Cómo mantener el cumplimiento de la norma ISO 13485 en varias sedes

Mantener el cumplimiento de la norma ISO 13485 en una única planta de fabricación o centro operativo ya es de por sí complejo. Cuando las empresas de productos sanitarios se expanden a múltiples centros, proveedores o regiones internacionales, esa complejidad aumenta considerablemente.

Al principio, la expansión suele parecer manejable.

Se reproducen los procedimientos básicos. Los equipos locales de calidad reciben formación. Se ponen en marcha programas de auditoría en todos los centros. Cada centro sigue funcionando dentro del marco general de gestión de la calidad.

Sin embargo, con el paso del tiempo, empiezan a surgir diferencias operativas.

Los equipos locales adaptan los procedimientos de forma diferente. Las medidas correctivas evolucionan de forma independiente en cada centro. Las evaluaciones de riesgos reflejan las realidades operativas locales, en lugar de mantener una coherencia a nivel de toda la empresa. Las conclusiones de las auditorías se vuelven cada vez más fragmentadas entre las distintas regiones y departamentos.

Con el tiempo, las organizaciones se dan cuenta de que ya no gestionan un único sistema de gestión de la calidad.

Están gestionando varias interpretaciones locales del mismo.

Es aquí donde resulta difícil mantener la gobernanza de la norma ISO 13485 en múltiples centros. Y la dificultad no radica principalmente en la documentación. Se trata de un reto relacionado con la arquitectura de gobernanza que se agrava con cada nuevo centro, relación con un proveedor y jurisdicción normativa que la organización incorpora a su ámbito operativo.

El reto de las múltiples sedes no radica en la documentación, sino en la coherencia operativa.

La mayoría de las empresas de dispositivos médicos ya cuentan con sólidas estructuras de documentación. Los procedimientos son exhaustivos. Los manuales de calidad son minuciosos. Los procesos de gobernanza a nivel de centro están bien establecidos.

El verdadero reto consiste en mantener la coherencia operativa a medida que aumenta la complejidad en las distintas sedes, entornos de fabricación y jurisdicciones normativas.

Con el paso del tiempo, cada centro operativo desarrolla sus propios ritmos, prioridades y adaptaciones locales. Los equipos de calidad locales responden a las presiones específicas de cada centro de una forma que tiene sentido a nivel local, pero que poco a poco se aleja de los requisitos de gobernanza de la empresa. Los proveedores varían de una región a otra, lo que introduce una variabilidad en la calidad de las fases iniciales que resulta difícil de supervisar de forma coherente desde la sede central. Las realidades de la producción evolucionan de forma independiente en las distintas instalaciones a medida que cambian los equipos, los procesos y el personal, sin que esos cambios se reflejen de forma sistemática en la gobernanza de la empresa.

Sin una sólida coordinación de la gobernanza, estas diferencias van generando poco a poco una fragmentación en el seno del propio sistema de gestión de la calidad. La divergencia rara vez es intencionada. Los equipos locales no están abandonando el sistema de gestión de la calidad, sino que lo están adaptando a unas condiciones operativas que el modelo de gobernanza centralizado no fue diseñado para acomodar con flexibilidad.

La organización sigue operando con un único certificado.

Sin embargo, desde el punto de vista operativo, la gestión se va descentralizando cada vez más. El sistema de gestión de la calidad que superó la auditoría de certificación ya no es el mismo que rige las operaciones diarias en toda la empresa. La brecha entre ambos se amplía con cada adaptación que se realiza a nivel local sin que se refleje a nivel central.

Por qué la fragmentación en múltiples sedes genera riesgos normativos

La fragmentación en entornos con múltiples sedes rara vez se hace evidente de inmediato. El periodo inicial de expansión suele arrojar resultados de auditoría aceptables, ya que cada sede se evalúa en función de su propio marco de gobernanza local, en lugar de compararse con la coherencia a nivel de toda la empresa que se supone que debe mantener el sistema de gestión de la calidad.

