沒有生產醫療產品，可以申請 ISO 13485 嗎？申請條件、認證範圍與審核風險

沒有生產醫療產品，不代表一定不能申請 ISO 13485。關鍵不在於工廠現在是否有醫療產品量產，而是企業是否實際參與醫療器材生命週期，並能提供足夠的系統運行證據。

ISO 13485 適用對象不只包含成品醫療器材製造商，也可能包括醫療器材設計公司、零組件供應商、委託製造商、軟體開發商、滅菌服務商、維修服務商、進口商及經銷商。

但如果企業完全沒有醫療器材產品、客戶、專案或供應鏈活動，只建立一套空白文件，認證機構可能無法確認認證範圍的真實性，進而延後、限縮甚至拒絕發證。

沒有生產醫療產品，可以申請 ISO 13485 嗎？

可以，但企業必須具備真實且可稽核的醫療器材相關活動。

ISO 13485 並未規定申請認證時一定要有大量出貨，也沒有規定必須先完成醫療器材量產。正在開發產品、準備承接醫療器材訂單，或提供醫療器材相關零組件與服務的企業，都可能具備申請條件。

認證機構通常會確認三件事：

1. 企業準備提供什麼醫療器材、零組件或服務？

2. 企業在醫療器材供應鏈中負責哪些活動？

3. 現場是否有足夠紀錄證明品質系統已經實際運行？

因此，「沒有量產」與「完全沒有醫療活動」是兩種不同情況。

ISO 13485 適用對象一定是醫療器材製造商嗎？

不一定。ISO 13485涵蓋參與醫療器材生命週期及供應鏈的不同組織。

依照 ISO 13485的適用邏輯，從設計開發、生產、儲存、配送、安裝、維修，到醫療器材相關技術服務，都可能納入品質管理系統。

IAF MD 9:2023也將 ISO 13485認證技術領域區分為成品醫療器材、零組件、次組件、滅菌方法、校正、維修、運輸及其他醫療器材相關服務。

醫療器材設計開發公司

企業即使尚未自行生產，只要實際負責產品規格、設計輸入、設計輸出、風險管理、驗證、確效及設計移轉，仍可能申請包含設計開發的 ISO 13485認證。

審核時通常需要提供實際專案，而不能只展示空白的設計開發程序。

醫療器材委託製造商

企業沒有自有品牌，但接受品牌商委託生產醫療器材或關鍵零組件，也可以申請 ISO 13485。

認證範圍應反映企業真正負責的製程，例如 SMT、塑膠射出、金屬加工、組裝、包裝或檢驗，而不能宣稱自己是成品醫療器材的法規製造商。

醫療器材零組件供應商

PCBA、連接器、電池、外殼、模具、感測器及包裝材料，本身不一定是醫療器材，但如果明確供應醫療器材客戶，仍可能取得相關範圍的 ISO 13485認證。

認證機構會確認零組件是否明確用於醫療器材，以及企業的製程對產品安全與法規符合性有何影響。

經銷商、進口商及服務商

醫療器材的儲存、配送、安裝、維修及技術服務，也可能納入 ISO 13485。

此類企業需要建立產品保存、批號追溯、客訴通報、不合格品隔離、回收配合及法規責任管理，而不是直接套用製造工廠的文件。

完全沒有醫療客戶或訂單，能取得證書嗎？

可以提出申請，但取得有效認可證書的難度和風險會明顯提高。

ISO 13485認證不是審核企業未來的商業構想，而是確認目前品質管理系統是否適合其醫療器材相關活動，並且已經有效運行。

若企業只有一句「未來可能承接醫療產品」，通常不足以支持完整認證範圍。認證機構可能要求企業先完成具體專案、試產或模擬產品實現流程，再安排正式稽核。

哪些資料可以證明企業真的準備進入醫療供應鏈？

企業至少應準備：

明確的醫療器材、零組件或服務類別

產品預期用途及客戶品質要求

醫療專案計畫或開發計畫

合約、意向書、詢價資料或客戶規格

產品及製程風險分析

樣品、試作或工程批次紀錄

供應商評估及採購規格

檢驗標準及量測紀錄

批號、材料及製程追溯紀錄

客訴、CAPA、內部稽核及管理審查紀錄

客戶訂單不是唯一可以接受的證據，但企業不能只用空白表單代替實際運行。

沒有量產時，可以用模擬訂單或試產紀錄接受審核嗎？

部分流程可以透過模擬演練，但不能製造虛假客戶、訂單、檢驗結果或生產紀錄。

企業可以選擇一項具體的預定醫療產品或零組件，按照正式程序完成從需求審查、採購、試作、生產、檢驗、放行到追溯的完整演練。

