Subcontratados & fornecedores críticos

Auditoria de fornecedor ISO 13485: o que o seu contratante vai verificar

O Artigo 10 do MDR obriga o fabricante a controlar os seus fornecedores críticos, e a ISO 13485 §7.4 fixa as modalidades concretas. Resultado: se você fabrica um componente, presta um serviço de esterilização, fornece uma embalagem primária ou integra um software embarcado em um DM, o seu cliente é obrigado a auditá-lo. Em certos casos, o organismo notificado do fabricante pode vir diretamente às suas instalações.

ISO 13485 MDR Art. 10 Auditoria de fornecedor ISO 19011
Fale conosco →
Enquadramento

Você é um fornecedor crítico no sentido do MDR?

A noção de fornecedor "crítico" não é definida textualmente pelo MDR. É o fabricante que determina o nível de criticidade de cada fornecedor, avaliando o impacto da sua atividade sobre a conformidade e a segurança do dispositivo final, conforme a ISO 13485 §7.4.1. Na prática, os organismos notificados examinam essa classificação durante as auditorias de certificação: um fornecedor mal avaliado ou não monitorado constitui uma não conformidade direta.

Você provavelmente é um fornecedor crítico se fabrica ou fornece:

  • Um componente que entra no produto acabado e participa do seu desempenho ou da sua segurança
  • Um serviço de esterilização, primária ou terminal
  • Um serviço de montagem ou de fabricação subcontratada do dispositivo ou de uma parte significativa
  • Um software embarcado ou um módulo SaMD integrado
  • Uma embalagem primária (em contato direto com o DM estéril)
  • Um serviço de calibração ou de validação de equipamentos críticos
  • Um serviço de transporte ou de armazenamento em cadeia de frio para um DM termossensível
Vamos conversar sobre o seu caso

Três níveis de exigência conforme a sua criticidade

Nível Perfil Exigências esperadas
Criticidade baixaFornecedor de matérias-primas padrão, transporte não especializadoAvaliação inicial documentada, questionário de fornecedor, rastreabilidade dos lotes. Reavaliação periódica registrada no SGQ (ISO 13485 §7.4.1).
Criticidade médiaComponentes integrados, embalagem não primária, serviços padrãoISO 9001 ainda aceita por alguns fabricantes. ISO 13485 cada vez mais exigida. Controle documentado do processo, auditoria de fornecedor no local.
Criticidade altaEsterilização, montagem, componentes determinantes, embalagem primária, softwares embarcados (IEC 62304)ISO 13485 exigida na prática. Certificação recomendada antes de qualquer relação contratual com um fabricante classe IIa ou superior. Auditoria direta do ON possível.

Fonte: prática dos ON franceses (LNE-GMED, AFNOR Cert.), Artigo 10 do MDR, ISO 13485:2016 §7.4, AFNOR (auditoria de fornecedor ISO 13485).

Cinco prestações adaptadas à sua maturidade

Diagnóstico de maturidade DM

Auditoria flash da sua organização atual vs exigências ISO 13485 e Artigo 10 do MDR. Identificação das lacunas, avaliação da criticidade da sua atividade, definição do caminho até a certificação ou a conformidade contratual exigida pelos seus clientes contratantes.

Durée 1 a 3 dias no local
Preparação para uma auditoria de cliente (contratante)

Seu cliente vai auditá-lo em 4 a 12 semanas. Nós estruturamos o seu dossiê, identificamos as questões prováveis, simulamos a auditoria, treinamos a equipe para a postura de auditoria.

Durée 2 a 6 semanas conforme a lacuna inicial
Implementação de um SGQ ISO 13485

Construção completa de um SGQ conforme ISO 13485:2016, calibrado para a sua atividade de subcontratado (certas exigências relativas ao projeto não se aplicam, outras são reforçadas).

Durée 6 a 12 meses conforme tamanho e situação existente
Preparação para a certificação ISO 13485

Auditoria simulada completa, identificação das lacunas residuais, plano de remediação, acompanhamento durante a auditoria de certificação.

Durée 8 a 12 semanas
Acompanhamento anual e preparação para as auditorias de supervisão

Auditoria interna anual, atualização do SGQ, preparação para a auditoria de supervisão do ON. Para os subcontratados certificados que querem terceirizar a sua vigilância e a sua auditoria interna.

Durée 5 a 10 dias por ano
Experiência de campo

Cinco erros que vemos com frequência em subcontratados iniciantes em DM

# Erro Consequência
1« Temos ISO 9001, isso basta »A ISO 9001 é uma base sólida. Para um subcontratado de criticidade média, ela pode bastar conforme as exigências do fabricante contratante. Para um de criticidade alta, a ISO 13485 tornou-se o padrão esperado pelos ON e pela maioria dos fabricantes classe IIa e superior. Verifique as exigências contratuais antes de supor que a sua certificação atual cobre o escopo.
2Subestimar a rastreabilidadeA ISO 13485 impõe uma rastreabilidade documentada dos produtos, por lote ou por número de série conforme a classe do dispositivo e as exigências do fabricante contratante. As modalidades concretas dependem da sua atividade, mas são sistematicamente verificadas na auditoria de fornecedor. Antecipe os impactos no seu sistema de informação desde a fase de implementação do SGQ.
3Confundir qualificação e validação dos processosA ISO 13485 §7.5.6 impõe qualificar os equipamentos (IQ/OQ/PQ) e validar os processos especiais cujos resultados não podem ser inteiramente verificados a posteriori. Um subcontratado pode dominar o seu processo há anos sem ter a prova documental no sentido DM. É sistematicamente um ponto de atrito na auditoria: o saber-fazer não basta, é preciso demonstrar a reprodutibilidade por meio de registros.
4Não antecipar a auditoria direta do ONPara os subcontratados de criticidade alta, o ON pode vir auditá-lo diretamente. Se você não estiver preparado, o seu cliente pode perder o certificado.
5Achar que a certificação bastaO certificado é um ponto de partida, não um fim. O controle real se vê na auditoria de fornecedor, sobretudo na gestão das mudanças e no controle dos fornecedores.

