Fabricante por contrato ISO 13485: cómo verificarlo

Qué le compra en realidad la certificación ISO 13485

Cuando un fabricante por contrato dice que está certificado según ISO 13485, eso le indica que la organización opera un sistema de gestión de calidad diseñado para dispositivos médicos, y que un organismo de certificación lo ha auditado frente a la norma. No le indica que el certificado cubra su producto, ni que el sistema funcione de la forma que usted necesita. Esta guía trata sobre esa diferencia y sobre cómo comprobarla cuando se abastece en Taiwán.

ISO 13485:2016 es la norma internacional de gestión de calidad para las organizaciones implicadas en el diseño, la producción, la instalación y el servicio de dispositivos médicos. A diferencia de algunas normas de calidad, está construida en torno a los requisitos regulatorios: el objetivo no es la mejora continua por sí misma, sino demostrar una capacidad constante de producir dispositivos que cumplan tanto los requisitos del cliente como los regulatorios. Para un responsable de abastecimiento, eso replantea lo que vale la certificación. Usted no está comprando una placa en la pared. Está comprando un proceso documentado, auditable y trazable.

ISO 13485 frente a ISO 9001 — por qué importa la distinción en el abastecimiento

Ambas son normas de gestión de calidad, y una fábrica puede tener las dos. No son intercambiables.

ISO 9001:2015 es una norma de calidad general aplicable a cualquier industria, y hace hincapié en la mejora continua y la satisfacción del cliente. ISO 13485:2016 es específica de los dispositivos médicos y hace hincapié en mantener un sistema eficaz, documentado y conforme a la regulación. Unas cuantas diferencias que cambian lo que puede esperar de un proveedor:

• La conformidad regulatoria está integrada. ISO 13485 exige que la organización identifique y cumpla los requisitos regulatorios aplicables a lo largo de todo el proceso. ISO 9001 no.
• La documentación es más exigente y obligatoria. ISO 13485 exige procedimientos documentados donde ISO 9001 deja más a discreción de la organización. Para un dispositivo regulado, esa documentación es lo que hace defendible al producto.
• El riesgo está ligado a la seguridad y la eficacia. El pensamiento basado en el riesgo de ISO 13485 se orienta a la seguridad y el rendimiento del producto, y funciona junto a ISO 14971 para la gestión de riesgos de dispositivos médicos. El foco de riesgo de ISO 9001 es más amplio y orientado al negocio.
• Estructura. ISO 13485:2016 mantuvo la estructura de cláusulas de alto nivel anterior en lugar de adoptar la disposición común del «Anexo SL» que usa ISO 9001:2015, de modo que ambas no se corresponden cláusula por cláusula. Por eso una fábrica necesita ambas certificaciones en lugar de suponer que la 9001 cubre el trabajo médico.

Conclusión práctica: para un dispositivo médico, ISO 9001 por sí sola no basta. Usted quiere un fabricante certificado según ISO 13485, con un alcance acorde. Un proveedor con doble certificación —ISO 13485 e ISO 9001— señala un sistema que gestiona bajo un mismo techo tanto dispositivos regulados como producción general de electrodomésticos.

Trazabilidad: lo que en realidad está pagando

La trazabilidad es la columna vertebral de un sistema 13485. Es la capacidad de reconstruir, para cualquier dispositivo terminado, qué componentes lo integraron, por qué procesos pasó, quién los ejecutó y cuáles fueron los resultados de inspección.

ISO 13485 exige que la organización establezca registros que proporcionen trazabilidad, y para los dispositivos de mayor riesgo los requisitos se endurecen. Cuando audite a un proveedor, esta es la capacidad que hay que sondear con más ahínco, porque es la que le salva durante una incidencia de campo o una retirada. Si aparece un defecto en un lote, la trazabilidad es lo que le permite acotar el problema a un lote en vez de a cada unidad que haya enviado.

