Qualification des cycles de sanitisation de l'eau pharmaceutique

Un inspecteur demande la justification du cycle de sanitisation de la boucle WFI. La réponse arrive sous forme de recette : une fréquence, une consigne, une durée, le tout hérité du commissioning et jamais réexaminé depuis. Les questions suivantes sont toujours les mêmes. Pourquoi cette consigne. Pourquoi cette durée. Et comment démontre-t-on que l'agent sanitisant atteint réellement le dernier point d'usage de la branche la plus longue, aux conditions requises, pendant le temps requis. À cet instant, la discussion passe de la recette à la méthode, et c'est là que la plupart des dossiers se révèlent fragiles.

Cette fragilité ne vient pas de paramètres erronés : elle vient du fait que les textes applicables ne fournissent pas la recette et n'ont jamais eu l'intention de le faire. Ils exigent que le traitement soit réalisé selon un calendrier prédéterminé et qu'il soit validé. Les chiffres appartiennent au site. Cet article traite de la méthode qui permet de les construire.

Sanitisation, désinfection, stérilisation : le mot choisi fixe la charge de la preuve

L'Annexe 1 d'EudraLex Volume 4, au point 6.12, évoque la stérilisation, la désinfection ou la régénération selon un calendrier prédéterminé et en tant qu'action corrective à la suite de résultats hors limite ou hors spécification. Trois mots distincts, trois niveaux de prétention, plus un quatrième — sanitisation — que les textes réglementaires ne définissent pas mais que l'industrie emploie constamment.

• Stérilisation : procédé validé conduisant à une probabilité de survie microbienne définie. Charge de la preuve : études de pénétration de la chaleur, indicateurs biologiques ou approche équivalente justifiée, calcul de la létalité, critère d'acceptation déclaré. Sur une boucle, cela signifie en pratique le SIP, avec le PDA Technical Report No. 61 (2013) Steam In Place comme référence sectorielle.
• Désinfection : réduction de la population microbienne viable à un niveau défini, avec un agent et une efficacité démontrés.
• Sanitisation : terme d'usage courant pour le traitement périodique de réduction de la bioburden qui ne revendique pas la stérilité. C'est ce que réalise en pratique la quasi-totalité des boucles PW et WFI.
• Régénération : ce n'est pas un synonyme. Cela concerne les unités à lit — adoucisseurs, résines échangeuses d'ions, modules EDI — où la restauration de la fonction constitue aussi un événement de maîtrise microbiologique.

Pourquoi cela compte en inspection : si la SOP annonce « stérilisation de la boucle » et que le dossier contient des profils de température sans critère de létalité, sans qualification de charge et sans indicateurs, l'écart entre ce qui est affirmé et ce qui est démontré constitue un constat, quelle que soit la qualité technique du cycle. La règle est banale et souvent ignorée : URS, SOP, protocole et rapport doivent employer le même mot, celui qui correspond à la preuve réellement produite.

Ce que les textes exigent, et surtout ce qu'ils ne disent pas

Le point 6.12 de l'Annexe 1 exige un traitement selon un calendrier prédéterminé et à titre d'action corrective après des résultats hors limite ou hors spécification. Il ne nomme aucun agent et ne fixe ni température, ni concentration, ni temps de contact, ni fréquence. Le point 6.10 cite, à titre d'exemple de stockage et de distribution minimisant la croissance microbienne pour la WFI, la circulation constante au-dessus de 70 degrés : il s'agit d'un exemple relatif aux conditions d'exploitation continue, non d'une consigne obligatoire ni d'un paramètre de cycle de sanitisation. Les confondre est l'erreur la plus fréquente et la plus facile à démonter. Les points 6.13 et 6.14 complètent le cadre : niveaux d'alerte fondés sur les données de qualification initiale et réexaminés périodiquement, excursions documentées et investiguées en distinguant l'événement isolé de la tendance défavorable. Il en découle que la fréquence de sanitisation n'est pas une donnée de conception figée : c'est une variable que le trending peut obliger à revoir.

