Chứng nhận ISO 13485: Quy trình, hiệu lực và quan hệ với FDA QMSR

ISO 13485 là tiêu chuẩn quốc tế về hệ thống quản lý chất lượng dành riêng cho thiết bị y tế. Tên đầy đủ của tiêu chuẩn có thêm cụm “yêu cầu cho mục đích pháp lý” — và chính cụm đó giải thích vì sao ISO 13485 khác hẳn các tiêu chuẩn hệ thống quản lý khác. Bài viết trình bày nội dung tiêu chuẩn, trạng thái phiên bản, quy trình chứng nhận và quan hệ với quy định của Hoa Kỳ và châu Âu.

ISO 13485 là gì?

Tiêu chuẩn do Tổ chức Tiêu chuẩn hoá Quốc tế (ISO) ban hành — tổ chức này được thành lập năm 1947. Bản ISO 13485 đầu tiên ra đời năm 1996.

Điểm khác biệt cốt lõi so với ISO 9001: ISO 13485 được xây dựng để giúp tổ chức đáp ứng yêu cầu của cơ quan quản lý đối với thiết bị y tế. Vì vậy tiêu chuẩn:

• Đặt trọng tâm vào an toàn và hiệu năng của thiết bị cùng việc tuân thủ quy định, chứ không vào việc liên tục nâng mức thoả mãn khách hàng.
• Yêu cầu nhiều thông tin dạng văn bản hơn ISO 9001 — nhiều thủ tục được nêu đích danh là phải lập thành văn bản.
• Bao trùm toàn bộ vòng đời thiết bị: thiết kế, sản xuất, lưu kho, phân phối, lắp đặt, dịch vụ và các hoạt động sau khi đưa ra thị trường.

Đối tượng không chỉ là nhà sản xuất. Tiêu chuẩn áp dụng cho cả nhà cung cấp linh kiện, đơn vị tiệt trùng, đơn vị hiệu chuẩn, nhà phân phối, đơn vị lắp đặt và bảo trì — nghĩa là mọi mắt xích trong chuỗi cung ứng thiết bị y tế.

Phiên bản hiện hành và các phiên bản đã qua

ISO 13485:2016 là phiên bản hiện hành — ấn bản thứ ba. Tiêu chuẩn này đã được ISO rà soát và xác nhận vào năm 2025, nghĩa là ISO xem xét lại và kết luận giữ nguyên hiệu lực, không sửa đổi.

Ba điều doanh nghiệp cần nắm về trạng thái phiên bản tại thời điểm cập nhật bài viết này:

• Không có ISO 13485:2026. Nhiều tiêu chuẩn hệ thống quản lý khác vừa ra ấn bản mới trong năm 2026 — ISO 9001 và ISO 14001 là hai ví dụ — nhưng ISO 13485 không nằm trong số đó.
• ISO 13485 không có bản sửa đổi về biến đổi khí hậu năm 2024. Tháng 02/2024, ISO bổ sung yêu cầu xem xét biến đổi khí hậu vào 31 tiêu chuẩn hệ thống quản lý. Bản sửa đổi đó chỉ áp dụng cho các tiêu chuẩn dùng cấu trúc hài hoà Annex SL. ISO 13485 giữ cấu trúc riêng theo ISO 9001:2008 nên không thuộc phạm vi bản sửa đổi này. Đây là chỗ rất dễ hiểu sai khi doanh nghiệp áp dụng nhiều tiêu chuẩn cùng lúc.
• Việc rà soát năm 2025 không tạo ra giai đoạn chuyển đổi. Chứng chỉ ISO 13485:2016 đang có hiệu lực bình thường.

Lịch sử các phiên bản:

Diễn giải ở trên là tóm lược, không trích nguyên văn tiêu chuẩn. Bối cảnh ra đời và nội dung ấn bản 2016 được trình bày tại bài giới thiệu tiêu chuẩn ISO 13485:2016.

