A RDC 665/22 da ANVISA estabelece as Boas Práticas de Fabricação (BPF) para fabricantes, distribuidores, armazenadores e importadores de dispositivos médicos e produtos para diagnóstico de uso in vitro (IVD) comercializados no Brasil. Publicada em 30 de março de 2022 e vigente desde maio de 2022, ela revogou e consolidou a RDC 16/2013 e a IN 8/2013 — e entre os seus requisitos está a obrigatoriedade de validação dos sistemas computadorizados utilizados nos processos regulados.
Para muitas empresas do setor de dispositivos médicos, a validação de sistemas ainda é tratada como uma etapa secundária do programa de qualidade. Mas nas inspeções da ANVISA, a ausência de documentação de validação dos sistemas críticos é um dos apontamentos mais frequentes — e pode comprometer diretamente o Certificado de Boas Práticas de Fabricação da empresa.
Neste artigo explicamos por que a validação de sistemas é uma exigência da RDC 665/22, quais sistemas precisam ser validados e como estruturar o processo passo a passo.
O que a RDC 665/22 exige em relação a sistemas computadorizados?
A RDC 665/22 trata dos sistemas computadorizados no contexto do Sistema de Gestão da Qualidade (SGQ) exigido para fabricantes de dispositivos médicos. A resolução determina que os processos de fabricação, controle de qualidade, rastreabilidade e gestão de registros sejam controlados, documentados e auditáveis — e quando esses processos são suportados por sistemas computadorizados, eles precisam ser formalmente validados.
Especificamente, a RDC 665/22 exige que os sistemas utilizados em atividades como gestão de registros de qualidade, controle de produção, rastreabilidade de lotes, gestão de não conformidades e controle documental sejam confiáveis, seguros e rastreáveis. Isso implica diretamente em validação formal, com evidências documentais de que o sistema faz o que foi projetado para fazer — de forma consistente e auditável.
A metodologia de validação adotada para atendimento à RDC 665/22 segue os mesmos princípios do GAMP 5 (Good Automated Manufacturing Practice) utilizados na indústria farmacêutica, com adaptações para o contexto de dispositivos médicos. Os princípios de integridade de dados ALCOA+ também se aplicam: os registros eletrônicos precisam ser Atribuíveis, Legíveis, Contemporâneos, Originais e Acurados, além de Completos, Consistentes, Duradouros e Disponíveis.
Por que a validação de sistemas é importante para a RDC 665/22?
A importância da validação de sistemas no contexto da RDC 665/22 vai além do cumprimento formal de uma exigência regulatória. Ela está diretamente ligada à segurança do paciente e à confiabilidade do produto — que são o cerne das Boas Práticas de Fabricação de dispositivos médicos.
Um sistema computadorizado não validado em um ambiente regulado por esta resolução representa riscos concretos:
- Rastreabilidade comprometida: falhas no rastreamento de lotes podem dificultar ou impossibilitar um recall eficiente, colocando pacientes em risco
- Registros não confiáveis: dados de qualidade sem trilha de auditoria ou com possibilidade de alteração retroativa não atendem aos requisitos de integridade exigidos pela ANVISA
- Não conformidades em inspeção: a ausência de validação é um apontamento direto nas inspeções de BPF para dispositivos médicos
- Risco ao Certificado de BPF: empresas sem programa de validação estruturado podem ter o certificado suspenso ou não renovado
- Impacto nos registros de produto: a carta de autorização de BPF exigida nos processos de registro menciona explicitamente o atendimento à RDC 665/22
Quais sistemas precisam ser validados?
