Qualification des fournisseurs selon l’ISO 13485 et les BPF de l’UE : guide pratique

La liste des fournisseurs approuvés compte 140 noms. Une vingtaine d’entre eux sont particulièrement importants, une quarantaine ont peut-être été approuvés il y a des années sur la base d’un questionnaire que personne n’a relu, et l’un d’eux, un mouleur de joints en silicone, a adopté un autre système de polymérisation au printemps dernier sans en informer personne. Vous l’avez découvert lorsqu’une question de biocompatibilité a été soulevée lors d’un audit de l’organisme notifié.

C’est la situation habituelle de la qualification des fournisseurs chez un fabricant en pleine croissance : beaucoup de documents au départ, très peu de suivi par la suite. Ce guide présente les exigences réelles de l’article 7.4 de l’ISO 13485 et des chapitres 5 et 7 des BPF de l’UE, puis propose une approche fondée sur le risque pour classer les fournisseurs, choisir les preuves à recueillir, rédiger des accords qualité, surveiller les performances et gérer les modifications apportées par les fournisseurs.

Exigences de l’ISO 13485 et des BPF de l’UE

L’article 7.4.1 de la norme ISO 13485:2016 exige que les critères d’évaluation et de sélection des fournisseurs soient fondés sur leur capacité à fournir un produit conforme, leurs performances et l’incidence du produit acheté sur la qualité du dispositif médical, et qu’ils soient proportionnés au risque associé au dispositif. Vous devez planifier la surveillance et la réévaluation, utiliser les résultats de la surveillance lors de la réévaluation, traiter avec le fournisseur les exigences d’achat non satisfaites en fonction du risque et conserver les enregistrements correspondants.

L’article 7.4.2 précise que les informations relatives aux achats doivent inclure, le cas échéant, un accord écrit selon lequel le fournisseur vous informera des modifications avant leur mise en œuvre, si elles ont une incidence sur la capacité du produit acheté à satisfaire aux exigences. L’article 7.4.3 lie l’étendue de la vérification à réception aux résultats de l’évaluation du fournisseur et au risque lié au produit ; il exige également que vous évaluiez toute modification dont vous avez connaissance afin d’en déterminer les effets sur la réalisation du produit ou le dispositif. Lorsqu’un processus est externalisé, l’article 4.1.5 exige des contrôles proportionnés au risque, y compris des accords qualité écrits.

Dans le cadre du MDR de l’UE, l’article 10(9) cite la sélection et le contrôle des fournisseurs et des sous-traitants parmi les éléments auxquels le système de management de la qualité du fabricant doit répondre. Par ailleurs, l’annexe IX, section 3.4, permet à l’organisme notifié d’étendre, le cas échéant, ses audits inopinés aux fournisseurs et sous-traitants du fabricant. Vos fournisseurs critiques doivent être prêts à recevoir une visite que vous n’avez pas organisée.

Pour les médicaments, le chapitre 7 des BPF de l’UE porte sur les activités externalisées. Le donneur d’ordre doit évaluer la légalité, l’adéquation et la compétence du sous-traitant avant l’externalisation (7.5), surveiller et examiner ses performances (7.7), et disposer d’un contrat écrit qui définit les responsabilités à chaque étape et autorise les audits (7.14 à 7.17). Le sous-traitant ne peut pas sous-traiter à son tour sans évaluation et approbation préalables (7.11), ni apporter de modifications non autorisées susceptibles d’affecter la qualité (7.12).

Le chapitre 5 des BPF de l’UE porte sur les matières. Le paragraphe 5.27 exige que la sélection, la qualification, l’approbation et le suivi des fournisseurs de matières premières soient documentés, avec une surveillance proportionnée au risque lié à chaque matière, en tenant compte de sa source, de son procédé de fabrication, de la complexité de la chaîne d’approvisionnement et de son utilisation finale. Le paragraphe 5.28 prévoit que les exigences qualité soient convenues dans un accord qualité ou une spécification formels. Le paragraphe 5.29 exige l’audit des fabricants et distributeurs de substances actives, ainsi qu’une évaluation formalisée des risques pour les excipients. Le paragraphe 5.45 étend la même vigilance aux fournisseurs d’emballages primaires et imprimés.

Classez les fournisseurs selon le risque avant de les qualifier

Toutes les exigences ci-dessus parlent de mesures « proportionnées » : commencez donc par établir une classification. Trois niveaux suffisent pour la plupart des petits et moyens fabricants.

