluminoso ma meno utile.