So gewährleisten Sie die Einhaltung der Norm ISO 13485 an mehreren Standorten

Die Einhaltung der Norm ISO 13485 an einem einzelnen Produktions- oder Betriebsstandort ist bereits komplex. Sobald Medizinprodukteunternehmen auf mehrere Standorte, Zulieferer oder internationale Regionen expandieren, steigt diese Komplexität erheblich.

Zunächst erscheint die Erweiterung oft überschaubar.

Kernprozesse werden übernommen. Lokale Qualitätsteams werden geschult. Auditprogramme werden standortweit eingeführt. Jeder Standort arbeitet weiterhin im Rahmen des übergeordneten Qualitätsmanagementsystems.

Im Laufe der Zeit zeigen sich jedoch Unterschiede in der Arbeitsweise.

Die lokalen Teams passen ihre Abläufe unterschiedlich an. Korrekturmaßnahmen entwickeln sich standortabhängig unabhängig voneinander. Risikobewertungen spiegeln die lokalen betrieblichen Gegebenheiten wider, anstatt unternehmensweit einheitlich zu sein. Die Ergebnisse von Audits fallen je nach Region und Abteilung zunehmend uneinheitlich aus.

Schließlich wird den Organisationen bewusst, dass sie nicht mehr nur ein Qualitätsmanagementsystem verwalten.

Sie verwalten mehrere lokale Interpretationen davon.

An dieser Stelle wird es schwierig, eine standortübergreifende Governance gemäß ISO 13485 aufrechtzuerhalten. Und die Schwierigkeit liegt nicht in erster Linie in der Dokumentation. Es handelt sich vielmehr um eine Herausforderung hinsichtlich der Governance-Architektur, die sich mit jedem weiteren Standort, jeder weiteren Lieferantenbeziehung und jedem weiteren regulatorischen Zuständigkeitsbereich, den das Unternehmen in seinen operativen Tätigkeitsbereich aufnimmt, weiter verschärft.

Die Herausforderung bei mehreren Standorten liegt nicht in der Dokumentation, sondern in der einheitlichen Betriebsführung.

Die meisten Unternehmen der Medizinproduktebranche verfügen bereits über solide Dokumentationsstrukturen. Die Verfahren sind umfassend. Die Qualitätshandbücher sind ausführlich. Die Governance-Prozesse auf Standortebene sind gut etabliert.

Die eigentliche Herausforderung besteht darin, die einheitliche Betriebsführung aufrechtzuerhalten, während die Komplexität über Standorte, Produktionsumgebungen und Rechtsräume hinweg zunimmt.

Jeder Betriebsstandort entwickelt im Laufe der Zeit seine eigenen Abläufe, Prioritäten und lokalen Anpassungen. Lokale Qualitätsteams reagieren auf standortspezifische Herausforderungen auf eine Weise, die vor Ort sinnvoll erscheint, sich jedoch allmählich von den Anforderungen der Unternehmensführung entfernt. Die Lieferanten unterscheiden sich je nach Region, was zu Schwankungen in der vorgelagerten Qualität führt, die von der Zentrale aus nur schwer einheitlich überwacht werden können. Die Produktionsrealitäten entwickeln sich standortübergreifend unabhängig voneinander, da sich Ausrüstung, Prozesse und Personal verändern, ohne dass diese Veränderungen systematisch in der Unternehmensführung berücksichtigt werden.

Ohne eine starke Steuerung durch die Unternehmensleitung führen diese Unterschiede nach und nach zu einer Fragmentierung innerhalb des Qualitätsmanagementsystems selbst. Diese Abweichungen sind selten beabsichtigt. Die lokalen Teams wenden sich nicht vom Qualitätsmanagementsystem ab. Sie passen es vielmehr an betriebliche Gegebenheiten an, auf die das zentralisierte Steuerungsmodell nicht flexibel ausgelegt ist.

Die Organisation arbeitet weiterhin unter einer einzigen Zertifizierung.

