ERP Medtech : piloter la production et la conformité réglementaire de vos dispositifs médicaux

La traçabilité est l’une des fonctions essentielles d’un ERP pour la medtech. Elle doit fonctionner dans les deux directions.

La traçabilité ascendante permet de répondre à une question telle que : quels composants et quels lots de matières premières ont été utilisés pour fabriquer ce dispositif ?

La traçabilité descendante répond à une autre question tout aussi importante : dans quels produits finis et quelles expéditions ce composant ou ce lot a-t-il été utilisé ?

Cette capacité est déterminante en cas de non-conformité ou de rappel. Une traçabilité fine permet de limiter le périmètre de l’action corrective aux dispositifs réellement concernés, au lieu de bloquer l’ensemble de la production ou du stock.

Un ERP adapté doit donc permettre de relier :

1. la réception des matières et composants ;

2. les contrôles à réception ;

3. les ordres de fabrication ;

4. les consommations de composants ;

5. les opérations d’assemblage et de transformation ;

6. les contrôles en cours de production ;

7. la libération du produit fini ;

8. le conditionnement et l’étiquetage ;

9. les expéditions et les clients destinataires ;

10. les réclamations et incidents associés.

Cette traçabilité ne concerne pas uniquement les produits finis. Elle peut également s’appliquer aux équipements utilisés, aux opérateurs habilités, aux sous-traitants et aux paramètres critiques du procédé.

Dans de nombreuses entreprises, la qualité intervient encore après la production, sous la forme d’un contrôle final ou d’une validation documentaire. Cette approche est insuffisante pour une organisation medtech qui souhaite réduire les risques et accélérer ses décisions.

La qualité doit être intégrée dans le flux opérationnel. Un ERP peut notamment prendre en charge :

- les plans de contrôle à réception, en cours de fabrication et en sortie ;

- les échantillonnages et les résultats d’essais ;

- les seuils d’acceptation ;

- le blocage automatique ou manuel d’un lot ;

- la libération conditionnelle ou définitive ;

- le suivi des équipements de mesure ;

- les certificats fournisseurs ;

- les dérogations et autorisations exceptionnelles ;

- les produits non conformes ;

- les actions correctives et préventives — CAPA (Corrective Action Preventive Action)

Dans l'ERP Dynamics 365 Business Central, on peut gérer les fonctions de gestion de la qualité et des échantillons permettant d’enregistrer les prélèvements, d’associer des ordres qualité aux événements de production et de bloquer ou libérer des stocks selon les résultats obtenus. Ces fonctions doivent néanmoins être analysées et configurées en fonction du système qualité de l’entreprise et de ses exigences réglementaires.

L’objectif est de créer un enchaînement cohérent : un résultat de contrôle non conforme ne doit pas rester dans un fichier indépendant. Il doit pouvoir déclencher une mise en quarantaine, une investigation, une décision qualité et, si nécessaire, une action corrective documentée.

Une non-conformité n’est pas seulement un défaut à corriger. Elle constitue une information utile pour comprendre les causes d’un écart et éviter sa répétition.

Le processus CAPA doit permettre de documenter :

- le produit, le lot ou le numéro de série concerné ;

- la date et le lieu de détection ;

- la description de l’écart ;

- la décision immédiate de confinement ;

- l’analyse de la cause racine ;

- l’évaluation du risque ;

- les actions correctives et préventives ;

- les responsables et les échéances ;

- les preuves de réalisation ;

- la vérification de l’efficacité ;

- la clôture et l’approbation.

Le lien entre la non-conformité et les données de production est essentiel. Si une dérive apparaît sur un équipement, un fournisseur, une matière ou une équipe donnée, les responsables doivent pouvoir rechercher rapidement les produits potentiellement impactés.

