cGxP
Dr. Rachel Benett
octubre 20, 2026
Por James Okafor
James Okafor es especialista en aseguramiento de la calidad y validación de sistemas informáticos, con dieciséis años de experiencia en entornos regulados por GxP. Ha desarrollado marcos de gobernanza de IA que abarcan la clasificación por riesgo, la validación y la integridad de datos para sistemas de farmacovigilancia y de datos clínicos.
Un registro de auditoría de cromatografía muestra una inyección que se ejecutó, se interrumpió a los cuatro minutos y nunca se reportó. La nota del analista dice «comprobación del sistema». El supervisor que revisó el lote no abrió en ningún momento el registro de auditoría. ¿Se trata de un evento rutinario de laboratorio o de un hallazgo de integridad de datos? Me han pedido que resuelva esta cuestión en numerosas ocasiones durante revisiones de validación, y la respuesta es casi siempre la misma: es un hallazgo, porque nadie puede demostrar qué contenía la inyección interrumpida ni por qué se descartó. Un patrón de este tipo de eventos, combinado con un proceso de revisión que nunca examina nada, es la forma en que un centro acaba con lotes rechazados y una carta de advertencia (Warning Letter) que pone en duda los resultados que el laboratorio ya ha liberado. La formación en integridad de datos existe precisamente para que las personas que generan y revisan esos registros puedan responder a esa pregunta antes de que lo haga un inspector.
Los reguladores de Estados Unidos y Europa comparten la misma expectativa, expresada con palabras distintas. La FDA exige que todos los datos sujetos a las normas de correcta fabricación vigentes (CGMP, por sus siglas en inglés) sean fiables y exactos, y su guía de 2018 define la integridad de datos como la integridad, coherencia y exactitud de los datos, utilizando ALCOA (Atribuible, Legible, Contemporáneo, Original y Exacto) como criterio para comprobar si se cumple ese estándar. En la Unión Europea (UE), las inspectorías nacionales que aplican la guía de normas de correcta fabricación (GMP) de la UE, con la coordinación de la EMA, exigen que los registros se mantengan fiables a lo largo de todo su ciclo de vida, ya sean en papel, electrónicos o híbridos. Ninguna de las dos partes considera estos principios como voluntarios: son el prisma a través del cual se examina cada registro que se presenta durante una inspección.
ALCOA se atribuye generalmente a Stan Woollen, quien lo concibió a principios de la década de 1990 mientras trabajaba en la FDA, como herramienta formativa para ayudar a los inspectores de buenas prácticas de laboratorio (GLP) a evaluar la calidad de los datos de los estudios. Los cinco atributos no constituían requisitos nuevos, sino una forma memorable de organizar expectativas que ya existían en las normativas de GLP y GMP.
El «plus» llegó casi dos décadas después. En junio de 2010, el Grupo de Trabajo de Inspectores de Buenas Prácticas Clínicas (GCP) de la EMA publicó su Reflection paper on expectations for electronic source data and data transcribed to electronic data collection tools in clinical trials, que amplió la lista con cuatro atributos: Completo, Coherente, Perdurable y Disponible. Estas incorporaciones reconocían que un registro electrónico podía ser atribuible y legible y, aun así, estar incompleto o ser inaccesible cuando un inspector lo solicitaba. Su sucesora, la Guideline on computerised systems and electronic data in clinical trials, adoptada el 7 de marzo de 2023 y aplicable desde septiembre de 2023, fue un paso más allá y añadió Trazable como décimo atributo, bajo la denominación ALCOA++. La Agencia Reguladora de Medicamentos y Productos Sanitarios del Reino Unido (MHRA) señaló en su guía GXP Data Integrity Guidance and Definitions de 2018 que las expectativas no cambian en función de la versión del acrónimo empleada. En la práctica, un inspector evaluará todos los principios, figuren o no explícitamente en sus procedimientos.
Los principios suelen enseñarse como definiciones que hay que memorizar. Resulta mucho más útil entenderlos como preguntas que un inspector formulará sobre un registro concreto, porque así es como se redactan los hallazgos.
