Ces dernières semaines de plus en plus de clients nous font part d’observations des autorités compétentes sur la non réalisation des revues périodiques suite à la validation des systèmes informatisés (VSI).
En effet, bien qu'étant une exigence règlementaire (1)(2) la revue périodique VSI est une activité de validation très souvent oubliée par nos clients, soit par manque de ressources, de connaissances ou de temps.
L'objectif de cet article est donc de vous donner les informations générales et les exigences relatives à la revue périodique des systèmes informatisés.
Revue périodique VSI : de quoi s'agit-il ?
L'objectif de la revue périodique VSI est de prouver qu'un système informatisé considéré comme conforme est maintenu dans un état validé permanent tout au long de son utilisation. Le but de la revue périodique VSI consiste donc à s’assurer que les risques liés à l’utilisation ainsi que ceux liés à l’évolution du système tout au long de son cycle de vie sont maîtrisés.
En effet, la phase d'exploitation d'un système informatisé dure en général de nombreuses années avec de nombreux changements qui peuvent intervenir au niveau logiciels, matériel, règlementaire ou des processus métiers. Tous ces changements peuvent remettre en cause l'état validé de notre système.
Le statut validé et l'intégrité des données doit donc être maintenue et vérifiée de façon régulière via la revue périodique VSI.
Maintien en l'état validé : Quelles sont les exigences ?
Tout système informatisé doit être à tout moment maintenu dans un état validé. Ainsi, la validation est un processus continu ; elle doit être effectuée à la mise en place et à chaque modification directe ou indirecte du système, ou bien réévaluée périodiquement en l’absence de modification apparente.
La périodicité de la revue périodique VSI doit être définie par tous les acteurs du système informatisé en fonction de la maturité, la complexité, la criticité, la connaissance et l’évolution du système.
Le périmètre de la revue périodique VSI reste non exhaustif, mais dépend pour la plupart des systèmes informatisés, de leur évolution, et de leur maturité.
Un certain nombre d’éléments sont indispensables au maintien de l’état validé d’un système. Idéalement ils sont mis en place dès la phase de validation initiale.
Pour la majorité des systèmes, les éléments ci-dessous doivent être pris en compte, et vérifiés dans la revue périodique :
La conformité réglementaire
La mise en place et l’application de procédures permettant de garantir la formation du personnel, la maintenance de l’équipement, la gestion du fonctionnement dégradé, la gestion des déviations et la gestion des changements. Ce système documentaire doit évoluer avec le système considéré.
La mise en place d’une traçabilité des événements : la gestion des déviations, la revue des audits trails, l'enregistrement des activités de maintenance.
La mise en place de sauvegardes
Le suivi des plans d'action relatifs au système
La mise en place d’une liste d’utilisateurs formés et une gestion de leurs niveaux d’accès (habilitations).
Exemple de périmètre pour une revue périodique VSI :
Gestion des changements : quelle place dans le process de revue périodique ?
Le processus de gestion des changements mis en place au sein de votre l'entreprise est un élément important de la validation de vos systèmes informatisés (VSI) et une bonne ou mauvaise mise en œuvre aura un impact direct sur le maintien en l'état validé des systèmes informatisés.
Les enregistrements de la gestion des changements constituent un élément important de la documentation système et devront être audités lors de la revue périodique VSI.
En effet, concernant la gestion des changements les éléments suivants pourront être vérifiés lors de la revue périodique VSI :
La gestion des changements est effectuée selon la procédure applicable et documentée.
Toutes les anomalies bloquantes et les demandes de changements urgents sont closes.
Le taux de clôture des demandes de changement est satisfaisant
La documentation système est à jour (spécifications et matrice de traçabilité notamment)
En conclusion, le maintien en l'état validé et en conformité d'un système informatisé pendant sa phase d'exploitation implique des activités de validation qui vont être exécutées pendant toute la durée de vie de votre système.
En fonction de la complexité et de l'évolution du système cette revue périodique peut vite devenir consommatrice de temps et de ressources. La mise en place d'un outillage adapté tel que les outils ITSM (information technology service management) permet de facilité cette revue. L'équipe Agilité d'ADN est là pour vous conseiller et vous guider pour une mise en œuvre facilitée de ces processus au sein de votre entreprise avec un outillage adapté et économique ( Jira Service Management Cloud ) .
Références
(1) Eudralex (1), volume 4, Annex 15, paragraph 4 (mars 2015) “Equipment, facilities, utilities and systems should be evaluated at an appropriate frequency to confirm that they remain in a state of control”
(2) Bonnes Pratiques de Fabrication, Annexe 15, chapitre 4 "Les équipements, les installations, les utilités et les systèmes doivent être évalués à
une fréquence appropriée pour confirmer qu’ils demeurent bien sous contrôle."