Fabricante por contrato ISO 13485: cómo verificarlo

Qué le compra en realidad la certificación ISO 13485

Cuando un fabricante por contrato le dice que está certificado según ISO 13485, usted ha averiguado una cosa concreta: la organización opera un sistema de gestión de calidad pensado para dispositivos médicos, y un organismo de certificación lo ha auditado frente a la norma. Lo que no ha averiguado es si el certificado cubre su producto, ni si el sistema funciona como usted lo necesita. De esa distancia va esta guía, y de cómo comprobarla cuando se abastece en Taiwán.

ISO 13485:2016 es la norma internacional de gestión de calidad para las organizaciones que diseñan, producen, instalan y dan servicio a dispositivos médicos. A diferencia de otras normas de calidad, está construida alrededor de los requisitos regulatorios. El objetivo no es la mejora continua por sí misma; es demostrar que la fábrica puede producir de forma constante dispositivos que cumplen tanto los requisitos del cliente como los del regulador. Para quien compra, eso cambia el valor del certificado. Usted no paga por una placa en la recepción. Paga por un proceso documentado, auditable y trazable.

ISO 13485 frente a ISO 9001: por qué importa la distinción en el abastecimiento

Ambas son normas de gestión de calidad y una fábrica puede tener las dos. Una no sustituye a la otra.

ISO 9001:2015 es una norma general, sirve para cualquier industria, y pone el acento en la mejora continua y la satisfacción del cliente. ISO 13485:2016 es específica de dispositivos médicos y pone el acento en mantener en marcha un sistema eficaz, documentado y conforme con la regulación. Hay unas cuantas diferencias que cambian lo que puede esperar de un proveedor:

• Alcance regulatorio de los dispositivos médicos. Identifique los requisitos aplicables al dispositivo, al mercado y a las actividades del proveedor. La descripción general de la QMSR de la FDA explica cómo se incorpora ISO 13485 a los requisitos estadounidenses sobre sistemas de calidad de dispositivos médicos junto con las disposiciones aplicables de la FDA. Un certificado general ISO 9001 no demuestra, por sí solo, que se cumplan esos requisitos específicos de los dispositivos médicos.
• La documentación pesa más y es obligatoria. Donde ISO 9001 deja margen al criterio de la organización, ISO 13485 exige procedimientos documentados. En un dispositivo regulado, esa documentación es lo que sostiene al producto cuando empiezan las preguntas.
• El riesgo se ata a la seguridad y la eficacia. El pensamiento basado en el riesgo de ISO 13485 apunta a la seguridad y el rendimiento del producto, y trabaja junto a ISO 14971 para la gestión de riesgos de dispositivos médicos. El foco de riesgo de ISO 9001 es más amplio y más de negocio.
• Estructura. ISO 13485:2016 conservó la estructura de cláusulas de alto nivel anterior en lugar de adoptar la disposición del «Anexo SL» que usa ISO 9001:2015, así que las dos no se corresponden cláusula por cláusula. ISO 13485 es una norma independiente; las diferencias de estructura no crean una obligación universal de contar con ambos certificados. Confirme las normas y las condiciones de certificación aplicables a sus mercados y a su contrato.

Al seleccionar un proveedor, compare sus actividades documentadas, el alcance de sus certificados y sus registros reales con el trabajo que necesita. Los requisitos de certificación pueden depender del mercado y del contrato. Las preguntas frecuentes de la FDA sobre la QMSR explican que la autoridad no exige un certificado ISO 13485 y que tenerlo no exime al fabricante de sus inspecciones. Ni un certificado ni dos certificados, por sí solos, acreditan la conformidad de su dispositivo ni demuestran qué fabrica una planta concreta.

Trazabilidad: lo que en realidad está pagando

La trazabilidad conecta los registros pertinentes del producto, la producción y la inspección dentro del alcance definido para el dispositivo y el trabajo realizado. Acuerde qué lotes de componentes o materiales, registros de procesos e información de distribución deben vincularse y compruebe cómo se mantienen esas conexiones.

Determine el alcance de trazabilidad requerido a partir del dispositivo, los requisitos regulatorios aplicables y los controles acordados para el proyecto. Use registros reales y evidencias del defecto para delimitar una investigación de incidencias de campo. La trazabilidad puede ayudar a identificar las unidades afectadas, pero no garantiza que un defecto se limite a un solo lote ni que todos los registros pertinentes deban tener el mismo nivel de detalle.

