Tecnovigilancia en Colombia: qué exige el Invima a fabricantes e importadores

La vigilancia poscomercialización de dispositivos médicos (Post-Market Surveillance), también llamada tecnovigilancia, comprende las actividades destinadas a identificar, recolectar, evaluar y gestionar información sobre eventos e incidentes adversos asociados al uso de estos productos. En Colombia, el Programa Nacional de Tecnovigilancia es coordinado por el Invima y está reglamentado por la Resolución 4816 de 2008.

Para los fabricantes e importadores, las obligaciones incluyen implementar un programa institucional de tecnovigilancia, designar un responsable y gestionar los reportes de seguridad. Entre los plazos establecidos se encuentran el reporte de eventos e incidentes adversos serios dentro de las 72 horas siguientes a su ocurrencia, la presentación trimestral de reportes consolidados de los no serios y la notificación de retiros por riesgos para la salud y de determinadas alertas internacionales.

Estas responsabilidades deben integrarse a la gestión regulatoria y de seguridad de los dispositivos médicos comercializados en Colombia, de acuerdo con la naturaleza de cada obligación y las disposiciones aplicables durante su ciclo de vida.

Según el propio Invima, alrededor del 81% de los dispositivos médicos que se comercializan en Colombia son importados, así que buena parte de la carga recae en empresas que no fabrican el producto pero responden por él en el país.

¿Qué establece la Resolución 4816 de 2008?

La Resolución 4816 de 2008 reglamenta el Programa Nacional de Tecnovigilancia: define quién participa, cómo se clasifican los eventos e incidentes adversos, qué programa institucional debe tener cada actor y en qué plazos se reporta al Invima.

El programa nació del artículo 61 del Decreto 4725 de 2005, que encargó al entonces Ministerio de la Protección Social diseñarlo con apoyo del Invima. La Resolución 4816 del 27 de noviembre de 2008 lo reglamentó. Sigue vigente, pero el Ministerio de Salud y Protección Social y el Invima adelantan la revisión del régimen sanitario de los dispositivos médicos con un proyecto de decreto que actualiza el marco regulatorio. Conviene seguir su expedición y entrada en vigor para saber qué cambia en el Programa Nacional de Tecnovigilancia.

La resolución vigente lo define como un sistema de vigilancia posmercado: identificar y evaluar los eventos o incidentes adversos que presentan los dispositivos durante su uso, cuantificar el riesgo y tomar medidas de salud pública. Visto desde una empresa, es el mecanismo que permite detectar, investigar y gestionar señales de riesgo relacionadas con los dispositivos comercializados. La información obtenida puede dar lugar, según los hallazgos, a investigaciones, acciones correctivas o preventivas, acciones de campo, alertas sanitarias o retiros del mercado.

Su alcance se limita a los dispositivos médicos y los equipos biomédicos: los medicamentos van por farmacovigilancia y los reactivos de diagnóstico in vitro por reactivovigilancia, cada uno con sus propios requisitos y canales de notificación. Esa división puede cambiar con el proyecto de decreto, que plantea unificar en un mismo régimen los dispositivos médicos y los reactivos de diagnóstico in vitro y deja aparte los medicamentos. Hasta que se expida y entre en vigor la nueva normativa, deben seguirse las disposiciones vigentes aplicables a cada categoría de producto. Si no tiene claro en qué categoría cae su producto, empiece por confirmar si es un dispositivo médico.

¿Quién está obligado a reportar en tecnovigilancia?

La Resolución 4816 (artículo 6) estructura el programa en cuatro niveles. El nivel nacional está integrado por el Ministerio de Salud y Protección Social y el Invima, que coordina operativamente el programa. El nivel departamental y distrital comprende las secretarías de salud de estas entidades territoriales. El nivel local está conformado por los fabricantes e importadores de dispositivos médicos, los prestadores de servicios de salud y los profesionales independientes de la salud. Queda un cuarto: los usuarios y cualquier persona que conozca un evento o incidente adverso, a quienes la norma también obliga a reportarlo.

Al fabricante y al importador, el artículo 9 de la Resolución 4816 les asigna seis deberes:

• Implementar un programa institucional de tecnovigilancia.
• Designar a un profesional competente como responsable.
• Comunicar al Invima los eventos e incidentes adversos.
• Tomar de inmediato las acciones preventivas y correctivas.
• Reportar las alertas internacionales de lo que comercializan o comercializaron.
• Responder con rapidez cualquier petición del Invima sobre seguridad.

La cadena comercial también cuenta. Según la guía de tecnovigilancia del Invima de 2023, los distribuidores trasladan los eventos no serios al importador o fabricante, que los incluye en su reporte trimestral, y reportan los serios directamente al Invima. Si está armando la operación desde cero, revise antes lo que necesita una empresa de dispositivos médicos en Colombia.

¿Qué debe tener el programa institucional de tecnovigilancia?

Todo fabricante e importador debe tener su propio programa institucional. El artículo 10 de la Resolución 4816 fija el mínimo:

• Un responsable del programa.
• El formato de reporte de eventos adversos del Invima.
• Un sistema de gestión de datos que proteja la integridad y la confidencialidad de la información y permita seguir cada caso en el tiempo.
• Un Manual de Tecnovigilancia.

