Code of Federal Regulations 21 CFR Part 11 : c’est quoi exactement ?
De la connaissance à l’action – découvrez Timly maintenant!
« Vos enregistrements électroniques ne sont pas conformes au Code of Federal Regulations 21 CFR part 11. » Glissée dans un rapport d’audit, une demande de qualification fournisseur ou l’e-mail d’un partenaire américain, cette remarque peut ralentir un projet entier.
Pour une entreprise pharmaceutique, biotechnologique ou de dispositifs médicaux qui travaille avec les États-Unis, le sujet devient rapidement stratégique. Mais le 21 CFR Part 11 est aussi fréquemment mal interprété : il ne s’applique pas à tous les logiciels, ne transforme pas automatiquement toute signature électronique en signature réglementaire et n’a pas été abrogé par la guidance de la Food and Drug Administration (également appelée par son abréviation : FDA) publiée en 2003.
Cet article reprend ce que prévoit la réglementation, le périmètre dans lequel elle s’applique, les exigences qu’elle formule, celles dont la FDA a annoncé qu’elle n’imposerait pas l’application (« enforcement discretion »), et la manière d’évaluer votre situation.
Qu’est-ce que le 21 CFR Part 11 ?
- Son intitulé officiel, « Electronic Records; Electronic Signatures », résume son objet. Le § 11.1(a) fixe les critères selon lesquels la FDA considère les enregistrements électroniques, les signatures électroniques et les signatures manuscrites apposées à des enregistrements électroniques comme fiables, dignes de confiance et globalement équivalents aux enregistrements papier et aux signatures manuscrites sur papier.
- Son rôle est de pouvoir démontrer qu’une donnée électronique :
- est fiable et complète ;
- est protégée contre les modifications non autorisées ;
- peut être retrouvée et reproduite pendant sa durée de conservation ;
- est rattachée à la personne qui l’a créée, modifiée, revue ou approuvée ;
- peut être défendue lors d’un audit, d’une inspection ou d’une revue qualité.
À qui s’applique le 21 CFR Part 11 ?
Le § 11.1(b) vise les enregistrements électroniques créés, modifiés, conservés, archivés, récupérés ou transmis au titre d’exigences applicables de la FDA.
La Part 11 ne constitue généralement pas, à elle seule, la source de l’obligation de créer ou de conserver un enregistrement. Elle encadre principalement la forme électronique d’enregistrements qui doivent exister, être conservés ou être soumis au titre d’autres obligations réglementaires de la FDA, souvent appelées predicate rules.
Le § 11.1(b) prévoit néanmoins certaines situations particulières. La Part 11 peut également couvrir des enregistrements électroniques soumis à la FDA en vertu du Federal Food, Drug, and Cosmetic Act ou du Public Health Service Act, y compris lorsqu’ils ne sont pas expressément identifiés dans une réglementation spécifique de l’agence.
Son applicabilité dépend de trois questions :
- L’enregistrement électronique est-il utilisé dans une activité relevant de la FDA ?
- Une exigence FDA impose-t-elle de créer, conserver ou transmettre cet enregistrement ?
- Le système est-il utilisé pour traiter cet enregistrement sous forme électronique ?
Les secteurs et enregistrements concernés
Les entreprises les plus fréquemment concernées opèrent dans les secteurs de :
- l’industrie pharmaceutique ;
- les biotechnologies ;
- les dispositifs médicaux ;
- les produits biologiques ;
- les laboratoires de contrôle qualité ;
- les organisations de recherche clinique ;
- les fabricants et sous-traitants intervenant dans une chaîne réglementée FDA.
Selon les activités, les enregistrements susceptibles d’entrer dans le périmètre peuvent inclure :
- les dossiers de lot ;
- les données et résultats de laboratoire ;
- les documents et enregistrements qualité ;
- les données d’équipements de production ou de laboratoire ;
- les registres de maintenance, de calibration, de qualification et de métrologie ;
- les rapports de déviation, CAPA et investigations ;
- les dossiers de formation ;
- la documentation de validation des systèmes informatisés ;
- les approbations, revues et signatures associées à des processus réglementés.
Une portée qui dépasse le territoire américain
- Une entreprise française, suisse, allemande ou espagnole peut être concernée lorsqu’elle crée ou exploite des enregistrements électroniques dans le cadre d’une activité soumise aux exigences FDA. Héberger une application dans l’Union européenne ou utiliser un fournisseur cloud européen ne suffit pas, à lui seul, à écarter l’applicabilité du règlement.
En revanche, il ne faut pas conclure que l’ensemble du système d’information de l’entreprise doit être conforme au 21 CFR Part 11. Le périmètre doit être analysé système par système, processus par processus et enregistrement par enregistrement.
Le 21 CFR Part 11 est-il applicable en France ?
Le 21 CFR Part 11 n’est pas une loi française et ne s’applique pas automatiquement à une entreprise située en France.
Une entreprise dont les activités restent exclusivement françaises ou européennes et ne relèvent d’aucune exigence FDA n’est pas soumise à la Part 11 en tant que telle.
