Revisión periódica y retrofit de sistemas de agua farmacéutica

Un inspector pide la tendencia a largo plazo del recuento microbiano del loop de WFI. Los datos están, ningún punto ha superado nunca el action level, ningún OOS en el periodo. Luego llegan dos preguntas que ese gráfico no responde: cuántas sanitizaciones se ejecutaron en ese intervalo y cuántas preveía el programa establecido. Las primeras superan con mucho a las segundas, porque el equipo añadió ciclos no planificados cada vez que un resultado se acercaba al alert level. El sistema cumple la especificación. La cumple porque alguien lo mantiene ahí, no porque esté bajo control.

Esta es la situación que la revisión periódica existe para detectar y que ningún cuadro de mando muestra por sí solo. Una instalación rara vez pasa del cumplimiento al fallo en un día: pierde margen durante meses, compensa con mantenimiento reactivo y sanitizaciones adicionales, y sigue produciendo resultados aceptables hasta que una variación estacional, una parada prolongada o un aumento de demanda consumen el margen que quedaba. Este artículo trata dos decisiones ligadas: cómo se construye una revisión que demuestre el estado de control en lugar de recapitular el cumplimiento, y cómo nace de ella, con un razonamiento defendible, la decisión de ejecutar un retrofit.

Cumplimiento no es estado de control

El cumplimiento es un juicio sobre el resultado individual: el valor medido queda dentro del límite. El estado de control es un juicio sobre el comportamiento en el tiempo: la distribución de los resultados es estable y coherente con la observada en la cualificación, y las acciones necesarias para mantenerla son las planificadas, no las improvisadas. Un sistema puede ser plenamente conforme y estar simultáneamente fuera de control: cuando la mediana del recuento microbiano sube manteniéndose por debajo del action level, cuando la recuperación tras la sanitización se acorta, cuando el intervalo real entre dos ciclos es más corto que el programa aprobado, cuando las intervenciones correctivas no planificadas crecen mientras el preventivo sigue formalmente ejecutado. Ninguna de estas señales genera una desviación; juntas describen un sistema que está consumiendo su propio margen.

El Anexo 1 de EudraLex Volumen 4 exige monitorización química y microbiológica regular y continua, con alert levels basados en los datos de la cualificación inicial y revisados periódicamente sobre la base de la recualificación, la monitorización de rutina y las investigaciones (6.13), y exige que las excursiones de alerta se documenten, revisen e investiguen distinguiendo el evento aislado de la tendencia adversa o del deterioro del sistema (6.14). Esa distinción es la pregunta central de la revisión periódica, y no se resuelve con un resultado aislado: requiere una ventana temporal, una población de datos y un método de lectura declarado de antemano.

Dónde reside realmente la obligación de revisión periódica

Conviene decirlo explícitamente, porque es un equívoco frecuente en los gap assessments: la Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, en vigor desde el 1 de febrero de 2021, no contiene ninguna cláusula de revisión periódica ni de revalidación periódica. Define la calidad mínima de agua en función del uso previsto, reconoce la producción de WFI mediante procesos de purificación equivalentes a la destilación y exige notificación previa a la autoridad GMP de supervisión antes de introducir la reverse osmosis; no fija límites de alert ni de action, no prescribe frecuencias de sanitización y no impone cadencias de revisión. Citarla como base normativa del propio PNT de revisión periódica es un error documental que un inspector preparado detecta de inmediato. La obligación existe, pero está repartida entre varios documentos con ámbitos distintos.

