Sorveglianza post-market (PMS): guida completa

Ottenere la marcatura CE non è il traguardo: è la linea di partenza. Dal momento in cui un dispositivo entra sul mercato, il fabbricante ha l’obbligo di continuare a monitorarne qualità, prestazioni e sicurezza per tutto il ciclo di vita. Questo obbligo prende il nome di sorveglianza post-market (in inglese Post-Market Surveillance, abbreviato in PMS).

Con il Regolamento MDR e il Regolamento IVDR la sorveglianza post-market ha smesso di essere un adempimento marginale ed è diventata un processo strutturato, documentato e verificato in audit. In questa guida vediamo che cosa richiede esattamente la normativa, come si costruisce un sistema PMS che funziona davvero, che differenza c’è tra PMS, vigilanza e PMCF, e quali sono gli errori che più spesso emergono durante le valutazioni degli Organismi Notificati.

Che cos’è la sorveglianza post-market

La sorveglianza post-market è il processo con cui il fabbricante raccoglie, registra e analizza in modo attivo e sistematico i dati sulla qualità, sulle prestazioni e sulla sicurezza del proprio dispositivo lungo tutto il periodo in cui resta sul mercato. Da questa analisi il fabbricante deve trarre conclusioni e, quando necessario, individuare e attuare azioni correttive e preventive.

Due parole di questa definizione fanno tutta la differenza: attivo e sistematico. Aspettare che arrivi un reclamo non è sorveglianza post-market: è reazione. L’MDR chiede al fabbricante di andare a cercare i dati — nella letteratura scientifica, nei database di vigilanza, nei feedback degli utilizzatori, negli studi di follow-up — e di farlo secondo un piano definito a priori, non in modo occasionale.

Perché la sorveglianza post-market è necessaria

La ragione è tecnica prima ancora che normativa. Le evidenze raccolte in fase pre-market — test di laboratorio, indagini cliniche, studi di prestazione — hanno per loro natura limiti strutturali: popolazioni selezionate, numerosità campionarie contenute, orizzonti temporali brevi, condizioni d’uso controllate. La realtà è diversa: migliaia di utilizzatori reali, in contesti eterogenei, per anni.

Un sistema PMS ben costruito serve quindi a:

• individuare precocemente problemi di progettazione, di produzione o di utilizzo che non erano emersi prima della commercializzazione;
• caratterizzare il comportamento reale del dispositivo nelle normali condizioni d’uso e i risultati clinici effettivamente ottenuti;
• alimentare la gestione del rischio, verificando che le stime di probabilità e gravità fatte a tavolino reggano alla prova dei dati reali;
• aggiornare la valutazione clinica o delle prestazioni, mantenendo il rapporto beneficio/rischio dimostrato e non solo dichiarato;
• orientare il miglioramento del prodotto, dalle istruzioni per l’uso alle modifiche di design della generazione successiva.

Vale la pena sottolineare l’ultimo punto: il PMS non è solo un costo di compliance. È la fonte più ricca di informazioni che un’azienda abbia sul proprio prodotto in condizioni reali. Le aziende che lo trattano come tale ne ricavano un vantaggio competitivo; quelle che lo trattano come burocrazia ne subiscono solo il peso.

PMS, vigilanza, PMCF: chiariamo la terminologia

La confusione tra questi termini è frequente e genera errori concreti nella costruzione dei processi. La gerarchia corretta è questa:

• PMS (sorveglianza post-market) è il sistema complessivo: l’insieme di tutte le attività di raccolta e analisi dati dopo l’immissione in commercio.
• La vigilanza è un sottoinsieme del PMS: riguarda specificamente la segnalazione alle autorità competenti degli incidenti gravi e delle azioni correttive di sicurezza sul campo. È la componente reattiva e con scadenze cogenti.
• Il PMCF (Post-Market Clinical Follow-up, per i dispositivi medici) e il PMPF (Post-Market Performance Follow-up, per gli IVD) sono la componente proattiva: processi continui che raccolgono nuovi dati clinici o di prestazione sul dispositivo già in uso, per colmare il divario tra le evidenze pre-market e il comportamento reale.

In sintesi: la vigilanza risponde a quello che è andato storto; il PMCF/PMPF va a cercare quello che ancora non si sa. Servono entrambi, e nessuno dei due sostituisce l’altro.

