Una de las dudas más frecuentes durante la implantación o mantenimiento de un Sistema de Gestión de Calidad conforme a ISO 13485 es la siguiente: ¿Cuándo hay que validar el software utilizado para gestionar el sistema?
Veamos qué exige realmente la normativa y cómo aplicarlo de forma práctica.
Qué dice ISO 13485
La norma ISO 13485 establece que cuando se utilice software en el Sistema de Gestión de Calidad, la organización debe validar su aplicación antes de su uso inicial y, cuando proceda, tras cambios en dicho software.
El objetivo es: Demostrar que el software funciona correctamente para el uso previsto y que no compromete la calidad del producto ni el cumplimiento regulatorio.
Muchas empresas interpretan que la validación de software solo aplica a programas utilizados en fabricación o control de calidad.
Sin embargo, la exigencia también alcanza a herramientas utilizadas dentro del propio Sistema de Gestión de Calidad, siempre que impacten en el producto sanitario.
Por ejemplo:
- Gestión documental.
- Gestión de reclamaciones.
- Gestión CAPA.
- Formación.
- Auditorías.
- Gestión de riesgos.
- Control de cambios.
- Seguimiento de acciones.
Por tanto, la pregunta no es:
“¿Es un software de calidad?”
La pregunta correcta es:
“¿Lo estoy utilizando para cumplir requisitos de mi Sistema de Gestión de Calidad?”
Si la respuesta es sí, debemos evaluar la necesidad de validación.
¿Qué programas suelen requerir validación?
Gestión documental
ERP utilizados dentro del SGC. Ejemplos:
- Odoo.
- SAP.
- Microsoft Dynamics.
- Business Central.
Especialmente cuando gestionan:
- Trazabilidad.
- Formación.
- No conformidades.
- Acciones CAPA.
- Registros de calidad.
Seguimiento poscomercialización
Si se utiliza para:
- Registrar reclamaciones.
- Analizar tendencias.
- Gestionar incidentes.
debería considerarse dentro del alcance de validación.
Bases de datos desarrolladas internamente
Este es uno de los casos más olvidados.
Una base de datos en Access o una aplicación creada por la propia empresa puede requerir incluso más atención que un software comercial.
Cómo decidir si debe validarse
Una forma sencilla consiste en valorar tres preguntas:
1. ¿Genera o mantiene registros de calidad?
Si la respuesta es sí, aumenta la necesidad de validación.
2. ¿Puede un fallo afectar al cumplimiento regulatorio?
Por ejemplo:
- Pérdida de registros.
- Uso de documentos obsoletos.
- Errores en la trazabilidad.
3. ¿Las decisiones dependen de los resultados generados por el software?
Si el software influye en decisiones de calidad o regulatorias, la validación cobra especial importancia.
Qué espera ver un auditor
Contrariamente a lo que muchas empresas creen, un auditor no suele esperar protocolos complejos de cientos de páginas.
Lo que normalmente busca es evidencia de que:
- Se ha identificado el software utilizado.
- Se ha evaluado su criticidad.
- Se ha definido el uso previsto.
- Se ha comprobado que funciona correctamente.
- Existen registros de dicha comprobación.
En muchos casos, una validación basada en riesgos es suficiente y perfectamente defendible.
Errores frecuentes
Validar todo por igual
No tiene sentido dedicar el mismo esfuerzo a validar un ERP crítico que una hoja Excel utilizada de forma ocasional.
No reevaluar tras cambios
Las actualizaciones importantes pueden requerir una revisión o revalidación parcial.
Olvidar software desarrollado internamente
Las herramientas propias suelen presentar más riesgos que los productos comerciales ampliamente implantados.
No documentar las evidencias
Aunque el software funcione correctamente, si no existen registros, será difícil demostrar el cumplimiento ante una auditoría.
Conclusión
La validación de software no depende del nombre de la herramienta ni de su coste. Depende de cómo se utiliza dentro del Sistema de Gestión de Calidad y del riesgo que tendría un fallo sobre la calidad del producto o el cumplimiento normativo.
Si tu organización utiliza software para gestionar documentos, CAPAs, formación, reclamaciones, riesgos o cualquier otro proceso del SGC, conviene evaluar formalmente si requiere validación y cuál debe ser el nivel de evidencia necesario.
Una validación proporcionada al riesgo suele ser suficiente para cumplir con ISO 13485 y afrontar auditorías con tranquilidad.