Una observación recurrente en inspección no se refiere a un resultado fuera de especificación, sino a lo contrario: el conductivímetro del loop de WFI registró once días consecutivos de valores en ascenso, siempre por debajo del límite; el certificado de análisis semanal del laboratorio dice «conforme»; nadie abrió una investigación. Formalmente no ocurrió nada. En el fondo el sistema se estaba deteriorando, el dato que lo mostraba ya estaba en el SCADA y nadie lo leyó como una tendencia.
La monitorización de TOC y conductividad parece la parte más sencilla de un sistema de agua — dos instrumentos, dos números — y es donde se concentran los errores de interpretación más caros: usar un dato en línea para una decisión que no puede sostener, o no usarlo para una decisión que debería haber activado. Este artículo, parte del clúster Pharmaceutical Water & WFI Systems, trata precisamente esa diferencia.
Por qué TOC y conductividad no son parámetros como los demás
La primera razón es compendial. Conductividad y TOC son los dos atributos que controlan las monografías USP Purified Water y Water for Injection. La USP es explícita en que los requisitos microbiológicos no están incluidos en esas monografías («Because of the various uses of these waters, microbial requirements are not included in these monographs»), y el pH, los nitratos y los metales pesados ya no son requisitos USP para estas aguas. La consecuencia es rotunda: un agua puede cumplir plenamente la monografía y tener al mismo tiempo un problema microbiológico serio. TOC y conductividad no sustituyen al control microbiológico y de endotoxinas: cubren otra familia de modos de fallo.
La segunda razón es la velocidad. Un resultado microbiológico llega tras la incubación y describe, por tanto, un agua que entretanto ya se ha utilizado. TOC y conductividad son medibles en continuo, y por eso el Anexo 1, en el punto 6.15, establece que los sistemas de WFI deben incluir monitorización continua de parámetros como TOC y conductividad: son los dos parámetros sobre los que descansa la alerta en tiempo real.
Cuatro actividades distintas que llamamos todas «monitorización»
Confundir estas cuatro actividades produce errores en ambas direcciones: decisiones tomadas con un dato que no las sostiene y decisiones no tomadas porque «ese dato no es oficial».
| Actividad | Pregunta que responde | Decisión que permite | Decisión que NO permite |
|---|---|---|---|
| Monitorización en línea continua | ¿El sistema se comporta como en la cualificación? | Niveles de alerta y de acción, aislamiento de un punto de uso, investigación, vigilancia reforzada | Declarar un atributo conforme a farmacopea si el instrumento no se gestiona como instrumento compendial |
| Control de proceso | ¿Las variables de operación están en la ventana prevista? | Arranque y parada de la generación, derivación a desagüe, recirculación, sanitización | Sustituir una evaluación de calidad: una señal de control no es un dato de liberación |
| Ensayo de farmacopea | ¿La muestra cumple el método compendial? | Declarar la conformidad del atributo según el método | Decir qué ocurrió entre una muestra y la siguiente |
| Liberación del sistema / del lote | ¿El agua utilizada era apta para el uso previsto? | Liberar, bloquear, extender el impacto a otros lotes | Ser sustituida por una pantalla en verde o por un gráfico sin evaluación |
La distinción peor entendida es la que separa la primera fila de la tercera. Para la conductividad el puente existe y lo construye el propio capítulo compendial: USP <645> tiene una estructura secuencial de tres etapas e identifica la Stage 2 como la vía fuera de línea, lo que implica que la primera etapa puede ejecutarse en el instrumento en línea. Es el único atributo de esas monografías que un sistema puede satisfacer sin tomar muestra — siempre que ese instrumento esté cualificado, calibrado y gestionado como instrumento compendial, y no como un sensor de proceso olvidado en un armario eléctrico.
Para el TOC ese puente no es automático: hay que construirlo y documentarlo. Si se quiere que el dato en línea valga como resultado compendial, hay que establecer y justificar formalmente que ese instrumento ejecuta el método y cumple sus requisitos, system suitability incluido. Mientras eso no se demuestre, el TOC en línea sigue siendo una herramienta de alerta y de control — a menudo decisiva — pero no un resultado de farmacopea.
