Comment transformer les exigences des projets BSL et OEB en critères d'acceptation vérifiables par les fournisseurs

Les projets liés à la biosécurité et aux OEB parviennent régulièrement au FAT avec des exigences qui relèvent encore davantage de l’intention que de la spécification — des expressions telles que “ dépression adéquate ” ou “ confinement suffisant pour les matériaux OEB4 ”, qu’aucun instrument ne peut confirmer et qu’aucun protocole ne peut enfreindre. Lorsque cela se produit, les équipes de qualification sont confrontées à un dilemme binaire : accepter sur la base d’un jugement subjectif et assumer le risque d’audit, ou revoir les fondements de la conception sous la pression des délais, au pire moment possible. Le coût ne se limite pas au simple retard ; il réside dans le risque en aval de disposer de dossiers de mise en service qui ne pourront pas être défendus si un évaluateur réglementaire demande ce que signifiait “ suffisant ” et comment cela a été mesuré. La décision qui permet de résoudre ce problème doit être prise plus tôt et de manière plus précise : il s’agit de convertir chaque exigence de risque en une fonction dotée d’une méthode définie, d’un seuil numérique, d’un type de dossier et d’un résultat binaire avant la signature de l’URS.

Exigences en matière de risques traduites en fonctions mesurables

Une exigence de sécurité ne devient vérifiable que lorsqu’elle décrit ce que le système doit faire, et non ce qu’il doit empêcher. “ Empêcher l’exposition de l’opérateur aux aérosols de niveau BSL-3 ” est un objectif de sécurité ; “ maintenir un différentiel de pression négative ≥ 12,5 Pa au niveau de la barrière de confinement, vérifié en continu par des transmetteurs de pression différentielle étalonnés, avec une alarme en cas de rupture ” est une fonction mesurable. Cette distinction est importante car les équipes chargées des essais FAT et SAT travaillent par rapport au cahier des charges, et non par rapport à l’objectif sous-jacent.

L’outil pratique permettant d’effectuer cette conversion est une analyse structurée des risques appliquée dès la phase de conception — non pas comme un simple exercice de conformité, mais comme une étape de traduction. Les évaluations des schémas d’écoulement d’air identifient les endroits où des turbulences ou des courants d’air transversaux pourraient compromettre les exigences en matière d’écoulement directionnel. La cartographie des adjacences met en évidence les zones ou couloirs CVC communs qui créent des voies de contamination entre des matériaux incompatibles. L’analyse des voies de contamination permet de déterminer ce qui se passerait si une porte restait ouverte, si un filtre perdait son intégrité ou si un cycle de décontamination était interrompu. Chaque risque identifié devient une fonction candidate, et chaque fonction doit satisfaire à un seuil avant de pouvoir être intégrée dans l’URS. Le cadre de gestion des risques de la norme ICH Q9(R1) — identification, analyse, évaluation, contrôle — fournit la structure de processus nécessaire à cette transposition, sans prescrire de résultats numériques spécifiques, qui restent propres à chaque projet.

Pour les projets OEB4/OEB5, l’exposition des opérateurs est la fonction centrale. Une fourchette cible comprise entre 0,01 et 1 μg/m³ est utilisée dans l’industrie comme valeur de référence pour ce niveau de confinement — il s’agit d’un critère de spécification permettant de déterminer la conformité ou la non-conformité lors des essais FAT et SAT, et non d’un seuil réglementaire imposé de manière universelle. Ne pas définir ce seuil oblige les équipes chargées des essais FAT à évaluer les performances de confinement sans point de référence, ce qui signifie que n’importe quel résultat devient défendable et, par conséquent, dénué de sens. La même logique s’applique aux différences de pression BSL-3, aux temps de cycle des sas et à l’intégrité des filtres HEPA : chacun de ces éléments doit figurer dans le protocole d’essai sous la forme d’un seuil prédéfini, et non d’une valeur à négocier après la mesure.

