Perguntas e respostas sobre sistema de qualidade, ISO 9001:2026 e ISO 13485

Depende do modelo de cobrança, e no Brasil existem três: por usuário/mês, por empresa/mês e por módulo contratado. Sistemas SaaS de qualidade para pequenas e médias empresas costumam ficar na faixa de dezenas a poucas centenas de reais por mês; soluções corporativas com implantação e consultoria passam disso com folga. O QualitControl cobra por empresa, tem plano gratuito, e os módulos PGR da NR-1, Inspeções de Rotina, Avisos por WhatsApp, Dossiês e Idiomas são licenciados à parte, orçados caso a caso — o PGR por estabelecimento, porque cada estabelecimento tem o seu documento.

Comece pelo que a sua auditoria vai cobrar, não pela lista de funcionalidades. Três perguntas resolvem a maior parte da escolha: (1) o sistema fecha o ciclo inteiro da não conformidade — registro, causa raiz, plano de ação, execução e verificação de eficácia — ou só guarda ocorrência? (2) ele emite o documento que o auditor pede, com trilha de quem fez o quê e quando? (3) a pessoa do chão de fábrica consegue registrar sem treinamento? Um sistema que só a qualidade usa vira um arquivo morto bonito. Depois disso é que valem preço, integração com ERP e suporte.

A diferença que pesa em auditoria é a rastreabilidade. Planilha não guarda quem alterou o quê e quando, aceita edição retroativa sem deixar marca e não tem como provar que a versão auditada é a mesma que foi preenchida. A ISO 9001 pede informação documentada controlada (cláusula 7.5) e retenção de evidência da ação corretiva (10.2.2) — requisitos que uma planilha compartilhada não atende por natureza, não por falta de capricho de quem preenche.

Para operar o sistema, não. Para montar o SGQ, geralmente sim — são coisas diferentes. O software organiza registros, cobra prazos e emite documento; ele não decide o escopo da certificação, não define a política da qualidade nem escreve os processos da sua empresa. Empresa que já tem SGQ montado costuma configurar sozinha; empresa em primeira certificação ganha tempo com consultoria, e aí o sistema serve de esqueleto do trabalho dele.

De seis a dezoito meses, na média das empresas pequenas e médias — o que decide é a maturidade dos processos, não o tamanho. Empresa que já tem procedimento escrito e registro guardado costuma ficar na ponta de baixo. O que quase sempre atrasa é o mesmo trio: definir os processos (cláusula 4.4), rodar a primeira auditoria interna (9.2) e fechar as não conformidades dela com evidência de eficácia (10.2) — porque isso exige tempo de calendário, não esforço.

Dá, mas o valor da migração é menor do que parece. RNC encerrada vale como histórico e entra por importação; RNC aberta precisa ser recadastrada com o fluxo do sistema para que causa raiz, plano de ação e verificação de eficácia existam de verdade — importar um status "em análise" sem os registros por trás cria evidência falsa, que é pior do que não ter. A recomendação é migrar o histórico encerrado e abrir as pendentes no sistema.

Em servidor do fornecedor, e isso precisa estar escrito no contrato. O que perguntar antes de assinar: em que país o dado fica, quem tem acesso administrativo, com que frequência há backup, em quanto tempo você recebe uma cópia dos seus dados se cancelar, e o que acontece com eles depois. Para empresa brasileira, dado hospedado no Brasil simplifica a LGPD, mas hospedagem no exterior não é irregular — o que a LGPD exige é base legal, contrato e transferência internacional adequada.

Todo SaaS sério faz, mas backup do fornecedor não é a mesma coisa que cópia sua. Backup do fornecedor protege contra falha de servidor; ele não protege contra você perder o acesso à conta, nem contra um cancelamento. Por isso vale exigir exportação: se o sistema exporta os registros em Excel ou PDF a qualquer momento, você tem cópia própria. O QualitControl exporta RNCs em Excel, laudo individual em PDF e o pacote da revisão vigente dos documentos em ZIP.

