Comprendre l’Orientation GUI-0050 Annex 11 de Santé Canada
L’Orientation GUI-0050 Annex 11 de Santé Canada fournit des directives complètes sur l’application des Bonnes Pratiques de Fabrication aux systèmes informatisés utilisés dans les industries pharmaceutique, radiopharmaceutique, biologique et vétérinaire. Cette orientation assure que les organisations utilisant des systèmes informatisés maintiennent le même niveau d’intégrité des données, de sécurité et de contrôle de la qualité que ce qui serait attendu avec des systèmes papier.
Contexte Historique et Alignement International
GUI-0050 Annex 11 est l’adoption par Santé Canada de la PIC/S PE-009-15 Annexe 11 : Systèmes Informatisés, remplaçant l’ancienne PIC/S Annexe 11 du 5 avril 2007. Santé Canada est un membre participant actif de la PIC/S et a adopté cette orientation pour interpréter les exigences des BPF de la Partie C, Division 2 du Règlement sur les aliments et drogues.
Champ d’Application et Application
L’orientation s’applique à toutes les formes de systèmes informatisés utilisés dans le cadre des activités réglementées par les BPF dans la fabrication pharmaceutique, radiopharmaceutique, biologique et vétérinaire. Cela inclut tout système informatisé dont le bon fonctionnement peut affecter la qualité du produit ou la fiabilité des enregistrements BPF.
Principes d’Intégrité des Données
Le principe fondamental sous-tendant GUI-0050 Annex 11 est que les systèmes informatisés devraient être conçus, validés et exploités pour assurer l’intégrité des données tout au long du cycle de vie du produit. Bien que l’orientation elle-même n’énumère pas de principes spécifiques d’intégrité des données, les principes ALCOA largement reconnus — Attribuable, Lisible, Contemporain, Original et Exact — provenant des orientations de l’OMS et du PIC/S sur l’intégrité des données complètent les exigences de l’Annexe 11 et sont couramment appliqués conjointement avec cette orientation pour démontrer une gouvernance robuste des données.
Exigences Clés de GUI-0050 Annex 11
Gestion des Risques (Section 4.1) et Validation (Section 4.4)
La gestion des risques devrait être appliquée tout au long du cycle de vie du système informatisé, en tenant compte de la sécurité des patients, de l’intégrité des données et de la qualité des produits. Les systèmes informatisés devraient être validés avec une documentation couvrant toutes les étapes pertinentes du cycle de vie.
L’orientation exige que la documentation de validation couvre toutes les étapes pertinentes du cycle de vie, y compris les spécifications des besoins utilisateurs traçables tout au long du cycle de vie. Les organisations devraient justifier leurs normes, protocoles, critères d’acceptation, procédures et enregistrements sur la base de l’évaluation des risques.
Bien que GUI-0050 Annex 11 ne prescrive pas de phases de qualification spécifiques, des approches telles que la Qualification d’Installation (QI), la Qualification Opérationnelle (QO) et la Qualification de Performance (QP) — comme référencées dans PIC/S PI 011-3 — sont couramment utilisées pour satisfaire ces exigences de validation. Une évaluation périodique continue devrait également être effectuée pour confirmer que les systèmes restent dans un état validé.
Qualifications du Personnel (Section 4.2)
Le personnel responsable de la conception, de la mise en œuvre, de l’exploitation et de la maintenance des systèmes informatisés doit avoir l’éducation, la formation et l’expérience appropriées. Les organisations doivent :
- Définir les rôles et les responsabilités pour les activités des systèmes informatisés
- Documenter les qualifications requises pour chaque rôle
- Fournir une formation sur l’exploitation des systèmes et les exigences des Bonnes Pratiques de Fabrication
- Conserver les enregistrements des qualifications et de la formation du personnel
- Établir des procédures pour la formation périodique de remise à niveau
Fournisseurs et Prestataires de Services (Section 4.3)
Des accords formels doivent exister entre le titulaire de la licence d’établissement pharmaceutique et tout tiers fournissant, installant, configurant, intégrant, validant, maintenant, modifiant ou conservant un système informatisé ou un service connexe. Les exigences clés incluent :
- Des déclarations claires des responsabilités des tiers
- La compétence et la fiabilité du fournisseur comme facteurs clés de sélection
- Des décisions d’audit des fournisseurs basées sur les risques
- L’examen de la documentation des COTS pour vérifier les besoins des utilisateurs
- Les informations sur le système qualité et les audits disponibles pour les inspecteurs sur demande