Classez les fournisseurs en fonction de leur incidence sur le produit et le patient, puis ajustez la classification. Un fournisseur unique, une chaîne d’approvisionnement complexe ou une matière pour laquelle vous vous fiez au certificat d’analyse du fournisseur au lieu d’effectuer des essais complets doivent faire passer le fournisseur au niveau supérieur. Depuis la révision 2023 de l’ICH Q9, la disponibilité des produits est également considérée comme un risque qualité ; un fournisseur unique d’une matière critique en cas de pénurie mérite donc le niveau critique, même si la matière elle-même est simple.

Consignez le motif de chaque classification dans le dossier du fournisseur. Lorsqu’un auditeur vous demande pourquoi l’imprimeur d’étiquettes est classé « majeur » et non « critique », vous devez pouvoir répondre en une phrase en mentionnant le contrôle du contenu des étiquettes effectué à la réception.

Critères d’évaluation et éléments de preuve

Pour chaque niveau, définissez les aspects que l’évaluation doit couvrir. Voici un ensemble de critères pertinents pour les fournisseurs critiques et majeurs :

• statut du système qualité (certificat ISO 13485, certificat BPF ou autorisation de fabrication, le cas échéant, historique des inspections)
• capacité technique à respecter votre spécification, y compris le statut de validation du procédé
• gestion des modifications et pratiques de notification des changements
• contrôle de ses propres fournisseurs et sous-traitants
• traçabilité et conservation des enregistrements
• gestion des réclamations, déviations et rappels
• statut réglementaire, par exemple présence dans EudraGMDP pour les fabricants de substances actives
• continuité de l’approvisionnement : autres sites, capacité, plans de continuité des activités

Déterminez ensuite quels éléments de preuve démontrent que chaque critère est respecté. Les certificats prouvent qu’un tiers a évalué le système par rapport à une norme. Ils ne prouvent pas que le fournisseur peut fabriquer votre pièce conformément à votre spécification : c’est pourquoi les échantillons, l’inspection du premier article ou les lots de qualification ont du poids pour les articles critiques.

Audit fournisseur ou questionnaire ?

Un questionnaire vous indique ce qu’un fournisseur déclare faire. Un audit vous permet de vérifier s’il le fait réellement. Les deux ont leur utilité.

Utilisez un questionnaire pour les fournisseurs majeurs, comme étape de présélection avant un audit et pour actualiser les informations entre deux audits. Posez des questions précises. À « Disposez-vous d’une procédure de maîtrise des modifications ? », la réponse sera toujours oui. « Décrivez la dernière modification que vous avez signalée à un client et le délai de préavis accordé » vous apprendra quelque chose.

Réalisez un audit lorsque le fournisseur est critique, lorsque le questionnaire soulève des doutes, lorsque les données de performance se dégradent ou lorsqu’un fournisseur propose une modification importante. Lorsque vous vous fiez aux résultats d’essais d’un fournisseur, le paragraphe 5.36 des BPF de l’UE prévoit des audits du site d’essai, réalisés par vous ou par un tiers, à des intervalles fondés sur le risque. Les audits à distance conviennent bien aux examens documentaires approfondis d’un fournisseur que vous connaissez déjà. Ils sont moins adaptés à une première visite d’un site de fabrication, où il est important de voir l’atelier, l’entrepôt et la zone des produits rejetés.

Planifiez les audits des fournisseurs en parallèle de vos audits internes, selon le même calendrier fondé sur le risque. Notre guide sur la mise en place d’un programme d’audit interne explique comment définir une fréquence applicable également aux fournisseurs.

Contenu d’un accord qualité conforme aux BPF

Un accord qualité constitue la partie technique du contrat. Le chapitre 7 exige qu’il soit rédigé par des personnes qui comprennent l’activité externalisée et les BPF, ce qui se reflète dans le niveau de détail. Il devrait au minimum couvrir les points suivants :

• champ d’application : produits, matières, services et sites concernés
• spécifications et partie responsable de leur gestion
• responsabilités à chaque étape, présentées dans un tableau : achat des matières, essais, libération, stockage, transport
• notification des modifications : éléments à notifier, délai de préavis et modifications nécessitant votre approbation avant leur mise en œuvre
• déviations et résultats hors spécifications : éléments que le fournisseur doit signaler et délai de notification
• sous-traitance : interdite sans votre approbation préalable
• enregistrements : éléments conservés, durée de conservation et accès sur demande
• droit d’audit, y compris les audits motivés à bref délai
• réclamations, rappels et enquêtes sur les produits falsifiés
• inspections réglementaires : notification lorsqu’une autorité réalise une inspection ou constate des problèmes ayant une incidence sur votre produit

La clause de notification des modifications est celle qui est souvent édulcorée lors des négociations. Ne cédez pas sur ce point pour les fournisseurs critiques. Indiquez en annexe des exemples de modifications à notifier : source des matières premières, site de fabrication, équipement clé, méthode d’essai, paramètres de stérilisation, sous-traitants.

