Recalificación anual frente a recalificación por evento para equipos de alta contención

Un equipo de mantenimiento sustituye lo que registran como un “sello de puerta de rutina” en una caja de paso VHP situada entre una sala de procesamiento OEB5 y una esclusa de aire limpio. Nadie activa un control de cambios: se trata de una sustitución por un componente idéntico. Aún faltan cuatro meses para la próxima recualificación anual programada. Al cabo de unas semanas, los ciclos nocturnos de descontaminación biológica comienzan a mostrar aumentos anómalos de humedad, pero la desviación es tan sutil que no se activa ninguna alarma. Para cuando el departamento de control de calidad descubre la pérdida de letalidad del ciclo durante una revisión previa a la inspección, la anomalía ya se ha convertido en una observación de contención que retrasa la salida al mercado del producto y obliga a una parada no planificada.

El fallo no radicaba en el material de la junta. Radicaba en una lógica de ciclo de vida que consideraba el calendario como el único factor desencadenante de la recalificación, al tiempo que dejaba fuera del programa de calificación más de una docena de eventos de cambio de gran impacto. Los responsables de bioseguridad, los equipos de control de calidad y validación, y los jefes de ingeniería de las instalaciones de alta contención necesitan un marco de decisión diferente: uno que defina cuándo basta con una revisión anual, cuándo un suceso exige una nueva prueba inmediata y cómo decidir entre una recalificación completa, parcial o sin impacto bajo la presión de un calendario operativo activo. A continuación se expone la lógica basada en el riesgo para construir ese marco de referencia para aisladores, sistemas BIBO, cajas de paso y equipos críticos para las buenas prácticas de fabricación (GMP), en los que la integridad de la contención no puede dejarse a una suposición periódica.

Pruebas anuales de dispersión y revisión de registros

La recalificación anual no debe consistir, por defecto, en repetir los protocolos de prueba de la calificación original. El Anexo 15 de las BPF de la UE define la recalificación periódica como una revisión de los datos operativos rutinarios, las desviaciones y los registros, y no como una repetición automática de todas las pruebas [1]. En el caso de los activos de alta contención —sistemas de flujo de aire direccional BSL-3/4, puertos de guantes de aislador OEB5, unidades de descontaminación con VHP—, este cambio de enfoque es fundamental desde el punto de vista operativo, ya que las pruebas físicas repetidas según un calendario fijo pueden confirmar una instantánea, pasando por alto por completo una degradación lenta que el registro operativo habría puesto de manifiesto meses antes.

El criterio de planificación que se expone a continuación es sencillo: definir el alcance de la revisión anual de tal forma que se agoten los datos rutinarios disponibles antes de decidir si es necesaria alguna prueba práctica. Esto significa que la revisión debe analizar los registros de tendencias del sistema de gestión de edificios (BMS) en busca de una erosión en cascada de la presión, los datos de los informes de ciclo para detectar cambios en la tasa de inyección de VHP, los historiales de pruebas de fugas de los aisladores para detectar valores de deterioro progresivo y los informes de desviaciones para justificar las alarmas recurrentes. Cuando la revisión se basa únicamente en volver a comprobar la integridad de los filtros HEPA o en repetir una prueba de mantenimiento de presión según los criterios de aceptación originales, a menudo se convierte en un mero trámite que valida el equipo en el momento de la prueba, sin examinar la brecha operativa que se ha desarrollado entre una prueba y otra.

Un patrón de fallo que se observa repetidamente en las instalaciones OEB4/OEB5 es que, en la revisión anual, se repiten el estudio de humo y el escaneo de filtros de la calificación de calidad (IQ) y la calificación operativa (OQ), pero nunca se correlacionan esos resultados con los datos de tendencias de los últimos 11 meses, que muestran una disminución gradual de la presión diferencial entre salas. Para cuando la cascada de presión cae por debajo del límite de alerta, la causa raíz —quizás una junta de la carcasa del BIBO que se ha endurecido en frío tras un ciclo de descontaminación— ya lleva medio año afectando al sistema. Sustituir el protocolo predeterminado, centrado en numerosas pruebas, por un enfoque que priorice la revisión de datos convierte la revisión anual de un ritual de cumplimiento retrospectivo en un diagnóstico en tiempo real capaz de detectar desviaciones mientras aún se trata de una acción de mantenimiento, y no de un incidente de contención.

