CAPA selon l’ISO 13485 : ce que les clauses 8.5.2 et 8.5.3 exigent réellement
Une lecture clause par clause des actions correctives et préventives selon l’ISO 13485:2016, des éléments qui doivent les alimenter et des points qu’un auditeur d’organisme notifié vérifie dans un dossier CAPA.
La plupart des fabricants de dispositifs médicaux disposent déjà d’une procédure CAPA. Les difficultés commencent généralement lorsque l’auditeur de l’organisme notifié sélectionne au hasard trois dossiers CAPA et les examine de bout en bout. Une cause racine indiquant « erreur de l’opérateur », un plan d’action indiquant « recyclage » et une clôture approuvée deux semaines plus tard sans preuve qu’un changement a été apporté. Cet article explique ce qu’exigent réellement les clauses 8.5.2 et 8.5.3 de l’ISO 13485:2016, en quoi les actions correctives et préventives diffèrent dans la pratique, quelles données doivent alimenter votre processus CAPA, comment adapter les efforts aux risques et ce que recherche un auditeur lorsqu’il ouvre un dossier CAPA.
Ce qu’exige la clause 8.5.2 de l’ISO 13485 pour les actions correctives
La clause 8.5.2 vous demande de prendre des mesures pour éliminer la cause des non-conformités afin d’éviter qu’elles ne se reproduisent, et ce sans retard injustifié. Les mesures doivent être proportionnées aux effets des non-conformités rencontrées. Vous devez disposer d’une procédure documentée couvrant une séquence précise :
- Examiner les non-conformités, y compris les réclamations des clients.
- Déterminer les causes des non-conformités.
- Évaluer la nécessité d’agir pour garantir que les non-conformités ne se reproduisent pas.
- Planifier, documenter et mettre en œuvre les mesures nécessaires, y compris la mise à jour de la documentation, le cas échéant.
- Vérifier que l’action corrective n’affecte pas négativement la capacité à satisfaire aux exigences réglementaires applicables ni la sécurité et les performances du dispositif.
- Examiner l’efficacité de l’action corrective mise en œuvre.
Les enregistrements des résultats de toute enquête et des mesures prises doivent être conservés conformément aux exigences de maîtrise des enregistrements de la clause 4.2.5.
Deux termes de cette liste ont plus de poids qu’il n’y paraît au premier abord. Le terme « évaluer » à l’étape trois signifie que la norme prévoit que certaines non-conformités soient clôturées sans CAPA. Un boîtier rayé isolé, détecté lors du contrôle final et traité conformément à la maîtrise des produits non conformes de la clause 8.3, peut ne nécessiter qu’une correction et une note dans le registre de suivi des tendances. En revanche, la norme n’autorise pas à omettre l’évaluation. La décision de ne pas ouvrir de CAPA constitue elle-même un enregistrement, avec une justification.
L’étape cinq est celle que la plupart des procédures gèrent mal. Si votre action corrective modifie un paramètre de procédé, un fournisseur, une étiquette ou la conception du dispositif, vous devez démontrer que la modification ne crée pas un nouveau problème. Pour une action liée à la conception, cela implique généralement la maîtrise des modifications de conception selon la clause 7.3.9 et une mise à jour du dossier de gestion des risques. Une CAPA qui modifie discrètement un réglage de couple sur une chaîne d’assemblage sans évaluer l’effet du nouveau réglage sur l’intégrité de l’étanchéité satisfait aux étapes un à quatre, mais échoue à l’étape cinq.
Clause 8.5.3 : l’action préventive porte sur les non-conformités potentielles
La clause 8.5.3 reprend la structure de la clause sur les actions correctives, mais avec un champ d’application différent. L’action préventive concerne les non-conformités potentielles et leurs causes, avant qu’un problème ne survienne. La procédure doit couvrir la détermination des non-conformités potentielles et de leurs causes, l’évaluation de la nécessité d’agir, la planification, la documentation et la mise en œuvre des mesures, la vérification que celles-ci n’affectent pas négativement la conformité réglementaire ni la sécurité et les performances du dispositif, ainsi que l’examen de leur efficacité.
Dans la pratique, les actions préventives découlent généralement de l’analyse des données. Une tendance à la hausse des mesures hors tolérance sur un moule, alors que celles-ci restent dans les spécifications, peut justifier une action préventive. Il en va de même pour un constat sur une ligne de production qui ne s’est pas encore produit sur les deux autres lignes utilisant le même procédé, ou pour un audit fournisseur montrant que son programme d’étalonnage est en perte de rigueur, même si aucun produit livré n’a échoué au contrôle à réception.
