L’achat d’un enregistreur EDGE Pharma rend-il ma pharmacie conforme à la Part 11?

Non, et aucun produit ne le peut. L’EDGE Pharma est conçu pour appuyer votre validation : une sonde traçable au NIST dans un tampon de glycol, des rapports de conformité automatiques, et des acquittements inscrits dans un enregistrement horodaté que les utilisateurs ne peuvent ni modifier ni supprimer. La validation, les PON, la politique de contrôle des accès et les dossiers de formation demeurent à votre charge.

Nous exerçons uniquement au Canada. La Part 11 s’applique-t-elle à nous?

Seulement si vous conservez des dossiers exigés par une règle sous-jacente de la FDA ou si vous soumettez des dossiers à la FDA — par exemple si vous exportez vers les États-Unis ou si vous êtes régi par un système qualité réglementé par la FDA. Une pharmacie canadienne qui relève de Santé Canada et de son ordre professionnel provincial est soumise à des attentes comparables, mais en vertu de documents différents. Faites trancher la question par écrit par votre responsable de l’assurance qualité ou des affaires réglementaires.

Faut-il vraiment que quelqu’un révise la piste de vérification?

Dans les faits, oui. La Part 11 exige que la piste de vérification existe et qu’elle soit disponible pour consultation et copie; ce sont la règle sous-jacente et les attentes de la FDA en matière d’intégrité des données qui font de la revue elle-même une obligation. Rattachez-la à une revue que vous effectuez déjà, pour qu’elle ne devienne pas l’étape que tout le monde oublie.

Un enregistreur de données peut-il être conforme à la 21 CFR Part 11 à lui seul?

Non. Jugez un produit sur les contrôles précis qu’il fournit, pas sur le mot conforme. Quatre questions départagent les produits : un administrateur peut-il supprimer ou modifier une lecture enregistrée (la réponse doit être non, et vous devriez demander qu’on vous le démontre); la piste de vérification est-elle elle-même exportable, ou seulement consultable à l’écran; qu’advient-il de l’enregistrement si l’appareil est hors ligne pendant trois jours; et comment les identifiants sont-ils renouvelés et révoqués selon l’article 11.300. Les fournisseurs qui répondent à cela par écrit méritent d’être évalués. Ceux qui répondent par le mot conforme, non.

La Part 11 s’applique-t-elle au réfrigérateur d’une pharmacie communautaire?

Habituellement pas directement. La Part 11 se rattache aux dossiers qu’un règlement de la FDA vous oblige déjà à conserver et que vous choisissez de conserver sous forme électronique. La distribution courante dans une pharmacie de détail est encadrée par le conseil de pharmacie de l’État aux États-Unis — au Canada, par l’ordre professionnel provincial, Santé Canada couvrant les établissements détenteurs d’une licence. Des pharmacies adoptent tout de même des contrôles de type Part 11, généralement parce qu’un programme de vaccination, un contrat avec un fabricant ou un client réglementé par la FDA l’exige. Faites trancher la question pour votre propre site, par écrit, par l’AQ/AR.

Que doit consigner une piste de vérification?

L’article 11.10(e) exige une piste de vérification sécurisée, générée par ordinateur et horodatée, qui consigne de façon indépendante la date et l’heure des saisies et des actions de l’opérateur qui créent, modifient ou suppriment des enregistrements électroniques. Les modifications ne doivent pas occulter l’information consignée antérieurement — la valeur précédente demeure visible. La piste de vérification doit être conservée au moins aussi longtemps que l’enregistrement auquel elle se rapporte, et être mise à la disposition de l’agence pour consultation et copie. Concrètement : qui, quand, ce qui a changé, de quoi à quoi, et pourquoi.

Combien de temps faut-il conserver les relevés de température?

La Part 11 ne fixe aucune période de conservation. C’est la règle qui exigeait l’enregistrement qui la fixe. Si vous fabriquez ou reconditionnez sous le 21 CFR 211, les dossiers de production et de contrôle sont conservés au moins un an après la date de péremption du lot, ou trois ans après la distribution pour certains produits en vente libre sans date de péremption. Pour l’entreposage des vaccins, les CDC recommandent de conserver les dossiers au moins trois ans, et certaines administrations exigent davantage. La piste de vérification est conservée aussi longtemps que les données qu’elle décrit. Vérifiez ce que votre plateforme de surveillance conserve réellement — sur nos appareils WiFi, c’est 45 jours avec le forfait gratuit et illimité avec Premium — et archivez des exportations pour tout ce qui va au-delà.

Quelle est la différence entre un étalonnage traçable au NIST et la Part 11?

Ils répondent à deux questions différentes. L’étalonnage traçable dit que le chiffre est juste : la sonde a été comparée à un étalon par une chaîne ininterrompue jusqu’au NIST, avec une incertitude déclarée et une date. La Part 11 dit que l’enregistrement est digne de confiance : attribué, horodaté, protégé contre les modifications silencieuses, récupérable. Une sonde parfaitement étalonnée qui écrit dans un chiffrier modifiable échoue à la Part 11. Une piste de vérification rigoureuse sur une sonde non étalonnée consigne la mauvaise température de façon très fiable. Il vous faut les deux, et l’un ne remplace pas l’autre.

Les registres papier sont-ils encore permis?

Oui. La Part 11 vise les enregistrements conservés sous forme électronique; un véritable enregistrement papier demeure assujetti à la seule règle sous-jacente. Le piège, c’est l’hybride. Si un appareil crée et conserve l’enregistrement électronique, l’imprimer ne vous ramène pas au papier — la version électronique demeure celle qui est conservée, et elle doit toujours être contrôlée. Par ailleurs, une lecture manuelle deux fois par jour ne dit rien des onze heures de la nuit, soit exactement la fenêtre qu’une vérification biquotidienne ne peut pas couvrir.

Existe-t-il des enregistreurs de données approuvés ou certifiés par la FDA?

Non. La FDA n’approuve, ne certifie ni n’homologue d’enregistreurs de données pour la Part 11, et aucun certificat Part 11 n’existe pour quelque produit que ce soit. Il n’y a aucun registre à consulter. Ce qui peut exister, c’est de la documentation du fournisseur — spécifications, certificats d’étalonnage, description des contrôles offerts par le système — en plus de votre propre dossier de validation démontrant que le système fait ce dont vous avez besoin dans votre établissement. Voyez la mention « approuvé par la FDA » sur la boîte d’un enregistreur comme une raison de creuser davantage, pas comme une garantie.