A estrutura continua a mesma — dez cláusulas, Anexo SL — e nenhum requisito foi eliminado. O que a revisão de 2026 acrescenta ou reforça: cultura da qualidade e comportamento ético, riscos e oportunidades tratados separadamente na cláusula 6.1, planejamento de mudanças mais exigente (comunicar, monitorar, avaliar e analisar criticamente a mudança), conhecimento organizacional amarrado aos resultados pretendidos, e a consideração das mudanças climáticas no contexto da organização e nas necessidades das partes interessadas. O Anexo A foi ampliado e o Anexo B saiu. Confirme sempre com o seu organismo certificador: quem define o calendário da sua auditoria é ele.

O período de transição vai até setembro de 2029, três anos após a publicação. Na prática o prazo é mais curto do que parece: a auditoria de transição precisa caber no seu ciclo de certificação, e organismo certificador costuma fechar agenda com meses de antecedência. Quem tem recertificação marcada para 2028 normalmente faz a transição nela. Confirme a data com o seu certificador.

Não. Apesar do que boa parte do material de divulgação sugere, a revisão de 2026 não traz requisito novo sobre inteligência artificial, tecnologia digital ou integridade de dados. Se a sua empresa usa IA em algum processo, ela entra pelos requisitos que já existiam — controle de processo, competência e informação documentada —, não por uma cláusula nova. Desconfie de consultoria que venda "adequação à IA da ISO 9001:2026".

Ela pede que a organização considere se a mudança climática é uma questão relevante para o seu contexto (4.1) e se as partes interessadas têm requisitos relacionados a ela (4.2). Isso vem da emenda de 2024, que a ISO aplicou a todas as normas de sistema de gestão. Não é obrigação de ter meta de carbono nem de virar ISO 14001: é obrigação de analisar e registrar a conclusão, inclusive quando a conclusão for que não é relevante para o seu negócio.

É o requisito de que a qualidade não dependa só do departamento da qualidade: a alta direção precisa promover comportamento ético e um ambiente em que as pessoas relatem problema sem medo. Em auditoria isso vira pergunta de evidência, não de discurso — quantas não conformidades foram abertas por quem não é da qualidade, o que aconteceu com quem relatou, como a direção acompanhou. Sistema que deixa qualquer funcionário registrar uma ocorrência em segundos gera exatamente esse tipo de evidência.

Quase nunca. Como a estrutura não mudou, o caminho normal é uma análise de lacunas: comparar o que você já faz com o que foi acrescentado, e mexer só onde falta. Os pontos que costumam exigir registro novo são o planejamento de mudanças com os quatro momentos, a separação entre riscos e oportunidades na 6.1 e a análise do contexto climático. Trocar a numeração "ISO 9001:2015" por "2026" em todo documento sem olhar o conteúdo é o erro mais comum e o auditor percebe na primeira pergunta.

Serve para o sistema de gestão da qualidade dele: controle de documentos, não conformidade e CAPA, competência, fornecedores e os dossiês documentais com Lista Mestra. O que ele não é: software regulado como dispositivo médico, nem sistema de submissão à ANVISA. Ele organiza e imprime a documentação; o registro do produto continua sendo feito nos canais da agência.

Não. Software como dispositivo médico (SaMD) é o que tem finalidade médica — diagnóstico, tratamento, monitoramento de paciente — e precisa de regularização pela ANVISA. Um sistema de gestão da qualidade não toca em dado clínico de paciente nem gera conclusão médica: é ferramenta administrativa da empresa, como um ERP. A ANVISA publica um documento de perguntas e respostas sobre SaMD que deixa esse recorte explícito.

Que o fabricante mantenha, para cada tipo ou família de dispositivo, um arquivo com os documentos que demonstram conformidade — descrição do produto, especificações, procedimentos de fabricação e medição, e os requisitos de rastreabilidade. É o chamado arquivo do dispositivo médico. O ponto difícil na prática não é criar o arquivo, é mantê-lo vigente: quando um procedimento é revisado, todo arquivo que o referencia precisa refletir a revisão nova.

