Ce que les inspecteurs testent réellement
Résumé
De nombreuses équipes traitent 21 CFR partie 11 comme une liste de vérification des fonctionnalités logicielles. Les inspecteurs l'abordent rarement de cette manière. En pratique, la partie 11 est testée à travers un petit nombre de questions opérationnelles : Qui a fait quoi ? Quand l'ont-ils fait ? Qu'est ce qui a changé? Pourquoi cela a-t-il changé? Peut-on se fier à vos archives sans reconstitution narrative ? Lorsque ces réponses sont incertaines, l'inspection s'étend rapidement, car la fiabilité des documents devient incertaine.
Ce livre blanc propose un modèle pratique et indépendant des fournisseurs décrivant comment les inspecteurs évaluent les enregistrements et les signatures électroniques dans des installations réelles. Il se concentre sur les surfaces de contrôle que les inspecteurs examinent couramment : la gestion des identités et des accès, le comportement des journaux d’audit, la signification et la portée des signatures électroniques, les modifications et corrections contrôlées, la conservation et la récupération des enregistrements, l’intégrité temporelle du système et les preuves à l’appui. validation du système informatique (CSV)L'article met également en lumière des contrôles procéduraux souvent négligés mais fréquemment testés, notamment la gouvernance des accès privilégiés, l'examen périodique des accès, la formation/les compétences et la discipline de contrôle des changements.
L’objectif n’est pas de réaffirmer la réglementation, mais de décrire les éléments probants à respecter lorsque les inspecteurs demandent des démonstrations, des partages d’écran et des enregistrements sur place. Ce document propose une série d’exercices d’inspection à réaliser en interne pour vérifier si votre conformité à la partie 11 est justifiée en pratique, et pas seulement sur le papier. Lorsque les concepts d’intégrité des données s’appliquent, le document fait référence à… intégrité des données et des principes tels que ALCOA + comme points d'ancrage pratiques pour la confiance dans les documents.
Une posture solide en matière de procédure de 11e anniversaire ne vise pas la perfection. Il s'agit d'un contrôle constant et démontrable de la création, de la modification, de l'approbation et de la conservation des dossiers, étayé par des preuves facilement accessibles, même sous pression et sans improvisation.
- Partie 11 : Portée : ce qui est réellement en jeu
- Comment les inspecteurs testent la partie 11 en pratique
- Identité et accès : prouver qui a fait quoi
- Pistes d'audit : prouver ce qui a changé, quand et pourquoi
- Signatures électroniques : signification, intention et force obligatoire
- Corrections, retouches et modifications contrôlées
- Heure, horodatages et intégrité de l'horloge
- Conservation, récupération et exportation des données
- Preuves de validation : à quoi ressemble une preuve « adéquate » ?
- Les inspecteurs des contrôles de procédure s'attendent toujours à ce que
- Interfaces et intégrations : modes de défaillance aux limites
- Exercices d'inspection : 10 tests que vous pouvez réaliser en interne
- Feuille de route de mise en œuvre
- Note de clôture
Abstract
La norme 21 CFR Part 11 est souvent mise en œuvre sous forme de liste de contrôle des fonctionnalités, mais les inspecteurs l'évaluent comme un système de preuves : la capacité à démontrer la fiabilité des enregistrements et signatures électroniques dans le cadre d'un audit. Cet article propose un modèle pratique, orienté inspection, organisé autour des surfaces de contrôle fréquemment examinées par les inspecteurs : gestion des identités et des accès, comportement des journaux d'audit, signification et validité des signatures, modifications contrôlées, intégrité des horodatages, conservation et récupération des données, et preuves de validation. Ce modèle s'appuie sur des contrôles procéduraux de gouvernance et de gestion des changements qui garantissent la pérennité de l'état validé.
Le document propose également des exercices d'inspection permettant d'évaluer si une organisation est capable de produire rapidement des preuves recevables sans recourir à une reconstitution narrative. Correctement exécutés, ces exercices réduisent les risques liés à l'inspection, accélèrent les enquêtes et renforcent l'intégrité des données.
1) Portée de la partie 11 : ce qui est réellement en jeu
La partie 11 s'applique lorsque des documents ou des signatures électroniques sont utilisés à la place de documents papier ou de signatures manuscrites exigés par les règles de base. De nombreuses organisations interprètent la partie 11 de manière excessive en considérant tout élément électronique comme une « donnée soumise à la partie 11 ». D'autres, au contraire, la sous-estiment en supposant qu'elle ne s'applique qu'au « système qualité ». Les inspecteurs s'intéressent généralement aux cas où les documents électroniques étayent des décisions réglementées : libération, élimination, enquêtes, modifications et approbations.
