Préparation des preuves de conformité aux normes ISO
Objectif
Utilisez ce skill pour organiser le périmètre déclaré, les documents maîtrisés, les enregistrements de mise en œuvre, la traçabilité et les preuves de conformité en vue d'un examen humain approfondi par rapport à une norme désignée. Il résume les flux de travail des processus et fournit des vérifications locales déterministes. Il ne contient pas de texte d'exigences et n'effectue aucun audit.
Ceci est un routeur. SKILL.md contient le périmètre, la discipline de voie, le flux de travail partagé et le contrat CLI. La profondeur par norme se trouve dans references/.
Périmètre non négociable
Ce skill ne peut pas :
- certifier ou accréditer quoi que ce soit, délivrer ou valider un certificat, un calendrier d'accréditation ou une licence, ou promettre un résultat d'audit, d'évaluation ou d'inspection ;
- déterminer l'applicabilité juridique/réglementaire, la classification du dispositif, la déclarabilité, la voie de conformité, l'autorisation de mise sur le marché, l'accès au marché, l'habilitation du personnel ou la conformité ;
- remplacer la direction autorisée, le représentant de la direction, le directeur de laboratoire, le responsable qualité, le signataire autorisé, l'AR/AQ, le conseiller juridique, les autorités réglementaires/compétentes, un organisme notifié, un organisme d'audit MDSAP, un organisme d'accréditation, un évaluateur ou un organisme de certification ;
- valider une méthode, calculer ou approuver l'incertitude de mesure, établir une traçabilité métrologique, définir des critères d'acceptabilité du risque, ou juger si un risque, une règle de décision ou un intervalle de référence est adapté à l'objectif ; ou
- déduire la mise en œuvre, la compétence, la conformité, la conformité réglementaire ou l'état de préparation à partir d'un modèle, d'une liste de contrôle, d'un nom de fichier, d'un mot-clé, d'un nombre de documents, d'un pourcentage ou d'un résultat de script.
Toujours étiqueter les sorties comme matériel de préparation de preuves provisoire destiné à un examen humain autorisé. Conserver les décisions non résolues comme des bloqueurs plutôt que de les résoudre.
Droit d'auteur ISO et CEI
Les normes ISO et CEI sont protégées par le droit d'auteur. Obtenez chaque norme auprès de l'ISO, de la CEI, d'un membre national de l'ISO ou d'une autre source autorisée. Ne récupérez, ne collez, ne reproduisez et ne générez pas de texte d'exigences. Résumez le processus propre à l'organisation et citez la copie autorisée maîtrisée. Voir le droit d'auteur ISO. Les listes de contrôle des organismes d'accréditation, du CAP et des programmes qui citent des exigences sont sous licence distincte – tenez-les à l'écart des référentiels partagés et des invites.
Normes couvertes
Lisez le fichier de référence de la norme concernée avant de préparer les preuves. Chacune comporte sa propre édition en vigueur, sa voie, son vocabulaire de domaine et ses modes de défaillance.
| Norme | Clé de profil | Voie | Référence |
|---|---|---|---|
| ISO 13485 SMQ dispositifs médicaux | iso-13485 | Certification | references/iso-13485.md |
| ISO 14971 Gestion des risques des dispositifs | iso-14971 | Pas de voie propre | references/iso-14971.md |
| ISO/CEI 17025 Laboratoires d'essais et d'étalonnage | iso-17025 | Accréditation | references/iso-17025.md |
| ISO 15189 Laboratoires médicaux | iso-15189 | Accréditation | references/iso-15189.md |
Une norme absente de ce tableau est hors du périmètre des vérifications regroupées. Ne réutilisez pas un profil pour une norme qu'il ne nomme pas – un vocabulaire de domaine emprunté à une norme différente produit un rapport qui semble complet et ne signifie rien.
Base de référence actuelle (lisez le registre avant toute déclaration sensible au facteur temps)
- ISO 13485:2016 Édition 3, confirmée après son examen systématique de 2025. EN ISO 13485:2016/A11:2021 est un amendement européen, pas un "Amendement 1:2021" international ISO.
