Cualificación de fabricantes por contrato (CMO) bajo GMP

Dos tercios de la fabricación farmacéutica mundial está externalizada. Es una cifra que lleva años circulando en la industria, pero que sigue sorprendiendo cuando se confronta con la realidad de los departamentos de calidad: la mayoría de las empresas dedica más recursos a gestionar su propia planta que a controlar lo que fabrica en su nombre otra organización. Y cuando algo sale mal en un fabricante por contrato, las consecuencias regulatorias recaen sobre quien tiene la autorización de comercialización, no exclusivamente sobre quien fabricó el producto.

Este artículo es una guía práctica sobre cómo cualificar, contratar y gestionar un CMO (Contract Manufacturing Organization) bajo los requisitos GMP europeos y americanos. Está orientada a los responsables de calidad y de gestión de proveedores que necesitan un sistema robusto, no solo un checklist.

El principio que lo rige todo: la responsabilidad no se externaliza

Antes de entrar en el proceso de cualificación, conviene tener muy claro el punto de partida regulatorio. El Capítulo 7 de las GMP europeas (Outsourced Activities, EudraLex Volumen 4) es explícito: el titular del contrato (Contract Giver) es en última instancia responsable de garantizar que existen los procesos necesarios para controlar las actividades externalizadas. Esa responsabilidad no puede delegarse ni transferirse mediante un contrato o un acuerdo de calidad.

La FDA va en la misma dirección. Su guía de 2016 Contract Manufacturing Arrangements for Drugs: Quality Agreements ilustra dos escenarios donde la agencia encontró incumplimientos graves en instalaciones de fabricación por contrato: en ambos casos, la FDA también consideró al titular del producto como potencialmente responsable de los fallos de CGMP, independientemente de lo que dijera el acuerdo de calidad firmado entre las partes. Como señala expresamente la guía: ningún instrumento escrito puede eliminar ni transferir la obligación de cumplir con CGMP.

Esta es la premisa que debe orientar todo el programa de gestión de CMOs: externalizar una actividad no significa externalizar la responsabilidad sobre esa actividad.

Paso 1. Evaluación inicial: antes de firmar nada

El Capítulo 7 de las GMP europeas exige que, antes de iniciar cualquier actividad externalizada, el titular del contrato sea responsable de evaluar la legalidad, idoneidad y competencia del fabricante contratado. Esta evaluación previa no es una formalidad: es el filtro que determina si el CMO es un socio adecuado o un riesgo latente.

Verificación documental y legal

El primer bloque de la evaluación es de carácter documental. Debes verificar que el CMO dispone de las autorizaciones de fabricación vigentes para las actividades que va a realizar, emitidas por la autoridad competente del país correspondiente (AEMPS en España, EMA para procedimientos centralizados, FDA para el mercado americano, etc.). Si el CMO fabrica para mercados regulados como EE.UU. o Japón, también debes comprobar que está registrado correctamente ante esas autoridades.

Además, conviene revisar el historial inspeccional público: ¿cuándo fue su última inspección? ¿Cuál fue la clasificación? ¿Tiene Warning Letters activas, Import Alerts o acciones de incumplimiento de otras autoridades? Bases de datos como la de la FDA (Establishment Inspection Reports), el EUDRAGMDP de la EMA o los registros de la AEMPS permiten obtener esta información sin necesidad de pedírsela al propio CMO.

Cuestionario de precualificación

Antes de invertir recursos en una auditoría presencial, resulta eficiente enviar un cuestionario estructurado que cubra los aspectos más relevantes: tipología de instalaciones y equipos, alcance de la autorización de fabricación, sistemas de calidad (gestión de desviaciones, CAPA, gestión de cambios, control de documentos), historial de retiradas de mercado y capacidad técnica para el proceso específico que se pretende externalizar. La respuesta a ese cuestionario ya ofrece una señal temprana sobre el nivel de madurez del sistema de calidad del CMO.

Paso 2. La auditoría de cualificación

Si la evaluación documental no revela señales de alarma, el siguiente paso es una auditoría presencial de cualificación. Esta auditoría tiene un objetivo diferente al de una auditoría de seguimiento: no se trata de verificar el cumplimiento rutinario, sino de evaluar si el CMO es capaz de fabricar el producto específico con el nivel de control que se requiere.

