21 CFR Part 11 vs EU GMP Annexe 11 : Ce que tout professionnel des sciences de la vie doit savoir

Si vous travaillez dans l’industrie pharmaceutique, la biotechnologie ou les dispositifs médicaux, vous avez probablement rencontré deux cadres réglementaires qui régissent la gestion des systèmes informatisés et des données électroniques : 21 CFR Part 11 et EU GMP Annexe 11. 

Ces deux lignes directrices sont souvent confondues car elles se recoupent sur des thèmes tels que les dossiers électroniques, l’intégrité des données et la validation des systèmes. Mais elles ne sont pas identiques, et comprendre leurs différences est essentiel pour toute entreprise opérant à l’échelle mondiale ou se préparant à des inspections réglementaires.

Les deux cadres existent pour la même raison fondamentale : garantir que lorsque les organisations abandonnent les processus papier au profit de systèmes numériques, elles ne compromettent pas l’exactitude des données, la qualité du produit ou la sécurité des patients. Toutefois, ces deux lignes directrices proviennent d’autorités réglementaires différentes, s’appliquent à des zones géographiques distinctes, ont des poids juridiques différents et abordent le sujet sous des angles différents.

Ce billet vous guide précisément sur ce que couvre chaque cadre, comment ils se comparent côte à côte, et les mesures pratiques que vous pouvez prendre pour rester conforme aux deux.

Qu’est-ce que le 21 CFR Part 11 ?

21 CFR Part 11 est un règlement émis par la U.S. Food and Drug Administration (FDA). Le « 21 CFR » signifie Title 21 of the Code of Federal Regulations, et la Part 11 traite spécifiquement des dossiers électroniques et des signatures électroniques.

Le règlement a été publié pour la première fois en mars 1997 et a été conçu pour encourager les entreprises à adopter des systèmes numériques sans créer de failles pouvant compromettre la fiabilité des données. En termes simples, il énonce les règles selon lesquelles les dossiers électroniques et les signatures électroniques sont considérés comme légalement équivalents aux dossiers papier et aux signatures manuscrites.

Le 21 CFR Part 11 s’applique à tous les dossiers qui sont créés, modifiés, conservés, archivés, récupérés ou transmis en vertu des réglementations de la FDA. Cela inclut les fabricants pharmaceutiques, les entreprises de biotechnologie et les fabricants de dispositifs médicaux qui soumettent des données électroniquement à la FDA ou utilisent des systèmes électroniques dans leurs opérations réglementées.

Le règlement est divisé en trois sous-parties:

1. Sous-partie A – Dispositions générales : Cette section couvre la portée du règlement, les définitions et la manière dont il est mis en œuvre. Elle pose les bases de tout ce qui suit.
2. Sous-partie B – Dossiers électroniques : Il s’agit de la section la plus détaillée. Elle précise les exigences pour les systèmes informatiques fermés et ouverts, y compris les pistes d’audit, les contrôles d’accès au système, les vérifications opérationnelles, les contrôles d’autorité, les contrôles des appareils et la protection des dossiers électroniques. Elle décrit également les exigences relatives aux manifestations de signature, c’est-à-dire la manière dont une signature électronique est liée à un dossier électronique.
3. Sous-partie C – Signatures électroniques : Cette section couvre les exigences générales pour les signatures électroniques, y compris l’utilisation d’au moins deux composants d’identification distincts (tels qu’un code d’identification et un mot de passe), les contrôles des codes d’identification et des mots de passe, ainsi que les exigences pour les signatures non biométriques et biométriques.

L’un des aspects les plus importants du 21 CFR Part 11 est son niveau de spécificité. Il ne se contente pas de dire ce qu’il faut faire en termes généraux ; il indique exactement comment le faire, ce qui facilite les audits mais rend aussi la mise en œuvre plus exigeante.

Qu’est-ce que l’EU GMP Annex 11 ?

EU GMP Annex 11 est un document d’orientation publié par l’European Medicines Agency (EMA) dans le cadre des bonnes pratiques de fabrication (GMP) de l’UE. Alors que le 21 CFR Part 11 est un règlement juridique, l’Annex 11 est un supplément d’orientation, ce qui signifie qu’il n’a pas la même force juridique contraignante. Néanmoins, il est attendu qu’il soit suivi par toute entreprise opérant au sein de l’Union européenne ou exportant vers celle-ci.

L’Annex 11 a été mise à jour pour la dernière fois en janvier 2011 et s’applique à tous les systèmes informatisés utilisés dans les activités régulées par les GMP. Elle vise à garantir que lorsqu’un système informatisé remplace un processus manuel, il n’y ait pas de perte de qualité du produit, de contrôle du processus ou d’assurance qualité.

