Documentation de validation et de transfert pour les projets liés aux laboratoires de sécurité biologique (BSL) et aux systèmes de confinement : URS, FAT, SAT, IQ/OQ/PQ et réception définitive

Les projets de confinement qui parviennent à l’étape de l’examen de mise en service sans disposer d’un dossier de preuves structuré ont tendance à révéler le même problème au pire moment possible : le service d’assurance qualité ne peut pas démontrer qu’une fonction de confinement spécifique a été testée, validée et transférée aux opérations dans des conditions définies. À ce stade, la solution ne consiste généralement pas simplement à obtenir une signature manquante, mais implique une nouvelle qualification, ce qui signifie replanifier les interventions des ingénieurs de qualification, réexécuter les protocoles de test sur les systèmes installés et résoudre les écarts qui n’ont jamais été officiellement clôturés. Pour éviter cela, il faut considérer le dossier de documentation comme une chaîne de preuves structurée, avec des limites de phases bien définies, et non comme un simple ensemble de rapports rassemblés en fin de projet. Comprendre où commence et où finit chaque phase, ce que les preuves fournies par les fournisseurs peuvent ou ne peuvent pas remplacer, et à quel moment un dossier de transfert est véritablement complet permettra de déterminer si vos agréments en matière d’assurance qualité et de biosécurité tiendront la route lors d’une inspection.

Délimiter le périmètre du dossier documentaire, de l’URS à la réception définitive

La fonction la plus utile d’un ensemble de documents structuré par phases est la traçabilité, c’est-à-dire la capacité à établir un lien entre une exigence de confinement énoncée dans le cahier des charges fonctionnels (URS) et le procès-verbal d’essai démontrant qu’elle a été respectée dans le système installé. Sans cette chaîne, un inspecteur ou un évaluateur en biosécurité ne peut déterminer si un résultat « conforme » reflète les conditions réelles d’exploitation ou un réglage d’usine qui n’a jamais été revérifié sur site.

L’annexe 15 d’EudraLex définit la qualification comme un processus continu, fondé sur des preuves, plutôt que comme une étape d’un projet ; cela signifie que chaque phase doit produire des documents sur lesquels la phase suivante peut s’appuyer, plutôt que de les remplacer. L’URS et les bases de conception définissent la référence fonctionnelle. Les documents du fournisseur relatifs aux essais de réception en usine (FAT) confirment la qualité de fabrication et la logique de contrôle. Les documents relatifs aux essais de réception sur site (SAT) confirment les performances du système une fois installé dans les conditions réelles du site. Les protocoles IQ/OQ/PQ transforment ces résultats obtenus dans les conditions réelles du site en un dossier formel et défendable. Les validations finales de réception confirment que le dossier de preuves est complet et que le système est prêt pour le transfert opérationnel.

Une erreur structurelle courante consiste à considérer les phases comme des étapes successives plutôt que comme des limites interdépendantes. Lorsque le cahier des charges (URS) reste vague quant aux seuils de performance en matière de confinement, les critères de test FAT héritent de ce flou, et les critères d'acceptation OQ deviennent difficiles à définir sans ambiguïté. Cette lacune n'apparaît généralement qu'au stade de la qualification de performance (PQ), lorsque les résultats ne peuvent être comparés à une référence convenue.

Chaque étape de la ventilation ci-dessous correspond aux éléments de preuve généralement attendus à ce stade pour garantir l’intégrité des procédures IQ/OQ/PQ — il ne s’agit pas d’une liste de contrôle réglementaire exhaustive, mais de la structure minimale justifiable pour un projet de confinement.

Une conséquence pratique de cette structure : la validation finale ne peut pas pallier les lacunes constatées lors des phases précédentes. Si les rapports de FAT (tests d'acceptation sur site) font défaut pour une fonction de contrôle critique et que cette fonction n'a pas fait l'objet d'un nouveau test lors de la SAT (tests d'acceptation en site), la phase de PQ (qualification de performance) ne peut pas la valider rétroactivement. La limite entre deux phases correspond également à la limite de responsabilité.

