Auditoria externa em restaurantes: preparação e documentos

Atualização normativa em São Paulo: a Portaria CVS nº 9/2026 adiou a entrada em vigor da CVS 3/2026 e a revogação da CVS 5/2013 para 1º de fevereiro de 2027. As alterações dessas datas produzem efeitos desde 4 de outubro de 2026.

Auditoria de qualidade externa para restaurante não é um procedimento único, é pelo menos três coisas diferentes escondidas no mesmo nome: a fiscalização da vigilância sanitária, a auditoria de segunda parte que uma franqueadora ou cliente corporativo aplica sobre sua unidade, e a auditoria de terceira parte de uma certificadora acreditada, quase sempre para normas internacionais como ISO 22000 ou FSSC 22000. As três avaliam coisas parecidas, mas usam bases legais diferentes, aparecem em momentos diferentes da vida do negócio e cobram documentos diferentes na porta. Saber qual delas está prestes a bater na sua é o que muda o que você prepara primeiro.

Segunda parte, terceira parte ou fiscalização sanitária: qual auditoria é a sua

O critério que separa os três tipos é simples: quem está avaliando e por qual autoridade. A base técnica comum a todos, no Brasil, é o Regulamento Técnico de Boas Práticas para Serviços de Alimentação aprovado pela RDC 216/2004 da ANVISA, norma federal que vale para qualquer restaurante, bar, cafeteria ou dark kitchen do país e cujos requisitos estão destrinchados no guia das boas práticas exigidas pela ANVISA. É contra ela, direta ou indiretamente, que as três formas de auditoria externa medem sua operação.

O Inmetro é o órgão federal que avalia a competência dos organismos de avaliação da conformidade, ou seja, é quem acredita no Brasil as certificadoras que emitem esse tipo de certificado. É essa acreditação que faz o resultado da auditoria de terceira parte ser aceito fora do estado onde a unidade opera. Já a auditoria de segunda parte não tem norma pública, o roteiro é o que o contratante decidiu cobrar, então o primeiro passo prático é pedir o checklist da própria franqueadora ou rede antes de tentar adivinhar o que será avaliado.

Os dois documentos que toda auditoria externa confere primeiro

Antes de olhar cocção, higienização ou fichas técnicas, qualquer um dos três tipos de auditor pede dois papéis. O item 4.11.1 da RDC 216/2004 é direto: os serviços de alimentação devem dispor de Manual de Boas Práticas e de Procedimentos Operacionais Padronizados, acessíveis à equipe e disponíveis à autoridade quando solicitados. Sem esses dois documentos assinados e datados, a conversa nem chega ao segundo ponto da lista.

O item 4.11.3 fixa o prazo mínimo de guarda dos registros de rotina, e é aqui que a jurisdição muda tudo. Confundir o piso federal com a regra estadual é o erro mais caro que um gestor comete ao se preparar para auditoria externa.

Repare que a CVS 5/2013, vigente em São Paulo até 31 de janeiro de 2027, não fixa prazo próprio de guarda de registros, então o piso de 30 dias da ANVISA é o que vale no estado até lá. Fora de São Paulo, o piso que também vale é o federal, mas é preciso confirmar se o estado ou o município tem norma própria mais rígida, porque vários têm. Copiar o prazo do estado errado é o tipo de detalhe que passa despercebido até o dia em que um auditor pede o histórico de um mês que já foi descartado.

O roteiro de 55 itens que São Paulo usa para medir conformidade

Para quem nunca viu uma auditoria externa de perto, vale olhar um exemplo real de como ela é estruturada. A Portaria CVS 5/2013, vigente em São Paulo até 31 de janeiro de 2027, determina que a avaliação do cumprimento da norma seja feita por um Roteiro de Inspeção anexo, com 55 itens de avaliação que vão da higiene dos funcionários e da qualidade sanitária da produção até a higienização ambiental, o suporte operacional, as edificações e a documentação do estabelecimento. Não é uma conversa informal, é uma lista fechada, e cada item é marcado como sim, não ou não se aplica.

É exatamente esse formato, lista fechada com peso definido, que qualquer certificadora de terceira parte ou franqueadora reproduz no seu próprio roteiro. A diferença entre passar ou não numa auditoria externa raramente está em algo exótico, está em manter os itens básicos da higienização de cozinha e da saúde dos manipuladores documentados todo dia, não só na véspera da visita.

