IQ/OQ/PQ pour les équipements de laboratoire de niveau BSL-3/4 : comment structurer les preuves de qualification

Les défaillances de qualification dans les projets de laboratoires BSL-3/4 se manifestent rarement sous la forme d’événements isolés spectaculaires. Le plus souvent, elles s’accumulent discrètement : des séries de qualification opérationnelle (OQ) menées à bien avant que le dossier d’installation ne soit officiellement clôturé, des fonctions de confinement testées selon des critères qui n’ont jamais été clairement définis par rapport aux limites d’un équipement spécifique, ou encore des protocoles combinés regroupant les étapes de qualification de l’installation (IQ) et de qualification opérationnelle (OQ) sans justification documentée capable de résister à l’examen minutieux d’un audit. Le coût en aval est celui de nouveaux tests effectués au pire moment possible du projet : une fois les délais de mise en service fixés, après la planification de la remise des installations, et parfois même après que la première inspection a déjà signalé la lacune. La décision qui permet d’éviter la plupart de ces problèmes doit être prise plus tôt que ne le pensent les équipes : il s’agit de la décision relative aux limites, qui distingue ce que l’équipement doit démontrer par lui-même de ce qui dépend des conditions de la salle, des raccordements aux réseaux ou des procédures de l’opérateur. Les lecteurs de cet article seront mieux à même de structurer les preuves de qualification pour les équipements de confinement BSL-3/4 de manière traçable, défendable à chaque étape et peu susceptible de nécessiter une refonte lors de l’examen.

Structure des qualifications entre IQ, OQ et PQ

La séquence IQ-OQ-PQ n’est pas une invention réglementaire imposée aux laboratoires par les cadres réglementaires des BPF pharmaceutiques. Les recommandations BMBL du CDC décrivent la qualification de conception, la qualification d’installation, la qualification opérationnelle et la qualification de performance comme une structure de planification pour les installations et équipements de niveau BSL-3/4 — reconnaissant ainsi que les systèmes de confinement nécessitent des preuves structurées à chaque étape de leur cycle de vie, et non pas simplement une validation lors de la mise en service. Cette distinction est importante car elle empêche les équipes de considérer la qualification comme une simple formalité administrative post-installation, plutôt que comme un processus de constitution de preuves par étapes, guidé par les interdépendances.

La logique de dépendance ne s'applique que dans un seul sens. La qualification de dépendance (DQ) doit être formellement approuvée avant le début de la qualification d'installation (IQ), car cette dernière consiste à vérifier que la configuration installée correspond à la conception approuvée. Si l'intention de conception n'a pas été établie, il n'y a aucun élément par rapport auquel effectuer la vérification. La qualification opérationnelle (OQ) ne peut débuter tant que l'IQ n'est pas approuvée, et la qualification de performance (PQ) ne peut débuter tant que l'OQ n'est pas terminée. Il ne s'agit pas de simples préférences procédurales, mais d'exigences relatives à l'intégrité des preuves. Les données collectées hors séquence ne peuvent pas être adoptées rétrospectivement comme preuves de qualification valides sans un écart documenté et une justification qui feront l’objet d’un examen minutieux.

Chaque phase a un objectif bien précis qui ne peut être fusionné avec celui d'une autre sans perdre un élément vérifiable.

Lorsque l’annexe 15 du volume 4 d’EudraLex et les recommandations de la FDA en matière de validation des procédés s’appliquent, elles servent de cadres de référence qui viennent renforcer l’approche par étapes — et non pas de source réglementaire directe pour les exigences de qualification des laboratoires de niveau de sécurité biologique 3/4 (BSL-3/4). Les équipes travaillant à la fois dans le domaine de la conformité pharmaceutique et dans celui de la biosécurité doivent les appliquer avec prudence, plutôt que de transposer telles quelles les définitions pharmaceutiques dans un plan de qualification des systèmes de confinement sans les adapter.

Preuve de l'installation avant les essais de mise en service

L'IQ est une vérification physique sur site, et non un simple exercice de collecte de documents. Son rôle est de confirmer que chaque élément de confinement, filtre, raccordement aux réseaux et configuration de contrôle installé sur site correspond bien à ce qui a été spécifié dans la conception approuvée. C'est cette confirmation qui donne tout son sens aux données d'OQ qui suivront : les résultats des essais ne peuvent être attribués à une configuration connue et fixe que si cette configuration a été formellement vérifiée et acceptée.

