Plan d'échantillonnage de l'eau pharmaceutique : choisir et justifier les points de prélèvement

L'inspecteur ne demande presque jamais pourquoi un échantillon est sorti des limites. Il demande pourquoi ce point figure dans le plan et pas l'autre. C'est la question qui démonte la plupart des plans d'échantillonnage, parce que la réponse honnête, dans trop de sites, est que le plan a été hérité : né en qualification comme une liste des points physiquement disponibles, figé dans une procédure, étendu par analogie à chaque nouvelle antenne et jamais remis en question. Aucun document n'explique à quelle question chaque point est censé répondre.

Le problème n'est pas formel : un plan construit ainsi produit deux façons opposées de se tromper. Dans la première, tous les échantillons sont conformes parce que la technique de prélèvement supprime systématiquement la contribution du point d'utilisation, alors que l'eau qui arrive au procédé passe par un flexible que personne n'échantillonne. Dans la seconde, les données dérivent vers le haut à cause d'une technique de prélèvement médiocre, et le site enquête sur un système sous contrôle jusqu'à ce que quelqu'un propose d'élargir les limites.

Un plan d'échantillonnage défendable naît d'un choix explicite, pas d'une liste : quelles questions le plan doit traiter, comment chaque point est justifié, comment la technique de prélèvement détermine le sens de la donnée, et sur quelles bases la fréquence est fixée puis réexaminée.

Les deux questions qu'un plan doit séparer

Un échantillon d'eau pharmaceutique peut répondre à deux questions différentes, et les confondre est l'erreur structurelle la plus répandue.

Question 1 — le système est-il sous contrôle ? L'échantillon représente l'eau contenue dans le système de production, de stockage et de distribution. Il alimente le trending sur lequel reposent les alert level, détecte les dégradations progressives et vérifie l'efficacité de la sanitisation. La technique est conçue pour éliminer la contribution du point de prélèvement lui-même : vanne dédiée et sanitisée, purge définie, technique aseptique standardisée. Une valeur élevée désigne ici le système.

Question 2 — quelle eau le procédé utilise-t-il réellement ? L'échantillon représente l'eau qui arrive au produit par la même chaîne physique que celle réellement utilisée en production : même raccord, même flexible, même procédure d'ouverture, même purge prescrite en production — ni plus ni moins. La technique est conçue pour inclure tout ce qui se trouve entre la boucle et le produit. Une valeur élevée peut désigner ici le système, mais aussi le flexible, le raccordement ou la pratique de l'opérateur.

Ce sont deux plans différents, avec des points, des techniques, des fréquences et des critères d'investigation différents. Un échantillon « de système » ne dit rien de l'eau que le procédé reçoit ; un échantillon « de procédé » est un mauvais indicateur de l'état de la boucle, car le bruit du dispositif de transfert peut dominer le signal. Aucune des deux questions n'est facultative : la qualité de l'eau est un élément de la contamination control strategy selon l'Annexe 1 au point 2.5(v), et une CCS qui démontre le contrôle de la boucle sans démontrer le contrôle du transfert au point d'utilisation présente un trou en son centre. Il en découle une règle de rédaction : le plan doit indiquer, pour chaque point, à laquelle des deux questions il répond et avec quelle technique. Une liste de points sans question associée n'est pas justifiable, faute de critère permettant de décider si l'ensemble est suffisant.

Sample point et point of use ne sont pas synonymes

Point of use désigne une fonction de procédé : l'endroit où l'eau quitte le système pour entrer dans une opération. Sample point désigne une fonction de contrôle : un point équipé pour prélever un échantillon représentatif de quelque chose. Ils coïncident souvent, mais par commodité physique, non par équivalence logique.

