Per le aziende che sviluppano e producono dispositivi medici destinati ai mercati internazionali, il MDSAP rappresenta un riferimento importante per la verifica del sistema di gestione per la qualità.
Il 3 agosto 2026 è stata pubblicata la MDSAP Audit Approach Rev. 11, identificata come MDSAP AU P0002.011. La nuova revisione aggiorna le modalità con cui gli auditor verificano diversi aspetti del Quality Management System, con particolare attenzione ad alcuni temi che coinvolgono direttamente anche R&D, Direzione Tecnica, Product Development e Produzione.
È però importante chiarire subito un punto: la Rev. 11 non introduce un nuovo standard e non modifica la ISO 13485. Inoltre, il MDSAP Audit Approach non aggiunge requisiti regolatori per il fabbricante. Il documento serve agli Auditing Organizations per verificare in modo sistematico requisiti già presenti nella ISO 13485 e nelle normative applicabili dei Paesi partecipanti al programma.
La domanda utile per un fabbricante diventa quindi: quali aspetti del QMS e dei processi di sviluppo e produzione meritano oggi maggiore attenzione in vista di un audit MDSAP?
Cos’è il MDSAP e perché riguarda anche R&D e Direzione Tecnica
Il Medical Device Single Audit Program, MDSAP, permette di sottoporre il sistema qualità di un’organizzazione a un unico audit che considera i requisiti delle autorità regolatorie partecipanti al programma, tra cui Australia, Brasile, Canada, Giappone e Stati Uniti.
L’audit segue un approccio per processi. I quattro processi principali riguardano Management, Measurement Analysis and Improvement, Design and Development e Production and Service Controls. A questi si collega il processo Purchasing, mentre il Risk Management costituisce una base trasversale dell’intero sistema.
Questo aspetto è particolarmente importante.
Un audit MDSAP non verifica soltanto che esistano procedure e registrazioni. L’auditor segue anche i collegamenti tra i processi: una decisione presa durante la progettazione può avere conseguenze sul risk management, sulla produzione, sui controlli, sui fornitori e, successivamente, sulle informazioni raccolte dal mercato.
Di conseguenza, l’MDSAP non riguarda esclusivamente Quality e Regulatory. Una parte significativa delle evidenze nasce proprio dalle attività quotidiane di R&D, progettazione, industrializzazione e produzione.
MDSAP Rev. 11: quali sono i cambiamenti più interessanti
La Rev. 11 contiene numerosi aggiornamenti e chiarimenti. Tuttavia, non tutti hanno lo stesso interesse per chi si occupa concretamente di sviluppo prodotto.
Per il nostro ambito, quattro aspetti meritano particolare attenzione: approccio basato sul rischio nel QMS, competenze del personale, integrazione tra progettazione e risk management e cybersecurity quando applicabile.
Inoltre, la revisione aggiorna alcuni requisiti specifici relativi ai diversi mercati e chiarisce ulteriormente alcuni aspetti legati a modifiche di prodotto, produzione e fornitori.
Vediamo quindi quali conseguenze operative possono avere questi cambiamenti.
MDSAP e risk management: il rischio deve entrare realmente nei processi
Uno degli aggiornamenti più significativi riguarda il processo Management.
La Rev. 11 sposta nel Management Task 1 la verifica dell’applicazione di un approccio basato sul rischio al controllo dei processi del QMS. Parallelamente, il Task 7 concentra maggiormente l’attenzione sulla supervisione del risk management durante l’intero ciclo di vita del prodotto.
La distinzione è importante.
Da una parte troviamo il risk management del dispositivo, quindi l’identificazione dei pericoli, la valutazione dei rischi e le relative misure di controllo. Dall’altra troviamo l’utilizzo del rischio per definire e controllare anche i processi del sistema qualità.
In pratica, non basta disporre di un Risk Management File formalmente corretto. L’organizzazione deve riuscire a dimostrare che le informazioni provenienti dall’analisi del rischio influenzano realmente progettazione, produzione, controlli, fornitori e gestione delle modifiche.