Une méthode pratique pour définir le périmètre consiste à recenser : (1) les documents justifiant les décisions réglementées, (2) les personnes qui les créent, les modifient ou les approuvent, (3) les systèmes qui les stockent et (4) les données de référence sur lesquelles l’organisation s’appuie lors des audits et des enquêtes. Cet exercice de définition du périmètre doit permettre une traçabilité jusqu’à l’utilisation prévue et les risques associés, généralement documentés dans le cadre de la réglementation. CSV.
Si un auditeur demandait ce jeu de documents demain, considéreriez-vous la version électronique comme le document officiel ? Si oui, les contrôles et les exigences en matière de preuves prévus par la partie 11 sont probablement concernés.
2) Comment les inspecteurs testent la partie 11 en pratique
Les inspecteurs évaluent souvent la conformité à la partie 11 par le biais de démonstrations et d'un échantillonnage de documents. La démarche est toujours la même : ils sélectionnent un document (dossier de lot, écart, modification, résultat de laboratoire, formation, étalonnage, décision de mise en circulation), puis retracent son historique : qui l'a créé, qui l'a approuvé, les modifications apportées et si ces modifications ont été maîtrisées. Le test ne consiste pas à vérifier si le système dispose d'une piste d'audit, mais plutôt à s'assurer que cette piste d'audit fournit un historique fiable des documents pertinents.
Le tableau ci-dessous récapitule les enquêtes types des inspecteurs et les éléments que les organisations doivent être en mesure de démontrer rapidement.
| enquête de l'inspecteur | Ce qu'ils demandent généralement à voir | Ce qui doit être vrai |
|---|---|---|
| Qui a fait quoi ? | Identifiants uniques des utilisateurs, preuves de rôle, gestion des accès et enregistrements de révision. | Les comptes sont individuels, contrôlés et liés à des rôles ; l’accès privilégié est réglementé. |
| Qu'est ce qui a changé? | Entrées de journal d'audit pour les champs et événements clés, y compris la raison de la modification. | La piste d'audit est sécurisée, complète pour les domaines réglementés et ne peut pas être désactivée par les utilisateurs. |
| Quand est-ce arrivé? | Horodatage et comportement de la source de temps ; cohérence du fuseau horaire lors des exportations. | L'intégrité de l'horloge est assurée ; les horodatages sont cohérents et compréhensibles. |
| La signature a-t-elle une signification ? | Signification, intention et caractère contraignant de la signature pour l'état du registre ; règles relatives à la signature après modification. | Les signatures représentent des actions spécifiques ; les modifications postérieures à la signature sont contrôlées et visibles. |
| Pouvez-vous récupérer les enregistrements rapidement ? | Récupération, conservation, exportation et intégralité des dossiers dans des délais serrés. | Les dossiers sont accessibles, complets et contextualisés ; leur conservation est définie et appliquée. |
| Est-ce validé ? | Utilisation prévue, évaluation des risques, protocoles, résultats, écarts, approbations, contrôle des changements. | Les preuves de validation sont traçables et axées sur les surfaces de contrôle et l'utilisation réglementée. |
Le reste de cet article décompose ces enquêtes en contrôles pratiques et modes de défaillance, en mettant l'accent sur ce que les inspecteurs testent par des démonstrations plutôt que sur ce que les équipes affirment dans leurs politiques.
3) Identité et accès : prouver qui a fait quoi
La partie 11 commence par l'identification. Si l'organisation ne peut pas prouver que les actions sont attribuables à des individus distincts, la confiance dans les enregistrements est rompue. Les inspecteurs demandent souvent comment les comptes sont créés, qui approuve l'accès, comment les rôles sont attribués, s'il existe des comptes partagés et comment l'accès est supprimé lorsque les rôles changent ou que des personnes quittent l'entreprise.
Les contrôles d'identité et d'accès sont souvent mis en œuvre par le biais de gestion des accès utilisateurs et accès basé sur les rôlesUne posture de sécurité optimale inclut un provisionnement documenté, un examen périodique des accès et une gouvernance des rôles privilégiés. Les contrôles de session (délai d'expiration) sont également testés fréquemment ; voir contrôles de délai d'expiration des informations d'identification.
- Comptes uniques : Aucun identifiant partagé pour les activités réglementées.