- La situation change lorsqu’une entreprise établie en France intervient dans une activité soumise à la FDA : fabrication, contrôle, qualification, sous-traitance, essais cliniques, gestion de données réglementées ou fourniture d’enregistrements destinés à soutenir une activité FDA. Dans ce cas, le 21 CFR Part 11 peut s’appliquer au périmètre concerné, indépendamment du pays d’hébergement ou du lieu où se trouvent les utilisateurs.
Les cadres européens correspondants
Pour des activités relevant du marché européen, les référentiels principaux sont différents.
| Référentiel | Champ principal | Point d’attention |
|---|---|---|
| 21 CFR Part 11 | Enregistrements et signatures électroniques dans un périmètre FDA | Applicabilité déterminée par les exigences FDA et les enregistrements concernés |
| Annexe 11 des normes GMP européennes | Systèmes informatisés utilisés dans les activités GMP | Validation, gestion des accès, intégrité des données, audit trail, fournisseurs |
| Règlement eIDAS | Signatures électroniques et services de confiance dans l’Union européenne | Distingue signatures simples, avancées et qualifiées |
- Ces textes ne sont pas interchangeables.
- L’annexe 11 encadre les systèmes informatisés utilisés dans des activités GMP européennes. Elle traite notamment de la validation, de la gestion des accès, de la sécurité, de l’intégrité des données, de la gestion des fournisseurs et de la traçabilité.
- Le règlement eIDAS définit le cadre européen applicable aux signatures électroniques et aux services de confiance. Il distingue notamment les signatures électroniques simples, avancées et qualifiées. Cette classification n’est pas équivalente aux exigences du 21 CFR Part 11.
- Une entreprise active à la fois sur les marchés américain et européen doit donc déterminer les obligations applicables à chaque processus, plutôt que substituer un référentiel à l’autre.
21 CFR Part 11 et Annexe 11 : quelles différences ?
| 21 CFR Part 11 | Annexe 11 des GMP européennes | |
|---|---|---|
| Autorité | FDA, États-Unis | Commission européenne, EudraLex Volume 4 |
| Nature | Réglementation fédérale américaine | Ligne directrice GMP européenne |
| Objet | Enregistrements électroniques et signatures électroniques | Systèmes informatisés utilisés dans les activités GMP |
| Déclenchement | Enregistrements électroniques relevant d’exigences FDA applicables | Activité relevant des GMP européennes |
| Validation | Prévue au § 11.10(a), avec une politique d’obligation de discrétion professionnelle FDA encadrée par la guidance de 2003 | Attente centrale du référentiel GMP |
| Audit trail | Prévu au § 11.10(e), avec une politique d’obligation de discrétion professionnelle FDA encadrée par la guidance de 2003 | Attendu selon le risque et le caractère critique des données |
| Signatures | Exigences détaillées aux §§ 11.50 à 11.300 | Traitées dans un cadre GMP plus large, en articulation avec eIDAS |
| Actualité | Texte inchangé sur le fond ; guidance 2003 toujours déterminante | Révision en cours, texte final non publié à ce jour |
Ils ne sont toutefois pas interchangeables. Une entreprise présente sur les marchés européen et américain doit identifier les exigences applicables à chaque activité, chaque site, chaque produit, chaque processus et chaque système.
Pour le secteur des dispositifs médicaux, il faut également suivre la guidance FDA finale relative au « Computer Software Assurance » pour les logiciels utilisés dans la production et le système de management de la qualité. Cette approche privilégie une assurance logicielle fondée sur le risque. Son périmètre est celui des dispositifs médicaux et ne s’applique pas directement, en tant que telle, aux activités pharmaceutiques relevant des GMP.
Comment évaluer la conformité de votre entreprise ?
1. Recenser les systèmes concernés
Listez les systèmes qui créent, modifient, stockent, transmettent ou archivent des enregistrements électroniques potentiellement liés à une activité réglementée FDA.
Incluez notamment les outils de gestion de laboratoire, qualité, production, maintenance, calibration, formation, documentation, CAPA, déviations et gestion des équipements.
2. Identifier l’exigence réglementaire applicable
Pour chaque type d’enregistrement, identifiez l’exigence FDA qui impose sa création, sa conservation ou sa transmission : « predicate rule », obligation issue du « Federal Food, Drug, and Cosmetic Act », du « Public Health Service Act » ou autre exigence FDA applicable.
Cette étape permet de réduire le périmètre aux enregistrements réellement réglementés, sans exclure trop rapidement des données simplement parce qu’elles ne sont pas explicitement citées dans une règle sectorielle.
3. Définir l’usage prévu du système
Documentez comment le système est utilisé dans le processus réel :
- quelles données il traite ;
- quels utilisateurs créent ou modifient les données ;
- quelles décisions qualité reposent sur ces données ;
- quelles actions sont soumises à revue ou approbation ;
- quels équipements, produits ou lots peuvent être impactés ;
- quels flux existent entre systèmes, exports, intégrations ou échanges externes.
