La transformación digital ha cambiado profundamente la forma en que las compañías farmacéuticas gestionan la información asociada a la fabricación, el control de calidad y el cumplimiento normativo. Actualmente, gran parte de los datos que sustentan la liberación de lotes, la monitorización de procesos o la gestión de laboratorios se generan, procesan y almacenan en sistemas informatizados. En este contexto, garantizar la integridad de los datos se ha convertido en una de las principales prioridades tanto para las organizaciones como para las autoridades reguladoras.
Las inspecciones realizadas por organismos como FDA, EMA o MHRA han puesto de manifiesto que muchas de las deficiencias detectadas no están relacionadas con fallos de proceso o de producto, sino con debilidades en la gestión de la información. Un dato incompleto, una modificación no trazada o un acceso inadecuado a un sistema pueden comprometer la confianza en todo el conjunto de registros de calidad. Por este motivo, las auditorías internas de sistemas automatizados son una herramienta básica para evaluar el nivel real de control de una organización sobre sus datos críticos.
La finalidad de este tipo de auditorías va mucho más allá de verificar el cumplimiento de un procedimiento. Su objetivo es determinar si los sistemas, los usuarios y los procesos asociados garantizan que la información permanece fiable, exacta y disponible durante todo su ciclo de vida. En definitiva, se trata de comprobar que los principios de integridad de datos están integrados en la operativa diaria de la compañía.
El papel de los principios ALCOA+ en una auditoría
Cualquier evaluación de integridad de datos debe apoyarse en los principios ALCOA+, ampliamente reconocidos por las agencias reguladoras internacionales. Estos principios establecen que los datos deben ser atribuibles, legibles, contemporáneos, originales y exactos. Además, deben ser completos, consistentes, duraderos y estar disponibles cuando sea necesario.
Durante una auditoría interna, estos conceptos no deben analizarse únicamente desde una perspectiva documental. El auditor debe recorrer el proceso completo, desde la generación inicial del dato hasta su archivo final, verificando que en cada etapa existen mecanismos que preservan su fiabilidad. Esto implica revisar tanto aspectos procedimentales como controles técnicos implementados dentro de los sistemas automatizados.
| Principio ALCOA+ | Qué significa | Ejemplos de verificaciones durante la auditoría |
| Atribuible | Debe identificarse quién generó o modificó el dato. | Revisión de usuarios únicos, firmas electrónicas y registros de acceso. |
| Legible | La información debe poder leerse e interpretarse durante todo su ciclo de vida. | Comprobación de formatos de archivo, visualización de registros históricos y archivado. |
| Contemporáneo | El dato debe registrarse en el momento en que ocurre la actividad. | Verificación de marcas temporales (timestamp) y sincronización de relojes del sistema. |
| Original | Debe conservarse el registro original o una copia certificada equivalente. | Revisión del almacenamiento de datos fuente y mecanismos de protección frente a sobrescrituras. |
| Exacto | La información debe reflejar correctamente la realidad observada. | Evaluación de cálculos automáticos, interfaces y controles de revisión. |
| Completo | Deben conservarse todos los datos, incluidos cambios y correcciones. | Revisión del audit trail y de registros anulados o modificados. |
| Consistente | Los datos deben mantener una secuencia lógica de eventos. | Comprobación de fechas, horas y trazabilidad entre registros relacionados. |
| Duradero | La información debe mantenerse íntegra durante el periodo de retención. | Evaluación de copias de seguridad, archivado y migraciones de datos. |
| Disponible | Los datos deben poder recuperarse cuando sean necesarios. | Pruebas de restauración y tiempos de recuperación documentados. |
Gobernanza y cultura de integridad de datos
Uno de los primeros aspectos que debería evaluarse es la estructura de gobernanza establecida por la organización. En muchas ocasiones los sistemas disponen de funcionalidades adecuadas para garantizar la integridad de los datos, pero los procedimientos internos no definen claramente quién es responsable de supervisarlas o revisarlas.
Una auditoría efectiva debe comprobar:
- La existencia de una política corporativa de integridad de datos.
- La definición clara de roles y responsabilidades.
- La disponibilidad de procedimientos actualizados.
- La formación periódica del personal.
- La existencia de mecanismos para comunicar desviaciones e incidencias.
- La integración de los principios de integridad de datos en las actividades diarias.
Además, resulta esencial verificar que la organización mantiene una cultura orientada hacia la calidad de los datos. La integridad no debe considerarse una actividad exclusiva de los departamentos de calidad o validación, sino una responsabilidad compartida por todos los usuarios que generan, revisan o aprueban registros electrónicos.
Control de accesos y gestión de usuarios
La gestión de usuarios continúa siendo uno de los puntos más sensibles durante las inspecciones regulatorias. La existencia de cuentas compartidas, permisos excesivos o usuarios que permanecen activos tras abandonar la compañía son situaciones que generan importantes preocupaciones desde la perspectiva del cumplimiento GMP.
