Un modèle de risque ISO 14971, depuis un e-mail et deux schémas en deux minutes environ.
Aucune bibliothèque de templates, aucun sprint de conseil, aucun schéma écrit à la main. Un agent connecté au MCP Koddex a lu le brief, tiré les conclusions des schémas, puis créé les modèles, les relations et la remontée de sévérité calculée directement dans l'espace de travail.
Traçabilité ISO 14971 complète, construite sous vos yeux : un prompt, 13 modèles, 17 liens déclarés. Nom d'espace de travail fictif.
Le brief est arrivé par e-mail, pas sous forme de spécification
Un consultant réglementaire en dispositifs médicaux voulait savoir si Koddex pouvait porter la structure de risque qu'il reconstruit, tableur après tableur, sur chaque programme. Il a envoyé un e-mail et deux schémas dessinés à la main. C'était toute l'entrée — transmise à Claude avec une consigne : mets ça en place dans l'espace de travail.
- Secteur
- Dispositifs médicaux
- Rôle
- Consultant réglementaire externe
- Normes
- ISO 14971 · MDR · IEC 62304
- Entrée
- Un e-mail, deux schémas
Consultant, fabricant et dispositif non nommés à leur demande. L'espace de travail du film porte un nom fictif.
L'ISO 14971 est un graphe. Il est presque toujours stocké dans une grille
Danger, dommage, sévérité, mesure, exigence — tous reliés, et maintenus reliés pendant que la conception évolue. Un tableur porte les lignes. Pas les liens.
La sévérité est recopiée, pas dérivée
Changez un dommage et toutes les sévérités qui en dépendaient sont fausses, sans bruit.
Les mesures perdent leur exigence
Le risque résiduel ne se cote que si l'on voit comment la mesure est implémentée. Dans une grille, ce lien vit dans la tête de quelqu'un.
Ça ne se lit que dans un sens
Un auditeur demande combien tester un software item. Un relecteur demande quels items une mesure touche. Un fichier plat ne répond ni à l'un ni à l'autre.
Treize modèles, dix-sept liens, un graphe calculable
Sévérité et probabilité sont saisies par une personne. L'indice de risque, non : il est calculé, et il n'y a pas de cellule à écraser.
Créés en une passe
Hazard → Risk → Control → V&V
La vue Where-used de l'espace de travail. Traversable par les deux bouts.
Cinq risques, une colonne calculée
Les tags d'accès décident qui voit quelle ligne.
| Name | Hazard | Severity | Probability | Risk index | Access tag |
|---|---|---|---|---|---|
| Incorrect dose displayed | Software fault | 5 | 3 | 15 | clinical |
| Unintended actuation at setup | Stored energy | 4 | 3 | 12 | quality-core |
| Air embolism from line purge | Air in line | 5 | 2 | 10 | clinical |
| Overheating of drive unit | Excess heat | 3 | 3 | 9 | quality-core |
| Sharp edge on housing | Mechanical | 2 | 2 | 4 | quality-core |
ƒ Indice de risque = sévérité × probabilité — calculé par Koddex, saisi par personne.
Un risque, ouvert. Chaque champ saisi, lié ou calculé.
Incorrect dose displayed
RSK-014- Hazard
- Software fault
- Hazardous situation
- Dose calculation error shown to clinician
- Harm
- Overdose
- Severity
- 5
- Probability
- 3
- Risk index
- 15severity × probability
- Risk control measure
- Independent dose check
- Access tag
- clinical
Ce qu'il calcule, et ce qu'il refuse
Changez l'une des entrées et il bouge de lui-même.
Faites passer un dommage de 3 à 1 et l'exigence comme le software item affichent 1. Ce nombre justifie l'effort de test devant un auditeur.
Elle dépend du type de mesure déclaré au-dessus, et les attributs calculés n'agrègent que vers le haut. Un choix, pas un manque.
La même structure, à l'ancienne : cinq outils et une taxe de synchronisation permanente
Personne ne construit un dossier ISO 14971 en un seul endroit. Chaque outil est très bien seul — le coût, ce sont les coutures entre eux, repayées à chaque évolution de conception.
Chaque double flèche est une synchronisation à maintenir à la main.
| Cinq outils, cousus | Koddex, filmé | |
|---|---|---|
| Construire les 13 types d'objets | Des jours d'ateliers, puis du paramétrage dans chaque outil | Un prompt, deux minutes |
| Déclarer les 17 liens | Identifiants recopiés d'un outil à l'autre | Déclarés avec les modèles |
| Garder l'indice de risque juste | Une colonne de formule — jusqu'à ce qu'on colle par-dessus | Calculé. Aucune cellule à écraser |
| Rester aligné après un changement | Réexporter, réimporter, réconcilier. Chaque outil, chaque fois | Un seul graphe. Rien à synchroniser |
| Mise en place | Des jours à des semaines, puis un coût de sync indéfini | Deux minutes, puis quelques minutes par itération |
La colonne Koddex est mesurée, filmée. La colonne de gauche est une estimation en ordre de grandeur pour une chaîne d'outils classique — non mesurée ici.