Le champ d'application pratique de l'IQ pour les équipements de niveau BSL-3/4 comprend généralement la vérification de l'installation et de l'intégrité des filtres HEPA par rapport aux spécifications du boîtier, la confirmation de la conformité des raccordements aux réseaux (électricité, air comprimé, évacuation des eaux usées, évacuation des gaz) par rapport à l'intention de conception, la vérification de la configuration du panneau de commande par rapport à la documentation de contrôle, ainsi que la documentation des numéros de série, des certificats d'étalonnage et des plans conformes à l'exécution par rapport aux URS approuvés et aux résultats de la qualification de conception (DQ). Pour un isolateur de biosécurité ou pour un système modulaire de niveau BSL-3, cela implique également de vérifier que les configurations des ports à gants, les verrouillages des portes des sas et les boîtiers de filtres d'évacuation sont installés conformément aux spécifications avant de procéder à tout essai fonctionnel.

L’erreur qui engendre le plus de travail supplémentaire consiste à mener en parallèle les activités d’IQ et d’OQ — souvent justifiée par des contraintes de calendrier — sans tenir compte du fait que toute donnée d’OQ recueillie avant l’acceptation formelle de l’IQ est invalide. Il ne s’agit pas d’une simple formalité. Si une non-conformité de l’IQ est découverte après la fin des essais d’OQ, ces derniers ne peuvent pas être réutilisés comme preuves validées. La séquence doit être reprise depuis le point de défaillance. Pour une installation confinée à accès restreint et soumise à des exigences complexes en matière de décontamination, la répétition des essais de qualification opérationnelle (OQ) n’est pas un simple désagrément : elle représente un coût important en termes de ressources et de délais. Considérer la qualification de l’installation (IQ) comme une étape d’approbation formelle, assortie d’une validation documentée autorisant explicitement l’exécution de l’OQ, est le seul moyen fiable d’éviter cette situation.

Preuves relatives à la plage de fonctionnement des fonctions de confinement

La qualification opérationnelle (OQ) permet de vérifier que l’équipement installé fonctionne dans les plages définies pour chaque fonction de confinement, dans des conditions contrôlées, généralement à vide. La distinction entre “ plage de fonctionnement ” et “ performances en conditions d’utilisation ” est importante : l’OQ n’a pas pour but de simuler les interactions réelles du processus. Elle vise à confirmer que l’équipement atteint et maintient de manière fiable les paramètres de confinement pour lesquels il a été conçu.

Pour les équipements de laboratoire de niveau BSL-3/4, le champ d'application des essais de qualification opérationnelle (OQ) est plus large que pour de nombreuses autres catégories d'équipements. Le tableau ci-dessous présente les principales fonctions de confinement ainsi que les méthodes de vérification associées à chacune d'entre elles.

Deux points de fond méritent d’être soulignés. Premièrement, les valeurs de pression et d’ACH indiquées — des écarts entre les pièces compris entre –10 et –30 Pa, et des débits d’air ciblant ≥ 12 ACH pour les conceptions BSL-3 — constituent des critères de conception des installations issus des recommandations en matière de biosécurité et des pratiques d’ingénierie. Il ne s’agit pas de seuils réglementaires fixes. Les critères applicables à un projet spécifique doivent être établis lors de la qualification de conception (DQ), sur la base d’une évaluation des risques et de la norme applicable à l’installation, puis repris tels quels dans les critères d’acceptation de la qualification opérationnelle (OQ). Utiliser les objectifs de conception publiés comme raccourci pour définir les critères d’OQ, sans les ancrer au préalable dans la DQ approuvée, crée une lacune documentaire difficile à combler lors d’un audit.

Deuxièmement, la question de délimitation qui doit être tranchée avant l'exécution de la qualification opérationnelle (OQ) est de savoir quelles fonctions de confinement sont attribuables uniquement à l'équipement et lesquelles nécessitent que les conditions de la salle, des réseaux ou du système CVC soient validées pour être significatives. Les essais de cascade de pression entre les zones ne peuvent pas fournir de preuves fiables pour l'OQ si le système CVC assurant la différence de pression ne fonctionne pas dans des conditions validées et stables. Les essais d'intégrité des filtres HEPA pour un Boîte de passage de la VHP ou, dans le cas d’un système de transfert confiné, l’installation de l’ensemble filtrant doit être confirmée avant la réalisation du test de charge d’aérosol. Les équipes qui laissent cette limite floue lors de la planification de la qualification opérationnelle (OQ) ont tendance à se heurter à des désaccords sur le périmètre de la qualification — et parfois à devoir refaire des essais — lorsque les auditeurs remontent ultérieurement la chaîne des conditions d’essai jusqu’à des interfaces non vérifiées.