Cấu trúc tiêu chuẩn: điều khoản 4–8

ISO 13485 không dùng cấu trúc mười điều khoản như ISO 9001:2015. Phần yêu cầu nằm ở điều khoản 4 đến 8:

Hai yêu cầu ở điều khoản 8 không có trong ISO 9001 và thường bị bỏ sót: báo cáo cho cơ quan quản lý và thông báo khuyến cáo (advisory notice). Chúng phản ánh đúng bản chất “cho mục đích pháp lý” của tiêu chuẩn.

Quản lý rủi ro — trục xuyên suốt

ISO 13485:2016 yêu cầu áp dụng cách tiếp cận dựa trên rủi ro cho các quá trình của hệ thống quản lý chất lượng, và viện dẫn ISO 14971 — tiêu chuẩn về áp dụng quản lý rủi ro cho thiết bị y tế — làm cơ sở cho việc quản lý rủi ro của bản thân thiết bị.

Cần phân biệt hai lớp rủi ro, vì trộn lẫn hai lớp này là lỗi phổ biến:

• Rủi ro của thiết bị đối với người bệnh và người sử dụng — thuộc phạm vi ISO 14971, gắn với hồ sơ quản lý rủi ro của từng sản phẩm.
• Rủi ro của quá trình trong hệ thống quản lý chất lượng — ví dụ rủi ro nhà cung cấp giao vật liệu sai, rủi ro thiết bị đo mất hiệu chuẩn.

Nội dung ISO 14971 và cách lập hồ sơ quản lý rủi ro có tại bài ISO 14971 về quản lý rủi ro thiết bị y tế.

Hồ sơ thiết bị y tế và truy xuất nguồn gốc

Điều khoản 4.2.3 yêu cầu tổ chức lập và duy trì hồ sơ thiết bị y tế cho từng loại hoặc từng dòng thiết bị. Hồ sơ này tập hợp mô tả sản phẩm, yêu cầu áp dụng, quy trình sản xuất, yêu cầu đo lường và kiểm tra, yêu cầu lắp đặt và dịch vụ nếu có.

Về truy xuất, tiêu chuẩn phân biệt mức thông thường và mức cao hơn dành cho thiết bị cấy ghép, nơi hồ sơ phải cho phép truy đến từng lô hoặc từng đơn vị. Đây là chỗ cơ quan quản lý kiểm tra rất kỹ khi có sự cố.

Ghi nhãn cũng thuộc phạm vi kiểm soát này. Bộ biểu tượng dùng trên nhãn thiết bị y tế được quy định ở một tiêu chuẩn riêng — xem bài ISO 15223-1 về biểu tượng ghi nhãn thiết bị y tế.

Vô trùng, phòng sạch và xác nhận giá trị sử dụng của quá trình

Với thiết bị vô trùng, tiêu chuẩn yêu cầu kiểm soát chặt môi trường làm việc, kiểm soát nhiễm và lưu hồ sơ cho từng lô tiệt trùng.

Một yêu cầu quan trọng khác là xác nhận giá trị sử dụng của quá trình (process validation): với những quá trình mà kết quả không thể kiểm tra xác nhận hoàn toàn ở sản phẩm cuối — hàn kín bao bì, tiệt trùng, làm sạch — tổ chức phải chứng minh quá trình đó có khả năng cho ra kết quả đạt yêu cầu một cách ổn định. Điều này bao gồm cả việc xác nhận phần mềm dùng trong sản xuất và trong hệ thống quản lý.

Bao bì tiếp xúc trực tiếp với thiết bị y tế có tiêu chuẩn hệ thống quản lý riêng — xem chứng nhận ISO 15378 cho bao bì sơ cấp.

Phân loại thiết bị quyết định khối lượng công việc

Mức yêu cầu áp dụng cho một thiết bị phụ thuộc vào nhóm phân loại rủi ro của nó. Cùng một hệ thống quản lý, nhưng hồ sơ cần cho một thiết bị nhóm rủi ro thấp khác rất nhiều so với thiết bị cấy ghép.

Phân loại cũng là bước đầu tiên khi làm thủ tục pháp lý, và mỗi thị trường có cách phân nhóm riêng. Hướng dẫn chi tiết có tại bài phân loại trang thiết bị y tế và phân loại thiết bị y tế theo từng thị trường.

