GMP
Dr. Rachel Benett
octubre 4, 2026
Cuando la Comisión Europea y el Esquema de Cooperación de Inspección Farmacéutica (PIC/S) publicaron un borrador de revisión del Anexo 11 de las directrices de Buenas Prácticas de Fabricación (BPF) de la UE en julio de 2025, cambiaron la pregunta que los inspectores harán sobre los sistemas informatizados. Durante más de una década, la pregunta central ha sido si un sistema fue validado antes de su primer uso. El borrador plantea una pregunta más amplia: si el sistema, sus datos, sus usuarios y sus proveedores han permanecido en un estado de control desde su puesta en marcha. Ese cambio convierte la Validación de Sistemas Informatizados (VSI) en una competencia profesional fundamental en lugar de una tarea secundaria.
He visto lo rápido que esa pregunta surge en la práctica. Durante una inspección que apoyé como responsable de validación, un inspector hizo una sola pregunta sobre una pista de auditoría y, en menos de una hora, abrió una observación que puso en duda un registro de lote completo. Cuando no se puede demostrar que un sistema que gestiona registros electrónicos funciona de forma fiable, los datos que produce se vuelven cuestionables. Los datos cuestionables pueden llevar a presentaciones rechazadas, inspecciones fallidas y, en el peor de los casos, un riesgo directo para la seguridad del paciente.
Tanto la FDA como la EMA esperan que los fabricantes demuestren un control continuo sobre los sistemas informatizados que afectan la calidad del producto y la integridad de los datos. En Estados Unidos, el Título 21 del Código de Regulaciones Federales (CFR) Parte 11 establece los criterios bajo los cuales los registros electrónicos y las firmas electrónicas se consideran fiables, dignos de confianza y generalmente equivalentes a los registros en papel y las firmas manuscritas. En la Unión Europea, el Anexo 11 actual establece que la aplicación debe ser validada y la infraestructura de TI cualificada. Por lo tanto, los inspectores buscan evidencia documentada de que un sistema fue validado para su uso previsto y, cada vez más, de que ha permanecido bajo control después de su puesta en marcha. Con la revisión del Anexo 11 ahora finalizándose tras la consulta pública, esas expectativas están a punto de aumentar de nuevo.
La versión actual del Anexo 11 entró en vigor el 30 de junio de 2011. Durante más de catorce años, ha servido como referencia europea para los sistemas informatizados en la fabricación regulada. Durante el mismo período, la tecnología que rige se ha trasladado a plataformas en la nube, software como servicio y sistemas de datos interconectados. El 7 de julio de 2025, la Comisión Europea y PIC/S publicaron un borrador de revisión del Anexo 11, junto con un nuevo Anexo 22 sobre inteligencia artificial y un Capítulo 4 revisado sobre documentación. La consulta pública se cerró el 7 de octubre de 2025, y se espera el texto final a finales de 2026 o 2027. Hasta entonces, el Anexo 11 de 2011 sigue en vigor.
El borrador amplía una directriz breve a un documento considerablemente más detallado. Su énfasis pasa de probar que un sistema fue validado antes de su primer uso a demostrar un control continuo sobre el sistema, sus datos, sus usuarios, sus proveedores y su seguridad. Las expectativas ampliadas para las pistas de auditoría, la gestión de proveedores y servicios, la gestión de identidades y accesos, y la revisión periódica reflejan ese cambio. Los profesionales que ya trabajan dentro de un modelo de ciclo de vida reconocerán el borrador como una extensión de las buenas prácticas establecidas. Según mi experiencia, los equipos a los que les resulta difícil una revisión como esta rara vez carecen de procedimientos. Más a menudo, sus revisiones periódicas se han convertido discretamente en una formalidad. En términos prácticos, los inspectores preguntarán cada vez más no solo si un sistema fue validado, sino si ha permanecido en un estado de control desde su puesta en marcha.
Si el Anexo 11 y el 21 CFR Parte 11 definen lo que los reguladores esperan, GAMP 5 (Buenas Prácticas de Fabricación Automatizada) es el marco que la mayoría de la industria utiliza para cumplir esas expectativas. La Sociedad Internacional de Ingeniería Farmacéutica (ISPE) publicó la Segunda Edición de GAMP 5 en julio de 2022, actualizando la primera edición para reflejar el creciente papel de los proveedores de servicios, el desarrollo iterativo de software y las herramientas automatizadas. Su principio central es la proporcionalidad. El esfuerzo de validación y la documentación deben adaptarse al riesgo que un sistema representa para la calidad del producto, la integridad de los datos y la seguridad del paciente, en lugar de aplicarse al mismo estándar exhaustivo en todas partes. La guía clasifica el software por categoría y otorga un peso explícito al pensamiento crítico de expertos en la materia experimentados sobre la cumplimentación de listas de verificación.
El mismo razonamiento aparece en Estados Unidos. En septiembre de 2025, la FDA emitió una guía final sobre el Aseguramiento de Software Informático (CSA) para software de sistemas de producción y calidad, actualizada en febrero de 2026. La guía fue escrita para fabricantes de dispositivos médicos, pero su lógica, que centra el esfuerzo de aseguramiento en el uso previsto de cada función y el riesgo que conlleva, refleja el enfoque que GAMP 5 recomienda para los sistemas farmacéuticos. Un profesional que entienda ambos puede aplicar el mismo razonamiento de manera consistente a las expectativas europeas y estadounidenses. Las organizaciones que tienen dificultades suelen ser aquellas que todavía tratan la validación como un ejercicio de documentación en lugar de un juicio sobre dónde importa el control.
