Infrastructure qualifiée
Les serveurs, le réseau et les services cloud sur lesquels tournent les applications validées sont documentés et dans un état défini. Nous fournissons la documentation technique sur laquelle s'appuie votre qualification.
IT pour la pharma et les dispositifs médicaux
IT conforme aux GMPpour la pharma et les dispositifs médicaux
Si vous fabriquez des médicaments ou faites de la recherche pharmaceutique, vous devez pouvoir prouver que vos données sont complètes, exactes et inchangées. Cela n'est possible qu'avec une IT qui contrôle les accès, rend les modifications traçables et restaure les données de manière fiable. Nous construisons ce socle en collaboration avec votre service qualité et votre prestataire de validation.
Ce que les GMP exigent de l'IT
Les systèmes informatisés utilisés dans la fabrication de médicaments relèvent de l'annexe 11 du guide des bonnes pratiques de fabrication (BPF, en anglais GMP) de l'UE. Elle exige que les systèmes soient validés et l'infrastructure informatique sous-jacente qualifiée, que les accès soient contrôlés et les modifications encadrées, et que les données soient sauvegardées et restaurables. C'est actuellement la version de 2011 qui fait foi. La Commission européenne a soumis une version révisée à consultation en 2025, sa date d'application reste ouverte.
Si vous produisez pour le marché américain, vous devez en outre respecter la réglementation FDA 21 CFR Part 11, qui encadre les enregistrements et signatures électroniques. Le guide BPF de l'UE ne s'applique pas directement aux fabricants de dispositifs médicaux. Pour eux, c'est le management de la qualité prévu par le règlement relatif aux dispositifs médicaux, généralement mis en œuvre via l'ISO 13485, qui exige lui aussi la validation des logiciels utilisés.
Intégrité des données selon ALCOA+
Les autorités de contrôle examinent les données au regard de ces critères. Chacun a une dimension technique :
- Attribuable : chaque saisie peut être rattachée à une personne, il n'y a donc pas de comptes partagés
- Lisible : les données restent lisibles pendant toute la durée de conservation, même après un changement de système
- Contemporain : les saisies sont faites au moment de l'activité, avec une heure système synchronisée
- Original : les données d'origine ou une copie vérifiée sont conservées
- Exact : les données sont sans erreur, les corrections sont visibles et justifiées
- Complet : rien n'est supprimé, pas même les mesures rejetées
- Cohérent : les horodatages et les déroulements concordent dans tous les systèmes
- Durable : les données sont stockées sur des supports adaptés et sécurisés
- Disponible : les données peuvent être consultées à tout moment pour les contrôles et les inspections
Les sujets techniques essentiels
Audit trail
Les modifications et suppressions pertinentes au regard des GMP sont enregistrées avec la personne, la date et le motif. Nous veillons à ce que l'audit trail soit actif, ne puisse pas être désactivé et soit revu régulièrement.
Droits d'accès
Les accès sont attribués par rôle, journalisés et recertifiés régulièrement. La gestion des identités et des accès est notre cœur de métier, et un auditeur veut savoir précisément qui pouvait accéder à quoi et quand.
Comptes d'administration séparés
Quiconque administre des systèmes utilise pour cela un compte dédié. Des droits d'administrateur permanents dans le travail quotidien ne sont pas défendables dans un environnement contrôlé.
Sauvegarde avec test de restauration
L'annexe 11 exige que la restaurabilité des sauvegardes soit vérifiée lors de la validation puis à intervalles réguliers. Nous restaurons des données à titre de test et documentons le résultat.
Modifications planifiées
Une mise à jour peut déclencher une nouvelle vérification. Les modifications des systèmes validés passent donc par un processus de gestion des changements avec approbation et ne sont pas installées automatiquement.
