El capítulo 4 de ISO 13485 establece las bases sobre las que se construye el Sistema de Gestión de la Calidad ISO 13485 de una organización del sector de los productos sanitarios.
Es frecuente asociar un sistema de calidad con procedimientos, formularios y registros. Sin embargo, empezar a implantar ISO 13485 redactando documentos sin haber definido previamente cómo funciona la organización es un completo error.
Primero debemos determinar qué hace la empresa, qué requisitos le resultan aplicables y qué procesos necesita controlar. La documentación debe representar posteriormente ese sistema, debe ser el reflejo de la actividad real de la empresa.
¿Qué exige el capítulo 4 de ISO 13485?
El capítulo 4 se divide principalmente en dos grandes bloques:
- 4.1 Requisitos generales, relacionados con la necesidad de establecer y controlar el SGC y sus procesos.
- 4.2 Requisitos de la documentación, donde aparecen el manual de calidad, el expediente del producto sanitario y el control de documentos y registros.
Por tanto, este capítulo no se limita a decir qué documentos debemos preparar. Invita a definir la arquitectura básica del sistema.
Cómo empezar: determinar los procesos del sistema de calidad ISO 13485
La organización, como primer paso, debe identificar los procesos necesarios para su SGC y determinar cómo se aplican dentro de ella.
Pensemos en un fabricante de productos sanitarios.
Su sistema podría incluir procesos como:
- diseño
- compras
- fabricación
- liberación y control de la calidad
- distribución
- seguimiento poscomercialización
- mantenimiento y calibración
- auditoría
- gestión de la no conformidad.
No existe un único mapa de procesos válido para todas las empresas. Al contrario, cada empresa tiene su propio mapa de procesos cuando se analiza en detalle.
Un fabricante de software como producto sanitario, un fabricante de implantes y una empresa dedicada al almacenamiento de productos sanitarios tendrán sistemas muy diferentes. El alcance de sus sistemas y los capítulos aplicables podrían ser diferentes.
La ISO 13485 proporciona los requisitos, la estrategia o el marco fundamental; cada organización debe convertirlos en un sistema adecuado a su actividad y a sus productos o servicios.
¿Se pueden externalizar procesos?
Sí, sin duda. Me atrevería a decir que es típico. Una empresa puede subcontratar actividades, pero externalizar un proceso no elimina la responsabilidad de la organización sobre ese proceso. Es muy importante interiorizar este aspecto para adoptar las medidas necesarias para controlar dichos procesos.
La organización debe establecer los controles necesarios sobre las actividades externalizadas, ya sean auditorías, verificaciones de producto, contratos, registros de calidad o procesos de control de la calidad. Siempre será teniendo en cuenta el riesgo asociado y la capacidad del proveedor para cumplir los requisitos.
Por ejemplo, si un fabricante subcontrata la esterilización de sus productos, no puede simplemente considerar que ese proceso queda fuera de su sistema de calidad porque lo realiza otra empresa. Debe existir un control adecuado de esa actividad externalizada podrían ser verificaciones en laboratorio.
El enfoque basado en riesgos también aparece en el sistema de calidad
La ISO 13485 requiere un enfoque basado en riesgos en la definición y control de los procesos necesarios para el SGC.
Esto no significa únicamente aplicar ISO 14971 al producto, que también. La organización debe considerar el riesgo cuando planifica cómo controla determinados procesos del sistema.
Por ejemplo, el nivel de control aplicado a un proveedor que suministra material de oficina no debería ser necesariamente equivalente al aplicado a un proveedor que fabrica un componente crítico del producto sanitario.
La intensidad del control debe ser coherente con las consecuencias que podría tener un fallo.
¿Hay que validar el software utilizado en el sistema de calidad?
Esta es una exigencia explícita del capítulo 4 que algunas organizaciones pasan inicialmente por alto. Es una fuente típica de no conformidad.
La ISO 13485 exige disponer de procedimientos documentados para la validación de las aplicaciones informáticas utilizadas en el Sistema de Gestión de la Calidad.
Estas aplicaciones deben validarse antes de su utilización inicial y, cuando corresponda, después de realizar cambios.
El alcance de la validación debe ser proporcional al riesgo asociado a la utilización del propio programa informático.
Pensemos en un eQMS utilizado para aprobar procedimientos, registrar CAPA o gestionar formación. Si el sistema no funciona correctamente podría perder información, utilizar una versión incorrecta de un documento o mostrar erróneamente que una persona ha completado una formación.
Por tanto, adquirir una aplicación comercial no elimina automáticamente la necesidad de analizar y, cuando corresponda, validar su utilización dentro del SGC.
Un ejemplo similar podríamos asociarlo con el ERP de la empresa, cuyo fallo podría perjudicar la obligación de controlar la trazabilidad.
¿Qué documentación exige ISO 13485?
La ISO 13485 establece diferentes niveles de documentación. Entre ellos encontramos:
- política y objetivos de calidad;
- manual de calidad;
- procedimientos y registros exigidos por la norma;
- documentos necesarios para planificar, operar y controlar los procesos;
- documentación requerida por los requisitos regulatorios aplicables.
La extensión de esa documentación dependerá de factores como el tamaño de la organización, las actividades desarrolladas, la complejidad de los procesos y las competencias del personal. En realidad, las últimas versiones de la ISO 13485 de productos sanitarios deja libertad a la organización y habla de “documentación”.
