Gestion des risques: ISO 14971, IEC 31010, FMEA, FTA, HAZOP

Hugues Orgitello mis à jour le 7 oct. 2026 19 min de lecture

Un certificateur demande rarement « une FMEA ». Il demande un processus de gestion des risques, défini par une norme de processus (ISO 14971 pour les dispositifs médicaux, ISO 26262 pour les véhicules routiers, ISO 12100 pour les machines, ARP4761A pour les systèmes d'aéronefs), alimenté par des techniques d'analyse décrites dans leurs propres normes de méthode IEC (IEC 60812 pour la FMEA, IEC 61025 pour la FTA, IEC 61882 pour la HAZOP) et choisies à l'aide du catalogue IEC 31010. Ce guide lit ISO 14971:2019 article par article face à l'annexe I du MDR UE, compte ce que contient réellement IEC 31010:2019, vérifie les éditions et les dates de chaque norme citée et liste les affirmations que les textes contredisent, dont plusieurs figuraient sur cette page.

Cartographie des normes

Éditions vérifiées dans le catalogue en ligne de l'IEC, au Journal officiel, dans l'eCFR et auprès des éditeurs le 7 octobre 2026.

Niveau	Norme	Édition et date	Domaine
Processus, médical	ISO 14971:2019	Troisième édition, décembre 2019	Processus de gestion des risques des dispositifs médicaux, tout le cycle de vie
Version harmonisée UE	EN ISO 14971:2019 + EN ISO 14971:2019/A11:2021	Inscrite pour le MDR par la décision (UE) 2022/757	Amendement européen adaptant la norme aux exigences du MDR et de l'IVDR
Guide de processus, médical	ISO/TR 24971:2020	Rapport technique, 2020	Lignes directrices pour appliquer ISO 14971
Processus, générique	ISO 31000:2018	2018	Principes et processus génériques de management du risque
Catalogue de techniques	IEC 31010:2019	Édition 2.0, 13 juin 2019, double logo avec l'ISO	42 techniques décrites à l'annexe B, remplace l'édition 2009
FMEA, FMECA	IEC 60812:2018	Édition 3.0, 10 août 2018	Planification, réalisation et documentation de la FMEA, remplace l'édition 2006
FTA	IEC 61025:2006	Édition 2.0, 13 décembre 2006, date de stabilité 2029	Analyse par arbre de panne, déductive
ETA	IEC 62502:2010	2010	Analyse par arbre d'événements, inductive
HAZOP	IEC 61882:2016	Édition 2.0, 10 mars 2016	Identification des risques par mots-guides, remplace l'édition 2001
Sécurité fonctionnelle automobile	ISO 26262:2018	Deuxième édition	HARA, ASIL, cycle de vie de sécurité
SOTIF automobile	ISO 21448:2022	2022	Sécurité de la fonction attendue
Cybersécurité automobile	ISO/SAE 21434:2021	2021	TARA pour les véhicules routiers
Aéronautique	SAE ARP4761A (EUROCAE ED-135)	Décembre 2023, remplace l'ARP4761 de 1996	AFHA, PASA, SFHA, PSSA, SSA, ASA et méthodes d'analyse
Machines	ISO 12100:2010, ISO 13849-1:2023, IEC 62061:2021		Appréciation et réduction du risque, fonctions de sécurité
Cybersécurité OT	IEC 62443-3-2		Appréciation du risque de sécurité, zones et conduits
FMEA automobile	Manuel FMEA AIAG et VDA	Juin 2019	Approche en 7 étapes, Action Priority, FMEA-MSR

Un projet électronique ou logiciel embarqué choisit une colonne vertébrale de processus par marché visé, puis des techniques. Les normes de méthode (60812, 61025, 61882) disent comment réaliser et documenter une technique ; elles ne disent pas quel risque est acceptable pour votre produit. Cela vient de la norme de processus et des règles sectorielles.