Como organizar a rotina sem inventar documento na véspera

Um auditor externo, de qualquer um dos três tipos, percebe rápido quando a documentação foi montada às pressas. Datas sem sequência, assinaturas iguais em dias diferentes e registros de temperatura sem variação real são sinais óbvios. A alternativa é manter uma rotina que já produz o que a auditoria vai pedir, sem esforço extra na semana da visita:

• Manual de Boas Práticas e os quatro POPs assinados, datados e revisados sempre que o layout ou o cardápio muda, não só uma vez no ano de abertura.
• Registros de temperatura de câmaras, freezers e cocção, com valor medido, horário e responsável nominal, conforme o controle de temperatura previsto pela ANVISA, guardados pelo prazo que vale no seu estado.
• Comprovantes de terceirizados: o item 4.11.6 exige o comprovante de execução emitido pela empresa especializada sempre que há controle químico de pragas, e o item 4.11.7 exige o certificado de execução quando a higienização do reservatório de água é feita por terceiro.
• Certificados de capacitação da equipe, porque o item 4.6.7 da RDC 216/2004 exige que o treinamento seja comprovado mediante documentação e o item 4.11.8 manda descrever carga horária, conteúdo programático, frequência e o registro nominal de quem participou.
• Checklist do contratante, quando a auditoria é de segunda parte: peça o roteiro específico da franqueadora ou da rede à qual você fornece, porque cada uma pesa itens diferentes.

Nenhum desses pontos é novidade para quem já lida com auditoria de qualidade no dia a dia do restaurante. A diferença entre uma operação que se prepara em um dia e outra que se prepara em um mês inteiro é ter esses cinco pontos vivos na rotina, não guardados numa pasta que ninguém abre.

Da visita pontual ao controle que não depende de lembrança

Uma auditoria externa, de qualquer tipo, é uma fotografia de um dia só. O que ela realmente testa é se a rotina dos outros 364 dias do ano sustenta aquele instante. É por isso que uma auditoria interna de qualidade feita com frequência, mesmo que simples, vale mais para o resultado final do que qualquer esforço concentrado na véspera da visita.

Quando o registro de temperatura, a assinatura do responsável e o comprovante do terceirizado já nascem digitais, com data, hora e evidência automáticas, a auditoria externa deixa de ser um evento para virar apenas mais um dia de conferência. A biblioteca do Koncluí reúne checklists de APPCC e segurança dos alimentos já estruturados na ordem que fiscalização, franqueadora e certificadora conferem, prontos para adaptar ao prazo de guarda que vale no seu estado.

O que ainda fica em aberto quando a visita externa se aproxima

E se a equipe esquecer de registrar a temperatura em um ou dois dias da semana?

Não invente o valor depois: o buraco vazio é menos grave do que um número inventado, que o auditor identifica rápido pela falta de variação real entre dias. Registre o dia como lacuna, anote quem estava de plantão e a causa (falta de termômetro, troca de turno, equipamento fora de uso) e reforce o ponto no checklist do dia seguinte. Se o buraco se repetir, o problema deixa de ser esquecimento pontual e vira falha de processo: a rotina precisa de responsável nominal e horário fixo, não de boa vontade coletiva.

Tenho duas unidades com CNPJ diferente. A preparação de uma serve para a outra?

Não. Cada CNPJ é um estabelecimento na prática da fiscalização e, em geral, também para franqueadora e certificadora. Manual de Boas Práticas, POPs, registros de temperatura e comprovantes de terceirizados precisam existir por unidade, com layout, cardápio e equipe reais daquela operação. Você pode reaproveitar o modelo de documento entre as casas, mas cada pasta (ou pasta digital) tem de estar assinada, datada e preenchida com o que acontece naquela cozinha.

O comprovante de controle de pragas ou da caixa d’água atrasa. Posso mostrar só a nota fiscal?

Nota fiscal prova compra, não execução. A RDC 216 pede comprovante ou certificado de execução emitido pela empresa especializada, com o serviço de fato realizado. Se o prestador atrasa o papel, cobre por escrito, guarde o e-mail ou WhatsApp da cobrança e peça a data prevista de entrega antes da visita. No dia da auditoria, o que pesa é o documento de execução; sem ele, o item de terceirizado costuma cair como não conforme, mesmo com a nota em mãos.

Preciso pagar certificadora se a minha dor real é a vigilância sanitária?

Não. Fiscalização sanitária, auditoria de segunda parte e auditoria de terceira parte resolvem problemas diferentes. Se a prioridade é o auto de infração ou a interdição, o caminho é Manual, POPs e registros no prazo que vale no seu estado ou município, sem certificado ISO. A certificadora só entra quando o contrato comercial, a exportação ou a marca exigem o selo; é custo e ciclo de manutenção próprios, não substituto da preparação sanitária do dia a dia.

