ISO 13485: el sistema de calidad para productos sanitarios

Si diseñas, fabricas o distribuyes productos sanitarios, la ISO 13485 es la base sobre la que descansa la conformidad con el reglamento MDR. Qué exige, a quién le sirve y cómo se obtiene.

La ISO 13485 es la norma internacional que define los requisitos de un sistema de gestión de la calidad para las organizaciones del sector de los productos sanitarios. A diferencia de la ISO 9001, no nace para medir la satisfacción del cliente, sino para demostrar que la empresa cumple de forma coherente los requisitos del cliente y los requisitos reglamentarios aplicables. En Europa, eso significa sobre todo el Reglamento (UE) 2017/745, conocido como MDR. En esta guía vemos qué exige la norma, en qué se diferencia de la ISO 9001, cómo se relaciona con la gestión del riesgo según la ISO 14971 y, sobre todo, por qué la certificación ISO 13485 y el marcado CE son dos cosas distintas que a menudo se confunden.

¿Qué es la ISO 13485 y para qué sirve?

La ISO 13485 es la norma de sistemas de calidad para productos sanitarios "para fines reglamentarios". El propio título lo dice: su objetivo es ayudarte a demostrar a clientes y autoridades que sabes suministrar productos sanitarios y servicios relacionados que cumplen de forma coherente los requisitos aplicables. La edición vigente es la ISO 13485:2016, que ISO ha revisado y confirmado sin cambios sustanciales.

Para una pyme, el valor práctico es doble. Por un lado, la norma organiza los procesos que el MDR te exige tener de todos modos: control del diseño, de los proveedores, de la producción y de las reclamaciones. Por otro, ofrece un lenguaje común reconocido internacionalmente, que te permite hablar con clientes, distribuidores y autoridades sin tener que explicar cada vez cómo trabajas. Si quieres una introducción general a qué es una certificación ISO, encontrarás lo básico en nuestra guía sobre las certificaciones ISO.

Una norma pensada para los requisitos reglamentarios

La diferencia de fondo con las demás normas de sistemas de gestión es la orientación. La ISO 13485 pone en el centro la conformidad reglamentaria y la seguridad del producto, no el crecimiento comercial ni la satisfacción del cliente en sentido amplio. Por eso exige más procedimientos documentados, más registros y más controles formales que la ISO 9001.

Un ejemplo concreto ayuda. En un sistema ISO 9001 decides tú cuánto documentar el proceso de gestión de reclamaciones, siempre que funcione. En un sistema ISO 13485 la reclamación debe gestionarse con un procedimiento escrito, evaluarse también para determinar si debe notificarse a la autoridad competente y vincularse a la vigilancia poscomercialización. La lógica es siempre la misma: cada decisión debe dejar una evidencia verificable, porque tarde o temprano alguien te pedirá que la demuestres.

A quién se aplica: no solo a los fabricantes

La norma se dirige a las organizaciones que intervienen en una o varias etapas del ciclo de vida de un producto sanitario. Incluye el diseño y desarrollo, la producción, el almacenamiento y la distribución, la instalación y el servicio técnico. La ISO 13485 también puede ser utilizada por los proveedores externos que trabajan para estas organizaciones.

En la práctica, la certificación interesa a perfiles muy distintos. Está el fabricante que diseña y produce un producto con su propia marca. Está el subcontratista que inyecta componentes de plástico o realiza la esterilización por cuenta de otros. Está el distribuidor que gestiona almacén, trazabilidad y retiradas. Y está la empresa de software que desarrolla un software clasificado como producto sanitario. Para muchos proveedores la ISO 13485 no es una obligación legal, pero es el requisito que el cliente fabricante incluye en el contrato de homologación.

¿Qué relación hay entre la ISO 13485 y el reglamento MDR?

El MDR obliga a todo fabricante a tener un sistema de gestión de la calidad, y la ISO 13485 es la forma más extendida de construirlo. Sin embargo, no son lo mismo: el reglamento es ley, mientras que la norma es una herramienta voluntaria que te ayuda a cumplirla.

El artículo 10 y el sistema de calidad obligatorio

El artículo 10 del MDR enumera las obligaciones generales de los fabricantes. Entre ellas está la obligación de establecer, documentar, aplicar, mantener, actualizar y mejorar un sistema de gestión de la calidad proporcionado a la clase de riesgo y al tipo de producto. La obligación se aplica a todos los fabricantes, con la única excepción de los productos en investigación.