El Manual define cómo funciona el programa en la práctica: qué dispositivos se vigilan, los conceptos de evento e incidente adverso, la estrategia para recoger y analizar los reportes, y el flujo hacia el fabricante y la autoridad sanitaria. Los procedimientos del programa los aprueban el responsable de tecnovigilancia y la dirección de la empresa.

Del responsable, la norma pide que sea un profesional competente y que su designación se comunique al Invima (artículo 11). En la práctica, el Invima le pide además dos registros distintos: un usuario activo en el aplicativo web y la inscripción en la Red Nacional de Tecnovigilancia. La resolución describe la Red como voluntaria, pero en su comunicado de 2020 a fabricantes e importadores el Invima advierte que ambos registros son exigibles en cualquier momento y que en sus visitas pide el soporte de los dos.

Queda la trazabilidad. El artículo 63 del Decreto 4725 de 2005 obliga a quien importa o comercializa dispositivos a conservar al menos el nombre comercial, el modelo, la serie o el lote, las fechas de adquisición y de envío, y la identificación del primer cliente. Sin esos datos no hay cómo responder cuando el Invima pregunta a qué instituciones llegó un lote.

Para los implantables, el artículo 31 de la Resolución 4816 exige además que la institución que implanta el dispositivo lleve una ficha en la historia clínica del paciente, con datos como el número de lote y el fabricante. Esa ficha es la que permite llegar al paciente si un lote resulta comprometido.

Serio o no serio: la clasificación que fija el plazo

Antes de reportar hay que clasificar, porque de eso depende el plazo. El artículo 5 de la Resolución 4816 distingue entre evento adverso, cuando hubo daño, e incidente adverso, cuando pudo haberlo pero el azar, la intervención de una persona o una barrera de seguridad lo evitaron. Cada uno puede ser serio o no serio.

Un caso es serio cuando pudo haber llevado a la muerte o a un deterioro serio de la salud del paciente, del operador o de otra persona implicada. La norma considera deterioro serio:

• Una enfermedad o un daño que amenace la vida.
• El daño de una función o estructura corporal.
• Una condición que requiera intervención médica o quirúrgica para prevenir un daño permanente.
• Una incapacidad permanente parcial.
• Una hospitalización o la prolongación de una hospitalización.
• Una malformación congénita.

Dos ejemplos muestran la diferencia. Una bomba de infusión queda programada con una dosis mayor a la indicada y la enfermera lo nota antes de conectarla al paciente: no hubo daño, pero pudo haberlo grave, así que es un incidente adverso serio. Un electrodo deja un enrojecimiento leve que cede sin tratamiento: evento adverso no serio. Para los casos dudosos, la guía del Invima de 2023 trae un flujograma de decisión.

La clasificación del caso y la clase de riesgo del dispositivo (I, IIA, IIB o III) son escalas distintas que se cruzan en dos puntos. El Invima usa la clase de riesgo al evaluar los reportes inmediatos, y la resolución le pide vigilancia activa sobre los dispositivos IIB y III, los equipos biomédicos de tecnología controlada, los de reciente ingreso al mercado, los repotenciados y los de un solo uso que se reúsan.

Plazos y canales de reporte al Invima

Un caso serio se reporta al Invima en 72 horas por el formato FOREIA; los no serios se consolidan en la plantilla RETEIM y se cargan en los primeros 8 días calendario del mes siguiente al cierre de cada trimestre. Las alertas internacionales van por el formulario RISARH en las 72 horas siguientes a conocerlas, y el Invima pide el mismo plazo para los retiros.

Reporte	Qué cubre	Plazo	Canal
Inmediato	Evento o incidente adverso serio	72 horas	Aplicativo web, formato FOREIA
Periódico	Eventos e incidentes no serios, con las medidas tomadas	Primeros 8 días calendario de abril, julio, octubre y enero	Aplicativo web, plantilla RETEIM
Trimestral en cero	Trimestre sin eventos ni incidentes	El mismo del reporte periódico	Aplicativo web, opción de reporte en cero
Alerta internacional	Alerta de la casa matriz o de una agencia sanitaria	72 horas desde que se conoce	Aplicativo web, formulario RISARH
Retiro de producto	Retiro total o parcial por riesgo para la salud	72 horas desde que se conoce, según el Invima (la resolución no fija plazo)	Aplicativo web, formulario RISARH

Sobre las 72 horas hay un matiz. El artículo 15 las cuenta desde la ocurrencia del evento o incidente; el comunicado del Invima de 2020 y las recomendaciones de su guía de 2023, desde que el responsable conoce el caso. Lo prudente es reportar en cuanto se sabe, sin esperar el análisis completo: según el comunicado del Invima de 2020, después del reporte la empresa tiene 15 días hábiles para enviar el análisis de causas y el plan de acción.

