Revue périodique et retrofit des systèmes d'eau pharmaceutique

Un inspecteur demande la tendance à long terme du dénombrement microbien de la loop WFI. Les données existent, aucun point n'a jamais dépassé l'action level, aucun OOS sur la période. Puis viennent deux questions auxquelles ce graphique ne répond pas : combien de sanitisations ont été réalisées sur cet intervalle, et combien en prévoyait le schéma préétabli. Les premières sont bien plus nombreuses que les secondes, parce que l'équipe a ajouté des cycles non planifiés chaque fois qu'un résultat s'approchait de l'alert level. Le système est conforme aux spécifications. Il l'est parce que quelqu'un l'y maintient, non parce qu'il est maîtrisé.

C'est précisément ce que la revue périodique existe pour détecter, et qu'aucun tableau de bord ne montre à lui seul. Une installation passe rarement de la conformité à la défaillance en un jour : elle perd de la marge pendant des mois, compense par de la maintenance réactive et des sanitisations supplémentaires, et continue de produire des résultats acceptables jusqu'à ce qu'une variation saisonnière, un arrêt prolongé ou une hausse de la demande consomme la marge restante. Cet article traite deux décisions liées : comment construire une revue qui démontre l'état de maîtrise au lieu de récapituler la conformité, et comment en naît, avec un raisonnement défendable, la décision de réaliser un retrofit.

La conformité n'est pas l'état de maîtrise

La conformité est un jugement porté sur un résultat isolé : la valeur mesurée reste dans la limite. L'état de maîtrise est un jugement porté sur le comportement dans le temps : la distribution des résultats est stable et cohérente avec celle observée en qualification, et les actions nécessaires pour la maintenir sont celles qui étaient planifiées, non des actions improvisées. Un système peut être pleinement conforme et simultanément hors maîtrise : lorsque la médiane du dénombrement microbien monte tout en restant sous l'action level, lorsque la reprise après sanitisation raccourcit, lorsque l'intervalle réel entre deux cycles devient plus court que le schéma approuvé, lorsque les interventions correctives non planifiées augmentent alors que le préventif reste formellement exécuté. Aucun de ces signaux ne génère de déviation ; ensemble, ils décrivent un système qui consomme sa propre marge.

L'Annexe 1 d'EudraLex Volume 4 exige une surveillance chimique et microbiologique régulière et continue, avec des alert levels fondés sur les données de la qualification initiale et réexaminés périodiquement sur la base de la requalification, de la surveillance de routine et des investigations (6.13) ; elle exige aussi que les excursions d'alerte soient documentées, revues et investiguées en distinguant l'événement isolé de la tendance défavorable ou de la détérioration du système (6.14). Cette distinction est la question centrale de la revue périodique, et elle ne se tranche pas sur un résultat unique : il faut une fenêtre temporelle, une population de données et une méthode de lecture déclarée à l'avance.

Où se situe réellement l'obligation de revue périodique

Il faut le dire explicitement, car c'est une confusion fréquente dans les gap assessments : la Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, en vigueur depuis le 1er février 2021, ne contient aucune clause de revue périodique ni de revalidation périodique. Elle définit la qualité d'eau minimale selon l'usage prévu, reconnaît la production de WFI par des procédés de purification équivalents à la distillation et exige une notification préalable à l'autorité GMP de surveillance avant d'introduire la reverse osmosis ; elle ne fixe ni alert ni action levels, ne prescrit aucune fréquence de sanitisation et n'impose aucune cadence de réexamen. La citer comme base réglementaire de sa propre procédure de revue périodique est une erreur documentaire qu'un inspecteur préparé repère immédiatement. L'obligation existe bien, mais elle est répartie sur plusieurs textes aux périmètres différents.