A franqueadora mandou o checklist dela e o Manual ainda está desatualizado. Por onde começo?

Pelo Manual e pelos POPs: sem eles, a conversa com qualquer auditor externo quase não avança. Em paralelo, cruze o checklist da franqueadora com o que você já registra (temperatura, higienização, capacitação) e marque o que falta de evidência, não só de texto. Atualize o Manual para o layout e o cardápio atuais, assine e date, e só então preencha as lacunas específicas da marca. Assim você evita reescrever o mesmo documento duas vezes sob pressão da visita.

Quando a auditoria deixa de ser evento de véspera

Quem aplica o que este texto descreve troca a corrida de última hora por uma pasta viva: Manual e POPs revisados quando a operação muda, registros no prazo da sua jurisdição e comprovantes de terceiros cobrados no dia do serviço. A visita externa, seja da vigilância, da franqueadora ou da certificadora, passa a conferir o que já existe, não o que foi montado na semana anterior. Se quiser estruturar essa rotina na ordem em que esses três tipos de auditor conferem, use os checklists de APPCC e segurança dos alimentos da biblioteca do Koncluí.

Checklist documental para a visita da vigilância em São Paulo

Se a dúvida é quem recebe o fiscal e o que precisa estar à mão, a Portaria CVS 3/2026 dá o ponto de partida. Ela vale a partir de 1º de fevereiro de 2027, conforme a Portaria CVS 9/2026, que também revoga a CVS 5/2013 nessa data. Até lá, as obrigações que já existem continuam. Esta seção trata do estado de São Paulo; normas federais e municipais podem acrescentar camadas que não detalhamos aqui, e nenhum documento em ordem garante o resultado de uma visita.

Quem acompanha a visita

O art. 23, inciso II, diz que o Responsável Técnico ou o funcionário capacitado deve ter autoridade e competência para acompanhar as inspeções e prestar informações sobre a manipulação e os procedimentos adotados. O Responsável Técnico não é universal: o art. 19 remete à legislação específica de licenciamento sanitário para saber quais estabelecimentos precisam dele. Quando ele não é exigido, o art. 20 admite que a responsabilidade pelas Boas Práticas fique com o proprietário ou com um funcionário capacitado que trabalhe efetivamente no local e acompanhe integralmente a manipulação. Deixe o nome dessa pessoa definido, com um substituto para os turnos em que ela não está.

O que conferir nos documentos

O art. 170 exige Manual de Boas Práticas e POPs implementados, organizados, aprovados, atualizados, datados, assinados pelo responsável técnico ou legal e acessíveis aos funcionários e à autoridade sanitária. O parágrafo único do mesmo artigo lista nove temas mínimos de POP e o conteúdo mínimo de cada um. Atenção: onde o texto acima desta seção fala em “quatro POPs”, a CVS 3/2026 pede, no mínimo, os nove da lista; use a lista e não um número fixo. O art. 21 pede programa de educação permanente e registro nominal da participação dos funcionários. O art. 181 manda manter os documentos e registros previstos na portaria por no mínimo 180 dias, disponíveis quando a autoridade pedir.

Além do Manual e dos POPs, o checklist abaixo traz os comprovantes que são previstos na portaria, conforme os artigos indicados: certificado de execução do controle de pragas (art. 135, parágrafo único), higienização do reservatório de água em intervalo máximo de seis meses (art. 122) e, se terceirizada, o método no certificado de execução (art. 176), documentos de troca ou higienização de filtros (arts. 123 e 176, § 1º) e registros de manutenção e calibração (art. 147).

Em caso de suspeita de surto

O art. 23, III, inclui entre as atribuições do RT ou funcionário capacitado notificar o órgão de vigilância epidemiológica em caso de suspeita de surto de DTHA. Suspeita de surto de DTHA: o estabelecimento suspende imediatamente a distribuição dos alimentos suspeitos, segrega os produtos possivelmente envolvidos e preserva amostras e registros (art. 100, parágrafo único). Ao mesmo tempo, o RT ou o responsável legal notifica imediatamente a autoridade sanitária competente (art. 100). Não espere confirmação para agir. Defina de antemão quem faz isso e como localizar essa pessoa.