Conductividad: qué mide realmente
La conductividad mide la presencia de especies iónicas. Es un parámetro agregado y no específico: no dice qué ion, no distingue un residuo de regeneración de una entrada de dióxido de carbono atmosférico y depende fuertemente de la temperatura.
USP <645> aborda esa naturaleza con tres etapas aplicadas en secuencia: se pasa a la siguiente solo si la anterior no se cumple. La Stage 2 es la vía fuera de línea, en la que la muestra se lleva a condiciones definidas y se mide fuera de línea. La Stage 3 añade un electrolito neutro — cloruro de potasio — para aumentar la fuerza iónica y permitir una medida exacta del pH, que en esa etapa entra en la evaluación. Los valores numéricos de cada etapa no se reproducen aquí: deben leerse en la versión vigente del capítulo, única fuente utilizable para fijar criterios de aceptación. La Ph. Eur. trata la conductividad en el capítulo general 2.2.38.
Una decisión de configuración merece atención explícita: la compensación en temperatura. El valor mostrado puede ser el medido o el referido a una temperatura de referencia mediante un algoritmo. Si el modo configurado no está alineado con el método con el que se evalúa el resultado, la comparación con el límite pierde sentido. Debe definirse en la especificación, verificarse en cualificación y protegerse frente a cambios no controlados: es un parámetro de configuración GMP, no un ajuste de comodidad.
Quien diseña la monitorización debe además saber de antemano qué eventos normales de operación mueven la señal: transitorios de temperatura, rearranque tras una parada, fin de una sanitización. Ese mapeo se construye con los datos de cualificación y con el conocimiento del sistema; sin él, cada transitorio se convierte en una desviación y los operadores desactivan progresivamente el sistema de alerta.
TOC: qué mide y cómo se construye el límite
El TOC cuantifica el carbono orgánico oxidándolo a dióxido de carbono y midiendo el producto de la oxidación. También es un parámetro agregado y no específico: no dice qué molécula y no responde de forma uniforme a todas, porque la eficiencia de oxidación depende de la naturaleza del compuesto. Por eso el capítulo compendial no se limita a exigir una calibración, sino que introduce un ensayo de system suitability del instrumento.
USP <643> fija un target limit response de 500 microgramos de carbono por litro. El punto técnicamente relevante es que el límite no es un número leído en la pantalla, sino una diferencia: Rs menos Rw, es decir la respuesta del instrumento a la solución estándar menos la respuesta al agua reactivo. Esa construcción ata el criterio a la respuesta real de ese instrumento en esas condiciones.
Sobre la frecuencia del system suitability la USP guarda silencio deliberado: el capítulo «intentionally says nothing about how often the system suitability test should be run». No es una laguna, sino una remisión explícita al risk assessment del usuario. De ahí se sigue una regla que muchas plantas aplican al revés: la ausencia de un número en el capítulo no autoriza la ausencia de un número en el procedimiento de la planta. Hace falta una frecuencia definida, justificada por escrito y revisada cuando los datos la contradicen.
En Europa el TOC para agua de uso farmacéutico se trata en el capítulo general Ph. Eur. 2.2.44. Un cambio ya vigente debe verificarse en la documentación de planta: en la Ph. Eur. Issue 12.3, aplicable desde el 1 de julio de 2026, el ensayo de TOC sustituye al ensayo de sustancias oxidables en la sterilised water for injections, con impacto en las monografías 0169 y 0008 y en el capítulo 2.2.44; 0169 y 0008 se han revisado de nuevo en la Issue 13.1, con implementación desde el 1 de enero de 2027. Especificaciones, métodos y pliegos que sigan citando sustancias oxidables deben alinearse mediante change control, no con una corrección redaccional silenciosa.