In der Praxis wird die Steuerung jedoch zunehmend dezentralisiert. Das Qualitätsmanagementsystem, das das Zertifizierungsaudit bestanden hat, ist nicht mehr das Qualitätsmanagementsystem, das den täglichen Betrieb im gesamten Unternehmen regelt. Die Kluft zwischen beiden vergrößert sich mit jeder Anpassung, die vor Ort vorgenommen wird, ohne dass sie sich zentral niederschlägt.

Warum die Fragmentierung auf mehrere Standorte regulatorische Risiken mit sich bringt

Eine Fragmentierung in Umgebungen mit mehreren Standorten macht sich selten sofort bemerkbar. In der Anfangsphase der Expansion werden in der Regel akzeptable Prüfungsergebnisse erzielt, da jeder Standort anhand seiner eigenen lokalen Governance bewertet wird und nicht anhand der unternehmensweiten Einheitlichkeit, die das Qualitätsmanagementsystem eigentlich gewährleisten soll.

Zunächst scheint jeder Standort für sich genommen die Anforderungen zu erfüllen. Lokale Audits liefern akzeptable Ergebnisse. Die CAPA-Prozesse laufen weiterhin. Die Dokumentationsstrukturen funktionieren nach wie vor.

Doch unter der Oberfläche häufen sich im gesamten Unternehmen nach und nach Unstimmigkeiten an.

Korrekturmaßnahmen werden an den verschiedenen Standorten unterschiedlich umgesetzt, was zu Abweichungen bei der Erkennung, Untersuchung und Behebung von Qualitätsproblemen führt. Risikobewertungen entwickeln sich unabhängig voneinander, da lokale Teams ihre Bewertungskriterien an standortspezifische Bedingungen anpassen, anstatt unternehmensweite Risiken zu berücksichtigen. Die Audit-Methoden variieren zwischen den operativen Teams, da die lokalen Vorgehensweisen vom zentralisierten Audit-Modell abweichen. Die an einem Standort gewonnenen Erkenntnisse fließen nicht in andere Produktionsumgebungen ein, da es keinen strukturellen Mechanismus gibt, über den operatives Wissen unternehmensweit weitergegeben wird.

Im Laufe der Zeit verliert die Unternehmensleitung den Überblick über die unternehmensweiten systemischen Qualitätsrisiken. Die einzelnen Standorte melden weiterhin lokal akzeptable Leistungen. Doch innerhalb der Organisation bildet sich ein Muster verteilter Unstimmigkeiten heraus, das von keinem einzelnen Punkt innerhalb der Führungsstruktur aus mehr leicht zu erkennen ist.

An dieser Stelle beginnt das regulatorische Risiko, sich still und leise zu erhöhen.

Benannte Stellen und zuständige Behörden, die Qualitätsmanagementsysteme für Medizinprodukte gemäß der EU-MDR und anderen Rechtsrahmen bewerten, legen zunehmend den Schwerpunkt auf die unternehmensweite Einheitlichkeit der Governance und weniger auf die Einhaltung von Verfahren auf Standortebene. Ein Unternehmen, das zwar an den einzelnen Standorten eine akzeptable lokale Compliance gewährleistet, dabei jedoch die unternehmensweite operative Kontrolle verliert, ist einer Art von regulatorischem Risiko ausgesetzt, das sich bei lokalen Audits nicht zeigt, bis eine externe Inspektion das systemische Muster aufdeckt.

Das Unternehmen führt zwar weiterhin lokale Compliance-Maßnahmen durch, verliert dabei jedoch die unternehmensweite operative Kontrolle.

ISO 13485 erfordert Standardisierung ohne Starrheit

Eines der größten Missverständnisse im Zusammenhang mit der Steuerung von Unternehmensgruppen ist die Annahme, dass Standardisierung bedeutet, überall in der Organisation ein identisches operatives Verhalten durchzusetzen.

Tatsächlich erfordert eine nachhaltige Unternehmensführung gemäß ISO 13485 ein sorgfältig gewahrtes Gleichgewicht zwischen unternehmensweiter Kontrolle und lokaler operativer Flexibilität.