ISO 13485 và quy định của FDA Hoa Kỳ

Đây là phần có thay đổi lớn nhất trong thời gian gần đây và cũng là chỗ dễ hiểu sai nhất.

Từ ngày 02/02/2026, quy định về hệ thống chất lượng thiết bị y tế của Hoa Kỳ tại 21 CFR Part 820 đã đổi thành Quality Management System Regulation (QMSR), và quy định này dẫn chiếu trực tiếp tới ISO 13485:2016. Quy tắc cuối cùng được FDA công bố ngày 02/02/2024, có hai năm để doanh nghiệp chuẩn bị.

Điều này không có nghĩa “có ISO 13485 là xong với FDA”. Cụ thể:

• Tuân thủ QMSR = đáp ứng ISO 13485:2016 cộng thêm các yêu cầu bổ sung của FDA nằm ở Subpart A và Subpart B của Part 820.
• Chứng chỉ ISO 13485 do một tổ chức chứng nhận cấp không phải là sự chấp thuận của FDA và không thay thế nghĩa vụ đăng ký cơ sở, liệt kê thiết bị hay các thủ tục tiền thị trường.
• Thiết bị vẫn phải đi đúng con đường tiền thị trường của nó — thủ tục 510(k), Premarket Approval (PMA) hoặc con đường tương ứng khác.
• QMSR áp dụng cho nhà sản xuất thiết bị hoàn chỉnh có ý định phân phối thương mại tại Hoa Kỳ.

Trình tự thủ tục với FDA được trình bày tại chứng nhận FDA thiết bị y tế và đăng ký FDA thiết bị y tế.

ISO 13485 và quy định của châu Âu

Ở EU, thiết bị y tế chịu sự điều chỉnh của quy định về thiết bị y tế (MDR) và quy định về thiết bị y tế chẩn đoán in vitro (IVDR). Quan hệ ở đây khác Hoa Kỳ:

• MDR không dẫn chiếu ISO 13485 như một yêu cầu bắt buộc, nhưng yêu cầu nhà sản xuất có hệ thống quản lý chất lượng, và ISO 13485 là cách phổ biến nhất để chứng minh điều đó với tổ chức được chỉ định.
• Việc gắn dấu CE cho thiết bị y tế là một thủ tục riêng, có con đường đánh giá sự phù hợp tuỳ nhóm rủi ro — xem CE Marking cho thiết bị y tế và những thay đổi của quy định MDR.
• Nhà sản xuất ngoài EU cần có đại diện được uỷ quyền tại EU — xem yêu cầu về đại diện uỷ quyền EC REP.

Mỗi thị trường có khung pháp lý riêng; ví dụ về một thị trường khác có tại bài tuân thủ pháp lý đối với thiết bị y tế tại Úc.

Chứng chỉ không thay thế nghĩa vụ tuân thủ pháp luật

Có chứng chỉ ISO 13485 không có nghĩa doanh nghiệp đã hoàn thành nghĩa vụ pháp lý đối với thiết bị y tế. Với nhóm tiêu chuẩn này, ranh giới đó đặc biệt quan trọng vì tên tiêu chuẩn có cụm “cho mục đích pháp lý” khiến nhiều người hiểu nhầm rằng chứng chỉ tự thân là giấy phép.

Tại Việt Nam, việc sản xuất, nhập khẩu và lưu hành trang thiết bị y tế chịu sự điều chỉnh của pháp luật chuyên ngành về quản lý trang thiết bị y tế, với các thủ tục riêng về phân loại, công bố hoặc đăng ký lưu hành tuỳ nhóm. Khung pháp lý lĩnh vực này thay đổi tương đối nhanh, nên cần đối chiếu văn bản đang có hiệu lực tại thời điểm làm thủ tục.

Quan hệ đúng: pháp luật đặt điều kiện bắt buộc để được sản xuất và lưu hành; ISO 13485 là khuôn khổ quản lý giúp đáp ứng những điều kiện đó một cách có hệ thống, và ở Hoa Kỳ thì nay được dẫn chiếu thẳng vào quy định.

