Quality Risk Management de sistemas de agua farmacéutica: peligros, puntos críticos de control y control strategy

En una inspección, la pregunta difícil no es «¿tienen una evaluación de riesgo del sistema de agua?». Esa siempre tiene respuesta: hay un archivo, está firmado, está archivado. La pregunta difícil es la siguiente: «muéstrenme una decisión que esta evaluación de riesgo haya cambiado».

Muchas veces no llega respuesta. El documento se redactó una sola vez, en cualificación, cuando el trazado del loop ya estaba congelado y el plan de muestreo ya lo había escrito otra persona. Los alert level vienen del valor por defecto del proveedor. Los puntos de muestreo son los que se alcanzan sin escalera de plataforma. La evaluación de riesgo existe, pero nunca ha decidido nada: describe el sistema, no lo gobierna.

Este artículo invierte el orden. No «cómo se rellena una matriz», sino cómo se construye una evaluación que produce restricciones de diseño, criterios de aceptación, puntos de muestreo y disparadores de revisión, y que sigue viva durante todo el ciclo de vida. Forma parte del clúster Pharmaceutical Water & WFI Systems.

El léxico: qué entendemos por critical control point

Primero una precisión honesta sobre el vocabulario, porque es fuente recurrente de equívocos. «Critical control point» no es un término GMP definido para los sistemas de agua farmacéutica: no aparece como definición ni en el Anexo 1 de EudraLex Volumen 4 ni en el Anexo 15. Nace en la seguridad alimentaria (HACCP) y en el ámbito farmacéutico se cita sobre todo como metodología: ICH Q9(R1) enumera el HACCP entre las herramientas de quality risk management de su Anexo I, sin imponerlo y sin definir un umbral de «criticidad».

Aquí el término se usa en sentido de control strategy de proceso: el punto en el que un control, si se ejerce, previene o intercepta la pérdida de un atributo de calidad del agua, y en el que la pérdida de control no se recupera aguas abajo. Es una etiqueta de trabajo, no un requisito. Si su sistema de calidad usa el término, debe definirlo en procedimiento y aplicarlo de forma coherente, y nunca presentarlo al inspector como una obligación normativa. En caso contrario, use el léxico que la normativa emplea realmente: controles basados en riesgo para las utilities (Anexo 1, 6.1-6.5) y contamination control strategy, de la que la calidad del agua es explícitamente un elemento (Anexo 1, 2.5(v)). Un documento que usa términos normativos inexistentes invita al inspector a preguntar dónde están escritos.

Marco normativo: qué se le pide realmente

Ninguno de estos textos le da los números. Le dicen que debe fijarlos, justificarlos y revisarlos.

• ICH Q9(R1), Step 4 el 18 de enero de 2023. El QRM es un proceso — risk assessment, risk control, risk communication, risk review — no un formulario. La revisión R1 hizo explícitos cuatro temas que pesan mucho en un sistema de agua: la subjetividad de la evaluación y cómo contenerla; la formalidad como un continuo, con un rigor proporcionado a la incertidumbre, la importancia y la complejidad del asunto; la toma de decisiones basada en riesgo; y el riesgo para la disponibilidad del producto. Q9(R1) precisa además que las limitaciones de recursos no justifican un nivel de formalidad más bajo.
• ICH Q10, Step 4 el 4 de junio de 2008: el riesgo residual y su evolución son una entrada de la revisión por la dirección, no un anexo de proyecto.
• Anexo 1 (C(2022) 5938 final, en aplicación desde el 25 de agosto de 2023): la calidad del agua es un elemento de la CCS (2.5(v)); las utilities se controlan con enfoque basado en riesgo y las que están en contacto directo con el producto representan el riesgo más alto (6.1-6.5); la instalación debe diseñarse, instalarse, ponerse en servicio, cualificarse, monitorizarse y mantenerse para prevenir la contaminación microbiológica, minimizando partículas, proliferación microbiana y endotoxinas/pirógenos, con pendiente de tuberías para el drenaje y evitando dead legs (6.7); la cualificación debe tener en cuenta la variación estacional (6.8); el flujo debe mantenerse turbulento para limitar la adhesión microbiana y el biofilm, con caudal establecido en cualificación y monitorizado de rutina (6.9); la sanitización sigue un programa predeterminado y es también acción correctora (6.12); los alert level se basan en los datos de la cualificación inicial y se reexaminan periódicamente (6.13); las excursiones deben documentarse, revisarse e investigarse distinguiendo el evento aislado de la tendencia adversa (6.14); los sistemas WFI incluyen monitorización continua, como TOC y conductividad (6.15).
• Q&A EMA/INS/GMP/443117/2017 (en vigor desde el 1 de agosto de 2017), sobre WFI producida por métodos distintos de la destilación. Dos afirmaciones alimentan directamente la evaluación de riesgo: la ósmosis inversa opera típicamente a temperatura ambiente y constituye por tanto un entorno ideal para la formación de biofilm; y sobre los límites, «Increasing of such limits is not good practice and may mask a failing system». El documento espera ensayos extensos, ensayo diario de todos los puntos críticos en la fase inicial y alrededor de un año de datos para captar la variación estacional, y pide como mínimo una evaluación anual de la eficacia de la monitorización.
• OMS TRS 1033, Anexo 3 (2021): alert y action level establecidos a partir de los datos históricos registrados y, para la bulk purified water, determinados por el conocimiento del sistema y el trending de los datos.
• PIC/S Aide-Memoire PI 009-4 «Inspection of Utilities», rev. 4, en vigor desde el 1 de enero de 2021: el documento con el que los inspectores PIC/S preparan la revisión de las utilities.

