Quality Risk Management des systèmes d'eau pharmaceutique : dangers, points de contrôle critiques et control strategy

Lors d'une inspection, la question difficile n'est pas « avez-vous une analyse de risque du système d'eau ? ». Celle-là trouve toujours une réponse : un fichier existe, il est signé, il est archivé. La question difficile est la suivante : « montrez-moi une décision que cette analyse de risque a fait changer ».

Bien souvent, la réponse ne vient pas. Le document a été rédigé une seule fois, en phase de qualification, alors que le tracé de la boucle était déjà figé et que le plan d'échantillonnage avait déjà été écrit par quelqu'un d'autre. Les alert levels proviennent des valeurs par défaut du fournisseur. Les points de prélèvement sont ceux que l'on atteint sans échafaudage. L'analyse de risque existe, mais elle n'a jamais rien décidé : elle décrit le système, elle ne le pilote pas.

Cet article prend le problème à l'envers. Non pas « comment remplir une matrice », mais comment construire une évaluation qui produit des contraintes de conception, des critères d'acceptation, des points de prélèvement et des déclencheurs de revue, et qui reste vivante pendant tout le cycle de vie. Il fait partie du cluster Pharmaceutical Water & WFI Systems.

Le vocabulaire : ce que l'on entend par critical control point

Une précision préalable, car elle est source récurrente de malentendus. « Critical control point » n'est pas un terme GMP défini pour les systèmes d'eau pharmaceutique : il n'apparaît comme définition ni dans l'Annexe 1 d'EudraLex Volume 4, ni dans l'Annexe 15. Il vient de la sécurité alimentaire (HACCP) et, dans le domaine pharmaceutique, il est cité surtout comme méthode : ICH Q9(R1) mentionne l'HACCP parmi les outils de quality risk management de son Annexe I, sans l'imposer et sans définir de seuil de « criticité ».

Ici le terme est utilisé au sens de control strategy de procédé : le point où un contrôle, s'il est exercé, prévient ou intercepte la perte d'un attribut de qualité de l'eau, et où la perte de contrôle n'est pas rattrapée en aval. C'est une étiquette de travail, pas une exigence. Si votre système qualité emploie ce terme, il doit le définir en procédure et l'appliquer de façon cohérente, jamais le présenter à l'inspecteur comme une obligation réglementaire. Sinon, utilisez le vocabulaire que la réglementation emploie réellement : contrôles fondés sur le risque pour les utilités (Annexe 1, 6.1-6.5) et contamination control strategy, dont la qualité de l'eau est explicitement un élément (Annexe 1, 2.5(v)). Un document qui emploie des termes réglementaires inexistants invite l'inspecteur à demander où ils sont écrits.

Cadre réglementaire : ce qui vous est réellement demandé

Aucun de ces textes ne vous donne les chiffres. Ils vous disent que vous devez les fixer, les justifier et les revoir.