• Anexo 1 — la revisión periódica de los alert levels (6.13) y la lectura de las excursiones en clave de tendencia adversa (6.14) son en la práctica un mandato de revisión continua. El Anexo 1 exige además una cualificación que tenga en cuenta la variación estacional (6.8), flujo turbulento con caudal establecido en la cualificación y monitorizado de rutina (6.9), sanitización según un programa preestablecido y como acción correctora tras resultados fuera de límite (6.12), y monitorización continua como TOC y conductividad en los sistemas de WFI (6.15): parámetros que la revisión debe volver a verificar, no heredar de la cualificación.
• Anexo 15 (revisión de 2015, en vigor desde el 1 de octubre de 2015) — el marco de cualificación, change control y recualificación: ahí reside la obligación de evaluar si un cambio exige recualificación y con qué alcance. Un concept paper sobre la revisión EU/PIC-S del Anexo 15 se publicó el 9 de febrero de 2026, con corrigendum el 16 de julio de 2026 y consulta cerrada el 9 de abril de 2026: el Anexo 15 no ha sido modificado, y el concept paper debe citarse como tal, nunca como requisito.
• EMA/INS/GMP/443117/2017, Q&A sobre la producción de WFI por métodos distintos de la destilación, en vigor desde el 1 de agosto de 2017 — dentro de su ámbito exige la revisión de rutina de los alert levels y, como mínimo, una evaluación anual de la eficacia de la monitorización. Contiene además la frase que conviene recordar cada vez que una tendencia empeora: subir esos límites no es buena práctica y puede enmascarar un sistema que está fallando.
• Anexo 11 — la versión en vigor es la de enero de 2011 (aplicable desde el 30 de junio de 2011) y prevé la evaluación periódica de los sistemas informatizados para confirmar que siguen en estado validado y conformes con las GMP: el PLC, el SCADA y el histórico de datos del sistema de agua entran en ese perímetro. El borrador de revisión sometido a consulta del 7 de julio al 7 de octubre de 2025 no está adoptado, no tiene fecha de aplicación publicada y no debe usarse como base de requisitos.
• ICH Q10 para la mejora continua y la revisión por la dirección: justifica elevar el resultado de la revisión hasta el nivel de dirección, con recursos asignados. ICH Q9(R1) para la evaluación de riesgos con la que se fijan alcance, profundidad y frecuencia.
• OMS TRS 1033, Anexo 3 — trata la revisión del sistema y reitera que los alert y action levels derivan de los datos históricos y del conocimiento del sistema (§4.3.8, §12.8). PIC/S PI 009-4, aide-memoire Inspection of Utilities en vigor desde el 1 de enero de 2021, describe cómo miran los inspectores las utilities.

El panorama completo de estas interdependencias está reunido en el hub Pharmaceutical Water & WFI Systems.

Frecuencia y alcance: la única cadencia citable

Ningún texto vigente fija una periodicidad general para la revisión periódica de los sistemas de agua. La única cadencia citable es la del Q&A EMA/INS/GMP/443117/2017 — como mínimo una evaluación anual de la eficacia de la monitorización — con el ámbito propio de ese documento, es decir, la producción de WFI por métodos distintos de la destilación. Escribir en un PNT que «las GMP exigen una revisión periódica anual del sistema de agua» es una extensión no respaldada de esa frase.

La frecuencia debe definirse por tanto sobre base de riesgo y justificarse por escrito, con elementos propios del sitio: criticidad del agua respecto a los productos servidos; tecnología de generación y temperatura de operación, porque un sistema frío de membranas y un loop caliente tienen perfiles de riesgo microbiológico distintos; madurez del conjunto de datos, con una cadencia más estrecha en los primeros ciclos tras la cualificación o tras una intervención mayor; historial de desviaciones y CAPA abiertas; edad de la instalación y obsolescencia de los componentes críticos. La regla defendible es que la frecuencia esté declarada, motivada y revisada cuando cambian las condiciones. Para el alcance vale un principio simétrico: la revisión cubre todo el sistema, incluso cuando la señal que la ha disparado afecta a una sola rama.

El dosier de entrada: qué alimenta la revisión

El valor no está en los conjuntos de datos por separado, que el sitio ya posee, sino en ponerlos sobre el mismo eje temporal y buscar las correlaciones que ninguna función ve por sí sola.