En un primer momento, cada centro parece cumplir con los requisitos de forma individual. Las auditorías locales arrojan resultados aceptables. Los procesos de CAPA siguen activos. Las estructuras de documentación continúan funcionando.

Sin embargo, bajo la superficie, las incoherencias se van acumulando poco a poco en toda la organización.

Las medidas correctivas se aplican de forma diferente en cada centro, lo que genera variabilidad en la forma en que se identifican, investigan y resuelven los problemas de calidad. Las evaluaciones de riesgos evolucionan de forma independiente, ya que los equipos locales adaptan sus criterios de evaluación para reflejar las condiciones específicas de cada centro, en lugar de la exposición a nivel de toda la empresa. Las metodologías de auditoría varían entre los equipos operativos, ya que las prácticas locales se alejan del modelo de auditoría centralizado. Las lecciones aprendidas en una planta no se trasladan a otros entornos de fabricación, ya que no existe un mecanismo estructural que permita que el aprendizaje operativo se difunda por toda la organización.

Con el paso del tiempo, los responsables pierden la visión global de los riesgos sistémicos relacionados con la calidad en toda la empresa. Las distintas sedes siguen comunicando unos resultados aceptables a nivel local. Sin embargo, la organización está acumulando un patrón de inconsistencias distribuidas que resulta cada vez más difícil de detectar desde un único punto dentro de la estructura de gobernanza.

Es aquí donde el riesgo regulatorio empieza a aumentar de forma silenciosa.

Los organismos notificados y las autoridades competentes que evalúan los sistemas de calidad de los productos sanitarios en el marco del Reglamento sobre productos sanitarios (MDR) de la UE y otros marcos normativos se centran cada vez más en la coherencia de la gobernanza a nivel de toda la empresa, más que en la conformidad de los procedimientos a nivel de cada centro. Una organización que mantenga un nivel aceptable de cumplimiento local en cada uno de sus centros, pero que pierda el control operativo a nivel de toda la empresa, queda expuesta a un tipo de riesgo normativo que las auditorías locales no revelan hasta que una inspección externa pone de manifiesto el patrón sistémico.

La organización mantiene las actividades de cumplimiento normativo a nivel local, pero pierde el control operativo a nivel de toda la empresa.

La norma ISO 13485 exige estandarización sin rigidez

Uno de los mayores malentendidos en la gestión de múltiples sedes es la idea de que la estandarización implica imponer un comportamiento operativo idéntico en todos los ámbitos de la organización.

En realidad, una gestión sostenible conforme a la norma ISO 13485 requiere mantener un equilibrio cuidadoso entre el control empresarial y la flexibilidad operativa local.

Los procesos fundamentales de gobernanza deben mantener la coherencia en toda la organización, ya que son los mecanismos a través de los cuales la empresa garantiza la visibilidad, la rendición de cuentas y el aprendizaje en todas las entidades operativas. Las metodologías de CAPA deben seguir un único modelo operativo, de modo que la calidad y la eficacia de las medidas correctivas sean comparables entre los distintos centros y puedan evaluarse a nivel empresarial. Los marcos de evaluación de riesgos deben estar alineados en todas las instalaciones, de modo que los niveles de exposición sean agregables y la priorización de riesgos a nivel de empresa se base en criterios de evaluación coherentes. Los criterios de auditoría deben reforzar la coherencia a nivel de toda la empresa, de modo que los resultados de los distintos centros puedan compararse de forma significativa y se puedan identificar patrones sistémicos. Las estructuras de gestión de la documentación deben funcionar de forma centralizada, de modo que el control de versiones, los flujos de trabajo de aprobación y las actualizaciones de los procedimientos se gestionen de manera coherente en toda la organización.

Al mismo tiempo, los equipos operativos locales necesitan, legítimamente, flexibilidad para adaptar los procesos de gobernanza a las realidades de fabricación, las expectativas normativas y las condiciones operativas específicas de sus entornos. Una planta que opera bajo los requisitos de las QSR de la FDA tiene obligaciones de cumplimiento diferentes a las de una que opera bajo el MDR de la UE. Una planta de fabricación por contrato presenta una dinámica de gestión de proveedores diferente a la de un entorno de producción interno. Una planta recién adquirida presenta niveles de madurez y ritmos operativos distintos a los de una planta ya consolidada.