Ai-je besoin de signatures électroniques?

Seulement si vous entendez signer des enregistrements par voie électronique à la place d’une signature manuscrite. Une entrée attribuée dans une piste de vérification — l’acquittement d’une alarme, par exemple — n’est pas automatiquement une signature électronique au sens de la Part 11. Si vous en utilisez, les exigences sont précises : chaque signature est unique à une seule personne et n’est jamais réutilisée ni réattribuée, les signatures non biométriques utilisent au moins deux composantes d’identification distinctes, comme un code d’utilisateur et un mot de passe, et vous devez certifier à la FDA, sur papier et avec une signature manuscrite, que vos signatures électroniques constituent l’équivalent juridiquement contraignant des signatures manuscrites — avant ou au moment où vous commencez à les utiliser.

Qu’implique réellement la validation pour un petit site?

Moins que le mot le laisse croire. Consignez à quoi sert le système et ce qu’il doit faire. Notez ce que vous avez installé, y compris les numéros de série et la version du micrologiciel. Testez ce sur quoi vous comptez : une alarme qui atteint un vrai téléphone, un rapport qui s’exporte, une lecture de sonde comparée à une référence. Énoncez les critères de réussite avant l’essai, pas après. Signez le résultat. De cinq à quinze pages, c’est un résultat normal pour un ou deux réfrigérateurs. Un fournisseur ne peut pas le faire à votre place, parce qu’il s’agit d’une preuve portant sur votre environnement, pas le sien. Si on vous demande de justifier l’ampleur de ce dossier, la référence habituelle est le GAMP 5, qui module l’effort de validation selon la catégorie de logiciel. Une plateforme de surveillance que vous configurez sans la personnaliser est de catégorie 3 ou 4, ce qui explique pourquoi un dossier court et bien documenté est défendable alors qu’un dossier de cent pages ne l’est pas. Si vous approvisionnez aussi l’Union européenne, l’annexe 11 d’EudraLex couvre le même terrain que la Part 11, avec une attente explicite plus forte en matière de gestion des risques et d’évaluation des fournisseurs; un dossier unique bâti selon la Part 11, accompagné d’une évaluation documentée du fournisseur, satisfait habituellement aux deux.

Qu’est-ce qui s’applique au Canada à la place de la Part 11 ?

Santé Canada n’applique pas la 21 CFR Part 11. Les attentes canadiennes en matière de contrôle de la température proviennent des lignes directrices sur les BPF et du GUI-0069 sur l’entreposage et le transport des produits pharmaceutiques, ainsi que des exigences des ordres professionnels provinciaux pour les pharmacies. Les principes de fond se recoupent largement : enregistrements attribués, accès contrôlé, conservation définie, et preuve que le système fonctionne. Les sites canadiens qui expédient aux États-Unis, ou qui servent des partenaires réglementés par la FDA, bâtissent souvent selon la Part 11 de toute façon, pour qu’un seul ensemble d’enregistrements satisfasse aux deux.

FDA 21 CFR Part 11

Ce que la 21 CFR Part 11 exige d’un enregistreur de température

La Part 11 encadre un système validé et les procédures qui l’entourent — jamais un appareil à lui seul. Cette page sépare donc les contrôles qu’un enregistreur de données peut assurer de ceux qui restent du ressort de vos PON, de votre formation et de votre politique d’accès.

21 CFR Part 11, expliqué pour la surveillance de la température

La plupart de ce qui s’écrit au sujet de la Part 11 est soit le règlement lui-même, qui est dense, soit du marketing de fournisseur, qui reste vague. Voici la version pratique, destinée à quiconque doit défendre un relevé de température de réfrigérateur dans un contexte réglementé par la FDA.

Ce qu’est réellement la Part 11

Le problème de Part 11 le plus fréquent sur un réfrigérateur de pharmacie ou de clinique n’a rien à voir avec l’enregistreur. C’est que le relevé de température sur lequel tout le monde s’appuie a été exporté dans un chiffrier, mis au propre, puis classé comme copie officielle — attribuable à personne, modifiable par n’importe qui. La règle ci-dessous explique pourquoi c’est fatal, et à quoi doit ressembler la solution de rechange.

La 21 CFR Part 11 est la règle de la FDA qui fixe les conditions dans lesquelles l’agence acceptera un enregistrement électronique ou une signature électronique à la place du papier et de l’encre. Elle vise les enregistrements sous forme électronique qui sont créés, modifiés, conservés, archivés, récupérés ou transmis en vertu d’une exigence de la FDA en matière de dossiers, ainsi que les enregistrements soumis à la FDA. C’est là toute sa portée. Elle ne vous dit pas quels dossiers conserver, quelle doit être la tolérance de votre réfrigérateur, ni combien de temps les données doivent être conservées.

La règle sous-jacente passe en premier

Ces questions trouvent réponse dans la règle sous-jacente (predicate rule) : le règlement de base qui exige déjà l’enregistrement. La Part 211 pour un fabricant de médicaments, la Part 820 pour un fabricant d’instruments médicaux, la Part 606 pour les établissements de sang, la Part 111 pour les suppléments alimentaires, les Parts 50, 56 et 312 pour les essais cliniques. La règle sous-jacente crée l’obligation; la Part 11 s’y greffe et encadre la façon dont vous êtes autorisé à y répondre par voie électronique. Deux conséquences en découlent. Si aucune règle sous-jacente n’exige l’enregistrement et que vous ne le soumettez pas à la FDA, la Part 11 n’a rien à quoi se rattacher. Et satisfaire à la Part 11 n’excuse jamais le non-respect de l’exigence de la règle sous-jacente qui la soutient.

L’orientation de la FDA de 2003, Part 11, Electronic Records; Electronic Signatures — Scope and Application, a resserré l’interprétation que fait l’agence de la règle et a décrit l’exercice de sa discrétion en matière d’application pour certaines de ses parties, dont la validation, les pistes de vérification (audit trails), les copies d’enregistrements et la conservation. Les inspecteurs s’en servent toujours, et le document est assez court pour être lu d’une seule traite. Cette discrétion n’est pas une exemption : les exigences de la règle sous-jacente visant ces mêmes enregistrements s’appliquent intégralement, peu importe.

