Hay un momento en la vida de cualquier planta farmacéutica en el que alguien hace la pregunta incómoda: "¿este Excel está validado?". La respuesta, casi siempre, es algún tipo de silencio. Y ese silencio tiene un coste medible.
En 2025, la FDA emitió 470 warning letters al sector pharma. El 60 al 80% de las observaciones de inspección a fabricantes de medicamentos están relacionadas con fallos de integridad de datos, según análisis publicados por consultoras especializadas. Una parte no menor de esas observaciones cita textualmente el uso de hojas de cálculo Excel no validadas para cálculos críticos de calidad: contenido de API, impurezas, resultados de estabilidad, liberación de lotes.
Este artículo no es un sermón contra Excel. Excel es una herramienta extraordinaria, y en la mayoría de contextos hace su trabajo. El problema empieza cuando se usa para soportar decisiones reguladas — liberación de producto, registros GMP, cálculos analíticos — sin las garantías que la normativa exige. Y la normativa, en los últimos años, ha endurecido mucho lo que entiende por "garantía".
Lo que sigue va dirigido a Directores de Calidad, Responsables de Producción y Directores Técnicos que se están planteando, o deberían plantearse, la pregunta clave: ¿hasta qué punto Excel puede seguir siendo nuestra herramienta de trabajo en un entorno cada vez más exigente con la integridad de datos?
Qué dice exactamente la normativa sobre Excel
La FDA y la EMA no prohíben Excel. Lo que prohíben es usar cualquier sistema computarizado que afecte a calidad de producto sin haberlo validado formalmente. Esto se aplica a Excel exactamente igual que a un LIMS, un ERP o un sistema SCADA.
El marco regulatorio de referencia es:
21 CFR Part 11 — Electronic Records; Electronic Signatures (FDA). Exige que cualquier registro electrónico utilizado para satisfacer requisitos GMP cumpla con criterios de integridad, autenticación de usuario, audit trail y firma electrónica.
21 CFR 211.68(b) — Cita explícitamente la obligación de mantener "controles apropiados sobre sistemas computarizados o relacionados para asegurar que solo personal autorizado realiza cambios en registros maestros de producción o control".
EU GMP Annex 11 — Computerised Systems. El equivalente europeo, alineado en intención con Part 11. Aplica a todo sistema GxP en territorio EU.
GAMP 5 (ISPE) — Aunque no es regulación, es el estándar de la industria para gestión del ciclo de vida de sistemas computarizados validados (CSV).
Lo que estas normas piden, en términos prácticos, para cualquier sistema que afecte a calidad — incluido un Excel:
- Documentación del propósito y los requisitos del sistema (URS).
- Validación documentada (IQ, OQ, PQ).
- Control de versiones y trazabilidad de cambios.
- Acceso restringido y atribuible (cada usuario con su credencial).
- Audit trail que registre creación, modificación y eliminación de datos.
- Firma electrónica conforme a las garantías de Part 11.
- Procedimiento de revisión periódica.
- Plan de retirada o migración cuando el sistema queda obsoleto.
Nota técnica: un Excel validado conforme a GAMP 5 y Part 11 no es imposible, pero requiere documentar el ciclo de vida completo, proteger las celdas con cálculos, controlar versiones por cambio aprobado, y mantener evidencia objetiva de que las fórmulas hacen lo que dicen hacer. En la práctica, el coste de mantener esto a lo largo del tiempo suele superar el coste de migrar a un sistema diseñado desde el origen para entornos validados.
El patrón de las inspecciones recientes
Las warning letters publicadas por la FDA en los últimos años permiten identificar un patrón que se repite con sorprendente consistencia. Tres ejemplos públicos que ilustran el tipo de hallazgo:
Caso 1 — Missouri Analytical Laboratories (warning letter, septiembre 2021). La FDA citó al laboratorio por usar hojas de cálculo Excel no validadas para calcular contenido de API, impurezas y otros parámetros de calidad relevantes para liberación de lote. Adicionalmente, el inspector encontró 36 archivos electrónicos eliminados sin audit trail que permitiera reconstruir los cálculos originales, y accesos compartidos entre usuarios que hacían imposible atribuir resultados a personal concreto. Violación citada: 21 CFR 211.68(b).
