ICH Q9: riesgo escrito ≠ riesgo gestionado

Hay plantas donde el QRM está impecable en el archivo y casi ausente en el turno. El protocolo de riesgo del proceso se escribió en la validación, se firmó y se archivó. Dos años después, un desvío de mezcla, un cambio de proveedor de excipiente o un ajuste de rango en el EBR siguen el flujo "de siempre" — sin reabrir la pregunta que el protocolo ya había respondido.

En la mayoría de los casos no es "falta de QRM". Suele ser otra cosa: riesgo escrito tratado como riesgo gestionado. El texto existe. La gestión, en el sentido de ICH Q9(R1), aún no llegó al piso.

Lo que Q9(R1) empuja de verdad

La versión vigente de la guía — ICH Q9(R1), adoptada en Step 4 en enero de 2023 y vigente en Europa desde el 26 jul 2023 — no inventa la idea de gestionar riesgo. Profundiza lo que la industria ya sabía y todavía hace a medias: formalidad proporcional al riesgo, decisión basada en riesgo (y no solo "análisis llenado"), y cuidado explícito con la subjetividad.

En lenguaje de planta, eso suele significar tres desplazamientos:

1. No es el tamaño del informe lo que define la calidad de la gestión. Un FMEA de sesenta páginas sobre un riesgo bajo y un párrafo suelto sobre un riesgo alto son lo opuesto de lo que Q9(R1) describe como formalidad proporcional.
2. Evaluar no es controlar. Mapear modos de falla sin amarrar lo que el sistema (o el procedimiento) hace cuando aparece el modo deja el riesgo en el PowerPoint.
3. El riesgo envejece. Cambio, desvío recurrente, nuevo material, nuevo equipo, nueva ruta de liberación: el punto en que el riesgo debe revisarse es tan importante como el punto en que se evaluó por primera vez.

Nada de eso pide "garantizar conformidad" con una diapositiva. Pide que la evaluación siga viva donde ocurre la decisión.

El gancho que vemos en el día a día

El protocolo ya escribió que la humedad relativa en el pesaje es crítica para el atributo X; que la secuencia de carga del mezclador importa; que la segunda persona en la verificación de lote de material no es formalismo. En la operación, el desvío llega así: "la humedad quedó un poco alta, pero el lote pasó"; "invertimos dos pasos de carga porque el silo estaba ocupado"; "el farmacéutico confirmó después, en papel".

Si el flujo de desvío y de cambio no reabre el riesgo que el protocolo ya nombró, la planta opera con dos verdades: la del archivo y la del turno. Q9(R1) no resuelve eso solo. Deja claro que la comunicación y la revisión de riesgo forman parte del proceso — no son apéndice de auditoría.

La pregunta útil no es "¿tenemos QRM?". Es: cuando algo cambia o se desvía, ¿el riesgo correspondiente vuelve a la mesa — o solo el formulario de desvío?

ALCOA+ como decisión de riesgo (no como póster)

La integridad de datos entra aquí como elección de sistema y de riesgo, no como póster solo de compliance. Si el valor crítico del proceso depende de digitación tardía, el riesgo no es solo "error de tecleo": es contemporaneidad débil, atribuibilidad frágil y una segunda persona que existe precisamente porque la procedencia del dato es mala.

Cuando decidimos que un parámetro es lo bastante crítico para entrar en el FMEA, suele tener sentido preguntar al mismo tiempo: ¿de dónde viene ese valor, con qué sello de tiempo, y qué hace el sistema si viene fuera? Eso es Q9 conversando con el diseño del registro — ALCOA+ como consecuencia de la evaluación, no como checklist pegado a la pared.

Formalidad sin teatro

Q9(R1) habla de formalidad. En planta, demasiada formalidad sin foco se vuelve teatro; poca formalidad en riesgo alto se vuelve sorpresa en la inspección. El punto medio que tiende a funcionar es amarrar el nivel de esfuerzo al nivel de daño al paciente y a la calidad del producto — y dejarlo visible en el propio flujo.

