Qué es la gestión de riesgos en ISO 14971

La empresa fabricaba equipo de infusión y tenía su matriz de riesgos impecable: veintidós riesgos identificados, con probabilidad, impacto, nivel y acción. Rotación de personal, dependencia de un proveedor único, obsolescencia de un componente, retraso en la validación de un proceso, tipo de cambio. El auditor la revisó, dijo que estaba bien hecha para lo que era, y volvió a preguntar lo mismo que había preguntado al inicio: el expediente de gestión de riesgos del dispositivo. La matriz respondía qué puede salir mal en la empresa. La pregunta era qué daño puede sufrir el paciente.

Dos riesgos que no se sustituyen

El riesgo del que habla la ISO 9001 y el que aparece en la matriz corporativa es el riesgo para los objetivos de la organización: incumplir un requisito, perder un cliente, no lograr un resultado previsto. El riesgo del que habla la ISO 14971 es otro y está definido de forma estrecha: la combinación de la probabilidad de ocurrencia de un daño y la severidad de ese daño, donde daño significa lesión física o perjuicio a la salud de las personas, o daño a la propiedad o al medio ambiente. El sujeto protegido es el paciente, el usuario y el entorno, no la empresa.

De esa definición salen los tres conceptos que estructuran todo el proceso: el peligro, que es la fuente potencial de daño; la situación peligrosa, que es la circunstancia en la que personas, propiedad o entorno quedan expuestos a un peligro; y el daño, que es la consecuencia. Una batería que se sobrecalienta es un peligro; el equipo funcionando junto al paciente con la batería sobrecalentándose es la situación peligrosa; la quemadura es el daño. Confundir los tres es la causa de la mitad de los análisis de riesgo que no resisten una auditoría.

Qué exige el proceso

• —Un plan de gestión de riesgos para el dispositivo concreto: alcance, asignación de responsabilidades, requisitos de revisión, criterios de aceptabilidad del riesgo, actividades de verificación y actividades de recopilación de información de producción y posproducción.
• —El análisis del riesgo: uso previsto y uso incorrecto razonablemente previsible, identificación de las características relacionadas con la seguridad, identificación de peligros y situaciones peligrosas, y estimación del riesgo para cada una.
• —La evaluación del riesgo: comparar el riesgo estimado contra los criterios de aceptabilidad definidos en el plan, y decidir si hace falta reducirlo.
• —El control del riesgo: seleccionar e implementar medidas, verificar que se implementaron y verificar su eficacia, y evaluar si introducen riesgos nuevos, que es el paso que más se salta.
• —La evaluación del riesgo residual global: no basta con que cada riesgo individual sea aceptable; hay que juzgar el conjunto, porque un dispositivo con treinta riesgos aceptables puede no serlo en total.
• —La revisión de la gestión de riesgos antes de la liberación comercial, con un informe que concluya que el plan se ejecutó, que el riesgo residual global es aceptable y que existen los métodos para recopilar información de producción y posproducción.
• —Las actividades de producción y posproducción: recopilar y revisar información, evaluar si afecta lo concluido y actuar sobre el expediente cuando lo afecte.

Cómo se estima el riesgo, y el matiz que casi siempre falta

El riesgo se estima combinando la probabilidad de que ocurra el daño y su severidad. Hasta ahí, parecido a cualquier método de evaluación. El matiz específico de esta norma es lo que hay que hacer cuando la probabilidad no se puede estimar: para algunos peligros no hay datos suficientes para asignarle un valor razonable, y en esos casos la norma indica evaluar el riesgo únicamente sobre la base de la severidad del daño. Es decir, un daño potencialmente grave del que no se conoce la frecuencia no se descarta por improbable: se trata como grave.

Esa regla es la que separa un análisis de riesgo de dispositivo de un AMEF de proceso. En un AMEF la ocurrencia baja reduce el número de prioridad de riesgo; aquí, la ausencia de datos de ocurrencia no reduce nada. Y es la razón por la que los criterios de aceptabilidad tienen que estar escritos en el plan antes de empezar el análisis, no ajustados después para que los resultados encajen.

La jerarquía de control del riesgo es un orden, no un menú

La norma establece tres opciones de control y las prioriza expresamente en este orden: primero, seguridad inherente por diseño; segundo, medidas de protección en el propio dispositivo o en el proceso de fabricación; tercero, información de seguridad —advertencias, instrucciones, capacitación— y, cuando corresponda, formación del usuario. Solo se baja de nivel cuando el anterior no es practicable, y esa determinación tiene que quedar registrada.

El incumplimiento típico es saltar directo al tercer nivel: resolver un riesgo agregando una advertencia al manual. Funciona en el papel y no funciona en auditoría, porque la pregunta será por qué no se resolvió por diseño y qué evidencia hay de que no era practicable. La norma es además explícita en otro punto que se pasa por alto: la información de seguridad reduce el riesgo, pero no elimina la obligación de haber intentado antes las dos opciones superiores.

El circuito de producción y posproducción cierra el expediente

La gestión de riesgos no termina cuando el dispositivo sale al mercado; ahí empieza la parte que valida todo lo anterior. La información de producción, las quejas, los informes de servicio, los eventos adversos, la vigilancia del mercado y la literatura publicada se recopilan y se revisan contra lo que el expediente asumió. Si aparece un peligro no identificado, si una probabilidad estimada resulta ser mayor de lo previsto o si un riesgo deja de ser aceptable, el expediente se actualiza y las medidas de control se revisan. Ese es el punto donde la ISO 14971 se enlaza con el análisis de datos y la retroalimentación posventa de la ISO 13485, y donde una tendencia detectada a tiempo evita una acción correctiva de seguridad en campo.

Dónde se rompe en la operación

El expediente de riesgos suele nacer bien y envejecer mal. Se construye durante el desarrollo, se cierra con el informe de revisión previo a la liberación y se archiva. Mientras tanto, las quejas entran por un canal, los informes de servicio por otro, los cambios de diseño se aprueban en un flujo distinto y los cambios de proveedor ni siquiera se consideran cambios de riesgo. Cuando alguien pregunta si el riesgo residual sigue siendo aceptable, la respuesta honesta es que nadie lo ha vuelto a evaluar desde la liberación. Un Software de gestión de riesgos y oportunidades mantiene cada riesgo con su valoración, sus controles, su responsable y su historial de revisiones, de modo que una queja, un cambio o un dato de posproducción tengan a dónde regresar y quede registrado quién reevaluó, cuándo y con qué conclusión.

En resumen

La ISO 14971 gestiona el riesgo de daño al paciente, al usuario y al entorno a lo largo del ciclo de vida del dispositivo, y no se sustituye con la matriz de riesgos del sistema de gestión. Exige un plan con criterios de aceptabilidad definidos de antemano, un análisis que distinga peligro, situación peligrosa y daño, una estimación que trate por severidad los peligros cuya probabilidad no puede estimarse, controles aplicados en el orden que la norma fija —diseño, protección, información—, verificación de su implementación y de su eficacia, evaluación del riesgo residual global y un informe de revisión antes de liberar. Y después de liberar, un circuito de producción y posproducción que devuelve información real al expediente para volver a evaluarlo.