Signatures électroniques de l’Annexe 11 et Part 11 : les attentes des inspecteurs

Votre site transfère la revue des dossiers de lot, l’approbation des déviations ou la validation des SOP de la signature manuscrite à un système électronique, ou l’a déjà fait et une inspection est prévue. Dans les deux cas, quelqu’un vous demandera bientôt de montrer qu’une signature électronique dans votre système a la même valeur qu’une signature manuscrite et que personne ne peut modifier discrètement un dossier après sa signature. Cet article présente les exigences réelles de l’Annexe 11 des BPF de l’UE et de la 21 CFR Part 11 concernant les enregistrements et les signatures électroniques, la manière dont les recommandations du MHRA et de PIC/S sur l’intégrité des données transforment ces exigences en pratiques d’inspection, et les preuves précises à tenir à disposition.

Deux textes, une même intention

L’Annexe 11 des BPF de l’UE (EudraLex Volume 4, systèmes informatisés) est en vigueur depuis le 30 juin 2011. Ce texte est bref — environ cinq pages — et fondé sur des principes : la gestion des risques détermine l’étendue de la validation et des contrôles d’intégrité des données. Une révision beaucoup plus longue a été publiée sous forme de projet pour consultation en juillet 2025, parallèlement à la révision du chapitre 4 et à une nouvelle Annexe 22 sur l’intelligence artificielle. Tant que le texte définitif n’est pas adopté et entré en vigueur, c’est la version de 2011 qui servira de référence lors des inspections, même si le projet donne une bonne indication des sujets auxquels les inspecteurs accorderont leur attention.

La 21 CFR Part 11 est la réglementation américaine relative aux enregistrements et aux signatures électroniques. Elle est plus prescriptive que l’Annexe 11 et vous devrez la respecter si vous approvisionnez le marché américain ou si un partenaire américain vous audite. Les deux textes entrent rarement en conflit. Là où l’Annexe 11 indique le résultat attendu, la Part 11 précise souvent exactement quelles informations doivent être présentes ; un système conçu pour satisfaire aux deux répond donc généralement aux exigences de chacune.

Signatures électroniques : signification, lien avec l’enregistrement et identité

La clause 14 de l’Annexe 11 tient en trois lignes. Les signatures électroniques doivent avoir, au sein de l’entreprise, la même valeur que les signatures manuscrites, être liées de façon permanente à l’enregistrement correspondant et indiquer la date et l’heure auxquelles elles ont été apposées. La clause 15 ajoute que, lorsqu’un système enregistre la certification d’un lot, seuls les Qualified Persons peuvent la certifier, et qu’ils doivent le faire au moyen d’une signature électronique.

La Part 11 apporte des précisions. La section 11.50 exige qu’un enregistrement signé indique le nom en toutes lettres du signataire, la date et l’heure de la signature ainsi que sa signification — par exemple revue, approbation, responsabilité ou création — et que ces informations apparaissent sur toute version lisible par une personne, y compris une impression ou un PDF. La section 11.70 exige que les signatures soient liées à leurs enregistrements de façon à empêcher qu’elles soient supprimées, copiées ou transférées pour falsifier un autre enregistrement. La section 11.100 stipule que chaque signature est propre à une personne et ne peut jamais être réattribuée ; la section 11.200 exige au moins deux éléments d’identification distincts, par exemple un identifiant utilisateur et un mot de passe, pour les signatures qui ne reposent pas sur la biométrie.

Les recommandations du MHRA sur l’intégrité des données GXP (section 6.14) sont sans ambiguïté au sujet du raccourci le plus courant : l’insertion d’une image de signature ou une note de bas de page indiquant qu’un document a été signé électroniquement ne sont pas acceptables, sauf si elles proviennent du processus de signature validé. Les recommandations appellent le nom, le titre, la date et la signification visibles la « manifestation de la signature ». PIC/S PI 041-1 ajoute un critère qui permet de repérer la plupart des systèmes inadéquats : si un enregistrement signé est modifié par la suite, la signature doit être invalidée jusqu’à ce que l’enregistrement ait été réexaminé et signé à nouveau.

Lors des tests d’un système, signez donc la clôture d’une déviation, puis essayez trois choses. Modifiez un champ de l’enregistrement signé. Imprimez-le ou exportez-le et vérifiez que la manifestation de la signature est toujours présente. Demandez à un administrateur de modifier l’identité du signataire. Dans un système bien conçu, la première action invalide la signature ou impose la création d’une nouvelle version, la deuxième affiche le nom, la date, l’heure et la signification de la signature, et la troisième est impossible ou, à tout le moins, laisse une entrée dans la piste d’audit identifiant l’administrateur.