La Guideline on the quality of water for pharmaceutical use de la EMA (EMA/CHMP/CVMP/QWP/496873/2018, en vigor desde el 1 de febrero de 2021) define la calidad mínima de agua según el uso y la vía de administración, pero no fija límites de alerta o acción, ni frecuencias de sanitización, ni reglas de revisión periódica. Ese vacío es precisamente lo que la evaluación de riesgo debe llenar con una justificación documentada.

Alcance y límites: la parte que casi nadie escribe

Una evaluación de riesgo sin límites declarados se cuestiona en la primera discusión. Cuatro cosas deben ponerse por escrito antes de listar peligros. Aguas arriba: contrato de suministro de agua potable, punto de entrega, depósito de rotura o almacenamiento de agua bruta — para las plantas que exportan a Estados Unidos, 21 CFR 211.48 exige agua potable suministrada bajo presión positiva continua en una red sin defectos, único criterio sobre agua de la Parte 211 y requisito de integridad aguas arriba que a menudo queda fuera del alcance. Aguas abajo: válvula del punto de uso, manguera flexible del usuario, punto de toma, transferencia al proceso; la manguera es casi siempre el punto más cuestionado y el menos documentado. Sistemas adyacentes: vapor puro, CIP, agua de laboratorio, condensados — declaren si están dentro del alcance o cubiertos por una evaluación separada, y citen esa evaluación. Procesos de apoyo: muestreo, laboratorio, mantenimiento, calibración, automatización y SCADA, change control; son procesos, no tuberías, pero ahí nacen muchos modos de fallo reales.

Escriban también qué han excluido deliberadamente y por qué. Un límite no escrito es un límite que se discutirá en inspección.

Los peligros reales de un sistema de agua

Biofilm. Es el peligro estructural, no un accidente. Las células adheridas producen una matriz que las protege de los sanitizantes y del flujo, y liberan células planctónicas de forma intermitente: recuentos bajos y estables durante semanas, luego un pico sin causa aparente, luego otra vez valores bajos. En un sistema con biofilm consolidado ese pico no es ruido analítico, es una liberación. De ahí los dos controles que el Anexo 1 nombra explícitamente — flujo turbulento (6.9) y geometría drenable sin dead legs (6.7) — y la advertencia del Q&A de la EMA sobre los sistemas RO a temperatura ambiente. El tema se desarrolla en el artículo sobre control microbiológico y de endotoxinas en PW y WFI.

Endotoxinas. Peligro independiente del recuento microbiano: sobreviven a la muerte celular y no se eliminan con la sanitización térmica, que incluso puede liberarlas al lisar las células. Un sistema puede mostrar recuentos bajo control y una carga endotoxínica creciente. Trátenlas como atributo separado, con sus propios modos de fallo y su propia detección: el Anexo 1 en el punto 6.7 pide minimizar endotoxinas y pirógenos, no solo la proliferación microbiana.

