L'appel est arrivé un mardi matin. La responsable qualité d'un de nos clients 3PL alimentaires dans l'Inland Empire avait l'air épuisée : un inspecteur de la FDA avait passé deux jours dans ses locaux et revenait sans cesse à la même chose : le journal des écarts de température. Il vivait dans un tableur partagé sur l'ordinateur du bureau de l'entrepôt. Tout le monde sur le terrain connaissait le mot de passe. « Il m'a demandé qui avait modifié les entrées de mars », m'a-t-elle dit. « Je n'avais pas de réponse. »
Toute l'histoire du 21 CFR Part 11 tient dans cet appel téléphonique. La réglementation n'a jamais exigé que vous jetiez vos cahiers d'enregistrement papier. Ce qu'elle exige, c'est qu'une fois passés à l'électronique, vos enregistrements électroniques doivent être aussi fiables que le papier — en réalité, davantage, parce qu'ils doivent le prouver.
La Partie 11 est la règle de la FDA sur les enregistrements électroniques et les signatures électroniques, publiée sous forme finale le 20 mars 1997 et entrée en vigueur le 20 août 1997. Elle s'applique à toutes les industries réglementées par la FDA — alimentation, médicaments, produits biologiques, dispositifs médicaux — dès lors que les enregistrements que la réglementation de la FDA exige de conserver sont maintenus sous forme électronique, ou que des signatures manuscrites sont remplacées par des signatures électroniques. Pour un entrepôt alimentaire, cela signifie les journaux de température et d'humidité, les inspections de réception, les registres de lutte antiparasitaire, les dossiers de formation et les approbations de sortie, au moment où ils quittent le papier pour entrer dans un système.
Voici ce que la plupart des opérateurs comprennent mal : la Partie 11 ne vous force jamais à numériser. Le papier reste parfaitement acceptable. Mais tout enregistrement électronique que vous conservez doit satisfaire la même norme de fiabilité — et vous devez pouvoir le démontrer sur demande.
Que demande réellement cette réglementation ?
Enlevons le jargon juridique : la Partie 11 demande quatre choses. Premièrement, la validation du système : vous devez pouvoir montrer que le système fait ce qu'il est censé faire, qu'il le fait avec précision et qu'il peut détecter les enregistrements invalides ou altérés. Les logiciels standard ne sont pas exemptés — vous avez besoin de la documentation de validation du fournisseur, ou vous la construisez vous-même.
Deuxièmement, les pistes d'audit. La section 11.10(e) est explicite : des enregistrements sécurisés, générés par ordinateur et horodatés, indiquant qui a créé, modifié ou supprimé un enregistrement électronique. Les modifications ne doivent pas masquer les entrées précédentes — pas d'écrasement, uniquement de nouvelles versions ajoutées. La piste d'audit doit être conservée au moins aussi longtemps que les enregistrements eux-mêmes et être disponible pour examen et copie par la FDA. En termes simples : chaque changement laisse une trace que la personne qui l'a fait ne peut pas effacer.
Troisièmement, le contrôle d'accès : seules les personnes autorisées peuvent entrer dans le système, modifier des données ou signer des enregistrements. Quatrièmement, les signatures électroniques : en vertu de la section 11.50, l'affichage d'une signature doit indiquer le nom du signataire, la date et l'heure de la signature et la signification de la signature — examen, approbation ou exécution. En vertu de la section 11.70, la signature doit être liée en permanence à son enregistrement, de sorte qu'elle ne puisse pas être coupée et collée sur autre chose.
Une distinction compte dès le début, car elle détermine l'ampleur du travail auquel vous vous engagez : systèmes fermés contre systèmes ouverts. Un système fermé est un système dont l'accès est contrôlé par votre propre organisation — votre WMS, votre plateforme interne de surveillance de la température. La plupart des entrepôts alimentaires vivent entièrement en territoire de système fermé et relèvent de la section 11.10. Un système ouvert est un système où le contrôle de l'accès ne vous appartient pas, comme les enregistrements transmis aux clients ou aux autorités via l'internet public ; la section 11.30 ajoute des exigences de chiffrement et de signature numérique par-dessus. Déterminez dans quel cas vous êtes avant de commencer à dépenser. En cas de doute sur une exigence spécifique, consultez les orientations officielles de la FDA ou votre conseiller réglementaire — les commerciaux des fournisseurs ne sont pas une source de vérité.
Que doit vraiment capturer une piste d'audit ?
Un inspecteur qui lit votre piste d'audit pose quatre questions : qui l'a fait, quand, qu'a-t-il fait, et à quoi ressemblait la situation avant. Un nouvel enregistrement reçoit une entrée. Un seuil d'alarme modifié reçoit une entrée, avec l'ancienne valeur et la nouvelle valeur toutes deux conservées. Un enregistrement supprimé reçoit une entrée. Et la piste doit être indépendante de la personne qui agit — l'opérateur ne peut pas la désactiver, la modifier ni la supprimer. Les horodatages ont besoin de fuseaux horaires et doivent être synchronisés avec une source de temps fiable, sans dérive au gré de l'horloge de chaque appareil.
