El control de los proveedores es uno de los capítulos de la ISO 13485 que más desviaciones genera en auditoría, especialmente en las pymes. El apartado 7.4 es exigente en cuanto al método. Tener un contrato con un proveedor no basta para demostrar el control.
Lo que exige el apartado 7.4
El apartado 7.4 se descompone en tres bloques. Tratar solo el primero es el error de alcance más habitual.
7.4.1 Proceso de compras. Evaluación y selección de los proveedores sobre la base de su capacidad para suministrar productos conformes con los requisitos especificados, de su desempeño, del efecto del producto comprado sobre la calidad del producto sanitario, y de forma proporcional al riesgo. Los criterios de selección se documentan, los resultados se registran. La reevaluación se planifica, se realiza y sus resultados se conservan, junto con las acciones desencadenadas en caso de desviación.
7.4.2 Información de las compras. La información de compra describe el producto pedido: especificaciones, criterios de aceptación, requisitos de cualificación del personal del proveedor, requisitos de SGC cuando proceda. Punto a menudo ausente en las pymes: el acuerdo de notificación de cambios. El proveedor debe comprometerse contractualmente a comunicar todo cambio de proceso, de material o de subcontratista antes de su implementación. Sin este acuerdo, el control depende del descubrimiento fortuito de un cambio.
7.4.3 Verificación del producto comprado. El alcance del control en la recepción no es uniforme. Depende de los resultados de la evaluación del proveedor y del riesgo asociado. Un proveedor crítico recién cualificado justifica un control reforzado; un proveedor corriente y estable, un control aligerado.
La clasificación por criticidad: la traducción operativa del riesgo
La norma exige un control proporcionado al riesgo. La clasificación por criticidad es la forma concreta de aplicarlo. Se construye antes de elegir los métodos de cualificación.
Proveedores críticos. Sus productos o servicios entran en la composición del producto sanitario o afectan a su seguridad y su funcionamiento: materias primas biocompatibles, prestador de esterilización, subcontratista de un componente clave. Cualificación rigurosa obligatoria.
Proveedores importantes. Su fallo puede afectar a la calidad sin impacto directo en la seguridad: prestador logístico, proveedor de embalaje primario. Nivel de control intermedio.
Proveedores corrientes. Material de oficina, servicios generales sin impacto en la calidad del producto. Control mínimo suficiente.
Los métodos de cualificación aceptables
La elección del método se deriva del nivel de criticidad.
Auditoría de proveedor, presencial o a distancia. El método más robusto para los proveedores críticos. Planificada, conducida según un programa definido, concluida con un informe.
Cuestionario de autoevaluación. Admisible para los proveedores importantes. Insuficiente por sí solo para un proveedor crítico.
Revisión de documentación. Certificados ISO 13485 o ISO 9001, informes de auditorías realizadas por otros clientes, informes de inspección. Un certificado ISO 13485 facilita la cualificación pero no la sustituye. Acredita el SGC del proveedor, no su capacidad de responder a sus requisitos específicos. Según el producto comprado, la ISO 9001 sigue siendo admisible, siempre que cubra la capacidad técnica esperada.
Control reforzado en la recepción. Medidas adicionales para los proveedores nuevos o cuya cualificación está en curso, en aplicación directa del 7.4.3.
Los tres errores más frecuentes
Error 1: cualificar una vez y no reevaluar nunca. La reevaluación periódica es obligatoria. Se planifica en el programa de auditoría de proveedores y se realiza, aunque el proveedor no haya planteado ningún problema. Su ausencia es una desviación sistemática.
Error 2: basar la cualificación únicamente en el certificado ISO. Un proveedor certificado ISO 13485 tiene un SGC conforme. No tiene necesariamente la capacidad de responder a sus especificaciones técnicas particulares. La cualificación debe cubrir esa capacidad específica.
Error 3: no vincular los cambios del proveedor a la gestión de cambios. Un cambio de proceso, de material, de subcontratista, o un certificado caducado debe desencadenar una reevaluación. Es precisamente el objeto del acuerdo de notificación previsto en el 7.4.2. Sin este vínculo contractual, la lista de proveedores cualificados caduca sin que nadie lo vea.