Trois cas rendent la distinction opérationnelle. De nombreux points d'utilisation sont desservis par une vanne de prélèvement dédiée en amont du raccord de procédé : c'est un sample point qui répond à la question 1, pas un point of use. Certains points d'utilisation comportent un filtre terminal : prélever en aval répond à la question 2 mais masque l'état de la boucle, et utiliser cette donnée pour le trending de système revient à construire une tendance aveugle. D'autres points ne sont pas des points d'utilisation et ne le seront jamais — sortie de production, retour de boucle — et ne servent qu'à la question 1. Le nombre de sample points ne se déduit donc pas du nombre de points of use, dans aucun des deux sens : il se construit à partir d'un raisonnement.

Le cadre réglementaire applicable

Aucun texte en vigueur ne publie de liste de points obligatoires ni de tableau de fréquences universelles : les textes fixent des objectifs et laissent au site la construction du raisonnement.

L'Annexe 1 d'EudraLex Volume 4 (C(2022) 5938 final, applicable depuis le 25 août 2023) exige au point 6.13 une surveillance chimique et microbiologique régulière et continue, avec des alert level fondés sur les données de la qualification initiale, réexaminés périodiquement sur la base de la requalification, de la surveillance de routine et des investigations. Le point 6.14 exige que les dépassements d'alerte soient documentés, revus et investigués, en distinguant l'événement isolé de la tendance défavorable ou de la dégradation du système. Le point 6.8 exige que les systèmes d'eau soient qualifiés et validés pour le contrôle physique, chimique et microbiologique en tenant compte de la variation saisonnière. Le point 6.15 exige que les systèmes WFI intègrent une surveillance continue, telle que le TOC et la conductivité.

Lus ensemble, ces points décrivent l'architecture d'un plan d'échantillonnage sans en dicter le contenu : les niveaux se déduisent des données du système et non d'un tableau externe ; le plan doit produire des données suffisantes pour distinguer un événement isolé d'une tendance ; la fenêtre de collecte doit couvrir la variabilité saisonnière ; et pour le WFI une partie de la surveillance n'est pas de l'échantillonnage, mais une mesure continue en ligne.

Le Q&A EMA/INS/GMP/443117/2017 sur la production de WFI par des méthodes non distillatoires (en vigueur depuis le 1er août 2017) est le seul texte de cet ensemble à indiquer une fréquence : pour ces systèmes, il attend des essais étendus, un essai quotidien de tous les points critiques en phase initiale et des données sur environ un an afin de capter la variation saisonnière, et il fixe au minimum une évaluation annuelle de l'efficacité de la surveillance. Deux précisions évitent l'extrapolation : l'attente d'essai quotidien est formulée pour les systèmes WFI non distillatoires et concerne la phase initiale, pas le régime établi ; appliquer le même modèle à d'autres systèmes est un choix de site, raisonnable mais non exigé, et doit être documenté comme tel. Le même document affirme explicitement qu'augmenter les limites n'est pas une bonne pratique et peut masquer un système en train de défaillir.

Le WHO TRS 1033, Annexe 3 (2021) complète la méthode : le §12.8 établit que les alert et action level sont déterminés à partir des données historiques rapportées, et le §4.3.8 que les alert et action limit pour l'eau purifiée en vrac découlent de la connaissance du système et du trending des données. Le chapitre informatif USP <1231> (officiel depuis le 1er décembre 2021) traite explicitement de l'échantillonnage en ligne et hors ligne et rappelle que les utilisateurs établissent des spécifications internes ou des niveaux microbiens d'aptitude à l'usage ; les niveaux d'action qu'il indique ne sont pas contraignants. L'USP <643> fournit également une indication de méthode par soustraction : il déclare ne rien dire sur la fréquence d'exécution du system suitability test, laissant celle-ci à l'analyse de risque de l'utilisateur. C'est exactement la logique qui gouverne un plan d'échantillonnage.