Changements datés, de 2019 à 2027

Date	Événement	Source
13 juin 2019	Publication d'IEC 31010:2019 édition 2.0, qui remplace l'édition 2009 et augmente le nombre de techniques	Catalogue IEC
Juin 2019	Publication du manuel FMEA AIAG et VDA, l'Action Priority remplace le RPN	AIAG
Décembre 2019	Publication de la troisième édition d'ISO 14971:2019	ISO
23 décembre 2019	La FDA reconnaît ISO 14971:2019 en totalité (numéro de reconnaissance 5-125)	Base des normes reconnues de la FDA
2020	Publication d'ISO/TR 24971:2020, guide d'accompagnement	ISO
2021	Adoption d'EN ISO 14971:2019/A11:2021 par le CEN et le CENELEC	Décision (UE) 2022/757, considérant 4
11 mai 2022	La décision (UE) 2022/757 ajoute EN ISO 14971:2019 et A11:2021 comme entrée 16 de la liste MDR (JO L 138 du 17 mai 2022) ; la décision (UE) 2022/729 fait de même pour la liste IVDR (JO L 135 du 12 mai 2022)	Journal officiel
18 janvier 2023	ICH Q9(R1) sur la gestion du risque qualité atteint l'étape 4	ICH
Décembre 2023	Publication de la SAE ARP4761A, qui remplace l'ARP4761 (1996)	SAE
2 février 2024	La FDA publie la règle finale QMSR (89 FR 7496)	Federal Register
30 août 2024	La FAA publie l'AC 25.1309-1B, System Design and Analysis	FAA
2 février 2026	Entrée en vigueur de la QMSR : le 21 CFR Part 820 incorpore ISO 13485:2016 par référence	Federal Register, eCFR
20 janvier 2027	Application du règlement machines (UE) 2023/1230 et abrogation de la directive 2006/42/CE	Journal officiel

ISO 14971 en pratique

ISO 14971:2019 est une norme de processus. Elle ne dit pas quels dangers présente votre dispositif ni quelle matrice utiliser ; elle dit ce que le processus doit contenir et ce qui doit figurer dans le dossier de gestion des risques. Dans l'UE, le MDR fixe directement l'obligation légale : l'article 10, paragraphe 2, impose à chaque fabricant d'établir, de documenter, d'appliquer et de maintenir « un système de gestion des risques tel que décrit à l'annexe I, section 3 ». La version EN harmonisée d'ISO 14971 donne une présomption de conformité au titre de l'article 8 pour les exigences qu'elle couvre.

Article par article, face à l'annexe I du MDR

Article d'ISO 14971:2019	Ce qu'il exige	Texte correspondant de l'annexe I du MDR
4.1 Processus de gestion des risques	Un processus documenté couvrant tout le cycle de vie	Section 3 : un processus itératif continu tout au long du cycle de vie
4.2 Responsabilités de la direction	La direction définit et documente une politique d'établissement des critères d'acceptabilité du risque	Section 1 : risques acceptables au regard des bénéfices, compte tenu de l'état de l'art généralement reconnu
4.4 Plan de gestion des risques	Un plan par dispositif, avec critères d'acceptabilité et activités de vérification	Section 3, point a : établir et documenter un plan de gestion des risques pour chaque dispositif
4.5 Dossier de gestion des risques	Traçabilité pour chaque danger identifié	Documentation technique de l'annexe II
5 Analyse du risque	Utilisation prévue, mauvaise utilisation raisonnablement prévisible, caractéristiques liées à la sécurité, dangers et situations dangereuses, estimation du risque	Section 3, points b et c
6 Évaluation du risque	Comparer chaque risque estimé aux critères du plan	Section 3, point c
7.1 Analyse des options de maîtrise du risque	Ordre de priorité : conception et fabrication intrinsèquement sûres, puis mesures de protection, puis informations de sécurité	Section 4 : conception et fabrication sûres, puis mesures de protection « y compris des alarmes si nécessaire », puis informations de sécurité et, le cas échéant, formation
7.3 Évaluation du risque résiduel	Chaque risque résiduel évalué au regard des critères	Section 4 : le risque résiduel associé à chaque danger est jugé acceptable
7.4 Analyse bénéfice/risque	Seulement lorsqu'un risque résiduel n'est pas acceptable et qu'une maîtrise supplémentaire n'est pas réalisable	Sections 1 et 8
7.5, 7.6	Risques introduits par les mesures de maîtrise, exhaustivité de la maîtrise	Section 4
8 Évaluation du risque résiduel global	Tous les risques résiduels ensemble, face aux bénéfices de l'utilisation prévue	Section 4 : le risque résiduel global est jugé acceptable
9 Revue de gestion des risques	Avant la mise sur le marché, revoir la mise en œuvre du plan ; consigner les résultats dans le rapport de gestion des risques	Documentation technique de l'annexe II
10 Activités de production et de postproduction	Recueillir et examiner les informations de production et de postproduction et agir en conséquence	Section 3, points e et f, surveillance après commercialisation (annexe III)

