Cumplimiento GxP Pharma y SOX

Una visión general de las regulaciones GxP en farmacéutica y el cumplimiento SOX — qué significan para la ingeniería de datos y software.

GxP y SOX son marcos regulatorios que afectan cómo construimos y gestionamos sistemas en farmacéutica y finanzas. Si trabajas con datos en estas industrias, necesitas entenderlos.

¿Qué Es GxP?

GxP = “Good x Practice” (Buenas Prácticas de x) — un conjunto de directrices de calidad para industrias reguladas (principalmente farma, biotech, dispositivos médicos).

La “x” cambia según el área:

Abreviatura	Nombre Completo	Aplica A
GMP	Good Manufacturing Practice	Producción, fabricación
GLP	Good Laboratory Practice	Pruebas de laboratorio, investigación
GCP	Good Clinical Practice	Ensayos clínicos
GDP	Good Distribution Practice	Almacenamiento, transporte
GDocP	Good Documentation Practice	Toda la documentación

GxP en Datos y Software

Cuando el software se usa en procesos GxP, debe ser validado:

Ciclo de Vida de Software GxP:
Requisitos → Diseño → Construcción → Testing → Validación → Producción
    │           │          │            │          │
    └── documentado ── trazable ── testado ── aprobado

Principio	Significado
ALCOA+	Los datos deben ser Atribuibles, Legibles, Contemporáneos, Originales, Exactos (+ Completos, Consistentes, Duraderos, Disponibles)
Integridad de Datos	Los datos no se pueden modificar sin rastro de auditoría
Validación	Demostrar que el sistema hace lo que debe hacer
21 CFR Part 11	Regla de la FDA para registros y firmas electrónicas
Annex 11	Equivalente de la UE para sistemas informatizados

Validación de Sistemas Informáticos (CSV)

El proceso de demostrar que un sistema funciona correctamente en un entorno GxP:

┌─────────────────────────────────────────────┐
│              Modelo V                       │
│                                             │
│  Requisitos Usuario ◄──────► Test Usuario   │
│       │                          ▲          │
│  Espec. Funcional ◄──────► Test Integración │
│       │                          ▲          │
│  Espec. Diseño   ◄──────► Test Unitario     │
│       │                          ▲          │
│       └──────► Construcción ─────┘          │
└─────────────────────────────────────────────┘

Categorías GAMP 5

El software se clasifica por riesgo:

Categoría	Tipo	Esfuerzo de Validación
Cat 1	Infraestructura (SO, red)	Bajo
Cat 3	No configurado (estándar)	Medio
Cat 4	Configurado (ERP, LIMS)	Alto
Cat 5	Desarrollo a medida	Máximo

¿Qué Es SOX?

SOX = Ley Sarbanes-Oxley (2002). Una ley de EEUU que requiere que las empresas públicas tengan controles sobre los informes financieros.

SOX y TI

SOX afecta a TI porque los datos financieros fluyen a través de sistemas de TI:

Transacción Financiera
    │
    ▼
Sistema TI (ERP, base de datos, reporting)
    │
    ▼
Informe Financiero → debe ser exacto y auditable

Controles Clave de TI para SOX

Control	Qué Significa
Control de acceso	¿Quién puede acceder a qué? Mínimo privilegio
Gestión de cambios	Todos los cambios documentados y aprobados
Segregación de funciones	Nadie controla todo el proceso solo
Rastro de auditoría	Registrar quién hizo qué y cuándo
Backup y recuperación	Los datos se pueden recuperar
Integridad de datos	Los datos son exactos y completos

SOX para Ingenieros de Datos

Área	Requisito
Pipelines ETL	Documentados, testados, con control de cambios
Acceso a bases de datos	Basado en roles, revisado regularmente
Cambios de datos	Rastro de auditoría para todas las modificaciones
Informes	Validados, reconciliados con la fuente
Despliegues	Aprobados, testados primero en no-producción

Comparación GxP vs SOX

Aspecto	GxP	SOX
Industria	Farma, biotech, médico	Empresas públicas (finanzas)
Foco	Seguridad del paciente, calidad del producto	Exactitud de informes financieros
Regulador	FDA, EMA	SEC, PCAOB
Foco en datos	Integridad de datos ALCOA+	Exactitud de datos financieros
Foco en sistemas	Validación (CSV)	Controles de TI
Documentación	Extensa (SOPs, protocolos)	Documentación de controles
Auditoría	Inspecciones de la FDA	Auditores externos (anual)

Impacto en Plataformas de Datos

Plataforma de Datos en Entorno Regulado:
┌─────────────────────────────────────────┐
│  Control de Acceso (quién ve qué)       │
├─────────────────────────────────────────┤
│  Rastro de Auditoría (quién cambió qué) │
├─────────────────────────────────────────┤
│  Gestión de Cambios (cambios aprobados) │
├─────────────────────────────────────────┤
│  Validación (testado y documentado)     │
├─────────────────────────────────────────┤
│  Calidad de Datos (ALCOA+, reconcil.)   │
└─────────────────────────────────────────┘

Consejos Prácticos

Práctica	Cómo
Control de versiones	Git para todo el código y configuración
CI/CD con puertas	Tests automáticos + aprobación manual
Infraestructura como Código	Entornos reproducibles y auditables
Logging	Logs centralizados e inmutables
Revisiones de acceso	Revisión trimestral de permisos
Documentación	Mantener SOPs y runbooks actualizados

Resumen

Concepto	Idea Clave
GxP	Directrices de calidad para farma/biotech
CSV	Demostrar que tu sistema funciona correctamente
ALCOA+	Principios de integridad de datos
SOX	Controles sobre informes financieros
Controles TI	Acceso, cambios, rastros de auditoría
Hilo común	Documentar todo, controlar acceso, auditar