Validation Master Plan: qué es, qué debe contener y cómo hacerlo audit-proof

Si trabajas en QA o Validation, lo sabes bien: el Validation Master Plan (VMP) no es un PDF para “aprobar y archivar”.

Durante una auditoría, suele ser uno de los primeros documentos solicitados. En la práctica, es la prueba de fuego del estado de control del site.

Un VMP actualizado y coherente demuestra gobernanza. Un VMP antiguo, genérico o desconectado de la realidad, en cambio, abre la puerta a preguntas incómodas.

El punto es simple:

El VMP no es un archivo de protocolos. Es el volante de la validación.

Índice

• Qué es realmente un Validation Master Plan
• Por qué EU GMP Annex 15 hace que el VMP sea esencial
• Estructura ideal de un VMP que resiste durante una inspección
• La sección más inspeccionada: Scope in/out
• El anexo que lo cambia todo: Validation Master List
• Frecuencia de actualización: cómo evitar el VMP “de cajón”
• Errores típicos que te hacen perder puntos en auditoría
• Checklist final antes de emitir o revisar el VMP
• FAQ sobre el Validation Master Plan
• ¿Quieres una guía completa para construir un VMP audit-proof?

1. Qué es realmente un Validation Master Plan

El Validation Master Plan es un documento de alto nivel que define la estrategia global de cualificación y validación del site.

No debe limitarse a enumerar protocolos, informes o actividades ya completadas. Debe explicar cómo la empresa gobierna la validación y mantiene el estado validado a lo largo del tiempo.

Un VMP eficaz debe:

• definir la policy y la estrategia de cualificación/validación del site;
• aclarar roles y responsabilidades;
• listar assets, procesos y sistemas GxP;
• indicar el validation status correspondiente;
• describir cómo la empresa obtiene, mantiene y demuestra el estado validado durante todo el lifecycle.

En la práctica, el VMP es la policy de validación aplicada al site, no un simple contenedor documental.

1.1 Qué demuestra un buen VMP

Un VMP bien construido demuestra que la empresa sabe:

• qué debe ser validado;
• por qué debe ser validado;
• con qué enfoque;
• con qué responsabilidades;
• con qué evidencias;
• con qué mecanismo de mantenimiento en el tiempo.

Eso es lo que realmente interesa durante una auditoría.

2. Por qué EU GMP Annex 15 hace que el VMP sea esencial

EU GMP Annex 15 exige que los elementos clave del programa de cualificación y validación estén definidos y documentados en un VMP o en un documento equivalente.

Esto convierte el VMP en una herramienta esencial para demostrar que la validación no se gestiona de forma episódica, sino como parte del Pharmaceutical Quality System.

2.1 Qué debe incluir o referenciar un VMP

Un Validation Master Plan debe incluir o referenciar al menos:

• policy de cualificación y validación;
• estructura organizativa y responsabilidades;
• resumen de facilities, equipment, sistemas y procesos;
• estado de cualificación o validación;
• change control;
• deviation management;
• criterios de aceptación;
• referencias a documentos existentes;
• estrategia de cualificación, recualificación, validación y revalidation, cuando aplique.

2.2 El papel del Quality Risk Management

Un VMP moderno debe construirse con una lógica risk-based.

Esto significa que el Quality Risk Management debe ayudar a definir:

• scope de las actividades;
• profundidad de la cualificación;
• extensión de la validación;
• prioridades;
• frecuencia de las reviews;
• criterios de recualificación o revalidation.

No todo requiere el mismo nivel de effort. Pero cada elección debe ser racional, documentada y defendible.

3. Estructura ideal de un VMP que resiste durante una inspección

Una estructura eficaz debe ser legible para el inspector, gestionable internamente y capaz de conectar policy, scope, estrategia y evidencias.

A continuación, un template práctico de índice.

3.1 Objetivo y campo de aplicación

Describe el perímetro del VMP y aclara qué áreas, procesos, sistemas, utilities, equipment y actividades están incluidos.

También debe aclarar posibles exclusiones, siempre con racional.

3.2 Referencias y definiciones

Incluye referencias regulatorias, guidelines y procedimientos internos.

