Calificación de proveedores según ISO 13485 y las BPF de la UE: guía práctica

La lista de proveedores aprobados contiene 140 nombres. Unos veinte son muy importantes, quizá cuarenta se aprobaron hace años mediante un cuestionario que nadie ha vuelto a leer y uno de ellos, un moldeador de juntas de silicona, cambió a otro sistema de curado la primavera pasada sin avisar a nadie. Se enteró cuando surgió una pregunta sobre biocompatibilidad durante una auditoría de un organismo notificado.

Este es el estado habitual de la calificación de proveedores en un fabricante en crecimiento: mucho papeleo al principio y muy poco después. Esta guía expone lo que realmente exigen la cláusula 7.4 de ISO 13485 y los capítulos 5 y 7 de las BPF de la UE, y ofrece un método basado en el riesgo para clasificar a los proveedores, elegir las evidencias, redactar acuerdos de calidad, supervisar el desempeño y gestionar los cambios de los proveedores.

Qué exigen ISO 13485 y las BPF de la UE

La cláusula 7.4.1 de ISO 13485:2016 exige criterios para evaluar y seleccionar proveedores basados en su capacidad para suministrar productos conformes, su desempeño y el efecto del producto adquirido en la calidad del producto sanitario, y que sean proporcionales al riesgo asociado al producto sanitario. Debe planificar la supervisión y la reevaluación, utilizar los resultados de la supervisión como elemento de entrada para la reevaluación, abordar con el proveedor los requisitos de compra incumplidos en proporción al riesgo y conservar los registros correspondientes.

La cláusula 7.4.2 indica que la información de compra debe incluir, cuando corresponda, un acuerdo escrito por el que el proveedor se comprometa a notificarle los cambios antes de aplicarlos, si estos afectan a la capacidad del producto adquirido para cumplir los requisitos. La cláusula 7.4.3 vincula el alcance de la verificación de recepción a los resultados de la evaluación del proveedor y al riesgo del producto, y le exige evaluar cualquier cambio del que tenga conocimiento para determinar su efecto en la realización del producto o en el producto sanitario. Cuando se subcontrata un proceso, la cláusula 4.1.5 exige controles proporcionales al riesgo, incluidos acuerdos de calidad escritos.

En virtud del MDR de la UE, el artículo 10(9) incluye la selección y el control de proveedores y subcontratistas entre los aspectos que debe abordar el sistema de gestión de la calidad de un fabricante; el apartado 3.4 del anexo IX permite que las auditorías sin previo aviso del organismo notificado se extiendan, cuando proceda, a los proveedores y subcontratistas del fabricante. Sus proveedores críticos deben estar preparados para una visita que usted no haya organizado.

Para los medicamentos, el capítulo 7 de las BPF de la UE abarca las actividades externalizadas. La parte contratante debe evaluar la legalidad, idoneidad y competencia de la parte contratada antes de externalizar (7.5), supervisar y revisar su desempeño (7.7), y disponer de un contrato escrito que defina quién realiza cada etapa y permita las auditorías (7.14 a 7.17). La parte contratada no puede subcontratar sin una evaluación y aprobación previas (7.11), ni realizar cambios no autorizados que puedan afectar a la calidad (7.12).

El capítulo 5 de las BPF de la UE abarca los materiales. El apartado 5.27 exige documentar la selección, cualificación, aprobación y mantenimiento de los proveedores de materiales de partida, con una supervisión proporcional al riesgo de cada material y teniendo en cuenta su origen, el proceso de fabricación, la complejidad de la cadena de suministro y el uso final. El apartado 5.28 prevé que los requisitos de calidad se acuerden en un acuerdo o especificación formal de calidad. El apartado 5.29 exige auditorías de los fabricantes y distribuidores de principios activos, así como una evaluación formal de riesgos para los excipientes. El apartado 5.45 extiende la misma atención a los proveedores de materiales de acondicionamiento primario e impresos.

Clasifique a los proveedores por riesgo antes de calificarlos

Todos los requisitos anteriores dicen «proporcional», así que empiece por una clasificación. Para la mayoría de los fabricantes pequeños y medianos bastan tres niveles.

