INTÉGRITÉ DES DONNÉES PHARMACEUTIQUES
FDA 21 CFR Partie 11 : Sécurité des dossiers électroniques avec le S332
L’écran et l’enregistreur de données SUTO iTEC S332 permettent la création d’enregistrements électroniques sécurisés et traçables grâce à une gestion des utilisateurs par rôles, une piste d’audit protégée, des signatures électroniques, 10 Go d’espace de stockage sécurisé et un accès à distance contrôlé.
Conçu pour garantir l’intégrité des données dans le cadre de la surveillance réglementée des services publics
EN BREF
La norme FDA 21 CFR Partie 11 définit les conditions dans lesquelles les enregistrements électroniques et les signatures électroniques peuvent être considérés comme équivalents aux enregistrements papier et aux signatures manuscrites. Le S332 fournit des contrôles techniques qui répondent à ces exigences. La conformité dépend toutefois de la mise en place d’un système qualité complet et validé.
Les fabricants de produits pharmaceutiques s’appuient sur des enregistrements numériques pour attester de l’état de l’air comprimé et d’autres services essentiels. Des mesures telles que le point de rosée, la pression, le débit, les particules et les vapeurs d’huile peuvent entrer en ligne de compte dans une décision relative aux BPF et doivent donc rester fiables, traçables et accessibles.
Cette page explique dans quels cas la partie 11 s’applique, comment le S332 garantit l’intégrité des données, en quoi ces fonctions s’inscrivent dans le cadre du modèle ALCOA+ et de l’annexe 11 des BPF de l’UE, ainsi que les responsabilités qui incombent à l’organisation utilisatrice.
1. Qu’est-ce que la norme 21 CFR, partie 11, de la FDA ?
La norme 21 CFR, partie 11, de la FDA définit les critères selon lesquels les documents électroniques et les signatures électroniques peuvent être considérés comme équivalents aux documents papier et aux signatures manuscrites.
Elle s’applique lorsque des enregistrements électroniques sont utilisés pour satisfaire aux exigences réglementaires de la FDA. La partie 11 n’impose pas de technologie spécifique. Elle exige en revanche que les enregistrements soient exacts, complets, sécurisés, traçables et protégés contre toute modification non autorisée.
Ce règlement s’applique conjointement avec les règles de la FDA sur lesquelles il s’appuie et qui imposent la tenue de registres, communément appelées « règles de référence ». Ces règles déterminent quels registres doivent être conservés ; la partie 11 régit la manière dont ces registres peuvent être créés et conservés par voie électronique.
Les contrôles habituels comprennent notamment :
- Comptes d’utilisateurs uniques
- Autorisations basées sur les rôles
- Pistes d’audit
- Signatures électroniques
- Conservation sécurisée des documents
- Événements horodatés
- Validation du système
2. Pourquoi la partie 11 est-elle importante pour les données relatives à l’air comprimé et aux services publics ?
La partie 11 peut s’appliquer aux données relatives à l’air comprimé et aux services techniques dès lors que le dossier justifie une décision relative aux bonnes pratiques de fabrication (BPF).
Le champ d’application est déterminé par l’utilisation qui est faite d’une mesure, et non par le type d’instrument. Un enregistrement du point de rosée utilisé lors de la validation d’un lot, par exemple, fait partie de la chaîne de preuves réglementaire. Il peut en aller de même pour les données relatives aux particules, aux vapeurs d’huile, à la pression, à la température ou au débit lorsque ces valeurs contribuent à la qualité du produit, à des enquêtes ou à la validation des conditions de processus.
| Mesure des services publics | Utilisation typique dans le cadre des BPF | Est-ce concerné ? |
|---|---|---|
| Point de rosée | Preuve que les performances de séchage sont restées conformes aux spécifications tout au long d’un lot | Oui |
| Vapeurs d’huile et particules | Conformité de l’air en contact avec le produit aux classes spécifiées par la norme ISO 8573 | Oui |
| Débit et consommation | Études des écarts et évaluations de capacité mentionnées dans la documentation relative aux bonnes pratiques de fabrication (BPF) | En règle générale |
| Pression et température | Paramètres de référence mentionnés dans une description de procédé validée | En règle générale |
| Consommation d’énergie | Rapports sur les coûts et l’efficacité sans décision relative aux BPF | En règle générale, non |
Des registres fiables relatifs aux services publics permettent d’accélérer les enquêtes, de réduire la documentation manuelle et de fournir aux auditeurs un historique clair des valeurs mesurées, de la configuration du système et des personnes ayant examiné ou approuvé le registre.
