gamp 5 et 21 cfr part 11 - institute.cvo-europe.com

GETINGE, Classe V.

Animateur : Valérie ADAM

Les : 15 et 16 juillet 2021

GAMP 5 et 21 CFR part 11

Référence P1730 rev201805

Présentation de marque

EFOR-CVO

Tou

s d

roit

s ré

serv

és -

20

21

EFOR-CVO la marque Life sciences du Groupe EFOR

3 PRÉSENTATION EFOR-CVO – 2021 – TOUS DROITS RÉSERVÉS

• sommaire NOTRE HISTOIRE

NOTRE PRÉSENCE

NOTRE AMBITION

NOTRE OFFRE

NOTRE VALEUR AJOUTÉE



LES DEUX GROUPES UNISSENT LEURS FORCES POUR DEVENIR LA RÉFÉRENCE EUROPÉENNE DU CONSEIL DES SCIENCES DE LA VIE

NOTRE HISTOIRE

CVO-EUROPE société de conseil reconnue depuis 1995 notamment dans l'industrie pharmaceutique avec une très forte présence dans tous les grands

comptes pharma en France et en Europe

1300 100M€ 16 AGENCESCollaborateurs de CA France, Belgique et Suisse

EFOR est un acteur majeur du conseil spécialisé et leader dans le monde des Life sciences

notamment pour les industriels des Dispositifs Médicaux depuis 2013

FIN 2020, CVO-EUROPE A INTÉGRÉ LE GROUPE EFOR


NOTRE AMBITION

Notre ambition est de consolider notre position deleader européen du conseil spécialisé en Life sciences.

Nous renforçons notre organisation autour d’uneDirection Technique forte au service de notrecroissance en garantissant notre approche conseil etun précieux appui à nos collaborateurs.

En devenant la référence incontournable du conseilspécialisé et en fournissant une approchedifférenciante sur l’ensemble du cycle dedéveloppement des produits de nos clients, nousoffrons à nos consultants la capacité de se projeter àlong terme dans un environnement varié et stimulant


EXPÉRIENCE HISTORIQUE DU SECTEUR

PHARMACEUTIQUEExcellente maîtrise des

exigences pour les médicaments à usage humain et vétérinaire

UN ANCRAGE FORT DANS LE SECTEUR DU DISPOSITIF

MÉDICALDispositifs implantables

Electro-médicalSoftware médicaux

Dispositifs combinésDM DIV

DIRECTION TECHNIQUE

Approche conseilEncadrement des consultants

Veille normative & technologique

CULTURE DE FORMATION DES CONSULTANTSFormation continue aux évolutions normatives

Formation spécifique avant intervention

SOLUTIONS DU GROUPE EFORPrésence européenne

Puissance de recrutement

NOTRE VALEUR AJOUTÉE

7 PRÉSENTATION INSTITUTIONNELLE – EFOR-CVO – 2021 – TOUS DROITS RÉSERVÉS

L’EXPÉRIENCE EFOR-CVO

Nos valeurs réunies pour la réalisation de notre ambition commune

EXCELLENCE ENGAGEMENT ESPRIT D’ÉQUIPE DYNAMISME

NOTRE PRÉSENCENos implantations• Paris• Lille• Lyon• Metz• Strasbourg• Belfort• Mulhouse• Nantes• Grenoble

• Val de Reuil• Orléans• Aix-en-Provence• Bordeaux• Toulouse• La-Seyne-sur-Mer• Genève• Bâle• Bruxelles



DISPOSITIFS MÉDICAUX

NOS MÉTIERS

Une expertise dédiée aux industries des Sciences de la Vie

PHARMACEUTIQUE COSMÉTIQUES

BIOTECHNOLOGIES CHIMIE NUTRISANTÉSANTÉ

ANIMALE

DMDIV


NOS MÉTIERS

PHARMACEUTIQUE

COSMÉTIQUE

BIOTECHNOLOGIES

CHIMIE

NUTRISANTÉ

SANTÉ ANIMALE

UNE EXPERTISE DÉDIÉE AUX INDUSTRIES DES SCIENCES DE LA VIE


NOS MÉTIERS

DM ET DMDIV

UNE EXPERTISE DÉDIÉE AUX INDUSTRIES DES SCIENCES DE LA VIE


NOTRE ÉQUIPE

1100 Consultants – Docteurs, Ingénieurs & Pharmaciens

50 Experts Techniques

Différentes formations (biologie, biochimie, mécatronique, etc.)

Différentes spécialisations (Réglementaires, Qualité, Risques, Affaires Clinique, Gestion de projet…)

Différents niveaux d’expertise

Construisent les offres techniques spécifiques correspondant aux besoins de nos clients

Interviennent en support technique à nos consultants dans leurs missions

Assurent la relecture et la validation des livrables

Pilotent les audits et formations internes et externes


Centre de projets

LA DIRECTION TECHNIQUE

DIRECTION TECHNIQUE

Centre d’expertise

Centre de formation

Centre desAudits

50 experts dédiés

10 Pôles métiers


LA DIRECTION TECHNIQUE

R&D Affaires cliniques

Biocompatibilité & toxicologie

Management de la qualité

Qualif équipements

Valid procédésVSI

Affaires réglementaires

IT & digital

Stratégie & excellence

opérationnelle

Affaires scientifiques CQV

Engineering

GaléniqueFormulation

Transfert

Design (Mécanique, Electronique,

Logiciel)Vérification &

validation

Gestion de projet :

Travaux neufs Revamping

Spécialistes de lots :HVAC

EIAProcess &

utilitésBâtiment

Maintenance & fiabilité

Systèmes d’informations

Business analysisAMOA

Gestion de projet

Data Data management,

Data science,RGPD,

Data integrity,Business Intelligence

Digital HealthQualité logiciel,Développement,Gestion de projet

(agile / V)

Industrie 4.0

Supply

Amélioration continue

Expertise lean six sigma

Investigation & évaluation clinique :

Gestion de projet clinique

Rédaction médicale

Soumissions Réglementaires

Monitoring

Biométrie

Biological Risk Assesment

ToxicologicalRisk Assesment

AQSystème

AQFournisseurs

AQOpérationnelle

Contrôle Qualité

Référentiels : 13485/9001/17025/22716/GMP/

ICHQ10

EquipementsProduction,

contrôle

Procédés(Fabrication, nettoyage,

stérilisation, conditionnement,

transport, procédés spéciaux)

Locaux & utilités

Méthodes analytiques &

biologiques

Ingénierie Validation

Exploitation & Maintien

ERPGED

GMAOMES

SCADAPLC

LIMSFichiers excel

AMM

Marquage CE

510k

DIP

Dossiers Export

Vigilance & PMS

CENTRE D’EXPERTISE

www.efor-group.fr www.efor-healthcare.fr www.cvo-europe.com

Agathe ALAGUILLAUME

[email protected]

GAMP 5 ET 21 CFR PART 11: ADAPTÉE POUR LES FOURNISSEURSPI730

© CVO-EUROPE – Tous droits réservés – template_VQ_220716

Présentation de la formation



Accueil des participants

FORMATION ANIMATEURS INTERNESFIANIM1018L

© CVO-EUROPE – Tous droits réservés – template_QR_120716

Présentation du formateur

Valérie ADAM

EXPERTISES Qualité Supply Chain Lean Manufacturing Audits fournisseurs et audits internes Expert en amélioration continue Audit règlementaire GMP/GDP/ISO

9001/ISO 22716/ISO 13485… ISO 19011, ISO 22716, ISO 13585, Change

Control, ICH Q9, ICH Q10, Data Integrity,… Gestion des déviations Gestion des SI

EXPÉRIENCES+ de 20 ans d’expérience dans les Sciences de la Vie et la Santé en production et assurance qualité dans les mises sous formes pharmaceutiques aseptiques (injectables) , Laboratoires Lilly France, J&J,, Octapharma, 1 en Chargée Supply Chain Inde et Brésil Ortho-Clinical Diagnostic 2 en Manager Quality IT NOVARTIS 1 en Management des secrétariat CHU Strasbourg Audits fournisseurs industrie pharmaceutique ( SI, Transport, équipements…) FAT/SAT Chef de projet QUALIOPI Plusieurs années en audits et formations

FONCTIONCDA: Expert Technique PharmaFormatrice et auditrice sénior

QUALIFICATIONAuditeur Qualifié CVO-EUROPEFormatrice Qualifiée



Présentation des participants



Objectifs de la formation

Comprendre le guide GAMP, ses objectifs

et son statut de reconnaissance par

les instances réglementaires

1 2 3 4Savoir utiliser les

recommandations du GAMP 5 de façon

pragmatique

Connaître les principales exigences

du 21 CFR Part 11

Comprendre les différences et les

points communs avec un schéma de

validation traditionnel « Cycle en V »



Module 1. Contexte règlementaire?

Connaitre les principales instances réglementaires pharmaceutiques

Quels sont les principaux organismes ainsi que leur publications

1. Contexte réglementaire

2. Qu’est-ce que le GAMP ?

3. Les principales recommandations

5. Le rôle des fournisseurs

6. Le rôle des utilisateurs

7. Le 21 CFR Part 11 et ses exigences

Contenu de la formation

QCM & évaluation de la formation

4. La validation et le GAMP



Module 2. Qu’est-ce que le GAMP ?

Pourquoi a-t-il été écrit et par qui ?

Quels sont ses objectifs ?

Comment est-il reconnu aujourd’hui dans le monde de la santé, par les industriels, les SSII et par les autorités réglementaires ?

Quel est son périmètre d’application ?

Comment est-il structuré ?












Module 3. Les principales recommandations du GAMP 5

Les 5 concepts clés du GAMP 5

Les nouveaux termes introduits par le GAMP 5

Les approches typiques recommandées par catégorie

Les phases du cycle de vie

La gestion des risques qualité

L’importance des tests concepteurs et fournisseurs.












Module 4. La Validation et le GAMP 5

Pourquoi valider ?

Qu’est-ce que la Qualification et le Validation ?

Quels sont les différentes étapes de Qualification et validation ?

Quels sont les requis de Validation définis dans le GAMP ?












Module 5. Le rôle des fournisseurs tel que défini dans le GAMP 5

Définition des rôles et responsabilités des fournisseurs de systèmes automatisés et informatisés, impliqués dans une démarche de validation GAMP.

Comment rationnaliser la documentation et l’effort de documentation ?

Le rôle de la gestion de projet

Qui rédige le plan qualité ?

Les interactions des fournisseurs avec les utilisateurs












Module 6. Rappel du rôle des utilisateurs tel que défini dans le GAMP 5

Définition des rôles et responsabilités des utilisateurs des systèmes automatisés et informatisés, impliqués dans une démarche de validation GAMP.

Par quoi commencer une approche de validation à l’échelle d’un site, d’une division, d’un groupe… ?

Comment décliner l’approche globale, sur les différents systèmes concernés ?

Comment adapter sa stratégie de validation au contexte système, projet, et opérationnel ?

Quels sont les outils pour une maintenance opérationnelle efficace (SLA, DRP, Change control, Gestion de configuration, validations périodiques, …)

Les interactions des utilisateurs avec les fournisseurs












Module 7. Le 21 CFR Part 11 et ses exigences

Contenu du 21 CFR Part 11

Principales exigences :

• Validation

• Audit Trail

• Gestion des Accès

• Formation

• Gestion documentaire

• Signature électronique

Focus sur les exigences concepteur / développeur













Vérification des connaissances – QCM

Evaluation de la formation












Périmètre de la formation

SI / SA

URS -SBU

Concep-tion

Dévelop-pement

Qualifi-cation, &

valida-tion

ERES

URS user requirement specsSBU spec besoin utilisateursERES electronic Record electronic signatureSI système informatisé



Logistique



N’hésitez pas à poser des questions !



Exercices

Quand vous verrez ce picto, ce sera donc à vous de travailler !

Activités !

Jeux

Quand vous verrez ce picto, ce sera donc à vous de jouer !



