Fornecedores qualificados no setor médico-hospitalar: como um fornecedor não qualificado gera uma não conformidade da ANVISA na sua fábrica

O inspetor não vai à fábrica do seu fornecedor. Ele vai à sua. E, entre os documentos que pede, está o registro da avaliação daquele fornecedor, com os critérios que você definiu, o resultado que você apurou e a data em que isso aconteceu. Se o registro não existe, a não conformidade é registrada no seu relatório, com o seu CNPJ.

Essa é a parte menos compreendida da qualificação de fornecedores no setor médico-hospitalar. O fornecedor entrega o componente e segue. Quem responde pelo produto acabado perante a autoridade sanitária é o fabricante, e a responsabilidade não se move por contrato.

A consequência prática é que qualificar um fornecedor não é um julgamento sobre a qualidade dele. É a construção de uma evidência sua.

Fornecedores qualificados: o que a RDC 665/2022 exige sobre eles?

As exigências estão na Seção V do Capítulo II da RDC nº 665/2022, chamada “Controles de compras”, nos artigos 21 a 27. A resolução dispõe sobre as Boas Práticas de Fabricação de produtos médicos e produtos para diagnóstico de uso in vitro, está em vigor desde 2 de maio de 2022 e revogou a RDC 16/2013 e a IN 8/2013.

Um detalhe da norma tem consequência direta na sua documentação. Segundo a própria ANVISA, a RDC 665/2022 consolidou o que já estava previsto na RDC 16/2013 e na IN 8/2013, sem trazer novos requisitos regulatórios: o que mudou foi a estrutura: o que era item e subitem virou artigo, parágrafo e inciso. Por isso, quem ainda cita a norma antiga nos documentos da qualidade não está só desatualizado na referência: está sinalizando que o sistema não foi revisado desde 2022.

Controles de compras na RDC 665/2022 e a evidência correspondente

Artigo	O que a norma exige	O que precisa existir na sua fábrica
Art. 21	Procedimentos que assegurem que componentes, materiais de fabricação e produtos fabricados, processados, rotulados ou embalados por terceiros estejam conformes às especificações	O procedimento escrito e a evidência de que ele é executado
Art. 22	Critérios de avaliação de fornecedores definidos de acordo com o impacto na qualidade do produto final, especificando os requisitos, inclusive os de qualidade	Os critérios documentados e a lógica que gradua a exigência conforme o impacto
Art. 23	Avaliação e seleção dos fornecedores conforme a capacidade de atender aos requisitos, com registro de fornecedores aprovados	A lista de aprovados e os registros da avaliação e de seus resultados
Art. 24	Acordo documentado em que o fornecedor se compromete a notificar qualquer alteração no produto ou serviço	O acordo formalizado e o histórico das notificações recebidas
Art. 25	Registros dos pedidos de compra que descrevam ou referenciem as especificações, inclusive requisitos de qualidade	Ordens de compra vinculadas à especificação vigente
Art. 26	Revisão e aprovação dos documentos de compra antes de sua liberação	Evidência da revisão anterior à liberação
Art. 27	Aprovação do pedido documentada, com data e assinatura manual ou eletrônica do responsável	Data e assinatura rastreáveis a uma pessoa designada

Lidos em conjunto, os sete artigos descrevem um ciclo fechado: definir o requisito, avaliar quem pode cumpri-lo, registrar a avaliação, contratar a notificação de mudanças e amarrar cada compra à especificação. Falha em qualquer elo e o ciclo não se sustenta na inspeção.

Por que a não conformidade cai na sua fábrica, e não no seu fornecedor?

Porque a RDC 665/2022 não alcança o fornecedor de componentes. O art. 2º delimita a abrangência: a resolução se aplica a fabricantes, distribuidores, armazenadores e importadores de produtos médicos e produtos para diagnóstico de uso in vitro comercializados no Brasil. Uma empresa que fornece uma placa eletrônica montada não está em nenhuma dessas categorias por essa atividade. Ela não é inspecionada, não é notificada e não é autuada.