El reglamento también indica los aspectos mínimos que debe cubrir el sistema. Entre ellos están la estrategia de cumplimiento reglamentario, la identificación de los requisitos generales de seguridad y funcionamiento, la responsabilidad de la dirección, la gestión de los recursos y de los proveedores, la gestión del riesgo, la evaluación clínica, la realización del producto, la identificación única del producto (UDI), la vigilancia poscomercialización, la notificación de incidentes graves y las acciones correctivas y preventivas.

La versión armonizada y la presunción de conformidad

La versión europea de la norma, la EN ISO 13485:2016 con la modificación A11:2021, está publicada como norma armonizada en apoyo del MDR. La modificación A11 añadió los anexos que relacionan los requisitos de la norma con los del reglamento. Quien aplica una norma armonizada goza de una presunción de conformidad con los requisitos del reglamento que esa norma cubre.

Ojo, sin embargo, a la palabra "cubre". La presunción vale solo para los requisitos indicados en los anexos de correspondencia de la versión EN, no para todo el reglamento. Por eso un sistema ISO 13485 bien hecho es una base sólida, pero no te exime de comprobar punto por punto lo que exige el MDR.

Lo que la ISO 13485 no cubre por sí sola

Algunas obligaciones del MDR requieren procesos que la norma no describe en detalle. El caso más típico es la estrategia de cumplimiento reglamentario: la clasificación del producto, la elección del procedimiento de evaluación de la conformidad y la gestión de los cambios significativos. Otros ejemplos son la evaluación clínica y el seguimiento clínico poscomercialización, la gestión de los códigos UDI y la persona responsable del cumplimiento de la normativa, prevista en el artículo 15 del reglamento.

Una empresa que tiene "solo" la ISO 13485 y se enfrenta al MDR debe, por tanto, completar el sistema con estos elementos. Es uno de los puntos donde vemos más retrasos: el sistema de calidad existe, pero falta el vínculo con el reglamento.

Certificación ISO 13485 y marcado CE: ¿cuál es la diferencia?

La certificación ISO 13485 acredita que tu sistema de calidad es conforme con la norma. El marcado CE acredita que el producto es conforme con el MDR y puede introducirse en el mercado europeo. Son dos actos distintos, emitidos con reglas distintas, aunque las evaluaciones tengan lugar en el mismo periodo.

La certificación ISO 13485 es voluntaria y la emite una entidad de certificación acreditada, de acuerdo con la ISO/IEC 17021-1 y el documento obligatorio IAF MD 9 dedicado a los sistemas de calidad de productos sanitarios. La evaluación de la conformidad para el marcado CE, en cambio, requiere para la mayoría de las clases de riesgo la intervención de un organismo notificado: una entidad designada por una autoridad nacional específicamente para el MDR. Cuando el organismo notificado evalúa el sistema de calidad según el anexo IX del MDR, emite un certificado UE, que no es un certificado ISO 13485.

Un ejemplo: clase I y clase IIa

Piensa en dos empresas. La primera fabrica un producto de clase I no estéril y sin función de medición: para el marcado CE declara ella misma la conformidad, sin organismo notificado. Aun así, debe tener un sistema de calidad conforme al MDR, y la certificación ISO 13485 es la forma más creíble de demostrarlo a hospitales y distribuidores.

La segunda fabrica un producto de clase IIa. Aquí el organismo notificado evalúa el sistema de calidad y la documentación técnica. Tener ya un sistema ISO 13485 consolidado hace la evaluación mucho más fluida, pero el certificado ISO no sustituye la evaluación prevista por el reglamento. Muchos fabricantes coordinan las dos evaluaciones precisamente para no duplicar el trabajo.

¿Qué exige la ISO 13485 además de la ISO 9001?

La ISO 13485 comparte con la ISO 9001 el enfoque por procesos, pero es más prescriptiva y está más orientada a la seguridad del producto. Una diferencia estructural: la ISO 9001 sigue la estructura común de las normas de sistemas de gestión, mientras que la ISO 13485 ha mantenido una estructura propia e incluye un anexo de correspondencia con la ISO 9001. Si ya conoces la ISO 9001, la guía sobre el sistema de gestión de la calidad ISO 9001 te da el punto de partida; aquí nos centramos en lo que cambia.