En línea y fuera de línea no responden a la misma pregunta
La comparación útil no es «cuál de las dos es más exacta», sino «a qué pregunta responde cada una»: planteadas así, las dos medidas resultan complementarias.
| Dimensión | Medida en línea | Medida fuera de línea |
|---|---|---|
| Cobertura temporal | Continua: ve los transitorios y las derivas lentas | Puntual: fotografía un instante elegido |
| Representatividad | Del punto instalado, con el efecto de la línea de muestreo | Del punto y del instante de toma, con el efecto de la manipulación |
| Riesgo de artefacto | Acondicionamiento, materiales de la línea, deriva no detectada | Recipiente, transporte, operador |
| Decisiones inmediatas | Inmediatas: alertas, enclavamientos, aislamiento de un punto de uso | Diferidas: dependen del plazo del laboratorio |
| Uso compendial | Posible para la conductividad; para el TOC hay que demostrarlo y documentarlo | Vía establecida para ambos |
| Carga de gestión | Calibraciones, verificaciones, alarmas, datos, audit trail | Muestreo, cadena de custodia, capacidad de laboratorio |
Un sistema con solo monitorización continua tiene un punto ciego en el método compendial; un sistema con solo muestreo periódico tiene un punto ciego en el tiempo. La estrategia debe declarar qué dato sirve a qué decisión, y los puntos en línea y fuera de línea deben diseñarse juntos, como partes del mismo plan de muestreo, no por funciones distintas en momentos distintos.
Acondicionamiento y transporte de la muestra
Un analizador en línea mide lo que le llega, no lo que hay en el loop. Entre la toma y la celda de medida hay una línea, a menudo una reducción de presión, una regulación de caudal y a veces un intercambiador. Cada elemento es un artefacto potencial:
- la línea de muestreo es a todos los efectos una rama del sistema: si no está dimensionada, no es drenable y no se sanitiza junto con el loop, se convierte en un dead leg de flujo lento y puede generar una contaminación local que el instrumento leerá después como problema del loop;
- los materiales de la línea, en particular los poliméricos, pueden ceder o adsorber compuestos orgánicos y desplazar el TOC en ambos sentidos;
- el enfriamiento de la muestra modifica la solubilidad de los gases e interactúa con la compensación en temperatura: puede cambiar el valor leído sin que haya cambiado nada en el agua;
- el tiempo de tránsito introduce un retardo entre evento y alarma, y determina cuánta agua potencialmente fuera de control puede haberse ya extraído cuando la alarma salta;
- el destino del vertido de la muestra — retorno al loop o desagüe — es una decisión de diseño con consecuencias opuestas, que debe justificarse y no heredarse del plano del suministrador.
Dónde se instala el analizador
La posición determina qué puede decir el dato. Aguas abajo de la generación el instrumento indica si la unidad de producción está trabajando: es la posición adecuada para el control de proceso y para la derivación a desagüe, pero no dice nada de lo que ocurre en el anillo y en los puntos de uso. En el retorno del loop el instrumento integra el comportamiento de todo el anillo y es el más informativo sobre el deterioro progresivo, porque ve la suma de todo lo que el loop ha recogido: es la posición típica de la monitorización continua exigida para WFI. En impulsión, aguas abajo del tanque, se separa la contribución del almacenamiento de la de la red de distribución.
Un punto de uso crítico puede justificar un instrumento dedicado, pero multiplicar analizadores multiplica líneas de muestreo, calibraciones, alarmas y datos que revisar. La pregunta para cada instrumento añadido es una: ¿qué decisión, hoy imposible, hace posible este instrumento? Si no hay respuesta, añade carga y no control.
Calibración, verificación y system suitability son tres cosas distintas
Se confunden continuamente y no son intercambiables. La calibración refiere el instrumento a un patrón trazable y, si es necesario, lo ajusta. La verificación confirma entre dos calibraciones que el instrumento sigue dentro de los criterios establecidos, sin ajustarlo. El system suitability demuestra que el método, en ese instrumento y en ese momento, es capaz de producir el resultado requerido: para el TOC es un requisito compendial, no una buena práctica opcional. Una calibración válida no implica un system suitability satisfecho, y viceversa.
