De nombreux sites de fabrication stériles ont acquis et installé des systèmes de barrière, des unités de transfert et des filtres HEPA bien avant d’avoir formalisé leur stratégie de contrôle de la contamination dans le cadre de Annexe 1—et l'écart entre les performances réelles de l'équipement et celles annoncées dans la documentation relative au système de contrôle de la contamination (CCS) est devenu un risque récurrent lors des audits. Lorsqu'un inspecteur demande des preuves attestant qu'un dispositif spécifique empêche une voie de contamination précise, un rapport de qualification Il est difficile de justifier une description du fonctionnement d’un équipement qui ne fait pas référence au scénario de risque de la chaîne de contrôle de la contamination (CCS). Le coût se traduit par des constatations lors des inspections, une reprogrammation de la validation et un retard dans la mise sur le marché du produit, et non lors de la mise en service. Le critère permettant de trancher cette question n’est pas de savoir si l’équipement a été correctement installé, mais si son rôle dans la chaîne de contrôle de la contamination est explicitement documenté et justifié par Gestion des risques de qualité avant même que cette question ne soit posée.

L'annexe 1 devrait être traduite en « rôles des équipements »

Le CCS n’est pas un cahier des charges technique : il s’agit d’un document de responsabilisation en matière de risques qui doit énumérer chaque mesure de contrôle technique, expliquer quel risque de contamination elle permet de prévenir et indiquer quelles preuves démontrent son efficacité. Cette distinction est importante pour les achats, car elle modifie ce que vous devez exiger d’un fournisseur avant de commander le matériel, et non après son arrivée sur le site.

L’erreur de traduction la plus évidente consiste à considérer les tests d’intégrité des filtres HEPA, les verrouillages de passage ou la surveillance continue des particules comme des contrôles de conformité isolés, plutôt que comme des éléments devant chacun être rattachés à un risque de contamination identifié dans le CCS. Les tests annuels d’intégrité des filtres HEPA ou ULPA, par exemple, ne constituent des preuves valables pour le CCS que si la fréquence des tests, les critères d’acceptation et la réponse en cas d’échec sont intégrés à la stratégie avant la qualification du filtre. Un certificat de test qui existe indépendamment du CCS ne peut pas être utilisé par le service d'assurance qualité pour justifier les performances continues du filtre dans ce cadre sans travail supplémentaire.

La même logique s'applique aux contrôles de transfert de matières. Les systèmes de passage dotés de dispositifs de verrouillage, de rinçage et de procédures de désinfection validées répondent à une exigence de l'annexe 1, mais cette exigence n'est satisfaite que lorsque la fonction de verrouillage et le protocole de désinfection ont été validés au regard de l'exigence spécifique de séparation de la contamination entre les zones adjacentes — et non pas simplement lorsque le dispositif est présent et que le verrouillage s'active.

Le tableau ci-dessous met en correspondance les quatre catégories d'équipements les plus fréquemment concernées par la planification du CSC avec les rôles qui leur sont attribués dans l'annexe 1, ainsi que les éléments de vérification dont le service d'assurance qualité devra se servir.

Les colonnes du tableau mettent en évidence une tendance : pour chaque catégorie d'équipement, il existe un rôle CCS et un type de preuve correspondant. Si l'un ou l'autre fait défaut au moment de l'inspection, la contribution de l'équipement au contrôle de la contamination relève alors d'une simple affirmation plutôt que d'une mesure de contrôle documentée. Le choix de l'équipement doit commencer par la définition préalable du rôle CCS.

Stratégie de contrôle de la contamination et preuves issues des dispositifs

L'écart entre l'installation des équipements et les données relatives au contrôle de la contamination (CCS) est rarement flagrant lors de la remise du projet. Il apparaît lorsque le service d'assurance qualité tente d'élaborer le bilan du cycle de vie du CCS et constate que les données de performance des appareils ne correspondent pas au risque de contamination qu'ils étaient censés contrôler.

La visualisation des flux d'air lors de la qualification opérationnelle (OQ) ne fournit des données exploitables dans le cadre de la CCS que si le scénario de test est lié à un risque de contamination spécifique identifié dans la stratégie.