La inyección interrumpida de mi ejemplo inicial incumple el principio de Completo, porque la ejecución nunca se reportó, y el de Exacto, porque los resultados liberados no reflejan todo lo ocurrido. Si el inicio de sesión del instrumento era compartido, también incumple el de Atribuible. Este es el patrón que busca un inspector experimentado, porque cuando un único evento pone en evidencia varios principios a la vez, suele indicar que lo que falla es el control, no la persona.
Gran parte de lo que se escribe sobre ALCOA+ confunde los requisitos normativos con las expectativas regulatorias. En Estados Unidos, las normas codificadas se recogen en el Título 21 del Código de Regulaciones Federales (CFR). El artículo 21 CFR 211.68(b) exige que las modificaciones de los registros en sistemas informatizados las realice únicamente personal autorizado; el 21 CFR 211.194(a) exige que los registros de laboratorio incluyan datos completos de todas las pruebas realizadas e identifiquen quién ejecutó y quién verificó cada etapa; y el 21 CFR 211.180 exige que los registros permanezcan disponibles para su inspección por parte del personal autorizado. Los requisitos de la 21 CFR Part 11 sobre registros y firmas electrónicos se suman a estas normas base.
Más allá de las normas codificadas, gran parte de lo que evalúan los inspectores procede de las guías. La guía de la FDA Data Integrity and Compliance With Drug CGMP: Questions and Answers, finalizada en diciembre de 2018, exige que el personal responsable de revisar un registro revise también su registro de auditoría como parte de dicha revisión, recomienda que el rol de administrador del sistema recaiga en personal independiente del responsable del contenido de los registros, y describe la formación del personal para prevenir y detectar problemas de integridad de datos como una práctica coherente con los requisitos de personal del 21 CFR 211.25. En la UE, el Capítulo 4 de la guía de GMP y el Anexo 11 sobre sistemas informatizados establecen los requisitos de documentación, mientras que el Esquema de Cooperación en materia de Inspección Farmacéutica (PIC/S), en su guía PI 041-1, vigente desde el 1 de julio de 2021, describe lo que los inspectores buscan en la práctica. La guía de la MHRA añade la exigencia de una evaluación documentada del riesgo de integridad de datos y de formación en integridad de datos para todo el personal pertinente, incluida la alta dirección.
El marco normativo también está en movimiento. El 7 de julio de 2025, la Comisión Europea abrió una consulta sobre las versiones revisadas del Capítulo 4 y el Anexo 11, que se cerró el 7 de octubre de 2025. El borrador del Capítulo 4 sitúa la documentación dentro de un sistema de gobernanza de datos, y el borrador del Anexo 11 endurece las exigencias relativas a los registros de auditoría, las firmas electrónicas y la seguridad de los sistemas. Los textos definitivos aún no se habían adoptado en el momento de redactar este artículo, pero los principios que comenzaron como una herramienta formativa para inspectores se están incorporando cada vez con mayor claridad al marco de GMP de la UE.
Los fallos de integridad de datos rara vez comienzan con fraude. En los centros que he revisado, suelen empezar con una comodidad que nadie cuestionó: un inicio de sesión de instrumento compartido porque la creación de cuentas individuales era lenta, una impresión de balanza grapada a una página del cuaderno días después de la pesada, o un registro de auditoría que estaba activado pero que nunca se revisaba. Cada uno de estos casos es un fallo de ALCOA+ a la espera de ser detectado, y cada uno resulta mucho más barato de prevenir mediante formación que de subsanar después de un Formulario 483 de la FDA.
La magnitud del problema se refleja en los datos de las medidas de ejecución: un análisis publicado por Pharmaceutical Online en diciembre de 2025 reveló que el 15 % de las 85 cartas de advertencia (Warning Letters) sobre productos farmacéuticos emitidas por la FDA entre el 1 de enero y el 9 de diciembre de 2025 citaban problemas de integridad de datos, con una proporción notablemente mayor en los centros ubicados en India. Los sistemas en papel tienen sus propios puntos débiles, desde formularios en blanco sin control hasta cuadernos con páginas extraíbles, aspectos que entran dentro de las buenas prácticas de documentación (GDocP). Los sistemas informatizados desplazan el riesgo hacia el control de accesos, la configuración del registro de auditoría y la verificación de las copias de seguridad. Un centro necesita el mismo nivel de control sobre ambos tipos de sistema, porque los inspectores cotejan habitualmente el registro electrónico con el registro en papel y consideran cualquier discrepancia no justificada entre ambos como un hallazgo.
