Integridad de datos y ALCOA+: la base de la confianza

Si los datos que respaldan la calidad de un medicamento no son confiables, nada de lo que se construye sobre ellos lo es: ni el certificado de análisis, ni la liberación del lote, ni la decisión de que un producto es seguro.

Qué significa integridad de datos

La integridad de datos es el grado en que los datos son completos, consistentes y exactos a lo largo de todo su ciclo de vida: desde que se generan hasta que se archivan o se eliminan de forma controlada. Aplica tanto a registros en papel como electrónicos, aunque son estos últimos los que concentran la mayor parte de los hallazgos de inspección.

Los principios ALCOA+

El acrónimo ALCOA resume los atributos que todo dato regulado debe cumplir. Con el tiempo se ampliaron a ALCOA+, añadiendo cuatro principios más:

Principio	Qué exige
Atribuible	Se sabe quién generó o modificó el dato y cuándo.
Legible	El dato se puede leer y entender durante toda su conservación.
Contemporáneo	Se registra en el momento en que ocurre la actividad.
Original	Es el registro fuente o una copia certificada verdadera.
Exacto	Refleja correctamente lo observado, sin alteraciones.
+ Completo	Incluye todos los datos, también reprocesos y descartes justificados.
+ Consistente	La secuencia y las marcas de tiempo son coherentes.
+ Perdurable	Se conserva en un soporte duradero el tiempo requerido.
+ Disponible	Puede recuperarse para revisión o inspección.

Si un dato no se puede atribuir a una persona, fechar con certeza y recuperar años después, no es confiable, por muy correcto que parezca.

El audit trail: dónde se gana o se pierde

El audit trail (registro de auditoría) es la traza automática que deja un sistema de cada acción relevante: quién creó, modificó o eliminó un dato, cuándo y —cuando aplica— por qué. Es la principal evidencia de que la integridad se mantiene, y también donde los inspectores encuentran más problemas. Los más comunes:

• Audit trail deshabilitado o configurable por el usuario. Si quien opera el equipo puede apagar el registro, la traza no vale.
• Usuarios compartidos. Una cuenta «admin» usada por varias personas rompe la atribuibilidad.
• Fecha y hora modificables. Si el reloj se puede cambiar, la contemporaneidad deja de ser demostrable.
• Revisiones que nunca se hacen. Tener audit trail no basta; hay que revisarlo y dejar constancia.
• Resultados «de prueba» que en realidad se usan. Repetir un análisis hasta obtener el resultado deseado es de las faltas más graves.

Qué revisa un inspector

Cuando una agencia evalúa la integridad de datos, no se queda en la política escrita. Suele pedir:

• Ver el audit trail de un lote concreto y seguir la trazabilidad completa de un resultado.
• Comprobar la gestión de accesos: perfiles, privilegios y segregación de funciones.
• Revisar respaldos y su restauración: un backup nunca probado no garantiza disponibilidad.
• Verificar que los datos originales (crudos) se conservan, no solo los reportes finales.

La conexión con la ciberseguridad

La integridad de datos y la seguridad de la información comparten raíz. Un control de accesos débil, la falta de cifrado en los respaldos o la ausencia de monitoreo no son solo riesgos de seguridad: son también riesgos de integridad. Si un atacante —o un usuario interno— puede alterar un registro sin dejar traza, la confiabilidad del dato se pierde.

Cómo empezar

Un buen punto de partida es una evaluación de brechas (gap assessment) frente a ALCOA+: inventariar los sistemas que generan datos GxP, revisar cómo gestionan el audit trail, los accesos y los respaldos, y priorizar las brechas por su impacto. A partir de ahí se construye un plan de remediación realista, que casi siempre combina ajustes de configuración, procedimientos y capacitación.