El control documental es la infraestructura del SGC. Sin él, ningún otro proceso se audita con seriedad: un informe de auditoría sin versión trazada no prueba nada. Dos desviaciones vuelven una y otra vez en auditoría. La documentación demasiado ligera, sin control de versiones ni aprobación. Y la documentación demasiado pesada, donde doscientos procedimientos ralentizan a todo el mundo sin reducir un solo riesgo. La norma no exige ni lo uno ni lo otro.
Documentos o registros: no confundir los dos regímenes
La ISO 13485:2016 separa dos objetos bajo secciones distintas. Los documentos corresponden a la sección 4.2.4. Los registros corresponden a la sección 4.2.5. La confusión más frecuente proviene de la antigua numeración de la ISO 13485:2003, donde el control de los documentos llevaba el 4.2.3 y los registros el 4.2.4. La revisión de 2016 insertó el Expediente del producto sanitario en 4.2.3, desplazando las dos secciones una posición. Citar los números equivocados en un manual de la calidad se nota en auditoría.
Los documentos (sección 4.2.4) son soportes de acción: procedimientos, instrucciones de trabajo, formularios en blanco, política de la calidad. Se aprueban antes de su difusión, se versionan y permanecen disponibles en el puesto de trabajo. Las versiones obsoletas se retiran o se identifican claramente como tales.
Los registros (sección 4.2.5) son pruebas: informes de auditoría, fichas de no conformidad, resultados de calibración, certificados de formación, actas de la revisión por la dirección. Permanecen legibles, identificables, accesibles y se conservan durante plazos definidos.
Confundir ambos sale caro en los dos sentidos. Aplicar el circuito de aprobación de los documentos a una ficha de no conformidad crea una carga absurda: nadie aprueba una NC antes de difundirla. A la inversa, tratar un informe de auditoría como un simple documento, sin regla de conservación, abre un agujero de trazabilidad que un auditor encontrará.
Lo que la sección 4.2.4 exige, en concreto
Cada documento controlado lleva un identificador único, un título, un índice de versión, una fecha de aprobación y el nombre de quien lo aprueba. La sección impone también controlar los documentos de origen externo considerados necesarios, normas, textos reglamentarios, instrucciones de proveedores, y definir el plazo durante el cual se conserva al menos una copia de las versiones obsoletas. Las versiones obsoletas desaparecen de los puestos de trabajo. Conservadas para el histórico, llevan una mención inequívoca que bloquea cualquier uso accidental.
Cuánto tiempo conservar los registros
La sección 4.2.5 fija un umbral mínimo: conservar los registros al menos hasta el fin de vida del producto sanitario definido por la organización, o durante el plazo impuesto por los requisitos reglamentarios aplicables, sin bajar nunca de dos años a partir de la puesta a disposición del producto. No es una vida útil aumentada en dos años. Es un mínimo de dos años cuando la vida útil es más corta.
El MDR añade una obligación distinta, más larga, que se refiere a la documentación técnica y a la declaración de conformidad, no al conjunto de los registros de la calidad. El Artículo 10(8) impone mantenerlas a disposición de las autoridades durante al menos diez años después de la puesta en el mercado del último producto, quince años para los implantables. Alinear la política de conservación únicamente con el umbral mínimo ISO expone, por tanto, a una no conformidad MDR sobre los expedientes técnicos.
Evitar la maquinaria innecesaria: cuándo se justifica un procedimiento
Documentarlo todo es contraproducente. Un procedimiento se justifica en tres casos. La norma lo exige explícitamente, como procedimiento documentado obligatorio. El riesgo de fallo sin él es real: actividad compleja, varios operadores, consecuencias significativas sobre el producto o el paciente. O bien varias personas realizan la misma tarea y hay que garantizar la coherencia.
Fuera de estos casos, el procedimiento carga sin proteger. Una actividad simple, a cargo de una sola persona, cuyo resultado se ve de inmediato, no requiere un procedimiento escrito. Una decisión de sentido común, tampoco.
Calibrar el nivel de detalle en función del riesgo
Un procedimiento que describe cada gesto vale a menudo menos que un procedimiento que encuadra las etapas clave, las decisiones a tomar y los registros a producir. El nivel se ajusta al riesgo. Un procedimiento de esterilización justifica un alto grado de detalle, porque la desviación se paga en la seguridad del paciente. Un procedimiento de pedido de suministros no necesita el mismo peso. Un SGC de treinta procedimientos mantenidos y aplicados pasa la auditoría. Un catálogo de doscientos que nadie abre la suspende.
Un sistema documental bien calibrado se reconoce por una señal simple: los equipos lo usan en lugar de esquivarlo. Si sus auditorías internas revelan sobre todo desviaciones de versión, procedimientos ignorados o registros ilocalizables, el problema no es el volumen, es el calibrado.