El curso Integridad de datos farmacéuticos: ALCOA y ALCOA+ está diseñado para clientes que necesitan un dominio práctico de los principios, no un simple listado de términos. A lo largo de ocho lecciones, avanza desde la guía normativa, pasando por cada principio de ALCOA+ y las infracciones habituales, hasta los controles prácticos aplicables a los sistemas en papel y a los sistemas informatizados. El certificado cuenta con acreditación de Formación Continua (CPD) y de Unidades de Educación Continua (CEU). Ha sido elaborado por un equipo de expertos en asuntos regulatorios con titulaciones de la Northeastern University de Boston.
Detalles del curso
Descripción detallada del programa
Los analistas de control de calidad y los supervisores de laboratorio son el público principal, ya que generan y revisan los registros que los inspectores examinan con mayor profundidad. Junto a ellos se encuentran los operarios de fabricación y los jefes de turno, puesto que el registro de lote que completan es el documento que un inspector coteja con el resultado de laboratorio. Los revisores de garantía de calidad necesitan la misma base desde el lado opuesto, ya que son las personas de las que se espera que abran el registro de auditoría y cuestionen la inyección interrumpida antes de que lo haga un inspector. Los especialistas en validación de sistemas informáticos y los responsables de sistemas de tecnología de la información aportan los controles técnicos que hacen defendibles los registros electrónicos. Las personas cualificadas y los directivos completan el cuadro, ya que la guía de la MHRA sitúa la responsabilidad de la gobernanza de datos en la alta dirección, no en el analista de banco.
El coste de un curso de dos horas resulta insignificante frente a lo que puede desencadenar una sola observación de integridad de datos: meses de subsanación, auditorías forenses de terceros, revisión retrospectiva de lotes ya liberados, retrasos en las aprobaciones y, en los casos más graves, una alerta de importación que cierra un mercado. Invertir en formación en integridad de datos ALCOA+ en todo el centro crea el vocabulario común que permite a un revisor, un operario y un responsable de sistema reconocer y cerrar la misma carencia. También genera evidencia documentada de que la formación se impartió, y los registros de formación forman parte habitualmente de lo que los reguladores esperan encontrar en la respuesta de una empresa a una observación de integridad de datos. Medido frente a estos resultados, un curso para cada función que genera registros se encuentra entre los controles de menor coste que puede implementar un sistema de calidad.
Todos los cursos de GxP Training son desarrollados y revisados por expertos en asuntos regulatorios con titulaciones avanzadas y experiencia regulatoria hands-on. Al finalizar, cada cliente recibe un certificado único, fechado y verificable, acreditado con CPD/CEU, que puede comprobarse a través de nuestro verificador de certificados y compartirse directamente en LinkedIn. El acceso es autodirigido durante doce meses, de modo que un equipo puede completar el curso adaptándose a los patrones de turno, y los responsables pueden seguir el progreso a través del panel de equipo y de las herramientas de recursos humanos cuando sea necesario presentar los registros de formación durante una auditoría. El contenido se actualiza mensualmente a medida que avanzan hacia su adopción guías como el Anexo 11 revisado, y todos los cursos son compatibles con el Modelo de Referencia de Objetos de Contenido Compartible (SCORM) para su distribución a través de su propio sistema de gestión del aprendizaje.
En la mayoría de los casos que he visto, el analista que realizó la ejecución no actuó de mala fe, y el supervisor que omitió revisar el registro de auditoría no fue deliberadamente negligente. A ninguno de los dos se le había enseñado a ver el registro como lo ve un inspector, y esa brecha es lo que convierte un evento rutinario de laboratorio en un hallazgo que condiciona la percepción de los reguladores sobre un centro mucho después de que finalice la inspección. Los principios de ALCOA+ son el referente con el que se juzgará cada registro que genere, ya sea el inspector de la FDA o de una autoridad de la UE.
