Cadena de suministro farmacéutica y FMD: lo que exige la serialización

La serialización farmacéutica no es etiquetado, es una infraestructura de verificación que convierte cada caja en un evento auditable y cada movimiento físico en un registro consultable.

Quien la describe como un código impreso confunde la superficie con el sistema. Lo que la Directiva Europea contra Medicamentos Falsificados, conocida por sus siglas en inglés FMD, ha introducido desde febrero de 2019 es una obligación de continuidad entre el dato y el bulto, sostenida por una red de repositorios nacionales conectados a un hub europeo, gestionada en España por SEVeM bajo la supervisión de la Agencia Española de Medicamentos y Productos Sanitarios. La consecuencia operativa para fabricantes, mayoristas, hospitales y oficinas de farmacia es que la cadena de suministro deja de admitir tramos opacos. Cada caja tiene un identificador único, cada identificador tiene un estado, y cada estado se modifica solo en puntos autorizados.

Para quien diseña la seguridad física de un centro logístico farmacéutico, esto cambia la naturaleza del activo a proteger. Ya no se trata únicamente de evitar la sustracción de un palé, sino de impedir que la cadena de custodia se rompa de tal modo que los identificadores únicos pierdan su correspondencia con el bulto físico. Una caja desviada que reaparece en otro canal con su código intacto es un problema reputacional. Una caja cuyo código se ha decomisionado de forma fraudulenta es un problema regulatorio. Una caja sin código verificable es, simplemente, una caja que no se puede dispensar.

Qué obliga la Directiva en términos operativos

La FMD, traspuesta al ordenamiento español y desarrollada por el Reglamento Delegado 2016/161, fija dos dispositivos de seguridad para los medicamentos sujetos a prescripción y para algunos no sujetos. El primero es el identificador único, un código bidimensional Data Matrix que contiene producto, número de serie, lote, caducidad y, en su caso, número de reembolso nacional. El segundo es el dispositivo contra manipulaciones, normalmente un precinto físico que evidencia la apertura del envase. Los dos funcionan en conjunto. El código permite verificar que la caja es la que dice ser. El precinto permite verificar que la caja no ha sido abierta entre la fabricación y la dispensación.

La obligación operativa para el fabricante es cargar cada identificador en el repositorio europeo en el momento de la liberación del lote, marcando el estado como activo. La obligación para el distribuidor mayorista es verificar el estado en determinados supuestos, especialmente cuando el medicamento ha salido de la cadena por una devolución o procede de un proveedor que no es el fabricante directo o un mayorista designado. La obligación para el dispensador final, oficina de farmacia o servicio hospitalario, es verificar y decomisionar el identificador en el momento de la dispensación, cerrando así el ciclo del bulto.

Lo que esta arquitectura introduce, y que conviene leer con atención desde la posición del operador logístico, es una asimetría entre el dato y la mercancía. El dato viaja en una red. La mercancía viaja en un camión. Cuando uno y otra se desincronizan, por error operativo o por intervención dolosa, el sistema entero queda expuesto. La seguridad física del recinto donde se almacena, se prepara y se expide medicamento serializado no es un anexo de la trazabilidad regulatoria, es su condición de posibilidad.

La agregación como capa de eficiencia y de riesgo

La agregación es la práctica de vincular un identificador único de cada caja al identificador del estuche que la contiene, y este al del palé que contiene varios estuches, y este al del envío que contiene varios palés. La FMD no exige agregación de forma directa, pero la mayoría de los fabricantes y mayoristas la han implementado por una razón económica simple. Sin agregación, cada movimiento de un palé exigiría escanear individualmente cada caja para mantener la coherencia entre lo físico y lo lógico. Con agregación, un solo escaneo a nivel de palé actualiza el estado de cientos o miles de cajas en una operación atómica.

La ventaja es evidente en términos de productividad. La debilidad es que cualquier ruptura del vínculo entre niveles deja al operador a ciegas. Si un palé se descompone parcialmente en tránsito y el sistema de gestión no detecta la pérdida de coherencia, el inventario digital seguirá afirmando que las cajas están donde no están. Para un atacante interesado en sustraer medicamento de alto valor, romper la agregación de forma controlada es más rentable que reventar un contenedor. Una caja extraída de un palé agregado sigue figurando como presente hasta que alguien intenta dispensarla o hasta que se realiza un recuento exhaustivo, lo que en un centro de distribución de rotación alta puede tardar semanas.

La pregunta para el responsable de seguridad no es si su sistema de gestión soporta la agregación, sino si la zona de manipulación donde se forman y se descomponen los palés está vigilada con un detalle suficiente para reconstruir cualquier evento de ruptura. Cámaras genéricas con cobertura amplia no resuelven el problema. Una cámara que graba un pasillo de quince metros con cinco operarios trabajando en paralelo no permite, en revisión posterior, atribuir una caja concreta a una mano concreta. La videoanalítica orientada a procesos, capaz de asociar un evento de escaneo a una secuencia de imagen y a una identidad operativa, es la que cierra la brecha. En este punto, la diferencia entre instalar cámaras y operar un sistema de verificación visual de procesos es la misma que existe entre etiquetar cajas y serializar medicamento.

