Cualificación de los ciclos de sanitización del agua farmacéutica

Un inspector pregunta por la justificación del ciclo de sanitización del loop de WFI. La respuesta llega en forma de receta: una frecuencia, una consigna, una duración, todo heredado del commissioning y nunca revisado desde entonces. Las preguntas que siguen son siempre las mismas. Por qué esa consigna. Por qué esa duración. Y cómo se demuestra que el agente sanitizante llega realmente al último punto de uso del ramal más largo, en las condiciones requeridas y durante el tiempo requerido. En ese momento la conversación pasa de la receta al método, y es ahí donde la mayoría de los expedientes se revela frágil.

Esa fragilidad no nace de parámetros equivocados: nace de que los textos aplicables no proporcionan la receta y nunca pretendieron hacerlo. Exigen que el tratamiento se realice conforme a un programa predeterminado y que esté validado. Las cifras son del emplazamiento. Este artículo trata del método con el que se construyen.

Sanitización, desinfección, esterilización: la palabra elegida define la carga de la prueba

El Anexo 1 de EudraLex Volumen 4, en el apartado 6.12, habla de esterilización, desinfección o regeneración conforme a un programa predeterminado y como acción correctiva tras resultados fuera de límite o fuera de especificación. Tres palabras distintas, tres niveles de pretensión, más una cuarta —sanitisation— que los textos regulatorios no definen pero que la industria usa constantemente.

• Esterilización: proceso validado que conduce a una probabilidad de supervivencia microbiana definida. Carga de la prueba: estudios de penetración de calor, indicadores biológicos o enfoque equivalente justificado, cálculo de letalidad, criterio de aceptación declarado. En un loop significa en la práctica SIP, con el PDA Technical Report No. 61 (2013) Steam In Place como referencia sectorial.
• Desinfección: reducción de la población microbiana viable hasta un nivel definido, con agente y eficacia demostrados.
• Sanitización: término de uso corriente para el tratamiento periódico de reducción de bioburden que no reivindica esterilidad. Es lo que realmente ejecuta la práctica totalidad de los loops de PW y WFI.
• Regeneración: no es un sinónimo. Afecta a las unidades de lecho —descalcificadores, resinas de intercambio iónico, módulos EDI— donde restablecer la función es además un evento de control microbiológico.

Por qué importa en inspección: si el PNT declara «esterilización del loop» y el expediente contiene perfiles de temperatura sin criterio de letalidad, sin cualificación de carga y sin indicadores, la discrepancia entre lo que se afirma y lo que se demuestra es una observación, con independencia de la calidad técnica del ciclo. La regla es trivial y se ignora a menudo: en URS, PNT, protocolo e informe debe usarse la misma palabra, la que corresponde a la evidencia realmente producida.

Qué exigen los textos y, sobre todo, qué no dicen

El apartado 6.12 del Anexo 1 exige el tratamiento conforme a un programa predeterminado y como acción correctiva tras resultados fuera de límite o fuera de especificación. No nombra agentes ni fija temperaturas, concentraciones, tiempos de contacto o frecuencias. El apartado 6.10 cita, como ejemplo de almacenamiento y distribución que minimizan el crecimiento microbiano para el WFI, la circulación constante por encima de 70 grados: se trata de un ejemplo referido a la condición de operación continua, no de una consigna obligatoria ni de un parámetro de ciclo de sanitización. Confundirlos es el error más frecuente y el más fácil de desmontar. Los apartados 6.13 y 6.14 cierran el marco: niveles de alerta basados en los datos de la cualificación inicial y revisados periódicamente, excursiones documentadas e investigadas distinguiendo el evento aislado de la tendencia adversa. De ahí se sigue que la frecuencia de sanitización no es un dato de diseño congelado: es una variable que el trending puede obligar a revisar.

Una información que ahorra tiempo: la Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, en vigor desde el 1 de febrero de 2021 en sustitución de CPMP/QWP/158/01, no fija parámetros de sanitización ni límites de alerta o de acción. Quien busque allí parámetros de ciclo no los encontrará, y no porque estén en otro lugar del mismo documento: esa guideline se ocupa del grado mínimo de agua en función del uso previsto y de la notificación previa a la autoridad GMP de supervisión antes de introducir ósmosis inversa para WFI.

