Fabricante por contrato ISO 13485: cómo verificarlo

Qué le compra en realidad la certificación ISO 13485

Cuando un fabricante por contrato le dice que está certificado según ISO 13485, usted ha averiguado una cosa concreta: la organización opera un sistema de gestión de calidad pensado para dispositivos médicos, y un organismo de certificación lo ha auditado frente a la norma. Lo que no ha averiguado es si el certificado cubre su producto, ni si el sistema funciona como usted lo necesita. De esa distancia va esta guía, y de cómo comprobarla cuando se abastece en Taiwán.

ISO 13485:2016 es la norma internacional de gestión de calidad para las organizaciones que diseñan, producen, instalan y dan servicio a dispositivos médicos. A diferencia de otras normas de calidad, está construida alrededor de los requisitos regulatorios. El objetivo no es la mejora continua por sí misma; es demostrar que la fábrica puede producir de forma constante dispositivos que cumplen tanto los requisitos del cliente como los del regulador. Para quien compra, eso cambia el valor del certificado. Usted no paga por una placa en la recepción. Paga por un proceso documentado, auditable y trazable.

ISO 13485 frente a ISO 9001: por qué importa la distinción en el abastecimiento

Ambas son normas de gestión de calidad y una fábrica puede tener las dos. Una no sustituye a la otra.

ISO 9001:2015 es una norma general, sirve para cualquier industria, y pone el acento en la mejora continua y la satisfacción del cliente. ISO 13485:2016 es específica de dispositivos médicos y pone el acento en mantener en marcha un sistema eficaz, documentado y conforme con la regulación. Hay unas cuantas diferencias que cambian lo que puede esperar de un proveedor:

• La conformidad regulatoria viene incorporada. ISO 13485 obliga a la organización a identificar y cumplir los requisitos regulatorios aplicables a lo largo de todo el proceso. ISO 9001 no lo pide.
• La documentación pesa más y es obligatoria. Donde ISO 9001 deja margen al criterio de la organización, ISO 13485 exige procedimientos documentados. En un dispositivo regulado, esa documentación es lo que sostiene al producto cuando empiezan las preguntas.
• El riesgo se ata a la seguridad y la eficacia. El pensamiento basado en el riesgo de ISO 13485 apunta a la seguridad y el rendimiento del producto, y trabaja junto a ISO 14971 para la gestión de riesgos de dispositivos médicos. El foco de riesgo de ISO 9001 es más amplio y más de negocio.
• Estructura. ISO 13485:2016 conservó la estructura de cláusulas de alto nivel anterior en lugar de adoptar la disposición del «Anexo SL» que usa ISO 9001:2015, así que las dos no se corresponden cláusula por cláusula. Por eso una fábrica necesita ambas certificaciones, y por eso no puede dar por hecho que la 9001 cubre el trabajo médico.

Conclusión práctica: para un dispositivo médico, ISO 9001 por sí sola se queda corta. Usted busca un fabricante certificado según ISO 13485, con un alcance que encaje con su producto. Que un proveedor tenga la doble certificación (ISO 13485 e ISO 9001) le dice que bajo el mismo techo se gestionan dispositivos regulados y producción general de electrodomésticos.

Trazabilidad: lo que en realidad está pagando

La trazabilidad es la columna vertebral de un sistema 13485. Para cualquier dispositivo terminado, la fábrica debería poder reconstruir qué componentes entraron en él, por qué procesos pasó, quién los ejecutó y qué resultados dio la inspección.

ISO 13485 exige registros que aporten trazabilidad, y en los dispositivos de mayor riesgo los requisitos se aprietan. Cuando audite a un proveedor, sondee aquí más que en ningún otro punto. Es la capacidad que le salva durante una incidencia de campo o una retirada. Si aparece un defecto en un lote, la trazabilidad le permite acotar el problema a ese lote y no a todas las unidades que ha enviado en su vida.

