Para las inspecciones GMP no se prescribe ningún «paquete de documentos» genérico. Lo que se espera es más bien un sistema de evidencias coherente, basado en el riesgo y orientado al ciclo de vida que demuestre que las instalaciones, los procesos, los procedimientos de limpieza, los sistemas informatizados y los métodos de ensayo son adecuados para su finalidad prevista y permanecen dominados de forma duradera. Son determinantes –según el producto, el mercado y la autoridad– en particular la guía EU-GMP con sus anexos 15 y 11, las directrices ICH Q8, Q9 y Q10 así como, para el mercado estadounidense, entre otras 21 CFR Part 211 y Part 11.

El documento marco central es habitualmente el plan maestro de validación. Describe el ámbito de aplicación del sistema de cualificación y validación, las responsabilidades, los procedimientos, las prioridades y la vinculación con los PNT, el control de cambios, la gestión de desviaciones, las CAPA así como las evaluaciones periódicas. Lo decisivo es que las actividades individuales, desde el requisito hasta la liberación, se puedan referir de forma trazable a este sistema.

Para las instalaciones relevantes para las GMP, los medios auxiliares y, en su caso, los sistemas automatizados se requieren documentos de cualificación. Las fases habituales son design qualification, installation qualification, operational qualification y performance qualification. Los documentos deben contener los requisitos, los criterios de aceptación, los resultados de los ensayos, las desviaciones, las valoraciones y las liberaciones formales. Lo determinante no es el número de documentos, sino la demostración trazable de que la instalación funciona de forma reproducible en el rango de funcionamiento previsto.

La validación del proceso debe demostrar que un proceso de fabricación proporciona de forma duradera productos dentro de las exigencias de calidad establecidas. A ello pertenecen la definición de los atributos críticos de calidad y de los parámetros críticos del proceso, un plan de validación basado en el riesgo, corridas de validación documentadas así como la valoración estadística de los resultados. Una exigencia rígida de tres lotes de validación no se considera hoy universalmente válida; el alcance y el número de muestras deben justificarse de forma científica y basada en el riesgo. El estado de validación se vigila mediante una verificación continua del proceso con análisis de tendencias y una valoración del «state of control».

Para los procesos de limpieza se necesitan un plan de validación de la limpieza, consideraciones del peor caso, límites de aceptación justificados así como protocolos e informes de validación. Los límites de aceptación para los residuos de principio activo se derivan hoy con frecuencia por vía toxicológica, por ejemplo a partir de los conceptos PDE o HBEL. Deben tenerse en cuenta los estudios de recuperación, la idoneidad del método analítico y, en su caso, los aspectos microbiológicos. Qué exigencias rigen en cada caso concreto depende, entre otras cosas, del tipo de producto, del entorno de fabricación y del riesgo de contaminación cruzada.

Los sistemas informatizados relevantes para las GMP deben estar cualificados o validados a lo largo de todo su ciclo de vida. Se requieren habitualmente una especificación de requisitos, un análisis de riesgos documentado, planes y protocolos de ensayo, una trazabilidad entre los requisitos y los ensayos así como un informe de validación. Especialmente críticos son la integridad de los datos, los conceptos de usuarios y de permisos, los audit trails, las firmas electrónicas, la copia de seguridad de los datos, la gestión de cambios y las evaluaciones periódicas. El anexo 11 exige expresamente que la documentación y los informes de validación cubran las fases relevantes del ciclo de vida y que el alcance se justifique mediante una evaluación del riesgo.

También los métodos analíticos deben ser adecuados para su finalidad prevista. Según el método y la aplicación hay que investigar, por ejemplo, la especificidad, la precisión, la exactitud, la linealidad, el rango de trabajo, la robustez así como los límites de detección y de cuantificación. A ello se añaden los ensayos de idoneidad del sistema y, en caso de cambio de laboratorio o de emplazamiento, las transferencias de método documentadas.

Las evaluaciones de riesgo conectan todos estos elementos. Sirven para valorar de forma sistemática los atributos críticos de calidad, los parámetros del proceso, las funciones de la instalación, los riesgos de integridad de los datos, los riesgos de contaminación cruzada y las medidas de control. Métodos como el AMFE, el HACCP o los análisis de riesgo con fundamento toxicológico pueden ser adecuados para ello. Resulta relevante para la inspección, en particular, la cadena visible formada por la evaluación del riesgo, el alcance de validación derivado de ella, la estrategia de control, la gestión de desviaciones, las CAPA y el control de cambios.

Todos los documentos deben corresponder a los principios de las buenas prácticas de documentación: deben ser atribuibles, legibles, contemporáneos, originales y exactos, así como permanecer completos, coherentes, disponibles de forma duradera y accesibles cuando sea necesario. Además de los expedientes de validación, los inspectores comprueban con frecuencia también el site master file, los PNT, los registros de formación, la documentación de mantenimiento y de calibración, los procedimientos de control de cambios, las desviaciones, las tendencias de las CAPA y el control de la documentación.

Lo decisivo para una inspección GMP no es por tanto la existencia aislada de documentos individuales de DQ, IQ, OQ o PQ. Lo que se exige es una cadena de evidencias coherente y justificada en función del riesgo, desde los requisitos y los riesgos, pasando por la cualificación y la validación, hasta la vigilancia continua del estado dominado.