Conformité aux normes « GxP » et «21 CFR Part 11» au Mexique : quelles sont les exigences pour votre infrastructure informatique ?

Pourquoi l GxP e et la partie 11 du titre 21 du CFR sont-elles importantes pour une filiale au Mexique ?

Si votre entreprise fait partie d’un groupe pharmaceutique, d’un fabricant de dispositifs médicaux ou d’un CRO/CMO relevant d’une société mère soumise à la réglementation de l’ FDA e (ou à des normes européennes équivalentes telles que EMA/ Annexe 11), la conformité à la norme « GxP » n’est ni facultative ni limitée aux seules usines ou laboratoires. Elle s’étend à tout système informatique qui génère, modifie ou conserve des enregistrements utilisés pour les décisions réglementaires : ERP de qualité, systèmes de gestion documentaire, plateformes de fabrication, y compris la messagerie électronique et les référentiels où sont conservées les preuves relatives à un lot ou à une étude clinique.

GxP Il s'agit du cadre qui regroupe les bonnes pratiques de fabrication (GMP), les bonnes pratiques de laboratoire (GLP) et les bonnes pratiques cliniques (GCP). La disposition qui impose le plus de responsabilités au service informatique est la 21 CFR Part 11, la norme de l'FDA relative aux enregistrements et aux signatures électroniques.

Ce qu'exige la norme 21 CFR Partie 11 de votre infrastructure informatique

• Pistes d'audit (audit trails) générées par le système lui-même, indiquant la date et l'heure exactes de chaque action, l'identifiant unique de l'utilisateur et la justification de la modification lorsqu'un enregistrement réglementé est modifié.
• Immuabilité: les pistes d'audit doivent être permanentes, inaltérables et protégées contre toute suppression, y compris par les administrateurs système.
• Conservation: les documents d'audit doivent être conservés au moins aussi longtemps que l'enregistrement électronique auquel ils se rapportent — il n'existe pas de délai général, cela dépend du type d'enregistrement.
• Contrôle d'accès par rôle, avec des identifiants uniques par utilisateur (pas de comptes partagés d'opérateur ou d'informatique).
• Une signature électronique liée au registre, et non une simple case à cocher : elle doit être associée de manière permanente à la donnée qu'elle certifie.
• Validation documentée du système: preuve que la plateforme fonctionne conformément à ses spécifications, avant sa mise en production.
• Horodatages sécurisés, avec une source horaire validée et synchronisée.

Liste de contrôle pratique pour le service informatique d'une filiale

• Vos systèmes critiques génèrent-ils automatiquement une piste d'audit, ou faut-il que quelqu'un l'active ou la vérifie manuellement ?
• Existe-t-il une politique de conservation des journaux conforme aux exigences de conservation des documents imposées par votre maison mère, ou les journaux sont-ils supprimés au bout de 30 à 90 jours selon la configuration par défaut ?
• Existe-t-il un tableau de contrôle des accès à jour, dans lequel sont consignées les inscriptions et les désinscriptions des utilisateurs lorsqu'un employé change de poste ou quitte l'entreprise ?
• Le processus de modification (correctifs, mises à jour, nouvelles intégrations) fait-il l'objet d'un suivi des modifications, ou est-il appliqué « à chaud » sans enregistrement ?
• Les sauvegardes et la continuité du service sont-elles prévues de manière à ne pas perdre les données réglementaires en cas de panne d'un serveur ?

Que se passe-t-il en cas de non-respect ?

Pour une activité soumise à une réglementati FDA, une piste d'audit incomplète ou susceptible d'être altérée ne constitue pas seulement un constat d'audit interne : elle peut donner lieu à une observation 483 ou, dans les cas graves, à une lettre d'avertissement (warning letter) susceptible d'entraîner la suspension des expéditions ou des autorisations. Pour la filiale mexicaine, le coût en termes de réputation vis-à-vis de la maison mère pèse souvent autant que l'aspect réglementaire : c'est la preuve que l'activité locale n'est pas à la hauteur du reste du réseau.

Comment une gestion informatique bien conçue permet-elle de résoudre ce problème ?

La plupart de ces exigences ne nécessitent pas de technologie sophistiquée : elles exigent une discipline opérationnelle constante — une journalisation correctement configurée et surveillée, un contrôle d'accès régulièrement mis à jour, un contrôle des modifications documenté et des sauvegardes testées, et pas seulement programmées. C'est précisément le domaine d'un audit informatique périodique et d'une gestion de la cybersécurité s'appuyant sur des processus formels, plutôt que l'achat d'un nouvel outil.

Si votre filiale relève d'une société mère soumise à la réglementation de l'FDA ou de l'EMA, il est judicieux de procéder à cet exercice avant qu'un auditeur externe ne s'en charge.