CAPA según ISO 13485: qué exigen realmente las cláusulas 8.5.2 y 8.5.3
Un análisis cláusula por cláusula de las acciones correctivas y preventivas según ISO 13485:2016, los datos que deberían alimentarlas y qué revisa un auditor de un organismo notificado en un expediente de CAPA.
La mayoría de los fabricantes de dispositivos médicos ya cuenta con un procedimiento de CAPA. El problema suele empezar cuando el auditor del organismo notificado selecciona al azar tres registros de CAPA y los revisa de principio a fin. Una causa raíz que dice «error del operador», un plan de acción que dice «volver a formar» y un cierre aprobado dos semanas después sin pruebas de que nada haya cambiado. Este artículo recorre lo que ISO 13485:2016 exige realmente en las cláusulas 8.5.2 y 8.5.3, en qué se diferencian en la práctica las acciones correctivas y preventivas, qué datos deberían alimentar su proceso de CAPA, cómo ajustar el esfuerzo al riesgo y qué busca un auditor al abrir un expediente de CAPA.
Qué exige la cláusula 8.5.2 de ISO 13485 para las acciones correctivas
La cláusula 8.5.2 exige tomar medidas para eliminar la causa de las no conformidades y evitar que se repitan, y hacerlo sin demora indebida. Las medidas deben ser proporcionales a los efectos de las no conformidades detectadas. Es necesario contar con un procedimiento documentado que abarque una secuencia específica:
- Revisar las no conformidades, incluidas las quejas de los clientes.
- Determinar las causas de las no conformidades.
- Evaluar la necesidad de tomar medidas para garantizar que las no conformidades no se repitan.
- Planificar, documentar e implementar las medidas necesarias, incluida la actualización de la documentación cuando sea preciso.
- Verificar que la acción correctiva no afecte negativamente a la capacidad de cumplir los requisitos reglamentarios aplicables ni a la seguridad y el rendimiento del dispositivo.
- Revisar la eficacia de la acción correctiva adoptada.
Los registros de los resultados de cualquier investigación y de las medidas adoptadas deben conservarse conforme a los requisitos de control de registros de la cláusula 4.2.5.
Dos palabras de esa lista tienen más peso del que parece a primera vista. «Evaluar», en el paso tres, significa que la norma prevé que algunas no conformidades se cierren sin una CAPA. Un único alojamiento rayado detectado en la inspección final y gestionado según la cláusula 8.3, Control de los productos no conformes, quizá solo requiera una corrección y una nota en el registro de tendencias. Lo que la norma no permite es omitir la evaluación. La decisión de no abrir una CAPA también debe registrarse, junto con el motivo.
El paso cinco es el que peor suelen gestionar los procedimientos. Si la acción correctiva modifica un parámetro de proceso, un proveedor, una etiqueta o el diseño del dispositivo, hay que demostrar que el cambio no genera un nuevo problema. En el caso de una acción relacionada con el diseño, esto suele implicar el control de cambios de diseño de la cláusula 7.3.9 y una actualización del expediente de gestión de riesgos. Una CAPA que cambia discretamente un ajuste de par en una línea de montaje sin evaluar si el nuevo ajuste afecta a la integridad del sellado habrá cumplido los pasos uno a cuatro, pero habrá incumplido el paso cinco.
Cláusula 8.5.3: las acciones preventivas se ocupan de posibles no conformidades
La cláusula 8.5.3 refleja la cláusula sobre acciones correctivas, pero con una diferencia de alcance. Las acciones preventivas abordan posibles no conformidades y sus causas antes de que se produzca un problema. El procedimiento debe contemplar la determinación de posibles no conformidades y sus causas, la evaluación de la necesidad de tomar medidas, su planificación, documentación e implementación, la verificación de que no afecten negativamente al cumplimiento normativo ni a la seguridad y el rendimiento del dispositivo, y la revisión de su eficacia.
En la práctica, las acciones preventivas suelen surgir del análisis de datos. Una tendencia al alza de lecturas fuera de tolerancia en un molde que todavía cumple las especificaciones puede ser candidata a una acción preventiva. También lo es un hallazgo en una línea de producción que aún no se ha observado en las otras dos líneas que utilizan el mismo proceso, o una auditoría de proveedores que revele que su programa de calibración está perdiendo rigor, aunque ninguno de los productos suministrados haya fallado en la inspección de recepción.