Éléments justificatifs fournis par le fournisseur pouvant étayer la qualification du site

La documentation fournie par le fournisseur peut appuyer la qualification du site, mais elle ne peut en aucun cas la remplacer. Cette distinction est importante, car les équipes soumises à des contraintes de calendrier considèrent souvent qu’un ensemble complet de manuels d’exploitation et de maintenance constitue la preuve que le système est prêt à fonctionner, alors que ces documents décrivent en réalité ce pour quoi le système a été conçu — et non ce que le système installé fait concrètement dans les conditions spécifiques au site.

L'étape de vérification consiste à effectuer des recoupements. Avant de passer aux phases d'IQ/OQ, il convient de comparer les justificatifs fournis par le fournisseur avec l'état réel de l'installation : les références du manuel d'exploitation et de maintenance par rapport aux plaques signalétiques des équipements installés, les versions approuvées des documents de soumission par rapport à la configuration sur site, l'état de révision des plans conformes à l'exécution par rapport au registre des ordres de modification en cours, et les dates de début de garantie par rapport à la date effective d'achèvement substantiel. Aucune de ces vérifications n’est imposée de manière normative pour chaque projet, mais chacune d’entre elles permet de pallier un risque de défaillance qui, s’il n’est pas détecté, peut compromettre l’ensemble de la qualification du site.

Il convient de souligner tout particulièrement le décalage entre la date de début de garantie et la date de mise en service, car il crée une lacune latente en matière de responsabilité. Si la date de début de garantie est liée à l'expédition depuis l'usine plutôt qu'à la mise en service sur site, les défaillances opérationnelles précoces peuvent ne pas être couvertes, même si l'installation n'a pas encore atteint son plein fonctionnement. Ce problème ne se révèle généralement qu'en cas de défaillance.

Le tableau ci-dessous met en correspondance les types de justificatifs habituellement fournis par les fournisseurs et les signaux d’anomalie susceptibles d’entraîner la suspension du processus de qualification.

Une version soumise qui ne correspond pas à la configuration installée n'entraîne pas nécessairement une disqualification, mais elle crée une incertitude quant à la conformité qui doit être levée avant de poursuivre les procédures d'IQ/OQ. L'état installé correspond soit à la conception approuvée, soit il ne lui correspond pas — et s'il ne lui correspond pas, l'écart doit faire l'objet d'une décision avant le début des essais, et non après.

Données d'usine et données du système installé

L'écart entre ce qui a été livré par l'usine et ce qui est installé sur site constitue la source la plus courante de problèmes de clôture de chantier nécessitant d'importants travaux de reprise dans les projets de confinement. C'est également celle que les équipes ont tendance à sous-estimer, car elle s'accumule progressivement — un composant remplacé par-ci, une modification non documentée par-là — jusqu'à ce que les plans « tel que construit » ne puissent plus être finalisés en raison de bons de modification encore en suspens.

Le principal risque réside dans le fait que les manuels d’exploitation et de maintenance ainsi que les documents de garantie, rédigés sur la base des spécifications d’origine des équipements, perdent toute fiabilité dès lors que des substitutions non documentées sont effectuées. Les intervalles de maintenance, les références des pièces de rechange et les exigences d’étalonnage peuvent ne plus s’appliquer au matériel physiquement installé. Dans les systèmes de confinement où le respect du calendrier de maintenance constitue une condition de biosécurité, et non une simple question de fiabilité, cet aspect revêt une importance bien plus grande que dans le cas d’équipements de traitement standard.

