Due diligence M&A pour dispositifs médicaux : risques de conformité MDR

Dans les opérations de fusions-acquisitions de dispositifs médicaux, la conformité réglementaire ne constitue pas un simple contrôle opérationnel. Elle dicte directement la structure de la transaction, les multiples de valorisation et les décisions d'investissement de type go/no-go. Le statut réglementaire du portefeuille d'une entreprise cible détermine l'accès légal au marché dans les juridictions clés. Des certificats de marquage CE valides et des autorisations réglementaires établissent des barrières à l'entrée élevées qui protègent les parts de marché et le pouvoir de fixation des prix. En revanche, la non-conformité réglementaire, des certificats expirés ou des blocages non résolus lors de la transition vers le règlement européen sur les dispositifs médicaux représentent des passifs immédiats susceptibles d'interrompre la distribution commerciale du jour au lendemain.

L'entrée en application du Règlement (UE) 2017/745 (EU MDR) a profondément transformé le marché européen en remplaçant les anciennes directives 90/385/CEE et 93/42/CEE par des exigences strictes en matière de preuves cliniques, de documentation technique et de traçabilité tout au long du cycle de vie.[1] Pour les fonds de capital-investissement et les acquéreurs industriels, ne pas vérifier le dossier réglementaire sous-jacent de la cible engendre un risque de dépréciation majeur. Si une cible s'appuie sur des certificats CE invalides ou ne dispose pas d'une trajectoire viable pour finaliser les évaluations de conformité auprès d'un organisme notifié, l'acheteur s'expose à une interruption immédiate des revenus, à des dépréciations de stocks, à d'importantes dépenses de mise en conformité et à de potentielles sanctions réglementaires.

Valorisation de la transaction et pérennité des revenus : Les autorisations réglementaires soutiennent directement les revenus récurrents ; tout risque de suspension ou d'annulation de certificat érode l'EBITDA prévisionnel.

Dépenses d'investissement de remédiation : La mise en conformité de la documentation technique existante et la réalisation des études requises de suivi clinique après commercialisation (SCAC / PMCF) peuvent exiger des capitaux substantiels non budgétisés.

Structuration de la transaction et garanties : Les non-conformités non résolues issues des audits des organismes notifiés nécessitent fréquemment des comptes séquestres spécifiques, des garanties d'indemnisation dédiées ou des mécanismes de complément de prix différé.

Vélocité de l'intégration : Des systèmes de gestion de la qualité non alignés ou des réseaux d'opérateurs économiques non conformes retardent la concrétisation des synergies commerciales post-acquisition.

Par conséquent, une due diligence rigoureuse de la conformité réglementaire au niveau des produits doit identifier le statut réglementaire exact de chaque référence (SKU), évaluer la validité des évaluations de la conformité existantes et tester la résistance du calendrier opérationnel pour le maintien de la conformité sur les marchés cibles européens et internationaux.

Un cadre complet de due diligence réglementaire des dispositifs médicaux exige une évaluation systématique de la classification des produits, des voies d'évaluation de la conformité et de l'exhaustivité de la documentation technique au titre du RDM UE 2017/745. L'annexe I (exigences générales en matière de sécurité et de performances), l'annexe II (documentation technique) et l'annexe III (documentation technique relative à la surveillance après commercialisation) s'appliquent à tous les dispositifs quelle que soit leur classe de risque, tandis que la procédure d'évaluation de la conformité applicable selon les annexes IX à XI dépend de la classe.[2] Ce cadre établit une base de référence objective et étayée par des preuves pour chaque dispositif du portefeuille cible en vérifiant les allégations documentées par rapport aux classifications statutaires et aux registres des organismes notifiés.