Une information qui fait gagner du temps : la Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, en vigueur depuis le 1er février 2021 en remplacement de CPMP/QWP/158/01, ne fixe pas de paramètres de sanitisation ni de limite d'alerte ou d'action. Qui y cherche des paramètres de cycle ne les trouvera pas, et non parce qu'ils figureraient ailleurs dans le même document : cette guideline porte sur la qualité d'eau minimale au regard de l'usage prévu et sur la notification préalable à l'autorité GMP de surveillance avant d'introduire l'osmose inverse pour la WFI.

Le Q&A EMA/INS/GMP/443117/2017, en vigueur depuis le 1er août 2017, est le document européen qui entre dans le sujet : il évoque la sanitisation thermique et/ou chimique, mentionne le traitement thermique au-dessus de 75 degrés et laisse explicitement les temps de contact à la validation du fabricant. Deux précisions comptent : ce chiffre s'inscrit dans le contexte de la production de WFI par des méthodes autres que la distillation et de la maîtrise du biofilm dans les systèmes à température ambiante, et la variable qui rend une température efficace — le temps — relève expressément du site. Le même document met en garde contre les raccourcis : « Increasing of such limits is not good practice and may mask a failing system ».

Le WHO TRS 1025, Annexe 3 (2020), dans son propre périmètre — WFI produite par des moyens autres que la distillation — exige une sanitisation thermique et/ou chimique validée à des intervalles spécifiés, ces intervalles étant fixés par le fabricant et sans aucune limite numérique. Le mot clé est « validée », non « réalisée ». L'USP <1231>, officiel depuis le 1er décembre 2021, est un chapitre informatif, donc non contraignant : il couvre la sanitisation, ozone compris. Excellente base technique, mauvaise citation s'il est présenté comme une exigence. Parmi les guides sectoriels, l'ISPE Good Practice Guide Ozone Sanitization of Pharmaceutical Water Storage & Distribution Systems, 2e édition (octobre 2024), est le texte dédié à l'ozone ; l'ISPE Baseline Guide Vol. 4 et le PDA TR No. 69 (2015) complètent le tableau. Aucun de ces documents n'est réglementaire.

Le cadre de qualification reste l'Annexe 15 (révision 2015, applicable depuis le 1er octobre 2015) : le cycle est une fonction du système, il relève donc de l'OQ et de la PQ, du change control et de la revue périodique. Le concept paper sur la révision EU-PIC/S de l'Annexe 15, du 9 février 2026 avec corrigendum du 16 juillet 2026, demeure un concept paper : l'Annexe 15 n'a pas été révisée. Pour le cadrage des étapes, voir l'article sur les FAT, SAT, IQ, OQ et PQ des systèmes d'eau pharmaceutique.

Définir le cycle avant de le qualifier

Un cycle non qualifiable est presque toujours un cycle mal défini. Quatre décisions documentées précèdent le protocole.

Périmètre. Quelles portions le cycle couvre et lesquelles non : production, cuve en phase liquide et ciel gazeux, boule d'aspersion, filtre d'évent et sa jaquette, aller et retour, échangeurs, vannes de point d'usage et de prélèvement, instruments en ligne et doigts de gant, by-pass, purges. Ce qui reste en dehors doit disposer d'une alternative déclarée : un autre cycle, le remplacement périodique, ou un risque accepté avec justification écrite. Le filtre d'évent de la cuve est l'oubli classique, alors que l'Annexe 1 au point 6.11 exige qu'il ne soit pas une source de contamination.

Phases. Thermique : montée en température, palier, refroidissement, retour aux conditions. Chimique : remplissage, contact avec recirculation, vidange, rinçage, vérification. Ozone : montée en concentration dans la cuve, distribution, contact, destruction, vérification du résiduel. Pour chaque phase : conditions d'entrée, critère de passage, durée attendue et durée maximale, comportement en déviation.

Paramètres. Distinguer formellement les paramètres de conduite (ce qui pilote), de surveillance (ce qui enregistre) et critiques (ceux dont le non-respect invalide le cycle). Beaucoup de déviations ingérables naissent de paramètres enregistrés mais jamais classés : lorsque la valeur sort de la plage, personne ne sait si le cycle vaut.

