O mapa regulatório completo para validação de sistemas no Brasil
Validar sistemas computadorizados em ambientes regulados pela ANVISA exige conhecimento profundo de um conjunto interconectado de regulamentos, instruções normativas, guias técnicos e referências internacionais. Esse arcabouço não é estático — está em evolução contínua, especialmente após a admissão da ANVISA ao esquema PIC/S em 2021 e a publicação da RDC 658/2022. Profissionais que atuam com CSV precisam dominar não apenas o regulamento brasileiro, mas também as referências internacionais relevantes que orientam o entendimento técnico esperado.
Este artigo apresenta um mapa estruturado dos requisitos regulatórios aplicáveis a sistemas computadorizados em indústrias farmacêuticas, fabricantes de dispositivos médicos, distribuidoras e operadores logísticos, com foco em como cada documento se conecta e qual seu papel no programa de validação.
Regulamentação brasileira: o núcleo obrigatório
RDC 658/2022 — Boas Práticas de Fabricação de Medicamentos
Em vigor desde 2 de maio de 2022, com adequação total exigida desde 7 de outubro de 2024. Revoga a RDC 301/2019. Documento principal para fabricação de medicamentos no Brasil. Inclui capítulo dedicado a sistemas computadorizados e referências transversais a validação, integridade de dados, gestão de mudanças e gestão de risco.
IN 134/2022 — BPF Complementares a Sistemas Computadorizados
Substituiu a IN 43/2019. Detalha operacionalmente os requisitos da RDC 658/2022 para sistemas computadorizados. Cobre validação, integridade de dados, gestão de fornecedores, gestão de mudanças, segurança e continuidade de negócios. Permite explicitamente validação remota.
IN 138/2022 — BPF Complementares a Qualificação e Validação
Substituiu a IN 47/2019. Detalha requisitos de qualificação de instalações, equipamentos e processos, validação de processo, validação de limpeza e validação de métodos analíticos. Inclui orientações sobre Validation Master Plan e abordagem baseada em risco.
Guia 33/2020 — Guia para Validação de Sistemas Computadorizados
Documento operacional não normativo da ANVISA. Orienta sobre como interpretar e aplicar os requisitos. Alinhado ao GAMP 5. Embora não obrigatório, é praticamente referência mínima esperada em inspeções.
RDC 430/2020 — Boas Práticas de Distribuição, Armazenagem e Transporte
Atualizada pela RDC 653/2022. Aplicável a distribuidoras, importadoras, transportadoras qualificadas e operadores logísticos farmacêuticos. Exige sistemas computadorizados validados (WMS, EMS, ERP em escopo aplicável).
RDC 938/2024 e RDC 939/2024 — Recintos Alfandegados
Publicadas em 14 de novembro de 2024. RDC 938 trata de Boas Práticas de Armazenagem (BPA) e Certificação (CBPA) em armazéns alfandegados. RDC 939 trata de AFE/AE e cadastramento de filiais para empresas que armazenam em recintos alfandegados.
RDC 665/2022 e RDC 67/2009 — Dispositivos Médicos
Regulam Boas Práticas Fabricação de Dispositivos Médicos. RDC 665/2022 atualizou o arcabouço, com requisitos específicos de validação de processos e sistemas. Para fabricantes de dispositivos médicos, requisitos adicionais conforme classificação de risco da Resolução ANVISA aplicável.
RDC 786/2023 — Cosméticos
Boas Práticas de Fabricação de Produtos de Higiene Pessoal, Cosméticos e Perfumes. Embora com escopo distinto, requisitos de qualidade computadorizada também se aplicam quando relevante.
Portaria 344/98 — Substâncias Sob Controle Especial
Para medicamentos sujeitos a controle especial, exigências adicionais relacionadas ao SNGPC (Sistema Nacional de Gerenciamento de Produtos Controlados).
Lei 13.021/2014 — Farmácias
Embora foco em farmácias, define responsabilidade técnica do farmacêutico que se reflete em distribuidoras e estabelecimentos sanitários.
SNCM e SNGPC
Sistemas nacionais de rastreabilidade e controle, com cronogramas próprios de implementação. Exigem integração de sistemas computadorizados, com validação das integrações.
Referências internacionais essenciais
GAMP 5 (ISPE) — segunda edição, julho 2022
Guia de boas práticas para validação de sistemas computadorizados. Não é regulamento, mas é referência global. Categorização de software, abordagem baseada em risco, ciclo de vida, V-model conceitual, fit for intended use. Apêndices D8 (Agile), D9 (Software Tools), D10 (Distributed Ledger), D11 (AI/ML).
ISPE GAMP Guide: Artificial Intelligence — julho 2025
Documento autônomo de 290 páginas. Estende princípios GAMP 5 a sistemas baseados em IA/ML. Aborda ciclo de vida completo: definição de intended use, qualidade de dataset, métricas, monitoramento de drift, gestão de versões.
21 CFR Part 11 (FDA)
Registros e assinaturas eletrônicas em ambientes regulados pela FDA. Em vigor desde 1997, complementado pela Guidance for Industry de 2003 e pela CSA guidance de 2022. Aplicável a empresas que exportam para os EUA ou seguem requisitos FDA por convenção.