Le contrôle pratique de rapprochement s’effectue au niveau des numéros de série. Avant la clôture de la qualification, il convient de comparer les références manuelles des pièces avec les plaques signalétiques des équipements installés et les registres d’achat, de vérifier le registre des ordres de modification par rapport à l’état de révision des plans, et de rapprocher la nomenclature fournie par le fabricant avec l’inventaire physique sur site. Ces contrôles constituent des recommandations issues des principes de traçabilité de la qualification, et non des obligations réglementaires ; toutefois, les ignorer entraîne des incohérences dans la planification de la maintenance et compromet la validité réglementaire du dossier de qualification lui-même.

Pour les isolateurs et les systèmes de transfert nécessitant une requalification périodique, un manuel d'exploitation et de maintenance peu fiable ne constitue pas un problème ponctuel. Il engendre une incertitude croissante à chaque cycle de maintenance et à chaque opération de requalification, et ce tout au long de la durée de vie du système. Le Isolateur OEB4/OEB5 et Boîte de passage VHP Il s'agit d'exemples de matériel de confinement pour lesquels la traçabilité au niveau du numéro de série entre les registres d'usine et la configuration installée a une incidence directe sur la capacité à exécuter de manière fiable les protocoles de requalification périodique par rapport à une référence connue.

Le FAT crée ici un compromis réel mais qui peut facilement prêter à confusion. Un rapport FAT en bonne et due forme confirme que l’unité a été construite correctement et que la logique de commande a été vérifiée avant l’expédition. Il ne confirme pas que l’unité installée présente la même configuration que celle qui a quitté l’usine, et il ne vérifie pas les réseaux techniques du site, les interfaces de pression ambiante ni les intégrations d’alarmes. Considérer le FAT comme une condition préalable au SAT — plutôt que comme un substitut à celui-ci — est la bonne interprétation. Le rapport sur le système installé doit être indépendant du rapport d’usine.

Clôture de l'écart avant l'approbation par le service d'assurance qualité et le service de biosécurité

Un écart non résolu au moment de la remise ne constitue pas une lacune administrative : il s'agit d'une question en suspens quant à savoir si le système remplit une fonction documentée dans des conditions définies. Les validations en matière d'assurance qualité et de biosécurité fondées sur des registres d'écarts incomplets créent un risque d'audit qui ne s'atténue pas avec le temps ; au contraire, ce risque s'aggrave, car chaque inspection ultérieure peut remettre en cause les critères d'acceptation initiaux.

Le contrôle de processus qui empêche toute validation prématurée consiste en un suivi en temps réel de l’exhaustivité du dossier de transfert, avec une réévaluation automatique déclenchée chaque fois qu’un avenant ou un ordre de modification modifie le périmètre de la documentation. Lorsque des modifications de périmètre sont intégrées sans réévaluation du dossier de justification, il en résulte un dossier qui semble complet au regard des exigences initiales, mais qui présente des lacunes par rapport à la base de conception actuelle. Cette divergence apparaît généralement lors de la revue d’assurance qualité, et non pendant l’exécution du projet — à ce stade, elle nécessite alors une remise en travail plutôt qu’une prévention.

Le critère permettant de considérer qu’un dossier de transfert est complet est simple en tant que critère de pilotage de projet : chaque contrainte restante doit être documentée en précisant le nom du responsable et une date de révision. Il ne s’agit pas d’une définition réglementaire universelle, mais c’est la structure minimale de responsabilité traçable nécessaire pour empêcher que des lacunes non résolues ne parviennent jusqu’à l’approbation finale. Un écart sans responsable est un écart qui ne sera pas résolu.

Un mécanisme spécifique qui mérite d’être mis en œuvre : chaque fois qu’un ordre de modification est émis pendant la construction ou la mise en service, il devrait déclencher une comparaison automatique entre le nouveau périmètre et la liste existante des exigences en matière de documentation. Si l’ordre de modification affecte une fonction de confinement — logique de commande CVC, séquences de verrouillage, points de consigne de la cascade de pression —, les rapports d’essais et les plans conformes à l’exécution concernés devraient être signalés pour une nouvelle vérification avant la mise à jour du registre des écarts. Sans ce lien, les ordres de modification sont clôturés sur le plan financier alors que des lacunes dans la documentation subsistent.