Quand la Part 11 ne s’applique pas

La Part 11 a une portée plus étroite que la plupart des gens le croient. Elle ne s’applique pas lorsque :

Le papier est l’enregistrement officiel. Si c’est l’imprimé qui est signé, classé et utilisé comme référence, et que la version électronique n’est qu’accessoire, la Part 11 n’entre pas en jeu. Avec des données de température en continu, le cas est rare, puisque personne n’imprime chaque lecture.
Aucune règle sous-jacente n’exige l’enregistrement. La surveillance du confort dans un bureau, ou un entrepôt qui ne contient rien de réglementé par la FDA, relève du dossier d’affaires, pas de la Part 11.
Vous êtes hors de la compétence de la FDA. Une pharmacie ou une clinique canadienne qui relève de Santé Canada, d’un ordre professionnel provincial ou d’un programme de vaccination de santé publique fait face à des attentes comparables, mais en vertu de documents différents — les GUI-0069 et GUI-0001 de Santé Canada, et les normes provinciales — et non de la Part 11.

Consignez par écrit la détermination de la portée et datez-la — un paragraphe qui nomme la règle sous-jacente à laquelle vous êtes assujetti, ou qui précise qu’aucune ne s’applique. Ce paragraphe est la première chose que lit un inspecteur, et celle que la plupart des sites sont incapables de produire.

Les contrôles qui mordent vraiment pour un enregistreur de température

L’article 11.10 énumère les contrôles applicables aux systèmes fermés. Lisez-les une fois et un motif se dégage : la plupart sont de nature procédurale, et seuls quelques-uns relèvent de ce qu’un produit peut fournir. Voici chaque disposition traduite dans le cas où l’enregistrement est un historique de température de réfrigérateur, répartie selon qui en est responsable, avec les contrôles des codes d’identification de l’article 11.300 auxquels un tableau de bord infonuagique doit répondre.

Exigence	Ce que MaxLinc fournit	Ce qui vous revient
11.10(a) Validation — exactitude, fiabilité, performance conforme à l’usage prévu, et capacité de déceler les enregistrements modifiés	Spécifications publiées de l’appareil, certificat d’étalonnage traçable au NIST rattaché à chaque sonde, et exportations que vous pouvez joindre à titre de preuve objective.	Rédigez et exécutez le protocole de validation correspondant à votre usage prévu. Testez le comportement réel : les lectures sont téléversées selon un horaire, les alarmes sont poussées en temps réel. Les deux doivent figurer dans le protocole.
11.10(b) Copies exactes et complètes, sous forme lisible par l’humain et sous forme électronique	Exportation en un clic des rapports FDA et HACCP en PDF, Excel ou CSV, en plus des données sous-jacentes. Les rapports avancés sont inclus, ce n’est pas un supplément payant.	Vérifiez que l’exportation contient tout ce qu’un inspecteur pourrait demander, précisez dans votre PON (procédure opératoire normalisée) quelle exportation constitue la copie officielle, et conservez une copie à l’extérieur de la plateforme.
11.10(c) Protection des enregistrements pour une récupération exacte et rapide pendant toute la période de conservation	Historique conservé que vous pouvez exporter pour n’importe quelle date comprise dans la fenêtre de conservation de votre forfait — 45 jours avec le forfait WiFi gratuit, illimité avec le forfait Premium à 2 $ par mois, et tout est inclus la première année sur les appareils Cellular. Les enregistrements résident sur des serveurs infonuagiques canadiens, avec sauvegardes quotidiennes et redondance. Tout ce qui déborde de cette fenêtre doit être exporté et archivé par vous.	Prenez la période prévue au 21 CFR 211.180(a) si vous fabriquez ou reconditionnez — un an après la date de péremption du lot, ou trois ans après la distribution pour les produits en vente libre sans date de péremption. La trousse de vaccination des CDC parle d’au moins trois ans, et certaines provinces et certains États exigent davantage. Quelle que soit la règle applicable, la piste de vérification est conservée aussi longtemps que les données, et vous démontrez une fois qu’une exportation archivée s’ouvre encore.
11.10(d) Limitation de l’accès au système aux seules personnes autorisées	Comptes nominatifs avec partage fondé sur les rôles — Propriétaire, Éditeur, Lecteur, Lecteur silencieux, et Service et entretien — pour que chaque personne ait son propre identifiant et son propre niveau de visibilité. Vérifiez ce que votre forfait comprend avant de bâtir votre politique d’accès autour : sur les appareils WiFi, le partage fait partie du forfait Premium optionnel.	Aucun identifiant partagé. Assumez la PON d’attribution et de retrait des accès, et révisez la liste des utilisateurs à intervalles réguliers — surtout après un départ.
11.10(e) Piste de vérification sécurisée, générée par ordinateur et horodatée	L’acquittement d’une alarme inscrit qui a acquitté, quand et pourquoi dans un enregistrement horodaté et en lecture seule : les utilisateurs ne peuvent ni modifier ni supprimer un acquittement, et les entrées ultérieures s’ajoutent aux précédentes au lieu de les remplacer. Cela couvre la gestion des alarmes — ce n’est pas une piste de vérification 11.10(e) complète de chaque action posée sur l’enregistrement.	Documentez séparément la façon dont les modifications aux seuils d’alarme et à la configuration des appareils sont contrôlées et démontrées. Passez la piste en revue dans le cadre d’une revue périodique, et consignez que cette revue a bien eu lieu.
11.10(f), (g) Contrôles opérationnels et contrôles d’autorisation	Les rôles déterminent qui peut acquitter les alarmes et modifier la configuration.	Décidez qui est autorisé à faire quoi, documentez-le, et tenez-le à jour.
11.10(h) Contrôles des appareils visant à établir la validité de la source des données saisies ou des instructions opérationnelles	Les lectures sont inscrites par l’appareil sous son propre numéro de série et celui de sa sonde. Aucun chemin ne permet à un utilisateur de saisir une température dans l’historique.	Consignez dans votre qualification de l’installation quel enregistreur et quelle sonde desservent quelle unité, pour que toute lecture puisse être rattachée à une source connue.
11.10(i) Formation et qualification de toutes les personnes qui utilisent le système	Rien. Celui-là vous revient entièrement.	Formez chaque utilisateur et conservez les dossiers de formation là où un auditeur peut les trouver.
11.10(j) Une politique écrite tenant les personnes responsables des actions posées sous leur signature électronique	Rien. C’est un document que vous rédigez.	Une courte déclaration signée précisant qu’agir sous les identifiants d’autrui constitue une faute disciplinaire. Les inspecteurs la demandent nommément et la plupart des sites ne l’ont pas.
11.10(k) Contrôles de la documentation, y compris la gestion des révisions et des changements	Documentation du produit et certificats d’étalonnage.	Gérez les versions de vos PON et de vos documents de validation, et limitez qui peut les modifier.
11.300 Contrôles des codes d’identification et des mots de passe	Chaque personne a son propre compte nominatif, de sorte qu’un identifiant n’est jamais partagé entre deux personnes, et un administrateur retire l’accès en supprimant le compte. Demandez-nous par écrit les règles de mot de passe en vigueur avant de rédiger cette section.	Fixez les règles de mot de passe, déterminez l’intervalle de renouvellement, et rédigez la marche à suivre en cas de perte — ce que vous faites le jour même où un téléphone ou un portable dont la session est ouverte disparaît.
Sous-parties B et C — signatures électroniques	Les acquittements identifient la personne et le moment, et demeurent liés à l’enregistrement. Nous ne les présentons pas comme des signatures électroniques.	Ne s’applique que si vous traitez une signature comme l’équivalent d’une signature manuscrite. Dans ce cas, toutes les exigences relatives aux signatures, y compris la certification auprès de la FDA, vous incombent.