Le raisonnement de risque se construit avec l'outil prévu, ICH Q9(R1) (Step 4, 18 janvier 2023), appliqué selon la méthode du quality risk management sur les systèmes d'eau ; la référence sectorielle dédiée est l'ISPE Good Practice Guide Sampling for Pharmaceutical Water, Steam, and Process Gases, guide industriel et non texte réglementaire.

La carte des points : ce à quoi répond chaque position

Chaque position répond à une question précise et en laisse d'autres ouvertes. Les positions réellement retenues dépendent de l'architecture du système.

Retour de boucle et points d'utilisation ne sont pas des alternatives : le premier donne la sensibilité, les seconds la localisation et la pertinence produit. Et les points d'utilisation rarement sollicités méritent une attention supérieure à leur fréquence d'usage, car la stagnation entre deux utilisations est précisément la condition que la surveillance doit intercepter. La géométrie qui rend une antenne critique — longueur, débit, extrémité — relève de la conception de la boucle de distribution, et le plan doit la lire, non l'ignorer.

Construire le raisonnement de risque

Justifier un point n'est pas une phrase dans une procédure : c'est une attribution traçable qui le relie à des facteurs de risque identifiés — impact produit de l'opération desservie, position hydraulique par rapport au régime d'écoulement établi en qualification, couverture effective par le cycle de sanitisation, modalités d'usage, historique du point, et observabilité alternative, c'est-à-dire si le point est déjà couvert par une mesure continue en ligne ou si l'échantillon est la seule fenêtre disponible. La matrice est à compléter par le site. La colonne des poids est volontairement vide : les poids dépendent du contexte, du type de produit et de l'architecture, et doivent être actés et approuvés avant l'attribution des scores.

Le résultat n'est pas un chiffre mais une classification — points sous surveillance étendue, de routine, périodique ou sur événement — dont découlent la fréquence, le panel analytique et les critères d'escalade. Le document doit montrer la chaîne, pas seulement le résultat.

Technique de prélèvement : la variable qui décide du sens de la donnée

L'échantillon le plus défendable, prélevé avec une technique non définie, produit une donnée sans signification : sur le plan microbiologique, la variabilité introduite par la technique peut dépasser celle du système que l'on cherche à mesurer. Les variables doivent être définies, validées et enseignées ; aucune n'a de valeur universelle à recopier.

Purge. C'est la variable qui change la question à laquelle l'échantillon répond. Une purge prolongée écarte le contenu de la zone terminale et restitue l'eau de la boucle : question 1. Aucune purge, ou celle prescrite en production, restitue l'eau que le procédé reçoit : question 2. Il n'existe pas de durée ni de volume corrects dans l'absolu ; il existe l'obligation de déclarer le choix, de le justifier au regard de la question, de le rendre reproductible entre opérateurs et équipes et de le maintenir stable — car un changement silencieux de pratique produit un décalage de niveau dans la tendance, qui sera lu comme un événement du système.

Préparation du point et asepsie. Sanitisation ou désinfection de la vanne avant prélèvement, gestion du résidu d'agent, technique aseptique de l'opérateur et protection du point entre deux prélèvements sont des facteurs que la méthode doit fixer. Lorsque le système est sanitisé chimiquement ou ozoné, l'échantillon microbiologique requiert un neutralisant approprié, vérifié pour ne pas interférer avec la méthode analytique ; sans neutralisation, on compte l'effet résiduel de l'agent, non la population du système.

Contenants, volumes, hold time et transport. Matériau du contenant, stérilité, présence du neutralisant et absence d'interférence avec le paramètre mesuré — le TOC est particulièrement sensible à la contamination par le contenant et par la manipulation — sont des attributs à spécifier et à vérifier, non à supposer. Le volume découle de la méthode et du niveau qui doit pouvoir être détecté : pour le WFI, le niveau d'action non contraignant indiqué par l'USP <1231> est exprimé sur 100 mL, avec des conséquences directes sur le volume et sur la technique de filtration.