Peligros químicos. Paso iónico por agotamiento o degradación de membranas y resinas, arrastre orgánico medido como TOC, residuos de sanitizantes y regenerantes, corrosión y rouging, cesión desde polímeros y juntas, desinfectantes presentes en el agua de alimentación. Muchos no tienen alarma dedicada: aparecen como una tendencia de conductividad o TOC, y por eso el Anexo 1 en el punto 6.15 exige monitorización continua de estos dos atributos en los sistemas WFI.

Estancamiento. Multiplica todos los peligros microbiológicos y no afecta solo a los dead legs geométricos: afecta a los puntos de uso poco utilizados, a los ramales de reserva dejados para futuras ampliaciones, a los instrumentos en derivaciones, a los muestreadores y a las válvulas de drenaje. Un ramal perfectamente conforme a los criterios geométricos pero abierto una vez al mes se comporta como un dead leg.

Variabilidad del agua de alimentación. Cambia con la estación, con la fuente de captación del suministrador, con las lluvias, con las obras en la red, con el régimen de desinfección del operador: varían la carga microbiana, la materia orgánica, la temperatura, la dureza, el cloro residual o las cloraminas. El Anexo 1 en el punto 6.8 pide que la cualificación tenga en cuenta la variación estacional, y el Q&A de la EMA espera alrededor de un año de datos precisamente para captarla. Un sistema cualificado en una sola estación arrastra una laguna de conocimiento que la evaluación de riesgo debe declarar, no ocultar.

Modos de fallo típicos en generación, almacenamiento y distribución

Una lista de peligros no basta: la evaluación de riesgo trabaja sobre las formas en que el sistema falla. La tabla reúne modos de fallo recurrentes. No es exhaustiva y no sustituye al análisis de su instalación: es un punto de partida para la sesión de trabajo.

Del peligro al punto de control: cuatro criterios

La pregunta «¿es esto un punto crítico?» genera discusiones interminables sin criterios. Cuatro criterios, aplicados en orden, cierran la mayor parte.

1. Impacto directo. La pérdida de control altera un atributo de calidad del agua entregada al proceso. Si el efecto es solo sobre eficiencia, consumos o vida útil de consumibles, es un punto de control de proceso, no de calidad.
2. Controlabilidad. Ahí puede ejercerse realmente un control: un parámetro regulable, una barrera, un ciclo, un procedimiento. Si no existe, no es un punto de control sino una restricción de diseño, a resolver en el diseño o a aceptar como riesgo residual declarado.
3. Verificabilidad a tiempo. Existe una verificación que devuelve evidencia a tiempo para impedir el uso del agua. Un control verificado solo por un análisis cuyo resultado llega después del consumo es débil en detección, por muy exacto que sea el método.
4. Sin recuperación aguas abajo. La pérdida de control no la corrige ningún paso posterior. Es el criterio que separa un punto crítico de un simple punto de monitorización, y el que los equipos olvidan con más frecuencia.

Aplicados juntos reducen la lista de puntos críticos de varias decenas a unos pocos decisivos. Ese es el objetivo: una control strategy en la que todo es crítico no discrimina nada.

La FMEA aplicada a un sistema de agua

La FMEA es una de las herramientas listadas en el Anexo I de ICH Q9(R1), junto con FMECA, árbol de fallos, HACCP, HAZOP, preliminary hazard analysis, risk ranking and filtering y los métodos estadísticos de apoyo. Ninguna es obligatoria: la guideline pide que la herramienta sea adecuada al problema y que la formalidad sea proporcionada a la incertidumbre, la importancia y la complejidad. En un sistema de agua la FMEA funciona bien, porque el sistema está hecho de componentes con modos de fallo identificables; funciona mal cuando se usa como ejercicio aritmético.

