GAMP 5 Simplifié : une approche pratique et basée sur les risques des systèmes informatisés

Dans les industries pharmaceutique, biotechnologique et des dispositifs médicaux, le terme « GAMP 5 » revient souvent lors des discussions sur la conformité et les systèmes informatisés. Mais que signifie-t‑il réellement ? Pourquoi est‑il important ? Et comment peut‑il être appliqué dans les opérations quotidiennes ? Ce guide décompose tout de manière claire et directe — sans jargon ni complexité inutile !

Qu'est‑ce que GAMP 5 ?

GAMP 5 signifie Good Automated Manufacturing Practices, Issue 5. C'est une ligne directrice publiée par l'ISPE, l'International Society For Pharmaceutical Engineering, et elle est spécifiquement conçue pour aider les industries réglementées à gérer correctement les systèmes informatisés.

Voici un point crucial dès le départ : GAMP 5 n'est pas une loi. Il n'entraîne aucune obligation légale. Mais ne le sous‑estimez pas pour autant. Il est cité et respecté par des organismes de réglementation dans le monde entier, y compris la US FDA, ce qui en fait la chose la plus proche d'une norme universelle pour la conformité des systèmes informatisés. Considérez‑le comme un manuel de bonnes pratiques très fiable plutôt que comme un code contraignant.

GAMP 5 s'applique aux systèmes informatisés utilisés dans des environnements réglementés et est destiné à être utilisé par les entreprises réglementées, les autorités de réglementation, les fournisseurs et d'autres parties prenantes. Son objectif principal est de fournir une approche basée sur le risque pour garantir que ces systèmes sont validés et fonctionnent comme prévu.

Pourquoi est‑ce réellement important ?

GAMP 5 est conçu pour fonctionner en complément d'autres lignes directrices, normes et réglementations GxP telles que Bonnes pratiques de fabrication (BPF), Good Clinical Practice (GCP), Good Laboratory Practice (GLP), Good Distribution Practice (GDP), Good Pharmacovigilance Practices (GVP), Medical Device Regulations, 21 CFR Part 11 (règles pour les enregistrements électroniques et les signatures électroniques), EU GMP Annex 11, et diverses normes ISO.

Il s'agit d'un cadre généralement accepté pour la conception, le développement et la maintenance des systèmes informatisés au sein d'environnements réglementés par les GxP. L'importance de GAMP 5 dans les contextes GxP peut se comprendre à travers cinq résultats principaux :

1. Protéger la sécurité des patients, la qualité des produits et l'intégrité des données
2. Garantir que les systèmes sont adaptés à leur usage prévu et restent conformes
3. Offrir une approche rentable et pragmatique
4. Aider à la compréhension réglementaire et encourager des pratiques industrielles cohérentes
5. Permettre l'innovation et s'adapter aux technologies en évolution

Un bref historique — comment en sommes‑nous arrivés là ?

Comprendre GAMP 5 est plus simple quand on connaît l'histoire qui le sous‑tend. Il n'est pas apparu de nulle part — il a évolué sur plusieurs décennies en réponse à de vrais défis de l'industrie.

GAMP a été fondé en 1991 au Royaume‑Uni, créé spécifiquement pour répondre aux attentes croissantes de la US FDA concernant la gestion et le contrôle des systèmes automatisés requis pour la conformité GMP.

Quelques années plus tard, en 1994, un groupe d'experts pharmaceutiques basés au Royaume‑Uni a rédigé et partagé la première ligne directrice GAMP au sein des cercles de l'industrie. En 1995, la première version formelle a été officiellement publiée sous l'égide de l'ISPE — marquant le début d'un partenariat durable entre GAMP et l'ISPE.

Plusieurs révisions ont suivi au fil des ans. Les plus notables furent GAMP 4 en 2001, puis GAMP 5 en 2008, qui s'appuyait conceptuellement sur une stratégie de gestion des risques fondée sur la science, en accord avec les réglementations GxP du XXIe siècle et les lignes directrices ICH Q8, Q9 et Q10.