Cosa dice la normativa: MDR e IVDR a confronto

Per i dispositivi medici il riferimento sono gli articoli da 83 a 86 del Regolamento (UE) 2017/745, integrati dall’Allegato III. Per gli IVD la struttura è speculare negli articoli da 78 a 81 del Regolamento (UE) 2017/746. Se hai bisogno di un inquadramento più ampio dei due regolamenti, puoi partire dalla guida ai dispositivi medici e al Regolamento MDR oppure dalla guida agli IVD e all’IVDR.

Gli obblighi fondamentali sono quattro, e valgono per ogni fabbricante indipendentemente dalla classe:

1. Istituire e mantenere un sistema PMS proporzionato alla classe di rischio e alla tipologia di dispositivo, integrato nel sistema di gestione qualità (art. 83 MDR / art. 78 IVDR).
2. Redigere un piano PMS documentato, che fa parte della documentazione tecnica (art. 84 MDR / art. 79 IVDR, Allegato III).
3. Produrre un rapporto periodico — rapporto PMS per le classi più basse, PSUR per le classi superiori (artt. 85-86 MDR / artt. 80-81 IVDR).
4. Gestire la vigilanza: segnalare incidenti gravi e azioni correttive di sicurezza, monitorare i trend (artt. 87-92 MDR / artt. 82-86 IVDR).

Un requisito trasversale: il PMS deve alimentare il sistema qualità

L’articolo 10 di entrambi i regolamenti colloca esplicitamente il PMS tra i processi obbligatori del sistema di gestione qualità. Questo ha una conseguenza pratica che molti fabbricanti sottovalutano: il PMS non può vivere in un documento separato, gestito da una persona sola, scollegato dal resto. Deve essere connesso ai processi di gestione del rischio, di CAPA, di controllo delle modifiche e di valutazione clinica. Se i dati PMS non producono input tracciabili in questi processi, in audit il sistema viene giudicato non efficace — anche se i documenti formalmente esistono. Per gli IVD la logica è identica ed è governata dal sistema qualità per IVD.

Gli elementi di un sistema PMS

1. Il piano PMS (Allegato III)

È il documento fondativo e definisce, prima ancora di raccogliere il primo dato, come il sistema funzionerà. L’Allegato III richiede che il piano indichi almeno:

• le informazioni da raccogliere: incidenti gravi e non, reclami, dati di tendenza, letteratura, database pubblici, feedback degli utilizzatori;
• le fonti e i metodi di raccolta, con la relativa frequenza;
• i metodi e gli strumenti statistici per analizzare i dati raccolti;
• le soglie e i criteri predefiniti per l’analisi dei trend e per l’attivazione delle azioni;
• i canali di comunicazione con utilizzatori, distributori e autorità;
• le procedure per gestire reclami, azioni correttive e azioni correttive di sicurezza sul campo;
• il piano PMCF (o PMPF per gli IVD), oppure la giustificazione documentata della sua non applicabilità.

Il punto più spesso trascurato è quello delle soglie predefinite. Definire in anticipo quale tasso di reclami o quale frequenza di un determinato evento fa scattare un’analisi approfondita è ciò che distingue un sistema proattivo da uno che si limita a registrare. Ed è una delle prime cose che un valutatore va a cercare.

2. Le fonti dati: proattive e reattive

Un sistema PMS credibile attinge a entrambe le categorie. Tra le fonti reattive rientrano:

• reclami e segnalazioni di utilizzatori, pazienti e distributori;
• resi, riparazioni, sostituzioni e dati di assistenza tecnica;
• incidenti e mancati incidenti.

Tra le fonti proattive:

• ricerche periodiche nella letteratura scientifica e nei registri clinici;
• database pubblici di vigilanza (ad esempio quelli delle autorità competenti e delle agenzie estere);
• dati su dispositivi simili o concorrenti presenti sul mercato;
• indagini e questionari strutturati verso gli utilizzatori;
• studi PMCF/PMPF dedicati, inclusi registri e follow-up di coorti;
• dati di produzione e non conformità interne.

3. Il rapporto PMS e il PSUR

L’output periodico del sistema cambia in funzione della classe di rischio. Per i dispositivi di classe più bassa si redige un rapporto sulla sorveglianza post-market; per le classi superiori si redige il PSUR (Periodic Safety Update Report), un documento più strutturato che deve riportare le conclusioni dell’analisi dati, la motivazione e la descrizione delle azioni correttive e preventive intraprese, i risultati del PMCF, il volume di vendite e la stima della popolazione utilizzatrice.