En vertu de l'article 51 du RDM, les dispositifs sont répartis entre les classes I, IIa, IIb et III en fonction de leur destination et des risques qui leur sont inhérents, la classification étant effectuée conformément aux règles de classification de l'annexe VIII ; la classe I est en outre subdivisée en Is (stérile), Im (fonction de mesurage) et Ir (chirurgical réutilisable).[2] Ces règles combinent des critères tels que la durée de contact, le degré de caractère invasif, l'effet local versus systémique, la toxicité potentielle, la partie du corps concernée et la dépendance éventuelle du dispositif envers une source d'énergie ; lorsque plusieurs règles s'appliquent, la plus stricte conduisant à la classe la plus élevée prévaut.[2] Les équipes de due diligence doivent examiner minutieusement la destination déclarée par la cible afin de détecter toute sous-classification inappropriée, en particulier pour les logiciels, les dispositifs implantables et les produits médicaux à base de substances.

Piliers fondamentaux de la due diligence réglementaire sous le RDM UE 2017/745 à travers la classification, l'évaluation de la conformité et la conformité après commercialisation. · Généré par IA

Dans le cadre du RDM, l'exigence de supervision par un organisme notifié tiers s'étend par rapport aux directives antérieures : l'évaluation de la conformité pour les dispositifs de classe I est généralement réalisée sous la seule responsabilité du fabricant, tandis qu'un niveau approprié d'intervention de l'organisme notifié est obligatoire pour les dispositifs des classes IIa, IIb et III, croissant avec la classe de risque.[2] Les équipes chargées de la transaction doivent donc déterminer si les classifications des produits de la cible imposent l'intervention d'un organisme notifié et s'assurer que la cible a fait appel à un organisme notifié désigné disposant des codes de portée appropriés.

Dispositions transitoires en vertu du règlement (UE) 2023/607

Le règlement (UE) 2023/607 a modifié les dispositions transitoires de l'article 120 du RDM de l'UE, prolongeant la validité des certificats pour les dispositifs hérités éligibles sous réserve du respect de conditions strictes.[3] Les dispositifs à risque plus élevé (classe III et dispositifs implantables de classe IIb non bien établis) bénéficient d'une prolongation jusqu'au 31 décembre 2027, tandis que les dispositifs à risque moyen et faible (autres classes IIb, classe IIa et dispositifs de classe I reclassifiés à la hausse) sont prolongés jusqu'au 31 décembre 2028.[3]

Aucune modification significative de la conception ou de la destination : Le dispositif ne doit pas faire l'objet de modifications substantielles qui altèrent son profil de sécurité ou clinique selon les orientations du MDCG.

Conformité du système de gestion de la qualité : Le fabricant était tenu de mettre en place un SMQ conforme au RDM au plus tard le 26 mai 2024.

Demande formelle soumise : Une demande formelle d'évaluation de la conformité au titre du RDM doit avoir été déposée auprès d'un organisme notifié au plus tard le 26 mai 2024.

Accord écrit conclu : Un accord écrit formel entre le fabricant et l'organisme notifié doit avoir été signé au plus tard le 26 septembre 2024.

Lors des audits d'acquisition, les équipes doivent vérifier que l'entreprise cible a respecté chacune de ces étapes réglementaires afin de confirmer que ses dispositifs hérités bénéficient légalement des délais transitoires prolongés. Le règlement (UE) 2023/607 subordonne cette prolongation au maintien de la conformité des dispositifs à la directive 90/385/CEE ou 93/42/CEE, à l'absence de modifications significatives de leur conception et de leur destination, à la mise en place d'un système de gestion de la qualité conforme au RDM au sens de l'article 10, paragraphe 9, au plus tard le 26 mai 2024, et à la signature d'un accord écrit entre l'organisme notifié et le fabricant au plus tard le 26 septembre 2024.[4]

Lors de l'évaluation d'une cible d'acquisition dans le domaine des dispositifs médicaux, les équipes d'investissement et leurs partenaires-conseils doivent tester des volets réglementaires spécifiques par rapport aux éléments probants de la data room. Les vérifications ne peuvent reposer uniquement sur les déclarations des dirigeants ; elles nécessitent d'examiner la documentation technique, les jeux de données cliniques et les réseaux d'opérateurs commerciaux.