3. Comment le S332 est conforme à la norme 21 CFR Partie 11 de la FDA
Le S332 est conforme à la norme FDA 21 CFR Partie 11 grâce à cinq contrôles techniques intégrés qui protègent les enregistrements électroniques des paramètres de fonctionnement, depuis la mesure jusqu’à la vérification, la validation, l’archivage et la consultation.
Ces contrôles sont intégrés au S332 et ne sont pas ajoutés ultérieurement via des tableurs distincts ou des étapes d’approbation sur support papier. Chaque fonction couvre une étape différente du cycle de vie des dossiers électroniques et aide les organismes soumis à une réglementation à améliorer la responsabilité, la traçabilité, l’intégrité des données et leur préparation aux inspections.
1. Gestion des utilisateurs par rôle
Des comptes utilisateurs uniques et des droits d’accès bien définis permettent d’associer chaque action à une personne autorisée.
Le S332 prend en charge quatre types de comptes : Opérateur, Responsable, Auditeur et Administrateur. Cette distinction permet d’appliquer le principe du droit d’accès minimal et d’éviter le partage d’identifiants, l’une des failles les plus courantes dans les systèmes d’archivage électronique.
| Type de compte | Portée type |
|---|---|
| Opérateur | Consultation et exploitation quotidiennes dans le cadre des autorisations attribuées |
| Responsable | Tâches de configuration et de validation dans le cadre des autorisations attribuées |
| Auditeur | Examen des registres et de la piste d’audit sans droit de modification |
| Administration | Gestion des comptes utilisateurs et paramètres système |
2. Piste d’audit sécurisée
Le S332 génère automatiquement une piste d’audit horodatée. Celle-ci ne peut être ni désactivée, ni modifiée, ni supprimée par un utilisateur.
Les opérations concernées sont enregistrées avec l’identifiant de l’utilisateur, l’horodatage, la valeur d’origine, la valeur modifiée et un commentaire relatif à l’opération. La piste d’audit peut être consultée en cas d’écarts, d’audits internes et d’inspections réglementaires.
Pourquoi est-ce important ? L’historique des modifications permet de savoir qui a modifié quoi et à quel moment, sans remplacer l’historique d’origine.
3. Signatures électroniques
Chaque signature électronique est associée à un compte utilisateur et reste liée au document signé.
Les fichiers signés conservent l’identité de l’utilisateur et l’horodatage. Si un fichier signé est modifié, la signature est automatiquement invalidée, ce qui rend le statut d’approbation transparent.
Piste d’audit ou signature électronique ?
La piste d’audit enregistre en continu l’activité du système. Une signature électronique correspond à un examen ou à une validation délibérée effectuée par un utilisateur autorisé. La piste d’audit permet de savoir qui a modifié quoi et à quel moment ; la signature identifie la personne qui a validé l’enregistrement.
4. Stockage sécurisé et récupération des documents
Le S332 offre 10 Go d’espace de stockage interne sécurisé pour les enregistrements de mesures, les pistes d’audit et les fichiers signés.
Les documents originaux ne peuvent être ni écrasés ni modifiés. Le fait de conserver les éléments de preuve associés au sein d’un même environnement protégé facilite l’examen rétrospectif et la recherche de ces documents.
Les durées de conservation, la sauvegarde, l’archivage et la restauration font toujours partie intégrante du système qualité de l’organisation utilisatrice et doivent être définis conformément aux règles de base applicables.
5. Accès à distance contrôlé
Le serveur web intégré permet aux utilisateurs autorisés d’accéder à distance au système, tout en garantissant la traçabilité et l’attribution des actions effectuées.
L’accès à distance permet d’accélérer les vérifications et les réponses sans que le personnel ait besoin d’être physiquement présent devant l’appareil. La conception du réseau, les mesures de cybersécurité et la politique d’accès doivent néanmoins être évaluées et validées par l’organisation utilisatrice.
