Qualification, validation, CSV et intégrité des données : audit, conseil, formation et assistance technique pour la pharma et la biotech

Cadre réglementaire et normatif de la qualification, de la validation et de l'intégrité des données

L'annexe 15 : qualification et validation sur tout le cycle de vie

L'annexe 15 d'EudraLex volume 4, en application depuis le 1er octobre 2015 selon la page de la Commission européenne, décrit les principes de qualification et de validation des installations, des équipements, des utilités et des procédés. Elle est reprise dans le guide des BPF de l'ANSM. Le fabricant doit contrôler les aspects critiques de ses opérations par la qualification et la validation, tout au long du cycle de vie du produit et du procédé. Tout changement planifié susceptible d'avoir un effet sur la qualité du produit doit être documenté, avec une évaluation de son impact sur le statut de validation.

Quelques exigences structurent le travail. Le périmètre et l'étendue des activités se décident sur une évaluation des risques justifiée et documentée. Les éléments clés du programme figurent dans un plan directeur de validation ou un document équivalent. Les protocoles définissent les attributs et paramètres critiques et leurs critères d'acceptation. Un résultat hors critère est enregistré comme une déviation et investigué. L'annexe précise qu'une validation rétrospective n'est plus considérée comme acceptable, et que, lorsque des protocoles sont fournis par un prestataire de validation, le personnel compétent du site doit confirmer leur adéquation et leur conformité aux procédures internes avant approbation.

L'annexe 11, GAMP 5 et la validation des systèmes informatisés

L'annexe 11 (révision de janvier 2011) s'applique à toutes les formes de systèmes informatisés utilisés dans des activités BPF : l'application doit être validée et l'infrastructure informatique qualifiée. La gestion du risque s'applique sur tout le cycle de vie, en tenant compte de la sécurité des patients, de l'intégrité des données et de la qualité du produit. Les spécifications utilisateur (URS) sont traçables, la pertinence des scénarios de test est démontrée, la migration de données ne doit pas altérer la valeur ni la signification des données. Une piste d'audit, une gestion des accès, des signatures électroniques liées à l'enregistrement, des évaluations périodiques et un archivage vérifié complètent le dispositif.

Le guide GAMP 5, deuxième édition, publié par l'ISPE en juillet 2022, est la référence de méthode la plus utilisée : approche fondée sur le risque et sur l'esprit critique, catégories de logiciels, rôle du fournisseur. C'est un guide professionnel et non un texte réglementaire. Aux États-Unis, la FDA (Food and Drug Administration, Agence américaine des produits alimentaires et médicamenteux) encadre les enregistrements et signatures électroniques par la partie 11 du titre 21 du CFR (Code of Federal Regulations, code des réglementations fédérales des États-Unis), dont le guide « Scope and Application » de septembre 2003 est une recommandation non contraignante.

Un projet de révision conjointe du chapitre 4, de l'annexe 11 et d'une nouvelle annexe 22 consacrée à l'intelligence artificielle a fait l'objet d'une consultation de la Commission européenne et du PIC/S du 7 juillet au 7 octobre 2025. L'annexe 22 est en projet, non adoptée à ce jour, et la version de janvier 2011 de l'annexe 11 reste celle qui s'applique.

L'intégrité des données : PIC/S, MHRA et principes ALCOA

Le document PI 041-1 du PIC/S (1er juillet 2021, 63 pages), intitulé « Good practices for data management and integrity in regulated GMP/GDP environments », décrit la gouvernance des données attendue des sites BPF et BPD (bonnes pratiques de distribution). Il vaut pour les supports papier, informatisés et hybrides. Il n'est ni obligatoire ni exécutoire en droit, mais les inspecteurs s'en servent comme repère. Le guide « GXP Data Integrity Guidance and Definitions » du MHRA (révision 1, mars 2018) en donne les définitions courantes, dont l'acronyme ALCOA (Attributable, Legible, Contemporaneous, Original, Accurate, critères d'intégrité des données) : données attribuables, lisibles, enregistrées au moment de l'action, originales et exactes. Le « + » ajoute complètes, cohérentes, durables et disponibles.

