GAMP 5 simplificado: Un enfoque práctico y basado en el riesgo para sistemas informatizados

En las industrias farmacéutica, biotecnológica y de dispositivos médicos, el término “GAMP 5” aparece con frecuencia durante las discusiones sobre cumplimiento y sistemas informatizados. ¿Pero qué significa realmente? ¿Por qué es importante? ¿Y cómo puede aplicarse en las operaciones diarias? Esta guía desglosa todo de forma clara y directa: ¡sin jerga y sin complejidad innecesaria!

¿Qué es GAMP 5?

GAMP 5 significa Good Automated Manufacturing Practices, Issue 5. Es una guía publicada por la ISPE, la International Society For Pharmaceutical Engineering, y está específicamente diseñada para ayudar a las industrias reguladas a gestionar correctamente los sistemas informatizados.

Aquí hay un punto crucial desde el principio: GAMP 5 no es una ley. No conlleva obligación legal. Pero no dejes que eso te haga subestimarlo. Está referenciado y respetado por organismos reguladores de todo el mundo, incluido el US FDA, lo que lo convierte en lo más cercano que tiene la industria a un estándar universal para el cumplimiento de sistemas informatizados. Piénsalo como un manual de jugadas muy confiable más que como un reglamento.

GAMP 5 se aplica a sistemas informatizados utilizados en entornos regulados y está destinado a ser usado por empresas reguladas, autoridades regulatorias, proveedores y otras partes interesadas. Su propósito principal es proporcionar un enfoque basado en el riesgo para asegurar que estos sistemas estén validados y funcionen según lo previsto.

¿Por qué importa realmente?

GAMP 5 está diseñado para funcionar junto a otras guías, normas y regulaciones GxP de la industria, tales como Buenas prácticas de fabricación (GMP), Buenas prácticas clínicas (GCP), Buenas prácticas de laboratorio (GLP), Buenas prácticas de distribución (GDP), Buenas prácticas de farmacovigilancia (GVP), regulaciones de dispositivos médicos, 21 CFR Part 11 (normas para registros electrónicos y firmas electrónicas), EU GMP Annex 11 y varias normas ISO.

Es un marco comúnmente aceptado para el diseño, desarrollo y mantenimiento de sistemas informatizados dentro de entornos regulados por GxP. La importancia de GAMP 5 en entornos GxP puede entenderse a través de cinco resultados principales:

1. Proteger la seguridad del paciente, la calidad del producto y la integridad de los datos
2. Asegurar que los sistemas sean aptos para su uso previsto y permanezcan conformes
3. Ofrecer un enfoque rentable y práctico
4. Ayudar en la comprensión regulatoria y fomentar prácticas industriales consistentes
5. Permitir la innovación y adaptarse a tecnologías cambiantes

¡Una breve historia de cómo llegamos hasta aquí!

Entender GAMP 5 es más fácil cuando conoces la historia detrás. No apareció de la nada: evolucionó durante décadas en respuesta a desafíos reales de la industria.

GAMP se fundó en 1991 en el Reino Unido, creado específicamente para abordar las crecientes expectativas del US FDA en torno a la gestión y el control de sistemas automatizados necesarios para el cumplimiento de GMP. 

Unos años después, en 1994, un grupo de expertos farmacéuticos del Reino Unido redactó y compartió la primera guía GAMP dentro de los círculos de la industria. Para 1995, la primera versión formal se publicó oficialmente bajo los auspicios de ISPE —marcando el inicio de una asociación duradera entre GAMP e ISPE.

Se sucedieron múltiples revisiones a lo largo de los años. Las más notables fueron GAMP 4 en 2001 y luego GAMP 5 en 2008, que se basó conceptualmente en una estrategia de gestión de riesgos fundamentada en la ciencia en consonancia con las regulaciones GxP del siglo XXI y las guías ICH Q8, Q9 y Q10. 