Liste des fournisseurs approuvés et surveillance continue

La liste des fournisseurs approuvés doit contenir davantage qu’un nom et une coche. Pour chaque fournisseur, consignez les matières ou services approuvés, le niveau et sa justification, le statut d’approbation (approuvé, sous conditions, suspendu, exclu), la date de la dernière évaluation et celle de la prochaine échéance, ainsi qu’un lien vers l’accord qualité. Le service des achats ne devrait pas pouvoir émettre de commande auprès d’un fournisseur qui n’est pas approuvé pour l’article concerné.

La surveillance doit s’appuyer sur les données que vous recueillez déjà : rejets à la réception, écarts dans les certificats d’analyse, déviations et réclamations attribuables au fournisseur, réponses tardives ou incomplètes aux demandes de mesures correctives adressées au fournisseur, et livraisons dans les délais lorsque les pénuries pourraient affecter l’approvisionnement. Le paragraphe 5.36 des BPF de l’UE ajoute un contrôle souvent négligé : lorsque vous réduisez les essais et vous fiez au certificat du fournisseur, effectuez une analyse complète à des intervalles définis en fonction du risque et comparez les résultats. En cas d’écart, cessez d’accepter les certificats jusqu’à la fin de l’enquête.

Réévaluez les fournisseurs selon un calendrier défini en fonction de leur niveau et intégrez les résultats de la surveillance à cette réévaluation, comme l’exige l’article 7.4.1. Le résultat doit être une décision : poursuivre, poursuivre sous conditions, renforcer la surveillance, réaliser un audit ou exclure le fournisseur. Lorsqu’un problème fournisseur nécessite une action formelle, ouvrez une CAPA et considérez le fournisseur comme responsable de l’action corrective, tandis que vous êtes responsable de sa vérification. Notre article sur les CAPA selon l’ISO 13485 explique comment structurer cette démarche.

Lorsqu’un fournisseur apporte une modification

Les modifications apportées par un fournisseur vous parviennent de trois façons : par une notification formelle, par une indication dans un nouveau certificat ou une nouvelle fiche technique, ou à la suite d’une enquête après un problème. La première signifie que le système fonctionne. Les deux autres indiquent que l’accord ou la relation nécessite une attention particulière.

Traitez chaque modification notifiée comme un contrôle des modifications interne. Évaluez ses effets sur les spécifications, la validation, la stabilité, la biocompatibilité, les dossiers réglementaires et vos propres processus, puis déterminez les éléments de preuve nécessaires avant de l’accepter : essais comparatifs, lots de qualification, certificats mis à jour ou notification à l’organisme notifié ou à l’autorité compétente. La méthode présentée dans notre article sur l’évaluation de l’impact du contrôle des modifications s’applique également aux modifications lancées par un fournisseur.

Une modification non notifiée constitue une déviation. Isolez les matières concernées, évaluez les produits déjà libérés et ouvrez une CAPA qui porte à la fois sur l’incidence sur le produit et sur la défaillance du dispositif de notification. Déterminez si le niveau du fournisseur, la fréquence des audits ou son statut d’approbation doivent être modifiés. Dans l’exemple du joint en silicone, cela signifie mettre le stock en quarantaine, évaluer le nouveau système de polymérisation au regard de l’évaluation biologique et auditer la maîtrise des modifications du fournisseur avant d’approuver de nouvelles livraisons.

À retenir

Cette semaine, examinez vos dix fournisseurs les plus critiques et vérifiez trois éléments pour chacun : une justification écrite de sa classification, un accord qualité comportant une clause précise de notification des modifications et une réévaluation réalisée au cours de la dernière année à partir de données réelles sur les performances. Si l’un de ces trois éléments manque pour un fournisseur critique, remédiez-y avant d’ajouter un autre nom à la liste.

Si vous souhaitez planifier et suivre les audits fournisseurs avec le même programme, les mêmes listes de contrôle, les mêmes constats et le même suivi de clôture que pour vos audits internes, consultez la gestion des audits d’InnoQualis.