• Annexe 1 — le réexamen périodique des alert levels (6.13) et la lecture des excursions sous l'angle de la tendance défavorable (6.14) constituent en pratique un mandat de revue continue. L'Annexe 1 exige en outre une qualification tenant compte de la variation saisonnière (6.8), un écoulement turbulent dont le débit est établi en qualification et surveillé en routine (6.9), une sanitisation selon un schéma préétabli et en action remédiatrice après des résultats hors limites (6.12), ainsi qu'une surveillance continue de type TOC et conductivité sur les systèmes WFI (6.15) : autant de paramètres que la revue doit revérifier, non hériter de la qualification.
• Annexe 15 (révision 2015, applicable depuis le 1er octobre 2015) — le cadre de qualification, de change control et de requalification : c'est là que réside l'obligation d'évaluer si une modification impose une requalification et dans quelle mesure. Un concept paper sur la révision EU/PIC-S de l'Annexe 15 a été publié le 9 février 2026, avec un corrigendum le 16 juillet 2026 et une consultation close le 9 avril 2026 : l'Annexe 15 n'a pas été modifiée, et le concept paper doit être cité comme tel, jamais comme une exigence.
• EMA/INS/GMP/443117/2017, Q&A sur la production de WFI par des méthodes autres que la distillation, en vigueur depuis le 1er août 2017 — dans son périmètre propre, il demande un réexamen de routine des alert levels et, au minimum, une évaluation annuelle de l'efficacité de la surveillance. Il contient aussi la phrase à garder en tête dès qu'une tendance se dégrade : relever ces limites n'est pas une bonne pratique et peut masquer un système qui se dégrade.
• Annexe 11 — la version en vigueur est celle de janvier 2011 (applicable depuis le 30 juin 2011) et prévoit l'évaluation périodique des systèmes informatisés afin de confirmer qu'ils demeurent dans un état validé et conformes aux BPF : l'automate, le SCADA et l'historique des données du système d'eau entrent dans ce périmètre. Le projet de révision mis en consultation du 7 juillet au 7 octobre 2025 n'est pas adopté, n'a aucune date d'application publiée et ne doit pas servir de base à des exigences.
• ICH Q10 pour l'amélioration continue et la revue de direction : c'est ce qui justifie de faire remonter la conclusion de la revue jusqu'au niveau de la direction, avec des ressources allouées. ICH Q9(R1) pour l'appréciation du risque qui fixe le périmètre, la profondeur et la fréquence.
• OMS TRS 1033, Annexe 3 — traite de la revue du système et rappelle que les alert et action levels découlent des données historiques et de la connaissance du système (§4.3.8, §12.8). PIC/S PI 009-4, aide-mémoire Inspection of Utilities en vigueur depuis le 1er janvier 2021, décrit la façon dont les inspecteurs regardent les utilités.

Le panorama complet de ces interdépendances est rassemblé dans le hub Pharmaceutical Water & WFI Systems.

Fréquence et périmètre : la seule cadence citable

Aucun texte en vigueur ne fixe de périodicité générale pour la revue périodique des systèmes d'eau. La seule cadence citable est celle du Q&A EMA/INS/GMP/443117/2017 — au minimum une évaluation annuelle de l'efficacité de la surveillance — avec le périmètre propre de ce document, c'est-à-dire la production de WFI par des méthodes autres que la distillation. Écrire dans une procédure que « les BPF exigent une revue périodique annuelle du système d'eau » est une extension non supportée de cette phrase.

La fréquence doit donc être définie sur une base de risque et justifiée par écrit, avec des éléments propres au site : criticité de l'eau au regard des produits desservis ; technologie de production et température d'exploitation, car un système froid à membranes et une loop chaude n'ont pas le même profil de risque microbiologique ; maturité du jeu de données, avec une cadence plus resserrée dans les premiers cycles après la qualification ou après une intervention majeure ; historique des déviations et CAPA ouvertes ; âge de l'installation et obsolescence des composants critiques. La règle défendable est que la fréquence soit déclarée, motivée et réexaminée lorsque les conditions changent. Un principe symétrique vaut pour le périmètre : la revue couvre tout le système, même lorsque le signal qui l'a déclenchée ne concerne qu'une seule branche.

Le dossier d'entrée : ce qui alimente la revue

La valeur ne réside pas dans les jeux de données pris isolément, que le site possède déjà, mais dans le fait de les placer sur le même axe temporel et d'y chercher les corrélations qu'aucune fonction ne voit seule.

