Gestión de cambios y gestión de riesgos

Las organizaciones necesitan evolucionar sin perder control. SÍ estructura mecanismos para evaluar modificaciones y riesgos de procesos, proveedores, equipos, instalaciones, documentación o productos. Los dos servicios son independientes: Change Control administra solicitudes, autorizaciones, implementación y verificación; Risk Management identifica incertidumbre, evalúa consecuencias, define controles y examina riesgo residual. Pueden integrarse cuando los cambios introducen riesgos.

• Modificaciones sin evaluación formal de impacto.
• Cambios de proveedores, materiales o software sin revisión transversal.
• Áreas afectadas que desconocen cambios aprobados.
• Cambios urgentes realizados sin protocolo excepcional.
• Matrices de riesgos sin responsables ni revisiones.
• Puntajes de riesgo sin fundamento o usados como precisión estadística.
• Riesgos residuales no reevaluados.
• Desviaciones tras cambios no suficientemente controlados.

03.1 Diagnóstico conjunto

Revisión de registros, procedimientos, roles, clasificaciones, historial de cambios, matriz de riesgos y controles.

Entregable orientativo: Informe de brechas y prioridades.

03.2 Sistema Change Control

Solicitud, clasificación, evaluación de impacto, aprobación, implementación, excepción, seguimiento y cierre.

Entregable orientativo: PNO/SOP, formatos y matriz de cambios.

03.3 Evaluación de cambios específicos

Revisión de justificación, estado actual/propuesto, áreas, productos, documentos, riesgos, requisitos y decisiones necesarias.

Entregable orientativo: Expediente de impacto y condiciones.

03.4 Implementación y verificación de cambios

Planes, responsables, dependencias, pruebas requeridas, evidencias, revisión posterior, riesgo residual y cierre competente.

Entregable orientativo: Cronograma y reporte de implementación.

03.5 Diseño del sistema de riesgos

Contexto, categorías, criterios de evaluación, responsables, tolerancias, escalamiento y registro maestro.

Entregable orientativo: Procedimiento y herramientas de riesgo.

03.6 Identificación y análisis

Escenarios, causas, consecuencias, probabilidad, severidad, exposición, controles, incertidumbre y datos relevantes.

Entregable orientativo: Evaluación sustentada de riesgos.

03.7 Métodos de evaluación

FMEA/AMEF, FMECA, FTA, HAZOP, HACCP, What-if, Bow-Tie y otras técnicas solo cuando procedan y haya competencia.

Entregable orientativo: Matrices, análisis y anexos.

03.8 Tratamiento de riesgos

Selección de controles, responsables, plazos, alternativas, seguimiento y aceptación competente del riesgo residual.

Entregable orientativo: Plan de tratamiento y seguimiento.

03.9 Revisión y mejora

Indicadores, reevaluaciones periódicas, lecciones de incidentes, nuevos riesgos y cambios vinculados.

Entregable orientativo: Actualizaciones del sistema e informe.

• Informe de situación inicial.
• Sistema de gestión de cambios y PNO/SOP.
• Solicitud, expediente y matriz de impacto del cambio.
• Modelo de gestión de riesgos, registros, matrices y análisis FMEA cuando proceda.
• Plan de implementación y controles.
• Evaluación del riesgo residual.
• Dashboard e informes de seguimiento. La lista representa opciones de alcance. La propuesta específica definirá cantidades, archivos, ciclos de revisión, criterios de aceptación y dependencias; no se presume la inclusión automática de todos los elementos.

• Diagnóstico
• Diseño Change Control
• Diseño Risk Management
• Evaluación puntual de cambio
• Evaluación puntual de riesgo
• Implementación integral
• Mantenimiento recurrente Los servicios pueden contratarse como una intervención delimitada, por fases, de manera integral o recurrente. No se publican tarifas universales: se cotiza según alcance y recursos.

• Decisiones sobre cambios con impacto visible.
• Responsabilidades y autorizaciones definidas.
• Riesgos priorizados mediante criterios explícitos.
• Seguimiento de tratamientos y riesgos residuales. Los beneficios son objetivos técnicos y operativos cuya magnitud dependerá del estado inicial, participación del cliente y ejecución real; no representan garantía de resultados.

• Cambios por nivel, atrasos, tiempo de evaluación y cierres.
• Cobertura de evaluación de impacto.
• Riesgos sin responsable o sin seguimiento.
• Tratamientos implementados y controles evaluados.
• Riesgos residuales escalados. Las fórmulas, denominadores, línea base, fechas de corte, fuentes, metas y responsables se acordarán antes de utilizar los indicadores. No se informarán porcentajes sin sustento.

• Descripción de cambios, procesos, equipos, proveedores, sistemas y especificaciones.
• Registros históricos, matrices, CAPA, auditorías, responsabilidades y requisitos. La solicitud de información puede organizarse por fases. La documentación sensible se revisará bajo accesos autorizados y condiciones de confidencialidad apropiadas.

SÍ: delimitar alcance; evaluar evidencia; comunicar hallazgos y limitaciones; desarrollar productos contratados; presentar revisiones; gestionar cambios del proyecto; capacitar y dar seguimiento cuando corresponda.

Cliente: proporcionar información real; designar responsables; validar aspectos técnicos; aprobar y poner en vigor documentos; asignar recursos; adoptar decisiones sanitarias, regulatorias u operativas conforme a sus facultades; conservar registros y ejecutar acciones.

• SÍ no aprueba cambios por cuenta de funciones legalmente facultadas ni acepta riesgos críticos por la empresa.
• Un análisis FMEA no garantiza que no habrá incidentes ni transforma escalas cualitativas en probabilidades estadísticas.
• Laboratorios, validaciones, estudios clínicos, HAZOP altamente especializado y actividades reservadas requieren competencias específicas.
• No se fabrican aprobaciones retrospectivas para cambios ya implementados. Como regla transversal, no se incluyen automáticamente certificaciones, dictámenes oficiales, trámites, licencias, laboratorios, representación jurídica, validaciones especializadas, compra de software o equipos, ni servicios que exijan habilitación profesional específica. Estas actividades deberán contratarse separadamente con la figura competente. SÍ no garantiza autorizaciones de terceros y no altera evidencia histórica.

ISO 31000; IEC 31010; ISO 9001; ICH Q9(R1); ICH Q10; NOM-059 cuando aplique; ISO 14971 para dispositivos médicos si corresponde.

La edición, el alcance normativo y los requisitos aplicables deberán verificarse para cada cliente. La inclusión de una referencia no convierte esa norma en obligatoria para todas las organizaciones.

Según alcance, el cierre puede incluir relación de entregables, archivos editables y de consulta acordados, registros de revisión, estado de aprobaciones, evidencias de implementación, informe final, pendientes y recomendaciones. La conclusión contractual no debe confundirse con la autorización, certificación o verificación formal de los procesos del cliente.