I. CHAMP D’APPLICATION
Les exigences énoncées dans la présente annexe s’appliquent aux systèmes informatisés utilisés dans le cadre de la fabrication des médicaments vétérinaires, dans la mesure où cette utilisation relève des bonnes pratiques de fabrication. L’utilisation de systèmes informatisés sur les sites de fabrication à des fins non liées au système qualité pharmaceutique (par exemple, questions relatives au personnel, questions commerciales, etc.) n’est pas concernée par les exigences de la présente annexe.
II. EXIGENCES GÉNÉRALES
II.1. L’infrastructure informatique utilisée dans la fabrication des médicaments vétérinaires est qualifiée. Toute application logicielle connexe est également validée. L’étendue de la validation est fondée sur les principes de gestion des risques, compte tenu de la nécessité de garantir la qualité du produit et l’intégrité des données.
II.2. L’externalisation des tâches/opérations liées à l’installation, à la configuration, à la validation, à la maintenance, à la modification d’un système informatisé ou de tout autre service connexe ou au traitement des données est effectuée au moyen d’un contrat écrit qui prévoit une délimitation claire des responsabilités de chaque partie.
II.3. L’aptitude du contractant est évaluée (y compris, le cas échéant, au moyen d’audits) en appliquant les principes de gestion des risques.
II.4. La documentation fournie avec les produits commerciaux prêts à l’emploi est examinée par le fabricant afin de vérifier que les besoins des utilisateurs sont satisfaits.
II.5. Les fournisseurs de logiciels spécialement développés/adaptés pour être utilisés dans le processus de fabrication sont qualifiés. Si nécessaire et à la demande des inspecteurs, le fabricant des médicaments vétérinaires est en mesure de produire des informations provenant du système qualité des fournisseurs ou des développeurs de ces logiciels spécifiques. Les accords contractuels entre les fournisseurs de logiciels et le fabricant des médicaments vétérinaires contiennent des dispositions adéquates à cet effet.
III. PHASE DE DÉVELOPPEMENT
III.1. Le fabricant prend toutes les mesures raisonnables pour faire en sorte que le système soit propre à garantir la qualité du produit, la régularité du processus de fabrication et le respect des objectifs du système qualité pharmaceutique.
III.2. Les spécifications relatives aux besoins des utilisateurs décrivent les fonctions requises du système informatisé et sont fondées sur des principes d’évaluation des risques. Les spécifications relatives aux besoins des utilisateurs sont traçables tout au long du cycle de vie du système informatisé.
III.3. Les normes, protocoles, critères d’acceptation, procédures et enregistrements sont justifiés sur la base d’une évaluation des risques.
III.4. La documentation et les rapports de validation couvrent les étapes pertinentes de l’ensemble du cycle de vie. La documentation de validation comprend des enregistrements en matière de maîtrise des changements (le cas échéant) et des rapports sur toute déviation observée au cours du processus de validation.
III.5. Un processus est mis en place pour la validation des systèmes informatisés sur mesure ou personnalisés, qui garantit l’évaluation formelle et la communication des paramètres de qualité et de performance pour toutes les étapes du cycle de vie du système.
III.6. L’adéquation des procédures de test et des scénarios de test est démontrée. Les limites des paramètres du système (processus), les limites de données et le traitement des erreurs sont dûment pris en considération. Lorsque des outils de test automatisés sont utilisés, une évaluation de leur adéquation, y compris de l’environnement dans lequel le test est effectué, est requise.
III.7. Lorsque des données sont transférées dans un autre format ou système de données, il convient de vérifier que le processus de migration n’a pas modifié les données (en valeur ou en signification).
IV. PHASE OPÉRATIONNELLE
IV.1. Une liste actualisée de tous les systèmes concernés et de leur fonctionnalité (inventaire) est tenue à jour. Dans le cas de systèmes critiques, la description du système détaille les dispositions physiques et logiques, les flux de données et les interfaces avec d’autres systèmes ou processus, les prérequis matériels et logiciels et les mesures de sécurité.
