Comment corriger les écarts de FAT avant l'expédition et la réception sur site

Un test de réception en usine (FAT) qui se solde par un résultat positif ne signifie pas automatiquement que l’équipement est prêt à être expédié. Des écarts constatés au cours des essais peuvent rester en suspens au moment de la signature du rapport FAT, et la manière dont ces points en suspens sont classés, corrigés et documentés détermine si l’autorisation d’expédition relève d’une décision technique ou d’une simple formalité administrative. Tant pour les équipements de traitement aseptique que pour les systèmes de confinement, c’est dans cet écart entre “ FAT réussi ” et “ expédition approuvée ” que se définissent le calendrier en aval, la qualification et la responsabilité commerciale.

Pourquoi un fichier FAT validé peut-il encore contenir des exceptions empêchant l'expédition ?

Le résultat d’un FAT est généralement présenté comme une conclusion globale par rapport à un protocole de test, mais cette conclusion peut coexister avec des étapes de test individuelles qui n’ont pas satisfait à leur critère d’acceptation. Lorsqu’un protocole autorise une acceptation conditionnelle ou des exceptions documentées, la réussite globale reflète la majorité des fonctions vérifiées, et non l’absence d’écarts. Le lecteur qui évalue un rapport de FAT doit distinguer la conclusion récapitulative du registre des écarts qui la suit, car la conclusion seule n’indique pas si un point en suspens affecte la sécurité de l’expédition, les essais en aval ou la qualification du site.

Cette distinction est importante car un écart peut se situer à plusieurs niveaux de gravité. Certains écarts sont purement esthétiques ou liés à la documentation et n’affectent ni le fonctionnement de l’équipement ni la validité des autres essais déjà effectués. D’autres affectent une fonction dont dépendent des essais ultérieurs ; ainsi, un écart non résolu lors d’une étape d’essai précoce peut invalider les critères d’acceptation d’une étape ultérieure, même si cette dernière a été enregistrée comme réussie. Lorsqu’une séquence de contrôle, un verrouillage ou un paramètre surveillé alimente une vérification ultérieure, un écart non résolu sur cet élément entraîne un risque qui n’apparaît pas dans le résultat global.

C'est également à ce niveau que la différence entre les équipements de traitement aseptique et les systèmes de confinement influe sur la manière dont un écart est interprété. En effet, isolateurs ou, dans le cas des systèmes de barrières de type RABS régis par la protection des produits, un écart concernant la qualité de l’air, la cascade de pression ou l’intégrité du transfert remet directement en cause la base d’assurance de stérilité que le FAT était censé établir. Pour les équipements de confinement régis par la protection des opérateurs et de l’environnement, un écart équivalent au niveau d’une barrière, d’un dispositif de transfert ou d’une étape de décontamination concerne plutôt l’intégrité du confinement. Un constat relevant de la même catégorie, par exemple un différentiel de pression hors des critères, n’a pas la même signification dans un contexte aseptique que dans un contexte de confinement, car il est évalué par rapport à un objectif de protection différent.

Un acheteur qui examine un rapport FAT à ce stade devrait se demander quelle étape de test spécifique a donné lieu à chaque écart, si cette étape constitue une condition préalable à un autre test du même protocole, et si l'écart a été résolu, accepté ou laissé en suspens au moment de la publication du rapport. La réponse à ces questions permet de déterminer si le lecteur a affaire à une vérification achevée présentant des lacunes mineures dans la documentation, ou à une séquence de vérification comportant un maillon non résolu dans sa chaîne.

Dossiers relatifs aux écarts qui consignent les exigences, les critères, les résultats et les répercussions

Un rapport d'écart n'est utile au projet que s'il permet de retracer ce qui a effectivement été testé et ce qui était attendu. Si l’on se contente d’indiquer qu’un test a “ échoué ” sans consigner la fonction testée, l’URS applicable ou la référence de conception, le critère d’acceptation et le résultat réel, l’équipe de projet se trouve dans l’incapacité d’évaluer de manière indépendante la gravité de l’anomalie ultérieurement, que ce soit lors de la revue de livraison, des tests d’acceptation du fournisseur (SAT) ou d’un audit de qualification. Le rapport doit être autonome, indépendant de la mémoire des personnes présentes lors des tests.

La base des exigences est importante, car un écart n’est un écart que par rapport à un critère défini. Si l’URS ou la spécification de conception à l’origine de ce critère n’est pas identifiée dans le dossier, un réviseur ultérieur ne peut pas confirmer si le critère lui-même a été correctement établi, s’il a été révisé par la suite ou s’il s’applique toujours sans modification au moment de la décision d’expédition. Lorsqu’une spécification change entre les tests FAT et SAT, par exemple à la suite d’un ajustement de configuration demandé par le client, le dossier de non-conformité doit indiquer quelle version de l’exigence était en vigueur au moment où le test a été effectué.

