Risikomanagement für Medizinprodukte nach ISO 14971: Wie sinnvoll ist der Einsatz der FMEA-Methode?

Die FMEA-Methode hat sich in vielen Industriebereichen als effizientes Werkzeug zur Risikoanalyse bewährt. Dabei ist schon seit längerem bekannt, dass die Risikoprioritätszahl als alleiniges Schutzziel zur Risikobewertung nicht ausreicht. Es empfiehlt sich, insbesondere für kritische Qualitätsattribute (CQA) und kritische Prozessparameter (CPP) einige wenige zusätzliche Bewertungskriterien einzuführen. Dies ist in den meisten Fällen weitaus vorteilhafter, als anhand der in der Automobilindustrie seit einigen Jahren propagierten Aufgabenprioritäten (AP) Maßnahmen zur Risikobeherrschung zu priorisieren. Die Bewertungskriterien sind durch Rationalen aus der Anwendung des Medizinproduktes zu begründen.

Eine wertvolle Eigenschaft der FMEA-Methode ist, zwischen Auftretenswahrscheinlichkeit und Entdeckungswahrscheinlichkeit von Fehlern bzw. Fehlerursachen klar zu unterscheiden. Sie unterstützt damit eine systematische und effiziente Analyse technischer Risiken. Maßnahmen zur Risikobeherrschung können der Prävention oder der Entdeckung differenziert zugeordnet werden. Dies erleichtert zum einen die Identifizierung möglicher Risiken in den Risikoanalyse-Sitzungen und zum anderen, eine hohe Qualität in der Risikoanalyse beizubehalten. Bei frühzeitigem Einsatz der FMEA-Methode in der Produktentwicklung sind merkliche Effizienzgewinne im Entwicklungsgeschehen, im Projektverlauf und in den nachfolgenden Eignungsnachweisen die Folge.

Die Anwendung der FMEA-Methode für die Entwicklung von Medizinprodukten wird durch die medizintechnischen Regularien und insbesondere durch die ISO 14971 nicht eingeschränkt. Während die Analyse des Anwendungsprozesses nach ISO 14971 auf den Schaden und dessen Eintrittswahrscheinlichkeit am Ende einer Ereigniskette orientiert ist, kommt die FMEA für Bereiche innerhalb der Ereigniskette (Design und Produktherstellung) zum Einsatz. Hier trägt die Wahrscheinlichkeit der Fehlerentdeckung maßgeblich zur Schadensvermeidung bei.

Während die Anwendungsrisikoanalyse dem Risikokonzept der ISO 14971 folgt, sollte die Analyse der technischen Risiken in Methode und Detaillierungsgrad der Komplexität der Aufgabenstellung angepasst sein. Mit zunehmendem Komplexitätsgrad und Bedarf an Systematik und Modularität im Risikomanagement wird hier der Einsatz der FMEA-Methode immer sinnvoller.

Unabhängig von der Komplexität eines Medizinproduktes ist es „Best-Practice“, bei der Analyse technischer Risiken zwischen Auftreten und Entdeckung eines Fehlers zu unterscheiden und dementsprechend auch zwischen Vermeidungs- und Entdeckungsmaßnahmen zu differenzieren.

Die Fehlermöglichkeits- und Einflussanalyse ist eine effiziente und bewährte Methode, um in vielen Bereichen Design- und Prozessrisiken frühzeitig in der Produktentwicklung zu identifizieren, die Risiken hinsichtlich ihrer Bedeutung einzuschätzen und durch Zuordnung und Einleitung geeigneter Maßnahmen zu beherrschen. Sie wurde 1963 durch die NASA entwickelt und hat ihre Eignung in vielen sicherheitsrelevanten Anwendungen, u.a. im Automobilbau, der Luftfahrt und der Kraftwerkstechnik bewiesen. Kernpunkt der Methode ist, dass das mit dem Auftreten eines Fehlers verbundene Risiko durch drei Faktoren bewertet wird:

• Schaden: die Bedeutung des als Fehlerfolge eintretenden Schadens
• Auftretenswahrscheinlichkeit: die Wahrscheinlichkeit, mit der Fehlerursache oder Fehler eintreten.
• Entdeckungswahrscheinlichkeit: die Wahrscheinlichkeit, dass ein Fehler vor dem Auftreten des Schadens entdeckt wird.

Die Bedeutung des Risikos wird anhand der Kombination der drei o.g. Größen bewertet. Hierfür wurde bisher die Risikoprioritätszahl (RPZ) verwendet. Seit einigen Jahren wird insbesondere in der Automobilindustrie zunehmend diese Kennzahl durch die Aufgabenpriorität (AP) ersetzt.

