iso-13485-certification

ISO 13485 QMS 证据准备

用途

使用此技能来整理 QMS 范围、受控文件、实施记录、 可追溯性和就绪状态证据，以供实质性审查。它汇总过程 工作流并提供确定性的本地检查；它不包含 ISO 条款 文本，也不执行审计。

不可协商的边界

此技能不能：

• 认证 QMS、签发或验证证书，或承诺审计结果；
• 确定法律/法规适用性、器械分类、可报告性、 符合性路径、产品授权、市场准入或合规性；
• 替代经授权的管理层、管理者代表、RA/QA、法律 顾问、监管/主管当局、公告机构、MDSAP 审核 组织、认可机构或认证机构；或
• 从模板、检查清单、文件名、关键词、文档数量、百分比或脚本结果 推断实施、符合性、合规性或就绪状态。

始终将输出标记为 供经授权人员审查的草稿证据准备材料。将未解决的决策保留为阻塞项。

ISO 版权

ISO 标准受版权保护。请从 ISO、ISO 国家成员或另一 经授权来源获取 ISO 13485 及相关标准。不要检索、粘贴、复制或生成条款文本。 汇总组织的流程并引用受控的经授权副本。 参见 ISO 版权。

当前基线（研究于 2026-07-23）

• ISO 13485： ISO 13485:2016，第 3 版，在其 2025 系统评审后得到确认，并且仍然现行。
• 欧洲修正案： EN ISO 13485:2016/A11:2021 是欧洲 EN 修正案， 不是 ISO 国际“Amendment 1:2021”。仅在 欧洲来源依据适用时才跟踪 AC:2018/A11:2021。
• FDA QMSR： 自 2026-02-02 起生效并执行。当前 Part 820 标题为 Quality Management System Regulation。FDA 已停止使用 QSIT，并使用 合规计划 7382.850。将其视为已实施，而不是未来 过渡。
• MDSAP： 当前官方 Audit Approach 是 MDSAP AU P0002.010，版本 日期 2026-02-02。
• EU： 使用当前合并版 MDR/IVDR 文本、当前 OJEU 协调标准 决定、当前 MDCG 指南以及产品特定的符合性路径。
• 风险管理： ISO 14971:2019，第 3 版，已于 2025 年确认。对于 欧洲工作，区分 EN ISO 14971:2019/A11:2021。

在作出时间敏感陈述之前，阅读 references/source-ledger.md。

保持五条通道相互独立

1. ISO 13485 认证

认证机构依据经授权标准和认证方案评估所定义的管理体系范围。证书仅限于其所述 组织、场所、活动、技术/产品范围、版本和有效期。

2. FDA QMSR 检查/合规

FDA 评估适用的 FDA 要求。ISO 认证并不豁免 制造商接受检查，FDA 也不签发 ISO 13485 证书。使用 当前 eCFR 和 FDA 补充条款；不要使用前 QSR 条款 结构作为当前要求映射。

3. MDSAP 审计

MDSAP 认可的审核组织使用 当前 MDSAP 方法和适用的参与司法管辖区要求进行法规审计。仅 ISO 审计不是 MDSAP；FDA 检查不遵循 MDSAP 审计计划。

4. EU MDR/IVDR 符合性评估

EU 符合性评估包括产品、技术文档、上市后、 警戒、经济运营者和公告机构要求，超出通用 QMS 文档。在 NANDO 中验证公告机构的当前立法/任务/指定代码 范围。仅 ISO 认证/认可不是公告机构 指定或 EU 产品符合性。

5. 产品特定与司法管辖区特定的控制

分类、预期用途、声称、软件/网络安全、临床或性能证据、生物相容性、电气安全、灭菌、UDI、注册、报告及其他控制，均需要单独进行经授权的分析。

核心工作流

步骤 1：定义目的与经授权的负责人

说明该工作是支持内部 QMS 建设、ISO 认证准备、FDA 检查准备、MDSAP、欧盟符合性评估，还是某个特定组合。明确管理者代表、RA/QA 负责人、法律/适用性负责人、流程负责人、审批人及升级路径。

运行：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_scope_intake.py \
  assets/templates/scope-intake-template.json

分发的模板有意采用失效关闭（fail closed）设计。将其复制到该技能之外，并用受控的组织证据完成填写。

步骤 2：冻结来源/版本证据

对于每一项标准、法规、指南、审核模型和产品来源，记录：

• 发布方、官方标题、版次/版本/日期及授权位置；
• 访问日期与时效性复核日期；
• 范围/适用性负责人；
• 影响评估、状态、证据及批准。

不要将搜索摘要作为受控要求使用。当发布方发布新版本时，不要擅自更新已纳入的版次。

步骤 3：盘点受控文件和记录

不要统计已命名的程序或扫描关键词。构建一份明确的登记册，将文件、记录、来源版本、负责人、批准、生效日期、保存依据、培训及变更记录关联起来。

PYTHONDONTWRITEBYTECODE=1 python3 scripts/audit_document_records.py \
  assets/templates/document-register-template.json