Pour les projets impliquant des infrastructures de confinement complexes, le Mise en service de votre laboratoire BSL-3 : Guide étape par étape explique comment le suivi des écarts s'intègre au déroulement de la mise en service avant le transfert au service d'assurance qualité.

Index de transfert par système, salle et numéro de série

Dans la plupart des projets de confinement, l'étape la plus longue lors de la clôture n'est pas la production des documents, mais leur mise en correspondance avec le matériel approprié. Les plans, certificats d'étalonnage, rapports d'essais et notes de non-conformité rédigées par rapport aux spécifications d'origine perdent toute fiabilité dès qu'un remplacement est effectué sur site sans mise à jour correspondante de l'index des documents. Il en résulte un dossier dans lequel les documents existent bien, mais ne peuvent être attribués de manière fiable au matériel spécifique installé dans une salle donnée.

Le numéro de série est la clé de voûte du système. C’est l’identifiant unique qui doit relier chaque dessin, fiche d’étalonnage, rapport d’essai et clôture de non-conformité à l’unité physique présente dans l’atelier. Un index de transfert organisé par système, salle et numéro de série rend ce lien explicite et vérifiable. Sans cela, un contrôleur de biosécurité ou un auditeur assurance-qualité doit reconstituer manuellement la chaîne d’attribution — un processus lent, source d’erreurs et souvent incomplet.

La structure d’indexation décrite ici est une recommandation pratique issue des principes de traçabilité qui sous-tendent la documentation de qualification de l’annexe 15 — et non un format imposé par une autorité en particulier. Son intérêt réside dans le fait qu’elle crée une piste d’audit sur une seule ligne, depuis les exigences jusqu’à l’installation et à la qualification pour chaque unité installée, indexée d’une manière qui correspond à la façon dont les ingénieurs et les responsables de la biosécurité mènent réellement leurs contrôles sur le terrain : par site et par équipement, et non par type de document.

Un index de transfert est particulièrement utile lorsqu’il est considéré comme un document évolutif tout au long du chantier, et non comme un document établi en fin de chantier. Si cet index est constitué de manière prospective — c’est-à-dire alimenté pendant la mise en service, au fur et à mesure de l’installation de chaque unité et de la production de chaque document —, le rapprochement des numéros de série devient une vérification de routine plutôt qu’un problème urgent à résoudre en fin de chantier. S’il est établi rétrospectivement, les ordres de modification en cours et les substitutions non documentées auront déjà créé des lacunes qui nécessiteront une enquête pour être comblées.

Déclencheur d'acceptation pour les fonctions de confinement non résolues

Une fonction de confinement présentant un rapport d’essai non résolu, un écart non attribué ou un critère d’acceptation ambigu doit être considérée comme un dossier incomplet — et non comme un simple problème administratif mineur en attente de validation. Cette distinction est importante car la validation en matière de biosécurité et l’approbation par l’assurance qualité ne constituent pas des confirmations indiquant que le système est « à peu près prêt » ; il s’agit d’affirmations formelles selon lesquelles le dossier de preuves démontre que le système remplit sa fonction de confinement dans les conditions définies. Un dossier incomplet à ce stade entraîne la création d’un dossier réglementaire comportant une lacune.

Le critère d’acceptation pour le transfert d’une fonction de confinement vers l’exploitation est constitué d’un ensemble de conditions qui, prises dans leur ensemble, confirment que le système se trouve dans un état stable et documenté — aucune n’étant suffisante à elle seule, mais toutes étant requises collectivement. Les recommandations du Manuel de biosécurité des laboratoires de l’OMS et les principes de qualification et d’aptitude à l’exploitation figurant à l’annexe 15 soutiennent tous deux le concept sous-jacent : l’aptitude documentée doit être confirmée avant le transfert vers l’exploitation, et cette confirmation doit être traçable. Les cinq conditions ci-dessous définissent à quoi ressemble cet état stable dans la pratique.