Le chapitre 4 du guide des BPF exige de son côté des enregistrements effectués au moment de chaque action, des corrections signées et datées qui laissent lire la mention d'origine, et des contrôles sécurisés de l'intégrité pendant toute la durée d'archivage. L'intégrité des données n'est donc pas un sujet informatique réservé : elle concerne aussi le cahier papier du laboratoire et la feuille de saisie de l'atelier.

Les enjeux pour un établissement pharmaceutique ou un sous-traitant

Procédés, nettoyage et stérilisation

La validation d'un procédé se conçoit dans l'annexe 15 comme une démarche de cycle de vie : validation initiale, validation après modification, transfert de site, puis vérification continue du procédé. L'annexe s'utilise avec la ligne directrice de l'EMA sur la validation des procédés, dont la logique rejoint l'ICH Q8 (ligne directrice ICH Q8 sur le développement pharmaceutique), Q9 et Q10 (ligne directrice ICH Q10 sur le système qualité pharmaceutique). La validation du nettoyage doit confirmer l'efficacité des procédures pour chaque équipement au contact du produit. Un examen visuel seul n'est généralement pas acceptable, et répéter le nettoyage jusqu'à obtenir un résultat satisfaisant n'est pas une approche acceptable. Les limites de contamination résiduelle reposent sur une évaluation toxicologique, dans l'esprit de la ligne directrice de l'EMA sur les limites d'exposition fondées sur la santé.

Pour les produits stériles, l'annexe 1 révisée, applicable dans l'Union depuis le 25 août 2023 (point 8.123 depuis le 25 août 2024), s'ajoute aux exigences de validation. Les inspections et requalifications périodiques des équipements sous pression, comme les autoclaves, relèvent d'organismes ou de services d'inspection habilités : elles ne se confondent pas avec la qualification BPF d'un stérilisateur.

Tests, outils et données maîtres

Un programme de validation produit beaucoup de preuves : exigences, scénarios de test, anomalies, traçabilité. Des outils de gestion des tests, comme XRay for Jira ou OpenText Application Quality Management (ALM Quality Center), et le cadre de la norme ISO/IEC 29119 sur les processus de test logiciel aident à les organiser. La gouvernance des données maîtres s'appuie, selon les cas, sur des outils comme Collibra, DataGalaxy, SAP Master Data Governance ou SAP Enterprise Data Integrity Testing by Tricentis. Le suivi des étalonnages peut passer par IndySoft. Ces marques sont citées comme outils des thèmes ; Optédif n'en est ni partenaire, ni revendeur, ni intégrateur certifié.

Le point d'attention est toujours le même : l'outil ne valide rien en lui-même. Un outil de gestion des tests est un système informatisé de plus, dont l'usage dans un contexte BPF suppose une évaluation de son propre risque, comme l'annexe 11 le demande pour tout système et pour l'adéquation des outils de test automatisés.

Dans la pratique, la profondeur des tests suit le risque. Une fonction qui influence une décision qualité, une libération ou une donnée de lot appelle des tests scriptés et des preuves conservées. Une fonction de confort d'un progiciel standard peut être vérifiée plus légèrement, à partir de la documentation du fournisseur que l'annexe 11 demande d'examiner attentivement, avec un audit du fournisseur lorsque le risque le justifie. Lors d'une migration, la validation doit montrer que la valeur et la signification des données ne sont pas altérées, ce qui suppose des critères de rapprochement définis avant le transfert.

