1 РАЗРАБОТАН Государственным бюджетным учреждением здравоохранения города Москвы "Научно-практический клинический центр диагностики и телемедицинских технологий Департамента здравоохранения города Москвы" (ГБУЗ "НПКЦ ДиТ ДЗМ")

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 164 "Искусственный интеллект"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 18 октября 2022 г. N 1143-ст

4 ВВЕДЕН ВПЕРВЫЕ

Настоящий стандарт предлагает для организаций руководящие указания по применению ГОСТ ISO 13485 к процессам, связанным с заказом, поставкой, разработкой, осуществлением эксплуатации и сопровождением систем искусственного интеллекта в качестве программного обеспечения, являющегося медицинским изделием. Он не добавляет или каким-либо другим образом не изменяет требования ГОСТ ISO 13485.

Руководящие указания, представленные в настоящем стандарте, не предназначены для применения в качестве оценочных критериев при проведении мероприятий, связанных с регистрацией/сертификацией систем менеджмента качества

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ ISO 13485-2017 Изделия медицинские. Системы менеджмента качества. Требования для целей регулирования

ГОСТ ISO 14971 Изделия медицинские. Применение менеджмента риска к медицинским изделиям

ГОСТ Р 58976 Изделия медицинские. Программное обеспечение. Часть 2. Валидация программного обеспечения, используемого в системах качества медицинских изделий

ГОСТ Р 59921.0 Системы искусственного интеллекта в клинической медицине. Основные положения

ГОСТ Р ИСО 9000 Системы менеджмента качества. Основные положения и словарь

ГОСТ Р ИСО/ТО 10013 Менеджмент организации. Руководство по документированию системы менеджмента качества

ГОСТ Р ИСО/ТО 14969-2007 Изделия медицинские. Системы менеджмента качества. Руководство по применению ISO 13485:2003

ГОСТ Р ИСО/МЭК 15504 (все части) Информационные технологии. Оценка процессов

ГОСТ Р ИСО/МЭК 25000 Системная и программная инженерия. Требования и оценка качества систем и программных средств (SQuaRE). Руководство

ГОСТ Р ИСО/МЭК 25010 Информационные технологии. Системная и программная инженерия. Требования и оценка качества систем и программного обеспечения (SQuaRE). Модели качества систем и программных продуктов

ГОСТ Р ИСО/МЭК 27001 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования

ГОСТ Р ИСО/МЭК 27013 Информационная технология. Методы и средства обеспечения безопасности. Руководство по совместному использованию стандартов ИСО/МЭК 27001 и ИСО/МЭК 20000-1

ГОСТ Р МЭК 62304 Изделия медицинские. Программное обеспечение. Процессы жизненного цикла

ГОСТ Р ИСО/МЭК 90003-2014 Разработка программных продуктов. Руководящие указания по применению ИСО 9001:2008 при разработке программных продуктов

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

В настоящем стандарте применены термины по ГОСТ Р ИСО 9000, ГОСТ ISO 13485, ГОСТ Р 59921.0.

Смысл настоящего пункта заключается в определении общей структуры системы менеджмента качества. Организация должна понимать свою роль(и) в соответствии с применимыми к ней регулирующими требованиями, устанавливать, внедрять и поддерживать любой аспект, который она документирует в системе менеджмента качества.

Организации следует определить свою роль(и) и объединить регулирующие требования различных юрисдикций в единый системный подход, который позволит организации соответствовать этим требованиям.

Организация должна разрабатывать, внедрять и поддерживать в рабочем состоянии систему менеджмента качества, которая позволит предоставлять системы искусственного интеллекта (СИИ), способные действовать по назначению при условии соответствия требованиям технической и эксплуатационной документации изготовителя (производителя).

Организации следует определить регулирующие требования и принять решения о процедурах, мероприятиях и механизмах, которые необходимо внедрить для обеспечения выполнения этих требований. Организации следует задокументировать данные процедуры с описанием того, что необходимо сделать, кто должен это сделать, ожидаемые результаты и как они будут контролироваться.

Документированные процедуры следует актуализировать по мере того как организация претерпевает внутренние или внешние изменения.

Организации следует обеспечить надлежащее понимание внешних и внутренних факторов, которые могут оказать влияние, положительное или отрицательное, на способность организации достигать намеченных результатов ее системой менеджмента качества.

Примеры внешних и внутренних факторов могут включать, но не ограничиваться:

а) внешние факторы:

- изменение регламентирующих требований;

- конкуренция, включая долю рынка, занимаемой организацией, аналогичные или замещающие продукцию или услуги, лидирующие тенденции на рынке, тенденции роста потребителей, стабильность рынка;

- технологические факторы, такие как новые технологии, материалы и оборудование, срок действия патента;

б) внутренние факторы:

- общие результаты деятельности;

- бизнес-решения, такие как слияния и поглощения, внедрение новых продуктов, новые бизнес-модели;

- ресурсы, включая инфраструктуру, среду функционирования процессов;

- человеческие аспекты, такие как компетентность персонала, включая повышение квалификации персонала и внедрение новых требований к компетентности, организационная культура, изменения в ключевом персонале;

- факторы деятельности, такие как процессы, возможности производства и поставки, результаты функционирования системы менеджмента качества, оценка потребителей;

- факторы управления вашей организацией, такие как правила и процедуры для принятия решений или организационная структура.

Смысл настоящего пункта заключается в применении процессного подхода и риск-ориентированного мышления.

Организации следует:

а) определить процессы для разработки, эксплуатации или сопровождения СИИ;

б) применять риск-ориентированное мышление в разработке, внедрении, поддержании и улучшении системы менеджмента качества и связанных с ней процессов для того, чтобы:

- решать какие риски (положительные или отрицательные) учитывать при проектировании процессов для улучшения их выходов и предотвращения нежелательных результатов;

- улучшать результативность системы менеджмента;

- поддерживать и управлять системой, которая учитывает риски и обеспечивает постановку целей.

