Cómo planificar un programa de auditoría interna para ISO 13485 y GMP

La mayoría de los programas de auditoría interna comienzan como una hoja de cálculo con todos los procesos del QMS en una columna y doce meses en la parte superior, con una marca por proceso y año. Parece completo y no convence a nadie que lo examine detenidamente. Un auditor de un organismo notificado o un inspector de la MHRA preguntará por qué el programa tiene ese aspecto, quién auditó qué, qué se encontró y si las medidas correctivas funcionaron. En este artículo se explica cómo crear un programa que responda a esas preguntas: cómo planificar según el riesgo, cómo mantener la independencia de los auditores en un equipo pequeño, cómo redactar listas de verificación que evalúen evidencias, cómo clasificar los hallazgos y qué debe mostrar el registro del programa cuando lo revise alguien externo.

Qué exigen realmente ISO 13485 y las GMP de la UE de un programa de auditoría interna

Los dos marcos establecen requisitos similares con distintas palabras, y conviene conocer ambos si fabrica productos combinados o suministra productos al sector farmacéutico.

La cláusula 8.2.4 de ISO 13485:2016 exige un procedimiento documentado para planificar y realizar auditorías, así como para registrar y comunicar los resultados. El programa de auditoría debe planificarse «teniendo en cuenta el estado y la importancia de los procesos y áreas que se van a auditar, así como los resultados de auditorías anteriores». Los criterios, el alcance, la periodicidad y los métodos deben definirse y registrarse. La selección de los auditores y la realización de las auditorías deben garantizar la objetividad y la imparcialidad, y los auditores no deben auditar su propio trabajo. La dirección responsable del área auditada debe garantizar que las correcciones y las acciones correctivas se lleven a cabo sin demoras indebidas; el seguimiento debe verificar las acciones emprendidas y comunicar los resultados. El texto completo está disponible en la propia norma, en ISO.

Las GMP de la UE denominan a esta misma actividad autoinspección. El capítulo 9 de EudraLex, volumen 4 es breve: el personal, las instalaciones, los equipos, la documentación, la producción, el control de calidad, la distribución, las reclamaciones y retiradas, y la propia autoinspección deben examinarse «a intervalos siguiendo un programa preestablecido». Las autoinspecciones deben ser independientes y detalladas, y realizarlas personas competentes designadas. Toda autoinspección debe registrarse, con todas las observaciones, las propuestas de medidas correctivas y las declaraciones sobre las acciones realizadas posteriormente.

De ello se desprenden dos cosas. En primer lugar, el programa necesita una justificación escrita para cada intervalo. En segundo lugar, ambos textos dan tanta importancia a lo que ocurre después de la auditoría como a la propia auditoría. La autoinspección aparece en su propia lista de áreas que deben examinarse, por lo que también se audita el proceso de auditoría.

Planificación de auditorías internas basada en riesgos

La expresión «estado e importancia» le da permiso y, a la vez, le exige auditar algunas áreas con más frecuencia que otras. Un enfoque viable consiste en puntuar cada proceso o área según varios factores y usar la puntuación para determinar el intervalo.

Establezca tres niveles. Las áreas con puntuaciones altas se auditan al menos dos veces al año; las del nivel intermedio, anualmente; y las del nivel bajo, durante un ciclo de dos o tres años, siempre que nada en el sistema de calidad indique la necesidad de examinarlas antes. La mayoría de los auditores querrán que todas las cláusulas o capítulos aplicables se cubran dentro de un ciclo definido, así que especifique en el procedimiento la duración del ciclo y demuestre la cobertura correspondiente.

A continuación, incorpore factores desencadenantes. Una desviación de etiquetado que haya hecho llegar a un distribuidor un lote mal etiquetado justifica adelantar la auditoría de envasado, independientemente de lo que indicara el plan en enero. Registre el motivo cuando lo haga. Un programa que cambia en respuesta a evidencias y explica cada cambio demuestra que el enfoque basado en riesgos funciona, que es precisamente lo que exige la cláusula 8.2.4.