Tiêu chuẩn, chứng nhận và công nhận

• ISO xây dựng và ban hành tiêu chuẩn. Tổ chức này không cấp chứng nhận — không tồn tại khái niệm “chứng chỉ do ISO cấp”.
• Tổ chức chứng nhận (CB) đánh giá và cấp chứng chỉ ISO 13485.
• Tổ chức công nhận (AB) đánh giá năng lực của chính các CB.

Về khuôn khổ thừa nhận quốc tế: IAF đã chấm dứt hoạt động từ 01/01/2026 và hợp nhất với ILAC thành Global Accreditation Cooperation Incorporated (Global ACI); IAF MLA và ILAC MRA được thay bằng GAC MRA. Thoả thuận thừa nhận lẫn nhau làm tăng khả năng chứng chỉ được chấp nhận ở nhiều thị trường, nhưng không tạo ra sự chấp nhận tự động — và với thiết bị y tế thì càng không, vì mỗi cơ quan quản lý có yêu cầu riêng.

Riêng ngành thiết bị y tế còn có một chương trình đánh giá dùng chung giữa nhiều cơ quan quản lý, cho phép một cuộc đánh giá được nhiều nước công nhận. Đây là con đường khác với chứng nhận ISO 13485 thông thường; doanh nghiệp có kế hoạch xuất khẩu nhiều thị trường nên tìm hiểu để chọn đúng.

Một nguyên tắc về tính khách quan: đơn vị tư vấn xây dựng hệ thống và tổ chức chứng nhận đánh giá hệ thống đó phải độc lập với nhau.

Quy trình chứng nhận và hiệu lực chứng chỉ

Đánh giá chứng nhận thực hiện theo hai giai đoạn:

• Giai đoạn 1 — xem xét mức độ sẵn sàng: phạm vi, hồ sơ thiết bị y tế, hồ sơ quản lý rủi ro, kết quả đánh giá nội bộ và xem xét của lãnh đạo, cùng danh mục yêu cầu pháp lý áp dụng.
• Giai đoạn 2 — đánh giá tại chỗ tính hiệu lực: phỏng vấn nhân sự, quan sát sản xuất và kiểm soát nhiễm, đối chiếu hồ sơ lô với yêu cầu đã khai.

Phát hiện được phân loại thành không phù hợp nặng, không phù hợp nhẹ và cơ hội cải tiến. Không phù hợp nặng phải khắc phục và được xác minh trước khi cấp chứng chỉ.

Chứng chỉ thường có hiệu lực 3 năm, kèm các đợt đánh giá giám sát định kỳ; hết chu kỳ cần đánh giá tái chứng nhận. Bỏ đánh giá giám sát có thể dẫn tới đình chỉ hoặc thu hồi. Điều kiện cần chuẩn bị trước khi đăng ký có tại bài điều kiện bắt buộc để đạt chứng nhận ISO 13485.

Về chi phí, các yếu tố cấu thành gồm: số lượng địa điểm và phạm vi chứng nhận; nhóm rủi ro và số dòng sản phẩm; có hoạt động thiết kế hay chỉ gia công theo thiết kế của bên khác; có quá trình đặc biệt như tiệt trùng hay phòng sạch; số nhân sự trong phạm vi. Hai doanh nghiệp cùng ngành có thể chênh lệch đáng kể vì các yếu tố này. Phạm vi dịch vụ và cách triển khai được mô tả tại dịch vụ tiêu chuẩn ISO 13485.

Lợi ích khi áp dụng

Đo được: giảm số lô phải xử lý lại và số sản phẩm không phù hợp; rút ngắn thời gian trả lời bộ câu hỏi thẩm định của khách hàng và của cơ quan quản lý; hồ sơ truy xuất đầy đủ giúp thu hẹp phạm vi khi phải thu hồi.