Tendencias químicas y microbiológicas

La conductividad y el TOC dan la señal más rápida sobre la deriva química; el recuento microbiano y las endotoxinas dan la señal más lenta y más significativa sobre la salud del sistema. Se leen como distribuciones: posición central, dispersión, evolución en el tiempo, comportamiento por punto de muestreo, estacionalidad. Un aumento de la dispersión con mediana invariable suele ser la primera señal útil y pasa inadvertido en cualquier informe que solo recoja el máximo del mes. La instrumentación en línea se trata en el artículo sobre monitorización de TOC y conductividad.

Desviaciones, investigaciones, sanitizaciones

De las desviaciones importan la recurrencia del mismo modo de fallo, el tiempo de cierre, la eficacia verificada de las CAPA y la proporción de investigaciones cerradas como «causa no determinada»: un sistema con muchas investigaciones sin root cause no tiene suerte, es un sistema cuyo comportamiento se desconoce. En las sanitizaciones deben compararse tres magnitudes — el programa preestablecido, los ciclos realmente ejecutados y los ejecutados como acción correctora tras un resultado fuera de límite —, porque la relación entre las dos últimas es uno de los indicadores más honestos del estado del sistema. También cuenta el perfil de recuperación: un retorno al nivel basal cada vez más rápido indica un ciclo que actúa sobre la población planctónica pero no sobre la fracción adherida. La cualificación y recualificación de los ciclos se desarrollan en el artículo sobre ciclos de sanitización.

Mantenimiento, repuestos, obsolescencia

La relación entre preventivo ejecutado en plazo y correctivo no planificado dice más que el mero recuento de averías. La obsolescencia exige información que casi nadie recoge de forma sistemática: componentes descatalogados o con fin de soporte anunciado, plazos de aprovisionamiento de repuestos críticos, piezas en almacén frente a piezas disponibles solo bajo pedido, disponibilidad de competencia de servicio para el modelo instalado. Un componente crítico sin repuesto disponible es un riesgo de continuidad que se convierte en riesgo de calidad en cuanto la presión por rearrancar la instalación supera al rigor de la restitución.

Calibración, instrumentación, software y alarmas

De la instrumentación interesan los resultados fuera de tolerancia con su evaluación retrospectiva sobre los datos ya liberados, la deriva sistemática del mismo instrumento entre dos calibraciones, las sustituciones repetidas de sondas en el mismo punto y la coherencia entre medida en línea y verificación fuera de línea: una sonda que se sale de tolerancia siempre en la misma dirección no es un problema de calibración, es información sobre la instalación o sobre el proceso. La evaluación periódica prevista por el Anexo 11 vigente debe además ejecutarse de verdad, no declararse: estado de soporte del sistema operativo y de la aplicación, parches, gestión de accesos y perfiles, revisión del audit trail y su practicabilidad real, copias de seguridad y restauración verificada, parámetros críticos contrastados con la baseline aprobada. En las alarmas cuenta la estadística — cuántas al mes, cuántas recurrentes, cuántas silenciadas sin acción, cuántas deshabilitadas y con qué autorización: una instalación que genera más alarmas de las que el operador puede evaluar no está monitorizada, es ruidosa. El tema se trata en el artículo sobre automatización, SCADA e integridad de datos.

Capacidad frente a demanda real

Es la sección que falta con más frecuencia y la que más a menudo genera un retrofit. El sistema se dimensionó sobre una demanda supuesta años antes; desde entonces han cambiado la cartera, los formatos, los ciclos de lavado y los turnos. Las preguntas son concretas: consumo pico real frente a capacidad de generación y volumen de almacenamiento; simultaneidad efectiva de las tomas; tiempo de reposición del depósito; comportamiento del loop en máxima entrega, donde el caudal de retorno debe seguir garantizando el régimen turbulento establecido en la cualificación; margen restante antes de que el sistema deje de poder sanitizarse en la ventana disponible. Este último punto es decisivo: un sistema puede perder el estado de control solo porque la producción ya no le deja tiempo para ser sanitizado.

