Analyse des causes profondes des déviations et des CAPA résistant à un audit

La déviation est maîtrisée, le lot est en attente et le champ d’investigation du formulaire est toujours vide. Quelqu’un doit déterminer pourquoi cela s’est produit, et ce qui sera inscrit dans ce champ influencera la CAPA, la décision concernant le lot et, tôt ou tard, l’opinion d’un inspecteur sur votre système qualité. Cet article vous propose une méthode pratique pour choisir une méthode d’analyse des causes profondes adaptée au problème, une série de questions permettant à l’investigation de dépasser l’« erreur humaine », un format pour la déclaration de cause profonde et un bref exemple détaillé tiré d’une ligne de conditionnement fictive.

Ce que les autorités réglementaires attendent de l’analyse des causes profondes dans le cadre des GMP

Le guide des GMP de l’UE est explicite à ce sujet. Le chapitre 1 d’EudraLex Volume 4, paragraphe 1.4(xiv), indique qu’un niveau approprié d’analyse des causes profondes doit être appliqué lors de l’investigation des déviations, des défauts présumés du produit et d’autres problèmes, et que ce niveau peut être défini à l’aide des principes de gestion des risques qualité. Lorsque la véritable cause profonde ne peut être déterminée, vous devez identifier et traiter la cause profonde la plus probable. Et lorsqu’une erreur humaine est suspectée ou identifiée comme étant la cause, cette conclusion doit être justifiée, en veillant à ne pas avoir négligé des erreurs liées au processus, aux procédures ou au système. Le paragraphe 1.8(vii) ajoute que les déviations significatives doivent faire l’objet d’une investigation visant à déterminer la cause profonde, avec la mise en œuvre de mesures correctives et préventives appropriées.

Les fabricants de dispositifs médicaux retrouvent le même principe dans la clause 8.5.2 de la norme ISO 13485:2016, qui exige que les causes des non-conformités soient déterminées dans le cadre des actions correctives.

Deux expressions du paragraphe 1.4(xiv) méritent une attention particulière. « Niveau approprié » permet d’adapter l’effort : un tube d’échantillon mal étiqueté ne nécessite pas la même investigation qu’un défaut de stérilité. « Cause profonde la plus probable » signifie qu’une investigation non concluante est acceptable si vous montrez le travail effectué, classez les causes possibles et agissez sur la plus probable. Les inspecteurs s’opposent aux investigations interrompues prématurément, ce qui est différent.

L’article du blog de l’inspectorat de la MHRA sur les investigations dans l’environnement GMDP répertorie les lacunes que les inspecteurs continuent de relever, notamment les causes profondes reposant sur des suppositions plutôt que sur des preuves, ainsi que le transfert de l’analyse des causes profondes vers une CAPA afin de pouvoir clôturer la déviation dans les délais. Il précise également que l’erreur humaine ne doit être citée comme cause profonde qu’après avoir écarté les variables liées au système et au processus.

Commencez chaque investigation par une chronologie

Avant de choisir un outil d’analyse, consignez les événements dans l’ordre. La chronologie est la méthode la moins spectaculaire et celle que l’on omet le plus souvent. Énumérez chaque événement avec son heure et sa source : l’entrée dans le dossier de lot, la piste d’audit de l’équipement, le journal des alarmes, la note de passation de consignes, le lecteur de badges, l’entretien. Signalez toute source manquante ou toute divergence entre deux sources.

La chronologie sépare les faits observés de leur reconstitution, ce qui permet de voir quelles parties du récit reposent sur des souvenirs. Elle met en évidence les moments importants : un redémarrage dix minutes après un changement d’équipe, une calibration arrivée à échéance la veille, un rouleau d’étiquettes changé au milieu du lot. Elle fournit aussi à tous les outils utilisés ensuite des éléments concrets sur lesquels s’appuyer. Si vos 5 pourquoi contredisent la chronologie, ce sont les 5 pourquoi qui sont erronés. Conservez la chronologie dans le dossier d’investigation.

Choisir une méthode d’analyse des causes profondes : 5 pourquoi, diagramme en arête de poisson ou arbre de défaillances

Aucune méthode ne convient à toutes les déviations. Choisissez en fonction de la nature du problème.

Les 5 pourquoi

La méthode des 5 pourquoi convient à un problème circonscrit et présentant une seule chaîne, comme une étape de dégagement de ligne omise. Continuez à demander pourquoi jusqu’à atteindre un élément que l’organisation peut maîtriser et modifier. Le chiffre cinq est une convention : certaines chaînes s’arrêtent à trois, d’autres nécessitent sept étapes.