Ejemplos:

• EU GMP Annex 15;
• EU GMP Annex 11;
• ICH Q9;
• ICH Q10;
• SOP internas;
• procedimientos de change control;
• procedimientos de deviation management;
• procedimientos de cualificación y validación.

3.3 Visión general del site y de los flujos GMP

Describe el site de forma sintética pero útil, incluyendo:

• áreas productivas;
• departamentos;
• principales flujos GMP;
• productos o formas farmacéuticas, cuando sea oportuno;
• utilities críticas;
• sistemas de soporte a producción y control de calidad.

3.4 Gobernanza y responsabilidades

Esta sección debe aclarar quién hace qué.

Puede incluir:

• organigrama;
• RACI matrix;
• responsabilidades QA;
• responsabilidades Validation;
• responsabilidades Engineering;
• responsabilidades Production;
• responsabilidades QC;
• responsabilidades IT para sistemas computerizados;
• mecanismos de aprobación.

Un punto clave es mostrar el papel de oversight de la Quality Unit.

3.5 Enfoque de validación del site

Describe los principios generales del programa de validación:

• enfoque risk-based;
• lifecycle validation;
• definición de criticidad;
• conexión con URS, DQ, IQ, OQ, PQ;
• gestión de evidencias;
• criterios de aceptación;
• gestión de desviaciones;
• mantenimiento del estado validado.

3.6 Estrategia por categorías

El VMP debe explicar cómo se gestiona la validación para las principales categorías.

3.6.1 Equipment e instalaciones

Describir la estrategia para:

• DQ;
• IQ;
• OQ;
• PQ;
• commissioning, si aplica;
• FAT/SAT;
• criticality assessment;
• recualificación periódica.

3.6.2 Process Validation

Describir el lifecycle de process validation, incluyendo:

• process design;
• PPQ;
• Continued Process Verification;
• criterios de aceptación;
• gestión de cambios;
• revalidation, si aplica.

3.6.3 Cleaning Validation

Describir la estrategia para:

• cleaning validation;
• cleaning verification;
• worst-case selection;
• límites de aceptación;
• dirty hold time;
• clean hold time;
• periodic review.

3.6.4 Utilities y Facility

Incluir utilities y facilities críticas, como:

• HVAC;
• PW;
• WFI;
• gases técnicos;
• aire comprimido;
• cleanrooms;
• cold rooms;
• sistemas de environmental monitoring.

3.6.5 Sistemas computerizados

Describir la estrategia CSV/CSA para sistemas computerizados, incluyendo:

• clasificación GxP;
• data integrity;
• Annex 11;
• 21 CFR Part 11, si aplica;
• risk assessment;
• testing;
• periodic review;
• access management;
• backup y disaster recovery.

3.6.6 Métodos analíticos

Si están incluidos en el scope del VMP, describir el enfoque para:

• validación de métodos analíticos;
• method transfer;
• verificación de métodos compendiales;
• lifecycle de los métodos;
• change control.

3.7 Gestión de desviaciones, change control y CAPA

El VMP debe explicar cómo las desviaciones, el change control y las CAPA se conectan con la validación.

En particular, debe aclarar cómo se gestiona el validation impact assessment.

Ejemplos de preguntas que debe cubrir:

• ¿Una desviación puede impactar el estado validado?
• ¿Un cambio requiere nueva cualificación o revalidation?
• ¿Una CAPA modifica un proceso, sistema o control validado?
• ¿Quién decide el impacto sobre la validación?
• ¿Dónde se documenta la decisión?

3.8 Mantenimiento del estado validado

Esta es una de las secciones más importantes.

Debe describir cómo la empresa mantiene el estado validado mediante:

• reviews periódicas;
• recualificación;
• revalidation;
• Continued Process Verification;
• trends;
• change control;
• deviation management;
• CAPA;
• maintenance;
• calibration;
• auditorías internas;
• supplier management.

3.9 Documentación vinculada

El VMP debe referenciar documentos clave, por ejemplo:

• SOP;
• protocolos;
• informes;
• Validation Master List;
• trackers;
• risk assessments;
• change controls;
• deviation records;
• qualification package;
• validation package.

3.10 Anexos

Los anexos hacen que el VMP sea realmente operativo.

