公告机构突击审核前的中国分包商准备包：外协灭菌、软件开发、关键零部件供应商怎么备查

本文只解决什么 / 不解决什么

这篇文章只解决一件事：你是法律制造商（legal manufacturer）或主要合作的中国OEM/ODM工厂，准备应对公告机构（NB）的"unannounced audit"突击审核——而审核可能不只发生在你的总厂，还可能落在外协灭菌厂、软件开发分包商、关键零部件供应商。怎么把这些第三方场所也提前布置好。

不解决：QMS搭建、ISO 13485全流程、NB选择策略。如果还没建立基础QMS或没拿到NB合同，先看站内的MDR公告机构选择指南和中国OEM/ODM工厂QMSR设计转移证据包。

注意一个法律事实：MDR Annex IX §3.4要求NB"至少每5年对制造商及其适用的供应商和分包商进行随机突击审核"，IVDR Annex IX有同样的条款。换句话说，突击审核默认审核制造商之外的链条，是法定动作而不是NB的"可选项"。

中国企业最容易混淆的两个分类：critical subcontractor vs. crucial supplier

这两个词长得像，法律含义不同，准备策略也不同。Commission Recommendation 2013/473/EU和NBOG BPG 2010-1把它们分开定义：

几个判定的实务边界，中国制造商常踩雷：

• 代工OEM/ODM：对方如果做的是finished device制造，对你（法律制造商）来说是crucial supplier。但如果合作架构里你只是品牌方、对方完全负责设计制造——那你的法律地位可能不是manufacturer而是distributor，整个分类逻辑要重做。
• 软件外包：写代码的离岸团队是critical subcontractor。如果分包不只是coding而是整个software life cycle活动（含验证），按IEC 62304和MDR的要求，分包合同要明确制造商保留设计责任。
• 物流仓储：通常不是critical/crucial（除非物流环节涉及温控的IVD试剂或灭菌后保存）——但NB会审你的"shipping qualification"作为process validation的一部分。
• 测试实验室：第三方做的biocompatibility、EMC、生物负载测试，是critical subcontractor。FDA有ASCA项目，欧盟没有等价机制——但NB会通过NBOG BPG 2010-1的lab accreditation要求来审。
• 欧盟AR：是critical subcontractor，因为它承担MDR Article 11的法定责任。

中国企业常见的错误是把"凡是签了合同的对外合作"都标成critical/crucial，结果列表上百个，NB一看就要求你做大规模供应商审核——反而拖累自身审核进度。正确做法是建立判定备忘录，每一个"是否critical/crucial"的决定都有书面rationale，未来NB可以追踪到判定依据。

突击审核如何"不预约抵达"：你必须准备的接待SOP

NB的突击审核完全没有预约。审核员的两人小组（按MDCG 2022-17，最少两名auditor）通常在周一到周五的工作时间出现在你的工厂前台，出示授权信和身份证件。这个时刻的应对不规范，本身就会被记成不符合项。

中国工厂的常见错误：前台不认识NB审核员，按"未预约访客"流程拒绝入厂；保安要求审核员等待联系负责人，结果让审核员在大门口等30分钟。

正确做法是建立专用接待SOP，要点：

1. 前台和门卫都要有NB身份识别培训，能识别授权信关键字段
2. 出示授权信后5分钟内联系到法规/质量负责人，10分钟内进入厂区
3. 前台备有空白的访客证（不是普通访客证，是标记"NB Auditor"的）
4. 不能拒绝入厂——拒绝会直接构成major non-conformity

MDR Annex VII §3.1.7要求"陪同人员"在审核全程跟随。中国工厂常见错误：让一个不懂英文/不熟法规的车间主管陪同；guide自己工作太忙中途切换；guide替审核员回答问题。

正确做法：

• 提名一位主guide和一位备份guide，两人同时在岗
• guide的能力要求：能用英文做基本对话；熟悉本工厂的QMS流程；知道在哪些问题上"我去找专家来回答"
• guide的纪律：不替审核员回答、不拦阻审核员的访问、不删改记录、记下审核员的所有问题