État du système pendant le cycle. Position des vannes de point d'usage, flexibles ou utilisateurs raccordés, isolement des utilisateurs incompatibles, gestion des instruments qui ne tolèrent pas les conditions de cycle. Un cycle thermique exécuté vannes fermées ne sanitise pas la portion en aval de la vanne : elle doit être déclarée hors périmètre ou intégrée par une manœuvre prescrite et vérifiable.

Le worst case : le choisir sur critères, pas par habitude

Le cœur du dossier est la démonstration que l'agent sanitisant atteint le point le plus défavorable aux conditions requises pendant le temps requis. Ce point ne se choisit ni par habitude ni par facilité d'accès : il se déduit des P&ID, des isométriques et du bilan hydraulique et thermique, et se justifie par écrit. Critères qui tiennent en discussion :

• distance hydraulique par rapport au point d'introduction de l'agent et pertes de charge cumulées ;
• branches à faible débit ou à usage intermittent, où l'écoulement turbulent exigé en régime par l'Annexe 1 au point 6.9 peut ne pas être atteint dans les conditions de cycle ;
• masse thermique et déperditions : vannes de fort diamètre, doigts de gant, tronçons non calorifugés, composants polymères, points d'usage en zone froide ;
• géométries non drainables et bras morts résiduels, pertinents pour le thermique comme pour le chimique parce qu'ils entravent le déplacement du volume (voir bras morts, pentes, matériaux et hygienic design) ;
• surfaces non mouillées en continu : ciel gazeux de la cuve, corps du filtre d'évent, disque de rupture, évents hauts ;
• points déjà signalés par des phénomènes de surface documentés — rouging, biofilm installé — lors des investigations antérieures sur le système.

La règle méthodologique est unique : on cartographie davantage de points que l'on n'en déclare comme worst case. On mesure une population de points, on observe la distribution, on identifie le minimum empirique et l'on vérifie qu'il coïncide avec celui prévu par la justification. S'il ne coïncide pas, on corrige la justification, pas les données.

Thermique, chimique, ozone : ce qui change dans la preuve

Les trois familles diffèrent par la grandeur à cartographier, par l'endroit où se cache le point faible et par ce qui reste dans le système à la fin. Le choix entre systèmes chauds, froids et ozonés est une décision d'architecture antérieure au cycle ; ce qui importe ici, c'est ce qui en découle dans le dossier.

Construire la preuve : instrumentation, réplicats, critères

Instrumentation. Indépendante de celle de conduite, étalonnée avant et vérifiée après l'étude, avec le critère d'acceptation de la dérive défini dans le protocole avant exécution. S'appuyer sur les seules sondes de procédé de la boucle est la faiblesse la plus récurrente : ces sondes disent ce qui se passe là où elles sont installées, c'est-à-dire presque jamais au point le plus défavorable.

Points de mesure. Nombre et position découlent de la justification du worst case, non d'un chiffre rond. Chaque point doit posséder un identifiant traçable à l'isométrique et au P&ID : « point d'usage en zone A » n'est pas un identifiant. La cartographie des points, avec sa justification, fait partie du rapport.

Réplicats. Le nombre de cycles consécutifs conformes doit être fixé et justifié par le site : aucun des textes cités ne prescrit de nombre. Ce qui rend le choix défendable, c'est la démonstration que les réplicats couvrent les conditions réalistes les plus défavorables — configuration des utilisateurs, charge, état du système, saison. L'Annexe 1 est explicite au point 6.8 : la qualification tient compte de la variation saisonnière. Un cycle qualifié uniquement en été sur une boucle froide est qualifié à moitié.

Critères d'acceptation. Exprimés sur le point le plus défavorable et sur la population des points cartographiés, jamais sur la moyenne. Et surtout : le temps de contact se compte à partir du moment où le point le plus défavorable atteint la condition, non depuis le démarrage du cycle ni depuis l'atteinte de la consigne sur la sonde de conduite. Ce seul choix de définition sépare un cycle démontré d'un cycle déclaré, et dans bien des dossiers c'est la seule chose qui manque.