Clasifique según el efecto en el producto y el paciente y, a continuación, ajuste la categoría. Un proveedor único, una cadena de suministro compleja o un material para el que se dependa del certificado de análisis del proveedor en lugar de realizar pruebas completas deberían elevar al proveedor de nivel. Desde la revisión de 2023 de ICH Q9, la disponibilidad del producto también se considera un riesgo de calidad; por tanto, un proveedor único de un material crítico para evitar desabastecimientos merece el nivel crítico, aunque el material en sí sea sencillo.

Anote en el registro del proveedor la justificación de cada clasificación. Si un auditor pregunta por qué la imprenta de etiquetas está clasificada como «importante» y no como «crítica», querrá una respuesta breve que mencione la comprobación del contenido de las etiquetas que realiza al recibirlas.

Criterios de evaluación y evidencias

Para cada nivel, defina qué debe abarcar la evaluación. Un conjunto razonable de criterios para proveedores críticos e importantes incluye:

• estado del sistema de calidad (certificado ISO 13485, certificado de BPF o autorización de fabricación, cuando corresponda, historial de inspecciones)
• capacidad técnica para cumplir su especificación, incluido el estado de validación de los procesos
• control de cambios y prácticas de notificación de cambios
• control de sus propios proveedores y subcontratistas
• trazabilidad y conservación de registros
• gestión de reclamaciones, desviaciones y retiradas
• situación reglamentaria; por ejemplo, presencia en EudraGMDP para fabricantes de principios activos
• continuidad del suministro: otros centros, capacidad, planes de continuidad del negocio

A continuación, decida qué evidencia demuestra que se cumple cada criterio. Los certificados demuestran que otra entidad evaluó el sistema con respecto a una norma. No demuestran que el proveedor pueda fabricar su componente según sus especificaciones; por eso, en el caso de los artículos críticos, tienen mucho peso las muestras, la inspección de primera pieza o los lotes de calificación.

¿Auditoría o cuestionario al proveedor?

Un cuestionario le dice lo que un proveedor afirma hacer. Una auditoría le permite comprobar si lo hace. Ambos tienen su lugar.

Utilice un cuestionario con los proveedores importantes, como paso de selección antes de una auditoría y para actualizar la información entre auditorías. Hágalo específico. A «¿Dispone de un procedimiento de control de cambios?» siempre le responderán que sí. «Describa el último cambio que notificó a un cliente y con cuánta antelación lo hizo» le dará información útil.

Realice una auditoría cuando el proveedor sea crítico, el cuestionario plantee dudas, los datos de desempeño empeoren o el proveedor proponga un cambio significativo. Cuando dependa de los resultados de las pruebas del proveedor, el apartado 5.36 de las BPF de la UE prevé auditorías del centro de ensayo, realizadas por usted o por un tercero, con una frecuencia basada en el riesgo. Las auditorías remotas funcionan bien para revisiones documentales de un proveedor que ya conoce. Son menos eficaces en una primera visita a un centro de fabricación, donde es importante ver la planta, el almacén y la zona de productos rechazados.

Planifique las auditorías de proveedores junto con las internas, utilizando la misma programación basada en el riesgo. Nuestra guía para crear un programa de auditorías internas explica cómo establecer una frecuencia aplicable igualmente a los proveedores.

Qué debe incluir un acuerdo de calidad de BPF

Un acuerdo de calidad es la parte técnica del contrato. El capítulo 7 exige que lo redacten personas que comprendan la actividad externalizada y las BPF, algo que se refleja en los detalles. Como mínimo, debería abarcar:

• alcance: productos, materiales, servicios y centros incluidos
• especificaciones y quién es responsable de ellas
• responsabilidades de cada etapa, en una tabla: compra de materiales, ensayos, liberación, almacenamiento y transporte
• notificación de cambios: qué debe notificarse, con cuánta antelación y qué requiere su aprobación antes de su implementación
• desviaciones y resultados fuera de especificación: qué debe comunicar el proveedor y con qué rapidez
• subcontratación: prohibida sin su aprobación previa
• registros: qué se conserva, durante cuánto tiempo y el acceso previa solicitud
• su derecho a auditar, incluidas las auditorías motivadas por una causa y con poca antelación
• reclamaciones, retiradas e investigaciones de productos falsificados
• inspecciones reglamentarias: notificación cuando una autoridad realice una inspección o detecte problemas que afecten a su producto

La cláusula de notificación de cambios es la que suele debilitarse durante la negociación. Mantenga su postura con los proveedores críticos. Incluya en un anexo ejemplos de cambios que deben notificarse: origen de las materias primas, centro de fabricación, equipos clave, método de ensayo, parámetros de esterilización y subcontratistas.