O primeiro passo é identificar quais sistemas computadorizados da empresa têm impacto direto ou indireto nos processos regulados pela RDC 665/22. Com base no GAMP 5, os sistemas são classificados em categorias (1 a 5) conforme o grau de customização e o risco associado. Para fabricantes de dispositivos médicos, os sistemas que mais frequentemente exigem validação formal incluem:
- ERP (SAP, TOTVS, Oracle, Senior): módulos de gestão de produção, qualidade (QM), rastreabilidade de lotes e gestão de materiais
- Sistema de Gestão da Qualidade (SGQ/QMS): controle de documentos, gestão de não conformidades, CAPA, auditorias internas e treinamentos
- MES (Manufacturing Execution System): controle e registro das etapas de fabricação em tempo real
- LIMS (Laboratory Information Management System): gestão de ensaios de controle de qualidade, resultados analíticos e liberação de lotes
- Sistemas de monitoramento ambiental (EMS): registros de temperatura, umidade e partículas em ambientes controlados de fabricação
- Sistemas de gestão de reclamações e pós-mercado: rastreamento de eventos adversos e notificações à ANVISA
- Planilhas eletrônicas GxP: usadas para cálculos críticos, registros de qualidade ou tomada de decisão sobre conformidade de produtos
Etapas do processo de validação para atendimento à RDC 665/22
Etapa 1 — Inventário e Classificação dos Sistemas
O processo começa com o levantamento de todos os sistemas computadorizados utilizados na empresa. Cada sistema é avaliado quanto ao seu impacto nos processos regulados e classificado conforme o GAMP 5. Sistemas sem impacto regulatório direto são documentados e justificados para exclusão do escopo de validação. O resultado é um Inventário de Sistemas Computadorizados aprovado pela gestão da qualidade.
Etapa 2 — Plano Mestre de Validação (PMV)
O PMV é o documento estratégico que define a abordagem geral da empresa para validação de sistemas. Ele estabelece a política de validação, as responsabilidades, a metodologia adotada (GAMP 5), o cronograma macro e os critérios gerais que serão aplicados em todas as validações individuais. A RDC 665/22 exige que as atividades de validação sejam planejadas e documentadas — e o PMV é o instrumento que atende a essa exigência no nível corporativo.
Etapa 3 — Especificação de Requisitos do Usuário (ERU)
Para cada sistema a ser validado, é elaborada a ERU — o documento que define o que o sistema precisa fazer para atender os requisitos regulatórios e operacionais da empresa. A ERU é o ponto de partida de toda a validação: ela é aprovada formalmente antes do início dos testes, e todos os casos de teste precisam ser rastreáveis a pelo menos um requisito da ERU. No contexto da RDC 665/22, a ERU deve contemplar explicitamente os requisitos de rastreabilidade, controle de acesso, trilha de auditoria e integridade de dados.
Etapa 4 — Análise de Risco
A análise de risco avalia quais funções do sistema têm maior impacto na qualidade do produto, na segurança do paciente ou na integridade dos dados. As funções de alto risco exigem testes mais rigorosos; as de baixo risco podem ter escopo de teste reduzido. Essa abordagem baseada em risco, alinhada ao GAMP 5 e exigida implicitamente pela RDC 665/22, garante que o esforço de validação seja proporcional ao impacto de cada funcionalidade.
Etapa 5 — Qualificação de Instalação (QI)
A QI verifica que o sistema foi instalado corretamente no ambiente especificado. Os registros da QI documentam a versão do software, as configurações de servidor e rede, as licenças e o inventário de componentes de hardware. Para sistemas em nuvem (SaaS), a QI é adaptada para verificar a configuração do ambiente do cliente e os contratos de nível de serviço (SLAs) do fornecedor.
Etapa 6 — Qualificação de Operação (QO)
A QO é a etapa mais extensa da validação. Ela testa se o sistema opera conforme os requisitos definidos na ERU, com foco nas funções críticas identificadas na análise de risco. Para atendimento à RDC 665/22, os testes de QO devem cobrir obrigatoriamente:
- Trilha de auditoria: o sistema registra automaticamente todas as alterações de dados com identificação do usuário, data, hora e motivo?