Il a également été conçu pour être compatible avec les normes IEEE, ISO 9000, ISO 12207 et l'IT Infrastructure Library (ITIL). En 2017, la direction de la communauté de pratique GAMP a lancé une révision formelle pour déterminer si la ligne directrice répondait toujours à ses objectifs et où des mises à jour étaient nécessaires.

Ce processus a abouti à la deuxième édition, publiée en 2022, la mise à jour la plus significative en 14 ans. Cette édition a aligné la ligne directrice sur le nouveau Computer Software Assurance guidance de la FDA (septembre 2022) et sur ISO 14971 pour les dispositifs médicaux.

Qu'est‑ce qui a changé dans la deuxième édition de 2022 ?

La version originale de 2008 était largement axée sur la conformité — cocher des cases, suivre des processus, éviter les observations d'inspection. L'édition 2022 change fondamentalement cet axe. La sécurité des patients, la qualité des produits et l'intégrité des données prennent désormais le pas sur la documentation et les formalités de conformité.

Concrètement, la deuxième édition a introduit des directives mises à jour sur la cybersécurité, l'intégrité des données et l'informatique en nuage. Elle a également apporté un soutien aux méthodologies de développement agile et aux approches de validation basées sur le risque, plus en phase avec la manière dont les logiciels sont réellement conçus et maintenus aujourd'hui.

Pour couvrir ces domaines, plusieurs nouveaux annexes ont été ajoutés dans la deuxième édition, traitant de sujets tels que :

• la gestion de l'infrastructure informatique
• la pensée critique dans la validation
• la spécification efficace des exigences
• le développement logiciel agile
• les outils logiciels
• les systèmes à registre distribué (Blockchain)
• l'intelligence artificielle (AI) et le Machine Learning (ML)

Le modèle en V — et pourquoi l'agile a changé la donne ?

Pendant de nombreuses années, l'approche de validation de GAMP 5 était illustrée par le modèle en V. L'idée est simple : les spécifications du système créées pendant le développement sont mises en regard des tests correspondants lors de la vérification. Le côté gauche du V représente ce que vous concevez ; le côté droit représente comment vous le testez.

Par exemple, un produit configurable serait testé pour vérifier ses exigences, sa fonctionnalité et ses spécifications de configuration. Un logiciel commercial sur étagère, en revanche, pourrait ne pas nécessiter de spécifications fonctionnelles et de configuration, de sorte que la portée des tests serait moindre.

Le modèle en V fonctionne bien dans des environnements de développement structurés et linéaires. Mais il n'est pas toujours pratique. Les approches traditionnelles « linéaires » comme le modèle en V ou la méthode en cascade peinent dans les environnements de développement agile, où le logiciel est construit de manière itérative et mis à jour en continu.

Ceci est particulièrement vrai pour les systèmes modernes tels que les plateformes SaaS, les modèles AI et les outils de Machine Learning, qui nécessitent des déploiements rapides et des cycles d'amélioration constants.

C’est précisément pour cela que la deuxième édition de 2022 de GAMP 5 a officiellement introduit le soutien au modèle agile. Cela donne aux équipes la flexibilité dont elles ont besoin pour évaluer la conformité GxP dans des environnements où le développement est rapide et adaptatif — sans sacrifier la rigueur exigée par les industries réglementées.

GAMP 5 et validation des systèmes informatisés (CSV)

La validation des systèmes informatisés, communément appelée CSV, est le processus documenté démontrant qu’un système informatisé fonctionne de manière cohérente comme prévu et satisfait aux exigences GxP applicables. Dans les entreprises pharmaceutiques, biotechnologiques et de dispositifs médicaux, la CSV n’est pas optionnelle. C’est une attente fondamentale des autorités comme la FDA et l’EMA.

GAMP 5 ne remplace pas les exigences réglementaires relatives à la CSV. Il fournit plutôt un cadre pratique et fondé sur le risque pour réaliser la CSV de façon structurée et efficace. Il est largement reconnu comme l’approche standard de l’industrie pour bien faire cela.