Cómo verificarla durante una auditoría: elija una unidad terminada o un número de lote reciente y pida al proveedor que lo recorra hacia atrás. Deberían poder producir los números de lote de los componentes, los registros de producción de ese lote, el estado de calibración de los equipos utilizados y los resultados de inspección, sin ningún apuro. Un proveedor que puede hacer esto delante de usted tiene un sistema real. Uno que promete «enviarlo más tarde» puede estar describiendo un sistema que todavía no existe.

El Device History Record y el expediente del dispositivo médico

Vale la pena entender dos conceptos de documentación antes de auditar, porque son donde la 13485 convierte el proceso en evidencia.

El Device History Record (DHR) es un término de la longeva regulación de calidad de la FDA (21 CFR 820 —desde entonces armonizada con ISO 13485 bajo la QMSR) para el registro de producción de un dispositivo o lote terminado: la documentación que prueba que el dispositivo se fabricó de acuerdo con su registro maestro. ISO 13485 alcanza el mismo resultado a través de sus registros de producción y de los requisitos de su expediente del dispositivo médico: para cada tipo o familia de dispositivo, la organización mantiene un expediente que contiene o referencia los documentos que demuestran la conformidad. Cuando un fabricante vende al mercado estadounidense, usted quiere ver que sus registros de producción satisfacen las expectativas del DHR incluso allí donde no se usa el término ISO.

El expediente del dispositivo médico (cláusula 4.2.3 de ISO 13485) es la referencia maestra para un tipo de dispositivo: especificaciones del producto, procedimientos de fabricación e inspección y, cuando corresponda, requisitos de instalación y servicio. Es el documento de «cómo se supone que se construye este dispositivo». Los registros de producción son la evidencia de «cómo se construyó de verdad este lote». Durante una auditoría, pida ver un expediente del dispositivo médico redactado y un registro de lote completado del mismo producto, y compruebe que el segundo sigue al primero. Las brechas entre ambos son donde viven los problemas de calidad.

Controles de diseño — aunque el diseño sea suyo

Los controles de diseño son el proceso disciplinado de llevar un dispositivo desde los requisitos hasta un diseño verificado, validado y listo para producción: entradas de diseño, salidas, revisión, verificación, validación, transferencia y control de cambios, todo documentado.

Los responsables de abastecimiento a veces suponen que los controles de diseño no importan cuando la marca es dueña del diseño y la fábrica solo fabrica. Sí importan, por dos razones. Primero, la transferencia de diseño —pasar un diseño a producción— es en sí misma un paso controlado, y una fábrica que gestiona mal la transferencia introducirá defectos de los que ningún diseño de entrada era responsable. Segundo, cada cambio de ingeniería que usted solicite una vez iniciada la producción fluye a través del control de cambios. Un fabricante con controles de diseño maduros gestiona sus órdenes de cambio con control de revisiones y evaluación de impacto. Uno sin ellos hace cambios improvisados que rompen la trazabilidad en silencio.

Si su fabricante por contrato también realiza trabajo de diseño y desarrollo para usted, entonces todo el proceso de control de diseño está dentro del alcance, y el certificado ISO 13485 necesita decir «diseño y desarrollo» en su declaración de alcance, no solo «fabricación».

CAPA y gestión de reclamaciones — cómo aprende una fábrica

Un sistema de calidad solo es tan bueno como su respuesta al fallo. ISO 13485 exige procesos de acción correctiva y preventiva (CAPA) y de gestión de reclamaciones, y ahí es donde se ve si un fabricante trata los problemas como sucesos que cerrar o como datos de los que aprender.

Pida ver un registro CAPA cerrado. Uno bueno enuncia el problema, el análisis de causa raíz, la corrección, la acción preventiva tomada para detener la recurrencia y la evidencia de que alguien verificó que la solución funcionó. Uno flojo salta de «problema» a «operario recapacitado» sin nada en medio; ese patrón significa que el mismo defecto volverá. Para la gestión de reclamaciones, pregunte cómo llega una reclamación de campo de su mercado hasta la planta de fabricación y cómo se documenta la respuesta. Para los dispositivos vendidos en mercados regulados, esa cadena también conecta con obligaciones de notificación, así que tiene que ser real.

