ISO 13485’te En Kritik Konu Ne? Denetimde Prosedürlerden Önce Baktığım Şey..

ISO 13485 denildiğinde çoğu kuruluşun aklına prosedürler, kalite el kitabı, formlar, teknik dosyalar, eğitim kayıtları ve yaklaşan denetim gelir. Yıllar içerisinde tıbbi cihaz sektöründe kalite sistemlerinin gelişimini izlediğimizde ise önemli bir gerçekle karşılaşıyoruz: Bir kuruluşun çok fazla dokümana sahip olması, güçlü bir kalite yönetim sistemine sahip olduğu anlamına gelmiyor. Asıl mesele dokümanların varlığı değil, sistemin ürettiği bilginin ürün güvenliğine ne kadar etkili biçimde geri döndürülebildiğidir.

ISO 13485’in en kritik konusunun ne olduğu sorulduğunda bu nedenle tek bir madde numarası vermek doğru olmaz. CAPA çok önemlidir, proses validasyonu önemlidir, tasarım ve geliştirme kontrolleri önemlidir, tedarikçi yönetimi ve satış sonrası gözetim de önemlidir. Ancak bütün bu süreçlerin üzerinde duran temel bir yaklaşım vardır: risk yönetimi. Daha doğrusu risk yönetiminin kalite yönetim sisteminin tamamına gerçekten entegre edilmesi.

ISO 13485:2016’nın güncel durumuna ve kapsamına ISO’nun resmî ISO 13485:2016 kaynağından https://www.iso.org/standard/59752.html ulaşılabilir. Tıbbi cihazlarda risk yönetiminin temel uluslararası referanslarından biri olan ISO 14971:2019 https://www.iso.org/standard/72704.html  ise risklerin ürün yaşam döngüsü boyunca sistematik olarak yönetilmesine ilişkin çerçeveyi ortaya koymaktadır.

Burada üzerinde durulması gereken önemli bir ayrım var. Risk analizi yapmak ile risk yönetmek aynı şey değildir. Bir kuruluşun FMEA hazırlaması, tehlikeleri belirlemesi, olasılık ve şiddet değerleri vermesi ve birtakım risk kontrol önlemleri tanımlaması elbette gereklidir. Fakat bunların yapılmış olması risk yönetiminin etkin olduğunu tek başına kanıtlamaz. Çünkü ürün piyasaya çıktığı andan itibaren kuruluş artık yalnızca tasarım aşamasında yaptığı varsayımlarla değil, gerçek hayat verileriyle karşılaşmaya başlar.

Müşteri şikâyetleri gelir. Servis kayıtları oluşur. Üretimde beklenmeyen uygunsuzluklarla karşılaşılır. Tedarikçi kaynaklı problemler ortaya çıkar. İadeler gerçekleşir. CAPA kayıtları oluşur. Satış sonrası gözetim verileri birikmeye başlar. Bunların her biri cihaz hakkında daha önce sahip olmadığımız yeni bir bilgi anlamına gelebilir. Kalite yönetim sisteminin gerçek sınavı da tam olarak burada başlar.

Örneğin tasarım aşamasında son derece düşük olasılıklı kabul edilen bir arızanın ürün piyasaya çıktıktan sonra beklenenden daha sık meydana geldiğini düşünelim. Kuruluş müşteri şikâyetlerini kaydetmiş, müşterilere cevap vermiş ve gerektiğinde ürünleri değiştirmiş olabilir. Kâğıt üzerinde bakıldığında şikâyet süreci çalışıyor gibi görünür. Fakat iyi bir ISO 13485 sistemi için bu yeterli değildir. Bu olayların kök nedeninin ne olduğu, daha önce tanımlanan bir tehlikeyle ilişkili olup olmadığı, meydana gelme sıklığının değişip değişmediği, mevcut risk kontrol önlemlerinin hâlâ yeterli olup olmadığı ve CAPA gerekip gerekmediği değerlendirilmelidir.

Kök neden tasarıma dayanıyorsa tasarım değişikliği gündeme gelmelidir. Üretim prosesinden kaynaklanıyorsa prosesin yeniden değerlendirilmesi gerekebilir. Tedarikçi kaynaklıysa tedarikçi kontrollerinin yeterliliği sorgulanmalıdır. Bir değişiklik yapıldıysa bunun doğrulama ve gerektiğinde validasyon faaliyetleri gerçekleştirilmelidir. Daha da önemlisi, yapılan değişikliğin kendisinin yeni bir risk oluşturup oluşturmadığı değerlendirilmelidir. Sonuçta elde edilen bilgi tekrar risk yönetimi dosyasına dönmelidir.