Desencadenantes de eventos que no pueden esperar a las pruebas de calendario

Las buenas prácticas de fabricación (GMP) prevén que se lleve a cabo una recalificación tras cualquier cambio que pueda influir en el estado de calificación de un sistema [1]. Dicho principio no concede un período de gracia basado en el siguiente evento programado del calendario. En el caso de los equipos de alta contención —en los que un cambio en la compresión de las juntas, una recalibración de los sensores o una revisión de los procedimientos puede alterar directamente la barrera de contención primaria—, esperar a la ventana anual supone tanto un riesgo para la bioseguridad como una postura cada vez más difícil de defender durante una inspección reglamentaria.

La lógica de activación inmediata se aplica independientemente de que el cambio sea físico, de procedimiento o relacionado con los instrumentos. Las siguientes categorías representan criterios prácticos de planificación extraídos de las directrices sobre cualificación comercial; deben considerarse como una lista de verificación para la evaluación de riesgos a nivel local, y no como una enumeración normativa universal.

Lo que dificulta la aplicación práctica de estos factores desencadenantes no es la norma en sí misma, sino el hecho de que muchos de ellos se producen durante las rondas de mantenimiento, los ciclos de calibración o las revisiones de los procedimientos operativos estándar (SOP), sin que se genere automáticamente un registro de control de cambios. En instalaciones que utilizan sistemas de climatización (HVAC) de nivel de seguridad biológica (BSL) 3/4 o cajas de paso con vapor de alto presión (VHP), la sustitución de un componente —como el cambio de un filtro BIBO o de una junta de puerta— es uno de los eventos más trascendentales para la integridad de la contención; sin embargo, con demasiada frecuencia se trata como una tarea de mantenimiento finalizada en lugar de como un desencadenante de recalificación. El resultado es una ventana de riesgo que permanece abierta hasta que se produce una desviación apreciable o llegan las fechas de las próximas pruebas programadas. Incorporar estos desencadenantes al flujo de órdenes de trabajo de mantenimiento —de modo que el cambio de una junta en un aislador aséptico genere automáticamente una evaluación de riesgos para una prueba de fugas parcial y una comprobación de la eficacia del ciclo de VHP— cierra esa brecha operativa antes de que se convierta en un hallazgo de auditoría o en un incidente de contaminación.

Decisiones sobre la recualificación total, parcial y sin repercusiones

La necesidad de reaccionar rápidamente ante un evento desencadenante obliga a tomar una decisión basada en el riesgo que muchas organizaciones no están preparadas para asumir bajo presión de tiempo: ¿debe la respuesta consistir en una recalificación completa, una prueba parcial específica o una justificación documentada de que no hay impacto? Una decisión errónea supone o bien un desperdicio de capacidad de producción debido a un exceso de pruebas, o bien deja una vulnerabilidad subestimada en la cadena de contención.

La lógica no se reduce simplemente a una cuestión de complejidad. El reajuste de un único filtro dentro de una carcasa BIBO puede afectar únicamente al límite de presión local de dicha carcasa, lo que justifica una prueba de fugas parcial y una verificación de partículas aguas abajo, en lugar de un remapeo completo en cascada de todas las salas del conjunto. Por el contrario, una modificación que altere la velocidad de rotación del ventilador de recirculación de un aislador puede cambiar los patrones de flujo de aire y los diferenciales de presión en toda la zona de trabajo, lo que requeriría una cualificación operativa casi completa. La distinción depende de los límites del sistema y de qué parámetros cualificados podrían verse realmente alterados.