La distinción es importante porque los auditores revisan la clasificación. Si todas las CAPA de su registro son correctivas, esto sugiere que la organización solo reacciona ante fallos y que el análisis de datos de la cláusula 8.4 no está produciendo resultados. Si clasifica algo como preventivo cuando claramente se produjo después de un fallo, parece un intento de suavizar el registro. La prueba honesta es sencilla: ¿ya se ha producido la no conformidad en este producto, proceso o sistema? Si la respuesta es sí, es correctiva. Si se está extendiendo una solución a lugares donde aún no ha ocurrido, esa extensión es preventiva y es razonable registrar ambas acciones en una misma CAPA.
La acción correctiva, la corrección y la contención son cosas distintas
ISO 13485 utiliza las definiciones de ISO 9000, y el Reglamento MDR de la UE define la acción correctiva en el artículo 2(67) como «la acción tomada para eliminar la causa de una no conformidad potencial o real u otra situación indeseable». La palabra clave es causa.
Pensemos en un lote de paños quirúrgicos estériles mal etiquetado, cuya caja exterior muestra una fecha de caducidad incorrecta. Poner el lote en cuarentena y volver a etiquetarlo es una corrección: resuelve el problema del producto no conforme. Comprobar los dos lotes etiquetados con la misma impresora esa semana es una medida de contención. Determinar que la plantilla de la etiqueta toma la fecha de caducidad de un campo que el equipo de planificación puede sobrescribir y bloquear ese campo es una acción correctiva. Muchos registros de CAPA se detienen en la corrección y la dan por concluida; son precisamente esos registros los que harán que un auditor se detenga.
Los datos que deberían alimentar el proceso de CAPA
Un sistema de CAPA que solo recibe hallazgos de auditoría está desprovisto de información. ISO 13485 vincula la CAPA con varias otras cláusulas, y cada una de ellas es una fuente de datos:
| Fuente | Cláusula de ISO 13485:2016 | Desencadenante habitual |
|---|---|---|
| Quejas | 8.2.2 | Categoría de quejas recurrente o cualquier queja con un componente de seguridad |
| Comentarios y datos poscomercialización | 8.2.1 | Señales de la vigilancia poscomercialización |
| Producto no conforme | 8.3 | No conformidad recurrente o una única no conformidad con un riesgo significativo |
| Auditorías internas | 8.2.4 | Hallazgos graves y hallazgos menores recurrentes |
| Seguimiento de procesos y productos | 8.2.5, 8.2.6 | Resultados fuera de tendencia, descenso de la capacidad |
| Análisis de datos | 8.4 | Tendencias entre proveedores, quejas y no conformidades |
| Rendimiento de proveedores | 7.4 | Rechazos recurrentes en la recepción de mercancías |
| Revisión por la dirección | 5.6 | Resultados que requieren medidas de mejora |
Para los fabricantes sujetos al MDR de la UE, el reglamento añade sus propios requisitos. El Reglamento (UE) 2017/745 incluye la «gestión de las acciones correctivas y preventivas y la verificación de su eficacia» en el artículo 10(9)(l), entre los aspectos que debe abordar el sistema de gestión de la calidad. El artículo 83(3)(e) establece que los datos de vigilancia poscomercialización deben utilizarse para identificar la necesidad de acciones preventivas, correctivas o correctivas de seguridad en campo. El artículo 83(4) exige al fabricante implementar las medidas apropiadas e informar a las autoridades competentes y, cuando proceda, al organismo notificado cuando se identifique esa necesidad. El plan de vigilancia poscomercialización y el procedimiento de CAPA deberían hacer referencia explícita el uno al otro.
Los fabricantes de medicamentos reconocerán la misma estructura en la sección 3.2.2 de ICH Q10, que enumera las quejas, los rechazos de productos, las no conformidades, las retiradas, las desviaciones, las auditorías, las inspecciones reglamentarias y las tendencias del rendimiento de procesos y del seguimiento de la calidad de los productos como fuentes para las CAPA.
Proporcionalidad: ajustar la CAPA al riesgo
Las cláusulas 8.5.2 y 8.5.3 exigen que las medidas sean proporcionales a los efectos de la no conformidad. La cláusula 4.1.2 pide aplicar un enfoque basado en riesgos al control de los procesos del QMS, y la CAPA es uno de ellos. La proporcionalidad es un aspecto en el que los fabricantes pequeños suelen equivocarse en ambas direcciones: una investigación completa de ocho disciplinas por una errata en una instrucción de trabajo y un registro de tres líneas por una queja relativa a un dispositivo que falla durante el uso.
