Como redigir requisitos URS testáveis para isoladores, BIBO, caixas de passagem VHP e EDS

Requisitos vagos raramente são reprovados em uma revisão do URS. Eles são reprovados na mesa de FAT, quando o redator do protocolo não consegue localizar um critério de aceitação e o cronograma de qualificação absorve o atraso. Um requisito que diz “o isolador deve manter a contenção durante a troca de luvas” pode passar por uma revisão de documentos sem que ninguém perceba que ele nunca especifica qual agente de teste desafia a barreira, qual instrumento mede o resultado ou qual registro comprovaria que a condição foi atendida. O custo não é apenas o tempo de revisão — são reuniões repetidas de alinhamento entre o fornecedor, a equipe de controle de qualidade e o engenheiro de validação da unidade, muitas vezes depois que as decisões de fabricação já foram tomadas. O que resolve isso é uma disciplina de redação aplicada antes que o URS saia da equipe de projeto: se um testador não consegue redigir um teste para um requisito sem ter que adivinhar, o requisito não está pronto. As seções abaixo dão a essa disciplina uma forma específica para isoladores, sistemas BIBO, caixas de passagem VHP e EDS, e concluem com uma regra para decidir se qualquer requisito individual merece seu lugar no documento.

Formulação testável para as funções de barreira do isolador

Os documentos do Isolador URS frequentemente contêm requisitos relativos à função de barreira que parecem adequados durante a revisão interna, mas falham no Teste de Aceitação de Fábrica (FAT). O padrão de falha é consistente: os requisitos são redigidos como intenção de projeto, em vez de resultados verificáveis. “O sistema deve manter um diferencial de pressão negativa” parece completo até que o redator do protocolo pergunte qual é o valor-alvo, qual é a tolerância, onde o sensor está localizado, com que frequência ele realiza a amostragem e em que estado o sistema entra quando a leitura fica fora da faixa. Nada disso está implícito na frase. Tudo isso deve constar no roteiro de teste, o que significa que o redator do protocolo precisa inventar a resposta ou reabrir o URS.

A solução prática consiste em tratar cada requisito de barreira de isolamento como se tivesse quatro componentes antes de ser considerado completo: um ator (qual sistema ou função), uma condição de entrada (qual estado ou parâmetro aciona o requisito), uma saída exigida ou estado do sistema e uma restrição (prazo, classe de precisão, tipo de instrumento ou intervalo de registro). Um requisito que abranja uma resposta a excedência de pressão, por exemplo, deve especificar o limite diferencial, a norma do sensor, o comportamento do alarme visual e sonoro e se o sistema entra em um estado bloqueado que exija uma anulação autorizada. Esse nível de especificidade leva mais tempo para ser elaborado. Isso também significa que o redator do protocolo FAT não precisa inventar nada.

Um segundo erro comum é agrupar condições relacionadas em um único requisito usando construções do tipo “e/ou”. Se um item abranger tanto a ativação do alarme quanto o comportamento do intertravamento da porta, essas são duas condições testáveis separadamente — uma pode ser aprovada e a outra reprovada. Itens agrupados criam estados de conformidade parcial que os protocolos de qualificação não conseguem avaliar de forma clara. Cada condição atômica deve ter seu próprio número e seu próprio critério de aceitação.

A norma ASTM E2500-25 endossa o princípio subjacente de que os requisitos devem ser expressos de forma a permitir a verificação objetiva — não como uma regra prescritiva sobre a estrutura das frases, mas como uma expectativa do quadro de testes que define como a linguagem da especificação é avaliada. Redigir com foco na verificabilidade desde o início mantém a URS alinhada com essa expectativa, sem esperar que a fase de verificação revele lacunas.

Requisitos do BIBO vinculados às evidências de manutenção

Os requisitos de alojamento do sistema “bag-in/bag-out” apresentam uma vulnerabilidade específica em termos de documentação que os requisitos dos isoladores nem sempre compartilham: o acesso para manutenção. O desempenho funcional de um Sistema BIBO depende dos procedimentos de troca de filtro que devem ser executáveis em condições de contenção, e o URS costuma ser o documento em que as expectativas quanto às evidências para esses procedimentos são definidas ou silenciosamente omitidas.