Critères d'acceptabilité et « autant que possible »

ISO 14971:2019 laisse les critères d'acceptabilité au fabricant, selon une politique fixée par la direction. Beaucoup de fabricants les expriment sous forme de matrice conséquence/vraisemblance (IEC 31010:2019 décrit cette technique en B.10.3, et ALARP et SFAIRP en B.8.2). Pour l'UE, confrontez la politique à la section 2 de l'annexe I du MDR : l'exigence de réduire les risques autant que possible s'entend sans nuire au rapport bénéfice/risque. Une matrice qui arrête la réduction d'un risque parce qu'il est « assez bas » ou parce qu'une réduction supplémentaire coûte cher ne se lit pas de la même façon que cette phrase. Le CEN et le CENELEC ont adopté l'amendement européen A11:2021 pour adapter EN ISO 14971:2019 aux exigences du MDR (décision (UE) 2022/757, considérant 4). La section 4 exige aussi que les fabricants informent les utilisateurs de tout risque résiduel.

Bénéfice/risque, individuel et global

L'article 7.4 n'est pas une étape par laquelle passe chaque risque résiduel. C'est la voie prévue pour un risque résiduel qui ne satisfait pas aux critères du plan lorsqu'une maîtrise supplémentaire n'est pas réalisable : le fabricant peut alors réunir données et littérature pour déterminer si les bénéfices de l'utilisation prévue l'emportent. L'article 8 est obligatoire : le risque résiduel global est évalué avec tous les risques résiduels ensemble, face aux bénéfices. ISO/TR 24971:2020 est le guide d'accompagnement de ces étapes.

IEC 31010, le catalogue de techniques

IEC 31010:2019 est un guide, pas une norme d'exigences. Il couvre la planification, l'application et la revue d'une appréciation du risque (article 6), le choix des techniques (article 7, avec un tableau de caractérisation à l'annexe A) et, à l'annexe B, un résumé de chaque technique avec des renvois vers les documents qui la décrivent en détail. Il a été préparé par le comité d'études 56 de l'IEC (Sûreté de fonctionnement) avec l'ISO/TC 262 (Management du risque).

Ce que contient l'annexe B

Groupe de l'annexe B	Techniques décrites	Nombre
B.1 Recueil des avis des parties prenantes et des experts	Brainstorming, Delphi, technique du groupe nominal, entretiens structurés ou semi-structurés, enquêtes	5
B.2 Identification du risque	Listes de contrôle et taxonomies, FMEA et FMECA, HAZOP, analyse de scénarios, SWIFT	5
B.3 Sources, causes et facteurs de risque	Approche cindynique, Ishikawa (diagramme de causes et effets)	2
B.4 Analyse des moyens de maîtrise	Nœud papillon, HACCP, LOPA	3
B.5 Conséquences et vraisemblance	Analyse bayésienne, réseaux bayésiens et diagrammes d'influence, analyse d'impact sur l'activité, analyse causes-conséquences, ETA, FTA, analyse de fiabilité humaine, analyse de Markov, simulation de Monte-Carlo, analyse d'impact sur la vie privée (AIPD)	10
B.6 Dépendances et interactions	Cartographie causale, analyse d'impacts croisés	2
B.7 Mesures du risque	Évaluation du risque toxicologique, valeur à risque, valeur à risque conditionnelle	3
B.8 Évaluation de l'importance du risque	ALARP et SFAIRP, diagrammes F-N, diagrammes de Pareto, maintenance basée sur la fiabilité, indices de risque	5
B.9 Choix entre options	Analyse coûts/bénéfices, arbre de décision, théorie des jeux, analyse multicritère	4
B.10 Enregistrement et rapport	Registres de risques, matrice conséquence/vraisemblance, courbes en S	3
Total		42

Deux conséquences pour un dossier. D'abord, la matrice de risque et l'ALARP sont des techniques de ce catalogue, pas des exigences d'ISO 14971. Ensuite, la STPA ne fait pas partie des 42 : un dossier qui l'utilise doit citer sa propre référence.