Quale impatto sullo sviluppo prodotto
Pensiamo alla sostituzione di un materiale, alla modifica di una geometria funzionale oppure al cambiamento di un processo produttivo.
Il team di sviluppo non dovrebbe valutare queste modifiche esclusivamente dal punto di vista tecnico o economico. Deve anche verificare se introducono nuovi rischi, modificano rischi già identificati o influenzano una misura di controllo.
Di conseguenza, risk management e sviluppo prodotto devono procedere insieme.
Questo principio diventa particolarmente importante durante l’industrializzazione, quando le scelte progettuali iniziano a trasformarsi in materiali definitivi, processi, tolleranze, parametri produttivi e criteri di controllo.
Competenze: non basta più dimostrare che una persona ha seguito un corso
Un altro cambiamento interessante riguarda il Management Task 6.
La Rev. 11 sposta l’attenzione dalla semplice formazione verso la competenza del personale. Il riepilogo ufficiale delle modifiche definisce infatti questo intervento come un passaggio di focus da “training” a “competence”.
La differenza è concreta.
Una registrazione dimostra che una persona ha partecipato a un corso. Tuttavia, non dimostra automaticamente che quella persona possieda le competenze necessarie per svolgere correttamente una determinata attività.
Per questo motivo, diventa importante creare una relazione chiara tra:
ruolo → competenze richieste → formazione o esperienza → verifica della competenza.
Il principio interessa progettisti e responsabili di sviluppo, ma anche operatori di produzione, addetti ai controlli, personale coinvolto nelle validazioni e responsabili di processi che possono influenzare la qualità del dispositivo.
Per le aziende che introducono nuove tecnologie o nuovi processi produttivi, questo aspetto merita particolare attenzione.
MDSAP, progettazione e industrializzazione: servono evidenze collegate
Il processo Design and Development rimane uno dei punti centrali dell’Audit Approach.
Il MDSAP verifica la relazione tra pianificazione dello sviluppo, design input, design output, verifica, validazione, risk management, gestione delle modifiche e design transfer.
Di conseguenza, non conta soltanto disporre dei singoli documenti.
Un requisito iniziale deve trovare una risposta negli output progettuali. Le attività di verifica devono dimostrare che gli output soddisfano gli input. La validazione deve confermare, quando applicabile, che il dispositivo soddisfi le esigenze dell’utilizzatore e l’uso previsto. Parallelamente, il risk management deve accompagnare queste decisioni.
Dal progetto alla produzione
Il collegamento diventa ancora più evidente durante il design transfer.
Se, durante lo sviluppo, una caratteristica dimensionale o un determinato materiale risultano fondamentali per sicurezza o prestazioni, queste informazioni devono arrivare correttamente alla produzione.
Lo stesso vale per eventuali parametri di processo, controlli, metodi di prova e criteri di accettazione.
Perciò, industrializzare un dispositivo medico non significa semplicemente “mettere in produzione” un modello CAD approvato. Significa trasformare gli output dello sviluppo in un processo capace di produrre risultati conformi e ripetibili.
Coinvolgere le competenze di industrializzazione già nelle fasi di sviluppo può quindi ridurre modifiche tardive, rilavorazioni e difficoltà durante verifica e validazione.
MDSAP e cybersecurity: quando sviluppo e post-market devono dialogare
Per i dispositivi che incorporano software, firmware o logiche programmabili, la Rev. 11 rafforza significativamente il tema della cybersecurity.
La revisione aggiunge specifici riferimenti FDA nel processo Design and Development e introduce indicazioni sulla cybersecurity anche nelle attività di Measurement, Analysis and Improvement, collegandole alle informazioni raccolte nella fase post-market.
Il principio è chiaro: la sicurezza informatica non termina con la progettazione iniziale.
Nuove vulnerabilità, incidenti o informazioni raccolte dopo la commercializzazione possono modificare il quadro di rischio. Queste informazioni devono quindi poter rientrare nei processi di risk management e, quando necessario, portare a modifiche del prodotto.