• Elijan la granularidad antes de empezar. Realicen la FMEA al nivel en el que pueden tomar una decisión: analizar cada válvula produce cientos de filas y ninguna decisión, analizar «el loop» como elemento único no produce ningún control específico. El subsistema funcional con sus puntos de interfaz suele ser el nivel adecuado.
• Documenten los controles existentes antes de puntuar. Si evalúan el sistema «desnudo» obtienen un perfil de riesgo que no existe; si no listan los controles, no pueden demostrar por qué el riesgo es bajo.
• Sean honestos con la detectabilidad. No mide la calidad del método analítico, sino la capacidad de interceptar el fallo a tiempo para impedir el uso: un método excelente cuyo resultado llega después del consumo tiene detectabilidad baja. Es donde la subjetividad hace más daño, y es justamente el tema que ICH Q9(R1) hizo explícito.
• No conviertan el RPN en un umbral de autorización. El producto de tres escalas ordinales no es aditivo ni lineal, y combinaciones muy distintas dan el mismo número. Úsenlo para ordenar prioridades y apliquen después una regla explícita: todo modo de fallo con severidad máxima se evalúa individualmente, sea cual sea la puntuación.
• Equipo multifuncional y facilitador. Una FMEA escrita por una sola función refleja solo los peligros que esa función conoce; un sistema de agua toca ingeniería, producción, microbiología, calidad, mantenimiento y automatización.
• Distingan FMEA de diseño y operativa. La de diseño se realiza con las decisiones aún abiertas y genera requisitos; la operativa se realiza sobre el sistema existente y genera controles, monitorización y acciones.

La plantilla siguiente puede adoptarse tal cual. Las columnas de puntuación están deliberadamente vacías: los valores los asignan ustedes, con la escala que su planta haya definido y justificado.

Después hace falta una escala. La tabla siguiente es un ejemplo de estructura, no un estándar ni una referencia normativa. No existe una escala de severidad, ocurrencia y detectabilidad prescrita por ICH Q9(R1) ni por EudraLex: cada planta debe definir la suya, justificarla, aprobarla en procedimiento y aplicarla de forma coherente entre evaluaciones, o las puntuaciones no serán comparables. La columna de puntuación se deja vacía a propósito.

Definan el significado operativo de cada nivel con ejemplos de su propia instalación, o dos evaluadores darán números distintos al mismo fallo. Y fijen en procedimiento la regla de decisión — qué combinación exige acción, cuál solo monitorización, quién puede aceptar — antes de ver los resultados: fijar el umbral después de ver las puntuaciones es la forma más común de hacer que la FMEA diga lo que ya estaba decidido.

Ejemplo de aplicación: Planta Delta

Planta Delta es una planta ficticia, usada aquí como ejemplo didáctico. Ningún elemento citado constituye un criterio de aceptación ni un valor de referencia.

Planta Delta fabrica formas estériles inyectables: un loop de PW que alimenta también un generador de WFI por membrana, y un loop de WFI. La evaluación de riesgo existía desde hacía años y solo se había actualizado con revisiones formales. Su reapertura, en equipo multifuncional con un facilitador ajeno al área, produjo cuatro resultados, ninguno de ellos exótico.

Un punto de uso olvidado. Un local usado dos veces al mes se servía desde una derivación con válvula manual, y ningún modo de fallo lo cubría porque el análisis anterior se había detenido en el colector. El criterio de ausencia de recuperación aguas abajo lo calificaba como punto crítico. Resultado: purga antes del uso, inclusión en el plan de muestreo rotatorio, evaluación técnica de la eliminación de la derivación.

Un ensayo de integridad incompleto. El filtro de venteo del depósito WFI se ensayaba después del uso, pero el procedimiento no exigía el ensayo antes de la instalación, que el Anexo 1 en el punto 6.11 pide junto con la prevención de la condensación. La FMEA había asignado al filtro una detectabilidad alta sin comprobar qué exigía realmente el procedimiento. Resultado: procedimiento revisado, calentamiento del filtro verificado y una lección de método — la detectabilidad se verifica sobre el documento vigente, no sobre la convicción del equipo.

Una cualificación de una sola estación. La PQ se había realizado íntegramente en invierno y la laguna no estaba declarada. Resultado: laguna registrada como riesgo residual con plazo, monitorización ampliada para cubrir el ciclo anual, alert level mantenidos como provisionales hasta el cierre del programa.