Automatisme. Le cycle est presque toujours exécuté par le système de contrôle : séquence, alarmes, interlocks, gestion de l'interruption et enregistrement électronique du cycle relèvent de l'OQ et entrent dans le champ de l'Annexe 11 en vigueur (version de janvier 2011) et du 21 CFR Part 11. L'enregistrement du cycle est ce sur quoi reposera la libération : s'il n'est pas attribuable, lisible et conservé, la libération n'a pas de base.

Élimination du résidu et retour à l'état qualifié

Le cycle ne s'achève pas avec le contact. Dans les cycles chimiques, le rinçage doit être qualifié avec la même rigueur et avec un worst case propre : le dernier point déplacé lors du rinçage ne coïncide pas nécessairement avec le dernier point atteint par l'agent. Le critère d'acceptation doit être spécifique de l'agent : si celui-ci n'est pas détectable par les paramètres de libération de l'eau — conductivité selon USP <645> ou Ph. Eur. 2.2.38, COT selon USP <643> ou Ph. Eur. 2.2.44 — une méthode dédiée est nécessaire, avec spécificité démontrée et limite de quantification adéquate. La limite doit être justifiée sur base toxicologique ou comme absence démontrée ; « en dessous de la limite de détection de l'appareil dont nous disposions » n'est pas une justification, c'est un constat.

Dans les systèmes à ozone, la destruction du résiduel, typiquement par UV, précède la distribution aux points d'usage. Trois éléments distincts doivent être démontrés : l'absence d'ozone résiduel aux points d'usage les plus défavorables et pas seulement en aval du destructeur, le comportement en cas de défaillance ou de dégradation du destructeur (alarme, interlock, blocage de la libération), et la répétabilité de la séquence après une interruption. En thermique, le résidu est un résidu d'état : la reprise comprend le refroidissement, le rétablissement des profils de conductivité et de COT et, dans les systèmes froids, le retour aux conditions d'exploitation sans séjour prolongé dans la plage qui favorise la croissance.

Le temps de reprise doit être mesuré en qualification et devient une donnée de planification : c'est la part d'indisponibilité que personne ne prend en compte tant qu'un lot ne manque pas d'eau. Un dernier détail que l'inspection trouve toujours : l'excursion de COT et de conductivité dans la fenêtre post-cycle est attendue, mais la question de savoir si et comment ces données entrent dans le trending doit être réglée par une règle écrite. Les exclure de façon informelle est indéfendable.

Vérification microbiologique : ce qu'elle démontre réellement

Un échantillon conforme prélevé juste après le cycle démontre très peu : le cycle ne produit pas la stérilité, et l'instant qui suit immédiatement est celui où n'importe quel système, même malade, affiche son comptage le plus bas. Ce qui est informatif, c'est le profil de reprise microbienne entre un cycle et le suivant : quand la charge réapparaît, à quels points, avec quelles espèces. C'est ce profil qui justifie l'intervalle, en cohérence avec les points 6.13 et 6.14 de l'Annexe 1.

La conception de la vérification en découle : prélèvements aux points les plus défavorables identifiés par l'étude de distribution, à des temps croissants après le cycle, sur un nombre de cycles suffisant pour observer la répétabilité ; méthodes et volumes cohérents avec le plan d'échantillonnage du système ; identification des isolats au niveau utile pour distinguer flore récurrente et contamination épisodique, comme évoqué à propos du contrôle microbiologique et des endotoxines en PW et WFI.

Deux mises en garde. Les niveaux d'action indiqués par l'USP <1231> — chapitre informatif, non contraignant — sont des niveaux au-delà desquels l'eau est considérée impropre à l'usage et qui déclenchent une investigation : ce ne sont pas des critères d'efficacité d'un cycle, et les employer comme critères d'acceptation de la qualification est une erreur de catégorie. Par ailleurs, l'efficacité contre un biofilm installé ne se mesure pas au comptage en phase liquide : le planctonique revient tandis que le sessile demeure. Si le profil de reprise se raccourcit progressivement à cycle constant, soit le cycle perd en efficacité, soit le système se dégrade ; la mauvaise réponse à ce signal est celle que nomme le Q&A EMA/INS/GMP/443117/2017 : relever les limites masque un système défaillant.