Risk yönetimi dosyasını bu nedenle tamamlanıp teknik dosyanın içerisine kaldırılan bir doküman olarak görmemek gerekir. Risk dosyası yaşayan bir dosyadır. Ürün hakkında elde edilen yeni bilgilerle beslenmeli ve gerektiğinde değişmelidir. Satış sonrası gözetimin gerçek değeri de burada ortaya çıkar. PMS yalnızca belirli aralıklarla hazırlanması gereken bir rapor değildir; ürünün gerçek kullanımından elde edilen bilginin tekrar risk yönetimine taşındığı temel mekanizmalardan biridir.

Aynı durum CAPA sistemi için de geçerlidir. CAPA bana göre bir kalite yönetim sisteminin olgunluğunu anlamanın en hızlı yollarından biridir. Aynı problemler sürekli tekrar ediyor, kök neden analizlerinin sonunda sürekli “personel hatası” sonucuna ulaşılıyor ve faaliyetler çoğunlukla “personele eğitim verilmiştir” ifadesiyle kapatılıyorsa sistemin gerçekten öğrenip öğrenmediğini sorgulamak gerekir.

Çünkü eğitim her problemin çözümü değildir. Bir çalışanın hata yapmasının arkasında yetersiz bir iş talimatı, yanlış ekipman seçimi, karmaşık bir proses, yazılım problemi, tasarım eksikliği, yetersiz proses kontrolü veya tedarikçi değişkenliği bulunabilir. Böyle bir durumda aynı kişiye tekrar eğitim vermek semptomu ortadan kaldırabilir ancak kök nedeni ortadan kaldırmayabilir. CAPA’nın gerçek sorusu “Ne yaptınız?” değil, “Bu problemin tekrar meydana gelmesini sistematik olarak ne engelliyor ve bunun gerçekten işe yaradığını nasıl kanıtladınız?” olmalıdır.

2026 yılı bu tartışmayı daha da önemli hale getirdi. ABD FDA’nın Quality Management System Regulation, yani QMSR düzenlemesi 2 Şubat 2026 tarihinde yürürlüğe girdi. FDA, ISO 13485:2016’yı referans yoluyla ABD tıbbi cihaz kalite sistemi düzenleyici yapısına dahil etti. Değişikliğin ayrıntıları doğrudan   FDA’nın resmî QMSR sayfasından https://www.fda.gov/medical-devices/postmarket-requirements-devices/quality-management-system-regulation-qmsr  incelenebilir.

Bu gelişmeyi yalnızca ABD pazarına ürün satan firmaları ilgilendiren mevzuat değişikliği olarak görmek eksik olur. FDA’nın ISO 13485 yaklaşımına yakınlaşması, tıbbi cihaz kalite yönetiminde küresel ölçekte ortak bir dilin güçlendiğini gösteriyor. FDA’nın QMSR geçişi kapsamında risk ile tasarım ve geliştirme ilişkisini ayrıca ele alması da dikkat çekici. FDA’nın bu konudaki Risk and Design and Development çalışmasına https://www.fda.gov/medical-devices/medical-devices-news-and-events/town-hall-quality-management-system-regulation-risk-and-design-and-development-01142026  bakıldığında risk temelli yaklaşımın tasarım ve geliştirme kararlarıyla ne kadar yakından ilişkilendirildiği görülebilir.

Avrupa tarafında ise ISO 13485’i MDR’dan bağımsız düşünmek mümkün değildir. Regulation (EU) 2017/745 kapsamındaki yükümlülükler ile kalite yönetim sistemi gerekliliklerinin birlikte ele alınması gerekir. Avrupa Komisyonunun tıbbi cihazlarda harmonize standartlara ilişkin resmî sayfası https://health.ec.europa.eu/medical-devices-topics-interest/harmonised-standards_en ve Regulation (EU) 2017/745’in güncel resmî metni https://eurlex.europa.eu/eli/reg/2017/745/oj bu ilişkinin değerlendirilmesinde temel kaynaklar arasında yer almaktadır.

Bütün bunlar birlikte değerlendirildiğinde sektörün yönü oldukça açık görünüyor. Kalite yönetimi giderek daha fazla risk temelli, yaşam döngüsünü kapsayan, veriye dayanan ve alınan kararların objektif kanıtlarla gösterilebildiği bir yapıya dönüşüyor. Bu nedenle risk yönetimini yalnızca teknik dosyada bulunan bir tablo olarak değerlendirmek artık mümkün değil. Risk, kuruluşun karar verme mekanizmasının bir parçası olmak zorunda.