L'impact est l'élément le plus souvent réduit à une simple mention générale, alors qu'il devrait au contraire décrire ce que cet écart implique pour le fonctionnement de l'équipement, pour les essais en aval ou pour l'objectif de protection que l'équipement est censé assurer. Un écart dont l'impact n'est pas précisé oblige chaque examinateur suivant, y compris les équipes chargées de l'assurance qualité, de la validation et celles sur site, à reformuler ce jugement de manière indépendante, ce qui augmente le risque que différents examinateurs parviennent à des conclusions divergentes concernant le même constat.

C'est dans le champ « Mesures correctives » que la responsabilité est consignée dans le dossier. La désignation d'un responsable et la fixation d'une date limite transforment un problème documenté en un engagement faisant l'objet d'un suivi. Sans ces éléments, l'écart reste une simple description d'une lacune, sans mécanisme imposant sa résolution avant l'expédition ou avant le début de l'activité correspondante sur site.

EudraLex Volume 4 Annexe 15 soutient cette structure au niveau de la qualification : elle exige des critères d’acceptation prédéfinis, la documentation des écarts, l’analyse des défaillances et la production de rapports au regard de ces critères, l’utilisation des preuves allant des tests FAT aux tests SAT devant être justifiée et non présumée. Les champs spécifiques qu’un projet doit inclure dans son propre registre des écarts, ainsi que les critères de clôture exacts qui s’appliquent, restent des éléments définis par les protocoles et le système qualité propres au projet.

La classification des risques distingue les cargaisons en attente d’expédition des articles dont la livraison sur site a été approuvée

Toutes les non-conformités en suspens ne doivent pas nécessairement empêcher les équipements de quitter l'usine, et toutes ne peuvent pas être reportées en toute sécurité. C'est lors de l'étape de classification que l'équipe de projet détermine à quelle catégorie appartient un élément donné, et cette décision doit être prise de manière réfléchie et non par défaut, par omission.

Un écart qui empêche un expédition en toute sécurité ou qui invalide un essai en aval ne peut pas être résolu en prévoyant de s’en occuper ultérieurement sur site. Si une fonction assurant la protection du personnel pendant le transport ou l’installation n’a pas été vérifiée, ou si un résultat d’essai dont dépend un essai ultérieur reste non confirmé, l’expédition de l’équipement ne supprime pas le risque non résolu ; elle ne fait que repousser le moment où la lacune devient visible, généralement vers un environnement de site où les conditions de réexamen sont moins contrôlées que celles offertes en usine.

Un point de fin de chantier approuvé se distingue par sa nature même, et pas seulement par son importance relative. Il s’agit d’un point pouvant être clôturé sur site précisément parce que sa résolution ne dépend pas des conditions en usine et ne compromet aucun essai déjà réalisé. Les problèmes de finition esthétique, les mises à jour non critiques de la documentation ou les composants dont le fonctionnement peut être vérifié tout aussi bien sur site entrent dans cette catégorie, à condition que le projet ait explicitement approuvé leur report et dispose d’un plan pour les clôturer pendant les travaux sur site.

Lorsqu'un acheteur examine une liste des écarts constatés lors des essais d'acceptation sur site (FAT) avant d'accepter l'expédition, la question pertinente n'est pas de savoir s'il existe des écarts – puisqu'un certain nombre de points en suspens est courant dans un système configuré pour un projet –, mais si chacun d'entre eux a été classé dans l'une de ces catégories de manière documentée, et si ce classement reflète la dépendance réelle en aval plutôt qu'une simple question de commodité. Un écart reporté sur le site parce qu’il est peu pratique de le résoudre en usine n’est pas comparable à un écart reporté parce que ce report ne comporte aucun risque technique.

La frontière exacte entre ces catégories, ainsi que les critères permettant de classer un article spécifique dans l’une ou l’autre, sont définis par l’équipe de projet selon ses propres critères ; les justificatifs fournis par l’usine d’un fournisseur peuvent néanmoins nécessiter une visite sur site ou des essais complémentaires avant qu’un article classé comme « punch item » puisse être considéré comme véritablement clôturé.

Éléments de preuve rectificatifs issus de l'examen des documents, d'un nouveau test ou de l'audition de témoins

Une fois qu'un écart a été corrigé ou qu'une mesure corrective a été proposée, le projet doit encore apporter la preuve que la correction répond effectivement au constat initial. Il existe généralement trois moyens d'apporter cette preuve, et le choix entre ceux-ci détermine ce que le dossier final pourra étayer.