NB审核员有权访问任何与受审范围相关的区域和文件。但他们不能要求查看与审核范围无关的商业秘密（如成本、定价、其他客户产品）。

实操建议：审核范围内的文件全部开放，访问受限的区域（如其他客户产品的专属生产线）要标识清楚，并准备好"per CMA签订的confidentiality grounds"的拒绝话术。

必备的"分包商档案包"——审核员会要看的

NB审核员到达工厂后，30分钟内会要求看到完整的supplier list和critical/crucial subcontractor清单。这份档案不是当场打印的Excel，而是一个始终在线、版本受控的文档。

最低限度要在审核员视野内的内容：

中国工厂常见的纰漏：Master List在Excel里、QA在合同管理系统里、审核报告在质量部门私人电脑里——三处不一致。突击审核暴露这种"信息孤岛"会直接导致major non-conformity（QMS不受控）。

质量协议（QA）的关键条款：突击审核的契约基础

突击审核能落到分包商场所的法律基础有两层：MDR/IVDR的法定要求 + 你和分包商之间的质量协议条款。如果QA里没写允许NB进入分包商场所的条款，分包商可以拒绝入厂——届时NB会判你"failed to control supplier"。

下面是QA里必须有的条款（仅作示意，实际签约由法务定制）：

[示意性QA条款，非法律意见]

Right of Access for Notified Body and Competent Authority Audits

Supplier shall:

(a) grant Manufacturer, Manufacturer's Notified Body, and any
    EU Member State Competent Authority the right to enter
    Supplier's premises (including subcontracted sites) for
    purposes of conducting audits, including unannounced audits,
    related to Manufacturer's products and the activities
    performed by Supplier;

(b) ensure such access is granted within 1 hour of an unannounced
    audit team's arrival, and not require prior business hours
    notification;

(c) ensure all relevant records, samples, and personnel are made
    available to the audit team during the audit;

(d) treat the cost of such audits as part of Supplier's general
    obligations under this Agreement, except where Manufacturer
    explicitly requests an extraordinary audit;

(e) notify Manufacturer in writing within 24 hours of the
    commencement of any unannounced audit, and provide a copy
    of any audit report or non-conformities issued by the
    Notified Body or Competent Authority within 5 business days
    of receipt;

(f) ensure that Supplier's own subcontractors (including
    those performing critical processes) are bound by
    equivalent access provisions;

(g) maintain a current visa invitation letter (open invitation)
    addressed to Manufacturer's Notified Body, in a form
    acceptable for visa application purposes, and update such
    letter annually or upon Manufacturer's reasonable request.

(g)条是中国企业常忽略的细节：欧洲NB审核员到中国出差需要商务签证，签证申请要求邀请函——突击审核没办法临时发邀请，必须提前备好"open invitation letter"。这份letter是分包商签发的、有效期通常1年的全员邀请函，覆盖审核员姓名（如已知）或"any auditor designated by [NB name]"。

灭菌外协厂的特别准备

EO/γ灭菌外协厂是中国医疗器械行业最常见的critical subcontractor。NB对这类场所的审核重点和总厂不同：

中国EO灭菌外协厂特别要注意一点：ISO 10993-7:2026刚刚更新，对ECH（ethylene chlorohydrin）和EG（ethylene glycol）的限度有了更细的分类。如果你的灭菌厂还在用旧版限度，NB审核员会要求看到向新版过渡的计划。

灭菌厂的合规协议（QA）一定要明确放行决定权归制造商。常见的错误模式：制造商给灭菌厂列一个"放行准则"，灭菌厂自己看了报告就放货发回。NB会要求看到：每个批次的灭菌报告→制造商法规/质量负责人审阅→签字放行→标记"released by manufacturer"——这一链条要在文档里完整。

软件分包商的特别准备

软件外包（包括离岸开发团队、第三方算法供应商）越来越常见。NB对软件分包商的审核重点：

中国制造商常见的实务问题：软件外包合同里是"按工时计费的开发服务"，没有覆盖法规义务。NB审核时这种合同被认定为不充分。修补方法是补签一份Software Quality Agreement附录，把IEC 62304下每个phase的责任分配画清。