Примечание - ГОСТ ISO 13485 устанавливает требования по управлению рисками, связанными с безопасностью и производством медицинского изделия. Файл менеджмента риска оформляют в соответствии с ГОСТ ISO 14971.

в) определить последовательность и взаимодействие процессов:

- в моделях жизненного цикла для разработки СИИ, например, каскадная, инкрементная и эволюционная модель;

- при планировании качества и разработки СИИ, основанного на модели жизненного цикла.

Примечание - Требования к жизненному циклу систем искусственного интеллекта установлены в ГОСТ Р МЭК 62304.

Смысл настоящего пункта заключается в определении требований к процессам системы менеджмента качества.

Организации следует оценить процессы, ответив на следующие вопросы:

- как определить, что процесс эффективен;

- что нужно сделать, чтобы убедиться, что процесс работает эффективно;

- какие средства контроля необходимы для мониторинга процесса;

- как определить, что контроль над процессом эффективен;

- какие человеческие и физические ресурсы необходимы для функционирования и контроля процесса;

- кто ответственный за процесс и какие требования к компетентности предъявляются к должности (должностям);

- какая информация необходима для эффективного внедрения и контроля процесса;

- соответствуют ли средства контроля процесса всем требованиям, определенным при планировании деятельности;

- как анализировать результаты мониторинга процесса.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 4.1.4, отсутствуют.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 4.1.5, отсутствуют.

Примечание - Валидация процесса применения программного обеспечения, используемого в системах качества медицинских изделий, проводится в соответствии с ГОСТ Р 58976.

Документирование процедур системы менеджмента качества необходимо в соответствии с требованиями ГОСТ ISO 13485. Структура и уровень детализации процедур зависят от потребности организации.

Документация системы менеджмента качества может быть представлена в любой форме и на любом носителе.

Объем документации системы менеджмента качества одной организации может отличаться от другой в зависимости от:

- размера организации и вида ее деятельности, процессов, продукции и услуг;

- сложности процессов и их взаимодействия;

- компетентности персонала (см. 6.2);

- других рисков, которые необходимо снизить.

Описания процедур или инструкции могут быть представлены в текстовой, графической или аудиовизуальной форме. Часто простой набор изображений может выразить требования точнее, чем подробное описание.

Документированные процедуры, включая рабочие инструкции и графические материалы, должны быть несложными, однозначными и понятными, указывать на применяемые методы и критерии соответствия требованиям к системе менеджмента качества. Данные процедуры обычно определяют необходимые виды деятельности и описывают:

- что и кем должно быть выполнено;

- где, когда и как это должно быть сделано;

- какие материалы, оборудование и документы должны быть использованы;

- как осуществлять мониторинг и измерения;

- какие необходимы записи.

Документы следует оценивать по результативности достижения системой менеджмента качества установленных критериев для:

- функциональности;

- дружественного интерфейса;

- необходимых ресурсов;

- политики и целей в области качества;

- интерфейсов, применяемых потребителями и поставщиками.

Регулирующие требования могут определять процессы, которые должны быть описаны в документированных процедурах, или использование определенных типов носителей для документов, например, как часть или весь файл медицинского изделия (см. 4.2.3), а также такие действия, как проведение клинических оценок (см. 7.3.7) или обзор опыта после выхода на рынок (8.2.1). Документы, которые необходимо создать в соответствии с конкретными регулирующими требованиями, документы, требуемые стандартом ГОСТ ISO 13485, и документы, определенные организацией в качестве необходимых для эффективного контроля за их деятельностью вместе с соответствующими записями, формируют документацию системы менеджмента качества. Управление документами и записями следует осуществлять в соответствии с 4.2.4 и 4.2.5 соответственно.

Примечание - Дополнительная информация, касающаяся руководства по качеству представлена в ГОСТ Р ИСО/ТО 10013.

Файл медицинского изделия может иметь различные наименования, например, технический файл.

Файлы медицинского изделия - вид документа, и ими необходимо управлять согласно требованиям, приведенным в 4.2.4.

Файлы медицинского изделия могут включать, но не ограничиваются:

- общее описание СИИ и, при необходимости, классификацию медицинского изделия по классам в зависимости от потенциального риска применения и возможные комплектации изделия;

- технические характеристики СИИ;

- процедуры производственного процесса, включая спецификации оборудования, методы производства, любые специальные требования к обработке и инфраструктуре;

- процедуры и спецификации обеспечения качества, включая критерии приемлемости и используемое измерительное оборудование;

- спецификации упаковки, включая методы и процессы;

- описание предполагаемого использования/цели;

- проектные результаты, используемые для выполнения соответствующих нормативных требований к СИИ;

- отчеты об управлении рисками, включая результаты анализа рисков, меры по снижению рисков, результирующий остаточный риск и анализ рисков и возможностей;

- маркировку, включая любые инструкции по применению;

- процедуры или инструкции, связанные с обслуживанием продукта;

- применение уникальной идентификации изделия;

- информацию о клинических испытаниях/исследованиях;

- требования к хранению и транспортировке;

- перечень стандартов, в результате применения которых обеспечивается соответствие СИИ требованиям безопасности, а также соответствие установленным техническим характеристикам;

- метод(ы) исследований (испытаний) и измерений, необходимые для подтверждения соответствия СИИ требованиям безопасности, а также соответствие установленным техническим характеристикам.

Смысл настоящего пункта заключается в обеспечении доступности документов на соответствующем носителе при необходимости и ее адекватной защиты.

Система, разработанная для управления внутренними и внешними документами, должна обеспечивать выполнение следующих функций:

- определять ответственность за разработку, одобрение и издание документов;

- обеспечивать быстрое изъятие устаревших копий управляемых документов;

- определять способ регистрации и утверждения изменений в документах;

- различать управляемые и неуправляемые документы.