Critères d'acceptation relatifs au débit d'air, à la pression et au contrôle de la barrière

Le choix de la technologie et le niveau d'exigence des spécifications sont deux aspects indissociables. Une cabine à flux descendant et un isolateur sont tous deux décrits comme des “ systèmes de confinement ” dans les premiers documents du projet, mais leurs performances ne sont pas équivalentes ; rédiger un critère d'acceptation unique applicable aux deux revient à créer un test qui impose soit une norme impossible à respecter pour la cabine, soit une norme insuffisante pour l'isolateur.

Les données du secteur relatives aux technologies de confinement courantes montrent une répartition notable entre les conditions de confinement de base et les conditions de confinement renforcé.

Les chiffres indiqués dans le tableau correspondent à des valeurs de référence issues des pratiques du secteur, et non à des limites imposées par la réglementation. Ils fournissent une base pour définir des critères d’acceptation adaptés à la technologie : si un projet spécifie un isolateur OEB5, le critère d’acceptation doit refléter une performance inférieure au μg/m³, vérifiée par des essais de substitution basés sur la méthode SMEPAC, et non un seuil ≤ 100 μg/m³ emprunté à la spécification d’une cabine à flux descendant. L’utilisation d’une référence inappropriée dans une spécification inadaptée conduit à un critère qui valide des équipements qui sont en réalité inadéquats pour le niveau de risque visé.

Pour les conceptions de suites isolées — où la capacité de confinement repose sur une combinaison de systèmes CVC dédiés, de cascades de pression directionnelles, de sas et d’équipements en circuit fermé —, les critères d’acceptation prennent la forme de caractéristiques de conception vérifiées plutôt que d’une simple limite numérique. La direction et le différentiel de la cascade de pression doivent être confirmés à chaque limite. Les séquences de verrouillage des sas doivent faire l’objet d’essais fonctionnels en conditions de défaillance, et non pas uniquement en fonctionnement normal. Il faut s’assurer que le système CVC dédié est réellement indépendant, et non pas simplement désigné comme tel. Ces critères relatifs aux caractéristiques de conception obéissent à la même logique binaire de réussite/échec que les seuils numériques ; ils nécessitent simplement un type de rapport de vérification différent.

Documents de vérification attestant chacune des déclarations relatives au confinement

Le dossier de vérification est la lacune que la plupart des projets ne découvrent que tardivement. Une affirmation relative au confinement énoncée dans l’URS doit pouvoir être rattachée à un résultat d’essai spécifique, présenté dans un format de dossier précis, avant que toute partie prenante — responsable de l’assurance qualité, responsable de la biosécurité ou évaluateur réglementaire — puisse confirmer que cette affirmation a effectivement été démontrée et n’est pas simplement une hypothèse. Une matrice de criticité de la salle blanche, élaborée à partir des résultats des analyses FRA/SRA, établit ce lien traçable : chaque risque identifié est associé à un niveau de qualification, lui-même associé à un protocole spécifique, qui est lui-même associé à un type de dossier et à une exigence de conservation. La norme ASTM E2500-25 soutient directement cette logique : son approche scientifique et fondée sur les risques en matière de spécification et de vérification exige que les critères d’acceptation soient prédéfinis et liés à une méthode de vérification avant le début de la qualification.

L’erreur la plus courante consiste à considérer les résultats des essais FAT comme équivalents à ceux de la qualification du site. Les essais FAT permettent de démontrer qu’un isolateur atteint ses performances de confinement dans des conditions contrôlées en usine et contribuent à une réduction précoce et utile des risques. Cependant, les conditions en usine ne reproduisent pas la cascade de pression telle qu’elle sera installée dans l’installation cible, la charge réelle du système CVC du bâtiment, les procédures de transfert de matières spécifiques au processus, ni les comportements des opérateurs dans le cadre d’un flux de travail réel. Un isolateur qui réussit les essais de substitution avec de la poudre dans les locaux du fournisseur peut tout de même échouer à l’examen réglementaire lors de la qualification du site si le dossier de réception ne comprend pas de résultats d’essais sur site réalisés dans des conditions d’exploitation réelles. Il ne s’agit pas d’une interdiction d’utiliser les données issues des essais FAT, mais d’un risque de fausse réception si les résultats des essais FAT sont autorisés à se substituer aux dossiers SAT et PQ au lieu de les étayer.