Le règlement MDR prévoit que les fabricants prennent les mesures correctives nécessaires lorsqu’ils considèrent qu’un dispositif n’est pas conforme. En cas de risque grave, ils doivent également informer les autorités compétentes et, le cas échéant, l’organisme notifié concerné. Un ERP ne remplace pas les procédures de vigilance, mais il peut fournir les données nécessaires à une analyse fiable et rapide.

Le système UDI — Unique Device Identification, ou IUD en français — vise à faciliter l’identification et la traçabilité des dispositifs médicaux. Il comprend notamment un identifiant du dispositif, le UDI-DI, et un identifiant de production, le UDI-PI, qui peut intégrer un numéro de lot, un numéro de série ou une date de production ou d’expiration.

L’UDI complète les règles d’étiquetage existantes : il ne les remplace pas. Le fabricant doit attribuer les identifiants appropriés, les graver sur les composants directement, ou les apposer sur les étiquettes ou les conditionnements concernés et maintenir les informations à jour.

Depuis le 28 mai 2026, plusieurs modules EUDAMED sont devenus obligatoires, notamment l’enregistrement des acteurs, l’enregistrement UDI/Dispositifs, les organismes notifiés et certificats, ainsi que la surveillance du marché.

Pour se préparer efficacement, l’entreprise doit éviter une gestion de l’UDI séparée du référentiel produit. Les informations UDI doivent être cohérentes avec :

- les articles et variantes ;

- les unités de conditionnement ;

- les lots et numéros de série ;

- les étiquettes ;

- les déclarations de conformité ;

- les certificats ;

- les informations de marché ;

- les versions historiques.

L’ERP peut constituer la source interne de référence, tandis qu’EUDAMED reste le système réglementaire européen. Des interfaces ou des processus d’export contrôlés peuvent être nécessaires selon l’architecture retenue.

La conformité d’un dispositif dépend souvent de fournisseurs externes : composants électroniques, matériaux, emballages stériles, opérations de traitement, essais en laboratoire ou fabrication de sous-ensembles.

Le MDR intègre la sélection et le contrôle des fournisseurs et sous-traitants dans le périmètre du système de management de la qualité. L’entreprise doit donc connaître le niveau de criticité de chaque fournisseur et définir les contrôles appropriés.

Un ERP Medtech peut aider à centraliser :

- les qualifications et homologations fournisseurs ;

- les certificats et documents qualité ;

- les dates d’expiration ;

- les résultats de contrôles à réception ;

- les évaluations de performance ;

- les plans d’audit ;

- les réclamations et incidents ;

- les actions correctives fournisseur ;

- les restrictions d’achat liées à un fournisseur non approuvé.

Cette visibilité contribue à réduire le risque de réceptionner ou d’utiliser un composant provenant d’une source non validée. Elle permet également de démontrer, lors d’un audit, que la maîtrise des achats repose sur des critères documentés et non sur des pratiques informelles.

La valeur d’un ERP Medtech dépend de la qualité de ses données et de la robustesse de ses contrôles d’accès. Les organisations doivent pouvoir démontrer qui a créé, modifié, validé ou libéré une information critique.

Les points à examiner comprennent notamment :

- la gestion des rôles et des droits ;

- la séparation des responsabilités ;

- la validation des modifications ;

- la conservation des historiques ;

- la protection contre les modifications non autorisées ;

- la sauvegarde et la restauration des données ;

- la continuité d’activité ;

- la sécurité des interfaces ;

- la validation des applications utilisées dans les processus réglementés.

Le règlement MDR prévoit également des exigences liées à la sécurité de l’information pour les dispositifs comportant des logiciels. Il demande notamment que les fabricants définissent les exigences minimales relatives au matériel, aux réseaux et aux mesures de sécurité nécessaires au fonctionnement prévu du logiciel.

Il convient de distinguer deux sujets : la cybersécurité du dispositif médical lui-même et la sécurité du système d’information de l’entreprise. Ils sont liés, mais ne se confondent pas. Dans les deux cas, une analyse de risques et une gouvernance adaptées sont nécessaires.