Si vous évaluez une plateforme d’enregistreurs, quelle qu’elle soit, l’article 11.300 est celui sur lequel il faut poser des questions. Le vieillissement des mots de passe et la gestion des identifiants perdus sont traités très différemment d’un fournisseur à l’autre et figurent rarement sur une fiche technique.

La piste de vérification mérite un examen plus attentif, car c’est là que les systèmes échouent le plus souvent. Le 11.10(e) exige une piste de vérification sécurisée, générée par ordinateur et horodatée, qui consigne la date et l’heure des saisies et des actions de l’opérateur indépendamment de celui-ci, et qui n’occulte pas l’information consignée antérieurement. Une correction doit apparaître comme une nouvelle entrée à côté de l’originale, jamais comme un écrasement. La piste de vérification doit survivre au moins aussi longtemps que l’enregistrement qu’elle décrit et être disponible pour consultation et copie. Le mot qui porte tout le poids est indépendamment : si un utilisateur peut choisir l’horodatage ou changer l’heure du système, ce que vous avez est un champ de commentaires, pas une piste de vérification.

La Part 11 et l’intégrité des données ne sont pas le même test

La Part 11 vous dit quels contrôles techniques un système d’enregistrement doit avoir. Les attentes en matière d’intégrité des données vous disent ce que l’enregistrement lui-même doit être, et c’est ce test qu’un enquêteur applique dans les faits. La FDA les a énoncées dans son orientation de 2018, Data Integrity and Compliance With Drug CGMP, à partir des critères ALCOA : attribuable à la personne qui a fait la saisie, lisible, contemporain, original et exact — auxquels s’ajoutent habituellement complet, cohérent, durable et disponible, ce qui donne ALCOA+. Appliqué à un relevé de réfrigérateur, cela signifie que la lecture est rattachée à un compte nominatif plutôt qu’à un identifiant partagé, que l’horodatage est inscrit par le système plutôt que saisi à la main, que l’enregistrement électronique est l’original et que le PDF en est une copie, et que l’ensemble demeure lisible pendant toute la période de conservation. La plupart des observations liées à la température sont d’abord des manquements ALCOA avant d’être des manquements à la Part 11 : les données existaient, mais personne ne pouvait démontrer qui les avait consignées ni qu’elles n’avaient pas été ressaisies.

Les signatures électroniques sont une exigence distincte et plus élevée

Bien des systèmes assujettis à la Part 11 n’utilisent aucune signature électronique. Mais si votre PON traite l’acquittement d’une alarme ou l’approbation d’un rapport comme l’équivalent de la signature d’une page, les sous-parties B et C s’appliquent. Les enregistrements signés doivent indiquer le nom en lettres moulées du signataire, la date et l’heure, ainsi que la portée de la signature — revue, approbation, responsabilité ou paternité. Les signatures doivent être liées à leur enregistrement afin qu’on ne puisse les couper, les copier ou les transférer pour falsifier un autre enregistrement. Les signatures non biométriques exigent au moins deux composantes d’identification distinctes, généralement un code d’utilisateur et un mot de passe privé : les deux composantes pour la première signature d’une même période continue d’accès contrôlé au système, au moins une composante pour chaque signature subséquente à l’intérieur de cette même session, et toutes les composantes de nouveau pour toute signature effectuée en dehors de celle-ci. Enfin, avant ou au moment où vous utilisez pour la première fois des signatures électroniques comme équivalents juridiquement contraignants de signatures manuscrites, votre organisation doit le certifier par écrit à la FDA en vertu du 11.100(c). Cette lettre se signe à la main, et aucun fournisseur ne peut l’envoyer à votre place.

Systèmes ouverts et systèmes fermés

La Part 11 définit un système fermé comme un système dont l’accès est contrôlé par les personnes responsables du contenu des enregistrements, et un système ouvert comme un système où ce n’est pas le cas. Le critère est de savoir qui contrôle l’accès, et non où se trouve le serveur : l’hébergement infonuagique ne rend donc pas automatiquement un système ouvert. Si votre organisation contrôle les comptes, les rôles et les personnes à qui l’accès est accordé, la plupart des unités qualité documentent le système comme fermé et appliquent les contrôles de l’article 11.10. Si vous concluez qu’il est ouvert — parce que l’accès est administré par un tiers hors de votre contrôle, par exemple —, l’article 11.30 exige alors des mesures supplémentaires, comme le chiffrement des documents et des normes de signature numérique appropriées, en plus de tout ce qu’un système fermé exige déjà. Dans un cas comme dans l’autre, la détermination vous appartient et doit être consignée dans votre dossier de validation, et elle devrait s’appuyer sur une entente qualité ou technique avec le fournisseur précisant qui est responsable de quoi.

L’idée fausse qui coûte le plus cher

Aucun produit, d’aucun fournisseur, n’est « conforme à la Part 11 » dès la sortie de la boîte. La conformité est une propriété d’un système validé auquel s’ajoutent vos propres procédures. Le fournisseur fournit les contrôles techniques. Vous fournissez la validation, les PON, le contrôle des accès et les dossiers de formation.

