Plateforme
Modules
Par secteur
By sector
Les normes que nous couvrons
Blog
Actualités
Entreprise
Événements
Normes · Pharmaceutique et dispositifs médicaux
Les BPF européennes et leurs annexes, les lignes directrices de l'ICH, le 21 CFR, le MDR et l'IVDR, l'ISO 13485 et l'ISO 14971, et les normes IEC pour le logiciel comme dispositif médical. Expliqués en mots simples, dans un seul catalogue, chaque entrée renvoyant à sa source.
Vue d'ensemble
Les médicaments et les dispositifs médicaux sont réglementés différemment, mais l'exigence parvient au fabricant de la même façon dans les deux cas.
Les BPF européennes comme condition de votre autorisation, le MDR et l'IVDR pour un dispositif, le 21 CFR aux États-Unis. Une autorité ou un organisme notifié vérifie que vous les respectez.
Les annexes des BPF, le guide PIC/S, les lignes directrices de l'ICH et les documents du MDCG sont ce qu'un inspecteur ou un évaluateur s'attend à voir, chapitre par chapitre.
L'ISO 13485 et l'ISO 14971 pour un dispositif, l'ICH Q10 pour un système qualité pharmaceutique, l'IEC 62304 pour le logiciel, le GAMP 5 pour les systèmes informatisés en dessous.
L'annexe 11 et le 21 CFR Part 11 imposent validation, pistes d'audit et signatures électroniques à tout système qui détient un enregistrement réglementé. C'est là que la plupart des écarts sont relevés.
Cherchez dans le catalogue par nom, parcourez-le par famille, ou répondez à cinq questions sur ce que vous fabriquez. Chaque entrée renvoie à sa source et peut être demandée dans ComplyTrain.
Deux mondes réglementés figurent sur cette page, les médicaments et les dispositifs médicaux, et ils partagent une même forme. Une loi engage le fabricant : vous ne pouvez ni fabriquer ni vendre sans la respecter, et une autorité ou un organisme notifié vérifie que vous le faites. Les lignes directrices disent comment les inspecteurs attendent que la loi soit respectée. Et les normes, surtout ISO et IEC, sont la façon dont l'industrie bâtit le système qui satisfait les deux. Cette page explique les trois couches pour chaque monde, les systèmes informatisés et les données qui traversent les deux, et d'où viennent les documents. L'explorateur plus bas trouve ensuite celles qui correspondent à ce que vous fabriquez.
Une autorisation de fabrication de médicament dans l'Union est subordonnée aux bonnes pratiques de fabrication, et le volume 4 d'EudraLex est le guide qu'utilise chaque inspecteur. La partie I couvre les produits finis en neuf chapitres : le système qualité pharmaceutique, le personnel, les locaux et les équipements, la documentation, la production, le contrôle de la qualité, les activités externalisées, les réclamations et les rappels, et l'auto-inspection. La partie II couvre les substances actives et constitue la reprise de l'ICH Q7 par l'Union. Les annexes portent les spécificités : l'annexe 1, révisée en 2022, pour les produits stériles et la stratégie de maîtrise de la contamination qui les sous-tend ; l'annexe 11 pour les systèmes informatisés ; l'annexe 15 pour la qualification et la validation ; l'annexe 16 pour ce que la personne qualifiée certifie avant la libération d'un lot. Le guide PIC/S est le même texte harmonisé pour la cinquantaine d'autorités du système, et celui à partir duquel travaille un inspecteur hors de l'Union.
Aux États-Unis, les 21 CFR Parts 210 et 211 sont les règlements sur les bonnes pratiques de fabrication en vigueur, et le 21 CFR Part 11 fixe les règles des enregistrements et des signatures électroniques. La FDA participe à PIC/S et les attentes sont les mêmes des deux côtés ; ce qui diffère, c'est la lettre du règlement que cite un inspecteur.
Le Conseil international d'harmonisation réunit les autorités et l'industrie d'Europe, des États-Unis, du Japon et d'un nombre croissant d'autres régions pour rédiger une ligne directrice que chaque région reprend ensuite. Q7 est la BPF des substances actives. Q8 est le développement pharmaceutique, à l'origine de la qualité par la conception, de l'espace de conception et de la stratégie de maîtrise. Q9, révisée en 2023, est la gestion du risque qualité : le processus, ses outils et le degré de formalisme. Q10 est le système qualité pharmaceutique : responsabilité de la direction, surveillance de la performance des procédés, actions correctives et préventives, gestion des changements et revue de direction, bâti sur les concepts qualité de l'ISO et sur les BPF. Q12 couvre les changements post-autorisation par les conditions établies. E6, révisée en 2025, est la bonne pratique clinique des essais. Q8, Q9 et Q10 forment ensemble la conception d'un système qualité moderne, et c'est à Q10 qu'un audit du système qualité pharmaceutique vous mesure. L'ISO 9001 est la forme en dessous ; voir ISO 9001 et, pour le processus de risque qu'exige Q9, la page gestion des risques.