El Q&A EMA/INS/GMP/443117/2017, en vigor desde el 1 de agosto de 2017, es el documento europeo que sí entra en materia: habla de sanitización térmica y/o química, menciona el tratamiento térmico por encima de 75 grados y deja explícitamente los tiempos de contacto a la validación del fabricante. Dos precisiones importan: esa cifra vive en el contexto de la producción de WFI por métodos distintos de la destilación y del control del biofilm en sistemas a temperatura ambiente, y la variable que hace eficaz una temperatura —el tiempo— se declara competencia del emplazamiento. El mismo documento advierte contra los atajos: «Increasing of such limits is not good practice and may mask a failing system».

El WHO TRS 1025, Anexo 3 (2020), en su propio ámbito —WFI producida por medios distintos de la destilación— exige sanitización térmica y/o química validada a intervalos especificados, con los intervalos fijados por el fabricante y sin límite numérico alguno. La palabra clave es «validada», no «ejecutada». La USP <1231>, oficial desde el 1 de diciembre de 2021, es un capítulo informativo y por tanto no vinculante: cubre la sanitización, ozono incluido. Excelente base técnica y pésima cita si se presenta como requisito. Entre las guías sectoriales, la ISPE Good Practice Guide Ozone Sanitization of Pharmaceutical Water Storage & Distribution Systems, 2.ª edición (octubre de 2024), es el texto dedicado al ozono; la ISPE Baseline Guide Vol. 4 y el PDA TR No. 69 (2015) completan el cuadro. Ninguno de estos documentos es normativo.

El marco de cualificación sigue siendo el Anexo 15 (revisión de 2015, aplicable desde el 1 de octubre de 2015): el ciclo es una función del sistema, por lo que entra en OQ y PQ, en el change control y en la revisión periódica. El concept paper sobre la revisión EU-PIC/S del Anexo 15, de 9 de febrero de 2026 con corrigendum de 16 de julio de 2026, sigue siendo un concept paper: el Anexo 15 no ha sido revisado. Para el encuadre de las fases véase el artículo sobre FAT, SAT, IQ, OQ y PQ de los sistemas de agua farmacéutica.

Definir el ciclo antes de cualificarlo

Un ciclo no cualificable es casi siempre un ciclo mal definido. Antes del protocolo hacen falta cuatro decisiones documentadas.

Límites. Qué porciones cubre el ciclo y cuáles no: generación, depósito en fase líquida y espacio de cabeza, bola de aspersión, filtro de venteo y su camisa, impulsión y retorno, intercambiadores, válvulas de punto de uso y de muestreo, instrumentos en línea y vainas, by-pass, drenajes. Lo que quede fuera debe tener una alternativa declarada: otro ciclo, la sustitución periódica, o un riesgo aceptado con justificación escrita. El filtro de venteo del depósito es el olvido clásico, mientras que el Anexo 1, en el apartado 6.11, exige que no sea fuente de contaminación.

Fases. Térmico: calentamiento, mantenimiento, enfriamiento, retorno a condiciones. Químico: llenado, contacto con recirculación, drenaje, enjuague, verificación. Ozono: acumulación en el depósito, distribución, contacto, destrucción, verificación del residual. Para cada fase: condiciones de entrada, criterio de paso, duración esperada y máxima, comportamiento ante desviación.

Parámetros. Distinguir formalmente parámetros de control (lo que gobierna), de monitorización (lo que registra) y críticos (aquellos cuyo incumplimiento invalida el ciclo). Muchas desviaciones inmanejables nacen de parámetros registrados pero nunca clasificados: cuando el valor sale del rango, nadie sabe si el ciclo vale.

Estado del sistema durante el ciclo. Posición de las válvulas de punto de uso, mangueras o consumidores conectados, aislamiento de los consumidores no compatibles, gestión de los instrumentos que no toleran las condiciones del ciclo. Un ciclo térmico ejecutado con los puntos cerrados no sanitiza la porción aguas abajo de la válvula: debe declararse fuera de límites o incluirse mediante una maniobra prescrita y verificable.