Die zentralen Governance-Prozesse müssen unternehmensweit einheitlich bleiben, da sie die Mechanismen darstellen, durch die das Unternehmen Transparenz, Rechenschaftspflicht und Lernprozesse in allen operativen Einheiten gewährleistet. CAPA-Methoden sollten einem einheitlichen Betriebsmodell folgen, damit die Qualität und Wirksamkeit von Korrekturmaßnahmen standortübergreifend vergleichbar sind und auf Unternehmensebene bewertet werden können. Rahmenwerke zur Risikobewertung müssen standortübergreifend aufeinander abgestimmt sein, damit das Ausmaß der Risiken aggregierbar ist und die unternehmensweite Risikopriorisierung auf einheitlichen Bewertungskriterien basiert. Auditkriterien sollten die unternehmensweite Konsistenz stärken, damit Ergebnisse verschiedener Standorte aussagekräftig verglichen und systemische Muster identifiziert werden können. Dokumenten-Governance-Strukturen müssen zentral gesteuert werden, damit Versionskontrolle, Genehmigungsworkflows und Verfahrensaktualisierungen unternehmensweit einheitlich verwaltet werden.

Gleichzeitig benötigen die lokalen operativen Teams zu Recht die Flexibilität, Governance-Prozesse an die jeweiligen Produktionsrealitäten, regulatorischen Erwartungen und betrieblichen Bedingungen ihres Umfelds anzupassen. Ein Standort, der nach den FDA-QSR-Anforderungen betrieben wird, unterliegt anderen Compliance-Verpflichtungen als einer, der nach der EU-MDR arbeitet. Ein Auftragsfertigungsstandort weist eine andere Dynamik im Lieferantenmanagement auf als eine interne Produktionsumgebung. Ein neu erworbener Standort weist andere Reifegrade und Betriebsrhythmen auf als ein etablierter Standort.

Dieses Gleichgewicht lässt sich nur schwer aufrechterhalten, wenn die lokalen Systeme voneinander abgekoppelt sind. Wenn jeder Standort seine Governance-Prozesse eigenständig verwaltet, verliert die Zentrale den Überblick, und die lokalen Teams verlieren den Bezug zum unternehmensweiten Governance-Modell. Dieses Gleichgewicht erfordert eine strukturelle Verankerung der zentralen Governance-Logik in den Prozessen, die die lokalen Einheiten täglich nutzen – und nicht eine periodische Abstimmung über Kontrollmechanismen, die mit operativen Prioritäten konkurrieren.

Dies erfordert eine koordinierte Steuerung.

Warum eine zentralisierte Unternehmensführung wichtig ist

Wenn Medizinprodukteunternehmen international expandieren, führen fragmentierte Führungsstrukturen zu systemischen Qualitätsrisiken, die von keinem einzelnen Punkt innerhalb des Unternehmens aus erkennbar sind und die sich, sobald sie einmal entstanden sind, immer schwerer beheben lassen.

Wenn jeder Standort Audits, CAPA-Workflows und Risikobewertungen eigenständig verwaltet, fällt es der Unternehmensleitung schwer, die standortübergreifenden Muster zu erkennen, die das größte unternehmensweite Qualitätsrisiko darstellen. Eine wiederkehrende Abweichungskategorie, die sich über fünf Standorte erstreckt, ist strategisch weitaus wichtiger als ein einmaliger Befund mit hohem Schweregrad an einem einzelnen Standort; doch durch eine fragmentierte Steuerung bleibt dieses verteilte Muster unsichtbar, bis es zu einem schwerwiegenden regulatorischen oder qualitätsbezogenen Vorfall führt.

Eine zentralisierte Steuerung verändert diese Dynamik grundlegend.