Система менеджмента качества помогает также идентифицировать получателей копий управляемых документов.

Документы можно анализировать несколько раз на протяжении всего срока их существования, вследствие, например:

- организационных изменений, замены персонала или технологического оборудования;

- деятельности внешнего или внутреннего аудита;

- разработки новых изделий, внедрения новых технологий или программных средств;

- требований системы менеджмента качества организации о периодическом проведении анализа.

Выполнению процедур управления документами можно оказать содействие, разработав постоянную структуру для документов, входящих в систему менеджмента качества организации. В данных процедурах рекомендуется ясно указывать, какую информацию по управлению документами следует включить в каждый конкретный документ, например:

- наименование и область применения;

- порядковый номер;

- дату выпуска/дату вступления в силу;

- статус редакции;

- дату проведения анализа или частоту его проведения в зависимости от требований системы менеджмента качества;

- данные о пересмотре;

- сведения об авторе или инициаторе создания;

- сведения об одобрившем(их) лице(ах);

- сведения об издавшем(их) лице(ах);

- сведения о распространении;

- сведения о нумерации страниц;

- справочный файл (при необходимости).

Если внешние документы определены организацией как необходимые для планирования и функционирования системы менеджмента качества, то они должны быть идентифицированы соответствующим образом и управляться так же, как и другие документы. Сюда могут относиться документы от потребителей, такие как чертежи, заданные методы испытаний, планы выборки, стандарты или калибровка. Особое внимание должно быть уделено управлению конфиденциальными данными (например, персональная и финансовая информация).

Организация должна хранить не менее одной копии устаревших управляемых документов в течение хотя бы минимального срока хранения, установленного регулирующими требованиями. Рекомендуется также хранить устаревшие документы в течение всего времени, необходимого для понимания содержания записей, связанных с данными документами (см. ГОСТ ISO 13485-2017, пункт 4.2.5).

Требованием ГОСТ ISO 13485 для организаций является "применение соответствующей идентификации" устаревших документов; такую идентификацию можно осуществлять как физически (с помощью штампа организации), так и с помощью электронных средств (в компьютерной базе данных).

Записи могут быть в любой форме и на любом носителе. Каждая запись может быть отнесена к одной из следующих категорий:

а) записи, относящиеся к проектированию и изготовлению, разработке всех медицинских изделий конкретного вида;

б) записи, иллюстрирующие результативность конкретной системы менеджмента качества (записи системы менеджмента качества).

Записи могут быть непосредственно не связаны со сроком службы медицинского изделия, например, записи об анализе со стороны руководства, внутреннем аудите, инфраструктуре и анализе данных. В этих случаях ГОСТ ISO 13485 требует от организации идентифицировать необходимый срок хранения записей. При установлении такого срока организации рекомендуется принимать в расчет назначение конкретного медицинского изделия, риски, связанные с его применением, существующие записи и применимые регулирующие требования.

Записи рекомендуется хранить в безопасном месте, защищенном от несанкционированного доступа и возможности изменения. Записи должны быть правильно идентифицированы, собраны, пронумерованы, зарегистрированы и сохранены, а также при необходимости легкодоступны. Записи можно хранить или копировать в любом удобном виде (например, в виде печатной копии или в электронном виде). При рассмотрении срока хранения и доступности записей, хранящихся в электронном виде, следует учитывать деградацию, потерю актуальности электронных данных и необходимость иметь соответствующее аппаратное и программное обеспечение для получения доступа к конкретным записям. Копии записей должны содержать всю информацию, содержащуюся в оригинальных записях.

Организации следует обратить внимание на требования информационной безопасности, установленные в ГОСТ Р ИСО/МЭК 27001 с учетом ГОСТ Р ИСО/МЭК 27013.

Записи, которые могут содержать конфиденциальную информацию, подпадают под действие регулирующих требований в отношении обеспечения соблюдения конфиденциальности информации.

Данные, вносимые от руки, должны быть нестираемыми и несмываемыми. Лицам, вносящим разрешенные данные в запись или заверяющим такие данные, следует делать это разборчивым почерком и подтверждать внесение новых данных проставлением визы, подписью или ее эквивалентом, а также датой.

Чтобы правильно сделать запись, нужно следовать нижеперечисленным процедурам (если они целесообразны):

- регистрировать данные и результаты наблюдений по мере их появления;

- не датировать запись более ранним или поздним числом, чем то, когда она выполняется;

- не использовать визу, подпись или эквивалент подписи другого лица;

- заполнять все поля или графы при наличии конкретной формы записи;

- приводить ссылку на исходные данные при передаче данных и иметь копию записи передаваемых данных, заверенную другим уполномоченным лицом;

- верифицировать полноту и правильность всех данных;

- нумеровать страницы для демонстрации завершенности записи.

Если в записи сделана или выявлена ошибка, рекомендуется исправлять ее так, чтобы первоначальная запись не пострадала, а исправление было датировано и завизировано. Если целесообразно, рекомендуется зарегистрировать причину исправления. При использовании электронной формы записи вместо записи на бумажном носителе рекомендуется (где это возможно) включать в упомянутые электронные формы обязательные системные "следы" для аудита с отметкой времени внесения исправления для прослеживания изменений записи. Такие "следы" для аудита могут включать в себя идентификацию разрешенного пользователя, информацию о создании записи, ее удалении, модификации/исправлении, связях с другими записями, время и дату, принятые замечания.

Организация может также иметь альтернативные возможности ввода важных данных в электронные записи, например:

- другое уполномоченное лицо с зарегистрированными именем и идентификационным номером может верифицировать ввод данных с клавиатуры с проставлением времени и даты или

- система с прямым сбором данных может выполнять вторую контрольную проверку, что является частью функциональных возможностей системы.

Организация должна внедрить систему обеспечения сохранности электронных записей и защиты их от несанкционированного ввода и несанкционированного изменения данных.

