Les installations qui satisfont aux contrôles de confinement physique mais qui entrent en service avec des registres de contrôle non vérifiés ne sont pas entièrement mises en service — elles constituent un risque différé. Lorsqu’un incident de confinement se produit et que les registres d’alarme sont incomplets, lorsqu’un verrouillage de sécurité se déclenche sans qu’aucune action de l’opérateur ne soit traçable, ou lorsque des données du système de gestion du bâtiment (BMS) existent mais que personne n’a déterminé quels enregistrements étaient critiques, l’installation ne dispose d’aucune position défendable en cas d’audit. Les conséquences ne sont pas abstraites : il s’agit d’une reconstitution forcée après l’événement, d’une exposition aux risques réglementaires et, dans certaines juridictions, d’un arrêt des opérations le temps que les preuves soient rassemblées a posteriori. Pour éviter cela, il faut déterminer, avant la signature du procès-verbal de réception, quelles fonctions de contrôle affectent l’état du confinement et si chacune d’entre elles est associée à une réponse observée et à un enregistrement récupérable. Ce qui suit vous aidera à distinguer les preuves relatives aux contrôles critiques des données de surveillance générales, à tester les limites que la plupart des équipes de mise en service ont tendance à négliger, et à définir ce que signifie réellement « prêt pour l’audit » avant qu’un inspecteur ne le définisse à votre place.
Séquences de contrôle ayant une incidence sur l'état de confinement
Toutes les fonctions de contrôle automatisées d’une installation de niveau BSL-3 ou BSL-4 n’ont pas les mêmes conséquences en cas de défaillance silencieuse. Les séquences qui régissent directement l’état de confinement — flux d’air directionnel, maintien de la pression différentielle, logique de verrouillage des portes et déclenchement des équipements de décontamination — nécessitent des preuves d’acceptation vérifiées. D'autres, telles que les programmes d'éclairage ou la surveillance générale des services techniques, n'en nécessitent pas. Ne pas établir cette distinction avant le début de la mise en service est l'une des erreurs de planification les plus courantes dans le domaine des contrôles BSL, car cela conduit à une documentation de réception qui teste de nombreux éléments mais ne permet pas de démontrer que les séquences critiques ont été respectées dans des conditions de mise à l'épreuve.
La vérification de la direction du flux d’air mérite une attention particulière en tant qu’activité d’acceptation prévue pour la mise en service des laboratoires BSL-3 et BSL-4, et non comme une simple formalité issue de la qualification du système CVC. Il ne s’agit pas seulement de s’assurer que le flux d’air respecte une valeur de consigne de conception dans des conditions stables, mais aussi que la séquence de contrôle maintienne la direction du flux lors d’événements transitoires : ouvertures de portes, modulation du système d’évacuation, variations de pression dans les salles adjacentes. Une séquence de flux d’air non vérifiée peut sembler conforme lors d’une mesure ponctuelle, tout en ne parvenant pas à maintenir le sens du confinement lors des transitions opérationnelles les plus critiques. Le risque de libération d’aérosols dans les environnements BSL-3 et BSL-4 est spécifiquement associé à ces états transitoires, et non à la situation de base en régime permanent. Le Manuel de biosécurité des laboratoires de l’OMS (4e édition) fournit des bases de référence utiles pour l’intention de conception du confinement, et les activités de réception doivent être structurées de manière à démontrer que la séquence de contrôle installée préserve cette intention dans des transitions opérationnelles réalistes, et pas seulement dans des conditions nominales.
Pour les installations mettant en service des dispositifs de confinement interconnectés — isolateurs, systèmes de transfert, enceintes de sécurité biologique —, le périmètre des essais de séquences doit tenir compte du fonctionnement simultané. Chaque dispositif évacue l’air de manière indépendante, et la demande cumulée exercée sur le système d’évacuation de la salle lors d’un fonctionnement simultané est le scénario qui met le plus souvent en évidence un comportement de séquence insuffisamment vérifié. La réception doit confirmer que les séquences de contrôle régissant la priorité d’évacuation, le rétablissement du point de consigne de pression et le déclenchement des alarmes restent stables lorsque plusieurs dispositifs fonctionnent simultanément, et pas seulement lorsque chacun d’entre eux est testé individuellement.