• ICH Q9(R1), Step 4 le 18 janvier 2023. Le QRM est un processus — risk assessment, risk control, risk communication, risk review — et non un formulaire. La révision R1 a rendu explicites quatre thèmes qui pèsent lourd sur un système d'eau : la subjectivité de l'évaluation et la façon de la contenir ; la formalité comme un continuum, la rigueur devant être proportionnée à l'incertitude, à l'importance et à la complexité du sujet ; le risk-based decision-making ; et le risque pesant sur la disponibilité du produit. Q9(R1) précise aussi que les contraintes de ressources ne justifient pas un niveau de formalité plus faible.
• ICH Q10, Step 4 le 4 juin 2008 : le risque résiduel et son évolution sont une donnée d'entrée de la revue de direction, pas une annexe de projet.
• Annexe 1 (C(2022) 5938 final, en application depuis le 25 août 2023) : la qualité de l'eau est un élément de la CCS (2.5(v)) ; les utilités doivent être maîtrisées selon une approche fondée sur le risque, celles en contact direct avec le produit représentant le risque le plus élevé (6.1-6.5) ; l'installation doit être conçue, installée, mise en service, qualifiée, surveillée et maintenue pour prévenir la contamination microbiologique, en minimisant les particules, la prolifération microbienne et les endotoxines/pyrogènes, avec des tuyauteries en pente pour le drainage et sans bras morts (6.7) ; la qualification doit tenir compte de la variation saisonnière (6.8) ; l'écoulement doit rester turbulent afin de limiter l'adhésion microbienne et le biofilm, le débit étant établi en qualification et surveillé en routine (6.9) ; la sanitisation suit un programme prédéterminé et constitue aussi une action correctrice (6.12) ; les alert levels reposent sur les données de la qualification initiale et sont réexaminés périodiquement (6.13) ; les dépassements doivent être documentés, revus et investigués en distinguant l'événement isolé de la dérive défavorable (6.14) ; les systèmes WFI comportent une surveillance continue, par exemple TOC et conductivité (6.15).
• Q&A EMA/INS/GMP/443117/2017 (en vigueur depuis le 1er août 2017), sur la production de WFI par des méthodes autres que la distillation. Deux affirmations alimentent directement l'analyse de risque : l'osmose inverse fonctionne typiquement à température ambiante et constitue donc un environnement idéal pour la formation de biofilm ; et sur les limites, « Increasing of such limits is not good practice and may mask a failing system ». Le document attend des essais étendus, des essais quotidiens de tous les points critiques en phase initiale et environ un an de données pour capter la variation saisonnière, et demande au minimum une évaluation annuelle de l'efficacité de la surveillance.
• OMS TRS 1033, Annexe 3 (2021) : alert et action levels établis à partir des données historiques rapportées et, pour la bulk purified water, déterminés par la connaissance du système et le trending des données.
• PIC/S Aide-Memoire PI 009-4 « Inspection of Utilities », rév. 4, en vigueur depuis le 1er janvier 2021 : le document avec lequel les inspecteurs PIC/S préparent l'examen des utilités.

La Guideline on the quality of water for pharmaceutical use de l'EMA (EMA/CHMP/CVMP/QWP/496873/2018, en vigueur depuis le 1er février 2021) définit la qualité minimale d'eau selon l'usage et la voie d'administration, mais ne fixe ni limites d'alerte ou d'action, ni fréquences de sanitisation, ni règles de revue périodique. C'est précisément ce vide que l'analyse de risque doit combler par une justification documentée.

Périmètre et limites : la partie que presque personne n'écrit

Une analyse de risque sans périmètre déclaré est contestée dès la première discussion. Quatre éléments doivent être écrits avant la liste des dangers. En amont : contrat de fourniture d'eau potable, point de livraison, bâche de rupture ou stockage d'eau brute — pour les sites qui exportent vers les États-Unis, 21 CFR 211.48 exige une eau potable fournie sous pression positive continue dans un réseau exempt de défauts, seul critère de la Partie 211 sur l'eau et exigence d'intégrité amont souvent laissée hors périmètre. En aval : vanne du point d'usage, flexible de l'utilisateur, point de prélèvement, transfert vers le procédé ; le flexible est presque toujours le point le plus contesté et le moins documenté. Systèmes adjacents : vapeur pure, NEP, eau de laboratoire, condensats — précisez s'ils sont dans le périmètre ou couverts par une évaluation séparée, et citez celle-ci. Processus support : prélèvement, laboratoire, maintenance, étalonnage, automatisation et SCADA, change control ; ce sont des processus, pas des tuyaux, mais c'est là que naissent beaucoup de modes de défaillance réels.

Écrivez aussi ce que vous avez délibérément exclu, et pourquoi. Une limite non écrite est une limite qui sera discutée en inspection.

Les dangers réels d'un système d'eau

Biofilm. C'est le danger structurel, pas un accident. Les cellules adhérentes produisent une matrice qui les protège des sanitisants et de l'écoulement, et libèrent des cellules planctoniques de façon intermittente : des comptages bas et stables pendant des semaines, puis un pic sans cause apparente, puis à nouveau des valeurs basses. Dans un système où le biofilm est installé, ce pic n'est pas du bruit analytique, c'est un relâchement. De là les deux contrôles que l'Annexe 1 nomme explicitement — écoulement turbulent (6.9) et géométrie drainable sans bras morts (6.7) — et l'avertissement du Q&A de l'EMA sur les systèmes RO à température ambiante. Le sujet est approfondi dans l'article sur le contrôle microbiologique et des endotoxines en PW et WFI.

Endotoxines. Danger indépendant du comptage microbien : elles survivent à la mort de la cellule et ne sont pas éliminées par la sanitisation thermique, qui peut même en libérer en lysant les cellules. Un système peut donc afficher des comptages maîtrisés et une charge endotoxinique croissante. Traitez-les comme un attribut distinct, avec leurs propres modes de défaillance et leur propre détection : l'Annexe 1 au point 6.7 demande de minimiser endotoxines et pyrogènes, pas seulement la prolifération microbienne.