La visualisation des flux d'air lors de la qualification opérationnelle constitue l'un des exemples les plus évidents de ce problème. Ce test fournit des preuves documentaires attestant que flux d'air unidirectionnel protège une zone critique dans des conditions définies — mais uniquement si le protocole de qualification opérationnelle (OQ) a été rédigé pour répondre au scénario de risque de contamination défini dans le CCS, et non pas simplement pour confirmer que l’air circule dans la bonne direction. Les sites qui effectuent la visualisation des flux d’air comme une tâche standard de qualification opérationnelle sans relier la conception du test aux scénarios de risque du CCS se retrouvent avec des rapports de qualification qui décrivent le comportement des flux d’air mais ne démontrent pas la protection d’une zone critique désignée. Cette différence est importante lors de l’examen du CCS ou lorsqu’un inspecteur réglementaire demande quelles preuves étayent l’affirmation selon laquelle la zone critique est protégée pendant cette opération spécifique.

La surveillance des particules dans les zones de classe A et de classe B est soumise à des contraintes plus strictes : l’annexe 1 exige une surveillance continue en temps réel dans les zones ISO 5 / classe A, et cette exigence détermine directement les spécifications techniques du système de surveillance, plutôt que de laisser ce choix à la discrétion du concepteur. Il en résulte qu’un système de surveillance qui enregistre les données sans déclencher d’alerte en temps réel, ou qui nécessite une exportation manuelle pour l’analyse, ne répond pas à l’exigence fonctionnelle, même si le compteur de particules lui-même fonctionne conformément aux spécifications. Lors du choix ou de la spécification de systèmes automatisés de surveillance environnementale, la question n’est pas de savoir si le système compte les particules, mais s’il est capable de fournir les données en temps réel et la gestion des alarmes nécessaires à l’examen du cycle de vie du CCS. La compatibilité de l’exportation des données avec le système de gestion technique du bâtiment (BMS) du site et les systèmes de documentation du CCS doit être vérifiée lors de l’acquisition, et non découverte lors de la qualification.

Compromis entre protection par barrière et protection locale

La préférence de l'annexe 1 pour les isolateurs et RABS Le recours à un traitement à ciel ouvert traduit un choix stratégique clair : la réduction du contact direct entre l’opérateur et le produit permet de limiter la principale variable contribuant au risque de contamination pour opérations aseptiques. Cependant, le choix de systèmes de barrières ne résout pas le problème technique : il déplace la décision vers la complexité de la qualification, la gestion des interventions et la rigueur des procédures opérationnelles.

Le choix pratique entre un isolateur fermé, un RABS et une unité locale à flux d’air unidirectionnel est un compromis technique qui doit être guidé par l’évaluation des risques, et non par des préférences historiques ou le seul budget d’investissement. Les isolateurs fermés offrent la réduction la plus importante du contact entre l’opérateur et le produit, mais impliquent la mise au point de cycles de décontamination, des tests d’intégrité et des procédures d’intervention strictement contrôlées que de nombreux sites sous-estiment lors de l’acquisition. Un site qui opte pour un isolateur fermé sans prévoir la validation du cycle de décontamination ni un contrôle rigoureux des interventions a engagé une dépense d’investissement sans tenir compte de l’infrastructure opérationnelle nécessaire pour garantir la fiabilité de la barrière en cas d’examen minutieux.

Le RABS offre une solution intermédiaire qui préserve une certaine flexibilité pour les opérateurs tout en limitant l'accès. En contrepartie, cela implique une plus grande dépendance vis-à-vis des procédures : les procédures d'habillage, les protocoles d'intervention et la validation des flux d'air doivent tous être opérationnels et documentés pour que la barrière puisse fonctionner comme un moyen de contrôle de la contamination (CCS) plutôt que comme une enceinte physique. Les sites qui installent un RABS sans élaborer ni valider les procédures d'intervention disposent d'un équipement de confinement qui ne constitue pas encore un moyen de contrôle de la contamination.

Un flux d'air unidirectionnel local sans barrière totale présente le risque d'exposition le plus élevé dans les opérations aseptiques et dépend fortement de qualification des salles blanches, une surveillance continue et le respect rigoureux des techniques d’asepsie par les opérateurs. Cette option reste envisageable lorsque l’évaluation des risques la justifie ; toutefois, celle-ci doit la justifier de manière explicite, et non pas la choisir simplement parce qu’elle présente un coût initial moindre.