Die FMEA-Methode wird zur Analyse von Risiken in Produkten oder Systemen (System-FMEA), im Design (Design-FMEA) und Prozessen (Prozess-FMEA) verwendet. Sie ist fester Bestandteil in den Methoden des DMAIC-Prozesses (Define-Measure-Analyse-Improve-Control) zur systematischen und effizienten Produkt- und Prozessverbesserung.

Viele Gründe sprechen dafür, die FMEA-Methode auch in der Medizintechnik einzusetzen, um von dem bedeutenden Nutzen, den sie nachweislich in vielen Branchen stiftet, auch hier zu profitieren. Schließlich besteht in den Anforderungen an die Produktfunktionalität und die Produktsicherheit zu vielen anderen Branchen kein Unterschied. So, wie z.B. ein Flugzeug, eine Eisenbahn oder ein Kraftfahrzeug sicher von A nach B transportieren sollen, muss ein Beatmungsgerät genauso sicher am Patienten seine Funktion erfüllen.

In der Anwendung zählt die FMEA-Methode zu den anspruchsvolleren Methoden. Sie erfordert Moderationsfähigkeiten für Teams und erhebliche Übung, um eine hohe Qualität in der Risikoanalyse durch strenge Systematik sicherzustellen. Je früher sie in den Entwicklungszyklen eingesetzt wird, desto effizienter lassen sich Fehlerkosten aus Designfehlern, Entwicklungsverzögerungen, sowie Projekt- und Produktionsunterbrechungen reduzieren. Die Missachtung der Anforderungen und Randbedingungen führt jedoch zu einer weiten Verbreitung von FMEAs minderer Qualität, welche die Akzeptanz dieser Methode schwächen und sie zum „Papiertiger“ verkommen lassen. Der damit verbundene hohe Nutzen geht weitestgehend verloren.

Letzteren Punkt betrifft aber nicht nur den Einsatz von FMEAs sondern das gesamte Risikomanagement von Medizinprodukten, dessen Qualität entscheidend von der Erfahrung der verantwortlichen Personen abhängt.

Einzelheiten zur FMEA-Methode sind u.a. in [1] ausführlich beschrieben.

Das Risikomanagement von Medizinprodukten ist durch die DIN EN ISO 14971 [2] geregelt. Die umfangreichen Anhänge der früheren Ausgabe [3] wurden hierbei zum großen Teil in eine Technische Regel ISO/TR 24971 [4] ausgegliedert.

Sowohl die ältere als auch die aktuelle Ausgabe der ISO 14971 verwenden die gleiche Definition des Risikos als „Kombination der Wahrscheinlichkeit des Auftretens eines Schadens und des Schweregrades dieses Schadens“, siehe [2] 3.18 bzw. [3] 2.16.

Die Einsatzmöglichkeit der FMEA-Methode im Risikomanagement von Medizinprodukten werden in [4] Kap. B.5 und [3] Kap. G.4 identisch umrissen:

„Die FMEA ist eine Technik, durch die die Auswirkungen einer einzelnen Fehlermöglichkeit systematisch untersucht und bewertet werden. (…) Die FMEA ist nicht auf das Versagen der Gestaltung eines Bestandteils begrenzt, sondern kann auch Versagen bei der Herstellung und Montage von Bestandteilen (Prozess-FMEA) und Anwendung oder falsche Anwendung des Produkts durch den Endanwender erfassen (Anwendungs-FMEA).“

Folgende Passage der älteren Ausgabe fehlt in der aktuellen Kombination aus Norm [2] und technischer Regel [4]:

„Die FMEA kann auch eine nützliche Technik zum Umgang mit menschlichem Versagen (Anwenderfehlern) sein.“

Obwohl im vorherigen Absatz eine „Anwendungs-FMEA“ explizit für die Risikoanalyse des Anwendungsprozesses von Medizinprodukten als Möglichkeit gesehen wird, entsteht damit der Eindruck, dass Analysemethoden, welche in der Risikobewertung entsprechend der Definition 3.18 [2] lediglich Schadensbedeutung und Eintrittswahrscheinlichkeit berücksichtigen, siehe z.B. auch [2] Kap. C, vorgezogen werden.

Die Aussage, dass die FMEA-Methode im Risikomanagement von Medizinprodukten wegen der Verwendung der Entdeckungswahrscheinlichkeit generell nicht eingesetzt werden könnte, lässt sich aus den Normanforderungen nicht herleiten.

