FDA-Inspektion nach QMSR: was Programm 7382.850 ändert

Die meisten Vorbereitungsunterlagen, die in MedTech-Unternehmen im Schrank liegen, trainieren ein Verfahren, das es nicht mehr gibt. Am 2. Februar 2026 hat die FDA die Quality System Inspection Technique (QSIT) für Produktinspektionen eingestellt und arbeitet nach dem aktualisierten Compliance Program 7382.850 (Inspection of Medical Device Manufacturers). Abgelöst wurden außerdem das frühere Programm 7382.845 und 7383.001 für PMA-Inspektionen vor und nach der Zulassung, die damit im selben Programm aufgehen.

Der Verfahrenswechsel ist die sichtbare Änderung. Die folgenreichere steht im Regelungstext, und über sie wird deutlich weniger gesprochen.

Der Aktenschutz für Managementbewertung und Audits ist weg

Die frühere Quality System Regulation enthielt in § 820.180(c) eine Ausnahme: Managementbewertungen, Qualitätsaudits und Lieferantenauditberichte musste ein Hersteller einem FDA-Inspektor nicht vorlegen. Diese Ausnahme ist in die QMSR nicht übernommen worden. Die FDA hält das in ihren FAQ ausdrücklich fest und verweist auf Kommentar 55 der Präambel zur Endregel. Die Begründung ist nüchtern: Hersteller legen diese Unterlagen anderen Behörden ohnehin vor, sie entstehen im normalen Geschäftsgang und sollten bei einer Inspektion verfügbar sein.

Damit wird Material zum Inspektionsgegenstand, das viele Häuser bisher bewusst offen und selbstkritisch geführt haben. Wer im Protokoll der Managementbewertung notiert, das CAPA-System sei überlastet und 47 Fälle seien offen, stellt der Behörde die Feststellung künftig selbst zu.

Der falsche Schluss daraus wäre, weniger zu dokumentieren. Er wäre auch gefährlich, weil eine dünne Managementbewertung gegen Clause 5.6 der ISO 13485 verstößt und damit gegen § 820.10. Der richtige Schluss ist ein anderer: jede Feststellung trägt ihre Maßnahme mit sich. Ein Protokoll, das ein Problem benennt, ihm einen Verantwortlichen, einen Termin und später einen Wirksamkeitsnachweis zuordnet, ist kein Geständnis, sondern der Beleg für ein funktionierendes System. Ein Protokoll, das nur bewertet, ist eine Vorlage für die Formblatt-483-Feststellung.

Dasselbe gilt für Lieferantenauditberichte. Die liegen in der Praxis oft beim Auditor oder beim Lieferanten und nicht beim Hersteller. Wenn die FDA sie verlangt, ist die Frage nicht, ob man sie zeigen möchte, sondern ob man sie hat.

Wie das neue Verfahren aufgebaut ist

Der risikobasierte Ablauf ordnet die QMSR-Anforderungen in sechs QMS Areas und vier Other Applicable FDA Requirements (OAFR). Jeder Bereich besteht aus einem oder mehreren Elementen. Die vollständigen Tabellen mit Bereichen, Elementen und zugeordneten Anforderungen stehen in Attachment A des Programms 7382.850, und dieses Dokument ist öffentlich. Wer die Vorbereitung umstellt, sollte es lesen und nicht referieren lassen.

Zwei Bereiche seien genannt, weil sie den Zuschnitt zeigen: Management Oversight bündelt die breite Aufsicht der oberen Leitung über das QMS und stützt sich dabei auf Anforderungen aus mehreren Stellen der ISO 13485 und des Part 820. Outsourcing and Purchasing deckt die ausgelagerten Prozesse und die Beschaffung ab.

Wichtig ist der Unterschied im Prinzip. QSIT arbeitete mit vier Subsystemen, von denen eine Inspektion typischerweise eine Auswahl vertieft prüfte. Nach dem neuen Ansatz bewertet die FDA auf jeder Inspektion jeden Hauptteil des Qualitätsmanagementsystems in einem gewissen Umfang, weil die ISO 13485 auf einem Prozessansatz beruht und die Bereiche entsprechend miteinander verbunden sind. Die Tiefe richtet sich nach dem Risiko für Patient und Anwender.

Für die Vorbereitung heißt das: der Gedanke „dieses Subsystem war letztes Mal dran, diesmal kommt ein anderes" trägt nicht mehr.

