Matrice des responsabilités des fournisseurs pour les projets d'équipements à haut niveau de confinement : rôles respectifs de l'acheteur, du contractant EPC et du fournisseur

Les projets d’équipements à haut niveau de confinement échouent au niveau des interfaces, et non au niveau des équipements eux-mêmes. Lorsqu’un module BSL-3 arrive sur site et que les dimensions de la chambre de collecte des effluents ne correspondent pas au réseau de conduits de l’EPC, ou lorsqu’un système de décontamination des effluents est installé mais qu’aucune partie n’a précisé par écrit à qui incombe la validation du système de traçage thermique de la conduite d’évacuation, le projet ne s’interrompt pas pour permettre une discussion sereine : il s’enlise pendant que les équipes juridiques examinent les termes du contrat et que les chefs de projet se rejettent la responsabilité. Ce schéma est prévisible, et son origine remonte à une étape plus précoce que la plupart des organisations ne veulent bien l’admettre : à la période précédant l’approbation de l’appel d’offres, lorsque la définition des limites du périmètre du projet semble prématurée. La solution réside dans la connaissance précise de ce que doit spécifier une matrice des responsabilités — et des attributions qui, si elles restent vagues, transformeront un problème d’interface technique en litige contractuel au pire moment possible.

Champs de la matrice des responsabilités pour les projets à haut niveau de confinement

Une matrice des responsabilités dépourvue de précisions au niveau des colonnes n’est qu’une liste d’intentions, et non un document de pilotage de projet. Cette distinction est importante car les projets à haut niveau de confinement impliquent au moins trois parties dont les périmètres se recoupent partiellement — l’acheteur, le contractant EPC et le fournisseur d’équipements — et la perception qu’a chaque partie de la limite de ses obligations divergera en cas de pression si le document le permet. La matrice doit définir, pour chaque contrôle ou activité, non seulement qui est responsable, mais aussi ce qu’implique concrètement cette responsabilité : les délais, les critères d’acceptation et les noms des actions concernées, et non pas des catégories.

La structure en quatre colonnes qui rend cela possible sépare le contrôle ou l’activité du rôle spécifique de chaque partie et ajoute une colonne pour les détails partagés qui régit les mécanismes de transfert. Le “ contrôle d’accès ” en tant que ligne de la matrice est inutile sur le plan opérationnel. En revanche, “ les revues d’accès trimestrielles pour les systèmes classifiés ” confinement », menées par le fournisseur, examinées et approuvées par le service d’assurance qualité de l’acheteur » est une tâche assignable et vérifiable. La différence ne réside pas dans une précision administrative pour elle-même : c’est la différence entre un écart résolu en trois jours et un écart restant en suspens pendant six semaines, chaque partie attendant que l’autre prenne l’initiative.

Le type d’erreur qu’il convient de souligner ici est la copie de modèles. Une matrice copiée d’un projet précédent sans adaptation à la portée réelle de la mission en cours engendre un risque en énumérant des activités qu’aucune partie n’est contractuellement tenue d’exécuter. Dans les projets de confinement, cela se manifeste généralement par une ligne attribuant la validation du cycle de décontamination au fournisseur alors que le contrat en vigueur confie cette tâche à l’équipe de mise en service de l’EPC — et cette ligne reste alors non signée, sans contestation, et oubliée jusqu’à la phase d’exécution de l’IQ.

Exigences propres à l'acheteur et étapes d'approbation

Le rôle de l'acheteur ne se limite pas à une simple validation passive. Dans un projet à haut niveau de confinement, l’acheteur est propriétaire du cahier des charges fonctionnel (URS), considéré comme un document évolutif, et les critères d’acceptation qui y sont intégrés constituent le seuil par rapport auquel chaque système livré est évalué. Si ces critères sont insuffisamment précisés au lancement du projet — si les performances de confinement sont décrites comme “ répondant aux exigences BSL-3 ” sans référence à des différences de pression, des débits d’air ou des seuils d’alarme spécifiques —, alors chaque protocole de test FAT et SAT rédigé à partir de ce cahier des charges fonctionnel hérite de cette ambiguïté.