Il PSUR non è un archivio di dati: è un documento di conclusioni. Un PSUR che elenca 40 reclami senza dire che cosa significano per il profilo beneficio/rischio del dispositivo è formalmente presente e sostanzialmente inutile — ed è esattamente il tipo di rilievo che emerge in audit.

4. PMCF e PMPF

Il PMCF è il processo continuo con cui si raccolgono e valutano dati clinici sul dispositivo marcato CE già in uso, per confermarne sicurezza e prestazioni lungo tutta la vita attesa, identificare rischi emergenti ed effetti collaterali non noti, e verificare che il rapporto beneficio/rischio resti accettabile. Si articola in un piano PMCF (Allegato XIV, parte B) e in un rapporto di valutazione PMCF, che alimenta l’aggiornamento della valutazione clinica.

Gli strumenti spaziano dai follow-up di coorti di pazienti ai registri di dispositivo, dalle indagini strutturate presso gli utilizzatori alle revisioni sistematiche della letteratura, fino agli studi post-market dedicati. La scelta dipende dal rischio e dalla robustezza delle evidenze pre-market. Il PMPF è l’equivalente per gli IVD e si concentra sulla conferma continua della validità scientifica e delle prestazioni analitiche e cliniche del test.

Attenzione a un punto delicato: dichiarare il PMCF “non applicabile” è possibile, ma richiede una giustificazione solida e documentata. Sotto MDR le giustificazioni generiche vengono respinte quasi sistematicamente.

La vigilanza: incidenti gravi, trend e azioni sul campo

La componente di vigilanza è quella con le scadenze più stringenti e le conseguenze più immediate. Gli obblighi principali sono tre.

• Segnalazione degli incidenti gravi: vanno notificati all’autorità competente entro termini definiti dall’MDR — immediatamente e comunque non oltre 15 giorni dalla conoscenza dell’evento, ridotti a 10 giorni in caso di decesso o grave deterioramento imprevisto dello stato di salute e a 2 giorni in caso di minaccia grave per la salute pubblica.
• Azioni correttive di sicurezza sul campo (FSCA): richiami, modifiche, aggiornamenti software o ritiri devono essere notificati e accompagnati da un avviso di sicurezza (FSN) diretto agli utilizzatori.
• Trend reporting: un aumento statisticamente significativo della frequenza o della gravità di incidenti non gravi o di effetti collaterali attesi va segnalato anche se ogni singolo evento, preso da solo, non sarebbe notificabile. È il requisito che più spesso viene dimenticato — e presuppone che le soglie siano state definite nel piano PMS.

La qualificazione di un evento come “incidente grave” è uno dei punti in cui si sbaglia di più: sottovalutarlo espone a contestazioni serie, mentre segnalare tutto indiscriminatamente segnala all’autorità un processo decisionale immaturo. Serve una procedura chiara, con criteri scritti e responsabilità assegnate, tipicamente sotto la supervisione della persona responsabile del rispetto della normativa (PRRC).

Come costruire un sistema PMS che regge in audit: 6 passi

1. Dimensiona il sistema sul rischio reale. Un dispositivo di classe I e un impiantabile di classe III non possono avere lo stesso piano PMS. La proporzionalità è richiesta dalla norma, ma va argomentata per iscritto.
2. Definisci soglie e indicatori prima di partire. Stabilisci quali metriche monitori, con quale frequenza e quale valore fa scattare un’azione. Senza soglie non esiste trend reporting.
3. Collega il PMS agli altri processi. Gestione del rischio, CAPA, controllo delle modifiche e valutazione clinica devono ricevere input tracciabili dal PMS. La certificazione ISO 13485 fornisce l’ossatura per queste connessioni.
4. Assegna responsabilità nominali. Chi raccoglie i dati, chi li analizza, chi decide la notifica, chi firma il PSUR: se la risposta è “il regolatorio”, il processo non è definito.
5. Coinvolgi la rete distributiva. Distributori e importatori hanno obblighi propri e sono spesso il primo punto di contatto con i reclami: senza accordi contrattuali e canali definiti, i dati non arrivano mai al fabbricante.
6. Chiudi il ciclo e dimostralo. Il valore di un sistema PMS si misura dalle decisioni che ha prodotto. Documenta i casi in cui i dati hanno portato a una modifica, a un aggiornamento delle istruzioni per l’uso o a una revisione dell’analisi dei rischi: è la prova di efficacia più convincente che puoi portare in audit.