При определении срока хранения записей рекомендуется, кроме срока службы конкретного медицинского изделия (см. ГОСТ ISO 13485-2017, подраздел 7.1), рассматривать также правовые аспекты, включая юридическую ответственность, и необходимость или целесообразность неопределенно долгого хранения записей.

Смысл настоящего требования заключается в определении функций, полномочий и ответственности высшего руководства и других уровней менеджмента в отношении результативности системы менеджмента качества и достижения запланированных результатов. Важно подчеркнуть, что, хотя полномочия могут быть делегированы, ответственность за систему менеджмента качества остается за высшим руководством.

Организации следует задокументировать перечень должностей, которые относятся к высшему руководству и распределение обязанностей. Эта документация может быть оформлена в виде организационных схем и должностных инструкций.

Высшее руководство не только отвечает за создание и поддержание системы менеджмента качества, члены высшего руководства являются компонентом системы и, как ожидается, будут соответствовать применимым системным требованиям.

Высшее руководство может продемонстрировать выполнение его полномочий и ответственности посредством достижения запланированных результатов, а также посредством:

а) соблюдения требований системы менеджмента качества, определяя политику в области качества и выражая приверженность внедрению и поддержанию системы менеджмента качества, соответствующую стандарту ГОСТ ISO 13485 и применимым регулирующим требованиям;

б) установления измеримых целей, которые гарантируют, что система менеджмента качества организации функционирует в соответствии с ГОСТ ISO 13485 и политики в области качества;

в) регулярного доведения при помощи внутренних информационных встреч, электронной почты, личных бесед, корпоративной сети организации и т.д. важности системы менеджмента качества и соблюдения ее требований, обучение и поддержка персонала, отвечающего за качество, выделения достаточного количества ресурсов на систему менеджмента качества (люди, инструменты, оборудование и т.д.), когда и где это необходимо;

г) обеспечения того, что система менеджмента качества продолжает оставаться пригодной и эффективной в выполнении целей организации на основе постоянного мониторинга результатов деятельности или измерения, и периодических анализов со стороны руководства.

Особое внимание следует уделить:

- эффективному достижению запланированных результатов посредством осуществления последовательности взаимодействующих процессов;

- четкому определению входов, видов деятельности и выходов процессов, а также управлению ими;

- мониторингу входов и выходов с целью верификации взаимодействия и результативного функционирования конкретных процессов;

- идентификации опасностей и управляемых рисков;

- проведению анализа данных для облегчения обязательного улучшения процессов;

- идентификации лиц, ответственных за процессы, а также их правам и обязанностям;

- руководству каждым процессом для достижения его целей;

- обеспечения наличия письменных соглашений с третьими сторонами.

Настоящий пункт возлагает ответственность на высшее руководство за определение требований потребителя и регулирующих требований, обеспечение необходимых ресурсов для удовлетворения этих требований независимо от того, кто из персонала осуществляет в настоящий момент взаимодействие с потребителем или регулирующим органом.

Для этого следует учесть следующие входы:

- законодательные и нормативные правовые требования;

- требования потребителей;

- технологические и другие исследования;

- бенчмаркинг;

- тенденции рынка, статистику и информацию из прогнозов;

- результаты от применения инструментов качества;

- удовлетворенность потребителей/результаты мониторинга их восприятия.

Примеры действий по обработке этих входов включают в себя:

- двустороннюю связь с потребителями при установлении и общем согласии их требований;

- увязывание целей организации с потребностями и ожиданиями потребителей;

- информирование всей организации о потребностях и ожиданиях потребителей;

- анализ результатов мониторинга удовлетворенности потребителей и принятие соответствующих действий;

- определение рисков и возможностей, которые могут повлиять на соответствие продукции и услуг или удовлетворенность потребителей.

В качестве выходов организация может рассмотреть такие вещи, как решения и действия:

- по учету рисков и возможностей;

- разработке и изменениям политик;

- разработке и изменениям кодексов поведения и распределения ресурсов.

Высшему руководству необходимо обеспечить, чтобы применяемые действия по обработке рисков и возможностей были реализованы, а ожидаемые результаты достигнуты, а если нет, то продолжать применять подход "планируй - делай - проверяй - действуй" (PDCA), обеспечивая при этом возложение ответственности за внедрение дальнейших улучшений, пока потребности и ожидания потребителей достигаются.

Настоящий пункт возлагает ответственность на высшее руководство за определение политики в области качества.

Политика в области качества устанавливает:

- обязательства в области качества и постоянного улучшения результативности системы менеджмента качества с целью удовлетворения требований потребителя и регулирующих требований;

- условия, необходимые для реализации целей в области качества;

- взаимосвязь между целями организации и требованиями потребителя.

Политику организации в области качества важно рассматривать как часть общей политики организации, связанной с деловыми операциями (например, маркетингом, продажами, финансами) и обеспечивающей их согласованность и взаимную поддержку.

Организация должна согласовывать политику в области качества со своими обязательствами по качеству и общим представлением о значении качества для предпринимательской деятельности организации и потребителей.

Для демонстрации намерения внедрять свою политику в области качества организация должна четко идентифицировать общие цели в области качества и сфере своей предпринимательской деятельности, непосредственно связанные с организацией и потребителями ее продукции.

Обязательства руководства организации по отношению к политике в области качества должны быть очевидны, действенны и результативно доведены до сведения персонала организации. Например, обнародованная копия документа о политике в области качества, подписанная руководством организации, является одним из способов продемонстрировать обязательства руководства по отношению к персоналу организации и потребителям ее продукции. Другим способом является представление и обсуждение политики в области качества на собраниях, проходящих внутри организации в течение года. Например, некоторые организации в каждой презентации используют основным слайд "Политика в области качества".

Весь персонал организации должен понимать политику организации в области качества и ее влияние на них. Каждый сотрудник должен знать ключевые элементы политики в области качества, и объяснить, как его действия способствуют достижению целей организации. Руководство организации должно обеспечить принятие решений по применению методов, с помощью которых достигается такое понимание.