Behörden und Compliance-Berater, welche diese Forderung vertreten, behindern den Einsatz einer effizienten Methode des Risikomanagements und erschweren damit unter Umständen die Entwicklung von Medizinprodukten. Es besteht sogar die Gefahr, dass wegen einer Formalie Risiken nicht rechtzeitig identifiziert werden, da eine dafür effiziente Methode nicht als zulässig angesehen wird.

Maßgeblich für eine professionelle Risikoanalyse ist die Qualität der Inhalte, die angewendete Methode unterstützt deren systematische Erarbeitung. So ist z.B. die in Bild 1 dargestellte Struktur im Risikomanagement von Medizinprodukten eine gängige und bewährte Vorgehensweise. Sie empfiehlt sich insbesondere deshalb, weil in der Anwendungs-Risikoanalyse die Eintrittswahrscheinlichkeit des Schadens am Ende einer Ereigniskette bei Eintreten der Gefährdungssituation betrachtet wird, bei der Analyse der

Daraus folgt, dass bei der Anwendungs-Risikoanalyse die Entdeckungswahrscheinlichkeit des eingetretenen Schadens für die Risikovermeidung ohne Bedeutung ist (Bild 2). In der Analyse technischer Risiken spielt sie jedoch eine wesentliche Rolle. Hier trägt die Fehlerentdeckung dazu bei, den zu einem späteren Zeitpunkt am Patienten eintretenden Schaden zu vermeiden (Bild 3).

In der Anwendungs-Risikoanalyse werden die Zweckbestimmung und die vernünftigerweise vorhersehbaren Fehlanwendungen des Medizinproduktes, die damit zusammenhängenden Gefährdungen und Gefährdungssituationen entsprechend der in Bild 4 dargestellten Analysesystematik identifiziert und bewertet. Die Bewertungen werden den Risiko-Akzeptanzkriterien des Risikomanagementplans gegenübergestellt und darauf aufbauend, soweit erforderlich, risikomindernde Maßnahmen abgeleitet.

Die Analyse der technischen Risiken, siehe Bild 1,  kann mit unterschiedlichen Methoden erfolgen. Bei geringer Produktkomplexität kann eine einfache Tabellenstruktur ausreichen, welche die Zusammenhänge zwischen Fehlerursache, Fehler und Fehlerfolge darstellt und bewertet. Je anspruchsvoller das Produktdesign, desto lohnender wird der Einsatz der FMEA-Methode. Unabhängig von der Produktkomplexität empfiehlt es sich, in der Analyse technischer Risken systematisch zwischen Auftreten und Entdeckung eines Fehlers zu unterscheiden.

Anwendungs-Risikoanalyse und die Analyse der technischen Risiken stehen in enger Wechselwirkung zueinander, da durch die risikomindernden Maßnahmen aus der Anwendung das Produktdesign und die zugehörigen Herstellprozesse beeinflusst werden. Auch in den technischen Risikoanalysen werden die identifizierten Fehler hinsichtlich ihrer Auswirkung bewertet und der Bedarf an risikomindernden Maßnahmen durch den Vergleich mit vorgenannten Risiko-Akzeptanzkriterien festgelegt.

Folgende zwei Aspekte müssen dabei unbedingt beachtet werden:

• Kriterien zur Risikoakzeptanz müssen aus den möglichen Schadensfällen des Produktes abgeleitet sein. Sie sind produktspezifisch, ihre Festlegung liegt aus diesem Grunde in der Verantwortung der Hersteller, siehe [4] Kap. 4.4.5. Sie muss durch Rationalen nachvollziehbar werden.
• Maßnahmen zur Vermeidung des Auftretens von Fehlerursachen und Maßnahmen zur Entdeckung von Fehlern sollten deutlich voneinander unterschieden werden.

Unabhängig davon, ob ein einfaches Ampelsystem, eine Risikomatrix oder für FMEAs eine Risikoprioritätszahl (RPZ) bzw. eine Systematik der Aufgabenpriorität (AP) zum Einsatz kommt, die dort enthaltenen Festlegungen müssen durch Rationalen begründet sein.

Ein Beispiel für eine praktikable Systematik für ein Schutzziel unter Anwendung der Risikoprioritätszahl könnte wie folgt aussehen:

Für die Bewertung der Schadensbedeutung werden die Klassen B=1 „unbedeutend“, B=2 „mittlere Bedeutung“ (z.B. vorübergehendes Unwohlsein), B=3 „kritisch“ (funktionale Anforderungen und Sicherheitsanforderungen werden nicht erfüllt) verwendet.