Dangers chimiques. Passage ionique lié à l'épuisement ou à la dégradation des membranes et des résines, entraînement de matière organique mesurée en TOC, résidus de sanitisants et de régénérants, corrosion et rouging, relargage par les polymères et les joints, désinfectants présents dans l'eau d'alimentation. Beaucoup n'ont pas d'alarme dédiée : ils apparaissent dans une dérive de conductivité ou de TOC, ce qui explique pourquoi l'Annexe 1 au point 6.15 exige une surveillance continue de ces deux attributs sur les systèmes WFI.

Stagnation. Elle amplifie tous les dangers microbiologiques et ne concerne pas seulement les bras morts géométriques : elle concerne les points d'usage rarement utilisés, les piquages de réserve laissés pour des extensions futures, les instruments sur dérivation, les échantillonneurs et les vannes de vidange. Un piquage parfaitement conforme aux critères géométriques mais ouvert une fois par mois se comporte comme un bras mort.

Variabilité de l'eau d'alimentation. Elle varie avec la saison, la ressource captée par le distributeur, les pluies, les travaux sur le réseau, le régime de désinfection de l'exploitant : charge microbienne, matière organique, température, dureté, chlore résiduel ou chloramines évoluent. L'Annexe 1 au point 6.8 demande que la qualification tienne compte de la variation saisonnière, et le Q&A de l'EMA attend environ un an de données précisément pour la capter. Un système qualifié sur une seule saison porte une lacune de connaissance que l'analyse de risque doit déclarer, pas dissimuler.

Modes de défaillance typiques en production, stockage et distribution

Une liste de dangers ne suffit pas : l'analyse de risque travaille sur les façons dont le système défaille. Le tableau réunit des modes de défaillance récurrents. Il n'est pas exhaustif et ne remplace pas l'analyse de votre installation : c'est un point de départ pour la séance de travail.

Du danger au point de contrôle : quatre critères

La question « est-ce un point critique ? » produit des débats sans fin en l'absence de critères. Quatre critères, appliqués dans l'ordre, en tranchent la plus grande partie.

1. Impact direct. La perte de maîtrise altère un attribut de qualité de l'eau livrée au procédé. Si l'effet ne porte que sur le rendement, les consommations ou la durée de vie des consommables, c'est un point de contrôle procédé, pas qualité.
2. Contrôlabilité. Un contrôle peut effectivement y être exercé : un paramètre réglable, une barrière, un cycle, une procédure. S'il n'en existe pas, ce n'est pas un point de contrôle mais une contrainte de conception, à résoudre au design ou à accepter comme risque résiduel déclaré.
3. Vérifiabilité en temps utile. Il existe une vérification qui fournit une preuve à temps pour empêcher l'usage de l'eau. Un contrôle vérifié seulement par une analyse dont le résultat arrive après la consommation est faible en détection, quelle que soit la performance de la méthode.
4. Absence de rattrapage en aval. La perte de maîtrise n'est corrigée par aucune étape ultérieure. C'est le critère qui sépare un point critique d'un simple point de surveillance, et celui que les équipes oublient le plus souvent.

Appliqués ensemble, ils réduisent la liste des points critiques de plusieurs dizaines à quelques points décisifs. C'est l'objectif : une control strategy où tout est critique ne discrimine rien.

La FMEA appliquée à un système d'eau

La FMEA est l'un des outils listés à l'Annexe I d'ICH Q9(R1), avec la FMECA, l'arbre de défaillances, l'HACCP, l'HAZOP, la preliminary hazard analysis, le risk ranking and filtering et les méthodes statistiques d'appui. Aucun n'est obligatoire : la guideline demande que l'outil soit adapté au problème et que la formalité soit proportionnée à l'incertitude, à l'importance et à la complexité. Sur un système d'eau, la FMEA fonctionne bien, car le système est fait de composants aux modes de défaillance identifiables ; elle fonctionne mal lorsqu'on l'utilise comme un exercice arithmétique.