Caso 2 — Laboratorio Magnachem International (warning letter, junio 2024). Tras una inspección en noviembre 2023, la FDA documentó el uso de Excel no validado para calcular contenido de API e impurezas, decisiones de calidad tomadas con herramientas que nunca habían sido validadas para ese propósito. Tardaron más de tres años en cerrar la observación. La carta no se cerró hasta octubre de 2024.
Caso 3 — Tismore Health (warning letter, diciembre 2020). Citados por hojas de cálculo no validadas usadas para cálculos de ensayo. La cita formal apuntaba a 21 CFR 211.160(b) por fallos en establecer controles de laboratorio adecuados.
El patrón en los tres casos, y en docenas más, es idéntico: el uso de Excel para cálculos críticos sin validación formal genera una observación predecible. El inspector la encuentra. La empresa entra en proceso de remediación que dura meses o años. Los productos pueden quedar bloqueados para exportación.
Por qué Excel funciona menos bien de lo que parece
Aparte del riesgo regulatorio, Excel tiene limitaciones operativas que solo se hacen evidentes cuando el volumen de trabajo crece. Las cuatro más importantes:
Trazabilidad de cambios. Excel guarda la última versión, no el histórico. Si un técnico cambia una fórmula el martes por la mañana y otro la deshace por la tarde, no queda evidencia de que ese cambio existió. Para cumplir Part 11, necesitas registrar cada modificación con autor, fecha exacta y justificación. Excel no fue diseñado para eso.
Control de acceso. Las protecciones de hoja y de libro de Excel son débiles. Una contraseña de protección de hoja se rompe en segundos con herramientas públicas. Un técnico con acceso al fichero puede modificar prácticamente cualquier celda si quiere. La granularidad que pide Annex 11 — accesos por rol, por columna, por evento — no existe.
Errores invisibles. Estudios académicos sobre uso de Excel en organizaciones empresariales han documentado que un porcentaje significativo de spreadsheets en producción contienen errores de fórmula no detectados. En entornos GMP, un error de fórmula que afecta al cálculo de contenido de API puede traducirse en un lote liberado con especificaciones incorrectas.
Ausencia de audit trail real. Aunque actives "Track changes" o "Versiones" en Excel u OneDrive, lo que obtienes no es un audit trail conforme a Part 11. Es un histórico parcial, manipulable, sin firma electrónica y sin garantía de no-repudio. Un inspector que conozca la diferencia lo descartará en cuanto lo vea.
Qué pasa cuando un Director de Calidad decide migrar
Una migración de Excel a un sistema GMP validado no se hace en una semana. Tampoco es tan complejo como a veces se vende. El proceso típico, bien planificado, sigue cinco fases:
Fase 1 — Inventario y priorización
Identificar todos los Excel que están realizando funciones GxP en la planta. Calidad. Producción. Mantenimiento. Cualificaciones. Suele haber más de los que se piensa.
Después, priorizar por riesgo. No todos los Excel son críticos. Una hoja que calcula contenido de API para liberación de lote es máxima prioridad. Una hoja que lleva el histórico de proveedores aprobados es menor riesgo. La priorización debe documentarse en una matriz que después servirá como evidencia ante inspección.
Fase 2 — Definición del URS
Para cada función crítica, escribir un User Requirements Specification que defina qué debe hacer el sistema sustituto. Sin URS no hay validación posible. El URS es el contrato entre la planta y el proveedor de software.
Fase 3 — Selección de la herramienta
Aquí hay tres caminos posibles, cada uno con sus implicaciones:
Camino A — Validar el Excel existente. Posible, pero costoso. Implica documentar el ciclo de vida completo, proteger fórmulas, gestionar cambios bajo control de versiones formal. Suele ser la opción menos eficiente a largo plazo, salvo para Excel muy estables y poco frecuentados.
Camino B — Implantar un sistema commercial off-the-shelf. LIMS, MES, EBR, sistemas de gestión de calidad electrónicos. Madurez alta, validación a menudo soportada por el proveedor con paquetes IQ/OQ pre-establecidos. Coste de licencia recurrente, configuración compleja en plantas medianas o pequeñas.
