L'Annexe 11 du guide BPF PIC/S (PE 009) est l'annexe dédiée aux systèmes informatisés : elle définit ce qu'une entreprise pharmaceutique doit garantir lorsqu'un ordinateur, un logiciel ou un système automatisé remplace ou soutient une opération relevant des bonnes pratiques de fabrication (BPF). Le texte est pratiquement identique à l'Annexe 11 d'EudraLex Volume 4, mais il est appliqué par un éventail bien plus large d'autorités d'inspection : toutes celles qui participent au schéma PIC/S, en Europe et au-delà. Comprendre où il se situe, ce qu'il exige et comment il évolue avec la révision conjointe UE–PIC/S est essentiel pour l'AQ, les spécialistes de la validation des systèmes informatisés et les responsables IT qui doivent défendre leurs systèmes en audit.
PIC/S Annexe 11 : sa place dans le guide BPF PE 009
Le guide BPF PIC/S (document PE 009) reprend la structure d'EudraLex Volume 4 : une Partie I pour les médicaments, une Partie II pour les substances actives (API) et une série d'annexes thématiques. L'Annexe 11 « Computerised Systems » en fait partie et se lit avec le Chapitre 4 (Documentation), car les données électroniques et les enregistrements papier appartiennent au même système documentaire. La version en vigueur du guide est la PE 009-18, applicable depuis le 24 septembre 2026 : cette révision portait sur l'Annexe 19 (échantillons de référence et de conservation), tandis que le texte de l'Annexe 11 reste celui de la révision 2011, en vigueur depuis le 30 juin 2011 dans l'UE comme dans le schéma PIC/S.
La différence pratique avec l'annexe européenne ne tient pas au contenu mais à la portée : le guide PIC/S est le standard de référence des autorités participantes au schéma (plus de 50 autorités dans le monde, de la FDA à Swissmedic, de Santé Canada à la TGA australienne). Un site inspecté par une autorité PIC/S hors UE est donc évalué, pour les systèmes informatisés, sur les mêmes exigences que l'Annexe 11 européenne.
Ce qu'exige l'Annexe 11 : principes et exigences clés
Le principe de l'Annexe 11 est clair : lorsqu'un système informatisé remplace une opération manuelle, ni la qualité du produit ni la maîtrise du procédé ne doivent se dégrader, et le risque global ne doit pas augmenter. De là découlent les exigences opérationnelles, organisées en trois blocs :
- Phase générale : gestion du risque sur tout le cycle de vie (clause 1), personnel qualifié aux rôles définis (clause 2), accords formels et audits des fournisseurs et prestataires, y compris les fournisseurs cloud (clause 3).
- Phase projet : validation fondée sur le risque (clause 4), avec inventaire à jour des systèmes, exigences utilisateurs traçables et approche documentée pour les systèmes sur mesure et configurés.
- Phase opérationnelle : contrôles des données et interfaces (clauses 5–6), conservation et sauvegarde (clause 7), impressions (clause 8), audit trail (clause 9), gestion des changements et de la configuration (clause 10), évaluation périodique (clause 11), sécurité et contrôle des accès (clause 12), gestion des incidents (clause 13), signature électronique (clause 14), libération des lots (clause 15), continuité d'activité (clause 16) et archivage (clause 17).
En audit, les clauses les plus contestées sont presque toujours les mêmes : audit trails jamais activés ou jamais revus, comptes partagés rendant les actions impossibles à attribuer, revues périodiques jamais réalisées et fournisseurs cloud jamais qualifiés formellement.
Si vous travaillez avec des systèmes GxP et voulez des mises à jour pratiques sur l'Annexe 11, l'intégrité des données et les inspections, abonnez-vous à The Pragmatic GMP, la newsletter hebdomadaire gratuite de GuideGxP : chaque semaine un sujet BPF expliqué de façon opérationnelle, sans blabla.