Tout système qui crée, conserve ou signe un enregistrement BPF entre dans le champ, du système d'information de laboratoire et du système d'exécution de la fabrication jusqu'au logiciel qualité lui-même et à un tableur validé. L'annexe 11 et le 21 CFR Part 11 disent ce qu'un tel système doit faire : être validé pour son usage prévu, tenir une piste d'audit, maîtriser les accès, et rendre une signature électronique aussi engageante qu'une signature manuscrite. Le GAMP 5, dans sa deuxième édition de 2022, est le guide de l'industrie pour y parvenir avec une approche fondée sur le risque et sans valider ce qui n'en a pas besoin. Le PIC/S PI 041 est la ligne directrice des inspecteurs sur l'intégrité des données, les principes ALCOA+ selon lesquels un enregistrement doit être attribuable, lisible, contemporain, original et exact, ainsi que complet, cohérent, durable et disponible. C'est sur l'intégrité des données qu'ont été relevés la plupart des écarts BPF de la dernière décennie.
Le règlement (UE) 2017/745, le MDR, s'applique depuis mai 2021 et le règlement (UE) 2017/746, l'IVDR, depuis mai 2022, avec des périodes de transition pour les dispositifs certifiés sous les anciennes directives. Les deux fonctionnent de la même manière : la destination et les règles de classification placent un dispositif dans une classe, tout ce qui dépasse la classe I est évalué par un organisme notifié, les exigences générales de sécurité et de performance de l'annexe I doivent être satisfaites et la documentation technique des annexes II et III doit le démontrer, une évaluation clinique doit étayer chaque allégation, et la surveillance après commercialisation, la vigilance et l'identifiant unique du dispositif courent sur toute la vie du produit. Aux États-Unis, le 21 CFR Part 820 est le règlement du système qualité, et à partir de février 2026 il intègre l'ISO 13485, si bien qu'un seul système qualité dispositif sert désormais les deux marchés.
Les normes harmonisées donnent une présomption de conformité avec le règlement, et ce sont les normes qu'audite un organisme notifié. L'ISO 13485 est le système de management de la qualité, l'ISO 9001 dans sa forme avec ce qu'un régulateur attend en plus. L'ISO 14971 est la gestion des risques des dispositifs, le dossier auquel renvoie chaque décision de conception, avec l'ISO/TR 24971 comme guide détaillé. L'IEC 60601-1 couvre la sécurité électrique, l'IEC 62366-1 l'ingénierie de l'aptitude à l'utilisation, l'ISO 10993 l'évaluation biologique de tout ce qui entre en contact avec le corps, l'ISO 14155 les investigations cliniques, l'ISO 15223-1 et l'ISO 20417 les symboles et les informations fournies avec un dispositif, et l'ISO 11607 la barrière stérile.
Un logiciel est un dispositif médical lorsque sa destination est médicale, et depuis le MDR cela inclut une grande part des logiciels d'aide à la décision et de surveillance qui étaient de classe I sous les directives et sont aujourd'hui de classe IIa ou supérieure. Le MDCG 2019-11 est la ligne directrice sur la qualification d'un logiciel et sa classification ; les documents de l'IMDRF sur le logiciel comme dispositif médical définissent le terme, catégorisent le risque et décrivent l'évaluation clinique qu'utilisent les régulateurs de tous les grands marchés. Les normes suivent ensuite le cycle de vie. L'IEC 62304 fixe les processus du cycle de vie logiciel par classe de sécurité, de la planification et des exigences à l'architecture, la vérification, la mise sur le marché et la maintenance. L'IEC 82304-1 couvre les logiciels de santé vendus comme produits sur du matériel générique. L'IEC 62366-1 couvre l'aptitude à l'utilisation dont l'interface a besoin, l'ISO 14971 le dossier de risque, et l'IEC 81001-5-1 avec le MDCG 2019-16 la cybersécurité qu'un dispositif connecté doit concevoir dès le départ. Le logiciel embarqué dans un dispositif, le micrologiciel, suit également l'IEC 62304.
EudraLex, les lignes directrices du MDCG et les règlements européens sont gratuits auprès de la Commission européenne et sur EUR-Lex ; PIC/S et l'ICH publient leurs lignes directrices gratuitement ; le Code of Federal Regulations est gratuit sur l'eCFR. Les normes ISO et IEC s'achètent auprès de l'ISO, de l'IEC ou de votre organisme national de normalisation, le GAMP 5 auprès de l'ISPE, et les documents de l'IMDRF sont gratuits. Chaque entrée de l'explorateur ci-dessous renvoie à sa source.
Ni cette page, ni nous. Pour un médicament, ce sont l'autorisation de mise sur le marché et votre autorisation de fabrication ; pour un dispositif, c'est la destination que vous déclarez et la classe dans laquelle elle vous place ; et dans les deux mondes, l'inspecteur, l'organisme notifié et les audits fournisseurs de vos clients décident des preuves qu'ils s'attendent à voir. Ce que l'explorateur peut faire, c'est vous montrer la carte entière : cherchez par nom, parcourez par famille, ou répondez à cinq questions sur ce que vous fabriquez et voyez les domaines sur lesquels les fabricants comme vous sont couramment interrogés. Chaque entrée renvoie à sa source, à sa page ComplyTrain lorsqu'elle existe, et sinon à une demande. ComplyTrain tient une norme sous forme d'arbre d'exigences, avec les preuves associées à chaque exigence. L'autorisation et le certificat, c'est à vous de les obtenir.