Dans GAMP 5, la validation des systèmes informatisés inclut typiquement :

• Définir l’utilisation prévue et les exigences via des spécifications des besoins utilisateur (URS) et des spécifications fonctionnelles
• Réaliser des évaluations de risque pour déterminer le niveau approprié d’effort de validation
• Évaluer les fournisseurs et tirer parti de leur documentation lorsque cela est approprié
• Mener des activités de vérification et de test calibrées sur la catégorie et le niveau de risque du système
• Maintenir l’état validé via le contrôle des changements et des revues périodiques

Un des plus grands avantages pratiques de l’application de GAMP 5 à la CSV est la possibilité d’échelle. Un système prêt-à-l’emploi hautement configurable n’a pas besoin du même niveau de documentation et de tests qu’une application entièrement développée sur mesure. En gardant l’attention sur les fonctionnalités critiques et l’intégrité des données, GAMP 5 aide les organisations à éviter la sur-validation tout en restant conformes et prêtes pour un audit.

Les 5 principes clés de GAMP 5

GAMP 5 repose sur cinq principes directeurs. Ce ne sont pas des idées abstraites — ils façonnent la manière dont le travail de validation est effectivement réalisé au quotidien !

Principe 1 — Connaissance du produit et du processus

GAMP 5 encourage une pensée critique lors de l’application des tests et de la validation fondés sur le risque. Plutôt que d’appliquer le même niveau d’examen à tout de manière uniforme, les équipes sont encouragées à s’appuyer sur leur connaissance du produit et de ses processus pour concentrer l’attention là où elle compte le plus — sur les aspects qui affectent réellement la sécurité des patients, la qualité du produit et l’intégrité des données.

Principe 2 — Cycle de vie de la validation

GAMP 5 décrit un cycle de vie en quatre étapes que tous les systèmes informatisés devraient suivre. Selon la guideline, toutes les étapes du cycle de vie doivent être définies au sein du système de management de la qualité (QMS) de l’entreprise :

Concept : À cette étape, qui se situe hors du périmètre du fournisseur, les fabricants identifient des opportunités d’automatisation, listent les exigences initiales et commencent à rechercher des fournisseurs appropriés.

Projet : Une fois un fournisseur identifié, le système est conçu, développé, déployé et évalué pour la conformité GxP .L’édition 2022 prend désormais en charge les approches de développement agile à ce stade, rendant cette phase plus flexible qu’elle ne l’était dans la version de 2008.

Exploitation : Il s’agit généralement de la phase la plus longue. Le système est utilisé dans les opérations quotidiennes, et l’attention est portée sur le maintien de son état validé via un contrôle des changements robuste et des procédures de reprise après sinistre.

Retrait : Lorsque le système doit être remplacé, il est retiré, mis hors service ou migré. Bien que non définie formellement comme une étape à part dans GAMP, les dispositions nécessaires telles que la gestion des données et la planification de la migration sont décrites pendant la phase d’exploitation.

Principe 3 — Évolutivité

GAMP 5 encourage des approches évolutives de la validation. Il n’existe pas un modèle unique adapté à chaque situation. Selon la portée et la complexité du système, un modèle Waterfall, en V, Agile, ou même une variante réduite ou étendue de ces approches peut être approprié. L’inclusion du modèle agile dans la deuxième édition soutient directement ce principe.

Principe 4 — Gestion de la qualité basée sur le risque

La sécurité des patients, la qualité du produit et l’intégrité des données doivent guider toutes les décisions de validation. Cela signifie prioriser les tests en fonction du risque associé aux attributs du système, consacrer plus de temps et d’efforts aux zones critiques et moins aux zones non critiques.

L’édition 2022 adopte ici une approche pragmatique. Elle prend en charge le reporting par exception, où un simple « Pass » suffit lorsqu’un système fonctionne comme prévu. Vous n’avez pas besoin de captures d’écran pour chaque étape de test.

Seuls les tests à haut risque ou critiques peuvent nécessiter des preuves supplémentaires. La guideline reconnaît également que les erreurs mineures de documentation ont peu de valeur et présentent un faible risque, donc l’attention doit se concentrer sur les problèmes qui affectent réellement la performance et la conformité du système.