Parmi les éléments dont l'acheteur doit disposer, et qui doivent être explicitement mentionnés dans la matrice, figurent : l'approbation finale de tous les protocoles d'essai avant leur exécution, le pouvoir de validation à chaque étape d'acceptation (FAT, SAT, IQ, OQ, PQ), ainsi que le droit de rejeter tout dossier de documentation qui ne respecte pas l'URS. La norme ASTM E2500-25 considère l'élaboration des URS et la planification de la vérification comme des activités fondamentales qui définissent ce que signifie “ adapté à l'usage prévu ” pour un système donné — ce qui signifie que l'acheteur ne peut pas confier cette définition au fournisseur et s'attendre ensuite à ce que le processus d'acceptation se déroule sans heurts.

Les conséquences en aval d'une prise en charge insuffisante de la part de l'acheteur à ce stade se manifestent lors de la phase IQ. Si l'acheteur n'a pas précisé par écrit quels critères de performance nécessitent une validation par un tiers plutôt qu'une validation interne, la phase d'exécution IQ implique souvent de renégocier ces décisions dans l'urgence, alors que l'équipement est déjà installé et que le calendrier du projet est déjà bien engagé.

Services publics détenus par EPC et interfaces mises en place

C'est souvent au niveau de la responsabilité de l'EPC dans les projets à haut niveau de confinement que réside l'ambiguïté la plus lourde de conséquences, car l'EPC relie les équipements fournis aux systèmes du bâtiment qui déterminent si ces équipements peuvent fonctionner comme prévu. La qualité de l'alimentation électrique, les débits d'alimentation et d'évacuation des systèmes CVC, le dimensionnement des conduites d'évacuation, la capacité de charge structurelle et le câblage d'interverrouillage entre les systèmes de gestion du bâtiment et les équipements confinés constituent autant d'interfaces où le périmètre de l'EPC et la conception des équipements du fournisseur doivent être précisément alignés avant le début de l'installation.

Le risque n’est pas que les EPC ne comprennent pas leur travail, mais bien que les mentions “ fourni par l’EPC ” et “ validé par l’EPC ” ne signifient pas la même chose, et que la matrice doit faire la distinction entre les deux. Un EPC peut être chargé d’installer un raccord d’évacuation sur un isolateur OEB4/OEB5 sans pour autant être responsable de vérifier que la pression statique fournie au niveau de ce raccord correspond aux exigences de conception de l’isolateur. Si cette vérification n’est pas confiée à une partie spécifique, elle risque d’apparaître comme une anomalie non résolue lors de la mise en service.

Le critère déterminant pour modifier la recommandation dans ce cas est la dépendance vis-à-vis du confinement. Pour tout raccordement de service dont un mode de défaillance affecte directement l’intégrité du confinement — cascade de pression négative, flux d’air d’évacuation vers un module BSL-3, raccordement du système d’évacuation des effluents à un EDS —, la matrice doit attribuer à une partie désignée la responsabilité active de la vérification, et non la responsabilité passive de l’installation. Cette distinction est importante pour l’équipe de mise en service et, par la suite, pour l’autorité d’inspection chargée d’examiner le dossier de qualification.

Matériel appartenant au fournisseur et livrables en matière de documentation

L’ensemble des livrables du fournisseur d’équipements va bien au-delà du système physique. Pour les équipements à haut niveau de confinement et ceux soumis aux exigences GMP, le dossier de documentation constitue un élément essentiel de la qualification, et toute lacune dans ce dossier retarde la mise en œuvre de la qualification de l’installation (IQ) de manière tout aussi certaine que des défauts matériels. Le fournisseur doit fournir — et ces éléments doivent être explicitement mentionnés dans la matrice — le dossier de qualification de la conception, les protocoles d’essais de réception en usine et les rapports signés, la documentation d’appui à la qualification d’installation, ainsi que les manuels d’utilisation et de maintenance dans un format compatible avec les exigences de gestion documentaire de l’acheteur.