Enregistrements des données relatives aux automates programmables (PLC), aux interfaces homme-machine (IHM) et aux systèmes de gestion technique des bâtiments (BMS)
Les enregistrements générés par les systèmes PLC, IHM et BMS lors de la mise en service remplissent deux fonctions distinctes qui sont souvent confondues : il s’agit à la fois de données opérationnelles et de preuves d’audit prospectives. Les considérer uniquement comme des données opérationnelles — utiles pour le dépannage mais non structurées en vue d’une récupération — crée une lacune qui apparaît lors de l’inspection, et non lors de la mise en service. L’annexe 11 du volume 4 d’EudraLex est très claire sur ce point : les systèmes informatisés doivent générer des enregistrements complets, précis et consultables, et ce principe s’applique aux enregistrements de contrôle associés aux fonctions critiques pour le confinement, que ces fonctions s’inscrivent dans un contexte de fabrication pharmaceutique ou dans celui d’une installation BSL où des exigences similaires régissent les enregistrements électroniques.
Le problème spécifique de mise en œuvre dans les installations BSL concerne la documentation relative au système de ventilation et de climatisation (CVC) en cas de charge simultanée des équipements. Si une installation utilise simultanément des enceintes de sécurité biologique, des isolateurs ou d’autres dispositifs de confinement générant des flux d’évacuation, les enregistrements du système de gestion technique du bâtiment (BMS) doivent permettre de démontrer que le système d’évacuation a été dimensionné et fonctionne correctement dans ce scénario de charge combinée. Un système d’évacuation correctement dimensionné pour la pièce seule, mais sous-dimensionné pour la pièce et l’ensemble des dispositifs de confinement actifs, constitue un véritable risque de confinement — et ce risque peut ne pas apparaître avant que les enregistrements du système de gestion technique du bâtiment (BMS) ne révèlent un écart de pression lors d’un fonctionnement simultané. Documenter la capacité d’évacuation uniquement par rapport à la charge nominale de la pièce, sans tenir compte de la contribution des dispositifs de confinement à l’évacuation, rend ce risque invisible dans le dossier de mise en service.
Les enregistrements des données de l’IHM font l’objet d’une obligation de documentation distincte. Les interactions de l’opérateur avec les états de contrôle — modifications des points de consigne, acquittements d’alarmes, sélections de mode — doivent être consignées avec une résolution suffisante pour permettre de reconstituer le déroulement de tout événement pertinent pour le confinement. Il ne s’agit pas ici de mettre les opérateurs sous surveillance, mais de garantir que l’enregistrement des actions de l’opérateur existe indépendamment de sa mémoire lorsque l’enquête sur la cause première l’exige. Les installations qui s’appuient sur des registres manuels pour compléter les enregistrements HMI peu détaillés constatent souvent, sous la pression d’une inspection, que les entrées de ces registres ne correspondent pas aux horodatages des événements figurant dans les enregistrements du système. En pratique, cela implique que la configuration de la journalisation HMI doit être vérifiée lors de la réception, et non considérée comme adéquate au seul motif que le système fonctionne.
Pour les projets portant sur des systèmes de confinement dotés de commandes intégrées, il convient d'évaluer la manière dont le système de gestion du bâtiment (BMS) s'interface avec certains équipements de confinement, tels que Systèmes de laboratoires modulaires BSL-3/BSL-4 — Une intervention précoce dans la phase de planification de la mise en service permet de déterminer quels enregistrements sont générés par l'installation et lesquels proviennent directement des équipements, ce qui détermine ensuite la manière dont les dossiers de preuves doivent être constitués.