- ISO 14971:2019 Édition 3, confirmée en 2025, avec ISO/TR 24971:2020 comme guide d'information compagnon. Il n'existe pas de certificat ISO 14971.
- ISO/CEI 17025:2017 L'édition 3 reste en vigueur ; aucune édition successeur identifiée.
- ISO 15189:2022 L'édition 4 a remplacé l'édition 2012, a absorbé les exigences POCT anciennement dans l'ISO 22870, et sa transition d'accréditation s'est achevée en décembre 2025 – mise en œuvre, pas à venir.
- FDA QMSR en vigueur et appliqué depuis le 2026-02-02 ; la Partie 820 est intitulée Quality Management System Regulation ; le QSIT est retiré au profit du programme de conformité 7382.850.
- MDSAP L'approche d'audit actuelle est MDSAP AU P0002.010, version datée du 2026-02-02.
- Reconnaissance de l'accréditation : Global Accreditation Cooperation Incorporated a commencé ses opérations complètes le 2026-01-01, remplaçant l'ILAC et l'IAF, avec son propre MRA ; les sorties de l'ancien IAF MLA / ILAC MRA restent reconnues pendant la transition.
- UE : utilisez les textes consolidés actuels du MDR/IVDR, les décisions actuelles de l'OJEU sur les normes harmonisées, les orientations actuelles du MDCG et la voie de conformité spécifique au produit.
Lisez references/source-ledger.md avant toute déclaration sensible au facteur temps. Il documente les limites de la provenance, y compris les entrées qui ont encore besoin d'être confirmées par rapport au catalogue ISO.
Gardez les voies d'assurance séparées
La confusion des voies, et non les documents manquants, provoque la plupart des erreurs substantielles ici. La certification, l'accréditation, l'inspection réglementaire, l'habilitation obligatoire, les programmes d'audit réglementaire et l'évaluation de la conformité des produits sont décidés par différents organismes sur des bases différentes, et aucun ne se substitue à un autre. Deux règles constamment violées :
- Les organismes sont certifiés ; les laboratoires sont accrédités. "ISO 17025 certifié" et "ISO 15189 certifié" sont des erreurs de catégorie.
- Un certificat ne remplace jamais un régulateur. La certification ISO 13485 n'exempte personne d'une inspection FDA, et l'accréditation ISO 15189 ne satisfait pas à la CLIA.
Lisez references/assurance-lanes.md pour le tableau complet des voies, les limites de la déclaration de portée et la règle de titrage.
Flux de travail principal
Étape 1 : Déclarez la norme, l'objectif et les propriétaires autorisés
Nommez la/les norme(s), la/les voie(s) soutenue(s) par le travail et les propriétaires : représentant de la direction ou directeur de laboratoire, responsable qualité, responsable juridique/applicabilité, responsables processus ou techniques, approbateurs et voie d'escalade. Une voie est une entrée déclarée, jamais une inférence.
PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_scope_intake.py \
assets/templates/scope-intake-template.json --standard iso-13485
Utilisez le modèle et le profil correspondants :
| Profil | Modèle |
|---|---|
iso-13485, iso-14971 | assets/templates/scope-intake-template.json |
iso-17025 | assets/templates/laboratory-scope-intake-template.json |
iso-15189 | assets/templates/medical-laboratory-scope-intake-template.json |
--standard par défaut iso-13485. Chaque modèle distribué échoue intentionnellement par défaut ; copiez-le en dehors du skill et complétez-le avec des preuves organisationnelles maîtrisées. Une applicabilité indéterminée lève HUMAN_DECISION_REQUIRED – laissez-la comme bloqueur.
Étape 2 : Figez les preuves de source/version
Pour chaque norme, règlement, orientation, document de programme, modèle d'audit et source de produit, enregistrez l'éditeur, le titre officiel, l'édition/version/date, l'emplacement autorisé, les dates de révision d'accès et de devise, le propriétaire du périmètre/applicabilité, l'évaluation d'impact, le statut, les preuves et l'approbation.
N'utilisez pas d'extraits de recherche comme exigences maîtrisées. Ne mettez pas à jour silencieusement une édition incorporée lorsqu'un éditeur en publie une nouvelle – la FDA a incorporé une édition spécifique de l'ISO 13485, et une publication ISO ou EN ultérieure ne la modifie pas.