Quand un fournisseur affirme qu’un appareil « prend en charge la 21 CFR Part 11 » — et c’est la formulation employée sur cette page —, lisez-le au pied de la lettre. Cela veut dire que le logiciel offre les contrôles que la Part 11 attend du système de tenue de dossiers : des comptes uniques, une piste de vérification impossible à modifier, des exportations complètes et lisibles. Cela ne peut rien signifier de plus, parce que le reste de la règle porte sur la façon dont votre organisation se comporte. Un inspecteur ne vérifie pas l’enregistreur. Il vérifie votre système, et il demande le protocole de validation et ses résultats, la politique de contrôle des accès, la preuve que les utilisateurs ont été formés, et la preuve que quelqu’un révise la piste de vérification.

L’achat d’un enregistreur EDGE Pharma rend-il ma pharmacie conforme à la Part 11?: Non, et aucun produit ne le peut. L’EDGE Pharma est conçu pour appuyer votre validation : une sonde traçable au NIST dans un tampon de glycol, des rapports de conformité automatiques, et des acquittements inscrits dans un enregistrement horodaté que les utilisateurs ne peuvent ni modifier ni supprimer. La validation, les PON, la politique de contrôle des accès et les dossiers de formation demeurent à votre charge.
Nous exerçons uniquement au Canada. La Part 11 s’applique-t-elle à nous?: Seulement si vous conservez des dossiers exigés par une règle sous-jacente de la FDA ou si vous soumettez des dossiers à la FDA — par exemple si vous exportez vers les États-Unis ou si vous êtes régi par un système qualité réglementé par la FDA. Une pharmacie canadienne qui relève de Santé Canada et de son ordre professionnel provincial est soumise à des attentes comparables, mais en vertu de documents différents. Faites trancher la question par écrit par votre responsable de l’assurance qualité ou des affaires réglementaires.
Faut-il vraiment que quelqu’un révise la piste de vérification?: Dans les faits, oui. La Part 11 exige que la piste de vérification existe et qu’elle soit disponible pour consultation et copie; ce sont la règle sous-jacente et les attentes de la FDA en matière d’intégrité des données qui font de la revue elle-même une obligation. Rattachez-la à une revue que vous effectuez déjà, pour qu’elle ne devienne pas l’étape que tout le monde oublie.

Ce que MaxLinc EDGE Pharma fournit réellement

La répartition, disposition par disposition, de qui est responsable de quoi se trouve dans le tableau ci-dessus. Cette section en est l’autre moitié : les spécifications dont un dossier de validation a besoin, énoncées clairement, les questions à poser à tout fournisseur de surveillance, et ce que l’EDGE Pharma ne fait pas.

Deux choses que les auditeurs vérifient et qu’il est facile de mal évaluer avant l’achat. D’abord, l’emplacement de la sonde : la température de l’air dans le haut d’un réfrigérateur n’est pas la température des fioles; le tampon de glycol va donc sur la tablette, avec le produit, tandis que l’enregistreur reste à l’extérieur — la sonde se déploie jusqu’à 15 m (50 pi) pour rendre cela possible. Ensuite, la couverture pendant une panne : l’EDGE Pharma continue d’enregistrer dans sa mémoire interne quand le réseau tombe et récupère chaque lecture manquée à la reconnexion, et une alarme d’absence de connexion vous avertit que l’appareil a cessé de transmettre. Ce sont deux choses à vérifier au moment de l’installation et à consigner, pas à tenir pour acquises.

À quoi ressemble réellement l’enregistrement de l’EDGE Pharma

Exigence	Ce que MaxLinc fournit	Ce qui vous revient
Exactitude de la sonde	±0,5 °C sur la plage vaccinale de 2 à 8 °C (36 à 46 °F). La sonde baigne dans un tampon de glycol, de sorte que l’enregistrement reflète la température des fioles plutôt que celle de l’air.	Inscrivez la valeur d’exactitude et la sonde tamponnée dans vos exigences utilisateur et vos critères d’acceptation, pour que le protocole teste bel et bien ce que vous avez installé.
Enregistrement hors ligne et récupération des lectures	L’enregistreur continue d’écrire dans sa mémoire interne quand le réseau tombe — des dizaines de milliers de lectures — et téléverse chaque lecture manquée à la reconnexion, de sorte qu’une panne ne crée pas de trou inexpliqué.	Testez-le une fois pendant la qualification : coupez le réseau, rétablissez-le, confirmez que le trou s’est comblé, et classez l’exportation avant-après.
Absence de transmission	Une alarme d’absence de connexion se déclenche lorsqu’un appareil n’a pas transmis dans le délai prévu. Les alertes de pile faible et de changement d’alimentation sont distinctes.	Nommez qui reçoit l’alarme, sur quel appareil, et quelle est la réponse attendue. Une absence de transmission est un événement à investiguer et à documenter.
Étalonnage	Certificat traçable au NIST par sonde, valide trois ans, émis au numéro de série de cette sonde. Le tableau de bord avertit les administrateurs 60 jours avant l’échéance, et l’écran de l’appareil affiche une icône NIST qui signale localement un certificat expiré. Le renouvellement se fait par remplacement de la sonde, pas par retour en laboratoire.	Classez le certificat, planifiez le remplacement, et décidez d’avance de ce qu’il advient des données enregistrées après une expiration.
Alimentation	USB-C en continu avec bascule automatique sur 4 piles alcalines AA, et alerte instantanée dès la perte du courant du secteur. Sur piles seulement, l’enregistreur fonctionne environ deux ans.	Pour un réfrigérateur réglementé, utilisez l’USB-C comme source principale, afin qu’une perte de courant déclenche une alerte plutôt qu’un trou silencieux. Prévoyez dans la PON une vérification des piles et une réponse en cas de pile faible.
Où résident les enregistrements	Serveurs infonuagiques canadiens, sauvegardes quotidiennes et redondance — la réponse aux questions sur l’hébergement et les sauvegardes d’un formulaire d’évaluation des fournisseurs.	Consignez la réponse sur l’hébergement dans votre dossier de validation, et confirmez la fenêtre d’historique de votre forfait avant de compter sur la plateforme comme archive.
Formats de rapport	PDF, Excel et CSV, programmables par courriel, incluant des sommaires de température cinétique moyenne (MKT) ainsi que les champs de début et de durée d’excursion et de mesures correctives.	Décidez quelle exportation constitue la copie officielle, qui peut la produire, et qui la révise et l’approuve.
Portée de la sonde	Les capteurs se déploient jusqu’à 15 m (50 pi), ce qui permet à l’enregistreur de rester à l’extérieur de l’unité pendant que la sonde reste avec le produit.	Consignez l’emplacement de la sonde, photo à l’appui, dans le dossier d’installation.

