Inspeção ANVISA: checklist completo de prontidão (37 pontos)

Os pontos que o auditor verifica num sistema de qualidade computadorizado — agrupados por domínio, com a cláusula da RDC 658/2022 correspondente.

Quem viveu uma inspeção da ANVISA sabe: nos primeiros 30 minutos, o auditor escolhe entre 4 e 6 pontos críticos pra investigar a fundo. Se eles fecham, a inspeção segue tranquila. Se um deles trava — começa a caçada. Este artigo é a lista do que ele verifica nesses primeiros 30 minutos, e em seguida ao longo do dia, num sistema de qualidade computadorizado. São 37 pontos organizados em 9 domínios, cada um com referência à cláusula da RDC 658/2022 (ou normas correlatas) que o sustenta.

Use isso antes da sua próxima inspeção. Imprima, marque cada item. Cada "não" ou "não sei" é um ponto onde o auditor pode parar — e é melhor descobrir isso agora.

1. Documentos & controle de versão (RDC 658, Art. 9 §1)

• Existe uma lista mestra de documentos vigentes acessível em segundos?
• Cada documento tem versão, data de vigência e responsável pela aprovação identificáveis?
• É impossível usar/imprimir versão obsoleta sem perceber que está obsoleta?
• O histórico de revisões mostra o que mudou, quem mudou e por quê?

2. Trilha de auditoria (RDC 658, Art. 9 §2)

• O sistema registra automaticamente quem fez, o quê e quando — em toda ação relevante?
• A trilha é não-editável e não-desativável (inclusive pelo administrador)?
• Você gera um relatório de trilha por registro/documento na hora?
• A trilha registra também as tentativas de acesso ou alteração negadas?

3. Assinaturas eletrônicas (RDC 658, Art. 11 + 21 CFR Part 11)

• A assinatura vincula identidade + data/hora + significado (revisou, aprovou, executou)?
• Cada assinatura exige reautenticação (não "fica logado e clica")?
• É inequívoco que a assinatura não pode ser copiada, transferida ou repudiada?
• Campo de texto com nome digitado NÃO é usado como assinatura eletrônica?

4. Controle de acesso & segurança (RDC 658, Art. 9 §3)

• Cada pessoa tem credencial única (zero "usuário compartilhado")?
• O acesso é por perfil/função (RBAC) — cada um vê e faz só o que lhe compete?
• Há revisão periódica de acessos (quem saiu da empresa perdeu o acesso)?
• Há política de senha e, idealmente, segundo fator (MFA)?

5. Integridade de dados (ALCOA+, RDC 658 Art. 9)

• Atribuível: todo dado tem autor e momento identificáveis?
• Legível & duradouro: registros legíveis por todo o período de retenção?
• Contemporâneo: registros feitos no momento do evento, não depois?
• Original: o dado original (ou cópia certificada) é preservado?
• Acurado: há checagens que impedem erro de entrada e "ajuste" silencioso?

6. Desvios, CAPA & controle de mudança (RDC 658, Art. 10)

• Todo desvio gera registro rastreável, com causa-raiz e prazo?
• A CAPA liga achado → ação → evidência de eficácia, com data de fechamento?
• Mudanças passam por avaliação de impacto e aprovação antes de efetivar?
• Você puxa o histórico completo de qualquer CAPA em 1 minuto?

7. Treinamento (RDC 658, Art. 12 + RDC 843/2024)

• Cada pessoa está treinada na versão vigente do SOP que executa?
• Há registro "lido e compreendido" vinculado ao documento e à versão?
• A matriz de treinamento por cargo/função existe e está atualizada?
• Quando um SOP muda, o re-treinamento é disparado automaticamente?

8. Backup, continuidade & retenção (RDC 658, Art. 9 §5)

• Há backup automático — e ele já foi testado com uma restauração real?
• Os dados resistem por todo o período de retenção exigido?
• Existe plano se o sistema cair durante uma operação crítica ou inspeção?
• O plano de continuidade foi testado — não só documentado?

9. Validação do sistema — CSV (RDC 658, Art. 9 §6 + GAMP 5)

• O sistema tem URS, análise de risco e IQ/OQ/PQ executados e documentados?
• Existe Relatório de Validação (VSR) declarando o estado validado?
• Mudanças passam por controle que mantém o estado validado?
• Há inventário de sistemas computadorizados GxP, com classificação de criticidade?

O que fazer com o seu placar

Conte quantos "não" ou "não sei" você marcou:

• 0–3: você está à frente da maioria do mercado brasileiro. Foque no que falta.
• 4–10: dá pra fechar em 60–90 dias com um eQMS adequado e foco. Não é catástrofe, mas é prioridade.
• 11+: o risco está alto. E não é culpa do seu time — é da ferramenta. Sistema desenhado pra Part 11/RDC 658 torna a maioria desses "não" estruturalmente impossíveis.