Le risque ne réside pas dans le type de barrière installé, mais dans le fait de savoir si les preuves de qualification et les procédures d’exploitation permettent à celle-ci de fonctionner comme un dispositif documenté de contrôle de la contamination.

Les critères de conception des isolateurs mis en avant dans les pratiques actuelles — conception axée sur le nettoyage, la décontamination et la réduction au minimum des interventions — ont des répercussions directes sur le cahier des charges des équipements. La géométrie des surfaces, la compatibilité des matériaux avec les agents de décontamination et l'accessibilité des surfaces internes pour la validation du nettoyage sont autant de critères qui doivent figurer dans les appels d'offres adressés aux fournisseurs, et non être mis en évidence au cours de la validation du nettoyage.

Des documents fournisseurs que le service d'assurance qualité peut réellement utiliser

Le principal obstacle à la mise en œuvre des projets de l’annexe 1 ne réside pas dans le fait que les fournisseurs ne fournissent pas la documentation nécessaire, mais dans le fait que cette documentation ne correspond presque jamais au cadre CCS spécifique du site sous une forme directement exploitable par le service d’assurance qualité. Il en résulte que ce dernier doit réécrire ou reconstituer les justificatifs relatifs aux équipements après leur acquisition et leur installation, ce qui augmente le coût du cycle de vie et retarde la mise en service du système CCS.

Le problème est d’ordre structurel. Les fournisseurs émettent des certificats de test d’intégrité HEPA, des rapports de qualification, des registres de fonctionnement des interverrouillages et des spécifications de configuration du système de gestion de l’environnement (EMS) selon leurs propres formats et cadres de référence. Ces documents décrivent les performances des équipements, mais ils ne précisent pas le rôle de ces derniers au sein du système de contrôle de la contamination (CCS) du site, le risque de contamination auquel ils s’adressent, ni la manière dont leurs données alimentent l’examen du cycle de vie du CCS. Lorsqu’un inspecteur demande des preuves établissant le lien entre le système de passage et l’allégation de séparation de la contamination entre les zones de Grade B et de Grade C, un rapport générique de test d’interverrouillage ne répond pas à la question.

Au moment de l’appel d’offres, il faut décider s’il faut exiger des fournisseurs des documents structurés de manière à faciliter l’intégration au CCS dès le départ, ou s’il faut accepter des documents au format standard et prévoir une adaptation après l’attribution du marché. La deuxième option n’est pas mauvaise en soi, mais le travail d’adaptation doit faire l’objet d’une définition précise du périmètre, d’une allocation de ressources et d’un calendrier. Les sites qui considèrent la documentation des fournisseurs comme un livrable de transfert plutôt que comme une donnée d’entrée pour le CCS constatent souvent que les délais de validation s’allongent, car le service d’assurance qualité ne peut pas utiliser la documentation reçue sans effectuer un travail supplémentaire de mise en adéquation.

Trois documents du tableau méritent une attention particulière lors de la passation de commande. La configuration du système EMS et les spécifications d’exportation des données déterminent si les données de surveillance des particules en temps réel peuvent alimenter l’analyse du cycle de vie du CCS ou si elles doivent être extraites manuellement — une distinction qui comporte un risque direct pour l’inspection. La documentation relative à la validation du système de transfert doit être conforme aux procédures opérationnelles standard (SOP) du site en matière de désinfection, et ne pas se contenter de confirmer que le verrouillage fonctionne de manière isolée. De même, les registres de stérilisation des composants à usage unique doivent garantir la traçabilité tout au long de la chaîne d’approvisionnement, afin que le service d’assurance qualité puisse les intégrer au contrôle des fournisseurs et des matériaux au sein du CCS, et non pas simplement démontrer que le processus de stérilisation a été validé de manière générale.

Les documents fournisseurs qui ne peuvent pas être directement référencés dans le CCS sans être réécrits génèrent une charge de travail supplémentaire en matière d'assurance qualité, qui se traduit par des lacunes au niveau des contrôles si elles ne sont pas résolues avant la mise sur le marché du produit.