Un caudal registrado pero sin alarma. Una caída lenta del caudal de retorno del loop de WFI solo habría sido visible en la revisión mensual, mientras que el punto 6.9 exige un caudal establecido en cualificación y monitorizado de rutina precisamente porque el flujo turbulento es un control frente a la adhesión microbiana. Resultado: alarma configurada bajo change control, verificación del audit trail sobre los cambios de umbral, detectabilidad recalculada.

Ninguno de los cuatro resultados exigía una inversión significativa, y los cuatro eran invisibles en el documento anterior: ese documento se había construido para existir, no para decidir.

De la evaluación a la control strategy

La control strategy no es un documento: es el conjunto de controles que mantienen el sistema dentro de su estado validado, repartidos en varios niveles. La evaluación de riesgo establece qué nivel sostiene cada peligro y señala los que se apoyan en un nivel demasiado débil.

• Eliminación. El control más robusto es no tener el peligro: suprimir una derivación, eliminar un ramal de reserva, montar un instrumento en línea. Cuesta en diseño y después ya no cuesta nada.
• Controles de diseño. Geometría drenable, ausencia de dead legs, pendiente de drenaje, materiales y acabado, dimensionamiento para flujo turbulento, régimen térmico u ozonización (Anexo 1, 6.7 y 6.9). Son los únicos controles que no dependen del comportamiento humano diario.
• Controles operativos. Recirculación continua, régimen de temperatura, programa de sanitización predeterminado y sanitización como acción correctora (6.12), gestión de puntos de uso y mangueras.
• Controles de monitorización. Monitorización química y microbiológica regular y continuada (6.13), monitorización continua de TOC y conductividad en los sistemas WFI (6.15), plan de muestreo construido sobre los puntos críticos identificados.
• Controles procedimentales y de sistema de calidad. Desviaciones, trending, investigaciones, change control, revisión periódica, formación. Último nivel y el más frágil, porque depende por completo de la ejecución.

La regla práctica: un peligro controlado solo en el nivel de detección no es un peligro controlado. Si la única defensa frente a la contaminación de un punto de uso es el muestreo periódico, no tienen un control: tienen una esperanza con trazabilidad. La evaluación de riesgo debe hacer visibles estos casos y forzar una decisión: reforzar el nivel superior o aceptar explícitamente el riesgo residual. En productos estériles todo esto confluye en la contamination control strategy, de la que la calidad del agua es un elemento (Anexo 1, 2.5(v)): una evaluación que no alimenta la CCS ni recibe sus restricciones es un documento paralelo, y en inspección se nota.

El riesgo residual: quién lo acepta y con qué evidencia

ICH Q9(R1) trata la aceptación del riesgo como una decisión informada, no como una formalidad de cierre. Bastan tres categorías honestas: riesgo reducido a un nivel aceptable y monitorizado, con controles en servicio y tendencia bajo observación; riesgo aceptado con justificación y plazo, cuando el control ideal no es aplicable ahora, con medida compensatoria y fecha de revisión; y riesgo no aceptable, que no es riesgo residual sino una acción abierta con responsable y fecha.

Dos reglas evitan la mayor parte de los problemas. La aceptación corresponde a un rol, no a un proyecto: un riesgo aceptado «por el equipo de proyecto» no tiene dueño cuando el proyecto se cierra. Y un riesgo residual que depende de un control aún no instalado no es un riesgo residual, es una acción abierta disfrazada de conclusión.

Cómo la evaluación de riesgo enlaza URS, diseño, cualificación, monitorización y revisión periódica

Aquí está la diferencia entre una evaluación de riesgo viva y un anexo. La evaluación de riesgo no es una fase del proyecto: es el hilo que atraviesa todas las fases, y cada fase debe recibir algo de ella y devolverle algo. Si el flujo es de un solo sentido, el documento muere en la primera entrega.

Dos conexiones merecen detalle. La primera es con la URS del sistema de agua: todo requisito nacido de un peligro debería ser trazable hasta ese peligro, de modo que en design review se sepa qué requisito es negociable y cuál no. Un requisito sin origen se recorta en la primera discusión de costes, porque nadie sabe qué protege. El enfoque science- and risk-based de ASTM E2500-25 se apoya exactamente en esa trazabilidad, y la elección previa de la calidad de agua necesaria para el uso previsto es la primera decisión basada en riesgo del proyecto: sobredimensionar la calidad no es prudencia, es trasladar el riesgo al mantenimiento de un sistema más complejo.

