Justificatifs de requalification pour l'évaluation de l'assurance qualité et de la biosécurité : comptes rendus d'essais et critères d'acceptation

Une requalification se conclut sans encombre sur le papier, puis une demande de la commission d’examen arrive, demandant le lien entre le motif initial du changement et les tests qui ont été sélectionnés — et la documentation n’en fournit aucun. À ce stade, la charge revient à l’équipe d’assurance qualité, qui doit reconstituer la logique de mémoire ou à partir de documents épars, ce qui retarde la mise en circulation du lot et expose la décision à un examen minutieux des autorités réglementaires. La même dynamique se produit lors de l’examen de biosécurité lorsqu’un inspecteur demande si les voies d’exposition sont restées maîtrisées tout au long de la période de changement d’équipement et que la seule réponse disponible est que le test final a été réussi. Le jugement qu’un responsable de l’assurance qualité ou un évaluateur de biosécurité doit être en mesure de porter avant de clôturer la requalification est de déterminer si l’ensemble des éléments de preuve, pris dans leur globalité, forme une chaîne ininterrompue allant de la raison pour laquelle un changement a été effectué à la preuve que les performances de confinement sont rétablies.

Traçabilité entre le motif de modification et le périmètre des tests

La lacune structurelle la plus courante dans les preuves de requalification n’est pas un test échoué, mais l’absence de lien documenté entre la raison pour laquelle la modification a été apportée et les tests qui ont été sélectionnés en conséquence. Les responsables de l’assurance qualité doivent pouvoir suivre cette chaîne de raisonnement sans avoir à faire de déductions. La documentation relative au contrôle des modifications doit préciser la raison de la modification de l’équipement et faire explicitement référence au périmètre de test mis à jour, afin que le dossier démontre que la sélection des tests a été motivée par l’impact de la modification plutôt que par l’habitude ou la commodité.

Cela revêt une importance particulière lorsque la modification concerne des systèmes qui contrôlent directement le confinement. En effet, Installations CL-3, le remplacement des ventilateurs du système CVC, de certaines sections de conduits, soupapes d'air, ou encore la réparation du câblage de commande et les modifications apportées aux séquences de commande du bâtiment font partie des catégories de modifications pour lesquelles un nouveau test de confinement peut être requis. L’étendue de ce nouveau test doit être déterminée en fonction de la nature de la modification, et non appliquée de manière systématique. Lorsque le motif de la modification est vague ou que l’étendue du test est plus large ou plus restreinte que ne le justifie la modification, les évaluateurs en biosécurité se retrouvent sans base cohérente pour confirmer que les bons paramètres de performance ont bien été réexaminés.

L'absence de lien clairement établi entre le motif du changement et le périmètre des tests ne constitue pas une lacune dans la documentation, mais bien une évaluation des risques non résolue.

Une traçabilité insuffisante a pour conséquence qu’une commission d’examen ne peut pas prendre de décision définitive sur les éléments de preuve présentés. Au lieu de cela, elle demande des éclaircissements, soulève des questions supplémentaires ou reporte son approbation en attendant des justifications complémentaires. À ce stade, le projet a déjà pris du retard, et le travail de correction s’avère plus difficile, car il faut reconstituer la justification initiale des tests plutôt que de simplement s’y référer. Établir le lien entre la raison du changement et le périmètre des tests au moment de l’élaboration du protocole ne coûte presque rien. Le rétablir lors de l'examen coûte considérablement plus cher.

Justificatif de biosécurité pour les voies d'exposition contrôlées

Après un changement d'équipement, l'évaluation de la biosécurité exige des preuves formelles attestant que les voies d'exposition contrôlées continuent de fonctionner — non pas l'absence de rapports de défaillance, mais des données d'essais spécifiques portant sur les voies les plus susceptibles d'être affectées. Les essais requis dépendent de la nature du changement, et les preuves doivent être suffisamment directes pour permettre à l'évaluateur de confirmer chaque voie d'exposition sans avoir à se fonder sur des déductions.

