Cómo realizar revisiones periódicas de los sistemas informatizados

Una revisión periódica exhaustiva comienza con la evaluación de todos los cambios realizados en el sistema desde el último ciclo de revisión. Esto incluye modificaciones de hardware, software, configuraciones, componentes de infraestructura e interfaces externas. Incluso las actualizaciones o parches menores deben considerarse, especialmente si incluyen mejoras de seguridad o rendimiento.

También debe revisarse la documentación. Cualquier cambio en los requisitos de usuario, especificaciones funcionales, procedimientos operativos o materiales de formación debe reflejarse en el conjunto documental del sistema. Un área frecuentemente ignorada es el impacto acumulativo de varios cambios pequeños que, de forma individual, pueden parecer menores, pero colectivamente pueden alterar significativamente el rendimiento o el perfil de riesgo del sistema.

Además, hay que tener en cuenta los factores externos, como actualizaciones regulatorias o cambios en guías aplicables, que pueden afectar el estado validado del sistema. Mantenerse alineado con las expectativas normativas actuales es un componente esencial del cumplimiento.

Consejo: utiliza los registros de cambios y los historiales de control de versiones para identificar modificaciones y comprobar su correspondencia con las actualizaciones documentales. Cuando sea posible, emplea herramientas de auditoría de configuración para detectar cambios no autorizados o no documentados.

Además de la revisión de cambios, las evaluaciones periódicas deben incluir todos los procesos de soporte asociados al sistema. Esto implica confirmar que las acciones derivadas de revisiones anteriores, auditorías o CAPA se han abordado eficazmente. La revisión de auditorías y accesos es fundamental, así como la reevaluación de los permisos de usuario para detectar posibles riesgos de segregación de funciones o cuentas inactivas.

También deben considerarse los incidentes de seguridad y las amenazas emergentes, especialmente en sistemas conectados a internet o alojados en la nube. Las actividades de mantenimiento, los acuerdos de servicio y los contratos con proveedores deben revisarse para garantizar su vigencia. Los procedimientos de copia de seguridad, recuperación ante desastres y archivado deben probarse y verificarse para asegurar la disponibilidad y protección de los datos.

Por último, es importante evaluar si los nuevos requisitos normativos o actualizaciones de guías (como la revisión propuesta del Anexo 11) han generado brechas de cumplimiento que deban cerrarse.

Consejo: desarrolla una lista de verificación de revisión periódica adaptada a la clasificación de riesgo de tu sistema, incluyendo todas estas áreas para no omitir ningún aspecto.

Una revisión periódica puede activarse por una planificación programada o por un cambio significativo en el sistema o su entorno. El equipo revisor debe incluir representantes de IT, QA y del área de negocio responsable. Este enfoque transversal garantiza que se evalúen adecuadamente los aspectos técnicos y regulatorios.

Recopila y examina toda la documentación relevante, incluidos los entregables de validación (URS, guiones de prueba, matrices de trazabilidad), controles de cambio, desviaciones, informes CAPA y registros de formación. Esto permite establecer una visión clara de lo que ha cambiado y si las actualizaciones se han controlado y documentado correctamente. 

Realiza comprobaciones prácticas o basadas en herramientas de las configuraciones del sistema, los derechos de acceso de usuario, los registros de copia de seguridad, las trazas de auditoría y los logs del sistema. Si aplica, realiza una revisión de muestra del audit trail para detectar anomalías o incumplimientos. Verifica también si se han realizado las pruebas de restauración conforme al plan de backups.

Consejo: utiliza herramientas automatizadas para el análisis de trazas de auditoría y logs, lo que mejora la cobertura y reduce el tiempo de revisión.

Con base en los hallazgos documentales y técnicos, reevalúa el nivel de riesgo actual del sistema y determina si sigue alineado con su estado validado. Presta especial atención a los controles de integridad de datos, siguiendo los principios ALCOA+ (Atribuible, Legible, Contemporáneo, Original, Exacto). Identifica cualquier desviación frente a las expectativas regulatorias actuales, especialmente si se han publicado nuevas guías desde la última revisión.

Compila los resultados en un informe formal que resuma todos los elementos revisados, documente las acciones correctivas necesarias y concluya sobre el estado validado del sistema. El informe debe ser revisado y aprobado por QA y los responsables pertinentes. Todas las acciones deben seguirse hasta su cierre antes de considerar la revisión como finalizada.

• Utiliza un sistema centralizado de seguimiento para gestionar los calendarios de revisiones periódicas y almacenar los resultados.
• Adopta plantillas estandarizadas para asegurar una documentación consistente entre sistemas y sitios.
• Involucra a todos los stakeholders relevantes, incluidos los usuarios del sistema, quienes pueden aportar contexto sobre su uso en escenarios reales.
• Revisa los registros de formación de administradores y usuarios para confirmar su competencia continua.
• Aprovecha herramientas de monitorización automatizada siempre que sea posible para reducir el esfuerzo manual.

• Realizar la revisión como una formalidad sin una evaluación técnica profunda.
• Ignorar el impacto potencial de cambios pequeños pero acumulativos.
• No abordar ni dar seguimiento a los hallazgos de revisiones anteriores.
• Pasar por alto cambios en la normativa o guías externas.
• No detectar cambios no documentados debido a la falta de gestión de configuración..