Les directives SMEPAC fournissent une base commune pour la conduite, l’analyse et la présentation des essais de performance de confinement. Leur intérêt dans le cadre d’un projet ne réside pas dans leur caractère réglementaire, mais dans la normalisation de la terminologie et des méthodes : lorsque l’URS, le protocole FAT et le protocole SAT font tous référence au même cadre d’essai, les résultats sont directement comparables d’une phase du projet à l’autre et entre les membres de l’équipe issus de différentes disciplines. Sans cet alignement, un responsable de la biosécurité examinant un rapport SAT pourrait comparer un résultat mesuré selon une méthode différente à un seuil défini pour une technologie différente, et cette comparaison ne permettrait pas de prendre une décision d’acceptation en toute confiance.

Harmonisation de la terminologie entre les spécifications techniques (URS) et les plans, toutes disciplines confondues

Dans les projets de confinement, les frictions ne se manifestent souvent ni en laboratoire ni au niveau des équipements, mais bien dans la documentation. Un responsable de la biosécurité indique dans l’évaluation des risques une “ séparation par une paroi rigide entre les zones BSL-3 et BSL-2 ”. L’ingénieur dessine une cloison avec un détail précis concernant l’espace d’air. L’équipe des achats publie un cahier des charges pour un panneau mural résistant à la pression, sans aucune référence à un sas. Trois disciplines ont ainsi décrit trois versions différentes d’une même barrière de confinement sans utiliser de vocabulaire commun, et cette divergence n’apparaît qu’au moment où le protocole d’essai d’acceptation sur site (FAT) demande quel document fait autorité.

L’utilisation de la norme ICH Q9(R1), des guides de référence de l’ISPE et de la norme GAMP 5 comme cadres de référence communs à toutes les disciplines ne signifie pas une conformité à plusieurs normes — cela signifie utiliser une terminologie commune pour la structure de l’évaluation des risques, la classification des équipements et le périmètre de qualification, de sorte que l’URS, les plans d’ingénierie et les dossiers techniques des fournisseurs décrivent les mêmes fonctions dans un langage que chaque discipline peut recouper. La recommandation pratique consiste à établir dès le début un glossaire de projet, lié aux URS, qui définit la manière dont chaque fonction de confinement est nommée et quel dossier de vérification en apporte la preuve. En l’absence d’un tel glossaire, le travail d’harmonisation s’effectue de manière informelle et incohérente, et les divergences ont tendance à apparaître lors des examens en présence de témoins dans le cadre des essais d’acceptation sur site (FAT), au moment où la pression liée au calendrier est la plus forte.

C’est au niveau de l’implication de l’utilisateur final que ce risque d’alignement se transforme en risque de confinement. Un équipement correctement spécifié mais utilisé d’une manière différente de celle prévue par les spécifications — parce que les opérateurs n’ont pas participé au processus de conception et n’ont pas compris la logique de confinement intégrée dans la séquence de fonctionnement de l’équipement — génère de véritables événements d’exposition. Le mode de défaillance ne réside pas dans le fait que l’équipement fonctionne en deçà des spécifications, mais dans le fait qu’il est utilisé en dehors de ses conditions d’utilisation validées. Les responsables de la biosécurité et les directeurs de laboratoire doivent considérer l’examen par les utilisateurs finaux du cahier des charges (URS) et des procédures d’exploitation comme un contrôle de confinement, et non comme une simple formalité d’acceptation par l’utilisateur.