El worst case: elegirlo con criterio, no por experiencia

El núcleo del expediente es la demostración de que el agente sanitizante alcanza el punto más desfavorable en las condiciones requeridas durante el tiempo requerido. Ese punto no se elige por costumbre ni por comodidad de acceso: se deriva de los P&ID, los isométricos y el balance hidráulico y térmico, y se justifica por escrito. Criterios que resisten la discusión:

• distancia hidráulica desde el punto de introducción del agente y pérdidas de carga acumuladas;
• ramales de bajo caudal o de uso intermitente, donde el flujo turbulento que el Anexo 1 exige en régimen en el apartado 6.9 puede no alcanzarse en condiciones de ciclo;
• masa térmica y pérdidas: válvulas de gran tamaño, vainas, tramos sin calorifugar, componentes poliméricos, puntos de uso en zonas frías;
• geometrías no drenables y dead legs residuales, relevantes tanto para el térmico como para el químico porque dificultan el desplazamiento del volumen (véase dead legs, pendientes, materiales e hygienic design);
• superficies no mojadas de forma continua: espacio de cabeza del depósito, cuerpo del filtro de venteo, disco de ruptura, venteos altos;
• puntos ya señalados por fenómenos superficiales documentados —rouging, biofilm establecido— en investigaciones anteriores sobre el sistema.

La regla metodológica es una sola: se mapea más de lo que se declara como worst case. Se mide una población de puntos, se observa la distribución, se identifica el mínimo empírico y se comprueba que coincide con el previsto por la justificación. Si no coincide, se corrige la justificación, no los datos.

Térmico, químico, ozono: qué cambia en la evidencia

Las tres familias difieren en la magnitud que hay que mapear, en dónde se esconde el punto débil y en qué queda en el sistema al final. La elección entre sistemas calientes, fríos y ozonizados es una decisión de arquitectura anterior al ciclo; aquí interesa lo que de ella se deriva en el expediente.

Construir la evidencia: instrumentación, réplicas, criterios

Instrumentación. Independiente de la de control, calibrada antes y verificada después del estudio, con el criterio de aceptación de la deriva definido en el protocolo antes de ejecutar. Apoyarse solo en las sondas de proceso del loop es la debilidad más recurrente: esas sondas dicen qué ocurre donde están instaladas, es decir, casi nunca en el punto más desfavorable.

Puntos de medida. Número y posición derivan de la justificación del worst case, no de una cifra redonda. Cada punto necesita un identificador trazable al isométrico y al P&ID: «punto de uso en la sala A» no es un identificador. El mapa de puntos, con su justificación, forma parte del informe.

Réplicas. El número de ciclos consecutivos conformes debe establecerlo y justificarlo el emplazamiento: ninguno de los textos citados prescribe un número. Lo que hace defendible la elección es demostrar que las réplicas cubren las condiciones realistas más desfavorables —configuración de consumidores, carga, estado del sistema, estación—. El Anexo 1 es explícito en el 6.8: la cualificación tiene en cuenta la variación estacional. Un ciclo cualificado solo en verano sobre un loop frío está cualificado a medias.

Criterios de aceptación. Expresados sobre el punto más desfavorable y sobre la población de puntos mapeados, nunca sobre la media. Y sobre todo: el tiempo de contacto se cuenta desde que el punto más desfavorable alcanza la condición, no desde el arranque del ciclo ni desde que la sonda de control llega a consigna. Esta única decisión de definición separa un ciclo demostrado de un ciclo declarado, y en muchos expedientes es lo único que falta.

Automatización. El ciclo lo ejecuta casi siempre el sistema de control: secuencia, alarmas, enclavamientos, gestión de la interrupción y registro electrónico del ciclo son objeto de OQ y caen en el ámbito del Anexo 11 vigente (versión de enero de 2011) y del 21 CFR Part 11. El registro del ciclo es aquello sobre lo que se apoyará la liberación: si no es atribuible, legible y conservado, la liberación carece de base.