Tendances chimiques et microbiologiques

La conductivité et le TOC donnent le signal le plus rapide sur la dérive chimique ; le dénombrement microbien et les endotoxines donnent le signal le plus lent et le plus significatif sur la santé du système. Ils se lisent comme des distributions : position centrale, dispersion, évolution dans le temps, comportement par point de prélèvement, saisonnalité. Une augmentation de la dispersion à médiane inchangée est souvent le premier signal utile, et elle passe inaperçue dans tout rapport qui n'affiche que le maximum du mois. L'instrumentation en ligne est traitée dans l'article sur la surveillance du COT et de la conductivité.

Déviations, investigations, sanitisations

Pour les déviations, ce qui compte est la récurrence du même mode de défaillance, le délai de clôture, l'efficacité vérifiée des CAPA et la part d'investigations clôturées en « cause non déterminée » : un système qui accumule les investigations sans root cause n'est pas chanceux, c'est un système dont on ne connaît pas le comportement. Pour les sanitisations, trois grandeurs doivent être comparées — le schéma préétabli, les cycles réellement exécutés et ceux exécutés en action remédiatrice après un résultat hors limites — car le rapport entre les deux dernières est l'un des indicateurs les plus honnêtes de l'état du système. Le profil de reprise compte aussi : un retour au niveau de base de plus en plus rapide signale un cycle qui agit sur la population planctonique mais pas sur la fraction adhérente. La qualification et la requalification des cycles sont développées dans l'article sur les cycles de sanitisation.

Maintenance, pièces de rechange, obsolescence

Le rapport entre le préventif réalisé dans les délais et le correctif non planifié en dit plus que le simple comptage des pannes. L'obsolescence exige des informations que presque personne ne collecte de façon systématique : composants arrêtés ou dont la fin de support est annoncée, délais d'approvisionnement des pièces critiques, pièces tenues en stock contre pièces disponibles seulement sur commande, disponibilité des compétences de service sur le modèle installé. Un composant critique sans pièce de rechange est un risque de continuité qui devient un risque qualité dès que la pression pour redémarrer l'installation l'emporte sur la rigueur de la remise en état.

Étalonnage, instrumentation, logiciel et alarmes

Sur l'instrumentation, ce qui importe est le résultat hors tolérance et son évaluation rétrospective sur les données déjà libérées, la dérive systématique d'un même instrument entre deux étalonnages, les remplacements répétés de sondes au même point et la cohérence entre mesure en ligne et vérification hors ligne : une sonde qui dérive toujours dans le même sens n'est pas un problème d'étalonnage, c'est une information sur l'installation ou sur le procédé. L'évaluation périodique prévue par l'Annexe 11 en vigueur doit ensuite être réellement menée, non déclarée : état de support du système d'exploitation et de l'applicatif, correctifs, gestion des accès et des profils, revue de l'audit trail et sa praticabilité réelle, sauvegarde et restauration vérifiées, paramètres critiques comparés à la baseline approuvée. Pour les alarmes, la statistique compte — combien par mois, combien de récurrentes, combien acquittées sans action, combien désactivées et sous quelle autorisation : une installation qui génère plus d'alarmes que l'opérateur ne peut en évaluer n'est pas surveillée, elle est bruyante. Le sujet est traité dans l'article sur l'automatisation, le SCADA et l'intégrité des données.

Capacité face à la demande réelle

C'est la section la plus souvent absente et celle qui déclenche le plus fréquemment un retrofit. Le système a été dimensionné sur une demande supposée des années plus tôt ; depuis, le portefeuille, les formats, les cycles de lavage et les horaires ont changé. Les questions sont concrètes : consommation de pointe réelle face à la capacité de production et au volume de stockage ; simultanéité effective des soutirages ; temps de reconstitution de la cuve ; comportement de la loop au débit maximal, où le débit de retour doit malgré tout garantir le régime turbulent établi en qualification ; marge restante avant que le système ne puisse plus être sanitisé dans la fenêtre disponible. Ce dernier point est décisif : un système peut perdre l'état de maîtrise simplement parce que la production ne lui laisse plus le temps d'être sanitisé.