Frecuencias, tolerancias, deriva admisible y criterios de aceptación no están fijados por la normativa y no deben inventarse. Los establece la planta, y la justificación se construye con elementos verificables:
- criticidad del agua y consecuencia de un error de medida sobre el producto, evaluadas mediante un proceso de quality risk management coherente con ICH Q9(R1);
- datos de cualificación del instrumento: comportamiento observado en OQ y PQ, repetibilidad, deriva efectivamente registrada;
- datos históricos de ese instrumento o de esa familia en la planta: cuántas verificaciones fuera de criterio y de qué magnitud;
- tiempo de exposición: cuánta agua se extrae entre dos verificaciones y qué ocurre si se descubre a posteriori que el instrumento estaba fuera de criterio — la pregunta que hará el inspector;
- recomendaciones del fabricante, como dato de entrada y no como justificación final.
El último punto es el atajo más común: «lo dice el manual» no es una justificación GMP, es un dato de entrada; la justificación es la evaluación documentada de la planta. También hay que diseñar antes de que ocurra el caso de una verificación fuera de criterio: el procedimiento debe establecer qué sucede con el agua producida desde la última verificación válida, quién la evalúa y cómo se documenta el resultado. Sin esa parte, el primer fuera de criterio genera una investigación sin recorrido y un impacto que nadie consigue delimitar.
Niveles de alerta, alarmas y tendencias
El Anexo 1, en el punto 6.13, exige monitorización química y microbiológica regular y continuada y establece que los niveles de alerta se basen en los datos de cualificación inicial, reexaminados periódicamente a la luz de la recualificación, la monitorización de rutina y las investigaciones. Un nivel de alerta no es, por tanto, un número elegido para quedar cómodamente por debajo del límite: nace de los datos y cambia cuando los datos cambian. El punto 6.14 cierra el círculo exigiendo que las excursiones de alerta se documenten, revisen e investiguen, distinguiendo el evento aislado de una tendencia adversa o de un deterioro del sistema.
Ahí es donde falla el caso de apertura: once puntos en ascenso por debajo del límite no son once no-eventos, sino una tendencia que el sistema debe ser capaz de detectar y que alguien debe tener el encargo formal de mirar.
En configuración, cuatro niveles lógicos deben mantenerse separados y mapearse explícitamente.
| Nivel | Naturaleza | Efecto típico | Responsabilidad principal |
|---|---|---|---|
| Umbral técnico de proceso | Ingenieril | Acción automática: derivación, recirculación, bloqueo de suministro | Ingeniería / Producción |
| Nivel de alerta | Derivado de datos de cualificación e históricos | Atención, verificación, vigilancia reforzada | Producción, con QA informada |
| Nivel de acción | Establecido y justificado por la planta | Acción predefinida e investigación | QA |
| Límite compendial o de especificación | Compendial / de especificación | No conformidad del atributo | QA, con impacto en la liberación |
Los errores más frecuentes son reconocibles: usar el límite compendial como umbral de alarma en el SCADA, de modo que la alarma salta cuando el problema ya es una no conformidad; fijar el nivel de alerta en un porcentaje fijo del límite sin mirar la distribución real de los datos; configurar filtros y retardos tan largos que la alarma resulta ineficaz; enmascarar alarmas durante sanitizaciones y mantenimientos sin que el enmascaramiento esté procedimentado, trazado, limitado en el tiempo y rehabilitado de forma verificable.
El dato en línea es un dato GMP
La parte informática de la monitorización se rige por el Anexo 11 en su versión de enero de 2011, que es la vigente. El borrador de revisión sometido a consulta en 2025 no ha sido adoptado y no tiene fecha de aplicación publicada: conocerlo para evitar decisiones de arquitectura caras de deshacer es razonable, usarlo para fijar requisitos no lo es.
En concreto hacen falta atribución de las acciones, trazabilidad de los cambios en umbrales y configuraciones, protección de los datos crudos, copias de seguridad y control de accesos por nivel. También deben definirse y justificarse las reglas de tratamiento del dato — intervalo de adquisición, valor instantáneo o promediado, qué se archiva y qué se descarta — porque un valor promediado en un intervalo largo puede ocultar precisamente el transitorio que se quería detectar. El tema se desarrolla en el artículo sobre automatización, SCADA e integridad de datos.