4. Comment le S332 contribue à garantir l’intégrité des données ALCOA+
ALCOA+ est le vocabulaire utilisé par la plupart des équipes chargées de la qualité pour décrire l’intégrité des données, et chaque principe correspond à un contrôle spécifique de la norme S332.
ALCOA+ ne fait pas partie de la réglementation proprement dite. Il s’agit d’un cadre de référence, et c’est généralement le vocabulaire qu’un auditeur utilisera lors des réunions.
| Principe ALCOA+ | Disposition pertinente de la norme S332 |
|---|---|
| Attribuable | Les comptes d’utilisateurs uniques et les autorisations basées sur les rôles permettent de relier chaque action à un utilisateur spécifique. |
| Lisible | Les enregistrements électroniques et les fichiers de piste d’audit peuvent être récupérés et consultés en cas de besoin. |
| En temps réel | Les mesures et les événements de la piste d’audit sont enregistrés avec un horodatage au moment où ils se produisent. |
| Original | Les données d’origine sont protégées contre tout écrasement ou toute modification dans la mémoire interne. |
| Précision | Les données de mesure proviennent de capteurs dont la précision est garantie par un étalonnage traçable, réalisé au laboratoire SUTO iTEC ou par le biais d’un étalonnage par échange. |
| Terminé | Les enregistrements de l’historique de suivi permettent de conserver les activités des utilisateurs et les modifications apportées, y compris les valeurs d’origine et les valeurs modifiées. |
| Cohérent | Les événements sont enregistrés par ordre chronologique par rapport à une référence temporelle cohérente. |
| Durable | La mémoire interne de 10 Go permet de conserver les enregistrements électroniques, les pistes d’audit et les fichiers enregistrés. |
| Disponible | Les enregistrements archivés et les fichiers de piste d’audit peuvent être récupérés et exportés à la demande. |
5. Règlement 21 CFR, partie 11, de la FDA et annexe 11 des BPF de l’UE
La partie 11 et l’annexe 11 constituent des cadres distincts, mais toutes deux exigent un accès contrôlé, des enregistrements fiables, des pistes d’audit, une validation, des mesures de sécurité et des signatures électroniques appropriées.
Pour les fabricants présents sur les marchés américain et européen, un système de surveillance bien conçu peut répondre à ces deux séries d’exigences. L’évaluation finale de la conformité repose toujours sur l’usage prévu et sur l’ensemble du système informatisé.
| Sujet | FDA 21 CFR Partie 11 | Annexe 11 des BPF de l’UE |
|---|---|---|
| Champ d’application | Produits réglementés par la FDA, États-Unis | Systèmes informatisés utilisés dans le cadre des activités de bonnes pratiques de fabrication (BPF), Union européenne |
| Nature juridique | Réglementation, règle exécutoire | Directive relative aux BPF figurant dans le volume 4 d’EudraLex |
| Accès contrôlé des utilisateurs | Obligatoire, sections 11.10(d) et 11.10(g) | Obligatoire, section 12 relative à la sécurité |
| Piste d’audit | Obligatoire, section 11.10(e) | Obligatoire, section 9, y compris un examen périodique |
| Signatures électroniques | Exigences détaillées, sections 11.50 à 11.300 | Abordées à la section 14 |
| Validation du système | Obligatoire, section 11.10(a) | Obligatoire, section 4 |
| Conservation des documents | Régie par les règles de base applicables | Régies par les exigences GMP applicables |
Le texte intégral de l’annexe 11 est publié par la Commission européenne dans le volume 4 d’EudraLex.
6. Exemple pratique : registres relatifs au point de rosée lors d’une inspection de la FDA
Un inspecteur demande des preuves attestant que le point de rosée de l’air comprimé est resté conforme aux spécifications tout au long d’un lot de production.