Lista de proveedores aprobados y supervisión continua

La lista de proveedores aprobados debería mostrar más que un nombre y una marca de verificación. Para cada proveedor, registre los materiales o servicios aprobados, el nivel y su justificación, el estado de aprobación (aprobado, condicional, suspendido, descalificado), la fecha de la última evaluación y la próxima fecha prevista, y un enlace al acuerdo de calidad. El departamento de compras no debería poder emitir un pedido a un proveedor que no esté aprobado para ese artículo.

La supervisión necesita datos que ya recopila: rechazos en la recepción de mercancías, discrepancias en los certificados de análisis, desviaciones y reclamaciones atribuidas al proveedor, respuestas tardías o incompletas a las solicitudes de acciones correctivas al proveedor y entregas puntuales cuando los desabastecimientos afectarían al suministro. El apartado 5.36 de las BPF de la UE añade una comprobación que a menudo se omite: cuando reduzca los ensayos y dependa del certificado del proveedor, realice análisis completos a intervalos basados en el riesgo y compare los resultados. Si hay una discrepancia, deje de aceptar certificados hasta que concluya la investigación.

Reevalúe según un calendario establecido por nivel e incorpore los resultados de la supervisión, tal como exige la cláusula 7.4.1. El resultado debe ser una decisión: continuar, continuar con condiciones, aumentar la supervisión, auditar o descalificar. Cuando un problema con un proveedor requiera una acción formal, iníciela mediante CAPA y considere al proveedor responsable de la acción correctiva, mientras usted asume la responsabilidad de verificarla. Nuestro artículo sobre CAPA según ISO 13485 explica cómo estructurarla.

Cuando un proveedor cambia algo

Los cambios de los proveedores llegan de una de estas tres formas: una notificación formal, una pista en un certificado o una ficha técnica nuevos, o una investigación posterior a un problema. La primera indica que el sistema funciona. Las otras dos son señales de que el acuerdo o la relación requieren atención.

Trate todo cambio notificado como un control de cambios interno. Evalúe sus efectos en las especificaciones, la validación, la estabilidad, la biocompatibilidad, las presentaciones reglamentarias y sus propios procesos, y decida qué evidencia necesita antes de aceptarlo: ensayos comparativos, lotes de calificación, certificados actualizados o una notificación al organismo notificado o a la autoridad competente. El método del artículo sobre evaluación del impacto del control de cambios se aplica también a los cambios iniciados por proveedores.

Un cambio no notificado es una desviación. Contenga el material afectado, evalúe los productos ya liberados e inicie una CAPA que abarque tanto el impacto en el producto como el incumplimiento del acuerdo de notificación. Considere si debe cambiar el nivel del proveedor, la frecuencia de las auditorías o su estado de aprobación. En el ejemplo de la junta de silicona, esto significa poner en cuarentena las existencias, evaluar el nuevo sistema de curado con respecto a la evaluación biológica y auditar el control de cambios del proveedor antes de aprobar nuevas entregas.

Conclusión

Esta semana, revise sus diez proveedores más críticos y compruebe tres aspectos de cada uno: una justificación escrita de su clasificación, un acuerdo de calidad con una cláusula específica de notificación de cambios y una reevaluación realizada durante el último año que haya utilizado datos reales de desempeño. Si falta alguno de estos tres elementos para un proveedor crítico, resuélvalo antes de añadir otro nombre a la lista.

Si quiere planificar y hacer seguimiento de las auditorías de proveedores con el mismo programa, las mismas listas de verificación, los mismos hallazgos y el mismo cierre que las auditorías internas, consulte la gestión de auditorías de InnoQualis.