Module 1CONTEXTE RÉGLEMENTAIRE



Objectifs du module

Connaitre le contexte réglementaire de l’entreprise pharmaceutiqueEt Dispositifs Medicaux

1 2Comprendre les requis des réglementations versus les guides de travail

3Quelles sont les règles pour maîtriser les systèmes informatisés et automatisés



EMAEuropean Medicines Agency

CEE (DM)Notified Bodies (DM)

FDAFood and Drug Administration

MHLWMinistry of Health,

Labour and Welfare

Quelques agences à l’International



ANSMAgence Nationale de

Sécurité du Médicaments et des Produits de Santé

Organismes Notifiés (DM)

AFMPS / FAGGAgence Fédérale des

Médicaments et Produits de Santé / Federal Agency for Medecines and Health

Products

Swissmedic

Institut suisse des produits

thérapeutiques

Agences locales



EU Guidelines toGood Manufacturing Practice

Medicinal Products for Human and Veterinary Use

PART IBasic Requirements

For Medical Products

PART IIBasic Requirements

for Actives Substances

used as Starting Materials

PART IIIGMP related documents

18 annexes* 1 à 19*Annexe 18 remplacée par PART II*Annexe 20 transférée dans Part III

-Site Master File-ICH Q9-ICH Q10

Europe – GMP (Eudralex volume 4)

2018 – Eudralex volume 4 : Structure actualisée du document

PART IVGMP requirements

for Advanced Therapy

Medical Products



+ Part I – Finished Product

+ Part II – ICH Q7 / API (ex annex 18)

+ Part III – SMF– ICH Q9 (ex annex 20) – ICH Q10

+ Annex 1 : Manufacturing of Sterile Medicinal Products

+ Annex 2 : Manufacture of Biological Medicinal Products for Human Use

+ Annex 3 : Manufacture of of radiopharmaceuticals

+ Annex 6 : Manufacture of medicinal gases

+ Annex 7 : Manufacture of herbal medicinal products

+ Annex 8 : Sampling of starting and packaging materials

+ Annex 9 : Manufacture of liquids, creams and ointments

Europe – GMP (Eudralex volume 4)

+ Annex 10 : Manufacture of pressurised metered dose aerosol preparations for inhalation

+ Annex 11 : Computerised Systems

+ Annex 12 : Use of ionising radiation in the manufacture of medicinal products

+ Annex 13 : Manufacture of investigational medicinal products

+ Annex 14 : Manufacture of medicinal products derived from human blood or plasma

+ Annex 15 : Qualification Validation

+ Annex 16 : Certification by a Qualified person and Batch Release

+ Annex 17 : Parametric Release

+ Annex 19 : Reference and Retention Samples



Eudralex - Annexe 11 Systèmes informatisés - Extraits

4. Validation

4.1 - The validation documentation and reports should cover the relevant steps

of the life cycle. Manufacturers should be able to justify their standards,

protocols, acceptance criteria, procedures and records based on their risk

assessment.

Evaluation basée sur le risque

4.2 - Validation documentation should include change control records (if

applicable) and reports on any deviations observed during the validation

process.

Gestion des modifications et déviations en cours de projet

4.3 - An up to date listing of all relevant systems and their GMP functionality

(inventory) should be available. For critical systems an up to date system

description detailing the physical and logical arrangements, data flows and

interfaces with other systems or processes, any hardware and software pre-

requisites, and security measures should be available.

PDV et descriptif exhaustif

4.4 - User Requirements Specifications should describe the required functions

of the computerized system and be based on documented risk assessment and

GMP impact. User requirements should be traceable throughout the life-cycle.

Matrice de traçabilité



Eudralex - Annexe 11 Systèmes informatisés - Extraits

10. Change and configuration management

Any changes to a computerized system including system configurations should only be made in a controlled manner in accordance with a defined procedure.

Procedure: Gestion des changements

11. Risk Management

Risk management should be applied throughout the lifecycle of the computerized system taking into account patient safety, data integrity and product quality. As part of a risk management system, decisions on the extent of validation and data integrity controls should be based on a justified and documented risk assessment of the computerized system.

Le cycle de vie inclue les étapes de spécifications, développement, test, utilisation et mise au rebut. Avec évaluations basées sur les risques :Plan de gestion des risques, Analyses de risques (processus, fonctionnelles, évaluation relatives aux développements)



Eudralex - Annexe 15 – Qualification and Validation

Intégration des concepts des ICH.

Le processus de validation est intégré dès la phase projet avec lesFAT/SAT et URS.

Rôle des fournisseurs renforcé (qualification des fournisseurs)

Tout part de l’URS et des matrices de traçabilité qui en résultent.

Les 4 Q restent d’actualité

Architecture documentation claire et cohérente (VMP incluant entreautre la gestion des déviations et les critères d’acceptation)

Intégration de nouveaux chapitres (transport, packaging, utilités etméthodes de tests)



Suppression de la validation rétrospective et renforcement desexigences concernant la validation des procédés en intégrant lesnotions de CPP/CQA

Convergence vers le concept FDA (lifecycle et ongoing processverification)

Renforcement des exigences en terme de validation de nettoyage(critère d’acceptation, justification des worst case et des limitesrésiduelles acceptables)

Rappel des grands principes de gestion du change control intégrant lesprincipes de management des risques et impacts.

Eudralex - Annexe 15 – Qualification and Validation



21 CFR part 210 and 21 CFR part 211

USA – CGMP (21 CFR 210 & 211)



USP <1058> : AIQ

Qualification des instruments analytiques.

+ Contrairement aux activités de validation de méthode et des Suitabilitytests, la qualification des instruments analytiques (AIQ) n'a actuellement pas de directives ou de procédures spécifiques.

+ Ce chapitre propose une approche scientifique de l'AIQ et considère l'AIQ comme l'un des principaux composants requis pour générer des données fiables et cohérentes.

+ L’effort appliqué au processus de qualification dépendra de la complexité et de l'utilisation prévue de l'instrumentation.



Les enregistrements soumis à la réglementation

Les enregistrements peuvent être au format :

Si le format électronique est retenu, lesenregistrements soumis à la règlementation doiventêtre en conformité avec les exigences :- 21 CFR Part 11 de la FDA et- de l’annexe 11 des GMP Europe.

Papier Electronique

Rappel sur le format papier : les enregistrementssoumis à la règlementation doivent être enconformité avec les exigences réglementaires encohérence avec la notion de « Data integrity »



…

Principaux Organismes (1/2)

Europe

Spécifications

Pharmacopées

GuidesHarmonisés« Pharma »

ICH

Japon USAEurope

Guidesdes inspecteurs

PIC/S

Europe



…

Principaux Organismes (2/2)

Guides

SFSTP

France

Normes

ISO

International

Guides

ISPE

International



ISPE : International Society for Pharmaceutical Engineering

+ L’ISPE publie des documents qui ne sont pas des réglementations mais des méthodes permettant d’aider à être en conformité

GAMP - Good Automated Manufacturing Practices, A Risk-BasedApproach to Compliant GxP Computerized Systems - 2008

GAMP - Good Practice Guide: Validation of LaboratoryComputerized Systems - 2012

FDA/ISPE Baseline Guides (Partenariat avec la FDA)



ISPE – GAMP Structure



Requis Règlementaires et guides de DI• GXP’ Data Integrity

Guidance and Definitions, MHRA- V2, March 2018

MHRA

• Data Integrity and Compliance With CGMP Guidance for Industry, FDA, April 2016 (Draft)

• Data Integrity and Compliance With Drug CGMP, FDA, December 2018

FDA

EMA Data Integrity Q&A, August 2016

EMA

• WHO GMP • WHO_TRS_996_ANNE

X05 good data and record management, 2016

WHO

PI 041-1 (Draft 3) 30 November 2018:Good practices for data management and integrity in regulated GMP/GDP environments

PIC/S

Data Integrity Best Practices Guide for APIs, March 2019

APIC

GAMP Guide: Records & Data Integrity, March2017

GAMP Guide: Records & Data Integrity, May 2019

GAMP



Messages des Guides Data Integrity

→ C'est une exigence fondamentale du système de qualité pharmaceutique décrit dans le chapitre 1 des GMP

→ Les exigences en matière d'intégrité des données s'appliquent aussi bien aux données manuelles (papier) qu'aux données électroniques.

→ L'intégrité des données permet aux fabricants de produits pharmaceutiques et aux autorités de réglementation de prendre de bonnes décisions.

→ Les principes garantissent à cette organisation que les données sont complètes, cohérentes et précises quelque soit leurs formats.

→ Recommande de déployer une analyse de risque, basée sur la compréhension du processus et la gestion des connaissances des technologies en relation avec la criticité des données dans la prise de décision.

→ Data Life cycle : à adresser dès le développement des systèmes, sur toute la période d’utilisation jusque conservation



Module 2QU’EST-CE QUE LE GAMP?



Objectifs du module

1 2Savoir ce qu’est le GAMP et ce qu’il n’est pas

Connaitre son contenu et son application



GAMP

Good Automated Manufacturing Practice

+ GAMP est une « Community of Practice - COP »

+ ISPE : International Society for Pharmaceutical Engineering



GAMP – Ce qu’il est et ce qu’il n’est pas (1/3)




+ Le GAMP est un guide qui s’applique aux systèmes automatisés et informatisés utilisés dans les activités réglementées couvertes par les : GMP / BPF (Bonnes Pratiques de Fabrication)

GCP / BPC (Bonnes Pratiques Cliniques)

GLP / BPL (Bonnes Pratiques de Laboratoire)

GDP / BPD (Bonnes Pratiques de Distribution)

Réglementations des Dispositifs Médicaux

+ Le GAMP ne se substitue pas Aux réglementations

Aux autres guidesPar la suite GxP sera utilisé pour GMP, GCP, GLP et GDP

et BPx sera utilisé pour BPF, BPC, BPL et BPD




+ Le GAMP n’est pas une méthode prescriptive ou un standard, mais plutôt un guide qui fournit des conseils, des approches et des outils pragmatiques.

+ Quand il est appliqué avec de l’expertise et du bon sens, ce guide offre une approche robuste et d’un bon rapport coût / performance



Réglementations prises en compte dans le GAMP 5

+ EMA (European Medicines Agency) Commission Directive 2003/94/EC, of 8 October 2003, laying down the principles and guidelines of good manufacturing practice in

respect of medicinal products for human use and investigational medicinal products for human use.

Commission Directive 91/412/EEC of 23 July 1991 laying down the principles and guidelines of good manufacturing practice for veterinary medicinal products.

EUDRALEX Volume 4: Pharmaceutical legislation - Medicinal Products for Human and Veterinary use - Good Manufacturing Practices

• Annex 11 -Computerized Systems

EUDRALEX Volume 9 - Pharmacovigilance Volume 9A- Pharmacovigilance for Medicinal Products for Human Use (version April 2007)

+ US Code of Federal Regulations, Title 21, Food and Drugs 21 CFR Part 210 - Current Good Manufacturing Practice in Manufacturing, Processing, Packing, or Holding of Drugs

21 CFR Part 211 - Current Good Manufacturing Practice for Finished Pharmaceuticals

21 CFR Part 820 - Quality System Regulation (Medical Device)

21 CFR Part 11 – Electronic Records, Electronic Signatures

21 CFR Part 58 - Good Laboratory Practice for Nonclinical Laboratory Studies

+ Regulatory Guide - Japan - PFSB Notification, No. 0401022 Electronic Records/Electronic Signature, 2005



Les guides et normes pris en compte dans le GAMP 5

+ PIC/S (Pharmaceutical Inspection Co-operation Scheme) PI 011-3 - Good Practices for Computerized Systems in Regulated « GXP » Environnements - 2007

+ FDA (Food and Drugs Administration) 21 CFR Part 11 – Scope and Application – 2003 General Principles of Software Validation; Final Guidance for Industry and FDA Staff (11 January 2002)

+ ICH (International Conference on Harmonisation) ICH Q9 – Quality Risk Management ICH Q10 – Pharmaceutical Quality system

+ ASTM (American Society for Testing and Materials) ASTM-E2500-07 - Standard Guide for Specification, Design, and Verification of Pharmaceutical and Biopharmaceutical

Manufacturing Systems and Equipment – 2007

+ ISO ISO 9001:2000 Quality management systems – Requirements ISO/IEC 90003:2004 Software engineering - Guidelines for the application of ISO 9001:2000 to computer software ISO/IEC 12207:1995 Information technology - Software life cycle processes

+ ISPE GAMP® Good Practice Guides

+ …



Jeu : Rôle et responsabilités

Consigne

Quel est le périmètre de la validation d’un système informatisé?