La data review, por último, no es mirar el gráfico la semana antes de la inspección. Es una actividad con frecuencia definida, un responsable, un contenido mínimo y una traza documental: excursiones del periodo y su resultado, comportamiento frente a los niveles de alerta, análisis de tendencia, correlación con los eventos del sistema (sanitizaciones, mantenimientos, sustituciones, paradas y rearranques), estado de calibraciones y verificaciones, acciones abiertas. Sin la correlación con los eventos el gráfico es casi ilegible: buena parte de las excursiones se explica por algo que se hizo al sistema.
Ejemplo de aplicación: Planta Delta
Planta Delta es un ejemplo didáctico, no un caso real. Un loop de WFI caliente alimenta una línea estéril y un área de preparación; la monitorización continua de TOC y conductividad está en el retorno del loop, mientras que una segunda medida de conductividad aguas abajo de la generación gobierna la derivación a desagüe. Tras un mantenimiento en una válvula de un punto de uso, el TOC en el retorno muestra un escalón al alza: el valor sigue por debajo del límite, pero se sitúa establemente por encima de la banda histórica. La muestra compendial semanal resulta conforme.
Hay tres opciones sobre la mesa. No hacer nada, porque no hay fuera de especificación: ignora el punto 6.14, que pide distinguir el evento aislado de la tendencia. Sanitizar de inmediato «por seguridad»: una acción sin diagnóstico, que destruye la evidencia y no impide que el problema reaparezca. Abrir la investigación: es la opción defendible, porque el escalón coincide con un evento conocido y es un cambio de nivel, no ruido. El nivel de alerta ha hecho aquello para lo que existe, y la correlación con el mantenimiento aporta ya la hipótesis a verificar: residuo, material introducido, reposición incompleta. Sea cual sea el resultado, debe documentarse: incluso «causa identificada, sin impacto en producto» es un resultado válido si está argumentado.
Matriz de decisión: qué monitorizar en línea
La columna de pesos está deliberadamente vacía. Su asignación depende del contexto de la planta y forma parte, ella misma, de la decisión a documentar.
| Criterio | Peso | Cómo se evalúa |
|---|---|---|
| Criticidad del agua y de su uso aguas abajo | Grado y destino: estéril, no estéril, vía de administración. Cfr. elegir la calidad de agua | |
| Velocidad de propagación del riesgo | Cuánta agua se extrae antes de que un método fuera de línea dé respuesta | |
| Capacidad del atributo para detectar el fallo esperado | ¿Responde el atributo al modo de fallo identificado en el risk assessment? | |
| Viabilidad del método compendial en línea | ¿Demostrable y documentable para ese atributo y ese instrumento? | |
| Impacto en la gestión de la muestra | Caudal continuo requerido, destino del vertido, retorno o desagüe |
Errores frecuentes y señales de alarma
- Nivel de alerta coincidente con el límite compendial, o fijado en una fracción arbitraria del límite sin análisis de datos.
- TOC en línea usado como resultado compendial sin documento alguno que acredite que el instrumento ejecuta el método.
- System suitability sin frecuencia definida, justificado con «el capítulo no lo dice»; alarmas crónicamente enmascaradas o aceptadas sin acción ni traza.
- Conductividad comparada con un límite sin documentar si el valor está compensado en temperatura.
- Línea de muestreo no gestionada como parte del sistema: no drenable, no sanitizada con el loop.
- Convicción implícita de que un TOC y una conductividad conformes significan agua microbiológicamente bajo control.
- Documentos de planta que siguen citando el ensayo de sustancias oxidables donde la Ph. Eur. Issue 12.3 ha introducido el TOC.
Checklist operativa
- Para cada instrumento se declara si el dato es de proceso, de alerta o compendial.
- La posición de cada analizador está justificada frente a las decisiones que debe sostener.
- Línea de muestreo, materiales, acondicionamiento, tiempo de tránsito y destino del vertido están documentados.
- La compensación en temperatura está especificada, verificada y protegida frente a cambios no controlados.