También fue diseñada para ser compatible con los estándares IEEE, ISO 9000, ISO 12207 y la Biblioteca de Infraestructura de Tecnologías de la Información (ITIL). En 2017, el liderazgo de la comunidad de práctica de GAMP inició una revisión formal para determinar si la guía seguía cumpliendo sus objetivos y dónde eran más necesarias las actualizaciones. 

Ese proceso culminó en la segunda edición, publicada en 2022, la actualización más significativa en 14 años. Esta edición alineó la guía con la nueva orientación Computer Software Assurance de la FDA (septiembre de 2022) y con ISO 14971 para dispositivos médicos.

¿Qué cambió en la segunda edición de 2022?

La versión original de 2008 se centraba en gran medida en el cumplimiento —marcar casillas, seguir procesos, evitar observaciones de inspección. La edición de 2022 cambia ese enfoque fundamentalmente. La seguridad del paciente, la calidad del producto y la integridad de los datos ahora ocupan el primer lugar por encima de la documentación y las formalidades de cumplimiento.

Prácticamente, la segunda edición introdujo orientación actualizada sobre ciberseguridad, integridad de los datos y computación en la nube. También incorporó soporte para metodologías de desarrollo ágiles y enfoques de validación basados en el riesgo que están más en sintonía con la forma en que el software se construye y mantiene hoy en día.

Para abordar estas áreas, se añadieron varios apéndices nuevos en la segunda edición, cubriendo temas como:

• Gestión de la infraestructura de TI
• Pensamiento crítico en la validación
• Especificación de requisitos de forma eficaz
• Desarrollo de software ágil
• Herramientas de software
• Sistemas de libro mayor distribuido (Blockchain)
• Inteligencia Artificial (AI) y Machine Learning (ML)

El modelo-V — ¿y por qué el ágil cambió las reglas del juego?

Durante muchos años, el enfoque de GAMP 5 para la validación se ilustró usando el modelo-V. La idea es sencilla: las especificaciones del sistema creadas durante el desarrollo se emparejan con las pruebas correspondientes durante la verificación. El lado izquierdo de la V representa lo que diseñas; el lado derecho representa cómo lo pruebas.

Por ejemplo, un producto configurable se probaría para verificar sus requisitos, funcionalidad y especificaciones de configuración. El software comercial listo para usar (COTS), en cambio, podría no necesitar especificaciones funcionales y de configuración en absoluto, por lo que el alcance de las pruebas sería menor.

El modelo-V funciona bien en entornos de desarrollo estructurados y lineales. Pero no siempre es práctico. Los enfoques tradicionales "lineales" como el modelo-V o el método en cascada tienen dificultades en entornos de desarrollo ágiles, donde el software se construye de forma iterativa y se actualiza continuamente. 

Esto es especialmente cierto para sistemas modernos como plataformas SaaS, modelos de AI y herramientas de Machine Learning, que requieren implementaciones rápidas y ciclos de mejora constantes.

Exactamente por eso la segunda edición de 2022 de GAMP 5 introdujo formalmente el apoyo al modelo ágil. Esto da a los equipos la flexibilidad que necesitan para evaluar el cumplimiento GxP en entornos donde el desarrollo es rápido y adaptativo —sin sacrificar el rigor que exigen las industrias reguladas.

GAMP 5 y la validación de sistemas informáticos (CSV)

La validación de sistemas informáticos, comúnmente llamada CSV, es el proceso documentado de demostrar que un sistema informatizado funciona de forma consistente según lo previsto y cumple los requisitos GxP aplicables. En empresas farmacéuticas, biotecnológicas y de dispositivos médicos, la CSV no es opcional. Es una expectativa fundamental de reguladores como la FDA y la EMA.

GAMP 5 no reemplaza los requisitos regulatorios para la CSV. En su lugar, proporciona un marco práctico y basado en el riesgo para llevar a cabo la CSV de manera estructurada y eficiente. Se reconoce ampliamente como el enfoque estándar de la industria para hacerlo bien.