Политику в области качества необходимо периодически анализировать для того, чтобы определить насколько точно она отражает текущие и глобальные цели в области качества, принятые организацией. Эти действия выполняются во время анализа со стороны руководства в соответствии с ГОСТ ISO 13485-2017, подраздел 5.6.

Для того, чтобы политика организации в области качества была результативной, руководство организации должно установить ясные цели в области качества. Руководство организации не обязано непосредственно выполнять виды деятельности, необходимые для достижения поставленных целей, но обязано нести за это ответственность.

Установление целей в области качества в соответствии с ГОСТ ISO 13485 требуется не только для системы менеджмента качества, но и СИИ и связанных с ними услуг.

Цели в области качества должны быть реальны и связаны с достижимыми и измеряемыми результатами, которые:

- соответствовали бы требованиям (потребителя, регулирующим и др.) к СИИ и связанным с ними услугам;

- уменьшали погрешности;

- уменьшали время завершения корректирующих или превентивных действий, выявленных при проведение внутреннего аудита;

- соответствовали установленному календарному плану;

- уменьшали время реагирования на жалобы потребителей.

При установлении целей в области качества и связанных с ними задач обычно определяют временные рамки для решения этих задач.

Группы лиц, действующие внутри организации, обычно устанавливают групповые цели, вытекающие из целей всей организации и связанные с деятельностью конкретной группы.

Цели в области качества должны быть задокументированными, например, в руководстве по качеству или отдельном документе.

Цели в области качества должны быть установлены и измерены с помощью подходящих методов, таких как SMART (установление целей, которые являются конкретными, измеримыми, достижимыми, актуальными и ограниченными по времени).

Оценка результатов достижения установленных целей может быть частью анализа со стороны руководства, оценки результатов деятельности, или она может быть проведена с помощью других средств, таких как менеджмент проектов с определенными контрольными точками, ключевые показатели эффективности (KPIs) или обзоры и отзывы о встречах.

Высшее руководство должно анализировать цели в области качества (см. ГОСТ ISO 13485-2017, пункт 5.6.1).

Цели в области качества являются одним из входов в планирование системы менеджмента качества (см. ГОСТ ISO 13485-2017, пункт 5.4.2).

Примечания

1 Информация о характеристиках процессов, связанных с программными продуктами, которые подходят для постановки целей, может быть найдена в ГОСТ Р ИСО/МЭК 15504-1. ГОСТ Р ИСО/МЭК 15504 (все части) можно использовать для оценки возможностей процессов и для постановки целей по улучшению характеристик процессов.

2 Информация по качественным характеристикам, их составляющим и свойствам программных продуктов, подходящая для установления целей в области качества, определена в ГОСТ Р ИСО/МЭК 25010. Серия стандартов ГОСТ Р ИСО/МЭК 25000 помогает в определении требований к качеству и в управлении целей в области качества программных продуктов.

В настоящем пункте рассматривается планирование системы менеджмента качества в целом, в противоположность планированию ее отдельных элементов, которые рассматриваются в других разделах ГОСТ ISO 13485.

Планирование должно большей частью осуществляться на начальных этапах создания и внедрения системы менеджмента качества, что может способствовать достижению целей организации в области качества. Так как цели в области качества могут со временем быть изменены, планирование также может быть изменено, что позволяет системе менеджмента качества оставаться результативной во время изменений и после них.

Применение риск-ориентированного мышления может быть полезным в определении действий, необходимых при планировании изменений в системе менеджмента качества. Организация должна оценивать изменения, которые могут повлиять на способность организации на постоянной основе обеспечивать поставку продукции и услуг, отвечающих требованиям потребителя, а также применимых регулирующих требований, или на ее цели по повышению удовлетворенности потребителей.

Типичные входные данные для планирования системы менеджмента качества включают в себя:

- политику в области качества;

- цели в области качества;

- регулирующие требования;

- стандарты системы менеджмента качества;

- необходимые изменения (являющиеся, например, результатом анализа со стороны руководства организации и/или корректирующих и предупреждающих действий).

Типичные выходные данные планирования системы менеджмента качества, демонстрирующие соответствие требованиям ГОСТ ISO 13485 включают в себя:

- руководство по качеству и вспомогательные документы;

- анализ инцидентов;

- планы по конкретным видам деятельности;

- результаты планирования видов деятельности.

Смысл настоящего требования заключается в том, что высшее руководство обеспечивает распределение соответствующих функций и осведомленность персонала организации о том, что они должны делать (обязанности и ответственность), что им разрешается делать (полномочия), кто за это несет ответственность, а также взаимосвязь между ответственностью и полномочиями.

Выполнение этого требования обычно достигается составлением документированных описаний, включающих в себя распределение ответственности и полномочий, а также схем, описывающих взаимодействие между персоналом организации.

Поскольку эти документы являются частью системы менеджмента качества, ими следует управлять. В документированные процедуры можно также вносить сведения о распределении ответственности и полномочий (включая такое распределение при замене персонала). В некоторых организациях составляют "карту" процессов системы менеджмента качества, демонстрирующую связи между процессами и ответственность за осуществляемые виды деятельности.

Для некоторых видов деятельности (например, внутренних аудитов качества и анализа развития) является важным участие в них лиц, имеющих необходимые знания и не зависящих от организации, деятельность которой они анализируют.

Входы, которые должны быть рассмотрены, включают в себя:

- компетентность лиц для обеспечения согласованности между возложенными обязанностями, ответственностью и необходимой компетентностью;

- доступные ресурсы, учитывая главным образом человеческие ресурсы, а также и другие, которые могут повлиять на распределение обязанностей и ответственности;

- регулирующие требования для обеспечения согласованности между распределенными обязанностями и ответственностью;

- профессиональные кодексы этики и необходимая квалификация для обеспечения того, чтобы любые соответствующие требования и распределения обязанностей и ответственности были выполнены;

- цели в области результатов деятельности и результаты оценки для того, чтобы убедиться, что подходящим лицам поручено достичь ожидаемый уровень результатов деятельности;

- организационную структуру.