Gián tiếp: kỷ luật vận hành tăng khi mọi thay đổi thiết kế và quá trình đều có quy trình; việc bàn giao giữa nhân sự trở nên có hệ thống; chuẩn bị cho các thị trường xuất khẩu dễ hơn vì phần lớn cơ quan quản lý đều đòi hỏi những nội dung tương tự.

Thị trường — cần diễn đạt thận trọng: chứng chỉ thường là điều kiện để trở thành nhà cung cấp trong chuỗi thiết bị y tế, và ở Hoa Kỳ thì nội dung tiêu chuẩn nay được dẫn chiếu vào quy định. Tuy nhiên mức độ chấp nhận phụ thuộc từng khách hàng và từng cơ quan quản lý; không có gì bảo đảm một chứng chỉ được mọi thị trường thừa nhận.

Điều tiêu chuẩn không hứa: ISO 13485 không cam kết thiết bị an toàn tuyệt đối và không thay thế cho dữ liệu lâm sàng hay đánh giá tiền thị trường. Một tổ chức được chứng nhận vẫn có thể phải thu hồi sản phẩm.

Đối tượng nên áp dụng

• Nhà sản xuất thiết bị y tế — từ vật tư tiêu hao như găng tay, khẩu trang, bơm kim tiêm tới thiết bị chẩn đoán và thiết bị cấy ghép.
• Nhà cung cấp trong chuỗi — linh kiện, vật liệu, bao bì sơ cấp, gia công cơ khí, ép nhựa.
• Đơn vị dịch vụ — tiệt trùng, hiệu chuẩn, lưu kho và phân phối, lắp đặt và bảo trì.
• Doanh nghiệp có kế hoạch xuất khẩu, đặc biệt sang Hoa Kỳ và EU.

Tổng quan các tiêu chuẩn thường dùng trong ngành có tại bài những tiêu chuẩn ISO thiết yếu cho ngành y tế. Vì sao tiêu chuẩn này gần như bắt buộc với nhà sản xuất được phân tích tại ISO 13485 với hoạt động sản xuất thiết bị y tế.

Lộ trình áp dụng tham khảo

• Bước 1 — Xác định vai trò của tổ chức theo quy định pháp luật. Tiêu chuẩn yêu cầu ghi rõ tổ chức là nhà sản xuất, nhà phân phối, đơn vị nhập khẩu hay đơn vị dịch vụ — vai trò này quyết định phần lớn nghĩa vụ phía sau.
• Bước 2 — Xác định phạm vi chứng nhận và phân loại nhóm rủi ro của từng dòng sản phẩm.
• Bước 3 — Lập danh mục yêu cầu pháp lý của từng thị trường đích. Đây là yêu cầu của chính tiêu chuẩn, không phải việc làm thêm.
• Bước 4 — Xây dựng hồ sơ thiết bị y tế cho từng loại hoặc dòng thiết bị.
• Bước 5 — Thiết lập quản lý rủi ro theo ISO 14971 cho sản phẩm, tách khỏi phần đánh giá rủi ro quá trình.
• Bước 6 — Xác nhận giá trị sử dụng các quá trình đặc biệt và phần mềm liên quan.
• Bước 7 — Vận hành và thu thập hồ sơ. Hệ thống cần chạy đủ lâu để có hồ sơ lô, hồ sơ hiệu chuẩn và hồ sơ xử lý khiếu nại thật.
• Bước 8 — Đánh giá nội bộ và xem xét của lãnh đạo. Cả hai bắt buộc và phải hoàn tất trước khi mời tổ chức chứng nhận; đánh giá viên không được đánh giá công việc của chính mình.
• Bước 9 — Đánh giá chứng nhận theo hai giai đoạn.

Thời gian thực tế phụ thuộc phạm vi và nhóm rủi ro. Với doanh nghiệp có hoạt động thiết kế hoặc có quá trình tiệt trùng, khối lượng hồ sơ lớn hơn đáng kể so với đơn vị chỉ gia công theo thiết kế của bên khác.