Étape 3 : Inventoriez les documents et enregistrements maîtrisés
Ne comptez pas les procédures nommées et ne scannez pas les mots-clés. Construisez un registre explicite reliant les documents, les enregistrements, les versions sources, les propriétaires, les approbations, les dates d'entrée en vigueur, les bases de conservation, la formation et les enregistrements de modifications.
PYTHONDONTWRITEBYTECODE=1 python3 scripts/audit_document_records.py \
assets/templates/document-register-template.json
Cette vérification est indépendante de la norme. Lisez references/evidence-architecture.md pour l'architecture des preuves.
Étape 4 : Examinez la mise en œuvre des processus
Évaluez les procédures maîtrisées et les enregistrements échantillonnés dans tous les domaines que votre profil déclare – le fichier de référence par norme les liste. Chaque élément nécessite un propriétaire, un statut, des identifiants de preuve, une source/version, une approbation et des liens de lacunes ouvertes.
Une procédure décrivant une activité n'est pas une preuve que l'activité a eu lieu. Échantillonnez des enregistrements dans chaque domaine sur lequel vous faites rapport, et indiquez ce que vous avez échantillonné et ce que vous n'avez pas échantillonné.
Étape 5 : Exécutez les vérifications ciblées qui s'appliquent à la voie
Voies dispositifs (iso-13485, iso-14971) – chaîne risque/conception/production/post-commercialisation :
PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_traceability.py \
assets/templates/traceability-matrix-template.json
Toutes les normes – action corrective et efficacité :
PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_capa.py \
assets/templates/capa-record-template.json
Toutes les normes – fournisseurs et produits et services fournis en externe, y compris les prestataires d'étalonnage, les fournisseurs de matériaux de référence et les laboratoires de référence ou sous-traités :
PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_supplier_controls.py \
assets/templates/supplier-controls-template.json
Les preuves d'efficacité CAPA en attente ou inefficaces bloquent la clôture. Les contrôles critiques des fournisseurs restent bloqués jusqu'à ce que les contrôles et approbations basés sur les risques soient attestés.
Notez que check_traceability.py concerne la traçabilité de la conception et des risques, pas la traçabilité métrologique – les mots entrent en collision et c'est le mauvais outil pour le travail en laboratoire.
Étape 6 : Traitez les preuves réglementaires spécifiques à la voie séparément
Pour la voie dispositifs américains uniquement :
PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_qmsr_transition.py \
assets/templates/qmsr-transition-template.json
Examinez la base source actuelle de la Partie 820/FDA, les dispositions supplémentaires, les références obsolètes QSR/QSIT, les enregistrements antérieurs à la date d'entrée en vigueur, les enregistrements d'audit de gestion/qualité/fournisseur accessibles à l'inspection, la formation actuelle au processus d'inspection, les enregistrements de réclamations et de service, les contrôles d'étiquetage/emballage, les preuves de contrôle des fournisseurs/logiciels/modifications et les réclamations interdites d'équivalence de certificat. Ne construisez pas une carte de l'ancienne clause 820 à ISO comme cadre de contrôle actuel.
Les voies laboratoires n'ont pas de vérification groupée équivalente. Les preuves d'inspection CLIA, d'habilitation et nationale restent avec le responsable de la conformité autorisé ; voir references/iso-15189.md.
Étape 7 : Rassemblez un manifeste de preuves borné
Copiez le modèle de preuves en dehors du skill. Utilisez des chemins relatifs vers les preuves locales .json, .md ou .markdown uniquement, et un objectif de voie déclaré par manifeste.
PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_evidence_manifest.py \
/path/to/evidence-manifest.json \
--standard iso-17025 \
--base-dir /path/to/controlled-export \
--verify-files \
--output /path/to/manifest-report.json
Générez ensuite une vue des lacunes au niveau du domaine par rapport au même profil :
PYTHONDONTWRITEBYTECODE=1 python3 scripts/gap_analyzer.py \
/path/to/evidence-manifest.json \
--standard iso-17025 \
--base-dir /path/to/controlled-export \
--verify-files \
--output /path/to/gap-report.json
L'analyseur utilise des étiquettes de manifeste explicites. Il ne déduit pas de preuves des noms de fichiers, des mots-clés ou du texte de norme propriétaire, et ne calcule pas de score de conformité. Un domaine absent de expected_domains est rapporté not-assessed, ce qui n'est pas une détermination de non-applicabilité.