Logique de choix

La bonne technique est celle qui correspond à la question, aux données disponibles et à la maturité de la conception. En pratique : brainstorming, listes de contrôle et SWIFT en phase de concept ; FMEA dès que l'architecture ou les étapes de procédé existent ; FTA sur les événements redoutés les plus graves une fois la conception détaillée ; HAZOP lorsque l'intention de conception et les séquences sont définies ; modèles bayésiens ou de Markov lorsque les dépendances et la réparation comptent.

FMEA et FMECA

IEC 60812:2018 (édition 3.0) s'applique au matériel, au logiciel, aux processus y compris l'action humaine, et à leurs interfaces. Son avant-propos liste les changements par rapport à l'édition 2006 : texte normatif générique ; exemples informatifs pour la sécurité, l'automobile, le logiciel et les processus de service ; adaptation (tailoring) ; formats de rapport, y compris un système d'information à base de données ; modes alternatifs de calcul des nombres prioritaires de risque ; méthode par matrice de criticité ; et relation avec les autres méthodes de sûreté de fonctionnement. Lorsque les modes de défaillance sont hiérarchisés, l'analyse s'appelle FMECA, et la hiérarchisation peut reposer sur la seule gravité.

Variantes

Variante	Périmètre	Usage typique
FMEA système	Fonctions, architecture, interfaces	Phase de concept et d'architecture
FMEA de conception	Composants, sous-ensembles, choix de conception	Conception détaillée, niveau carte
FMEA de procédé	Étapes de fabrication et d'assemblage	Industrialisation, production
FMEA-MSR	Surveillance et réponse du système	Automobile, manuel AIAG et VDA
FMEA logicielle	Fonctions logicielles et leurs modes de défaillance	Logiciel embarqué, en complément d'autres analyses

RPN ou Action Priority

Le nombre prioritaire de risque classique est RPN = Gravité x Occurrence x Détection. Sa faiblesse connue : des triplets différents donnent le même nombre, et un bon score de détection peut faire reculer un mode de défaillance grave. Le manuel FMEA AIAG et VDA (juin 2019) y a répondu en remplaçant le RPN par des tables d'Action Priority. IEC 60812:2018 a pris une autre voie : elle conserve le RPN, ajoute des calculs alternatifs et une matrice de criticité, et permet de hiérarchiser sur la seule gravité. Choisissez une méthode par projet, écrivez-la dans le plan, et gardez la même échelle de gravité sur toutes les feuilles d'analyse.

Erreurs fréquentes

• Échelle de gravité qui change d'une feuille à l'autre, ce qui rend les priorités incomparables dans le dossier,
• Détection créditée pour des essais qui n'ont pas été réalisés,
• Occurrence estimée sans regarder les retours terrain de produits similaires,
• FMEA lancée après le gel de conception, trop tard pour influencer les choix,
• Actions non tracées vers une modification de conception et une preuve de vérification.

FTA, ETA et coupes minimales

L'analyse par arbre de panne (IEC 61025:2006, édition 2.0, qui a remplacé l'édition 1990 et ajouté les aspects quantitatifs et de fiabilité) est déductive : à partir d'un événement redouté, l'analyste décompose les causes par des portes logiques jusqu'aux événements de base. L'analyse par arbre d'événements (IEC 62502:2010) est inductive : à partir d'un événement initiateur, elle suit les branches de succès ou d'échec de chaque barrière.

