ALCOA+ en la práctica: qué exige realmente la integridad de datos a sus sistemas

Todo manual de calidad cita ALCOA+. Muchos menos lo traducen en decisiones sobre cómo se construyen y configuran los sistemas — que es precisamente de donde salen los hallazgos de auditoría. Un inspector no lo sanciona por no recitar la sigla; lo sanciona porque un registro no pudo atribuirse, una marca de tiempo no reflejaba la realidad, o un valor original fue sobrescrito y nadie pudo demostrar lo contrario.

Este es un recorrido por cada principio como requisito de sistema: qué exige, cómo suele fallar en una planta real, y qué debe hacer un sistema para satisfacerlo.

De dónde viene ALCOA+

ALCOA se acuñó en la FDA en los años noventa como recurso mnemotécnico para describir un buen registro. El "+" llegó después, mediante guías del MHRA y del PIC/S, añadiendo cuatro atributos que los cinco originales implicaban pero no declaraban. Hoy el marco sustenta el FDA 21 CFR Parte 11, el Anexo 11 de las GMP europeas y las guías de integridad de datos que publican la mayoría de los reguladores.

Se aplica por igual a registros en papel y electrónicos. Pero el papel falla estas pruebas de formas visibles y lentas, mientras que los sistemas electrónicos fallan de formas invisibles y rápidas — y por eso el diseño del sistema carga con tanto peso.

Los cinco originales

Atribuible — quién hizo esto, y cuándo

Todo registro debe remitir a la persona o al instrumento que lo produjo. El fallo común no es el fraude; es la comodidad. Inicios de sesión compartidos en un terminal de planta, un supervisor registrando lecturas en nombre del operador, una exportación de datalogger sin indicación de quién la generó.

Sistémicamente esto significa cuentas individuales, ninguna credencial compartida, y valores generados por máquina atribuidos al instrumento y no a quien estuviera conectado. Donde una acción humana tiene peso regulatorio, la firma electrónica debe ser distinta del acceso — un PIN de firma, aplicado en el acto, con su significado declarado.

Legible — legible ahora y dentro de diez años

La legibilidad no es solo caligrafía. Para registros electrónicos significa que el dato sigue siendo legible e interpretable durante todo el período de retención, incluidos los metadatos que le dan sentido. Un CSV de marcas de tiempo y números cuyos nombres de tag solo existían en un SCADA dado de baja ha dejado de ser legible en cualquier sentido útil.

Contemporáneo — registrado cuando ocurrió

El registro debe hacerse en el momento de la actividad. Este es el principio que los datos de proceso en papel casi nunca satisfacen: el operador lee un visor a las 14:32, lo anota en un borrador y lo transcribe al registro de lote al final del turno. El valor puede ser correcto; el registro no es contemporáneo, y la marca de tiempo es ficción.

Capturar en origen es la única corrección estructural. Cuando un historiador de proceso registra la lectura conforme el dispositivo la emite, la marca de tiempo es la del evento y no la del tecleo — y el registro de lote puede referenciar ese valor en lugar de una transcripción suya.

Original — la primera captura, preservada

El registro original, o una copia fiel certificada, debe preservarse. En la práctica es aquí donde "nosotros guardamos el informe consolidado" se convierte en hallazgo. Si el evento bruto se descartó, o se corrigió en silencio, o existe solo como agregado, el original se perdió.

El almacenamiento sin sobrescritura del evento entrante responde a esto directamente: el dato bruto se conserva tal como se recibió y la aplicación no lo edita, de modo que cualquier cifra de un informe puede rastrearse hasta lo que el instrumento realmente envió.

Exacto — correcto, y demostrablemente

La exactitud cubre tanto el valor como los metadatos que lo rodean. Los protocolos industriales llevan un código de calidad junto a la lectura por una razón: una temperatura de 4,4 °C de un sensor que reporta mala calidad no es un registro exacto de la cámara fría, es un registro exacto de un problema del sensor. Los sistemas que descartan los códigos de calidad en la ingesta destruyen justamente la evidencia que distingue ambos casos.