Critères vérifiables par les fournisseurs pour les équipements BSL et OEB

Tous les équipements d’un projet de niveau BSL-3 ou OEB4/OEB5 ne font pas l’objet des mêmes exigences de qualification, et définir des critères d’acceptation d’une complexité identique pour un mélangeur microfluidique à contact élevé et un poste de travail dédié à la gestion du bâtiment constitue un gaspillage de ressources de qualification, tout en risquant de ne pas suffisamment préciser les éléments les plus importants. Une approche par notation reposant sur quatre facteurs — contact avec le produit, niveau d’automatisation, facilité de nettoyage et impact en cas de défaillance — permet de hiérarchiser les domaines dans lesquels les critères d’acceptation doivent être plus stricts et ceux où les exigences en matière de preuves fournies par le fournisseur doivent être plus détaillées.

Le résultat de la notation détermine ce qu’un fournisseur doit fournir, et pas seulement ce que l’équipement doit faire. Un élément à haut risque — contact important avec le produit, étapes d’utilisation manuelles, géométrie rendant le nettoyage difficile et conséquences graves en cas de défaillance — devrait nécessiter des dossiers de qualification de conception (DQ) et de qualification de l’installation (IQ) fournis par le fournisseur, des protocoles de nettoyage validés avec des limites de résidus définies, ainsi que des points de test FAT effectués en présence d’un témoin. Il s’agit d’une recommandation pratique issue de l’évaluation des risques, et non d’une exigence réglementaire universelle, mais elle reflète la logique selon laquelle la norme ASTM E2500-25 s’applique à la qualification et à la vérification de la conception : le niveau de preuve doit être proportionnel au risque lié à la fonction. Pour Isolateurs OEB4/OEB5 et Laboratoires modulaires de niveau BSL-3/4, cela signifie que le dossier de réception du fournisseur doit inclure des résultats d'essais de substitution spécifiques basés sur la norme SMEPAC, des rapports d'essais de maintien en pression, des données sur l'intégrité des filtres et des preuves relatives au cycle de décontamination — et pas seulement des certificats d'essais en usine décrivant la catégorie de l'équipement.

Le fait de ne pas définir suffisamment précisément les éléments justificatifs fournis par le fournisseur lors de la passation de commande a pour conséquence, en aval, que la phase d’IQ/OQ met en évidence des lacunes dans la documentation que l’équipe de qualification doit soit combler par des essais a posteriori, soit accepter en tant que non-conformités. Ces deux options donnent lieu à des constatations d’audit. L’approche la plus rigoureuse consiste à définir ce que le fournisseur doit fournir — et pas seulement ce que l’équipement doit être capable de faire — avant de passer la commande.

Règle du « oui ou non » pour les déclarations de sécurité imprécises

Un critère qui subsiste jusqu’à la mise en service sous la forme d’une déclaration de sécurité générale deviendra un constat d’audit. Le schéma est toujours le même : des formulations telles que “ le système doit contenir des matières dangereuses ” ou “ l’isolateur doit protéger l’opérateur ” semblent raisonnables lors d’une réunion d’examen des spécifications fonctionnelles (URS), mais elles ne s’accompagnent d’aucune méthode d’essai, d’aucun résultat mesurable ni d’aucune réponse définie en cas de résultat ambigu. Lors des essais FAT ou SAT, l’équipe invente soit un test sur-le-champ — ce qui donne lieu à un procès-verbal d’acceptation sans fondement traçable —, soit reporte l’évaluation, ce qui comprime le calendrier de qualification et aboutit souvent à une formulation d’acceptation conditionnelle que les examinateurs réglementaires remettront en question.

La règle est simple : un critère n'est considéré comme complet que s'il précise la méthode d'essai, le résultat attendu avec sa tolérance, la procédure à suivre en cas d'écart par rapport aux limites d'acceptation, ainsi que la confirmation que la méthode d'essai est conforme aux exigences réglementaires ou normatives applicables.