GAMP – Périmètre : Systèmes automatisés et informatisés

+ Systèmes d’Information

+ Systèmes de Laboratoires

+ Gestion de données cliniques

+ Automates de production

+ Automates de contrôle

+ Pilotage de production

+ …

Système Automatisé / Informatisé

Logiciel

Matériel

Equipements

DonnéesSystème Automatique / Informatique

Environnement d ’exploitation

ProcéduresDocumentation

Opérateurs



GAMP – Objectifs

+ Faciliter l’interprétation des exigences réglementaires

+ Etablir une terminologie et un langage commun

+ Promouvoir une approche du cycle de vie des systèmes basée sur des bonnes pratiques

+ Clarifier les rôles et responsabilités



1 2

34

Mars 1995Mai 1996

Mars 1998Décembre 2001

GAMP V1

+ GMP

Annexe 11

GAMP V2

Incorporation de

commentaires

Européens

GAMP V3

Séparation

entre guide

utilisateurs

et guide

fournisseurs

GAMP 4

Périmètre

élargi,

responsabilités

utilisateurs,

détails sur les

activités

opérationnelles

Vol 1

Vol 2

5

Février 2008

GAMP Version 5

Approche basée sur

la gestion des

risques, Cycle de

vie adaptable

GAMP – Historique



GAMP 5 (février 2008) – Titre

+ A Risk-Based Approach to Compliant GxP Computerized Systems

+ Une approche de la conformité GxP des systèmes informatisés basée sur les risques



GAMP 5 (février 2008) – Pourquoi ?

+ Le GAMP a été révisé de façon significative pour l’aligner avec les concepts et terminologies des récents développementsréglementaires et industriels incluant : Les guides ICH (International Convention for Harmonisation) :

• ICH Q8 - Pharmaceutical Development,

• ICH Q9 - Quality Risk Management

• ICH Q10 - Pharmaceutical Quality System

Le guide PIC/S (Pharmaceutical Inspection Cooperation Scheme) PI-011 -Guidance on good practices for computerized systems in regulated “GxP” environment

La norme ASTM E2500 (International, anciennement American Society) Standard guide for Specification, Design, and Verification of Pharmaceutical and Biopharmaceutical Manufacturing Systems and Equipment



GAMP 5 (février 2008) – Structure

GAMP 5

Principes

Annexes

Dév

elo

pp

emen

t

Op

érat

ion

Man

agem

ent

Inté

rêts

Sp

écif

iqu

es

Gén

éral

es

M D O S G

CONTENU

1. Introduction

2. Concepts clés

3. Approche du cycle de vie

4. Phases du cycle de vie

5. Gestion du risque qualité

6. Activités des entreprises réglementées

7. Activités du fournisseur

8. Améliorations de l’efficacité

Annexes

Index

ANNEXES

M1 à M10 : Management

D1 à D7 : Développement

O1 à O13 : Opération (Exploitation)

S1 à S6 : Intérêt Spécifique

G1 à G3 : Général



Pour développer il faut …

+ Organiser le développement du système Plan projet, plan qualité projet

+ Décrire le système Spécifications des Besoins Utilisateurs - SBU

(User Requirement Specifications - URS) Spécifications Fonctionnelles - SF

(Functional Specifications - FS) Spécifications Techniques - ST

(Design Specifications - DS)

+ Construire le système+ Tester le système – Plan de Tests+ Installer le système



Les activités de développement …

Définir les SBU

Définir les SF

Définir les ST

Préparer le

développement

Construire le système

Installer

Tester



Pour valider il faut …

+ Organiser la validation du système Plan de validation

+ Comprendre le système Description du système et de ses spécifications

+ Construire une démonstration Protocoles de qualification : QC, QI, QO, QP

+ Apporter la preuve Résultats des qualifications

+ Apporter une conclusion Rapport final de validation



Les activités de validation …

Exécuter la QP

Exécuter la QO

Exécuter la QI

Préparer la QP

Préparer la QO

Préparer la QI

Préparer

la validation

Finaliser

la validation



GAMP : Activités de développement versus activités de validation …

Définir les SBU

Définir les SF

Définir les ST

Préparer le

développement


Installer

Tester

Exécuter la QP

Exécuter la QO

Exécuter la QI

Préparer la QP

Préparer la QO

Préparer la QI

Préparer

la validation

Finaliser

la validation



Activités de développement versus activités de validation avec QC …

Définir les SBU

Définir les SF

Définir les ST

Préparer le

développement


Installer

Tester

Exécuter la QP

Exécuter la QO

Exécuter la QI

Préparer la QP

Préparer la QO

Préparer la QI

Préparer

la validation

Finaliser

la validation

QC

QC

QC

QC



Activités de développement versus activités de validation avec AR …

Définir les SBU

Définir les SF

Définir les ST

Préparer le

développement


Installer

Tester

Exécuter la QP

Exécuter la QO

Exécuter la QI

Préparer la QP

Préparer la QO

Préparer la QI

Préparer

la validation

Finaliser

la validation

QC

QC

QC

QC

AR

ARAR

AR AR

AR

AR



Comme les autres guides, le GAMP est un guide et ce n’est qu’un guide, même s’il est reconnu par pratiquement toutes les instances réglementaires santé comme l’un des guides à suivre pour être en conformité GxP / BPx

Le GAMP 5 prend en compte les recommandations et concepts contenus dans les principaux autres guides (ASTM, PIC/S, ICH …)

Comme indiqué dans le GAMP 5, les guides doivent être appliqués avec de l’expertise et du bon sens

Le GAMP 5 focalise plus sur la gestion des risques et le cycle de vie peut être adapté en fonction des risques liés au système et de la complexité et de la nouveauté du système

Les points clés du module : Qu’est-ce que le GAMP ?



Module 3Les principales recommandations du GAMP 5



Objectifs du module

Quels sont les concepts et les R&R

définis dans le GAMP 5.

1 2Quels sont les

différentes catégories définies et leur lien avec la validation.

3Connaître les

principales recommandations et évolutions du

GAMP 5.



+ Les concepts clés du GAMP 5



Les 5 Concepts clés du GAMP 5 (section 2 du guide)

1. Compréhension du procédé et du produit2. Approche cycle de vie à l’intérieur d’un Système de

Management de la Qualité (SMQ)3. Activités du cycle de vie adaptables4. Gestion des risques qualité basée sur des connaissances

scientifiques5. Prendre appui sur l’implication du fournisseur



1 - Compréhension du procédé et du produit

+ Les efforts pour garantir l’adéquation à l’utilisation prévue doivent focaliser sur les aspects qui sont critiques d’un point de vue sécurité du patient, qualité du produit et intégrité des données. Ces aspects critiques doivent identifiés, spécifiés et vérifiés.

+ La spécification des exigences doit être focalisée sur les aspects critiques. L’étendue et le détail des spécifications des exigences doivent être proportionnés aux risques associés, à la complexité et à la nouveauté du système.



2 - Approche cycle de vie à l’intérieur d’un SMQ

+ Le cycle de vie doit être une part intrinsèque du Système de Management

de la Qualité (SMQ) de l’entreprise, qui doit être mis à jour au fur et à mesure que de nouvelles façons de travailler sont développées.

+ Un cycle de vie adapté, et correctement appliqué, permet de garantir la qualité et l’adéquation pour l’utilisation prévue et d’atteindre et de maintenir la conformité aux exigences réglementaires.



3 - Activités du cycle de vie adaptables

+ Les activités du cycle de vie doivent être adaptées en fonction de : Impact du système sur la sécurité patient, la qualité du produit

et l’intégrité des données (Analyses de risques) Complexité et nouveauté du système (architecture et

catégorisation des composants du système) Résultat de l’évaluation du fournisseur (capacité du fournisseur)

+ L’impact sur le Business peut aussi influencer l’adaptation des activités du cycle de vie

+ La stratégie doit être clairement définie dans un planet suivre des directives et procédures établies et approuvées



4 - Gestion des risques qualité basée sur des connaissances scientifiques

+ La gestion des risques qualité doit être basée sur une compréhension clair du procédé et des impacts potentiels sur la sécurité patient, la qualité du produit et l’intégrité des données.

+ Pour les systèmes contrôlant ou surveillant des Paramètres Procédé Critiques – PPC (CPP – Critical Process Parameters), ils doivent être traçables aux Attributs Qualité Critiques – AQC (CQA –Critical Quality Attributes).



5 – Prendre appui sur l’implication du fournisseur

+ Les entreprises réglementées doivent rechercher à maximiser l’implication du fournisseur tout au long du cycle de vie du système afin de prendre appui sur ses connaissances, son expérience et sa documentation. Par exemple, le fournisseur peut assister dans le recueil des

exigences, les analyses de risques, la création des spécifications fonctionnelles et autres, la configuration du système, les tests, le support et la maintenance.

+ La documentation doit être évaluée pour sa pertinence, son exactitude et son exhaustivité. Il doit y avoir de la flexibilité par rapport au format, à la structure et aux pratiques documentaires acceptables.



+ Rôles et responsabilités



Jeu : Rôle et responsabilités

Consigne

Liez définitions et rôles



GAMP 5 : Nouveaux termes (1/3)

+ Process Owner : Détenteur de Processus

La personne ultimement responsable pour le processus métier

Cette personne est généralement le directeur de l’unité fonctionnelle ou du département qui utilise le système ; bien que le rôle doit être basé sur la connaissance spécifique du procédé plutôt que la position dans l’organisation




+ System Owner : Détenteur de Système

La personne ultimement responsable pour la disponibilité, le support et la maintenance d’un système, et pour la sécurité des données résidant sur le système

Cette personne est généralement le directeur du département responsable pour le support et la maintenance du système ; bien que le rôle doit être basé sur la connaissance spécifique du système plutôt que la position dans l’organisation




+ Subject Matter Expert (SME) : Expert métier (Expert du Domaine)

Les individus avec une expertise spécifique dans un domaine particulier.

Les SMEs doivent prendre le rôle de leader dans la vérification des systèmes automatisés et informatisés

Les responsabilités des SMEs comprennent :

• la planification et la définition des stratégies de vérification,

• la définition des critères d’acceptation,

• la sélection des méthodes de tests appropriées,

• l’exécution des tests de vérification et la revue des résultats



+ Les Catégories Logiciel du GAMP 5



4 catégories selon le GAMP 5

Logiciel systèmeProduits non

configurésProduits

configurés

Applications Spécifiques

(y compris tous les spécifiques des

catégories ci-contre)

Logiciel d’infrastructure et Outils

Progiciel disponible dans le commerce : COTS

Progiciel avec fonctions à configurer pour procédés industriels spécifiques

Logiciel personnalisé sur mesure

1 3 4 5

M4



1GAMP 5 - Catégorie+ Description

Couche de logiciel sur laquelle les applications sont construites Logiciel utilisé pour gérer l’environnement d’exploitation

+ Exemples typiques Système d’exploitation Moteur de base de données Middleware Langages de programmation Packages statistiques Tableurs Outils de surveillance de réseau Outils de planification de tâches Outils de contrôle de versions

M4



Recommandations Logiciel GAMP 5

Catégories Approches Typiques

1- Enregistrer la version et Vérifier que l’installation a été

correctement réalisée en suivant des procédures d’installation approuvées

M4



3GAMP 5 - Catégorie

+ Description Des paramètres d’exploitation (run-time) peuvent être entrés

et stockés, mais le logiciel ne peut pas être configuré pour s’adapter au procédé du Business

+ Exemples typiques Application basée sur du firmware Logiciel « sur étagère » (COTS) Instruments (voir GAMP Laboratoire)

M4



GAMP 5 – Phases du Cycle de Vie

Approche pour un Produit Non Configuré (Catégorie 3)