Todos os deveres dos artigos 21 a 27 começam com a mesma expressão: “Cada fabricante deve”. O sujeito da obrigação é sempre você. E o art. 136 fecha a conta ao estabelecer que o descumprimento das disposições da resolução constitui infração sanitária, nos termos da Lei nº 6.437/1977, sem prejuízo das responsabilidades civil, administrativa e penal cabíveis.

Isso muda a natureza da decisão. Escolher um fornecedor não é terceirizar um risco: é absorvê-lo. Nenhuma cláusula contratual de responsabilidade transfere a infração sanitária para quem a norma não alcança. O contrato pode gerar direito de regresso no plano civil; ele não muda o nome que consta do relatório de inspeção.

Fornecedor qualificado precisa ser certificado?

Esta é a confusão que mais gera não conformidade evitável. A RDC 665/2022 não exige que o fornecedor tenha certificação alguma. Ela exige que o fabricante estabeleça critérios próprios, avalie o fornecedor contra esses critérios e guarde o registro dessa avaliação e de seu resultado. Um certificado arquivado na pasta do fornecedor não é uma avaliação: é, no máximo, uma das entradas dela.

O art. 22 é ainda mais específico, e a especificidade costuma passar despercebida. Os critérios devem ser estabelecidos “de acordo com o impacto na qualidade do produto final”. A norma pede graduação, não uniformidade. Exigir o mesmo dossiê do fornecedor de parafuso e do fornecedor da placa que controla a dosagem de uma bomba de infusão não é rigor: é a evidência de que o critério de impacto não foi aplicado. E a ausência dessa graduação é, ela própria, um desvio ao art. 22.

Tratar certificado como sinônimo de qualificação custa nos dois sentidos. De um lado, descarta-se um fornecedor tecnicamente apto por lhe faltar um selo que a norma não pede. De outro, aprova-se um fornecedor certificado sem nunca avaliá-lo, e o art. 23 fica descoberto justamente onde seria mais fácil de cumprir. O que o inspetor abre não é a parede do fornecedor à procura de um certificado: é a sua pasta, à procura do registro de que você avaliou.

O que significa “estabelecer” na RDC 665/2022?

O art. 3º, inciso VIII, define o verbo que sustenta quase toda a resolução: estabelecer significa definir, documentar por meio escrito ou eletrônico, e implementar. As três coisas, cumulativamente.

É por isso que a maior parte das não conformidades de qualificação de fornecedores não é sobre procedimento ausente. É sobre procedimento existente e não executado. O documento diz que a reavaliação é anual; o último registro é de três anos atrás. O critério prevê auditoria no fornecedor crítico; a auditoria nunca foi agendada. Nos dois casos, o procedimento está definido e documentado, e mesmo assim o requisito não foi cumprido, porque falta a terceira parte do verbo.

Esse detalhe também explica por que sistemas da qualidade bem escritos falham em inspeção. Quanto mais detalhado o procedimento, mais compromissos ele cria, e cada compromisso vira um item verificável. Um procedimento enxuto e cumprido resiste melhor a uma inspeção do que um procedimento ambicioso e parcialmente implementado.

Acordo de notificação de alterações (art. 24): o requisito que a cadeia eletrônica mais quebra

O art. 24 exige um acordo documentado em que o fornecedor se compromete a notificar o fabricante de qualquer alteração no produto ou serviço, de modo que o fabricante possa determinar se a alteração afeta a qualidade do produto acabado. É o artigo mais esquecido da seção, e é justamente o que a eletrônica testa todo mês.

Na cadeia de componentes eletrônicos, mudança é o estado normal. Um circuito integrado entra em fim de vida, um passivo entra em alocação, um distribuidor sugere um equivalente, o montador troca de fabricante de conector. Cada uma dessas substituições é uma “alteração no produto” na acepção do art. 24. Sem o acordo formalizado, o fabricante descobre a troca na inspeção de recebimento, no teste funcional ou no campo.

Há uma implicação que costuma escapar às áreas de compras: no setor médico-hospitalar, obsolescência de componentes não é apenas um problema de suprimento. É um evento regulatório. A notificação recebida do fornecedor dispara a avaliação do fabricante, que pode acionar controle de alterações e reavaliação de risco, nos termos dos artigos 60 e 106 da mesma resolução. Um fornecedor que troca um componente sem avisar não gera um atraso: gera um produto fabricado fora do registro mestre, com um componente que ninguém avaliou.

