GAMP 5 en español y en PDF: quien busca la guía de ISPE en nuestro idioma se topa enseguida con un hecho poco conocido. GAMP 5 es una guía propietaria, publicada por ISPE en inglés, y no existe una traducción oficial al español descargable gratuitamente. Existe, sin embargo, algo más útil que una traducción literal: entender de verdad qué pide la Segunda Edición (julio de 2022), cómo funcionan las categorías de software y cómo encaja la guía con el Anexo 11 de las normas de correcta fabricación (NCF/BPM) de la UE y con la Computer Software Assurance (CSA) de la FDA. En este artículo encontrarás exactamente eso, con una tabla operativa de las categorías y las referencias oficiales para citar en auditorías.
GAMP 5: qué es y dónde se encuentra el PDF oficial
GAMP 5 ("A Risk-Based Approach to Compliant GxP Computerized Systems") es la guía de referencia internacional para la validación de sistemas computarizados en entornos GxP. No es una norma legal: es una guía de buenas prácticas publicada por ISPE (International Society for Pharmaceutical Engineering), que los inspectores conocen bien y que constituye de hecho el lenguaje común entre empresas, proveedores y autoridades.
El PDF oficial solo se compra a ISPE (gratuito únicamente para socios); cualquier "gamp 5 pdf español gratis" encontrado en internet es una copia no autorizada o un resumen de terceros. El requisito vinculante en Europa sigue siendo el Anexo 11 de EudraLex Volumen 4 (y, para México y Latinoamérica, marcos como la NOM-059 remiten a principios equivalentes): GAMP 5 es la herramienta para demostrar, de forma estructurada y proporcionada al riesgo, que se cumple.
Las novedades de la Segunda Edición (2022)
La Segunda Edición, publicada en julio de 2022, es la primera actualización sustancial desde 2008. La estructura (ciclo de vida, gestión de riesgos de calidad, categorías de software) se mantiene, pero cambia la filosofía: menos documentación "de relleno", más pensamiento crítico. Las principales novedades:
- Critical thinking (Apéndice M12): el enfoque debe calibrarse sobre el riesgo real del sistema, no sobre plantillas rígidas y checklists rellenadas "con cruces". Es el corazón de la revisión.
- Métodos ágiles (Apéndice D8): el desarrollo iterativo e incremental es plenamente compatible con GxP, sin superponer artificialmente un modelo en cascada.
- Software tools (Apéndice D9): gestión basada en el riesgo de las herramientas de soporte (p. ej. herramientas de ticketing y testing) sin impacto GxP directo.
- Blockchain (D10) e Inteligencia Artificial / Machine Learning (D11): primeras indicaciones estructuradas para tecnologías emergentes en procesos regulados.
- Cloud y proveedores de servicios: más apoyo en la evaluación y el seguimiento del proveedor, menos pruebas duplicadas en casa.
- De la CSV a la "assurance": el objetivo declarado no es superar la inspección sino proteger al paciente, el producto y la integridad de datos durante todo el ciclo de vida, en plena convergencia con el enfoque CSA de la FDA.
Temas como GAMP 5, el Anexo 11 y la CSA evolucionan mes a mes: si quieres recibir cada semana un análisis práctico y sin rodeos de las novedades GMP, suscríbete a The Pragmatic GMP, la newsletter semanal gratuita de GuideGxP.
Las categorías de software de GAMP 5: tabla operativa
Las categorías siguen siendo la herramienta más utilizada de la guía: clasifican el software según su naturaleza para proporcionar el esfuerzo de validación. Desde la primera edición de 2008 la categoría 2 (firmware) ya no existe; las categorías actuales son 1, 3, 4 y 5.
| Categoría | Tipo de software | Ejemplos | Enfoque típico |
|---|---|---|---|
| 1 | Software de infraestructura | Sistemas operativos, motores de base de datos, middleware | Registro de la versión, control del entorno |
| 3 | Producto estándar no configurado | Instrumentos con software fijo, aplicaciones COTS usadas "tal cual" | Verificación de los requisitos de uso, pruebas reducidas basadas en el riesgo |
| 4 | Producto configurado | LIMS, MES, ERP, eQMS, CDS configurados sobre el proceso | Evaluación del proveedor, pruebas de la configuración y de los flujos críticos |
| 5 | Software a medida (bespoke) | Aplicaciones o módulos desarrollados a medida, macros y scripts críticos | Ciclo de vida completo: especificaciones, revisión de código, pruebas extensas |
Cuidado con el error más común en auditoría: clasificar como categoría 3 un sistema que en realidad está configurado (categoría 4), u olvidar que una simple macro de Excel usada para decisiones de liberación es, a todos los efectos, categoría 5.
GAMP 5, Anexo 11 y CSA de la FDA: cómo encajan
Para usar GAMP 5 de forma defendible hace falta claridad sobre el marco regulatorio:
- Anexo 11 (EU GMP) es el requisito vinculante europeo para los sistemas computarizados; un borrador de revisión se publicó en consulta pública en julio de 2025 y hará los requisitos mucho más detallados (revisión del audit trail, seguridad, proveedores cloud).
- CSA de la FDA: en septiembre de 2025 la FDA finalizó la guía "Computer Software Assurance for Production and Quality System Software", que sustituye la Sección 6 de las General Principles of Software Validation (2002) y promueve actividades de assurance proporcionadas al riesgo, incluido el testing no scripted.
- GAMP 5 Segunda Edición es el puente entre los dos mundos: su énfasis en el pensamiento crítico y el riesgo está deliberadamente alineado con la CSA, y su estructura documental cubre las expectativas europeas.
En la práctica: una empresa que aplica GAMP 5 con criterio ya está bien posicionada tanto para una inspección EMA/COFEPRIS/ANMAT/INVIMA como para una de la FDA.
Cómo aplicar GAMP 5 en la empresa: 5 pasos
- Inventario y evaluación GxP: censa todos los sistemas y establece cuáles tienen impacto GxP. Lo que no es GxP sale del perímetro de validación.
- Categoría y riesgo: asigna la categoría de software y evalúa el impacto sobre paciente, producto y datos (ICH Q9 como referencia metodológica).
- Estrategia proporcionada: define en el plan de validación cuánto te apoyas en el proveedor (auditorías, documentación de pruebas) y qué verificas internamente.
- Pruebas dirigidas: concentra el scripted testing en las funciones críticas; usa pruebas exploratorias y no scripted donde el riesgo es bajo, documentando el racional.
- Mantenimiento del estado validado: control de cambios, revisión periódica y revisión del audit trail deben cubrir todo el ciclo de vida, actualizaciones cloud incluidas.
Recomendación GuideGxP
No compres (ni busques) un "GAMP 5 en PDF español": invierte en construir un racional de validación que un inspector pueda seguir línea a línea. El documento que marca la diferencia en auditoría no es la traducción de la guía, sino tu matriz sistema-categoría-riesgo-estrategia, actualizada y coherente con los PNT/PNO. Empieza por los sistemas de mayor impacto (los que generan datos para la liberación de lotes) y usa el pensamiento crítico para aligerar el resto: menos papel en los sistemas triviales, más profundidad donde el riesgo es real.
Si estás validando sistemas SaaS o cloud según GAMP 5 y el Anexo 11, la guía de GuideGxP Guía Operativa de Computer System Validation (CSV) GxP te da método, ejemplos y plantillas listas para usar para llegar a la auditoría con un dossier defendible.