Dossiê técnico é o conjunto de documentos que prova que o produto atende aos requisitos regulatórios. No regulamento europeu de dispositivos médicos (MDR 2017/745), o Anexo II define o índice desse dossiê: descrição e especificação do dispositivo, informação a ser fornecida pelo fabricante, projeto e fabricação, requisitos gerais de segurança e desempenho, análise de risco-benefício e gerenciamento de risco, verificação e validação. Ter o índice do Anexo II como modelo evita descobrir uma lacuna durante a auditoria do organismo notificado.

Device Master Record — o conjunto de registros com as especificações e os procedimentos de produção de um dispositivo comercializado nos Estados Unidos. O 21 CFR 820.181 lista o que ele precisa conter: especificações do dispositivo, especificações do processo de produção, procedimentos de garantia da qualidade, especificações de embalagem e rotulagem, e procedimentos de instalação e manutenção. É o equivalente americano do arquivo da 4.2.3 da ISO 13485, com conteúdo listado de forma mais explícita.

É a relação de todos os documentos controlados com a revisão vigente de cada um. O auditor pede porque ela responde, numa folha, a pergunta que ele faria documento por documento: qual é a versão válida hoje. Sem Lista Mestra, provar que o POP pendurado no setor é o mesmo aprovado exige abrir cada arquivo. No QualitControl ela sai em PDF a partir do Controle de Documentos.

Com link de leitura, não com usuário. Criar conta para auditor externo é ruim por dois motivos: ele passa a ver mais do que precisa, e alguém tem de lembrar de desativar depois. O caminho seguro é um link somente leitura, com senha, prazo de validade e revogação imediata, apontando só para o dossiê combinado. O QualitControl gera esse link a partir do dossiê; revogar corta o acesso na hora, sem depender de expiração.

Dá, e o cuidado que importa é impedir que a tradução saia de sincronia com o original. Documento controlado traduzido vira risco quando a revisão 05 do original convive com a revisão 03 da tradução — em auditoria, valem as duas, e elas se contradizem. A solução é a tradução ser uma variante presa à revisão do original, não um arquivo separado. É assim que o QualitControl trata os três idiomas, com glossário dos termos oficiais da ISO 13485, do MDR e das RDCs da ANVISA.

Que a informação documentada esteja identificada, no formato adequado, analisada criticamente e aprovada antes de usar, disponível onde é necessária, protegida contra perda e uso indevido, e controlada quanto a distribuição, versão e retenção. Traduzido para o dia a dia: é preciso saber qual é a versão válida, quem aprovou, quem tem acesso e o que fazer quando ela é substituída.

Cada revisão precisa de três coisas: número, data e quem aprovou. E precisa de uma quarta, que quase sempre falta: o que mudou em relação à anterior. Sem o histórico de alteração, o auditor não consegue verificar se quem usa o procedimento foi comunicado da mudança, e é aí que a não conformidade aparece. Sistema de controle documental resolve isso guardando as revisões anteriores em vez de substituir o arquivo.

Tirando o papel da equação. Enquanto a versão impressa for a fonte, alguém vai usar a folha de dois anos atrás que ficou na gaveta. O caminho que funciona é o acesso no ponto de uso: um QR Code fixado no setor que abre sempre a revisão vigente. Quem escaneia nunca abre versão velha, porque o código aponta para o documento, não para o arquivo.

Pode, mas o Drive sozinho não cumpre a 7.5. Ele guarda arquivo e histórico de versão, e não faz três coisas que a norma pede: fluxo formal de análise crítica e aprovação antes do uso, Lista Mestra com a revisão vigente de cada documento, e controle de quem recebeu a versão nova. Dá para contornar com disciplina e planilha auxiliar — e é exatamente essa planilha auxiliar que costuma estar desatualizada no dia da auditoria.

É a revisão que foi substituída. A ISO 9001 não manda destruir: manda impedir o uso não intencional. Se você precisa guardar (exigência legal, rastreabilidade de lote antigo), guarde identificado como obsoleto e fora do acesso operacional. O erro comum é o contrário do que parece — não é guardar demais, é deixar a versão obsoleta na mesma pasta da vigente, com o mesmo nome.