Standortübergreifende Qualitätstrends werden deutlich früher sichtbar, sodass das Unternehmen auf sich abzeichnende Muster reagieren kann, bevor diese erhebliche regulatorische oder kundenbezogene Konsequenzen nach sich ziehen. Wiederkehrende operative Schwachstellen können strukturell identifiziert werden, anstatt bei regelmäßigen Audits an jedem Standort einzeln aufgedeckt zu werden. Korrekturmaßnahmen können standortübergreifend einheitlich skaliert werden, sodass die Behebung eines Qualitätsproblems an einem Standort automatisch in die Steuerung an anderen Standorten einfließt. Das Risiko wird auf Unternehmensebene messbar, anstatt an jedem Standort unabhängig voneinander anhand lokal definierter Kriterien bewertet zu werden.

Eine zentralisierte Steuerung beeinträchtigt nicht die lokale Eigenverantwortung für qualitativ hochwertige Ergebnisse. Die lokalen Qualitätsteams bleiben für die Leistung ihrer Einrichtungen verantwortlich.

Eine zentralisierte Steuerung verschafft diesen lokalen Teams Zugang zu unternehmensweiten Informationen, wodurch ihre lokale Steuerung effektiver wird, und bietet der Führungsebene die nötige Transparenz, um Qualitätsrisiken strategisch unternehmensweit zu steuern, anstatt reaktiv Standort für Standort zu reagieren.

Die Rückverfolgbarkeit gewinnt mit zunehmender Größe von Unternehmen an Bedeutung

Die Rückverfolgbarkeit ist bereits in der Norm ISO 13485 als Anforderung an die Unternehmensführung an einem einzelnen Standort von grundlegender Bedeutung. In Umgebungen mit mehreren Standorten gewinnt die Rückverfolgbarkeit exponentiell an Bedeutung, da sich operative Unstimmigkeiten rasch über Standorte, Lieferanten und Produktionsumgebungen ausbreiten können – und zwar auf eine Weise, die schwer zu erkennen und, sobald sie einmal eingetreten ist, noch schwerer einzudämmen ist.

Dokumente, Abweichungen, Genehmigungen und Korrekturmaßnahmen müssen über alle operativen Einheiten hinweg kontinuierlich aufeinander abgestimmt bleiben, da die regulatorischen und qualitätsbezogenen Folgen von Mängeln bei der Rückverfolgbarkeit mit der Komplexität der Betriebsabläufe zunehmen. Ein Versionskonflikt bei einem kritischen Verfahren an einem Standort ist ein lokales Versagen der Dokumentenverwaltung. Derselbe Versionskonflikt, der sich aufgrund einer dezentralisierten Dokumentenverwaltung auf mehrere Standorte erstreckt, stellt ein systemisches regulatorisches Risiko dar.

Wenn die Dokumentenverwaltung dezentralisiert wird, entstehen Versionskonflikte zwischen Standorten, die mit unterschiedlichen Verfahrensversionen arbeiten, ohne sich dieser Abweichungen bewusst zu sein. Wenn CAPA-Prozesse lokal begrenzt bleiben, bleibt das operative Wissen auf einzelne Standorte beschränkt, und das Unternehmen verliert die Fähigkeit, Korrekturmaßnahmen systematisch über seine gesamte Produktionslandschaft hinweg anzuwenden. Wenn Auditbefunde nicht zentral über das Auditmanagement verknüpft werden, lassen sich systemische Risiken nur schwer erkennen, bis Aufsichtsbehörden, benannte Stellen oder Kunden das Muster von außen identifizieren. Zu diesem Zeitpunkt reagiert das Unternehmen dann auf ein Versagen der Governance, anstatt eine Verbesserungsmöglichkeit zu nutzen.

Eine lückenlose Rückverfolgbarkeit in Umgebungen mit mehreren Standorten hängt daher nicht allein von der Dokumentenkontrolle ab.

Dies hängt von einer durchgängigen operativen Transparenz im gesamten Unternehmen, einer strukturellen Verknüpfung der Governance-Prozesse an allen Standorten und einer zentralisierten Architektur ab, die die Rückverfolgbarkeit zu einem Merkmal des Governance-Systems macht und nicht zu einem Ergebnis der Compliance einzelner Standorte.