Um caso concreto: subcontratado de usinagem, primeira certificação ISO 13485

3

dias · diagnóstico

9

meses · construção do SGQ

12

meses · prazo contratual

Uma PME de 25 pessoas, certificada ISO 9001, fornecendo peças usinadas a um fabricante de DM classe IIb. O ON do contratante sinaliza ao fabricante, durante uma auditoria, que o controle do fornecedor de usinagem deve ser reforçado. O fabricante exige uma certificação ISO 13485 em até 12 meses.

Nossa intervenção: diagnóstico de 3 dias, identificação das lacunas (gestão documental, validação dos processos de usinagem, rastreabilidade por lote, treinamento dos operadores nas exigências DM). Construção do SGQ ao longo de 9 meses, certificação obtida no prazo. Manutenção anual assegurada desde então.

Perguntas frequentes

O MDR não impõe a certificação ao subcontratado. É o seu cliente (o fabricante) que impõe a certificação ou um nível de controle equivalente, em função da análise de risco que ele documentou segundo o Artigo 10 e a ISO 13485 §7.4. Na prática, para um subcontratado de criticidade alta, a certificação tornou-se o padrão de mercado.
O custo depende de duas variáveis principais: os honorários de preparação (consultoria, implementação do SGQ, auditoria simulada) e os custos do organismo certificador. Estes últimos são calculados segundo a IAF MD 9, que determina a duração das auditorias em função do número de funcionários e da complexidade das atividades subcontratadas. Uma empresa de 10 pessoas não tem o mesmo tempo de auditoria que uma de 80. Estabelecemos uma estimativa precisa na definição inicial, uma vez conhecidos o seu escopo de atividade e o seu quadro de pessoal.
Sim. Preparamos a auditoria com você (revisão documental, simulação, treinamento na postura de auditoria), e podemos estar presentes como suporte técnico no dia da auditoria, mediante a sua solicitação.
Um subcontratado que realiza atividades com impacto na conformidade do dispositivo final está submetido às exigências da cláusula 7.4 da ISO 13485. O fabricante deve avaliá-lo, qualificá-lo e monitorá-lo segundo critérios definidos. Conforme a criticidade da atividade subcontratada, o fabricante pode exigir uma certificação ISO 13485 do subcontratado ou contentar-se com uma auditoria de qualificação. O subcontratado também deve dispor de procedimentos documentados, garantir a rastreabilidade das suas atividades e notificar qualquer modificação suscetível de afetar a conformidade do produto. A extensão das obrigações varia conforme a natureza da prestação.

Acompanhamento de subcontratado ISO 13485
A cláusula 7.4.1 da ISO 13485 impõe ao fabricante definir critérios de seleção, de avaliação e de reavaliação dos seus fornecedores. A avaliação inicial pode assumir várias formas: auditoria no local, questionário de autoavaliação, análise de dossiê técnico, revisão de certificados. A criticidade do fornecedor determina o rigor do processo: um fornecedor de componentes críticos ou de atividades terceirizadas de alto impacto será auditado periodicamente. Os resultados do monitoramento devem ser registrados no SGQ e reavaliados em intervalos definidos. Um fornecedor não avaliado ou não monitorado é uma não conformidade direta durante uma auditoria de certificação.

Veja a nossa prestação de auditoria de fornecedor ISO 13485
A certificação ISO 13485 não é uma obrigação legal para um subcontratado. É o fabricante que continua responsável pela conformidade final do dispositivo. No entanto, na prática, muitos fabricantes e organismos notificados a exigem contratualmente para os fornecedores críticos, pois ela simplifica a avaliação e o monitoramento. Para as atividades menos críticas, uma auditoria de qualificação ou um questionário pode bastar. A tendência do mercado vai no sentido de uma exigência crescente de certificação, sobretudo para os prestadores de esterilização, de fabricação de componentes ou de softwares embarcados (IEC 62304).

Prepare a sua certificação ISO 13485
Um acordo de qualidade de fornecedor (ou Quality Agreement) é um documento contratual que formaliza as responsabilidades recíprocas do fabricante e do seu subcontratado em matéria de qualidade e de conformidade regulatória. Ele especifica as exigências aplicáveis, as modalidades de controle, as condições de notificação das modificações e as obrigações de rastreabilidade. A ISO 13485 não torna esse acordo obrigatório sob essa forma exata, mas a cláusula 7.4.3 impõe que as disposições de aquisição especifiquem claramente as exigências. Na prática, para qualquer atividade terceirizada crítica, o acordo de qualidade é a prova documentada de que o fabricante controlou a sua cadeia de fornecimento.

Estruture as suas relações com subcontratados

Auditoria de cliente a caminho, certificação a preparar?

Quanto antes tomarmos conhecimento da demanda, mais sólido será o plano.

Fale conosco →

Veja também: Consultoria e acompanhamento · Auditoria · Fabricantes