La segunda es con la monitorización. El plan de muestreo es el punto en el que la evaluación se vuelve verificable cada semana: si los puntos muestreados no son los identificados como críticos, tienen dos documentos que describen dos sistemas distintos. El Anexo 1 en el punto 6.13 cierra el círculo por el lado de los criterios: los alert level nacen de los datos de la cualificación inicial y se reexaminan periódicamente sobre la base de la recualificación, la monitorización de rutina y las investigaciones. No son un parámetro de configuración: son una salida del ciclo de vida.

La revisión periódica: cuándo, no solo cada cuánto

La frecuencia fija es la peor forma de gestionar la revisión, porque garantiza que el documento se actualice en el momento equivocado. ICH Q9(R1) plantea el risk review como proceso continuo, con reevaluación disparada por eventos planificados (product review, inspecciones, auditorías, change control) y no planificados (investigaciones, retiradas), con una frecuencia proporcionada al nivel de riesgo. Trasladados a un sistema de agua, estos son los disparadores que deben figurar en procedimiento.

• Cambios bajo change control sobre geometría, materiales, régimen térmico, ciclos de sanitización, instrumentación o lógicas de alarma.
• Alta o baja de un punto de uso y toda variación significativa del perfil de consumo.
• Un nuevo producto o proceso que exija una calidad de agua distinta o un uso distinto de un punto existente.
• Desviaciones, OOS y OOT, con la distinción entre evento aislado y tendencia adversa que exige el punto 6.14.
• Cambios del agua de alimentación: nueva fuente del suministrador, variación del régimen de desinfección, evento estacional anómalo, obras en la red.
• Resultados de la recualificación periódica y de la revisión de los alert level.
• Retrofit, sustitución de componentes principales, obsolescencia del sistema de control.
• Evaluación de la eficacia de la monitorización: el Q&A de la EMA sobre métodos no destilativos pide como mínimo una al año.
• Publicación o entrada en vigor de un texto normativo aplicable.

Conviene nombrar una trampa. Cuando un sistema produce excursiones repetidas, la reacción más rápida es subir los límites: las excursiones desaparecen y la tendencia vuelve a parecer «en control». El Q&A EMA/INS/GMP/443117/2017 lo aborda sin rodeos: «Increasing of such limits is not good practice and may mask a failing system». Subir un alert level solo es legítimo como conclusión de un análisis que demuestre que el nivel anterior era inadecuado frente a los datos de un sistema en estado de control, nunca como remedio para un sistema que está cediendo. La misma lógica vale para los niveles citados en el capítulo informativo USP <1231>, que siguen siendo niveles de acción no vinculantes y no sustituyen a especificaciones internas construidas sobre sus propios datos. La revisión del riesgo es también el disparador natural de las decisiones de revisión periódica y retrofit: el momento en que se decide si un riesgo residual aceptado hace tres años sigue siendo aceptable, o se ha convertido en la forma de no abordar un problema estructural.

Errores frecuentes y señales de alerta en inspección

• Redactar la evaluación de riesgo después del congelamiento del diseño: solo puede justificar decisiones ya tomadas.
• Evaluar el sistema «desnudo», sin listar los controles existentes.
• Asignar detectabilidad alta a un control cuyo resultado llega después del uso del agua.
• Usar un umbral de RPN como autorización automática, o fijar el umbral de aceptabilidad después de ver las puntuaciones.
• No definir la escala en procedimiento, y obtener puntuaciones no comparables entre evaluaciones sucesivas.
• Detener el análisis en el colector, dejando fuera derivaciones, mangueras y puntos de uso de baja frecuencia.
• Tratar las endotoxinas como consecuencia automática del control microbiológico.
• Cualificar en una sola estación y no declarar la laguna.
• Presentar «critical control point» como término normativo sin haberlo definido en procedimiento.

En inspección, estas son las señales que abren la discusión.