Programa de Gerenciamento de Riscos: o documento que reúne o gerenciamento de riscos ocupacionais da organização. Pelo item 1.5.7.1 da NR-1 ele precisa conter, no mínimo, duas coisas — o inventário de riscos e o plano de ação. Ele substituiu o PPRA e é mais amplo: não trata só de agentes ambientais, mas de todos os riscos ocupacionais do estabelecimento.

Toda organização que admite trabalhador como empregado, com duas exceções previstas na própria NR-1: o MEI está dispensado, e empresas de grau de risco 1 e 2 com até 19 empregados podem ficar dispensadas do PGR se declararem inexistência de exposição a agentes nocivos e não houver acidente ou doença. Fora isso, a obrigação existe independentemente do porte, e o programa é por estabelecimento.

São os fatores do trabalho que afetam a saúde mental: sobrecarga e ritmo, jornada extensa e turnos alternados, assédio e violência, baixo controle sobre o próprio trabalho, trabalho isolado. A Portaria MTE nº 1.419/2024 incluiu expressamente esses fatores no inventário de riscos da NR-1, e a Portaria MTE nº 765/2025 prorrogou a vigência dessa inclusão para 26 de maio de 2026. Ou seja: inventário sem nenhum risco psicossocial identificado hoje é lacuna visível em fiscalização.

Sim — o item 1.5.3.1.1.1 da NR-1 prevê o PGR por estabelecimento. É por isso que a mesma empresa com três unidades tem três documentos, com inventários diferentes: o risco do galpão não é o risco do escritório. Organizações podem ter um PGR único quando os estabelecimentos têm as mesmas características, mas isso precisa estar justificado no documento, e não é o caso comum.

A cada dois anos, e antes disso sempre que houver mudança que altere o risco: processo novo, máquina nova, acidente, doença ocupacional ou exigência de norma. Com certificação de sistema de gestão de SST em dia, o prazo pode ir a três anos. O gatilho que mais passa despercebido é o acidente: ele obriga revisão mesmo que o calendário diga que falta um ano.

Não, e nenhum sistema pode. O item 1.5.7.2 da NR-1 atribui a responsabilidade pelo documento à organização — o software organiza o inventário, monta o plano de ação na ordem de prioridade e imprime o documento pronto; a assinatura e a responsabilidade técnica continuam de quem a norma define. Fornecedor que prometa "PGR assinado automaticamente" está vendendo o que não pode entregar.

O PPRA tratava de agentes ambientais — físicos, químicos e biológicos — e foi revogado. O PGR é mais amplo: cobre todos os riscos ocupacionais do estabelecimento, incluindo os de acidente, os ergonômicos e, desde maio de 2026, os psicossociais. Outra diferença prática: o PGR exige plano de ação estruturado com responsável, prazo e aferição de resultado (item 1.5.5.2.2), coisa que o PPRA não pedia nesse nível.

A ordem em que as medidas devem ser adotadas, definida no item 1.4.1 alínea "g": primeiro eliminar o risco ou o fator de risco; depois reduzir com medidas de proteção coletiva; depois com medidas administrativas ou de organização do trabalho; e só então com equipamento de proteção individual. EPI como primeira resposta é o achado mais frequente em fiscalização — não porque EPI seja proibido, mas porque escolher EPI sem ter avaliado as três etapas anteriores inverte a hierarquia.

Não, e chamar de auditoria cria problema. Auditoria interna é o requisito 9.2 da ISO 9001 e exige programa planejado, auditor competente e imparcial — quem audita não pode auditar o próprio trabalho. Um gerente conferindo a loja dele viola a imparcialidade por definição. A ronda diária é monitoramento e medição (9.1.1), com ação corretiva (10.2) e evidência documentada (7.5). São requisitos diferentes, e confundir os dois faz o auditor cobrar da ronda uma formalidade que ela não precisa ter.