La FTA en pratique

La FTA identifie les coupes minimales, les plus petites combinaisons d'événements de base qui produisent l'événement redouté. Une coupe d'ordre un est un point de défaillance unique. Avec des probabilités d'événements de base, la FTA quantifie l'événement redouté, ce qui permet aux évaluations de sécurité des systèmes d'aéronefs de démontrer le respect d'objectifs chiffrés. L'AC 25.1309-1B de la FAA (30 août 2024) donne les plages communément admises, par heure de vol :

Condition de panne	Probabilité exigée	Plage dans l'AC 25.1309-1B
Sans effet sur la sécurité	Aucune exigence de probabilité
Mineure	Peut être probable	Probable : de l'ordre de 1 x 10⁻³ ou moins, mais supérieure à l'ordre de 1 x 10⁻⁵
Majeure	Pas plus fréquente que rare (remote)	De l'ordre de 1 x 10⁻⁵ ou moins
Dangereuse	Pas plus fréquente qu'extrêmement rare (extremely remote)	De l'ordre de 1 x 10⁻⁷ ou moins
Catastrophique	Extrêmement improbable	De l'ordre de 1 x 10⁻⁹ ou moins

L'AC précise que respecter ces chiffres apporte une preuve de conformité partielle, pas nécessairement suffisante. Le processus d'évaluation de la sécurité est décrit dans la SAE ARP4761A (décembre 2023), qui scinde l'ancienne FHA unique en évaluations au niveau aéronef et au niveau système, et cite parmi ses méthodes la FTA, les diagrammes de dépendance, l'analyse de Markov, la FMEA et la FMES, l'analyse de sécurité zonale, l'analyse des risques particuliers et l'analyse de mode commun.

Erreurs fréquentes

• Événements de base manquants, ce qui rend la probabilité de l'événement redouté optimiste,
• Indépendance supposée entre des événements qui partagent une cause (alimentation, module logiciel, capteur),
• Taux de défaillance non sourcés, tirés d'un recueil de fiabilité sans dire lequel ni pourquoi,
• Arbre non mis à jour quand la conception ou le choix des composants change.

HAZOP et what-if structuré

IEC 61882:2016 qualifie la HAZOP d'identification des risques guidée par des mots-guides. Son introduction note que la technique est née dans les industries de procédé et que la norme donne des lignes directrices pour de nombreux secteurs ; ses exemples traités comprennent un système de protection automatique des trains, un système de commande de vanne piézoélectrique et une HAZOP de procédure pour un avertisseur sonore dans une aire de garage de trains. L'édition 2016 a aligné sa terminologie sur ISO 31000:2009 et le Guide ISO 73:2009 et ajouté une étude de cas améliorée de HAZOP de procédure.

Méthode

Le système est découpé en parties. Pour chaque partie, l'équipe énonce l'intention de conception, puis applique les mots-guides : NO ou NOT, MORE, LESS, AS WELL AS, PART OF, REVERSE, OTHER THAN, et pour le temps et la séquence des mots-guides comme EARLY, LATE, BEFORE et AFTER. Chaque écart pertinent est examiné : causes, conséquences, protections existantes, actions. La norme insiste sur la séance d'examen, au cours de laquelle une équipe pluridisciplinaire, sous la conduite d'un animateur d'étude, examine systématiquement toutes les parties pertinentes d'une conception ou d'un système. Elle refuse aussi d'appeler HAZOP les variantes fondées sur des listes de contrôle.

Erreurs fréquentes

• Parties trop grossières, ce qui masque les écarts intermédiaires,
• Intention de conception non écrite pour chaque partie, si bien que les mots-guides ne s'appliquent à rien,
• Un seul ingénieur au lieu d'une équipe, ce qui retire à la méthode ce sur quoi elle repose,
• Pas de traçabilité des actions HAZOP vers les modifications de conception ou la vérification.

STAMP et STPA

STAMP (System-Theoretic Accident Model and Processes), développé par Nancy Leveson au MIT, traite les accidents comme le résultat d'un contrôle inadéquat plutôt que de chaînes de défaillances de composants. Sa méthode d'analyse des dangers, la STPA, est décrite dans le STPA Handbook (Leveson et Thomas, mars 2018) : définir l'objet de l'analyse, modéliser la structure de contrôle, identifier les actions de commande dangereuses, puis identifier les scénarios de perte. Le handbook liste quatre façons dont une action de commande peut être dangereuse : ne pas la fournir conduit à un danger ; la fournir conduit à un danger ; la fournir trop tôt, trop tard ou dans le mauvais ordre ; et, pour les actions continues, l'appliquer trop longtemps ou l'arrêter trop tôt.

La STPA est utile là où le logiciel et les interactions portent le risque, par exemple en robotique industrielle, ISO 10218 et 15066. Elle complète la FMEA et la FTA plutôt qu'elle ne les remplace.