阅读 references/mandatory-documents.md 了解证据架构。

步骤 4：审查流程实施情况

针对受控程序及抽样记录，评估以下方面：

• 范围、治理、角色及管理权限；
• 文件/记录/外部来源控制；
• 风险管理；
• 设计/开发、转换及变更；
• 供应商、采购及外包流程；
• 生产/服务、基础设施、环境、验收及放行；
• 流程、设备、测试方法及软件验证；
• 标识、可追溯性、防护、安装及服务；
• 反馈、投诉、上市后监督及警戒；
• 不合格、CAPA 及有效性；
• 内部审核与管理评审；
• 能力/培训；以及
• 集成变更控制。

每一项都需要负责人、状态、证据 ID、来源/版本、批准及未决差距链接。阅读 references/iso-13485-requirements.md。

步骤 5：构建可追溯性与针对性检查

风险/设计/生产/上市后：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_traceability.py \
  assets/templates/traceability-matrix-template.json

CAPA/有效性：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_capa.py \
  assets/templates/capa-record-template.json

供应商控制：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_supplier_controls.py \
  assets/templates/supplier-controls-template.json

未决或无效的 CAPA 有效性证据会阻碍关闭。关键供应商控制应保持阻断状态，直至基于风险的控制和批准均有证据支持。

步骤 6：单独处理现行 QMSR 证据

PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_qmsr_transition.py \
  assets/templates/qmsr-transition-template.json

审查现行 Part 820/FDA 来源依据、补充条款、过时的 QSR/QSIT 引用、生效日期之前的记录、检查可访问的管理/质量/供应商审核记录、现行检查流程培训、投诉与服务记录、标签/包装控制、供应商/软件/变更证据，以及被禁止的证书等效性声称。

不要将旧版 820 到 ISO 的条款映射构建为现行控制框架。

步骤 7：汇编一份有边界的就绪状态清单

将证据模板复制到该技能之外。仅使用指向本地 .json、.md 或 .markdown 证据的相对路径。

PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_evidence_manifest.py \
  /path/to/evidence-manifest.json \
  --base-dir /path/to/controlled-export \
  --verify-files \
  --output /path/to/manifest-report.json

然后生成领域级差距视图：

PYTHONDONTWRITEBYTECODE=1 python3 scripts/gap_analyzer.py \
  /path/to/evidence-manifest.json \
  --base-dir /path/to/controlled-export \
  --verify-files \
  --output /path/to/gap-report.json

分析器使用显式的清单标签。它不会从文件名、关键词或专有标准文本中推断证据，也不会计算合规评分。

步骤 8：人工评审与受控交接

呈现：

• 已声明的范围、保证通道，以及未解决适用性决策；
• 确切的来源/版本基线；
• 抽样的证据及局限性；
• 按流程和风险分组的结构性发现；
• 措施/变更/CAPA 负责人和日期；
• 审批状态；以及
• 负责下一项决策的授权方。

切勿将结果命名为“certificate”“compliance report”“audit pass”或“ready for inspection”。合适的标题是 Draft QMS evidence review for authorized human assessment。

命令行行为与安全

所有随附的命令行工具：

• 仅使用 Python 标准库；
• 不执行任何网络请求；
• 接受有边界的本地 JSON；可选的证据验证仅接受有边界的本地 JSON/Markdown；
• 拒绝符号链接输入、重复的 JSON 键、非有限数字、过大的大小/嵌套/条目数，以及不安全的证据路径；
• 不使用动态求值、可执行反序列化、pickle 或 shell 执行；
• 除非显式指定 --force，否则拒绝覆盖报告；以及
• 生成确定性的排序 JSON。

将清单本身视为受控的组织记录。可选的 SHA-256 比较仅能检测本地文件不一致；它不能确立用户所提供清单的来源、真实性、充分性或可信度。JSON 中 local_path 和 evidence.location 字段的值指向用户受控的导出内容，而非随附的技能资源；未解析的占位符绝不得打开。

退出码：

• 0：所提供的字段没有结构性发现；不是合规结果；
• 1：发现结构性/证据缺口；
• 2：无效或不安全的输入/输出。

对每个接口运行 python3 scripts/<name>.py --help。

模板

• assets/templates/quality-manual-template.md
• assets/templates/procedures/CAPA-procedure-template.md
• assets/templates/procedures/document-control-procedure-template.md
• assets/templates/scope-intake-template.json
• assets/templates/document-register-template.json
• assets/templates/capa-record-template.json
• assets/templates/traceability-matrix-template.json
• assets/templates/qmsr-transition-template.json
• assets/templates/evidence-manifest-template.json
• assets/templates/supplier-controls-template.json

每个模板都刻意保持为 draft/pending，使用占位符，并包含负责人/状态/证据/审批字段。请复制并控制它；切勿将分发的模板编辑成声称已获批准的记录。

参考资料

• references/iso-13485-requirements.md — 流程/证据框架与保证边界
• references/mandatory-documents.md — 文档与记录架构
• references/gap-analysis-checklist.md — 故障关闭式证据评审问题
• references/quality-manual-guide.md — 受控手册开发
• references/source-ledger.md — 带日期的权威官方来源基线