L’intégrité des données dans la pharma : ALCOA+ et les arguments en faveur des enregistrements numériques

Dans la fabrication pharmaceutique réglementée, l’enregistrement compte autant que le produit. Un lot peut avoir été fabriqué parfaitement : si la documentation ne peut pas le prouver, les autorités le considéreront comme suspect. Ce n’est pas une inquiétude théorique : les observations sur l’intégrité des données figurent régulièrement parmi les non-conformités les plus citées dans les lettres d’avertissement de la FDA et les rapports d’inspection de la MHRA, des saisies mal attribuées aux pistes d’audit désactivées. Le problème ne dépend ni de la taille ni de la localisation des sites ; on le retrouve aussi bien chez les grands industriels multisites que chez les spécialistes des petites molécules.

Les attentes sont clairement définies dans trois documents clés : les recommandations de la FDA sur l’ intégrité des données et la conformité aux BPF des médicaments, la réglementation de la FDA sur les enregistrements et signatures électroniques (21 CFR Part 11), et les recommandations de la MHRA sur l’intégrité des données GxP. Les trois convergent vers la même exigence : les enregistrements doivent être complets et fiables dès leur création et pendant toute leur durée de conservation.

Ce que signifie vraiment ALCOA+

Les autorités résument les qualités d’une bonne donnée par l’acronyme ALCOA, d’abord formalisé par la FDA puis adopté par les référentiels GxP du monde entier. Chaque lettre définit une propriété distincte qu’un enregistrement doit respecter :

• Attribuable. L’enregistrement identifie qui a réalisé ou vérifié l’action, et quand. Un identifiant partagé, une saisie non signée ou un dossier de lot paraphé par un superviseur plutôt que par l’opérateur qui a réalisé l’étape ne remplissent pas ce critère.
• Lisible. La donnée est lisible et permanente. Une saisie à l’encre bavée, des traits de crayon effaçables ou une image numérisée trop dégradée pour être lue sont autant de défauts de lisibilité.
• Contemporain. L’enregistrement est créé au moment où l’activité a lieu, et non reconstitué ensuite. C’est l’un des principes les plus souvent enfreints en pratique : un opérateur termine une série d’étapes puis remplit des horodatages « corrects » en apparence mais qui ne reflètent pas le moment réel de chaque étape.
• Original. La première saisie de la donnée est conservée. Lorsqu’une retranscription est faite à partir d’une note brouillon ou d’un ticket d’imprimante, l’original doit aussi être conservé. Une saisie recopiée qui supprime la source n’est pas originale.
• Exact. La valeur enregistrée reflète ce qui s’est réellement passé. Des mesures arrondies, des valeurs copiées depuis des cellules voisines d’un tableur ou des résultats recalculés pour respecter une spécification sont autant de défauts d’exactitude.

Le « + » ajouté par des recommandations ultérieures (dont le référentiel de la MHRA) apporte quatre attributs supplémentaires. Les enregistrements doivent être Complets, contenant toutes les données pertinentes, y compris les retraitements et les résultats hors spécification. Ils doivent être Cohérents, avec des dates et des séquences internes qui ne se contredisent pas. Ils doivent être Durables, stockés sur un support qui se conserve pendant toute la durée requise sans se dégrader. Et ils doivent être Disponibles pour examen sur demande, c’est-à-dire à la fois accessibles et récupérables dans un délai raisonnable.

Comment les dossiers de lot papier échouent dans des conditions ordinaires

Il est tentant de présenter les défaillances d’intégrité des données comme des fraudes. Certaines le sont. Mais la majorité des observations des autorités découlent de la pression opérationnelle ordinaire : une ligne qui tourne près de l’échéance, un opérateur qui gère plusieurs tâches à la fois, ou un système de dossiers de lot papier conçu pour un débit plus faible que celui du site aujourd’hui.

Les enregistrements papier sont particulièrement exposés aux saisies non contemporaines. Un opérateur qui réalise dix contrôles successifs en une heure peut les enregistrer tous en fin de poste, en remplissant de mémoire des horodatages plausibles. La donnée peut être exacte sur le fond, mais elle n’est pas contemporaine. Il n’existe aucun moyen fiable de vérifier l’ordre des événements après coup.

L’attribution est tout aussi fragile. Les dossiers de lot qui passent entre plusieurs mains pendant un poste portent souvent la contre-signature finale, mais sans preuve claire de qui a réalisé chaque étape. Quand des questions d’audit se posent, les sites doivent s’appuyer sur les plannings et les souvenirs des superviseurs plutôt que sur des preuves directes.

