Preparação de Evidências de Prontidão para Normas ISO
Objetivo
Use esta skill para organizar escopo declarado, documentos controlados, registros de implementação, rastreabilidade e evidências de prontidão para revisão humana substantiva com base em uma norma nomeada. Ela resume fluxos de trabalho de processo e fornece verificações locais determinísticas. Não contém texto de cláusulas e não realiza auditoria.
Este é um roteador. O SKILL.md contém o limite, a disciplina de via, o fluxo de trabalho compartilhado e o contrato CLI. A profundidade específica de cada norma está em references/.
Limite inegociável
Esta skill não pode:
- certificar ou acreditar qualquer coisa, emitir ou validar um certificado, cronograma de acreditação ou licença, ou prometer um resultado de auditoria, avaliação ou inspeção;
- determinar aplicabilidade legal/regulatória, classificação de dispositivo, reportabilidade, rota de conformidade, autorização de produto, acesso ao mercado, licenciamento, qualificação de pessoal ou conformidade;
- substituir a administração autorizada, o representante da administração, o diretor de laboratório, o gerente da qualidade, o signatário autorizado, RA/QI, assessoria jurídica, autoridades regulatórias/competentes, organismo notificado, Organização de Auditoria MDSAP, organismo de acreditação, avaliador ou organismo de certificação;
- validar um método, calcular ou aprovar incerteza de medição, estabelecer rastreabilidade metrológica, definir critérios de aceitabilidade de risco ou julgar se um risco, regra de decisão ou intervalo de referência é adequado ao propósito; ou
- inferir implementação, competência, conformidade, aderência ou prontidão a partir de um modelo, lista de verificação, nome de arquivo, palavra-chave, contagem de documentos, percentual ou resultado de script.
Sempre rotule as saídas como material de preparação de evidências para revisão humana autorizada. Preserve decisões não resolvidas como bloqueadores, em vez de resolvê-las.
Direitos autorais ISO e IEC
As normas ISO e IEC são protegidas por direitos autorais. Obtenha cada norma junto à ISO, IEC, um membro nacional da ISO ou outra fonte autorizada. Não recupere, cole, reproduza ou gere texto de cláusulas. Resuma o processo da própria organização e cite a cópia autorizada e controlada. Consulte direitos autorais ISO. Listas de verificação de organismos de acreditação, CAP e esquemas que citam requisitos possuem licenciamento separado — mantenha-as fora de repositórios compartilhados e prompts também.
Normas cobertas
Leia o arquivo de referência da norma em jogo antes de preparar as evidências. Cada uma carrega sua própria edição atual, via, vocabulário de domínio e modos de falha.
| Norma | Chave de perfil | Via | Referência |
|---|---|---|---|
| ISO 13485 SGQ de dispositivos médicos | iso-13485 | Certificação | references/iso-13485.md |
| ISO 14971 Gerenciamento de riscos de dispositivos | iso-14971 | Nenhuma via própria | references/iso-14971.md |
| ISO/IEC 17025 Laboratórios de ensaio e calibração | iso-17025 | Acreditação | references/iso-17025.md |
| ISO 15189 Laboratórios médicos | iso-15189 | Acreditação | references/iso-15189.md |
Uma norma ausente desta tabela está fora do escopo das verificações incluídas. Não reaproveite um perfil para uma norma que ele não nomeia — um vocabulário de domínio emprestado de uma norma diferente produz um relatório que parece completo e não significa nada.
Linha de base atual (leia o registro antes de qualquer declaração sensível ao tempo)
- ISO 13485:2016 Edição 3, confirmada após sua revisão sistemática de 2025. EN ISO 13485:2016/A11:2021 é uma emenda europeia, não uma "Emenda 1:2021" internacional ISO.
- ISO 14971:2019 Edição 3, confirmada em 2025, com ISO/TR 24971:2020 como seu guia informativo complementar. Não existe certificado ISO 14971.
