Auditorías MDR/IVDR: cómo prepararse para demostrar que el sistema funciona

Una nueva exigencia regulatoria

El Reglamento (UE) 2017/745 (MDR) y el Reglamento (UE) 2017/746 (IVDR) han modificado la lógica de las auditorías regulatorias en el sector sanitario. Lo que durante años fue una verificación esencialmente documental se ha transformado en una revisión integral de coherencia, evidencia y madurez del sistema.

Los organismos notificados han elevado el nivel de exigencia y profundizan en aspectos antes apenas explorados: la consistencia entre documentación técnica y operativa real, la vigilancia activa del producto en mercado, la trazabilidad de la evidencia clínica o del rendimiento, y la capacidad de gestionar cambios, incidencias y acciones correctivas y preventivas (CAPA). En consecuencia, muchas empresas que se consideraban preparadas ya no lo están. Una auditoría MDR/IVDR no se supera teniendo documentos; se supera demostrando que el sistema vive.

Los errores que más se repiten

Las desviaciones más frecuentes tienen un origen común: la falta de alineación transversal. Es habitual que la documentación técnica no refleje el estado real del producto, ya sea por versiones desactualizadas, etiquetados e instrucciones de uso (IFU) no revisados o cambios de proveedor no incorporados al expediente. A ello se suma un seguimiento postcomercialización (PMS) tratado como un mero requisito formal, con planes genéricos, informes poco analíticos y débil integración con la gestión de riesgos. Y, quizás lo más costoso en auditoría: procedimientos que describen una práctica “ideal” mientras que el día a día va por otro carril.

Preparación por capas

Una preparación sólida no se improvisa. Conviene abordarla por capas, porque eso es lo que el organismo notificado va a recorrer: del sistema general al expediente concreto, y de ahí a la evidencia operativa.

1. El sistema de calidad (QMS) como punto de partida: El punto de partida es el QMS. Debe estar claro quién decide, quién ejecuta y quién verifica. Esto incluye organigrama funcional, responsabilidades, suplencias y un control de cambios que abarque diseño, proceso, software y etiquetado. La auditoría no se gana con un “manual perfecto”, sino con evidencias: registros, revisiones, trazabilidad de decisiones y un circuito de CAPA que no sea meramente administrativo. En CAPA el foco es inequívoco: no basta con abrir y cerrar; hay que poder mostrar análisis de causa, contención y verificación de eficacia.
2. El expediente técnico y la prueba de coherencia: La documentación técnica debe permitir evaluar la conformidad y mantenerse actualizada a lo largo del ciclo de vida del producto, tanto bajo MDR como bajo IVDR. En auditoría, es frecuente que el examinador “tire del hilo” desde una afirmación concreta (prestación, riesgo, reivindicación clínica o de rendimiento) hasta los requisitos aplicables, la evidencia que lo soporta, la gestión de riesgos, la información al usuario (etiquetado e IFU) y los datos poscomercialización que confirman o cuestionan lo declarado. Si esa cadena se rompe en un eslabón -o si hay saltos no justificables- aparece la no conformidad.
3. Seguimiento postcomercialización: del plan a la decisión: Tanto el MDR como el IVDR exigen un PMS proporcional al riesgo y al producto, orientado a recoger y analizar datos de calidad, funcionamiento y seguridad y a derivar acciones preventivas y correctivas, concretado en un plan con requisitos mínimos. Lo auditable es la cadena completa: fuentes de datos identificadas, indicadores y umbrales para revaluar el balance beneficio-riesgo, análisis periódico documentado y decisiones trazables sobre qué se revisó, qué se concluyó y qué se modificó.
4. Vigilancia: criterios, plazos y prueba de reacción: El fabricante debe notificar incidentes graves y acciones correctivas de seguridad con los plazos previstos en MDR e IVDR, modulados por gravedad. En auditoría, el examen rara vez se queda en la notificación: se exploran los criterios internos de evaluabilidad, el cálculo del “día cero” como momento en que la organización conoció el incidente, la trazabilidad de la investigación y su coherencia con CAPA, PMS y, si procede, la actualización del expediente técnico. Estas variables miden la capacidad real de reacción.
5. Trazabilidad, UDI y operadores económicos: La trazabilidad es una columna del sistema. El MDR y el IVDR regulan el sistema de identificación única del producto (UDI), su implantación en etiquetado y embalaje, y fijan obligaciones de diligencia para distribuidores e importadores, que deben verificar marcado CE, información facilitada y, cuando proceda, UDI antes de comercializar. Si la cadena de suministro no está alineada, el auditor encuentra rápidamente las incoherencias: versiones de IFU conviviendo en mercado, cambios no comunicados aguas abajo, reclamaciones que no han recorrido el circuito previsto. 

Para las clases de mayor riesgo —IIa, IIb y III en MDR; C y D en IVDR—, el informe periódico actualizado de seguridad (PSUR) debe reflejar el pulso real del producto. En esa misma lógica, el seguimiento clínico postcomercialización (PMCF) en MDR y el seguimiento del rendimiento PMPF en IVDR cierran el ciclo de evidencia viva.

El simulacro: la técnica más rentable

El ejercicio que más valor aporta antes del día D es un mock audit interno. Conviene seleccionar uno o dos productos representativos por clase, riesgo y tecnología, y recorrer con ellos el sistema completo: del expediente técnico a la fabricación, de una reclamación real a su tratamiento en CAPA y PMS, del etiquetado y UDI al control de cambios. El objetivo no es revisar la redacción de los procedimientos, sino detectar gaps de evidencia: es habitual descubrir que la documentación dice lo que debe decir, pero que los registros no lo demuestran.

Llegado el momento, conviene organizar un war room con un responsable de auditoría y referentes por proceso, capaces de localizar evidencia con agilidad.

La regla operativa es simple: responder con el binomio procedimiento, registro y resultado, sin elaborar más allá de lo preguntado. Siempre que surja una no conformidad, esta deberá documentarse con causa, contención, acción correctiva y plazo realista. Las promesas de solución inmediata sin análisis previo son, en sí mismas, señal de inmadurez del sistema.

Conclusión: una cuestión estratégica, no sólo regulatoria

La auditoría MDR/IVDR debe entenderse como la fotografía de un proceso continuo, no como un examen puntual. Cuando el sistema regulatorio se diseña para vivir, los hallazgos disminuyen, los plazos se acortan y la organización gana capacidad de respuesta ante cambios normativos y exigencias de clientes hospitalarios.

El compliance ha dejado de ser carga administrativa para convertirse en ventaja competitiva: las compañías que llegan a una auditoría con un sistema coherente y bien gobernado refuerzan su posición frente a organismos notificados, autoridades competentes y compradores públicos del Sistema Nacional de Salud y del entorno europeo. Prepararse bien para una auditoría MDR/IVDR es, en último término, prepararse mejor para competir.

Número 7 2026

Ver Online