Le hold time entre le prélèvement et le début de l'analyse n'a pas de valeur réglementaire : il doit être fixé par le site et étayé par des données montrant que le résultat ne change pas significativement dans l'intervalle déclaré, dans les conditions de conservation et de transport réellement utilisées. Les variables qui comptent sont le type d'eau, la population attendue, le matériau du contenant, la température et sa stabilité sur le trajet ; le transport doit lui aussi être défini, surveillé et documenté. La chaîne du robinet à l'incubateur fait partie de la méthode analytique, pas de la logistique support : chaque maillon non maîtrisé devient une explication alternative disponible en investigation, donc un affaiblissement de la donnée même lorsqu'elle est conforme.

Qualification du préleveur. L'opérateur est une variable de la méthode : formation documentée, vérification pratique de l'exécution et observation périodique sur le terrain sont des contrôles sur la donnée, non des formalités. Un excellent plan exécuté par du personnel non qualifié produit un bruit qu'aucune analyse statistique ne récupère.

En ligne et hors ligne ne sont pas interchangeables

L'USP <1231> traite des deux. La différence décisive est temporelle : la mesure chimique en ligne — TOC et conductivité, exigées comme surveillance continue pour les systèmes WFI par l'Annexe 1 au point 6.15 — donne un signal en temps réel, tandis que le résultat microbiologique arrive plusieurs jours après le prélèvement, quand l'eau a déjà été utilisée. Le plan doit expliciter cette asymétrie et bâtir la stratégie sur elle : le contrôle microbiologique est essentiellement préventif — conception, régime thermique, sanitisation, écoulement — et l'échantillonnage en vérifie a posteriori la tenue. Attendre de l'échantillonnage microbiologique qu'il protège un lot donné, c'est demander à la méthode ce qu'elle ne peut pas donner. L'architecture en ligne est traitée dans l'article sur la surveillance du COT et de la conductivité, le volet microbiologique dans l'article sur le contrôle microbiologique et des endotoxines.

Fréquence : ce qui est vérifiable et ce qui doit être justifié

« À quelle fréquence prélève-t-on ? » n'a pas de réponse pharmacopéiale : les textes en vigueur fournissent une méthode pour la construire et deux repères temporels vérifiés. La méthode est celle de l'Annexe 1 6.13 et du WHO TRS 1033 §12.8 et §4.3.8 : les niveaux et la structure de la surveillance découlent de la qualification initiale et du trending, et sont réexaminés périodiquement. Les repères temporels vérifiés sont ceux du Q&A EMA 443117/2017 : en phase initiale, pour les systèmes WFI non distillatoires, essai quotidien de tous les points critiques et données sur environ un an pour couvrir la variation saisonnière — cohérent avec l'Annexe 1 6.8 — et, au minimum, une évaluation annuelle de l'efficacité de la surveillance.

Tout le reste doit être justifié par site. Aucune exigence n'impose une fréquence hebdomadaire, mensuelle ou tournante : ce sont des schémas répandus dans la pratique industrielle, non des prescriptions, et celui qui les adopte doit pouvoir montrer pourquoi cette cadence suffit à détecter l'événement qu'il redoute, compte tenu du temps de réponse de la méthode et de la dynamique attendue du système.

1. Phase initiale : fréquence élevée sur tous les points pour caractériser le système et générer la base de données dont dérivent les alert level, sur une fenêtre couvrant la variabilité saisonnière.
2. Transition : réduction seulement une fois que les données la soutiennent, avec des critères définis a priori et un raisonnement point par point. C'est une modification du système de contrôle et elle passe par le change control.
3. Régime établi : fréquence et panel analytique différenciés par classe de risque, avec des critères d'escalade ramenant un point à fréquence élevée en cas de déclencheurs définis.
4. Réexamen : vérification périodique que la fréquence répond toujours à la question, avec retour à la phase initiale lorsque le système change substantiellement.