Deux aspects de cet ensemble méritent une attention particulière. Le comportement en cas de données manquantes — c’est-à-dire la manière dont le système réagit lorsqu’un capteur tombe en panne ou qu’un flux de données est interrompu — est souvent insuffisamment documenté dans les projets de confinement, car il nécessite des scénarios de test spécifiques allant au-delà de la simple vérification des plages de fonctionnement normales. Si la réponse du système à la défaillance d’un capteur de pression ou à l’absence d’un signal de verrouillage n’est pas définie et testée, cette lacune ne relève pas d’un problème d’étalonnage ; il s’agit d’un dossier de sécurité non vérifié. De même, l’acceptation par l’exploitant n’est pas une simple formalité. L’équipe chargée de l’exploitation courante doit officiellement confirmer qu’elle est prête, car ce sont ses membres qui géreront le système lorsqu’un événement imprévu se produira. Une remise de service sans cette confirmation revient à transférer le risque sans transférer une responsabilité éclairée.

Pour les fonctions de confinement impliquant des cycles de décontamination au VHP, le Protocole de validation VHP : IQ, OQ et PQ pour les systèmes à base de peroxyde d'hydrogène explique en détail comment les cas de données manquantes et les critères d'achèvement des cycles doivent être pris en compte dans le cadre des procédures IQ/OQ/PQ avant la signature de validation.

La solidité du dossier documentaire d’un projet de confinement dépend de son maillon le plus faible non résolu — et ce maillon est presque toujours découvert trop tard. En pratique, cela signifie que la qualité du dossier doit être évaluée en continu à l’aune d’un index structuré, et non pas assemblée et examinée en bloc au moment de la clôture. Les limites de phase, le rapprochement des numéros de série, la responsabilité des écarts et les conditions d’acceptation décrites ici ne sont pas de simples formalités procédurales ; ce sont les mécanismes qui permettent de justifier les validations en matière d’assurance qualité et de biosécurité en cas d’inspection, et qui font de la passation opérationnelle un véritable transfert de responsabilité plutôt que le simple départ de l’équipe de projet.

Avant d'approuver tout dossier de transfert, vérifiez de manière indépendante les trois points suivants : que chaque fonction critique de confinement dispose d'un compte rendu d'essai approuvé et traçable jusqu'au numéro de série de l'équipement installé ; que chaque non-conformité en cours ait un responsable désigné et une date de révision ; et que l'équipe d'exploitation ait officiellement confirmé qu'elle est prête. Si l'une de ces trois conditions n'est pas remplie, le dossier est incomplet, quel que soit le calendrier du projet.

Questions fréquemment posées

Q : Le dossier de justification structuré par phases s'applique-t-il si le projet fait appel à un entrepreneur « conception-construction » plutôt qu'à un modèle traditionnel associant un fournisseur et un intégrateur ?
R : Oui, mais la distinction entre les preuves fournies par le fournisseur et celles relatives à la qualification du site devient plus difficile à appliquer, et non plus facile à ignorer. Dans le cadre d’un contrat de conception-construction, une même entité établit à la fois les dossiers d’usine et les dossiers de mise en service sur site, ce qui crée une pression pour considérer ces dossiers comme interchangeables. Or, ils ne le sont pas : les dossiers FAT continuent de documenter les conditions en usine, tandis que les dossiers SAT et IQ/OQ/PQ doivent toujours documenter les performances du système installé dans le cadre des réseaux techniques, des interfaces avec les locaux et des intégrations d’alarmes spécifiques au site. Les limites entre les phases existent parce que les conditions diffèrent, et non parce que les parties diffèrent.