• Choisissez la granularité avant de commencer. Menez la FMEA au niveau où vous pouvez prendre une décision : analyser chaque vanne produit des centaines de lignes et aucune décision, analyser « la boucle » comme un élément unique ne produit aucun contrôle spécifique. Le sous-système fonctionnel avec ses points d'interface est en général le bon niveau.
• Documentez les contrôles existants avant de coter. Évaluer le système « nu » donne un profil de risque qui n'existe pas ; ne pas lister les contrôles empêche de démontrer pourquoi le risque est faible.
• Soyez honnêtes sur la détectabilité. Elle ne mesure pas la qualité de la méthode analytique, mais la capacité à intercepter la défaillance à temps pour empêcher l'usage : une excellente méthode dont le résultat arrive après la consommation a une détectabilité faible. C'est là que la subjectivité fait le plus de dégâts, et c'est précisément le thème qu'ICH Q9(R1) a rendu explicite.
• Ne transformez pas le RPN en seuil d'autorisation. Le produit de trois échelles ordinales n'est ni additif ni linéaire, et des combinaisons très différentes donnent le même nombre. Servez-vous-en pour hiérarchiser, puis appliquez une règle explicite : tout mode de défaillance de sévérité maximale est évalué individuellement, quel que soit le score.
• Équipe pluridisciplinaire et animateur. Une FMEA rédigée par une seule fonction ne reflète que les dangers que cette fonction connaît ; un système d'eau touche l'ingénierie, la production, la microbiologie, l'AQ, la maintenance et l'automatisation.
• Distinguez FMEA de conception et FMEA opérationnelle. La première se conduit quand les décisions sont encore ouvertes et génère des exigences ; la seconde se conduit sur le système existant et génère des contrôles, de la surveillance et des actions.

Le modèle ci-dessous peut être repris tel quel. Les colonnes de cotation sont volontairement vides : c'est vous qui attribuez les valeurs, avec l'échelle que votre site a définie et justifiée.

Il faut ensuite une échelle. Le tableau ci-dessous est un exemple de structure, pas un standard ni une référence réglementaire. Aucune échelle de sévérité, d'occurrence et de détectabilité n'est prescrite par ICH Q9(R1) ni par EudraLex : chaque site doit définir la sienne, la justifier, l'approuver en procédure et l'appliquer de façon cohérente d'une analyse à l'autre, faute de quoi les cotations ne sont pas comparables. La colonne de cotation est laissée vide à dessein.

Définissez le sens opérationnel de chaque niveau avec des exemples tirés de votre installation, sinon deux évaluateurs attribueront des notes différentes à la même défaillance. Et fixez en procédure la règle de décision — quelle combinaison exige une action, laquelle seulement une surveillance, qui peut accepter — avant de voir les résultats : définir le seuil après avoir vu les cotations est la façon la plus courante de faire dire à la FMEA ce qui était déjà décidé.

Exemple d'application : Site Delta

Site Delta est un site fictif, utilisé ici comme exemple pédagogique. Aucun élément rapporté ne constitue un critère d'acceptation ou une valeur de référence.

Site Delta produit des formes stériles injectables : une boucle PW qui alimente aussi un générateur WFI membranaire, et une boucle WFI. L'analyse de risque existait depuis des années et n'avait été mise à jour que par des révisions formelles. Sa réouverture, en équipe pluridisciplinaire avec un animateur extérieur au secteur, a produit quatre résultats, dont aucun n'est une anomalie exotique.

Un point d'usage oublié. Un local utilisé deux fois par mois était desservi par une dérivation à vanne manuelle, et aucun mode de défaillance ne le couvrait, l'analyse précédente s'étant arrêtée au collecteur. Le critère d'absence de rattrapage en aval en faisait un point critique. Résultat : purge avant usage, intégration au plan d'échantillonnage tournant, évaluation technique de la suppression de la dérivation.

Un test d'intégrité incomplet. Le filtre d'évent de la cuve WFI était testé après usage, mais la procédure ne prévoyait pas le test avant installation, que l'Annexe 1 au point 6.11 exige au même titre que la prévention de la condensation. La FMEA avait attribué au filtre une détectabilité élevée sans vérifier ce que la procédure demandait réellement. Résultat : procédure révisée, réchauffage du filtre vérifié, et une leçon de méthode — la détectabilité se vérifie sur le document en vigueur, pas sur la conviction de l'équipe.

Une qualification sur une seule saison. La PQ avait été conduite entièrement en hiver et la lacune n'était pas déclarée. Résultat : lacune enregistrée comme risque résiduel avec échéance, surveillance étendue à la couverture du cycle annuel, alert levels maintenus provisoires jusqu'à la clôture du programme.