Reconocer la pérdida de margen

El caso real más frecuente no es la instalación fuera de especificación: es la instalación aún conforme que ha dejado de tener margen. Reconocerlo exige un método de lectura declarado antes de mirar los datos; de lo contrario la evaluación se convierte en una discusión de opiniones sobre un gráfico.

Documentar estas señales exige dos cautelas. La primera: la comparación entre periodos debe usar el mismo método analítico, el mismo plan de muestreo y la misma regla para los resultados no cuantificables; de lo contrario un cambio no declarado produce tendencias ficticias en ambos sentidos. La segunda: si la tendencia empeora, la respuesta no es revisar los límites al alza. Un alert level se recalcula cuando los datos muestran que el sistema se ha estabilizado mejor de lo previsto, o cuando la base de datos cambia tras una mejora; no cuando sirve para hacer entrar resultados incómodos. Cada recálculo debe documentarse con el conjunto de datos de referencia, el método estadístico, el razonamiento y la aprobación de Calidad.

Los disparadores del retrofit: preguntas, no umbrales

No existe un umbral normativo que diga cuándo hay que modificar un sistema de agua, y todo criterio numérico genérico en circulación es la convención de alguien. La forma defendible de construir los disparadores es formularlos como preguntas, asociar a cada una la evidencia necesaria y definir de antemano qué se hace cuando la respuesta es negativa.

La última fila es el disparador que los sitios descubren tarde. En la Ph. Eur. el ensayo de TOC ha sustituido al de sustancias oxidables en la sterilised water for injections: las monografías 0169 y 0008 y el capítulo 2.2.44 se actualizaron en la Issue 12.3, aplicable desde el 1 de julio de 2026, y 0169 y 0008 se revisaron de nuevo en la Issue 13.1 (implementación el 1 de enero de 2027). Son cambios que no tocan la instalación pero sí los métodos, la instrumentación y las especificaciones: deben aflorar en la revisión periódica, no en una auditoría. Lo mismo vale para las normas citadas en URS y pliegos: la ISO 22519:2019 fue retirada el 4 de abril de 2023 y sustituida por la segunda edición ISO 22519:2023, mientras que la ISO/DIS 25413 sigue en desarrollo y solo debe citarse como proyecto.

El retrofit es un change control, no una intervención

La forma más rápida de convertir una mejora en una observación de inspección es gestionarla como trabajo de mantenimiento. Un retrofit sobre un sistema de agua cualificado toca casi siempre superficies en contacto, condiciones hidráulicas, estrategia de control y datos. Corresponde al marco del Anexo 15, con una secuencia que debe verse en los documentos.

1. Perímetro real del cambio: no solo el componente sustituido, sino todo lo que depende de él — instrumentación, lógicas, alarmas, recetas de sanitización, puntos de muestreo, documentación as-built.
2. Evaluación del riesgo según ICH Q9(R1), que establece qué atributos pueden verse afectados y con qué severidad, y guía la profundidad de la verificación.
3. Impacto sobre la cualificación existente: qué documentos de DQ, IQ, OQ y PQ siguen válidos, cuáles deben completarse y cuáles reejecutarse. Argumentado atributo por atributo, no declarado en bloque.
4. Plan de recualificación proporcionado: el alcance deriva del riesgo evaluado — sustituir una sonda por un modelo equivalente y rehacer la rama de generación no generan el mismo plan. La estructura de fases y la lógica FAT/SAT/IQ/OQ/PQ están en el artículo sobre cualificación de sistemas de agua.
5. Periodo de transición: cómo se sirve la producción durante los trabajos, qué agua es utilizable y con qué controles adicionales, cómo se separan las secciones intervenidas de las que siguen en servicio.
6. Restitución de las superficies: cortes, soldaduras y desmontajes obligan a replanificar limpieza y pasivación según prácticas reconocidas — ASTM A380/A380M-25, ASTM A967/A967M-25 — documentando ejecución y verificación. Omitirlo es una causa habitual de rouging aparecido justo después de un retrofit; el tema se profundiza en el artículo sobre biofilm y rouging.
7. Reconstrucción de la base de datos: tras una intervención significativa, los alert levels derivados de los datos anteriores pueden dejar de describir el sistema. Hay que decidir de antemano si siguen aplicándose de forma cautelar y cuándo se recalcularán, con cuántos datos y sobre qué ventana. El Anexo 1 exige que la cualificación tenga en cuenta la variación estacional, y el Q&A de la EMA, para los sistemas de membranas, remite a datos recogidos durante alrededor de un año precisamente para captarla: cerrar la recualificación microbiológica en una ventana corta debe justificarse explícitamente.
8. Actualización del sistema informatizado: los cambios en lógicas, consignas, umbrales de alarma o arquitectura de datos exigen la actividad de CSV correspondiente y la actualización de la evaluación periódica del Anexo 11.
9. Notificación previa cuando proceda: si el retrofit introduce la reverse osmosis para la producción de WFI, la guideline de la EMA exige notificación previa a la autoridad GMP de supervisión antes de la introducción. Debe entrar en la planificación desde el principio, porque condiciona el cronograma.