Prüfprogramme müssen das System bewerten, nicht einzelne Standorte

Viele Auditprogramme für mehrere Standorte konzentrieren sich nach wie vor in erster Linie darauf, zu prüfen, ob die einzelnen Standorte vor Ort die Verfahren und Dokumentationsanforderungen einhalten. Standort-Audits bestätigen, dass die lokalen Prozesse ordnungsgemäß ablaufen. Festgestellte Mängel werden vor Ort behoben. Die Auditberichte werden abgelegt.

Dieser Ansatz übersieht durchweg die bedeutendsten Risiken für die Qualitätssicherung in Umgebungen mit mehreren Standorten.

Systemische Schwächen in Qualitätsmanagementsystemen für Medizinprodukte treten selten nur an einem einzelnen Standort auf. Sie entwickeln sich schrittweise durch wiederkehrende Muster, die sich über mehrere Betriebsumgebungen erstrecken. Eine Kontrollschwäche, die in drei aufeinanderfolgenden Auditzyklen an drei verschiedenen Standorten als geringfügiger Befund auftritt, ist nicht gleichbedeutend mit drei geringfügigen Befunden. Es handelt sich vielmehr um ein systemisches Versagen der Unternehmensführung, das das standortbezogene Auditmodell strukturell nicht erkennen kann, da es jeden Standort anhand seiner eigenen lokalen Leistung bewertet und nicht anhand der unternehmensweiten Konsistenz der Unternehmensführung.

Ein wirksames Auditprogramm für mehrere Standorte bewertet, wie das Qualitätsmanagementsystem im gesamten Unternehmen funktioniert, und nicht, wie jeder einzelne Standort im Vergleich zu lokalen Kriterien abschneidet.

Die im Rahmen des Audit-Managements gewonnenen Erkenntnisse sollten kontinuierlich in die Bewertung der Unternehmensrisiken im Risikomanagement einfließen, sodass die Audit-Ergebnisse die Priorisierung von Risiken vorantreiben, anstatt lediglich isoliert die Einhaltung von Verfahren zu bestätigen. Die über das CAPA-Management gesteuerten Korrekturmaßnahmen sollten den Lernprozess im gesamten Unternehmen stärken, anstatt Probleme lokal zu lösen, ohne dass die daraus gewonnenen Erkenntnisse in andere Bereiche des Unternehmens einfließen.

Ab diesem Zeitpunkt sind Audits nicht mehr als regelmäßige Maßnahmen zur Überprüfung der Einhaltung von Vorschriften an einzelnen Standorten zu betrachten.

Sie werden zu operativen Informationsmechanismen, die die unternehmensweite Qualitätssteuerung kontinuierlich stärken.

Die Sichtbarkeit der Führung entscheidet über die Kontrolle über mehrere Standorte

Da Medizinprodukteunternehmen international expandieren und dabei mehrere Standorte, Lieferanten und Rechtsräume umfassen, wird die Transparenz der Unternehmensführung zu einer der wichtigsten und zugleich schwierigsten Governance-Kompetenzen, die im Rahmen der ISO 13485 aufrechterhalten werden müssen.

Führungskräfte benötigen mehr als nur lokal erstellte Qualitätsberichte, die zu einem Paket für die Managementüberprüfung zusammengefasst werden. Sie benötigen einen kontinuierlichen Überblick über standortübergreifende Abweichungsmuster, wiederkehrende Kategorien betrieblicher Risiken, die Wirksamkeit von Korrektur- und Vorbeugungsmaßnahmen (CAPA) im gesamten Unternehmen, lieferantenbezogene Qualitätstrends, die sich über mehrere Produktionsumgebungen erstrecken, sowie eine Bewertung der Audit-Leistung, die sich an der unternehmensweiten Konsistenz der Governance orientiert und nicht an der Einhaltung lokaler Verfahren.

