Cómo elegir un eQMS para ISO 13485: lista de verificación para fabricantes de dispositivos
Qué probar durante una evaluación, qué pruebas de validación pedir al proveedor y cómo proteger sus datos al importarlos y exportarlos al elegir un eQMS para ISO 13485.
Es fabricante de dispositivos, cuenta con entre diez y doscientas personas, tiene un certificado ISO 13485 y un sistema de calidad que reside en una unidad compartida, algunas hojas de cálculo y mucha buena voluntad. La última auditoría de seguimiento salió bien, pero dos personas tardaron una semana en reunir las pruebas, y la matriz de formación ya estaba desactualizada cuando se imprimió. Ha decidido evaluar un sistema electrónico de gestión de la calidad. Este artículo le ofrece una lista de verificación para compradores de un eQMS conforme a ISO 13485: qué probar durante una evaluación, cuánta validación exige realmente la norma, qué documentación pedir al proveedor, cómo proteger sus datos al importarlos y exportarlos, y cómo dejar atrás el papel sin llevarse consigo el desorden.
Qué exige ISO 13485 al propio software
Antes de examinar cualquier producto, tenga claro qué exige la norma a la herramienta, porque esto condiciona todo lo demás.
La cláusula 4.1.6 de ISO 13485:2016 exige procedimientos documentados para validar las aplicaciones de software informático utilizadas en el sistema de gestión de la calidad. La validación se realiza antes del primer uso y, según corresponda, después de efectuar cambios en el software o en su aplicación; además, el enfoque debe ser proporcional al riesgo asociado al uso del software. Deben conservarse registros de este trabajo. Un eQMS está claramente comprendido en esta cláusula: contendrá sus documentos controlados, sus registros CAPA y sus pruebas de formación.
Las cláusulas 4.2.4 (control de documentos) y 4.2.5 (control de registros) establecen el nivel funcional mínimo. Los documentos deben revisarse y aprobarse antes de su emisión, los cambios deben identificarse, las revisiones vigentes deben estar disponibles en el punto de uso y debe evitarse el uso no intencionado de documentos obsoletos. Los registros deben mantenerse legibles, identificables y recuperables, y conservarse al menos durante la vida útil del dispositivo, según usted la defina, y nunca menos de dos años desde su lanzamiento. Si vende en la UE, el artículo 10(8) del Reglamento MDR de la UE (Reglamento 2017/745) añade que la documentación técnica y la declaración de conformidad deben estar disponibles durante al menos 10 años después de que el último dispositivo se comercialice, y durante 15 años en el caso de los implantables. El contrato del eQMS y su plan de salida deben cubrir esos períodos, que casi con toda seguridad superarán la duración del propio contrato.
Por último, un eQMS en la nube es un servicio adquirido, por lo que la cláusula 7.4 (compras) se aplica al proveedor igual que a una empresa de moldeo. Necesita criterios documentados para evaluarlo y seleccionarlo, y los controles que aplique deben ser proporcionales al riesgo.
Pruebe sus propios procesos durante la evaluación
La mayoría de las demostraciones presentan el camino ideal con datos de ejemplo. Una evaluación solo tiene valor si prueba sus propios escenarios, con su propio personal, e intenta encontrar fallos. Elija tres o cuatro eventos reales del último año y reprodúzcalos. La tabla siguiente es un punto de partida.
