Integridad de datos en GMP: por qué los sistemas informatizados siguen siendo el punto débil
En la industria farmacéutica, muchas desviaciones se detectan en laboratorio, en fabricación, en documentación o en liberación de lote. Pero cuando se tira del hilo, una parte muy relevante de esos problemas acaba conectando con el mismo núcleo: cómo se generan, procesan, revisan, firman, almacenan y recuperan los datos. Y hoy ese núcleo está, casi siempre, dentro de un sistema informatizado.
La integridad de datos sigue siendo uno de los focos regulatorios más persistentes porque afecta a la base misma de la decisión GMP. Si los datos no son íntegros, no puede demostrarse con confianza que el producto cumple sus especificaciones. Y si eso no puede demostrarse, la liberación del lote, la investigación de desviaciones, la revisión anual de calidad o la validación pierden solidez regulatoria.
La propia FDA ha señalado en su guía de 2018 que en los últimos años ha observado cada vez más violaciones CGMP relacionadas con integridad de datos durante las inspecciones. Además, una revisión publicada en International Journal of Pharmaceutics reportó que entre 2017 y 2022 la FDA emitió más de 160 Warning Letters citando deficiencias de data integrity. No es una moda regulatoria. Es un problema estructural que sigue apareciendo porque muchas organizaciones digitalizan procesos sin reforzar suficientemente la gobernanza del dato.
El marco regulatorio que gobierna la integridad de datos
21 CFR Part 11
El 21 CFR Part 11 establece los criterios bajo los cuales la FDA considera que los registros electrónicos y las firmas electrónicas son fiables y equivalentes, en términos generales, a los registros en papel y a las firmas manuscritas. También exige que los sistemas, controles y documentación asociados estén disponibles para inspección.
En la práctica, Part 11 no es una etiqueta de software ni una promesa comercial del proveedor. Es un conjunto de expectativas regulatorias sobre validación, acceso, protección del registro, trazabilidad, firma electrónica y disponibilidad del dato. Tener un sistema “compatible con Part 11” en un folleto no significa que tu uso real del sistema cumpla Part 11. Eso sería demasiado fácil, y por tanto sospechosamente poco farmacéutico.
21 CFR 211.68 y otros requisitos CGMP asociados
Más allá de Part 11, la regulación GMP norteamericana aterriza el tema en requisitos muy concretos. El 21 CFR 211.68 exige controles apropiados sobre sistemas informáticos para asegurar que los cambios en registros maestros u otros registros solo los realizan personas autorizadas, que la entrada y salida de datos se comprueba por su exactitud y que existen respaldos exactos y completos protegidos frente a alteración, borrado accidental o pérdida.
La guía de data integrity de la FDA también enlaza estas obligaciones con otros artículos clave, como los relativos a documentación contemporánea, revisión de registros, conservación de originales o copias fieles y datos completos en laboratorio. En otras palabras, la integridad de datos no vive en un capítulo aislado: está embebida en todo el sistema GMP.
Anexo 11 de las GMP europeas
En Europa, el texto de referencia es el Anexo 11, Sistemas Informatizados, del volumen 4 de EudraLex. Su principio general es claro: la aplicación debe validarse y la infraestructura IT debe cualificarse; si un sistema informatizado sustituye una operación manual, no debe disminuir la calidad del producto, el control del proceso ni la garantía de calidad, ni aumentar el riesgo global del proceso.
El Anexo 11 exige, entre otras cosas, validación a lo largo del ciclo de vida, inventario de sistemas relevantes, control de accesos, back-up, evaluación periódica, gestión de cambios, audit trail cuando proceda por riesgo y reglas para firmas electrónicas. En España, la AEMPS publica la guía NCF y el Anexo 11 en español, lo que facilita mucho aterrizar estos requisitos en procedimientos internos y auditorías.
EMA, MHRA y PIC/S
La EMA, en su documento de preguntas y respuestas GMP/GDP sobre data integrity, recuerda que la integridad de datos es un requisito fundamental del sistema de calidad farmacéutico y que aplica por igual a sistemas en papel y electrónicos. También insiste en que la alta dirección debe evaluar, mitigar y comunicar el riesgo de integridad de datos con enfoque de gestión del riesgo.