На эту должность может быть назначен только один представитель руководства организации.

Функции представителя руководства могут быть полностью связаны с видами деятельности по системе менеджмента качества или с другими функциями и распределением ответственности внутри организации.

Если представитель руководства осуществляет другие функции, рекомендуется избегать конфликта интересов между ответственностью за эти функции и функции, связанные с системой менеджмента качества.

В этом случае представитель руководства может делегировать обязанности по осуществлению деятельности, связанной с системой менеджмента качества, другим лицам в организации.

Обмен информацией является важным фактором для результативного функционирования системы менеджмента качества. Для результативной работы системы менеджмента качества главным является открытый и активный обмен информацией внутри системы. Руководство организации должно устанавливать процессы, поддерживающие обмен информацией между персоналом организации на всех уровнях.

Информация, связанная с системой менеджмента качества, должна быть ясной, понятной и адаптированной по отношению к персоналу, для которого она предназначена. Такая информация связана с надеждами, возлагаемыми руководством организации на функционирование системы менеджмента качества, а также с внедрением и результативностью системы менеджмента качества (например, с результатами внутренних аудитов качества (см. ГОСТ ISO 13485-2017, пункт 8.2.4), анализом со стороны руководства (см. ГОСТ ISO 13485-2017, подраздел 5.6), внешними оценками и контролем регулирующих органов.

Способами обмена информацией являются, например:

- вывешивание информационных сообщений на доски объявлений;

- проведение собраний;

- распространение информации по электронной почте или посредством копирования документов.

Внутренний обмен информацией можно облегчать, обеспечивая хорошую осведомленность персонала обо всех видах деятельности или функциях сотрудников внутри организации. Такую осведомленность можно повышать, меняя распределение функций среди персонала организации в рамках системы индивидуального развития.

Анализ со стороны руководства является основополагающим требованием для обеспечения системы менеджмента качества постоянной пригодности, адекватности и результативности. Руководство организации должно регулярно анализировать систему менеджмента качества; наиболее приемлемым для любой установленной результативной системы менеджмента качества является ежегодный анализ. При планировании или внедрении изменений обычно необходим более частый анализ. Могут возникнуть обстоятельства, требующие изменения запланированного интервала времени для выполнения анализа со стороны руководства.

Документированная процедура анализа со стороны руководства должна описывать требования к процессу проведения анализа. Входные данные для анализа со стороны руководства должны включать, но не ограничиваться информацией, указанной в п. 5.6.2.

Руководство организации и другие лица, участвующие в анализе со стороны руководства, должны содействовать получению выходных данных анализа или предпринимать для этого необходимые действия, если целесообразно (см. ГОСТ ISO 13485-2017, пункт 6.2.2).

Метод анализа рекомендуется разрабатывать на основе практических методов коммерческой деятельности организации; этот метод может включать в себя:

- официальное собрание внутри организации с установленной повесткой дня, регламентом и запланированными выступлениями;

- вариант такого собрания в виде телеконференции или при помощи Интернета;

- частичные анализы на различных уровнях внутри организации с сообщением результатов руководству организации, анализирующему эти сообщения.

Записи об анализе со стороны руководства могут быть выполнены в любой форме, принятой в данной организации, такой, например, как записи в журнале учета, протоколы официальных собраний или записи, сделанные в ходе этих собраний, размноженные и хранящиеся на бумажном или электронном носителе.

Записи об анализе со стороны руководства рекомендуется делать по всем пунктам анализа и с описанием всех предпринимаемых корректирующих и предупреждающих действий, распределением ответственности за данные действия, описанием ресурсов, необходимых для выполнения этих действий, и сообщением даты исполнения, если она известна.

Для обеспечения анализа системы менеджмента качества в целом необходимо применение установленного метода анализа, включающего в себя:

- постоянное приведение политики и целей в области качества в соответствии с текущими нуждами организации;

- обеспечение функциональной результативности системы менеджмента качества и ее способности достижения целей в области качества;

- анализ функционирования процессов;

- рассмотрение проблем в области качества и предпринятых действий;

- обратную связь с потребителем, включая анализ жалоб потребителя;

- анализ отчетов по результатам аудитов (как внутренних, так и внешних);

- рекомендации по улучшению/необходимые изменения;

- действия, предпринятые на основании предыдущего анализа;

- новые или пересмотренные регулирующие требования.

Проблемы частного характера рекомендуется разрешать по мере их появления, не ожидая следующего анализа со стороны руководства организации. Анализ со стороны руководства должен выявлять повторное появление уже существовавших проблем, адекватность действий, предпринятых для решения этих проблем, а также удовлетворенность потребителя и соответствие действий регулирующим требованиям. Однако анализ проблем частного характера должен быть дополнением к анализу всей системы менеджмента качества с целью определения ее результативности в решении задач организации в области качества.

При проведении анализа со стороны руководства рекомендуется не уделять внимание многократному обсуждению незначительных проблем. Анализ со стороны руководства организации полезнее при рассмотрении сообщений, позволяющих получить ясное представление о положении в целом, а не о мелких проблемах. Руководство организации должно анализировать общие вопросы и принимать по ним существенные решения.

Включение анализа входных данных в анализ со стороны руководства см. в ГОСТ ISO 13485-2017, подраздел 8.4. Рассматриваемые входные данные могут включать в себя:

- необходимость обучения персонала;

- риски, связанные с поставщиками;

- потребность в оборудовании, надлежащей производственной среде, текущем ремонте.

Рассматривая полученные результаты, а также итоги анализа, организация может разработать или пересмотреть свои планы качества, а также стратегические и бизнес-планы на будущее.