Reconnaître la perte de marge

Le cas réel le plus fréquent n'est pas l'installation hors spécification : c'est l'installation encore conforme qui n'a plus de marge. La reconnaître suppose une méthode de lecture déclarée avant de regarder les données, faute de quoi l'évaluation devient une discussion d'opinions autour d'un graphique.

Documenter ces signaux impose deux précautions. La première : la comparaison entre périodes doit utiliser la même méthode analytique, le même plan d'échantillonnage et la même règle de traitement des résultats non quantifiables, sans quoi un changement non déclaré produit des tendances fictives dans les deux sens. La seconde : si la tendance se dégrade, la réponse n'est pas de relever les limites. Un alert level se recalcule lorsque les données montrent que le système s'est stabilisé mieux que prévu, ou lorsque la base de données change après une amélioration ; pas lorsqu'il s'agit de faire rentrer des résultats gênants. Chaque recalcul doit être documenté avec le jeu de données de référence, la méthode statistique, le raisonnement et l'approbation de l'Assurance Qualité.

Les déclencheurs du retrofit : des questions, pas des seuils

Il n'existe aucun seuil réglementaire indiquant quand un système d'eau doit être modifié, et tout critère chiffré générique en circulation est la convention de quelqu'un. La façon défendable de construire les déclencheurs consiste à les formuler en questions, à associer à chacune la preuve nécessaire et à définir à l'avance ce que l'on fait quand la réponse est non.

La dernière ligne est le déclencheur que les sites découvrent en retard. À la Ph. Eur., l'essai du TOC a remplacé l'essai des substances oxydables dans la sterilised water for injections : les monographies 0169 et 0008 et le chapitre 2.2.44 ont été mis à jour dans l'Issue 12.3, applicable au 1er juillet 2026, 0169 et 0008 étant encore révisées dans l'Issue 13.1 (mise en œuvre au 1er janvier 2027). Ces changements ne touchent pas l'installation mais touchent méthodes, instrumentation et spécifications : ils doivent émerger en revue périodique, pas en audit. Il en va de même des normes citées dans les URS et les cahiers des charges : l'ISO 22519:2019 a été retirée le 4 avril 2023 et remplacée par la deuxième édition ISO 22519:2023, tandis que l'ISO/DIS 25413 est encore en développement et ne doit être citée que comme projet.

Le retrofit est un change control, pas une intervention

Le moyen le plus rapide de transformer une amélioration en observation d'inspection est de la traiter comme un travail de maintenance. Un retrofit sur un système d'eau qualifié touche presque toujours des surfaces au contact, des conditions hydrauliques, la stratégie de contrôle et les données. Il relève du cadre de l'Annexe 15, avec une séquence qui doit être visible dans les documents.

1. Périmètre réel de la modification : non seulement le composant remplacé, mais tout ce qui en dépend — instrumentation, logiques, alarmes, recettes de sanitisation, points de prélèvement, documentation tel que construit.
2. Appréciation du risque selon ICH Q9(R1), qui établit quels attributs peuvent être impactés et avec quelle sévérité, et guide la profondeur de la vérification.
3. Impact sur la qualification existante : quels documents de DQ, IQ, OQ et PQ restent valides, lesquels doivent être complétés, lesquels doivent être rejoués. Argumenté attribut par attribut, non déclaré en bloc.
4. Plan de requalification proportionné : l'étendue découle du risque apprécié — remplacer une sonde par un modèle équivalent et refaire la branche de production ne produisent pas le même plan. La structure des phases et la logique FAT/SAT/IQ/OQ/PQ figurent dans l'article sur la qualification des systèmes d'eau.
5. Période de transition : comment la production est servie pendant les travaux, quelle eau est utilisable et sous quels contrôles supplémentaires, comment les sections en travaux sont séparées de celles en exploitation.
6. Remise en état des surfaces : coupes, soudures et démontages imposent de replanifier nettoyage et passivation selon des pratiques reconnues — ASTM A380/A380M-25, ASTM A967/A967M-25 — en documentant exécution et vérification. Négliger ce point est une cause courante de rouging apparu juste après un retrofit ; le sujet est approfondi dans l'article sur le biofilm et le rouging.
7. Reconstruction de la base de données : après une intervention significative, les alert levels dérivés des données antérieures peuvent ne plus décrire le système. Il faut décider à l'avance s'ils restent applicables par précaution et quand ils seront recalculés, avec quelle quantité de données et sur quelle fenêtre. L'Annexe 1 exige que la qualification tienne compte de la variation saisonnière, et le Q&A EMA, pour les systèmes à membranes, évoque des données recueillies sur environ un an précisément pour la capter : clôturer la requalification microbiologique sur une fenêtre courte doit être justifié explicitement.
8. Mise à jour du système informatisé : les modifications de logiques, de consignes, de seuils d'alarme ou d'architecture des données exigent la CSV correspondante et la mise à jour de l'évaluation périodique Annexe 11.
9. Notification préalable lorsqu'elle est due : si le retrofit introduit la reverse osmosis pour la production de WFI, la guideline EMA exige une notification préalable à l'autorité GMP de surveillance avant l'introduction. À intégrer au planning dès le départ, car elle conditionne le calendrier.