Documentation technique et évaluation clinique

Les équipes de due diligence doivent auditer les dossiers techniques au regard des exigences détaillées des annexes II et III du RDM de l'UE, qui s'appliquent toutes deux aux dispositifs de chaque classe de risque.[2] Un dossier technique complet doit comprendre la vérification et la validation de la conception, des dossiers complets de gestion des risques selon l'ISO 14971, ainsi que la validation des procédés de fabrication. En particulier, les rapports d'évaluation clinique (CER) exigent un examen minutieux. Une évaluation clinique est obligatoire pour chaque dispositif en vertu de l'article 5, paragraphe 3, de l'article 61 et de l'annexe XIV du RDM, et pour les dispositifs implantables et de classe III, une investigation clinique précommercialisation est obligatoire, sauf dispense étroite, comme l'équivalence démontrée avec un dispositif marqué CE disposant de données cliniques existantes suffisantes.[2]

Systèmes de surveillance après commercialisation et de matériovigilance

Un système qualité conforme doit démontrer une surveillance après commercialisation active et continue. Les équipes de due diligence doivent examiner les plans de surveillance après commercialisation (PMS), les rapports périodiques actualisés de sécurité (PSUR), ainsi que les plans et rapports d'évaluation du suivi clinique après commercialisation (PMCF). Pour les dispositifs des classes IIa, IIb et III, le fabricant doit établir un PSUR pour chaque dispositif, mis à jour au moins une fois par an pour les classes IIb et III et au moins tous les deux ans pour la classe IIa, tandis que les fabricants de dispositifs de classe I doivent quant à eux tenir à jour un rapport de surveillance après commercialisation conformément à l'article 85.[2] De plus, les registres de déclaration des incidents et les dossiers de matériovigilance doivent être examinés pour s'assurer que les incidents graves et les mesures correctives de sécurité sur le terrain (FSCA) ont été notifiés aux autorités compétentes dans les délais légaux.

Logiciels en tant que dispositifs médicaux (SaMD) et qualification de l'IA

Pour les cibles opérant dans la santé numérique et les technologies médicales intégrant du logiciel, l'audit doit examiner minutieusement la qualification du logiciel au titre de la règle 11 de l'annexe VIII du RDM et des orientations MDCG 2019-11.[5] En vertu de la règle 11, un logiciel destiné à fournir des informations utilisées pour prendre des décisions à des fins diagnostiques ou thérapeutiques relève de la classe IIa, passant en classe IIb lorsque la décision peut entraîner une détérioration grave de l'état de santé ou une intervention chirurgicale, et en classe III lorsqu'elle peut causer la mort ou une détérioration irréversible, ce qui ne laisse qu'une étroite catégorie résiduelle de logiciels de classe I auto-certifiés.[2] Dans la due diligence medtech, la vérification de la gestion des versions logicielles, de la documentation de cybersécurité et de la validation clinique est essentielle.

Obligations des opérateurs économiques en vertu des articles 13 et 14

Le RDM de l'UE impose des responsabilités légales directes sur l'ensemble de la chaîne de distribution, des fabricants et mandataires aux importateurs et distributeurs, comme défini au chapitre II du règlement.[1] Les équipes chargées des transactions doivent vérifier que la cible et ses partenaires commerciaux respectent chacune de ces obligations d'opérateurs économiques.

Vérification par l'importateur (article 13) : les importateurs doivent vérifier le marquage CE, la déclaration UE de conformité, l'étiquetage approprié, l'attribution de l'IUD et le respect des conditions de stockage.

Vérification par le distributeur (article 14) : les distributeurs doivent vérifier que le dispositif porte le marquage CE, que les informations requises l'accompagnent et que les dispositifs non conformes sont mis en quarantaine.