Cette distinction est importante, car les auditeurs examinent la classification. Si toutes les CAPA de votre registre sont correctives, cela laisse entendre que l’organisation ne fait que réagir aux défaillances et que l’analyse des données prévue à la clause 8.4 ne produit aucun résultat. Si vous qualifiez une action de préventive alors qu’elle fait manifestement suite à une défaillance, cela ressemble à une tentative d’édulcorer le dossier. Le critère est simple : la non-conformité s’est-elle déjà produite pour ce produit, ce procédé ou ce système ? Si oui, elle relève d’une action corrective. Si vous étendez une correction à des éléments où le problème ne s’est pas encore produit, cette extension relève de la prévention, et il est raisonnable de consigner les deux dans une même CAPA.
L’action corrective, la correction et le confinement sont des choses différentes
L’ISO 13485 reprend les définitions de l’ISO 9000, et le règlement européen relatif aux dispositifs médicaux définit l’action corrective à l’article 2(67) comme une « action visant à éliminer la cause d’une non-conformité potentielle ou réelle ou d’une autre situation indésirable ». Le mot clé est « cause ».
Prenons l’exemple d’un lot de champs opératoires stériles mal étiquetés, dont le carton extérieur indique une date de péremption erronée. Mettre le lot en quarantaine et le réétiqueter constitue une correction : cela permet de traiter le produit non conforme. Vérifier les deux autres lots étiquetés sur la même imprimante cette semaine-là relève du confinement. Découvrir que le modèle d’étiquette récupère la date de péremption dans un champ que l’équipe de planification peut remplacer, puis verrouiller ce champ, constitue une action corrective. De nombreux dossiers CAPA s’arrêtent à la correction et considèrent le problème réglé ; ce sont précisément les dossiers sur lesquels un auditeur s’attardera.
Les éléments qui doivent alimenter votre processus CAPA
Un système CAPA alimenté uniquement par les constats d’audit manque de données. L’ISO 13485 relie les CAPA à plusieurs autres clauses, chacune constituant une source :
| Source | Clause de l’ISO 13485:2016 | Déclencheur typique |
|---|---|---|
| Réclamations | 8.2.2 | Catégorie de réclamation récurrente, toute réclamation comportant un enjeu de sécurité |
| Retours d’information et données post-commercialisation | 8.2.1 | Signaux issus de la surveillance après commercialisation |
| Produit non conforme | 8.3 | Non-conformité récurrente ou non-conformité isolée présentant un risque important |
| Audits internes | 8.2.4 | Constats majeurs et constats mineurs récurrents |
| Surveillance des procédés et des produits | 8.2.5, 8.2.6 | Résultats présentant une tendance anormale, baisse de capabilité |
| Analyse des données | 8.4 | Tendances concernant les fournisseurs, les réclamations et les non-conformités |
| Performance des fournisseurs | 7.4 | Rejets récurrents à la réception des marchandises |
| Revue de direction | 5.6 | Résultats nécessitant des actions d’amélioration |
Pour les fabricants soumis au règlement européen relatif aux dispositifs médicaux, ce dernier ajoute ses propres exigences. Le règlement (UE) 2017/745 mentionne, à l’article 10(9)(l), la « gestion des actions correctives et préventives et la vérification de leur efficacité » parmi les aspects que doit couvrir le système de management de la qualité. L’article 83(3)(e) précise que les données de surveillance après commercialisation doivent servir à identifier les besoins en matière d’actions préventives, correctives ou correctives de sécurité sur le terrain. L’article 83(4) exige du fabricant qu’il mette en œuvre les mesures appropriées et informe les autorités compétentes et, le cas échéant, l’organisme notifié dès qu’un tel besoin est identifié. Votre plan de surveillance après commercialisation et votre procédure CAPA devraient se référencer mutuellement explicitement.
Les fabricants de médicaments retrouveront la même structure dans la section 3.2.2 de l’ICH Q10, qui cite les réclamations, les rejets de produits, les non-conformités, les rappels, les déviations, les audits, les inspections réglementaires et les tendances issues du suivi des performances des procédés et de la qualité des produits parmi les données alimentant les CAPA.
Proportionnalité : adapter les CAPA aux risques
Les clauses 8.5.2 et 8.5.3 exigent toutes deux que les mesures soient proportionnées aux effets de la non-conformité. La clause 4.1.2 vous demande d’appliquer une approche fondée sur les risques à la maîtrise des processus du QMS, dont les CAPA font partie. C’est sur la proportionnalité que les petits fabricants ont tendance à se tromper dans les deux sens : mener une enquête complète selon les huit disciplines pour une faute de frappe dans une instruction de travail, ou consigner une réclamation concernant la défaillance d’un dispositif en cours d’utilisation dans un dossier de trois lignes.