Um requisito da URS que diz que “a troca do filtro deve ser realizada em condições seguras” não informa ao testador o que significa “seguro”, qual procedimento deve ser seguido, qual verificação de contenção é realizada durante ou após a troca, nem qual registro confirma que a atividade foi concluída corretamente. Na fase de IQ ou OQ, o engenheiro de qualificação deve reconstruir tudo isso. Se a reconstrução não corresponder à intenção original do projeto do fornecedor, a qualificação fica paralisada enquanto a discrepância é negociada. Essa negociação é a consequência direta de não se especificar o tipo de evidência no URS.

A abordagem mais defensável é vincular cada requisito de manutenção do BIBO ao registro específico que comprovará que ele foi cumprido. Não “um registro de manutenção deve ser mantido”, mas “as atividades de troca de filtro devem ser documentadas utilizando o [Formulário de Manutenção Preventiva do Local – ID] ou equivalente, registrando a data, o ID do técnico, o número do lote do saco, as leituras de pressão diferencial antes e depois da troca e o resultado do teste de verificação de contenção”. Esse nível de especificidade não é um exagero — ele elimina totalmente as suposições do avaliador, o que é o objetivo das expectativas de documentação de qualificação do Anexo 15 aplicadas a esse tipo de equipamento.

A dimensão da proporcionalidade do risco também é importante neste contexto. Nem todos os requisitos do BIBO acarretam consequências iguais em termos de contenção. Os requisitos que regem a integridade da contenção na troca de filtros situam-se em um nível de risco diferente daquele dos requisitos que regem o acabamento da superfície externa do invólucro. Quando um URS atribui níveis de risco aos requisitos, a profundidade esperada das evidências — certificado de calibração, registro de manutenção, documentação fotográfica, resultado de teste testemunhado — decorre desse nível. Um URS que enumera requisitos sem contexto de risco obriga o redator do protocolo a avaliar essa profundidade de forma independente, e diferentes engenheiros farão avaliações diferentes. Essa inconsistência é passível de auditoria.

Para equipes que desejam estruturar melhor as expectativas em relação às evidências de comissionamento, o Lista de verificação para comissionamento do BIBO, abrangendo FAT, SAT, IQ e OQ identifica pontos específicos que costumam ser omitidos em cada etapa.

Suposições sobre o ciclo da caixa de passagem do VHP no URS

O termo “suposição de ciclo” é o ponto em que os documentos da URS (Especificação de Requisitos do Usuário) da câmara de passagem de VHP tendem a não passar no escrutínio regulatório. As equipes documentam que um ciclo de descontaminação de VHP será utilizado para a transferência, sem converter essa suposição em parâmetros mensuráveis que o ciclo deve atingir. A consequência é que a equipe de validação chega à OQ (Qualificação Operacional) com um sistema que executa um ciclo, mas sem uma base na URS para o que o ciclo deveria demonstrar.

Tanto o Anexo 15 quanto a orientação da FDA sobre validação de processos endossam o princípio de que as condições — incluindo as condições do pior cenário possível — devem ser definidas antes de poderem ser verificadas. Para uma caixa de passagem VHP, isso significa que a URS deve indicar a faixa de concentração alvo de H₂O₂, a duração da fase de exposição, a tolerância de temperatura no local de medição, o comportamento do diferencial de pressão durante as fases do ciclo e os critérios de aceitação do indicador biológico ou químico para a qualificação do ciclo. Essas não são especificações de projeto — são condições de desempenho que o trabalho de desenvolvimento do ciclo do fornecedor deve satisfazer, e é na URS que o comprador estabelece o que significa “satisfatório”.

O risco de deixar os parâmetros do ciclo indefinidos não é meramente teórico. Um fornecedor pode desenvolver um ciclo que alcance uma redução de 6 log nas condições de sua fábrica sem documentar o intervalo de parâmetros que produz esse resultado. Na SAT ou na PQ, quando a temperatura ou a umidade do local ficam fora das premissas não explicitadas, o desempenho do ciclo varia e a equipe de qualificação não tem uma base de URS para decidir se o resultado é aceitável. Reimprimir os dados de desenvolvimento do ciclo como um critério de aceitação retrospectivo é uma vulnerabilidade reconhecida em auditorias.