Un enfoque viable consiste en decidir la profundidad de la investigación al abrir la CAPA, utilizando la misma escala de gravedad que el expediente de gestión de riesgos. Una CAPA relacionada con un peligro que tenga una clasificación de daño grave requiere un método formal de análisis de causa raíz, un equipo multifuncional, una evaluación de riesgos documentada de la medida propuesta y una verificación de eficacia con criterios definidos. Una CAPA por una no conformidad documental sin impacto en el producto puede incluir un análisis breve de la causa y una comprobación más sencilla. Incluya los niveles en el procedimiento para que la decisión sea coherente y el auditor pueda ver por qué dos registros de CAPA son tan distintos.
La puntualidad también es importante. La norma dice «sin demora indebida», pero no establece un plazo en días. Defina plazos objetivo por nivel en el procedimiento, haga un seguimiento y registre el motivo cuando una CAPA se retrase. Una CAPA vencida con un motivo documentado y una medida provisional de contención es defendible. Una CAPA vencida que nadie ha revisado en cuatro meses no lo es.
Qué busca un auditor de un organismo notificado en un expediente de CAPA
Cuando un auditor de un organismo notificado audita su QMS, la CAPA es uno de los procesos que casi siempre seleccionará para una revisión por muestreo, y suele remontarse a los datos de origen. Selecciona una queja, un informe de no conformidad o un hallazgo de auditoría interna y lo sigue de principio a fin. Las preguntas son previsibles, y un buen expediente de CAPA las responde sin que nadie en la sala tenga que explicarlo.
Querrá ver una descripción del problema lo suficientemente precisa como para que alguien ajeno al equipo entienda qué ocurrió, dónde y con cuántas unidades. Buscará una investigación que haya llegado a una causa respaldada por pruebas y cuestionará «error humano» como causa raíz, salvo que pueda demostrar por qué el proceso permitió ese error. Comprobará si se evaluó el alcance: si la causa estaba en el proceso de un proveedor, ¿se revisaron otras piezas de ese proveedor? Verificará que las medidas hayan cambiado algo duradero, como un documento, un utillaje, una especificación o un ajuste del sistema, y que los documentos modificados hayan pasado por el control documental. Buscará la verificación del paso cinco que confirme que la medida no perjudicó la seguridad o el rendimiento del dispositivo, así como un vínculo con el expediente de gestión de riesgos cuando el riesgo se haya visto afectado. Por último, leerá la revisión de eficacia y comparará la fecha de cierre con la fecha de implementación.
También revisará el registro de CAPA en su conjunto. Muchos registros con la misma categoría de causa raíz, una larga lista de elementos vencidos o la ausencia total de acciones preventivas pueden constituir hallazgos por sí mismos. Las acciones correctivas y preventivas son una entrada obligatoria para la revisión por la dirección según la cláusula 5.6.2, por lo que el auditor también esperará que los registros de revisión por la dirección demuestren que se analiza y se actúa sobre el estado de las CAPA.
Documentación de CAPA que resiste una auditoría
Un registro de CAPA que resiste una auditoría suele incluir la fuente y la referencia del evento desencadenante, la descripción del problema, la decisión sobre el nivel basada en el riesgo, el método de investigación y las pruebas, la causa raíz, la evaluación del alcance, el plan de acción con responsables y fechas límite, las pruebas de implementación —incluidos los números de revisión de los documentos—, la verificación de que la medida no afecta negativamente a la seguridad y el rendimiento, los criterios de eficacia establecidos antes del cierre, el resultado de eficacia y la aprobación del cierre. Si alguno de estos elementos solo existe en un hilo de correo electrónico, el auditor lo considerará ausente.
El hábito más útil es establecer los criterios de eficacia en el momento de aprobar el plan de acción, antes de que nadie sepa cómo resultará. Esto obliga al equipo a definir cómo se ve el éxito e impide que el cierre se convierta en una mera formalidad.
Esta semana, seleccione sus tres registros de CAPA abiertos más antiguos y léalos como lo haría un auditor, desde el desencadenante hasta el cierre, sin que nadie se los explique. Siempre que tenga que completar una laguna de memoria, el registro necesita corregirse. Si desea que estos pasos, responsables y revisiones de eficacia queden reunidos en un solo lugar con un registro de auditoría de solo anexado, descubra cómo InnoQualis gestiona las CAPA.