Gestion des états d'alarme et récupération des événements
Les tests d'alarme dans les contrôles BSL s'arrêtent souvent à la simple confirmation que l'alarme se déclenche. Ce n'est pas là qu'il faut s'arrêter. La question de l’acceptation ne porte pas sur le fait de savoir si l’alarme se déclenche, mais si la réponse à l’alarme est observable et si l’enregistrement de l’événement est récupérable a posteriori. Une alarme qui se déclenche correctement mais qui n’enregistre aucune information utile, ou qui enregistre les données dans un référentiel inaccessible à l’équipe chargée de l’analyse des causes profondes, n’apporte aucune valeur en matière d’audit ni aucune valeur opérationnelle lorsqu’un véritable incident de confinement se produit.
Les alarmes de dépression constituent la catégorie présentant les conséquences les plus graves dans les installations BSL-3 et BSL-4. Lorsque la pression différentielle tombe en dessous du seuil de confinement, l’alarme doit se déclencher, et l’enregistrement de cette activation dans le système de gestion du bâtiment (BMS) — comprenant l’horodatage, le point de consigne au moment de l’alarme, la valeur mesurée et l’action ultérieure de l’opérateur — doit pouvoir être consulté en tant qu’événement distinct, et non être reconstituable à partir des données de tendance. Cette distinction est importante : les données de tendance montrent l’évolution de la valeur mesurée au fil du temps, tandis qu’un enregistrement d’événement montre que l’état d’alarme a été déclenché, acquitté et résolu selon une séquence traçable. Sans cette structure d’enregistrement des événements, l’analyse des causes profondes après un incident de confinement implique une reconstitution minutieuse plutôt qu’une simple récupération des données, ce qui constitue une position indéfendable lors d’une inspection où l’autorité de régulation cherche à déterminer si les systèmes de contrôle de l’installation fonctionnaient conformément à leur conception. L’annexe 11 d’EudraLex soutient le principe selon lequel les événements d’alarme dans les systèmes informatisés doivent être consignés de manière à permettre la reconstitution de l’état du système — un principe directement applicable en l’espèce.
L'essai pratique réalisé lors de la réception consiste à extraire les données d'alarme dans le cadre d'un scénario de simulation : provoquer un écart de pression, vérifier le déclenchement de l'alarme, puis extraire l'historique de l'événement du système de gestion technique du bâtiment (BMS), comme cela se ferait lors d'une enquête réelle. Si cette extraction nécessite l'intervention d'un opérateur spécialisé, un accès non standard au système ou une extraction manuelle des données, ces dépendances doivent être documentées en tant que risques opérationnels avant la signature du procès-verbal de réception. Les installations qui ne sont pas en mesure de démontrer l’existence d’un processus de récupération systématique des événements d’alarme critiques lors de la mise en service ne sont généralement pas en mesure d’effectuer cette récupération de manière fiable sous la pression qui suit un incident.
Une catégorie d’alarmes souvent négligée concerne l’état de fin de cycle des équipements de décontamination. Les systèmes de passage au VHP et les équipements de décontamination des salles génèrent des alarmes en cas d’échec de cycle, d’écart par rapport aux paramètres ou de vérification incomplète — et ces événements d’alarme doivent faire partie de la même structure d’enregistrement consultable que les alarmes de pression et de débit d’air. Se contenter de tester la chaîne d’alarmes du système CVC et de pression tout en reportant la validation des alarmes des équipements de décontamination crée une lacune dans le dossier de preuve de confinement qui est difficile à combler une fois que l’installation est opérationnelle.