Un débit enregistré mais non alarmé. Une baisse lente du débit de retour de la boucle WFI n'aurait été visible qu'à la revue mensuelle, alors que le point 6.9 exige un débit établi en qualification et surveillé en routine, précisément parce que l'écoulement turbulent est un contrôle contre l'adhésion microbienne. Résultat : alarme configurée sous change control, vérification de l'audit trail sur les modifications de seuil, détectabilité recalculée.

Aucun de ces quatre résultats n'exigeait un investissement significatif, et tous les quatre étaient invisibles dans le document précédent : ce document avait été construit pour exister, pas pour décider.

De l'évaluation à la control strategy

La control strategy n'est pas un document : c'est l'ensemble des contrôles qui maintiennent le système dans son état validé, répartis sur plusieurs niveaux. L'analyse de risque établit quel niveau tient chaque danger et signale ceux qui reposent sur un niveau trop faible.

• Élimination. Le contrôle le plus robuste consiste à ne pas avoir le danger : supprimer une dérivation, retirer un piquage de réserve, mettre un instrument en ligne. Cela coûte en conception et ne coûte plus rien ensuite.
• Contrôles de conception. Géométrie drainable, absence de bras morts, pente de drainage, matériaux et finition, dimensionnement pour l'écoulement turbulent, régime thermique ou ozonation (Annexe 1, 6.7 et 6.9). Ce sont les seuls contrôles qui ne dépendent pas du comportement humain quotidien.
• Contrôles opérationnels. Recirculation continue, régime de température, programme de sanitisation prédéterminé et sanitisation comme action correctrice (6.12), gestion des points d'usage et des flexibles.
• Contrôles de surveillance. Surveillance chimique et microbiologique régulière et continue (6.13), surveillance continue du TOC et de la conductivité sur les systèmes WFI (6.15), plan d'échantillonnage bâti sur les points critiques identifiés.
• Contrôles procéduraux et système qualité. Déviations, trending, investigations, change control, revue périodique, formation. Dernier niveau et le plus fragile, car il dépend entièrement de l'exécution.

La règle pratique : un danger maîtrisé uniquement au niveau de la détection n'est pas un danger maîtrisé. Si la seule défense contre la contamination d'un point d'usage est le prélèvement périodique, vous n'avez pas un contrôle : vous avez un espoir assorti d'une traçabilité. L'analyse de risque doit rendre ces cas visibles et imposer une décision : renforcer le niveau supérieur, ou accepter explicitement le risque résiduel. Pour les produits stériles, tout cela alimente la contamination control strategy, dont la qualité de l'eau est un élément (Annexe 1, 2.5(v)) : une analyse qui n'alimente pas la CCS et n'en reçoit pas les contraintes est un document parallèle, et cela se voit en inspection.

Le risque résiduel : qui l'accepte, et sur quelle preuve

ICH Q9(R1) traite l'acceptation du risque comme une décision éclairée, non comme une formalité de clôture. Trois catégories honnêtes suffisent : risque réduit à un niveau acceptable et surveillé, avec des contrôles en service et une tendance sous observation ; risque accepté avec justification et échéance, lorsque le contrôle idéal n'est pas applicable maintenant, avec une mesure compensatoire et une date de revue ; risque inacceptable, qui n'est pas un risque résiduel mais une action ouverte, avec un responsable et une date.

Deux règles évitent la plupart des problèmes. L'acceptation relève d'un rôle, pas d'un projet : un risque accepté « par l'équipe projet » n'a plus de propriétaire une fois le projet clôturé. Et un risque résiduel qui dépend d'un contrôle non encore installé n'est pas un risque résiduel, c'est une action ouverte déguisée en conclusion.

Comment l'analyse de risque relie URS, conception, qualification, surveillance et revue périodique

C'est là que se joue la différence entre une analyse de risque vivante et une annexe. L'évaluation du risque n'est pas une phase du projet : c'est le fil qui traverse toutes les phases, et chaque phase doit à la fois en recevoir quelque chose et lui en rendre. Si le flux est à sens unique, le document meurt à la première livraison.