Une approche fondée sur la science et le risque, telle que celle décrite par l'ASTM E2500-25, aide à concentrer la vérification sur ce qui affecte réellement la qualité du produit, à condition qu'il reste clair qu'il s'agit d'une norme volontaire : l'obligation BPF demeure l'Annexe 15.

Exemple appliqué : Site Delta

Site Delta est un exemple pédagogique, pas une installation réelle : formes stériles et non stériles, une loop WFI chaude et une loop PW froide alimentées par un prétraitement commun. L'équipe apporte trois observations à la revue. Sur la loop PW, deux points d'utilisation terminaux montrent une médiane microbienne en hausse sur plusieurs cycles de surveillance, toujours sous l'action level, avec des isolats récurrents du même type, et reçoivent des cycles de sanitisation supplémentaires non programmés. Sur le prétraitement, le rapport correctif/préventif a augmenté et deux composants ont été déclarés en fin de support, avec des pièces disponibles seulement sur le marché secondaire. Enfin, après le démarrage d'une nouvelle ligne de lavage, la cuve PW ne se reconstitue plus complètement entre deux soutirages de pointe et la fenêtre de sanitisation thermique s'est réduite aux fins de semaine.

Pris séparément, aucun des trois n'est une non-conformité. Lus ensemble, ils décrivent un système qui a épuisé sa marge : la capacité insuffisante réduit le temps de sanitisation, la sanitisation réduite favorise la colonisation de la zone terminale, la maintenance réactive multiplie les interventions invasives. La revue ne se termine pas par « système conforme », mais par une appréciation du risque, une recommandation de retrofit en deux phases — d'abord la capacité et la fenêtre de sanitisation, puis la reprise de la branche terminale avec suppression de deux tronçons rendus peu drainables par des modifications antérieures — et une date de réexamen avancée. Le tout sous change control, avec un impact sur la qualification apprécié attribut par attribut et une requalification qui, pour la branche reprise, prévoit une surveillance renforcée avant tout recalcul des alert levels.

Matrice de décision pour l'option d'intervention

Les options sont presque toujours plus de deux. La matrice rend le raisonnement explicite, elle ne produit pas un chiffre. Les poids sont attribués par le site en fonction de son propre contexte : ils sont volontairement laissés vides.

Checklist de la revue périodique

• Périmètre, période couverte et fréquence déclarés, avec le raisonnement d'appréciation du risque qui les justifie.
• Comparaison des sanitisations programmées, exécutées et remédiatrices, avec les profils de reprise.
• Déviations, OOS/OOT, investigations clôturées sans root cause, efficacité vérifiée des CAPA.
• État de la maintenance préventive et corrective, composants critiques et leur statut de cycle de vie.
• Résultat de l'évaluation périodique du système informatisé et statistiques d'alarmes.
• Comparaison documentée entre capacité installée et demande réelle, y compris les fenêtres de sanitisation disponibles.
• Réexamen des alert levels avec raisonnement, jeu de données et approbation, ou confirmation explicite qu'ils restent inchangés.
• Conclusion explicite sur l'état de maîtrise, actions avec responsable et date, date du prochain réexamen.