• Una sola fecha de firma y ninguna revisión tras años de operación con desviaciones documentadas.
• Puntos del plan de monitorización que no coinciden con los puntos críticos de la evaluación.
• Alert level no trazables a los datos de cualificación ni a un análisis de datos históricos, o elevados con la reducción de excursiones como justificación registrada.
• Excursiones repetidas cerradas individualmente como eventos aislados, sin evaluación de tendencia.
• Modificaciones de planta visibles en campo y ausentes del P&ID actualizado y de la evaluación de riesgo.
• Riesgos residuales «aceptados» sin responsable, sin justificación técnica y sin fecha de revisión.
• Escala de severidad, ocurrencia y detectabilidad no definida en ningún procedimiento aprobado.
• Caudal del loop registrado pero sin criterio ni alarma, pese a citarse como control frente al biofilm.
• Una evaluación de riesgo del sistema de agua no referenciada por la contamination control strategy de la planta.

Si estos temas les interesan, en The Pragmatic GMP reunimos análisis operativos sobre cualificación, utilities y sistemas de agua. Sin promoción, solo material utilizable en el trabajo.

Puntos clave

• Una evaluación de riesgo que no ha cambiado ninguna decisión no es una evaluación de riesgo: es una descripción del sistema.
• «Critical control point» no es un término GMP definido para los sistemas de agua: úsenlo como etiqueta de control strategy y defínanlo en procedimiento.
• La normativa pide el método, no los números: ICH Q9(R1) para el proceso, Anexo 1 para los controles basados en riesgo de las utilities, OMS TRS 1033 Anexo 3 para derivar alert y action level de los datos históricos.
• Biofilm, endotoxinas, estancamiento y variabilidad estacional del agua de alimentación son los peligros estructurales: trátenlos como entradas distintas, con sus modos de fallo y su detección.
• Cuatro criterios identifican un punto crítico: impacto directo, controlabilidad, verificabilidad a tiempo, ausencia de recuperación aguas abajo. El cuarto es el que se olvida.
• Ninguna escala de severidad, ocurrencia y detectabilidad está prescrita: la planta la define, la justifica y la aprueba antes de usarla; el RPN ordena prioridades, no autoriza.
• Un peligro controlado solo por la detección no está controlado: la control strategy se construye desde la eliminación hacia abajo.
• El riesgo residual se acepta por un rol, con justificación y plazo. Si depende de un control no instalado, es una acción abierta.
• La revisión debe dispararse por eventos, no solo por el calendario, y subir los límites para que desaparezcan las excursiones enmascara un sistema que está cediendo.

Referencias normativas y técnicas

• ICH Q9(R1) Quality Risk Management, Step 4 el 18 de enero de 2023; ICH Q10 Pharmaceutical Quality System, Step 4 el 4 de junio de 2008 — ich.org
• EudraLex Volumen 4, Anexo 1, C(2022) 5938 final, en aplicación desde el 25 de agosto de 2023 (puntos 2.5(v), 6.1-6.5, 6.7, 6.8, 6.9, 6.11, 6.12, 6.13, 6.14, 6.15); Anexo 15, en aplicación desde el 1 de octubre de 2015 — el 9 de febrero de 2026 se publicó un concept paper de revisión UE-PIC/S y la consulta se cerró el 9 de abril de 2026, pero el Anexo 15 no ha sido revisado — EudraLex Volume 4
• EMA Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, en vigor desde el 1 de febrero de 2021 — ema.europa.eu; Q&A EMA/INS/GMP/443117/2017, en vigor desde el 1 de agosto de 2017
• OMS TRS 1033, Anexo 3 (2021) — who.int; PIC/S Aide-Memoire PI 009-4 Inspection of Utilities, rev. 4, en vigor desde el 1 de enero de 2021 — picscheme.org
• USP <1231> Water for Pharmaceutical Purposes, capítulo informativo (los niveles de acción citados no son vinculantes); USP <643> y <645>
• 21 CFR 211.48 Plumbing — eCFR Part 211; FDA Guide to Inspections of High Purity Water Systems (julio de 1993), no vinculante — fda.gov
• ASTM E2500-25 (aprobada el 1 de abril de 2025); ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3.ª edición, septiembre de 2019; PDA Technical Report No. 69 (2015) — guías sectoriales, no normativas