Quién verifica y dónde se hacen los chequeos

La arquitectura de verificación se organiza en torno a dos repositorios. El European Medicines Verification System es el hub europeo que aloja la lógica común. Los National Medicines Verification Systems son los nodos nacionales que almacenan los identificadores de cada país. En España, el nodo es operado por SEVeM, asociación constituida por la patronal de fabricantes, la patronal de mayoristas y los colegios oficiales de farmacéuticos. La Agencia Española de Medicamentos y Productos Sanitarios supervisa el funcionamiento del sistema y es competente para inspeccionar a los actores obligados.

Los puntos físicos de verificación se distribuyen a lo largo de la cadena. El fabricante carga los identificadores. El mayorista verifica cuando el riesgo lo exige, en concreto en devoluciones, en importaciones paralelas y cuando el origen no es un proveedor directo. La oficina de farmacia y el servicio de farmacia hospitalaria verifican y decomisionan en el momento de la dispensación al paciente. Cada uno de estos actos deja una huella en el sistema, y el conjunto de huellas permite reconstruir el recorrido de una caja con una precisión que la cadena pre-FMD no ofrecía.

Lo que esto significa para el diseño de un centro logístico es que la zona donde se realiza la verificación debe tener un nivel de control operativo equivalente al de una zona de caja en una entidad financiera. No por el valor monetario instantáneo del bulto, que puede ser modesto en términos absolutos, sino por la responsabilidad regulatoria que se concentra en el acto de verificar. Un operario que verifica con prisa, o que verifica un código distinto del que corresponde al bulto que está manipulando, introduce errores en el sistema que solo se descubren cuando ya es tarde. La vigilancia del acto de verificación, mediante registro audiovisual y mediante correlación con el log del sistema, es lo que permite separar el error humano de la intervención dolosa cuando un caso se abre.

Devoluciones, sustituciones y el problema del medicamento que reaparece

El punto más expuesto de la cadena no es la fabricación ni la dispensación, es el tramo intermedio donde el medicamento entra y sale de la cadena varias veces. Las devoluciones de farmacia a mayorista, las sustituciones entre lotes próximos a caducar y la gestión de stocks entre almacenes son operaciones que multiplican los actos de verificación y, con ellos, las oportunidades de desincronización entre lo físico y lo lógico.

Una caja que se devuelve a un mayorista entra con un estado en el sistema. Antes de poder ser redispensada, ese estado debe verificarse para confirmar que la caja sigue siendo apta. Si la verificación se omite, o si se realiza sobre un código que no corresponde al bulto, la caja vuelve a circular con un estado dudoso. Este es el escenario que la FMD pretende evitar y el que un sistema de seguridad operativa bien diseñado refuerza desde la capa física.

En la práctica española, los servicios de farmacia hospitalaria gestionan flujos elevados de devoluciones internas, traslados entre plantas y reasignaciones que, aunque no salgan del recinto del hospital, alteran el estado lógico de las cajas. Cada uno de estos movimientos es una oportunidad para que la trazabilidad se degrade. La respuesta no es prohibir los movimientos, que son operativamente necesarios, sino instrumentarlos con un nivel de registro que permita reconstruir cualquier inconsistencia. Las áreas donde se realizan estas operaciones deben tener cobertura visual íntegra, los operarios deben estar identificados de forma inequívoca en cada acción, y los logs del sistema de gestión deben estar sincronizados temporalmente con el registro de imagen para que la correlación posterior sea posible sin reconstrucciones forzadas.

La cadena de frío y la doble exigencia regulatoria

Una parte significativa del catálogo serializado circula además bajo condiciones de cadena de frío. Vacunas, biológicos, hemoderivados y un número creciente de terapias avanzadas exigen temperatura controlada en todo el trayecto. Esto añade una segunda capa regulatoria que se cruza con la FMD sin sustituirla. Una caja puede estar correctamente serializada y verificada y, sin embargo, haber perdido la cadena de frío por unos minutos durante una transferencia, lo que la convierte en inservible para la dispensación segura.

El cruce entre ambas exigencias multiplica el coste de cualquier incidente. Un fallo eléctrico en una cámara de almacenamiento que afecte a varios miles de viales no solo destruye el valor del producto, también obliga a documentar el evento, a notificar a la autoridad sanitaria cuando proceda y a reconstruir la trazabilidad de cada identificador implicado para confirmar que ninguno ha continuado circulando. La protección de las cámaras de cadena de frío no es, por tanto, una cuestión de instalaciones, es una cuestión que toca directamente la integridad del sistema FMD para los lotes afectados.