Bajo GAMP 5, la validación de sistemas informáticos normalmente incluye:

• Definir el uso previsto y los requisitos mediante especificaciones de requisitos del usuario (URS) y especificaciones funcionales
• Realizar evaluaciones de riesgo para determinar el nivel apropiado de esfuerzo de validación
• Evaluar a los proveedores y aprovechar su documentación cuando sea apropiado hacerlo
• Realizar actividades de verificación y pruebas calibradas según la categoría y el nivel de riesgo del sistema
• Mantener el estado validado mediante control de cambios y revisiones periódicas

Una de las mayores ventajas prácticas de aplicar GAMP 5 a la CSV es la escalabilidad. Un sistema configurable y listo para usar no necesita la misma profundidad de documentación y pruebas que una aplicación totalmente personalizada. Al mantener el foco en la funcionalidad crítica y la integridad de los datos, GAMP 5 ayuda a las organizaciones a evitar la sobrevalidación mientras permanecen cumplidoras y listas para auditorías.

Los 5 principios clave de GAMP 5

GAMP 5 se construye sobre cinco principios rectores. No son ideas abstractas: ¡moldean cómo se realiza el trabajo de validación día a día!

Principio 1 — Conocimiento del producto y del proceso

GAMP 5 fomenta el pensamiento crítico al aplicar pruebas y validación basadas en el riesgo. En lugar de aplicar el mismo nivel de escrutinio a todo de forma uniforme, se anima a los equipos a apoyarse en su conocimiento del producto y sus procesos para centrar la atención donde realmente importa: en los aspectos que afectan genuinamente la seguridad del paciente, la calidad del producto y la integridad de los datos.

Principio 2 — Ciclo de vida de la validación

GAMP 5 describe un ciclo de vida de cuatro etapas que todos los sistemas informatizados deben seguir. Según la guía, todas las etapas del ciclo de vida deben definirse dentro del Sistema de Gestión de la Calidad (QMS) de la empresa:

Concepto: En esta etapa, que se sitúa fuera del alcance del proveedor, los fabricantes identifican oportunidades de automatización, enumeran los requisitos iniciales y comienzan a buscar proveedores adecuados.

Proyecto: Una vez identificado un proveedor, el sistema se diseña, desarrolla, despliega y evalúa para el cumplimiento GxP cumplimiento. La edición de 2022 ahora admite enfoques de desarrollo ágil aquí, haciendo que esta etapa sea más flexible que en la versión de 2008.

Operaciones: Esta suele ser la fase más larga. El sistema se utiliza en las operaciones diarias y el foco está en mantenerlo en un estado validado mediante un sólido control de cambios y procesos de recuperación ante desastres.

Retiro: Cuando el sistema necesita ser reemplazado, se retira, desmantela o migra. Aunque GAMP no la define formalmente como una etapa propia, los arreglos necesarios como la gestión de datos y la planificación de migración se describen durante la etapa de operaciones.

Principio 3 — Escalabilidad

GAMP 5 fomenta enfoques escalables para la validación. No existe un único modelo que encaje en todas las situaciones. Dependiendo del alcance y la complejidad del sistema, un Waterfall, V-model, Agile o incluso una variante reducida o ampliada de estos enfoques puede ser apropiada. La inclusión del modelo ágil en la segunda edición apoya directamente este principio.

Principio 4 — Gestión de riesgos de calidad

La seguridad del paciente, la calidad del producto y la integridad de los datos deben guiar todas las decisiones de validación. Esto significa priorizar las pruebas según el riesgo asociado con los atributos del sistema, dedicando más tiempo y esfuerzo a las áreas críticas y menos a las no críticas.

La edición de 2022 adopta una postura práctica aquí. Admite informes basados en excepciones, donde un simple "Pass" es suficiente cuando un sistema funciona según lo previsto. No necesita capturas de pantalla para cada paso de la prueba. 

Solo las pruebas de alto riesgo o críticas pueden requerir evidencia adicional. La guía también reconoce que los errores menores de documentación tienen poco valor y bajo riesgo, por lo que la atención debe centrarse en los problemas que afectan realmente al rendimiento del sistema y al cumplimiento.