Dans le cas des systèmes de filtration, les essais de mise en charge par aérosols constituent la principale preuve de l'intégrité des filtres HEPA. Un résultat indiquant l'absence de fuite détectable au-delà du seuil de détection de l'instrument confirme que l'enveloppe du filtre est intacte. Pour enceintes de sécurité biologique Dans les environnements de classe CL-3, les exigences en matière de preuves sont plus larges : les contrôles d’étanchéité des filtres HEPA, le profil de vitesse de flux descendant, la vitesse frontale, la dépression et le débit de ventilation, le tracé de la fumée dans le flux d’air, ainsi que le fonctionnement des alarmes et des verrouillages doivent tous être pris en compte. Chacun de ces éléments correspond à un mécanisme de confinement distinct, et une lacune dans l’un d’entre eux affaiblit l’argument global relatif aux voies d’exposition, même si les autres éléments ont été validés.

La cascade de pression au sein de l'installation constitue une voie d'exposition distincte qui nécessite des preuves spécifiques. Pour les installations de classe CL-3 respectant les recommandations de l’OMS ou des États-Unis, un différentiel de pression négatif d’au moins 12,5 Pa entre chaque zone de pression est la valeur de conception utilisée pour démontrer le contrôle directionnel du flux d’air. Des dispositifs de lecture visuelle et d’alarme situés aux entrées viennent étayer les preuves opérationnelles. Il convient de noter que cette valeur de 12,5 Pa s’applique dans le cadre de ces recommandations spécifiques et doit être vérifiée au regard des principes de conception de l’installation et des directives applicables, plutôt que d’être considérée comme un seuil universel pour toutes les configurations de confinement.

Le tableau ci-dessous met en correspondance les principales voies d'exposition contrôlées avec les essais et les critères d'acceptation que les évaluateurs en biosécurité s'attendent généralement à voir :

Lorsqu’une de ces catégories de tests fait défaut dans le dossier de preuves, la commission d’examen se trouve confrontée à une lacune que les données existantes ne peuvent combler. Des preuves partielles du rétablissement du confinement ne valent pas des preuves complètes, et le rôle d’un évaluateur en biosécurité consiste à identifier les voies d’exposition qui n’ont pas encore été prises en compte, et non à déduire, à partir de résultats connexes, que ces voies sont probablement sans risque.

Valeurs des données « telles que constatées » et « telles que laissées »

Les données « telles que constatées » sont souvent considérées comme une simple formalité procédurale : elles sont recueillies au début du processus de requalification, ne sont consultées qu’en cas d’échec, puis mises de côté dès que les résultats « tels que laissés » répondent aux critères d’acceptation. Cette approche revient à écarter les informations les plus pertinentes sur le plan opérationnel contenues dans le dossier.

Les données « telles que constatées » constituent la seule trace contemporaine attestant que l'enceinte de confinement n'avait pas encore subi de dégradation avant que la modification ne soit effectuée.

Si les données « telles que constatées » montrent qu’une différence de pression était inférieure à la valeur de conception, que l’efficacité du filtre avait baissé ou que l’équilibre du débit d’air se situait hors tolérance avant le début des travaux de maintenance, ce constat a des implications directes sur le moment où l’état de dégradation a commencé et sur la question de savoir si une exposition du produit ou du personnel s’est produite pendant cet intervalle. En l’absence de données « telles que constatées » dans le dossier de preuves, un examinateur ne peut pas évaluer l’état antérieur à la modification, et cette lacune devient significative si une question relative à la qualité du produit ou une enquête sur un incident survient ultérieurement.

Les données « telles que laissées », en revanche, reflètent l’état restauré au moment de l’achèvement. Elles constituent la base principale de la décision de mise en service, mais doivent être considérées comme une preuve des performances au moment du test, et non comme une garantie d’intégrité durable. Les résultats « tels que laissés » qui s’écartent de manière significative des valeurs de référence historiques — même s’ils satisfont aux critères d’acceptation — doivent faire l’objet d’une mention dans le dossier, car cet écart peut indiquer un changement dans les caractéristiques de fonctionnement du système susceptible d’influencer l’interprétation future des données de surveillance.