Sobre o roteiro de 55 itens

O roteiro de 55 itens descrito acima é o da CVS 5/2013. O texto completo da CVS 3/2026 não traz um roteiro de inspeção equivalente (seus anexos são o aviso sobre alimentos crus ou mal cozidos e a lista de alérgenos), então não presuma que o roteiro de 55 itens se mantém, muda ou deixa de existir. Confirme com a vigilância local qual roteiro será usado. Este checklist prepara documentos e não reproduz nenhum roteiro oficial.

Use a tabela abaixo (checklist documental logo abaixo) em uma conferência periódica. Para montar os documentos, veja o modelo de manual de boas práticas e o guia de POP para restaurante. Para a conferência interna, veja auditoria interna de qualidade.

Checklist documental de preparação para visita da vigilância (SP, CVS 3/2026)

Modelo operacional para adaptar à sua rotina. Preencha com dados reais; campos sem confirmação permanecem pendentes.

Baixar modelo para imprimir (PDF) | Baixar registro editável (CSV)

Responsável: Responsável Técnico, quando exigido no licenciamento sanitário, ou proprietário/funcionário capacitado (arts. 19 e 20)

Momento: Conferência periódica definida pela casa (sugestão: mensal) e após qualquer mudança de layout, cardápio ou equipe; nunca só na véspera da visita

Aplicação: Estabelecimento em São Paulo, para uso a partir de 01/02/2027 (CVS 3/2026 sob a CVS 9/2026). Preparação documental; não substitui o roteiro oficial de fiscalização nem garante resultado.

Como usar

1. Conferir cada linha com o documento ou registro em mãos, no local onde ele fica guardado, e não de memória.
2. Nos POPs, verificar se constam objetivo, campo de aplicação, referências, procedimentos (instruções sequenciais, frequência e responsáveis) e registros aplicáveis (art. 170, parágrafo único).
3. Em cada registro, verificar data e identificação de quem preencheu (definição de registro, art. 7, XXXIX).
4. Marque Conforme, Pendente ou Não se aplica. Como controle da casa, justifique por escrito cada Não se aplica na coluna de ação.
5. Cada Pendente recebe responsável e prazo. A coluna Onde está é recomendação da casa, para localizar rápido o documento; não é exigência da portaria.
6. Linhas de comprovantes que dependem de situação do estabelecimento (filtro, terceirização, água alternativa) só podem ser marcadas Não se aplica com justificativa.
7. Este checklist confirma a existência e o estado dos documentos. Quem ensina o método é o POP; quem mede o desempenho da rotina é a auditoria interna.
8. Prática de proteção de dados: neste checklist, registre somente existência, data e validade do atestado, nunca diagnóstico ou resultado de exame. Mantenha os documentos de saúde em arquivo com acesso restrito a RH, RT ou responsável designado, disponível à autoridade sanitária quando solicitado. Na coluna Onde está, indique apenas o arquivo restrito, sem copiar dados clínicos.