Q : Une fois que les services d'assurance qualité et de biosécurité ont validé le dossier de transfert, quelles sont les étapes à suivre avant que l'équipe d'exploitation ne prenne officiellement le relais ?
R : L’équipe d’exploitation doit remplir un accusé de réception officiel lié au même dossier indexé ayant fait l’objet d’une validation en matière d’assurance qualité et de biosécurité — et non pas se contenter d’une simple confirmation verbale. Cet accusé de réception doit confirmer que l’équipe a examiné les rapports d’essais approuvés, qu’elle comprend les mesures prises concernant les écarts ainsi que les éventuelles restrictions résiduelles, et qu’elle accepte la responsabilité des fonctions de confinement qui lui sont transférées. Sans cette étape, le transfert ne porte que sur le dossier réglementaire sans transférer la responsabilité opérationnelle en connaissance de cause, ce qui crée une lacune que la prochaine inspection ou enquête sur un incident ne manquera pas de mettre en évidence.

Q : À partir de quel moment un écart devient-il suffisamment grave pour empêcher la réception définitive, plutôt que de fixer une date avec le maître d'ouvrage pour un nouvel examen ?
R : Tout écart affectant une fonction critique de confinement — points de consigne de la cascade de pression, séquence des verrouillages, logique de commande du système CVC ou critères d’achèvement du cycle de décontamination — doit entraîner le blocage de la validation jusqu’à ce qu’il soit officiellement résolu, et non reporté. Le mécanisme de « propriétaire et date de révision » convient aux lacunes administratives et aux divergences non critiques dans la documentation, mais pas aux dossiers de sûreté non vérifiés. Si la réponse du système à un mode de défaillance n’a pas été testée ou si le résultat du test ne respectait pas les critères d’acceptation, la fonction de confinement n’est pas qualifiée, et la validation d’une fonction non qualifiée crée un dossier réglementaire présentant une lacune structurelle plutôt qu’un risque maîtrisé.

Q : En quoi les exigences en matière de rapprochement des numéros de série évoluent-elles lorsque l'on utilise des systèmes de laboratoires modulaires ou préfabriqués plutôt qu'une construction sur site ?
R : L’exigence de rapprochement devient d’autant plus cruciale, et non l’inverse, car les systèmes préfabriqués arrivent souvent sur site avec des composants intégrés — unités CVC, verrouillages, panneaux de commande — dont les numéros de série individuels ne figurent pas nécessairement dans la documentation globale du système. Chaque composant intégré disposant de son propre intervalle d’étalonnage, de son propre calendrier de maintenance ou de ses propres exigences de requalification doit figurer dans l’index de transfert sous son propre identifiant, et non pas uniquement sous le numéro de série du système parent. Si ce n’est pas le cas, la première procédure de requalification obligera les enquêteurs à reconstituer quels composants sont physiquement installés, ce qui signifie que l’index aura déjà failli à sa fonction première.

Q : Une qualification complète (IQ/OQ/PQ) est-elle toujours nécessaire, ou existe-t-il des types de projets de confinement pour lesquels une approche se limitant à la mise en service est justifiable ?
R : Une approche se limitant à la mise en service n’est pas défendable pour un système de confinement quelconque dans lequel l’exécution d’une fonction spécifique constitue une condition de biosécurité ou une exigence des BPF — ce qui, dans le contexte des laboratoires de niveau de sécurité biologique 3/4 (BSL-3/4) et des installations de confinement pharmaceutiques, inclut le maintien de la cascade de pression, le bon fonctionnement des verrouillages, l’achèvement du cycle de décontamination et l’intégration des alarmes. La mise en service confirme que les systèmes sont installés et opérationnels ; les qualifications d’installation (IQ), d’exploitation (OQ) et de performance (PQ) transforment cette confirmation en un dossier formel et vérifiable attestant qu’une fonction spécifique s’exécute dans des limites définies et dans des conditions documentées. L’annexe 15 et les recommandations du Manuel de biosécurité des laboratoires de l’OMS considèrent toutes deux cette confirmation documentée comme une condition préalable à l’utilisation opérationnelle, et non comme une amélioration facultative.