En la práctica vemos tres patrones:

• Riesgo alto, control flojo en el sistema. El documento habla de "crítico"; el EBR solo avisa con warning que el turno cierra y sigue. Evaluación y ejecución divergen.
• Riesgo bajo, burocracia alta. Todo cambio mínimo pide el mismo paquete. La gente contornea. El contorno desaparece de la auditoría — y el riesgo real (el atajo) no estaba en el FMEA.
• Riesgo bien escrito, dueño ninguno. La matriz existe; en el cambio nadie sabe quién reabre la evaluación. Se vuelve cola de correo.

El antídoto no es más plantilla. Es dueño, gatillo y evidencia: quién decide, qué dispara la revisión, y dónde queda registrado de forma recuperable.

Subjetividad: el elefante que Q9(R1) nombra

Una de las contribuciones más útiles de la revisión R1 es tratar la subjetividad de frente. Facilitador dominante, "siempre lo hicimos así", presión de lead time: eso sesga la nota de severidad y la clasificación de lo aceptable.

No se puede eliminar el juicio humano. Se puede hacerlo visible y revisable: criterios preacordados, datos de proceso cuando existan, y el hábito de preguntar "¿qué cambiaría esa nota si el lote siguiente fallara?". En sistema electrónico, eso suele aparecer como historial de decisión en el change control — no como comentario suelto en el Excel del análisis.

Dónde entra el system of record (sin overclaim)

ICH Q9 no pide un MES. Pide gestión. Lo que un system of record bien diseñado — por ejemplo un EBR con cambio y desvío amarrados al lote — puede hacer es reducir el espacio en que el riesgo queda solo en el archivo:

• impedir (o al menos evidenciar) la ejecución fuera del rango que la evaluación trató como crítico;
• forzar que el cambio de límite, secuencia o material pase por un flujo con estado — no por correo y reconfiguración silenciosa;
• mantener traza de quién alteró qué, cuándo, y con qué justificación;
• ligar el desvío recurrente a la misma familia de riesgo, en vez de tratar cada ocurrencia como isla.

Eso no "implementa Q9". Implementa condiciones en las que Q9 deja de ser PDF. La ciencia del riesgo sigue con las personas; el sistema sujeta el atajo.

Qué no confundir

• Tener FMEA ≠ gestionar riesgo. Sin revisión en el ciclo de cambio/desvío, es fotografía.
• Herramienta ≠ método. FTA, HACCP, FMEA son medios. La pregunta de Q9 es si la decisión de control acompaña la evaluación.
• Riesgo cero. No es el objetivo. El objetivo es riesgo conocido, controlado en la medida que el producto exige, y revisitado cuando el contexto cambia.
• Inspección como único cliente. Si el QRM solo "despierta" en la preparación de inspección, no está integrado a las operaciones — y Q9(R1) es explícito sobre la integración.

Una secuencia honesta para el equipo

Sin romance de transformación:

1. Tome los tres últimos desvíos graves (o recurrentes) y pregunte si el riesgo correspondiente en el protocolo fue reabierto. Si la respuesta es "no", el gap no es de plantilla.
2. Liste los parámetros que el FMEA llama críticos y revise qué hace de hecho el EBR/MES: bloqueo, warning ignorable, o nada.
3. En el change control, haga obligatorio el campo "¿riesgo revisado? ¿referencia?" — y trate el "N/A" crónico como señal, no como ahorro de tiempo.
4. Reduzca formalidad donde el riesgo es bajo a propósito, para sobrar capacidad donde el riesgo es alto. Formalidad proporcional también es alivio inteligente.
5. Trate la integridad del dato crítico como parte del mismo paquete de riesgo, no como proyecto paralelo de "DI".

Cierre

ICH Q9(R1) no pide más papel de riesgo. Pide que el riesgo escrito siga gobernando la decisión cuando la planta se mueve — cambio, desvío, nuevo conocimiento. Mientras la evaluación duerme en el archivo y el turno improvisa con buena intención, no tenemos QRM gestionado: tenemos QRM archivado.

Si en su planta el protocolo de riesgo se reabre de verdad cuando llega el desvío — o solo en la próxima campaña de validación — esa suele ser la pregunta que separa conformidad documental de gestión.

En T2, cuando hablamos de registro electrónico de lote y control de cambio en el mismo system of record, el punto no es "comprar Q9". Es quitar del camino el atajo que hace que el riesgo escrito se vuelva letra muerta en el segundo turno.