Alcance de la auditoría de cualificación

El alcance debe adaptarse al tipo de actividad externalizada y al riesgo asociado. Para una fabricación completa de producto terminado estéril, el alcance será muy distinto al de un laboratorio de análisis de control de calidad. En general, los bloques mínimos a evaluar son:

• Instalaciones y equipos: estado de cualificación, mantenimiento, sistemas de soporte críticos (agua purificada, aire comprimido, sistemas HVAC, salas limpias si aplica).
• Sistema de calidad: gestión de desviaciones, CAPA, control de cambios, gestión de OOS/OOT, revisión de producto anual (APR/PQR) y sistema de auditorías internas.
• Gestión de materiales: cualificación de proveedores propios del CMO, recepción, muestreo y liberación de materiales de partida, gestión de almacenes.
• Personal: organigrama de calidad y producción, formación, acceso al sitio de personas responsables de calidad.
• Integridad de datos: controles sobre sistemas informatizados, audit trails, gestión de cuentas de usuario. En el contexto actual, este punto merece especial atención.
• Gestión de subcontratistas: si el CMO externaliza a su vez parte de las actividades, ¿tiene control sobre esos subcontratistas? El Capítulo 7 exige que el titular del contrato pueda auditar también a los subcontratistas del CMO.

Resultado: clasificación del CMO

Al finalizar la auditoría, el CMO debe clasificarse según el riesgo identificado: apto sin restricciones, apto con observaciones de seguimiento, o no apto. Las observaciones deben gestionarse mediante un plan de acciones correctivas con plazos acordados, y su cierre debe verificarse antes de iniciar la fabricación de producto GMP. Un CMO con hallazgos críticos no resueltos no debería recibir órdenes de fabricación activas.

Paso 3. El Acuerdo de Calidad: el documento que define quién hace qué

El Acuerdo de Calidad (también denominado Acuerdo Técnico de Calidad, Quality Technical Agreement o QTA) es el documento contractual que establece con precisión las responsabilidades de cada parte en todas las actividades GMP relacionadas con la fabricación externalizada. Las GMP europeas lo exigen de forma explícita en el Capítulo 7; la FDA lo recomienda enfáticamente en su guía de 2016, aunque técnicamente no es un requisito regulatorio en 21 CFR 210/211 para el sector farmacéutico (sí lo es para dispositivos médicos bajo 21 CFR 820.50).

Un error muy frecuente es confundir el Acuerdo de Calidad con el contrato comercial. Son documentos separados y deben mantenerse como tales: el Acuerdo de Calidad cubre exclusivamente las responsabilidades GMP y no debe incluir condiciones comerciales (precios, plazos de pago, penalizaciones económicas). Mezclarlos genera conflictos de interés y dificulta la revisión regulatoria.

Contenido mínimo de un Acuerdo de Calidad robusto

Basándose en las expectativas del Capítulo 7 de las GMP europeas y en la guía de la FDA, los apartados que no pueden faltar son:

• Matriz de responsabilidades: quién aprueba los materiales de partida, quién libera el producto semielaborado, quién libera el producto final, quién firma los certificados de análisis, quién gestiona las desviaciones, quién autoriza los cambios, quién gestiona las reclamaciones y las retiradas de mercado.
• Control de cambios: qué cambios en las instalaciones, procesos, equipos o materiales del CMO requieren notificación previa al titular del contrato y cuáles requieren su aprobación. Este apartado es especialmente crítico: cambios no comunicados en el CMO son uno de los orígenes más frecuentes de hallazgos regulatorios en inspecciones al titular.
• Gestión de desviaciones y OOS: quién investiga, quién aprueba la investigación, en qué plazo se comunica al titular y qué criterios determinan si una desviación afecta a la decisión de liberación del lote.
• Acceso a registros y muestras de retención: el titular debe tener acceso a todos los registros de fabricación y análisis relacionados con su producto. El Capítulo 7 es explícito: los registros relacionados con actividades externalizadas deben estar disponibles para el titular del contrato.
• Derecho a auditoría: el contrato debe permitir al titular auditar al CMO y a sus subcontratistas. Sin esta cláusula, el titular tiene limitada su capacidad de supervisión.
• Gestión de subcontratistas: condiciones bajo las cuales el CMO puede subcontratar actividades a terceros y qué nivel de aprobación previa del titular se requiere.
• Plan de comunicación: personas de contacto en cada organización, periodicidad de las reuniones de seguimiento, mecanismos de comunicación urgente en caso de incidente con impacto en la calidad del producto.

El Acuerdo de Calidad debe revisarse periódicamente —generalmente cada dos años o ante cualquier cambio significativo— y estar firmado por personas con autoridad real sobre las actividades descritas, no por figuras meramente administrativas.