Commande manuelle et limites des rôles d'accès
La possibilité d’une dérogation manuelle existe dans tous les systèmes de contrôle de biosécurité pour répondre à des impératifs opérationnels : issue de secours, accès pour la maintenance, rétablissement après une défaillance. Le risque accepté ne réside pas dans l’existence même de ces dérogations, mais dans le fait que leur comportement dans des conditions de confinement n’a jamais été testé. Une dérogation qui n’a jamais été mise à l’épreuve lors de la mise en service constitue une voie non testée au sein de l’architecture des rôles d’accès ; or, si cette voie contourne une séquence de verrouillage des portes ou désactive une alarme de pression lors de son activation, l’établissement ne dispose d’aucun élément permettant d’affirmer que l’intégrité du confinement a été maintenue lors de l’utilisation de cette dérogation.
Les essais de dérogation sur les portes à verrouillage interbloqué constituent l’aspect le plus délicat sur le plan organisationnel de ce périmètre, et ce caractère délicat explique en partie pourquoi ils sont souvent reportés. Vérifier si une dérogation manuelle sur une porte à verrouillage interbloqué compromet la différence de pression entre les zones nécessite de créer une situation qui sollicite temporairement l’enceinte de confinement, ce qui exige une planification, une coordination et, parfois, une installation qui n’est pas encore pleinement opérationnelle. La tentation est grande de se contenter de documenter la capacité de dérogation comme une fonctionnalité du système et de passer à autre chose. Le report de cet essai a pour conséquence que le comportement de la dérogation dans des conditions réelles de confinement reste inconnu ; ainsi, lorsqu’un opérateur utilise la dérogation dans un scénario réel — maintenance, défaillance d’équipement, situation d’urgence —, il n’existe aucune base vérifiée permettant d’affirmer que le confinement n’a pas été compromis. Le cadre de la norme ASTM E2500-25 pour la spécification et la vérification fondées sur les risques des systèmes critiques fournit une référence utile pour structurer les essais de contournement : la portée de l’essai doit être proportionnelle à l’impact du comportement de contournement sur le confinement, et non à la fréquence à laquelle le contournement est censé être utilisé.
Les limites des rôles d’accès exigent le même niveau de précision. La question n’est pas de savoir si les rôles sont définis dans le système, mais si un utilisateur occupant un rôle donné peut effectuer une action modifiant un paramètre critique pour la sécurité, et si cette action est consignée avec l’attribution du rôle. Les installations qui définissent les rôles de manière trop large, ou qui partagent des identifiants pour des raisons de commodité, génèrent des enregistrements qui ne permettent pas de remonter aux décisions individuelles des opérateurs. Il s’agit là d’un problème d’intégrité des enregistrements, indépendamment du caractère approprié ou non de l’action de contrôle elle-même. La procédure d’acceptation doit vérifier que les fonctions soumises à des restrictions de rôle ne sont pas accessibles sans les identifiants appropriés, et que toute tentative d’accès est consignée, que l’accès soit accordé ou refusé.
Joints pneumatiques pour portes APR Les portes intégrées aux zones de confinement BSL constituent un exemple concret de l'interaction entre les tests de contournement et de rôle d'accès d'une part, et le confinement physique d'autre part : l'état du joint pneumatique de la porte relève d'une fonction de contrôle du confinement, et tant le comportement du joint en cas de contournement manuel que le rôle d'accès requis pour déclencher ce contournement doivent être explicitement vérifiés et consignés lors de la réception.
Documents prêts pour un audit concernant les fonctions critiques
La conformité aux exigences d'audit est une propriété structurelle du système d'archivage, et non une propriété propre à chaque document. Une installation peut disposer d'excellents journaux d'événements individuels et pourtant échouer à un audit si ces journaux ne permettent pas de reconstituer un récit cohérent de l'état du système de confinement : ce qui a été contrôlé, ce qui a dévié, ce qu'a fait l'opérateur et quel en a été le résultat. L'architecture du système d'archivage doit être conçue pour répondre à ces questions avant même qu'un inspecteur ne les pose.