Principio 5: Aprovechar la actividad del proveedor

GAMP 5 anima a las empresas a hacer pleno uso de la pericia del proveedor durante la etapa de proyecto del ciclo de vida de un sistema. Los paquetes de validación proporcionados por el proveedor pueden ayudar a cumplir los requisitos de verificación GxP, reducir la duplicación de esfuerzos y servir como una capa adicional de garantía. El objetivo es una adopción más rápida y efectiva, sin empezar desde cero cada vez.

Categorías de software de GAMP 5

GAMP 5 clasifica el software en categorías según el impacto y riesgo GxP. Cabe señalar que la Categoría 2, que estaba asociada al firmware en GAMP 4, fue eliminada en GAMP 5. El riesgo aumenta al pasar de la Categoría 1 a la Categoría 5, y también lo hace la profundidad de validación requerida. Así es como se desglosan las categorías:

Categoría 1 — Software de infraestructura (sistemas operativos, bases de datos, middleware, etc.): Este tipo de software no está sujeto a una verificación funcional específica por sí mismo. Sus características se prueban de forma indirecta cuando se valida la aplicación que se ejecuta sobre él. Lo que se requiere aquí es simplemente documentar y verificar la identidad y los números de versión durante la instalación.

Categoría 3 — Software no configurable: Este software se utiliza tal cual, sin ninguna configuración. La validación implica verificar la instalación, realizar pruebas de aceptación y confirmar que el software es apto para su uso previsto, todo ello respaldado por una evaluación de riesgos y una evaluación del proveedor.

Categoría 4 — Software configurable: Es software que puede configurarse pero no alterarse fundamentalmente. La validación abarca la instalación y configuración correctas, pruebas funcionales basadas en el análisis de riesgos y la evaluación del proveedor, y pruebas de aceptación frente a los requisitos declarados.

Categoría 5 — Software personalizable: Esta es la categoría de mayor riesgo, que abarca aplicaciones a medida o fuertemente personalizadas. La validación aquí es más rigurosa e incluye la instalación correcta, especificaciones funcionales y de diseño, pruebas funcionales basadas en riesgos, evaluación del proveedor y pruebas de aceptación completas frente a los requisitos.

Cuanto mayor es la categoría, más trabajo se necesita en las etapas de especificación y validación del ciclo de vida del proyecto. Este enfoque por niveles permite a los fabricantes tomar decisiones racionales y proporcionadas sobre cuánto esfuerzo de validación invertir en cada sistema.

Errores comunes que conducen a una mala implementación de GAMP

Los expertos de la industria han identificado los errores más comunes y costosos que cometen las empresas al implementar GAMP. Vale la pena conocerlos bien y evitarlos a toda costa:

• No documentar requisitos en absoluto

• No registrar la versión del software que se está utilizando

• No archivar todas las versiones de las especificaciones de diseño

• Falta de registros de entradas y salidas de las pruebas

• Falta de trazabilidad hacia adelante y hacia atrás — en otras palabras, ausencia de una matriz de trazabilidad

• No realizar seguimiento de defectos durante el proceso de pruebas

• No Aseguramiento de la Calidad Unidad para verificar de forma independiente la fiabilidad del software

• No volver a evaluar o volver a probar cuando se añade o cambia hardware

• Falta de calificación del hardware, incluyendo software relacionado con la infraestructura y las aplicaciones

• Controles de seguridad inadecuados

Una lección del mundo real: ¿Por qué es mejor un SOP que dos?

Los practicantes experimentados de GAMP a menudo hacen una recomendación que parece pequeña pero es críticamente importante: utilizar el mismo Procedimiento Operativo Estándar (SOP) tanto para sistemas GxP como no GxP. Parece algo menor, pero las consecuencias de ignorarlo pueden ser graves.

La validación es esencialmente "buena ingeniería de software con documentación en esteroides." El propósito es ralentizar deliberadamente las cosas porque estos sistemas pueden ser responsables de funciones críticas como mantener el corazón de alguien latiendo o ayudar a un recién nacido a respirar.