Une approche efficace consiste à déterminer la profondeur de l’enquête dès l’ouverture, en utilisant la même échelle de gravité que dans votre dossier de gestion des risques. Une CAPA portant sur un danger présentant un niveau de gravité élevé justifie une méthode formelle d’analyse des causes racines, une équipe transversale, une évaluation documentée des risques liés à l’action proposée et un contrôle d’efficacité fondé sur des critères définis. Une CAPA concernant une non-conformité documentaire sans incidence sur le produit peut se contenter d’une analyse succincte des causes et d’un contrôle plus simple. Définissez les niveaux dans la procédure afin que la décision soit cohérente et que l’auditeur comprenne pourquoi deux dossiers CAPA sont si différents.
Le respect des délais entre également en jeu. La norme exige d’agir « sans retard injustifié », sans fixer de nombre de jours. Définissez dans votre procédure des délais cibles pour chaque niveau, suivez-les et consignez la raison lorsqu’une CAPA prend du retard. Une CAPA en retard, assortie d’une justification documentée et d’une mesure de confinement provisoire, peut se défendre. Une CAPA en retard que personne n’a examinée depuis quatre mois ne le peut pas.
Ce qu’un auditeur d’organisme notifié recherche dans un dossier CAPA
Lorsqu’un auditeur d’organisme notifié audite votre QMS, les CAPA font presque toujours partie des processus échantillonnés, et l’auditeur remonte généralement à partir des données d’entrée. Il sélectionne une réclamation, un rapport de non-conformité ou un constat d’audit interne, puis en suit le traitement jusqu’au bout. Les questions sont prévisibles, et un bon dossier CAPA y répond sans que quiconque dans la salle ait besoin de l’expliquer.
L’auditeur voudra voir un énoncé du problème suffisamment précis pour qu’une personne extérieure à l’équipe comprenne ce qui s’est passé, où et sur combien d’unités. Il recherchera une enquête ayant établi une cause étayée par des preuves et ne se contentera pas de la mention « erreur humaine » comme cause racine, à moins que vous ne puissiez démontrer pourquoi le processus a permis cette erreur. Il examinera si le périmètre a été pris en compte : si la cause provenait d’un procédé fournisseur, avez-vous vérifié les autres pièces de ce fournisseur ? Il vérifiera que les actions ont apporté une modification durable — à un document, un outillage, une spécification ou un paramètre système — et que les documents modifiés ont été soumis à la maîtrise documentaire. Il recherchera la vérification de l’étape cinq confirmant que l’action n’a pas nui à la sécurité ou aux performances du dispositif, ainsi qu’un lien vers le dossier de gestion des risques si ceux-ci ont été affectés. Enfin, il examinera la revue d’efficacité et comparera la date de clôture à la date de mise en œuvre.
Il examine également le registre CAPA dans son ensemble. De nombreux dossiers CAPA ayant la même catégorie de cause racine, une accumulation d’éléments en retard ou l’absence totale d’actions préventives constituent, en soi, des constats. Les actions correctives et préventives doivent alimenter la revue de direction conformément à la clause 5.6.2 ; l’auditeur s’attendra donc également à ce que les enregistrements de vos revues de direction montrent que l’état des CAPA a été examiné et a donné lieu à des mesures.
Une documentation CAPA qui résiste à l’audit
Un dossier CAPA qui résiste à un audit contient généralement la source et la référence de l’événement déclencheur, l’énoncé du problème, la décision relative au niveau fondée sur les risques, la méthode d’enquête et les preuves, la cause racine, l’évaluation du périmètre, le plan d’action avec les responsables et les échéances, les preuves de mise en œuvre — y compris les numéros de révision des documents —, la vérification que l’action n’affecte pas négativement la sécurité et les performances, les critères d’efficacité définis avant la clôture, le résultat de l’évaluation de l’efficacité et l’approbation de clôture. Si l’un de ces éléments ne figure que dans un échange de courriels, l’auditeur le considérera comme manquant.
La meilleure habitude à prendre consiste à définir les critères d’efficacité au moment où vous approuvez le plan d’action, avant que quiconque ne sache quel sera le résultat. Cela oblige l’équipe à définir ce qu’est la réussite et empêche que la clôture ne devienne une simple formalité.
Cette semaine, sélectionnez vos trois dossiers CAPA ouverts les plus anciens et lisez-les comme le ferait un auditeur, du déclencheur à la clôture, sans que personne ne vous les explique. Chaque fois que vous devez combler une lacune de mémoire, le dossier doit être corrigé. Si vous souhaitez centraliser ces étapes, les responsables et les revues d’efficacité, avec une piste d’audit en ajout uniquement, découvrez comment InnoQualis gère les CAPA.