- ISO/IEC 17025:2017 Edição 3 permanece atual; nenhuma edição sucessora identificada.
- ISO 15189:2022 Edição 4 substituiu a edição de 2012, absorveu os requisitos de POCT anteriormente na ISO 22870, e sua transição de acreditação foi encerrada em dezembro de 2025 — implementada, não futura.
- FDA QMSR em vigor e aplicado desde 2026-02-02; a Parte 820 é intitulada Quality Management System Regulation; o QSIT foi aposentado em favor do Programa de Conformidade 7382.850.
- MDSAP Abordagem de Auditoria atual é MDSAP AU P0002.010, data da versão 2026-02-02.
- Reconhecimento de acreditação: A Global Accreditation Cooperation Incorporated iniciou operações completas em 2026-01-01, substituindo ILAC e IAF, com seu próprio MRA; os resultados do antigo IAF MLA / ILAC MRA permanecem reconhecidos durante a transição.
- UE: use os textos consolidados atuais de MDR/IVDR, as decisões atuais de normas harmonizadas do JOUE, as orientações MDCG atuais e a rota de conformidade específica do produto.
Leia references/source-ledger.md antes de fazer qualquer declaração sensível ao tempo. Ele documenta as limitações de proveniência, incluindo quais registros ainda precisam de confirmação junto ao catálogo ISO.
Mantenha as vias de garantia separadas
Confusão de vias, e não documentos faltantes, causa a maioria dos erros substantivos aqui. Certificação, acreditação, inspeção regulatória, licenciamento obrigatório, programas de auditoria regulatória e avaliação de conformidade de produto são decididos por diferentes organismos com base em diferentes fundamentos, e nenhum substitui o outro. Duas regras que são violadas constantemente:
- Organizações são certificadas; laboratórios são acreditados. "ISO 17025 certificado" e "ISO 15189 certificado" são erros de categoria.
- Um certificado nunca substitui um regulador. A certificação ISO 13485 não isenta ninguém de inspeção FDA, e a acreditação ISO 15189 não satisfaz a CLIA.
Leia references/assurance-lanes.md para a tabela completa de vias, limites de declaração de escopo e a regra de titulação.
Fluxo de trabalho principal
Etapa 1: Declarar a norma, o propósito e os proprietários autorizados
Nomeie a(s) norma(s), a(s) via(s) que o trabalho suporta e os proprietários: representante da administração ou diretor de laboratório, proprietário da qualidade, proprietário legal/de aplicabilidade, proprietários de processo ou técnicos, aprovadores e rota de escalonamento. Uma via é uma entrada declarada, nunca uma inferência.
PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_scope_intake.py \
assets/templates/scope-intake-template.json --standard iso-13485
Use o modelo e perfil correspondentes:
| Perfil | Modelo |
|---|---|
iso-13485, iso-14971 | assets/templates/scope-intake-template.json |
iso-17025 | assets/templates/laboratory-scope-intake-template.json |
iso-15189 | assets/templates/medical-laboratory-scope-intake-template.json |
--standard assume como padrão iso-13485. Cada modelo distribuído falha intencionalmente fechado; copie-o para fora da skill e complete-o com evidências organizacionais controladas. Aplicabilidade indeterminada gera HUMAN_DECISION_REQUIRED — deixe-a como um bloqueador.
Etapa 2: Congelar evidências de fonte/versão
Para cada norma, regulamento, orientação, documento de esquema, modelo de auditoria e fonte de produto, registre publicador, título oficial, edição/versão/data, local autorizado, datas de acesso e revisão de atualidade, proprietário de escopo/aplicabilidade, avaliação de impacto, status, evidência e aprovação.
Não use trechos de pesquisa como requisitos controlados. Não atualize silenciosamente uma edição incorporada quando um publicador lança uma nova — a FDA incorporou uma edição específica da ISO 13485, e uma publicação ISO ou EN posterior não a altera.