Grâce au S332, l’équipe chargée de la qualité peut consulter l’historique des mesures, examiner les modifications de configuration pertinentes dans la piste d’audit et vérifier l’approbation électronique associée, le tout à partir d’une seule et même plateforme. Cela réduit le temps de recherche et offre une chaîne de preuves plus claire qu’un flux de travail réparti entre des enregistreurs locaux, des tableurs et des signatures sur papier.
| Sans système de surveillance conforme à la partie 11 | Avec le SUTO iTEC S332 |
|---|---|
| Les éléments de preuve proviennent d’un journal de bord local, d’un fichier Excel exporté et d’un rapport de maintenance. | L’historique des mesures, la piste d’audit et les validations sont consultables à partir d’une seule et même plateforme. |
| Il n’existe aucune preuve fiable indiquant que la configuration est restée inchangée tout au long du lot. | La piste d’audit indique si une modification de configuration a eu lieu, par qui et à quelle date. |
| Les autorisations se présentent sous la forme de signatures manuscrites figurant sur des documents distincts. | Les validations électroniques sont associées aux dossiers et peuvent être vérifiées. |
| La préparation du dossier de preuves prend plusieurs jours. | L’équipe chargée de la qualité exporte directement les enregistrements requis. |
Au lieu de devoir collecter des informations provenant de plusieurs systèmes dans l’urgence, l’équipe chargée de la qualité présente un dossier centralisé et traçable à partir d’une seule et même plateforme.
7. Une plateforme unique pour la surveillance des services publics essentiels
Le S332 centralise les points de mesure qui permettent de prendre des décisions concernant la qualité des fluides et le respect des BPF.
Selon l’application, ces données peuvent inclure le point de rosée, les particules, les vapeurs d’huile, le débit, la pression et la température. Le regroupement de ces données dans un environnement sécurisé améliore la visibilité et réduit la fragmentation de la documentation.
- Appareils de mesure du point de rosée destinés à l’évaluation des performances de séchage et de l’air en contact avec les produits
- Appareils de mesure de la qualité de l’air comprimé pour la détection des particules, des vapeurs d’huile et de l’humidité
- Débitmètres pour l’air comprimé et les gaz, destinés à la mesure du débit volumique et du débit massique
- Capteurs de pression et de température destinés à la surveillance des paramètres de processus
Les données issues de ces points de mesure sont enregistrées, validées et exportées via ce même environnement sécurisé. La précision des capteurs est quant à elle garantie par le service d’étalonnage SUTO iTEC, ce qui permet de justifier le principe « Accurate » du modèle ALCOA+ plutôt que de le considérer comme acquis.
8. Ce que le S332 ne remplace pas
Aucun dispositif ne permet à lui seul à une organisation de se conformer à la norme 21 CFR Partie 11 de la FDA.
Le S332 fournit les contrôles techniques propres au système. La conformité est assurée au niveau du système qualité dans son ensemble. Les éléments suivants relèvent de la responsabilité de l’organisation utilisatrice :
- Validation et qualification du système en vue de son utilisation prévue
- Procédures opérationnelles standard et formation des utilisateurs
- Examen périodique de la piste d’audit
- Procédures de sauvegarde, d’archivage et de restauration
- Gestion de l’étalonnage et contrôle des modifications
- Politique en matière de cybersécurité et d’accès au réseau
La norme S332 doit donc être mise en œuvre dans le cadre d’un système validé, assorti de procédures, d’une formation, d’un système de sauvegarde, de mesures de cybersécurité, d’étalonnage et d’un contrôle des modifications adaptés.
9. Foire aux questions concernant la norme 21 CFR, partie 11, de la FDA et la norme S332
L'utilisation du S332 garantit-elle automatiquement la conformité à la norme 21 CFR Partie 11 de la FDA ?
Aucun dispositif ne peut à lui seul garantir la conformité d’une organisation. Le SUTO iTEC S332 offre les contrôles techniques exigés par la Partie 11 pour un système : accès basé sur les rôles, piste d’audit sécurisée, signatures électroniques et stockage sécurisé des données.
La conformité s’assure au niveau de l’ensemble de votre système qualité, qui comprend la validation, les procédures opérationnelles standard, la formation des utilisateurs, l’examen de la piste d’audit, la sauvegarde et la restauration, ainsi que le contrôle des modifications.
La norme FDA 21 CFR Partie 11 s'applique-t-elle aux données de surveillance de l'air comprimé et des réseaux de distribution ?