Libération du système après sanitisation

La libération est une décision et doit être écrite comme telle. Éléments minimaux : revue de l'enregistrement du cycle (paramètres critiques dans les critères, alarmes, interruptions), vérification de l'état de reprise sur les paramètres physico-chimiques en ligne, vérification du résidu le cas échéant, rôle habilité à libérer, traçabilité du moment où l'eau redevient disponible aux points d'usage.

Reste une question que la SOP doit trancher explicitement : libère-t-on dans l'attente du résultat microbiologique ? Dans la quasi-totalité des systèmes, la réponse opérationnelle est oui, car le temps d'incubation dépasse tout temps de reprise réaliste. La justification s'appuie alors sur les paramètres physico-chimiques et sur la connaissance historique du système, doit être énoncée en ces termes et doit s'accompagner de la règle de rétroaction : que fait-on si le résultat revient hors limite alors que l'eau a déjà été utilisée, quels lots sont évalués, qui décide. Si cette règle n'est pas écrite, elle existe quand même — improvisée, le jour où elle sert. Les critères du cycle interrompu ou échoué méritent le même traitement : compte-t-il au titre du calendrier, est-il répété et comment, qu'advient-il de l'eau présente dans le système, à quel seuil déclenche-t-on une investigation formelle.

Matrice de décision pour la stratégie de sanitisation

Il n'existe pas de meilleure réponse dans l'absolu. La matrice énumère les critères qui se révèlent décisifs ; les poids restent vides car ils sont attribués par celui qui connaît son système et sa contrainte de production.

Exemple d'application : Site Delta

Exemple pédagogique, site fictif. Site Delta exploite une boucle PW froide avec sanitisation thermique périodique, dont le cycle a été défini par le fournisseur lors du commissioning et jamais réexaminé. Sur quelques mois, le trending microbiologique montre un raccourcissement progressif du temps de réapparition de la charge sur deux points d'usage desservis par une branche à consommation intermittente.

Le site ne relève pas les niveaux d'alerte. Il reconstruit la justification du worst case à partir des P&ID et des isométriques et découvre que ces deux points ne figuraient pas parmi ceux cartographiés lors de la qualification initiale, concentrée sur les points les plus accessibles. Il réalise alors une étude de distribution avec des sondes indépendantes : à condition égale mesurée au retour, les deux points atteignent la condition requise plus tard et la maintiennent moins longtemps. L'analyse sépare deux causes : une limite de conception — calorifugeage, masse thermique, géométrie — ou un effet de manœuvre, c'est-à-dire la position des vannes de point d'usage pendant le cycle.

La décision qui en découle n'introduit aucun paramètre nouveau. Le site prescrit une manœuvre sur ces points pendant le palier, ancre le départ du décompte du temps de contact au point réellement le plus défavorable plutôt qu'à la sonde de retour, requalifie le cycle selon le critère corrigé, met à jour SOP, protocole et cartographie des points, et vérifie l'effet sur le profil de reprise sur un nombre défini de cycles avant de consolider l'intervalle. Le tout en change control, dans le cadre de l'Annexe 15. Le point de l'exemple : le paramètre n'a pas changé, c'est le point sur lequel il est vérifié qui a changé — et avec lui la validité de tout le dossier.

Erreurs fréquentes et red flags en inspection

• Traiter l'exemple du point 6.10 de l'Annexe 1 — circulation constante au-dessus de 70 degrés comme condition d'exploitation — en paramètre obligatoire du cycle périodique.
• Compter le temps de contact depuis le démarrage du cycle ou depuis la sonde de conduite plutôt que depuis le point le plus défavorable.
• Annoncer une « stérilisation » et produire une preuve de sanitisation.
• Qualifier le contact et non le rinçage, ou ne pas disposer d'une méthode analytique spécifique de l'agent.
• Hériter des paramètres du fournisseur sans se les approprier par une justification du site.
• Instrumentation d'étude sans critère de dérive défini à l'avance, ou points de mesure non traçables aux isométriques et aux P&ID.
• Réplicats de qualification tous réalisés dans la même fenêtre saisonnière.
• Une SOP avec des paramètres de cycle mais aucun document expliquant leur origine, et un rapport de qualification sans cartographie des points ni justification du worst case.
• Fréquence de fait augmentée parce que « c'est mieux comme ça », sans change control ni investigation.
• Niveaux d'alerte relevés au moment même où le profil de reprise se dégrade.
• Destructeur d'ozone sans alarme ni interlock, et sans vérification du résiduel aux points d'usage les plus défavorables.
• Filtre d'évent de la cuve hors de toute stratégie de sanitisation et de toute justification.
• Cycle exclu de la revue périodique, donc jamais réexaminé à la lumière du trending.

