La versión 2016 de la ISO 13485 es la versión aplicable desde el cierre del período de transición en marzo de 2019. Más de siete años. Sin embargo, una constatación se repite regularmente con motivo de las auditorías de certificación o de seguimiento: en muchas pymes fabricantes de productos sanitarios, la migración desde la versión 2003 ha sido superficial. Un reformateo de los procedimientos, algunos párrafos añadidos, un nuevo índice alineado con la estructura 2016. Las lógicas de fondo, en cambio, no han cambiado.
Es precisamente lo que los auditores experimentados detectan en unas horas. Siete puntos de divergencia estructurante entre las dos versiones generan no conformidades recurrentes. Aquí están, en el orden en que fragilizan con más frecuencia un SGC en la práctica.
1. El enfoque por riesgo ampliado a todo el SGC
Es la ruptura conceptual más importante entre las dos versiones. La versión 2003 circunscribía el enfoque por riesgo a la gestión de los riesgos del producto, tal como la estructura la ISO 14971. El archivo de gestión de riesgos era un entregable técnico, distinto del sistema de gestión de la calidad.
La versión 2016 cambia de paradigma. La sección 4.1 exige explícitamente un “enfoque basado en el riesgo en cuanto al control de los procesos apropiados necesarios para el sistema de gestión de la calidad”. Concretamente: la planificación de los procesos, la frecuencia de las auditorías internas, el nivel de control de un proveedor, la profundidad de una validación, el alcance de los controles en recepción. Cada una de esas decisiones debe poder apoyarse en un análisis de riesgo documentado, aunque sea sencillo.
Un SGC conforme con la versión 2016 no fija la frecuencia de sus auditorías internas por costumbre o por comodidad. La justifica por el nivel de riesgo asociado al proceso auditado. Un proceso de esterilización se auditará con más frecuencia que un proceso de gestión de recursos humanos, y esa diferencia estará trazada, justificada, defendible en auditoría.
Es una diferencia de postura de gestión, no solo documental. En auditoría, la no conformidad se materializa a menudo mediante una pregunta sencilla: “¿Cómo ha determinado esa frecuencia?” Si la respuesta es “Siempre lo hemos hecho así” o “Es anual para todos”, el problema queda planteado.
2. Los requisitos reglamentarios explícitamente integrados en el SGC
La versión 2003 integraba implícitamente la conformidad reglamentaria en su ámbito. La versión 2016 la convierte en una obligación explícita y documentada: la organización debe identificar los requisitos reglamentarios aplicables a sus actividades y a sus productos, y demostrar cómo su SGC les da respuesta.
El Anexo A de la norma lo confirma: la sección 4.1 añade la necesidad de “satisfacer los requisitos del cliente y los requisitos reglamentarios aplicables en materia de seguridad y de desempeño”. El campo de aplicación (sección 1) precisa que el término “requisitos reglamentarios” comprende “las leyes, reglamentos, ordenanzas o directivas”.
Concretamente, un SGC que no hace referencia al Reglamento (UE) 2017/745 (MDR), o a los textos nacionales aplicables a sus productos, es no conforme con la versión 2016, aunque sus procesos estén por lo demás bien descritos y aplicados. El mapeo de los requisitos reglamentarios ya no es una buena práctica facultativa: es un requisito de la norma.
Ese cambio tiene una implicación directa sobre la documentación: la política de calidad, el manual de calidad o su equivalente, y los procedimientos clave deben anclar explícitamente el SGC en el marco reglamentario aplicable. En la práctica, esto supone también un mecanismo de vigilancia: la sección 5.6.2, ítem l), hace de los “requisitos reglamentarios aplicables nuevos o revisados” un elemento de entrada obligatorio de la revisión por la dirección. Un SGC que no sigue la evolución del marco reglamentario es estructuralmente no conforme.
Para los fabricantes de productos sanitarios que operan bajo el MDR, esa convergencia entre norma y reglamento es una palanca potente: un SGC bien alineado con la versión 2016 responde ya a una parte significativa de los requisitos del Artículo 10(9) del MDR.
3. La validación del software utilizado en el SGC
La sección 4.1.6 es una de las disposiciones más frecuentemente ignoradas durante las migraciones. Exige que el software utilizado en el marco del SGC sea objeto de una validación antes de su puesta en producción, y tras cualquier modificación significativa.