Lisez references/gap-analysis-checklist.md pour les questions de révision qui échouent par défaut.
Étape 8 : Examen humain et remise contrôlée
Présentez :
- la norme déclarée, la portée, la/les voie(s) d'assurance et les décisions d'applicabilité non résolues ;
- la base de référence exacte source/version ;
- les preuves échantillonnées et les limites de cet échantillon ;
- les constatations structurelles regroupées par processus et risque ;
- les actions, les changements et les propriétaires de CAPA avec les dates ;
- l'état d'approbation ; et
- la partie autorisée responsable de la prochaine décision.
Ne titre jamais le résultat "certificat", "accréditation", "rapport de conformité", "réussite d'audit", "statut réputé" ou "prêt pour l'inspection". Un titre approprié est Examen provisoire des preuves pour évaluation humaine autorisée, en nommant la voie pour laquelle il a été préparé.
Comportement et sécurité des CLI
Tous les CLI regroupés :
- utilisent uniquement la bibliothèque standard Python ;
- n'effectuent aucune requête réseau ;
- acceptent du JSON local borné ; la vérification facultative des preuves n'accepte que du JSON/Markdown local borné ;
- rejettent les entrées de liens symboliques, les clés JSON en double, les nombres non finis, la taille/imbrication/éléments excessifs et les chemins de preuves non sécurisés ;
- refusent une valeur
--standardnon listée plutôt que de revenir à une valeur par défaut ; - n'utilisent aucune évaluation dynamique, désérialisation exécutable, pickle ou exécution shell ;
- refusent d'écraser les rapports sauf si
--forceest explicite ; et - produisent un JSON trié déterministe.
Traitez le manifeste lui-même comme un enregistrement organisationnel maîtrisé. Une comparaison SHA-256 facultative détecte uniquement une discordance de fichier local ; elle n'établit pas la provenance, l'authenticité, l'adéquation ou la confiance dans un manifeste fourni par l'utilisateur. Les valeurs dans les champs JSON local_path et evidence.location font référence à l'exportation maîtrisée de l'utilisateur, pas aux ressources du skill regroupées ; les espaces réservés non résolus ne doivent jamais être ouverts.
Codes de sortie :
0: aucune constatation structurelle pour les champs fournis ; pas un résultat de conformité, de conformité réglementaire, de compétence ou d'accréditation ;1: lacunes structurelles/de preuves trouvées ;2: entrée/sortie invalide ou non sécurisée, y compris une norme non listée.
Exécutez python3 scripts/<name>.py --help pour chaque interface.
Modèles
Saisie du périmètre, par profil :
assets/templates/scope-intake-template.json— cycle de vie du dispositifassets/templates/laboratory-scope-intake-template.json— essais/étalonnageassets/templates/medical-laboratory-scope-intake-template.json— examens
Registres et enregistrements partagés :
assets/templates/document-register-template.jsonassets/templates/capa-record-template.jsonassets/templates/traceability-matrix-template.jsonassets/templates/supplier-controls-template.jsonassets/templates/evidence-manifest-template.jsonassets/templates/qmsr-transition-template.json— voie dispositifs US uniquement
Documentation du système de management :
assets/templates/quality-policy-template.jsonassets/templates/quality-manual-template.json
Scripts CLI
scripts/validate_scope_intake.py— valide la déclaration de périmètrescripts/audit_document_records.py— vérifie le registre documentairescripts/check_traceability.py— vérifie la traçabilité conception/risquesscripts/check_capa.py— vérifie les enregistrements CAPAscripts/check_supplier_controls.py— vérifie les contrôles fournisseursscripts/check_qmsr_transition.py— vérifie la transition QMSR (US)scripts/validate_evidence_manifest.py— valide le manifeste de preuvesscripts/gap_analyzer.py— analyse les écarts par domaine