Bir denetimde bunu anlamanın yolu yüzlerce prosedürü sırayla okumaktan geçmeyebilir. Bazen tek bir gerçek olayın izini sürmek çok daha fazla şey anlatır. Kuruluştan son ciddi müşteri şikâyetlerinden birini göstermesini isterim. Şikâyetin nasıl değerlendirildiğine, CAPA açılıp açılmadığına, kök nedenin nasıl belirlendiğine ve bu sonucun risk yönetimi dosyasına nasıl yansıdığına bakarım. Tasarım veya proses değişikliği yapılmışsa değişiklik kayıtlarına giderim. Ardından doğrulama ve validasyon kayıtlarını incelerim. Değişiklik personelin yaptığı işi etkiliyorsa yetkinlik ve eğitim kayıtlarına bakarım. Sonra satış sonrası verilerden yapılan değişikliğin gerçekten etkili olup olmadığını anlamaya çalışırım. Gerekirse aynı konunun yönetimin gözden geçirmesine kadar ulaşıp ulaşmadığını kontrol ederim.

Tek bir müşteri şikâyetinden başlayarak kalite yönetim sisteminin büyük bir bölümünün çalışıp çalışmadığını görmek mümkündür. Çünkü iyi bir denetimin temel sorusu “Bu prosedürünüz var mı?” olmamalıdır. Asıl soru, “Bu sistemin çalıştığını hangi objektif kanıtla gösterebilirsiniz?” olmalıdır.

Kuruluşlarda en sık karşılaşılan sorunlardan biri de dokümanların birbirinden kopuk olmasıdır. Risk analizi teknik dosyada, CAPA başka bir sistemde, müşteri şikâyetleri başka bir tabloda, PMS raporu başka bir klasörde, tedarikçi performansı ayrı bir Excel dosyasında ve validasyon kayıtları başka bir yerde tutulabilir. Bunların her biri tek başına son derece düzgün hazırlanmış olabilir. Ancak bir kalite yönetim sisteminin olgunluğunu belirleyen şey dokümanların tek tek ne kadar güzel olduğu değil, birbirleriyle ne kadar iyi konuştuğudur.

Tedarikçi performansındaki bir bozulma uygunsuzluk verilerine yansıyor mu? Tekrarlayan uygunsuzluklar CAPA sistemini harekete geçiriyor mu? CAPA sonucunda ortaya çıkan yeni bilgi risk dosyasına dönüyor mu? PMS verileri başlangıçta yapılan risk değerlendirmelerini doğruluyor mu, yoksa değiştirilmesini mi gerektiriyor? Risk seviyesinde meydana gelen değişiklik tasarım veya proses kontrollerini etkiliyor mu? Bütün bu bilgiler yönetimin gözden geçirmesinde gerçek bir yönetim kararına dönüşüyor mu?

Bence ISO 13485’in asıl meselesi tam olarak burada yatıyor.

İyi bir kalite yönetim sistemi hatanın hiç oluşmadığını iddia eden sistem değildir. Hatayı gören, veriyi analiz eden, nedenini anlayan, ürün güvenliği üzerindeki etkisini değerlendiren, gerekli değişikliği yapan, değişikliğin etkinliğini kanıtlayan ve öğrendiği bilgiyi yeniden risk yönetimine döndüren sistemdir.

Bu nedenle ISO 13485’in en kritik konusu tek başına CAPA değildir. Tek başına risk analizi değildir. PMS, validasyon veya tasarım kontrolü de tek başına cevap değildir. Kritik olan bütün bu süreçlerin birbirine bağlanabilmesidir.

Bir kuruluşun kalite sisteminin gerçekten olgunlaşıp olgunlaşmadığını anlamak için belki de şu soruyu sormak yeterlidir:

“Kuruluşunuz bugün, dün bilmediği neyi biliyor ve öğrendiğiniz bu bilgi ürününüzü daha güvenli hale getirmek için sisteminizde neyi değiştirdi?”

Bu soruya yalnızca sözle değil, kayıtlarla ve objektif kanıtlarla cevap verilebiliyorsa artık yalnızca ISO 13485 belgesine sahip bir kuruluştan söz etmiyoruz.

Yaşayan bir kalite yönetim sisteminden söz ediyoruz.

Resmî Kaynaklar ve İleri Okuma

ISO 13485:2016: ISO resmî kaynağı
ISO 14971:2019: ISO resmî kaynağı
FDA QMSR: FDA resmî QMSR sayfası
FDA Risk & Design: FDA Risk and Design and Development
AB Harmonize Standartlar: European Commission resmî sayfası
EU MDR 2017/745: EUR-Lex resmî MDR metni

Gül ÜZELTÜRK

Türkiye Kalite Merkezi Kurucu Üyesi