Componente ou produto final? A fronteira entre a RDC 665/2022 e a RDC 687/2022

O enquadramento regulatório de um mesmo fornecedor muda conforme o escopo do contrato, e a diferença é maior do que a maioria dos projetos supõe.

Quando o fornecedor entrega uma placa montada, ele entrega um componente. A definição está no art. 3º, inciso III, da RDC 665/2022, e é ampla: matéria-prima, substância, peça, parte, software, hardware, embalagem, rótulo ou instrução de uso, destinado a ser incluído como parte do produto acabado. Uma PCBA é peça, parte e hardware ao mesmo tempo. O fornecedor fica sob os artigos 21 a 27, ou seja, sob a sua qualificação, não sob a ANVISA.

Quando o mesmo fornecedor entrega o produto final montado, a situação é outra. A RDC nº 687/2022, em vigor desde 1º de junho de 2022, estabelece que as unidades fabris de dispositivos médicos das classes de risco III e IV que produzam um produto final “em seu nome ou para outra empresa” são objeto de Certificação de Boas Práticas de Fabricação pela ANVISA. A mesma resolução define “unidade fabril” como o local onde ocorre uma ou mais etapas de fabricação, podendo ser o próprio fabricante legal, o fabricante contratado ou o fabricante original do produto.

É a mesma fábrica, o mesmo processo e a mesma equipe, com dois estatutos regulatórios distintos, separados apenas pelo escopo do que foi contratado. Um projeto que evolui de montagem de placas para box build do equipamento completo pode cruzar essa fronteira sem que ninguém formalize a travessia. Vale antecipar a análise: a classe de risco do produto e o ponto exato em que ele se torna “funcionalmente completo” definem o enquadramento, e ambos são conhecidos muito antes do primeiro lote.

O que pedir a um fornecedor de eletrônica no setor médico-hospitalar

Como a norma pede critérios proporcionais ao impacto, e a eletrônica embarcada costuma estar no caminho crítico da função do equipamento (em uma bomba de infusão, em um monitor de sinais vitais, em um aparelho de diagnóstico), a régua para esse fornecedor tende a ser alta. Na prática, a avaliação se sustenta quando produz documentos que sobrevivem a uma inspeção:

• Rastreabilidade por lote, ligando cada placa entregue aos componentes, aos parâmetros de processo e aos operadores envolvidos: é o que alimenta o seu registro histórico do produto, exigido pelo art. 40.
• Registros de inspeção e teste funcional com critério de aceitação declarado, e não apenas o resultado. O art. 42 exige critério, resultado, equipamento utilizado, data e assinatura.
• Controle de alterações documentado, com o acordo de notificação do art. 24 assinado e um histórico que demonstre que ele funciona.
• Evidência de sistema da qualidade auditável, com procedimentos, calibração rastreável a padrões nacionais ou internacionais e registros de treinamento.
• Disponibilidade para auditoria de segunda parte, que é o instrumento com que você produz o registro do art. 23 quando o fornecedor não tem certificação de terceira parte. É também o momento de verificar o que a homologação de um parceiro EMS costuma deixar de fora.

A Enterplak monta placas e produtos eletrônicos desde 1995, com certificação ISO 9001, controles de ESD, inspeção por SPI, AOI e raio X nas linhas SMT e rastreabilidade de produção aplicada a setores críticos, incluindo o médico-hospitalar. São esses os elementos que um fabricante de dispositivos médicos consegue transformar em registro de avaliação, que é, afinal, o que a norma cobra dele.

A qualificação é um registro, não uma relação

Há uma diferença entre confiar em um fornecedor e ter qualificado um fornecedor. A primeira se constrói com tempo, entregas e histórico. A segunda se constrói com critério escrito, avaliação datada e resultado registrado. Fábricas que confundem as duas descobrem a diferença no dia da inspeção, quando a pergunta não é “esse fornecedor é bom?”, mas “onde está o documento que mostra como você chegou a essa conclusão?”.