Personne chargée du respect de la réglementation (PRRC) : les fabricants doivent documenter la désignation d'une PRRC qualifiée en vertu de l'article 15, répondant aux critères légaux de formation et d'expérience.

Mandats des mandataires : les fabricants non établis dans l'UE doivent détenir un mandat écrit valide avec un mandataire établi dans l'UE (EC REP) en vertu de l'article 11.

Afin de faciliter une prise de décision structurée et l'automatisation du registre des risques, les constats doivent être catégorisés par niveau de gravité, impact sur la transaction et mesures correctives requises. Le tableau suivant fournit une taxonomie standard pour les risques réglementaires liés aux dispositifs médicaux rencontrés lors des due diligences en M&A.

Les constats de gravité élevée imposent souvent des ajustements du prix facial de la transaction, des exclusions spécifiques de garantie d'indemnisation ou des conditions préalables à la réalisation (closing) obligeant la direction de la cible à corriger les défaillances identifiées avant le déblocage des fonds.

Un processus de due diligence rigoureux nécessite d'exiger et de vérifier des éléments réglementaires précis. Les acquéreurs doivent structurer leurs demandes de data room afin d'obtenir des documents sources originaux plutôt que de simples notes de synthèse.

Certificats CE actifs et déclarations : certificats de marquage CE en cours de validité délivrés par des organismes notifiés désignés, accompagnés des déclarations UE de conformité signées par la cible en vertu du RDM 2017/745.

Dossiers d'éligibilité à la transition : demandes formelles soumises aux organismes notifiés avant le 26 mai 2024 et accords écrits signés avec l'organisme notifié conclus avant le 26 septembre 2024 au titre du règlement (UE) 2023/607.

Certifications du système de management de la qualité : certificats ISO 13485:2016, rapports d'audit de l'organisme notifié pour les 36 mois précédents et registres des actions correctives et préventives (CAPA) ouvertes.

Dossiers techniques et gestion des risques : documentation technique complète de l'annexe II, dossiers de gestion des risques conformes à l'ISO 14971 et dossiers d'ingénierie de l'aptitude à l'utilisation.

Documentation d'évaluation clinique : rapports d'évaluation clinique (CER) actuels, plans d'évaluation clinique, ainsi que plans et rapports d'évaluation du suivi clinique après commercialisation (SCAC / PMCF).

Surveillance après commercialisation et registres de matériovigilance : plans de surveillance après commercialisation, rapports périodiques actualisés de sécurité (PSUR), rapports de tendances et historiques de signalement des incidents auprès des autorités compétentes.

Gouvernance réglementaire et enregistrements : confirmation du numéro d'enregistrement unique (SRN) dans EUDAMED, documentation relative à l'identifiant unique des dispositifs (IUD / UDI) et lettres officielles de désignation de la PRRC au titre de l'article 15 du RDM.

Le recoupement de ces éléments demandés avec les références commerciales (SKU) effectivement exploitées par la cible garantit qu'aucune variante de produit non certifiée ou extension d'allégation non approuvée n'existe au sein de la base de chiffre d'affaires de la cible.

La conduite d'une due diligence réglementaire sur les produits et le marché exige des limites juridiques claires et des protocoles opérationnels stricts. Les équipes de transaction, les acquéreurs d'entreprises et les professionnels de l'investissement doivent prendre note des principes structurels suivants :

Absence de conseil juridique : Les logiciels de due diligence, les flux de travail analytiques et les matrices de preuves structurées ne constituent pas, et ne doivent pas être interprétés comme, un conseil juridique formel ou une consultation réglementaire légale.

Absence de certification de conformité : Les conclusions de la plateforme, les scores de risque et les analyses automatisées des lacunes documentaires ne constituent pas une autorisation réglementaire formelle, une évaluation de la conformité ou une certification officielle de conformité.

