CSV vs CSA : pendant vingt ans, la validation des systèmes informatisés (CSV) a été synonyme de protocoles interminables, de captures d'écran et de signatures sur chaque page. Avec la guidance finale de la FDA Computer Software Assurance for Production and Quality Management System Software, publiée le 24 septembre 2025 et mise à jour le 3 février 2026, le Computer Software Assurance (CSA) devient la référence officielle : moins de documentation défensive, plus d'esprit critique et des tests proportionnés au risque. Dans cet article, nous voyons ce qui change réellement par rapport à la CSV traditionnelle, comment appliquer la nouvelle approche et ce que cela signifie pour les professionnels GxP.
CSV vs CSA : pourquoi la FDA a changé d'approche
La CSV « classique » découle de la guidance FDA General Principles of Software Validation (GPSV) de 2002, un document pensé pour une époque où le logiciel était largement développé sur mesure et installé on-premise. Avec le temps, l'application de la GPSV a dégénéré en excès de bureaucratie : scripts de test signés ligne par ligne, centaines de captures d'écran, preuves papier dupliquées. Le résultat, constaté par la FDA elle-même, est paradoxal : les entreprises investissent plus d'énergie à produire de la documentation qu'à assurer la qualité réelle du logiciel.
Le CSA renverse la perspective. L'objectif n'est pas de prouver que tout a été testé de la même manière, mais de concentrer l'effort d'assurance là où le risque pour la qualité du produit et la sécurité du patient est le plus élevé, en appliquant le principe du least burdensome approach. La guidance finale remplace formellement la Section 6 de la GPSV 2002 (celle consacrée aux logiciels de production et du système qualité), tandis que le reste de la GPSV reste en vigueur.
Du projet 2022 à la guidance finale : les étapes
Le parcours du CSA a été long et mérite d'être retracé, car beaucoup d'entreprises en sont restées au projet :
- Septembre 2022 : la FDA publie le projet de guidance Computer Software Assurance for Production and Quality System Software.
- 24 septembre 2025 : le CDRH et le CBER publient la guidance finale, qui intègre les commentaires reçus sur le projet.
- 3 février 2026 : la FDA publie une version mise à jour intitulée Computer Software Assurance for Production and Quality Management System Software, alignée sur la terminologie de la QMSR (21 CFR Part 820 harmonisée avec l'ISO 13485, applicable depuis le 2 février 2026).
Par rapport au projet, la version finale ajoute une section terminologique sur IaaS, PaaS et SaaS, précise que le cadre peut aussi s'appliquer aux outils d'intelligence artificielle utilisés en production ou dans le système qualité, développe les indications sur la possibilité de s'appuyer sur la documentation du fournisseur et insiste sur la préférence pour les preuves numériques plutôt que le papier.
Comment fonctionne le CSA : intended use, risque, assurance
La méthode CSA s'articule en quatre étapes logiques, à répéter pour chaque logiciel (ou fonctionnalité individuelle) concerné :
- Identifier l'intended use : le logiciel (ou la fonction) est-il utilisé directement en production ou dans le système qualité, ou ne fait-il que les soutenir ?
- Analyse du risque de processus : une défaillance du logiciel peut-elle générer un problème de qualité compromettant de manière prévisible la sécurité ? Si oui, le risque de processus est « élevé » ; sinon « non élevé ». La FDA utilise cette classification binaire mais admet des échelles plus granulaires (modéré, faible).
- Sélectionner les activités d'assurance proportionnées au risque : tests scriptés rigoureux pour les fonctions à haut risque, méthodes non scriptées pour le reste.
- Enregistrer les preuves : intended use, détermination du risque, ce qui a été testé, par qui et avec quel résultat.
Les changements de paradigme réglementaire comme celui-ci se comprennent mieux un article à la fois : abonnez-vous à The Pragmatic GMP, la newsletter hebdomadaire gratuite de GuideGxP, pour recevoir des analyses pratiques et audit-ready sur le CSA, l'Annexe 11 et l'intégrité des données.