Para que esa decisión sea defendible, los equipos de control de calidad y de bioseguridad deben evaluar el cambio en función de un conjunto claro de factores de control de la contaminación.

Cuando la evaluación concluya que no es necesario realizar ensayos de recalificación, la justificación y la evaluación de riesgos deben documentarse de todos modos —no como un atajo, sino como prueba de que la decisión se basó en datos científicos—. Lo mismo se aplica a un alcance abreviado de los ensayos. Una justificación no documentada para la realización de ensayos parciales suele ser cuestionada durante una auditoría como una reducción arbitraria del alcance. Una evaluación documentada que vincule el cambio a los atributos cualificados específicos que permanecen inalterados —por ejemplo, demostrando que la sustitución de la junta de una caja de paso VHP no afecta al mapa de cascada de presión de la sala limpia adyacente— transforma la decisión de una apreciación subjetiva en un registro trazable del ciclo de vida.

Revisión anual de las evaluaciones de cambios anteriores

Incluso cuando cada evento desencadenante registra un cambio, la revisión anual tiene una segunda función que a menudo se pasa por alto: debe comprobar si las evaluaciones de riesgos realizadas durante el año anterior fueron correctas. El anexo 15 incluye explícitamente los cambios y las desviaciones respecto al período objeto de revisión como parte de la reevaluación periódica [1]. Esa expectativa transforma la revisión anual de una simple lectura pasiva de datos en una auditoría activa del criterio técnico de la instalación.

Un cambio que se clasificó como «sin impacto» hace diez meses —la sustitución de un sensor no crítico, un ligero ajuste en la secuencia de bloqueo de una puerta— puede haber provocado una cascada de pequeños efectos que solo se hacen visibles en los registros a largo plazo. La revisión anual es el momento de examinar minuciosamente esas decisiones anteriores. Si los datos del BMS muestran ahora un patrón de fluctuación de presión que comenzó poco después de ese cambio de sensor, puede que sea necesario revisar la clasificación original de «sin impacto» y que se requiera una recalificación parcial o total con carácter retroactivo. Si se limita la revisión a repetir simplemente un conjunto fijo de pruebas físicas, se pasará por alto por completo esta valoración errónea, y el error se agravará a medida que se acumulen más cambios sobre una hipótesis errónea.

La implicación práctica es que el programa de revisión anual debe reservar tiempo para un análisis estructurado de cada evento de cambio registrado, comparando el impacto previsto con el historial operativo real que se produjo a continuación. Esa revisión se convierte en sí misma en una prueba clave para el siguiente ciclo de inspección, ya que demuestra que la instalación no se limita a registrar los cambios, sino que verifica la validez de las evaluaciones de riesgos que se suponía que debían controlar dichos cambios.

Registro de equipos: vinculación de cambios y pruebas

Durante una inspección, un auditor no aceptará un historial del ciclo de vida de un sistema de contención que se presente a través de tres sistemas diferentes: un CMMS para los eventos de mantenimiento, una carpeta de validación independiente para los informes de ensayo y un registro de control de cambios aislado sin vínculo alguno con los resultados de la recalificación. La cadena de custodia, desde las especificaciones del equipo hasta su estado de liberación actual, debe ser trazable en un único registro controlado. Aunque ninguna normativa exige un formato específico, el énfasis de la norma ICH Q10 en la gestión del conocimiento y el historial de cambios documentado respalda la expectativa de que un centro pueda demostrar una trazabilidad coherente de sus activos de alta contención [2].

El registro se convierte en la principal herramienta de justificación ante una auditoría cuando vincula la sustitución de un componente —como el cambio del motor del sistema de tratamiento de aire de un aislador aséptico— con la evaluación de riesgos que justificó una recalificación parcial, el informe de ensayo que verificó los parámetros de flujo de aire y vibración, y el estado de autorización que permitió volver a poner en funcionamiento el aislador. Cuando falta ese vínculo, el auditor se ve obligado a reconstruir las pruebas a partir de registros fragmentados, y las lagunas que en realidad son fallos de documentación pueden interpretarse erróneamente como deficiencias en la calificación.