La razón para un SOP unificado es simple: cuando se tienen diferentes SOP para sistemas GxP y no GxP, la gente puede y de hecho aplica el incorrecto por error. Un ejemplo real ilustra esto a la perfección. Una gran empresa tenía 150 instrumentos HPLC y 150 sistemas Agilent.

Durante una actualización de TI, el equipo aplicó un parche pero por error siguió el SOP no GxP. Como resultado, la mitad de los sistemas se bloquearon. La organización tuvo entonces que iniciar CAPAs, implementar controles de cambio y pasar por múltiples rondas de pruebas y retests para restaurar el cumplimiento y la funcionalidad. Todo ello podría haberse evitado con un único SOP unificado.

Reflexiones finales

GAMP 5 puede que no sea legalmente vinculante, pero en industrias reguladas funciona como la norma de facto para la validación de sistemas informatizados. Sus recomendaciones están estrechamente alineadas con los requisitos GxP establecidos por las agencias reguladoras de la UE y EE. UU., lo que lo convierte en el marco más completo y de mayor confianza disponible.

Cuando se aplica correctamente, GAMP 5 ayuda a los fabricantes a trabajar de manera más eficiente con sus proveedores, reduce la carga de pruebas y documentación, recorta los costes de validación y mantenimiento del cumplimiento, y deja a las empresas bien preparadas para auditorías e inspecciones gubernamentales.

Y con la segunda edición de 2022 abordando ya realidades modernas como la computación en la nube, IA, blockchain y desarrollo ágil, GAMP 5 sigue el ritmo de cómo se construye y utiliza el software hoy en día — lo que lo mantiene tan relevante como siempre.

Preguntas frecuentes

1. ¿Qué es GAMP 5 y por qué es importante en industrias reguladas?

GAMP 5, o Good Automated Manufacturing Practice (GAMP 5), es una guía ampliamente aceptada que ayuda a las organizaciones a gestionar y validar sistemas informatizados en entornos regulados. Proporciona un enfoque estructurado y basado en riesgos para garantizar que los sistemas sean aptos para su uso previsto. Aunque no es un requisito legal, está fuertemente reconocido por reguladores como la U.S. Food and Drug Administration. Esto lo convierte en un marco de confianza para mantener el cumplimiento, la integridad de los datos y la calidad del producto. Su importancia radica en ayudar a las empresas a equilibrar el cumplimiento con la eficiencia y la implementación práctica.

2. ¿Cómo apoya GAMP 5 la validación de sistemas informáticos (CSV)?

GAMP 5 respalda la Validación de Sistemas Informáticos ofreciendo un marco claro y escalable para validar sistemas según su riesgo y complejidad. Ayuda a las organizaciones a definir requisitos, realizar evaluaciones de riesgo y llevar a cabo las actividades de prueba apropiadas. En lugar de aplicar el mismo nivel de validación a cada sistema, fomenta centrar los esfuerzos en las funciones críticas que afectan a la calidad y la seguridad. Este enfoque reduce el trabajo innecesario conservando al mismo tiempo el cumplimiento normativo. Como resultado, las empresas pueden realizar la validación de forma más eficiente sin comprometer las expectativas regulatorias.

3. ¿Cuáles son los principios clave de GAMP 5 que las organizaciones deben seguir?

GAMP 5 se basa en cinco principios clave que guían cómo debe enfocarse la validación y la gestión de sistemas. Estos incluyen comprensión del producto y del proceso, gestión del ciclo de vida, escalabilidad, gestión de riesgos de calidad y aprovechamiento de las actividades del proveedor. En conjunto, estos principios aseguran que los esfuerzos de validación sean prácticos, enfocados y estén alineados con las necesidades reales del negocio. También fomentan el pensamiento crítico en lugar de seguir ciegamente procesos cargados de documentación. Al aplicar estos principios, las organizaciones pueden construir sistemas informatizados más sólidos, fiables y conformes.