Validation (Section 4.4)
La documentation et les rapports de validation doivent couvrir les étapes pertinentes du cycle de vie. Les organisations doivent justifier leurs normes, protocoles, critères d’acceptation, procédures et enregistrements sur la base de l’évaluation des risques. Les exigences clés de validation incluent :
- Inventaire des Systèmes : Une liste à jour de tous les systèmes pertinents et de leur fonctionnalité BPF
- Spécifications des Besoins Utilisateurs : Doivent décrire les fonctions requises, être basées sur l’évaluation des risques documentée et l’impact BPF, et être traçables tout au long du cycle de vie
- Gestion de la Qualité du Développement : Le fournisseur doit être évalué de manière appropriée
- Tests : Preuves de méthodes de test et de scénarios de test appropriés couvrant les limites des paramètres, les limites de données et la gestion des erreurs
- Migration des Données : La validation doit inclure des vérifications que les données ne sont pas altérées en valeur et/ou en signification lors de la migration
Données (Section 4.5) et Vérifications d’Exactitude (Section 4.6)
Les systèmes informatisés échangeant des données électroniquement avec d’autres systèmes doivent inclure des vérifications intégrées appropriées pour l’entrée et le traitement corrects et sécurisés des données. Pour les données critiques saisies manuellement, il doit y avoir une vérification supplémentaire de l’exactitude, effectuée par :
- Un second opérateur, ou
- Des moyens électroniques validés
La criticité et les conséquences potentielles des données erronées ou incorrectement saisies doivent être couvertes par la gestion des risques.
Sécurité (Section 4.12)
Des contrôles physiques et/ou logiques doivent être en place pour limiter l’accès aux systèmes informatisés aux utilisateurs autorisés uniquement. Les méthodes appropriées incluent :
- L’utilisation de clés, de cartes d’accès, de codes personnels avec mots de passe ou de la biométrie
- L’accès restreint aux équipements informatiques et aux zones de stockage de données
- L’étendue des contrôles de sécurité dépend de la criticité du système informatisé
- La création, la modification et l’annulation des autorisations d’accès doivent être enregistrées
- Les systèmes de gestion doivent enregistrer l’identité des opérateurs entrant, modifiant, confirmant ou supprimant des données, y compris la date et l’heure
Pistes d’Audit (Section 4.9)
Une considération doit être donnée, basée sur l’évaluation des risques, à l’intégration dans le système de la création d’un enregistrement de toutes les modifications et suppressions pertinentes aux BPF (une piste d’audit générée par le système). Pour la modification ou la suppression de données pertinentes aux BPF, la raison doit être documentée.
Les pistes d’audit doivent être :
- Disponibles : Accessibles lorsque nécessaire
- Convertibles : En une forme généralement intelligible (lisible par l’homme)
- Régulièrement examinées : Soumises à un examen périodique
Signatures Électroniques (Section 4.14)
Les enregistrements électroniques peuvent être signés électroniquement. Les signatures électroniques doivent :
- Avoir le même impact que les signatures manuscrites dans les limites de l’entreprise
- Être liées de manière permanente à leur enregistrement respectif
- Inclure l’heure et la date auxquelles elles ont été appliquées
Comment ATEK Soutient la Conformité à GUI-0050 Annex 11
La plateforme de surveillance environnementale d’ATEK est conçue spécifiquement pour les industries réglementées et fournit un support complet pour la conformité à GUI-0050 Annex 11.
Support de Validation
ATEK fournit des packages de documentation de validation complets couvrant toutes les étapes pertinentes du cycle de vie, incluant :
- Protocoles de qualification (supportant les approches QI/QO/QP comme référencées dans PIC/S PI 011-3)
- Spécifications de conception du système et documentation architecturale
- Spécifications des besoins utilisateurs avec traçabilité complète
- Évaluations des risques et matrices de traçabilité
- Rapports de synthèse de validation
Notre documentation de validation est conçue spécifiquement pour soutenir la conformité à Santé Canada et peut être adaptée aux exigences organisationnelles.
Pistes d’Audit Immuables
Chaque point de données et activité du système est enregistré avec :
- Horodatage précis
- Identification de l’utilisateur
- Description complète de l’action
- Valeurs avant et après pour toutes les modifications
- Sommes de contrôle d’intégrité générées par le système
Les pistes d’audit ne peuvent pas être modifiées, supprimées ou contournées, assurant une traçabilité complète de toutes les activités.