Exigences relatives aux pistes d’audit dans la pratique

La clause 9 de l’Annexe 11 exige que, sur la base d’une évaluation des risques, le système enregistre toutes les modifications et suppressions pertinentes pour les BPF, avec leur motif, et que les pistes d’audit soient accessibles, convertibles en une forme généralement intelligible et régulièrement examinées. La section 11.10(e) de la Part 11 exige des pistes d’audit sécurisées, générées par ordinateur et horodatées, qui enregistrent indépendamment les saisies des opérateurs ainsi que les actions qui créent, modifient ou suppriment des enregistrements, sans masquer les informations précédemment enregistrées.

Les recommandations du MHRA (section 6.13) décrivent leur contenu comme le « qui, quoi, quand et pourquoi » de chaque action, avec le fuseau horaire lorsque cela est pertinent, et précisent que les utilisateurs ne doivent pas pouvoir modifier ou désactiver la piste d’audit. La section 9.6 de PIC/S PI 041-1 va plus loin. La fonctionnalité de piste d’audit doit être activée et verrouillée ; si un administrateur peut la désactiver, cette action doit elle-même être enregistrée automatiquement. Les pistes d’audit critiques doivent être examinées avec les autres enregistrements d’une opération avant son achèvement, par exemple avant la libération d’un lot. Les pistes non critiques peuvent être examinées lors de la revue périodique du système.

C’est au niveau de la revue que les sites sont le plus souvent en défaut. Personne ne s’attend à ce qu’un réviseur lise chaque événement de connexion ; les recommandations du MHRA le précisent explicitement. Les inspecteurs attendent une décision documentée sur les entrées de la piste d’audit qui sont importantes, une procédure indiquant qui les examine et à quel moment, ainsi que des dossiers attestant que la revue a été effectuée. Une revue par exception est acceptable : filtrez les modifications des champs critiques, les suppressions, les signatures apposées après un long délai ou les modifications apportées par des administrateurs, puis consignez ce que vous avez constaté et les mesures prises.

Prenons un exemple concret. Une déviation est ouverte à la suite d’un écart de température dans une chambre froide. L’enquêteur consigne d’abord une durée de 40 minutes, puis la ramène à 25 minutes deux jours plus tard. La piste d’audit doit indiquer les deux valeurs, l’auteur de la modification, la date et l’heure, ainsi que le motif (« corrigé après examen de l’exportation de l’enregistreur »). Le réviseur qui approuve la clôture de la déviation doit voir cette modification, et le compte rendu de la revue de la piste d’audit doit montrer qu’elle a été examinée. Si le champ du motif indique « faute de frappe » alors que les données de l’enregistreur indiquent 40 minutes, vous aurez vous-même créé un constat d’intégrité des données.

Contrôle des accès

La clause 12 de l’Annexe 11 exige des contrôles physiques ou logiques limitant l’accès aux personnes autorisées, proportionnés à la criticité du système ; la tenue de dossiers sur la création, la modification et la révocation des autorisations d’accès ; et des systèmes conçus pour enregistrer l’identité de toute personne qui saisit, modifie, confirme ou supprime des données, avec la date et l’heure. Les sections 11.10(d) et (g) de la Part 11 exigent que l’accès soit limité aux personnes autorisées et prévoient des contrôles d’autorisation déterminant qui peut signer, modifier des enregistrements ou effectuer des opérations.

Les recommandations du MHRA précisent que les identifiants partagés et les accès génériques ne doivent pas être utilisés pour les données GxP, même si les comptes individuels nécessitent des licences supplémentaires. L’accès administrateur au système doit être limité au plus petit nombre de personnes possible, et les droits d’administrateur ne doivent pas être accordés aux personnes ayant un intérêt direct dans les données, comme l’analyste dont les résultats figurent dans le système. PIC/S ajoute que le système doit pouvoir dresser la liste de tous les utilisateurs et de leur rôle, et que cette liste doit servir lors des revues périodiques des accès utilisateurs.