Más documentación y el archivo del producto sanitario

La ISO 13485 exige procedimientos documentados para muchos procesos en los que la ISO 9001 deja libertad. Además, para cada tipo o familia de productos exige mantener un archivo del producto sanitario: el conjunto de documentos que describen el producto, las especificaciones y los procesos de fabricación, envasado, etiquetado, instalación y servicio técnico.

También la conservación de los documentos tiene reglas más estrictas. Los registros deben estar disponibles al menos durante la vida útil del producto definida por el fabricante y, en cualquier caso, no menos de lo que exijan los requisitos aplicables. Para una empresa que fabrica implantes con una vida útil larga, esto significa archivos que duran muchos años y deben seguir siendo legibles.

Riesgo aplicado a los procesos y al producto

La ISO 9001 habla de riesgos y oportunidades a nivel de sistema. La ISO 13485 aplica un enfoque basado en el riesgo al control de los procesos del sistema de calidad y exige una gestión del riesgo documentada en la realización del producto. Si quieres entender cómo se razona sobre los riesgos en los sistemas de gestión en general, encontrarás más en la guía sobre riesgos y oportunidades en las normas ISO.

La norma también exige validar el software utilizado en el sistema de calidad y en los procesos productivos, de forma proporcionada al riesgo. La hoja de cálculo que gobierna los lotes o el ERP que registra la trazabilidad no son detalles informáticos: si fallan, falla el sistema.

Mantener la eficacia, no solo mejorar

Donde la ISO 9001 insiste en la mejora continua y en la satisfacción del cliente, la ISO 13485 exige mantener la eficacia del sistema y recoger la retroalimentación del mercado como entrada para la seguridad del producto. Las reclamaciones deben gestionarse con procedimientos precisos, evaluarse también a efectos de notificación a las autoridades y vincularse a las acciones correctivas.

Hay además requisitos específicos que la ISO 9001 no contempla: control del ambiente de trabajo y de la contaminación, requisitos para los productos estériles, trazabilidad reforzada para los productos implantables, notas de aviso y gestión de los productos devueltos. Son estos los puntos en los que una empresa "ISO 9001" descubre que tiene más trabajo del previsto.

¿Cómo se integra la gestión del riesgo según la ISO 14971?

La ISO 14971 es la norma internacional sobre la aplicación de la gestión del riesgo a los productos sanitarios. Describe un proceso para identificar los peligros, estimar y evaluar los riesgos, controlarlos y supervisar la eficacia de los controles a lo largo de todo el ciclo de vida. También está disponible como norma armonizada europea.

La ISO 13485 y la ISO 14971 trabajan en pareja. La primera te exige tener un proceso de gestión del riesgo para el producto; la segunda te dice cómo hacerlo. La ISO 14971 no impone niveles de riesgo aceptables: exige al fabricante definir criterios de aceptabilidad objetivos y aplicarlos de forma coherente. No exige por sí misma un sistema de calidad, pero en la práctica la gestión del riesgo vive dentro del sistema ISO 13485.

Un error típico es tratar el expediente de gestión del riesgo como un documento que se rellena una vez, en la fase de diseño. En realidad debe mantenerse actualizado con los datos poscomercialización: una reclamación recurrente, un incidente notificado o un cambio de proveedor de un componente crítico son eventos que pueden modificar la evaluación. Si el análisis de riesgos no se mueve nunca, en la auditoría es una señal de que el vínculo entre producción, reclamaciones y diseño no funciona.

¿Cómo se obtiene la certificación ISO 13485?

El camino hacia la certificación sigue las etapas típicas de cualquier sistema de gestión, con algo más de atención propia del sector. La duración depende de la complejidad de los productos, del número de procesos y de lo estructurada que ya esté la empresa.

Análisis inicial y alcance

El primer paso es definir con precisión el alcance de la certificación: qué productos, qué centros, qué etapas del ciclo de vida. La ISO 13485 permite excluir algunos requisitos solo en casos concretos: por ejemplo, el diseño puede excluirse si los requisitos reglamentarios aplicables lo permiten, y los requisitos de realización del producto que no se aplican a tus actividades pueden declararse no aplicables, justificando la decisión.