Die Auftretenswahrscheinlichkeit und Entdeckungswahrscheinlichkeit werden in jeweils 5 Klassen von A=1 (p ≤ 1/1.000.000) bis A=5 (p ≥ 1/10) bzw. E=1 (p = 100% „sichere Entdeckung“) bis E = 5 (p < 90%) unterteilt.

Für B=1 und B=2 Risiken wird anhand nachvollziehbarer Beispiele aus der Anwendung festgelegt, dass Risiken akzeptiert werden können, wenn die Risikoprioritätszahl (B*A*E) die Bedingung  RPZ ≤ 18 erfüllt. Ist die Schadensbedeutung B=3, dann gilt anstelle der RPZ die Bedingung, dass entweder E=1 oder A=1 erfüllt ist. Fehler mit kritischen Folgen müssen durch geeignete Entdeckungsmaßnahmen (z.B. Kamerakontrolle im Herstellprozess) entweder sicher erkannt werden (® E=1), bevor der Schaden eintritt, oder ihr Auftreten wird durch geeignete Vermeidungsmaßnahmen (z.B. im Produktdesign) vollständig vermieden (® A=1).

Dass die Risikoprioritätszahl als alleiniges Kriterium für ein Schutzziel unter Umständen nicht ausreicht, ist seit langem bekannt. Ebenso verhält es sich mit der Erkenntnis, sie deshalb durch ein bis zwei Zusatzbedingungen zu ergänzen. Dies wird bei der Grünewald GmbH in der Zusammenarbeit mit unseren Kunden seit mindestens 15 Jahren erfolgreich eingesetzt und stellt eine pragmatische Alternative zu der in [1] als Ersatz der Risikoprioritätszahl propagierten Aufgaben-Prioritätstabellen dar.  

Darüber hinaus besteht das Risiko, dass eine derartige Kleinteiligkeit die effiziente Durchführung von Risikoanalysen eher behindert. Den einzelnen Klassen für B, A und E liegen in der Regel qualitative Beschreibungen zugrunde. Ein Beispiel für die Auftretenswahrscheinlichkeit wäre nach [1]  die Beschreibungen „Extrem hoch“ für A=10, „Sehr hoch“ für A=8-9 und „Hoch“ für A=6-7. Eine sehr hohe Auftretenswahrscheinlichkeit ist für den einen nur hoch, für den nächsten extrem hoch. Zudem erschließt sich in dem Beispiel nicht der Unterschied z.B. von B=8 oder B=9.

Je deutlicher sich die unscharfen Beschreibungen unterscheiden, desto besser gelingt deren Zuordnung. Dies spricht dafür, weniger Klassen zu verwenden (siehe das zu Beginn des Kapitels genannte Beispiel).

In etlichen Risikoanalysen werden Vermeidungs- und Entdeckungsmaßnahmen vermengt, um daraus resultierend eine Wahrscheinlichkeit für das Auftreten des Schadens, des Fehlers oder der Fehlerursache zu bestimmen. Dies sei am Beispiel der Entladung eines Akkus in einem Medizinprodukt.

Im Fall A (risikoarmes Medizinprodukt) kann die Entladung des Akkus zu einer leichten, reversiblen Schädigung führen, welche sich ohne sachkundiges medizinisches Eingreifen wieder zurückbildet. Im Fall B (Medizinprodukt mit kritischen Risiken) ist im schlimmsten Falle mit dem Tode des Patienten zu rechnen. Als Entdeckungsmaßnahme ist im Strang 2 eine Entdeckungsmaßnahme intergiert. Sie informiert den Anwender rechtzeitig vor dem möglichen Funktionsausfall und reduziert damit die Eintrittswahrscheinlichkeit des Schadens von 40% auf 0,8%.

Die Anwendung unterschiedlicher Risikokonzepte führt für Fall A . (Für Fall B wird das Risiko selbst unter Berücksichtigung der Entdeckungsmaßnahme in allen Analysekonzepten als nicht vertretbar bewertet.)

Der Vergleich der Risikokonzepte macht offensichtlich, warum die Entdeckungswahrscheinlichkeit bei der Analyse technischer Risiken, vorteilhaft ist. Das Auftreten eines Fehlers und dessen Entdeckung haben unterschiedliche Ursachen. Während das Auftreten durch Präventionsmaßnahmen beeinflusst werden kann, ist eine Fehlerentdeckung nur möglich, wenn eine Entdeckungsmaßnahme vorhanden ist. Dementsprechend sollte der jeweilige Beitrag zur Risikominderung systematisch in Präventions- und Entdeckungsmaßnahmen unterteilt werden.