Le fait de conserver ensemble, dans le dossier de preuves, les rapports « tel que trouvé » et « tel que laissé », chacun étant clairement étiqueté et lié au protocole de test, permet d'éliminer toute ambiguïté quant à l'état dans lequel se trouvait le système et à son état actuel. Considérer les données « tel que trouvé » comme une vérification préalable devant être écartée dès que les résultats « tel que laissé » sont satisfaisants est précisément la pratique qui crée des angles morts visibles uniquement lors de audit.

Impact des écarts et décisions relatives à la répétition des essais

Un écart survenant au cours de la requalification n’invalide pas automatiquement le dossier de preuves, mais un rapport d’écart qui ne précise pas explicitement l’impact sur la mise sur le marché, la nécessité d’un nouveau test et toute restriction d’exploitation provisoire pose un autre problème : la commission d’examen ne peut déterminer si l’écart a été géré de manière adéquate ou s’il présente un risque résiduel. Des rapports d’écart ambigus retardent la décision concernant le lot et suscitent des remises en question de la part des autorités réglementaires quant à la qualité globale de la requalification.

La classification des écarts en fonction du risque — qui distingue les constatations à risque faible, moyen et élevé — constitue un cadre de planification utile pour déterminer la réponse appropriée, mais les seuils ne sont pas des formules figées. La classification appropriée dépend du produit, du contexte de biosécurité et du paramètre spécifique concerné. Un écart lié à une différence de pression dans une zone CL-3 revêt une importance différente de celle d’une lacune dans la documentation administrative, et l’évaluation d’impact doit refléter explicitement cette différence plutôt que d’appliquer par défaut un niveau de risque générique.

Le tableau ci-dessous établit une correspondance entre les niveaux de risque et la logique relative à l'évaluation des impacts, à la décision de refaire des essais et aux restrictions d'exploitation provisoires que les contrôleurs qualité doivent s'attendre à voir documentées :

En cas d'écarts à haut risque, la décision de procéder à un nouveau test ainsi que toute restriction provisoire concernant l'exploitation de l'installation ou la mise en circulation d'un lot doivent être consignées avant la poursuite des travaux. Le rejet du lot est l’une des conséquences possibles, mais il s’agit d’une décision qui nécessite une évaluation d’impact documentée ; ce n’est pas une conséquence automatique d’une classification à haut risque. Lorsqu’une restriction d’exploitation provisoire s’applique, celle-ci doit préciser la nature de la restriction, l’identité de la personne qui l’a autorisée et les conditions qui entraînent sa levée. Un rapport d’écart qui consigne le constat mais laisse les champs relatifs à l’impact, au nouveau test et à la restriction incomplets ne répond pas au besoin de la commission d’examen de confirmer que les mesures de gestion des risques étaient appropriées et ont été menées à bien.

Données brutes d'étalonnage et registres d'homologation

La validité de chaque résultat d'essai figurant dans un dossier de requalification dépend du fait que les instruments ayant généré ces résultats aient été étalonnés à l'aide de données traçables par rapport à des étalons de référence certifiés. Un instrument qui fonctionnait correctement et se trouvait dans son intervalle d’étalonnage au moment de l’essai n’est pas la même chose qu’un instrument dont le dossier d’étalonnage traçable figure dans le dossier. Cette distinction est importante car, si la traçabilité ne peut être démontrée, l’intégrité des données de tous les résultats générés par cet instrument est remise en cause, et ces résultats peuvent devoir être exclus du dossier de preuves ou faire l’objet de nouveaux essais.

Les principes ALCOA d'intégrité des données — Attribuabilité, Lisibilité, Contemporanéité, Originalité et Exactitude — constituent le cadre d'évaluation tant pour les registres d'étalonnage que pour les registres d'approbation. Un certificat d'étalonnage attribué à un intervenant non identifié, reconstitué a posteriori ou ne pouvant être rattaché à un étalon certifié ne satisfait pas simultanément à plusieurs critères ALCOA et doit être considéré comme insuffisant, et non comme une lacune documentaire pouvant être corrigée par une simple note.

