Gestión de riesgos de calidad en la práctica: aplicación de ICH Q9(R1)
Qué cambió con la revisión de 2023 de ICH Q9, cómo elegir FMEA, clasificación de riesgos o HACCP en función de la decisión, y cómo vincular los riesgos con las desviaciones, el control de cambios y CAPA.
La mayoría de los equipos de calidad ya cuenta con un procedimiento operativo estándar (SOP) de gestión de riesgos, una plantilla de hoja de cálculo FMEA y una matriz de cinco por cinco. También tienen un montón de evaluaciones de riesgos redactadas después de tomar la decisión, puntuadas por quienes estaban presentes y que nunca se volvieron a consultar. Si se pregunta «muéstreme cómo influyó el riesgo en esta decisión», la respuesta honesta es que la decisión se tomó primero.
Este artículo aborda esa brecha. Explica qué cambió con la revisión de 2023 de ICH Q9, qué nivel de formalidad merece una cuestión de riesgos, cómo elegir entre FMEA, clasificación de riesgos y HACCP, y cómo integrar la gestión de riesgos de calidad en las desviaciones, el control de cambios y CAPA. Concluye explicando en qué se diferencia de ISO 14971 para fabricantes de dispositivos y productos combinados.
Qué cambió con ICH Q9(R1) en 2023
ICH Q9(R1) fue adoptada por ICH en enero de 2023 y entró en vigor en la UE en julio de 2023. El modelo del proceso no ha cambiado: evaluación de riesgos (identificación de peligros, análisis y evaluación), control de riesgos, comunicación de riesgos y revisión de riesgos. Lo que cambió son las directrices sobre cómo aplicarlo.
Subjetividad. La nueva sección 5.3 señala claramente que la subjetividad puede afectar a todas las etapas, especialmente a la identificación de peligros y a la estimación de la probabilidad y la gravedad. Enumera las causas: diferencias en la percepción de los peligros y daños por parte de las partes interesadas, preguntas sobre riesgos mal definidas y herramientas con escalas de puntuación mal diseñadas. Reconoce que la subjetividad no puede eliminarse y pide controlarla prestando atención a los sesgos y las suposiciones, utilizando las herramientas correctamente y aprovechando al máximo los datos pertinentes.
Formalidad. La sección 5.1 elimina la antigua distinción entre formal e informal. La formalidad es un continuo, y el punto en el que se sitúa depende de tres factores: incertidumbre (cuánto se desconoce sobre los peligros y daños), importancia (cuánto afecta la decisión a la calidad del producto) y complejidad. También señala, literalmente, que las limitaciones de recursos no deben utilizarse para justificar un nivel de formalidad menor.
Toma de decisiones basada en riesgos. La sección 5.2 describe tres formas de tomar decisiones: análisis muy estructurado de opciones, decisiones menos estructuradas basadas en los conocimientos existentes y decisiones basadas en reglas cuando un SOP ya establece el resultado. Las tres son válidas. Lo importante es saber cuál se está utilizando y por qué.
Disponibilidad del producto. El primer principio ahora señala que el riesgo para la calidad incluye situaciones que pueden afectar a la disponibilidad del producto y causar daños a los pacientes. La sección 6.1 considera los problemas de calidad y fabricación una causa significativa de escasez y enumera los factores que deben vigilarse: variabilidad del proceso y estado de control, antigüedad de las instalaciones y los equipos, y supervisión de las actividades externalizadas y los proveedores.
También hay cambios menores. En la descripción del proceso, «identificación de riesgos» pasó a ser «identificación de peligros». La sección sobre revisión de riesgos sigue exigiendo revisar la evaluación original cuando eventos previstos (revisión del producto, auditorías, control de cambios) o imprevistos (investigaciones de fallos, retiradas) puedan afectar a la decisión original, algo que es fácil pasar por alto.
Determinar el nivel de formalidad que requiere una cuestión de riesgos
Convierta la sección 5.1 en una breve herramienta de decisión dentro de su procedimiento de QRM, para que la elección del nivel de formalidad se haga conscientemente y quede documentada:
| Situación | Nivel de formalidad habitual | Cómo se aplica |
|---|---|---|
| Riesgo conocido y regla ya establecida en un SOP (por ejemplo, una excursión de temperatura dentro de los límites validados) | Basado en reglas | Aplicar el SOP; la decisión queda registrada en la desviación o el registro correspondiente |
| Proceso conocido, importancia moderada, poca incertidumbre (por ejemplo, sustituir una pieza por otra equivalente) | Menor | Las preguntas sobre riesgos se responden dentro del formulario de cambio o desviación; no se necesita un informe independiente |
| Decisión importante, con cierta incertidumbre (por ejemplo, liberar un lote tras una excursión menor del proceso) | Medio | Evaluación estructurada con escalas definidas, participación de al menos dos áreas y justificación documentada |
| Gran importancia, mucha incertidumbre o complejidad (por ejemplo, una nueva línea aséptica, un nuevo fabricante contratado, un producto crítico para evitar escasez) | Mayor | Equipo multifuncional, herramienta reconocida como FMEA, facilitador, informe independiente y revisión de riesgos programada |
Hay dos aspectos más importantes que la redacción de la tabla. Primero, documente por qué eligió ese nivel de formalidad. «Formalidad menor: pieza equivalente, mismo proveedor, mismo certificado de material, sin cambios en el estado cualificado» ocupa una línea y responde a la primera pregunta del inspector. Segundo, una formalidad baja no significa que no se haya hecho el análisis. ICH Q9(R1) indica que el trabajo con menor formalidad puede documentarse en otras partes del sistema de calidad. No puede omitirse.