Un critère de bon sens : si la fréquence retenue ne permettrait pas de distinguer un événement isolé d'une tendance défavorable — la distinction exigée par l'Annexe 1 6.14 — alors elle est trop basse pour l'objectif déclaré, quelle que soit sa diffusion dans le secteur.

Exemple d'application : Site Delta

Site Delta est un site fictif, utilisé ici uniquement comme exemple. Il dispose d'une boucle WFI chaude desservant une zone stérile et d'une boucle PW froide sanitisée chimiquement pour la production non stérile et le lavage des équipements. Le plan en vigueur liste vingt-deux points, tous prélevés avec la même méthode et la même fréquence, et la procédure prescrit une purge avant chaque prélèvement.

Le réexamen part de la question, non des points : les vingt-deux échantillons répondent tous à la question 1, et aucun ne représente l'eau que le procédé reçoit, bien que quatre points d'utilisation soient desservis par des flexibles connectés et déconnectés à chaque usage. Trois conséquences en découlent. Une deuxième catégorie d'échantillons est introduite, prélevés aux points d'utilisation avec la chaîne physique et la technique de production, avec ses propres critères d'investigation : un hors-limite dans cette catégorie part du dispositif de transfert, non de la boucle. La classification de risque redistribue les fréquences, en les augmentant sur les antennes à usage intermittent et sur les extrémités et en les réduisant là où le retour de boucle et la mesure en ligne assurent déjà la couverture, chaque réduction étant documentée et gérée en change control. Et la prescription de purge est réécrite en séparant les deux cas, car appliquée indistinctement elle rendait la question 2 structurellement impossible à traiter. Le nombre final de points change peu ; ce qui change, c'est que chacun dispose désormais d'une ligne indiquant à quelle question il répond et pourquoi il est là.

Réexamen du plan

L'Annexe 1 6.13 rend explicite le réexamen périodique des alert level sur la base de la requalification, de la surveillance de routine et des investigations ; il en va de même pour la structure du plan. Les déclencheurs à codifier en procédure sont récurrents : modifications physiques du système (nouvelle antenne, nouveau point d'utilisation, suppression d'un tronçon, remplacements modifiant le profil hydraulique) ; changement d'usage d'un point, qui déplace sa classe de risque même sans toucher à la tuyauterie ; modification du régime de sanitisation ou thermique, qui change la couverture du cycle ; tendances défavorables, dépassements répétés et résultats d'investigation signalant des angles morts ; variations de l'eau d'alimentation par rapport à la caractérisation de qualification ; requalification périodique et évaluation de l'efficacité de la surveillance, avec le minimum annuel indiqué par le Q&A EMA pour les systèmes concernés.

Le réexamen doit aussi pouvoir conclure dans un sens restrictif : un plan qui se réduit à chaque cycle et n'augmente jamais optimise la charge analytique, pas le contrôle. Quand les données dérivent, la bonne réponse est d'investiguer le système et de réviser le plan, non de déplacer les limites. La lecture des résultats anormaux est traitée dans l'article sur le biofilm, le rouging et l'investigation ; l'ensemble des sujets est rassemblé dans le hub Pharmaceutical Water & WFI Systems.

Erreurs fréquentes et signaux d'alerte

• Plan hérité de la qualification et jamais réexaminé, avec des points dont la justification d'origine n'est plus récupérable ; aucune distinction entre échantillon de système et échantillon de procédé, le site se croyant doté de deux couvertures.
• Purge prescrite de manière uniforme, ce qui rend structurellement impossible l'évaluation de l'eau réellement utilisée par le procédé.
• Points ajoutés par analogie à chaque nouveau point d'utilisation, sans réévaluer la classification de risque de l'ensemble ; prélèvement en aval d'un filtre terminal utilisé pour le trending de système.
• Hold time et conditions de transport non définis ou non étayés par des données : ils offrent une explication alternative à tout résultat anormal.
• Fréquences présentées comme une exigence réglementaire alors qu'elles relèvent de la pratique industrielle, ou réduites sans change control et sans raisonnement fondé sur les données.
• Points d'utilisation rarement sollicités exclus du plan précisément parce qu'ils le sont rarement ; discussion sur les limites ouverte avant celle sur le plan, après une série de résultats défavorables.