這類紀錄必須清楚標示為「試產」「工程批次」或「流程演練」，不能冒充正式商業出貨。

認證機構是否接受試產或模擬紀錄，仍取決於認證機構規定、認可要求、申請範圍及稽核員判斷。

ISO 13485 證書的認證範圍應該怎麼寫？

證書範圍必須反映企業實際執行的產品、製程與服務，不能為了市場宣傳而寫得過大。

例如，一家公司只生產醫療器材使用的 PCBA，較合理的範圍可能是：醫療器材用印刷電路板組件之製造。

如果企業不負責成品設計、法規註冊及最終放行，就不宜寫成：醫療器材之設計、開發及製造。

IAF MD 9要求認證機構依產品技術領域及企業活動確定認證範圍；零組件與服務若明確支援特定醫療器材，稽核團隊還需要具備相應產品領域能力。

常見認證範圍範例

最終文字仍應由企業、顧問及認證機構根據實際活動共同確認。

哪些 ISO 13485 條文可以不適用？

ISO 13485並不是所有企業都必須執行完全相同的條文。不適用項目應依企業角色、法規要求、產品特性及認證範圍逐項判定。

例如，完全依客戶圖面生產零組件、不負責產品設計的委託製造商，可能主張設計開發條文不適用。

但「目前沒有執行」不等於「可以排除」。如果企業對產品設計、軟體、包裝、製程規格或設計變更負有責任，通常不能單純宣稱設計開發不適用。

所有不適用項目都應在品質手冊或相關文件中說明理由。

沒有醫療產品時，ISO 9001與ISO 13485應該選哪一個？

如果企業目前完全服務一般產業，近期也沒有明確醫療專案，先導入 ISO 9001通常比較合理。

如果企業已經確定進入醫療供應鏈，並且有醫療客戶要求、產品開發或試產計畫，則可以直接按照 ISO 13485建立系統。

企業也可以先維持 ISO 9001，再以醫療產品專案為基礎升級至 ISO 13485。

申請 ISO 13485 前需要準備哪些資料？

第一步不是先寫品質手冊，而是先確定企業在醫療供應鏈中的角色與產品範圍。

建議依下列流程準備：

若沒有正式量產，應事先向認證機構說明，確認試產、開發或專案紀錄是否足以支持預定範圍。

沒有醫療量產，申請 ISO 13485 要多久？

小型企業從制度建置到完成認證，常見需要3～8個月。

如果企業已經有 ISO 9001、成熟製程及明確醫療專案，時間可能縮短；如果完全沒有醫療器材經驗、產品尚未確定，則可能需要更長時間累積證據。

以上為一般實務估算，不是標準規定的固定期限。實際時間取決於人數、廠區、產品風險、設計責任、外包製程及缺失整改速度。

沒有醫療量產，申請 ISO 13485 費用是多少？

費用不會單純因為「沒有量產」而降低。認證機構仍需依人數、廠區、產品技術領域、認證範圍及流程複雜程度計算稽核人日。

以台灣或亞洲地區的小型單一廠區為例，輔導加初次認證的市場費用可能從新台幣數十萬元起。若涉及設計開發、無菌製程、多廠區或高風險醫療器材，費用會明顯增加。

正式報價前，應先確認人數、地址、產品、製程、設計責任及預定證書範圍。

沒有醫療產品卻先取得證書，存在哪些風險？

最大的風險不是「沒有出貨」，而是證書範圍與實際能力不一致。

如果企業為了取得證書而虛構產品、訂單或運行紀錄，可能在初次認證、年度監督、客戶稽核或主管機關檢查時被發現。

常見風險包括：

認證機構不接受申請範圍

Stage 1後要求延後Stage 2

因缺少產品實現證據開立重大不符合

證書範圍被限縮

年度監督時無法證明持續運行

證書被暫停或撤銷

客戶認為證書內容具有誤導性

產品上市時發現系統與法規要求不一致

正確作法是使用真實的開發、試產或醫療供應鏈專案建立紀錄，而不是只追求快速取得一張證書。

取得 ISO 13485 後，就能生產或銷售醫療器材嗎？

不能。ISO 13485是品質管理系統認證，不是醫療器材產品許可。

產品能否上市，仍須依銷售國家、產品預期用途及風險分類，完成適用的註冊、許可、技術文件及測試要求。

例如，美國 FDA 已於2026年2月2日實施QMSR，並將 ISO 13485:2016納入品質系統法規；但FDA不要求企業一定取得ISO 13485證書，證書也不能取代510(k)、De Novo、PMA、工廠註冊或產品列名。