Por tanto, más documentación no significa necesariamente un mejor sistema de calidad. Es importante considerar que la documentación debe ser suficiente para controlar adecuadamente los procesos y demostrar su funcionamiento.
¿La ISO 13485 exige un Manual de Calidad?
Sí, personalmente lo considero la pieza fundamental y el “índice” que permite al lector situarse en la estructura y entender el sistema.
La ISO 13485:2016 requiere expresamente el disponer de un Manual de Calidad. Este debe definir, entre otros aspectos, el alcance del sistema, incluyendo las posibles exclusiones y no aplicaciones debidamente justificadas, así como los procedimientos documentados o referencias a ellos y la interacción entre los procesos del SGC.
En definitiva, el Manual de Calidad deberá permitir comprender de forma relativamente rápida cómo está estructurado el sistema de la organización.
Un buen manual explica cómo responde la empresa a esos requisitos. Documenta una breve introducción que permite comprender cómo la empresa abordad un determinado requisito.
El expediente del producto sanitario
El apartado 4.2.3 introduce otro elemento especialmente relevante: el Medical Device File, que podemos entender como el expediente del producto sanitario dentro del sistema ISO 13485. Se trata de un requisito desarrollado por los Reglamentos MDR e IVDR, pero que el sistema de gestión de calidad ISO 13485 de productos sanitarios requiere desde la base.
Para cada tipo o familia de productos sanitarios, la organización debe establecer y mantener uno o más expedientes para demostrar la conformidad con ISO 13485 y con los requisitos regulatorios aplicables.
Dependiendo del producto, puede incluir o referenciar información relacionada con:
- descripción y uso previsto;
- etiquetado e instrucciones de uso;
- especificaciones del producto;
- fabricación;
- acondicionamiento;
- almacenamiento y manipulación;
- distribución y requisitos regulatorios;
- seguimiento y medición.
No debemos confundir automáticamente este concepto con la documentación técnica exigida por MDR o IVDR. Se trata de requisitos complementarios que pretenden enlazarse, pero responden a marcos documentales diferentes, hay que tenerlo presente.
Documentos y registros: no son lo mismo
Esta diferencia es fundamental. Un documento establece normalmente cómo debe hacerse algo, es enunciativo.
Un procedimiento de control de producto no conforme, por ejemplo, indica cómo debe actuar la organización cuando detecta una no conformidad.
Un registro, en cambio, demuestra (evidencia) lo que realmente ocurrió.
El formulario cumplimentado correspondiente a una no conformidad concreta constituye evidencia de que el proceso fue ejecutado.
Podemos resumirlo de forma sencilla:
- Procedimiento
- establece cómo actuar.
- Registro
- demuestra qué se hizo.
Ambos necesitan control, pero no se gestionan exactamente de la misma manera.
¿Cómo se controlan los documentos?
La ISO 13485 exige un procedimiento documentado para el control documental. Entre otros aspectos, debe garantizarse que los documentos sean revisados y aprobados antes de utilizarse, que los cambios y el estado de revisión sean identificables y que las versiones aplicables estén disponibles donde se necesitan.
Un ejemplo sencillo
Una empresa dispone de la versión 4 de una instrucción de control de la calidad del producto terminado.
Sin embargo, en producción continúa disponible una copia impresa de la versión 2 y un trabajador realiza el control siguiendo esa versión.
Aunque exista una versión 4 correctamente aprobada en el servidor, el sistema de control documental ha fallado.
Controlar documentos no significa únicamente numerarlos y aprobarlos. Significa garantizar que las personas utilizan la información correcta cuando la necesitan.
¿Y los registros?
Los registros deben conservarse como evidencia tanto de la conformidad con los requisitos como del funcionamiento efectivo del sistema.
La organización debe establecer controles para aspectos como:
- identificación;
- almacenamiento;
- seguridad e integridad;
- recuperación y conservación;
- disposición final y puesta a disposición.
También debe protegerse adecuadamente la información sanitaria confidencial que pueda estar contenida en ellos, aunque no es un requisito directamente especificado por la norma, es un requisito que procede de regulaciones específicas.
Un registro debe permanecer identificable, legible y recuperable durante el periodo de conservación correspondiente.
El capítulo 4 es la estructura sobre la que funciona ISO 13485
El Sistema de Gestión de la Calidad ISO 13485 no debería construirse acumulando procedimientos. No se trata de sumar documentos sin control ni criterio
Debe comenzar identificando las actividades de la organización (procesos), los requisitos aplicables, sus interacciones y los controles que necesita cada uno.
A partir de ahí aparece la documentación necesaria para conseguir que el sistema sea controlado, reproducible y demostrable.
El capítulo 4 establece precisamente esa estructura: procesos, documentación, Manual de Calidad, expediente del producto sanitario, control documental y registros.
Pero disponer de esta estructura no es suficiente. Alguien debe decidir hacia dónde se dirige el sistema, proporcionar los recursos necesarios y comprobar periódicamente si realmente funciona.
Y esa responsabilidad corresponde a la dirección de la organización, protagonista del capítulo 5 de ISO 13485.
De esta forma, te recordamos lo especialmente importante que resulta la formación especializada en ISO 13485 para entender los requisitos y abordarlos de la forma más eficaz posible.