Paso 4. Seguimiento continuo: el CMO no es «fuera de la vista, fuera de la mente»

La cualificación inicial y el Acuerdo de Calidad son condiciones necesarias, pero no suficientes. El Capítulo 7 de las GMP europeas exige que el titular del contrato monitorice y revise continuamente el rendimiento del CMO e identifique e implemente las mejoras necesarias. En la práctica, esto se traduce en un programa estructurado de seguimiento.

Indicadores de rendimiento del CMO

El seguimiento del CMO debe sustentarse en indicadores objetivos revisados con periodicidad definida. Los más relevantes son: tasa de desviaciones por lote fabricado, tasa de OOS/OOT en análisis de liberación, cumplimiento de plazos de entrega de lotes y documentación, tiempo medio de cierre de CAPAs, número de cambios comunicados fuera del proceso acordado, resultados de la revisión anual del producto (APR/PQR) y clasificación de la última inspección regulatoria recibida.

Auditorías periódicas de seguimiento

La frecuencia de las auditorías de seguimiento debe determinarse por el riesgo: no es lo mismo un CMO que fabrica un producto estéril de alta potencia para un único cliente que un laboratorio de análisis que realiza pruebas de identidad rutinarias. Como orientación práctica, un CMO crítico debería auditarse con una frecuencia mínima anual; un CMO de riesgo medio, bienal. La clasificación de la última auditoría, los indicadores de rendimiento y cualquier incidente ocurrido en el periodo son los factores que deben ajustar esa frecuencia hacia arriba.

Reuniones de revisión periódicas

Más allá de las auditorías formales, la relación con el CMO debe mantenerse activa mediante reuniones de revisión periódicas donde se analicen conjuntamente los indicadores, las desviaciones abiertas, el estado de los CAPAs y los cambios previstos. Estas reuniones, debidamente documentadas, son también evidencia de la supervisión activa que los inspectores esperan encontrar en el sistema de gestión de proveedores del titular.

Errores frecuentes que los inspectores encuentran

El análisis de Warning Letters y observaciones de Form 483 relacionadas con actividades externalizadas revela un patrón de fallos recurrentes que merece la pena tener presente:

• Acuerdo de Calidad inexistente, desactualizado o que no cubre todas las actividades GMP relevantes. Es el hallazgo más frecuente y el más fácil de evitar.
• Cambios en el CMO no comunicados al titular. Modificaciones en el proceso de fabricación, en los proveedores de materiales críticos o en los equipos que no pasan por el sistema de control de cambios del titular.
• Titular que libera lotes sin haber revisado los registros del CMO. La firma del Certificado de Análisis del CMO no sustituye la revisión de los registros de fabricación por parte del titular.
• Ausencia de auditorías de seguimiento durante años. Algunos titulares cualifican el CMO al inicio de la relación y no vuelven a auditarle nunca. Esto es un incumplimiento directo del Capítulo 7.
• Investigación de desviaciones que queda en el CMO sin que el titular esté informado ni involucrado. Si una desviación puede afectar a la calidad del producto, el titular debe ser parte de la investigación.
• Falta de control sobre los subcontratistas del CMO. Si el CMO externaliza parte del análisis o de la fabricación a un tercero, el titular es responsable de que ese tercero también cumpla GMP.

Conclusión práctica: el CMO es una extensión de tu sistema de calidad

La FDA resume bien la filosofía que debe guiar la gestión de fabricantes por contrato en su Compliance Policy Guide: las instalaciones externas deben considerarse como una extensión de las instalaciones propias del fabricante. Lo que ocurre en el CMO es, desde el punto de vista regulatorio, tu responsabilidad.

Construir un programa sólido de gestión de CMOs no requiere recursos desproporcionados: requiere un proceso estructurado de evaluación inicial, un Acuerdo de Calidad riguroso y actualizado, y un sistema de seguimiento activo basado en indicadores y auditorías periódicas. Las organizaciones que tratan la gestión del CMO como un proceso de calidad de primer nivel —y no como un trámite contractual— son las que evitan las sorpresas en las inspecciones y las que mantienen el control real sobre la calidad de sus productos, independientemente de dónde se fabriquen.

Referencias normativas principales: EudraLex Vol. 4, Capítulo 7 (Outsourced Activities); EudraLex Vol. 4, Capítulo 5 (punto 5.29 sobre auditorías a fabricantes de APIs); ICH Q10 (Pharmaceutical Quality System); FDA Guidance for Industry: Contract Manufacturing Arrangements for Drugs: Quality Agreements (noviembre 2016); 21 CFR 211.22; ICH Q7 (Good Manufacturing Practice Guide for Active Pharmaceutical Ingredients).