Déclinaisons sectorielles

Secteur	Approche du risque	Références clés
Médical	Processus ISO 14971 au sein d'un SMQ ISO 13485	Annexe I du MDR, annexe I de l'IVDR, 21 CFR Part 820 (QMSR), ISO 14971
Sécurité fonctionnelle automobile	HARA, détermination de l'ASIL	ISO 26262, ISO 21448
Cybersécurité automobile	TARA	ISO/SAE 21434, règlements ONU R155, R156
Aéronautique	AFHA, SFHA, PSSA, SSA, analyses de causes communes	ARP4761A, ARP4754, AC 25.1309-1B, DO-178C et DO-254
Machines	Appréciation et réduction du risque, PL ou SIL des fonctions de sécurité	ISO 12100, ISO 13849-1 et IEC 62061, directive 2006/42/CE et règlement 2023/1230
Procédés et systèmes E/E/PE	LOPA, détermination du SIL	IEC 61511, IEC 61508
Cybersécurité industrielle	Zones et conduits, appréciation du risque de sécurité	IEC 62443-3-2
Qualité pharmaceutique	Gestion du risque qualité	ICH Q9(R1)

Chaque secteur définit sa propre échelle d'intégrité ou d'acceptabilité (ASIL, DAL, PL, SIL, ou les critères du fabricant selon ISO 14971). Un produit vendu dans plusieurs secteurs peut partager la même ossature FMEA et FTA, mais l'argumentaire d'acceptabilité doit être rédigé séparément pour chaque norme de processus.

Chaîne documentaire

Un dossier de risques complet établit la traçabilité du danger jusqu'à la vérification :

1. Dangers et situations dangereuses (utilisation prévue, mauvaise utilisation raisonnablement prévisible, électrique, mécanique, thermique, logiciel, cybersécurité, biologique le cas échéant),
2. Estimation du risque pour chaque situation dangereuse,
3. Mesures de maîtrise du risque, allouées à des exigences de conception, dans l'ordre de priorité de la norme de processus,
4. Vérification de la mise en œuvre et de l'efficacité de chaque mesure (essai, analyse, inspection),
5. Évaluation du risque résiduel pour chaque danger,
6. Évaluation du risque résiduel global, avec bénéfice/risque lorsque la norme de processus l'exige,
7. Rapport de gestion des risques consignant la revue du plan,
8. Informations de production et de postproduction réinjectées dans le dossier à chaque revue.

Chaque maillon doit référencer le suivant par numéro de document et version, pour qu'un auditeur suive un danger de son identification jusqu'à la preuve de vérification et aux données terrain qui confirment ou contredisent l'estimation.

Intégration au dossier de certification

Le dossier de risques se place à côté des contrôles de conception, de la vérification et validation, de la fabrication et de la surveillance après commercialisation. Voir QMS panorama (ISO 9001, AS 9100, ISO 13485, TL 9000), sécurité des équipements de laboratoire et de mesure, IEC 61010 et, pour les produits connectés, le Cyber Resilience Act (CRA), dont les obligations de signalement s'appliquent à partir du 11 septembre 2026 et l'application complète à partir du 11 décembre 2027.

Un schéma courant dans un dossier de dispositif médical : plan et rapport ISO 14971 en tête, FMEA de conception sur l'électronique alimentant l'analyse au niveau du dispositif, FTA sur les événements redoutés les plus graves, HAZOP ou STPA sur les séquences de commande embarquées et l'interaction utilisateur, et une matrice de traçabilité reliant chaque mesure de maîtrise à une exigence et à sa preuve de vérification.

