¿Qué es la NOM-220-SSA1 en el contexto de la farmacovigilancia en México?

La NOM-220-SSA1-2016 es la Norma Oficial Mexicana que rige la instalación y operación de la farmacovigilancia en México. Publicada por la Secretaría de Salud y aplicada por COFEPRIS, define el marco legal sobre cómo deben detectarse, evaluarse, documentarse y notificarse los eventos adversos para productos farmacéuticos y vacunas autorizados para uso humano en el mercado mexicano.

La norma no es una guía ni una recomendación. Es un instrumento reglamentario vinculante. El incumplimiento está sujeto a sanciones sanitarias, y COFEPRIS tiene la autoridad para realizar inspecciones y verificar que los MAH y otras entidades reguladas operan de acuerdo con sus requisitos.

La NOM-220 fue actualizada en 2016 y entró en vigor en julio de 2017, reemplazando la versión anterior de 2004. Su revisión incorporó elementos de marcos internacionales de farmacovigilancia, incluyendo las directrices ICH E2 y los principios de las Buenas Prácticas de Farmacovigilancia (GVP) de la EMA, manteniendo una estructura específica de la arquitectura reglamentaria de México y su papel dentro de la red internacional de monitoreo de medicamentos de la PAHO.

¿A quién aplica?

La NOM-220 aplica a todas las entidades involucradas en el ciclo de vida de productos farmacéuticos y vacunas en México. Para las empresas que operan desde fuera de México, la obligación más relevante recae en el titular de la autorización de comercialización (MAH) —el titular del registro sanitario— o su representante legal designado en México.

Esto incluye a fabricantes extranjeros que ingresan al mercado mexicano por primera vez, empresas con productos registrados existentes, y distribuidores o comercializadores que poseen o gestionan registros en nombre del fabricante original. La norma también establece obligaciones específicas para instituciones de salud, hospitales y sitios de investigación clínica, pero para los fines de la autorización de comercialización y el cumplimiento posterior a la comercialización, el MAH es la parte principal responsable.

La obligación no depende de si el producto se comercializa activamente. Un producto con un registro sanitario válido en México conlleva obligaciones de farmacovigilancia independientemente del estado de su actividad comercial.

¿Qué exige a los MAH?

La NOM-220 exige a los MAH establecer, mantener y operar un sistema de farmacovigilancia funcional alineado con sus disposiciones. Las obligaciones principales incluyen:

• Responsable local de farmacovigilancia. El MAH debe designar a una persona responsable de farmacovigilancia en México y notificar a COFEPRIS dicha designación. Cualquier cambio posterior también debe ser notificado. Se trata de un individuo nombrado e identificable, no de un departamento o una función.
• Notificación de eventos adversos. Las reacciones adversas graves e inesperadas deben notificarse al Centro Nacional de Farmacovigilancia (CNFV) dentro de los plazos definidos. La norma especifica requisitos de notificación separados para casos nacionales y extranjeros, con diferentes umbrales de urgencia para eventos graves.
• Informes periódicos de seguridad. Los MAH deben presentar informes periódicos de farmacovigilancia a COFEPRIS en un calendario definido, incluyendo una evaluación de riesgo-beneficio para el producto en el contexto del mercado mexicano.
• Monitoreo de la literatura. El MAH debe mantener un proceso continuo de monitoreo de la literatura científica publicada en busca de señales de seguridad relevantes para sus productos registrados.
• Auditorías internas. La norma exige que los MAH realicen auditorías internas de farmacovigilancia y permitan las inspecciones de COFEPRIS. Los hallazgos de las auditorías y las acciones correctivas deben documentarse.
• Documentación del sistema de FV. El MAH debe mantener un sistema de farmacovigilancia documentado que describa su estructura, procesos y personal responsable, el equivalente funcional de un PSMF en marcos internacionales, aunque la NOM-220 utiliza su propia terminología y estructura.

Dónde la NOM-220 traza una línea que las GVP no

Las empresas con programas de farmacovigilancia diseñados para los mercados de la UE o la FDA a menudo abordan México bajo una suposición de equivalencia: si el programa cumple con los requisitos de las GVP o de la FDA 21 CFR Parte 314, México debería estar cubierto por extensión. En la práctica, esta suposición crea brechas específicas de la arquitectura de la NOM-220.

La diferencia más estructural es el requisito de la persona responsable local. Según las GVP de la UE, el QPPV es un rol centralizado que puede ubicarse en cualquier lugar dentro del Espacio Económico Europeo y supervisa el sistema de FV a nivel global para las obligaciones de la UE. Las personas de contacto nacionales a nivel local son opcionales en la mayoría de los Member States de la UE — la estructura del QPPV está diseñada para una supervisión centralizada. La NOM-220 no sigue este modelo. Exige una persona responsable designada localmente, específicamente responsable ante COFEPRIS, con un contacto nombrado registrado ante la autoridad. Un QPPV global con sede en Europa o Asia no satisface este requisito por defecto.

La segunda divergencia se encuentra en el canal de notificación. Los eventos adversos en México se notifican a COFEPRIS a través del CNFV — no a través de EudraVigilance o FDA MedWatch. Los plazos, formatos y requisitos de preevaluación bajo la NOM-220 son específicos de este canal y no se corresponden directamente con la lógica de notificación de otros marcos.

La tercera es el alcance del informe periódico. Los informes periódicos de seguridad de la NOM-220 se presentan directamente a COFEPRIS y deben abordar el perfil de riesgo-beneficio en el contexto del mercado mexicano. Un PSUR o PBRER preparado para la presentación a la EMA no cumple automáticamente con los requisitos de contenido y presentación que COFEPRIS espera — se requiere adaptación.

Qué significa esto cuando México está incluido en el alcance

Para una empresa que añade México a su cartera reglamentaria, la NOM-220 no es una obligación derivada que se desprenda automáticamente del cumplimiento existente. Requiere una estructuración deliberada: una persona local responsable designada y registrada ante COFEPRIS, procesos de notificación conectados al CNFV y una capa de documentación que refleje las obligaciones específicas de México en lugar de simplemente hacer referencia a un PSMF global.

Para una empresa que ya opera en México, la pregunta es si el programa actualmente en vigor refleja cómo COFEPRIS interpreta y aplica la NOM-220 hoy en día, y no solo si se construyó según la norma en el momento de su implementación. El estándar se ha alineado progresivamente con los referentes internacionales desde 2017, y la designación de COFEPRIS como Autoridad Reglamentaria de Referencia de la PAHO en 2025 señala que esta trayectoria continúa.

Comprender con precisión dónde se sitúa su programa frente a los requisitos actuales de la NOM-220 —y frente a las expectativas operativas de COFEPRIS— es el punto de partida. Freyr trabaja con los MAH en ambas etapas: construyendo un sistema conforme desde cero y evaluando si un programa existente resiste el escrutinio actual.