Etapa 3: Inventariar documentos e registros controlados
Não conte procedimentos nomeados nem escaneie palavras-chave. Construa um registro explícito vinculando documentos, registros, versões de fonte, proprietários, aprovações, datas de vigência, bases de retenção, treinamento e registros de alteração.
PYTHONDONTWRITEBYTECODE=1 python3 scripts/audit_document_records.py \
assets/templates/document-register-template.json
Esta verificação é independente de norma. Leia references/evidence-architecture.md para a arquitetura de evidências.
Etapa 4: Revisar a implementação do processo
Avalie procedimentos controlados e registros amostrados em todos os domínios que seu perfil declara — o arquivo de referência específico da norma os lista. Cada item precisa de proprietário, status, IDs de evidência, fonte/versão, aprovação e links de lacunas abertas.
Um procedimento descrevendo uma atividade não é evidência de que a atividade ocorreu. Amostre registros em todos os domínios sobre os quais você relata, e declare o que você amostrou e o que não amostrou.
Etapa 5: Executar as verificações focadas que se aplicam à via
Vias de dispositivos (iso-13485, iso-14971) — cadeia de risco/projeto/produção/pós-comercialização:
PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_traceability.py \
assets/templates/traceability-matrix-template.json
Todas as normas — ação corretiva e eficácia:
PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_capa.py \
assets/templates/capa-record-template.json
Todas as normas — fornecedores e produtos e serviços fornecidos externamente, incluindo provedores de calibração, fornecedores de materiais de referência e laboratórios de referência ou subcontratados:
PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_supplier_controls.py \
assets/templates/supplier-controls-template.json
Evidências de eficácia de CAPA pendentes ou ineficazes bloqueiam o encerramento. Controles críticos de fornecedores permanecem bloqueados até que controles baseados em risco e aprovações sejam evidenciados.
Observe que check_traceability.py diz respeito à rastreabilidade de projeto e risco, não à rastreabilidade metrológica — as palavras colidem e é a ferramenta errada para trabalho laboratorial.
Etapa 6: Abordar evidências regulatórias específicas da via separadamente
Apenas para a via de dispositivos dos EUA:
PYTHONDONTWRITEBYTECODE=1 python3 scripts/check_qmsr_transition.py \
assets/templates/qmsr-transition-template.json
Revise a base de fonte atual da Parte 820/FDA, disposições suplementares, referências obsoletas de QSR/QSIT, registros anteriores à data de vigência, registros de auditoria de gestão/qualidade/fornecedor acessíveis para inspeção, treinamento atual no processo de inspeção, registros de reclamação e assistência técnica, controles de rotulagem/embalagem, evidências de fornecedor/software/alteração e alegações proibidas de equivalência a certificado. Não construa um mapa de cláusulas do antigo 820 para ISO como estrutura de controle atual.
As vias laboratoriais não possuem verificação incluída equivalente. Evidências de CLIA, licenciamento e inspeção nacional permanecem com o proprietário de conformidade autorizado; consulte references/iso-15189.md.
Etapa 7: Montar um manifesto de evidências delimitado
Copie o modelo de evidências para fora da skill. Use apenas caminhos relativos para evidências locais .json, .md ou .markdown, e um propósito de via declarado por manifesto.
PYTHONDONTWRITEBYTECODE=1 python3 scripts/validate_evidence_manifest.py \
/path/to/evidence-manifest.json \
--standard iso-17025 \
--base-dir /path/to/controlled-export \
--verify-files \
--output /path/to/manifest-report.json
Em seguida, gere uma visão de lacunas em nível de domínio com base no mesmo perfil:
PYTHONDONTWRITEBYTECODE=1 python3 scripts/gap_analyzer.py \
/path/to/evidence-manifest.json \
--standard iso-17025 \
--base-dir /path/to/controlled-export \
--verify-files \
--output /path/to/gap-report.json
O analisador usa rótulos explícitos do manifesto. Ele não infere evidências a partir de nomes de arquivo, palavras-chave ou texto proprietário de norma, e não calcula uma pontuação de conformidade. Um domínio ausente de expected_domains é relatado como not-assessed, que não é uma determinação de não aplicável.