Este equilibrio resulta difícil de mantener cuando los sistemas locales están desconectados entre sí. Cuando cada centro gestiona sus procesos de gobernanza de forma independiente, la sede central pierde visibilidad y los equipos locales pierden la conexión con el modelo de gobernanza de la empresa. Para lograr este equilibrio, es necesario integrar estructuralmente la lógica de gobernanza central en los procesos que las entidades locales utilizan a diario, y no limitarse a una alineación periódica a través de mecanismos de supervisión que compiten con las prioridades operativas.

Requiere una gestión coordinada.

Por qué es importante la gobernanza centralizada

A medida que las empresas de dispositivos médicos se expanden a nivel internacional, las estructuras de gobernanza fragmentadas generan riesgos sistémicos para la calidad que resultan invisibles desde cualquier punto concreto de la organización y que, una vez se han consolidado, resultan cada vez más difíciles de abordar.

Cuando cada centro gestiona de forma independiente las auditorías, los flujos de trabajo de CAPA y las evaluaciones de riesgos, a la dirección le resulta difícil identificar los patrones comunes a todos los centros que representan el mayor riesgo para la calidad a nivel de toda la empresa. Una categoría de desviaciones recurrentes distribuida entre cinco centros reviste mucha más importancia estratégica que un hallazgo aislado de alta gravedad en un solo centro, pero una gestión fragmentada hace que ese patrón distribuido pase desapercibido hasta que da lugar a un incidente significativo en materia de normativa o calidad.

La gobernanza centralizada cambia esta dinámica de forma radical.

Las tendencias de calidad entre centros se hacen visibles mucho antes, lo que permite a la organización abordar los patrones emergentes antes de que tengan consecuencias significativas a nivel normativo o para los clientes. Las deficiencias operativas recurrentes pueden identificarse de forma estructural, en lugar de detectarse individualmente en cada centro durante las auditorías periódicas. Las medidas correctivas pueden aplicarse de forma coherente en todos los centros, de modo que la resolución de un problema de calidad en una ubicación se refleje automáticamente en la gestión de los demás. La exposición al riesgo pasa a ser cuantificable a nivel empresarial, en lugar de evaluarse de forma independiente en cada centro según criterios definidos localmente.

La gestión centralizada no merma la implicación local en la consecución de resultados de calidad. Los equipos locales de calidad siguen siendo responsables del rendimiento de sus operaciones.

Lo que hace la gobernanza centralizada es proporcionar a esos equipos locales acceso a la información de toda la empresa, lo que hace que su gobernanza local sea más eficaz y ofrece a los responsables la visibilidad necesaria para gestionar los riesgos de calidad de forma estratégica en toda la organización, en lugar de hacerlo de forma reactiva, centro por centro.

La trazabilidad cobra mayor importancia a medida que las organizaciones crecen

La trazabilidad ya es un elemento fundamental dentro de la norma ISO 13485 como requisito de gestión en un único centro. En entornos con múltiples centros, la trazabilidad cobra una importancia exponencial, ya que las inconsistencias operativas pueden propagarse rápidamente entre las distintas sedes, proveedores y entornos de producción de formas difíciles de detectar y aún más difíciles de contener una vez que se han establecido.

Los documentos, las desviaciones, las aprobaciones y las medidas correctivas deben mantenerse alineados en todo momento en todas las entidades operativas, ya que las consecuencias normativas y de calidad de los fallos de trazabilidad aumentan proporcionalmente a la complejidad operativa. Un conflicto de versiones en un procedimiento crítico en un centro constituye un fallo de gobernanza local. El mismo conflicto de versiones, si se extiende a varios centros debido a que la gobernanza documental está descentralizada, supone un riesgo normativo sistémico.