Données de performance obtenues dans des conditions d'utilisation représentatives

Le PQ passe de plages de fonctionnement contrôlées à des conditions dynamiques et représentatives. Son objectif est de démontrer que l'équipement conserve ses fonctions de confinement lorsqu'il est soumis aux interactions liées à une utilisation opérationnelle réelle ou simulée : déplacements du personnel, cycles d'ouverture et de fermeture des portes, transferts de matières, charge de procédé et séquences procédurales suivies par les opérateurs dans le cadre de leurs activités normales en laboratoire.

Il s'agit là d'une distinction importante par rapport à la qualification opérationnelle (OQ), et non d'une simple formalité. Un isolateur ou un module BSL-3 peut réussir tous les tests d’OQ dans des conditions contrôlées et statiques, tout en présentant des variations de pression lors des cycles de verrouillage des portes dans des conditions de circulation réalistes, ou une dérive de la pression différentielle HEPA lors de cycles de décontamination à forte charge. La PQ est le test de robustesse du système dans ces conditions. Comme le précise la section 11 du BMBL du CDC, la PQ doit démontrer des performances stables dans des conditions opérationnelles réelles, y compris lors de simulations de processus réelles ou fictives.

La portée de ce qui constitue une “ utilisation représentative ” doit être définie dans le plan de validation avant le début de la qualification de performance (PQ) — et non déduite des résultats de la qualification opérationnelle (OQ). Pour les équipements de confinement de niveau BSL-3/4, cette définition doit prendre en compte le scénario opérationnel le plus défavorable en rapport avec la fonction de confinement testée : capacité d’accueil maximale, fréquence maximale de transfert de matières ou cycle de décontamination sollicitant le plus le système de diffusion de VHP. Lorsque l’exposition à un agent biologique n’est pas réalisable ou n’est pas proportionnée au profil de risque de l’équipement, des conditions de substitution ou simulées peuvent satisfaire aux exigences de la qualification de performance, à condition que le plan de validation documente la justification du choix de ces conditions de substitution.

Une distinction qui doit être clairement établie dans le protocole PQ est de savoir si les données générées concernent le matériel ou l’installation. Pour un équipement autonome tel qu’un isolateur ou un passage de décontamination, la qualification de performance peut relever entièrement du champ d’application de l’équipement. En revanche, pour les fonctions de confinement qui dépendent des rapports de pression dans les locaux, de la ventilation par extraction ou des séquences de verrouillage des portes impliquant des espaces adjacents, les données de qualification de performance incluront les interfaces avec l’installation et leur champ d’application devra être défini en conséquence.

Justification du protocole combiné pour un champ d'application restreint des équipements

Pour les équipements dont le champ d'application est restreint — un autoclave unique, une unité BIBO compacte, un petit isolateur —, les équipes choisissent parfois de regrouper les étapes d'IQ, d'OQ et de PQ au sein d'un seul protocole de qualification. Cette approche n'est pas automatiquement invalide. Il s'agit toutefois d'une exception qui nécessite une justification explicite, et cette justification est plus souvent omise que formulée par écrit.

Le principal risque lié à un protocole combiné réside dans le flou entre les phases : lorsque la vérification de l’installation, les essais de plage de fonctionnement et les conditions d’utilisation représentatives sont tous consignés dans un seul document sans délimitation claire des phases, il devient difficile d’attribuer les écarts. Un auditeur examinant un protocole combiné et constatant un écart de pression consigné dans la section 4 ne peut pas facilement déterminer si celui-ci reflète une défaillance d’installation, une condition de fonctionnement hors plage ou une défaillance de performance sous charge — à moins que le protocole ne sépare explicitement ces questions à l’aide de critères d’acceptation distincts et de seuils d’approbation. L’analogie avec la validation d’un autoclave est instructive : la qualification opérationnelle (OQ) doit être réalisée avec une chambre vide avant l’introduction de tout chargement de produit. Le principe de séquencement est le même, que le protocole soit divisé ou combiné : les essais des phases ultérieures ne peuvent se substituer à la vérification des phases antérieures, et la structure du protocole doit rendre cette distinction lisible.

Le tableau ci-dessous présente les risques spécifiques liés à un protocole unique peu structuré et explique comment une structure distincte pour les procédures IQ, OQ et PQ permet d'y remédier.

Lorsqu’un protocole combiné est véritablement justifié — champ d’application restreint de l’équipement, complexité fonctionnelle limitée, absence de dépendance vis-à-vis des interfaces avec les locaux ou les réseaux de services —, le plan de validation doit documenter explicitement la justification, identifier les sections correspondant respectivement aux fonctions IQ, OQ et PQ, et porter la signature d’approbation du service d’assurance qualité avant le début de l’exécution. Sans cela, un protocole combiné qui semble efficace lors de son exécution devient souvent un handicap lors de l’inspection, où l’absence de justification documentée constitue en soi un constat.

