A auditoria interna é definida pela seção 8.2.2 da ISO 13485. Ela tem duas funções: verificar se o SGQ está conforme à norma e aos requisitos regulamentares, e verificar se está efetivamente implementado e mantido. Uma auditoria interna bem conduzida é uma ferramenta de gestão. Uma auditoria interna malfeita é uma caixa marcada que dá uma falsa impressão de controle.
A estrutura do programa anual
A norma exige um programa de auditoria planejado, que leve em conta o status e a importância dos processos, bem como os resultados das auditorias anteriores. Concretamente, um programa anual deve cobrir o conjunto dos processos do SGQ ao longo do ciclo de certificação (3 anos), com uma frequência mais elevada para os processos de alto risco ou que tenham apresentado não conformidades recentes.
O programa deve ser estabelecido no início do ciclo, com datas reservadas nas agendas. Um programa de auditoria que se constitui ao sabor das circunstâncias, entre duas urgências operacionais, acaba sempre incompleto.
A qualificação dos auditores internos
Os auditores internos devem ser formados na norma ISO 13485, nos requisitos regulamentares aplicáveis (MDR, IVDR) e nas técnicas de auditoria. A norma ISO 19011 é o guia de referência para a condução das auditorias de SGQ.
Dois requisitos são inegociáveis.
A independência. Os auditores não podem auditar o próprio trabalho. Em uma estrutura pequena, isso implica trocas entre funções ou o recurso a um auditor externo para os processos em que a independência interna é impossível de garantir.
A formação prática. Ter feito um treinamento de auditor não é suficiente. Uma experiência em observação acompanhada — auditar em dupla com um auditor experiente antes de conduzir uma auditoria de forma autônoma — é a condição de um nível de competência real.
O uso dos resultados: a parte que a maioria das PME negligencia
Um relatório de auditoria que constata desvios sem que algo aconteça em seguida é inútil. O processo de auditoria interna deve estar conectado ao processo CAPA: cada não conformidade detectada gera uma ação corretiva com responsável e prazo, seguida de uma verificação de eficácia.
Os resultados das auditorias internas alimentam a análise crítica pela direção. A direção deve enxergar as tendências ao longo de vários ciclos: as mesmas não conformidades reaparecem nos mesmos processos? Alguns processos são sistematicamente mais frágeis? Essas tendências orientam o programa de auditoria seguinte.
Uma auditoria interna que nunca gera não conformidades é suspeita. Ou os auditores carecem de rigor, ou o escopo auditado é insuficiente. Um SGQ real sempre gera oportunidades de melhoria.