Documentation GxP, gestion documentaire et archivage réglementé : audit, conseil, formation et assistance technique pour la pharma et la biotech

Cadre réglementaire et normatif de la documentation GxP et de l'archivage

Le chapitre 4 du guide des BPF : documents, enregistrements, bonnes pratiques

Le chapitre 4 d'EudraLex volume 4, daté de janvier 2011 sur la page de la Commission européenne et repris dans le guide des BPF de l'ANSM, distingue les instructions (spécifications, formules et instructions de fabrication, procédures, protocoles, cahiers des charges techniques) des enregistrements et rapports. Les enregistrements apportent la preuve des actions réalisées et permettent de retracer l'historique de chaque lot. Ils incluent toutes les données brutes qui servent à produire d'autres enregistrements. Pour les enregistrements électroniques, l'utilisateur doit définir ce qui constitue ses données brutes, et au minimum toute information liée à une décision qualité.

Le chapitre pose des règles de création et de contrôle : types de documents définis, documents approuvés, signés et datés par des personnes autorisées, date de prise d'effet, révision régulière, contrôles adaptés pour les supports hybrides (papier et électronique) et pour les documents maîtres. Les bonnes pratiques documentaires sont simples à énoncer : saisie claire, lisible et indélébile, enregistrement au moment de l'action, correction signée et datée qui laisse lire la mention d'origine, avec le motif si nécessaire. Le site master file français correspond à l'état annuel de l'article R. 5124-46 du code de la santé publique, selon une note du guide.

L'annexe 11, la signature électronique et l'archivage des données

L'annexe 11 sur les systèmes informatisés fixe les exigences qui s'appliquent dès qu'un enregistrement BPF est électronique. Les données sont protégées par des moyens physiques et électroniques, leur accessibilité, leur lisibilité et leur exactitude sont vérifiées, et l'accès est assuré pendant toute la période de conservation. Des sauvegardes régulières sont réalisées et leur restauration est contrôlée. Une piste d'audit, envisagée sur la base d'une analyse de risque, conserve la trace des modifications et suppressions de données ayant un impact BPF. Les systèmes de gestion de documents enregistrent l'identité des utilisateurs, la date et l'heure de chaque action.

La signature électronique doit avoir, au sein de l'entreprise, la même valeur qu'une signature manuscrite, être liée définitivement au document et comporter la date et l'heure. Le point 17 de l'annexe traite de l'archivage : l'accessibilité, la lisibilité et l'intégrité des données archivées sont vérifiées, et la capacité à récupérer les données doit être testée après tout changement significatif de système. Pour les enregistrements signés ayant une valeur juridique plus large, le règlement (UE) n° 910/2014, dit eIDAS, modifié par le règlement (UE) 2024/1183, fixe le cadre européen des signatures et des services de confiance, présenté par l'ANSSI.

La consultation conjointe de la Commission européenne et du PIC/S du 7 juillet au 7 octobre 2025 portait sur une révision du chapitre 4 et de l'annexe 11 et sur une nouvelle annexe 22 relative à l'intelligence artificielle. Ces textes sont en projet, non adoptés à ce jour : les versions de 2011 s'appliquent toujours. Le projet de chapitre 4 met l'accent sur l'intégrité des données, les signatures électroniques et la gestion du risque appliquée à la gouvernance des données.

Les normes et modèles de gestion des documents d'activité

Plusieurs références hors BPF aident à structurer l'organisation. La norme ISO (International Organization for Standardization, Organisation internationale de normalisation) 15489-1, dans son édition de 2016, expose les concepts et principes de la gestion des documents d'activité : production, capture, contrôle, métadonnées, responsabilités. La norme ISO 30301 définit les exigences d'un système de management des documents d'activité. La spécification MoReq, publiée par le DLM Forum dans une édition 2010 modulaire, décrit des exigences fonctionnelles pour les systèmes de gestion de documents électroniques, utile pour rédiger un cahier des charges. La norme IEC/IEEE 82079-1:2019 traite de la préparation des informations d'utilisation (notices, manuels), un sujet qui concerne en particulier les fabricants de dispositifs médicaux. Ces référentiels sont privés ou professionnels : ils n'ont pas de valeur réglementaire par eux-mêmes et se mettent en cohérence avec les BPF, sans les remplacer. Les pages de présentation sont accessibles sur iso.org, dlmforum.eu et webstore.iec.ch.

Les enjeux d'un établissement pharmaceutique ou d'un sous-traitant

Durées de conservation et accessibilité

Le point 4.11 du guide des BPF prévoit que les dossiers de lots soient conservés au moins un an après la date de péremption du lot, ou au moins cinq ans après la certification du lot par la personne qualifiée, le délai le plus long s'appliquant. Pour les médicaments expérimentaux, la conservation est d'au moins cinq ans après l'achèvement ou l'interruption formelle du dernier essai clinique où le lot a été utilisé. D'autres législations, par exemple pour les médicaments de thérapie innovante, peuvent imposer des durées plus longues.

Pour les autres documents, la durée dépend de l'activité (point 4.12). Les documents essentiels contenant des données brutes, par exemple de validation ou de stabilité, qui étayent l'autorisation de mise sur le marché, sont archivés tant que celle-ci reste en vigueur. Les données brutes de validation d'un procédé sont conservées au moins pendant une durée qui couvre l'ensemble des lots libérés sur la base de cette validation. Dans les faits, le tableau de conservation d'un site croise ces durées avec les exigences contractuelles de ses donneurs d'ordre, et avec les règles de protection des données personnelles que contiennent certains enregistrements (habilitations, formations), sur lesquelles la CNIL publie ses recommandations.