Les erreurs de retranscription ajoutent un niveau de risque supplémentaire. Quand une donnée de procédé est d’abord enregistrée sur un ticket d’imprimante, une bande de pH-mètre ou un journal d’instrument, puis reportée à la main dans le dossier de lot, chaque retranscription est une occasion pour l’enregistrement de s’écarter de l’original. Même honnête, la retranscription n’est plus originale au sens d’ALCOA+.

Le cadre réglementaire : 21 CFR Part 11 et MHRA GxP

Le 21 CFR Part 11 définit les contrôles techniques et procéduraux que les enregistrements et signatures électroniques doivent respecter pour être acceptés par la FDA à la place du papier. Les exigences portent sur des pistes d’audit qui enregistrent la date et l’heure des saisies et de leurs modifications, des contrôles système empêchant la suppression des enregistrements, et des signatures électroniques liées à une personne précise et non transférables. Un système conforme au Part 11 n’atteint pas automatiquement ALCOA+, mais un système qui atteint ALCOA+ en contexte GxP doit généralement respecter le Part 11 s’il utilise des enregistrements électroniques.

Les recommandations de la MHRA sur l’intégrité des données GxP adoptent une approche fondée sur les risques, s’appliquent aux systèmes papier comme électroniques et demandent aux sites de démontrer que leur environnement de contrôle rend difficile toute défaillance non détectée. Elles traitent explicitement des systèmes hybrides, où des originaux papier sont complétés par des journaux d’audit électroniques, et les signalent comme des points d’attention particuliers, car l’original peut être modifié avant numérisation.

Les deux référentiels précisent que l’intention de tromper n’est pas nécessaire pour qu’une non-conformité d’intégrité des données soit relevée. Un système qui facilite les saisies non contemporaines accidentelles, ou qui n’a pas de contrôle pour les détecter, constitue un risque d’intégrité des données, quelle que soit l’intention de l’opérateur.

Là où l’exécution numérique change la donne

Les systèmes d’exécution numérique répondent à ALCOA+ non pas en auditant les enregistrements après coup, mais en faisant des enregistrements conformes le résultat par défaut du travail. Quand une procédure se déroule étape par étape sur un appareil et que chaque étape doit être réalisée et vérifiée avant de débloquer la suivante, la contemporanéité est imposée par construction. L’horodatage est capturé par le système au moment de l’action, et non saisi ensuite par l’opérateur.

L’attribution est assurée par les contrôles d’accès : l’opérateur connecté au moment de l’exécution est enregistré comme auteur. Les identifiants partagés, faiblesse chronique des environnements papier, disparaissent si la politique d’accès exige une authentification individuelle à chaque étape.

La capture de la donnée originale est simple pour les mesures d’instruments envoyées directement dans l’enregistrement d’exécution plutôt qu’imprimées puis retranscrites. Pour les étapes qui exigent une observation humaine, la saisie numérique est elle-même l’original, sans note papier intermédiaire susceptible de diverger.

Cependant, les enregistrements numériques n’améliorent l’intégrité des données que si le système respecte le 21 CFR Part 11 et les référentiels équivalents. Cela suppose un logiciel validé (développé ou évalué selon les principes GAMP 5, qui classent les logiciels par complexité et par risque), des contrôles d’accès par rôle, des pistes d’audit synchronisées et protégées contre toute modification, et un plan de sauvegarde et de restauration qui satisfait les exigences « durables et disponibles » d’ALCOA+. Un système numérique sans ces contrôles ne résout pas le problème d’intégrité des données ; il le déplace vers un nouveau support où il peut être plus difficile à détecter. La validation des systèmes informatisés (CSV) n’est pas une charge facultative : c’est le mécanisme par lequel un site démontre aux autorités que le système électronique est adapté à l’usage prévu.

L’intégrité des données restera une priorité des inspections GxP dans un avenir prévisible, non parce que les autorités appliquent de nouvelles normes, mais parce que l’écart entre ce qu’exigent les normes et ce que livrent de façon fiable les systèmes manuels reste large en pratique. Les sites qui comblent cet écart par conception, grâce à une exécution numérique validée avec contemporanéité imposée et attribution individuelle, sont mieux préparés aux inspections de routine et mieux armés pour investiguer les déviations en s’appuyant sur des enregistrements fiables. C’est de plus en plus la référence attendue par les autorités, et la direction que prend le secteur.