Les publics concernés et qui signe

Le domaine s'adresse aux ingénieurs validation et qualification, aux responsables assurance qualité des systèmes informatisés, aux responsables assurance qualité, aux responsables de production et de contrôle qualité, aux responsables de laboratoire, aux responsables de métrologie, aux ingénieurs MES (Manufacturing Execution System, système d'exécution de la production) et aux responsables des systèmes d'information. Les secteurs sont l'industrie pharmaceutique, les biotechnologies de santé, les CDMO et CMO (Contract Manufacturing Organization, organisation de fabrication sous contrat), les fabricants de dispositifs médicaux et de diagnostic in vitro, les laboratoires de contrôle qualité et les ingénieries pour sites pharmaceutiques.

L'annexe 11 demande une coopération étroite entre le détenteur du processus, le détenteur du système, les personnes qualifiées et le service informatique, avec des responsabilités clairement définies. Dans un système informatisé, les comptes et les signatures électroniques sont nominatifs. La validation, la libération du système pour l'usage et l'approbation des enregistrements restent la responsabilité de l'utilisateur, c'est-à-dire de l'établissement.

Ce que nous faisons, et ce que nous ne faisons pas

Les façons d'intervenir

Nous accompagnons une démarche de validation documentée, selon l'annexe 15 et l'annexe 11. L'audit examine vos dossiers de qualification et de validation et vos pratiques d'intégrité des données, et en dégage les écarts. Le conseil aide à définir une stratégie de validation fondée sur le risque : plan directeur, niveau d'effort selon la criticité, choix des scénarios de test. La conception produit des projets de plans, de protocoles, de rapports et de matrices de traçabilité que vos équipes relisent, complètent, exécutent et approuvent. Le déploiement met en place des outils de gestion des tests ou des données maîtres, en commençant souvent par un périmètre pilote.

Nous intervenons aussi en assistance technique, sous la responsabilité et l'encadrement d'Optédif, au forfait ou en récurrent, avec des livrables définis au départ. Un intervenant d'Optédif ne signe, n'approuve ni ne libère aucun enregistrement GxP (Good x Practice, ensemble des bonnes pratiques de fabrication, de laboratoire, cliniques et de distribution) à la place de votre établissement, et ne partage jamais un compte. La formation prépare vos équipes à comprendre les exigences et à les appliquer, en intra-entreprise, sur vos documents.

Les limites de notre intervention

Optédif ne valide pas vos systèmes, vos équipements ni vos procédés : nous ne déclarons jamais un système validé à la place de son utilisateur et nous ne promettons aucun résultat de validation. Les protocoles que nous rédigeons sont approuvés par vos propres signataires, et l'annexe 15 rappelle que votre personnel compétent doit en confirmer l'adéquation avant approbation. Nous n'exerçons aucune fonction réglementée : ni pharmacien responsable, ni personne qualifiée, ni libération de lots. Nous ne délivrons ni certificat BPF, ni agrément, ni attestation de conformité, et un audit de dossiers ne vaut ni inspection ni audit de certification.

L'annexe 11 demande un contrat formel avec tout prestataire intervenant dans la validation ou la maintenance d'un système, et le chapitre 7 impose un contrat pour toute activité BPF externalisée. Si votre besoin relève d'une activité soumise aux BPF, nous le qualifions avec vous avant de la proposer, dans le cadre d'un contrat technique adapté. Un accord de confidentialité précède toute mission qui suppose l'accès à vos dossiers, et nous ne traitons jamais de données de patients : les exemples et les formations utilisent des données de démonstration synthétiques.

Ce que nous remettons est traçable, argumenté et présentable à l'inspection ou à l'audit client, sans que nous puissions en annoncer l'issue. Les cas décrits sur le site sont des exemples construits.

Références officielles à consulter

Les sources de référence sont la page EudraLex volume 4 pour les annexes 11, 15 et 1, le guide des BPF de l'ANSM pour leur transposition française, et le site du PIC/S pour la gouvernance des données. Le guide GAMP 5 de l'ISPE complète l'ensemble sur la méthode. Les textes en projet évoluent : vérifiez la version en vigueur avant de figer une procédure.