Cada parâmetro deve ter uma etapa de verificação definida diretamente no próprio URS — e não deve ficar a cargo de quem redige o protocolo. Uma faixa de temperatura verificada no FAT, em condições controladas de fábrica, pode precisar de nova verificação no SAT e, novamente, na OQ, em condições do local de instalação. Definir esse mapeamento no URS evita disputas posteriores sobre o escopo, ou seja, quais testes são necessários em cada etapa.

Os compradores devem definir os registros do EDS e os requisitos de alarme

Os sistemas eletrônicos de dados e alarmes dentro dos equipamentos de contenção situam-se na interseção entre a segurança operacional e a integridade dos dados regulatórios, e é no URS que os compradores devem definir os comportamentos específicos que serão testados — e não o fornecedor. Um fornecedor configurará o sistema de acordo com suas configurações padrão. Se essas configurações padrão não atenderem às obrigações da Parte 11 ou do Anexo 11 da unidade, a falha será detectada durante a qualificação, quando as alterações de configuração são onerosas e prejudicam o cronograma.

A razão pela qual isso recai sobre o comprador é a clareza do escopo. A Parte 11 e o Anexo 11 regulamentam as obrigações relativas aos registros eletrônicos da instalação, e não o projeto do produto do fornecedor. Um fornecedor que entrega um sistema com login compartilhado, sem solicitação de assinatura eletrônica e com um registro de alarmes que pode ser apagado entregou um produto funcional. Se esse produto atende ao ambiente regulatório do comprador é uma questão do URS, e não uma deficiência do fornecedor — a menos que o URS indique o contrário.

Na prática, isso significa que os compradores devem especificar explicitamente cada comportamento regulamentado antes da aquisição. O conteúdo da trilha de auditoria, a identificação exclusiva do usuário, as condições de acionamento da assinatura eletrônica, o significado exibido de cada assinatura e os mecanismos de proteção de registros não estão implícitos em um requisito que diga “o sistema deve estar em conformidade com as regulamentações aplicáveis”. Essa frase não é testável. Os cinco comportamentos a que ela se refere são, cada um, testáveis individualmente, e cada um requer seu próprio critério de aceitação.

A Parte 11 e o Anexo 11 estabelecem os requisitos regulatórios mínimos. O URS traduz esses requisitos em uma linguagem específica para cada local e passível de teste — indicando campos, comportamentos e tipos de registros específicos que um testador pode verificar em relação a um limite de aprovação/reprovação, em vez de se basear em uma citação regulatória que cada revisor poderia interpretar de maneira diferente.

Consistência entre diversos pacotes de equipamentos

Um gerente de projeto responsável simultaneamente pelas aquisições de isolador, BIBO, caixa de passagem VHP e EDS enfrenta um risco de documentação que não aparece em nenhum URS específico de equipamento: os quatro documentos apresentarão divergências. Sem uma estrutura padronizada, cada URS desenvolve sua própria convenção de numeração, sua própria abreviação para níveis de risco e seu próprio vocabulário para tipos de evidências. Essa divergência permanece invisível até que uma auditoria entre pacotes ou um evento de controle de mudanças exija a vinculação de um único requisito no nível do local entre todos os quatro documentos.

A consequência prática é que as lacunas de rastreabilidade surgem não porque os requisitos individuais estejam mal redigidos, mas porque o projeto nunca estabeleceu uma estrutura comum à qual todos os quatro documentos pudessem se referir. Um requisito numerado como FR-14 no URS do isolador e como SR-003 no URS da caixa de passagem VHP pode abordar a mesma necessidade de controle de pressão no local. Sem uma matriz de rastreabilidade que vincule explicitamente ambos ao requisito principal, um revisor não pode confirmar se a necessidade do local foi atendida em todos os equipamentos relevantes — e a observação de auditoria surge por si só.