El reporte trimestral es obligatorio desde finales de 2012, cuando vencieron los 48 meses en que la resolución lo dejó voluntario. El reporte en cero, según la guía del Invima, sirve para identificar a los actores que siguen activos en el programa aunque no hayan tenido casos, y el Invima marca como extemporáneo el que llega fuera de los ocho días calendario.

¿Cómo se reporta un evento adverso en el aplicativo del Invima?

Desde 2012 los eventos e incidentes adversos con dispositivos médicos se notifican de forma obligatoria en el aplicativo web de tecnovigilancia del Invima, y desde el 1 de julio de 2018 el Invima no recibe alertas, retiros ni hurtos en físico o por correo. El recorrido para un fabricante o importador:

1. El responsable solicita usuario y contraseña en el aplicativo con un correo corporativo de acceso permanente, porque allí llegan las confirmaciones.
2. Por separado, se inscribe en la Red Nacional de Tecnovigilancia, que no da acceso al aplicativo.
3. Cada caso serio se reporta en el formato FOREIA, y el sistema devuelve un código COL para el seguimiento.
4. Los casos no serios se consolidan en la plantilla RETEIM y se cargan en el módulo de reporte masivo trimestral; si no hubo casos, se usa el reporte trimestral en cero.
5. Las alertas internacionales, los retiros, los informes de seguridad y los hurtos van por el formulario RISARH.

Para evitar reprocesos, el Invima insiste en dos puntos. Si una clínica u hospital ya reportó el caso y tiene código COL, el fabricante o importador no lo reporta de nuevo. Y el dispositivo debe quedar identificado sin vacíos (nombre, registro sanitario o permiso de comercialización, marca, modelo, serie o lote, versión de software, fabricante e importador): la guía del Invima advierte que omitir esos datos lleva a que el reporte sea anulado o rechazado.

Retiros, alertas internacionales y hurtos

Si un fabricante o importador retira total o parcialmente un producto porque supone un riesgo para la salud, debe notificarlo al Invima (artículo 19 de la Resolución 4816) con los lotes o series afectados, las causas y sus soportes, los destinatarios en Colombia y las acciones de retiro, con su tiempo estimado y la disposición final. El Invima también puede ordenar el retiro de un producto.

La notificación no condiciona el retiro, que puede ejecutarse sin esperar al Invima. Los retiros por razones ajenas a la seguridad o al desempeño no se reportan al programa; los comunicados de seguridad enviados a los usuarios, en cambio, sí se notifican.

El importador tiene además una obligación propia: notificar dentro de las 72 horas siguientes a conocerla (artículo 20 de la Resolución 4816) cualquier alerta internacional de la casa matriz o de una agencia sanitaria que involucre dispositivos que comercializa en Colombia. El Invima revisa a diario las alertas de agencias como la FDA de Estados Unidos, la AEMPS de España o la ANVISA de Brasil, así que una alerta no reportada puede llegarle por otra vía.

Los fabricantes e importadores reportan los hurtos en el mismo aplicativo, dentro de la familia RISARH (retiros, informes de seguridad, alertas y hurtos); los prestadores de servicios de salud usan un formulario aparte del Invima. El Invima publica los hurtos para recomendar que nadie adquiera los equipos robados.

¿Qué pasa si no se reporta?

Si una empresa incumple la Resolución 4816, el Invima puede iniciar acciones preventivas y correctivas y aplicar medidas sanitarias según la Ley 9 de 1979 y el Decreto 4725 de 2005, sin perjuicio de las sanciones penales, civiles o disciplinarias (artículo 32).

El mismo artículo le permite ordenar el decomiso o el congelamiento de un dispositivo que represente un riesgo, o prohibir o restringir su uso. El Decreto 4725 de 2005 (artículo 80) prevé además la amonestación, la multa, el decomiso, la suspensión o cancelación del registro sanitario o del permiso de comercialización y el cierre temporal o definitivo del establecimiento.

El Invima también puede verificar con visitas el seguimiento que la empresa declara (artículo 26 de la Resolución 4816). Un programa con manual pero sin reportes trimestrales al día, o con un responsable que ya salió y cuyo usuario nadie actualizó, es difícil de sostener en esa visita.

Antes del próximo cierre trimestral

Cinco preguntas para revisar su programa:

• ¿El responsable designado sigue en la empresa, está comunicado al Invima, inscrito en la Red Nacional y con usuario activo en el aplicativo?
• ¿El Manual de Tecnovigilancia refleja el portafolio actual de dispositivos?
• ¿Sus distribuidores saben a quién trasladar un evento no serio?
• ¿Alguien revisa de forma periódica las alertas de la casa matriz y de las agencias sanitarias?
• ¿Los trimestres sin casos se reportaron en cero dentro de los ocho días calendario?

Estas obligaciones se suman a otros reportes poscomercialización que el Invima exige según el producto, y que repasamos en la guía sobre reportes de registros sanitarios. En dispositivos médicos, el equipo de asuntos regulatorios de SPI Américas elabora los reportes de tecnovigilancia que pide el Invima y les hace seguimiento. Si necesita acompañamiento en tecnovigilancia, escríbanos a contacto@spiamericas.com.