Eliminación del residuo y retorno al estado cualificado

El ciclo no termina cuando termina el contacto. En los ciclos químicos el enjuague debe cualificarse con el mismo rigor y con un worst case propio: el último punto desplazado durante el enjuague no coincide necesariamente con el último alcanzado por el agente. El criterio de aceptación debe ser específico del agente: si este no es detectable a través de los parámetros de liberación del agua —conductividad según USP <645> o Ph. Eur. 2.2.38, TOC según USP <643> o Ph. Eur. 2.2.44— hace falta un método dedicado, con especificidad demostrada y límite de cuantificación adecuado. El límite debe justificarse sobre base toxicológica o como ausencia demostrada; «por debajo del límite de detección del equipo disponible» no es una justificación, es una constatación.

En los sistemas de ozono la destrucción del residual, típicamente por UV, precede a la distribución a los puntos de uso. Deben demostrarse tres cosas distintas: la ausencia de ozono residual en los puntos de uso más desfavorables y no solo aguas abajo del destructor, el comportamiento ante fallo o degradación del destructor (alarma, enclavamiento, bloqueo de la liberación) y la repetibilidad de la secuencia tras una interrupción. En el térmico el residuo es de estado: la recuperación comprende el enfriamiento, el restablecimiento de los perfiles de conductividad y TOC y, en los sistemas fríos, el retorno a la temperatura de operación sin permanencias prolongadas en el intervalo que favorece el crecimiento.

El tiempo de recuperación debe medirse en cualificación y se convierte en un dato de planificación: es la parte de indisponibilidad que nadie considera hasta que falta agua para un lote. Un último detalle que la inspección siempre encuentra: la excursión de TOC y conductividad en la ventana posterior al ciclo es esperable, pero si esos datos entran en el trending y cómo lo hacen debe fijarlo una regla escrita. Excluirlos informalmente es indefendible.

Verificación microbiológica: qué demuestra realmente

Una muestra conforme tomada justo después del ciclo demuestra muy poco: el ciclo no produce esterilidad y el momento inmediatamente posterior es aquel en el que cualquier sistema, incluso uno enfermo, exhibe el recuento más bajo. Tiene valor informativo el perfil de recuperación microbiana entre un ciclo y el siguiente: cuándo reaparece la carga, en qué puntos, con qué especies. Es ese perfil el que justifica el intervalo, en coherencia con los apartados 6.13 y 6.14 del Anexo 1.

De ahí se deriva el diseño de la verificación: muestreo en los puntos más desfavorables identificados por el estudio de distribución, a tiempos crecientes tras el ciclo, sobre un número de ciclos suficiente para observar la repetibilidad; métodos y volúmenes coherentes con el plan de muestreo del sistema; identificación de los aislados al nivel útil para distinguir flora recurrente de contaminación episódica, como se trata a propósito del control microbiológico y de endotoxinas en PW y WFI.

Dos advertencias. Los niveles de acción indicados por la USP <1231> —capítulo informativo, no vinculante— son niveles por encima de los cuales el agua se considera no apta para el uso y que disparan una investigación: no son criterios de eficacia de un ciclo, y usarlos como criterios de aceptación de la cualificación es un error de categoría. Además, la eficacia frente a un biofilm establecido no se mide con el recuento en fase líquida: el planctónico vuelve mientras el sésil permanece. Si el perfil de recuperación se acorta progresivamente con el mismo ciclo, o el ciclo está perdiendo eficacia o el sistema se está degradando; la respuesta equivocada a esa señal es la que nombra el Q&A EMA/INS/GMP/443117/2017: elevar los límites enmascara un sistema que está fallando.

Liberación del sistema para su uso tras la sanitización

La liberación es una decisión y debe escribirse como tal. Elementos mínimos: revisión del registro del ciclo (parámetros críticos dentro de los criterios, alarmas, interrupciones), verificación del estado de recuperación sobre los parámetros fisicoquímicos en línea, verificación del residuo cuando proceda, rol autorizado para liberar y trazabilidad del momento en que el agua vuelve a estar disponible en los puntos de uso.