После проведения улучшений и устранения проблем организация может проанализировать характер и степень управления средствами контроля, а именно: остаются ли они такими же важными, как раньше, или можно сэкономить на их модификации, либо необходимо принятие других мер? При увеличении числа жалоб рекомендуется принять решение об исследовании причин и принятии соответствующих мер.

Разница между анализом и аудитом вытекает из требования включать результаты аудитов в анализ со стороны руководства организации.

При проведении анализа со стороны руководства организации, а также получении входных данных для проектирования (см. ГОСТ ISO 13485-2017, пункт 7.3.2) любые нормативные документы, разработанные компетентными органами и относящиеся к упомянутым процессам, являются регулирующими требованиями и выступают в качестве имеющих юридическую силу предварительных условий, которые следует выполнять:

- при размещении медицинских изделий на рынке;

- введении медицинских изделий в обращение;

- установке СИИ или

- реализации связанных с ними услуг.

Организация должна соответствовать этим регулирующим требованиям только в случае, если она поставляет или планирует поставлять свои СИИ на конкретный рынок или в конкретный регион, где подобные требования существуют. Часть анализа, проводимого со стороны руководства организации, рекомендуется посвятить пониманию соответствия организации регулирующим требованиям, а также планированию действий по установлению и поддержанию такого соответствия в рабочем состоянии.

Выходные данные для анализа со стороны руководства организации должны содержать сообщение о результативности системы менеджмента качества и ее процессов, разработанных для достижения политики и целей в области качества, а также о степени достижения этих целей на основании установленных критериев соответствия. Одним из возможных результатов анализа со стороны руководства может быть принятие решения о пересмотре запланированного интервала времени, через который проводят подобный анализ (см. ГОСТ ISO 13485-2017, пункт 5.6.1).

Организация должна регистрировать и сохранять документированную информацию как свидетельство результатов анализа со стороны руководства. Примеры документированной информации могут включать презентации, протоколы совещаний или отчеты.

Документированная информация должна содержать следующее:

- дату рассмотрения;

- информацию о лицах, принимающих участие в анализе со стороны руководства;

- краткое изложения обзора информации, представленной входными данными, перечисленными в пункте 5.6.2 о системе менеджмента качества;

- принятые решения и действия, направленные:

- информацию о лицах, ответственных за действия, которые необходимо предпринять, и о сроках выполнения этих действий;

- заключение о пригодности, адекватности и результативности системы менеджмента качества;

- дату очередного анализа со стороны руководства.

Руководству организации следует уделять внимание идентификации и обеспечению ресурсами, необходимыми для успешного внедрения политики организации в области качества и достижения поставленных целей, а также для удовлетворения требований заказчиков и регулирующих требований.

Обеспечение необходимых ресурсов являются предпосылкой результативного внедрения, поддержания в рабочем состоянии и постоянного улучшения системы менеджмента качества и ее процессов. Задействованные процессы определяют содержание и объем требуемых ресурсов.

Ответственность за обеспечение ресурсами лежит на организации независимо от того, осуществляется ли обеспечение данной организацией или сторонними организациями.

Ресурсами считают персонал организации, производственную среду, информацию, заказчиков и партнеров, природные и финансовые ресурсы.

Потребность в ресурсах необходимо периодически анализировать. Обычно эти действия выполняют во время анализа со стороны руководства и при рассмотрении нового тендера или контракта, при изменении регулирующих требований, при рассмотрении новой бизнес-стратегии.

Смысл настоящего пункта заключается в определении необходимой компетентности, требуемой для выполнения отдельных функций, и необходимой ответственности за результативность системы менеджмента качества, а также в гарантии того, что лица, выполняющие работу, компетентны на основе обучения, навыков, образования или опыта.

Организация должна документировать процедуры, описывающие процессы определения требований к компетентности, определения необходимой компетентности персонала, требуемой для выполнения отдельных функций, а также принятия мер по установлению или поддержанию компетентности персонала, включая оценку эффективности принятых мер.

Организации рекомендуется определять опыт, квалификацию, возможности и способности персонала, особенно в тех областях, которые могут повлиять на безопасность и результативность изготавливаемых и поставляемых медицинских изделий.

Уровень подготовки, необходимый для осуществления какого-либо процесса, обычно определяют, оценивая уровень необходимой компетентности персонала, который должен осуществлять данный процесс, руководствуясь данными следующих видов деятельности по ГОСТ ISO 13485-2017:

- распределение обязанностей и назначение персонала (см. 6.2);

- анализ со стороны руководства (см. 5.6);

- управление несоответствующей продукцией (8.3);

- корректирующие действия (см. 8.5.2);

- предупреждающие действия (см. 8.5.3);

- внутренний аудит качества (см. 8.2.4).

Все вышеперечисленные виды деятельности призваны идентифицировать те области, где необходимо повышение компетентности персонала, и определять возможности такого повышения посредством замены персонала, его дальнейшего обучения или подготовки.

Персонал, работающий с системой менеджмента качества, должен обладать необходимым уровнем компетентности или подготовки (внутренней или внешней) прежде, чем он сможет надлежащим и безопасным образом осуществлять поставленные перед ним задачи. Персонал организации должен сознавать необходимость дальнейшего повышения квалификации или получения официального подтверждения соответствия установленным требованиям к персоналу. Организация обычно обеспечивает общее обучение и подготовку персонала, занятого полный и неполный рабочий день, а также работающего по договору, согласно штатному расписанию. Такое обучение и подготовка должны включать в себя ознакомление:

- с основами коммерческой деятельности;

- политикой в области качества и внутренней политикой организации;

- должностными обязанностями персонала;

- необходимыми процедурами и инструкциями.

Подготовку допускается проводить поэтапно; она обычно является запланированным или необходимым продолжением, либо повторением первоначальной подготовки. Персонал организации несет ответственность за выполнение конкретных функций согласно документированным процедурам системы менеджмента качества и должен проходить подготовку по данным процедурам.