Camino C — Plataforma a medida sobre tecnologías validables. Sistema diseñado específicamente para los procesos de tu planta, construido sobre arquitectura que cumple Part 11 desde el origen. Coste de desarrollo más alto al inicio, pero adaptación al proceso real y propiedad del sistema.
Fase 4 — Cualificación
IQ (Installation Qualification), OQ (Operational Qualification), PQ (Performance Qualification). Cada fase con sus protocolos, sus pruebas documentadas, su revisión por Calidad. Sin cualificación documentada, el sistema no es validado, da igual lo bien que funcione.
Fase 5 — Operación bajo control
Una vez validado, el sistema entra en producción con procedimientos de gestión de cambios, revisión periódica, gestión de incidencias y plan de retirada. La validación no es un evento, es un estado que se mantiene.
Lo que realmente cambia para el equipo de Calidad
Cuando una planta migra correctamente de Excel a un sistema validado, los Directores de Calidad que han pasado por el proceso suelen describir tres cambios concretos:
Tiempo de preparación de inspección. Una inspección FDA o EMA en una planta con sistemas validados se prepara en días, no en semanas. Los datos están donde tienen que estar, con el formato que se va a pedir, exportables con firma digital.
Reducción de carga administrativa en el equipo de Calidad. El tiempo que el equipo dedicaba a transcribir, cotejar, archivar y firmar manualmente se reduce drásticamente. Ese tiempo se puede dedicar a análisis de tendencias, CAPAs, mejora del sistema. Trabajo de mayor valor.
Defensa más fácil ante observaciones. Cuando un sistema está validado y opera bajo control, las observaciones que un inspector pueda emitir son resolubles dentro del propio sistema. No hay vacíos de información, no hay huecos en el audit trail, no hay dependencia de la memoria de un técnico que ya no trabaja en la empresa.
Cuándo es el momento adecuado para migrar
No todas las plantas necesitan migrar mañana. Hay tres señales claras que indican que el momento ha llegado:
Señal 1 — Crecimiento de volumen. El número de Excel críticos ha crecido más rápido que la capacidad del equipo para mantenerlos bajo control formal. La hoja que era de "una persona" ahora la usan tres turnos.
Señal 2 — Próxima inspección o auditoría de cliente. Una inspección FDA, EMA o auditoría de cliente farmacéutico que cubra los procesos soportados por Excel. Especialmente si es la primera inspección de la planta o la primera tras un cambio de scope.
Señal 3 — Observación previa. Si en una inspección anterior se citó algún Excel concreto, la siguiente inspección va a revisar específicamente qué ha pasado con esa observación. Mantener el mismo Excel después de una warning letter es difícil de defender.
Lo que hacemos en Smart Clean Solutions
En Smart Clean Solutions desarrollamos plataformas de gestión documental, monitorización ambiental y trazabilidad GMP construidas específicamente para entornos farmacéuticos validables. Trabajamos sobre arquitectura que cumple 21 CFR Part 11 y GMP Annex 11 desde el origen, con audit trail nativo, firma electrónica integrada, y trazabilidad completa de cambios. No vendemos un sistema genérico que después tienes que configurar — diseñamos sobre los procesos reales de tu planta.
Si tu planta opera con Excel para funciones GxP críticas y estás evaluando cuándo y cómo migrar, hablemos. Te respondemos en menos de 24 horas con una primera valoración técnica orientada a tu caso concreto.
Referencias normativas y fuentes:
- 21 CFR Part 11 — Electronic Records; Electronic Signatures. FDA. Guidance for Industry.
- 21 CFR 211.68(b) — Automatic, Mechanical, and Electronic Equipment (Code of Federal Regulations).
- EU GMP Annex 11 — Computerised Systems. European Commission.
- GAMP 5 — A Risk-Based Approach to Compliant GxP Computerized Systems. ISPE.
- FDA Warning Letters Database — Archivo público de acciones de cumplimiento de la FDA.
- ECA Academy — análisis técnicos de warning letters y data integrity.
- ALCOA+ / ALCOA++ — Principios de integridad de datos (Attributable, Legible, Contemporaneous, Original, Accurate, Complete, Consistent, Enduring, Available, Traceable).