- Calibración, verificación y system suitability tienen frecuencias, criterios y responsabilidades distintos y justificados, con impacto retroactivo procedimentado.
- Los niveles de alerta derivan de los datos de cualificación, se reexaminan sobre base documentada y las excursiones se clasifican como evento aislado o tendencia.
- El enmascaramiento de alarmas durante actividades planificadas está procedimentado, trazado y limitado en el tiempo.
- La data review tiene frecuencia, responsable, contenido mínimo y correlación con los eventos; las reglas de adquisición y archivo están definidas y son conformes al Anexo 11 vigente.
Si este nivel de detalle operativo te resulta útil, The Pragmatic GMP es la newsletter donde publicamos análisis técnicos y actualizaciones regulatorias en el mismo registro, sin ruido.
Ideas clave
- TOC y conductividad son los atributos controlados por las monografías USP PW y WFI, que no incluyen requisitos microbiológicos: conformidad química y control microbiológico son dos preguntas separadas.
- El Anexo 1, punto 6.15, exige monitorización continua de parámetros como TOC y conductividad para los sistemas de WFI; el 6.13 liga los niveles de alerta a los datos de cualificación inicial y el 6.14 obliga a distinguir el evento aislado de la tendencia.
- USP <645> tiene una estructura secuencial de tres etapas, con la Stage 2 como vía fuera de línea y la Stage 3 añadiendo KCl para medir el pH con exactitud; los criterios numéricos deben leerse en el capítulo vigente.
- USP <643> fija un target limit response de 500 microgramos de carbono por litro y construye el límite como Rs menos Rw; la frecuencia del system suitability queda en manos del risk assessment del usuario y aun así debe definirla la planta.
- Un dato en línea sostiene alarmas, aislamientos e investigaciones; sostiene una declaración de conformidad compendial solo si el instrumento se gestiona y documenta como instrumento del método.
- Frecuencias, tolerancias y deriva admisible no están en la normativa: se derivan de la cualificación, los datos históricos, el risk assessment y la consecuencia del error.
Referencias regulatorias y técnicas
- EudraLex Volume 4, Anexo 1 (C(2022) 5938 final), en operación desde el 25 de agosto de 2023 — puntos 6.13, 6.14, 6.15. EudraLex Volume 4
- EudraLex Volume 4, Anexo 11 Computerised Systems — versión de enero de 2011, operativa desde el 30 de junio de 2011; el borrador de revisión consultado del 7 de julio al 7 de octubre de 2025 no ha sido adoptado.
- USP <645> Water Conductivity; USP <643> Total Organic Carbon; USP <1231> Water for Pharmaceutical Purposes (informativo, no vinculante); monografías Purified Water y Water for Injection.
- Ph. Eur. capítulos generales 2.2.38 Conductivity y 2.2.44 Total organic carbon in water for pharmaceutical use; monografías 0169 y 0008; Issue 12.3 aplicable desde el 1 de julio de 2026, Issue 13.1 con implementación desde el 1 de enero de 2027.
- EMA Guideline on the quality of water for pharmaceutical use, EMA/CHMP/CVMP/QWP/496873/2018, en vigor desde el 1 de febrero de 2021. EMA
- WHO TRS 1033, Anexo 3 (2021) — niveles de alerta y de acción establecidos a partir de los datos históricos. WHO
- ICH Q9(R1) Quality Risk Management, Step 4 el 18 de enero de 2023. ICH
- PIC/S Aide-Memoire PI 009-4 Inspection of Utilities, rev. 4, en vigor desde el 1 de enero de 2021. PIC/S
- FDA Guide to Inspections of High Purity Water Systems (1993) — material de referencia para los inspectores, no una guidance for industry. FDA
- ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3.ª edición, septiembre de 2019 — guía sectorial, no normativa.
- Nota: no se ha identificado ninguna norma ISO, ASME, ASTM o CEN que gobierne la cualificación de la instrumentación de TOC y conductividad para agua farmacéutica; siguen siendo documentos gobernantes USP <643> y <645> y los capítulos Ph. Eur. correspondientes.