| Área | Qué probar | Qué aspecto tiene un buen resultado |
|---|---|---|
| Control de documentos (4.2.4) | Revisar un PNT existente: redactarlo, someterlo a revisión de dos personas, aprobarlo y fijar una fecha futura de entrada en vigor | La versión anterior sigue vigente hasta la nueva fecha y después se retira automáticamente de uso; el motivo del cambio y las personas que lo aprobaron están visibles en el registro |
| Control de documentos | Pedir a alguien que abra una revisión obsoleta desde un enlace guardado en marcadores | No puede hacerlo o la revisión está claramente marcada como sustituida |
| Formación (6.2) | Hacer que entre en vigor la revisión del PNT anterior | Todas las personas cuyo puesto requiere ese PNT reciben una tarea de formación; la matriz muestra quién tiene la formación atrasada sin necesidad de actualizarla manualmente |
| CAPA (8.5.2) | Abrir una CAPA a raíz de una no conformidad de un proveedor, registrar la causa raíz, añadir acciones con responsables y fechas de vencimiento y, después, registrar una comprobación de eficacia | Puede mostrar toda la cadena en un solo lugar: desencadenante, investigación, acciones, verificación de que las acciones no afectaron negativamente a la capacidad del dispositivo para cumplir los requisitos y cierre |
| Pista de auditoría | Cambiar una fecha de vencimiento y un campo de causa raíz y, después, consultar el historial | Puede ver quién cambió qué, cuándo, los valores anteriores y nuevos y el motivo, sin tener que pedir ayuda a un administrador |
| Firmas electrónicas | Aprobar un documento e intentar editarlo después | La firma muestra el nombre de quien firmó, la fecha y la hora, y su significado («aprobado», «revisado»); cualquier modificación posterior a la firma obliga a crear una nueva revisión o invalida la firma |
| Informes | Generar la lista de CAPA abiertas con más de 90 días y el nivel de finalización de la formación de un departamento | Se hace en cuestión de minutos y no hace falta exportar los datos a una hoja de cálculo para terminar |
Dos pruebas permiten detectar más sistemas deficientes que cualquier otra. La primera es el cambio en la fecha de entrada en vigor: muchas herramientas aprueban un documento sin problemas, pero luego dejan ambas versiones vigentes. La segunda es la pista de auditoría de un registro que se ha editado varias veces. Si el historial solo muestra «registro actualizado» sin detalles a nivel de campo, su auditor verá lo mismo.
Incluya a una persona responsable de redactar documentos, a una persona responsable de CAPA en la planta y a quien gestione las auditorías internas. Si las personas que usarán el sistema a diario lo consideran lento, buscarán soluciones alternativas, y esas soluciones son las que aparecerán durante la auditoría.
¿Cuánta validación es suficiente?
La cláusula 4.1.6 dice que la validación debe ser proporcional al riesgo, y esa es su expresión más útil. Un eQMS comercial configurado está muy lejos del software desarrollado a medida, y tratarlo como tal da lugar a carpetas llenas de capturas de pantalla que nadie lee.
El enfoque GAMP 5 de ISPE es una forma sólida de estructurar el análisis, aunque se haya redactado para sistemas farmacéuticos GxP. Clasifica la mayoría de los productos eQMS como software configurado (categoría 4), y su segunda edición (2022) hace hincapié en el pensamiento crítico y en aprovechar las pruebas del propio proveedor, en lugar de repetirlas. En la práctica, esto da lugar a un paquete de validación como el siguiente:
- Una declaración de uso previsto: qué procesos de ISO 13485 respalda el sistema y cuáles no.
- Un conjunto breve de requisitos de usuario, redactados en función de sus propios procesos.
- Una evaluación de riesgos que indique qué requisitos podrían afectar a la calidad del producto, el cumplimiento normativo o la integridad de los registros en caso de fallo.
- Sus propias pruebas para las partes configuradas de alto riesgo: sus flujos de trabajo de documentos, rutas de aprobación, estados de CAPA y permisos de usuario.
- Una declaración de confianza en el proveedor para el resto, respaldada por pruebas del proveedor que usted haya revisado realmente.
- Un informe resumido de validación y un procedimiento para evaluar cada nueva versión.
Este último punto es más importante que antes. Un eQMS en la nube cambia varias veces al año. Decida ahora cómo se enterará de las nuevas versiones, cómo evaluará su impacto y cuándo un cambio requerirá nuevas pruebas. Una versión que modifique el flujo de aprobación debe probarse; un nuevo esquema de colores, no.
Qué pedir al proveedor
La evaluación del proveedor conforme a la cláusula 7.4 requiere pruebas, y las respuestas del proveedor también son la materia prima de su declaración de confianza. Pídale lo siguiente por escrito:
- Una descripción de su ciclo de vida de desarrollo de software y del sistema de calidad en el que se basa, incluidos los certificados pertinentes y su alcance.
- Las notas de las últimas versiones y su política de notificación de cambios, incluido el plazo de aviso que recibirá.
- Un resumen de sus pruebas internas de funciones básicas, como la pista de auditoría, las firmas electrónicas y el control de acceso.
- Una descripción de los eventos que registra la pista de auditoría y de si alguien, incluidos sus propios administradores, puede alterarla.