A solução é estrutural e deve ser aplicada antes que o primeiro URS específico do equipamento chegue à sua primeira versão preliminar. Uma convenção de numeração compartilhada — como FR-## para requisitos funcionais e SR-## para requisitos de segurança — aplicada de forma consistente em todos os pacotes permite que os requisitos sejam referenciados entre si sem a necessidade de reconstrução. Um vocabulário comum de níveis de risco, mesmo que seja uma classificação simples de três níveis, garante que as expectativas quanto à profundidade das evidências sejam aplicadas de maneira consistente. E uma matriz de rastreabilidade no nível do projeto, que vincula cada item do URS a objetos de projeto ou configuração, scripts de teste, resultados e controles associados, oferece à equipe de qualificação um único artefato auditável, em vez de quatro documentos paralelos sem conexão entre si.

Esses são critérios de planejamento e gerenciamento de projetos, e não obrigações regulatórias. No entanto, tanto o Anexo 15 quanto a norma ASTM E2500-25 tratam a rastreabilidade como uma condição para uma qualificação justificável — e uma lacuna na rastreabilidade entre pacotes é mais difícil de ser sanada após o FAT do que antes da emissão do URS.

Regra de evidência para manter ou rejeitar um item do URS

Todo URS acumula requisitos que parecem razoáveis durante a elaboração e resistem a questionamentos durante a revisão. O problema operacional é que as equipes raramente têm uma regra de decisão clara para remover ou revisar um item — de modo que os requisitos duvidosos permanecem no documento e se transformam em roteiros de teste ambíguos. A consequência disso é um registro de qualificação que inclui testes que ninguém consegue interpretar como uma aprovação ou reprovação clara, e um relacionamento com o fornecedor em que as disputas sobre o escopo remontam a formulações que nunca foram esclarecidas.

A regra prática é direta: se um testador não consegue escrever um teste para um requisito sem ter que adivinhar, o requisito não está pronto para permanecer no URS. Isso se aplica antes mesmo de o requisito sair da fase de elaboração. Trata-se de uma disciplina mais útil do que qualquer lista de verificação formal, pois obriga o redator a resolver a ambiguidade imediatamente, em vez de permitir que o requisito dê origem a um roteiro de teste falho que precisará ser revisado no FAT.

Duas métricas de apoio conferem a essa regra uma forma quantitativa para os ciclos de revisão de projetos. A integridade da rastreabilidade — a porcentagem de requisitos do URS vinculados a scripts de teste aprovados e evidências de aprovação — deve ter como meta 100%. Qualquer requisito que não consiga atingir esse estado após a qualificação deve ser removido ou revisado; um requisito permanentemente desvinculado indica que o critério de aceitação nunca foi definido com clareza suficiente para ser testado. A taxa de ambiguidade — itens sinalizados pelo revisor a cada 100 requisitos — deve permanecer abaixo de 2. Esse limite é um valor baseado no julgamento dos profissionais, não uma meta regulatória, mas fornece um sinal útil: um documento acima desse limite precisa passar por uma revisão sistemática antes de ser emitido, e não ser negociado item por item durante o FAT.

O que acontece no âmbito do projeto quando itens são mantidos apesar de não passarem nessas verificações é previsível. Os redatores do protocolo fazem suposições, as sessões de FAT produzem resultados condicionais e o engenheiro de qualificação redige uma justificativa que tenta definir retroativamente o que o requisito significava. Essa justificativa só é defensável se um auditor aceitar a reconstrução — o que não é garantido e que é totalmente evitável se o requisito for reformulado antes de sair do URS.

O que distingue um URS pronto para qualificação de um que gera revisões repetidas do protocolo não é a complexidade — é a especificidade aplicada no nível adequado. No caso específico de equipamentos de contenção e descontaminação, um requisito que não especifique o método de teste, o instrumento de medição, o limite de aceitação e o tipo de registro não está concluído. Ele foi adiado, e o custo desse adiamento se manifesta posteriormente, nos cronogramas de qualificação que as equipes subestimam constantemente ao tratarem a linguagem vaga do tipo “deve manter” como um atalho razoável na elaboração do documento.