Cómo verificarla durante una auditoría: elija una unidad terminada o un número de lote reciente y pida que se lo recorran hacia atrás. Tienen que sacar los números de lote de los componentes, los registros de producción de ese lote, el estado de calibración de los equipos utilizados y los resultados de inspección, sin ponerse a buscar. Un proveedor que hace eso delante de usted tiene un sistema real. El que promete «se lo enviamos luego» a lo mejor está describiendo un sistema que todavía no existe.

El Device History Record y el expediente del dispositivo médico

Antes de auditar conviene tener claros dos conceptos de documentación, porque son el punto donde la 13485 convierte el proceso en evidencia.

El Device History Record (DHR) es un término heredado de la antigua regulación Quality System de la FDA. Desde el 2 de febrero de 2026 está en vigor la regulación del sistema de gestión de la calidad (QMSR). En su norma definitiva, respuesta 31, la FDA eliminó los términos diferenciados DHR, DMR y DHF y los requisitos relativos a esos tipos de registros, porque sus elementos subyacentes están cubiertos en gran medida por las cláusulas 4.2 y 7 de ISO 13485. Muchos elementos del antiguo DHR se exigen en el registro del dispositivo o lote previsto en la cláusula 7.5.1. Las obligaciones de mantener registros no desaparecieron. Para el mercado estadounidense, pregunte cómo los procedimientos y registros actuales cumplen los requisitos aplicables de la QMSR y cómo se relacionan los registros anteriores con ellos. El nombre antiguo de una carpeta no demuestra por sí solo la conformidad, y el cambio no obliga por sí mismo a renombrar todos los registros antiguos.

El expediente del dispositivo médico (cláusula 4.2.3 de ISO 13485) es la referencia maestra de un tipo de dispositivo: especificaciones del producto, procedimientos de fabricación e inspección y, cuando aplique, requisitos de instalación y servicio. Responde a «cómo se supone que se construye este dispositivo». Los registros de producción responden a «cómo se construyó de verdad este lote». En una auditoría, pida ver un expediente del dispositivo médico redactado y un registro de lote completado del mismo producto, y compruebe que el segundo sigue al primero. En los huecos entre uno y otro es donde viven los problemas de calidad.

Controles de diseño, aunque el diseño sea suyo

Los controles de diseño son el proceso disciplinado que lleva un dispositivo desde los requisitos hasta un diseño verificado, validado y listo para producción: entradas de diseño, salidas, revisión, verificación, validación, transferencia y control de cambios, todo documentado.

Ser propietario del diseño y controlar los cambios de fabricación son responsabilidades distintas. Acuerde quién gestiona la transferencia del diseño, las revisiones aprobadas, la evaluación de cambios y su autorización antes de iniciar la producción. Pida al proveedor que muestre cómo se conecta el trabajo que tiene asignado con la información controlada del propietario del diseño. Las actividades y evidencias que debe revisar dependen del reparto real del trabajo y de los requisitos aplicables, y no solo de quién es dueño del diseño.

Si su proveedor realiza actividades de diseño y desarrollo, compruebe que el alcance de su sistema de calidad y sus registros cubren las actividades asignadas, y examine cualquier exclusión o no aplicabilidad alegada. La respuesta 45 de la norma definitiva de la FDA explica la aplicabilidad de los requisitos de diseño y desarrollo según el dispositivo bajo la QMSR y reconoce las exclusiones documentadas permitidas por la autoridad regulatoria. Confirme los requisitos con su equipo de asuntos regulatorios; una frase concreta en un certificado no sustituye la comprobación del alcance, las responsabilidades y los registros.

CAPA y gestión de reclamaciones: cómo aprende una fábrica

Un sistema de calidad enseña lo que vale en cómo responde al fallo. ISO 13485 exige procesos de acción correctiva y preventiva (CAPA) y de gestión de reclamaciones, y ahí se ve si un fabricante trata los problemas como sucesos que hay que cerrar o como datos de los que se aprende.