Les registres de vérification de la décontamination comptent parmi ceux qui présentent le plus souvent des lacunes lors des inspections. Le problème concret ne réside généralement pas dans l’absence de registres, mais dans le fait que les indicateurs biologiques ou les capteurs paramétriques ont été placés à l’endroit le plus accessible de la charge à décontaminer, plutôt qu’au centre de celle-ci ou à l’endroit le plus difficile d’accès, ce qui génère des registres qui ne démontrent pas réellement que le point critique a été traité de manière adéquate. Un placement inapproprié des indicateurs produit un registre qui semble complet mais qui ne permet pas de prouver que la décontamination a été effective dans l’ensemble de la charge. Cette distinction — entre un registre qui existe et un registre qui est défendable — constitue la signification concrète de la « préparation à l’audit » pour les fonctions critiques. Les recommandations de l’OMS relatives aux LBM (méthodes de laboratoire de référence) sur la vérification de la décontamination fournissent un soutien utile en matière de référence de processus pour les pratiques de placement des indicateurs et les attentes en matière de conservation des registres, même si elles n’ont pas la force d’un instrument réglementaire contraignant dans toutes les juridictions.
Le principe général est que les fonctions critiques nécessitent des documents conçus pour être audités, et non des documents qui existent par hasard et qui sont proposés à l'audit. En ce qui concerne plus particulièrement les contrôles, cela signifie que le dossier de réception doit préciser quelles fonctions ont été définies comme critiques, quelles preuves ont été recueillies lors des tests, quels étaient les critères de réception pour chacune d’entre elles et quels en ont été les résultats. Un relevé du système de gestion des processus (BMS) joint à un rapport de réception sans ce cadre de référence constitue une annexe de données, et non un document d’audit. Cette distinction est importante lors d’une inspection, où il incombe à l’établissement de démontrer l’existence d’un processus de réception structuré et mûrement réfléchi, et non pas simplement la présence de données.
Pour une planification plus globale de la mise en service qui intègre la réception des systèmes de commande dans la séquence globale de qualification, le Guide étape par étape pour la mise en service d'un laboratoire de niveau BSL-3 explique comment les éléments probants relatifs aux contrôles s'intègrent dans la structure plus large du dossier de mise en service.
Seuil d'acceptation pour la documentation relative aux contrôles
La documentation relative aux commandes est jugée conforme aux critères d'acceptation lorsque chaque alarme critique, chaque verrouillage et chaque séquence de commande s'accompagne de trois éléments : une réponse observée lors des essais de simulation de défaillance, un enregistrement accessible de cette réponse et une procédure écrite définissant quelle est la réponse correcte. Si l'un de ces trois éléments fait défaut pour une fonction critique, l'acceptation n'est pas accordée — elle est reportée, et l'élément manquant sera mis en évidence soit pendant l'exploitation, soit lors d'une inspection.
Le plan de biosécurité est le document de référence qui définit le seuil minimal de contenu requis pour une documentation relative aux contrôles prête à être validée. Pour chaque méthode de décontamination validée, le plan doit inclure des procédures écrites couvrant au minimum la concentration de l’agent ou le paramètre d’exposition, le temps de contact ou la durée du cycle, ainsi que la méthode de vérification utilisée pour confirmer l’efficacité. Il ne s’agit pas d’une formalité bureaucratique : c’est le document qui définit ce que signifie “ correct ” pour cette fonction de contrôle. Sans lui, il n’existe aucune norme permettant d’évaluer le dossier de mise en service, et le service d’assurance qualité se retrouve contraint de prendre des décisions rétroactives quant au caractère critique du système sous la pression de l’inspection, plutôt que par rapport à un critère d’acceptation préétabli. L’absence ou l’incomplétude des procédures du plan de biosécurité apparaît systématiquement comme un constat d’inspection, précisément parce qu’elles représentent le seuil de documentation en dessous duquel aucune quantité de données d’essai ne peut démontrer qu’un système est pleinement accepté.