Ohne diese Transparenz werden strategische Qualitätsentscheidungen auf der Grundlage unvollständiger und strukturell fragmentierter Informationen getroffen. Die Unternehmensleitung könnte glauben, dass das Unternehmen Qualitätsrisiken effektiv steuert, da die Leistung einzelner Standorte akzeptabel erscheint. Das systemische Risiko, das sich unternehmensweit aufbaut, bleibt unsichtbar, bis es zu einem regulatorischen Vorfall, einem erheblichen Qualitätsmangel oder einer Kundenbeschwerde kommt, die die Lücke zwischen lokaler Compliance und unternehmensweiter Kontrolle offenbart.

Wenn die Unternehmensführung standortübergreifend in Silos erfolgt, kann die Führungsspitze nicht unterscheiden, ob eine Organisation ihre Qualitätsleistung tatsächlich verbessert oder ob sich unter einer akzeptablen Compliance-Oberfläche Inkonsistenzen in der dezentralen Unternehmensführung anhäufen.

Eine integrierte Governance verändert diese Dynamik. Wenn Risikobewertung, CAPA-Workflows, Auditprogramme und Dokumentenmanagement über alle Standorte hinweg in einem einzigen, vernetzten System ablaufen, erhält die Unternehmensleitung einen zuverlässigen, aktuellen und systematisch generierten Überblick über die Qualitätsleistung des gesamten Unternehmens. Strategische Entscheidungen basieren auf vernetzten Erkenntnissen statt auf zusammengestellten Berichten. Gespräche mit Aufsichtsbehörden werden durch den Nachweis einer unternehmensweiten Kohärenz der Governance gestützt und nicht durch Compliance-Zusammenfassungen auf Standortebene.

Ohne eine integrierte Unternehmensführung kann die Organisation formal zwar weiterhin die Vorschriften einhalten, während das systemische Risiko im Hintergrund weiter zunimmt. Auf diese Weise kann die Unternehmensleitung auf Qualitätsrisiken reagieren, anstatt sie anzuerkennen.

Von der lokalen Compliance zur unternehmensweiten Qualitätskontrolle

Die erfolgreiche Aufrechterhaltung der Zertifizierung nach ISO 13485 an mehreren Standorten erfordert weit mehr als nur die Übertragung von Verfahren auf die verschiedenen Standorte und die Einführung von Auditprogrammen an jedem neuen Standort.

Dies erfordert eine kontinuierliche, unternehmensweite Koordinierung der Unternehmensführung, damit Qualitätsprozesse, Betriebsdaten, Korrekturmaßnahmen und die Aufsicht durch die Führungsebene innerhalb eines vernetzten operativen Rückgrats zusammenwirken.

Das bedeutet, dass eine an einem Standort festgestellte Abweichung automatisch in die Risikobewertung an anderen Standorten einfließt. Eine an einem Standort umgesetzte Korrekturmaßnahme führt zu operativen Erkenntnissen, die die Unternehmensführung im gesamten Unternehmen stärken. Ein Prüfungsergebnis, das ein systemisches Muster über mehrere Standorte hinweg aufdeckt, löst eine unternehmensweite Reaktion aus, anstatt nur auf Standortebene behoben zu werden. Die Unternehmensleitung hat kontinuierlich Einblick in die Qualitätsleistung der gesamten Organisation, anstatt nur periodische Zusammenfassungen von einzelnen Standorten zu erhalten.

Hier wird die Steuerung mehrerer Standorte in operativer Hinsicht nachhaltig.

Nicht, weil sich jede Website identisch verhält oder unabhängig vom lokalen Kontext identische Betriebsabläufe befolgt.

Da die Organisation jedoch kontinuierlich für Transparenz, Kontrolle und operative Abstimmung an allen Standorten gleichzeitig sorgt, bleibt die lokale Flexibilität innerhalb einer Governance-Architektur gewahrt, die die unternehmensweite Kohärenz sicherstellt. Die Autonomie auf Standortebene erfolgt innerhalb von Rahmenbedingungen, die die vom Standard geforderte Konsistenz der Qualitätssicherung gewährleisten, auf die sich Patienten und Aufsichtsbehörden verlassen.

Die Zertifizierung bestätigt die Konformität.

Die operative Koordination gewährleistet die Qualitätskontrolle im Unternehmen.