Ejemplos:

• Validation Master List;
• Validation Matrix;
• risk matrix;
• lista de sistemas;
• lista de equipment;
• lista de utilities;
• lista de sistemas computerizados;
• RACI matrix;
• status tracker;
• planes de requalification.

4. La sección más inspeccionada: Scope in/out

El scope es el punto donde se ve si la empresa realmente gobierna la validación o simplemente la sufre.

Una regla práctica es esta:

Si algo puede impactar la calidad del producto, la seguridad del paciente o la integridad de los datos GMP, debe estar incluido en el scope o excluido con un racional documentado.

4.1 Qué debe aclarar el scope

El scope debe indicar:

• qué está incluido;
• qué está excluido;
• por qué está incluido;
• por qué está excluido;
• qué límites físicos, funcionales o documentales se han definido;
• qué evidencias respaldan la decisión.

4.2 Mini-template: tabla In scope / Out of scope

Categoría	Ejemplos	¿In scope?	Racional	Evidencia / Link
Utilities críticas	PW, WFI, HVAC estéril	Sí	Impacto directo sobre calidad del producto y entorno GMP	Protocolo UTL-xxx
IT GxP	LIMS, MES, SCADA críticos	Sí	Gestión de datos GMP y funciones críticas	CSV Plan, Risk Assessment
IT no-GMP	Email, HR	No	Ningún dato GMP o función GMP crítica	Exclusión justificada
Área de desarrollo	Laboratorio R&D no-GMP	No*	Fuera del scope GMP comercial	Boundary assessment

*Atención: “R&D” no es una fórmula mágica. Deben definirse límites físicos, documentales y funcionales.

5. El anexo que lo cambia todo: Validation Master List

Muchos VMP fallan porque “cuentan”, pero no permiten navegar.

El anexo más potente es una Validation Master List o Validation Matrix, que lista todos los assets y su estado de validación correspondiente.

5.1 Por qué es tan importante

Una Validation Master List permite entender rápidamente:

• qué assets están validados;
• cuáles están en fase de cualificación;
• cuáles deben cualificarse;
• cuáles están decommissioned;
• qué informes están disponibles;
• cuándo está prevista la próxima review;
• qué change controls han tenido impacto.

Durante una auditoría, esta matriz permite pasar del principio general a la evidencia concreta.

5.2 Campos mínimos recomendados

Una buena master list debería incluir:

• ID del asset o sistema;
• nombre del asset o sistema;
• system owner;
• categoría: equipment, utility, proceso, IT, método analítico;
• impacto: direct, indirect, no GMP;
• criticidad;
• estado: validated, pending, decommissioned;
• último protocolo;
• último informe;
• fecha del último informe;
• próxima review o recualificación, si aplica;
• último change control impactante;
• notas o acciones abiertas.

6. Frecuencia de actualización: cómo evitar el VMP “de cajón”

Un VMP creíble debe ser un documento vivo.

No puede aprobarse una vez y olvidarse hasta la siguiente auditoría.

6.1 Cuándo actualizar el VMP

El VMP debería ser:

• revisado periódicamente, a menudo con frecuencia anual;
• actualizado en caso de cambios críticos;
• realineado cuando cambian procesos, sistemas, líneas o productos;
• verificado respecto a la master list;
• controlado respecto a change control, desviaciones y CAPA.

6.2 Cambios que pueden requerir actualización

Ejemplos típicos:

• nuevas líneas productivas;
• nuevos productos;
• nuevas utilities;
• upgrades IT significativos;
• nuevos sistemas computerizados GxP;
• desmantelamiento de equipment;
• modificación de procesos críticos;
• cambios relevantes de layout;
• introducción de nuevas tecnologías;
• nuevos requisitos regulatorios;
• variaciones importantes en la estrategia de validación.

Durante una auditoría, la fecha de revisión y la coherencia con la realidad del site pesan muchísimo.

7. Errores típicos que te hacen perder puntos en auditoría

Aunque “hayas validado todo”, un VMP débil puede hacerte perder credibilidad.

7.1 VMP obsoleto respecto a la realidad del site

Si el VMP no refleja instalaciones, sistemas, procesos o productos reales, el inspector percibe inmediatamente una falta de control.