Queda una pregunta que el PNT debe resolver explícitamente: ¿se libera a la espera del resultado microbiológico? En la práctica totalidad de los sistemas la respuesta operativa es sí, porque el tiempo de incubación supera cualquier tiempo de recuperación realista. La justificación se apoya entonces en los parámetros fisicoquímicos y en el conocimiento histórico del sistema, debe declararse en esos términos y debe acompañarse de la regla de retroalimentación: qué se hace si el resultado vuelve fuera de límite cuando el agua ya se ha utilizado, qué lotes se evalúan, quién decide. Si esa regla no está escrita, existe igualmente —improvisada, el día en que hace falta—. Del mismo modo deben definirse los criterios para el ciclo interrumpido o fallido: si cuenta a efectos del programa, si se repite y cómo, qué ocurre con el agua presente en el sistema y a partir de qué umbral se abre una investigación formal.

Matriz de decisión para la estrategia de sanitización

No existe una respuesta mejor en abstracto. La matriz enumera los criterios que resultan decisivos; los pesos quedan vacíos porque los asigna quien conoce su sistema y su restricción productiva.

Ejemplo de aplicación: Planta Delta

Ejemplo didáctico, planta ficticia. Planta Delta opera un loop de PW frío con sanitización térmica periódica, cuyo ciclo definió el proveedor durante el commissioning y nunca se volvió a revisar. A lo largo de varios meses, el trending microbiológico muestra un acortamiento progresivo del tiempo de reaparición de la carga en dos puntos de uso servidos por un ramal de consumo intermitente.

La planta no eleva los niveles de alerta. Reconstruye la justificación del worst case a partir de los P&ID y los isométricos y descubre que esos dos puntos no estaban entre los mapeados en la cualificación original, concentrada en los puntos más accesibles. Ejecuta entonces un estudio de distribución con sondas independientes: a igualdad de condición medida en el retorno, los dos puntos alcanzan la condición requerida más tarde y la mantienen menos tiempo. El análisis separa dos causas: una limitación de diseño —calorifugado, masa térmica, geometría— o un efecto de maniobra, es decir, la posición de las válvulas de punto de uso durante el ciclo.

La decisión que se sigue no introduce ningún parámetro nuevo. La planta prescribe una maniobra en esos puntos durante la fase de mantenimiento, ancla el inicio del cómputo del tiempo de contacto al punto más desfavorable real en lugar de a la sonda de retorno, recualifica el ciclo con el criterio corregido, actualiza PNT, protocolo y mapa de puntos, y verifica el efecto sobre el perfil de recuperación durante un número definido de ciclos antes de consolidar el intervalo. Todo ello bajo change control, en el marco del Anexo 15. La clave del ejemplo: no cambió el parámetro, cambió el punto sobre el que el parámetro se verifica —y con él la validez de todo el expediente.

Errores frecuentes y red flags de inspección

• Tratar el ejemplo del apartado 6.10 del Anexo 1 —circulación constante por encima de 70 grados como condición de operación— como parámetro obligatorio del ciclo periódico.
• Contar el tiempo de contacto desde el arranque del ciclo o desde la sonda de control en lugar de desde el punto más desfavorable.
• Declarar «esterilización» y aportar evidencia de sanitización.
• Cualificar el contacto y no el enjuague, o no disponer de un método analítico específico del agente.
• Heredar los parámetros del proveedor sin hacerlos propios mediante una justificación del emplazamiento.
• Instrumentación de estudio sin criterio de deriva definido de antemano, o puntos de medida no trazables a isométricos y P&ID.
• Réplicas de cualificación todas ejecutadas en la misma ventana estacional.
• Un PNT con parámetros de ciclo pero ningún documento que explique su origen, y un informe de cualificación sin mapa de puntos ni justificación del worst case.
• Frecuencia aumentada de hecho porque «así va mejor», sin change control ni investigación.
• Niveles de alerta elevados coincidiendo con un empeoramiento del perfil de recuperación.
• Destructor de ozono sin alarma ni enclavamiento, y sin verificación del residual en los puntos de uso más desfavorables.
• Filtro de venteo del depósito fuera de toda estrategia de sanitización y de toda justificación.
• Ciclo excluido de la revisión periódica y, por tanto, nunca reexaminado a la luz del trending.