O ponto que a RDC 665/2022 deixa mais claro, e que a leitura apressada mais ignora, é que a norma não avalia o seu fornecedor. Ela avalia você avaliando o seu fornecedor. Um fornecedor que produz bem mas não documenta gera não conformidade na sua fábrica. Um fornecedor que documenta tudo mas produz mal gera recall, e a documentação só vai provar, com data e assinatura, que o problema estava lá desde o começo. Qualidade e rastreabilidade são eixos independentes, e a inspeção cobra os dois.

É esse cruzamento que a Enterplak opera: rastreabilidade por lote ligando cada placa aos componentes e aos parâmetros de processo, registros de inspeção com critério de aceitação declarado, controle de alterações documentado, tudo sobre linhas SMT com SPI, AOI e raio X que sustentam o padrão de produto. Não é a documentação de um lado e a qualidade de outro: é a mesma operação produzindo as duas evidências ao mesmo tempo, que é o que transforma “confio nesse fornecedor” no registro que o inspetor pede.

Se a sua empresa desenvolve equipamentos médico-hospitalares e está definindo ou revisando a cadeia de fornecimento de eletrônica, fale com o time de engenharia da Enterplak. Discutir requisitos de qualificação antes do primeiro lote é mais barato do que descobri-los depois.

Perguntas frequentes sobre qualificação de fornecedores e ANVISA

O que a RDC 665/2022 exige na qualificação de fornecedores?

Os artigos 21 a 27 exigem procedimentos de controles de compras, critérios de avaliação proporcionais ao impacto do fornecedor na qualidade do produto final, avaliação e seleção com registro dos resultados, lista de fornecedores aprovados, acordo documentado de notificação de alterações e documentos de compra vinculados às especificações, revisados e aprovados com data e assinatura do responsável.

Fornecedor precisa ter certificação ISO 9001 ou ISO 13485 para ser qualificado?

Não. A RDC 665/2022 não condiciona a aprovação de um fornecedor a nenhuma certificação. Ela exige que o fabricante defina critérios próprios, avalie o fornecedor contra eles e registre a avaliação e o resultado. Uma certificação, quando existe, entra como uma das entradas dessa avaliação: pode reduzir o esforço de qualificação, mas não a substitui.

De quem é a não conformidade quando o fornecedor falha: do fabricante ou do fornecedor?

Do fabricante. A RDC 665/2022 alcança fabricantes, distribuidores, armazenadores e importadores; o fornecedor de componentes não é inspecionado pela ANVISA por essa atividade. Todos os deveres dos artigos 21 a 27 começam com “cada fabricante deve”, e o art. 136 tipifica o descumprimento como infração sanitária do fabricante, nos termos da Lei nº 6.437/1977.

Fornecedor de placas eletrônicas (PCBA) precisa de autorização da ANVISA?

Não, enquanto entrega componente: a placa montada se enquadra na definição de componente do art. 3º, inciso III, da RDC 665/2022 e fica sob a qualificação do fabricante, nos artigos 21 a 27. Se o mesmo fornecedor passar a entregar o produto final de um dispositivo das classes de risco III ou IV, aplicam-se os critérios de Certificação de Boas Práticas de Fabricação da RDC 687/2022.

A RDC 665/2022 substituiu qual norma?

A RDC 16/2013 e a IN 8/2013, revogadas quando a nova resolução entrou em vigor, em 2 de maio de 2022. Segundo a ANVISA, a consolidação não trouxe novos requisitos regulatórios, apenas mudou a estrutura do texto. Ainda assim, os documentos do sistema da qualidade devem referenciar a norma vigente; citar a RDC 16/2013 sinaliza sistema não revisado.

O que é o acordo de notificação de alterações do art. 24?

É um acordo documentado em que o fornecedor se compromete a avisar o fabricante de qualquer alteração no produto ou serviço, para que o fabricante avalie o impacto na qualidade do produto acabado. Na cadeia eletrônica ele é crítico: fim de vida de componentes, alocação e substituições são frequentes, e cada troca não notificada pode gerar produto fora do registro mestre.

Este conteúdo tem caráter informativo e não substitui a análise regulatória do seu caso concreto. O enquadramento depende da classe de risco do produto, do escopo contratado e das demais normas aplicáveis. Os textos oficiais da RDC 665/2022 e da RDC 687/2022 estão disponíveis no sistema de legislação da ANVISA.