Risiko ist der Sortierschlüssel, nicht ein eigenes Kapitel

Risikobasierte Entscheidungen sind in der ISO 13485 über die Prozesse verteilt, unter anderem in Clause 7.5 (Produktion und Dienstleistungserbringung), Clause 7.6 (Überwachungs- und Messmittel), Clause 8.2 (Überwachung und Messung), Clause 8.3 (Lenkung nichtkonformer Produkte) und Clause 8.5 (Verbesserung).

Genau daran entscheidet sich, ob eine Inspektion glatt läuft. Ein Risikomanagement, das ausschließlich in der ISO-14971-Akte des Produkts lebt und in den Prozessen nicht auftaucht, ist formal vorhanden und praktisch unsichtbar. Gefragt ist der umgekehrte Nachweis: an welcher Stelle hat eine Risikoüberlegung eine Entscheidung über eine Prüfhäufigkeit, eine Freigabe oder eine Nacharbeit tatsächlich geändert.

MDSAP bleibt der wirksamste Hebel

Wer in mehreren Märkten unterwegs ist, hat eine Alternative zur unangekündigten Routineinspektion. Das CDRH akzeptiert MDSAP-Auditberichte als Ersatz für routinemäßige FDA-Inspektionen, die nach Behördenpolitik im Zweijahresrhythmus stattfinden. MDSAP-Routineaudits werden von der Auditorganisation mit dem Hersteller angekündigt und terminiert, mit vorab festgelegter Dauer, und die FDA prüft die Berichte mit einer Genauigkeit, die sich nach der Bedeutung der Feststellungen richtet.

Eine Einschränkung gehört dazu: Betriebe mit Tätigkeiten nach den Vorschriften zur Strahlungskontrolle elektronischer Produkte (EPRC) bleiben insoweit weiter der FDA-Inspektion unterworfen.

Die Rechnung ist damit einfacher, als sie oft dargestellt wird. MDSAP kostet Aufwand und Auditgebühren und tauscht dafür eine unangekündigte Inspektion gegen ein planbares Audit. Für ein Unternehmen mit einem einzigen Markt USA lohnt das selten. Für eines mit Kanada, Europa und den USA fast immer.

Was jetzt zu tun ist

• Attachment A gegen die eigene Prozesslandkarte legen. Die sechs QMS Areas und die vier OAFR samt Elementen stehen dort namentlich. Diese Zuordnung ist die Vorbereitung, alles andere baut darauf auf.
• Managementbewertung inspektionsfest schreiben. Nicht kürzer, sondern vollständiger: Feststellung, Bewertung, Maßnahme, Verantwortlicher, Termin, Wirksamkeitsnachweis. Eine offene Feststellung ohne Maßnahme ist die teuerste Zeile im Protokoll.
• Interne Auditberichte durchsehen. Sind Feststellungen geschlossen, und ist der Abschluss belegt? Der Bericht des letzten Jahres wird gelesen werden, nicht der von übermorgen.
• Lieferantenauditberichte einsammeln. Vor der Inspektion klären, welche Berichte tatsächlich im eigenen Haus vorliegen und welche man beim Auditor oder Lieferanten anfordern müsste.
• Risikobezug in den Prozessen nachweisen. Für Clauses 7.5, 7.6, 8.2, 8.3 und 8.5 je ein Beispiel, an dem eine Risikoüberlegung eine Entscheidung verändert hat. Das ist der Nachweis, den der Ansatz sucht.
• QSIT-Unterlagen umbauen, nicht wegwerfen. Die fachlichen Inhalte bleiben brauchbar, die Ablauflogik nicht.
• MDSAP prüfen, wenn mehr als ein Markt betroffen ist. Die Frage ist eine Kostenrechnung, keine Glaubensfrage.

Entourage bereitet Hersteller aus MedTech und IVD auf Inspektionen nach dem aktuellen Programm vor: Zuordnung der eigenen Prozesse zu den Bereichen und Elementen des Programms, Durchsicht von Managementbewertung und internen Auditberichten unter der neuen Vorlagepflicht, Aufbau des Risikonachweises in den betroffenen Prozessen und Mock-Inspektionen, die den heutigen Ablauf üben und nicht den von 2025. Der unangenehmste und nützlichste Einstieg ist meist die Frage, was in der letzten Managementbewertung steht und ob man sie einem Inspektor heute vorlegen würde.