La ligne directrice est structurée en quatre sections:

1. Section 1 – Orientations générales : Couvre la gestion des risques, les responsabilités du personnel et la gestion des fournisseurs et prestataires de services. Elle instaure une approche fondée sur le risque tout au long du document.
2. Section 2 – Phase de projet : Se concentre sur la validation des systèmes informatisés, y compris les spécifications des exigences utilisateur, la conception du système et la documentation nécessaire durant le développement et la mise en œuvre du système.
3. Section 3 – Phase opérationnelle : Il s’agit de la plus grande section et elle couvre l’utilisation quotidienne des systèmes. Elle inclut les exigences pour les vérifications de l’exactitude des données, le stockage des données, les impressions, les pistes d’audit, la gestion des changements et de la configuration, les évaluations périodiques, les mesures de sécurité, la gestion des incidents, les signatures électroniques, la libération des lots, la planification de la continuité des activités et l’archivage.
4. Section 4 6 Glossaire : D

Contrairement

Face-

Le tableau ci-dessous r

Où les deux cadres convergent

Malgré leurs différences, 21 CFR Part 11 et EU GMP Annex 11 partagent un objectif commun : protéger l'intégrité des données et garantir la fiabilité des systèmes électroniques utilisés dans des environnements réglementés. Les deux cadres exigent :

1. Pistes d'audit qui capturent qui a fait quoi, quand et pourquoi
2. Accès contrôlé aux systèmes utilisant une identification utilisateur unique
3. Contrôles de signature électronique qui lient la signature à l'enregistrement correspondant
4. Validation des systèmes pour confirmer que les systèmes informatisés fonctionnent de manière cohérente et comme prévu
5. Procédures et formation pour soutenir l'utilisation conforme des systèmes

Les entreprises exportant des produits vers les marchés américain et européen, comme c'est le cas pour la plupart des grands fabricants pharmaceutiques, doivent satisfaire aux deux cadres simultanément. Bien qu'il existe un chevauchement important, des lacunes subsistent, notamment en matière de qualification des fournisseurs, de continuité des activités et du niveau de détail des documents de validation requis.

Les deux cadres exigent une validation prête pour l'audit.

Découvrez comment IQ OQ PQ constitue la piste de preuves qui résiste à l'examen de la FDA et de l'EMA.

→ Lire : IQ OQ PQ dans l'industrie pharmaceutique | Notions essentielles sur la qualification des équipements

Liste de contrôle de conformité : répondre à la fois à 21 CFR Part 11 et à EU GMP Annex 11

Utilisez cette liste de contrôle comme point de départ pour évaluer la posture de conformité actuelle de votre organisation :

Validation des systèmes

1. Spécifications des besoins utilisateur (URS) documentées pour tous les systèmes informatisés
2.  Plans et rapports de validation complétés et approuvés
3.  Revue périodique des systèmes validés effectuée

Enregistrements électroniques et signatures

1.  Les signatures électroniques sont liées de manière unique aux individus
2.  Authentification à deux facteurs mise en œuvre lorsque requis (21 CFR Part 11)
3.  Les manifestations de la signature incluent la date, l'heure et la signification de la signature
4.  Les enregistrements sont protégés contre toute altération ou suppression non autorisée

Pistes d'audit

1.  Pistes d'audit activées pour tous les champs de données critiques
2.  La fréquence de revue des pistes d'audit est définie dans les procédures
3.  Les enregistrements des pistes d'audit sont conservés conformément à la politique de conservation des données applicable

Contrôles d'accès

1.  Des identifiants utilisateur uniques sont attribués à tous les utilisateurs du système
2.  Des contrôles d'accès basés sur les rôles sont mis en œuvre et révisés régulièrement
3.  Procédures de gestion des comptes en place (création, modification, désactivation)

Intégrité des données

1.  Évaluation des risques d'intégrité des données (DIRA) réalisée
2.  Contrôles en place pour empêcher la falsification de dates ou la manipulation des données
3.  Procédures de sauvegarde et de reprise après sinistre établies et testées

Gestion des fournisseurs et de l'infrastructure informatique

1.  Qualification des fournisseurs effectuée pour les fournisseurs de systèmes informatisés (Annexe 11)
2.  Qualification de l'infrastructure informatique achevée
3.  Les contrats avec les fournisseurs incluent les attentes en matière de BPF/intégrité des données

Contrôles opérationnels

1.  SOP en place pour l'utilisation des systèmes, le contrôle des modifications et la gestion des incidents
2.  Les dossiers de formation du personnel sont maintenus et à jour
3.  Plan de continuité des activités documenté et testé (Annexe 11)

Pourquoi les entreprises mondiales doivent satisfaire aux deux cadres

Pour une entreprise qui fabrique en Europe et vend aux États-Unis, ou vice versa, la conformité à un seul cadre n'est tout simplement pas suffisante. Une entreprise conforme à l'Annexe 11 mais qui n'a pas traité les spécificités de la 21 CFR Part 11 (telles que la règle des signatures électroniques à deux composants ou les exigences précises pour les contrôles des systèmes ouverts) peut se trouver en difficulté lors d'une inspection de la FDA. De même, une entreprise qui coche toutes les cases de la 21 CFR Part 11 mais ignore les exigences de l'Annexe 11 concernant la qualification des fournisseurs, la continuité des activités et l'évaluation périodique des systèmes pourrait faire face à des constats lors d'une inspection affiliée à l'EMA.