Les défauts documentaires les plus courants tiennent pourtant moins aux durées qu'au quotidien : version périmée affichée à un poste, copie non maîtrisée d'un formulaire, enregistrement complété après coup, document approuvé sans que la revue prévue ait eu lieu, pièce introuvable dans un dossier de lot. Chacun de ces défauts appelle une règle simple, un circuit lisible et une vérification régulière, plutôt qu'une procédure de plus.

Dossiers d'essais cliniques et eTMF

Les essais cliniques ont leurs propres exigences. Le règlement (UE) n° 536/2014, consultable sur EUR-Lex, prévoit à son article 58 que le promoteur et l'investigateur archivent le contenu du dossier permanent de l'essai (trial master file) pendant au moins 25 ans après la fin de l'essai, sauf législation européenne imposant plus long. Le support d'archivage doit conserver le contenu complet et lisible pendant toute cette période, et l'accès est restreint à des personnes désignées. Les principes de l'ICH (International Council for Harmonisation, Conseil international d'harmonisation des exigences techniques relatives à l'enregistrement des médicaments à usage humain) E6(R3) sur les bonnes pratiques cliniques s'appliquent dans l'Union depuis le 23 juillet 2025 selon l'EMA.

Une durée de vingt-cinq ans dépasse la vie d'un logiciel. Elle pose la question de la migration et de la lisibilité des formats : le choix d'un système d'archivage (OpenText InfoArchive, SAP Information Lifecycle Management ou une autre solution, citées comme outils des thèmes) se juge sur sa capacité à relire les données à l'échéance et à documenter la migration qui précède. L'annexe 11 impose précisément de tester la récupération des données archivées après un changement significatif.

Les publics concernés et les outils

Ce domaine concerne les responsables gestion documentaire, les responsables assurance qualité et assurance qualité des systèmes informatisés, les responsables des opérations cliniques, les responsables des systèmes d'information, les responsables de laboratoire, les responsables réglementaires des dispositifs médicaux et les rédacteurs techniques, dans l'industrie pharmaceutique, les biotechnologies de santé, les CDMO et CMO, les CRO et les fabricants de dispositifs médicaux.

Les outils de gestion documentaire que nous citons comme exemples des thèmes comprennent Veeva Vault, OpenText Documentum for Life Sciences, OpenText Documentum for Quality and Manufacturing, OpenText Documentum for eTMF (electronic Trial Master File, dossier maître électronique de l'essai clinique), OpenText Core Signature, OpenText InfoArchive et SAP Document Management. Optédif n'est ni partenaire, ni revendeur, ni intégrateur certifié de ces marques, qui appartiennent à leurs propriétaires. Un outil ne rend pas une organisation documentaire conforme : il l'outille, à condition que les règles de nommage, de cycle de vie, de signature et de conservation aient été décidées avant sa configuration.

Ce que nous faisons, et ce que nous ne faisons pas

Les façons d'intervenir

L'audit examine votre référentiel documentaire GxP et vos pratiques d'archivage : hiérarchie des documents, circuits de révision et d'approbation, maîtrise des copies, pratiques d'enregistrement au poste, gouvernance des données électroniques, tableau de conservation. Le conseil aide à organiser le cycle de vie des documents et des enregistrements, du modèle à l'archive. La conception produit des projets de procédures, de modes opératoires, de modèles et de dossiers maîtres, que vos rédacteurs et vos approbateurs reprennent. Le déploiement ou la migration d'un système de gestion documentaire GxP se prépare par un pilote sur un périmètre limité, avec une démarche de validation documentée selon l'annexe 11.

Nous intervenons aussi en assistance technique, sous la responsabilité et l'encadrement d'Optédif, au forfait ou en récurrent, avec des livrables définis : rédaction technique, reprise documentaire, préparation de dossiers. Nos intervenants ne signent, n'approuvent ni ne libèrent aucun enregistrement GxP à la place de votre établissement, et ne partagent jamais un compte. La formation vient en complément, en intra-entreprise, pour installer de bonnes pratiques d'écriture et d'enregistrement.

Les limites de notre intervention

Optédif n'exerce aucune fonction réglementée et ne se substitue ni à l'assurance qualité de votre établissement, ni à la personne qualifiée, ni au pharmacien responsable. Les documents que nous rédigeons sont des projets : ils sont relus, adaptés et approuvés par vos propres signataires, qui engagent l'établissement. Nous ne délivrons aucun certificat BPF, aucune attestation de conformité et aucune certification ISO. Nous n'hébergeons aucune donnée de santé ni aucun enregistrement de votre établissement, et nous n'en conservons aucun : les archives restent chez vous ou chez l'hébergeur que vous choisissez.

La migration d'un système est une opération sensible, parce que l'annexe 11 demande de montrer que la valeur et la signification des données ne sont pas altérées. Nous aidons à définir les critères de rapprochement, à documenter la reprise et à préparer les preuves ; l'approbation de la migration revient à votre établissement. Un accord de confidentialité précède toute mission qui suppose l'accès à des dossiers, et nous ne traitons aucune donnée de patient : les exemples et formations utilisent des données de démonstration synthétiques.

Ce que nous remettons est traçable, argumenté et présentable à l'inspection ou à l'audit client, sans que nous puissions en annoncer l'issue. Les cas décrits sur le site sont des exemples construits.

Références officielles à consulter

Le point de départ est le guide des BPF de l'ANSM (chapitre 4 et annexe 11), complété par la page EudraLex volume 4 pour les dates d'application. Le document PI 041-1 du PIC/S détaille la gouvernance des données. Pour les essais cliniques, consultez le règlement (UE) n° 536/2014 et les pages de l'EMA (European Medicines Agency, Agence européenne des médicaments). Les textes en projet évoluent : vérifiez la version en vigueur avant de décider d'une durée de conservation ou d'une règle de signature.