Le cycle de sanitisation est l'un des objets où un système d'eau révèle le plus clairement son état de santé : pour la vue d'ensemble, partez du hub sur les systèmes d'eau pharmaceutique et WFI.

Si ce type d'analyse vous est utile au quotidien, The Pragmatic GMP rassemble des analyses opérationnelles sur la qualification, les systèmes et la conformité GMP.

Points clés

• Aucun texte applicable ne fixe température, concentration, temps de contact ou fréquence : l'Annexe 1 exige un calendrier prédéterminé, le WHO TRS 1025 Annexe 3 des intervalles validés fixés par le fabricant, le Q&A EMA 443117/2017 laisse les temps de contact au site.
• La guideline EMA 496873/2018 ne fixe pas de paramètres de sanitisation : y chercher des paramètres de cycle est du temps perdu.
• La valeur du dossier tient à la démonstration que l'agent atteint le point le plus défavorable, non au mérite de la consigne nominale.
• Le temps de contact doit être compté depuis le point le plus défavorable : c'est la définition qui soutient ou fait tomber toute la qualification.
• Le cycle ne s'arrête pas au contact : rinçage, élimination du résidu, reprise et libération font partie de la même qualification.
• L'intervalle se justifie par le profil de reprise microbienne entre cycles, non par un échantillon conforme prélevé juste après le cycle.

Références réglementaires et techniques

• EudraLex Volume 4, Annexe 1 (C(2022) 5938 final), applicable depuis le 25 août 2023 — points 6.8 à 6.14 : health.ec.europa.eu
• EudraLex Volume 4, Annexe 15 Qualification and Validation, révision 2015, applicable depuis le 1er octobre 2015 ; le concept paper de révision EU-PIC/S du 9 février 2026 (corrigendum du 16 juillet 2026) reste un concept paper. Annexe 11 Computerised Systems, version de janvier 2011 (en vigueur) ; le projet de révision mis en consultation du 7 juillet au 7 octobre 2025 n'a pas été adopté.
• EMA/CHMP/CVMP/QWP/496873/2018 Guideline on the quality of water for pharmaceutical use, en vigueur depuis le 1er février 2021 — ne fixe pas de paramètres de sanitisation : ema.europa.eu. Q&A EMA/INS/GMP/443117/2017 Production of WFI by non-distillation methods, en vigueur depuis le 1er août 2017.
• WHO TRS 1025, Annexe 3 (2020) Production of WFI by means other than distillation ; WHO TRS 1033, Annexe 3 (2021) : who.int. PIC/S PE 009-17 et Aide-Mémoire PI 009-4 Inspection of Utilities, rév. 4 (1er janvier 2021) : picscheme.org
• USP <1231> (informatif, officiel depuis le 1er décembre 2021), <643> COT, <645> Water Conductivity ; Ph. Eur. 2.2.38 et 2.2.44.
• FDA Guide to Inspections of High Purity Water Systems (juillet 1993), matériel de référence pour les inspecteurs, non contraignant : fda.gov. 21 CFR Part 11 : ecfr.gov. ICH Q9(R1) (Step 4, 18 janvier 2023) : ich.org
• Guides sectoriels, non réglementaires : ISPE GPG Ozone Sanitization of Pharmaceutical Water Storage & Distribution Systems, 2e éd., octobre 2024 ; ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3e éd., septembre 2019 ; ISPE GPG Approaches to C&Q of Pharmaceutical Water and Steam Systems ; ISPE GPG Sampling for Pharmaceutical Water, Steam, and Process Gases ; PDA TR No. 61 (2013) Steam In Place ; PDA TR No. 69 (2015) Bioburden and Biofilm Management ; ASME BPE, édition applicable à fixer contractuellement (partie SD, drainabilité).