4. Comparer les contrôles en place
Évaluez système par système les fonctionnalités et procédures existantes :
- comptes utilisateurs individuels ;
- authentification ;
- rôles, habilitations et séparation des responsabilités ;
- signatures électroniques ;
- traçabilité des modifications ;
- audit trail ;
- conservation et récupération ;
- export lisible et électronique ;
- sauvegardes ;
- gestion des changements ;
- gestion des incidents ;
- documentation et validation.
5. Prioriser les écarts selon le risque
Classez les écarts selon leur impact potentiel sur :
- la sécurité du patient ;
- la qualité ou la conformité du produit ;
- l’intégrité des données ;
- la traçabilité d’une décision qualité ;
- la capacité à répondre à un audit ou une inspection ;
- la continuité de récupération des données.
Tous les systèmes ne nécessitent pas le même niveau de contrôle. En revanche, une approche fondée sur le risque doit être documentée, cohérente et défendable.
6. Mettre en place les procédures associées
Un logiciel ne suffit pas à créer un environnement conforme.
Documentez a minima les procédures relatives :
- à la gestion des accès ;
- à l’attribution, la modification et la suppression des droits ;
- à la formation des utilisateurs ;
- à la gestion des incidents et déviations ;
- à la revue des données et des traces disponibles ;
- à la gestion des changements ;
- à la conservation et à l’archivage ;
- aux sauvegardes et à la restauration ;
- à la gestion des fournisseurs et prestataires ;
- aux responsabilités liées aux signatures électroniques.
7. Valider le système pour son usage prévu
La validation doit porter sur le système tel qu’il est effectivement déployé et utilisé : configuration, workflows, rôles, interfaces, intégrations, règles métier, documents, données, procédures et utilisateurs concernés.
Un éditeur peut fournir une documentation, des protocoles, une matrice de traçabilité, des informations sur son cycle de développement ou un package de qualification. Ces éléments soutiennent la démarche, mais ne remplacent pas la validation propre à votre usage.
8. Évaluer l’éditeur et la solution
Avant tout usage, vérifiez notamment :
- les contrôles d’accès proposés ;
- les capacités de traçabilité et d’audit ;
- la gestion de l’historique ;
- les mécanismes de sauvegarde et de récupération ;
- les options d’export ;
- la gestion des mises à jour et des changements ;
- la disponibilité de documentation technique et qualité ;
- la politique de sécurité ;
- les engagements contractuels ;
- la capacité de l’éditeur à répondre à un audit fournisseur.
9. Vérifier la certification FDA des signatures
Si vous utilisez des signatures électroniques dans un périmètre FDA, vérifiez que la certification prévue au § 11.100(c) a bien été adressée à l’agence selon les modalités applicables.
La conformité ne repose jamais sur le logiciel seul. Elle dépend du périmètre réglementaire, de la configuration, de la validation, de la qualité des procédures, du comportement des utilisateurs et de la gouvernance des données.
Conclusion
Le 21 CFR Part 11 ne concerne pas toute entreprise qui utilise un logiciel, une solution basée sur le cloud ou encore la signature électronique. Son application dépend de la nature des enregistrements électroniques, de leur usage, de leur lien avec une activité réglementée FDA et de l’existence d’une exigence applicable de conservation, de création ou de transmission.
Le texte de la Part 11 fixe des exigences détaillées concernant notamment la validation, les contrôles d’accès, les copies lisibles et électroniques, la conservation, les pistes d’audit, les signatures électroniques, l’identification des signataires et le lien entre une signature et l’enregistrement concerné.
La guidance de 2003 limite l’intention d’exécution de la FDA pour certaines exigences, notamment la validation, les pistes d’audit, la conservation et la production de copies. Elle ne les retire pas du règlement et ne supprime ni les predicate rules, ni les GMP, ni les attentes d’intégrité des données qui peuvent conduire à mettre en place des contrôles comparables.
Pour les activités européennes, l’Annexe 11 des GMP et la réglementation eIDAS s’ajoutent selon les processus concernés. Les entreprises opérant sur plusieurs marchés doivent donc construire une démarche fondée sur le périmètre réglementaire réel, le risque qualité, l’intégrité des données et l’usage prévu de leurs systèmes.
Foire aux questions sur le Code of Federal Regulations 21 CFR part 11
Le 21 CFR Part 11 n’est pas une loi française et ne s’applique pas automatiquement à une entreprise établie en France. Une entreprise française peut toutefois devoir le prendre en compte lorsqu’elle utilise des enregistrements électroniques dans le cadre d’activités soumises aux exigences de la FDA.
L’analyse se fait au cas par cas, selon le type d’enregistrement, l’activité concernée, l’usage du système et les obligations FDA applicables. Le lieu d’hébergement des données ou de l’entreprise ne suffit pas, à lui seul, à exclure le sujet.
La Part 11 est une réglementation américaine relative aux enregistrements et signatures électroniques dans un périmètre FDA. L’Annexe 11 est une ligne directrice européenne concernant les systèmes informatisés utilisés dans des activités GMP.
Les deux référentiels visent la fiabilité, l’intégrité et la traçabilité des données, mais leur champ, leur base juridique et leurs modalités d’application diffèrent. Une entreprise qui opère sur les marchés américain et européen peut devoir satisfaire aux deux.