Dans une petite entreprise, c’est souvent là que la situation devient délicate. Le responsable QA est souvent aussi l’administrateur du système. Si cette situation est inévitable, consignez l’évaluation des risques, conservez un compte administrateur nominatif distinct, utilisé uniquement pour l’administration, et demandez à une autre personne d’examiner sa piste d’audit.

ALCOA+ comme liste de contrôle pratique

Les recommandations du MHRA (section 3.10) et PIC/S PI 041-1 utilisent toutes deux ALCOA+ : Attribuable, Lisible, Contemporain, Original et Exact, auxquels s’ajoutent Complet, Cohérent, Durable et Disponible. Le MHRA précise que les attentes sont identiques quel que soit l’acronyme utilisé. Cette approche devient utile lorsqu’on l’applique à un type d’enregistrement à la fois.

Appliquez ce tableau à vos enregistrements de déviation, de CAPA, de contrôle des changements et de formation : vous obtiendrez ainsi l’ossature d’une évaluation des risques liés à l’intégrité des données.

Revue périodique

La clause 11 de l’Annexe 11 exige que les systèmes informatisés soient évalués périodiquement afin de confirmer qu’ils restent dans un état validé et conformes aux BPF. Selon le cas, l’évaluation doit couvrir les fonctionnalités actuelles, les dossiers de déviation, les incidents, les problèmes, l’historique des mises à niveau, les performances, la fiabilité, la sécurité et l’état de validation. PIC/S PI 041-1 demande que la fréquence soit déterminée en fonction des risques et que la revue tienne compte de l’effet cumulé des modifications apportées depuis la dernière revue.

Pour un eQMS cloud qui reçoit plusieurs mises à jour par an, cet effet cumulé est important. Chaque mise à jour peut avoir fait l’objet de sa propre évaluation d’impact, mais leur accumulation sur un an peut modifier le routage des approbations ou les informations capturées dans la piste d’audit. Une revue annuelle utile compare le système validé à celui qui fonctionne aujourd’hui, réexamine les accès utilisateurs, échantillonne les dossiers de revue des pistes d’audit, confirme qu’un test de restauration de sauvegarde a été effectué (clause 7.2 de l’Annexe 11) et se conclut par une conclusion signée : le système est toujours dans un état validé ou ne l’est plus, avec les actions à mener.

Ce que les inspecteurs demandent à consulter

Les inspecteurs vous demanderont généralement de présenter le système en direct plutôt que de leur montrer un classeur. Attendez-vous à des demandes comme celles-ci :

1. L’inventaire des systèmes informatisés et de leurs fonctions liées aux BPF (clause 4.3 de l’Annexe 11).
2. Le résumé de validation du système concerné et la manière dont les exigences utilisateurs sont reliées aux tests.
3. Un enregistrement signé, puis une démonstration de ce qui se passe lorsqu’une personne tente de le modifier.
4. La piste d’audit d’un enregistrement qu’ils auront choisi et le compte rendu de sa revue.
5. La liste actuelle des utilisateurs et de leurs rôles, ainsi que la dernière revue périodique des accès.
6. L’accord conclu avec le fournisseur du système et votre évaluation de celui-ci (clause 3 de l’Annexe 11).
7. Le dernier rapport de revue périodique et les preuves d’un test de restauration de sauvegarde.
8. Pour les enregistrements de libération de lots, une impression indiquant si les données ont été modifiées après leur saisie initiale (clause 8.2 de l’Annexe 11).

Exercez-vous. Demandez à la personne qui fera la démonstration de s’entraîner sur un enregistrement de test, avec un collègue indépendant jouant le rôle de l’inspecteur et choisissant l’enregistrement.

À retenir

L’Annexe 11 et la Part 11 expriment la même exigence différemment : une signature doit identifier une personne, indiquer ce qu’elle signifie, rester liée exactement à l’enregistrement signé et être conservée sur les impressions ; une piste d’audit doit montrer qui a modifié quoi, quand et pourquoi, et quelqu’un doit l’examiner. Cette semaine, choisissez trois types d’enregistrements, appliquez-leur le tableau ALCOA+ et les tests de signature, puis corrigez les lacunes avant qu’un inspecteur ne les découvre.

Si vous souhaitez effectuer ces tests sur un système conçu pour les fabricants du secteur réglementé, InnoQualis est un eQMS hébergé dans l’UE, doté d’une piste d’audit en ajout seulement et de signatures électroniques conçues pour prendre en charge la 21 CFR Part 11 et l’Annexe 11 des BPF de l’UE.