Erreurs fréquentes et signaux d'alerte

• La revue comme empilement d'annexes : cent pages de graphiques sans conclusion signée sur l'état de maîtrise ne démontrent rien.
• Limites relevées en réponse à une dégradation, avec une justification statistique construite après coup : le signal d'alerte le plus grave, explicitement qualifié de mauvaise pratique dans le Q&A EMA.
• Revue du système d'eau et évaluation périodique Annexe 11 menées séparément, avec des conclusions qui ne se croisent jamais.
• Absence de section capacité : sans comparaison entre demande réelle et base de dimensionnement, la revue ne capte pas le déclencheur de retrofit le plus courant.
• Retrofit traité comme de la maintenance, sans change control, sans évaluation d'impact sur la qualification et sans requalification proportionnée.
• Redémarrage après intervention sans remise en état documentée du nettoyage et de la passivation des surfaces travaillées.
• Fréquence de revue périodique citée comme exigence réglementaire générale : elle n'existe pas, elle doit être définie et justifiée par le site.

Si vous travaillez sur ces sujets, vous pouvez recevoir des analyses pratiques de GMP engineering en vous abonnant à The Pragmatic GMP.

À retenir

• La guideline EMA/CHMP/CVMP/QWP/496873/2018 ne contient aucune clause de revue périodique ni de revalidation : l'obligation vient de l'Annexe 1 (6.13, 6.14), de l'Annexe 15 pour le change control et la requalification, de l'Annexe 11 de janvier 2011 pour les systèmes informatisés et d'ICH Q10 pour l'amélioration continue.
• La seule cadence citable est l'évaluation au moins annuelle de l'efficacité de la surveillance du Q&A EMA/INS/GMP/443117/2017, dans le périmètre de la production de WFI par des méthodes autres que la distillation. Toute autre fréquence doit être définie sur une base de risque et justifiée.
• Le cas le plus fréquent est le système encore conforme qui a perdu sa marge : il se reconnaît à la distribution des données, au rapport entre sanitisations remédiatrices et programmées et au profil de reprise, non au nombre de dépassements.
• Relever les limites en réponse à une tendance défavorable n'est pas une bonne pratique et peut masquer un système qui se dégrade.
• Les déclencheurs de retrofit ne sont pas des seuils chiffrés : ce sont des questions avec la preuve associée et une décision prédéfinie en cas de réponse négative.
• Le retrofit exige un change control, un impact sur la qualification apprécié attribut par attribut, une requalification proportionnée au risque et, s'il introduit la reverse osmosis pour le WFI, une notification préalable à l'autorité GMP de surveillance.

Références

• EMA, Guideline on the quality of water for pharmaceutical use, EMA/CHMP/CVMP/QWP/496873/2018, en vigueur depuis le 1er février 2021 — ema.europa.eu ; EMA, Q&A Production of WFI by non-distillation methods, EMA/INS/GMP/443117/2017, en vigueur depuis le 1er août 2017.
• EudraLex Volume 4 : Annexe 1, applicable depuis le 25 août 2023 ; Annexe 15, révision 2015 applicable depuis le 1er octobre 2015 ; Annexe 11, version de janvier 2011 applicable depuis le 30 juin 2011 — health.ec.europa.eu
• PIC/S PI 009-4, aide-mémoire Inspection of Utilities, en vigueur depuis le 1er janvier 2021 — picscheme.org ; OMS TRS 1033 Annexe 3 (2021) — who.int
• ICH Q9(R1) (étape 4, 18 janvier 2023) et ICH Q10 (étape 4, 4 juin 2008) — ich.org
• Ph. Eur., monographies 0169 et 0008, chapitres 2.2.38 et 2.2.44. ASTM E2500-25, A380/A380M-25, A967/A967M-25. ISO 22519:2023 — iso.org ; ISO/DIS 25413 (en développement). FDA, Guide to Inspections of High Purity Water Systems (1993), non contraignant — fda.gov