El valor del registro no reside en su estructura, sino en la disciplina que impone. Una vez que una instalación se compromete a mantener un único registro actualizado para cada elemento de equipamiento, se hace inmediatamente evidente cuando se produce un cambio sin que exista la correspondiente entrada de recalificación. Esa visibilidad es lo que evita que el programa de ciclo de vida caiga precisamente en esa fragmentación que, en primer lugar, genera el riesgo de inspección.

Plan de ciclo de vida basado en el riesgo para activos de alta contención

Un plan de ciclo de vida basado en el riesgo no establece la misma frecuencia ni el mismo nivel de exhaustividad en la recalificación para todos los activos. El Anexo 15 de las BPF de la UE exige que estas decisiones se basen en el sistema y en el riesgo, y que no se apliquen de manera uniforme a todos los equipos [1]. En el caso de las operaciones de alta contención, esto significa que el plan debe adaptarse a las consecuencias específicas que tendría un fallo en la contención: la envolvente de flujo de aire direccional de un laboratorio de nivel de seguridad biológica 3 (BSL-3) exige un rigor diferente al de un módulo de filtración estéril terminal, y un aislador de aletas divididas OEB5 presenta modos de fallo distintos a los de una caja de paso de vapor de alto calor (VHP) utilizada para la transferencia de material entre distintos grados de clasificación.

La tarea práctica de diseño consiste en integrar los tres flujos de activación en un único documento dinámico que alimente directamente el registro de equipos. El flujo de revisión anual analiza los datos agregados y la precisión de las evaluaciones de cambios anteriores. El flujo basado en eventos obliga a evaluar de forma inmediata los tipos de cambios definidos, con la lógica de decisión de impacto total, parcial o nulo ya asignada a los puntos de vulnerabilidad conocidos del equipo. El flujo basado en tendencias supervisa las señales de rendimiento —tasas de caída de presión, disminución de la concentración de VHP, frecuencia de desviaciones de partículas— y da lugar a una nueva prueba parcial cuando se superan los umbrales estadísticos, incluso si no se ha registrado ningún evento de cambio concreto.

El problema que hace que los planes se desmoronen no es la ausencia de estos elementos, sino la incapacidad de asignarlos a clases de equipos con consecuencias reales en materia de contención. Un plan genérico que enumera los tipos de desencadenantes pero no vincula la “sustitución de juntas” con la “prueba parcial de fugas del aislador” para un modelo específico, o que no define el umbral de tendencia que activaría una nueva prueba de la carcasa del BIBO, se reducirá a un mero sistema de programación en el momento en que la presión de la producción entre en conflicto con la gestión de riesgos. El plan solo cumple su función cuando predefine los umbrales de decisión para cada clase de activo de contención, de modo que la respuesta a un evento desencadenante no sea una negociación, sino una acción del ciclo de vida preautorizada.

Un programa de recertificación de alta contención que sea defendible se basa, en última instancia, en la capacidad de demostrar tres cosas durante cualquier auditoría: que se ha registrado cada cambio, que cada decisión de evaluación de riesgos se puede rastrear hasta su evidencia operativa y que la revisión anual ha verificado que los juicios previos eran correctos, en lugar de limitarse a repetir una lista de pruebas predeterminada. Sin un registro único de equipos que vincule todos estos aspectos, ni siquiera las pruebas físicas frecuentes lograrán subsanar las deficiencias que los inspectores y los responsables de bioseguridad están capacitados para detectar.

Los siguientes pasos prácticos consisten en revisar el registro actual de equipos e identificar cada sustitución de componentes, fallo de calibración o revisión de procedimientos de los últimos doce meses que debería haber dado lugar a una decisión de recalificación, y comparar esas decisiones con los datos operativos posteriores a las mismas. Ese análisis de deficiencias pondrá de manifiesto en qué aspectos el plan de ciclo de vida debe reforzar sus criterios de activación y en qué aspectos la revisión anual debe pasar de ser un mero ejercicio calendarizado centrado en las pruebas a convertirse en una auténtica evaluación del estado de los sistemas de contención y de los criterios de ingeniería que los protegen.