Principe 5 : Tirer parti de l’activité des fournisseurs

GAMP 5 encourage les entreprises à tirer pleinement parti de l’expertise des fournisseurs pendant la phase projet du cycle de vie d’un système. Les dossiers de validation fournis par les fournisseurs peuvent aider à satisfaire les exigences de vérification GxP, réduire les doublons d’efforts et servir de couche supplémentaire d’assurance. L’objectif est une adoption plus rapide et plus efficace, sans repartir de zéro à chaque fois.

Catégories de logiciels selon GAMP 5

GAMP 5 classe les logiciels en catégories basées sur l’impact GxP et le risque. Il convient de noter que la Catégorie 2, qui était associée au firmware dans GAMP 4, a été supprimée dans GAMP 5. Le risque augmente lorsque l’on passe de la Catégorie 1 à la Catégorie 5, tout comme la profondeur de validation requise. Voici comment les catégories se répartissent :

Catégorie 1 — Logiciel d'infrastructure (systèmes d'exploitation, bases de données, middleware, etc.) : Ce type de logiciel n'est pas soumis à une vérification fonctionnelle spécifique en soi. Ses fonctionnalités sont testées indirectement lorsque l'application qui s'exécute dessus est validée. Ce qui est requis ici consiste simplement à documenter et vérifier l'identité et les numéros de version lors de l'installation.

Catégorie 3 — Logiciel non configurable : Ce logiciel est utilisé tel quel, sans aucune configuration. La validation consiste à vérifier l'installation, réaliser des tests d'acceptation et confirmer que le logiciel est adapté à son usage prévu, le tout appuyé par une évaluation des risques et une évaluation du fournisseur.

Catégorie 4 — Logiciel configurable : Il s'agit d'un logiciel qui peut être configuré mais pas fondamentalement modifié. La validation couvre l'installation et la configuration correctes, les tests fonctionnels pilotés par l'analyse des risques et l'évaluation du fournisseur, ainsi que les tests d'acceptation par rapport aux exigences déclarées.

Catégorie 5 — Logiciel personnalisable : C'est la catégorie à risque le plus élevé, couvrant les applications sur mesure ou fortement personnalisées. La validation y est la plus rigoureuse et inclut une installation correcte, des spécifications fonctionnelles et de conception, des tests fonctionnels fondés sur le risque, une évaluation du fournisseur et des tests d'acceptation complets par rapport aux exigences.

Plus la catégorie est élevée, plus le travail requis aux étapes de spécification et de validation du cycle de vie du projet est important. Cette approche par paliers permet aux fabricants de prendre des décisions rationnelles et proportionnées sur le niveau d'effort de validation à investir pour chaque système.

Erreurs courantes conduisant à une mauvaise mise en œuvre de GAMP

Les experts de l'industrie ont identifié les erreurs les plus courantes et coûteuses que les entreprises commettent lors de la mise en œuvre de GAMP. Il est important de bien les connaître — et de les éviter à tout prix :

• Aucune exigence documentée

• Aucun enregistrement de la version du logiciel utilisée

• Défaut d'archivage de toutes les versions des spécifications de conception

• Absence d'enregistrements pour les entrées et sorties de tests

• Absence de traçabilité avant et arrière — en d'autres termes, pas de matrice de traçabilité

• Pas de suivi des défauts pendant le processus de test

• Pas de Assurance qualité Unité pour vérifier indépendamment la fiabilité du logiciel

• Pas de réévaluation ou de retesting lorsqu'un matériel est ajouté ou modifié

• Manque de qualification du matériel, y compris l'infrastructure et les logiciels liés aux applications

• Contrôles de sécurité inadéquats

Une leçon du monde réel : pourquoi une seule SOP vaut mieux que deux ?

Les praticiens expérimentés de GAMP recommandent souvent, apparemment de façon mineure mais d'une importance critique, d'utiliser la même Procédure Opératoire Standard (SOP) pour les systèmes GxP et non-GxP. Cela semble anodin, mais les conséquences de l'ignorer peuvent être graves.

La validation est essentiellement « bonne ingénierie logicielle avec une documentation surboostée ». Le but est de ralentir délibérément les choses parce que ces systèmes peuvent être responsables de fonctions critiques comme maintenir le rythme cardiaque d'une personne ou aider un nouveau-né à respirer.