Una advertencia práctica: planifique solo lo que sus auditores puedan llevar a cabo. Un programa ambicioso con la mitad de las auditorías atrasadas en octubre constituye, por sí mismo, un hallazgo. Es mejor realizar a tiempo menos auditorías, pero más exhaustivas, que tener una cuadrícula completa que se retrasa.

Independencia de los auditores cuando el equipo de calidad es pequeño

«Los auditores no deben auditar su propio trabajo» es fácil de cumplir en una planta grande y complicado en una empresa de cuarenta personas donde el responsable de calidad redactó la mitad de los procedimientos. En este contexto, independencia significa distancia respecto al trabajo en sí; el auditor puede seguir siendo empleado de la empresa. El capítulo 9 lo indica: personas competentes designadas de la propia empresa, con expertos externos como complemento útil.

Tres fórmulas funcionan bien. Las auditorías cruzadas entre departamentos sirven para la mayoría de las áreas: un supervisor de producción audita el almacén, un analista de control de calidad audita la gestión de reclamaciones y un especialista en asuntos regulatorios audita el control de documentos. Puede intercambiar auditores con una planta hermana o con una empresa homóloga mediante un acuerdo de confidencialidad. Para los procesos de los que se ocupa el equipo de calidad —normalmente CAPA, revisión por la dirección, control de documentos y el propio proceso de auditoría—, contrate a un auditor externo durante uno o dos días al año.

Quien audite necesita demostrar su competencia: formación de auditor, haber participado como observador o codirigido algunas auditorías y conocer el área. Incluya esta información en su registro de formación y enumere los auditores cualificados en el programa. Cuando un inspector vea que el responsable de calidad auditó CAPA, la siguiente pregunta será quién audita al responsable de calidad.

Cómo redactar una lista de verificación de auditoría interna que evalúe evidencias

La debilidad más común de las auditorías internas es una lista de verificación formada por preguntas que reproducen el texto de las cláusulas. «¿Existe un procedimiento para evaluar proveedores?» recibe un sí, y la auditoría no descubre nada. Las preguntas deben obligar al auditor a revisar registros y observar el trabajo.

Redacte cada punto de la lista de verificación como una prueba de evidencias. Compare estos ejemplos sobre el control de proveedores:

Las buenas preguntas sobre evidencias siguen un patrón común. Se basan en muestras de registros reales de un periodo definido. Siguen un hilo a través de los límites entre procesos; por ejemplo, desde una reclamación hasta su investigación, la CAPA correspondiente, el SOP actualizado y la formación impartida sobre ese SOP. También incluyen observación: observe un despeje de línea, una secuencia de colocación de ropa de protección o la recepción de una muestra y, después, compare lo observado con el procedimiento.

Considere la lista de verificación una guía de la que el auditor puede apartarse cuando las evidencias indiquen que debe investigar otros aspectos. Reserve espacio para que el auditor registre lo que muestreó, con referencias (números de lote, números de documentos e identificadores de registros), para que alguien pueda reconstruir la auditoría más adelante. Es muy difícil defender un informe de auditoría que diga «registros revisados, conformes» sin referencias a las muestras.

Clasificación uniforme de los hallazgos

Un sistema de clasificación cumple dos funciones: establece la rapidez con que debe resolverse un hallazgo y permite analizar tendencias a lo largo de los años. Muchos fabricantes farmacéuticos adoptan los tres niveles de la MHRA, definidos en gov.uk, en la sección sobre clasificación de hallazgos de inspección. Una deficiencia crítica ha producido, o supone un riesgo significativo de producir, un producto perjudicial para los pacientes. Una deficiencia importante no es crítica, pero, por ejemplo, podría dar lugar a un producto que no se ajuste a su autorización de comercialización o indicar una desviación importante de las GMP; varias deficiencias «de otro tipo» también pueden constituir, en conjunto, una deficiencia importante. La categoría «de otro tipo» incluye desviaciones de las GMP que no pertenecen a ninguna de las otras dos categorías.