Leia references/gap-analysis-checklist.md para as perguntas de revisão com falha fechada.
Etapa 8: Revisão humana e transferência controlada
Apresente:
- norma declarada, escopo, via(s) de garantia e decisões de aplicabilidade não resolvidas;
- a linha de base exata de fonte/versão;
- evidências amostradas e as limitações dessa amostra;
- constatações estruturais agrupadas por processo e risco;
- ações, alterações e proprietários de CAPA com datas;
- estado de aprovação; e
- a parte autorizada responsável pela próxima decisão.
Nunca intitule o resultado como "certificado", "acreditação", "relatório de conformidade", "aprovação em auditoria", "status considerado" ou "pronto para inspeção". Um título adequado é Revisão de evidências preliminar para avaliação humana autorizada, nomeando a via para a qual foi preparado.
Comportamento e segurança do CLI
Todos os CLIs incluídos:
- usam apenas a biblioteca padrão do Python;
- não realizam solicitações de rede;
- aceitam JSON local delimitado; a verificação opcional de evidências aceita apenas JSON/Markdown local delimitado;
- rejeitam entradas de link simbólico, chaves JSON duplicadas, números não finitos, tamanho/ aninhamento/ itens excessivos e caminhos de evidência inseguros;
- recusam um valor
--standardnão listado em vez de recorrer a um padrão; - não usam avaliação dinâmica, desserialização executável, pickle ou execução de shell;
- recusam sobrescrever relatórios a menos que
--forceseja explícito; e - produzem JSON ordenado e determinístico.
Trate o próprio manifesto como um registro organizacional controlado. Uma comparação opcional SHA-256 detecta apenas uma incompatibilidade de arquivo local; ela não estabelece proveniência, autenticidade, adequação ou confiança em um manifesto fornecido pelo usuário. Valores nos campos JSON local_path e evidence.location referem-se à exportação controlada do usuário, não aos recursos da skill incluídos; espaços reservados não resolvidos nunca devem ser abertos.
Códigos de saída:
0: nenhuma constatação estrutural para os campos fornecidos; não é um resultado de conformidade, aderência, competência ou acreditação;1: constatações de lacunas estruturais/de evidências encontradas;2: entrada/saída inválida ou insegura, incluindo uma norma não listada.
Execute python3 scripts/<nome>.py --help para cada interface.
Modelos
Escopo de entrada, por perfil:
assets/templates/scope-intake-template.json— ciclo de vida do dispositivoassets/templates/laboratory-scope-intake-template.json— ensaio/calibraçãoassets/templates/medical-laboratory-scope-intake-template.json— exames
Registros e registros compartilhados:
assets/templates/document-register-template.jsonassets/templates/capa-record-template.jsonassets/templates/traceability-matrix-template.jsonassets/templates/supplier-controls-template.jsonassets/templates/evidence-manifest-template.jsonassets/templates/qmsr-transition-template.json— apenas via de dispositivos dos EUA
Documentação do sistema de gestão:
assets/templates/management-review-template.jsonassets/templates/internal-audit-template.jsonassets/templates/training-record-template.json
Referências (consulte por norma)
references/iso-13485.md— via de certificação de SGQ de dispositivos médicosreferences/iso-14971.md— gerenciamento de riscos de dispositivos médicosreferences/iso-17025.md— via de acreditação de laboratórios de ensaio e calibraçãoreferences/iso-15189.md— via de acreditação de laboratórios médicos (inclui notas sobre CLIA, licenciamento e requisitos nacionais)references/source-ledger.md— registro de proveniência e limitações de linha de basereferences/assurance-lanes.md— tabela completa de vias, regra de titulação e limites de declaração de escoporeferences/evidence-architecture.md— arquitetura de evidênciasreferences/gap-analysis-checklist.md— perguntas de revisão de análise de lacunas com falha fechada`