Preguntas frecuentes

P: Nuestras instalaciones no disponen de un sistema de gestión de edificios (BMS) ni de datos de tendencias automatizados para los equipos de alta contención. ¿Podemos, aun así, pasar de una recalificación anual basada en numerosas pruebas a una revisión basada principalmente en datos?
R: Sí. La revisión puede basarse en cualquier tipo de datos disponibles: registros manuales de turnos, órdenes de trabajo de mantenimiento, registros en gráficos en papel y lecturas manuales periódicas de presión diferencial. El principio fundamental sigue siendo el mismo: analizar exhaustivamente el historial operativo disponible en busca de indicios de desviación antes de recurrir a pruebas físicas. Sin automatización, la revisión simplemente requiere una recopilación más rigurosa de los registros manuales y puede necesitar un periodo de análisis ligeramente más largo para compensar la menor densidad de datos.

P: ¿Cómo podemos conseguir que los técnicos de mantenimiento señalen sistemáticamente los cambios rutinarios de componentes (como las juntas de las puertas) como motivos para la recualificación?
R: Incorpora una lista breve y clara de los componentes de alto riesgo directamente en la plantilla de orden de trabajo del CMMS, de modo que se solicite al técnico que indique si la sustitución afecta a un elemento crítico para la contención. Acompaña esa solicitud con un breve diagrama de flujo de decisión que vincule una sustitución marcada con una evaluación de riesgos predefinida y, cuando sea necesario, con un protocolo de prueba parcial. El aviso pasa a formar parte de la rutina de cierre del trabajo, en lugar de ser un paso adicional de cumplimiento normativo.

P: En el nivel BSL-4, ¿sigue existiendo la posibilidad de realizar una recualificación parcial tras un cambio menor de sellos, o cada incidente debe dar lugar a una nueva prueba completa?
R: La recalificación parcial sigue siendo posible incluso en condiciones de contención máxima, pero la evaluación de riesgos debe demostrar con un alto grado de confianza que el cambio afecta únicamente a un subsistema definido y no pone en peligro la barrera de contención primaria. En la práctica, muchos centros de nivel BSL-4 imponen una norma por defecto más estricta —como la revisión obligatoria por parte del comité de bioseguridad para cualquier decisión de no realizar una nueva prueba completa—, pero la lógica subyacente basada en el riesgo y la justificación documentada son las mismas.

P: ¿Qué enfoque requiere realmente menos recursos: un calendario fijo de pruebas anuales o un programa basado en eventos?
R: Un programa basado en eventos no consume necesariamente menos recursos; a cambio de unas pruebas predecibles y programadas, implica una necesidad continua de evaluar los cambios, documentar las evaluaciones de riesgos y realizar pruebas específicas cuando sea necesario. El esfuerzo total puede ser similar, pero la cobertura de riesgos mejora significativamente, ya que las pruebas se activan en función de cambios reales en el estado, en lugar de fechas arbitrarias. Las instalaciones suelen constatar que eliminan las recualificaciones completas innecesarias, al tiempo que dedican más tiempo a pruebas más pequeñas y centradas en los cambios.

P: Solo tenemos uno Aislador aséptico y dos Cajas para pases VHP. ¿Es excesivo llevar un registro completo del equipamiento y un plan de ciclo de vida?
R: No. Incluso un registro mínimo —una hoja de cálculo bien organizada que relacione los eventos de cambio de cada activo, las evaluaciones de riesgo y los informes de pruebas— proporciona una trazabilidad lista para auditorías que evita que las deficiencias detectadas en las inspecciones resulten mucho más costosas que el tiempo invertido. La misma lógica del ciclo de vida se aplica proporcionalmente a menor escala: menos activos significan menos filas, pero el riesgo de cambios no documentados y de desviaciones progresivas no disminuye con el tamaño del inventario.