GAMP 5 en français et en PDF : qui cherche le guide ISPE dans notre langue se heurte vite à un fait peu connu. GAMP 5 est un guide propriétaire, publié par l'ISPE en anglais, et il n'existe aucune traduction française officielle téléchargeable gratuitement. Il existe pourtant quelque chose de plus utile qu'une traduction littérale : comprendre vraiment ce que demande la deuxième édition (juillet 2022), comment fonctionnent les catégories de logiciels et comment le guide s'articule avec l'Annexe 11 des BPF européennes et la Computer Software Assurance (CSA) de la FDA. C'est exactement ce que vous trouverez dans cet article, avec un tableau opérationnel des catégories et les références officielles à citer en audit.
GAMP 5 : qu'est-ce que c'est et où trouver le PDF officiel
GAMP 5 (« A Risk-Based Approach to Compliant GxP Computerized Systems ») est le guide de référence international pour la validation des systèmes informatisés en environnement GxP. Ce n'est pas un texte réglementaire : c'est un guide de bonnes pratiques publié par l'ISPE (International Society for Pharmaceutical Engineering), que les inspecteurs connaissent bien et qui constitue de fait le langage commun entre entreprises, fournisseurs et autorités.
Le PDF officiel s'achète exclusivement auprès de l'ISPE (gratuit uniquement pour les membres) ; tout « gamp 5 pdf français gratuit » trouvé en ligne est une copie non autorisée ou un résumé de tiers. L'exigence contraignante en Europe reste l'Annexe 11 d'EudraLex Volume 4 (BPF, transposées en France par l'ANSM) : GAMP 5 est l'outil qui permet de démontrer, de façon structurée et proportionnée au risque, qu'on la respecte.
Les nouveautés de la deuxième édition (2022)
La deuxième édition, publiée en juillet 2022, est la première mise à jour substantielle depuis 2008. L'architecture (cycle de vie, gestion des risques qualité, catégories de logiciels) demeure, mais la philosophie change : moins de documentation « paperasse », plus d'esprit critique. Les principales nouveautés :
- Critical thinking (annexe M12) : l'approche doit être calibrée sur le risque réel du système, pas sur des modèles rigides et des checklists cochées mécaniquement. C'est le cœur de la révision.
- Méthodes agiles (annexe D8) : le développement itératif et incrémental est pleinement compatible avec le GxP, sans superposer artificiellement un modèle en cascade.
- Software tools (annexe D9) : gestion basée sur le risque des outils de support (ex. outils de ticketing et de test) sans impact GxP direct.
- Blockchain (D10) et Intelligence Artificielle / Machine Learning (D11) : premières orientations structurées pour les technologies émergentes dans les procédés réglementés.
- Cloud et prestataires de services : davantage d'appui sur l'évaluation et la surveillance du fournisseur, moins de tests dupliqués en interne.
- De la validation à l'« assurance » : l'objectif déclaré n'est pas de passer l'inspection mais de protéger le patient, le produit et l'intégrité des données sur tout le cycle de vie, en pleine convergence avec l'approche CSA de la FDA.
Des sujets comme GAMP 5, l'Annexe 11 et la CSA évoluent de mois en mois : pour recevoir chaque semaine une analyse pratique et sans détour de l'actualité GMP, abonnez-vous à The Pragmatic GMP, la newsletter hebdomadaire gratuite de GuideGxP.
Les catégories de logiciels GAMP 5 : tableau opérationnel
Les catégories restent l'outil le plus utilisé du guide : elles classent le logiciel selon sa nature pour proportionner l'effort de validation. Depuis la première édition de 2008, la catégorie 2 (firmware) n'existe plus ; les catégories actuelles sont 1, 3, 4 et 5.
| Catégorie | Type de logiciel | Exemples | Approche typique |
|---|---|---|---|
| 1 | Logiciel d'infrastructure | Systèmes d'exploitation, moteurs de base de données, middleware | Enregistrement de la version, maîtrise de l'environnement |
| 3 | Produit standard non configuré | Instruments à logiciel fixe, applications COTS utilisées telles quelles | Vérification des exigences d'utilisation, tests réduits basés sur le risque |
| 4 | Produit configuré | LIMS, MES, ERP, eQMS, CDS configurés sur le procédé | Évaluation du fournisseur, tests de la configuration et des flux critiques |
| 5 | Logiciel sur mesure (bespoke) | Applications ou modules développés sur mesure, macros et scripts critiques | Cycle de vie complet : spécifications, revue de code, tests étendus |
Attention à l'erreur la plus fréquente en audit : classer en catégorie 3 un système qui est en réalité configuré (catégorie 4), ou oublier qu'une simple macro Excel utilisée pour des décisions de libération est, à tous égards, de catégorie 5.
GAMP 5, Annexe 11 et CSA de la FDA : comment tout s'articule
Pour utiliser GAMP 5 de façon défendable, il faut de la clarté sur le cadre réglementaire :
- Annexe 11 (BPF UE) : c'est l'exigence contraignante européenne pour les systèmes informatisés ; un projet de révision a été publié en consultation publique en juillet 2025 et rendra les exigences bien plus détaillées (revue de l'audit trail, sécurité, fournisseurs cloud).
- CSA de la FDA : en septembre 2025, la FDA a finalisé la guidance « Computer Software Assurance for Production and Quality System Software », qui remplace la section 6 des General Principles of Software Validation (2002) et promeut des activités d'assurance proportionnées au risque, y compris le testing non scripted.
- GAMP 5 deuxième édition : c'est le pont entre les deux mondes ; son accent sur l'esprit critique et le risque est délibérément aligné sur la CSA, et sa structure documentaire couvre les attentes européennes.
En pratique : une entreprise qui applique GAMP 5 avec discernement est déjà bien positionnée aussi bien pour une inspection EMA/ANSM que pour une inspection FDA.
Comment appliquer GAMP 5 en entreprise : 5 étapes
- Inventaire et évaluation GxP : recensez tous les systèmes et établissez lesquels ont un impact GxP. Ce qui n'est pas GxP sort du périmètre de validation.
- Catégorie et risque : attribuez la catégorie de logiciel et évaluez l'impact sur le patient, le produit et les données (ICH Q9 comme référence méthodologique).
- Stratégie proportionnée : définissez dans le plan de validation ce que vous déléguez au fournisseur (audits, documentation de tests) et ce que vous vérifiez en interne.
- Tests ciblés : concentrez le scripted testing sur les fonctions critiques ; utilisez des tests exploratoires et non scripted là où le risque est faible, en documentant le rationnel.
- Maintien de l'état validé : maîtrise des changements, revue périodique et revue de l'audit trail doivent couvrir tout le cycle de vie, mises à jour cloud comprises.
Recommandation GuideGxP
N'achetez pas (et ne cherchez pas) un « GAMP 5 en PDF français » : investissez plutôt dans la construction d'un rationnel de validation qu'un inspecteur peut suivre ligne par ligne. Le document qui fait la différence en audit n'est pas la traduction du guide, mais votre matrice système-catégorie-risque-stratégie, tenue à jour et cohérente avec vos procédures. Commencez par les systèmes à plus fort impact (ceux qui génèrent des données pour la libération des lots) et utilisez l'esprit critique pour alléger le reste : moins de papier sur les systèmes banals, plus de profondeur là où le risque est réel.
Si vous validez des systèmes SaaS ou cloud selon GAMP 5 et l'Annexe 11, le guide GuideGxP Guide Opérationnel de la Computer System Validation (CSV) - GxP vous donne la méthode, des exemples et des modèles prêts à l'emploi pour arriver en audit avec un dossier défendable.