Le tableau ci-dessous établit une correspondance entre chaque attribut ALCOA et les éléments à vérifier dans les registres d'étalonnage et les registres d'homologation lors de la constitution ou de l'examen du dossier de justification :

L'absence de traçabilité par rapport à un étalon de référence certifié ne constitue pas une simple lacune administrative : elle invalide les résultats de mesure sur lesquels repose le dossier.

Les registres d'approbation remplissent une fonction différente, mais tout aussi importante. Ils doivent attester qu'un évaluateur qualifié a vérifié l'exactitude de la version du protocole, la portée exacte de l'essai et l'exhaustivité des résultats avant de donner son accord. Un registre d'approbation qui ne peut être associé à une version spécifique du protocole ou à une portée d'essai précise laisse planer le doute quant à la nature exacte de ce qui a été approuvé, ce qui affaiblit la chaîne de preuves là où elle devrait être la plus claire.

Structure du dossier de preuves destiné aux commissions d'examen

Une commission d'examen ne peut pas clore une procédure de requalification si elle doit reconstituer la chaîne de preuves à partir de sources fragmentées. Lorsque les protocoles se trouvent dans un système, les données brutes dans un autre, les registres d'étalonnage sont gérés par un service de métrologie et les rapports d'écart sont consignés dans un outil de suivi des actions correctives, le processus d'examen prend alors un caractère d'enquête plutôt qu'd'évaluation — et le dossier qui devrait étayer une décision de mise sur le marché génère au contraire une liste de demandes d'informations supplémentaires.

La structure minimale recommandée pour un dossier de requalification associe chaque élément à une fonction d'évaluation spécifique, comme l'indique le tableau ci-dessous. Les éléments énumérés doivent être considérés comme un point de départ susceptible d'être adapté aux exigences spécifiques de l'installation, au niveau de biosécurité et au contexte réglementaire, et non comme un modèle universel.

Le risque structurel ne correspond généralement pas à un élément manquant pris isolément. Il s’agit plutôt d’une combinaison de lacunes : des registres d’étalonnage présents mais sans rapports d’écart, ou des données brutes incluses mais sans le document de contrôle des modifications expliquant pourquoi le périmètre des essais a été défini ainsi. Chaque élément manquant rompt un maillon spécifique de la chaîne de preuves, et une commission d’examen évaluant le dossier identifiera chaque rupture avant d’approuver la clôture. La conséquence n’est pas seulement un retard : c’est un cycle d’examen qui place l’équipe d’assurance qualité dans une position défensive, où elle doit expliquer son processus plutôt que de finaliser ses éléments de preuve.

En l'absence de preuves cohérentes, l'examen de clôture se transforme en un exercice de reconstitution.

Avant de soumettre un dossier de requalification à l'examen du comité, assurez-vous que tous les éléments sont bien présents, que chacun d'entre eux fait référence aux autres lorsque cela est nécessaire, et qu'aucun écart en suspens n'est resté sans résolution documentée. Un enregistrement d'approbation antérieur à la clôture d'un dossier d'écart constitue une erreur de séquence que les auditeurs signaleront, quel que soit le résultat technique sous-jacent.

Les dossiers de preuve de requalification échouent devant les comités d’examen non pas parce que les essais étaient erronés, mais parce que la documentation ne permet pas à l’examinateur de suivre le raisonnement, depuis la justification du changement jusqu’à la sélection des essais, leur exécution, la gestion des écarts et la validité de l’étalonnage, pour aboutir à une décision de mise en service défendable. Chaque lacune — un rapport d’état « tel quel » manquant, un écart non résolu, un certificat d’étalonnage sans traçabilité des références, ou un document de contrôle des modifications qui ne mentionne pas les essais qu’il a déclenchés — crée une rupture distincte dans cette chaîne qui nécessite une réponse avant que la clôture puisse avoir lieu.

Avant de soumettre le dossier à l'examen de l'assurance qualité ou de la biosécurité, vérifiez que le motif de la modification est explicitement lié au périmètre des essais, que les données « telles que constatées » et « telles que modifiées » figurent toutes deux dans le dossier, que chaque écart fait l'objet d'une évaluation d'impact et d'une résolution documentées, que les registres d'étalonnage sont traçables par rapport à des étalons de référence certifiés, et que les registres d'approbation correspondent à la bonne version du protocole. Si l'une de ces vérifications ne peut être effectuée sur la base du dossier tel qu'il a été constitué, réglez ces points avant l'examen — et non en réponse à une demande de la commission.