Antes de emitir qualquer URS específico para um equipamento, confirme se todos os requisitos críticos de segurança e de descontaminação possuem um método de verificação definido, um identificador específico de resultado ou registro e um limite de aprovação/reprovação que o testador possa aplicar sem necessidade de interpretação. Essa revisão leva tempo na fase de elaboração. Ela custa, com certeza, menos do que a alternativa.

Perguntas frequentes

P: O que uma equipe deve fazer imediatamente após a finalização do URS, mas antes do início do FAT?
R: Realize uma análise estruturada de rastreabilidade que mapeie cada requisito do URS a um roteiro de teste específico, a uma etapa de verificação designada (FAT, SAT, IQ, OQ ou PQ) e a um tipo de registro identificado antes da emissão do protocolo de FAT. Essa etapa revela lacunas nos critérios de aceitação enquanto as alterações de configuração ainda têm baixo custo — uma vez que as decisões de fabricação estejam definidas, renegociar o escopo na mesa de FAT consome significativamente mais tempo do que resolver ambiguidades na fase de documentação.

P: Essa abordagem ainda funciona se o projeto envolver apenas um tipo de equipamento, em vez de todos os quatro?
R: Sim, mas vale a pena aplicar as disciplinas de consistência — convenções de numeração compartilhadas, vocabulário de níveis de risco e estrutura da matriz de rastreabilidade — mesmo a um URS de equipamento único, caso haja qualquer possibilidade de expansão futura do escopo ou de auditoria entre sistemas. Um projeto exclusivamente BIBO que adote a numeração FR-## e SR-## desde o início não precisa reconstruir sua arquitetura de documentos quando um isolador ou pacote EDS for adicionado posteriormente. O investimento inicial é mínimo; o custo de adaptação, não.

P: Em que momento a especificação dos parâmetros do ciclo VHP no URS deixa de ser um requisito de desempenho para se tornar uma prescrição de projeto?
R: O limite está em saber se a especificação define o que o ciclo deve alcançar ou se instrui o fornecedor sobre como projetá-lo. Estabelecer uma faixa-alvo de concentração de H₂O₂, a duração da exposição e o critério de aceitação do indicador biológico constitui uma condição de desempenho — o trabalho de desenvolvimento do ciclo pelo fornecedor deve satisfazê-la, mas o método continua sendo de sua responsabilidade. Especificar o equipamento de injeção, o posicionamento do bico ou o modelo do gerador entra no âmbito da prescrição de projeto e reduz a responsabilidade do fornecedor pelo resultado. A URS deve definir os limites dentro dos quais o ciclo deve operar, e não o mecanismo que o realiza.

P: Um URS que atenda à regra de evidência descrita aqui é, por si só, suficiente para atender às expectativas de qualificação do Anexo 15, ou é necessária documentação adicional?
R: O URS que atende à regra de evidência é uma pré-condição necessária, não o registro completo de qualificação. O Anexo 15 exige um ciclo de vida de qualificação documentado que inclua um plano de qualificação, protocolo, registro de execução e relatório final — cada um deles vinculado aos requisitos do URS por meio de uma estrutura de rastreabilidade. Um URS bem elaborado, com critérios de aceitação específicos, registros nomeados e atribuições para as etapas de verificação, torna a produção desses documentos subsequentes mais rápida e os torna mais defensáveis em caso de revisão, mas não os substitui.

P: Quando a mesma necessidade crítica para a segurança surge em vários pacotes de equipamentos, é melhor redigir um requisito compartilhado ou duplicá-lo em cada URS?
R: Duplique-o em cada URS específico do equipamento com uma referência-pai compartilhada na matriz de rastreabilidade no nível do projeto, em vez de citar um único requisito válido para vários documentos. Os redatores de protocolos que trabalham com um pacote específico de equipamentos precisam que o critério de aceitação completo esteja visível em seu documento — uma referência cruzada a um URS separado cria uma dependência de consulta que introduz risco de erro durante a execução. A matriz de rastreabilidade é o local adequado para tornar a relação entre os requisitos duplicados explícita e auditável, sem criar dependências frágeis entre documentos.