La bonne nouvelle est qu'il est possible de construire un programme de conformité qui couvre les deux. Comme les deux cadres partagent plus de points communs que de différences, un Système de Management de la Qualité (SMQ) bien conçu, fondé sur les principes d'intégrité des données, une validation approfondie, des contrôles d'accès robustes et de solides pratiques documentaires satisfera naturellement aux exigences centrales des deux.

Conseils pratiques pour rester conforme aux deux

1. Adoptez une approche basée sur le risque. Les deux cadres soutiennent l'utilisation d'évaluations des risques pour prioriser les efforts. Commencez par classer vos systèmes informatisés selon leur criticité BPF et concentrez vos contrôles les plus rigoureux sur les systèmes à plus haut risque.

2. Intégrez la validation dans le cycle de vie de votre système. Ne traitez pas la validation comme un événement ponctuel. Les deux cadres attendent que vous mainteniez un état validé tout au long de la vie du système, y compris après des changements et des mises à niveau.

3. Formez régulièrement vos équipes. Vos systèmes ne sont fiables que dans la mesure où le sont les personnes qui les utilisent. La formation sur l'intégrité des données, l'utilisation des systèmes et les attentes en matière de BPF doit être documentée, spécifique aux rôles et actualisée périodiquement.

4. Gérez vos fournisseurs de manière proactive. L'Annexe 11 exige spécifiquement que vous évaluiez et gériez vos fournisseurs de systèmes informatisés. Ne supposez pas que les déclarations de conformité d'un fournisseur suffisent ; réalisez des audits et examinez leur documentation.

5. Gardez vos pistes d'audit pertinentes. Une piste d'audit qui existe mais n'est jamais revue apporte peu de valeur. Définissez qui révise les pistes d'audit, à quelle fréquence et ce qui constitue un constat reportable.

6. Documentez tout. Les deux cadres valorisent une documentation bien tenue. Vos dossiers de validation, contrôles des modifications, registres de déviations et dossiers de formation sont les preuves que vous présenterez lors des inspections.

La conformité sans capacité n'est qu'un bouclier papier.

Voici pourquoi les systèmes qualité pharmaceutiques échouent lorsque les personnes ne sont pas formées pour les porter.

→ Lire : Pourquoi les systèmes de qualité pharmaceutique échouent sans renforcement des compétences

Réflexions finales

La 21 CFR Part 11 et l'Annexe 11 des BPF de l'UE ne sont pas interchangeables ; ce sont des cadres complémentaires qui servent le même objectif ultime selon deux perspectives réglementaires différentes. La 21 CFR Part 11 est un règlement américain détaillé et prescriptif axé spécifiquement sur les enregistrements et signatures électroniques. L'Annexe 11 des BPF de l'UE est une orientation européenne plus large, fondée sur des principes, qui couvre le cycle de vie complet des systèmes informatisés dans les opérations BPF.

Comprendre les similitudes et les différences entre les deux n'est pas qu'un exercice académique. Pour les entreprises des sciences de la vie opérant sur le marché mondial d'aujourd'hui, c'est une nécessité pratique. Bien faire les deux protège les patients, préserve la qualité des produits et maintient votre organisation prête pour les inspections de part et d'autre de l'Atlantique.

FAQ

Q1. Quelle est la principale différence entre la 21 CFR Part 11 et l'Annexe 11 des BPF de l'UE ?

La 21 CFR Part 11 est un règlement contraignant de la FDA axé sur les enregistrements et signatures électroniques aux États-Unis. Quant à elle, l'Annexe 11 des BPF de l'UE est un document d'orientation des BPF de l'EMA couvrant le cycle de vie complet des systèmes informatisés utilisés dans la fabrication pharmaceutique au sein de l'UE.

Q2. L'Annexe 11 des BPF de l'UE est-elle légalement obligatoire ?

L’annexe 11 est un document d’orientation, pas un règlement juridique autonome. Cependant, les autorités réglementaires de l’UE en attendent le respect, et les écarts par rapport à ses principes peuvent entraîner des constats d’inspection ou des restrictions à l’importation.

Q3. Les entreprises pharmaceutiques doivent-elles se conformer aux deux cadres ?

Les entreprises qui fabriquent ou distribuent des produits sur les marchés américain et européen doivent se conformer aux exigences des deux marchés. Étant donné que les cadres se chevauchent largement, un SMQ bien structuré peut généralement répondre aux deux simultanément.

Q4. Que signifie « intégrité des données » dans le contexte de ces deux réglementations ?

L’intégrité des données désigne le fait de garantir que les enregistrements électroniques sont complets, exacts, cohérents et fiables tout au long de leur cycle de vie. Les deux cadres exigent des contrôles tels que les pistes d’audit, les restrictions d’accès et la validation pour protéger l’intégrité des données.

Q5. À quelle fréquence les systèmes informatisés doivent-ils être examinés pour conformité ?

Les deux cadres exigent des examens périodiques des systèmes informatisés pour confirmer qu’ils restent validés et continuent de satisfaire aux exigences réglementaires. La fréquence doit être fondée sur les risques et documentée dans vos procédures qualité.