Deux liens méritent un détail. Le premier avec l'URS du système d'eau : toute exigence née d'un danger devrait être traçable jusqu'à ce danger, afin qu'en design review chacun sache quelle exigence est négociable et laquelle ne l'est pas. Une exigence sans origine est coupée à la première discussion budgétaire, parce que personne ne sait ce qu'elle protège. L'approche science- and risk-based d'ASTM E2500-25 repose exactement sur cette traçabilité, et le choix en amont de la qualité d'eau nécessaire à l'usage prévu est la première décision fondée sur le risque du projet : surdimensionner la qualité n'est pas de la prudence, c'est déplacer le risque vers l'entretien d'un système plus complexe.

Le second avec la surveillance. Le plan d'échantillonnage est l'endroit où l'évaluation devient vérifiable chaque semaine : si les points prélevés ne sont pas ceux identifiés comme critiques, vous avez deux documents qui décrivent deux systèmes différents. L'Annexe 1 au point 6.13 boucle la logique du côté des critères : les alert levels naissent des données de la qualification initiale et sont réexaminés périodiquement sur la base de la requalification, de la surveillance de routine et des investigations. Ce n'est pas un paramètre de configuration : c'est une sortie du cycle de vie.

La revue périodique : quand, et pas seulement à quelle fréquence

Une fréquence fixe est la pire façon de gérer la revue, car elle garantit que le document sera mis à jour au mauvais moment. ICH Q9(R1) pose le risk review comme un processus continu, avec une réévaluation déclenchée par des événements planifiés (revue produit, inspections, audits, change control) et non planifiés (investigations, rappels), à une fréquence proportionnée au niveau de risque. Transposés à un système d'eau, voici les déclencheurs à inscrire en procédure.

• Modifications sous change control portant sur la géométrie, les matériaux, le régime thermique, les cycles de sanitisation, l'instrumentation ou les logiques d'alarme.
• Ajout ou suppression d'un point d'usage, et toute évolution significative du profil de consommation.
• Un nouveau produit ou procédé exigeant une qualité d'eau différente ou un usage différent d'un point existant.
• Déviations, OOS et OOT, avec la distinction entre événement isolé et dérive défavorable exigée au point 6.14.
• Changements de l'eau d'alimentation : nouvelle ressource du distributeur, modification du régime de désinfection, événement saisonnier anormal, travaux sur le réseau.
• Résultats de la requalification périodique et de la revue des alert levels.
• Retrofit, remplacement de composants majeurs, obsolescence du système de contrôle-commande.
• Évaluation de l'efficacité de la surveillance : le Q&A de l'EMA sur les méthodes non distillatoires en demande au minimum une par an.
• Publication ou entrée en vigueur d'un texte réglementaire applicable.

Un piège mérite d'être nommé. Lorsqu'un système produit des dépassements répétés, la réaction la plus rapide consiste à relever les limites : les dépassements disparaissent et la tendance reparaît « maîtrisée ». Le Q&A EMA/INS/GMP/443117/2017 l'aborde sans détour : « Increasing of such limits is not good practice and may mask a failing system ». Relever un alert level n'est légitime que comme conclusion d'une analyse démontrant que le niveau précédent était inadapté au regard des données d'un système en état de maîtrise, jamais comme remède à un système qui décline. La même logique vaut pour les niveaux cités au chapitre informatif USP <1231>, qui restent des niveaux d'action non contraignants et ne remplacent pas des spécifications internes bâties sur vos propres données. La revue du risque est aussi le déclencheur naturel des décisions de revue périodique et de retrofit : le moment où l'on décide si un risque résiduel accepté il y a trois ans est encore acceptable, ou s'il est devenu la façon de ne pas traiter un problème structurel.

Erreurs fréquentes et signaux d'alerte en inspection

• Rédiger l'analyse de risque après le gel de la conception : elle ne peut plus que justifier des choix déjà faits.
• Évaluer le système « nu », sans lister les contrôles existants.
• Attribuer une détectabilité élevée à un contrôle dont le résultat arrive après l'usage de l'eau.
• Utiliser un seuil de RPN comme autorisation automatique, ou fixer le seuil d'acceptabilité après avoir vu les cotations.
• Ne pas définir l'échelle en procédure, et obtenir des cotations non comparables d'une analyse à l'autre.
• Arrêter l'analyse au collecteur, en laissant de côté dérivations, flexibles et points d'usage à faible fréquence.
• Traiter les endotoxines comme une conséquence automatique du contrôle microbiologique.
• Qualifier sur une seule saison sans déclarer la lacune.
• Présenter « critical control point » comme un terme réglementaire sans l'avoir défini en procédure.