Los fabricantes de productos sanitarios suelen utilizar las categorías de no conformidad mayor y menor, además de observaciones, en consonancia con las auditorías de certificación. Ambos enfoques son válidos. Lo importante es que las definiciones estén documentadas, que cada categoría tenga un plazo de respuesta (por ejemplo, un plan en un número determinado de días laborables para las no conformidades mayores y una escalada inmediata para las críticas) y que los auditores las apliquen de forma uniforme. Para armonizar criterios, haga que dos auditores clasifiquen el mismo conjunto de hallazgos anteriores una vez al año y analicen sus discrepancias.

Redacte cada hallazgo como una declaración de hechos que incluya el requisito y las evidencias: qué se exigía, qué se observó y dónde. «El SOP-PRD-014 rev. 6 exige una segunda comprobación del despeje de línea; los registros de lote de los lotes 24-118 y 24-121 no tienen una segunda firma» permite tomar medidas. «Hay que mejorar el despeje de línea» no.

Seguimiento y cierre que satisfagan a un auditor externo

ISO 13485 exige verificar las acciones realizadas y comunicar los resultados de esa verificación. El capítulo 9 pide que se informe de las acciones realizadas posteriormente. En la práctica, el cierre consta de tres partes y cada una necesita su propio registro.

La respuesta corresponde al área auditada: corrección, causa raíz y acción correctiva, con responsables y fechas. Todo aspecto sistémico debe gestionarse mediante el proceso CAPA, no únicamente dentro del registro de auditoría, para que se someta al mismo rigor en el análisis de la causa raíz y a la misma comprobación de eficacia que cualquier otra CAPA.

La verificación corresponde al auditor o al equipo de calidad: ¿se realizó la acción tal como se había descrito? Revise el SOP actualizado, los registros de reciclaje de formación y el nuevo ajuste de la máquina.

La eficacia se comprueba más adelante: ¿se detuvo el problema? Unos meses después, tome una muestra del mismo tipo de registro. Si el hallazgo se refería a la falta de una segunda firma, seleccione un nuevo conjunto de registros de lote y haga el recuento.

Cerrar un hallazgo cuando la acción solo está prevista o cuando la evidencia consiste en un único correo que dice «hecho» es uno de los aspectos que los auditores externos suelen examinar primero. Los hallazgos atrasados deben ser visibles en la revisión por la dirección, junto con los motivos.

Qué debe mostrar el registro del programa

Cuando un auditor de un organismo notificado o un inspector abra su programa de auditoría interna, debería poder ver, sin necesidad de una visita guiada:

• El programa del periodo, con la justificación de cada intervalo y los cambios realizados durante el año, junto con sus motivos.
• La cobertura de todas las cláusulas, capítulos o procesos aplicables a lo largo del ciclo definido.
• Para cada auditoría: el alcance, los criterios, el auditor, su independencia respecto al área, el plan, las referencias de las muestras y el informe.
• Los hallazgos con su clasificación, requisito, evidencia, responsable, fecha de vencimiento y estado.
• Los registros de verificación y eficacia de los hallazgos cerrados, y los enlaces a las CAPA.
• Las auditorías realizadas según el plan, los hallazgos atrasados y las tendencias comunicadas durante la revisión por la dirección.

Si el programa está repartido entre hojas de cálculo, carpetas compartidas y correos electrónicos, reunir toda esa información lleva días, y durante la inspección suelen salir a la luz discrepancias entre las fuentes. El software de auditoría interna que centraliza el programa, las listas de verificación, los hallazgos y el cierre en un único sistema con un registro de auditoría facilita consultar los registros en tiempo real. Esta es la razón principal para dejar atrás las hojas de cálculo cuando el programa supera unas pocas auditorías al año.

En resumen: planifique según los riesgos y documente los motivos, evite que los auditores revisen su propio trabajo, asegúrese de que cada punto de las listas de verificación evalúe un registro real, clasifique los hallazgos de forma uniforme y cierre únicamente aquello que haya verificado. Un programa concebido de esta manera suele resistir bien el examen de un inspector.

Si quiere gestionar el programa, las listas de verificación, los hallazgos y el cierre en un mismo lugar con un registro de auditoría de solo anexado, descubra cómo InnoQualis gestiona las auditorías internas.