Affirmations que les textes contredisent

Affirmation	Ce que dit le texte
« ISO 14971 est harmonisée au titre du MDR depuis la décision 2021/1182. »	La liste de juillet 2021 ne la contenait pas. EN ISO 14971:2019 avec A11:2021 a été ajoutée comme entrée 16 par la décision (UE) 2022/757 du 11 mai 2022.
« ISO 14971 sous-tend les GSPR 1 à 4. »	La gestion des risques traverse les sections 1 à 5 et 8 de l'annexe I du MDR : la section 2 définit « autant que possible », la section 3 le système de gestion des risques, la section 4 l'ordre de priorité de la maîtrise, la section 5 l'erreur d'utilisation, la section 8 les effets secondaires.
« Chaque risque résiduel passe par une analyse bénéfice/risque, dans la zone ALARP. »	L'article 7.4 d'ISO 14971:2019 s'applique lorsqu'un risque résiduel n'est pas acceptable et qu'une maîtrise supplémentaire n'est pas réalisable. L'ALARP est une technique décrite en B.8.2 d'IEC 31010:2019, pas une zone définie par ISO 14971, et la section 2 de l'annexe I du MDR parle de « autant que possible ».
« Le rapport de gestion des risques doit être signé par la direction, sinon c'est une non-conformité formelle. »	L'article 4.2 confie à la direction la politique d'acceptabilité. L'article 9 exige une revue avant la mise sur le marché, consignée dans le rapport de gestion des risques. Cet article n'exige pas de signature de la direction.
« La QMSR a remplacé la Part 820 et renvoie à ISO 14971. »	La QMSR modifie le 21 CFR Part 820 et incorpore ISO 13485:2016 et l'article 3 d'ISO 9000:2015. ISO 14971 n'y est pas incorporée ; c'est une norme consensuelle reconnue par la FDA (5-125).
« IEC 31010 catalogue une trentaine de techniques, dont STAMP/STPA. »	L'annexe B d'IEC 31010:2019 décrit 42 techniques en dix groupes. La STPA n'en fait pas partie.
« IEC 61882:2016 documente une extension logicielle de la HAZOP utilisée dans l'EN 50128. »	La norme est un guide d'application générique dont les changements de 2016 portent sur l'alignement terminologique et une étude de cas de HAZOP de procédure. Ses exemples incluent des systèmes de commande, mais elle ne définit pas de HAZOP logicielle.
« ARP4761 (1996) ; conditions de panne mineures à 1E-3 par heure de vol. »	L'ARP4761A l'a remplacée en décembre 2023. L'AC 25.1309-1B indique que les conditions de panne mineures peuvent être probables et ne leur fixe aucun objectif chiffré.
« Le manuel AIAG et VDA remplace la SAE J1739 et le VDA 4. »	L'AIAG le présente comme l'harmonisation du manuel FMEA AIAG 4e édition et du VDA Volume 4.
« Pharma et radioactif : ICH Q9. »	ICH Q9 est une ligne directrice de qualité pharmaceutique, révisée en ICH Q9(R1), étape 4 le 18 janvier 2023.

Pièges fréquents

Piège	Conséquence
Dossier de risques produit une fois et non mis à jour avec les informations de production et de postproduction	Les estimations ne correspondent plus aux données terrain, contrairement à l'article 10 d'ISO 14971 et à la section 3, point e, de l'annexe I du MDR
Critères d'acceptabilité copiés d'une autre entreprise ou d'un autre secteur	Critères non rattachés à la politique du fabricant exigée par l'article 4.2
Politique de matrice qui cesse de réduire un risque dès qu'il est « acceptable »	Écart avec le « autant que possible » de la section 2 de l'annexe I du MDR
FMEA sans lien avec les contrôles de conception	Le relecteur ne peut pas suivre une mesure de maîtrise jusqu'à sa vérification
FTA avec événements de base manquants ou indépendance erronée	Probabilité de l'événement redouté optimiste, cause commune non maîtrisée
RPN où un bon score de détection masque un mode de défaillance grave	Risque grave insuffisamment maîtrisé
HAZOP menée par une seule personne, ou avec des parties trop grossières	Écarts manqués
Taux de défaillance sans source indiquée	Résultat quantitatif difficile à défendre
Risques résiduels individuels jamais évalués ensemble	Évaluation du risque résiduel global de l'article 8 manquante

Pour aller plus loin

• Robotique industrielle, ISO 10218 et 15066 : appréciation du risque des cellules robotisées et du fonctionnement collaboratif
• Sécurité des équipements de laboratoire et de mesure, IEC 61010 : analyse de risque pour les équipements de mesure et de laboratoire
• QMS panorama (ISO 9001, AS 9100, ISO 13485, TL 9000) : système qualité dans lequel le dossier de risques est maintenu
• Cyber Resilience Act (CRA) : appréciation du risque de cybersécurité au titre du CRA
• Glossaire : définitions FMEA, FMECA, FTA, ETA, HAZOP, STPA, ASIL, DAL, SIL, PL, ALARP, GSPR