Pourquoi le deuxième jour compte plus que le premier
Les deux minutes font le titre. La valeur durable, c'est le coût de s'être trompé — et le modèle doit toujours changer.
Se tromper cesse d'être coûteux
Scinder un modèle, ajouter le champ oublié : demandez, relisez le diff, gardez. Restructurer n'est pas un projet.
La taxe de sync tombe à zéro
Aucun export à réconcilier, parce qu'il n'y a pas de deuxième copie.
Le temps d'expert remonte
Le consultant arrête de reconstruire l'échafaudage et passe ses heures à décider si un risque résiduel est acceptable.
L'agent écrit vite. Il n'écrit jamais sans surveillance
L'agent propose la structure à la vitesse machine. Une personne garde le jugement de risque, et chaque écriture est attribuée, cloisonnée et révisable.
Agent ↔ humain
L'agent propose. L'expert décide.
- Chaque item créé porte « Created by Claude through the Koddex MCP », horodaté. Jamais anonyme.
- Quand un calcul était impossible il l'a dit, et son contournement a été refusé explicitement. Dire non à l'agent fait partie de la méthode.
- Sévérité, probabilité, acceptabilité et score résiduel restent des décisions humaines, par construction.
Humain ↔ humain
Les contrôles qui rendent un agent sûr rendent une équipe auditable.
- Les tags d'accès cloisonnent chaque ligne : clinical et quality-core ne sont pas visibles des mêmes personnes.
- Une baseline gelée reste gelée. Un changement devient une révision comparable, pas un écrasement invisible.
- Where-used répond à « qu'est-ce que je casse » avant que quiconque ne change quoi que ce soit.
La provenance sur l'item lui-même.
Qui peut lire ce risque.
Modifications attribuées et horodatées.
Baselines gelées, comparées.
Chaque référence, avant d'y toucher.
Ce qui a changé
| Dossier de risque sous tableur | Modèle Koddex | |
|---|---|---|
| Mise en place de la structure | Reconstruite à la main sur chaque programme | Deux minutes depuis le brief, puis affinée |
| Sévérité d'un software item | Retracée à la main dans l'analyse de risque | Calculée, toujours à jour |
| Changer un dommage | Incohérence silencieuse entre onglets | Se propage à tous les scores dépendants |
| Impact d'une mesure de maîtrise | Recherche manuelle dans les fichiers | Le lien inverse liste les items touchés |
| Échelle de sévérité | Texte libre, propre à chaque auteur | Liste contrôlée, définie au niveau du modèle |
| Production du dossier de risque | Copier-coller dans un modèle Word | Export d'un item avec ses enfants, pièces jointes incluses |
“Je me dis que je pourrais me contenter de faire les schémas et laisser l'agent modéliser. C'est bien plus simple.”
Ce que cela ne fait pas
Un cas d'usage qui n'énumère que des succès n'aide pas un responsable qualité.
Les attributs calculés n'agrègent que vers le haut. Un champ lit ses enfants, jamais ses parents — la probabilité résiduelle reste donc une décision humaine. La valeur du parent est visible ; elle n'est pas calculable.
Vous obtenez un premier jet, pas une version validée. Le modèle demandait encore des ajustements par quelqu'un qui connaît le dispositif, et ces schémas étaient exceptionnellement clairs. La qualité du brief décide de celle du résultat.
L'export est structurel, pas éditorial. Un item et ses enfants s'exportent en PDF avec les pièces jointes. Verser cela dans le modèle Word d'un client, section par section, n'existe pas à ce jour.
Questions fréquentes
Laisser un agent construire le modèle compromet-il la conformité ISO 14971 ?
Non — l'agent construit la structure, pas les jugements de risque. Sévérités, probabilités et acceptabilité restent saisies et approuvées par des personnes qualifiées, avec la traçabilité de revue habituelle.
Comment la sévérité d'un software item est-elle déterminée ?
Elle est calculée, jamais saisie : la sévérité est renseignée une fois sur le dommage, et chaque niveau au-dessus prend le maximum de ce qui est en dessous.
Le risque résiduel peut-il être calculé automatiquement ?
Non, volontairement : il dépend du type de mesure déclaré au-dessus, et les attributs calculés n'agrègent que vers le haut — un relecteur le fixe donc en conscience.
Quel agent faut-il pour reproduire cela ?
N'importe quel client compatible MCP — cette session utilisait Claude. Votre équipe connecte son client et ses jetons : l'agent travaille avec vos droits d'accès.