Le point de friction qui apparaît à un stade avancé de la mise en service réside dans la distinction entre les enregistrements relatifs à la surveillance générale de l’installation et ceux relatifs aux contrôles critiques en matière de biosécurité. Les équipes qui ne parviennent pas à définir cette distinction dès le début génèrent d’importants volumes de données BMS et IHM sans déterminer quels enregistrements sont nécessaires pour démontrer l’intégrité du confinement. Il en résulte un dossier de réception contenant trop de données non différenciées et trop peu de preuves structurées concernant les fonctions spécifiques qui importent. Le service d’assurance qualité se retrouve alors confronté, après la mise en service, à la tâche de trier les enregistrements critiques de ceux qui ne le sont pas — souvent sous la pression d’un délai serré lié à une inspection imminente ou à la mise en service opérationnelle. La solution à ce problème est simple en principe, mais difficile à mettre en œuvre : définir le caractère critique avant le début des essais, et non après la collecte des données. Le seuil d’acceptation n’est pas franchi simplement parce que des données existent ; il l’est lorsque les fonctions critiques ont donné lieu à des réponses vérifiées et que ces réponses sont documentées conformément à une norme prédéfinie.
La question la plus pertinente à se poser lors de tout examen de réception des contrôles BSL n’est pas de savoir si le système génère des enregistrements, mais si ces enregistrements sont structurés de manière à étayer une affirmation précise concernant l’état du confinement à un moment donné. C’est cette distinction qui sépare une mise en service d’une réception prête pour l’audit — et qui détermine si un incident de confinement survenant deux ans après la mise en service pourra faire l’objet d’une enquête à partir de preuves ou être reconstitué de mémoire.
Avant de clôturer le dossier de réception, vérifiez que chaque alarme critique dispose d’un chemin d’accès aux événements fonctionnant sans accès spécialisé, que le comportement en mode manuel a été testé en conditions de confinement plutôt qu’à l’arrêt, et que le plan de biosécurité contient des procédures écrites pour chaque méthode de décontamination, avec suffisamment de détails paramétriques pour servir de norme de réception. Ces trois vérifications, prises dans leur ensemble, vous permettent de déterminer si la documentation relative aux contrôles de l’installation résistera à une inspection — ou si les lacunes seront d’abord identifiées par quelqu’un d’autre.
Questions fréquemment posées
Q : Que doit-on faire immédiatement après la signature du procès-verbal de réception des systèmes de contrôle, avant la mise en service de l'installation ?
R : La première priorité après la validation est de s'assurer que les chemins d'accès aux événements définis lors de la réception restent fonctionnels dans des conditions d'accès opérationnelles normales, et pas uniquement lors de l'accès par l'équipe de mise en service. Les procédures de récupération des alarmes, les identifiants d’accès basés sur les rôles et les workflows d’exportation des enregistrements du système de gestion technique du bâtiment (BMS) doivent être transférés à l’équipe d’exploitation accompagnés d’une procédure documentée, afin que la première fois où celle-ci récupère un enregistrement d’événement critique ne se fasse pas lors d’un incident réel de confinement ou d’une inspection. C’est lorsque ce transfert présente des lacunes que la rigueur de la réception est perdue entre la clôture de la mise en service et la préparation à l’exploitation.
Q : Le champ d'application de la validation des contrôles décrit ici s'applique-t-il à une installation de niveau BSL-2 renforcé, ou uniquement aux installations de niveau BSL-3 et BSL-4 ?
R : Le seuil de criticité évolue au niveau BSL-2 renforcé, mais le principe sous-jacent reste le même. Les niveaux BSL-3 et BSL-4 constituent les principaux contextes dans lesquels les alarmes de dépression, les séquences de verrouillage des portes et les registres de vérification de la décontamination ont une incidence directe sur le confinement — et où l’absence de registres consultables engendre un risque réglementaire. Au niveau BSL-2 renforcé, les séquences spécifiques régissant l’état de confinement sont généralement moins nombreuses, mais toute fonction de contrôle ayant une incidence directe sur l’intégrité du confinement biologique nécessite toujours une réponse observable et un enregistrement accessible. Ce cadre s’applique partout où une défaillance du confinement peut être retracée jusqu’à une fonction de contrôle.