CSV vs CSA : la comparaison point par point
| Aspect | CSV traditionnelle (GPSV 2002) | CSA (guidance finale 2025) |
|---|---|---|
| Point de départ | Documenter la validation de tout le système | Intended use et risque patient/qualité |
| Tests | Principalement scriptés, uniformes | Scriptés uniquement là où le risque est élevé ; non scriptés ailleurs |
| Preuves | Captures d'écran, impressions, signatures manuelles | Enregistrements numériques : logs système, audit trail, résultats dans l'outil |
| Fournisseurs | Audits sur site et revalidation interne | Exploitation fondée sur le risque de la documentation du fournisseur (ISO, SOC, SBOM) |
| Cloud et IA | Non couverts | IaaS/PaaS/SaaS et outils d'IA explicitement dans le périmètre |
| Effort documentaire | Élevé, indépendant du risque | Proportionné au risque (least burdensome) |
Tests scriptés et non scriptés : comment choisir
La nouveauté la plus concrète pour ceux qui valident est la légitimation des tests non scriptés. Pour les fonctions à risque « non élevé », la guidance cite explicitement des méthodes comme l'ad-hoc testing, l'error-guessing et l'exploratory testing : le testeur sollicite le système avec des scénarios réalistes et consigne de façon synthétique ce qu'il a fait et observé, sans scripts pas-à-pas pré-approuvés. Pour les fonctions à risque « élevé », des tests plus rigoureux et traçables — typiquement scriptés — restent recommandés. Aucune méthode n'est toutefois imposée : le choix doit être motivé avec esprit critique et documenté dans l'analyse de risque.
Preuves et documentation : ce qu'attend la FDA
CSA ne signifie pas « zéro document ». Cela signifie les bons documents. Le dossier minimal qu'un inspecteur s'attend à trouver comprend : l'inventaire des logiciels mappé sur les intended use, la classification du risque de processus pour chacun, la description des activités d'assurance réalisées, qui les a exécutées et les résultats. La guidance décourage explicitement les captures d'écran et les duplications papier lorsque le système génère déjà des logs et des audit trails utilisables comme preuves. Attention à un point souvent mal compris : si les enregistrements sont électroniques, le 21 CFR Part 11 continue de s'appliquer, et la FDA n'exerce pas de discrétion sur la validation des logiciels de production et qualité.
Et pour la pharma ? GAMP 5 et Annexe 11
Formellement, le CSA est une guidance pour les dispositifs médicaux (logiciels de production et du système de management de la qualité sous 21 CFR Part 820). Mais ses principes sont déjà la pratique courante dans la pharma : la deuxième édition de GAMP 5 (ISPE, 2022) intègre esprit critique, tests agiles et exploitation du fournisseur en pleine cohérence avec le CSA, et la révision en cours de l'Annexe 11 des BPF de l'UE pousse dans la même direction fondée sur le risque. Les acteurs GxP peuvent donc adopter la logique CSA dans leur méthodologie de validation, en conservant l'Annexe 11 et le Part 11 comme références contraignantes pour les enregistrements électroniques.
Recommandation GuideGxP
Ne réécrivez pas toutes vos procédures en une nuit. Le passage de la CSV au CSA se fait par étapes et avec des preuves solides : mettez d'abord à jour la procédure d'analyse de risque des systèmes informatisés en introduisant la classification par intended use et risque de processus ; définissez dans la procédure quand les tests non scriptés sont admis et comment les documenter ; revoyez la qualification des fournisseurs pour exploiter de manière défendable les certifications et les dossiers de test du vendor ; et assurez-vous que les audit trails et les logs sont réellement récupérables, car dans le CSA, ce sont eux votre preuve primaire. En audit, la question ne sera pas « combien de scripts avez-vous exécutés ? » mais « comment avez-vous décidé où concentrer les tests ? ».
Pour mettre en place une gouvernance de l'intégrité des données, une revue de l'audit trail et des contrôles de laboratoire QC défendables en inspection, découvrez notre Data Integrity en GMP – Guide Opérationnel : gouvernance, audit trail review et laboratoires QC : le complément idéal pour intégrer le CSA dans votre PQS.