El alcance es amplio y a menudo mal comprendido. No se trata únicamente del software integrado en los productos sanitarios (que corresponde al diseño bajo §7.3 y a la IEC 62304), ni del software de producción (cubierto por §7.5.6). La sección 4.1.6 apunta a todo software cuyo fallo pudiera afectar la conformidad de los productos en el seno del propio SGC: un ERP, un software de gestión documental, una herramienta de planificación de las auditorías, una hoja de cálculo utilizada para el cálculo de los límites de limpieza o el seguimiento de las no conformidades.
La norma precisa que “el enfoque específico y las actividades asociadas a la validación y la revalidación del software deben ser proporcionados al riesgo asociado a su utilización”. Ese principio de proporcionalidad es esencial. La validación de una hoja de cálculo de seguimiento de las reclamaciones no exige el mismo nivel de formalismo que la de un ERP integrado a la liberación de lotes. Pero en ambos casos, hace falta un procedimiento documentado, criterios de aceptación, pruebas, resultados registrados, y una aprobación de puesta en producción.
En las organizaciones que han pasado a herramientas digitales (GED en la nube, ERP SaaS, herramientas colaborativas) sin formalizar ese enfoque, esa no conformidad es sistemática. Se vuelve crítica cuando el software es actualizado automáticamente por el editor: sin proceso de revalidación definido, cada actualización representa un riesgo no controlado.
4. El control de los proveedores reforzado y proporcional al riesgo
La sección 7.4.1 de la versión 2016 introduce una exigencia de proporcionalidad ausente de la versión 2003. Ya no se trata solo de tener una lista de proveedores aprobados y de realizar evaluaciones periódicas: el nivel de control ejercido sobre cada proveedor debe justificarse por el riesgo que su fallo representa para la calidad y la conformidad del producto final.
El Anexo A de la norma resume la modificación: §7.4.1 “focaliza los criterios de selección del proveedor en la incidencia del desempeño del proveedor sobre la calidad del producto sanitario, en los riesgos asociados al producto sanitario y en el hecho de que el producto satisfaga los requisitos reglamentarios aplicables”. La versión añade exigencias de seguimiento, de reevaluación, y de medidas a tomar cuando los requisitos de compra no se satisfacen.
Concretamente, esto implica varias obligaciones. Los criterios de selección inicial deben estar documentados y aplicados de forma trazable. Las evaluaciones iniciales deben registrarse, no solo planificarse. Las reevaluaciones periódicas deben tener lugar, ser trazadas, y sus conclusiones deben alimentar las decisiones de mantenimiento o de retirada de cualificación. Un proveedor de materias primas críticas o de componentes esterilizados no puede tratarse con el mismo nivel de control que un suministrador de material de oficina. La versión 2016 exige que esa diferenciación sea explícita y documentada.
En auditoría, la no conformidad típica es un archivo de proveedores en el que todos los suministradores se evalúan con la misma rejilla genérica, sin ninguna modulación por riesgo. Ese formalismo uniforme puede parecer riguroso; en realidad es no conforme.
5. La retroalimentación integrada a las actividades de posproducción
La sección 8.2.1 de la versión 2016 reestructura el proceso de retroalimentación. Es un cambio de lógica importante, que el Anexo A resume en dos puntos: la retroalimentación debe provenir en adelante “de las actividades de producción y de posproducción”, y la información recogida debe “servir de elemento de entrada en la gestión de los riesgos para la vigilancia y el mantenimiento de los requisitos relativos al producto”.
Bajo la versión 2003, las reclamaciones de los clientes podían tratarse como eventos aislados: recepción, análisis, respuesta, cierre. La versión 2016 impone inscribirlas en un bucle estructurado. Los datos procedentes de las reclamaciones, de las notificaciones, de los retornos de campo y de las encuestas de satisfacción deben alimentar un proceso que permita detectar tendencias, identificar señales débiles y desencadenar acciones correctivas o preventivas.
La norma añade una exigencia específica para los fabricantes sometidos a obligaciones reglamentarias de vigilancia de posproducción: “Si los requisitos reglamentarios aplicables exigen que la organización adquiera una experiencia específica a partir de las actividades de posproducción, la revisión de esa experiencia debe formar parte del proceso de retroalimentación” (§8.2.1).
Para los fabricantes bajo el MDR, esa cláusula crea un puente directo con las obligaciones de vigilancia poscomercialización (Artículos 83 a 86) y de vigilancia (Artículos 87 a 92). Un proceso de retroalimentación conforme al §8.2.1 de la versión 2016 constituye la base operativa del plan de vigilancia poscomercialización exigido por el MDR. Los dos sistemas no son sinónimos, pero el primero alimenta estructuralmente al segundo.
En la práctica, la no conformidad más frecuente es un proceso de reclamaciones y un proceso de vigilancia de posproducción compartimentados en dos silos documentales sin interacción formalizada. La versión 2016 exige que esos procesos estén interconectados.