Per R&D questo significa integrare maggiormente competenze meccaniche, elettroniche, software, Quality e Regulatory. Naturalmente, il tema assume un peso molto diverso in funzione del dispositivo. Per un prodotto puramente meccanico può avere scarsa rilevanza, mentre diventa centrale per dispositivi con software o connettività.
Fornitori e processi esternalizzati restano sotto il controllo del fabbricante
Il rapporto con i fornitori costituisce un altro elemento importante dell’approccio MDSAP.
Quando un’organizzazione esternalizza un processo o acquista un prodotto che può influenzare la conformità del dispositivo, deve mantenere adeguati controlli sul fornitore e sul processo esternalizzato. La responsabilità non scompare semplicemente perché un’attività viene affidata a un partner esterno.
Questo principio interessa direttamente le aziende che esternalizzano attività come progettazione, prototipazione, realizzazione di attrezzature, stampaggio, lavorazioni meccaniche, assemblaggio o controlli specialistici.
Perciò diventano particolarmente importanti la chiarezza delle specifiche, i criteri di accettazione, le responsabilità, la gestione delle modifiche e le registrazioni che dimostrano quanto è stato effettivamente realizzato.
Anche in questo caso emerge quindi lo stesso filo conduttore: il QMS deve essere collegato alle attività tecniche reali.
Cosa dovrebbe verificare oggi un’azienda interessata al MDSAP?
La pubblicazione della Rev. 11 non significa che un fabbricante debba automaticamente riscrivere il proprio sistema qualità.
Piuttosto, rappresenta un’occasione per effettuare una gap analysis mirata e verificare se le evidenze disponibili permettono di dimostrare con chiarezza il funzionamento dei processi. Il programma MDSAP stesso precisa che l’Audit Approach riflette requisiti esistenti della ISO 13485 e delle normative delle autorità partecipanti, senza introdurre requisiti aggiuntivi.
Prima del prossimo audit può quindi essere utile verificare:
- se il risk-based approach viene realmente applicato ai processi del QMS;
- se risk management e progettazione rimangono collegati durante l’intero sviluppo;
- se l’organizzazione dimostra le competenze del personale oltre alla semplice formazione;
- se design input, output, verifica, validazione e risk management risultano coerenti e tracciabili;
- se le modifiche tecniche vengono valutate anche rispetto al rischio;
- se il design transfer trasferisce alla produzione tutte le informazioni necessarie;
- se i controlli sui fornitori risultano proporzionati alla loro influenza sulla conformità del dispositivo;
- se, quando applicabile, cybersecurity e informazioni post-market entrano nel processo di sviluppo e miglioramento.
La domanda finale non dovrebbe quindi essere “quanti documenti dobbiamo aggiungere?”, ma “quanto bene riusciamo a dimostrare il collegamento tra ciò che abbiamo progettato, valutato, prodotto e controllato?”
MDSAP Rev. 11: cosa cambia davvero per chi sviluppa dispositivi medici
La MDSAP Audit Approach Rev. 11 non rappresenta una rivoluzione del sistema qualità. Tuttavia, rende ancora più evidente un principio importante: un QMS efficace non può vivere separato dalle attività tecniche.
Risk management, sviluppo prodotto, industrializzazione, produzione e gestione dei fornitori devono comunicare tra loro.
Per R&D e Direzione Tecnica questo significa poter ricostruire il motivo delle principali decisioni progettuali e dimostrare come queste siano state verificate, trasferite alla produzione e mantenute sotto controllo.
Per Quality significa invece verificare che queste attività generino evidenze coerenti e tracciabili.
In definitiva, la Rev. 11 conferma una direzione già chiara nell’approccio MDSAP: meno attenzione ai documenti considerati singolarmente e maggiore attenzione alla capacità dell’intero sistema di funzionare come un insieme di processi realmente collegati.
Stai sviluppando o industrializzando un dispositivo medico?
Possiamo supportarti nelle fasi di progettazione, prototipazione, validazione tecnica e industrializzazione, aiutandoti a trasformare requisiti e specifiche in soluzioni concretamente producibili.