L'examen documentaire est la voie la plus simple : elle repose sur une documentation mise à jour, un calcul corrigé, un plan révisé ou une justification écrite indiquant que le constat initial était dû à une erreur de documentation plutôt qu'à une défaillance de l'équipement ou à un écart de performance. Cette voie est appropriée lorsque la fonction testée sous-jacente n’est pas remise en cause, mais uniquement son enregistrement. Elle ne l’est pas lorsque l’écart initial concernait un résultat mesuré réel ou une fonction observée qui ne répondait pas à son critère, car une mise à jour du document ne peut se substituer à la démonstration que l’équipement fonctionne désormais correctement.

Un nouveau test ciblé comble cette lacune en réexécutant l'étape de test spécifique, ou un sous-ensemble défini de celle-ci, une fois que la mesure corrective a été mise en œuvre. Cette approche est proportionnée lorsque la correction est ciblée et localisée, et lorsque le nouveau test de l'étape unique concernée ne nécessite pas de revérifier les étapes qui n'étaient pas affectées par le constat initial. Les preuves issues de ce nouveau test, jointes au dossier de non-conformité, constituent alors la base de clôture pour cet élément spécifique.

Les essais en présence de témoins renforcent encore davantage la valeur probante de la preuve, dans la mesure où le nouveau test est observé et validé par une partie habilitée à l’accepter, généralement le client, un responsable qualité ou une autre partie prenante désignée, selon les spécifications du projet. Cette démarche s’avère pertinente lorsque l’écart initial concernait une fonction suffisamment importante au regard de l’objectif de protection (asepsie ou confinement) pour que le projet ne souhaite pas se fier uniquement au compte-rendu de nouveau test fourni par le fournisseur.

Le choix entre ces trois options relève d’une décision propre au projet, qui dépend de la nature du constat initial, de l’importance de la fonction testée pour la garantie de stérilité ou l’intégrité du confinement, ainsi que des exigences du système qualité du projet pour cette catégorie de constat. L’acheteur doit vérifier quelle procédure a été suivie pour chaque écart résolu et si cette procédure correspond bien à l’importance du constat initial, plutôt que de supposer que toutes les résolutions ont le même poids.

Transfert des postes ouverts vers le SAT et la qualification du site

Les points reportés lors des essais FAT ne disparaissent pas du projet ; ils sont transférés vers les essais SAT et, le cas échéant, vers les phases de qualification suivantes. Ce transfert nécessite une gestion rigoureuse, car un point en suspens, bien documenté lors des essais FAT mais mal pris en compte lors du suivi, devient invisible précisément au moment où il doit être revérifié.

Le mécanisme de ce transfert est la liste des points en suspens elle-même, jointe aux registres des écarts du FAT, qui indique quels points restent en suspens, quel plan a été approuvé pour les résoudre et quelle est l’obligation de les retester sur site. Lorsqu’un écart a été classé comme point de clôture approuvé sur site précisément parce que sa résolution nécessitait des conditions spécifiques au site, le SAT est le moment où cette résolution est censée avoir lieu. Si la SAT se déroule sans référence explicite à ce point en suspens, la clôture risque d’être complètement omise, ou effectuée de manière informelle sans générer de preuves sur lesquelles un examen de qualification ultérieur pourra s’appuyer.

Cela a une incidence directe sur Planification des procédures IQ/OQ/PQ. Les protocoles de qualification reposent généralement sur l'hypothèse que l'équipement soumis aux essais présente une configuration connue et documentée, ainsi qu'un ensemble connu de résultats d'essais antérieurs. Un point en suspens reporté sans statut clair peut créer une ambiguïté quant à savoir si un résultat de test de qualification reflète la configuration finale de l’équipement ou un état intermédiaire en attente d’une correction issue du FAT. Lorsque le point en suspens concerne une fonction qui ferait autrement l’objet d’une nouvelle vérification lors de l’IQ ou de l’OQ, coordonner le calendrier de clôture avec celui de la qualification permet d’éviter la duplication des efforts ou, à l’inverse, de passer à côté d’une lacune que les tests de qualification n’étaient pas conçus pour détecter.

La planification SAT de l'équipe de projet devrait donc prendre en compte le Liste des éléments ouverts FAT en tant que donnée d'entrée, et non comme un enregistrement distinct devant faire l'objet d'un rapprochement informel. Le fait de vérifier, avant le début de l'exécution du SAT, quels écarts par rapport au FAT restent en suspens et ce que chacun d'entre eux nécessite sur site permet de s'assurer que la séquence de qualification repose sur un état documenté et à jour de l'équipement, plutôt que sur une hypothèse.