- La ubicación del alojamiento, una lista de subencargados del tratamiento y una descripción de cómo gestionan las copias de seguridad y las pruebas de restauración.
- Un resumen reciente de una evaluación de seguridad independiente.
- Su disposición a firmar un acuerdo de calidad y aceptar una auditoría del proveedor, remota o presencial.
- Su proceso de salida documentado y los formatos de exportación admitidos.
Lea las respuestas y compruebe que sean específicas. Si un proveedor responde en dos líneas al punto 4, probablemente no lo ha analizado. Si envía un documento que describe exactamente qué eventos quedan registrados, con ejemplos de resultados, sí lo ha hecho.
Ubicación, conservación y salida de los datos
Pregunte dónde se almacenan sus datos, incluidas las copias de seguridad y el acceso del personal de asistencia. Para los fabricantes del Reino Unido y la UE, conservar los registros de calidad en la UE o el Reino Unido simplifica el cumplimiento del RGPD y evita preguntas incómodas de clientes que, a su vez, realizan auditorías.
La pregunta más difícil es la de la salida. Sus registros deben conservarse durante años después de la finalización del contrato, y usted debe poder presentarlos a un organismo notificado o una autoridad competente mucho después de dejar de pagar. Durante la evaluación, realice una exportación y ábrala. Compruebe que incluya:
- Todas las revisiones de cada documento, incluidas las sustituidas, en un formato legible.
- Los archivos adjuntos en su formato de archivo original.
- Las entradas de la pista de auditoría y los datos de las firmas (quién firmó, cuándo y qué significaba la firma), junto con los registros correspondientes.
- Los registros de formación, con las fechas y la revisión del documento en la que se formó cada persona.
Si la exportación consiste en un conjunto de tablas de base de datos que solo el proveedor puede interpretar, sus registros solo serán recuperables mientras el proveedor exista y colabore. Incluya en el contrato el formato de exportación, el plazo para realizar una exportación completa al finalizar el contrato y la fecha en que se eliminarán sus datos.
Dejar atrás el papel y las hojas de cálculo
La tentación es migrarlo todo. Resístala. Trasladar quince años de procedimientos sustituidos y CAPA cerradas a un sistema nuevo lleva mucho tiempo, añade trabajo de validación para la propia migración y no aporta al auditor nada que no pueda consultar en su archivo actual.
Para la mayoría de los fabricantes pequeños y medianos, es mejor fijar una fecha de transición y tratarla como cualquier otro cambio controlado. Importe los documentos vigentes, cada uno con una referencia al historial de revisiones previo en el archivo antiguo. Deje que las CAPA y desviaciones abiertas se cierren en el sistema donde se iniciaron, salvo que sean de larga duración; en ese caso, mígrelas e incluya una nota con el historial acumulado hasta la fecha. Cargue la matriz de formación actual y el estado de formación de cada persona con respecto a las revisiones vigentes, y conserve los registros históricos de formación en el archivo. Compruebe una muestra de los registros migrados comparándolos con los originales, documente la comprobación y confirme que no se alteró ningún valor ni significado durante la transferencia.
Después, proteja el archivo. Los expedientes en papel y la antigua unidad compartida siguen siendo registros de calidad conforme a la cláusula 4.2.5 y están sujetos al mismo período de conservación. Configúrelos como solo lectura, registre dónde se encuentran e inclúyalos en su procedimiento de gestión de registros.
Planifique un período híbrido breve y procure que lo sea. Mantener dos sistemas documentales en paralelo durante meses es una forma segura de que acabe usándose en la línea la revisión incorrecta.
Conclusión
El eQMS que merece la pena comprar es el que supera sus propios escenarios; la cantidad de funciones que enumera le dice muy poco. Pruebe el cambio en la fecha de entrada en vigor, la pista de auditoría a nivel de campo y la exportación antes de firmar; pida pruebas que le permitan confiar en las pruebas del proveedor; y acuerde las condiciones de salida en el contrato mientras aún tiene poder de negociación. Un sistema elegido de esta manera requerirá menos esfuerzo de validación y responderá mejor en su próxima auditoría.
Si desea probar estos escenarios con un sistema diseñado para fabricantes de dispositivos, el enfoque de InnoQualis para dispositivos médicos abarca el control de documentos, la formación, CAPA, las desviaciones y las auditorías internas, con una pista de auditoría de solo adición y alojamiento en la UE.