Trois questions à poser en audit : pour un point quelconque, à quelle question il répond et sur quelle preuve il est entré dans le plan ; qui a réalisé le dernier prélèvement et avec quelle technique ; quand le plan a été réexaminé et ce qui a changé. Si les réponses n'arrivent pas rapidement et de façon cohérente, le problème n'est pas le plan : c'est qu'il n'en existe pas.

Si vous travaillez sur des décisions de ce type, The Pragmatic GMP rassemble des analyses techniques et réglementaires sur les systèmes GMP avec la même approche.

Points clés

• Un échantillon peut représenter le système ou l'eau utilisée par le procédé : deux questions différentes, deux techniques, deux plans. Le plan doit indiquer pour chaque point à laquelle des deux il répond.
• Sample point et point of use ne sont pas synonymes : le nombre de points ne se déduit pas du nombre de points d'utilisation, mais d'un raisonnement de risque construit avec ICH Q9(R1) et réexaminé à chaque modification du système.
• L'Annexe 1 exige des alert level issus de la qualification initiale et réexaminés périodiquement (6.13), l'investigation des dépassements en distinguant événement isolé et tendance (6.14), une qualification tenant compte de la variation saisonnière (6.8) et une surveillance continue telle que TOC et conductivité pour les systèmes WFI (6.15).
• Les seules fréquences vérifiées sont celles du Q&A EMA 443117/2017 pour les systèmes WFI non distillatoires : essai quotidien des points critiques en phase initiale, données sur environ un an, et au minimum une évaluation annuelle de l'efficacité de la surveillance. Toute autre cadence doit être justifiée par site.
• Purge, préparation du point, contenant, volume, hold time et transport n'ont pas de valeurs universelles : ils doivent être définis, validés et maintenus stables, car un changement silencieux de technique se lit dans la tendance comme un événement du système.
• Le résultat microbiologique est rétrospectif : le contrôle est préventif et l'échantillonnage en vérifie la tenue. Quand les données dérivent, on révise le système et le plan, pas les limites — le Q&A EMA qualifie le relèvement des limites de pratique pouvant masquer un système en train de défaillir.

Références réglementaires et techniques

• EudraLex Volume 4, Annexe 1 (C(2022) 5938 final), applicable depuis le 25 août 2023 — points 2.5(v), 6.8, 6.13, 6.14, 6.15. health.ec.europa.eu
• EMA/INS/GMP/443117/2017 Q&A Production of WFI by non-distillation methods – reverse osmosis, biofilms and control strategies, en vigueur depuis le 1er août 2017 ; EMA/CHMP/CVMP/QWP/496873/2018 Guideline on the quality of water for pharmaceutical use, en vigueur depuis le 1er février 2021. ema.europa.eu
• WHO TRS 1033, Annexe 3 (2021) Good manufacturing practices: water for pharmaceutical use — §4.3.8 et §12.8. who.int
• USP <1231> Water for Pharmaceutical Purposes (officiel depuis le 1er décembre 2021), chapitre informatif ; USP <643> Total Organic Carbon ; USP <645> Water Conductivity.
• ICH Q9(R1) Quality Risk Management (Step 4, 18 janvier 2023) ; ICH Q10 Pharmaceutical Quality System. ich.org
• PIC/S PI 009-4 Inspection of Utilities, rév. 4, en vigueur depuis le 1er janvier 2021. picscheme.org
• ISPE Good Practice Guide Sampling for Pharmaceutical Water, Steam, and Process Gases ; ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3e éd. (2019) — guides sectoriels, non textes réglementaires.