Elegir la herramienta: FMEA, clasificación de riesgos o HACCP
El Anexo I de ICH Q9(R1) enumera las herramientas habituales: métodos básicos de facilitación, como diagramas de flujo y diagramas de espina de pescado; FMEA; FMECA; análisis de árbol de fallos; HACCP; HAZOP; análisis preliminar de peligros; y clasificación y filtrado de riesgos. Utilizar FMEA como opción predeterminada para todo produce hojas de cálculo enormes para cuestiones pequeñas y transmite a las personas la idea de que la evaluación de riesgos es mero papeleo. Elija la herramienta en función de la pregunta.
FMEA es adecuada cuando se necesita dividir un proceso o equipo en etapas y preguntarse cómo puede fallar cada una. Una nueva línea de compresión de comprimidos, una línea de envasado con un nuevo sistema de visión o un proceso de limpieza para una instalación compartida son buenos candidatos. Para aplicarla, es necesario que participen personas que conozcan el proceso.
La clasificación y el filtrado de riesgos son adecuados cuando se necesita comparar elementos distintos con una misma escala. Priorizar proveedores para auditorías, decidir qué desviaciones abiertas requieren primero recursos de investigación o clasificar SOP para su revisión periódica son problemas de clasificación. ICH Q9(R1) utiliza como ejemplo la priorización de centros para auditorías.
HACCP es adecuada cuando los peligros son físicos, químicos o microbiológicos y es posible identificar puntos de control con límites medibles: sistemas de agua, control de la carga biológica antes de la esterilización y monitorización ambiental en una sala limpia. Sus siete pasos incluyen monitorizar los puntos críticos de control, establecer acciones correctivas y verificar que el sistema funciona, por lo que se adapta bien a las estrategias de control de la contaminación.
Corregir los problemas de puntuación en las evaluaciones FMEA de GMP
ICH Q9(R1) señala las «escalas de puntuación de riesgos mal diseñadas» como fuente de subjetividad, y es en FMEA donde más daño causan. Multiplicar la gravedad por la ocurrencia y la detección genera un número de prioridad de riesgo que oculta lo que se necesita ver. Un fallo puntuado con 10 en gravedad, 1 en ocurrencia y 2 en detección obtiene el mismo RPN que otro puntuado con 2, 2 y 5, aunque el primero podría causar daño a un paciente y el segundo sea una molestia.
Tres cambios permiten justificar las puntuaciones FMEA:
- Redacte definiciones concretas para cada puntuación. Una ocurrencia de 3 debe corresponder a algo observable, como «se observó una vez en los últimos 50 lotes o en el registro de desviaciones de los últimos dos años», y no a «ocasional».
- Trate la gravedad alta como un criterio de activación por sí sola. Todo modo de fallo con una gravedad de 9 o 10 necesita un control, independientemente del RPN.
- Cuando haya datos, utilícelos para asignar las puntuaciones. Antes de la reunión, recopile el historial de desviaciones, las tendencias de reclamaciones y los tiempos de inactividad de los equipos, y registre el origen de cada puntuación de ocurrencia. Cuando una puntuación sea un juicio, indíquelo.
Vincular la gestión de riesgos de calidad con desviaciones, control de cambios y CAPA
Las evaluaciones de riesgos guardadas en una carpeta aparte quedan desactualizadas. Manténgalas vigentes haciendo que cada proceso de calidad utilice y actualice el registro de riesgos. El capítulo 1 de las GMP de la UE ya lo exige: el párrafo 1.4(xiv) señala que el nivel adecuado de análisis de causa raíz para las desviaciones puede determinarse aplicando los principios de gestión de riesgos de calidad y que la eficacia de las acciones correctivas y preventivas debe monitorizarse de acuerdo con estos principios.
Desviaciones. La clasificación inicial (menor, mayor, crítica) es una decisión basada en riesgos y debe utilizar las mismas definiciones de gravedad que sus FMEA. Si una investigación descubre un modo de fallo que la FMEA del proceso había calificado como improbable, o que no había incluido, eso es una señal de que deben revisarse los riesgos. Una caja mal etiquetada que llega a envasado porque el sistema de visión no detectó un código de lote borroso indica que la puntuación de detección de ese modo de fallo era demasiado optimista. Nuestra guía de gestión de desviaciones ofrece más detalles sobre la clasificación y la investigación.