El "más": completo, consistente, duradero, disponible

Los cuatro añadidos cierran las brechas que dejan abiertas los cinco originales.

• Completo — incluidos reanálisis, corridas fallidas y lecturas que no pudieron decodificarse. Un sistema que descarta en silencio eventos malformados produce un conjunto de datos ordenado y un registro incompleto. Los eventos fallidos deben permanecer visibles y ser reprocesables una vez corregida la causa.
• Consistente — registros en secuencia, con marcas de tiempo que concuerden entre sistemas. El tiempo sincronizado es un control de integridad de datos, no un capricho de TI; dos sistemas a la deriva vuelven discutible cualquier reconstrucción de los hechos.
• Duradero — durable durante todo el período de retención, en medios y formatos que lo sobrevivan. Una hoja de cálculo en una carpeta compartida no es duradera, diga lo que diga la política de retención.
• Disponible — recuperable para revisión a lo largo de todo ese período. Un dato que existe pero requiere tres semanas y un especialista para extraerse falla en la única prueba que cuenta, que es la inspección.

La pista de auditoría es donde se decide

Buena parte de ALCOA+ se reduce a una pregunta que el inspector puede hacer directamente: ¿puede mostrarme todo lo que le ocurrió a este registro?

Una pista de auditoría que responde a eso registra no solo el cambio, sino quién lo hizo, cuándo, y cuál era el valor anterior. Encadenar las entradas con hash, de modo que cada una referencie a la anterior, añade la propiedad que más importa: la adulteración retroactiva se vuelve detectable, porque alterar una entrada antigua rompe la cadena a partir de ahí. Sin eso, una pista de auditoría afirma la historia en lugar de evidenciarla.

Si la pista de auditoría puede editarse sin dejar rastro, todo lo demás de la lista es cuestión de confianza, no de prueba.

Qué significa esto al especificar un sistema

Convertir el marco en requisitos es más útil que citarlo. Una especificación defendible pregunta, como mínimo:

1. ¿El valor se captura en su origen, con la marca de tiempo de origen y el código de calidad preservados?
2. ¿El evento bruto se almacena sin sobrescritura, y la retención está explícitamente configurada?
3. ¿Todo cambio de configuración y de dato se registra en una pista de auditoría con verificación de integridad?
4. ¿Las cuentas son individuales, los permisos por rol, y la firma electrónica distinta de las credenciales de acceso?
5. ¿Los eventos fallidos o no decodificables quedan visibles y recuperables, en lugar de descartados?
6. ¿Puede recuperarse el dato, con contexto, por alguien que no sea quien construyó el sistema?

Esas preguntas pertenecen a su validación de sistemas computarizados según GAMP 5, y no a una revisión de cumplimiento aparte tras el go-live. Validar un sistema cuya arquitectura no puede satisfacerlas es una forma cara de documentar una brecha.

Dato de proceso y registro de ejecución

Esos requisitos se dividen por una línea natural: lo que registra la medición, y lo que registra el acto de usarla. NEO PI se ocupa del dato de proceso: captura en origen por OPC-UA, MQTT y LoRaWAN, eventos brutos sin sobrescritura, códigos de calidad preservados, pista de auditoría encadenada por hash, y una API de lectura que permite al registro de lote referenciar un valor en lugar de una transcripción suya. NEO EBR se ocupa del registro de ejecución: secuencia forzada, controles en proceso que leen del historiador, y firma electrónica en los pasos con peso regulatorio.

Ambos se insertan en una postura más amplia de cumplimiento digital — y si aún está al principio de ese camino, la hoja de ruta de digitalización cubre la secuencia habitual, mientras que el monitoreo ambiental suele ser el punto de partida menos disruptivo.