Confirmation requise par un conseiller qualifié : Toutes les conclusions, les alertes identifiées, les évaluations des lacunes documentaires et les classifications de risque générées au cours du processus de diligence doivent être examinées et confirmées par un conseil juridique externe qualifié et des conseillers spécialisés en affaires réglementaires avant la conclusion d'accords de transaction contraignants.

Structuration des preuves et veille sur les risques : La technologie de due diligence sert exclusivement à appuyer la structuration des preuves, l'identification des problèmes, l'ancrage des sources et la préparation des registres de risques au sein des archives de la data room.

En respectant ces limites, les équipes de transaction s'assurent que les conclusions de la due diligence sont méthodiquement validées par des spécialistes réglementaires agréés tout en accélérant l'identification initiale des facteurs de risque critiques.

Les calendriers de transaction modernes laissent peu de place à l'examen manuel de documents sur tableur à travers des milliers de pages de dossiers techniques de dispositifs médicaux. La mise en place d'un flux de travail de diligence natif pour l'IA permet aux équipes d'investissement et aux conseillers d'ingérer, de recouper et d'évaluer systématiquement les preuves réglementaires au rythme de la transaction.

Plausity optimise la due diligence réglementaire des produits grâce à une suite de fonctionnalités d'intelligence transactionnelle conçue sur mesure. En déployant Data Room Ingestion, les équipes de transaction peuvent se connecter directement aux data rooms virtuelles et traiter automatiquement les dossiers techniques complexes, les rapports d'audit et les certificats de qualité. L'AI-Analysis Engine recoupe ensuite les allégations de destination du produit avec les règles de classification de l'Annexe VIII et les certificats actifs des organismes notifiés, identifiant rapidement les allégations non fondées ou les documents de transition manquants.

Les anomalies et les écarts de conformité identifiés sont automatiquement classés dans Risk Radar, qui hiérarchise les constats selon leur gravité, leur impact sur la transaction et les mesures correctives nécessaires. Les équipes peuvent ensuite collaborer de manière fluide dans Collaboration Hub pour s'aligner sur les conclusions avec le conseil réglementaire externe, et utiliser Report Builder pour générer des registres de risques réglementaires prêts pour l'audit ainsi que des dossiers de preuves pour le comité d'investissement avec une traçabilité complète jusqu'aux documents sources de la data room.

Plausity est une plateforme de due diligence et deal intelligence IA-native qui aide les cabinets M&A, les fonds VC et PE, les équipes de corporate development et les family offices à structurer les preuves, findings et questions à travers une data room. Plausity ne fournit pas de conseil juridique, n'émet pas de certification de conformité et ne remplace pas les conseillers juridiques ou réglementaires qualifiés — la plateforme soutient la structuration des preuves, l'identification des issues, l'ancrage des sources et la préparation du registre des risques. Tous les findings doivent être confirmés par des conseillers juridiques ou réglementaires qualifiés.

Pour explorer les briques sous-jacentes, voir le moteur d'analyse IA Plausity et la page Findings & Risk Intelligence. Pour les workflows par équipe, voir comment les fonds VC et PE et les cabinets M&A utilisent Plausity sur des deals actifs.

1. [1] eur-lex.europa.eu — https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32017R0745
2. [2] health.ec.europa.eu — https://health.ec.europa.eu/system/files/2021-10/mdcg_2021-24_en_0.pdf
3. [3] eur-lex.europa.eu — https://eur-lex.europa.eu/eli/reg/2023/607/oj/eng
4. [4] eur-lex.europa.eu — https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32023R0607
5. [5] health.ec.europa.eu — https://health.ec.europa.eu/system/files/2025-06/mdcg_2019_11_en.pdf
6. [6] health.ec.europa.eu — https://health.ec.europa.eu/medical-devices-sector/new-regulations/guidance-mdcg-endorsed-documents-and-other-guidance_en
7. [7] eur-lex.europa.eu — https://eur-lex.europa.eu/eli/reg/2017/745/oj/eng