Aquí se juega mucho. Un distribuidor que no diseña ni fabrica tendrá un sistema mucho más ligero que un fabricante de productos estériles. Un subcontratista que inyecta componentes debe acordar con el cliente qué responsabilidades siguen siendo suyas y cuáles pasan al fabricante. Un análisis inicial bien hecho compara la situación actual con la norma y con los requisitos reglamentarios, y devuelve un plan concreto.

Implantación y auditoría interna

Sigue la fase de construcción: procedimientos, archivos de los productos, gestión del riesgo, homologación de proveedores, control de la producción, gestión de reclamaciones y notificaciones. Después el sistema debe funcionar durante un periodo suficiente para generar registros reales: una auditoría de certificación no evalúa procedimientos escritos, sino procesos que funcionan.

Antes de la auditoría externa se necesita una auditoría interna completa y una revisión por la dirección. Si haces el recorrido con Complaion, la auditoría interna la haces con nosotros: la dirige el Lead Auditor de Complaion, que evalúa el sistema con una mirada independiente respecto a las personas que lo gestionan cada día. Sobre cómo organizar una auditoría interna eficaz tienes una guía dedicada a la auditoría interna ISO.

Auditoría de certificación y ciclo de tres años

La auditoría de certificación se realiza en dos fases: la primera revisa la documentación y la preparación, la segunda comprueba sobre el terreno la eficacia del sistema. Las encontrarás descritas en la guía sobre las auditorías de fase 1 y fase 2. Los auditores deben tener competencia específica en productos sanitarios y requisitos reglamentarios, como prevé el documento IAF MD 9.

El certificado tiene un ciclo de tres años, con auditorías de seguimiento al menos anuales y una auditoría de renovación al vencimiento. Mientras tanto, el sistema debe seguir funcionando: reclamaciones, acciones correctivas, auditorías a proveedores y actualizaciones de la gestión del riesgo son precisamente lo que buscarán los auditores.

¿Por qué el sistema de calidad es decisivo en la transición al MDR?

El sistema de calidad es la condición de partida de la que depende todo lo demás, también en la transición de las antiguas directivas al MDR. El Reglamento (UE) 2023/607 prorrogó el periodo transitorio para los productos certificados según las directivas anteriores: hasta el 31 de diciembre de 2027 para los productos de clase III y la mayoría de los productos implantables de clase IIb, y hasta el 31 de diciembre de 2028 para las demás clases afectadas.

Sin embargo, la prórroga no es automática. Entre las condiciones previstas está que el fabricante haya implantado un sistema de calidad conforme al artículo 10 del MDR y haya presentado la solicitud a un organismo notificado dentro de los plazos fijados por el propio reglamento. Dicho de otro modo, incluso para aprovechar la prórroga, el sistema de calidad tenía que existir antes que el certificado.

El marco normativo de los productos sanitarios está sujeto a cambios: en los últimos años el MDR se ha modificado varias veces, por ejemplo con la obligación de informar con antelación a las autoridades cuando se interrumpe el suministro de determinados productos. Antes de planificar, comprueba siempre en EUR-Lex la versión consolidada vigente y los plazos aplicables a tus productos. Un sistema ISO 13485 bien gestionado te permite absorber estos cambios como actualizaciones de proceso, no como emergencias.

¿Cuáles son los errores más comunes?

El primer error es pensar que la certificación ISO 13485 equivale al marcado CE. Hemos visto empresas presentarse ante un cliente hospitalario con el certificado ISO, convencidas de haber "hecho el MDR". El certificado demuestra un sistema de calidad, no la conformidad del producto con el reglamento.

El segundo error es copiar el sistema ISO 9001 y cambiar el encabezado. Casi siempre faltan el archivo del producto sanitario, la validación del software, la gestión de las notificaciones a las autoridades y una gestión del riesgo vinculada a los datos del mercado. En la auditoría aparecen como no conformidades sistémicas, difíciles de cerrar en poco tiempo.

El tercer error tiene que ver con los proveedores. Muchas pymes del sector externalizan procesos críticos como la esterilización, la inyección o el envasado, pero homologan a los proveedores con un cuestionario genérico. La ISO 13485 exige controles proporcionados al riesgo del producto suministrado, acuerdos de calidad por escrito y seguimiento del desempeño a lo largo del tiempo.