Un enfoque basado en ciencia y riesgo como el descrito por ASTM E2500-25 ayuda a concentrar la verificación en lo que realmente afecta a la calidad del producto, siempre que quede claro que es una norma voluntaria: la obligación GMP sigue siendo el Anexo 15.

Ejemplo aplicado: Planta Delta

Planta Delta es un ejemplo didáctico, no una instalación real: formas estériles y no estériles, un loop de WFI caliente y un loop de PW frío alimentados por un pretratamiento común. El equipo lleva a la revisión tres observaciones. En el loop de PW, dos puntos de uso terminales muestran una mediana microbiana creciente durante varios ciclos de monitorización, siempre por debajo del action level, con aislados recurrentes del mismo tipo, y reciben ciclos de sanitización adicionales no programados. En el pretratamiento, la relación correctivo/preventivo ha crecido y dos componentes han sido declarados fin de soporte, con repuestos disponibles solo en el mercado secundario. Por último, tras el arranque de una nueva línea de lavado, el depósito de PW ya no se repone por completo entre dos tomas de pico y la ventana para la sanitización térmica se ha reducido a los fines de semana.

Por separado, ninguna de las tres es una no conformidad. Leídas juntas describen un sistema que ha agotado su margen: la capacidad insuficiente reduce el tiempo de sanitización, la menor sanitización favorece la colonización de la zona terminal, el mantenimiento reactivo aumenta las intervenciones invasivas. La revisión no cierra con «sistema conforme», sino con una evaluación de riesgo, una recomendación de retrofit en dos fases — primero capacidad y ventana de sanitización, después rehacer la rama terminal eliminando dos tramos poco drenables a causa de modificaciones anteriores — y una fecha de revisión adelantada. Todo bajo change control, con impacto sobre la cualificación evaluado atributo por atributo y una recualificación que, para la rama rehecha, prevé monitorización intensificada antes de recalcular los alert levels.

Matriz de decisión para la opción de intervención

Las opciones son casi siempre más de dos. La matriz hace explícito el razonamiento, no produce un número. Los pesos los asigna el sitio en función de su propio contexto: se dejan deliberadamente vacíos.

Checklist de la revisión periódica

• Alcance, periodo cubierto y frecuencia declarados, con el razonamiento de evaluación de riesgos que los justifica.
• Comparación entre sanitizaciones programadas, ejecutadas y correctoras, con perfiles de recuperación.
• Desviaciones, OOS/OOT, investigaciones cerradas sin root cause, eficacia verificada de las CAPA.
• Estado del mantenimiento preventivo y correctivo, componentes críticos y su estado de ciclo de vida.
• Resultado de la evaluación periódica del sistema informatizado y estadística de alarmas.
• Comparación documentada entre capacidad instalada y demanda real, incluidas las ventanas de sanitización disponibles.
• Revisión de los alert levels con razonamiento, conjunto de datos y aprobación, o confirmación explícita de que se mantienen.
• Juicio explícito sobre el estado de control, acciones con responsable y fecha, y fecha de la próxima revisión.