Les questions à poser aux fournisseurs — y compris à nous

Posez ces questions par écrit à tout fournisseur de surveillance, et conservez les réponses avec votre évaluation des fournisseurs :

Un utilisateur, quel qu’il soit — y compris un administrateur ou le fournisseur —, peut-il modifier ou supprimer une lecture enregistrée? Demandez une démonstration, pas un oui.
La piste de vérification elle-même est-elle exportable, ou seulement consultable dans l’interface? Une piste de vérification que vous ne pouvez pas exporter est difficile à remettre à un inspecteur.
Qu’advient-il des lectures pendant une panne de réseau — sont-elles mises en mémoire tampon puis récupérées, ou perdues? Demandez la taille du tampon en nombre de lectures, pas en adjectifs.
Où les données sont-elles physiquement hébergées, qui les sauvegarde, et à quelle fréquence? (Chez nous : serveurs infonuagiques canadiens, sauvegardes quotidiennes avec redondance.)
Quelle est la politique de mots de passe : unicité, intervalle de renouvellement, et façon de révoquer un identifiant compromis? C’est l’article 11.300, et il figure rarement sur une fiche technique.
Le certificat d’étalonnage est-il rattaché au numéro de série de la sonde, et comment êtes-vous averti avant son expiration? (Chez nous : certificat émis au numéro de série de la sonde, valide trois ans, avertissement du tableau de bord à 60 jours, et l’écran de l’appareil signale un certificat expiré.)
Le fournisseur acceptera-t-il de remplir un questionnaire écrit d’évaluation et de fournir des spécifications que vous pourrez citer dans un protocole de validation?
Qu’advient-il de vos données historiques si vous cessez de payer? Posez cette question en premier à toute plateforme par abonnement. (Chez nous : sur les appareils WiFi, l’abandon du forfait Premium optionnel vous ramène à la fenêtre d’historique de 45 jours, alors archivez vos exportations.)

Ce que vous devrez réellement produire

Un plan de validation et un rapport de validation signé couvrant ce système dans votre établissement.
Des PON pour la surveillance courante, la réponse aux excursions, l’acquittement des alarmes, ainsi que la production et la revue des rapports.
Une politique d’accès, en plus d’une liste à jour des comptes et des rôles et d’une procédure documentée de retrait pour les employés qui partent.
Des dossiers de formation pour chaque personne qui utilise le tableau de bord (11.10(i)).
Un calendrier d’étalonnage et de remplacement des sondes, avec les certificats au dossier.
Un compte rendu de revue périodique démontrant que quelqu’un consulte réellement la piste de vérification.

Ce que l’EDGE Pharma ne fait pas

Les lectures ne sont pas diffusées en direct. Les données sont téléversées selon un horaire; seules les alarmes sont poussées en temps réel. Si une procédure dépend de données continues en direct, dites-le avant d’acheter.
L’acquittement d’une alarme est un enregistrement attribuable. Nous ne le présentons pas comme une signature électronique au sens de la sous-partie C. Si les enregistrements signés font partie de votre portée, demandez-nous exactement ce que contient l’enregistrement avant de rédiger la PON qui l’encadre.
La piste de vérification couvre les acquittements d’alarme et les changements de configuration. Ce n’est pas un dossier de lot électronique polyvalent. Si votre PON exige une entrée de piste de vérification pour autre chose — une correction manuelle de température, une note de déviation —, demandez-nous ce que l’enregistrement capte avant de rédiger la procédure qui l’encadre.
L’historique est conservé selon la fenêtre de votre forfait, pas indéfiniment : 45 jours avec le forfait WiFi gratuit, illimité avec Premium. La conservation à long terme est une archive qui vous appartient, pas un service rendu par un fournisseur.

Mettre la Part 11 en pratique

Rien de tout cela n’exige un service de validation. Une pharmacie, une clinique ou un petit distributeur peut atteindre une position défendable en quelques semaines de travail à temps partiel. Ce qui suit est la version modeste — assez pour répondre à un inspecteur, pas le programme qualité complet d’un fabricant.

Un plan de préparation réaliste pour un petit site

Confirmez d’abord quelle règle s’applique à vous. La Part 11 ne se rattache qu’aux dossiers qu’un règlement de la FDA vous oblige déjà à conserver et que vous avez choisi de conserver sous forme électronique. Une pharmacie communautaire canadienne relève habituellement plutôt de son ordre professionnel provincial et de Santé Canada. Posez la question à votre responsable AQ/AR ou à votre organisme de réglementation, et classez la réponse obtenue.
Consignez ce que vous surveillez — une page suffit. Chaque réfrigérateur ou congélateur, son identifiant, ce qui y est entreposé, les seuils d’alarme, d’où viennent ces seuils, et combien de temps l’enregistrement doit être conservé. Les sources habituelles : vaccins réfrigérés de 2 à 8 °C (36 à 46 °F), les CDC recommandant une cible de 5 °C (40 °F); vaccins congelés de −50 à −15 °C (−58 à +5 °F); et température ambiante contrôlée USP de 20 à 25 °C (68 à 77 °F), avec excursions permises entre 15 et 30 °C. Réglez l’alarme au seuil, pas en deçà, et servez-vous d’un délai d’alarme plutôt que d’un seuil élargi pour gérer les ouvertures de porte et les cycles de dégivrage — un délai est une configuration documentée que vous pouvez défendre, un seuil élargi est une observation. Consignez le délai choisi et sa justification, parce que c’est le réglage que les gens modifient discrètement à 2 h du matin. Cette page constitue la portée de tout le reste.
Rédigez une courte PON. Qui reçoit les alertes et sur quel téléphone. En combien de temps quelqu’un doit réagir. Qui peut acquitter une alarme et ce qu’il doit y inscrire. Comment une excursion est investiguée, et qui décide si le produit demeure utilisable. L’intervalle d’étalonnage. Quoi faire lorsqu’un enregistreur cesse de transmettre. De deux à quatre pages, c’est la norme.
Donnez à chaque personne son propre identifiant. Les comptes partagés sont le moyen le plus rapide de rendre une piste de vérification sans valeur — « admin a acquitté l’alarme » n’identifie personne. Tenez une liste de qui a accès et de ce que chacun peut faire, et retirez les gens dans la semaine de leur départ.
Vérifiez l’installation et consignez ce que vous avez constaté. Numéros de série de l’enregistreur et de la sonde, certificat d’étalonnage au dossier, photo de la sonde tamponnée placée avec le produit plutôt que dans la porte ou en plein air. Puis démontrez que ça fonctionne : provoquez une alarme, confirmez que l’alerte arrive sur le téléphone de garde, acquittez-la, exportez un rapport. Laissez tourner quelques jours avant d’y mettre du produit. Ces pages constituent vos dossiers de qualification de l’installation et de qualification opérationnelle — la preuve QI/QO, à l’échelle dont un petit site a réellement besoin.
Conservez les dossiers de formation. Nom, date, version de la PON, signature. Les inspecteurs les demandent plus souvent qu’ils ne posent de questions sur le matériel.
Faites-en la revue à intervalles réguliers. Le trimestre convient à un petit site : les alertes vont-elles encore à des numéros qui existent, l’étalonnage est-il toujours valide, chaque excursion a-t-elle été close, la liste des utilisateurs correspond-elle encore à la liste du personnel?