Tests des

Exigences

Produit Non Configuré

Produit Non Configurable

ou Produit Configurable

Spécifications

UtilisateurSpécification Vérification

Fournisseur

Entreprise

Réglementée

SMQ du

Fournisseur

Responsable





3

- Approche cycle de vie raccourcie- SBU- Approche basée sur les risques pour l’évaluation fournisseur- Enregistrer la version et vérifier que l’installation est correcte- Tests, basés sur les risques, des exigences dictées par

l’utilisation (pour des systèmes simples, un étalonnage régulier peut remplacer les tests)

- Procédures en place pour maintenir la conformité et l’adéquation à l’utilisation prévue

M4




+ Description Logiciel, souvent très complexe, qui peut être configuré par l’utilisateur pour

satisfaire les besoins spécifiques du procédé du Business de l’utilisateur. Le code du logiciel n’est pas altéré

+ Exemples typiques LIMS Systèmes d’acquisition de données ERP Surveillance d’essais cliniques Système de Gestion Electronique des Documents – GED (EDMS) Système de gestion des bâtiments Interface Humain – Machine

Note : les exemples spécifiques de types de systèmes ci-dessus peuvent contenir des éléments importants customisés

M4




Approche pour un Produit Configuré (Catégorie 4)

Spécifications

Fonctionnelles

Tests de la

Configuration

Produit Configuré

Produit Configurable

Spécifications de

Configuration

Spécifications

Utilisateur

Tests

Fonctionnels

Tests des

Exigences

Spécification Vérification

Fournisseur

Entreprise

Réglementée

SMQ du

Fournisseur

Responsable





4

- Approche cycle de vie- Approche basée sur les risques pour l’évaluation du fournisseur- Démontrer que le fournisseur a un SMQ adéquat- Une partie de la documentation du cycle de vie maintenue

uniquement par le fournisseur- Enregistrer la version et vérifier que l’installation est correcte- Tests, basés sur les risques, pour démontrer que l’application

fonctionne telle que conçue dans un environnement de tests et à l’intérieur du procédé du Business

- Procédures en place pour maintenir la conformité et l’adéquation à l’utilisation prévue

- Procédures en place pour gérer les données

M4




+ Description Logiciel customisé (fait sur mesure) conçu et codé pour

satisfaire le procédé du business

+ Exemples typiques ; c’est variable, mais ça inclus : Applications IT développées en interne ou en externe Applications de contrôle de procédé développées en interne

ou en externe Programme automate customisé Logiciel customisé Tableurs (Macro)

M4




Spécifications de

Conception

Tests Unitaires

Codage des Modules

Connaissance et expertise

technique du fournisseur

Spécifications

Unitaires

Spécifications

Fonctionnelles

Spécifications

Utilisateur

Tests

d’Intégration

Tests

fonctionnels

Tests des

Exigences

Spécification Vérification

Fournisseur

Entreprise

Réglementée

SMQ du

Fournisseur

ResponsableApproche pour un Produit Configuré (Catégorie 5)





5

Idem que pour la catégorie 4, plus :- Evaluation fournisseur plus rigoureuse, avec un audit fournisseur- Possession de toute la documentation du cycle de vie

complet (Spécifications Fonctionnelles, Spécifications de Conception, Tests Unitaire, etc.)

- Revue de Conception et Revue du Code Source



Jeu : Catégorie GAMP des systèmes

Consigne

Du point de vue des utilisateurs, quelle serait la catégorie GAMP des systèmes suivants ?

Justifiez sur les diapositives suivantes:



Jeu : Catégorie GAMP des systèmes

Catégorie GAMP : .......................

Justification:- .................................................- .................................................- .................................................- .................................................



Approche basée sur les risques (ICH Q9 / ISO14971) A la sécurité patient A la qualité du produit A l’intégrité des données A la conformité réglementaire

Possibilité d’adapter le cycle de vie mais doit être intégré dans le SMQ de l’entreprise

Remplacement de la plupart des termes QI / QO par test ou vérification

Implication plus importante du fournisseur et flexibilité par rapport au format de leurs documentations

Le fournisseur teste le système y compris pour les test d’installation (ex QI) et opérationnels (ex QO) et l’utilisateur se concentre sur les tests liés à l’utilisation et les risques patient et produit (ex QP)

Les points clés du module : Les principales recommandations du GAMP 5



Module 4LA VALIDATION DANS LE GAMP



Objectifs du module

1Connaître les

définitions, concepts et principes de la

validation

Comment sont repris les requis validation

dans le GAMP

2 3Quel est le

vocabulaire utilisé au cours de la validation selon les demandes

GAMP



Des points de vue différents

Faire un système sans défaut

Faire un système tolérant aux fautes

Conditionner l’environnement pour limiter les conséquences des défaillances

Concevoir le système Valider le système

Chercher les défauts dans le système

Vérifier les limites de tolérance du système aux fautes

Vérifier les conséquences des défaillances vis à vis de la santé publique



Valider, c’est…

Valider, c’est démontrer que les risques sont maîtrisés !

Valider c’est démontrer que le système obtenu correspond au système souhaité.



Exercice : Méli-mélo

Consigne

Remettre dans l’ordre les étapes de validation



Validation et Qualification

Qualification=

Une étape

Validation=

L’ensemble du processus

QF QC QI QO QMD QP

(QMD : qualification de la migration des données)



Qualification de Développement (QD, DQ)

Qualification de Conception (Eudralex volume 4 BPF, Annexe 15 Qualification et Validation)

+ Vérification documentée que la conception proposée des installations, systèmes et équipements convient aux usages auxquels ils sont destinés.

+ => Terminologie harmonisée GAMP :Design Review / Revue de conception



Comparaison entre terminologie classique et activités GAMP 5

Terme traditionnel Description Activité de Vérification GAMP 5

Qualification de Développement

(QD)

Vérification documentée que la conception proposée des bâtiments, systèmes et équipements est en adéquation avec le but prévu

Revue de Conception



Une Revue de Conception consiste à faire des revues formellesincontestables à toutes les étapes de la conception d’un système :

RC des Spécifications des Besoins Utilisateurs – SBU - URS (Cahier des Charges - CdC) ;

RC des Spécifications Fonctionnelles ;

RC des Spécifications Techniques ;

RC du Dossier de Conception ;

RC des Programmes et Logiciels (revue des applicatifs) ;

RC des Procédures et Manuels.

Ça consiste en quoi une Revue de Conception ?



Les documents d’ingénierie sont la base de la conception ou du choix deséquipements, des systèmes (hardware) et des programmes (software) :

Pourquoi regarder les documents d’ingénierie ?

Spécifications Fonctionnelles

Décrivent les fonctions à assurer par les équipements, les logiciels et les systèmes

Spécifications Techniques

Décrivent les contraintes et les environnements dans

lesquels doivent évoluer les équipements, les logiciels et

les systèmes

Décrivent les composants matériels (équipements,

serveurs, réseaux, hardware et modules de software…) nécessaires à la mise en

œuvre des fonctions

Spécifications de Conception



A vérifier : En-tête des modules

+ Nom/Version du module

+ Référence du projet

+ Référence à la documentation descriptive

+ Nom des fichiers source

+ Description du module

+ Historique Référence de la demande de modification Nouvelle version Date de la modification Responsable de la modification Portions de code modifiées

GAMP D4



A vérifier : Principes de codage

+ Présence et pertinence des commentaires

+ 1 action par ligne

+ Alignement et indentation

+ Utilisation de parenthèses, même dans les cas non obligatoires

+ Lisibilité à l’écran et sur les éditions

+ Modalités de gestion des erreurs

Sécurisé et prédictible

GAMP D4




+ Modularité de la structure Séparation logique et physique Éviter les effets de bord Découpage en portions courtes et logiques

+ Identification des portions ajoutées

+ Identification des portions supprimées

+ Absence de code mort Ne sont pas des codes morts (et doivent être

commentés)• Les portions de code supprimées suite Change Control• Les codes « on »/ « off »

GAMP D4




+ Bonne gestion des variables Nommage clair et compréhensible Déclaration et initialisation systématique Déclaration au bon endroit : Variables globales en global, variables

locales en local Pas de réutilisation

+ A éviter zèle sur les codes « intelligents » Code « spaghetti » Interruptions, pointeurs, allocation dynamique de mémoire

GAMP D4



RC du SBU

Rapport de RC du SBU

SBU

Techniques d’évaluation

Vérifier

Respect des standards applicables

Prise en compte des contraintes externes (réglementaire,…)

Bonne description des exigences

Cohérence organisationnelle

Complétude et le caractère raisonnable des exigences secondaires (logistique, personnel, formation, livraison,...)

Conseil de préparation



RC des Spécifications Fonctionnelles

Rapport de RC des Spécifications Fonctionnelles

SBU


Spécifications

Fonctionnelles

Vérifier

Respect des standards applicables

Bonne description des modes opératoires (étapes, écrans, …)

Complétude des spécifications

Traçabilité des exigences (SBU / SPEC)

Justesse des traitements, contrôles et flux de Données




RC des Spécifications Techniques

Rapport de RC des Spécifications Techniques

Spécifications Fonctionnelles

SBUSpécifications

Techniques


Ecarts

Vérifier

1. Respect des standards applicables

2. Bonne description de la conception

3. Complétude de la conception

4. Prise en compte des spécifications fonctionnelles et du SBU




Qualification d'Installation (QI, IQ)

Qualification de l'installation (Eudralex volume 4 BPF, Annexe 15 Qualification et Validation)

+ Vérification documentée que les installations, systèmes et équipements, tels qu’ils ont été installés ou modifiés, sont conformes à la conception approuvée et aux recommandations du fabricant.

+ => Terminologie harmonisée GAMP :Vérification d’installation et de configuration





Qualification d’Installation (QI)

Vérification documentée qu’un système est installé selon des spécifications écrites et pré-approuvées

Contrôle, test ou autre vérification pour démontrer que :

- L’Installation du logiciel et du matériel est correcte

- La Configuration du logiciel et du matériel est correcte



+ Vérifier la conformité de la livraison par rapport à la commande

+ Vérifier la documentation fournisseur

+ Vérifier la conformité du logiciel / programme livré par rapport aux UAT (i.e., logiciel / programme livré = logiciel / programme testé par le fournisseur)

+ Vérifier les procédures d’installation

+ Vérifier qu’un document prouve que l’installation de tous les éléments critiques a été réalisée selon une procédure et a été vérifiée

+ Vérifier que tous les éléments du système sont identifiés et enregistrés de façon formelle et systématique

+ Vérifier les procédures d’exploitation (changement d’élément …)

Contenu de la QI (1/2)



Contenu de la QI (2/2)

+ Vérifier les tests réalisés par le fournisseur

+ Vérifier les procédures de maintenance

Installation / désinstallation d’éléments

Modification de la configuration

Ajout d’éléments

Mise sous tension, mise hors tension

Sauvegarde / restauration

Auto test et diagnostics



Qualification Opérationnelle, (QO, OQ)

Qualification Opérationnelle (Eudralex volume 4 BPF, Annexe 15 Qualification et Validation)

+ Vérification documentée que les installations, systèmes et équipements, tels qu’ils ont été installés ou modifiés, fonctionnent comme prévu sur toute la gamme d’exploitation.

+ => Terminologie harmonisée GAMP :

Vérification du fonctionnement du système dans les plages opérationnelles spécifiées

Conditions de réalisation les plus proches possibles des futures conditions

réelles de production





Qualification Opérationnelle

(QO)

Vérification documentée qu’un système fonctionne selon des spécifications écrites et pré-approuvées dans toutes les plages de fonctionnement spécifiées

Test ou autre vérification du système contre les spécifications pour démontrer le fonctionnement correct des fonctionnalités qui supportent le procédé spécifique du Business dans toutes les plages de fonctionnement spécifiées



QO Système Informatisé

Vérification desfonctions du système

Vérifications de l’administration du système

Gestion des droits et ParamétrageQO



+ Tester avec l'intention de trouver des erreurs

+ Les spécifications de tests doivent inclure les résultats attendus

+ Les résultats de chaque test doivent être conservés

+ Les résultats de chaque test doivent être examinés et analysés

+ Le test doit montrer que le système fait ce qu'il est censé faire

+ Le test doit montrer que le système ne fait pas ce qu'il n'est pas censé faire

Savoir tester



Types de test

Ce test vérifie lefonctionnement standarddu système. Il estdémontre que le systèmefait bien ce qu’il est censéfaire.