- Rôles les moins privilégiés : Les rôles correspondent aux besoins des postes ; les droits d'administrateur sont réduits au minimum.
- Gouvernance des accès privilégiés : qui peut remplacer, modifier les champs protégés ou gérer les paramètres d'audit.
- Cadence de révision des accès : Examen périodique avec preuves et mesures correctives.
- Déprovisionnement : Suppression rapide en cas de changement de poste ou de départ.
4) Pistes d'audit : prouver ce qui a changé, quand et pourquoi
Le comportement des journaux d'audit est l'un des points d'escalade les plus fréquents lors des inspections de conformité (Partie 11). Les inspecteurs demandent souvent des démonstrations : modifier un champ critique, montrer comment le système enregistre la modification, puis montrer comment cet historique est récupéré ultérieurement. Ils peuvent également demander si les journaux d'audit peuvent être désactivés, filtrés, écrasés ou purgés.
Une piste d'audit conforme aux BPF doit être sécurisée, horodatée, attribuable et inclure les anciennes et les nouvelles valeurs, le cas échéant. Elle doit également consigner la raison de toute modification apportée aux champs protégés. Voir piste d'audit (GxP).
| Les inspecteurs posent des questions | Que montrer | Mode de défaillance courant |
|---|---|---|
| Quels sont les domaines audités ? | Définition des champs protégés/réglementés et des événements qui déclenchent l'audit. | La piste d'audit existe, mais il manque des champs ou des événements clés. |
| Les utilisateurs peuvent-ils modifier les modifications sans laisser de traces ? | Démontrer le comportement d'édition et la création d'entrées de journal d'audit. | Les modifications surviennent sans raison apparente ni indication des anciennes/nouvelles valeurs. |
| L'historique d'audit peut-il être modifié ? | Contrôles de rôle et contrôles techniques empêchant la désactivation/purge. | Les administrateurs peuvent supprimer l'historique en silence ; la durée de conservation n'est pas claire. |
| Comment examine-t-on les pistes d'audit ? | Examiner les procédures et les preuves d'examen périodique, le cas échéant. | Aucun processus de contrôle ; les problèmes ne sont découverts que lors des audits. |
La crédibilité des pistes d'audit est étroitement liée à l'intégrité des données. Si le comportement des pistes d'audit ne peut être clairement expliqué, les organisations doivent s'attendre à ce que les inspecteurs intensifient leur examen des principes de confiance des enregistrements, conformément à ces principes. intégrité des données et ALCOA +.
5) Signatures électroniques : signification, intention et force obligatoire
Les inspecteurs considèrent les signatures électroniques comme bien plus qu'un simple bouton. Ils vérifient leur validité et leur applicabilité au contenu du document au moment de la signature. Ils s'enquièrent souvent de la signification de la signature (révision, approbation, vérification, validation), du mode d'authentification du signataire et des conséquences d'une modification du document après la signature.
Lorsque des signatures électroniques sont utilisées, l'organisation doit être en mesure d'indiquer : la signification de la signature, sa présence sur le document, les étapes d'authentification et le lien entre la signature et la version du document signé. Voir signatures électroniques.
- Sens: Les signatures correspondent à des actions définies (par exemple, « traitement de l’assurance qualité », « examen terminé »).
- Reliure: La signature est liée à l'état de l'enregistrement ; toute modification postérieure à la signature est contrôlée et visible.
- Authentification: Le signataire est identifié et authentifié de manière unique conformément à la politique et au niveau de risque.
- Visibilité: Les documents signés indiquent qui a signé, quand et quelle action a été effectuée.
6) Corrections, retouches et modifications contrôlées
Dans la pratique, des corrections s'imposent. Les inspecteurs n'acceptent pas l'absence totale de modifications. Ils exigent que les modifications soient transparentes, justifiées et encadrées. Le critère d'évaluation est de savoir si les corrections préservent les données originales et si les motifs de modification et les approbations sont adaptés au risque.
Les déclencheurs d'escalade les plus courants sont les suivants : écrasements silencieux, suppression d'enregistrements réglementés ou modifications effectuées par des utilisateurs privilégiés sans justification documentée. Lors des exercices internes, il convient de démontrer le comportement de modification contrôlée : sélectionner un enregistrement, corriger une valeur, afficher l'historique des modifications, indiquer le motif de la modification, montrer la procédure de révision ou d'approbation le cas échéant, et démontrer comment l'enregistrement corrigé est récupéré ultérieurement.
