La estimación y la evaluación de riesgos son las etapas que siguen a la identificación de los peligros en el proceso ISO 14971. La estimación cuantifica el riesgo. La evaluación lo compara con los criterios de aceptabilidad para decidir si es necesaria una medida de control. Estas dos etapas dependen por completo de la calidad de los criterios de aceptabilidad definidos en la política de gestión de riesgos.
Los dos componentes del riesgo según la ISO 14971
La ISO 14971 define el riesgo como la combinación de dos parámetros: la probabilidad de que se produzca un daño y la gravedad de ese daño.
La gravedad se evalúa según el impacto sobre la salud del paciente o del usuario: del daño imperceptible al desenlace letal. La ISO 14971:2019 y el informe técnico ISO/TR 24971 proponen escalas de gravedad indicativas, que cada fabricante adapta a su contexto.
La probabilidad se evalúa según la verosimilitud de que la secuencia de acontecimientos que conduce al daño se produzca en las condiciones reales de uso. Tiene en cuenta la probabilidad de que ocurra el modo de fallo, la probabilidad de que ese modo de fallo conduzca a una situación peligrosa y la probabilidad de que la situación peligrosa conduzca al daño.
Cómo construir una matriz de riesgo defendible
La matriz de riesgo visualiza la combinación gravedad/probabilidad y define las zonas de aceptabilidad. Su construcción debe basarse en fundamentos documentados, no en decisiones arbitrarias.
Etapa 1: definir los niveles de gravedad. ¿Cuántos niveles? Tres, cuatro o cinco niveles son habituales. Los criterios de cada nivel deben ser claros y distintos, con ejemplos de referencia.
Etapa 2: definir los niveles de probabilidad. Los mismos principios. Los niveles deben calibrarse según el contexto del producto y su base de uso prevista — la probabilidad “rara” para un producto utilizado 100 veces al año no es la misma que para un producto utilizado 100 000 veces al año.
Etapa 3: definir las zonas de aceptabilidad. La zona verde (riesgo aceptable tal cual), la zona naranja (reducción deseable si es practicable), la zona roja (riesgo inaceptable, medidas de control obligatorias). Las fronteras entre estas zonas deben justificarse.
Etapa 4: documentar los fundamentos de la política de riesgo. ¿Qué referenciales orientaron estas decisiones? ¿Datos epidemiológicos sobre productos similares, datos de vigilancia sectoriales, normas industriales? Esta documentación es lo que hace que la matriz sea defendible ante un evaluador.
Lo que verifican los organismos notificados
El organismo notificado verifica que la matriz sea coherente con el nivel de riesgo del producto, que los umbrales de aceptabilidad estén justificados (no simplemente copiados de una plantilla) y que la matriz se aplique de forma coherente en la FMEA — es decir, que el mismo modo de fallo reciba la misma puntuación de una línea a otra.
Una incoherencia en la aplicación de la matriz — el mismo tipo de efecto puntuado como 3 en una línea y 5 en otra sin justificación — señala una FMEA cumplimentada por varias personas sin coordinación, o sin una reflexión real sobre los criterios.