6. El control de los procesos externalizados formalizado
La sección 4.1.5 exige que la organización vigile y controle los procesos externalizados siempre que estos afecten la conformidad del producto. La versión 2003 era menos prescriptiva sobre este punto.
La formulación de la norma es precisa: “Los elementos de control deben ser proporcionados al riesgo asociado y a la aptitud de la parte externa para satisfacer los requisitos de conformidad con 7.4. Los elementos de control deben comprender disposiciones escritas relativas a la calidad.”
El error corriente consiste en considerar que un contrato de subcontratación basta para demostrar el control. No es necesariamente el caso. Las “disposiciones escritas relativas a la calidad” deben precisar las modalidades de verificación de que el proveedor respeta los requisitos de la organización: auditorías, revisiones de desempeño, controles en recepción, transmisiones de datos de calidad. También deben precisar cómo los resultados de esa vigilancia se registran y se tienen en cuenta en las decisiones de recualificación.
Un quality agreement estructurado puede responder a esa exigencia. Un procedimiento interno de gestión de los procesos externalizados también. Lo importante no es la forma del documento, sino la realidad del control ejercido y su trazabilidad.
Ese cambio entra en resonancia directa con el MDR, que responsabiliza explícitamente al fabricante del control de su cadena de suministro, incluidas las actividades confiadas a terceros. El Artículo 10(9) del MDR exige que el fabricante establezca, documente, implemente y mantenga un SGC que cubra, en particular, “la gestión de los recursos, incluida la selección y el control de los proveedores y de los subcontratistas”.
7. Las entradas obligatorias enriquecidas en la revisión por la dirección
La sección 5.6.2 de la versión 2016 pasa a 12 elementos de entrada obligatorios, frente a 7 en la versión 2003. Esa extensión no es cosmética. Tres añadidos traducen la evolución de la filosofía de la norma.
El tratamiento de las reclamaciones (ítem b) se convierte en un elemento de entrada distinto, separado de las retroalimentaciones generales (ítem a). Bajo la versión 2003, las reclamaciones estaban diluidas en el “feedback del cliente”. La versión 2016 exige que se presenten en la revisión por la dirección como una categoría de pleno derecho, con sus propias tendencias y conclusiones.
La notificación a las autoridades reglamentarias (ítem c) es una entrada enteramente nueva. La dirección debe estar informada, en la revisión por la dirección, de las notificaciones efectuadas a las autoridades competentes. Es una consecuencia lógica de la integración de los requisitos reglamentarios en el ámbito del SGC: si la conformidad reglamentaria es un objetivo del sistema, las notificaciones reglamentarias son un indicador de desempeño de este.
Los requisitos reglamentarios nuevos o revisados (ítem l) constituyen la última entrada añadida. La revisión por la dirección debe integrar un análisis de las evoluciones del marco reglamentario aplicable. Sin esa entrada, la dirección pilota el SGC sin visibilidad sobre los cambios por venir o en curso.
Los elementos de salida también se han enriquecido. La sección 5.6.3 comprende 4 elementos de salida obligatorios, entre ellos uno nuevo: los “cambios necesarios para responder a los requisitos reglamentarios aplicables nuevos o revisados” (ítem c). La revisión por la dirección ya no se contenta con constatar las evoluciones reglamentarias; debe decidir las acciones a llevar a cabo para responderles.
En auditoría, una revisión por la dirección que no cubre esas 12 entradas y 4 salidas genera una no conformidad. Más fundamentalmente, una revisión que no se apoya en esos datos priva a la dirección general de información esencial para pilotar el SGC con eficacia.
En síntesis
Esas siete evoluciones no son ajustes de redacción. Traducen una filosofía de gestión de la calidad más madura, orientada al control proactivo de los riesgos, la trazabilidad de las decisiones y la integración del marco reglamentario en el corazón del SGC.
Un SGC verdaderamente alineado con la versión 2016 no se parece, en su lógica de funcionamiento, al construido sobre la versión 2003. La estructura documental puede ser similar. Los procesos pueden llevar los mismos nombres. Pero la forma en que las decisiones se toman, se justifican y se trazan es fundamentalmente diferente.
Es a menudo con motivo de una auditoría de renovación de certificación, o de una primera auditoría por un nuevo organismo notificado, cuando las lagunas de una migración superficial se vuelven visibles. Es mejor identificarlas uno mismo con antelación. Una preauditoría centrada en esos siete puntos permite medir la distancia real entre el SGC tal como está documentado y los requisitos tal como están efectivamente formulados en la norma.