Cuando la gestión de documentos se descentraliza, surgen conflictos de versiones entre centros que operan con versiones diferentes de los procedimientos sin ser conscientes de la divergencia. Cuando los procesos de CAPA siguen estando localizados, el aprendizaje operativo queda confinado a cada centro y la empresa pierde la capacidad de aplicar de forma sistemática las medidas correctivas en toda su red de fabricación. Cuando los resultados de las auditorías no se conectan de forma centralizada a través de la gestión de auditorías, la exposición sistémica resulta difícil de detectar hasta que los organismos reguladores, los organismos notificados o los clientes identifican el patrón desde el exterior; en ese momento, la organización se ve obligada a responder ante un fallo de gobernanza en lugar de gestionar una oportunidad de mejora.

Por lo tanto, una trazabilidad sólida en entornos con múltiples sedes no depende únicamente del control de la documentación.

Depende de una visibilidad operativa continua en toda la organización, de una conexión estructural entre los procesos de gobernanza en todas las sedes y de una arquitectura centralizada que haga de la trazabilidad una característica del sistema de gobernanza, en lugar de un resultado del cumplimiento normativo de cada sede por separado.

Los programas de auditoría deben evaluar el sistema, no cada centro por separado

Muchos programas de auditoría en múltiples centros siguen centrándose principalmente en evaluar si cada centro cumple a nivel local con los procedimientos y los requisitos de documentación. Las auditorías en los centros confirman que los procesos locales funcionan correctamente. Las deficiencias detectadas se resuelven a nivel local. Los informes de auditoría se archivan.

Este enfoque pasa por alto sistemáticamente los riesgos más importantes relacionados con la gobernanza de la calidad en entornos con múltiples sedes.

Las deficiencias sistémicas en los sistemas de gestión de la calidad de los productos sanitarios rara vez se manifiestan únicamente en un centro aislado. Se desarrollan gradualmente a través de patrones recurrentes distribuidos en múltiples entornos operativos. Una deficiencia de control que aparece como un hallazgo menor en tres centros distintos durante tres ciclos de auditoría consecutivos no constituye tres hallazgos menores. Se trata de un fallo sistémico de gobernanza que el modelo de auditoría centro por centro es estructuralmente incapaz de identificar, ya que evalúa cada centro en función de su propio rendimiento local, en lugar de hacerlo en función de la coherencia de la gobernanza a nivel de toda la empresa.

Un programa eficaz de auditoría en múltiples centros evalúa el funcionamiento del sistema de gestión de la calidad en el conjunto de la empresa, y no el rendimiento de cada centro concreto en función de criterios locales.

Los resultados obtenidos a través de la gestión de auditorías deben influir de forma continua en los niveles de exposición de la empresa dentro de la gestión de riesgos, de modo que la información de las auditorías impulse la priorización de los riesgos, en lugar de limitarse a confirmar el cumplimiento de los procedimientos de forma aislada. Los flujos de trabajo correctivos gestionados a través de la gestión de CAPA deben reforzar el aprendizaje organizativo en todos los centros, en lugar de resolver los problemas de forma local sin que dicha resolución se tenga en cuenta en otros ámbitos de la gobernanza de la empresa.

A partir de ese momento, las auditorías dejan de ser meros ejercicios periódicos de cumplimiento que se llevan a cabo en cada una de las sedes.

Se convierten en mecanismos de inteligencia operativa que refuerzan continuamente la gestión de la calidad en toda la empresa.

La visibilidad del liderazgo determina el control de las distintas sedes

A medida que las empresas de productos sanitarios se expanden a nivel internacional, abarcando múltiples centros, proveedores y jurisdicciones normativas, la visibilidad del equipo directivo se convierte en una de las capacidades de gobernanza más importantes y más difíciles de mantener en el marco de la norma ISO 13485.