Le point où cela pose généralement problème n'est pas l'omission, mais l'ambiguïté concernant la distinction entre la rédaction et l'approbation. La matrice doit préciser non seulement que le protocole d'inspection de qualité (IQ) existe, mais aussi qui le rédige, qui le revoit et qui l'approuve avant le début de l'exécution. L’annexe 15 du volume 4 d’EudraLex traite du cycle de vie de la qualification comme d’une séquence structurée d’activités documentées, mais elle ne prescrit pas que le fournisseur rédige le protocole de qualification. Cette attribution relève d’une décision de projet, et si elle n’est pas explicitement définie, le fournisseur et l’équipe de validation de l’acheteur risquent de rédiger des versions distinctes, puis de passer du temps à les harmoniser à un moment où les ressources dédiées à la mise en service sont déjà mises à rude épreuve.

Pour les projets portant sur des systèmes complexes —Systèmes de laboratoires modulaires BSL-3/BSL-4 ou des isolateurs de confinement dotés d’une logique de commande intégrée — le champ d’application de la documentation est suffisamment vaste pour qu’il soit utile d’établir, en annexe du contrat, un calendrier de livraison des documents de documentation, auquel la matrice fait référence. Sans cela, la ligne de la matrice consacrée à la “ documentation du fournisseur ” retombe dans la même catégorie d’obligation vague qu’elle était censée éviter.

Points de défaillance communs lors des tests de réception

Les responsabilités partagées constituent les lignes les plus risquées dans toute matrice de projet de confinement, et le schéma d’échec est systématique : lorsqu’une responsabilité est décrite comme partagée sans que les modalités ne soient précisées, chaque partie part du principe que c’est l’autre qui s’occupe de la partie active. La conséquence lors des tests de réception n’est pas une dispute, mais un retard : les tests s’enlisent lorsqu’un intervenant se présente pour constater un protocole qui n’a pas été finalisé, ou lorsqu’un écart est consigné sans responsable désigné et reste en suspens jusqu’à la fin de la période de tests d’acceptation sur site (FAT).

Les trois activités communes dans lesquelles ce schéma apparaît de manière la plus systématique dans les projets à haut niveau de confinement sont la présence aux essais FAT et SAT, le soutien au protocole et la clôture des écarts. En ce qui concerne la présence aux essais FAT sur les équipements confinés, il convient de déterminer, avant de fixer la date des essais FAT, qui se rendra dans les locaux du fournisseur pour assister aux essais, qui donnera l’aval officiel et ce qui constitue un résultat satisfaisant. En ce qui concerne le soutien aux protocoles, la question de savoir qui rédige, révise et approuve le protocole d’essai — et qui fournit les agents d’essai, les étalons de référence ou les échantillons témoins — n’est pas implicite dans le terme “ partagé ”.”

C’est lors de la clôture des écarts que le coût en aval d’un partage imprécis se manifeste le plus clairement. Un écart consigné lors des essais d’acceptation en usine (FAT) pour lequel aucun enquêteur n’a été désigné et dont la chaîne d’approbation de clôture n’a pas été définie a tendance à suivre l’une des deux voies suivantes : soit il est clôturé sans documentation adéquate sur la cause première et est ensuite contesté lors d’une inspection réglementaire, soit il reste ouvert et bloque le calendrier des essais d’acceptation sur site (SAT) pendant que les parties négocient la responsabilité. La matrice doit désigner une seule partie chargée de l’enregistrement, une seule partie chargée d’enquêter sur la cause première et une seule partie chargée d’approuver la clôture ; elle doit également préciser l’étape de communication permettant d’informer toutes les parties lorsque la clôture est effective.

Pour mieux comprendre comment les séquences de mise en service interagissent avec ces décisions de transfert, le Guide étape par étape pour la mise en service d'un laboratoire BSL-3 explique comment les phases de tests d'acceptation s'inscrivent dans le cycle de vie plus large de la qualification.