Q : Y a-t-il un moment où l'ajout de contrôles supplémentaires finit par affaiblir la position d'audit au lieu de la renforcer ?
R : Oui — lorsque le volume d’enregistrements non différenciés rend impossible la localisation des preuves spécifiques démontrant l’intégrité du confinement. Un dossier d’acceptation qui consigne chaque point de données du BMS sans définir quels enregistrements sont critiques oblige l’inspecteur à tirer ses propres conclusions sur ce qui a été testé et pourquoi. C’est une situation d’audit moins favorable qu’un dossier plus concis présentant un argumentaire clairement structuré pour chaque fonction critique. Le facteur déterminant n’est pas la quantité d’enregistrements ; il s’agit de savoir si chaque fonction critique dispose d’un critère d’acceptation clairement défini, d’un résultat de test correspondant et d’un enregistrement d’événement accessible — et si les enregistrements non critiques sont clairement distingués de cet ensemble de preuves plutôt que mélangés à celui-ci.
Q : Comment aborder la mise en service des commandes lorsque l'automate programmable (PLC) et le système de gestion technique du bâtiment (BMS) sont fournis par des fournisseurs différents et présentent des architectures de données distinctes ?
R : Il s’agit d’une condition limite que le cadre de réception doit résoudre avant le début des tests, et non pendant ceux-ci. Lorsque les journaux d’événements des automates programmables (PLC) et les enregistrements du système de gestion technique du bâtiment (BMS) sont stockés dans des systèmes distincts, avec des références de horodatage, des workflows de récupération et des contrôles d’accès différents, l’activité de réception doit inclure un test de rapprochement intersystèmes : déclencher un événement pertinent pour le confinement, puis vérifier que les enregistrements correspondants dans les deux systèmes concordent en termes d’horodatage, d’attribution de l’événement et d’action de l’opérateur. Des architectures non réconciliées impliquent qu’une enquête sur la cause première nécessitant les deux sources de données se heurtera à une lacune impossible à combler a posteriori. La limite de criticité entre les enregistrements du PLC et ceux du BMS doit également être explicitement définie — quel système est responsable de quel événement critique pour le confinement — afin d’éviter les lacunes dues à la duplication, où les deux systèmes enregistrent des preuves partielles et aucun n’enregistre l’événement dans son intégralité.
Q : À quel moment la documentation relative aux contrôles passe-t-elle du statut de livrable de mise en service à celui de livrable de qualification nécessitant une validation officielle par le service d'assurance qualité ?
R : La distinction repose sur le fait que la fonction de contrôle influe directement sur la qualité du produit, la sécurité des patients ou, dans ce contexte, l’intégrité du confinement biologique. Les documents attestant des réponses aux alarmes critiques pour le confinement, du fonctionnement des verrouillages et de la vérification de la décontamination constituent des livrables de qualification : ils nécessitent un examen par l’assurance qualité, un critère d’acceptation défini et une validation formelle avant que l’installation ne soit considérée comme mise en service. Les enregistrements relatifs à la surveillance générale de l’installation — éclairage, données non critiques sur les services publics, journaux des systèmes administratifs — constituent des livrables de mise en service qui ne nécessitent pas le même processus formel de validation par l’assurance qualité. Le risque concret de ne pas tracer explicitement cette distinction est que le service d’assurance qualité se retrouve avec un ensemble hétérogène de documents à la fin de la mise en service et doive attribuer rétrospectivement un niveau de criticité sous la pression du temps, ce qui est la situation la plus susceptible d’entraîner l’intégration de dossiers de qualification incomplets dans le dossier d’exploitation.
