O que uma auditoria de fábrica OEM verifica realmente: ISO 22716, GMPC e as regras GMP por trás de cada mercado

A maioria das auditorias não falha na sala limpa, falha nos registos

Um auditor não entra numa fábrica de cosmética esperando ver chãos impecáveis. O que ele espera são provas: que o mesmo processo que produziu o seu lote também produziu o lote anterior e o seguinte. A ISO 22716:2007 é a norma em que se apoiam a maioria das auditorias – e continua a ser a edição vigente. O ISO/TC 217 a revisou em dezembro de 2022 e confirmou que permanece válida. Não existe uma ISO 22716:2026. Se um fornecedor afirmar que existe uma versão mais recente, pergunte qual cláusula mudou e porquê. Na rede QuickOEM, todas as fábricas são avaliadas contra esse mesmo referencial, e os números de certificado são verificados no registo público do organismo certificador emissor antes de uma planta ser listada. O resto deste artigo é a lista de verificação que aplicaríamos como comprador.

A ISO 22716 é uma norma de processo, não de produto

Ela não diz nada sobre se o seu sérum funciona de facto. Diz muito sobre se a fábrica consegue provar que fabricou o que diz ter fabricado, de forma consistente, e ainda o provar três anos depois, quando uma autoridade perguntar. A norma organiza-se em torno de alguns sistemas, e o auditor testa cada um com registos, não com entrevistas.

• Gestão da qualidade – responsabilidades documentadas, atribuição de recursos, revisão pela direção e programas de auditoria interna com conclusões e follow-up reais.
• Instalações e equipamentos – tratamento de água e a sua validação, tratamento de ar onde é necessário, registos de limpeza e higienização, diários de calibração.
• Produção e controlo – registos de lote, controlos em processo, reconciliação de pesos e volumes, verificações de rendimento e monitorização ambiental quando a forma farmacêutica o exige.
• Controlo de qualidade – o laboratório que realmente liberta os lotes, amostras de retenção, dados de estabilidade e a forma como o material fora de especificação é tratado.
• Reclamações, desvios, controlo de alterações e retirada – as quatro áreas onde as fábricas perdem mais pontos, precisamente porque não se improvisam no dia da auditoria.

UE: o GMP é uma obrigação legal e o PIF tem de o declarar

O artigo 8.º do Regulamento (CE) n.º 1223/2009 exige que os produtos cosméticos sejam fabricados de acordo com as boas práticas de fabricação. O artigo 11.º exige depois que o ficheiro de informações do produto (PIF) inclua uma declaração de que o produto foi desenvolvido e fabricado em conformidade com as BPF, conservando o PIF pelo menos 10 anos. Essa única frase explica por que motivo uma fábrica orientada para a UE mantém um conjunto documental materialmente diferente do de uma que só vende no mercado interno. Explica também por que motivo a nossa resposta temos GMP é uma frase incompleta: a declaração tem de acompanhar uma planta concreta, uma categoria de produto concreta e um titular concreto do PIF. Se o PIF de um creme foi assinado por um local que não fabrica cremes, o dossião não sustenta a declaração.

O que o GMP significa em cada mercado: UE, EUA, China, UK, Indonésia, Arábia Saudita, Austrália

O referencial varia conforme o destino. Uma fábrica à vontade com dois regimes normalmente não o está com todos – é exatamente a questão a colocar antes de fazer o pedido.

• União Europeia – O GMP é obrigatório ao abrigo do (CE) 1223/2009 e a autoridade competente pode auditar você ou a sua fábrica diretamente. Notificação através do CPNP; conservação do PIF durante 10 anos.
• Estados Unidos – A MoCRA deu à FDA a competência para editar a sua própria regra GMP, mas até final de 2026 não foi publicada nenhuma versão final. Na prática, a ISO 22716 serve de referência. O registo do estabelecimento renova-se de dois em dois anos, os efeitos adversos graves são comunicados em 15 dias úteis a contar do conhecimento do facto e a FDA tem poder de retirada obrigatória.
• China – A regulamentação GMP de cosméticos está em vigor desde 1 de janeiro de 2022. A título de escala, os dados do setor no final de 2024 contavam 5.935 empresas de produção de cosméticos em todo o país; essa é uma cifra de todo o setor, não uma lista de fornecedores auditados. Leia-a como contexto da finura da oferta certificada.
• Reino Unido – O SCPN não é um espelho do CPNP da UE. A via de registo, o conteúdo do PIF e a autoridade competente não se transferem pela fronteira, e o PIF deve ser mantido em inglês durante pelo menos 10 anos.
• Indonésia (BPOM) – Uma notificação requires um número NA válido e é exigido um titular local da notificação. As provas de GMP são analisadas na fase de registo, pelo que o dossião que guarda tem de corresponder ao que submete.
• Arábia Saudita – A conformidade é verificada lote a lote através da SFDA, GHAD e FASEH. O percurso documenta-se antes de se calcular em calendário, por isso evite prometer um número fixo de dias úteis no seu dossião.
• Austrália – Não existe registo prévio de comercialização de cosméticos, mas é necessário registar-se como introducer da AICIS e conservar os registos durante pelo menos cinco anos. Os protetores solares são produtos terapêuticos da TGA e têm obrigações próprias.

