La propagación de Covid-19 a nivel mundial ha originado órdenes de cuarentena y restricciones de viaje que están afectando la capacidad de realizar auditorías en sitio.
Esto ha afectado el trabajo de las entidades regulatorias como la FDA, las AO (Auditing Organizations) aprobadas para auditorías MDSAP y los NB (Notified Bodies) que realizan auditorias ISO 13485.
En este contexto, el consorcio de países bajo el programa MDSAP ha autorizado la realización de auditorías virtuales en el siguiente comunicado:
COVID-19 Remote Audits
La pandemia también está impactando la capacidad de los manufacturadores de dispositivos médicos de realizar auditorías en sitio a sus suplidores.
En general, las compañías de dispositivos médicos realizan auditorías en sitio de forma periódica a sus suplidores críticos.
Otros motivos para realizar auditorías en sitio son la aprobación inicial de un suplidor, o “for cause”, es decir cuando surgen problemas de calidad por parte del suplidor que requieran una auditoría en sitio.
Este es un buen momento para implementar el uso de auditorías virtuales, no sólo por la pandemia, sino porque es una herramienta que se puede utilizar en cualquier otro escenario en al cual la auditoría en sitio no sea posible.
¿Qué es una auditoría virtual?
Este tipo de auditoría se conoce con varios nombres, como auditoría remota, online o e-Audit.
De acuerdo con la norma ISO 19011:2018 “Guías para la auditoría de sistemas de gestión”, las auditorías virtuales se refieren al uso de tecnología para recopilar información, entrevistar a un auditado, etc. cuando los métodos “cara a cara” no son posibles o deseados.
Sin embargo, no debe confundirse con:
- La llamada auditoría de escritorio (desktop audit), en la cual el suplidor envía todos los registros y procedimientos por correo electrónico a un auditor para que este los revise por su cuenta.
- El conocido “survey”, una encuesta electrónica o lista de preguntas para ser completada por el suplidor.
Una auditoría virtual sigue el mismo proceso de auditoría estándar en sitio:
1)Preparación → 2) Ejecución → 3) Reporte → 4) Seguimiento → 5) Cierre
Sin embargo, en la auditoría virtual la etapa de ejecución se lleva a cabo en tiempo real utilizando tecnología de la información (TI), para la verificación de evidencia objetivas. El auditor:
- Entrevista a los representantes de la organización auditada en tiempo real, utilizando una herramienta de videoconferencia basada en web, por ejemplo, Microsoft Teams o Zoom, u otro.
- Usa una computadora, Internet y cámaras para ver registros y procesos en la ubicación.
Recomendaciones para realizar auditorías virtuales
El “Grupo de Prácticas de Auditoría ISO 9001” es una fuente de documentos sobre auditoría de sistemas de calidad ISO 9001, entre ellos, directrices para realizar auditorías virtuales.
Muchos de los suplidores de industria médica tienen un sistema de calidad ISO 9001. Otros pueden optar por un sistema de calidad basado en la ISO 13485, sin embargo, las recomendaciones para la realización de auditorías virtuales son igual de aplicables.
Estas son algunas recomendaciones:
1. Disponibilidad de tecnología de información apropiada
La realización de una auditoría virtual requiere contar con tecnología de la información con las condiciones adecuadas.
El primer paso para evaluar si es posible realizar una auditoría virtual a un suplidor es determinar qué tecnologías de información se pueden utilizar, verificar que estén disponibles en ambas organizaciones, y que tanto los auditores como los auditados sean competentes en su uso.
Otro aspecto importante es la calidad de la conexión en línea. El proceso de auditoría puede verse afectado por la velocidad a la que el auditado accede y muestra pruebas por video, o a través de una tableta o computadora.
Un ancho de banda débil o una capacidad de hardware limitada pueden hacer que la auditoría en línea se vuelva demasiado lenta como para considerarla viable.
En el tema de tecnología de la información, la ISO 19011 también recomienda:
- Realizar verificaciones técnicas antes de la auditoría para resolver problemas técnicos;
- Asegurar la disponibilidad y comunicación de planes de contingencia (por ejemplo, interrupción del acceso internet, de tecnología alternativa), incluida la provisión de un tiempo de auditoría adicional si fuera necesario.
2. Confidencialidad, Seguridad y Protección de Datos
Deben identificarse todos los requisitos de los suplidores a auditar en relación con la confidencialidad, la seguridad y la protección de datos.
Esto implica que tanto el auditor como el suplidor estén de acuerdo con el uso de las tecnologías de información seleccionadas y con las medidas adoptadas para cumplir estos requisitos
Otro aspecto que deben ser acordados por ambas partes es si el suplidor autoriza la grabación de sonido e imágenes durante la ejecución de la auditoría.
Es una buena práctica que los documentos o registros a ser auditados se compartan en un sistema seguro como la nube, una red privada virtual (VPN) u otros sistemas de intercambio de archivos.
Una vez completada la auditoría, el auditor debe eliminar de su sistema o eliminar el acceso a cualquier información documentada y registros que no sean necesarios para ser retenidos como evidencia objetiva.
3. Evaluación de riesgos
Se debe identificar, evaluar y gestionar los riesgos para alcanzar los objetivos de la auditoría.
Por ejemplo, es importante comprender qué procesos, actividades o sitios de la organización pueden ser auditados de forma virtual y con qué herramienta de tecnología de información disponible.
Con base en la evaluación de riesgos se puede llegar a alguna de las siguientes conclusiones:
- Los objetivos de auditoría se pueden alcanzar con la auditoría virtual.
- Los objetivos de auditoría se pueden lograr parcialmente. En este caso una auditoría virtual se puede hacer parcialmente y más tarde complementarla con una auditoría en sitio.
- Los objetivos de auditoría no pueden alcanzarse mediante la auditoría virtual.
Beneficios y retos de las auditorías virtuales
Las auditorías virtuales tienen muchos beneficios, tales como:
- Un uso más eficiente de los recursos, particularmente tiempo y gastos de viaje del auditor
- También permite la inclusión de expertos técnicos especializados (SMEs- Subject Matter Experts) en una auditoría que de otro modo podría no ser posible debido a limitaciones financieras o logísticas. Por ejemplo, la participación de un experto técnico sólo puede ser necesaria para analizar un proceso específico durante sólo unas horas. Con las tecnologías de información disponibles, el SME puede analizar el proceso de forma remota, reduciendo así el tiempo y los costos asociados con los viajes.
Entre los retos de las auditorías virtuales, podemos señalar:
- Puede ser difícil hacer un tour de la planta auditada, o evaluar procesos específicos de forma virtual.
- Se debe considerar la disponibilidad de cobertura imparcial de la cámara (video o imágenes fijas).
- En algunas situaciones puede ser necesario contratar a auditor sustituto para hacer observaciones en el sitio.
Referencias
ISO 19011:2018 “Guidelines for auditing management systems”
ISO 9001 Auditing Practices Group
Créditos fotográficos: Unsplash, Pixabay, Pexels
