Lo que una auditoría de fábrica OEM comprueba realmente: ISO 22716, GMPC y las normas GMP detrás de cada mercado

La mayoría de las auditorías no fallan en la sala blanca, fallan en los registros

Un auditor no entra en una fábrica de cosmética esperando ver suelos impecables. Lo que espera son pruebas: que el mismo proceso que produjo su lote también produjo el lote anterior y el siguiente. La norma sobre la que se construyen la mayoría de las auditorías es la ISO 22716:2007 – y sigue siendo la edición vigente. ISO/TC 217 la revisó en diciembre de 2022 y confirmó que permanece válida. No existe una ISO 22716:2026. Si un proveedor afirma que existe una versión más reciente, pregúnteles qué cláusula cambió y por qué. En la red de QuickOEM, todas las fábricas se evalúan contra esa misma referencia, y los números de certificado se comprueban en el registro público del organismo de certificación emisor antes de incluir una planta. El resto de este artículo es la lista de comprobación que aplicaríamos nosotros como comprador.

ISO 22716 es una norma de proceso, no de producto

No dice nada sobre si su suero funciona de verdad. Dice mucho sobre si la fábrica puede demostrar que fabricó lo que dice haber fabricado, de forma constante, y poder seguir demostrándolo tres años después cuando una autoridad lo pregunte. La norma se organiza en torno a unos pocos sistemas, y el auditor prueba cada uno con registros, no con entrevistas.

• Gestión de la calidad – responsabilidades documentadas, asignación de recursos, revisión por la dirección y programas de auditoría interna con hallazgos y seguimiento reales.
• Instalaciones y equipos – tratamiento de agua y su validación, tratamiento de aire donde haga falta, registros de limpieza y desinfección, diarios de calibración.
• Producción y control – registros de lote, controles en proceso, conciliación de pesos y volúmenes, comprobaciones de rendimiento y monitorización ambiental cuando lo exige la forma farmacéutica.
• Control de calidad – el laboratorio que libera los lotes, muestras de retención, datos de estabilidad y cómo se gestiona el material fuera de especificación.
• Quejas, desviaciones, control de cambios y retirada – las cuatro áreas donde las fábricas pierden más puntos, precisamente porque no se pueden improvisar el día de la auditoría.

UE: el GMP es una obligación legal y el PIF debe declararlo

El artículo 8 del Reglamento (CE) n.º 1223/2009 exige que los productos cosméticos se fabriquen conforme a las buenas prácticas de manufactura. El artículo 11 exige además que el fichero de información del producto (PIF) incluya una declaración de que el producto se desarrolló y fabricó cumpliendo el GMP, y el PIF debe conservarse al menos 10 años. Esa sola frase explica por qué una fábrica orientada a la UE mantiene un conjunto documental sustancialmente distinto al de una que solo vende en su mercado interior. También explica por qué nuestra respuesta tenemos GMP es una frase incompleta: la declaración debe acompañar a una planta concreta, una categoría de producto concreta y un titular concreto del PIF. Si el PIF de una crema lo firmó un sitio que no fabrica cremas, el expediente no sostiene la declaración.

Qué significa el GMP en cada mercado: UE, EE. UU., China, UK, Indonesia, Arabia Saudí, Australia

La referencia cambia según el destino. Una fábrica cómoda con dos regímenes normalmente no lo está con todos, y esa es justamente la pregunta a hacer antes de hacer el pedido.

• Unión Europea – El GMP es obligatorio conforme al (CE) 1223/2009 y la autoridad competente puede auditarle a usted o a su fábrica directamente. Notificación a través del CPNP; conservación del PIF durante 10 años.
• Estados Unidos – La MoCRA facultó a la FDA para dictar su propia norma GMP, pero hasta finales de 2026 no se ha publicado ninguna versión final. En la práctica sirve de referencia la ISO 22716. El registro de establecimiento se renueva cada dos años, los efectos adversos graves se notifican en 15 días laborables desde que se tiene conocimiento y la FDA tiene poder de retirada obligatoria.
• China – La normativa GMP de cosmética está en vigor desde el 1 de enero de 2022. A título de escala, los datos del sector a finales de 2024 cifraban en 5.935 el número de empresas productoras de cosmética en todo el país; esa cifra es del sector en su conjunto, no una lista de proveedores auditados. Tómela como contexto de lo reducido del peso ofertado certificado.
• Reino Unido – El SCPN no es un espejo del CPNP de la UE. La vía de registro, el contenido del PIF y la autoridad competente no se trasladan de un lado a otro de la frontera, y el PIF debe conservarse en inglés al menos 10 años.
• Indonesia (BPOM) – Una notificación necesita un número NA válido y se exige un titular local de la notificación. Las pruebas de GMP se examinan en la fase de registro, así que el expediente que guarda debe coincidir con el que presenta.
• Arabia Saudí – La conformidad se verifica lote a lote mediante SFDA, GHAD y FASEH. La ruta se documenta antes que se calcula en calendario, así que evite prometer un número fijo de días laborables en su expediente.
• Australia – No hay registro previo de comercialización de cosmética, pero debe registrarse como introducer de AICIS y conservar los registros al menos cinco años. Los protectores solares son productos terapéuticos de la TGA y llevan obligaciones propias.