Errores frecuentes y señales de alarma

• La revisión como colección de anexos: cien páginas de gráficos sin una conclusión firmada sobre el estado de control no demuestran nada.
• Límites revisados al alza como respuesta a un empeoramiento, con justificación estadística construida a posteriori: la señal de alarma más grave, explícitamente calificada de mala práctica en el Q&A de la EMA.
• Revisión del sistema de agua y evaluación periódica del Anexo 11 realizadas por separado, con conclusiones que nunca se cruzan.
• Ausencia de la sección de capacidad: sin contraste entre demanda real y base de dimensionamiento, la revisión no capta el disparador de retrofit más común.
• Retrofit gestionado como mantenimiento, sin change control, sin evaluación de impacto sobre la cualificación y sin recualificación proporcionada.
• Rearranque tras la intervención sin restitución documentada de limpieza y pasivación de las superficies trabajadas.
• Frecuencia de revisión periódica citada como requisito normativo general: no existe, debe definirla y justificarla el sitio.

Si trabajas en estos temas, puedes recibir análisis prácticos de GMP engineering suscribiéndote a The Pragmatic GMP.

Puntos clave

• La guideline EMA/CHMP/CVMP/QWP/496873/2018 no contiene cláusula de revisión periódica ni de revalidación: la obligación nace del Anexo 1 (6.13, 6.14), del Anexo 15 para change control y recualificación, del Anexo 11 de enero de 2011 para los sistemas informatizados y de ICH Q10 para la mejora continua.
• La única cadencia citable es la evaluación al menos anual de la eficacia de la monitorización del Q&A EMA/INS/GMP/443117/2017, en el ámbito de la producción de WFI por métodos distintos de la destilación. Cualquier otra frecuencia debe definirse sobre base de riesgo y justificarse.
• El caso más frecuente es el sistema aún conforme que ha perdido margen: se reconoce por la distribución de los datos, por la relación entre sanitizaciones correctoras y programadas y por el perfil de recuperación, no por el recuento de superaciones.
• Subir los límites en respuesta a una tendencia que empeora no es buena práctica y puede enmascarar un sistema que está fallando.
• Los disparadores de retrofit no son umbrales numéricos: son preguntas con la evidencia asociada y una decisión predefinida para la respuesta negativa.
• El retrofit exige change control, impacto sobre la cualificación evaluado atributo por atributo, recualificación proporcionada al riesgo y, si introduce la reverse osmosis para WFI, notificación previa a la autoridad GMP de supervisión.

Referencias

• EMA, Guideline on the quality of water for pharmaceutical use, EMA/CHMP/CVMP/QWP/496873/2018, en vigor desde el 1 de febrero de 2021 — ema.europa.eu; EMA, Q&A Production of WFI by non-distillation methods, EMA/INS/GMP/443117/2017, en vigor desde el 1 de agosto de 2017.
• EudraLex Volumen 4: Anexo 1, en vigor desde el 25 de agosto de 2023; Anexo 15, revisión de 2015 en vigor desde el 1 de octubre de 2015; Anexo 11, versión de enero de 2011 aplicable desde el 30 de junio de 2011 — health.ec.europa.eu
• PIC/S PI 009-4, aide-memoire Inspection of Utilities, en vigor desde el 1 de enero de 2021 — picscheme.org; OMS TRS 1033 Anexo 3 (2021) — who.int
• ICH Q9(R1) (Step 4, 18 de enero de 2023) e ICH Q10 (Step 4, 4 de junio de 2008) — ich.org
• Ph. Eur., monografías 0169 y 0008, capítulos 2.2.38 y 2.2.44. ASTM E2500-25, A380/A380M-25, A967/A967M-25. ISO 22519:2023 — iso.org; ISO/DIS 25413 (en desarrollo). FDA, Guide to Inspections of High Purity Water Systems (1993), no vinculante — fda.gov