Ensuite, conservez le tout. Pendant la période de conservation applicable à vos dossiers, gardez les données de température et leur piste de vérification, la PON et ses versions antérieures, les dossiers de formation, les certificats d’étalonnage, la vérification de l’installation, les enquêtes sur les excursions, et le registre des personnes qui ont eu accès au fil du temps. Gardez l’enregistrement électronique comme document maître. Un PDF imprimé en est une copie, pas un remplacement.

Comment les relevés de température échouent réellement à une inspection

Des trous que personne n’explique. Les piles ont lâché, ou la connexion est tombée, et trois jours manquent. Le trou lui-même est rarement l’observation — c’est le silence autour qui l’est. Déclenchez une alerte sur les absences de transmission et, lorsqu’un trou survient, consignez la cause, ce qui se trouvait dans l’unité, et vos conclusions.
Des alarmes sans dénouement. Le registre montre une excursion à 02:14, puis plus rien. Chaque alarme exige un acquittement nommant une personne, un moment et un motif, en plus d’une décision sur le sort du produit lorsque les seuils ont été dépassés.
Le chiffrier est devenu le document maître. Les données sont exportées vers Excel, mises au propre, puis conservées comme fichier officiel. Une copie modifiable sans attribution est très difficile à défendre. Exportez pour lire et pour partager; laissez l’enregistrement du système être l’original.
Un étalonnage échu, ou impossible à rattacher au capteur. Un certificat visant « une sonde » ne prouve rien. Il doit nommer le numéro de série de la sonde réellement installée dans cette unité, et être valide le jour où la lecture a été prise.
Des seuils d’alarme modifiés sans trace. Quelqu’un élargit le seuil supérieur pour que le téléphone arrête de sonner la nuit. Si vous ne pouvez pas montrer quand les seuils ont changé, qui les a changés et pourquoi, c’est l’ensemble des données qui devient douteux.
Le capteur au mauvais endroit. La température de l’air dans le haut d’un réfrigérateur n’est pas la température des fioles sur la tablette du bas. Utilisez la sonde tamponnée, placez-la avec le produit, et consignez son emplacement.
Personne n’arrive à produire l’enregistrement. La seule personne qui possède l’identifiant est absente. Testez la récupération dans le cadre de votre revue périodique, et assurez-vous qu’au moins deux personnes savent exporter un rapport sans aide.