Auditorías internas y revisión por la dirección

Dos requisitos de la 13485 le dicen si el sistema funciona por sí solo o solo cuando un cliente está mirando. Las auditorías internas son la organización auditándose a sí misma frente a la norma de forma programada. La revisión por la dirección es el liderazgo revisando formalmente los datos de calidad —resultados de auditoría, reclamaciones, estado de las CAPA, no conformidades— y actuando en consecuencia.

Durante una auditoría de proveedor, pida el calendario de auditorías internas y un informe de auditoría interna reciente, y pregunte cuándo se realizó la última revisión por la dirección. Una fábrica que se audita a sí misma con regularidad y cuyas revisiones por la dirección producen acciones tiene un sistema autocorrectivo. Una donde estos existen solo como plantillas en blanco tiene un certificado pero no un QMS que funcione, y la diferencia aparecerá en su producto.

Cómo verificar a un fabricante por contrato ISO 13485 al abastecerse en Taiwán

Taiwán tiene una base profunda de fabricantes certificados según ISO 13485, que es exactamente por lo que usted necesita una rutina de verificación en vez de confiar en el logotipo.

1. Confirme que el certificado es real y está vigente. Consiga el número de certificado, el organismo de certificación y la acreditación que lo respalda. Coteje contra el registro del organismo de certificación o una base de datos entre registradores. Haga coincidir el nombre de la entidad jurídica con su contrato.
2. Lea la declaración de alcance. Confirme que cubre su tipo de dispositivo y el trabajo que necesita: solo fabricación, o diseño y desarrollo y fabricación.
3. Audite la trazabilidad en vivo. Saque un número de lote y hágales recorrerlo hacia atrás en la planta.
4. Compruebe la documentación frente a la realidad. Compare un expediente del dispositivo médico con un registro de lote real del mismo producto.
5. Ponga a prueba el control de cambios. Pregunte cómo se mueve una orden de cambio de ingeniería por su sistema y quién la aprueba.
6. Confirme que el soporte regulatorio se ajusta a su mercado. Si vende en Estados Unidos, verifique que sus registros de producción cumplen las expectativas del DHR y pregunte qué soporte de documentación y pruebas ofrecen para las presentaciones.

Para la cuestión más amplia de elegir un socio taiwanés —la lista de verificación de la visita a la fábrica, las señales de alarma y la protección de la propiedad intelectual— vea nuestra guía del comprador de fabricantes por contrato de dispositivos médicos en Taiwán.

Cómo lo hacemos nosotros

Gooten Innolife posee las certificaciones ISO 13485:2016 e ISO 9001:2015, y cada certificado que tenemos es verificable: pídalo y le daremos los números para comprobarlo. Fabricamos en Taichung, Taiwán, con producción, I+D y garantía de calidad ubicadas en el mismo sitio, de modo que las preguntas de trazabilidad y los cambios de ingeniería se resuelven en la planta.

La garantía de calidad se ejecuta a lo largo de nuestro proceso de cinco fases, con inspección previa a la producción, durante el proceso y final, más ensayos de terceros. Tenemos experiencia de conformidad con CE, FCC, RoHS y PSE, y ofrecemos soporte de documentación y pruebas para presentaciones ante la FDA. Hemos enviado más de 1,000,000 unidades a clientes en más de 50 países, incluido un líder estadounidense de dispositivos para el crecimiento capilar que ha construido cuatro generaciones de producto con nosotros desde 2008.

Puede revisar nuestras calidad y certificaciones y nuestros servicios OEM/ODM para tener el panorama completo.

Verifíquenos antes de comprometerse

Si está evaluando a un fabricante por contrato ISO 13485, sométanos a la lista de verificación anterior. Contacte con nuestros ingenieros, envíe el detalle técnico y coteje nuestras respuestas frente a su propio estándar de auditoría.