Voir aussi

• MDR (UE) 2017/745 : dispositifs médicaux
• MDR classes IIb et III : parcours UDI, EUDAMED, ON, SCAC
• IVDR (UE) 2017/746 : diagnostic in vitro médical
• FDA 510(k), De Novo et PMA : dispositifs médicaux USA
• ISO 26262 : sécurité fonctionnelle automobile
• IEC 61508 : sécurité fonctionnelle générique et niveaux SIL

Un cas concret de dossier de gestion des risques pour certification produit, ISO 14971 médical ou déclinaisons sectorielles, FMEA, FTA, HAZOP, STPA intégrés au dossier ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter

Un audit de 30 minutes avec les ingénieurs AESTECHNO.

AESTECHNO est le bureau d'études qui édite spilma. Nous aidons les équipes produit à cadrer leur démarche de certification et à éviter les pièges classiques.

Réserver un audit gratuit

Sources & références

1. ISO 14971:2019, Dispositifs médicaux, Application de la gestion des risques aux dispositifs médicaux, ISO www.iso.org/standard/72704.html
2. ISO/TR 24971:2020, Lignes directrices pour l'application de l'ISO 14971, ISO www.iso.org/standard/74437.html
3. Décision d'exécution (UE) 2022/757 modifiant la décision (UE) 2021/1182 (ajout d'EN ISO 14971:2019/A11:2021 pour le MDR), Commission européenne eur-lex.europa.eu/eli/dec_impl/2022/757/oj
4. Décision d'exécution (UE) 2022/729 modifiant la décision (UE) 2021/1195 (IVDR), Commission européenne eur-lex.europa.eu/eli/dec_impl/2022/729/oj
5. Règlement (UE) 2017/745 relatif aux dispositifs médicaux, article 10 et annexe I, EUR-Lex eur-lex.europa.eu/eli/reg/2017/745/oj
6. 21 CFR Part 820, Quality Management System Regulation, eCFR www.ecfr.gov/current/title-21/chapter-I/subchapter-H/part-820
7. Medical Devices; Quality System Regulation Amendments, règle finale (89 FR 7496), Federal Register www.federalregister.gov/documents/2024/02/02/2024-01709/medical-devices-quality-system-regulation-amendments
8. Norme consensuelle reconnue par la FDA 5-125, ISO 14971:2019, US FDA www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfStandards/detail.cfm?standard__identification_no=41349
9. IEC 31010:2019, Management du risque, Techniques d'appréciation du risque, IEC webstore.iec.ch/en/publication/59809
10. IEC 60812:2018, Analyse des modes de défaillance et de leurs effets (AMDE et AMDEC), IEC webstore.iec.ch/publication/26359
11. IEC 61025:2006, Analyse par arbre de panne (AAP), IEC webstore.iec.ch/publication/4311
12. IEC 61882:2016, Études de danger et d'exploitabilité (études HAZOP), Guide d'application, IEC webstore.iec.ch/publication/24321
13. Nouveau manuel FMEA AIAG et VDA (juin 2019), l'Action Priority remplace le RPN, AIAG blog.aiag.org/new-aiag-vda-fmea-handbook-and-trainings-available
14. STPA Handbook, Leveson et Thomas, mars 2018, MIT Partnership for Systems Approaches to Safety and Security psas.scripts.mit.edu/home/get_file.php?name=STPA_handbook.pdf
15. AC 25.1309-1B, System Design and Analysis (30 août 2024), FAA (États-Unis) www.faa.gov/documentLibrary/media/Advisory_Circular/AC_25.1309-1B.pdf
16. ARP4761A, Guidelines for Conducting the Safety Assessment Process on Civil Aircraft, Systems, and Equipment, SAE International saemobilus.sae.org/standards/arp4761a-guidelines-conducting-safety-assessment-process-civil-aircraft-systems-equipment
17. La ligne directrice ICH Q9(R1) atteint l'étape 4 du processus ICH, ICH ich.org/news/ich-q9r1-guideline-reaches-step-4-ich-process