La MHRA, en su guía GxP Data Integrity Guidance and Definitions, va un paso más allá al describir con mucho detalle expectativas sobre metadata, audit trail, registros originales, transcripción manual, gobernanza y cultura organizativa. Y el PIC/S PI 041-1 armoniza esos principios para entornos GMP y GDP, dejando claro que la responsabilidad sobre la integridad del dato recae en la empresa inspeccionada, también cuando existen terceros o servicios externalizados.
ALCOA+: el mínimo que debe cumplir un dato GMP
Los principios ALCOA+ siguen siendo la forma más útil de aterrizar la integridad de datos en el día a día. El dato debe ser atribuible, legible, contemporáneo, original y exacto. Y además, en su versión ampliada, debe ser completo, consistente, duradero y disponible.
Su importancia no es académica. Sirven para revisar si un resultado cromatográfico, un registro de pesado, una liberación electrónica, un audit trail o una revisión de batch record pueden reconstruirse, entenderse y defenderse durante una inspección. Cuando un sistema permite acciones no atribuibles, guarda datos temporales sin trazabilidad o facilita sobrescrituras sin rastro, el problema no es informático: es GMP.
Dónde fallan más las compañías
Audit trails que existen pero no se revisan
Uno de los hallazgos más repetidos es la existencia de audit trail sin una revisión rutinaria y documentada. La FDA ha explicado que el personal responsable de revisar los registros bajo CGMP debe revisar también los audit trails asociados, y que la frecuencia debe seguir la normativa aplicable o, cuando no esté fijada, definirse mediante evaluación de riesgo.
El Anexo 11 dice algo muy parecido: los audit trails deben estar disponibles, ser comprensibles y revisarse regularmente. En muchas plantas el software sí genera trazabilidad, pero Calidad no la revisa de forma efectiva, o la revisa como un trámite sin criterios claros. Eso es casi tan útil como tener un paraguas de chocolate.
Validación superficial del sistema
Otro error frecuente es confundir instalación con validación. Un sistema informatizado no queda validado porque el proveedor entregue IQ, OQ y un catálogo brillante. Debe demostrarse que, en el contexto real de uso del fabricante, el sistema cumple los requisitos funcionales, mantiene el estado validado y protege adecuadamente los datos a lo largo de su ciclo de vida.
El Anexo 11 exige documentación de validación, inventario actualizado, especificaciones de requisitos de usuario, trazabilidad y evaluación de cambios. PIC/S añade una idea esencial: la validación por sí sola no garantiza que los registros estén suficientemente protegidos. Debe complementarse con controles administrativos, físicos y de formación.
Privilegios de acceso mal diseñados
La integridad de datos se rompe con facilidad cuando hay cuentas compartidas, accesos genéricos, usuarios administradores sin segregación de funciones o soporte IT con capacidad de alterar datos sin visibilidad suficiente. Part 11 exige limitar el acceso a personas autorizadas, y 21 CFR 211.68 exige controles que aseguren que solo personal autorizado modifica registros críticos.
En inspección, esto se traduce en preguntas muy concretas: quién puede crear usuarios, quién puede desactivar audit trail, quién puede borrar archivos, quién puede cambiar métodos, quién revisa esas acciones y dónde queda el registro. Cuando las respuestas no son nítidas, el hallazgo suele estar a la vuelta de la esquina.
Firmas electrónicas mal entendidas
Una firma electrónica GMP no es escribir un nombre en una casilla. Part 11 exige que sea equivalente a una firma manuscrita, que incluya identidad del firmante, fecha y hora, y que quede vinculada al registro de modo que no pueda excindirse o reutilizarse para falsearlo. El Anexo 11, por su parte, espera que tenga el mismo impacto que la firma manuscrita dentro de la compañía, que esté permanentemente ligada al registro y que incluya fecha y hora.
Cuando una revisión, aprobación o liberación se realiza con mecanismos ambiguos, sin control de credenciales o sin rastro claro del significado de la firma, la organización pierde trazabilidad jurídica y GMP al mismo tiempo.
Sistemas híbridos y transcripciones manuales
Los sistemas híbridos siguen siendo una fuente clásica de vulnerabilidad. Datos generados electrónicamente, copiados a papel, vueltos a pasar a Excel o introducidos después en otro sistema crean huecos de trazabilidad y oportunidades de error o manipulación. La MHRA es muy clara: el registro original es la primera captura del dato, y cuando hay transcripción manual debe verificarse por una segunda persona o por un sistema validado.