Durante la auditoría, es recomendable revisar una muestra representativa de usuarios y verificar que cada cuenta se encuentra asociada a una persona concreta, que los privilegios asignados son coherentes con las funciones desempeñadas y que existe un proceso formal para la creación, modificación y eliminación de accesos.
La correcta segregación de funciones también debe ser objeto de análisis. Un sistema en el que una misma persona puede crear, modificar y aprobar registros sin supervisión independiente presenta un riesgo significativo para la integridad de los datos.
Audit Trail: la evidencia de lo que realmente ocurrió
Si existe un elemento que concentra gran parte de la atención de los inspectores, ese es el audit trail. Esta funcionalidad constituye el principal mecanismo para reconstruir la historia de un dato y demostrar qué acciones han sido realizadas, cuándo se ejecutaron y quién fue responsable de ellas.
Sin embargo, disponer de audit trail no es suficiente. Las autoridades esperan que las organizaciones revisen periódicamente estos registros y que investiguen cualquier actividad inusual detectada. Durante una auditoría interna resulta recomendable seleccionar registros críticos y analizar si las modificaciones realizadas están justificadas, aprobadas y adecuadamente documentadas.
La ausencia de revisiones sistemáticas de audit trail es uno de los hallazgos más habituales en inspecciones relacionadas con integridad de datos y suele interpretarse como una debilidad importante en el sistema de control.
Validación y gestión de cambios
La validación de sistemas informatizados proporciona la evidencia documentada de que un sistema funciona de acuerdo con su uso previsto. No obstante, un sistema validado inicialmente puede dejar de estar bajo control si los cambios posteriores no se gestionan adecuadamente.
Por este motivo, cualquier auditoría debe evaluar si existe un procedimiento robusto de gestión de cambios y si las modificaciones implementadas han sido sometidas a una evaluación de impacto adecuada. Actualizaciones de software, cambios de configuración, migraciones de bases de datos o modificaciones de infraestructura pueden afectar directamente a la integridad de la información.
Asimismo, es importante verificar que la documentación de validación permanece actualizada y que las funcionalidades críticas para la integridad de datos han sido específicamente evaluadas durante las pruebas.
Copias de seguridad y recuperación de información
La disponibilidad de los datos constituye una parte esencial de la integridad. Un dato que no puede recuperarse cuando se necesita deja de cumplir los requisitos regulatorios, aunque haya sido generado correctamente.
Por este motivo, las auditorías deben incluir una revisión detallada de las estrategias de respaldo y recuperación. No basta con confirmar la existencia de copias de seguridad; también es necesario comprobar que se realizan pruebas periódicas de restauración y que los datos pueden recuperarse de manera íntegra tras una incidencia.
Muchas organizaciones descubren durante estas verificaciones que poseen copias de seguridad técnicamente válidas, pero carecen de evidencias que demuestren la capacidad real de recuperar la información en condiciones operativas.
La importancia creciente de la ciberseguridad
En los últimos años, la ciberseguridad ha pasado de ser un aspecto puramente tecnológico a convertirse en un componente esencial de la integridad de datos. Los sistemas automatizados se encuentran cada vez más interconectados, lo que incrementa la exposición a amenazas que podrían afectar la confidencialidad, disponibilidad o exactitud de la información.
Por ello, las auditorías modernas deben considerar aspectos como:
- Gestión de vulnerabilidades.
- Aplicación de parches y actualizaciones.
- Protección frente a malware y ransomware.
- Monitorización de eventos de seguridad.
- Gestión de accesos remotos.
- Segmentación de redes.
- Copias de seguridad protegidas frente a ciberataques.
- Gestión de incidentes de seguridad.
Conclusión
Las auditorías internas de sistemas automatizados representan una de las herramientas más eficaces para evaluar el estado de la integridad de datos dentro de una organización farmacéutica. Cuando se realizan con un enfoque basado en riesgos, permiten identificar vulnerabilidades antes de que se conviertan en observaciones regulatorias o afecten a la calidad del producto.
Más allá del cumplimiento normativo, estas auditorías ayudan a reforzar la confianza en la información utilizada para tomar decisiones críticas. En un entorno donde los datos sustentan prácticamente todas las actividades relacionadas con la calidad, garantizar su integridad no es solo una obligación regulatoria, sino un requisito indispensable para mantener la fiabilidad de los procesos y la credibilidad de la organización ante pacientes, clientes y autoridades sanitarias.
¿Has revisado recientemente el estado de la integridad de datos de tus sistemas críticos? Quizá sea el momento de realizar una evaluación en profundidad y confirmar que tus controles siguen siendo eficaces.