A ISO 9001 não o vai salvar

Um certificado de sistema de qualidade comprova que uma empresa opera um sistema de gestão documentado. Não comprova que esse sistema cubra riscos próprios da cosmética, como o teste de desafio de eficácia conservante, os limites microbiológicos, a estabilidade, o controlo de contaminação ou o conteúdo da informação do produto. As autoridades não aceitam a ISO 9001 como substituto das BPF de cosmética, e muito menos um auditor que já passou por uma dúzia de inspeções. A cautela inversa pesa igual: deter um certificado ISO 22716 não lhe diz nada sobre o estado da planta esta manhã. As certificações descrevem o momento da certificação. Só uma auditoria presencial – ou uma auditoria remota documentada contra uma lista de verificação ISO 22716 – descreve hoje.

O GMPC chinês e a ISO 22716 não são o mesmo instrumento jurídico

Ambos são chamados BPF, mas não são o mesmo instrumento. A regulamentação chinesa é direito interno com a sua própria via de inspeção e fiscalização; a ISO 22716 é uma norma de consenso internacional, adotada pelos clientes e usada pelas autoridades como referência. Uma planta pode deter ambos os certificados e ainda assim ter lacunas no regime que os seus clientes nunca lhe perguntam. É por isso que pedimos ambos os conjuntos de registos e verificamos se o escopo corresponde à planta e ao tipo de formulação. Uma unidade certificada ISO 22716 para cosmética geral pode ter controlos completamente diferentes para uma emulsão leave-on, um sérum ou um protetor solar – verifique por forma farmacêutica, não por empresa.

Os cinco registos que decidem o resultado

Se não se lembrar de mais nada deste artigo, lembre-se destes cinco. Os auditores são treinados para seguir um registo para trás, não para admirar uma instalação.

• Registos de lote que reconciliam – peso de entrada, rendimento e consumo de embalagem face ao realmente expedido, com cada desvio explicado.
• Diários de desvios e de controlo de alterações indicando quem aprovou a alteração, quando e que avaliação de risco a respaldou. Desvios abertos ou minimizados é a conclusão mais frequente.
• Amostras de retenção conservadas pelo período definido e corretamente etiquetadas, para que um lote de há três anos continue analisável.
• Dossiões de reclamações e retiradas, incluindo a prova de um exercício de retirada. Muitas fábricas têm uma política na estante e nenhum registo de a terem jamais praticado.
• Registos de formação e qualificação das pessoas que manuseiam o produto, especialmente em etapas assépticas ou de risco elevado.

Como verificar um certificado em uns quinze minutos

Os números de certificado são públicos por desenho. Use isso em vez do PDF do dossião do fornecedor.

• Verifique o número no registo público do organismo de certificação emissor, não num documento reencaminhado pelo fornecedor.
• Confirme o escopo: a morada da planta e as formas farmacêuticas têm de cobrir o que está a comprar. Um certificado de grupo que abranja várias entidades legais não é uma garantia de site único.
• Confirme as datos: certificação inicial, validade atual e ciclo de auditoria. Um certificado caducado sem via de renovação é pior do que não ter certificado.
• Confirme o idioma do escopo em fábricas de origem chinesa. Muitos certificados têm um escopo em chinês que não nomeia as categorias de produto de que precisa.
• Peça o relatório de auditoria mais recente em vez do certificado isolado. A página de conclusões e ações corretivas é onde uma fábrica fraca se revela.

Transformar a auditoria numa decisão de compra

Uma auditoria não é um evento de aprovado/reprovado. É um conjunto de riscos que ou aceita, ou integra no custo unitário, ou fecha com cláusulas contratuais antes do primeiro envio. A maioria das marcas investe muito mais na planta física e de menos na papelada que é realmente a causa de uma retirada. As correções mais baratas devem ser exigidas de antemão: um titular de PIF nomeado, um plano de amostragem de retenção, uma via de reclamação escrita para a fábrica e um compromisso de resposta com dados de lote em 48 horas. Na QuickOEM, o acesso para a marca é gratuito e os orçamentos das fábricas chegam diretos, sem margem acrescentada. Indique-nos os seus mercados-alvo e proporemos apenas as plantas cujo escopo de certificação os cobre.