Annexe 11 PIC/S et Annexe 11 UE : les vraies différences
Sur le plan technique, les deux textes sont équivalents : même numérotation, mêmes exigences, même logique fondée sur le risque. Les différences tiennent au contexte réglementaire et à l'usage qu'en font les autorités.
| Aspect | Annexe 11 UE (EudraLex Vol. 4) | Annexe 11 PIC/S (PE 009) |
|---|---|---|
| Contenu technique | Révision 2011, 17 clauses + principe | Pratiquement identique au texte UE |
| Base d'application | Contraignant pour les fabricants autorisés dans l'UE/EEE | Standard de référence des autorités participantes PIC/S |
| Qui l'utilise en inspection | Autorités des États membres UE/EEE | Plus de 50 autorités dans le monde |
| Document guide pour inspecteurs | Lignes directrices EMA/GMDP Q&A | PIC/S PI 011-3 (Good Practices for Computerised Systems) |
| Révision en cours | Conjointe UE–PIC/S : projet publié le 7 juillet 2025, finalisation attendue entre fin 2026 et 2027 | |
Une particularité à connaître : toutes les annexes d'EudraLex n'ont pas été adoptées par PIC/S (le cas typique est l'Annexe 16 sur la certification par la QP, liée à une institution juridique spécifiquement européenne). L'Annexe 11, elle, a été reprise intégralement : sur les systèmes informatisés, l'harmonisation est complète.
PI 011-3 : le guide PIC/S qu'utilisent les inspecteurs
À côté de l'annexe, PIC/S publie le document PI 011-3 « Good Practices for Computerised Systems in Regulated GXP Environments » (septembre 2007) : ce n'est pas une exigence supplémentaire, mais le guide avec lequel les inspecteurs PIC/S interprètent et vérifient les systèmes informatisés. Il couvre l'implémentation, la validation, la sécurité, la gestion des données et les techniques d'inspection, avec des exemples concrets. Le lire est le moyen le plus direct de savoir ce que regardera un inspecteur : si votre documentation de validation répond aux questions du PI 011, l'inspection des systèmes part sur de bonnes bases. Un groupe de travail PIC/S met aussi à jour ce document, en parallèle de la révision de l'annexe.
La révision conjointe UE–PIC/S : à quoi s'attendre
La révision de l'Annexe 11 est un projet conjoint : le concept paper a été soumis à consultation PIC/S–EMA du 16 novembre 2022 au 16 janvier 2023, PIC/S étant représentée dans le groupe de rédaction de l'EMA. Le projet de nouvelle Annexe 11 a été publié le 7 juillet 2025 avec la nouvelle Annexe 22 sur l'intelligence artificielle, la consultation publique s'étant achevée le 7 octobre 2025 ; les textes sont désormais en cours de finalisation au sein du groupe de travail conjoint EMA–PIC/S, avec une adoption attendue entre fin 2026 et 2027. D'ici là, le texte de 2011 reste en vigueur.
Pour qui opère dans des juridictions PIC/S, le message est rassurant : la révision étant conjointe, la nouvelle annexe naîtra déjà harmonisée entre l'UE et PIC/S, sans période de désalignement entre les deux guides. Les orientations du projet — revue systématique des audit trails, contrôles renforcés des accès et des fournisseurs, gouvernance des données explicite — sont dès aujourd'hui les domaines où il vaut mieux prendre de l'avance.
Recommandation GuideGxP
N'attendez pas le texte final pour consolider les bases. Trois actions concrètes à lancer maintenant :
- Inventaire et criticité : vérifiez que l'inventaire des systèmes GxP est complet et que chaque système a une catégorie GAMP, un impact BPF et un statut de validation documentés.
- Audit trails et accès : activez les audit trails manquants, définissez une procédure de revue fondée sur le risque et éliminez les comptes partagés.
- Fournisseurs et cloud : formalisez les quality agreements et les évaluations des fournisseurs SaaS/cloud, avec des responsabilités claires sur la sauvegarde, la sécurité et la disponibilité des données.
Pour mettre tout cela en place avec méthode, le Guide Opérationnel de la Computer System Validation (CSV) en environnement GxP de GuideGxP couvre tout le cycle de vie des systèmes informatisés — de l'inventaire à la revue périodique — avec 12 outils Excel et Word prêts à l'emploi et une section dédiée à la préparation à la nouvelle Annexe 11.