Los directivos necesitan algo más que informes de calidad elaborados a nivel local y recopilados en un informe de revisión de la dirección. Necesitan una supervisión continua de los patrones de desviación entre centros, las categorías de riesgos operativos recurrentes, la eficacia de las medidas correctivas y preventivas (CAPA) en toda la empresa, las tendencias de calidad relacionadas con los proveedores que abarcan múltiples entornos de fabricación y el rendimiento de las auditorías, evaluado en función de la coherencia de la gobernanza a nivel empresarial, en lugar del mero cumplimiento de los procedimientos locales.

Sin esta visibilidad, las decisiones estratégicas en materia de calidad se toman a partir de información incompleta y fragmentada desde el punto de vista estructural. La dirección puede creer que la organización está gestionando los riesgos de calidad de forma eficaz porque el rendimiento de cada centro por separado parece aceptable. La exposición sistémica que se va acumulando en toda la empresa permanece invisible hasta que da lugar a un incidente regulatorio, un fallo de calidad significativo o una reclamación de un cliente que pone de manifiesto la brecha entre el cumplimiento a nivel local y el control a escala de toda la empresa.

Cuando la gobernanza funciona de forma aislada en cada uno de los centros, los responsables no pueden distinguir entre una organización que está mejorando realmente su rendimiento en materia de calidad y otra que está acumulando incoherencias en la gobernanza distribuida bajo una apariencia de cumplimiento aceptable.

La gobernanza integrada cambia esta dinámica. Cuando la evaluación de riesgos, los flujos de trabajo de CAPA, los programas de auditoría y la gobernanza documental funcionan dentro de una estructura centralizada y conectada en todas las sedes, los directivos obtienen una visión fiable, actualizada y generada de forma estructurada del rendimiento de la calidad de la empresa. Las decisiones estratégicas se basan en información conectada, en lugar de en informes recopilados. Las conversaciones con las autoridades reguladoras se respaldan con pruebas de la coherencia de la gobernanza en toda la empresa, en lugar de con resúmenes de cumplimiento a nivel de centro.

La organización puede seguir cumpliendo formalmente con la normativa mientras la exposición sistémica sigue aumentando en segundo plano, a falta de una gobernanza integrada. Con ella, los responsables pueden actuar ante el riesgo de calidad en lugar de limitarse a reconocerlo.

Del cumplimiento normativo local al control de calidad empresarial

Para mantener con éxito la certificación ISO 13485 en múltiples centros, se requiere mucho más que limitarse a replicar los procedimientos en cada uno de ellos y a implantar programas de auditoría en cada nueva instalación.

Esto requiere coordinar de forma continua la gestión en toda la empresa, de modo que los procesos de calidad, los datos operativos, las medidas correctivas y la supervisión por parte de la dirección funcionen de forma conjunta dentro de una estructura operativa integrada.

Esto significa que una desviación detectada en un centro se tiene en cuenta automáticamente en la evaluación de riesgos de los demás. Una medida correctiva aplicada en una instalación genera un aprendizaje operativo que refuerza la gobernanza en toda la empresa. Un hallazgo de auditoría que revele un patrón sistémico en múltiples ubicaciones desencadena una respuesta a nivel de toda la empresa, en lugar de una resolución a nivel de centro. La dirección dispone de una visibilidad continua del rendimiento en materia de calidad de toda la organización, en lugar de recibir resúmenes periódicos de cada centro de forma independiente.

Es aquí donde la gestión de múltiples sedes se convierte en algo sostenible desde el punto de vista operativo.

No es porque todos los centros se comporten de la misma manera o sigan procedimientos operativos idénticos, independientemente del contexto local.

Sin embargo, esto se debe a que la organización mantiene en todo momento la visibilidad, la supervisión y la coordinación operativa en todos los centros de forma simultánea. La flexibilidad local se preserva dentro de una arquitectura de gobernanza que garantiza la coherencia de la empresa. La autonomía a nivel de centro se ejerce dentro de unos límites que mantienen la coherencia en la gobernanza de la calidad que exige la norma y de la que dependen tanto los pacientes como las autoridades reguladoras.

La certificación confirma la conformidad.

La coordinación operativa garantiza el control de calidad de la empresa.