Contrôles d’Intégrité des Données
ATEK met en œuvre plusieurs couches de contrôles d’intégrité des données :
- Validation en temps réel de toutes les entrées de données
- Sommes de contrôle et hachage cryptographique pour détecter les modifications non autorisées
- Contrôle de version pour tous les enregistrements
- Procédures sécurisées de sauvegarde et de récupération
- Vérification régulière de l’intégrité
- Protection contre la perte de données
Contrôles d’Accès et Sécurité
ATEK fournit des contrôles de sécurité complets incluant :
- Authentification unique des utilisateurs avec options multi-facteurs
- Contrôle d’accès basé sur les rôles avec autorisations granulaires
- Gestion des sessions et déconnexion automatique
- Gestion sécurisée des mots de passe
- Enregistrement des activités et surveillance du comportement des utilisateurs
- Chiffrement des données en transit et au repos
Conformité Continue
Contrairement aux solutions de conformité ponctuelles, ATEK maintient la conformité continue par le biais de :
- Mises à jour régulières de la plateforme qui maintiennent ou améliorent la conformité
- Support de validation continu avec chaque version
- Documentation automatique des modifications de configuration
- Surveillance et alertes de conformité en temps réel
- Tests programmés de sauvegarde et de récupération d’urgence
Meilleures Pratiques de Mise en Œuvre
1. Définir les Exigences du Système
Avant de mettre en œuvre un système informatisé, les organisations doivent :
- Documenter l’utilisation prévue et l’étendue du système
- Identifier les exigences réglementaires et opérationnelles
- Définir l’architecture du système et les choix technologiques
- Évaluer les risques et les stratégies d’atténuation
- Établir la stratégie de validation et les critères d’acceptation
2. Planifier les Activités de Validation
La validation efficace nécessite une planification complète :
- Développer des protocoles de validation détaillés
- Définir les scénarios de test et les critères d’acceptation
- Allouer les ressources et l’expertise appropriées
- Établir les calendriers et les jalons
- Assigner les responsabilités et les autorités claires
3. Exécuter la Validation
L’exécution de la validation doit être documentée et contrôlée :
- Suivre les protocoles de validation approuvés
- Documenter tous les résultats des tests et les écarts
- Résoudre les écarts et les causes profondes
- Obtenir l’approbation de la gestion et de la qualité
- Conserver les enregistrements complets de validation
4. Établir les Opérations et la Maintenance
Une fois validé et déployé, les systèmes nécessitent une gestion continue :
- Développer des procédures d’exploitation standard complètes
- Mettre en œuvre des procédures de gestion des modifications
- Établir les horaires de surveillance et de maintenance du système
- Former tous les utilisateurs à l’exploitation du système et aux exigences des Bonnes Pratiques de Fabrication
- Mettre en œuvre les procédures de signalisation et d’enquête sur les incidents
5. Assurer l’Amélioration Continue
La conformité est un processus continu :
- Surveiller la performance du système et les mesures de conformité
- Mener les audits de conformité périodiques
- Examiner les résultats et les tendances des audits
- Mettre en œuvre les améliorations et les améliorations
- Revalider les systèmes après les modifications importantes
Défis Courants et Solutions
Défi : Équilibrer la Flexibilité et le Contrôle
Solution : Mettre en œuvre un système robuste de gestion des modifications qui permet les mises à jour nécessaires tout en maintenant la validation et le contrôle.
Défi : Gérer l’Évolution de la Technologie
Solution : Concevoir les systèmes avec la modularité et l’évolutivité à l’esprit, permettant les mises à jour tout en maintenant la conformité.
Défi : Maintenir les Données de la Piste d’Audit
Solution : Mettre en œuvre des systèmes robustes de sauvegarde, d’archivage et de récupération des données avec des tests réguliers et la documentation.
Défi : Formation et Compétence
Solution : Établir des programmes de formation complets, maintenir la documentation des qualifications et mener les formations périodiques de remise à niveau.
Défi : Gestion des Fournisseurs et des Tiers
Solution : Établir des accords clairs, des procédures d’audit et des contrôles pour tous les systèmes ou services fournis par des parties externes.
Conclusion
L’Orientation GUI-0050 Annex 11 de Santé Canada fournit un cadre complet pour assurer que les systèmes informatisés utilisés dans la fabrication pharmaceutique maintiennent les mêmes standards d’intégrité des données, de sécurité et de contrôle de la qualité que les systèmes papier. En mettant en œuvre la plateforme de surveillance environnementale d’ATEK avec son support de validation intégré, ses pistes d’audit immuables, ses contrôles de sécurité robustes et sa documentation complète, les organisations peuvent respecter en toute confiance ces exigences tout en améliorant l’efficacité opérationnelle et en réduisant le risque réglementaire.
L’investissement dans une validation appropriée, des contrôles robustes et une gestion continue de la conformité porte ses fruits en réduisant le risque réglementaire, en améliorant l’intégrité des données et en renforçant la confiance opérationnelle.