Estabelecimento: ________________________

Data / turno: ________________________

Item	Base	O que conferir	Onde está / formato	Responsável pela guarda	Data da conferência	Situação	Ação e prazo
Manual de Boas Práticas	Art. 170	Implementado, organizado, aprovado, atualizado, datado, assinado pelo RT ou responsável legal; acessível à equipe e à autoridade
POP: higiene e saúde dos funcionários	Art. 170, par. único, I; art. 172	Existe, com os elementos mínimos; assinado e datado
POP: capacitação em Boas Práticas	Art. 170, par. único, II; art. 173	Existe, com os elementos mínimos; assinado e datado
POP: controle de qualidade no recebimento	Art. 170, par. único, III; art. 174	Existe, com os elementos mínimos; assinado e datado
POP: higienização de instalações, equipamentos, móveis e utensílios	Art. 170, par. único, IV; art. 175	Existe, com os elementos mínimos; assinado e datado
POP: reservatório de água e potabilidade	Art. 170, par. único, V; art. 176	Existe, com os elementos mínimos; assinado e datado
POP: manutenção e calibração	Art. 170, par. único, VI; art. 177	Existe, com os elementos mínimos; assinado e datado
POP: vetores e pragas urbanas	Art. 170, par. único, VII; art. 178	Existe, com os elementos mínimos; assinado e datado
POP: manejo de resíduos	Art. 170, par. único, VIII; art. 179	Existe, com os elementos mínimos; assinado e datado
POP: transporte de alimentos	Art. 170, par. único, IX; art. 180	Existe, com os elementos mínimos; assinado e datado
Registro nominal de capacitação	Arts. 21 e 173	Programa de educação permanente (próprio ou terceirizado) e registro nominal da participação de cada funcionário em arquivo; registro com conteúdo programático, carga horária, data, identificação e assinatura dos funcionários e do responsável
Comprovação de curso de Boas Práticas dos manipuladores	Art. 22	Comprovação de curso com carga mínima de 8 horas e conteúdo mínimo, para cada manipulador
Atestados de saúde e exames	Arts. 9 e 10	Atestados (ou cópias) com indicação de coprocultura e parasitológico disponíveis para consulta
Certificado de execução do controle de pragas	Art. 135, par. único	Aplicação de desinfestante feita por empresa especializada licenciada; certificado de execução mantido no estabelecimento (se não houve aplicação, registrar a justificativa como prática da casa)
Higienização do reservatório de água	Arts. 122 e 176	Registro ou certificado com data; intervalo máximo de 6 meses ou após evento que possa contaminar a água; método no certificado se terceirizado
Filtros e sistema de filtragem (se houver)	Arts. 123 e 176, par. 1	Documento ou registro da troca/higienização do elemento filtrante, com data, conforme o fabricante
Água de solução alternativa (se houver)	Art. 120	Aprovação do órgão competente e laudos laboratoriais disponíveis
Manutenção e calibração	Arts. 147 e 177	Registros de manutenção programada e periódica e de calibração de instrumentos de medição, na frequência definida no POP
Registros de recebimento e de temperaturas	Arts. 30, 48, 73 e 174	Registros de recebimento (embalagem, sensorial, validade, temperatura), de equipamentos de conservação (mínimo 2 vezes ao dia) e de alimentos expostos, quando aplicável
Definição de quem acompanha a visita	Arts. 19, 20 e 23, II	RT, se exigido no licenciamento, ou proprietário/funcionário capacitado nomeado, com substituto definido como recomendação da casa; tem autoridade e competência para acompanhar e prestar informações
Quem notifica suspeita de surto de DTHA	Arts. 23, III, e 100	Pessoa definida (RT ou responsável legal) sabe que cabe notificar imediatamente a autoridade sanitária/vigilância epidemiológica e adotar as medidas do parágrafo único do art. 100
Registros previstos na portaria	Arts. 181 e 7, XXXIX	Cada registro tem data e identificação do responsável; guardados por no mínimo 180 dias; disponíveis quando solicitados

Se houver desvio

Item Pendente: nomear responsável e prazo na própria linha e reconferir na data combinada. Documento sem assinatura, data ou algum elemento mínimo: corrigir pelo responsável legal ou RT antes da próxima conferência. Registro sem data ou sem responsável identificado: não completar retroativamente com valor inventado; anotar a lacuna, corrigir o processo daqui em diante e informar o fato se a autoridade perguntar. Dúvida sobre exigência de RT: consultar a legislação de licenciamento aplicável e a vigilância local.

Exemplo simulado para treinamento

SIMULAÇÃO FICTÍCIA: o Restaurante Exemplo, em São Paulo, cujo licenciamento (confirmado pelo gerente na legislação específica) não exige RT, confere a pasta em março de 2027. Marcos, funcionário capacitado, é o responsável pela conferência e pelo acompanhamento da visita.

Manual de Boas Práticas

Conforme: datado, assinado pelo responsável legal, acessível

POP: transporte de alimentos

Pendente: falta o campo de registros aplicáveis

Registro nominal de capacitação

Pendente: 2 funcionários admitidos há 1 mês sem registro de participação

Registros previstos na portaria

Pendente: pasta guarda só 120 dias de registros

Certificado de execução do controle de pragas

Conforme: certificado da empresa especializada arquivado

Filtros e sistema de filtragem (se houver)

Não se aplica: a casa não usa filtro (justificativa escrita (recomendação da casa) na coluna de ação)

Definição de quem acompanha a visita

Conforme: Marcos, com substituto nomeado para o turno da noite

Decisão esperada: Não declarar a pasta pronta. Abrir ação com responsável e prazo para completar o POP de transporte, registrar a capacitação dos 2 funcionários e passar a guardar os registros por no mínimo 180 dias daqui em diante. Registros já descartados não são recriados. Mesmo com tudo conforme, o resultado de uma visita não fica garantido.

Base: CVS 3/2026, arts. 7, 19, 20, 21, 22, 23, 100, 120, 122, 123, 135, 147, 170, 176, 181. Vigência conforme CVS 9/2026. Conferência das fontes: 13/10/2026. As obrigações já aplicáveis continuam durante a preparação. O modelo não substitui os procedimentos, a avaliação do responsável ou as orientações da autoridade sanitária.