La vérification de la conformité réglementaire — parfois appelée « test d’acceptation réglementaire » — est l’élément le plus souvent omis des critères d’acceptation spécifiques à un projet. Il ne s’agit pas d’une norme formelle dont l’autorité serait équivalente à celle du SMEPAC ou de la norme ASTM E2500-25, mais elle comble une lacune spécifique : confirmer que la méthode utilisée pour générer le rapport d’acceptation est elle-même conforme au cadre réglementaire applicable. La norme ASTM E2500-25 stipule clairement que les critères d’acceptation doivent être prédéfinis, mesurables et liés à une méthode de vérification avant le début de la qualification. Les critères qui ne comportent pas l’un des quatre éléments du tableau ne peuvent pas satisfaire à cette exigence et doivent être renvoyés pour révision avant l’approbation du protocole, et non après la réalisation de l’essai.

La procédure de déviation est l’élément qui empêche le plus directement l’acceptation subjective des résultats limites. Une procédure de déviation convenue au préalable — nouveau test obligatoire si le résultat se situe dans une marge définie par rapport à la limite, enquête obligatoire et évaluation technique si le résultat dépasse cette limite — élimine toute prise de décision subjective lors de la phase d’exécution des tests, où la pression liée au calendrier est la plus forte et où la tendance à l’acceptation est la plus marquée. Rédiger le protocole de déviation avant le début des essais n’est pas du pessimisme ; c’est le contrôle structurel qui rend la règle « go/no-go » applicable. Pour portes APR à joint pneumatique et les composants similaires soumis à des contraintes de pression, ce qui signifie que les résultats des tests de maintien de pression, les données relatives à l'intégrité des joints et la répétabilité d'un cycle à l'autre doivent tous respecter une marge de tolérance prédéfinie avant la signature du protocole FAT.

Le critère le plus fiable pour évaluer toute spécification de confinement consiste à vérifier si celle-ci peut être soumise indépendamment à un fournisseur, à un témoin lors d’un essai d’acceptation sur site (FAT) et à un évaluateur réglementaire, et si elle aboutit à la même décision d’acceptation de la part de chacun d’entre eux. Cette convergence n’est possible que lorsque chaque exigence a été convertie, à partir d’un objectif de sécurité, en une fonction comportant une méthode, un seuil, un type d’enregistrement et un résultat binaire. Ce travail de conversion prend du temps en début de projet ; ne pas le réaliser coûte nettement plus cher en fin de projet.

Avant de finaliser un cahier des charges (URS) ou d’émettre un appel d’offres (RFQ) à l’intention des fournisseurs pour des équipements à haut niveau de confinement, il convient de s’assurer que chaque exigence de confinement est étayée par un dossier de vérification spécifique, que le critère de référence de performance adapté à la technologie est approprié au niveau de risque concerné, et que la procédure de dérogation pour chaque critère critique est consignée par écrit et approuvée avant le début des essais. Si l’un de ces trois éléments fait défaut, le critère n’est pas encore prêt à être intégré au dossier documentaire — et le constater lors d’un examen préalable à l’essai d’acceptation sur site (FAT) constitue le moment le moins coûteux pour apporter la correction.

Questions fréquemment posées

Q : Que se passe-t-il si la limite d'exposition professionnelle (OEL) ou le niveau de risque en matière de biosécurité du projet change après la signature du cahier des charges (URS) ?
R : Les critères d’acceptation doivent être révisés avant l’approbation des protocoles FAT — et non après le début des essais. Les critères d’acceptation étant définis en fonction d’un niveau de danger spécifique et d’un référentiel adapté à la technologie, un changement de niveau invalide les seuils numériques, les références aux méthodes d’essai et, potentiellement, les voies de déviation déjà documentées. Considérez tout changement de niveau de risque intervenant après l’URS comme un événement formel de contrôle des modifications qui déclenche une révision de tous les critères relatifs aux fonctions de confinement figurant dans l’ensemble de documents, et pas seulement des sections faisant explicitement référence à la classification des risques.