IV.2. Les systèmes informatisés qui échangent des données par voie électronique avec d’autres systèmes comprennent des contrôles intégrés appropriés pour l’introduction et le traitement corrects et sécurisés des données.
IV.3. Pour les données critiques saisies manuellement, une vérification supplémentaire de l’exactitude des données est effectuée. Cette vérification peut être effectuée par un deuxième opérateur ou par des moyens électroniques validés. L’importance et les conséquences potentielles d’une saisie erronée ou incorrecte de données sont traitées dans le cadre des principes de gestion des risques.
IV.4. Les données sont protégées par des moyens physiques et électroniques contre les dommages. La lisibilité et l’exactitude des données stockées, ainsi que leur accessibilité tout au long de la période de conservation, sont assurées.
IV.5. Des sauvegardes régulières de toutes les données pertinentes sont effectuées. L’intégrité et l’exactitude des données de sauvegarde ainsi que la capacité à rétablir les données sont vérifiées pendant la validation et font l’objet d’un suivi périodique.
IV.6. Il convient de veiller à ce que les données stockées sous forme électronique puissent être imprimées. Pour les enregistrements à l’appui de la libération des lots, il doit être possible de générer des impressions indiquant si l’une des données a été modifiée depuis la saisie initiale.
IV.7. Sur la base d’une évaluation des risques, il peut être approprié d’intégrer dans le système la création d’un dossier de tous les changements pertinents pour démontrer le respect des bonnes pratiques de fabrication et des suppressions (une «piste d’audit» générée par un système). En cas de modification ou d’effacement de données pertinentes, la raison en est documentée. Les pistes d’audit sont disponibles, convertibles sous une forme généralement intelligible et régulièrement réexaminées.
IV.8. Les changements apportés à un système informatisé, y compris aux configurations du système, ne sont effectués que de manière contrôlée conformément à une procédure définie.
IV.9. Les systèmes informatisés font l’objet d’une évaluation périodique afin de confirmer qu’ils restent en état de validité et conformes aux exigences énoncées dans la présente annexe. Ces évaluations portent, le cas échéant, sur les fonctionnalités actuelles, les enregistrements des déviations, les incidents, les problèmes, l’historique des mises à niveau, les performances, la fiabilité, la sécurité et les rapports sur l’état de validation.
IV.10. Des contrôles physiques ou logiques sont mis en place pour limiter l’accès aux systèmes informatisés et à la zone de stockage des données aux seules personnes autorisées. Des méthodes appropriées pour empêcher tout accès non autorisé au système, proportionnées à la criticité du système informatisé, sont mises en œuvre.
IV.11. La production, la modification ou l’annulation des autorisations d’accès sont enregistrées.
IV.12. L’identité des opérateurs qui créent, modifient, confirment ou effacent des données est enregistrée, y compris la date et l’heure auxquelles les opérations ont lieu.
IV.13. Tous les incidents, et pas seulement les défaillances du système et les erreurs de données, sont signalés et évalués. La cause racine d’un incident critique est établie et donne lieu à la mise en œuvre de mesures correctives et préventives, le cas échéant.
IV.14. Les enregistrements électroniques peuvent être signés électroniquement. Les signatures électroniques sont reliées en permanence à leur enregistrement respectif et incluent l’heure et la date à laquelle elles ont été créées.
IV.15. Lorsqu’un système informatisé est utilisé pour enregistrer la certification, le système est conçu/contrôlé de manière que seule la personne qualifiée puisse certifier les lots.
IV.16. La continuité des opérations effectuées par des systèmes informatisés prenant en charge des processus critiques est assurée en cas de panne du système (par exemple, au moyen d’un manuel ou d’un autre système). Le temps nécessaire à la mise en œuvre des autres dispositifs est proportionné aux risques. Les dispositions mises en œuvre sont documentées et testées.
IV.17. Les données peuvent être archivées. L’accessibilité, la lisibilité et l’intégrité de ces données sont vérifiées. Si des changements importants doivent être apportés au système (par exemple, équipements ou programmes informatiques), la capacité d’extraire les données est garantie et testée.