L'équipement ne prend en charge l'annexe 1 qu'avec un rôle CCS documenté

Le critère est simple, mais on passe facilement à côté : un équipement n'est considéré comme conforme à l'annexe 1 que si son rôle dans la prévention de la contamination, la surveillance ou le contrôle des transferts est explicitement documenté dans le système de contrôle de la sécurité et de la qualité (CCS) et justifié dans le cadre de la gestion des risques liés à la qualité. Une enceinte de sécurité biologique, un système BIBO ou un boîte de passage Ce n’est pas le simple fait d’être installé dans une salle blanche qui fait d’un dispositif un contrôle de l’annexe 1 : il ne devient un contrôle de l’annexe 1 que lorsque le CCS identifie le risque de contamination auquel il s’adresse, explique pourquoi il a été choisi comme contrôle et le relie aux mesures de surveillance et aux procédures qui confirment son efficacité.

Ce seuil a une incidence directe sur la manière dont les achats d’équipements sont définis en interne. Les décisions d’achat prises en fonction de la catégorie de produit plutôt que du rôle du CCS posent un problème de validation a posteriori : le service d’assurance qualité doit justifier rétrospectivement pourquoi l’appareil a été sélectionné et quel risque il permet de maîtriser, ce qui est plus difficile à documenter de manière convaincante qu’une justification prospective formulée dès la phase de conception. Les autorités de régulation attendent du CCS qu’il démontre que les risques de contamination ont d’abord été identifiés, que des mesures de contrôle ont été sélectionnées pour y remédier et que les spécifications des équipements ont découlé de cette analyse.

L’exigence relative au QRM inhérente à cette attente n’est pas une simple formalité bureaucratique. Elle détermine si le rôle du CCS, tel qu’il est documenté, peut résister à un examen minutieux en cas d’incident de contamination ou d’écart. Si un incident de contamination implique une voie de transfert de matières et que le système de passage ne dispose d’aucun rôle documenté pour le CCS, le site ne peut pas démontrer que le contrôle du transfert s’inscrivait dans une stratégie rationnelle de contrôle de la contamination — il peut seulement montrer qu’un sas de transfert a été installé. Il s’agit là d’une position plus fragile que celle que la plupart des équipes d’assurance qualité choisiraient d’adopter.

Concrètement, cela signifie que chaque catégorie d’équipement présente dans l’environnement de fabrication stérile doit disposer d’une entrée dans le CCS précisant le risque de contamination maîtrisé, la justification QRM du choix de la mesure de contrôle, ainsi que le cadre de preuves démontrant que la mesure fonctionne comme prévu. Cette entrée ne doit pas nécessairement être longue, mais elle doit exister et être traçable jusqu’aux dossiers de qualification de l’équipement et de surveillance opérationnelle. En l’absence de ces liens, la contribution de l’équipement à la maîtrise de la contamination reste une hypothèse plutôt qu’une mesure de contrôle documentée.

Avant toute Projet de l'annexe 1 Lorsque le processus passe de la sélection du matériel à son acquisition, le CCS doit déjà avoir défini le risque de contamination que chaque dispositif est censé traiter, ainsi que les éléments de preuve qui démontreront son efficacité. Cette séquence — identification du risque en premier lieu, rôle du matériel en second lieu, exigences en matière de documentation des fournisseurs en troisième lieu — réduit les retouches nécessaires lorsque les rapports de qualification et les certificats des fournisseurs sont fournis dans des formats que le service d’assurance qualité ne peut pas exploiter sans documentation complémentaire.

Pour les équipes qui examinent actuellement les spécifications des équipements ou les listes de fournisseurs présélectionnés, la vérification la plus utile consiste à déterminer si chaque équipement candidat est associé à un rôle CCS bien défini, si le fournisseur est en mesure de fournir une documentation structurée pour prendre en charge ce rôle, et si les données issues des systèmes de surveillance et de contrôle des transferts sont compatibles avec le processus de révision du cycle de vie du CCS du site. Des lacunes dans l’un de ces trois domaines représentent un travail qui devra être effectué avant la mise en service du produit — la question est de savoir si ce travail est planifié et doté des ressources nécessaires, ou s’il est découvert dans l’urgence.

