Auditoría Interna ISO 13485 – Gestión de la Calidad en Dispositivos Médicos

Tu sistema de calidad para dispositivos médicos está certificado. Lo que la auditoría interna tiene que decirte es si funcionaría el día que tengas que usarlo de verdad.

La problemática

En las empresas de dispositivos médicos el sistema de calidad lo lleva, casi siempre, la misma persona que responde por los asuntos regulatorios. Es el cargo con más exigencia por metro cuadrado: registros sanitarios, requisitos de los clientes, documentación de los fabricantes representados y, encima, el sistema. La auditoría interna es una tarea más de esa lista, y se resuelve rápido.

Y acá hay un punto que conviene mirar de frente: el procedimiento de retiro de producto que nunca se probó.

ISO 13485 no pide tener escrito cómo se retira un producto del mercado. Pide poder hacerlo. Lo mismo con la trazabilidad: el requisito no es tener un procedimiento, es poder reconstruir, a partir de un lote o un número de serie, a quién le llegó cada unidad.

Esa diferencia no se nota leyendo el documento. Una auditoría interna que revisa el procedimiento lo aprueba siempre, porque el procedimiento está bien escrito. La pregunta que cambia el resultado es otra: tomar un lote cualquiera, ahora, y pedir la lista completa de clientes que lo recibieron, con el tiempo que tomó armarla.

El día que haya que retirar un producto, lo que importa no es lo que dice el procedimiento. Importa cuánto demoras en saber dónde está cada unidad, y si los registros que lo permiten están completos.

Qué revisa un auditor especialista en ISO 13485

ISO 13485 comparte estructura con ISO 9001, pero no se audita igual. Acá el criterio no es la satisfacción del cliente, es la seguridad del paciente, y eso cambia qué se mira y con qué profundidad. Esto es lo que se revisa, y el hallazgo que aparece con más frecuencia en cada punto.

Trazabilidad. Hacia adelante y hacia atrás, con el nivel de detalle que corresponde al tipo de producto. Es más exigente en dispositivos implantables. El hallazgo típico es la cadena que se corta en el distribuidor o en el despacho.
Retiro de producto y avisos de seguridad. Que exista la capacidad, no solo el procedimiento, y que haya evidencia de que se probó alguna vez.
Notificación a la autoridad sanitaria. Qué eventos hay que informar, a quién, en qué plazo y quién lo decide dentro de la empresa. El hallazgo típico es que el criterio de notificación no está escrito y queda al juicio de quien esté ese día.
Reclamos. Que todos entren por el mismo canal, que se evalúe si corresponde investigar y que quede registrada la razón cuando se decide no investigar.
Expediente del dispositivo médico. Que exista por cada tipo o familia de producto y que esté al día con la configuración que se está comercializando.
Gestión del riesgo. A lo largo de todo el ciclo del producto, y conectada de verdad con los controles del proceso. El hallazgo típico es el análisis de riesgos que se hizo una vez y no se revisó cuando cambió el producto o apareció un reclamo.
Validación de procesos. De los procesos cuyo resultado no se puede verificar después, y con requisitos propios cuando hay esterilización.
Control de cambios. En diseño, en proveedores, en procesos. Qué se evaluó antes de aprobar el cambio y si había que informarlo a alguien.
Proveedores críticos. Criterios de evaluación, controles acordados por escrito y qué pasa cuando un proveedor cambia algo sin avisar.
Almacenamiento y preservación. Condiciones controladas, control de vencimientos y manejo del producto devuelto. En cadena de frío, el registro de la temperatura durante todo el trayecto.
Limpieza y control de la contaminación. Según lo que el producto requiera, con la evidencia del control del ambiente de trabajo.
Competencia del personal. Que esté evaluada contra la tarea específica, y que se verifique la eficacia de la formación, no solo que se dictó.

No todos estos puntos pesan igual en todas las empresas. Depende sobre todo del rol que tu empresa cumple en la cadena, que es el tema de más abajo.

La auditoría que tienes que hacer igual, hecha por alguien que audita pensando en el paciente.

Cotiza tu auditoría interna ISO 13485

Cómo trabajamos esta auditoría

La audita un especialista en ISO 13485, y su formación y experiencia van a la vista en la propuesta. No es un detalle de presentación: la competencia del auditor es uno de los puntos que el organismo certificador revisa de tu auditoría interna.

Quien audita no es parte del proceso auditado. Vale la pena detenerse acá, porque es donde más se pierde valor sin darse cuenta: auditar de forma cruzada dentro del mismo equipo no funciona. Cuando el que audita y el auditado comparten jefatura y objetivos, salen hallazgos puntuales —falta un registro, falta una firma— y no las no conformidades que le dan valor al sistema.