Règle de responsabilité pour chaque exigence critique

La matrice prend tout son sens sur le plan opérationnel lorsque chaque exigence critique — intégrité du confinement, performance de la cascade de pression, validation du cycle de décontamination, traitement des effluents — dispose d’un responsable unique et d’un responsable de soutien désigné avant la signature de l’autorisation d’achat. Il ne s’agit pas d’une simple préférence structurelle pour une documentation claire, mais d’un seuil pratique qui impose une discussion sur les lacunes du périmètre et l’état de préparation du site à un stade du projet où celles-ci peuvent encore être résolues sans nécessiter de travaux supplémentaires.

Le compromis est bien réel : plus les détails des limites sont précis dans la matrice, plus les questions épineuses surgissent tôt. Un EPC qui n’a pas confirmé la maturité structurelle d’un système de confinement lourd, ou un acheteur dont l’équipe d’assurance qualité n’a pas alloué les ressources nécessaires à la phase de révision du protocole, verra ces lacunes mises en évidence lors de la finalisation de la matrice plutôt qu’à l’arrivée du système sur site. Les organisations reportent souvent cette précision car elle leur semble prématurée — et c’est précisément ce report qui transforme une question de périmètre gérable en un retard de mise en service.

Une matrice signée ou contresignée est l’instrument qui transforme ces attributions, telles qu’elles sont interprétées par l’une des parties, en un engagement contraignant dans le cadre du projet. Une matrice non signée — même si elle est bien structurée — n’est pas opposable en cas de litige. La norme ICH Q9(R1) soutient le principe selon lequel la gestion des risques liés à la qualité nécessite une attribution claire de la responsabilité des contrôles des risques, mais une matrice signée est un mécanisme de gouvernance du projet, et non une exigence réglementaire. Son intérêt est d’ordre pratique : elle comble le fossé entre ce dont chaque partie pensait être responsable et ce qu’elle s’est réellement engagée à fournir.

La vérification préalable à l'approbation d'un achat est simple : il suffit de passer en revue chaque ligne de la matrice pour s'assurer qu'un seul responsable y est désigné, de vérifier qu'un responsable de suivi est bien nommé et de s'assurer qu'aucune ligne ne porte la mention “ partagé ” sans qu'une colonne spécifique ne précise les modalités. Toute ligne ne satisfaisant pas à cette vérification est source de litige potentiel.

La matrice des responsabilités trouve toute sa place dans un projet à haut niveau de confinement, non pas en tant que simple outil de conformité, mais en tant que document permettant de transformer les hypothèses du projet en engagements avant que ces hypothèses ne donnent lieu à des retouches. Les questions auxquelles elle doit répondre avant l’approbation des marchés sont précises : quelle partie rédige chaque protocole de qualification, qui l’approuve, qui assiste à chaque procédure de réception, qui consigne et clôture les écarts, et quelles interfaces avec les réseaux nécessitent une vérification active plutôt qu’une installation passive. Pour les projets impliquant des systèmes dont les performances de confinement dépendent à la fois des équipements fournis et de l’infrastructure du bâtiment installée — cascade de pression, continuité des évacuations, connectivité du traitement des effluents —, la frontière entre le périmètre du fournisseur et celui de l’EPC constitue la ligne la plus risquée de la matrice et mérite d’être traitée de la manière la plus explicite possible.

Avant qu’un projet ne passe de la phase de sélection des fournisseurs à celle de la commande, la matrice doit être vérifiée selon trois critères : chaque exigence critique doit avoir un seul responsable ; chaque ligne commune doit comporter des précisions indiquant qui détecte, enquête et clôture ; et chaque partie doit avoir signé ou officiellement pris acte du document. Si ces conditions ne sont pas remplies, la matrice reste un simple modèle — et le projet s’expose aux risques qui en découlent.