Cómo verificarla durante una auditoría: elija una unidad terminada o un número de lote reciente y pida que se lo recorran hacia atrás. Tienen que sacar los números de lote de los componentes, los registros de producción de ese lote, el estado de calibración de los equipos utilizados y los resultados de inspección, sin ponerse a buscar. Un proveedor que hace eso delante de usted tiene un sistema real. El que promete «se lo enviamos luego» a lo mejor está describiendo un sistema que todavía no existe.

El Device History Record y el expediente del dispositivo médico

Antes de auditar conviene tener claros dos conceptos de documentación, porque son el punto donde la 13485 convierte el proceso en evidencia.

El Device History Record (DHR) es un término de la veterana regulación de calidad de la FDA (21 CFR 820, armonizada después con ISO 13485 bajo la QMSR). Designa el registro de producción de un dispositivo o lote terminado: el papeleo que prueba que el dispositivo se fabricó de acuerdo con su registro maestro. ISO 13485 llega al mismo resultado por otra vía, la de sus registros de producción y los requisitos de su expediente del dispositivo médico: para cada tipo o familia de dispositivo, la organización mantiene un expediente que contiene o referencia los documentos que demuestran la conformidad. Si el fabricante vende al mercado estadounidense, lo que usted quiere ver son registros de producción que satisfagan las expectativas del DHR, aunque allí no se use el término de la FDA.

El expediente del dispositivo médico (cláusula 4.2.3 de ISO 13485) es la referencia maestra de un tipo de dispositivo: especificaciones del producto, procedimientos de fabricación e inspección y, cuando aplique, requisitos de instalación y servicio. Responde a «cómo se supone que se construye este dispositivo». Los registros de producción responden a «cómo se construyó de verdad este lote». En una auditoría, pida ver un expediente del dispositivo médico redactado y un registro de lote completado del mismo producto, y compruebe que el segundo sigue al primero. En los huecos entre uno y otro es donde viven los problemas de calidad.

Controles de diseño, aunque el diseño sea suyo

Los controles de diseño son el proceso disciplinado que lleva un dispositivo desde los requisitos hasta un diseño verificado, validado y listo para producción: entradas de diseño, salidas, revisión, verificación, validación, transferencia y control de cambios, todo documentado.

Hay responsables de abastecimiento que dan por hecho que los controles de diseño no pintan nada cuando la marca es dueña del diseño y la fábrica solo lo construye. Sí pintan, por dos motivos. Primero, la transferencia de diseño (llevar un diseño a producción) es en sí misma un paso controlado, y una fábrica que la gestiona mal introduce defectos que el diseño de entrada nunca tuvo. Segundo, en cuanto arranca la producción, cada cambio de ingeniería que usted pida pasa por el control de cambios. Un fabricante con controles de diseño maduros trata sus órdenes de cambio con control de revisiones y evaluación de impacto. Uno sin ellos hace cambios sobre la marcha que rompen la trazabilidad sin que nadie se entere.

Si su fabricante por contrato además hace trabajo de diseño y desarrollo para usted, todo el proceso de control de diseño entra en el alcance, y el certificado ISO 13485 tiene que decir «diseño y desarrollo» en su declaración de alcance, no solo «fabricación».

CAPA y gestión de reclamaciones: cómo aprende una fábrica

Un sistema de calidad enseña lo que vale en cómo responde al fallo. ISO 13485 exige procesos de acción correctiva y preventiva (CAPA) y de gestión de reclamaciones, y ahí se ve si un fabricante trata los problemas como sucesos que hay que cerrar o como datos de los que se aprende.

Pida ver un registro CAPA cerrado. Uno bueno enuncia el problema, el análisis de causa raíz, la corrección, la acción preventiva tomada para que no se repita y la evidencia de que alguien verificó que la solución funcionaba. Uno flojo salta de «problema» a «se capacitó de nuevo al operario» sin nada en medio. Ese patrón significa que el mismo defecto volverá. En gestión de reclamaciones, pregunte cómo llega una reclamación de campo de su mercado hasta la planta de fabricación y cómo se documenta la respuesta. En dispositivos vendidos en mercados regulados esa cadena enlaza además con obligaciones de notificación, así que tiene que ser real.