Libération des marchandises avec indication des propriétaires, des dates, du risque résiduel et des conséquences commerciales

La décision de valider l’expédition des équipements relève du projet et n’est pas une simple conséquence de la signature du rapport FAT. Considérer l’expédition des équipements comme une clôture technique automatique supprime la visibilité que le travail sur les points en suspens et la classification des risques était censé créer. Un procès-verbal de validation d’expédition doit indiquer clairement quels points restent en suspens, quel risque est accepté en expédiant ces éléments sans qu’ils aient été résolus, quelles obligations en découlent sur le site, à qui incombe chacune de ces obligations, et quelles sont les conséquences commerciales si leur résolution affecte les coûts ou le calendrier.

C'est en attribuant un responsable et une date à chaque point en suspens que l'on transforme une liste d'exceptions en un élément que le projet peut réellement suivre une fois que l'équipement a quitté l'usine. Un point en suspens sans responsable a tendance à rester en suspens au-delà de sa période de validité, car personne n'est chargé de le résoudre avant qu'il n'affecte une étape ultérieure, telle que le SAT ou la qualification.

L'acceptation d'un risque résiduel mérite d'être explicitement mentionnée, car livrer un projet comportant des points en suspens revient, par définition, à accepter un certain niveau de risque : celui qu'un point de la liste des travaux restants ne soit pas clôturé de manière satisfaisante, ou qu'un nouveau test sur site révèle un résultat différent de celui escompté lors des essais d'acceptation sur site (FAT). Le fait de consigner cette acceptation, plutôt que de la laisser implicite, fournit au projet une base documentée pour cette décision, qui pourra être réexaminée ultérieurement si un point n'est pas clôturé comme prévu.

La responsabilité commerciale est l’élément qui est le plus souvent omis dans un dossier de validation technique, mais elle a une incidence directe sur le déroulement du projet en cas d’échec d’un nouveau test sur site ou si la résolution d’un point en suspens prend plus de temps que prévu. La question de savoir si les conséquences de cette situation sur les coûts et le calendrier incombent au fournisseur ou à l’acheteur doit être précisée dans la documentation de validation de l’expédition, et non pas être déduite a posteriori.

Lorsqu’un projet coordonne ce processus de validation avec un fournisseur tel que QUALIA, les rapports d’écarts, les classifications des risques et la liste des points en suspens déjà établis par le projet servent de base à cet examen de l’expédition, car l’examen de la configuration et du devis effectué par le fournisseur lui-même repose sur cet état documenté plutôt que sur un résumé informel des points restant en suspens.

Questions fréquemment posées

Q : Le matériel peut-il être expédié tant qu'un écart au test d'acceptation en usine (FAT) reste en suspens ?
A : Uniquement lorsque l'équipe de projet le classe comme un point de vérification final approuvé, et non comme un problème empêchant une expédition en toute sécurité ou invalidant les essais en aval. Avant la mise en service, consignez le risque résiduel accepté, le plan de clôture du site, les nouveaux essais requis, le nom du responsable et la date, ainsi que la responsabilité de tout impact sur les coûts ou le calendrier.

Q : Le statut « fermé » suffit-il pour accepter un écart FAT ?
A : Non. Vérifiez que le document établit un lien entre la fonction testée et l'URS ou la référence de conception, le critère attendu, le résultat réel, l'impact, l'action corrective et la preuve de clôture. Le statut doit s'appuyer sur cette preuve plutôt que de la remplacer.

Q : Comment choisir la voie à suivre pour la preuve de clôture ?
A : Adaptez l'examen documentaire, le nouveau test ciblé ou les essais en présence de témoins en fonction de ce que la correction doit démontrer par rapport au critère d'acceptation initial. Consignez ce choix dans le protocole du projet et joignez les preuves qui en résultent au rapport de non-conformité, en précisant les essais supplémentaires sur site si nécessaire.

Q : Quels éléments doivent être transférés de FAT vers SAT avec un poste non soldé ?
A : Consignez les écarts constatés, le plan d'implantation approuvé, l’obligation spécifique de nouveaux essais sur site, le nom du propriétaire, la date d’échéance et le risque résiduel accepté. Veillez également à ce que la responsabilité commerciale soit clairement indiquée, afin que l’expédition ne laisse aucun doute quant à la prise en charge des coûts ou des conséquences sur le calendrier.

Q : Qui doit déterminer si un écart doit donner lieu à un blocage de l'expédition ou à une intervention sur site ?
A : L'équipe chargée du projet doit définir et consigner par écrit les critères précis de classification, de clôture et d'expédition. Les justificatifs fournis par le fournisseur peuvent éclairer cette décision, mais une inspection sur site ou des essais complémentaires peuvent néanmoins s'avérer nécessaires ; l'expédition du matériel ne suffit pas à elle seule à valider la clôture technique.