Questions fréquemment posées

Q : Que se passe-t-il si notre projet ne fait pas appel à un EPC ? L'article part du principe d'une structure tripartite, mais nous gérons nous-mêmes l'installation.
R : La matrice des responsabilités reste valable, mais vous devez intégrer la colonne « EPC » dans le périmètre de l’acheteur et préciser encore davantage les points de transfert entre votre équipe d’installation interne et le fournisseur d’équipements. Le même scénario de défaillance s’applique : des hypothèses non documentées concernant la vérification des services publics, la rédaction des protocoles et la présence aux tests de réception resurgiront plus tard, à la seule différence que le litige opposera désormais votre propre groupe au fournisseur plutôt que l’EPC au fournisseur. La logique à quatre colonnes de la matrice ne nécessite pas d’EPC ; elle exige simplement qu’aucune interface ne soit laissée au hasard, quel que soit le nombre de parties impliquées.

Q : Une fois la matrice des responsabilités signée mise en place, quelle est la prochaine étape à suivre avant d'émettre le bon de commande ?
R : Harmoniser le calendrier de livraison des documents avec la matrice et le joindre au contrat. La matrice définit qui est chargé de rédiger, de réviser et d’approuver les documents de qualification ; sans un calendrier précis indiquant exactement quels documents doivent être livrés à quelle étape clé, la ligne “ documentation du fournisseur ” reste une obligation vague. C’est à cette étape que la matrice passe du statut de document de gouvernance du projet à celui d’annexe opérationnelle que le service des achats peut faire respecter.

Q : À partir de quelle envergure de projet ou de quel niveau de risque une matrice détaillée des responsabilités des fournisseurs devient-elle superflue ?
R : Lorsque l’équipement fonctionne en dehors des limites critiques au regard des BPF ou du confinement — par exemple, un bloc de services standard à usage général qui n’affecte ni la qualité du produit ni la biosécurité. Si une défaillance au niveau de l’interface ne donne pas lieu à une observation réglementaire, à une enquête sur l’impact sur le produit ou à une brèche de confinement, une répartition simplifiée des tâches dans le contrat est souvent suffisante. Le critère déterminant est la dépendance vis-à-vis du confinement : dès lors qu’un raccordement aux réseaux techniques affecte directement la dépression, le traitement des effluents ou l’intégrité des limites aseptiques, le niveau de détail de la matrice cesse d’être une simple formalité administrative et relève désormais du contrôle des risques.

Q : En quoi l'utilisation d'une matrice de responsabilités formelle diffère-t-elle du fait de se fier uniquement à une formulation bien rédigée du champ d'application du contrat ?
R : Un contrat répartit les obligations ; une matrice des responsabilités signée définit non seulement ce que chaque partie doit faire, mais aussi qui lance l’action, qui la clôture et ce que signifie “ terminé ” pour chaque activité qui franchit une frontière. Le libellé du contrat stipule généralement que le contractant EPC doit “ fournir un raccordement d’évacuation vers l’isolateur ”, mais ne désigne pas la partie chargée de vérifier que la pression statique fournie respecte les spécifications de conception. La matrice convertit les obligations prévues au niveau du contrat en actions concrètes incombant à un seul responsable — et c’est cette distinction qui empêche le processus d’approbation d’un protocole de s’enliser, les parties attendant que quelqu’un d’autre fasse le premier pas.

Q : Le temps nécessaire pour négocier et remplir une matrice détaillée est-il justifié pour un seul équipement de confinement, tel qu'un isolateur, ou cela n'est-il rentable que pour les grands systèmes intégrés ?
R : Même pour un seul équipement, comme un Isolateur OEB4/OEB5, la matrice apporte une valeur ajoutée car les points d’interface — alignement des conduits d’évacuation, câblage des verrouillages du système de gestion technique du bâtiment (BMS), raccordement des évacuations, responsabilité du protocole de qualification — ne disparaissent pas lorsque le nombre de systèmes diminue. Un seul isolateur reste raccordé aux réseaux du bâtiment, nécessite toujours des décisions concernant la présence aux essais FAT/SAT et génère toujours des dossiers de documentation que quelqu’un doit examiner et approuver. La charge de travail diminue proportionnellement au nombre de systèmes, mais le risque qu’une ligne “ partagée ” non signée entraîne un retard de mise en service ne diminue pas simplement parce que la liste des équipements est courte.