Ce test vérifie la réponse dusystème aux conditionsanormales de fonctionnement.Il démontre que le système nefait pas ce qu’il n’est pascensé faire.

Test NominalTest Nominal Test en défaillanceTest en défaillance

Ce test vérifie le fonctionnement aux limitesextrêmes de fonctionnement standard. Ildémontre que la saisie des données critiques nepeut être faite que dans les intervalles prévuspar les spécifications et que le systèmefonctionne correctement dans les cas les plusdéfavorables de fonctionnement (worst case).

Test aux limitesTest aux limites

Stress : le test de stress démontre que le systèmefonctionne correctement lorsqu’il est soumis à descontraintes élevées.

Charge : le test de charge démontre que le systèmefonctionne correctement lorsqu’il est soumis à un volumede données et de traitements élevé (cas de l’acquisition oudu stockage de données).



Exemple de tests

Test de la fonction gestion des droits d’accès Il est possible de créer un profil pour chaque type d’utilisateur La personne qualifiée peut libérer des lots

QO (N)

Vérification des capacités à verrouiller des droits d’accès Le magasinier ne peut pas libérer des lots via un poste non

sécurisé (accès via un réseau public non sécurisé) Il n’est pas possible d’accéder à une fonction sans en avoir le droit Vérification de la capacité à protéger les données Déconnecter l’alimentation pendant le traitements de données

QO (D)

Vérification des limites du traitement de l’état de stock Lancer les traitements au dessus des limites, vérifier un message

d’erreur. But prouver l’efficacité de la sortie de boucles « sans fin »QO (L)

Vérification que le système ne se bloque pas en situation de stress Connecter le maximum de personnes autorisées en même temps Traiter la quantité maximale de données prévue

QO (S)



Qualification de Performance (QP, PQ)

Qualification de Performance (Eudralex volume 4 BPF, Annexe 15 Qualification et Validation)

+ Vérification documentée que les installations, systèmes et équipements, tels qu’ils ont été agencés, sont en mesure de fonctionner de manière efficace et reproductible, sur la base de la méthode opérationnelle approuvée et de la spécification du produit.

+ => Terminologie harmonisée GAMP :Vérification de l’aptitude du système pour son utilisation finale, / exigences spécifiques





Qualification de Performance

(QP)

Vérification documentée qu’un système est capable de réaliser les activités du procédé qu’il est exigé de réaliser, selon des spécifications écrites et pré-approuvées, à l’intérieur du périmètre du procédé du Business et de l’environnement de production

Test ou autre vérification du système pour démontrerl’adéquation avec l’utilisation prévue et pour permettre l’acceptation du système contre les exigences spécifiées



Objectifs de la QP

+ La QP est basée sur le SBU

+ Les éléments vérifiés sont des objectifs, identifiés en terme de satisfaction client

+ Démontrer en utilisation réelle, que le système n'affecte pas défavorablement la qualité des produits

+ Vérification des performances et de l'efficacité du système en conditions réelles

+ Vérification que le système fonctionne régulièrement dans le temps (stabilité et répétabilité)



Exercice: Le cycle en V selon les catégories GAMP

Consigne

Compléter les champ avec les terminologies correspondantes



Points clés et enjeux : Points clés abordés

En validation : apporter la preuve, documenter, trouver des erreurs

Notion de Système Informatique versus Système Informatisé

Phase de validation QC-QI-QO-QP

Analyse de risque



Module 5LE RÔLE DES FOURNISSEURS TEL QUE DÉFINI DANS LE GAMP 5



Objectifs du module

1 2

Comprendre le rôle des fournisseurs

Connaître les exigences qui sont de la responsabilité des

fournisseurs



+ Les Bonnes Pratiques Fournisseur



GAMP 5 – Bonnes Pratiques Fournisseur (1/4)

Etape Pratique Description

1 Etablir le SMQ Le SMQ du fournisseur doit :1. Fournir un jeu de procédures et de standards

documentés 2. Garantir que les activités sont réalisées par du

personnel compétent et formé3. Fournir des preuves de la conformité avec les

procédures et standards documentés4. Permettre et promouvoir l’amélioration continue

2 Etablir les exigences

Le fournisseur doit garantir que des exigences claires sont définies ou fournies par l’entreprise réglementée

3 Plan Qualité Le fournisseur doit définir comment son SMQ sera mise en place pour un produit, une application ou un service particulier




4 Evaluer les sous-traitants

Le fournisseur doit formellement évaluer ses sous-traitants dans son processus de sélection et de plan qualité

5 Produire les Spécifications

Le fournisseur doit spécifier le système pour atteindre les exigences définies

6 Réaliser les revues de conception

La conception du système doit être formellement revue contre les exigences, les standards et les risques identifiés pour garantir que le système satisfera son utilisation prévue et des contrôles adéquats sont établis pour gérer les risques





7 Production et configuration du logiciel

Le logiciel doit être développé selon des standards définis, incluant l’utilisation d’un processus de revue de code. La configuration doit suivre des règles ou des recommandations prédéfinies et doit être documentée

8 Réaliser les tests

Le fournisseur doit tester le système selon des plans de tests et des spécifications de tests approuvés

9 Libération commerciale du système

La libération du système aux clients doit être réalisée selon un processus formel. (Note : ce n’est pas la libération dans l’environnement BPx qui est une activité de l’entreprise réglementée)






10 Fournir la documentation utilisateur et la formation

Le fournisseur doit fournir une adéquate documentation de gestion et documentation opérationnelle du système, et une formation en accord avec les contrats convenus

11 Supporter et maintenir le système en fonctionnement

Le fournisseur doit supporter et maintenir le système en accord avec les contrats convenus. Le processus pour gérer et documenter les modifications du système doit être complètement décrit

12 Remplacement et mise à la retraite du système

Le fournisseur doit gérer le remplacement ou retrait des produits selon un processus et un plan documenté. Le fournisseur peut aussi supporter l’entreprise réglementée pour la mise à la retraite des systèmes automatisés et informatisés selon les procédures de l’entreprise réglementée



+ Les activités du Fournisseur



GAMP 5 – Activités des fournisseurs

+ Système de Management de la Qualité - SMQ (1/2) Il est recommandé que les fournisseurs suivent un SMQ, basé de

préférence sur des standards reconnus. Le SMQ doit définir :• Le processus pour délivrer et supporter le produit• Les responsabilités incluant la séparation ente la qualité et les autres services• Les délivrables• La documentation• Les revues planifiées du SMQ et les audits internes• L’approche pour l’amélioration continue du SMQ et son utilisation




+ Système de Management de la Qualité - SMQ (2/2) Le SMQ doit être basé sur un concept de cycle de vie pour le

développement Le SMQ doit inclure des procédures formelles qui couvrent les

activités qui supportent le développement du système, tel que :• Gestion, contrôle et libération du logiciel• Gestion des modifications pendant le développement• Gestion des configurations• Traçabilité• Formation du personnel du fournisseur• Gestion des documents• Sauvegarde et restauration




+ Plan Qualité fournisseur+ Evaluations des sous-traitants

La décision de réaliser un audit doit être basée sur une analyse de risques

+ Spécifications+ Revues de Conception

Les revues de conception :• évaluent les délivrables contre les standards et les exigences• Identifient les problèmes• Proposent les actions correctives nécessaires

Voir Annexe M2 pour plus de détails sur l’évaluation des fournisseurs

Voir Annexes D2 et D3 pour plus de détails sur les spécifications

Voir Annexe M5 pour plus de détails sur les revues de conception

Voir Annexe M6 pour plus de détails sur les plans qualité et projet




+ Production / Configuration du logiciel+ Test

Le fournisseur doit tester le produit selon des plans de tests et de spécifications de tests approuvées

Les spécifications de tests, une fois exécutées, doivent démontrer que toutes les exigences fonctionnelles et de conception ont été atteintes

Un produit simple peut n’avoir besoin que d’une seule spécification de tests alors qu’un produit complexe aura :• Des tests de module (unitaires)• Des tests d’intégration• Des test du système

Voir Annexe D4 pour plus de détails sur la gestion, le développement et la revue des logiciels

Voir Annexes D5 pour plus de détails sur les tests




+ Libération commerciale+ Documentation utilisateur et formation+ Maintenance et support du système pendant les

opérations+ Remplacement et mise à la retraite su système



+ Le cycle de vie



FDA – Approche Cycle de Vie

Determination of the correctness of the final program or softwareproduced from a development project with respect to the userneeds and requirements. Validation is usually accomplished byverifying each stage of the software development life cycle.+ Détermination de l'exactitude du programme final ou du logiciel produit à partir d'un projet

de développement par rapport aux besoins et exigences de l'utilisateur. La validation est généralement effectuée en vérifiant chaque étape du cycle de vie du développement logiciel.

Validation, software (FDA 01/2006)

GLOSSARY OF COMPUTERIZED SYSTEM

AND SOFTWARE DEVELOPMENT TERMINOLOGY



GAMP 5 – Approche Cycle de Vie

ExigencesSpécification

et ConceptionVérification

Acceptation et

Libération

Connaissance

Produit

Connaissance

Procédé

Exigences

Réglementaires

Exigences

Qualité

Opération et

Amélioration

Continue

Bonnes Pratiques d’Ingénierie

Gestion des Modifications

Revue de Conception

Gestion des Risques

Source : ASTM E2500

Le Processus de Spécification, Conception et Vérification

S1



Formaliser le cycle de vie - Planning et spécifications

Audit Fournisseur

Plan Projet et Qualité

Plan de validation Cahier des charges

Développement

et Conception

Spécificationsfonctionnelles

Définition destests d’acceptation



Formaliser le cycle de vie - Développement et Conception

SpécHard

DéfinitionTest Hard

Planning et

Spécifications

Mise en place configuration et paramétrage

Spéc Soft

DéfinitionTest Soft

Spéc Soft

des Modules

DéfinitionTest Soft

des Modules

Spécparamétrage

et configuration

Définition Testparamétrage

et configuration

Installation

et Tests

Installation

et Tests

Installation

et Tests

Développement Soft

Développement Hard



Formaliser le cycle de vie - Installation et Tests

Vérificationconfiguration et paramétrage

Développement

et Conception

Développement

et Conception

Développement

et Conception

Exécution des Tests Soft

Exécution des Tests Hard

Exécution des Tests Soft des Modules

Exécution des Tests

d’Acceptation



Change Control

Maintenance

Installation

et Tests

Exécution des Tests d’Acceptation

Suivi Opérationnel

Exécution des Tests

d’Acceptation

Formaliser le cycle de vie - Exécution des Tests d’Acceptation et Suivi Opérationnel



Cycle de vie et prototypage

+ Clarifier le cahier des charges+ Définir les risques

�Gestion rigoureuse des versions

�Définition claire des objectifs

!

!



+ Plan Qualité et Projet - QPP



Planifier le projet - Le Plan Qualité et Projet

+ 1 document unique (ou 2 documents séparés)

+ Document contractuel, approuvé par les deux parties mais de la responsabilité du fournisseur

+ Il n’y a pas toujours besoin d’un plan qualité et projet

M6



M6Introduction

Vue

d’ensemble

Organisation

du projet

4.1

Plan Projet4

Système

Qualité du

fournisseur

3.2

1

2

Plan Qualité3

Exigences

qualité des

utilisateurs

3.1

Liste des

Livrables

4.2

Activités4.3

Contenu du Plan Qualité et Projet du Fournisseur



Activités à considérer (1/6)

Activité Considérations typiques

Spécifications Décrit les documents d’entrée, par exemple, Spécification des Besoins Utilisateur, marketing, réglementation, amélioration, etc. Documents simples ou multiples

Méthodes ou modèles de développement à utiliser

Par exemple, Décomposition fonctionnelle « Top-down » traditionnelle, Cascade, Spirale, Développement Rapide d’Application (RAD), Prototypage Rapide, d’autres approches itératives

Gestion des risques

Approche de gestion des risques à adopter – considérer des aspects tels que les risques techniques et de ressources. Comment garantir que les exigences identifiées par le client comme présentant des risques élevés (Pour la sécurité du patient, la qualité du produit et l’intégrité des données), seront prises en compte spécifiquement

M6





Traçabilité et Revue de Conception

Quels outils seront utilisés pour fournir la traçabilité des exigences tout au long du cycle de vie et au travers des documents et comment seront-ils maintenus ? Sur quelles parties seront réalisées les revues de conception et comment sera contrôlé ce processus ?

