Cómo se controla a un proveedor en ISO 13485

En la fabricación de dispositivos médicos, el proveedor forma parte del expediente del producto. Si un componente cambia de material sin aviso, el dispositivo puede dejar de cumplir su especificación y el fabricante se entera cuando ya salió al mercado. Por eso la ISO 13485 trata el control de proveedores con más rigor que la ISO 9001: no basta con evaluar, hay que controlar de forma proporcional al riesgo que ese proveedor representa para el producto y para el paciente.

Qué exige la cláusula 7.4

La cláusula 7.4.1 de la ISO 13485 pide documentar los procedimientos para asegurar que el producto comprado cumple los requisitos especificados, y establecer criterios de evaluación y selección de proveedores basados en su capacidad, en el desempeño y —esto es lo distintivo— en el efecto del producto comprado sobre la calidad del dispositivo médico y sobre el riesgo asociado. Un proveedor de un componente crítico implantable no puede controlarse con el mismo criterio que el de material de empaque secundario.

Qué controles aplicar según el riesgo

• —Clasifica a los proveedores por riesgo: crítico, mayor o menor, según el efecto del componente en la seguridad y el desempeño del dispositivo.
• —Acuerdos de calidad escritos: para proveedores críticos, un acuerdo que obligue a notificar cualquier cambio de proceso, material o ubicación antes de implementarlo. Sin esa cláusula, el cambio te llega sin aviso.
• —Verificación proporcional: desde revisión de certificado de análisis hasta inspección de recepción, prueba de laboratorio o auditoría en sitio, según la clasificación.
• —Registros de la evaluación: la norma exige conservar los registros de los resultados de evaluación, selección, seguimiento y reevaluación, incluidas las acciones cuando el proveedor no cumple.
• —Trazabilidad hacia el producto: hay que poder ir del lote de dispositivo al lote de componente y al proveedor que lo suministró — es lo primero que se pide en un retiro de producto.

Dónde se rompe el control en la práctica

El punto de falla más común no es la evaluación inicial, que suele hacerse bien, sino el mantenimiento: certificados de proveedor vencidos, acuerdos de calidad firmados hace años que ya no reflejan el producto actual, y reevaluaciones que nadie ejecutó porque no había quien las recordara. Mantener ese padrón vivo, con su clasificación de riesgo, sus documentos vigentes y su desempeño real, es lo que resuelve un Software de gestión y evaluación de proveedores: avisa antes de que caduque un certificado, guarda los acuerdos y evaluaciones de cada proveedor, y deja la evidencia lista cuando la auditoría —o un cliente— la pida.