La supervisión del perímetro físico de estas instalaciones, la redundancia eléctrica, la monitorización continua de temperatura y la capacidad de respuesta ante una alarma en cuestión de minutos son requisitos que se solapan parcialmente con los del Plan Nacional de Protección de Infraestructuras Críticas en aquellos centros que, por volumen o por carácter estratégico, hayan sido designados por el CNPIC. Aun cuando un centro no esté formalmente bajo esa cobertura, la lógica operativa que la inspira es aplicable. INCIBE ha publicado guías sectoriales que aplican criterios análogos a la protección de operadores esenciales en salud, y la convergencia entre seguridad física y ciberseguridad es, en este contexto, una exigencia y no una opción.

Lo que permanece

La serialización farmacéutica europea ha cambiado la pregunta de fondo. Ya no se trata de proteger una mercancía, se trata de proteger la coherencia entre una mercancía y su representación digital a lo largo de toda la cadena. Esta coherencia es frágil precisamente porque depende de actos humanos repetidos miles de veces al día en docenas de puntos físicos. Cualquier sistema de seguridad que no integre la dimensión regulatoria con la dimensión operativa y con la dimensión física protege solo una parte del problema.

Para los operadores logísticos farmacéuticos, para los servicios de farmacia hospitalaria y para los mayoristas que gestionan devoluciones, la conversación útil no es sobre cámaras ni sobre vallas, es sobre cómo instrumentar cada acto de verificación, agregación y desagregación de modo que cualquier inconsistencia entre lo físico y lo lógico sea reconstruible. Quien lea estas líneas y reconozca en su operación zonas donde esa reconstrucción no sería posible tiene, antes que cualquier inversión, una pregunta de diagnóstico que responder. En el libro "BOSWAU + KNAUER. Del oficio constructor a la tecnología de seguridad" se describen tres formatos de colaboración pensados para situaciones de este tipo. El más adecuado para abordar este diagnóstico es una conversación confidencial de sesenta minutos, en la que el operador describe su lage y el fabricante traduce lo que vería en su lugar. Si la conversación tiene continuación, hay un formato de auditoría de tres a cinco días que entrega un informe utilizable con o sin nosotros. El primer paso, en cualquier caso, no es comprar nada, es ver con claridad.

Preguntas frecuentes

¿Qué es FMD?

FMD es el acrónimo en inglés de la Directiva Europea contra Medicamentos Falsificados, formalmente Directiva 2011/62/UE, desarrollada por el Reglamento Delegado 2016/161 y aplicable en toda la Unión Europea desde el 9 de febrero de 2019. Obliga a que la mayoría de medicamentos sujetos a prescripción incorporen dos dispositivos de seguridad: un identificador único en formato Data Matrix y un dispositivo contra manipulaciones. La verificación de estos dispositivos se realiza en repositorios nacionales conectados a un hub europeo. En España, el repositorio es operado por SEVeM bajo supervisión de la AEMPS.

¿Quién debe cumplir?

La obligación de cumplimiento alcanza a fabricantes, importadores, distribuidores mayoristas, oficinas de farmacia, servicios de farmacia hospitalaria y, en determinados supuestos, a otros actores autorizados a dispensar. El fabricante carga los identificadores en el sistema. El mayorista verifica en supuestos específicos, especialmente devoluciones e importaciones paralelas. El dispensador final verifica y decomisiona en el momento de la entrega al paciente. Cada actor responde por sus propios actos y por la integridad de los datos que introduce, y la AEMPS es competente para inspeccionar y sancionar incumplimientos.

¿Cómo se verifica?

La verificación se realiza escaneando el Data Matrix de la caja y consultando el estado del identificador único en el repositorio nacional, que responde en milisegundos confirmando si el código es válido, si corresponde a un producto en estado activo y si ha sido decomisionado previamente. Un código que aparece como ya dispensado, retirado, robado o caducado bloquea la dispensación y genera una alerta que debe ser investigada. La verificación es obligatoria en el momento de la dispensación al paciente y en determinados supuestos a lo largo de la cadena de distribución.

¿Quién supervisa?

En España, la supervisión regulatoria corresponde a la Agencia Española de Medicamentos y Productos Sanitarios, AEMPS, que actúa como autoridad competente en materia de medicamentos y mantiene relación directa con la Agencia Europea del Medicamento. El sistema técnico es operado por SEVeM, entidad sin ánimo de lucro constituida por las patronales del sector y los colegios farmacéuticos. La protección de datos asociada al tratamiento de identificadores está bajo la competencia de la AEPD. En materia de protección de instalaciones críticas, CNPIC e INCIBE proporcionan marcos de referencia aplicables a operadores logísticos farmacéuticos de relevancia estratégica.