En inspection, ce sont ces signaux qui ouvrent la discussion.

• Une seule date de signature et aucune révision après des années d'exploitation avec déviations documentées.
• Des points du plan de surveillance qui ne coïncident pas avec les points critiques de l'analyse.
• Des alert levels non rattachables aux données de qualification ni à une analyse des données historiques, ou relevés avec la baisse des dépassements pour seule justification enregistrée.
• Des dépassements répétés clos individuellement comme événements isolés, sans évaluation de tendance.
• Des modifications visibles sur le terrain, absentes du P&ID à jour et de l'analyse de risque.
• Des risques résiduels « acceptés » sans responsable, sans justification technique et sans date de revue.
• Une échelle de sévérité, d'occurrence et de détectabilité définie dans aucune procédure approuvée.
• Un débit de boucle enregistré mais sans critère ni alarme, alors qu'il est cité comme contrôle contre le biofilm.
• Une analyse de risque du système d'eau non référencée par la contamination control strategy du site.

Si ces sujets vous parlent, The Pragmatic GMP rassemble des analyses opérationnelles sur la qualification, les utilités et les systèmes d'eau. Aucune promotion, seulement de la matière utilisable au travail.

À retenir

• Une analyse de risque qui n'a fait changer aucune décision n'est pas une analyse de risque : c'est une description du système.
• « Critical control point » n'est pas un terme GMP défini pour les systèmes d'eau : utilisez-le comme étiquette de control strategy et définissez-le en procédure.
• La réglementation vous demande la méthode, pas les chiffres : ICH Q9(R1) pour le processus, Annexe 1 pour les contrôles fondés sur le risque des utilités, OMS TRS 1033 Annexe 3 pour dériver alert et action levels des données historiques.
• Biofilm, endotoxines, stagnation et variabilité saisonnière de l'eau d'alimentation sont les dangers structurels : traitez-les comme des entrées distinctes, avec leurs modes de défaillance et leur détection.
• Quatre critères identifient un point critique : impact direct, contrôlabilité, vérifiabilité en temps utile, absence de rattrapage en aval. Le quatrième est celui que l'on oublie.
• Aucune échelle de sévérité, d'occurrence et de détectabilité n'est prescrite : le site la définit, la justifie et l'approuve avant usage ; le RPN hiérarchise, il n'autorise pas.
• Un danger maîtrisé seulement par la détection n'est pas maîtrisé : la control strategy se construit à partir de l'élimination.
• Le risque résiduel s'accepte par un rôle, avec justification et échéance. S'il dépend d'un contrôle non installé, c'est une action ouverte.
• La revue doit être déclenchée par les événements, pas seulement par le calendrier, et relever les limites pour faire disparaître les dépassements masque un système qui décline.

Références réglementaires et techniques

• ICH Q9(R1) Quality Risk Management, Step 4 le 18 janvier 2023 ; ICH Q10 Pharmaceutical Quality System, Step 4 le 4 juin 2008 — ich.org
• EudraLex Volume 4, Annexe 1, C(2022) 5938 final, en application depuis le 25 août 2023 (points 2.5(v), 6.1-6.5, 6.7, 6.8, 6.9, 6.11, 6.12, 6.13, 6.14, 6.15) ; Annexe 15, en application depuis le 1er octobre 2015 — un concept paper de révision UE-PIC/S a été publié le 9 février 2026, la consultation s'étant close le 9 avril 2026, mais l'Annexe 15 n'a pas été révisée — EudraLex Volume 4
• EMA Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, en vigueur depuis le 1er février 2021 — ema.europa.eu ; Q&A EMA/INS/GMP/443117/2017, en vigueur depuis le 1er août 2017
• OMS TRS 1033, Annexe 3 (2021) — who.int ; PIC/S Aide-Memoire PI 009-4 Inspection of Utilities, rév. 4, en vigueur depuis le 1er janvier 2021 — picscheme.org
• USP <1231> Water for Pharmaceutical Purposes, chapitre informatif (les niveaux d'action cités ne sont pas contraignants) ; USP <643> et <645>
• 21 CFR 211.48 Plumbing — eCFR Part 211 ; FDA Guide to Inspections of High Purity Water Systems (juillet 1993), non contraignant — fda.gov
• ASTM E2500-25 (approuvée le 1er avril 2025) ; ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3e édition, septembre 2019 ; PDA Technical Report No. 69 (2015) — guides sectoriels, non réglementaires