La raison d'une SOP unifiée est simple : lorsqu'on a des SOP différentes pour les systèmes GxP et non-GxP, les gens peuvent et vont appliquer la mauvaise par erreur. Un exemple réel l'illustre parfaitement. Une grande entreprise disposait de 150 instruments HPLC et de 150 systèmes Agilent.

Lors d'une mise à niveau informatique, l'équipe a appliqué un correctif mais a suivi par erreur la SOP non-GxP. La moitié des systèmes s'est écrasée en conséquence. L'organisation a alors dû initier Actions correctives et préventives (CAPAs), mettre en œuvre des contrôles de changement et effectuer plusieurs cycles de tests et retests pour rétablir la conformité et la fonctionnalité. Tout cela aurait pu être évité avec une SOP unique et unifiée.

Réflexions finales

GAMP 5 peut ne pas être contraignant juridiquement, mais dans les industries réglementées il fonctionne comme la norme de facto pour la validation des systèmes informatisés. Ses recommandations sont étroitement alignées sur les exigences GxP établies par les agences réglementaires de l'UE et des États-Unis, ce qui en fait le cadre le plus complet et le plus fiable disponible.

Lorsqu'il est correctement appliqué, GAMP 5 aide les fabricants à travailler plus efficacement avec leurs fournisseurs, réduit la charge des tests et de la documentation, diminue les coûts de validation et de maintenance de la conformité, et prépare bien les entreprises aux audits et inspections gouvernementaux.

Et avec la deuxième édition de 2022 traitant désormais des réalités modernes comme le cloud computing, l'IA, la blockchain et le développement agile, GAMP 5 suit la façon dont les logiciels sont réellement conçus et utilisés aujourd'hui — le rendant aussi pertinent qu'il l'a toujours été.

FAQ

1. Qu'est-ce que GAMP 5 et pourquoi est-il important dans les industries réglementées ?

GAMP 5, ou Good Automated Manufacturing Practice (GAMP 5), est une directive largement acceptée qui aide les organisations à gérer et valider les systèmes informatisés dans des environnements réglementés. Il fournit une approche structurée et basée sur le risque pour garantir que les systèmes sont adaptés à leur usage prévu. Bien qu'il ne soit pas une exigence légale, il est fortement reconnu par des organismes comme la U.S. Food and Drug Administration. Cela en fait un cadre de confiance pour maintenir la conformité, l'intégrité des données et la qualité des produits. Son importance réside dans le fait d'aider les entreprises à équilibrer conformité, efficacité et mise en œuvre pratique.

2. Comment GAMP 5 soutient-il la validation des systèmes informatiques (CSV) ?

GAMP 5 prend en charge la validation des systèmes informatisés en offrant un cadre clair et évolutif pour valider les systèmes en fonction de leur risque et de leur complexité. Il aide les organisations à définir les exigences, à effectuer des évaluations des risques et à réaliser des activités de test appropriées. Plutôt que d’appliquer le même niveau de validation à chaque système, il encourage à se concentrer sur les fonctions critiques qui ont un impact sur la qualité et la sécurité. Cette approche réduit le travail inutile tout en maintenant la conformité. En conséquence, les entreprises peuvent effectuer la validation de manière plus efficiente sans compromettre les attentes réglementaires.

3. Quels sont les principes clés de GAMP 5 que les organisations doivent suivre ?

GAMP 5 repose sur cinq principes clés qui guident la manière dont la validation et la gestion des systèmes doivent être abordées. Ceux-ci incluent la compréhension du produit et du processus, la gestion du cycle de vie, l’évolutivité, la gestion des risques qualité et la mise à profit des activités des fournisseurs. Ensemble, ces principes garantissent que les efforts de validation sont pratiques, ciblés et alignés sur les besoins réels de l’entreprise. Ils encouragent également la pensée critique plutôt que le suivi aveugle de processus lourds en documentation. En appliquant ces principes, les organisations peuvent construire des systèmes informatisés plus solides, plus fiables et conformes.