Qué es un CAPA y qué exige la ISO 13485

En la auditoría de vigilancia, el auditor pidió el registro de quejas de un catéter y encontró veinte en un año por el mismo motivo: dificultad para retirar la guía. Cada una se había investigado, se había respondido al distribuidor y se había cerrado como caso aislado. Ninguna había llegado al sistema de acciones correctivas, porque el procedimiento decía que se abría un CAPA solo cuando una queja se confirmaba como defecto de fabricación.

Qué es un CAPA

CAPA es la sigla en inglés de acciones correctivas y preventivas. La acción correctiva elimina la causa de una no conformidad que ya ocurrió para que no se repita; la acción preventiva elimina la causa de una no conformidad potencial para que no ocurra. En dispositivos médicos, el término se usa para nombrar el sistema completo que recibe entradas de toda la organización, decide cuáles requieren acción, investiga la causa y verifica que la acción funcionó.

Qué exige la ISO 13485

A diferencia de la ISO 9001:2015, que eliminó la acción preventiva como requisito separado, la ISO 13485:2016 conserva ambas. La cláusula 8.5.2 pide tomar acciones correctivas sin demora indebida y un procedimiento documentado que defina requisitos para:

• —Revisar las no conformidades, incluidas las quejas.
• —Determinar sus causas.
• —Evaluar la necesidad de actuar para asegurar que no vuelvan a ocurrir.
• —Planificar, documentar e implementar la acción, incluida la actualización de la documentación cuando corresponda.
• —Verificar que la acción no afecte la capacidad de cumplir requisitos regulatorios ni la seguridad y el desempeño del dispositivo.
• —Revisar la eficacia de la acción tomada.

La cláusula 8.5.3 pide lo mismo para las acciones preventivas sobre no conformidades potenciales, y en ambos casos se conservan registros de las investigaciones y de las acciones.

De dónde salen las entradas

Un CAPA que solo se alimenta de hallazgos de auditoría llega tarde. La cláusula 8.4 exige analizar datos de retroalimentación, conformidad del producto, tendencias de procesos y productos, proveedores, auditorías e informes de servicio, y ese análisis es la fuente natural de acciones preventivas. Por su parte, la 8.2.2 pide que, si una queja no se investiga, la justificación quede documentada, y que cualquier corrección o acción correctiva derivada de una queja también quede registrada. Una tendencia de quejas del mismo tipo es una entrada al CAPA aunque ninguna queja individual se haya confirmado como defecto.

El contexto regulatorio

Para quien exporta a Estados Unidos, el reglamento de sistemas de calidad de la FDA, que desde febrero de 2026 incorpora la ISO 13485:2016 por referencia, hace del CAPA uno de los subsistemas que sus inspectores revisan con más detalle. Un CAPA sin análisis de tendencias o sin verificación de eficacia es una de las observaciones más frecuentes en inspecciones a fabricantes de dispositivos médicos.

Errores frecuentes

• —Criterios de entrada tan estrechos que las tendencias nunca llegan al CAPA.
• —Declarar error humano como causa raíz y cerrar con reentrenamiento.
• —No verificar que la acción no afecte la seguridad y el desempeño del dispositivo ni los requisitos regulatorios.
• —Cerrar el CAPA al implementar la acción, sin revisar su eficacia con datos posteriores.
• —No tener ninguna acción preventiva registrada en años.

Cómo se gestiona sin perder el hilo

El CAPA atraviesa quejas, producción, proveedores, diseño y asuntos regulatorios, y cada área suele llevar su parte en un registro distinto. Un Software de no conformidades y acciones correctivas recibe entradas de todas esas fuentes, agrupa las repetidas para detectar tendencias, guía el análisis de causa, liga la acción a los documentos que cambia y no permite cerrar sin la verificación de eficacia, con la evidencia lista para la auditoría o la inspección.

En resumen

CAPA es el sistema de acciones correctivas y preventivas. La ISO 13485 conserva ambas y exige un procedimiento documentado para revisar no conformidades y quejas, determinar causas, planificar e implementar acciones, verificar que no afecten la seguridad ni los requisitos regulatorios y revisar su eficacia. Sus entradas deben incluir el análisis de datos y las tendencias, no solo los hallazgos confirmados.