Uno de los cambios más visibles en el borrador del Anexo 11 es el tratamiento de la seguridad como un requisito BPF en lugar de una preocupación de TI. Junto con las expectativas ampliadas de la pista de auditoría y una gestión de identidad y acceso más estricta, el borrador aborda directamente la seguridad de los sistemas informatizados. La visión subyacente es que no se puede confiar en un sistema cuya seguridad no se puede demostrar para proteger los datos BPF. La integridad de los datos se encuentra en el centro de esa visión. Los principios ALCOA+ sostienen que los datos deben ser atribuibles, legibles, contemporáneos, originales y precisos, además de completos, consistentes, duraderos y disponibles. Estos principios solo se mantienen cuando el sistema que genera los datos los aplica por diseño.
La validación es el mecanismo que conecta un control de seguridad o una configuración de pista de auditoría con evidencia documentada e inspeccionable. Un ciclo de vida de validación bien ejecutado produce los registros que un inspector solicita cuando surge una pregunta sobre la integridad de los datos. Una validación débil es la forma en que una única brecha inexplicada en una pista de auditoría puede convertirse en una carta de advertencia y un largo programa de remediación. Para la mayoría de las organizaciones, el riesgo rara vez es la tecnología en sí. El riesgo es no poder demostrar, el día de la inspección, que la tecnología ha estado bajo control durante todo su uso.
Para los profesionales que desean desarrollar estas habilidades metódicamente, el curso de formación en Validación de Sistemas Informatizados de GxP Training cubre el ciclo de vida completo de la VSI y el enfoque basado en el riesgo de GAMP 5 en un único programa estructurado. Fue desarrollado por un equipo de expertos en Asuntos Regulatorios con cualificaciones de la Northeastern University, Boston, y traduce los requisitos del 21 CFR Parte 11 y el Anexo 11 de la UE en un flujo de trabajo de validación práctico que los profesionales pueden aplicar inmediatamente en un entorno regulado.
Detalles del curso
Descripción detallada del programa
La necesidad de formación en Validación de Sistemas Informatizados rara vez se limita a un único puesto de trabajo. Los profesionales de aseguramiento de la calidad son los responsables de la evidencia de que un sistema es apto para su uso, por lo que necesitan entender exactamente qué contiene un paquete de validación defendible. Los ingenieros y especialistas en validación diseñan y ejecutan ese trabajo. Se benefician de un vocabulario compartido con los equipos de TI y sistemas que configuran plataformas, gestionan pistas de auditoría y controlan la identidad y el acceso. Los propietarios de procesos y propietarios de sistemas, cuyos roles define explícitamente el Anexo 11, necesitan entender de qué son responsables antes de que un inspector pregunte. El personal de asuntos regulatorios, que traduce las expectativas del inspector en lo que la organización debe mostrar, se basa en la misma comprensión del ciclo de vida para defender una presentación. Cuando estos roles comparten el mismo vocabulario del ciclo de vida, un paquete de validación puede ser defendido por la persona que elija el inspector para interrogar.
Una única observación sobre la integridad de los datos o los sistemas informatizados puede desencadenar un programa de remediación que resulta costoso en tiempo de consultoría, reelaboración del sistema y revalidación. Esto es antes de contar cualquier retraso en el lanzamiento de un producto o el efecto reputacional de una carta de advertencia publicada. Los profesionales capacitados también trabajan de manera más eficiente, porque ajustan el esfuerzo de validación al riesgo en lugar de sobredocumentar sistemas de bajo riesgo o subdocumentar sistemas críticos. A medida que la revisión del Anexo 11 eleva las expectativas básicas en la Unión Europea y la FDA continúa apoyando la garantía basada en el riesgo en Estados Unidos, una fuerza laboral que ya piensa en estos términos está preparada para ambos. Las organizaciones que combinan esta disciplina con conocimientos relacionados, como la Garantía de Software Informático y el 21 CFR Parte 11, construyen una función de validación que puede responder a las preguntas de un inspector en cualquier momento, no solo en las semanas previas a una visita programada.
GxP Training desarrolla sus cursos con expertos en la materia procedentes de la industria regulada, por lo que el material de su formación en Validación de Sistemas Informáticos refleja cómo se inspecciona realmente la validación, en lugar de cómo se lee en el papel. Cada curso concluye con un certificado único, verificable a través de un comprobador en línea y acreditado por CPD/CEU, lo que facilita compartirlo en LinkedIn y archivarlo como prueba de competencia lista para una auditoría. Los clientes mantienen el acceso a su propio ritmo durante doce meses, de modo que un profesional de la validación ocupado puede encajar el material en los plazos del proyecto y no al revés. Para los equipos, el seguimiento del progreso por parte del responsable y las herramientas adaptadas a RR. HH. facilitan la asignación del curso, el seguimiento de su finalización y la demostración ante un auditor de que la formación se impartió y se comprendió. El contenido se actualiza mensualmente para seguir el ritmo de las directrices cambiantes, como la revisión del Anexo 11, y la compatibilidad con SCORM permite que los cursos se integren perfectamente en el sistema de gestión de aprendizaje corporativo existente.
La revisión del Anexo 11 está cerca de su finalización. La consulta ha concluido, se espera el texto final a finales de 2026 o 2027, y su dirección ya está clara. Los reguladores en Europa y Estados Unidos esperan que los sistemas informatizados sean validados, asegurados y mantenidos bajo control durante toda su vida útil. Los profesionales y equipos que se preparen ahora cumplirán las nuevas expectativas en un terreno familiar. Esa preparación comienza con una formación estructurada y basada en el ciclo de vida en Validación de Sistemas Informatizados, completada mucho antes de que el texto final entre en vigor.