Esto afecta especialmente a equipos antiguos, balances, instrumentos analíticos con almacenamiento local, hojas de cálculo auxiliares y procesos donde el dato “vive” demasiado tiempo fuera de su repositorio definitivo.
Back-up y continuidad de negocio insuficientes
El Anexo 11 exige back-ups regulares y comprobar durante la validación y de forma periódica tanto la integridad del respaldo como la capacidad de restauración. Sin embargo, muchas organizaciones siguen validando el sistema productivo pero no prueban de forma realista la recuperación del dato, la legibilidad a largo plazo o la continuidad tras fallos del servidor, ransomware o sustitución del equipo.
Un dato que no puede recuperarse cuando se necesita no cumple ALCOA+. Y un sistema que no puede demostrar restauración fiable es un sistema que puede fallar justo el día en que más falta hace.
Cómo preparar los sistemas para una inspección GMP
Haz un inventario real de sistemas GMP
El primer paso es disponer de un inventario actualizado de todos los sistemas informatizados con impacto GMP: LIMS, CDS, SCADA, MES, ERP con funciones GMP, EDMS, eBR, sistemas de serialización, equipos analíticos autónomos y hojas de cálculo críticas cuando existan. Sin inventario no hay visión del riesgo, y sin visión del riesgo solo queda improvisar con cara de serenidad regulatoria, que suele durar poco.
Revisa el ciclo de vida del dato
La EMA insiste en revisar cómo se genera, procesa, usa, conserva y elimina el dato a lo largo de su ciclo de vida. Eso obliga a mapear dónde nace el dato original, qué metadata lo acompañan, en qué memoria se guarda inicialmente, quién puede modificarlo, cómo se transfiere y cómo se archiva.
Este análisis suele destapar riesgos invisibles en los diagramas bonitos: memoria temporal local, estaciones no integradas, exportaciones manuales, pendrives, cuentas compartidas o revisiones centradas solo en el informe final y no en los datos subyacentes.
Integra data integrity en autoinspección y formación
La integridad de datos no debe quedar encerrada entre IT y QA. Debe estar presente en autoinspecciones, auditorías a proveedores, formación continua, investigaciones, change control y revisión por la dirección. Tanto EMA como PIC/S y MHRA conectan la robustez del dato con la cultura de calidad y con el compromiso visible de senior management.
Eso significa formar no solo sobre ALCOA+, sino también sobre decisiones operativas concretas: qué hacer ante una inyección abortada, cómo documentar una corrección, cuándo abrir desviación, cómo revisar audit trail y cómo actuar ante accesos o configuraciones no autorizadas.
Conclusión práctica
La integridad de datos sigue siendo el talón de Aquiles de muchas organizaciones porque, a diferencia de otros requisitos GMP, no se resuelve con un único procedimiento ni con una sola inversión tecnológica. Exige combinar gobernanza, diseño del proceso, validación, segregación de funciones, revisión efectiva, cultura de calidad y supervisión directiva.
La conclusión práctica es esta: no prepares la inspección enseñando solo informes bonitos. Prepara la inspección demostrando que puedes reconstruir el dato desde su origen, explicar quién hizo qué, cuándo y por qué, y probar que el sistema sigue en estado validado y bajo control. Cuando una planta puede hacer eso con naturalidad, la conversación sobre data integrity cambia por completo. Cuando no puede, el inspector suele encontrar el hilo. Y ya sabemos cómo terminan los hilos de los que nadie quiso tirar a tiempo.
Fuentes normativas y técnicas
- FDA, 21 CFR Part 11, Electronic Records; Electronic Signatures.
- FDA, 21 CFR 211.68, Automatic, mechanical, and electronic equipment.
- FDA, Data Integrity and Compliance With Drug CGMP: Questions and Answers, December 2018.
- EU GMP Guide, Annex 11, Computerised Systems.
- EMA, Guidance on GMP/GDP Questions and Answers, sección Data Integrity.
- AEMPS, Guía de Normas de Correcta Fabricación y Anexo 11, Sistemas Informatizados.
- MHRA, GxP Data Integrity Guidance and Definitions, Revision 1, March 2018.
- PIC/S PI 041-1, Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments, July 2021.
- Charoo NA, Khan MA, Rahman Z. Data integrity issues in pharmaceutical industry: Common observations, challenges and mitigations strategies. International Journal of Pharmaceutics, 2023.
Leave a Reply