Control de cambios. El Anexo II de ICH Q9(R1) incluye la gestión de cambios como una aplicación: evaluar el impacto de los cambios en la calidad y la disponibilidad del producto, y determinar qué debe hacerse antes de la implementación, como pruebas adicionales, recalificación o comunicación con las autoridades reguladoras. El formulario de cambio debe preguntar qué evaluaciones de riesgos existentes se ven afectadas por el cambio y exigir que se actualicen como parte del cierre. Nuestro artículo sobre evaluación del impacto del control de cambios describe el método.
CAPA. Una acción correctiva es un control de riesgos, por lo que debe registrarse como tal. Cuando se cierre la CAPA, se debe volver a puntuar el riesgo residual en la evaluación pertinente y la comprobación de eficacia debe verificar si la ocurrencia realmente disminuyó. Nuestra guía sobre la comprobación de eficacia de CAPA explica cómo definir esa prueba antes de la implementación.
Analice estas relaciones durante la revisión por la dirección. Si siguen produciéndose desviaciones por modos de fallo que sus FMEA califican como de bajo riesgo, deben revisarse las evaluaciones; el aide-mémoire de PIC/S sobre la implementación de QRM (PI 038) proporciona a los inspectores preguntas sobre la revisión de riesgos residuales.
La disponibilidad del producto como riesgo para la calidad
ICH Q9(R1) ahora exige que se considere si una decisión podría interrumpir el suministro. En la práctica, añada una pregunta al control de cambios y a la cualificación de proveedores: si algo sale mal, ¿podríamos perder la capacidad de suministrar un producto del que dependen los pacientes? Una sustancia activa con una única fuente de suministro, una línea de llenado sin respaldo cualificado o un laboratorio contratado que sea el único validado para un método son riesgos para la disponibilidad. La sección 6.1 indica que el nivel de formalidad para prevenir la escasez debe corresponderse con el riesgo asociado a la pérdida de disponibilidad y señala medidas como monitorizar las desviaciones del proceso, mantener equipos antiguos y precualificar proveedores alternativos.
Diferencias entre ICH Q9 e ISO 14971 en la gestión de riesgos de productos
Los fabricantes de dispositivos suelen preguntar si su expediente ISO 14971 cubre las decisiones de proceso y del QMS. Ambos enfoques se solapan, pero responden a preguntas distintas.
ISO 14971:2019 trata de la seguridad de un dispositivo médico a lo largo de su ciclo de vida. Parte de los peligros, pasa por las situaciones peligrosas hasta llegar al daño, exige que la alta dirección establezca una política de aceptabilidad de riesgos y requiere opciones de control de riesgos en un orden de prioridad fijo: seguridad inherente mediante el diseño y la fabricación, después medidas de protección y, por último, información de seguridad. Concluye con una evaluación del riesgo residual global frente al beneficio y con la monitorización durante la producción y la fase posproducción, que retroalimenta el expediente. El Anexo I del MDR de la UE añade que los riesgos deben reducirse todo lo posible sin afectar negativamente a la relación beneficio-riesgo.
ICH Q9(R1) trata del riesgo para la calidad de un medicamento, vinculado en última instancia a la protección del paciente, y se aplica a cualquier decisión del sistema de calidad: un calendario de auditorías, una estrategia de validación de limpieza o la disposición de un lote. Deja que cada organización defina las escalas y los criterios de aceptabilidad.
ISO 13485 se sitúa entre ambos. La cláusula 4.1.2(b) exige un enfoque basado en riesgos para controlar los procesos del QMS, y la cláusula 7.1 exige procesos documentados de gestión de riesgos en la realización del producto. Un fabricante de dispositivos utiliza ISO 14971 para el dispositivo y un enfoque similar al de Q9 para decisiones del QMS, como la supervisión de proveedores. Los fabricantes de productos combinados necesitan ambos, con vínculos explícitos: un modo de fallo de una FMEA de proceso que dé lugar a un peligro del dispositivo debe poder rastrearse hasta el expediente ISO 14971.
Conclusión
Esta semana, elija un producto o proceso y compruebe tres cosas: si su procedimiento de QRM indica cómo elegir y documentar un nivel de formalidad; si las escalas de su FMEA tienen definiciones concretas; y si las tres últimas CAPA cerradas actualizaron la evaluación de riesgos correspondiente. Estas tres comprobaciones le indicarán si la gestión de riesgos de calidad está impulsando las decisiones o simplemente documentándolas a posteriori.
Si desea mantener las desviaciones, los registros de cambios y las acciones CAPA en un único sistema conectado con un registro de auditoría de solo anexado, la plataforma InnoQualis está diseñada para ello.