C'est là que les entrepôts alimentaires sont frappés le plus durement, et les défaillances sont désespérément ordinaires. J'ai vu une installation de stockage frigorifique dont le système de température disposait techniquement d'une piste d'audit — sauf qu'elle avait été désactivée lors de la mise en œuvre et que personne ne l'avait remarqué pendant deux ans. Le classique, c'est l'accès administrateur pour tout le monde : le seuil d'alarme du congélateur est passé de moins 18 à moins 15 degrés Celsius, et personne n'a pu dire qui l'avait changé parce qu'une douzaine de personnes se connectaient en tant qu'administrateur. Ensuite, il y a les horodatages : des serveurs réglés sur UTC alors que l'exploitation fonctionne à l'heure du Pacifique, de sorte que chaque enregistrement exporté affiche des entrées à 3 heures du matin que personne ne peut expliquer. Et le pire coupable, c'est le tableur. Un journal de température Excel partagé que n'importe qui peut modifier, sans trace de qui a changé quoi, est mort d'avance lors d'une inspection. Il n'y a aucune défense possible.
Une signature électronique, c'est vraiment juste cliquer sur « approuver » ?
Non. Une case à cocher ne prouve rien, et la Partie 11 traite les signatures comme des déclarations d'identité à valeur juridique. Trois conditions doivent être réunies. Premièrement, l'unicité : une signature appartient à exactement une personne. Un identifiant partagé de « superviseur » que toute l'équipe utilise pour approuver les sorties n'est pas un système de signature — c'est du théâtre. Quand l'inspecteur demande qui a sorti ce lot et que la réponse est « celui qui était de quart », l'inspection tourne mal.
Deuxièmement, la vérification d'identité au moment de la signature — un mot de passe, un badge, la biométrie. L'objectif est de prouver que celui qui clique est bien la personne nommée. Troisièmement, la signification de la signature doit être distincte et enregistrée : examen, approbation et exécution sont trois actes différents. Le fait que la même personne examine puis approuve le même lot soulèvera une question sur la séparation des tâches.
Les comptes partagés sont l'épidémie de l'entreposage alimentaire. Sur un site de chaîne du froid de 80 000 pieds carrés que je gérais à Ontario, en Californie, chaque terminal portable du terrain se connectait en tant que « warehouse » — pratique pour tout le monde, indéfendable lors d'un audit. La première chose que nous avons faite dans notre évaluation des écarts de la Partie 11 a été d'éliminer cette pratique : un compte par personne, désactivé le jour du départ de quelqu'un, mots de passe renouvelés chaque trimestre. C'était impopulaire pendant environ une semaine. Mais la fois suivante où un inspecteur a demandé qui avait signé une inspection de réception, le système a affiché un nom, un horodatage et une signification. Cela clôt la conversation.
Si vous partez du papier ou de tableurs, voici la séquence qui fonctionne vraiment. Étape un, évaluation des écarts : listez chaque enregistrement que vous conservez — température et humidité, inspections de réception, lutte antiparasitaire, formation, sorties — et indiquez lesquels vivent sur papier, dans des tableurs ou dans un système. Oubliez-en un et il vous retrouvera plus tard. Étape deux, choix du système : posez à chaque fournisseur trois questions. La piste d'audit peut-elle être désactivée ? Si elle est désactivée, pouvez-vous le savoir ? Fournissez-vous la documentation de validation ? Un fournisseur qui ne peut pas répondre aux trois est éliminé.
Étape trois, réécrivez les procédures : changez « comment nous enregistrons » en « comment nous enregistrons dans le système », et mettez la matrice d'accès par écrit — qui peut saisir des données, qui peut réviser, qui peut modifier les seuils, qui peut supprimer des enregistrements. Un tableau, aucune ambiguïté. Étape quatre, formation : formez les gens à ce que signifie une signature, et indiquez explicitement qu'une signature engage la responsabilité. Étape cinq, faites tourner le papier et l'électronique en parallèle pendant au moins un cycle complet — un mois, disons — et ne retirez le papier que lorsque les deux côtés concordent. Retirez le papier trop tôt et une défaillance du système ne vous laisse rien.
Réfléchissez un instant du côté de l'inspecteur. Il se fiche de ce que votre système a coûté. Trois choses l'intéressent : si les enregistrements ont été altérés, qui les a altérés, et si les horodatages sont cohérents. Il vous demandera d'extraire des enregistrements du système, en direct, devant lui. Impossible de les exporter ? Problème. Le fichier exporté est illisible ? Problème. L'export ne correspond pas à ce qui est à l'écran ? Problème plus grave. L'intégrité des enregistrements figure sur les listes d'observations FDA 483 année après année — non pas parce que la réglementation est exotique, mais parce que trop d'entrepôts confondent enregistrer quelque chose et pouvoir le défendre.
Cinq choses que vous pouvez faire demain. Premièrement, copiez votre tableur de température, changez un chiffre et demandez-vous : quelqu'un le saurait-il, et saurait-il que c'était vous ? Deuxièmement, connectez-vous au panneau d'administration de votre système et vérifiez si la piste d'audit est réellement activée. Troisièmement, comptez vos comptes partagés et notez-les. Quatrièmement, vérifiez les réglages de fuseau horaire de vos serveurs et terminaux — tous. Cinquièmement, dessinez la matrice d'accès : qui peut modifier les seuils d'alarme, qui peut supprimer des enregistrements, qui peut signer une sortie. Quand ces cinq choses seront faites, vous saurez exactement à quelle distance votre entrepôt est de la conformité à la Partie 11, et ce qu'il en coûtera pour combler l'écart.
Traduit de l'anglais. En cas de divergence, la version anglaise fait foi.