Étape de validation préalable à l'exécution de l'OQ

La phase d'approbation IQ ne constitue pas une recommandation relative au processus. Il s'agit du moment où la configuration installée est officiellement acceptée comme base pour l'ensemble des preuves de qualification ultérieures. Aucune procédure de qualification opérationnelle (OQ) ne doit être lancée et aucune donnée d'OQ ne doit être collectée tant que cette acceptation n'a pas été consignée par écrit et signée.

Ce principe est absolu, car toute autre approche entraînerait des problèmes irrémédiables en matière de preuve. Si des essais de qualification opérationnelle (OQ) sont menés alors qu’un point de la qualification d’installation (IQ) reste en suspens — un écart par rapport au plan d’exécution, un instrument non étalonné, un raccordement aux réseaux non vérifié —, les données obtenues ne peuvent pas être certifiées comme ayant été produites par une configuration confirmée et conforme à la conception. Si le point d’IQ est résolu ultérieurement, les données d’OQ ne deviennent pas valides rétroactivement. La séquence du protocole doit reprendre à partir du point où la qualification d’installation a échoué. Pour les équipements de laboratoire de niveau BSL-3/4, où les essais de qualification opérationnelle (OQ) peuvent impliquer des conditions d’accès restreint, des cycles de décontamination et des exigences en matière d’EPI pour le personnel, la répétition des essais OQ ne constitue pas une correction mineure : elle entraîne un coût réel en termes de temps, d’accès et d’allocation des ressources.

Le mécanisme concret permettant de garantir le respect de cette étape de contrôle est simple : le protocole IQ doit comporter un bloc de signature d’approbation formel autorisant explicitement l’exécution de l’OQ. Ce bloc doit être examiné et signé par le service d’assurance qualité (QA), et non pas simplement validé par l’équipe d’ingénieurs ayant effectué les contrôles d’installation. Pour des équipements tels que… Système de laboratoire modulaire BSL-3/4, lorsque le champ d'application de la qualification fonctionnelle (IQ) couvre les vérifications des interfaces mécaniques, électriques, CVC et de confinement dans plusieurs disciplines, un rapport de clôture de l'IQ unique, approuvé par le service d'assurance qualité, qui valide officiellement le protocole de qualification opérationnelle (OQ), est bien plus facile à justifier qu'un ensemble de validations individuelles par discipline qui ne sont jamais regroupées dans une déclaration d'acceptation officielle.

La conséquence cachée du fait de sauter cette étape ne se limite pas au coût des nouveaux essais. Elle réside dans l’impact en aval sur la conformité tout au long du cycle de vie du produit. Un dossier de qualification reposant sur une lacune en matière d’homologation doit être justifié — et parfois reconstitué — à chaque inspection BPF, examen de contrôle des modifications et procédure de requalification ultérieurs. L’investissement initial dans une étape formelle permet de réaliser des économies bien supérieures à son coût.

Les décisions les plus déterminantes concernant l’élaboration des éléments de qualification des équipements de laboratoire BSL-3/4 sont prises avant même le début des essais : quelles fonctions de confinement sont attribuables à l’équipement seul, quels sont les critères d’acceptation et d’où proviennent-ils, et si la structure du protocole — divisée ou combinée — repose sur une justification explicite approuvée par l’assurance qualité. La documentation de ces décisions avant la réalisation du premier contrôle de qualification (IQ) détermine si le dossier de qualification qui en résulte est défendable tout au long de la durée de vie opérationnelle de l’équipement ou s’il comporte des lacunes latentes qui apparaissent sous la pression des inspections.

Les équipes qui se préparent aux essais FAT, SAT ou à la qualification post-installation doivent s'assurer que les résultats de la qualification de conception (DQ) ont été officiellement approuvés et que le plan de validation définit clairement les limites entre les différentes phases avant le début de la qualification en installation (IQ). Pour plus d'informations sur les approches de qualification associées, le Article sur le protocole de validation du VHP et le Article sur le protocole de qualification pour les douches à brume traiter les structures de phase analogues pour certaines catégories d'équipements de décontamination auxquelles s'applique la même procédure IQ-OQ-PQ.