因此，企業應分別處理：

品質系統認證

醫療器材產品分類

技術文件與產品測試

目標市場註冊或上市許可

上市後客訴、通報與召回管理

常見問題 FAQ

沒有醫療產品樣品，可以先開始輔導嗎？

可以先進行資格評估、差異分析、流程規劃及文件建置。

但正式認證前，仍建議選定具體產品或服務，完成開發、試產或其他可驗證的運行紀錄。

一定要有醫療客戶的採購訂單嗎？

不一定。開發專案、試產、客戶意向書或明確的醫療供應鏈活動，也可能成為審核證據。

但只有公司內部宣稱未來要做醫療產品，通常不足以支持完整認證範圍。

可以拿一般消費性產品作為ISO 13485審核樣本嗎？

通常不能直接替代醫療產品。一般產品的生產紀錄可以證明部分製造能力，但無法完整證明醫療器材法規、風險、追溯、客訴與產品安全要求已經落實。

只有醫療器材用PCBA，可以申請嗎？

可以，前提是PCBA明確用於醫療器材，並有客戶規格、品質要求或專案資料支持。

證書範圍應寫成醫療器材用PCBA或相關零組件的製造，而不是宣稱製造整台醫療器材。

沒有設計責任，可以排除設計開發嗎？

可能可以，但要看企業是否真正不負責產品規格、功能、軟體、包裝或產品變更。

如果只是依客戶核准的圖面和規格生產，通常較容易證明設計開發不適用。

只有試產，認證機構會接受嗎？

有可能，但必須事先確認。試產應使用正式受控的材料、製程、檢驗、放行及追溯程序，並留下足以證明系統有效性的紀錄。

認證前需要累積多久紀錄？

ISO 13485沒有規定統一月份，但企業至少應完成一次完整流程運行、內部稽核及管理審查。實務上通常建議累積約2～3個月以上的有效紀錄，複雜產品或製程可能需要更長時間。

初次認證可以完全線上審核嗎？

通常不能預設全部線上完成。認證機構需要評估製造現場、設備、潔淨環境、倉儲、追溯及實際操作時，Stage 2通常仍需要現場稽核。

先取得證書，之後再加入醫療產品可以嗎？

可以先以現有且可證明的活動申請，但證書只能涵蓋已接受稽核的範圍。

新增產品類別、設計活動、無菌製程或新廠區時，可能需要申請範圍擴充及補充稽核。

ISO 13485認證最容易失敗的原因是什麼？

最常見問題是認證範圍寫得太大，但沒有相應產品、專案與運行紀錄。其他高風險問題包括風險管理流於形式、追溯不完整、供應商管制不足，以及文件內容與現場操作不一致。

延伸閱讀建議

完成申請資格評估後，可進一步了解：

ISO 13485認證申請流程與文件清單

ISO 13485如何整合設計開發、客訴、CAPA與上市後監督

醫療器材零組件供應商如何建立ISO 13485

ISO 13485與ISO 9001的差異

ISO 14971醫療器材風險管理實務

美國FDA QMSR與ISO 13485的關係

下一步如何執行？

企業若尚未生產醫療產品，第一步不是直接安排認證稽核，而是確認是否已有足以支持ISO 13485的真實醫療專案。

建議依下列順序進行：

1. 確認預定的醫療器材、零組件或服務。

2. 釐清企業是品牌商、設計商、製造商或供應商。

3. 確認是否負責設計、採購、生產、檢驗、放行或售後服務。

4. 與認證機構預先確認申請範圍及可接受的審核證據。

5. 建立ISO 13485程序、表單及醫療器材風險管理機制。

6. 透過開發專案、工程試產或實際訂單累積運行紀錄。

7. 完成內部稽核、管理審查及問題改善。

8. 再安排Stage 1與Stage 2認證稽核。

如果目前完全沒有醫療產品或客戶，建議先進行申請可行性評估，不要急著承諾取證日期。

ODI MORGAN 服務推薦

ODI MORGAN可協助尚未量產、正在轉型或準備進入醫療供應鏈的企業，判斷是否具備ISO 13485申請條件，避免完成文件後才發現認證範圍無法成立。

服務內容包括：

ISO 13485申請資格與可行性評估

醫療器材供應鏈角色及責任判定

認證範圍規劃與認證機構溝通

ISO 9001升級ISO 13485差異分析

品質手冊、程序、表單及作業文件建置

試產專案與產品實現流程規劃

ISO 14971風險管理與設計開發整合

供應商、追溯、客訴及CAPA制度建立

內部稽核、管理審查及模擬稽核

Stage 1、Stage 2缺失改善與陪審支持

企業可先提供公司人數、產品說明、製程流程、預定醫療用途、客戶資料及現有ISO證書。ODI MORGAN將先判斷「能不能申請、證書範圍怎麼寫、需要哪些實際紀錄」，再安排輔導與認證計畫。