La Partie 11 s’applique dès lors que des enregistrements électroniques sont utilisés pour satisfaire aux exigences réglementaires de la FDA. Si vos données relatives à la qualité de l’air comprimé, au point de rosée, au débit ou à la pression étayent des décisions relevant des bonnes pratiques de fabrication (BPF) — par exemple, pour démontrer que les fluides de production sont restés conformes aux spécifications au cours d’un lot de production —, ces enregistrements relèvent des exigences de la Partie 11 et doivent être fiables, traçables et protégés.
Le S332 est-il un système ouvert ou un système fermé au sens de la Partie 11 ?
La partie 11 définit un système fermé comme un système dont l’accès est contrôlé par les personnes responsables des dossiers. Dans une installation type, le S332 fonctionne au sein du réseau de l’usine, l’accès étant contrôlé par le propriétaire du dossier, ce qui correspond à un système fermé.
Si l’accès à distance est étendu au-delà de cet environnement contrôlé, les contrôles supplémentaires prévus à la section 11.30 s’appliquent. La classification est effectuée par votre propre service qualité dans le cadre de l’évaluation du système.
Devons-nous encore valider le S332 dans notre propre environnement ?
Oui. Les entreprises soumises à la réglementation sont tenues de qualifier et de valider les systèmes en vue de leur utilisation prévue dans leur propre environnement, généralement conformément à leur méthodologie de validation interne.
Les contrôles techniques intégrés au S332 facilitent ce processus, mais ils ne remplacent pas la qualification d’installation et d’exploitation, les procédures documentées ni les révisions périodiques.
Quels sont les documents d'accompagnement relatifs à la validation disponibles pour le modèle S332 ?
Il convient de vérifier auprès de SUTO iTEC la disponibilité des documents d’accompagnement relatifs à la qualification et à la validation pour le projet et la configuration du système concernés.
Les dossiers électroniques issus du S332 peuvent-ils remplacer les dossiers papier ?
C’est précisément dans ce but que la partie 11 a été rédigée. Les documents électroniques et les signatures électroniques peuvent être considérés comme équivalents aux documents papier et aux signatures manuscrites lorsque les contrôles requis sont en place.
Le S332 prend en charge cette fonctionnalité grâce à des comptes utilisateurs uniques, une piste d’audit qui ne peut être ni désactivée ni modifiée, des signatures électroniques invalidées en cas de modification d’un fichier, ainsi qu’un stockage interne protégé. La décision de supprimer totalement l’utilisation du papier revient à votre service qualité.
Quelle est la différence entre la piste d'audit et la signature électronique ?
La piste d’audit est générée automatiquement et en continu. Elle consigne qui a effectué quelle action et à quel moment, y compris les valeurs d’origine et les valeurs modifiées, et aucun utilisateur ne peut la désactiver ni la modifier.
Une signature électronique est un acte délibéré accompli par un utilisateur autorisé, par exemple pour valider un document. Chaque signature est associée à un seul et même compte utilisateur, ne peut être réutilisée et perd sa validité si le fichier signé est modifié par la suite. Ensemble, ces éléments garantissent la responsabilité et l’intégrité des documents.
Comment devez-vous fournir les documents lors d'un audit ou d'une inspection de la FDA ?
Les enregistrements, les fichiers de piste d’audit et les fichiers signés sont conservés dans la mémoire interne protégée de 10 Go du S332 et peuvent être récupérés et exportés en cas de besoin. Les utilisateurs autorisés peuvent également accéder aux données à distance via le serveur web intégré, chaque action à distance étant consignée dans la piste d’audit.
Cela permet à votre équipe chargée de la qualité de présenter l’historique des mesures, les pistes d’audit et les validations à partir d’une seule et même plateforme, au lieu de devoir rassembler des éléments probants provenant de plusieurs systèmes.
Qui est responsable de la sauvegarde et de la conservation à long terme des documents ?
Les délais de conservation sont définis par les règles de base applicables et par votre propre système qualité, et non par la Partie 11 elle-même.
Le S332 protège les données d’origine contre toute écrasement ou altération et permet d’exporter les enregistrements et les fichiers de piste d’audit, afin que votre organisation puisse les archiver conformément à ses propres procédures de conservation et de sauvegarde.
Vous avez des questions concernant la norme 21 CFR, partie 11, de la FDA ?
Contactez un expert en mesure. Nous vous répondons généralement dans un délai d’un jour ouvré.