Son point faible est qu’elle produit une seule chaîne, alors que les défaillances réelles ont souvent deux ou trois causes qui agissent simultanément. Pour éviter cela, exigez des preuves pour chaque réponse (un enregistrement, une observation, un résultat de test) et demandez à chaque étape si un autre élément pourrait également expliquer la situation. Si la réponse est oui, vous avez besoin d’un diagramme en arête de poisson ou d’un arbre de défaillances.

Diagramme en arête de poisson pour les investigations qualité

Le diagramme en arête de poisson, ou diagramme d’Ishikawa, est une structure de réflexion collective. L’effet se trouve à la tête du diagramme ; les arêtes correspondent aux catégories de causes. La plupart des équipes GMP utilisent une version des 6M : main-d’œuvre, méthodes, machines, matières, mesures et milieu. Son intérêt réside dans l’étendue des pistes envisagées : il amène l’équipe à prendre en compte les matières et les mesures alors que tout le monde est déjà convaincu que l’opérateur a commis une erreur.

Le résultat est une liste de causes possibles, chacune devant être confirmée ou écartée à l’aide de preuves, et le dossier doit montrer comment cela a été fait. Un diagramme en arête de poisson avec vingt notes autocollantes et aucun test de suivi indique seulement à l’inspecteur que l’équipe a fait un brainstorming.

Analyse par arbre de défaillances

Un arbre de défaillances part de la défaillance au sommet et remonte les combinaisons d’événements susceptibles de la provoquer, reliées par des opérateurs logiques ET et OU. L’ICH Q9(R1), annexe I.4, décrit l’analyse par arbre de défaillances et indique qu’elle peut être utilisée pour examiner des réclamations ou des déviations afin d’en comprendre pleinement la cause profonde, et pour vérifier que l’amélioration prévue résoudra le problème sans en créer un autre. La même annexe répertorie les diagrammes de cause à effet (Ishikawa) parmi les méthodes de facilitation de base.

Utilisez un arbre de défaillances lorsqu’une cause unique ne suffit pas à expliquer l’événement, par exemple lorsqu’un dispositif ne tombe en panne que si un lot particulier de composants est associé à une charge de stérilisation donnée. Les portes ET indiquent quelle combinaison de conditions doit être rompue.

Dépasser l’« erreur humaine » dans une investigation de déviation

L’erreur humaine décrit ce qui s’est produit lors de la dernière étape. Elle explique presque jamais pourquoi cela a pu se produire. Lorsque l’investigation met en cause un opérateur, continuez à poser des questions sur le système qui l’entoure :

• La procédure était-elle claire, à jour et disponible au point d’utilisation, et correspond-elle à la manière dont la tâche est réellement effectuée ?
• La personne avait-elle été formée sur cette révision, et la formation couvrait-elle l’étape qui a échoué ?
• La conception de la tâche rendait-elle l’erreur facile à commettre : étiquettes similaires, transcription manuelle, calcul effectué à la main, deux écrans qui ne concordent pas ?
• Une vérification aurait-elle dû détecter l’erreur, et pourquoi ne l’a-t-elle pas fait ?
• Quelles étaient les conditions : effectifs, pression temporelle, interruptions, durée de l’équipe, changement introduit au cours de la semaine ?
• La même erreur, ou une erreur similaire, s’est-elle déjà produite, ailleurs sur le site ou avec d’autres personnes ?

Cette dernière question est la plus importante. Si plusieurs personnes ont commis la même erreur, la cause se trouve dans le processus. Si une personne l’a commise une seule fois, dans des conditions auxquelles personne d’autre n’a été confronté, une action axée sur le personnel peut être justifiée, et le dossier doit en expliquer les raisons. Une nouvelle formation à elle seule constitue rarement une CAPA efficace, et une vérification de l’efficacité le révèle généralement ; voir comment vérifier l’efficacité d’une CAPA.

Il est également utile de préciser le type d’erreur. Un raté ou une omission (effectuer la mauvaise action alors qu’on veut faire la bonne, ou oublier une étape) appelle des modifications de conception telles que des interverrouillages, des invites et des secondes vérifications. Une erreur de jugement (l’intention elle-même était erronée) oriente vers la formation, les procédures ou les informations disponibles. Un écart délibéré par rapport à la procédure renvoie à la culture, à la supervision ou à une procédure impossible à suivre telle qu’elle est écrite.