Foire aux questions

Un enregistreur de données peut-il être conforme à la 21 CFR Part 11 à lui seul?: Non. Jugez un produit sur les contrôles précis qu’il fournit, pas sur le mot conforme. Quatre questions départagent les produits : un administrateur peut-il supprimer ou modifier une lecture enregistrée (la réponse doit être non, et vous devriez demander qu’on vous le démontre); la piste de vérification est-elle elle-même exportable, ou seulement consultable à l’écran; qu’advient-il de l’enregistrement si l’appareil est hors ligne pendant trois jours; et comment les identifiants sont-ils renouvelés et révoqués selon l’article 11.300. Les fournisseurs qui répondent à cela par écrit méritent d’être évalués. Ceux qui répondent par le mot conforme, non.
La Part 11 s’applique-t-elle au réfrigérateur d’une pharmacie communautaire?: Habituellement pas directement. La Part 11 se rattache aux dossiers qu’un règlement de la FDA vous oblige déjà à conserver et que vous choisissez de conserver sous forme électronique. La distribution courante dans une pharmacie de détail est encadrée par le conseil de pharmacie de l’État aux États-Unis — au Canada, par l’ordre professionnel provincial, Santé Canada couvrant les établissements détenteurs d’une licence. Des pharmacies adoptent tout de même des contrôles de type Part 11, généralement parce qu’un programme de vaccination, un contrat avec un fabricant ou un client réglementé par la FDA l’exige. Faites trancher la question pour votre propre site, par écrit, par l’AQ/AR.
Que doit consigner une piste de vérification?: L’article 11.10(e) exige une piste de vérification sécurisée, générée par ordinateur et horodatée, qui consigne de façon indépendante la date et l’heure des saisies et des actions de l’opérateur qui créent, modifient ou suppriment des enregistrements électroniques. Les modifications ne doivent pas occulter l’information consignée antérieurement — la valeur précédente demeure visible. La piste de vérification doit être conservée au moins aussi longtemps que l’enregistrement auquel elle se rapporte, et être mise à la disposition de l’agence pour consultation et copie. Concrètement : qui, quand, ce qui a changé, de quoi à quoi, et pourquoi.
Combien de temps faut-il conserver les relevés de température?: La Part 11 ne fixe aucune période de conservation. C’est la règle qui exigeait l’enregistrement qui la fixe. Si vous fabriquez ou reconditionnez sous le 21 CFR 211, les dossiers de production et de contrôle sont conservés au moins un an après la date de péremption du lot, ou trois ans après la distribution pour certains produits en vente libre sans date de péremption. Pour l’entreposage des vaccins, les CDC recommandent de conserver les dossiers au moins trois ans, et certaines administrations exigent davantage. La piste de vérification est conservée aussi longtemps que les données qu’elle décrit. Vérifiez ce que votre plateforme de surveillance conserve réellement — sur nos appareils WiFi, c’est 45 jours avec le forfait gratuit et illimité avec Premium — et archivez des exportations pour tout ce qui va au-delà.
Quelle est la différence entre un étalonnage traçable au NIST et la Part 11?: Ils répondent à deux questions différentes. L’étalonnage traçable dit que le chiffre est juste : la sonde a été comparée à un étalon par une chaîne ininterrompue jusqu’au NIST, avec une incertitude déclarée et une date. La Part 11 dit que l’enregistrement est digne de confiance : attribué, horodaté, protégé contre les modifications silencieuses, récupérable. Une sonde parfaitement étalonnée qui écrit dans un chiffrier modifiable échoue à la Part 11. Une piste de vérification rigoureuse sur une sonde non étalonnée consigne la mauvaise température de façon très fiable. Il vous faut les deux, et l’un ne remplace pas l’autre.
Les registres papier sont-ils encore permis?: Oui. La Part 11 vise les enregistrements conservés sous forme électronique; un véritable enregistrement papier demeure assujetti à la seule règle sous-jacente. Le piège, c’est l’hybride. Si un appareil crée et conserve l’enregistrement électronique, l’imprimer ne vous ramène pas au papier — la version électronique demeure celle qui est conservée, et elle doit toujours être contrôlée. Par ailleurs, une lecture manuelle deux fois par jour ne dit rien des onze heures de la nuit, soit exactement la fenêtre qu’une vérification biquotidienne ne peut pas couvrir.
Existe-t-il des enregistreurs de données approuvés ou certifiés par la FDA?: Non. La FDA n’approuve, ne certifie ni n’homologue d’enregistreurs de données pour la Part 11, et aucun certificat Part 11 n’existe pour quelque produit que ce soit. Il n’y a aucun registre à consulter. Ce qui peut exister, c’est de la documentation du fournisseur — spécifications, certificats d’étalonnage, description des contrôles offerts par le système — en plus de votre propre dossier de validation démontrant que le système fait ce dont vous avez besoin dans votre établissement. Voyez la mention « approuvé par la FDA » sur la boîte d’un enregistreur comme une raison de creuser davantage, pas comme une garantie.
Ai-je besoin de signatures électroniques?: Seulement si vous entendez signer des enregistrements par voie électronique à la place d’une signature manuscrite. Une entrée attribuée dans une piste de vérification — l’acquittement d’une alarme, par exemple — n’est pas automatiquement une signature électronique au sens de la Part 11. Si vous en utilisez, les exigences sont précises : chaque signature est unique à une seule personne et n’est jamais réutilisée ni réattribuée, les signatures non biométriques utilisent au moins deux composantes d’identification distinctes, comme un code d’utilisateur et un mot de passe, et vous devez certifier à la FDA, sur papier et avec une signature manuscrite, que vos signatures électroniques constituent l’équivalent juridiquement contraignant des signatures manuscrites — avant ou au moment où vous commencez à les utiliser.
Qu’implique réellement la validation pour un petit site?: Moins que le mot le laisse croire. Consignez à quoi sert le système et ce qu’il doit faire. Notez ce que vous avez installé, y compris les numéros de série et la version du micrologiciel. Testez ce sur quoi vous comptez : une alarme qui atteint un vrai téléphone, un rapport qui s’exporte, une lecture de sonde comparée à une référence. Énoncez les critères de réussite avant l’essai, pas après. Signez le résultat. De cinq à quinze pages, c’est un résultat normal pour un ou deux réfrigérateurs. Un fournisseur ne peut pas le faire à votre place, parce qu’il s’agit d’une preuve portant sur votre environnement, pas le sien. Si on vous demande de justifier l’ampleur de ce dossier, la référence habituelle est le GAMP 5, qui module l’effort de validation selon la catégorie de logiciel. Une plateforme de surveillance que vous configurez sans la personnaliser est de catégorie 3 ou 4, ce qui explique pourquoi un dossier court et bien documenté est défendable alors qu’un dossier de cent pages ne l’est pas. Si vous approvisionnez aussi l’Union européenne, l’annexe 11 d’EudraLex couvre le même terrain que la Part 11, avec une attente explicite plus forte en matière de gestion des risques et d’évaluation des fournisseurs; un dossier unique bâti selon la Part 11, accompagné d’une évaluation documentée du fournisseur, satisfait habituellement aux deux.
Qu’est-ce qui s’applique au Canada à la place de la Part 11 ?: Santé Canada n’applique pas la 21 CFR Part 11. Les attentes canadiennes en matière de contrôle de la température proviennent des lignes directrices sur les BPF et du GUI-0069 sur l’entreposage et le transport des produits pharmaceutiques, ainsi que des exigences des ordres professionnels provinciaux pour les pharmacies. Les principes de fond se recoupent largement : enregistrements attribués, accès contrôlé, conservation définie, et preuve que le système fonctionne. Les sites canadiens qui expédient aux États-Unis, ou qui servent des partenaires réglementés par la FDA, bâtissent souvent selon la Part 11 de toute façon, pour qu’un seul ensemble d’enregistrements satisfasse aux deux.

Cette page est un document de référence, et non un avis juridique ou réglementaire. Déterminer lesquels de vos enregistrements relèvent de la Part 11, et ce que votre validation doit couvrir, revient à votre propre fonction d’assurance qualité ou d’affaires réglementaires.

Quel EDGE Pharma convient à votre installation ?

Pharma One surveille un seul réfrigérateur ou congélateur ; Pharma Two couvre deux appareils avec un seul enregistreur. Les deux utilisent une sonde glycol traçable NIST. Le WiFi est gratuit à vie ; le cellulaire inclut tout la première année.

Voir EDGE Pharma Poser une question de conformité

Cette page est un document d’information, et non un avis juridique ou réglementaire. Aucun enregistreur de données ne peut à lui seul rendre une organisation conforme à la Part 11 — cela repose sur votre validation, vos PON, votre formation et vos contrôles d’accès. Confirmez la portée applicable auprès de votre propre équipe AQ/AR.