Questions fréquemment posées

Q : Notre laboratoire de niveau BSL-3 dispose d'équipements de confinement anciens qui ont été installés il y a plusieurs années sans avoir fait l'objet d'une qualification initiale (IQ), d'une qualification opérationnelle (OQ) ni d'une qualification de performance (PQ) officielles. Pouvons-nous tout de même appliquer cette structure de qualification aujourd'hui ?
R : Oui, mais cette démarche doit être considérée comme un projet de qualification rétrospectif. Commencez par une analyse des écarts afin de déterminer quelles preuves d’installation existent encore, puis effectuez une qualification d’installation (IQ) formelle par rapport à la documentation de conception actuelle avant tout essai de qualification opérationnelle (OQ) ou de qualification de performance (PQ). Si des données de référence font défaut, vous devrez reconstituer la vérification de l’installation par le biais d’une inspection physique et d’un examen des documents « tel que construit ». La logique de dépendance reste inchangée : les données de qualification opérationnelle (OQ) et de qualification de performance (PQ) ne peuvent être considérées comme valides sans une configuration d’installation confirmée ; le processus nécessitera donc un écart documenté et l’acceptation par l’assurance qualité (QA) de l’approche rétrospective.

Q : Une fois la qualification pré-opérationnelle (PQ) d'un isolateur BSL-3 terminée, quelle est la prochaine étape immédiate pour autoriser la mise en service de l'équipement à des fins d'utilisation courante ?
R : Préparez un rapport de qualification synthétique qui regroupe les résultats des tests IQ, OQ et PQ, vérifiez que tous les critères d’acceptation sont respectés et que tous les écarts ont été corrigés, puis obtenez l’approbation du service d’assurance qualité pour la mise en service. Ce rapport devient le document contrôlé autorisant l’utilisation de l’équipement et sert de référence pour les futures requalifications et le contrôle des modifications. À ce stade, définissez également les exigences de surveillance continue — telles que les contrôles périodiques de l’intégrité des filtres HEPA et la vérification des différences de pression — et intégrez-les au programme de maintenance.

Q : À partir de quel niveau de complexité de l'équipement un protocole combiné IQ/OQ/PQ devient-il inacceptable pour les dispositifs de confinement de niveau BSL-3/4 ?
R : Il n’existe pas de seuil réglementaire fixe, mais le facteur déterminant est de savoir si un protocole combiné risque d’entraver la traçabilité des écarts. Si l’équipement prend en charge plusieurs fonctions de confinement (par exemple, cascade de pression, intégrité HEPA, cycle de décontamination), dépend de services externes ou repose sur une logique de verrouillage coordonné entre des systèmes distincts, le flou entre les phases crée une vulnérabilité en cas d’audit. Dans ces cas, une structure distincte pour l’IQ, l’OQ et le PQ est la seule approche défendable. Les protocoles combinés ne sont acceptables que lorsque l’équipement dispose d’une fonction unique et autonome, sans dépendance au-delà de ses limites physiques, et que le plan de validation justifie explicitement ce format.

Q : Comment déterminer si un essai de cascade de pression doit faire partie de la qualification opérationnelle (OQ) de l'équipement ou du protocole de mise en service de l'installation ?
R : L'essai relève de la qualification opérationnelle (OQ) de l'équipement si la différence de pression est générée par un ventilateur ou une vanne dédié(e) intégré(e) à l'appareil lui-même. Si la différence de pression est maintenue par le système CVC du bâtiment desservant plusieurs zones, l'essai relève du niveau de l'installation et doit s'inscrire dans le périmètre de la mise en service. La qualification opérationnelle (OQ) de l’équipement doit alors confirmer que l’appareil est capable d’atteindre la différence de pression prévue dans les conditions d’alimentation spécifiées de l’installation, tandis que la stabilité de ces conditions est vérifiée séparément. Définir clairement cette délimitation lors de la qualification de conception (DQ) permet d’éviter de devoir refaire des essais et d’avoir des différends sur le périmètre ultérieurement.

Q : Pour un petit laboratoire de niveau BSL-3 équipé uniquement d'une enceinte de sécurité biologique et d'un autoclave à passage direct, le protocole complet de qualification initiale (IQ), de qualification opérationnelle (OQ) et de qualification de performance (PQ) est-il vraiment nécessaire, ou peut-on le simplifier ?
R : Même dans un petit laboratoire, la séquence IQ/OQ/PQ doit rester conceptuellement distincte, mais vous pouvez documenter ces activités dans un protocole unique si le plan de validation indique clairement quelles sections correspondent à chaque phase de qualification et inclut une justification approuvée par le service d’assurance qualité. L’étape d’approbation de l’IQ reste essentielle quelle que soit l’échelle : la sauter risque d’invalider les données d’essai ultérieures si une anomalie d’installation venait à apparaître. La rationalisation doit permettre de réduire le volume des documents, sans pour autant éliminer les dépendances logiques qui rendent les preuves de qualification défendables.