- Controle de acesso: as permissões são compatíveis com as funções de cada usuário? Logins são individuais?
- Rastreabilidade de lotes: o sistema mantém o histórico completo de cada lote, do recebimento de matérias-primas à liberação do produto acabado?
- Gestão de registros eletrônicos: os registros são inalteráveis após aprovação? O sistema atende aos princípios ALCOA+?
- Backup e recuperação: os backups são realizados e testados periodicamente? A recuperação dos dados é verificada?
- Gestão de não conformidades: o fluxo de NC, CAPA e verificação de eficácia está funcionando conforme especificado?
Etapa 7 — Qualificação de Desempenho (QD)
A QD confirma que o sistema opera de forma consistente em condições reais de uso — com dados reais, volumes representativos e usuários reais. É nesta etapa que se valida, na prática, que o sistema suporta os fluxos de trabalho regulados da empresa sem falhas ou inconsistências. Para fabricantes de dispositivos médicos, a QD frequentemente inclui a simulação de cenários críticos como recall, liberação de lote e gestão de eventos adversos.
Etapa 8 — Relatório de Validação e Aprovação Formal
Ao final do processo, o Relatório de Validação consolida os resultados de todas as etapas, documenta os desvios identificados e as ações corretivas adotadas, e conclui formalmente sobre o estado validado do sistema. O relatório precisa ser aprovado pela Garantia da Qualidade e arquivado pelo período definido no PMV — em geral, durante toda a vida útil do sistema mais um período adicional.
Etapa 9 — Manutenção do Estado Validado
A validação não termina com a aprovação do sistema. A RDC 665/22 exige a manutenção contínua das Boas Práticas — e isso se aplica diretamente aos sistemas computadorizados. Após a validação, a empresa precisa:
- Aplicar controle de mudanças para toda alteração no sistema — atualização de versão, nova configuração, novo módulo — com avaliação de impacto documentada
- Realizar revisões periódicas do estado validado conforme cronograma definido no PMV
- Manter procedimento de gestão de incidentes para registrar e investigar falhas do sistema
- Garantir que os usuários estejam treinados nos procedimentos do sistema antes de operá-lo
Diferenças práticas entre a RDC 665/22 e a RDC 658/22
Uma dúvida comum entre gestores de qualidade é a diferença entre as duas resoluções no que diz respeito à validação de sistemas:
- RDC 658/22 trata especificamente de validação de sistemas computadorizados para fabricantes de medicamentos e insumos farmacêuticos. É a resolução mais detalhada sobre CSV no contexto farmacêutico.
- RDC 665/22 trata das Boas Práticas de Fabricação para fabricantes de dispositivos médicos e IVDs. A validação de sistemas é exigida como parte do SGQ, mas o detalhamento do processo é menor — o que exige que a empresa adote uma metodologia estruturada como o GAMP 5 para preencher essa lacuna.
Na prática, as etapas de validação são as mesmas — ERU, análise de risco, QI, QO, QD — mas os sistemas validados e os cenários de teste refletem as especificidades do setor de dispositivos médicos: rastreabilidade UDI, gestão de reclamações de pós-mercado, controle de esterilização e outros processos críticos desse setor.
Como a One Consultoria Regulatória pode ajudar
A One Consultoria Regulatória apoia fabricantes e distribuidores de dispositivos médicos na estruturação e execução do programa de validação de sistemas computadorizados conforme a RDC 665/22. Atuamos em todo o Brasil com suporte completo: elaboração do Plano Mestre de Validação, ERU, análise de risco, protocolos de QI, QO e QD, execução dos testes e relatório final — tudo documentado e aprovado conforme os requisitos da ANVISA e a metodologia GAMP 5.
Se sua empresa fabrica, importa, distribui ou armazena dispositivos médicos e ainda não tem um programa de validação de sistemas estruturado, entre em contato para uma avaliação inicial gratuita. Respondemos em até 24 horas úteis.