ISO 9001 no le va a salvar

Un certificado de sistema de calidad acredita que una empresa opera un sistema de gestión documentado. No acredita que ese sistema cubra riesgos propios de la cosmética, como el test de desafío de eficacia conservante, los límites microbiológicos, la estabilidad, el control de contaminación o el contenido de la información del producto. Las autoridades no aceptan la ISO 9001 como sustituto del GMP de cosmética, y tampoco un auditor que lleve delante media docena de inspecciones. La cautela inversa importa igual: poseer un certificado ISO 22716 no le dice nada del estado de la planta esta mañana. Las certificaciones describen el momento de la certificación. Solo una auditoría presencial –o una auditoría remota documentada contra una lista de verificación ISO 22716– describe el día de hoy.

El GMPC chino y la ISO 22716 no son el mismo instrumento jurídico

Los dos se llaman GMP, pero no son el mismo instrumento. La normativa china es derecho interno con su propia vía de inspección y sanción; la ISO 22716 es una norma de consenso internacional, adoptada por los clientes y utilizada por las autoridades como referencia. Una planta puede ostentar ambos certificados y tener igualmente lagunas en el régimen que sus clientes nunca le preguntan. Por eso pedimos ambos juegos de registros y comprobamos que el alcance corresponda a la planta y al tipo de formulación. Un establecimiento certificado en ISO 22716 para cosmética general puede tener controles completamente distintos para una emulsión leave-on, un suero o un protector solar – así que verifique por forma farmacéutica, no por empresa.

Los cinco registros que deciden el resultado

Si no recuerda nada más de este artículo, recuerde estos cinco. A los auditores se les entrena para seguir un registro hacia atrás, no para admirar una instalación.

• Registros de lote que concilien – peso de entrada, rendimiento y consumo de envase frente a lo realmente expedido, con cada merma explicada.
• Diarios de desviaciones y control de cambios con quién aprobó el cambio, cuándo y qué evaluación de riesgo lo respaldó. Las desviaciones abiertas oিদadas por encima son el hallazgo más frecuente.
• Muestras de retención conservadas el periodo definido y correctamente etiquetadas, para que un lote de hace tres años siga siendo analizable.
• Expedientes de quejas y retiradas, incluida la prueba de un ejercicio de retirada. Muchas fábricas tienen una política en el estante y ninguna constancia de haberla practicado jamás.
• Registros de formación y cualificación de las personas que manipulan el producto, sobre todo en pasos asépticos o de riesgo alto.

Cómo verificar un certificado en unos quince minutos

Los números de certificado son públicos por diseño. Úselo en lugar del PDF del dossier del proveedor.

• Compruebe el número en el registro público del organismo de certificación emisor, no en un documento que le haya reenviado el proveedor.
• Confirme el alcance: la dirección de la planta y las formas farmacéuticas deben cubrir lo que usted compra. Un certificado de grupo que abarque varias entidades jurídicas no es una garantía de una sola planta.
• Confirme las fechas: certificación inicial, caducidad actual y ciclo de auditoría. Un certificado caducado sin vía de renovación es peor que no tener certificado.
• Confirme el idioma del alcance en plantas de origen chino. Muchos certificados llevan un alcance en chino que no nombra las categorías de producto que necesita.
• Pida el informe de auditoría más reciente en lugar del certificado solo. La página de hallazgos y acciones correctoras es donde una fábrica débil se delata.

Convertir la auditoría en una decisión de compra

Una auditoría no es un evento de aprobado o suspenso. Es un conjunto de riesgos que usted acepta, incorpora al coste unitario o cierra con cláusulas contractuales antes del primer envío. La mayoría de las marcas invierte demasiado en la planta física y demasiado poco en la paperaserie que es la que realmente provoca una retirada. Las correcciones más baratas deben exigirse desde el principio: un titular de PIF nombrado, un plan de muestreo de retención, una vía de quejas escrita hacia la fábrica y un compromiso de respuesta con datos de lote en 48 horas. En QuickOEM, el acceso para la marca es gratuito y los presupuestos de las fábricas llegan directamente sin margen añadido. Indíquenos sus mercados objetivo y le propondremos solo las plantas cuyo alcance de certificación los cubra.