7) Heure, horodatage et intégrité de l'horloge
L'intégrité des horodatages est souvent sous-estimée. Les inspecteurs peuvent s'enquérir de la gestion du temps système, de la synchronisation de l'heure, du traitement des fuseaux horaires et des conséquences d'une dérive des horloges. Ils peuvent également comparer les horodatages entre systèmes lors d'intégrations.
Une approche irréprochable repose sur des sources temporelles définies, des règles d'affichage des fuseaux horaires claires et la preuve que le comportement des horodatages est cohérent tout au long du cycle de vie des enregistrements, des exportations et des journaux d'audit. Si les horodatages sont confus ou incohérents, la reconstitution des enregistrements devient une simple narration, et une narration ne constitue pas une preuve.
8) Conservation, récupération et exportation des documents
Les inspecteurs vérifient souvent si les documents peuvent être récupérés rapidement et intégralement. « Nous les aurons plus tard » n'est pas une réponse acceptable. Lorsque les organisations doivent réagir rapidement (parfois qualifiées de Réponse enregistrée sur 24 heures (dans certains contextes, l'attente est telle que la capacité de récupération devient un contrôle pratique.)
La conservation des documents doit être définie et appliquée. La récupération doit préserver le contexte : qui, quoi, quand, les approbations, l’historique des modifications et tous les documents liés. Les exigences en matière d’archivage et de conservation sont fréquemment abordées dans la section suivante : conservation des documents / archivageLes exportations ne doivent pas être dénuées de sens ; un fichier CSV qui perd son historique d'audit n'est pas équivalent au document officiel.
9) Preuves de validation : à quoi ressemble une preuve « adéquate »
Les inspecteurs demandent rarement l'intégralité des scripts de test. Ils exigent une argumentation de validation cohérente : utilisation prévue, périmètre basé sur les risques, preuves du bon fonctionnement des surfaces de contrôle et gestion des modifications préservant l'état validé. Les programmes les plus robustes peuvent présenter un dossier de preuves concis et conforme aux exigences suivantes : CSV principes et orientations tels que GAMP 5.
Pour la partie 11, les preuves de validation mettent généralement l'accent sur les surfaces de contrôle : contrôles d'accès, journal d'audit, signature électronique, conservation des données et gouvernance des procédures. La validation doit inclure des tests négatifs (tentatives d'actions interdites), car ce sont ces tests qui fournissent les preuves les plus solides de l'efficacité de la prévention.
| Artefact | Ce que cela devrait démontrer | Inspecteur drapeau rouge |
|---|---|---|
| Utilisation prévue et étendue | Quels enregistrements et quelles décisions dépendent du système et de ses limites ? | La portée est vague ; « La partie 11 s’applique à tout » ou « à rien ». |
| L'évaluation des risques | Pourquoi les contrôles ont été sélectionnés et pourquoi le périmètre est approprié. | Aucun lien entre les risques et ce qui a été testé. |
| Protocoles et résultats | Preuves du bon fonctionnement des surfaces de contrôle, y compris les tests négatifs. | Tests uniquement basés sur le scénario idéal ; preuves de prévention insuffisantes. |
| Écarts et résolutions | Comment les écarts constatés lors des tests ont été étudiés et résolus. | Écarts non résolus ou clôture informelle sans preuve. |
| Le contrôle des changements | Comment les changements sont évalués et testés à nouveau. | L'état validé est atteint une seule fois, puis des modifications non gérées surviennent. |
10) Les inspecteurs des contrôles procéduraux s'attendent toujours à
La partie 11 ne porte pas uniquement sur des aspects techniques. Les inspecteurs vérifient systématiquement si les procédures soutiennent les contrôles techniques. Les exigences procédurales courantes comprennent les processus d'attribution des accès, les revues périodiques des accès, la documentation relative à la formation et aux compétences, la gestion des incidents, l'examen des pistes d'audit lorsque cela est requis et la gouvernance du contrôle des changements.
Un point faible récurrent réside dans la gestion des accès privilégiés. Si les administrateurs peuvent modifier les configurations, créer des utilisateurs ou altérer des paramètres critiques sans contrôle, les mesures techniques perdent en crédibilité. Les procédures doivent définir clairement qui peut détenir des rôles privilégiés, dans quelles circonstances ils peuvent être utilisés, comment leur utilisation est examinée et comment les exceptions sont documentées.