En la práctica, la auditoría se desarrolla así:

Antes. Acordamos el alcance, los criterios y las fechas, y queda por escrito quién va a auditar. Se levanta el plan de auditoría y se avisa con tiempo a los responsables de cada proceso.
Durante. Reunión de apertura, revisión de registros, recorrido de bodega y de los procesos, y entrevistas a quienes ejecutan. Cierra con una reunión donde los hallazgos se presentan en el momento, uno por uno. Nadie se entera de un hallazgo al leer el informe.
Después. El informe llega con cada hallazgo trazable: el requisito que lo origina, la evidencia concreta que lo sustenta y su clasificación. Con esas tres cosas, quien tiene que responderlo sabe exactamente qué corregir y qué mostrar.

El objetivo es uno solo: que llegues a la auditoría externa sin sorpresas. Lo que el certificador va a encontrar, ya lo sabes y ya lo trabajaste.

Y el servicio trae dos cosas más, sin costo adicional:

Una prueba de trazabilidad real durante la auditoría: elegimos un lote o un número de serie y reconstruimos la cadena completa en los dos sentidos, midiendo cuánto tomó. Es la única forma de saber si el sistema responde cuando haga falta.
Horas de asesoría técnica de respuesta para orientar la respuesta a las no conformidades que levante el certificador durante el ciclo. Se entregan después de emitido el informe, nunca durante la auditoría, para no afectar la objetividad del auditor. La respuesta la presenta tu empresa; nosotros revisamos la causa, el plan de acción y la evidencia de cierre.

Tu próxima auditoría externa define cuándo conviene hacer la interna.

Cotiza tu auditoría interna ISO 13485

Por qué el especialista cambia el resultado

Una auditoría interna hecha por alguien que sabe auditar pero no conoce la norma pasa el capítulo 8 y deja el riesgo de fondo intacto. Se revisa que los documentos existan, se levantan hallazgos de forma, y los puntos donde la empresa está realmente expuesta no se tocan porque no se sabe dónde mirar.

En dispositivos médicos eso tiene una consecuencia que no se parece a la de ninguna otra norma. Un hallazgo no detectado acá no termina en un reclamo ni en una multa: termina en un producto que llegó a un paciente y no debía llegar. Y cuando eso pasa, lo primero que se revisa es si el sistema de calidad tenía cómo detectarlo y cómo reaccionar.

Hay además una consecuencia comercial directa. Los hospitales, las licitaciones públicas y los fabricantes que representas auditan a sus proveedores, y la certificación es el piso, no el techo. Lo que miran es si el sistema opera.

En la página de auditoría interna de sistemas ISO están las siete cosas que el certificador pide sobre tu auditoría interna, cómo se clasifican los hallazgos y con qué criterio se define la frecuencia. Aplica igual para todas las normas.

Tu rol regulatorio define qué sistema te corresponde

Hay un requisito de ISO 13485 que define todo lo demás y que suele pasar desapercibido: la norma exige que tu empresa documente el rol o los roles que cumple bajo los requisitos regulatorios que le aplican.

No es un trámite. Fabricar, importar, distribuir, almacenar o esterilizar son roles distintos, y cada uno arrastra requisitos distintos. De ahí sale qué partes de la norma te aplican de verdad y cuáles puedes declarar como no aplicables, con su justificación.

Si fabricas, entran de lleno el diseño y desarrollo, la validación de procesos y el expediente del dispositivo.
Si importas o distribuyes, el peso se corre a la trazabilidad, al almacenamiento y preservación, al control de los productos devueltos, a los reclamos y a la capacidad de retiro. El diseño puede no aplicarte, y eso se declara y se justifica.
Si esterilizas, aparecen los requisitos particulares de validación de ese proceso y los registros de cada carga.
Si cumples más de un rol, se suman. Es más común de lo que parece: muchas empresas importan y además arman o reacondicionan.

En Chile la autoridad sanitaria en esta materia es el Instituto de Salud Pública, y los requisitos que te aplican dependen del producto y del rol que cumples con él. Un sistema que no declara bien ese rol termina auditando lo que no corresponde y dejando fuera lo que sí.

Por eso lo primero que revisamos no es un procedimiento, es la declaración de rol. Si está mal, el sistema completo está apuntando al lado equivocado y los hallazgos de forma no lo van a mostrar.

Cuéntanos qué rol cumple tu empresa y cuándo es tu próxima auditoría externa.

Cotiza tu auditoría interna ISO 13485

Si tu caso no es exactamente este

¿Tu sistema de calidad todavía no está implementado o no está operando? Te recomendamos ver el servicio de consultoría en ISO 13485, que lo desarrolla y lo deja listo para certificar.

¿Necesitas quien lleve el sistema de forma permanente sin contratar un cargo completo? Está el encargado del sistema de gestión en outsourcing.

¿Prefieres formar a alguien de tu equipo para que haga las auditorías internas en adelante? Está el curso de auditor interno multinorma.

¿Estás certificado además en ISO 9001 u otras normas? En la página de auditoría interna de sistemas ISO puedes ver todas las que auditamos; cuando el alcance incluye varias, entra el especialista de cada una.

Si no tienes claro cuál te corresponde, cuéntanos tu caso y te proponemos el alcance.

Cuéntanos qué rol cumple tu empresa y cuándo es tu próxima auditoría externa. Con eso te proponemos el alcance, las horas, la fecha y quién va a ser el auditor.