Auditorías internas y revisión por la dirección

Dos requisitos de la 13485 le dicen si el sistema funciona por sí solo o solo cuando hay un cliente mirando. Auditorías internas: la organización se audita a sí misma frente a la norma, de forma programada. Revisión por la dirección: el liderazgo revisa formalmente los datos de calidad (resultados de auditoría, reclamaciones, estado de las CAPA, no conformidades) y actúa en consecuencia.

Durante una auditoría de proveedor, pida el calendario de auditorías internas y un informe de auditoría interna reciente, y pregunte cuándo se hizo la última revisión por la dirección. Una fábrica que se audita con regularidad, y cuyas revisiones por la dirección acaban en acciones, tiene un sistema que se corrige solo. Otra donde todo eso existe como plantillas en blanco tiene un certificado, no un QMS en funcionamiento. Esa diferencia acaba apareciendo en su producto.

Cómo verificar a un fabricante por contrato ISO 13485 al abastecerse en Taiwán

Taiwán tiene una base profunda de fabricantes certificados según ISO 13485. Justo por eso hace falta una rutina de verificación en lugar de fiarse del logotipo.

1. Confirme que el certificado es real y está vigente. Pida el número de certificado, el organismo de certificación y la acreditación que hay detrás. Cotéjelo contra el registro del organismo de certificación o una base de datos entre registradores, y haga coincidir el nombre de la entidad jurídica con el de su contrato.
2. Lea la declaración de alcance. Confirme que cubre su tipo de dispositivo y el trabajo que necesita: solo fabricación, o diseño y desarrollo más fabricación.
3. Audite la trazabilidad en vivo. Saque un número de lote y haga que se lo recorran hacia atrás en la planta.
4. Compruebe la documentación contra la realidad. Compare un expediente del dispositivo médico con un registro de lote real del mismo producto.
5. Ponga a prueba el control de cambios. Pregunte cómo se mueve una orden de cambio de ingeniería por su sistema y quién la firma.
6. Confirme que el soporte regulatorio encaja con su mercado. Si vende en Estados Unidos, verifique que sus registros de producción cumplen las expectativas del DHR y pregunte qué soporte de documentación y pruebas ofrecen para las presentaciones.

Para la pregunta más amplia de cómo elegir un socio taiwanés (la lista de verificación de la visita a la fábrica, las señales de alarma y la protección de la propiedad intelectual), vea nuestra guía del comprador de fabricantes por contrato de dispositivos médicos en Taiwán.

Cómo lo hacemos nosotros

Gooten Innolife tiene las certificaciones ISO 13485:2016 e ISO 9001:2015, y cada certificado que tenemos es verificable: pídalo y le damos los números para comprobarlo. Fabricamos en Taichung, Taiwán, con producción, I+D y garantía de calidad en el mismo sitio, así que las preguntas de trazabilidad y los cambios de ingeniería se resuelven en la planta.

La garantía de calidad recorre nuestro proceso de cinco fases, con inspección previa a la producción, durante el proceso y final, más ensayos de terceros. Tenemos experiencia de conformidad con CE, FCC, RoHS y PSE, y ofrecemos soporte de documentación y pruebas para presentaciones ante la FDA. Hemos enviado más de 1 000 000 de unidades a clientes en más de 50 países, entre ellos un líder estadounidense de dispositivos para el crecimiento capilar que ha construido cuatro generaciones de producto con nosotros desde 2008.

Puede repasar nuestra calidad y certificaciones y nuestros servicios OEM/ODM para ver el panorama completo.

Verifíquenos antes de comprometerse

Si está evaluando a un fabricante por contrato ISO 13485, páselo por la lista de verificación de arriba con nosotros. Contacte con nuestros ingenieros, envíe el detalle técnico y coteje nuestras respuestas con su propio estándar de auditoría.