Die Auftretenswahrscheinlichkeit einer Fehlerursache oder eines Fehlers muss also durch Präventions– oder Vermeidungsmaßnahmen reduziert werden. Typische Beispiele wären hier die Dimensionierung des Akkus, die Möglichkeit, das Produkt nur bei vollem Ladezustand einsetzen zu können oder den Akku durch einen Netzanschluss zu ersetzen.

Die Entdeckungswahrscheinlichkeit kann nur durch Entdeckungsmaßnahmen beeinflusst werden. Entdeckungsmaßnahmen sind in Ereignisketten immer ein zusätzlicher Schritt, siehe „Akustische Meldung alarmiert Personal“. Zu den Entdeckungsmaßnahmen zählen auch alle Arten von Messungen in der Herstellung und in der Endkontrolle eines Medizinproduktes. Entdeckungsmaßnahmen sind nicht erforderlich, wenn das Auftreten kritischer Fehler (Die Nichterfüllung von funktionalen und sicherheitstechnischen Anforderungen führt zu Tod oder schwerwiegenden gesundheitlichen Schäden) durch Vermeidungsmaßnahmen vollständig unterbunden werden kann. Die Praxis zeigt, dass dies in den wenigsten Fällen gelingt.

Die Grünewald GmbH kann auf eine langjährige Erfahrung in Compliance-Dienstleistungen zum Risikomanagement von Medizinprodukten zurückblicken. Zu den Leistungen zählen:

• Gapanalysen zur ISO 14971: Wir analysieren, inwieweit Ihr Risikomanagement die Anforderungen der ISO 14971 umsetzt. Hierzu reicht in vielen Fällen die Durchsicht einer repräsentativen Risikomanagementakte und eine Befragung des Prozesseigners aus. Identifizierte Gaps werden bewertet, priorisiert und daraus ein Maßnahmenplan zur Beseitigung der Gaps mit einer Aufwandsabschätzung abgeleitet. Bei Bedarf unterstützen wir die Beseitigung der Gaps in einem Folgeprojekt.
• Behebung von Auditfeststellungen: Als Ergebnis von Behördenaudits kann wegen der Auditfeststellungen zum Risikomanagement der Entzug der Herstellerlaubnis drohen. Wir übernehmen nach sorgfältiger Prüfung und Abstimmung die Verantwortung dafür, dass Ihr System des Risikomanagements termingerecht den Anforderungen der Behörden genügt und der Entzug der Herstellerlaubnis abgewendet werden kann.
• Prozessberatung zum Risikomanagementsystem: Die Effizienzpotentiale von etablierten Risikomanagementsystemen werden oftmals erst durch einen „Blick von außen“ sichtbar. Wir bieten Ihnen eine professionelle Herangehensweise, welche zumeist mit Interviews betroffener Mitarbeiter beginnt und darauf aufbauend anhand zielgerichteter Interventionsmaßnahmen, wie z.B. klar umgrenzter Workshops die Effizienzpotentiale nutzbar macht.
• Moderation von Risikoanalysen / FMEA-Sitzungen: Sie stehen vor der Situation, dass Sie nur einige Male im Jahr Risikoanalysen durchführen müssen. In diesen Fällen können wir Ihnen unsere Spezialisten zur Durchführung der Riskoanalysen anbieten, damit Sie auf eine hohe Moderationsqualität nicht verzichten müssen und die Dokumentation der Risikoanalysen wertvolle Wissensspeicher für zukünftige Produkt- und Prozessentwicklungen wird.
• Trainings zur Durchführung von Risikoanalysen und zum Risikomanagement nach ISO 14971: Die Qualität von Risikoanalysen hängt maßgeblich vom Training und der Erfahrung der mit der Durchführung betrauten Personen ab. Es empfiehlt sich fast immer, dass ein kleiner Kreis mit den Qualitätsstandards vertraut ist, sich in der Vorgehensweise abstimmt und durch häufige Anwendung die notwendige Erfahrung in der Moderation von Expertenteams sammelt. Sollten Sie hierfür Unterstützung und Begleitung benötigen, stehen Ihnen bei der Grünewald GmbH die notwendigen Experten gerne zur Verfügung, um den Erwerb von Fertigkeiten und Kenntnissen zum Risikomanagement, einschließlich der FMEA-Moderation, zu erwerben.