El cuarto error es descuidar la vigilancia poscomercialización. Reclamaciones archivadas sin análisis de tendencias, notificaciones evaluadas con retraso, acciones correctivas que no llegan a la causa: un auditor relaciona enseguida todas estas situaciones con un riesgo para el paciente. Un sistema que recoge los datos del mercado de forma ordenada es también el que mejor resiste las auditorías.

Cómo simplificar el camino con Complaion

Un sistema ISO 13485 funciona cuando procedimientos, archivos, gestión del riesgo, proveedores y reclamaciones siguen conectados entre sí y actualizados en el tiempo. Complaion te ayuda a construirlo y a mantenerlo así. Partimos de tus necesidades y te proponemos el recorrido más adecuado: la certificación ISO 13485, un sistema integrado con la ISO 9001 o la preparación del sistema de calidad que exige el MDR. Un Lead Auditor dedicado con experiencia en el sector de los productos sanitarios te acompaña en cada fase y dirige la auditoría interna; la plataforma recoge las evidencias, gestiona los documentos y los archivos, lleva el calendario de validaciones, revisiones y auditorías a proveedores y prepara la auditoría con la entidad de certificación. El recorrido con Complaion te ayuda a evitar las no conformidades y lleva a la auditoría externa con un éxito del 100%. Es el método con el que trabajamos con más de 1.000 clientes. Descubre el servicio ISO 13485 o contáctanos para un análisis inicial y un presupuesto a medida.

Preguntas frecuentes sobre la ISO 13485

¿Qué es la ISO 13485 en pocas palabras?

La ISO 13485 es la norma internacional que define cómo debe organizarse el sistema de calidad de una empresa que trabaja con productos sanitarios. Abarca diseño, producción, distribución, instalación y servicio técnico, además de los proveedores de estas empresas. Su objetivo es demostrar que los productos cumplen de forma coherente los requisitos de los clientes y los reglamentarios.

¿Es obligatoria la certificación ISO 13485?

No, la certificación es voluntaria. Sin embargo, el MDR obliga a todo fabricante a tener un sistema de gestión de la calidad, y la ISO 13485 es la norma armonizada más utilizada para construirlo. Para subcontratistas y distribuidores, la certificación suele ser un requisito contractual que exigen los fabricantes clientes.

¿La ISO 13485 sustituye al marcado CE?

No. La certificación ISO 13485 se refiere al sistema de calidad de la empresa, mientras que el marcado CE se refiere a la conformidad de cada producto con el MDR. Para la mayoría de las clases de riesgo, el marcado requiere la evaluación de un organismo notificado, que emite un certificado UE distinto del certificado ISO.

¿Qué diferencia hay entre la ISO 13485 y la ISO 9001?

Ambas son normas de sistemas de calidad, pero la ISO 13485 está orientada a la conformidad reglamentaria y a la seguridad del producto. Exige más procedimientos documentados, un archivo para cada tipo de producto, gestión del riesgo, validación del software y gestión de las notificaciones a las autoridades. Además, no sigue la estructura común de las normas ISO de sistemas de gestión e incluye un anexo de correspondencia con la ISO 9001.

¿Puede un distribuidor de productos sanitarios certificarse en ISO 13485?

Sí. La norma se aplica a cualquiera que participe en una etapa del ciclo de vida del producto, incluidos el almacenamiento y la distribución. Un distribuidor puede declarar no aplicables los requisitos relacionados con el diseño y la producción, justificando la decisión, y centrarse en almacén, trazabilidad, gestión de reclamaciones y retiradas.

¿Cuánto dura la certificación ISO 13485?

El certificado tiene un ciclo de tres años. Durante este periodo la entidad de certificación realiza auditorías de seguimiento al menos anuales y, al vencimiento, una auditoría de renovación. Para mantener el certificado, el sistema debe seguir activo y actualizado, con evidencias sobre reclamaciones, acciones correctivas, proveedores y gestión del riesgo.

¿Cuánto cuesta obtener la ISO 13485?

No existe un coste estándar. Depende del número y de la clase de los productos, de las etapas del ciclo de vida cubiertas, del número de centros y de personas, de los procesos externalizados y de lo estructurado que ya esté el sistema. La forma más fiable de saberlo es empezar con un análisis inicial y pedir un presupuesto a medida.