Comment rédiger la déclaration de cause profonde

La déclaration de cause profonde est la première phrase que lit un inspecteur et la question à laquelle la CAPA doit répondre. Une structure utile comprend : l’événement, le mécanisme qui l’a provoqué et la condition du système qui l’a rendu possible, suivis des preuves.

Rédigez-la de façon à ce qu’elle soit propre à l’événement, qu’elle désigne un élément que vous maîtrisez et qu’elle mène directement à une action. « Erreur de l’opérateur lors de la configuration » ne satisfait aucun de ces trois critères. « La date de péremption a été saisie de manière incorrecte parce que la procédure demande à l’opérateur de la calculer manuellement et de la saisir en texte libre, sans vérification par rapport à une valeur approuvée avant l’impression » les satisfait. Si le responsable de la CAPA ne peut pas déterminer ce qu’il faut modifier à la lecture de la déclaration, celle-ci n’est pas terminée.

Distinguez la cause profonde des facteurs contributifs, qui ont rendu l’événement plus probable ou plus difficile à détecter (un nouvel employé dans l’équipe, un poste d’inspection mal éclairé), mais dont la suppression à elle seule ne l’aurait pas empêché. Consignez-les et ne les incluez pas dans la phrase décrivant la cause profonde. Pour savoir comment cela s’inscrit dans le rapport complet, consultez comment rédiger un rapport de déviation.

Exemple détaillé : une date de péremption mal imprimée

Cet exemple est fictif.

Lors du conditionnement de routine d’un produit en comprimés sur la ligne 3, le contrôle de fin de lot de l’assurance qualité révèle que les cartons conditionnés pendant les deux premières heures portent une date de péremption postérieure d’un an à la date approuvée. La ligne est arrêtée et les cartons concernés sont mis en quarantaine.

La chronologie indique que la surimprimante a été configurée à 06 h 10. Le dossier de lot indique la date de fabrication et une durée de conservation de 24 mois ; l’opérateur a calculé la date de péremption et l’a saisie. Le contrôle par une deuxième personne à 06 h 25 a confirmé que l’impression était lisible et correctement positionnée, puis la personne a signé une étape de la liste de contrôle intitulée « Codage vérifié ». L’erreur a été détectée à 08 h 30.

Les 5 pourquoi : les cartons portaient une date erronée parce que la mauvaise date avait été saisie. Elle a été saisie de manière incorrecte parce que l’opérateur a ajouté 36 mois au lieu de 24, après avoir conditionné la veille un produit ayant une durée de conservation de 36 mois sur la même ligne. Cela a été possible parce que la procédure exige un calcul manuel et une saisie en texte libre. L’erreur n’a pas été détectée parce que l’étape « Codage vérifié » ne précise pas par rapport à quoi effectuer la vérification et que, dans la pratique, les vérificateurs ne contrôlaient que la qualité de l’impression.

Une analyse par diagramme en arête de poisson a permis d’écarter l’imprimante (sa piste d’audit indiquait la valeur saisie), les cartons et le dossier de lot. Les dossiers de déviation ont révélé deux erreurs de codage antérieures sur d’autres lignes au cours de l’année écoulée, commises par des opérateurs différents.

Déclaration de cause profonde : la date de péremption incorrecte a été imprimée parce que la procédure de codage exige que les opérateurs calculent la date de péremption et la saisissent en texte libre, et que le contrôle par une deuxième personne ne prévoit pas de vérifier la date imprimée par rapport à la valeur approuvée figurant dans le dossier de lot. Preuves : piste d’audit de l’imprimante, dossier de lot, formulation de la liste de contrôle, deux déviations antérieures similaires. Facteur contributif : passage, la veille, à un produit ayant une durée de conservation différente.

La CAPA en découle directement : intégrer la date de péremption au dossier de lot afin que personne n’ait à la calculer, modifier la liste de contrôle pour exiger une comparaison caractère par caractère avec cette valeur et examiner la possibilité de transmettre la valeur électroniquement à l’imprimante.

À retenir

Commencez par établir la chronologie, choisissez l’outil en fonction de la nature du problème, vérifiez chaque cause possible à l’aide de preuves et considérez l’« erreur humaine » comme le début d’une question. Rédigez ensuite une déclaration de cause profonde sur laquelle le responsable de la CAPA pourra agir sans avoir à demander ce qu’elle signifie. Pour connaître le processus plus large qui encadre l’investigation, consultez le guide de gestion des déviations.

Si vous souhaitez que les investigations, les causes profondes et les actions associées soient consignées ensemble avec une piste d’audit en ajout uniquement, découvrez comment InnoQualis gère les déviations.