El ciclo de sanitización es uno de los puntos donde un sistema de agua muestra con mayor claridad su estado de salud: para el cuadro completo conviene partir del hub sobre sistemas de agua farmacéutica y WFI.

Si este tipo de análisis te resulta útil en el trabajo diario, The Pragmatic GMP reúne análisis operativos sobre cualificación, sistemas y cumplimiento GMP.

Ideas clave

• Ningún texto aplicable fija temperatura, concentración, tiempo de contacto ni frecuencia: el Anexo 1 exige un programa predeterminado, el WHO TRS 1025 Anexo 3 intervalos validados fijados por el fabricante, y el Q&A EMA 443117/2017 deja los tiempos de contacto al emplazamiento.
• La guideline EMA 496873/2018 no fija parámetros de sanitización: buscar allí parámetros de ciclo es tiempo perdido.
• El valor del expediente está en demostrar que el agente alcanza el punto más desfavorable, no en la bondad de la consigna nominal.
• El tiempo de contacto debe contarse desde el punto más desfavorable: es la definición que sostiene o derriba toda la cualificación.
• El ciclo no termina con el contacto: enjuague, eliminación del residuo, recuperación y liberación forman parte de la misma cualificación.
• El intervalo se justifica con el perfil de recuperación microbiana entre ciclos, no con una muestra conforme tomada justo después del ciclo.

Referencias regulatorias y técnicas

• EudraLex Volumen 4, Anexo 1 (C(2022) 5938 final), aplicable desde el 25 de agosto de 2023 — apartados 6.8 a 6.14: health.ec.europa.eu
• EudraLex Volumen 4, Anexo 15 Qualification and Validation, revisión de 2015, aplicable desde el 1 de octubre de 2015; el concept paper de revisión EU-PIC/S de 9 de febrero de 2026 (corrigendum de 16 de julio de 2026) sigue siendo un concept paper. Anexo 11 Computerised Systems, versión de enero de 2011 (vigente); el borrador de revisión sometido a consulta del 7 de julio al 7 de octubre de 2025 no ha sido adoptado.
• EMA/CHMP/CVMP/QWP/496873/2018 Guideline on the quality of water for pharmaceutical use, en vigor desde el 1 de febrero de 2021 — no fija parámetros de sanitización: ema.europa.eu. Q&A EMA/INS/GMP/443117/2017 Production of WFI by non-distillation methods, en vigor desde el 1 de agosto de 2017.
• WHO TRS 1025, Anexo 3 (2020) Production of WFI by means other than distillation; WHO TRS 1033, Anexo 3 (2021): who.int. PIC/S PE 009-17 y Aide-Memoire PI 009-4 Inspection of Utilities, rev. 4 (1 de enero de 2021): picscheme.org
• USP <1231> (informativo, oficial desde el 1 de diciembre de 2021), <643> TOC, <645> Water Conductivity; Ph. Eur. 2.2.38 y 2.2.44.
• FDA Guide to Inspections of High Purity Water Systems (julio de 1993), material de referencia para los investigadores, no vinculante: fda.gov. 21 CFR Part 11: ecfr.gov. ICH Q9(R1) (Step 4, 18 de enero de 2023): ich.org
• Guías sectoriales, no normativas: ISPE GPG Ozone Sanitization of Pharmaceutical Water Storage & Distribution Systems, 2.ª ed., octubre de 2024; ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3.ª ed., septiembre de 2019; ISPE GPG Approaches to C&Q of Pharmaceutical Water and Steam Systems; ISPE GPG Sampling for Pharmaceutical Water, Steam, and Process Gases; PDA TR No. 61 (2013) Steam In Place; PDA TR No. 69 (2015) Bioburden and Biofilm Management; ASME BPE, edición aplicable a fijar contractualmente (parte SD, drenabilidad).