11) Interfaces et intégrations : modes de défaillance aux limites
Les intégrations sont un point faible lors des inspections, car la répartition des responsabilités (« qui a fait quoi ») entre les systèmes. Lorsque l'identité, le statut ou les horodatages sont partagés entre les systèmes, la piste d'audit peut se fragmenter. Les inspecteurs peuvent alors demander quel système fait foi pour des éléments de données spécifiques et comment la réconciliation est gérée en cas de divergence.
Les modèles d'intégration robustes comprennent une attribution claire de la propriété de chaque élément de données, des contrats d'interface définis, la gestion des erreurs et des mécanismes de rapprochement. Lorsque l'alignement des données de référence constitue un fondement, voir Synchronisation des données de référence.
12) Exercices d'inspection : 10 tests que vous pouvez réaliser en interne
Le moyen le plus rapide d'évaluer la préparation aux inspections de la partie 11 est de réaliser des exercices simulant le comportement d'un inspecteur. Chaque exercice doit être rapide à exécuter et les éléments de preuve produits doivent être exploitables sans nécessiter de reconstitution narrative.
- Preuve d'identité unique : Choisissez un enregistrement ; prouvez que le créateur et l'approbateur sont identifiés et autorisés de manière unique.
- Test de limites de rôle : tenter une action interdite depuis un rôle non autorisé ; afficher les mesures de prévention et de journalisation.
- Démonstration de la piste d'audit : Modifier un champ protégé ; afficher les anciennes/nouvelles valeurs, la raison de la modification, l’utilisateur et l’horodatage.
- Examen de la piste d'audit : Montrer comment les entrées du journal d'audit sont examinées (le cas échéant) et comment les problèmes sont résolus.
- Signification de la signature électronique : démontrer ce que représente une signature et comment elle est rendue dans le document.
- Après modification de la signature : tenter une modification après la signature ; afficher le comportement et la visibilité du contrôle.
- Gouvernance des accès privilégiés : Montrer comment l'accès administrateur est approuvé, consigné et examiné.
- Intégrité de l'horodatage : Afficher la gestion et la cohérence des fuseaux horaires dans l'interface utilisateur, le journal d'audit et l'exportation.
- Récupération sous pression : Récupérez rapidement un ensemble complet d'enregistrements ; incluez les enregistrements liés et l'historique d'audit.
- Exercice de contrôle des changements : Afficher la dernière modification du système, son évaluation d'impact et tout test supplémentaire requis.
13) Feuille de route de mise en œuvre
Améliorer la conformité à la partie 11 consiste rarement à ajouter de nouvelles technologies. Il s'agit généralement de renforcer les mécanismes de contrôle et de faciliter la récupération des preuves. La feuille de route ci-dessous vise à améliorer rapidement la capacité de défense sans engendrer de coûts supplémentaires inutiles.
- Portée définie par décision : recenser les documents utilisés pour les décisions réglementées et définir les systèmes d'information.
- Identité du verrou : comptes uniques, rôles à privilèges minimaux, fréquence de révision des accès, discipline de désactivation.
- Définir les champs protégés : Ce qui doit être audité, ce qui nécessite une justification de la modification, ce qui requiert une signature.
- Prouver le comportement du journal d'audit : Démontrer un historique sécurisé et attribuable pour les éléments de données protégés.
- Renforcer la sécurité des signatures électroniques : signification, caractère contraignant et contrôle des modifications après signature.
- Valider les surfaces de contrôle : CSV basé sur les risques, axé sur l'accès, les pistes d'audit, les signatures, la conservation et les exceptions.
- Opérationnaliser la gouvernance : contrôles d'accès privilégiés, contrôle des changements, revues périodiques, cadence des exercices.
Note de clôture
La conformité à la partie 11 est une pratique opérationnelle quotidienne. Les inspecteurs la vérifient en s'assurant de la fiabilité des documents électroniques sans reconstitution narrative, de la validité et de la légalité des signatures, de l'exhaustivité et de la sécurité des pistes d'audit, ainsi que de la réglementation des accès et des modifications. Les organisations capables de démontrer rapidement leur conformité à ces normes font généralement l'objet d'inspections plus courtes et ciblées, et d'enquêtes plus rapides.
Pour des définitions complémentaires, veuillez consulter les pages du glossaire liées tout au long de ce document, notamment 21 CFR partie 11, Piste d'audit, signatures électroniques, gestion des accès utilisateurs, intégrité des données et CSVCes références sont facultatives ; le modèle opérationnel présenté dans cet article est volontairement indépendant des fournisseurs.
