La pregunta surge en casi todas las cadenas de fabricación de productos sanitarios: ¿un subcontratista o proveedor que trabaja para un fabricante certificado ISO 13485 debe estar él mismo certificado? La respuesta no es binaria. Reducirla a un «sí» o un «no» genera problemas en ambos sentidos: o se exige una certificación donde el control basta, o se relaja el control donde se vuelve crítico. La buena pregunta nunca es «¿está certificado?», sino «¿es el control proporcional al riesgo y está documentado?».
Lo que dice la sección 4.1.5: control, no certificación
La sección 4.1.5 de la ISO 13485:2016 se refiere a todo proceso externalizado que incida en la conformidad del producto. Exige al fabricante supervisarlo y asegurar su control. En ningún momento dice que el subcontratista deba estar certificado ISO 13485. Exige que los elementos de control sean proporcionales al riesgo asociado y a la capacidad de la parte externa para satisfacer los requisitos, conforme al apartado 7.4 sobre compras.
En concreto, esto remite a los criterios de 7.4.1: evaluación y selección del proveedor basadas en su capacidad, su desempeño y la incidencia del producto o de la prestación sobre el producto sanitario. La certificación ISO 13485 de un subcontratista es la forma más directa de demostrar esa capacidad en una actividad crítica. No es la única.
La obligación que muchos olvidan: el acuerdo de calidad escrito
La sección 4.1.5 termina con una frase que pocos fabricantes integran realmente: los elementos de control «deben incluir disposiciones escritas relativas a la calidad». Dicho de otro modo, un acuerdo de calidad escrito no es una opción reservada a los prestadores no certificados. Es un requisito de base, aplicable a todo proceso externalizado que afecte a la conformidad, esté certificado el subcontratista o no.
Este acuerdo define los requisitos de calidad aplicables, el reparto de responsabilidades, los entregables, las modalidades de control y la notificación de las modificaciones. Un subcontratista certificado ISO 13485 sin un acuerdo de calidad formalizado sigue siendo una no conformidad 4.1.5. La certificación prueba la capacidad, el acuerdo escrito prueba el control. Ambos no se sustituyen.
Cuándo se espera la certificación ISO 13485 del subcontratista
Para las actividades de fuerte impacto en la seguridad del producto final —esterilización externalizada, ensamblaje crítico, ensayos de rendimiento, fabricación de componentes biocompatibles— la certificación ISO 13485 del subcontratista es la solución más robusta. Demuestra la existencia de un SGC completo, auditado por un tercero independiente.
Durante la auditoría del fabricante, el organismo notificado identifica a los proveedores y subcontratistas concernidos y determina si es necesario proceder a una auditoría específica de alguno de ellos. Cuando la criticidad lo justifica, puede solicitar auditar directamente al subcontratista o consultar su certificación. Esta posibilidad está prevista por los requisitos aplicables a los organismos notificados en el MDR. Anticipar esta lectura evita descubrir un punto débil en plena auditoría.
Controlar a un subcontratista no certificado: las palancas
Si el subcontratista no dispone de la certificación ISO 13485, el fabricante debe compensar con un control más activo y documentado. Cuatro palancas, a calibrar según la criticidad.
Auditoría del subcontratista
El fabricante realiza o manda realizar auditorías periódicas, con informe documentado y seguimiento de las no conformidades detectadas. Es la palanca más directa para objetivar la capacidad de un prestador no certificado.
Requisitos contractuales y acuerdo de calidad
Más allá del acuerdo de calidad exigido por 4.1.5, el contrato precisa los requisitos de calidad aplicables, los entregables esperados, los indicadores de rendimiento supervisados y las modalidades de control.
Control reforzado en la recepción
Controles sistemáticos en la recepción de los productos o de las prestaciones verifican la conformidad. El alcance de la verificación se ajusta al resultado de la evaluación del proveedor y al riesgo asociado, conforme al 7.4.3.
Revisión periódica del rendimiento
Reuniones periódicas examinan los indicadores, tratan las no conformidades y anticipan los riesgos. Alimentan la reevaluación del proveedor prevista por el 7.4.1.
Un punto de proporcionalidad, a menudo descuidado: para un proceso de baja criticidad, una certificación ISO 9001 del prestador, combinada con una verificación en la recepción, puede constituir una prueba de capacidad suficiente. Todo se juega en la incidencia real del proceso sobre el producto final, no en el nombre de la norma exhibida.
Lo que el fabricante nunca puede delegar
Sea cual sea la calidad del subcontratista y el rigor del control ejercido, la responsabilidad reglamentaria sigue siendo la del fabricante. El Artículo 10 del MDR es explícito: el fabricante es responsable de la conformidad de sus productos, incluso cuando actividades de diseño o de fabricación son realizadas por terceros. El fallo de un subcontratista no lo exime. La sección 4.1.5 lo formula en los mismos términos: la organización sigue siendo responsable de la conformidad de los procesos externalizados.
Ahí es donde se juega la verdadera decisión. Externalizar un proceso transfiere la ejecución, nunca la responsabilidad. El fabricante que lo ha entendido no busca certificarlo todo. Documenta un control proporcional al riesgo, y lo mantiene.
¿Se pregunta si el control de sus subcontratistas resistirá la auditoría de su organismo notificado? Hable con nosotros.