Questions fréquemment posées

Q : Le changement d'équipement que nous avons effectué consistait en un remplacement à l'identique, sans aucune modification de conception. Devons-nous tout de même fournir l'ensemble complet des justificatifs de requalification ?
R : Non, pas nécessairement l’ensemble du périmètre des essais, mais une évaluation documentée reste indispensable. Même un remplacement à l’identique peut avoir une incidence sur le confinement si les conditions d’installation, les spécifications des composants ou les performances constatées diffèrent de l’état validé. Le dossier de justification doit inclure la raison du changement, les données « telles que constatées » et « telles que laissées » pour les paramètres concernés, ainsi qu’une justification claire de tout essai ayant été omis. Ce que le comité d’examen attend, c’est de constater que le changement a été évalué — et non pas qu’une suite d’essais exhaustive a été exécutée.

Q : Qui doit procéder à la vérification finale de l'exhaustivité du dossier de preuves de requalification avant qu'il ne soit transmis à la commission d'examen ?
R : Le responsable de l'équipement (ou l'ingénieur en charge) et le service d'assurance qualité doivent vérifier conjointement le dossier. Le responsable de l'équipement s'assure que le périmètre des essais reflète fidèlement la modification et que les résultats techniques sont corrects ; le service d'assurance qualité vérifie que tous les éléments de la documentation sont présents, traçables et reliés de manière logique. Une vérification portant sur un seul aspect risque de passer à côté de lacunes concernant soit l'exhaustivité technique, soit l'intégrité de la documentation, ce qui pourrait donner lieu à des questions de la part du comité.

Q : Les mêmes recommandations concernant les dossiers de preuves s'appliquent-elles aux installations de niveau BSL-2, ou uniquement aux niveaux de confinement BSL-3 et supérieurs ?
R : Les principes fondamentaux en matière de documentation s’appliquent à tous les niveaux de biosécurité, mais les essais spécifiques, les critères d’acceptation et les données relatives aux voies d’exposition varient en fonction du profil de risque de l’installation. Dans un environnement BSL-2, les preuves relatives à la cascade de pression peuvent faire défaut et la démonstration de la biosécurité repose souvent davantage sur des contrôles procéduraux et techniques ; le dossier doit refléter l’évaluation des risques du site plutôt que de reprendre intégralement les listes de contrôle CL-3. Les comités d’examen s’attendront à ce que le niveau de détail de la documentation corresponde au niveau de confinement et à l’impact potentiel de la modification.

Q : Est-il acceptable, dans certains cas, de présenter un dossier de requalification au champ d'application réduit, ou faut-il toujours rassembler l'ensemble complet des éléments de preuve ?
R : Oui, une réduction de la portée est acceptable lorsque la modification n’affecte manifestement pas certaines voies d’exposition. Ce qui rend cette décision défendable, c’est une justification explicite et approuvée qui identifie les essais omis et les raisons de cette omission, documentée dans le registre de contrôle des modifications. Le dossier de justification doit tout de même contenir les éléments obligatoires — motif de la modification, données telles que constatées, registres d’étalonnage, résolution des écarts et autorisations — même si la liste des essais est plus courte. La commission évalue la logique de la réduction, et pas seulement la longueur du rapport.

Q : L'utilisation de solutions de confinement préfabriquées, telles qu'un module BSL-3 mobile, alléger progressivement la charge de la preuve en matière de renouvellement de la qualification ?
R : Cela peut alléger la charge de travail liée à la constitution des preuves pour certaines modifications, car les plateformes validées en usine s’accompagnent souvent d’enveloppes de performances normalisées, de références de test pré-documentées et de spécifications de composants reproductibles. Toutefois, le contrôle des modifications spécifiques au site, la vérification de l’installation et l’exigence de la commission d’examen concernant une chaîne de preuves complète restent d’application — le principe général de documentation demeure inchangé, même si l’unité est livrée avec des dossiers de qualification initiaux solides.