Организация должна оценивать результативность подготовки персонала или других действий по обеспечению его компетентности. Оценивание может заключаться в опросе подготовленного персонала для того, чтобы узнать его мнение о необходимости получения какой-либо информации, оценить работу конкретного лица и проанализировать результативность обучения конкретным обучающим лицом.

Организация должна поддерживать в рабочем состоянии записи, демонстрирующие уровень компетентности персонала. Рекомендуется также хранить записи о подготовке, полученной персоналом, и любых ее результатах. Записи, демонстрирующие успешное завершение конкретным лицом курса обучения и повышение его компетентности, могут (при необходимости) быть простыми или сложными. Простейшая запись может представлять собой некий знак допуска, подтверждающий способность конкретного лица применять конкретное оборудование, осуществлять конкретные процессы или процедуры. В записях должно быть четко отражено, что конкретное лицо считается достаточно компетентным для выполнения конкретных задач, к которым его готовили. Результативность любого дальнейшего обучения и подготовки рекомендуется оценивать заново через установленный период времени с целью подтверждения достигнутой компетентности.

Рекомендуется проводить подготовку персонала, имеющего необходимые навыки, квалификацию и опыт. Записи о подготовке персонала обычно сохраняют с целью документированного подтверждения его квалификации.

Организации следует определить необходимую инфраструктуру для функционирования ее процессов и для достижения ее целей. Организация должна планировать обеспечение и поддержание необходимой инфраструктуры.

При определении необходимой инфраструктуры организация должна учитывать какие здания, сооружения, инженерные сети, оборудование, программное обеспечение, сервисы и (или) транспортные средства необходимы для обеспечения соответствия продукции и услуг. Потребности инфраструктуры могут основываться на требованиях потребителя, законодательных и нормативных правовых требованиях.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 6.4.1 отсутствуют.

Требования настоящего пункта не применимы к СИИ.

Применяют пункт 7.1 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.2.1 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.2.2 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.2.3 ГОСТ Р ИСО/МЭК 90003-2014.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 7.3.1, отсутствуют.

Применяют пункт 7.3.1 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.3.2 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.3.3 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.3.4 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.3.5 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.3.6 ГОСТ Р ИСО/МЭК 90003-2014.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 7.3.8, отсутствуют.

Применяют пункт 7.3.7 ГОСТ Р ИСО/МЭК 90003-2014.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 7.3.10, отсутствуют.

Применяют пункт 7.4.1 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.4.2 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.4.3 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.5.1 ГОСТ Р ИСО/МЭК 90003-2014.

Требования настоящего пункта не применимы к СИИ.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 7.5.3, отсутствуют.

Применяют пункт 7.5.1 ГОСТ Р ИСО/МЭК 90003-2014.

Требования настоящего пункта не применимы к СИИ.

Применяют пункт 7.5.2 ГОСТ Р ИСО/МЭК 90003-2014.

Требования настоящего пункта не применимы к СИИ.

Применяют подпункты 7.5.3.1 и 7.5.3.2 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют подпункт 7.5.3.3 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.5.4 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.5.5 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 7.6 ГОСТ Р ИСО/МЭК 90003-2014.

Применяют пункт 8.1 ГОСТ Р ИСО/ТО 14969-2007.

Применяют пункт 8.2.1 ГОСТ Р ИСО/ТО 14969-2007 со следующим дополнением:

При определении деятельности после поставки организация должна учитывать не только известные требования (например, правовые или требования потребителя), но также и вероятность того, что продукция или услуга могут не отвечать требованиям, как ожидалось, и потребовать дальнейших действий. Риск неудовлетворенности потребителей или потери потенциальной возможности увеличивается, если организация не рассматривает потенциальные и установленные действия после поставки.

Применяют подпункт 8.5.1.2 ГОСТ Р ИСО/ТО 14969-2007.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 8.2.3 отсутствуют.

Применяют пункт 8.2.2 ГОСТ Р ИСО/ТО 14969-2007.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 8.2.5 отсутствуют.

Применяют пункт 8.2.4.1 ГОСТ Р ИСО/ТО 14969-2007.

Применяют подпункты 8.3.1 и 8.3.2 ГОСТ Р ИСО/ТО 14969-2007 со следующим дополнением:

Организация должна рассматривать и анализировать несоответствие для определения его причины и того, существует ли оно где-либо еще, может ли оно повториться или возникнуть в другой области. Организация должна определить объем действий, которые необходимо предпринять, основываясь на потенциальном влиянии несоответствия. Организация должна внедрять любые необходимые действия, основанные на этом анализе.

Применяют подпункт 8.3.3 ГОСТ Р ИСО/ТО 14969-2007.

Применяют подпункт 8.3.4 ГОСТ Р ИСО/ТО 14969-2007 со следующим дополнением:

Риск, связанный с несоответствием СИИ, определяет срочность и масштабность действий, а также необходимость направления пояснительных уведомлений в регулирующие организации.

Примечание - Для получения дополнительной информации о пояснительных уведомлениях см. пункт 8.5.1.3 ГОСТ Р ИСО/ТО 14969-2007.

Дополнительные руководящие указания по ГОСТ ISO 13485-2017, пункт 8.3.4 отсутствуют.

Применяют пункт 8.4 ГОСТ Р ИСО/ТО 14969-2007 со следующим дополнением:

Организация должна обеспечить, чтобы методы и данные о качестве предоставляли полезную информацию для принятия решений руководством. Статистические методы могут быть полезными инструментами для процессов анализа и оценки.

Анализ данных следует проводить в разные промежутки времени и на разных организационных уровнях.

Применяют подпункт 8.5.1.1 ГОСТ Р ИСО/ТО 14969-2007.

Применяют пункт 8.5.2 ГОСТ Р ИСО/ТО 14969-2007.

Применяют пункт 8.5.3 ГОСТ Р ИСО/ТО 14969-2007.