模拟审核问题库

突击审核员问的问题不是随机的，有典型套路。下面是中国分包商场所最常被问的20个问题（按概率排序），可以拿来做内部"红蓝对抗"演练：

把这些问题转化成内部checklist，让分包商每月做一次自检——突击审核来时不会措手不及。

远程审核与hybrid audit的特殊要点

MDCG 2022-17确认了hybrid audit作为常态。中国分包商场所的远程审核要素：

• 网络与设备：稳定的网络连接、广角摄像头、便携摄像头（用于车间走查）、远程屏幕共享
• 数据访问：制造商或分包商的MES/QMS/ERP系统的远程演示能力，按角色权限只读访问
• 审计trail的实时演示：不是导出截图，是登录系统给审核员看流程
• 人员配合：guide需要熟练操作摄像头和会议软件，能完成指定的"现场走查"

突击审核默认是on-site，但也可能是hybrid。中国分包商场所要按"两手准备"：on-site的接待SOP + remote的IT和数据准备。

常见失败模式

失败模式1：把NB列表里的critical subcontractor故意瞒报 后果：突击审核突然出现在没报的分包商场所，发现实际生产在那里——直接major non-conformity。 补救：每次新增/调整供应商时同步更新NB；与scheme manager保持季度沟通。

失败模式2：分包商证书过期未续 后果：审核当天分包商出示的ISO 13485已过期或scope不覆盖。 补救：建立证书有效期monitoring，到期前6个月启动续期；NB issued的证书优先。

失败模式3：分包商拒绝NB入厂 后果：合同里没写access权，分包商行使商业拒绝权——制造商被NB认定supply chain control失败。 补救：所有critical/crucial QA必须含access条款；定期演练入厂SOP。

失败模式4：审核报告fragmented 后果：分包商的审核报告留在分包商手里，制造商手里只有一句"已审核"——NB要看完整报告时拿不出。 补救：QA里写明"NB审核报告及NC列表副本须在5个工作日内提供给制造商"。

失败模式5：CAPA闭环不到位 后果：上次审核发了的NC，制造商认为关闭了，分包商现场发现根因没解决。 补救：CAPA effectiveness check要由制造商现场验证，不能只依赖分包商书面报告。

站内延伸阅读

• MDR公告机构选择指南
• MDR审核不符合项处理指南
• 中国OEM/ODM工厂QMSR设计转移证据包
• MDR技术文档指南

参考来源

• Commission Recommendation 2013/473/EU – 突击审核法律基础
• MDCG 2022-17 Position paper on hybrid audits
• NBOG BPG 2010-1 Guidelines for Notified Bodies auditing suppliers – 关键供应商定义和审核要点
• BSI – Subcontractors and Suppliers FAQs (MDR)
• TÜV SÜD – Unannounced Audits FAQ
• GMED – Unannounced audits FAQ
• MDR Regulation (EU) 2017/745, Annex VII §3.1.7 / Annex IX §3.4

免责声明：本文仅供医药器械行业从业者参考，不构成法律或注册申报意见。质量协议条款、突击审核接待SOP、商务合同条款的具体表述应当由制造商法务、质量、法规团队和分包商共同协商确定。

相关文章

文章

MDR Article 120重大变更判定备忘录：MDD legacy器械改软件、供应商、材料时怎么留证据

EU MDR Article 120(3c) MDCG 2020-3 Rev.1实务：legacy器械的significant change判定备忘录模板、软件/材料/供应商/灭菌方式变更flowchart走法、NB书面意见获取、商业stop/go决策矩阵与证据保留要求。

MDR公告机构2026-05-05

›

文章

EUDAMED批量上传/XML错误排查：Basic UDI-DI、EMDN、证书和经济运营商字段怎么对齐

2026年5月EUDAMED强制使用后XML批量上传常见报错排查手册：Basic UDI-DI/UDI-DI格式校验、EMDN编码选择、证书关联失败、经济运营商SRN对齐、NB确认瓶颈的逐条解决方案。

UDIMDR2026-05-05

›

文章

MDCG 2025-6解读：EU AI Act下医疗器械合规时间线与实操要点

MDCG 2025-6联合指引全文解读：MDAI定义、高风险分类、Digital Omnibus延期后的合规时间线、MDR整合评估流程，以及中国AI医疗器械企业的应对策略。

合规注册MDR2026-05-01

›