Pida ver un registro CAPA cerrado y examine el problema, cualquier corrección inmediata o medida de contención, el análisis de causas, la acción elegida y las evidencias de eficacia adecuadas para el problema y el riesgo. La acción correctiva aborda las no conformidades reales y sus causas; la acción preventiva aborda las no conformidades potenciales. La respuesta 20 de la norma definitiva de la FDA conserva esa distinción. Un registro que solo menciona la formación adicional del operario deja sin resolver las preguntas sobre la causa y la eficacia; no demuestra, por sí solo, que el defecto vaya a repetirse. Para las reclamaciones, pregunte cómo llega la información al equipo responsable, cómo se registra la respuesta y cómo se evalúan los criterios de notificación que resulten aplicables.

Auditorías internas y revisión por la dirección

Dos requisitos de la 13485 le dicen si el sistema funciona por sí solo o solo cuando hay un cliente mirando. Auditorías internas: la organización se audita a sí misma frente a la norma, de forma programada. Revisión por la dirección: el liderazgo revisa formalmente los datos de calidad (resultados de auditoría, reclamaciones, estado de las CAPA, no conformidades) y actúa en consecuencia.

Durante una auditoría de proveedor, pida el calendario de auditorías internas y un informe de auditoría interna reciente, y pregunte cuándo se hizo la última revisión por la dirección. Una fábrica que se audita con regularidad, y cuyas revisiones por la dirección acaban en acciones, tiene un sistema que se corrige solo. Otra donde todo eso existe como plantillas en blanco tiene un certificado, no un QMS en funcionamiento. Esa diferencia acaba apareciendo en su producto.

Cómo verificar a un fabricante por contrato ISO 13485 al abastecerse en Taiwán

Taiwán tiene una base profunda de fabricantes certificados según ISO 13485. Justo por eso hace falta una rutina de verificación en lugar de fiarse del logotipo.

1. Confirme que el certificado es real y está vigente. Pida el número de certificado, el organismo de certificación y la acreditación que hay detrás. Cotéjelo contra el registro del organismo de certificación o una base de datos entre registradores, y haga coincidir el nombre de la entidad jurídica con el de su contrato.
2. Lea la declaración de alcance. Confirme que cubre su tipo de dispositivo y el trabajo que necesita: solo fabricación, o diseño y desarrollo más fabricación.
3. Audite la trazabilidad en vivo. Saque un número de lote y haga que se lo recorran hacia atrás en la planta.
4. Compruebe la documentación contra la realidad. Compare un expediente del dispositivo médico con un registro de lote real del mismo producto.
5. Ponga a prueba el control de cambios. Pregunte cómo se mueve una orden de cambio de ingeniería por su sistema y quién la firma.
6. Confirme que el soporte regulatorio encaja con su mercado. Para el mercado estadounidense, pregunte cómo los procedimientos y registros de producción actuales del proveedor cumplen los requisitos aplicables de la QMSR, incluida la correspondencia con los registros anteriores. Confirme el soporte de documentación de fabricación y pruebas incluido en el alcance acordado.

Para la pregunta más amplia de cómo elegir un socio taiwanés (la lista de verificación de la visita a la fábrica, las señales de alarma y la protección de la propiedad intelectual), vea nuestra guía para evaluar un proveedor en Taiwán.

Cómo lo hacemos nosotros

Gooten Innolife tiene las certificaciones ISO 13485:2016 e ISO 9001:2015, y cada certificado que tenemos es verificable: pídalo y le damos los números para comprobarlo. Fabricamos en Taichung, Taiwán, con producción, I+D y garantía de calidad en el mismo sitio, así que las preguntas de trazabilidad y los cambios de ingeniería se resuelven en la planta.

La garantía de calidad recorre nuestro proceso de cinco fases, con inspección previa a la producción, durante el proceso y final, más ensayos de terceros. Tenemos experiencia de conformidad con CE, FCC, RoHS y PSE, y ofrecemos soporte de documentación y pruebas para presentaciones ante la FDA. Hemos enviado más de 1 000 000 de unidades a clientes en más de 50 países, entre ellos un líder estadounidense de dispositivos para el crecimiento capilar que ha construido cuatro generaciones de producto con nosotros desde 2008.

Puede repasar nuestra calidad y certificaciones y nuestros servicios OEM/ODM para ver el panorama completo.

Verifíquenos antes de comprometerse

Si está evaluando a un fabricante por contrato ISO 13485, páselo por la lista de verificación de arriba con nosotros. Contacte con nuestros ingenieros, envíe el detalle técnico y coteje nuestras respuestas con su propio estándar de auditoría.