A RDC 216/2004, que trata de boas práticas para serviços de alimentação, exige que o estabelecimento tenha procedimentos operacionais padronizados e registros que comprovem a execução — entre eles a lista de verificação das boas práticas, preenchida e guardada. Na prática, é o checklist diário de higienização, controle de temperatura, recebimento e manipulação. Fiscalização sanitária pede o registro preenchido, não o procedimento em branco.

Com link de escopo limitado e validade curta. O encarregado do açougue não vai virar usuário de sistema de qualidade — e obrigá-lo a isso é a razão mais comum de a ronda parar de funcionar depois do primeiro mês. O caminho que funciona é o aviso (e-mail ou WhatsApp) com um botão que abre só os desvios da área dele, sem senha e sem criar sessão, com o link expirando depois. Ele registra o que fez e acabou.

Em desvio que gera ação corretiva, sim — e a obrigatoriedade precisa valer no servidor, não só no botão da tela. A foto é a informação documentada que sustenta o desvio (ISO 9001 7.5); sem ela a cobrança ao responsável vira palavra contra palavra, que é exatamente o que o registro existe para evitar. O bom ajuste é por pergunta: "extintor obstruído" pede foto, "cartaz torto" não precisa travar a ronda inteira.

Cada item conferido vale pontos; o desvio desconta; a unidade fecha o período com uma nota comparável às outras. O detalhe que decide se a nota é levada a sério é a devolução de ponto quando o desvio é resolvido — sem isso, a loja que corrigiu tudo continua com a mesma nota da que não fez nada, e em dois meses ninguém olha mais o ranking.

Dá, desde que a ronda seja aberta com sinal. O QualitControl guarda as respostas e as fotos no próprio navegador (IndexedDB, porque foto é arquivo binário e não cabe no armazenamento de texto) e sobe a fila quando a conexão volta. O que precisa de sinal é o começo: é ele que cria a ronda no servidor. Câmara fria, galpão e subsolo são justamente os lugares onde isso importa.

Que a organização defina critérios para avaliar, selecionar, monitorar o desempenho e reavaliar os provedores externos, e que retenha informação documentada dessas atividades. Duas partes costumam faltar: o monitoramento (avaliar na entrada e nunca mais é não conformidade) e a evidência do critério — o auditor pergunta por que aquele fornecedor foi aprovado, e "sempre trabalhamos com ele" não é critério.

Três etapas que precisam deixar registro: definir quais documentos são obrigatórios para aquele tipo de fornecedor, conferir e guardar com a data de validade de cada um, e avaliar o desempenho por critérios com peso. O que quebra o processo não é a primeira homologação, é a manutenção: certidão vence, a pessoa que cobrava sai da empresa e seis meses depois metade da base está com documento vencido sem ninguém saber.

Guardando a data de validade como campo, não como texto dentro do arquivo. Com a data em campo, o sistema avisa antes de vencer e cobra sozinho por e-mail, sem depender de alguém lembrar. O ganho maior vem quando o próprio fornecedor pode enviar por um portal externo: aí a cobrança se resolve sem passar pela sua equipe. É assim que funciona o módulo de Fornecedores do QualitControl.

Não deve. Fornecedor como usuário significa senha para gerenciar, acesso para revisar e alguém para desativar quando o contrato acaba — trabalho que não gera valor. O modelo que funciona é o portal externo: um endereço próprio onde ele envia o documento pedido e vê o que ainda falta, sem enxergar nada do seu SGQ.

Porque em setores regulados o cliente também precisa estar apto. Distribuidor de dispositivo médico, laboratório e revenda precisam comprovar licença sanitária, autorização de funcionamento e contrato vigente — e vender para quem está irregular respinga em quem vendeu. A ISO 13485 e as RDCs da ANVISA tratam isso na cadeia, não só na porta de entrada.

Dá, e o valor está em bloquear antes do pedido, não depois. Sistema que só marca o cliente como irregular num relatório mensal não impede a venda; o bloqueio útil é o que muda o status na hora em que o documento vence e pode ser consultado pelo comercial ou pelo ERP via integração. No QualitControl o status do cliente acompanha a validade dos documentos obrigatórios do tipo dele.