Standards de programmation et revue de code

Quelles technologies seront utilisées – Quand le code / la configuration auront besoin d’être revue – Est-ce que ce sera réalisé par échantillonnage ou est ce que tout le code sera revue ?

M6





Tests Comment les phases de tests seront-elles définies et planifiées, comment les tests seront-ils reliés à la gestion des risques ? A partir de quelle phase les tests vont être formels, quels outils de test seront utilisés, et comment les méthodologies de test seront-elles déterminées (par exemple, tests de régression, limites, stress) ? Comment l’approbation et la revue des tests (spécifications) seront-elles conduites et enregistrées ?

Installation Comment l’installation sera-t-elle contrôlée, quels environnements seront utilisés (et contrôlés) tout au long du projet (bac à sable, développement, pré-production, etc.)

Migration des données

Quelle stratégie sera utilisée, comment ceci sera vérifié (échantillonnage ou test complet) ?

M6





Acceptation (à la fois fournisseur en usine et test d’acceptation sur le site utilisateur)

Comment les tests seront-ils planifiés, spécifiés et exécutés ? Quel niveau d’implication / surveillance / accompagnement du fournisseur sera nécessaire ? Comment les tests seront reliés à l’évaluation des risques ?

Audits projet Est-ce qu’il y aura des revues projet de réalisées, si oui à quelles phases et par qui ?

Reporting Comment l’avancement par rapport au projet complet et au plan qualité sera-t-il réalisé et communiqué ?Comment n’importe quelle non-conformité par rapport au plan sera-t-elle analysée et adressée ?

M6





Gestion de la documentation

Comment la documentation sera-t-elle contrôlée – A quelle phase les documents comment-ils à être contrôlés formellement ?Est ce que les documents seront stockés électroniquement ou sous format papier – est que des signatures / approbations électroniques seront utilisées, et si oui, comment ceci sera-t-il géré quand des approbations du client seront exigées ?

Gestion des modifications

Quand une gestion des modifications formelle s’applique-telle ? Prendre en considération la transition entre le système de gestion des modifications du fournisseur et celui du client final. Prendre en considération qu’une fois que le système entre dans une phase de test formels, il est attendu qu’une gestion des modifications formelle soit en place.

M6





Gestion de configuration

Comment la gestion de configuration sera-t-elle appliquée ? Outils et techniques utilisés ?

Gestion des incidents Comment les incidents seront-ils reportés, analysés et adressés – la méthode peut changer (et devenir plus formelle) lorsque le système entre dans les phases de test formel.

Formation projet Quelles exigences de formation y a-t-il pour le personnel de développement (à la fois pour le fournisseur et l’utilisateur) – y a-t-il des nouvelles technologies d’utilisées ?

Libération et transfert du produit à l’organisation support

Comment la libération du produit sera-t-elle géré et documentée ? Comment le transfert sera-t-il géré ?

M6



+ Tests



Quelques règles pour les Spécifications Fonctionnelles

+ Description des limites

+ Identification cohérente de chaque fonction permettant la construction de la matrice de traçabilité

+ Suppression des redondances et contradictions

+ Testabilité de chaque fonction

+ Compréhensibilité (jargons, ambiguïtés, …)

+ A la fois les utilisateurs et les programmeurs doivent comprendre les Spécifications Fonctionnelles

D2



D2

Introduction

Vue d’ensemble

Interfaces5

Données4

1

2

Fonctions3

Solutions

autres que

fonctionnelles

6

Glossaire8

Annexes9

Contenu des Spécifications Fonctionnelles

Environ-

nement

7



Qui est propriétaire du code ?

+ Code source Définir (plan projet) si les codes source sont transmis à l’utilisateur Si non transmis, ESCROW AGREEMENT



Quelques règles pour les Spécifications de conception HARD et SOFT

+ Privilégier la représentation graphique

+ Identification cohérente de chaque composant (hard ou soft) permettant la construction de la matrice de traçabilité

D3



D3

Introduction

et domaine

d’application

Présentation

globale du

logiciel

Détail des

modules

5

Détail des

données

4

1

2

Présentation

des modules

3

Glossaire7

Ne pas oublier le soft des

composants embarqués et

ses interconnexions

avec le soft principal

Contenu des Spécifications de Conception SOFT



D3

Introduction

et domaine

d’application

Présentation

globale de

l’architecture

Environnement5

Entrées et sorties4

1

2

Détail des

composants et des

connexions

3

Glossaire7

Alimentation

électrique

6

Contenu des Spécifications de Conception HARD



A propos des tests

+ Construire les tests d’acceptation en parallèle des documents de description du système

Document

de spécification

Document

de tests



FAT, SAT

+ FAT Factory Acceptance Tests Tests réalisés sur le site du fournisseur

+ SAT Site Acceptance Tests Tests réalisés en contexte opérationnel



D6

Glossaire6

Tests5

Introduction1

Périmètre2

Stratégie

appliquée,

responsabilités

3

Pré-requis des

tests

4

Référence du test

Référence à la

documentation projet

Titre du test

Pré-requis

Instruction de test

Critère d’acceptation

Résultats à enregistrer

Fin du test

Formalisme des tests



La revue de code

+ Activité fournisseur+ L’utilisateur s’assure que c’est fait

Pour les systèmes automatisés, la revue de code est fortement recommandée.

Moins le système est testable, plus la revue de code s’impose.

La revue de code peut économiser de longues heures de test :

• pas besoin de saisir des données

• environnement de test inutile

• pas de blocage possible

• logistique de test ultra-simplifiée

Toutefois, la revue de code ne remplace pas les tests dynamiques, elle les allège !



A vérifier

+ Vérifier que le code est construits en accord avec les Spécifications de Conception Sub Traitement_des_scripts()

' ' Traitement_des_scripts Macro ' Macro enregistrée le 11/04/01 par Bénédicte DE VERON DE LA COMB' ' Paramètres à définir : Taille_de_police = 10 Police = "Times New Roman" Indentation_gauche_de_tableau = "0.25" ' Sélectionne tout le document ' Selection.WholeStory ' Mettre tout en Police Times et taille 12 ' With Selection.Font ' .Name = Police ' .Size = Taille_de_police ' End With ' Mettre tout en lignes indépendantes With Selection.ParagraphFormat .SpaceBeforeAuto = False .SpaceAfterAuto = False .WidowControl = False

D4



A vérifier : En-tête des modules

+ Nom/Version du module+ Référence du projet + Référence à la documentation descriptive+ Nom des fichiers sources+ Description du module+ Historique

Référence de la demande de modification Nouvelle version Date de la modification Responsable de la modification Portions de code modifiées

D4




D4+ Fiabilité+ Robustesse+ Maintenabilité

Découpage en portions courtes et logiques 1 action par ligne Alignement et indentation Utilisation de parenthèses, même si non obligatoires Lisibilité à l’écran et sur les éditions

+ Bonne gestion des variables Nommage clair et compréhensible Déclaration et initialisation systématique Pas de réutilisation




D4+ Modalités de gestion des erreurs

sécurisé et prédictible

+ Modularité de la structure Séparation logique et physique Éviter les effets de bord

+ Présence et pertinence des commentaires Identification des portions ajoutées Identification des portions supprimées

+ Absence de code mort Ne sont pas des codes morts (et doivent être

commentés)• Les portions de code supprimés suite Change Control• Les codes « on »/ « off »



A propos des sous-traitants

+ Le fournisseur doit proposer une liste de sous-traitants+ Les utilisateurs sont susceptibles d’auditer les sous-traitants

+ Les livrables des sous-traitants sont sous la responsabilité du fournisseur

+ Les utilisateurs sont susceptibles de vérifier les commandes et les livrables



+ Système Qualité et Gestion de la Documentation



Ecrire ce

qu'il faut

faire

Faire ce

qui est

écrit

Prouver

que l'on a fait

ce qui était

écrit

Documentation

Le principe d’assurance qualité doit être appliqué



Procédure

Dévelop-pement

Procédure

Rédaction des

documentsdescriptifs

Procédure

Rédaction des

documentsde test

Procédure

Exécution des tests

D ’autres procédures

sont nécessaires, ou

peuvent être impactées

par la validation :

• Procédures Qualité :

Gestion de la

documentation,

gestion de projet,

formation des équipes

de développement …

Procédure

Change Control

Procédures pour le développement



Modèles Guides•Plan projet et Qualité•Plan projet et Qualité

•Dossier de conception•Dossier de conception

•Spécification de testFiches de tests

•Spécification de testFiches de tests

•Rapport de tests•Rapport de tests

Procédure

Dévelop-pement

Procédure

Rédaction des

documentsdescriptifs

Procédure

Rédaction des

documentsde test

Procédure

Exécution des tests

•Conduitede

tests

•Conduitede

tests

•Spécifications

fonctionnelles

•Spécifications

fonctionnelles

Procédure

Change Control

Guides et modèles pour le développement




1. Définition des modèles Mise en page, style, numérotation

2. Gestion des drafts et des versions

3. Revue des documents Workflow et responsabilités

4. Approbation des documents 2 signatures minimum, (technique +

AQ) Avec responsabilité et date

5. Diffusion des documents Liste de diffusion, Copies gérées ou non

6. Modification des documents Gestion sous change control

(avec des fiches de demande) Retrait des documents périmés

7. Enregistrement et Stockage Index Conservation des anciennes

versions Conditions de protection contre

la destruction (volontaire ou accidentelle)

M9



Gestion des modifications en cours de développement

+ Habituellement géré par le fournisseur

+ Décrit dans le Plan Qualité et Projet

+ Lié à la Gestion de Configuration

+ Planifier le passage du Change Control de Développement au Change Control Opérationnel

+ A Documenter et à Formaliser

M8



Analyse d’impactet autorisation

Tests

Revue de la documentation

Approbation de la modification

Formalisme similaire au formalisme de la gestion des Modifications Opérationnelles

Demande de Modification

Déroulement de la gestion des modifications en cours de développement

M8



Cas pratique : Auto - évaluation

Consigne

Répondre aux questions d’évaluation de la conformité au exigences du GAMP 5 pour le fournisseur



Les rôles et responsabilités des fournisseurs de systèmes automatisés et informatisés, impliqués dans une démarche de validation type « GAMP » sont renforcés et élargis

Le plan qualité projet est de la responsabilité du fournisseur

Les revues de conception sont de la responsabilité du fournisseur

La traçabilité « ingénierie » est de la responsabilité du fournisseur ainsi que les tests associés

Les points clés du module : Le rôle des fournisseurs



Module 6Rappel du rôle des utilisateurs tel que défini dans le GAMP 5



Objectifs du module

Comprendre le rôle des utilisateurs

1 2


utilisateurs



Besoins... Idées…

Objectifs...