Questions fréquemment posées

Q : Notre salle blanche a été mise en service il y a plusieurs années et des équipements tels que les sas et les systèmes de barrières ont été installés avant que nous ne disposions d’un CCS officiel. Pouvons-nous les mettre en conformité avec l’annexe 1 sans tout remplacer ?
R : Oui, l’alignement rétroactif est possible. Vous n’avez pas besoin de remplacer les équipements en état de marche ; vous devez simplement documenter leur rôle actuel au sein du CCS. Commencez par réaliser une évaluation des risques qui identifie la voie de contamination contrôlée par chaque dispositif, puis associez les dossiers de qualification existants à ce scénario de risque. L’entrée CCS ainsi créée fournit au service d’assurance qualité la traçabilité dont il a besoin sans modification matérielle, à condition que les données de performance d’origine soient toujours valides et que le dispositif réponde aux exigences opérationnelles actuelles.

Q : Nous avons constaté que les documents de nos fournisseurs ne correspondent pas au CCS de notre site. Quelle est la prochaine étape à suivre avant de finaliser l'achat d'un nouvel équipement ?
R : Élaborez un cahier des charges destiné aux fournisseurs qui précise le risque CCS auquel chaque dispositif est censé répondre, ainsi que le format des preuves que le service d'assurance qualité doit intégrer directement. Envoyez ce cahier des charges aux fournisseurs présélectionnés avant de passer commande et demandez-leur de confirmer quels documents standard de leur gamme y répondent et où des lacunes subsistent. Cela permet de transformer un problème de documentation post-livraison en un exercice d'alignement dès la phase d'approvisionnement, évitant ainsi des retouches imprévues par la suite.

Q : Cette exigence relative à la définition d'un rôle pour le CCS s'applique-t-elle aux procédures non aseptiques ? équipement de salle blanche tels que les douches à air ou le mobilier pour salles blanches ?
R : L’exigence d’une définition complète et documentée du rôle du CCS découle de l’annexe 1 des BPF de l’UE, qui concerne la fabrication de médicaments stériles. Pour les salles blanches non stériles ou de classe inférieure, l’annexe 1 n’est pas la norme de référence, mais le principe consistant à établir un lien entre les mesures techniques de contrôle et les risques de contamination reste une bonne pratique. Les équipements non aseptiques ne nécessitent peut-être pas une justification aussi détaillée des QRM, mais leur justification doit tout de même pouvoir être rattachée à votre raisonnement en matière de contrôle environnemental.

Q : Lorsqu'il s'agit de choisir entre un isolateur fermé et un système RABS pour une nouvelle ligne de remplissage, lequel nécessite généralement moins de modifications de la documentation lors de l'intégration au système CCS ?
R : Aucun des deux n’est à l’abri, mais les RABS entraînent souvent davantage de retouches si les procédures d’intervention et la dépendance vis-à-vis de l’opérateur sont sous-estimées. Un isolateur fermé nécessite une validation approfondie du cycle de décontamination et des tests d’intégrité ; cependant, une fois ces éléments documentés, le risque lié à l’intervention de l’opérateur est mécaniquement limité. Les RABS restent davantage tributaires des procédures ; ainsi, les lacunes dans les protocoles d’habillage et la documentation des interventions constituent une source plus importante de mises à niveau rétroactives du système de contrôle des contaminants (CCS). L’essentiel est d’évaluer quel système votre équipe est en mesure de documenter rigoureusement dès le départ, grâce à une discipline opérationnelle adéquate.

Q : En tant que sous-traitant disposant de nombreuses lignes de remplissage anciennes, est-il utile de créer a posteriori des entrées CCS individuelles pour chaque équipement, ou pouvons-nous effectuer la documentation par système ?
R : Cela en vaut la peine — mais une documentation au niveau du système peut être acceptable si une évaluation des risques justifie que l’ensemble des dispositifs contrôle une voie de contamination spécifique. Le regroupement ne doit pas être simplement une question de commodité ; il doit démontrer que la défaillance d’un seul dispositif au sein du groupe ne créerait pas de risque non maîtrisé. Le coût lié à l’absence de documentation lors d’une inspection dépasse généralement l’investissement dans des entrées CCS structurées et traçables ; cet effort est donc rentabilisé par la protection lors des audits et par la prévention des retards de mise sur le marché.