EU GMP Annex 11 — Computerised Systems
Requisitos europeus para sistemas computadorizados. Em revisão (concept paper publicado, draft em consulta pública). Estrutura semelhante ao Part 11.
EU GMP Annex 1 — Manufacture of Sterile Products
Revisado em agosto de 2022, em vigor desde agosto de 2023. Mudou significativamente requisitos para fabricação asséptica, incluindo Contamination Control Strategy (CCS), monitoramento contínuo de Grade A, e controles ambientais. Relevante para EMS em fabricação estéril.
ICH Q9 (R1) — Quality Risk Management
Atualizado em 2023. Framework para gestão de risco da qualidade. Aplicável a riscos de produto, processo, fornecedor e sistemas computadorizados.
ICH Q10 — Pharmaceutical Quality System
Modelo de sistema de qualidade farmacêutica. Base conceitual para sistemas de qualidade que envolvem sistemas computadorizados.
PIC/S PI 041 — Data Integrity
Guia para integridade de dados em ambientes GxP. Adotado por reguladores membros do PIC/S, incluindo ANVISA.
WHO TRS 1019 Annex 5 — Data Integrity
Diretrizes da Organização Mundial da Saúde sobre integridade de dados.
MHRA Data Integrity Guide
Guia britânico de integridade de dados, referência prática complementar ao PIC/S.
ISO 14971 — Medical Devices Risk Management
Aplicável a dispositivos médicos. Base para gestão de risco específica do setor.
ISO 13485 — Medical Devices Quality Management Systems
Sistema de qualidade para dispositivos médicos. Reconhecido pela ANVISA.
USP 1079, USP 1118, USP 281
Boas práticas de armazenagem, monitoramento de termolábeis e qualificação de equipamentos analíticos específicos.
Mapa de conexões: como tudo se integra
Os documentos não atuam isoladamente. Em um projeto de validação típico:
- A RDC 658/2022 diz “tem que validar”. A IN 134/2022 detalha o que isso significa. O Guia 33/2020 orienta como executar. O GAMP 5 oferece metodologia detalhada. O 21 CFR Part 11 e o Annex 11 adicionam requisitos específicos para registros e assinaturas eletrônicas. O ICH Q9 orienta a análise de risco que sustenta o esforço de validação.
- Para distribuidoras, a RDC 430/2020 e a RDC 653/2022 adicionam exigências específicas de logística farmacêutica. Para recintos alfandegados, a RDC 938 e a RDC 939/2024 entram em cena.
- Para dispositivos médicos, a RDC 665/2022 e a ISO 13485 ampliam o escopo.
- Para sistemas de IA, o GAMP AI Guide (2025) e o Apêndice D11 do GAMP 5 orientam tratamento específico.
Como manter-se atualizado
Algumas práticas para acompanhar as mudanças regulatórias:
- Monitorar publicações da ANVISA no DOU e no portal oficial;
- Inscrição em alertas de FDA, EMA, MHRA, PIC/S, ISPE, ICH;
- Participação em associações setoriais (ABIQUIF, FBP, ABIMED, ASBRAFI, ABLA);
- Eventos técnicos (ISPE conferences, Bionest, etc.);
- Treinamentos atualizados periodicamente;
- Revisão anual do mapa regulatório aplicável à empresa, com avaliação de novos requisitos.
Erros comuns na interpretação regulatória
Em diagnósticos:
- Empresas ainda operando como se RDC 301/2019 estivesse vigente;
- Confusão entre RDC 658 e RDC 430, aplicando uma quando deveria aplicar a outra;
- Ignorar a publicação da RDC 938 e RDC 939/2024 em recintos alfandegados;
- Referenciar GAMP 5 sem distinguir primeira (2008) e segunda edição (2022);
- Tratar Guia 33 como obrigatório quando é orientativo (na prática, é tratado como expectativa mínima);
- Ignorar atualização do ICH Q9 (R1) em 2023;
- Aplicar Annex 1 antigo (não a versão de 2022) em fabricação estéril.
Plano para implementação completa
Para empresas que querem estruturar seu mapa regulatório:
- Identificar todas as atividades reguladas executadas pela empresa;
- Mapear regulamentos aplicáveis por atividade;
- Construir matriz de aderência: requisito x situação atual;
- Priorizar lacunas por risco e prazo regulatório;
- Implementar plano de adequação com cronograma e responsáveis;
- Manter mapa atualizado anualmente, com revisão sistemática de novas publicações;
- Treinar equipe nos principais documentos;
- Conectar mapa regulatório ao Plano Mestre de Validação.
Conclusão
O mapa regulatório aplicável a sistemas computadorizados em ambientes ANVISA é amplo, conectado e em evolução. Empresas que dominam esse mapa operam com tranquilidade. Empresas que tratam regulamentos como fragmentos isolados ficam vulneráveis. O esforço de manter o mapa atualizado vale o investimento — é o que sustenta inspeções tranquilas e abre oportunidades de expansão.
A One Consultoria Regulatória apoia empresas reguladas em mapeamento regulatório completo, diagnóstico de aderência e planos de adequação alinhados a RDC 658/2022, IN 134/2022, Guia 33/2020 da ANVISA, GAMP 5 e referências internacionais. Fale com nossa equipe para uma avaliação inicial.