Étude du besoinIngénierie d’expression des besoins

SBU et cycle de vie projet



Quelques règles pour le SBU

+ Identification unique de chaque exigence+ Suppression des redondances et contradictions+ Orienté exigences et non solutions+ Testabilité de chaque exigence+ Compréhensibilité (jargons, ambiguïtés, …)+ Gestion des priorités+ Références aux GxP

D1



GAMP 5 – Gestion des Risques Qualité

Vue d’ensemble et bénéfices

de la gestion des risques

Procédé Business,

Exigences Utilisateur

et Réglementaires

Approche projet –

Contrats, Méthodes,

Délais

Architecture et

composants du

système

Fonctions du système

Expérience de

l’utilisation

Amélioration de la

sécurité du patient, de la

qualité du produit et de

l’intégrité des données

Décisions prises en

connaissance de cause

Atteindre la conformité et

l’adéquation à l’utilisation

prévue

Validation efficace

Opération et maintenance

d’un bon rapport coût /

performance

Atteindre les bénéfices

Business

Identifier

les risques

Revoir les

risques

Analyser

et Evaluer

les risques

Maîtriser

les risques

(Entrée) (Sortie)



L’Analyse de Risques en pratique :

Quelque soit la méthodologie choisie, définir une échelle de cotation pour les différents critères d’analyse. Utilisation d’une matrice

d’aversion pour combiner les critères d’analyse




+ Gestion des risques qualité reposant sur des bases scientifiques (1/2) Déterminer les risques posés par un système automatisé et

informatisé nécessite une compréhension partagée :• De l’impact du système sur la sécurité du patient, la qualité du produit et

l’intégrité des données• Du procédé Business supporté• Des Attributs Qualité Critiques (CQA) pour les systèmes qui surveillent ou contrôlent

des Paramètres Produits Critiques (CPP)• Exigences Utilisateur• Exigences réglementaires• Approche projet (contrats, méthodes, délais)• Architecture et composants du système• Fonctions du système• Capacités du fournisseur M3




+ Gestion des risques qualité reposant sur des bases scientifiques (2/2) L’organisation doit aussi considérer les autres risques applicables,

tel que sécurité, santé et environnement. La gestion des risques peut être atteinte par :

• L’élimination par conception• La réduction à un niveau acceptable• La vérification pour démontrer que les risques sont gérer à un niveau acceptable

Il est désirable d’éliminer les risques, si possible, en modifiant le processus ou la conception du système.

Les revues de conception peuvent jouer un rôle clé dans l’élimination des risques par la conception.

M3



Risques maximums =Tests maximums

Risques nuls =Pas de Test

Risques moyens =Tests allégés

Risques faibles =Peu ou pas de Tests

Système TotalM3

Risques et tests …



+ Comment définir la maturité du développeur ? L’évaluation du fournisseur

Maturitédu fournisseur

Sévérité de la stratégie

M2

La maturité du fournisseur



Les types d’évaluations

+ Evaluation basée sur les informations disponibles

M2• Informations publiques

(certifications, …)• Réputation• Historique de la relation• Benchmarking

Audit postal, en utilisant un questionnaire

Audit sur site, par des spécialistes, auditeurs ouéquipe d’auditeurs



Objectifs de l ’audit

+ Vérifier que le fournisseur a placé son organisation sous assurance qualité

+ Vérifier que le produit acheté a été construit suivant cette organisation

+ Développer des relations avec le fournisseur, clarifier les attentes, identifier les incompréhensions et les risques potentiels

M2



Les sujets de l ’audit

+ Système qualité le processus permet d ’atteindre les résultats prévus

+ Système / couverture fonctionnelle Dans le cas d’un appel d’offre

+ Sécurité informatique les aspects de confidentialité, d ’intégrité et de disponibilité sont maîtrisés

M2



Thèmes Abordés (1)

Planification et gestion de projet

Plan Qualité pour le développement du produit

Gestion de projet et suivi

Procédures de planification

Cycle de vie pour le développement

Revue de contrat

Spécifications

Cahier des charges

Spécifications fonctionnelles

Conceptions logicielles

Conceptions du matériel

Utilisation de procédures ou standards de conception

Utilisation et maîtrise de méthodologies de conception

M2Organisation et Management de la Qualité au niveau du développementdu produit

Structure de la Direction

Méthodes pour assurer la Qualité du produit

Documentation Qualité

Certification

Evaluation interne du système qualité

Qualification du personnel

Utilisation de sous-traitants

Expérience du processus de validation

Connaissance des exigences réglementaires pharmaceutiques




M2Réalisation

Standards de programmation, d’identification des éléments, ....

Revue de codes avant le test formel

Indépendance des revues

Achèvement et livraison

Responsabilité documentée pour la livraison du produit

Fourniture de la documentation utilisateur

Archivage des livraisons

Disponibilité des codes sources

Formation des utilisateurs

Tests

Stratégie de test

Spécifications des tests logiciels, matériels, d’intégration, de recette, couverture

Procédure et documentation des tests

Responsabilités et expériences dans la réalisation et l’exécution des tests

Utilisation et maîtrise de logiciels de tests, de données de test ou de simulateurs




Procédures de support etactivités


Gestion de la configuration

Gestion des modifications pourle logiciel, le matériel et ladocumentation

Gestion de la Sécurité

Sauvegarde et restauration

Plan de secours

M2Support et maintenance

Explication des services desupport

Durée du support de garantie

Fourniture d’une hot line

Démarche d’enregistrementdes erreurs

Gestion du Change Controlpour les erreurs reportées

Démarche de gestion desréclamations client



Planifier le projet - Le Plan de Validation

Identifie et documente les activités de qualification

Inclus les critères d’acceptations généraux

Liste les composants à qualifier

Plan de validation

Organise la validation

Qui ?Quand ?

Quoi ?

Comment ?

M1



Préparation Préparation de la revue (quels sont les éléments critiques,

référentiel à appliquer, méthodes utilisées, responsabilités)

Conduite de la revue (comparaison des questions préparées et des

réponses obtenues, identification et justification des déviations)

Rédaction d’un rapport de revue, avec la liste de déviations

et le plan d’action

Suivi des actions correctrices

Conduite

Bilan

Suivi

Rapport

Questionnaire

Déviations

M5

La revue de conception (RC – QD)



La traçabilité

URS # Libellé Criticité GxP

Autre criticité

FS # DS # Test # Commentaire

M5



Tester le système

+ Comme un témoin de l’exécution des tests fournisseur+ Comme un vérificateur des résultats d’exécution des tests

fournisseur



Tests fournisseurs et Tests de validation

+ Le fournisseur doit tester le matériel et le logiciel / programme pendant son développement et avant la livraison !

+ Les tests fournisseur ne sont pas des tests de validation mais des tests de vérification !

La validation a pour but de démontrer que le système correspond aux besoins des

utilisateurs et que le système est fiable.



Les tests au cours d’un projet et la QO+ Souvent, il y a confusion entre les tests :

d’ingénierie en conception, développement et réalisation de matériel (tests des pièces fabriquées) et de logiciel / programme (tests unitaires, tests de module, tests d’intégration)

de réception (de recette, de commissioning) : FAT / SAT de QOCes tests ne visent pas à démontrer la même chose.

• Tests d’ingénierie : démontrent que le système est conforme à la conception et au développement• Tests de réception : démontrent la conformité aux spécifications• Tests de QO : démontrent le bon fonctionnement par rapport aux exigences utilisateurs et dans le contexte utilisateur et la maîtrise des risques liés à la qualité produit, la sécurité patient et l’intégrité des données. La QO prend aussi en compte la spécificité de l’entreprise : organisation, types de produits fabriqués, procédures ...



Recevabilité des tests+ Les tests à réaliser en validation sont dictés par

Périmètre réglementaire Périmètre fonctionnel et technique Stratégie de validation

• Analyse de Risques• Plan de Validation

+ La recevabilité des tests de validation est liée à Processus qualité

• Approbation des protocoles, des rapports• Gestion (suivi, correction) des écarts• Maîtrise des environnements

Modalités de gestion des données brutes• Signatures, Copies d’écran• Multi exécutions

Couverture du périmètre Respect de la stratégie Adaptation au contexte de l’entreprise (surtout en QI et QP)



Définition des Tests Fournisseurs

Rédaction : Utilisateurs ou Fournisseurs

Approbation : Utilisateurs et Fournisseurs

Réunion avec les fournisseurs pour connaître les tests qu’ils

prévoient de réaliser et comment ils les documentent

Adaptation des tests fournisseurs pour les rendre

acceptables et utilisables d’un point de vue réglementaire

Rédaction des protocoles fournisseurs pour intégrer les

tests fournisseurs dans le programme de validation

Utilisateurs etFournisseurs

Utilisateurs etFournisseurs



Définition des Tests Utilisateurs

Tests à réaliser suivant AR et AC

(Protocoles Utilisateurs)

Tests fournisseurs (Protocoles

Fournisseurs)

Analyse d’écarts

Tests Utilisateurs Complémentaires+ Vérification des tests fournisseurs

pour les valider



Passation - Transfert

O1

+ Des utilisateurs qui se posent des questions+ Support technique



Métrologie / Maintenance préventive des équipements

+ L’utilisateur définit les paramètres qui conditionnent la qualité du produit.

+ L’utilisateur et le fournisseur identifient les équipements ayant un impact sur ces paramètres.

+ Le fournisseur doit fournir les méthodes adéquates pour la métrologie et / ou la maintenance préventive pour ces équipements.



O2

Contacts et

Contrats

7

Glossaire6

La revue

des services

fournis

5

Périmètre1

Rôles et

responsabilités

2

Les services

fournis

3

La mesure

des services

fournis

4

Partie évolutive !

Support technique

Support Logiciel

Fourniture/ Installation

des patchs et upgrade

Gestion des

consommables

Sauvegarde

Tests, Calibration

Contenu du SLA (Supplier Level Agreement)



+ Gestion des incidents+ Actions correctives et actions préventives+ Activités de réparation

Des pannes, des incidents …

O4

O7

O5



Un système qui évolue souvent

• Gestion des modifications

• Gestion de configuration O6



Gestion des modifications

Modification

Déviation

Analyse d’impactet autorisation

Qualification

Mise à jour de la

documentation

Approbation et mise

en production

Gestion de configuration

O6



Gestion de la Configuration

M8

Commence

dès le début du

développement

S’achève

au retrait du système

Objectif :

Obtenir une description parfaite

du système

à tout momentHARD

SOFT SYSTEME

SOFT D’ENVIRONNEMENT

DOCUMENTATION



1 modification+ 1 modification+ 1 modification…= ???

+ Revues et évaluations périodiques

1 + 1 # 2

O8



+ Sauvegarde et Restauration+ Archivage et Récupération

Des données qui s’accumulent …

O9

O13



Des risques d’intrusion …

+ Gestion de la sécurité+ Gestion de la continuité du Business+ Administration du système

O11

O10

O12



Les rôles et responsabilités des utilisateurs des systèmes automatisés et informatisés, impliqués dans une démarche de validation type « GAMP » sont basés sur les risques liés à la sécurité du patient, à la qualité des produits et à l’intégrité des données

Le contenu des SBU, PDV, PV, SLA sont détaillés dans des annexes « management » et dans des annexes « opérationnelles » du GAMP

L’expression des besoins est renforcée notamment pour le recueil des besoins

Les points clés du module : Le rôle des utilisateurs tel que défini dans le

GAMP 5



Exercice : Les URS contiennent-ils toutes les informations nécessaires ?

Consigne

A partir des URS:- proposez des solutions- évaluez les risques- Proposez des tests



Module 7Le 21 CFR Part 11 et ses exigences



Objectifs du module

1 2

Connaître le contenu du 21 CFR Part 11


concepteurs / développeurs



Objectif du 21 CFR part 11

+ Déterminer les critères permettant à la FDA de considérer :

B. Les enregistrements électroniques comme des enregistrements papier,

C. Les signatures électroniques comme des signatures manuscrites traditionnelles.




21 CFR 11

Commentaires

1997Textesantérieurs

Warning Letters

1999

CompliancePolicy Guide

CPG

Publication de Guides

d’interprétation(draft)

2001 2002

Guides 2001 2002

Publication d’un nouveau guide

2003

Retrait du CPG et de tous les Guides(draft) existants

CPGGuides

2001 2002

Guide 2003

Le 21 CFR part 11 en résumé



Le 21 CFR Part 11 vient en complément des autres règlements de la FDA :• Pharmacie : cGxP

GMPGLPGCP

• Dispositifs médicaux• Chimie• Cosmétique• Agro-alimentaire• Biologie...

FDA 21 CFR Part 11 - Secteurs d’activité concernés




FDA 21 CFR part 11 - Enregistrements concernés

+ Tous les enregistrements requis par la réglementation Federal Food, Drug, and Cosmetic Act, Public Health Service Act.