Những sai lầm thường gặp

• Dùng lại hệ thống ISO 9001 và đổi tên tài liệu. ISO 13485 có những yêu cầu ISO 9001 không có: hồ sơ thiết bị y tế, báo cáo cho cơ quan quản lý, thông báo khuyến cáo, truy xuất mức cao cho thiết bị cấy ghép.
• Bỏ vai trò đại diện lãnh đạo vì nghe nói ISO 9001:2015 đã bỏ. Ở ISO 13485 vai trò này vẫn bắt buộc.
• Trộn hồ sơ quản lý rủi ro sản phẩm với đánh giá rủi ro quá trình thành một bảng duy nhất.
• Không xác nhận giá trị sử dụng của phần mềm dùng trong sản xuất và trong hệ thống quản lý.
• Hiểu chứng chỉ ISO 13485 là đã đủ với FDA — thiếu phần Subpart A và B của QMSR cùng các thủ tục tiền thị trường.
• Không cập nhật danh mục yêu cầu pháp lý của từng thị trường đích, trong khi đây là yêu cầu của chính tiêu chuẩn.

Câu hỏi thường gặp

Phiên bản ISO 13485 nào đang có hiệu lực?

ISO 13485:2016 — ấn bản thứ ba, đã được ISO rà soát và xác nhận năm 2025. Không có ấn bản 2026.

ISO 13485 có bản sửa đổi về biến đổi khí hậu như ISO 9001 không?

Không. Bản sửa đổi tháng 02/2024 chỉ áp dụng cho các tiêu chuẩn dùng cấu trúc Annex SL; ISO 13485 không thuộc nhóm đó.

Có ISO 13485 là đủ điều kiện bán thiết bị y tế tại Hoa Kỳ chưa?

Chưa. Từ 02/02/2026, QMSR dẫn chiếu ISO 13485:2016 nhưng còn yêu cầu bổ sung của FDA tại Subpart A và B, cộng các thủ tục đăng ký cơ sở, liệt kê thiết bị và thủ tục tiền thị trường.

ISO 13485 khác ISO 9001 ở đâu?

ISO 13485 hướng vào tuân thủ quy định và an toàn thiết bị, giữ cấu trúc điều khoản 4–8, yêu cầu nhiều tài liệu hơn, và có các yêu cầu riêng như hồ sơ thiết bị y tế hay báo cáo cho cơ quan quản lý.

Doanh nghiệp chỉ phân phối, không sản xuất, có cần không?

Tiêu chuẩn áp dụng được cho nhà phân phối, đơn vị lưu kho và lắp đặt. Phạm vi chứng nhận sẽ phản ánh đúng hoạt động của tổ chức.

Chứng chỉ có hiệu lực bao lâu?

Thông thường 3 năm, kèm đánh giá giám sát định kỳ trong chu kỳ.

Cần bao lâu để đạt chứng nhận?

Phụ thuộc phạm vi, nhóm rủi ro sản phẩm và mức độ sẵn có của quy trình đang chạy. Yếu tố kéo dài thường không phải khâu viết tài liệu mà là thời gian cần để hệ thống chạy đủ lâu, sinh ra hồ sơ thật cho đánh giá viên xem.

Bước tiếp theo

Nếu doanh nghiệp bạn đang cân nhắc áp dụng ISO 13485, ba việc quyết định khối lượng công việc phía sau là xác định phạm vi chứng nhận, phân loại nhóm rủi ro của sản phẩm và lập danh mục yêu cầu pháp lý của thị trường đích — nên làm ba thứ đó trước khi viết bất kỳ quy trình nào.

Nếu kế hoạch có xuất khẩu sang Hoa Kỳ, cần xử lý song song hai việc: hệ thống theo ISO 13485:2016 và các yêu cầu bổ sung của QMSR có hiệu lực từ 02/02/2026.

Bài viết cùng chủ đề

• dịch vụ tiêu chuẩn ISO 13485 cho ngành y tế
• ISO 13485 với nhà sản xuất thiết bị y tế tại Việt Nam
• ISO 13485 với sản xuất khẩu trang y tế
• ví dụ áp dụng ISO 13485 tại doanh nghiệp thiết bị y tế
• yêu cầu pháp lý với thiết bị y tế nhập khẩu vào Úc