A questão surge em quase todas as cadeias de fabricação de dispositivos médicos: um subcontratado ou prestador de serviços que trabalha para um fabricante certificado ISO 13485 precisa ser ele próprio certificado? A resposta não é binária. Reduzi-la a um “sim” ou a um “não” gera problemas em ambos os sentidos: ou se exige uma certificação onde o controle basta, ou se afrouxa o controle onde ele se torna crítico. A boa pergunta nunca é “ele é certificado?”, mas “o controle é proporcional ao risco e está documentado?”.
O que diz a seção 4.1.5: controle, não certificação
A seção 4.1.5 da ISO 13485:2016 abrange todo processo terceirizado que tenha incidência sobre a conformidade do produto. Ela exige que o fabricante o monitore e assegure seu controle. Em nenhum momento ela diz que o subcontratado deve ser certificado ISO 13485. Ela exige que os elementos de controle sejam proporcionais ao risco associado e à capacidade da parte externa de atender aos requisitos, conforme a cláusula 7.4 sobre aquisições.
Concretamente, isso remete aos critérios de 7.4.1: avaliação e seleção do fornecedor baseadas em sua capacidade, seu desempenho e a incidência do produto ou da prestação sobre o dispositivo médico. A certificação ISO 13485 de um subcontratado é a forma mais direta de demonstrar essa capacidade em uma atividade crítica. Ela não é a única.
A obrigação que muitos esquecem: o acordo de qualidade escrito
A seção 4.1.5 termina com uma frase que poucos fabricantes de fato incorporam: os elementos de controle “devem incluir disposições escritas relativas à qualidade”. Em outras palavras, um acordo de qualidade escrito não é uma opção reservada aos prestadores não certificados. É um requisito de base, aplicável a todo processo terceirizado que afete a conformidade, seja o subcontratado certificado ou não.
Esse acordo define os requisitos de qualidade aplicáveis, a repartição das responsabilidades, as entregas, as modalidades de controle e a notificação das modificações. Um subcontratado certificado ISO 13485 sem um acordo de qualidade formalizado permanece uma não conformidade 4.1.5. A certificação prova a capacidade, o acordo escrito prova o controle. Os dois não se substituem.
Quando a certificação ISO 13485 do subcontratado é esperada
Para as atividades de forte impacto na segurança do dispositivo final — esterilização terceirizada, montagem crítica, testes de desempenho, fabricação de componentes biocompatíveis — a certificação ISO 13485 do subcontratado é a solução mais robusta. Ela demonstra a existência de um SGQ completo, auditado por um terceiro independente.
Durante a auditoria do fabricante, o organismo notificado identifica os fornecedores e subcontratados envolvidos e determina se é necessário proceder a uma auditoria específica de um deles. Quando a criticidade justifica, ele pode solicitar auditar diretamente o subcontratado ou consultar sua certificação. Essa possibilidade está prevista pelos requisitos aplicáveis aos organismos notificados no MDR. Antecipar essa leitura evita descobrir um ponto fraco em plena auditoria.
Controlar um subcontratado não certificado: as alavancas
Se o subcontratado não dispõe da certificação ISO 13485, o fabricante deve compensar com um controle mais ativo e documentado. Quatro alavancas, a calibrar conforme a criticidade.
Auditoria do subcontratado
O fabricante realiza ou manda realizar auditorias regulares, com relatório documentado e acompanhamento das não conformidades identificadas. É a alavanca mais direta para objetivar a capacidade de um prestador não certificado.
Requisitos contratuais e acordo de qualidade
Além do acordo de qualidade exigido por 4.1.5, o contrato especifica os requisitos de qualidade aplicáveis, as entregas esperadas, os indicadores de desempenho monitorados e as modalidades de controle.
Controle reforçado no recebimento
Controles sistemáticos no recebimento dos produtos ou das prestações verificam a conformidade. A extensão da verificação se ajusta ao resultado da avaliação do fornecedor e ao risco associado, conforme o 7.4.3.
Revisão periódica do desempenho
Reuniões regulares examinam os indicadores, tratam as não conformidades e antecipam os riscos. Elas alimentam a reavaliação do fornecedor prevista pelo 7.4.1.
Um ponto de proporcionalidade, muitas vezes negligenciado: para um processo de baixa criticidade, uma certificação ISO 9001 do prestador, combinada com uma verificação no recebimento, pode constituir uma prova de capacidade suficiente. Tudo se decide pela incidência real do processo sobre o dispositivo final, não pelo nome da norma exibida.
O que o fabricante nunca pode delegar
Qualquer que seja a qualidade do subcontratado e o rigor do controle exercido, a responsabilidade regulatória continua sendo a do fabricante. O Artigo 10 do MDR é explícito: o fabricante é responsável pela conformidade de seus dispositivos, inclusive quando atividades de concepção ou de fabricação são realizadas por terceiros. A falha de um subcontratado não o exime. A seção 4.1.5 o formula nos mesmos termos: a organização continua responsável pela conformidade dos processos terceirizados.
É aí que se decide a verdadeira escolha. Terceirizar um processo transfere a execução, nunca a responsabilidade. O fabricante que compreendeu isso não busca certificar tudo. Ele documenta um controle proporcional ao risco, e o mantém.
Você se pergunta se o controle de seus subcontratados resistirá à auditoria de seu organismo notificado? Fale conosco.