21CFR11.1

+ Tous les enregistrements soumis à la FDA, même s’il ne sont pas spécifiquement identifiés dans la réglementation

21CFR11.1



FDA 21 CFR part 11 - Systèmes concernés

+ Tous les systèmes : utilisés pour...

• créer, acquérir• modifier,• conserver,• archiver,• récupérer,• transmettre,

...des enregistrements électroniques concernés Depuis le 20 août 1997.

21CFR11.1




FDA 21 CFR part 11 - Cas exclus du champ d’application

+ Le 21 CFR part 11 ne s’applique pas aux enregistrements papier même s’ils sont, ou ont été, transmis par des moyens électroniques, exemple par télécopie est équivalente à l’envoi par courrier

21CFR 11.1



+ Electronic Record Enregistrement électronique : est unecombinaison de textes, de graphiques, de données, desons, d’images ou de tout autre information représentéesous forme numérique c’est à dire créée, modifiée,conservée, archivée, récupérée ou distribuée par unsystème informatique

• 21CFR11.3

FDA 21 CFR part 11 - Enregistrements concernés



21CFR11.3 (4) Environnement dans lequel l’accès au système * est sous le

contrôle de personnes responsables du contenu des enregistrements électroniques présents sur le système

Closed system means an environment in which system access

is controlled by persons who are responsible for the content of

electronic records that are on the system

Système Fermé

Système Ouvert

• 21CFR11.3 (9)• Environnement dans lequel l’accès au système* n’est pas

contrôlé par les personnes responsables du contenu des enregistrements électroniques présents sur le système.

• Open system means an environment in which system access is

not controlled by persons who are responsible for the content of

electronic records that are on the system

EE: Définition systèmes fermés & systèmes ouverts

(*) Notion de système ouvert ou fermé dépend de critères organisationnels et techniques, l’accès s’entend aussi bien physique que logique.

GA

MP

5 ET

21 CF

R P

AR

T11: A

DA

PT

ÉE

PO

UR

LES

FO

UR

NIS

SE

UR

SP

I730

© C

VO

-EU

RO

PE

–T

ous droits réservés –tem

plate_VQ

_220716

Les exigences 21 CF

R part 11 pour les systèm

es fermés

Validation

Vérification des dispositifs (source de données)

Contrôles des opérations

Copies complètes et exactes

Récupération fidèle et permanente

Accès limité au système et aux données

Vérification d’autorité

Piste d’audit électronique

Formation et Qualification du personnel

Responsabilité / signature électronique

Contrôle de la documentation



Les contrôles pour les systèmes fermés 21 CFR 11 11.10

VALIDATION/VALIDATION

Les systèmes informatiques et leurs infrastructures concernées par le 21 CFR Part 11 doivent être validés pour assurer :

• l’efficacité,

• la fiabilité,

• la capacité fonctionnelle,

• la capacité de discerner les enregistrements invalides et altérés

l’achat d’un progiciel standard n’est pas une garantie de validation

21 CFR 11 - commentaire VII 65




Accurate and complete copy

Capacité à générer des copies complètes, précises, fidèles, lisibles électroniques ou papier

• Des copies fidèles et justes

• Des copies permettant de réaliser des activités de recherche, de tri et de suivi d’évolutions




Accurate and steady retrieval/Protection des enregistrements

Pour permettre leur récupération rapide et fiable et intègre pendant toute leur période de rétention




Limited acces to system and Data/Accès contrôlés aux systèmes et aux données

•L’accès au système et aux données doit être limité aux personnes autorisées•Utilisation d’identifiants personnels•Usage strictement personnel




Electronic Audit TRAIL/Piste d’audit

SécuriséeGénérée par le systèmeHorodatéeDes actions et saisies de l’opérateur qui crée, modifie ou supprime des enregistrements électroniquesSans masquer les informations modifiées

Conservée pendant au moins la période de rétention de l’enregistrement associé,Disponible pour revue et recopie par la FDAL’audit trail est considéré comme partie intégrante de l’enregistrement (Méta data)




Use of operational system check/Contrôles opérationnels

L'utilisation de verrous informatiques ou jalons qui ont pour vocation de contribuer à l'intégrité de l'enregistrement et au respect du processus métier ;

Amènent une assurance de confiance sur l'utilisation d'un système informatisé




Use of authority Checks/Contrôle d’habilitation Seules les personnes habilitées peuvent • Utiliser le système

• Signer électroniquement un enregistrement

• Accéder aux fonctionnalités du système

• Accéder aux terminaux d’entrées/sorties,

• Modifier un enregistrement




Use of device checks /Contrôle des équipements/dispositifs d’acquisition de données• identifier/contrôler la balance connectée à la centrale de pesée

• identifier/contrôler l’HPLC utilisée pour l’analyse en CQ

• identifier/contrôler le poste de travail client lourd utilisé pour réaliser une opération…




Training/qualification of Personnel/Formation et qualification du personnel•Les personnes qui développent, maintiennent ou utilisent les enregistrements ou signatures électroniques doivent pourvoir justifier d'une formation appropriée ou d’une expérience pour exécuter les tâches qui leur sont assignées




Accountability of signature/Engagement et responsabilisation dans l’usage des signatures

Non répudiation des actes




Control over system documentation/Maîtrise de la documentation

• diffusion

• accès

• utilisation

• maîtrise des modifications



Contrôle pour les systèmes ouverts

Cryptage des documents

Signature numérique

Moyens techniques

Clés physiques ou certificats numériques avec

Chiffrement asymétrique ou fonction de hachage

21 CFR 11.30Utiliser des mesures [additionnelles] pour

garantir l’authenticité, l’intégrité et la

confidentialité des enregistrements

La FDA est au courant que de nombreuses solutions techniques sont disponiblesLa FDA ne certifie ni n’approuve aucune solution logicielle



+ Pour les systèmes utilisant le réseau internet, sécuriser les échanges par des techniques de chiffrement/cryptage (ex : HTTPS), ou mettre en œuvre un réseau privé virtuel (ex : VPN)

+ Si les données GXP sont critiques et confidentielles, il faudra aussi considérer le besoin de les crypter dans les bases de données/les fichiers : Exemple selon le niveau de confidentialité Données soumises à la Règlementation Générale sur la Protection des

Données (RGDP Européen) Données soumises au code de la santé publique

Crypter ses données : les échanges et le stockage



+ Avril 2016, la FDA publie en draft le GuideData Integrity and Compliance WithCGMP Guidance for Industry, suite à uncertain nombre de Warning Lettersrelatives aux atteintes à l’intégrité desdonnées.

+ Le guide reprend les exigences descGMP 21 CFR 210/211/212 et la 21CFRPart 11, et rappelle les principesd’intégrité de données.

Intégrité des données et le 21CFR Part 11



Systèmes hybrides

+ Le 21CFR11 n’exige pas que les enregistrements électroniques soient signés avec dessignatures électroniques.

signer une copie papier ne dispense pas l’enregistrement électroniqued’être conforme aux exigences du 21 CFR part 11.

+ Les données électroniques doivent inclure les métadonnées associées

+ Les copies de données électroniques peuvent être utilisées comme copies conformes

+



Signature manuscrite

Nom manuscrit ou marque légale d’un individu, écrite parcet individu avec l’intention claire d’authentifier un écrit defaçon permanente.

21CFR11.3

La signature avec un instrument d’écriture ou de marquagecomme un stylo ou un stylet, bien que conventionnellementappliquée sur du papier, peut être aussi appliquée surd’autres dispositifs susceptibles de capturer le nom ou lamarque

21CFR11.3



Signature électronique

Agrégation électronique de symboles effectuée, adoptée oureconnue par un individu dans un système informatisé en tantqu’équivalent juridique de sa signature manuscrite

21CFR11 - A11.3

part 11, establishes criteria for when electronic signatures areconsidered the legally binding equivalent of handwrittensignatures. Firms using electronic signatures shoulddocument the controls used to ensure that they are able toidentify the specific person who signed the recordselectronically.



Catégorie Sous-catégorie Exigences

Manuscrite Traditionnelle Pas d’exigence supplémentaire

Table graphique Responsabilisation des personnes (11.10 j)

Manifestation signature (11.50)

Lien inviolable signature-enregistrement (11.70)

Électronique Biométrique Signature non utilisable par un tiers (11.100 a-11.200 a)

Vérification d’identité (11.100 b)

Attestation à la FDA (11.100 c)

Identifiant et mot de passe (sans dispositif)

2 composantes d’identification (11.200 a)

Déconnexion de la session (11.200 a)

Fraude nécessitant au moins 2 personnes (11.200 a)

Unicité de la combinaison identifiant/mot de passe (11.300 a)

Péremption et retrait des mots de passe (11.300 b)

Alertes de sécurité (11.300 d)

Identifiant et mot depasse (avec certificatnumérique +dispositif)

Gestion des pertes (11.300 c)

Tests et vérifications périodiques (11.300 e)

21 CFR part 11 – Signatures électroniques : Résumé des exigences



Lien signature - enregistrement

+ Les signatures électroniques et les signatures manuscrites exécutéessur des enregistrements électroniques doivent être liées à leursenregistrements respectifs de façon à éviter que les signatures nesoient coupées, collées ou transférées dans l’intention de falsifier unenregistrement électronique par des moyens courants

21CFR11 - 11.70



+ Chaque signature électronique doit être liée à un individu et ne doit pas être réattribuée ou utilisée par une autre personne

C’est une exigence de conception

+ L’identité de l’utilisateur doit être vérifiée avant de lui attribuer une signature+ Une attestation doit être remise par l’organisation à la FDA sous forme papier+ Une déclaration additionnelle peut être demandée à tout moment

21 CFR 11 - 11.100

N.B. Dans un système ouvert, utilisation de signature numérique (cryptée)

Exigences générales



+ Maintenir l’unicité de la combinaison identifiant-mot de passe (pendant toute la vie du système)

Le plus simple est d’assurer l’unicité de l’identifiant (prénom-nom-indice ou numéro matricule)

Pas d’identifiant générique (« stagiaire1 ») Pas d’identifiant collectif (« labo_MP ») Règles à définir pour les mots de passe (nombre de

caractères, types de caractères, mots interdits, réutilisation d’un ancien mot de passe, etc...)

Il existe des préconisations d’organisme national, exemple en France l’ANSSI, la CNIL.

D’après 21 CFR 11 – 11.300(a)

Exigences sur identifiants et mots de passe (1)



Exigences sur identifiants et mots de passe (2)

+ Les identifiants et mots de passe doivent être vérifiés, rappelés ou révisés périodiquement (e.g. péremption des mots de passe)

Toute déviation doit être justifiée

+ Détection des tentatives de signatures non autorisées et communication à la personne chargée de la sécurité et à la hiérarchie, le cas échéant

Surveiller les logs d’accès, les adresses IP, les modifications des fichiers de mots de passe, rechercher les schémas inhabituels

Passer en revue les « erreurs » de mots de passe

21 CFR 11 – 11.300(b,d)



Exigences sur les dispositifs (physiques de génération de certificats)+ Gestion des pertes

Désactivation immédiate des dispositifs compromis Dispositifs de remplacement temporaires ou définitifs Contrôles rigoureux

+ Test des dispositifs

Ex : Accès au système Ex : Informations nécessaires à l’identification Ex : Date d ’expiration

+ Vérification périodique des dispositifs

Vérifier l’usure du dispositif Vérifier que le dispositif n’a pas été modifié par l’utilisateur

D’après 21 CFR 11 – 11.300 (c,e)



Validation des SI/SA : exigences confirmées

Capacité du système de générer des copies lisibles et complètes,

Notion de système fermé dépendant de critères organisationnels et techniques

Système ouvert, les données et signatures doivent être cryptées

Tous les types de signature prévus par la 21CFR part11

Pas de technologie imposée, faire le choix adapté aux risques

Lien signature-enregistrement-signataire

Les points clés du module : Le 21 CFR Part 11 et ses exigences



Questions ?



Vérification des connaissances



Evaluation

de la

formation

Et nous, est ce que nous avons été bons ?



Et on vous libère enfin… FIN

Merci pour votre attention !