7.2 Scope incompleto o exclusiones sin racional

Una exclusión no justificada puede parecer un intento de evitar actividades de cualificación o validación.

7.3 Contradicciones con SOP, change control, calibraciones o mantenimientos

El VMP debe ser coherente con el resto del PQS.

Si dice una cosa y las SOP operativas dicen otra, el problema se vuelve sistémico.

7.4 Documento demasiado teórico y no site-specific

Un VMP copy-paste, lleno de frases genéricas, no demuestra gobernanza.

Debe hablar del site real, de los sistemas reales, de las responsabilidades reales y de las evidencias reales.

7.5 Quality Risk Management declarado pero no aplicado

Escribir “risk-based approach” no basta.

Debes mostrar dónde y cómo se aplica el Quality Risk Management para definir scope, prioridades, extensión de las actividades y mantenimiento del estado validado.

8. Checklist final antes de emitir o revisar el VMP

Antes de emitir o revisar el Validation Master Plan, verifica estos puntos.

8.1 Coherencia con el site

• ¿El VMP refleja la asset list real del site?
• ¿Están incluidos facility, utilities, equipment, procesos y sistemas GxP?
• ¿Los límites del scope están claros?
• ¿Las exclusiones están justificadas?

8.2 Master list y trazabilidad

• ¿La Validation Master List está actualizada?
• ¿Los assets tienen un status claro?
• ¿Los informes son trazables?
• ¿Las fechas de review o recualificación están definidas?
• ¿Los change controls impactantes están vinculados?

8.3 Gobernanza y responsabilidades

• ¿Está claro quién aprueba qué?
• ¿Está claro el rol de la Quality Unit?
• ¿Existe una RACI o una descripción equivalente de las responsabilidades?
• ¿Están claros los flujos de escalado?

8.4 Change control y deviation management

• ¿El change control integra un validation impact assessment?
• ¿Las desviaciones pueden generar una evaluación sobre el impacto del estado validado?
• ¿Las CAPA están conectadas con posibles requalification o revalidation?
• ¿Existe un proceso claro para reevaluar el estado validado?

8.5 Mantenimiento del estado validado

• ¿Está descrita la política de mantenimiento?
• ¿Existen reviews periódicas?
• ¿Está clara la estrategia de recualificación o revalidation?
• ¿Se consideran CPV, trends, maintenance y calibration?
• ¿Las referencias a SOP, protocolos e informes existen realmente y se recuperan rápidamente?

9. FAQ sobre el Validation Master Plan

9.1 ¿El VMP es obligatorio?

En EU GMP, Annex 15 exige un VMP o un documento equivalente que describa los elementos clave del programa de cualificación y validación.

Por tanto, sí: en el contexto GMP europeo, el VMP o documento equivalente es un elemento esperado.

9.2 ¿Cuánto debe durar un VMP?

Lo necesario para gobernar.

Es mejor un VMP claro, site-specific, de 25–60 páginas y conectado a anexos vivos como la Validation Master List, que 150 páginas narrativas, teóricas y no actualizadas.

9.3 ¿Puedo tener un VMP separado para CSV?

Sí, es posible tener un plan separado para CSV o sistemas computerizados.

Sin embargo, el VMP de site debe mostrar integración y referencias cruzadas claras, evitando silos entre IT, Validation y QA.

9.4 ¿Cada equipment debe describirse en el cuerpo del VMP?

No.

El cuerpo del VMP debe describir estrategia, gobernanza y criterios. El detalle operativo de los assets debería estar en anexos controlados, como Validation Master List o Validation Matrix.

9.5 ¿Cada cuánto debe revisarse el VMP?

La frecuencia debe definirse en SOP o en el propio VMP.

Una review anual suele ser una buena práctica, pero el VMP también debe actualizarse en caso de cambios críticos que impacten scope, estrategia o estado validado.

10. ¿Quieres una guía completa para construir un VMP audit-proof?

¿Quieres templates listos, ejemplos audit-proof y una estructura completa para gobernar la validación sin gaps ni over-validation?

Compra la guía completa GuideGxP:

Validation Master Plan (VMP): Govern Validation and Defend It During Audits