Principais Insights da Versão Final do Guia Computer Software Assurance (CSA) da FDA
Listamos abaixo 5 principais insights desta atualização:
1. Quais são as principais mudanças no guia CSA final da FDA (2026)?
O guia CSA final esclarece, em vez de substituir, o draft de 2022. As principais atualizações incluem: uma nova seção de definições, incluindo modelos de cloud como SaaS, PaaS e IaaS; Inclusão explícita de sistemas baseados em IA/ML; Expectativas mais claras sobre evidências de cibersegurança; Orientações sobre quando o 21 CFR Part 11 se aplica; Expansão das recomendações de supervisão de fornecedores; Um novo exemplo de sistema PLM (Product Lifecycle Management) baseado em SaaS; A versão final reforça a importância da garantia baseada em risco, do uso de registros digitais e da gestão estruturada de mudanças.
2. O guia CSA final exige validação de ferramentas SaaS e baseadas em cloud?
Sim. Quando ferramentas cloud ou SaaS impactam o sistema da qualidade, o produto, a segurança do paciente ou registros regulados, elas estão dentro do escopo do CSA. Se a ferramenta estiver fora do Sistema da Qualidade (por exemplo, uso puramente administrativo), pode não exigir validação. O guia enfatiza que o escopo deve ser determinado com base em uma avaliação de risco.
3. Como o guia final aborda a conformidade com o 21 CFR Part 11?
A FDA esclarece que o foco da validação deve ser baseado em risco e vinculado à integridade dos registros. Os fabricantes devem concentrar as atividades de garantia nas funções que afetam: Registros eletrônicos; Trilhas de auditoria (audit trails); Assinaturas eletrônicas; Integridade dos dados. Registros digitais nativos, como logs e audit trails, são aceitos como evidência objetiva, reduzindo a dependência de capturas de tela ou documentação em papel.
4. O guia CSA final incentiva o uso de logs e audit trails como evidência de validação?
Sim. O guia CSA final da FDA apoia o uso de registros digitais nativos, como: logs do sistema; trilhas de auditoria; outros dados gerados e mantidos pelo software. Esses registros podem ser utilizados como evidência objetiva de garantia. Isso reduz a necessidade de documentação manual ou duplicação de evidências que já existem no sistema.
Ao utilizar registros digitais como evidência, os fabricantes devem garantir que esses registros sejam: adequados ao uso pretendido; precisos e autênticos; avaliados dentro de uma abordagem baseada em risco
5. O que a FDA espera em relação à avaliação de fornecedores de software?
O guia CSA final inclui uma subseção dedicada à avaliação de fornecedores. Ele recomenda avaliar: postura de cibersegurança do fornecedor; práticas de desenvolvimento; certificações; documentação técnica. Reconhecendo que os fabricantes frequentemente têm acesso limitado aos fornecedores, a FDA incentiva o uso de: avaliações remotas; relatórios SOC; SBOMs (Software Bill of Materials); revisões de certificações e acreditações.
Tabela Comparativa: Draft CSA 2022 vs Versão Final 2026
| Tema | Draft 2022 | Versão Final 2026 |
|---|---|---|
| Escopo e objetivo | Introduziu a mudança de CSV para CSA baseado em risco. | Reorganiza e expande o conteúdo, reforçando o modelo baseado em risco. |
|
Seção de definições |
Nenhuma seção formal: termos relacionados a cloud referenciados de forma geral. |
Nova seção com definições explícitas para SaaS, PaaS, IaaS e modelos de implantação em cloud. |
| AI/ML | Referência genérica. | IA/ML explicitamente incluído como tecnologia que requer garantia baseada em risco. |
| Requisitos de cibersegurança | Cibersegurança referenciada de forma limitada; sem expectativas claras. | Forte ênfase em evidências de cibersegurança: relatórios SOC, SBOMs e documentação de segurança do fornecedor. |
| 21 CFR Part 11 | Clareza limitada sobre como o Part 11 interage com CSA. | Aplicação baseada em risco, com foco na integridade dos registros; incentiva o uso de registros digitais nativos em vez de screenshots. |
| Avaliação de fornecedores | Menciona superficialmente. | Nova subseção: auditorias de fornecedores, certificações, práticas de desenvolvimento, postura de cibersegurança e avaliações remotas. |
| Evidência digital | Incentivados, mas não enfatizados. | Forte recomendação para uso de logs digitais, trilhas de auditoria e evidências de testes automatizados. |
| Examplos | 3 exemplos. | Apêndice expandido + novo Exemplo 4 para PLM baseado em SaaS com atualizações automáticas. |
| Gestão de mudanças regulatórias | Referências gerais sobre expectativas de documentação. | Orientações sobre quando mudanças exigem notificações em 30 dias versus relatórios anuais. |
| Atualizações SaaS | Pouco detalhadas. | Orientação explícita sobre como lidar com releases em cloud, atualizações de fornecedores e entrega contínua. |
Atualizações Automáticas em SaaS segundo o CSA da FDA
O guia CSA final reconhece que muitos sistemas de produção e qualidade são fornecidos como SaaS e recebem atualizações automáticas.
No exemplo apresentado, a FDA estabelece que o fornecedor SaaS deve fornecer documentação contendo:
- Descrição da atualização
- Testes realizados
- Resultados dos testes relevantes ao uso pretendido pelo fabricante
O fabricante deve então:
- Avaliar o impacto potencial da mudança
- Executar testes de garantia baseados em risco, quando necessário
- Manter registros da avaliação de risco e das atividades realizadas
Essa abordagem está alinhada com o objetivo do CSA: garantir que o software seja adequado ao uso pretendido, sem gerar carga regulatória desnecessária.
Como a FIVE Validation apoia essas
boas práticas de atualizações automáticas (CSA)
No GO!FIVE®, os clientes podem manter um histórico estruturado e pronto para inspeção das atualizações por meio de:
- Captura de evidências fornecidas pelo fornecedor (release notes, resumos de mudanças, resultados de testes)
- Avaliação de impacto documentada para cada atualização
- Execução de testes de garantia baseados em risco, focados apenas nas mudanças relevantes
- Manutenção de todo o histórico em um único ambiente controlado, com rastreabilidade completa
Isso garante supervisão eficiente e prontidão para auditorias.
Em outras palavras, a FIVE Validation permite implementar o modelo destacado pela FDA: evidência do fornecedor + avaliação de impacto pelo fabricante + testes baseados em risco + manutenção de registros estruturados