Que a organização determine a competência necessária para cada função que afeta o desempenho da qualidade, garanta que as pessoas sejam competentes com base em formação, treinamento ou experiência, tome ação quando faltar competência, e retenha evidência disso. A palavra que o auditor sublinha é "necessária": lista de treinamentos realizados não prova competência se ninguém definiu antes o que a função exigia.

Medindo comportamento depois, não presença no dia. Lista de presença prova que a pessoa esteve na sala. Eficácia é outra coisa: avaliação prática algum tempo depois, indicador do processo que melhorou, redução de desvio naquele item da ronda, observação estruturada do supervisor. A cláusula 7.2 pede que a organização avalie a eficácia da ação tomada — não que ela guarde a lista.

Um quadro de quem sabe fazer o quê, em que nível, por setor. Serve para duas decisões concretas: planejar treinamento onde há vão entre o necessário e o disponível, e saber quem substitui quem em férias, afastamento ou pico de demanda. É a forma mais direta de transformar a cláusula 7.2 em informação que o gestor usa toda semana, em vez de pasta que abre uma vez por ano.

Que a organização determine os riscos e as oportunidades que precisam ser abordados para dar confiança de que o SGQ alcança os resultados pretendidos, planeje ações para tratá-los e avalie a eficácia dessas ações. A norma não obriga a usar um método específico nem a montar matriz — mas exige evidência do raciocínio, e é por isso que a matriz 5×5 virou o formato mais comum: ela deixa o critério visível.

Risco é o que pode acontecer; não conformidade é o que aconteceu. O risco é tratado por ação preventiva no planejamento (cláusula 6.1); a não conformidade é tratada por ação corretiva depois do fato (10.2). A ligação entre os dois é o que quase sempre falta: uma não conformidade que se repete é sinal de que o risco correspondente estava mal avaliado, e a análise crítica deveria voltar na matriz.

Duas escalas de 1 a 5 — probabilidade e impacto — multiplicadas, gerando um escore de 1 a 25, com faixas de classificação definidas antes de avaliar qualquer risco. O erro clássico é definir as faixas depois, olhando o resultado: aí a matriz passa a justificar a conclusão em vez de produzi-la. O método vem da ISO 31000 e atende à cláusula 6.1 da ISO 9001 quando cada risco classificado tem plano de mitigação com responsável.

Pela Cloud API oficial da Meta, com modelos de mensagem aprovados previamente — não por número pessoal nem por automação não oficial, que derruba a conta. Três consequências práticas: a mensagem sai de um número comercial verificado, o texto precisa caber num modelo aprovado, e há custo por mensagem, então o volume entra na conta do projeto. Sistema que promete WhatsApp ilimitado de graça provavelmente não usa a API oficial.

Depende do que ele abre, e isso tem de estar claro para quem recebe. Link que leva a uma ação pontual — registrar o que foi feito num desvio, aprovar um documento — não deve pedir senha: ele carrega um token de escopo restrito e validade curta, e some depois. Já o link que dá acesso continuado a um roteiro de ronda pede uma confirmação (um PIN), porque ele não expira junto com a tarefa. Os dois modelos são legítimos; misturar sem avisar é que confunde.

Por padrão, só quem trata — normalmente o administrador da qualidade. Avisar todo usuário ativo parece cuidadoso e produz o efeito contrário: em duas semanas as pessoas criam filtro e ninguém lê mais nenhum aviso, inclusive os urgentes. O ajuste certo é o destinatário ser configurável por papel, para a empresa incluir auditor ou operador quando fizer sentido no fluxo dela.

Num sistema bem feito, o outro canal continua saindo e o silêncio fica registrado. O defeito comum é o contrário: a rotina tenta o e-mail, falha e interrompe tudo — o WhatsApp também não sai e ninguém fica sabendo do desvio. A pergunta a fazer ao fornecedor é direta: quando o e-mail falha, o sistema registra a falha com o motivo, ou a tela apenas mostra "nenhum envio"? São coisas muito diferentes para quem precisa explicar depois.