Le choix d’un ERP ne doit pas reposer uniquement sur le nombre de fonctionnalités affichées dans une démonstration. Il doit s’appuyer sur les processus réels de l’entreprise et sur les preuves attendues lors des audits.

Les principaux critères de sélection sont les suivants :

- gestion native ou configurable des lots et numéros de série ;

- traçabilité ascendante et descendante ;

- gestion de la qualité intégrée à la production ;

- prise en charge des contrôles et échantillonnages ;

- gestion des non-conformités et CAPA ;

- maîtrise des versions et des modifications ;

- gestion des fournisseurs critiques ;

- intégration avec les systèmes d’étiquetage et de lecture code-barres ;

- capacité d’interfaçage avec EUDAMED ou les outils UDI ;

- historisation des données ;

- sécurité et contrôle des accès ;

- capacité à évoluer avec la croissance et l’internationalisation ;

- documentation des processus et formation des utilisateurs.

Une solution comme Microsoft Dynamics 365 peut constituer une base pertinente pour les entreprises qui souhaitent connecter finance, achats, production, stocks et qualité dans un même environnement. Toutefois, les besoins spécifiques de la Medtech peuvent nécessiter des extensions, des interfaces, des applications spécialisées ou des adaptations de processus. Une analyse détaillée doit donc être menée avant toute décision.

Un projet ERP Medtech ne doit pas être traité comme un simple remplacement logiciel. Il s’agit d’un projet de transformation qui touche les données, les responsabilités et les méthodes de travail.

Une feuille de route pragmatique peut suivre les étapes suivantes :

1. Cartographier les processus de la conception à la surveillance après commercialisation.

2. Identifier les données critiques: articles, lots, séries, UDI, certificats, contrôles et documents.

3. Évaluer les écarts entre les pratiques actuelles et les exigences réglementaires applicables.

4. Définir le modèle de données cible et les règles de gouvernance.

5. Prioriser les processus à risque : libération des lots, traçabilité, non-conformités, CAPA et changements.

6. Configurer et tester la solution avec des scénarios représentatifs.

7. Valider les processus et les contrôles selon l’analyse de risques de l’entreprise.

8. Former les utilisateurs et documenter les procédures.

9. Déployer progressivement par site, famille de produits ou processus.

10. Mesurer la performance et améliorer en continu.

La conduite du changement est déterminante. Un système très performant ne produira pas les résultats attendus si les opérateurs ne saisissent pas les informations au bon moment, si les responsabilités sont floues ou si les contrôles sont contournés.

Pour une entreprise Medtech, l’ERP n’est pas un substitut au système de management de la qualité ni aux compétences réglementaires. Il est en revanche un levier essentiel pour relier les opérations, fiabiliser les données et produire rapidement les preuves nécessaires à la conformité.

En centralisant les référentiels, la production, les contrôles qualité, la traçabilité des lots, les fournisseurs, les non-conformités et les actions correctives, un ERP Medtech permet de passer d’une conformité documentaire à une conformité intégrée dans les processus. Cette approche améliore à la fois la maîtrise des risques, l’efficacité opérationnelle et la capacité à répondre aux audits ou aux incidents.

COSMO CONSULT est à la fois intégrateur et éditeur d’applications métier pour les entreprises industrielles. Grâce à une expertise métier pointue et à une approche orientée client, COSMO CONSULT accompagne les organisations dans la conception et le déploiement de solutions fondées notamment sur Microsoft Dynamics 365. Son accompagnement couvre l’ensemble du cycle de transformation, de l’analyse des processus au déploiement, en passant par la conduite du changement, la formation et l’amélioration continue. À cette expertise technologique s’ajoute une démarche engagée en Numérique Responsable et en RSE, portée notamment par des initiatives telles que COSMO Cares et COSMO Goes Green. L’objectif : aider les entreprises à faire évoluer durablement leur organisation, tout en conciliant performance industrielle, conformité réglementaire et responsabilité environnementale et sociale.