Référentiels et guides
| Guide BPF de l'UE, annexe 11 | Exigences obligatoires applicables aux systèmes informatisés dans la fabrication de médicaments dans l'UE. |
| 21 CFR Part 11 | Exigences de la FDA pour les enregistrements et signatures électroniques, pertinentes pour les produits destinés au marché américain. |
| Guide PIC/S sur l'intégrité des données | Recommandations des inspections sur l'intégrité des données et ALCOA+, qui servent de référence lors des inspections. |
| GAMP 5 | Guide de l'ISPE pour la validation des systèmes informatisés fondée sur les risques. Il n'est pas juridiquement contraignant, mais constitue la base de travail habituelle dans le secteur. |
| NIS2 | Les fabricants de médicaments et de dispositifs médicaux peuvent, au-delà d'une certaine taille, relever en plus de NIS2. Nous l'examinons avec vous au cas par cas. |
Collaboration avec votre service qualité
- 01
Recensement
Nous identifions les systèmes pertinents au regard des GMP, qui y accède et comment ils sont aujourd'hui sauvegardés et modifiés.
- 02
Alignement
Avec votre service qualité, nous définissons les écarts à combler en priorité et la forme que doivent prendre les preuves.
- 03
Mise en œuvre
Nous mettons en place les droits d'accès, l'audit trail, la sauvegarde et le processus de gestion des changements, et documentons chaque étape pour qu'elle puisse alimenter la qualification.
- 04
Exploitation
Si vous le souhaitez, nous continuons ensuite à gérer l'IT, avec des mises à jour planifiées, des tests de restauration réguliers et la recertification des accès.
Qui est responsable de quoi
La validation au sens réglementaire et la libération relèvent de votre service qualité ou de votre prestataire de validation. Nous fournissons le socle informatique, la documentation technique et les informations dont ce travail a besoin, et nous nous coordonnons directement avec les parties prenantes.
Exemple concret
Recherche pharmaceutique, international · 5 utilisateurs
Nous avons repris l'intégralité de l'IT d'un établissement de recherche actif à l'international et l'avons réorganisée en étroite concertation avec la direction.
Résultat : Un environnement informatique entièrement automatisé, conçu pour les exigences de sécurité et de NIS2 : comptes d'administration et comptes utilisateurs séparés, et routage VPN international sécurisé entre les sites.
Mise à jour :
FAQ
Questions fréquentes
Qu'est-ce qu'une IT conforme aux GMP ?
Une IT dans laquelle les données pertinentes au regard des GMP restent complètes, exactes et traçables, et dont les systèmes sont validés ou qualifiés. Cela comprend des droits d'accès contrôlés, un audit trail, des modifications encadrées et une sauvegarde vérifiée.
Que régit l'annexe 11 ?
L'annexe 11 du guide BPF de l'UE encadre l'utilisation des systèmes informatisés dans la fabrication de médicaments. Elle couvre notamment la gestion des risques, la validation, la sauvegarde des données, l'audit trail, la protection des accès et la gestion des changements.
La nouvelle version de l'annexe 11 s'applique-t-elle déjà ?
À notre connaissance, c'est toujours la version de 2011 qui s'applique. La version révisée était en consultation en 2025, et nous vérifions avant chaque projet si elle est devenue obligatoire entre-temps.
Que signifie ALCOA+ ?
ALCOA+ résume les critères de l'intégrité des données : attribuable, lisible, contemporain, original et exact, complétés par complet, cohérent, durable et disponible. Les inspecteurs examinent les données au regard de ces critères.
GAMP 5 est-il obligatoire ?
Non, GAMP 5 est un guide de l'ISPE et non une loi. De nombreuses entreprises et prestataires de validation l'appliquent malgré tout, car il décrit une démarche de validation reconnue et fondée sur les risques.
Avons-nous besoin de 21 CFR Part 11 ?
Si vous fabriquez des produits pour le marché américain ou soumettez des données à la FDA, en règle générale oui. C'est votre service qualité qui détermine si et dans quelle mesure c'est le cas, et nous mettons en œuvre les exigences techniques.
Prenez-vous en charge la validation ?
La validation réglementaire et la libération restent du ressort de votre service qualité ou de votre prestataire de validation. Nous fournissons le socle informatique qualifiable et la documentation technique nécessaire.
Est-ce utile pour une petite structure ?
Oui, car les exigences dépendent du produit et non du nombre de salariés. Notre plus petite référence dans la pharma compte cinq utilisateurs.
GMP
Parlons de vos systèmes
Expliquez-nous en 20 minutes quels systèmes sont pertinents au regard des GMP chez vous. Nous vous dirons par où nous commencerions et comment nous nous coordonnerions avec votre service qualité.