Q : Faut-il convenir de la procédure de dérogation avec le fournisseur avant ou après la passation de la commande ?
R : Avant la passation de la commande. Une fois qu’un fournisseur est engagé sans qu’une procédure de dérogation ait été préalablement convenue, les contraintes de calendrier et les pressions commerciales lors des essais de réception en usine (FAT) rendent structurellement difficile l’application d’une réponse rigoureuse face à des résultats limites. La procédure de dérogation — ce qui constitue une marge de réessai obligatoire, ce qui déclenche une enquête formelle et qui a le pouvoir d’accepter ou de rejeter — doit être un élément de livraison clairement défini dans les exigences relatives aux données du fournisseur jointes au cahier des charges, afin qu’elle soit négociée au même stade que les seuils d’acceptation eux-mêmes.

Q : Les essais sur modèles de substitution basés sur la méthode SMEPAC sont-ils suffisants pour satisfaire les autorités de réglementation, ou doivent-ils être complétés par des données supplémentaires ?
R : Les essais de substitution basés sur la méthode SMEPAC constituent une méthode normalisée et comparable permettant de démontrer les performances de confinement, mais ils ne satisfont pas à eux seuls à toutes les exigences réglementaires en matière de preuves. Les évaluateurs réglementaires s'attendront également à des seuils d'acceptation prédéfinis liés au niveau de danger, à une traçabilité de la chaîne allant des résultats des analyses FRA/SRA au protocole de qualification, ainsi qu'à des enregistrements des essais SAT sur site dans des conditions d'exploitation réelles. Les résultats SMEPAC générés uniquement lors des essais FAT, sans essai équivalent sur site dans l'installation mise en service, constituent des éléments justificatifs utiles mais ne peuvent se substituer aux enregistrements de qualification sur site.

Q : À partir de quel moment l'ajout de critères d'acceptation supplémentaires génère-t-il plus de risques qu'il n'en réduit ?
R : Lorsque des critères sont ajoutés sans accord préalable sur les instruments étalonnés, les tolérances de mesure et les points de test vérifiés en présence de témoins, chaque critère supplémentaire crée un nouveau risque d’écart non documenté entre ce qui a été spécifié et ce qui a été réellement mesuré. La condition préalable est d’ordre pratique : l’ajout de critères ne renforce le dossier d’audit que si l’infrastructure de vérification correspondante — équipement étalonné, format d’enregistrement défini, calendrier de présence des témoins convenu — est confirmée avant la signature du protocole. Les critères rédigés sans que cette infrastructure soit en place ont tendance à donner lieu à des formulations d’acceptation conditionnelle ou à des essais rétroactifs, deux situations qui génèrent des constatations d’audit.

Q : Comment l'approche de notation des risques pour la hiérarchisation des équipements s'applique-t-elle à un projet dans lequel la plupart des équipements sont fournis par un seul prestataire « clé en main » ?
R : La logique d’attribution des points s’applique toujours, mais le résultat passe d’une stratégie d’approvisionnement auprès de plusieurs fournisseurs à une définition structurée du périmètre au sein d’un contrat unique. Même avec un fournisseur « clé en main », tous les sous-systèmes n’ont pas le même niveau de risque de contamination, et l’équipe de projet doit toujours préciser quels éléments nécessitent des points de test FAT en présence d’un témoin, des protocoles de nettoyage validés avec des limites de résidus définies, ainsi que des dossiers complets de documentation DQ/IQ. Sans cette différenciation, un fournisseur « clé en main » ne dispose d’aucune base contractuelle pour appliquer des efforts de qualification plus poussés aux éléments à haut risque, et la phase d’IQ/OQ mettra probablement en évidence des lacunes dans la documentation qui devront être résolues en tant que non-conformités.