PMS, marcatura CE e certificazione: un legame diretto

Il sistema PMS non entra in gioco solo dopo la certificazione: viene valutato durante il percorso di marcatura CE. Il piano PMS fa parte della documentazione tecnica presentata all’Organismo Notificato, che ne verifica adeguatezza e coerenza con la classe di rischio prima di rilasciare il certificato. Nel corso degli audit di sorveglianza annuali, l’ente verifica poi che il sistema sia effettivamente operativo, e per i dispositivi di classe III e impiantabili valuta direttamente i PSUR. Lo stesso vale per gli IVD nel percorso di marcatura CE IVD. Un PMS debole non è quindi un problema rinviabile a dopo: è un ostacolo che si presenta già alla prima certificazione e riemerge a ogni rinnovo.

E fuori dall’Europa?

Ogni giurisdizione ha il proprio sistema di sorveglianza post-market: negli Stati Uniti la FDA impone il Medical Device Reporting e, per determinati dispositivi, studi post-market ai sensi della sezione 522, requisiti che si intrecciano con il percorso di registrazione FDA 510(k).

Il programma MDSAP include i requisiti post-market di cinque giurisdizioni in un unico audit del sistema qualità, e anche la registrazione nei mercati extra-UE comporta obblighi di segnalazione locali. La buona notizia è che un sistema PMS costruito bene per l’MDR copre già gran parte di questi requisiti: quello che cambia sono soprattutto tempistiche, format e destinatari delle notifiche. Progettarlo fin dall’inizio in ottica multi-mercato evita di doverlo ricostruire da capo per ogni Paese.

Gli errori più comuni nella sorveglianza post-market

• Sistema puramente reattivo: raccogliere solo i reclami che arrivano spontaneamente, senza ricerche di letteratura né consultazione dei database pubblici. È il rilievo più frequente in assoluto.
• Piano PMS generico: un template copiato senza soglie, senza metodi statistici e senza riferimenti al dispositivo specifico si riconosce a colpo d’occhio.
• PMCF dichiarato non applicabile senza giustificazione solida: sotto MDR è quasi sempre una non conformità annunciata.
• Trend reporting inesistente: senza soglie predefinite l’obbligo è semplicemente impossibile da rispettare.
• PMS scollegato dal risk management: se i dati reali non aggiornano mai l’analisi dei rischi, il ciclo non si chiude e il sistema è solo formale.
• PSUR compilato in ritardo o come mero elenco: le scadenze sono cogenti e il documento deve contenere conclusioni, non solo dati.
• Distributori fuori dal circuito: senza obblighi contrattuali di trasmissione dei reclami, il fabbricante è cieco su gran parte del mercato.

Domande frequenti sulla sorveglianza post-market

Conclusione: dal PMS come obbligo al PMS come strumento

La sorveglianza post-market è il punto in cui la conformità smette di essere un progetto con una data di consegna e diventa un processo permanente. È anche il punto in cui molti fabbricanti si trovano scoperti: il fascicolo tecnico è stato costruito con cura per ottenere il certificato, ma il sistema che deve tenerlo vivo negli anni successivi è rimasto sulla carta.

È da lì che nascono le non conformità più fastidiose, quelle che arrivano quando il prodotto è già sul mercato e i tempi per rimediare sono stretti.

Con un piano proporzionato al rischio, soglie definite, fonti dati proattive e un collegamento reale con gestione del rischio e valutazione clinica, il PMS diventa esattamente il contrario: un sistema che protegge la certificazione e che restituisce all’azienda informazioni preziose sul proprio prodotto.

Diesis affianca i fabbricanti nella progettazione e nella gestione operativa del sistema PMS: dalla stesura del piano e del PMCF/PMPF alla redazione dei PSUR, fino al supporto durante audit e ispezioni.

Che si tratti di consulenza regolatoria per dispositivi medici o di consulenza regolatoria per IVD, il metodo è lo stesso: scelte chiare, documenti coerenti, priorità definite. Se devi costruire il tuo sistema di sorveglianza post-market o rimetterlo in ordine prima del prossimo audit, contattaci per una prima valutazione gratuita.