Explorateur de normes
Cherchez ensemble dans les BPF européennes et leurs annexes, les lignes directrices de l'ICH, le 21 CFR, le MDR et l'IVDR et les normes ISO et IEC des dispositifs, parcourez-les par famille, ou répondez à cinq questions sur ce que vous fabriquez.
Rien ne correspond. Essayez un numéro, un code, ou parcourez par famille.
Les règles qui s'appliquent à vous sont fixées par votre autorisation, la classification de votre produit et vos marchés, et l'inspecteur ou l'organisme notifié décide des preuves attendues. Considérez ceci comme une carte, pas comme un verdict.
Cinq questions, cochez tout ce qui s'applique. Rien n'est enregistré.
Les domaines sur lesquels les fabricants comme vous sont couramment interrogés, et les règles et normes de chacun. À confirmer avec votre autorisation et votre classification.
Les règles qui s'appliquent à vous sont fixées par votre autorisation, la classification de votre produit et vos marchés, et l'inspecteur ou l'organisme notifié décide des preuves attendues. Considérez ceci comme une carte, pas comme un verdict.
Chaque page expose ce que la norme exige de vous et comment un espace de travail ComplyTrain s'organise autour d'elle. Le catalogue ci-dessus en contient bien davantage, et toute entrée peut être demandée. Ajouter une norme à un espace de travail prend en général quelques jours, ce n'est pas un projet.
ISO 9001
ISO 9001 est la norme internationale des systèmes de management de la qualité. ComplyTrain reprend sa structure de chapitres. Votre système de management de la qualité est ainsi prêt pour l'audit dès le départ.
Une norme arrive le plus souvent comme une condition contractuelle ou un courrier d'une autorité, pas comme un projet que quelqu'un avait prévu, et souvent dans une entreprise sans responsable qualité. Le logiciel est la moitié de la réponse. Les consultants de Skylen sont l'autre moitié, et parce qu'ils s'appuient sur ComplyTrain dès le premier jour, il vous reste un système vivant qui appartient à votre équipe plutôt qu'un classeur et un consultant reparti.
Une lecture clause par clause de votre situation au regard de la norme que cite votre contrat ou votre autorité, transformée en un plan priorisé que vous pourrez mener avec nous ou seul.
Ce que couvre une analyseNos consultants construisent le système avec votre équipe - procédures, maîtrise documentaire, les enregistrements à conserver et le rythme des revues - et vous préparent à l'audit ou à l'inspection.
Comment se déroule une missionNous exploitons et maintenons le système pour vous, afin qu'une petite équipe puisse atteindre et tenir une norme sans recruter un responsable qualité.
Ce que signifie le service completPas nommément. Le MDR exige un système de management de la qualité et énumère ce qu'il doit couvrir ; l'ISO 13485 est la norme harmonisée qui donne une présomption de conformité à cette exigence, et c'est elle qu'audite un organisme notifié. En pratique, tout fabricant au-dessus de la classe I la détient. Aux États-Unis, le 21 CFR Part 820 intègre l'ISO 13485 à partir de février 2026, si bien que le même système sert les deux marchés.
L'ISO 9001 est une norme volontaire de système de management de la qualité qu'audite un organisme de certification. Les BPF sont la loi : une condition de votre autorisation de fabrication, inspectée par votre autorité du médicament, avec des règles détaillées pour les locaux, les dossiers de lot, la libération et le reste. L'ICH Q10 décrit un système qualité pharmaceutique bâti sur les concepts qualité de l'ISO et sur les BPF, et c'est ainsi que les deux s'articulent. Voir ISO 9001.
Cela dépend de sa destination, pas de sa technologie. Un logiciel destiné à fournir des informations utilisées pour une décision médicale, ou à surveiller un processus physiologique, est un dispositif au sens du MDR, et le MDCG 2019-11 déroule la qualification étape par étape. Un logiciel qui se contente de stocker, de transmettre ou de rechercher des données ne l'est pas. Une mauvaise réponse coûte cher dans les deux sens, c'est donc une question pour un conseil en affaires réglementaires avant le début du développement.
Que l'on puisse se fier à chaque enregistrement BPF : il est attribuable à son auteur, lisible, fait au moment voulu, original ou copie conforme, et exact, et il est complet, cohérent, durable et disponible pendant sa durée de conservation. L'annexe 11 et le 21 CFR Part 11 traduisent cela pour les systèmes informatisés en validation, pistes d'audit, maîtrise des accès et signatures électroniques. Le PIC/S PI 041 est la ligne directrice des inspecteurs eux-mêmes sur ce qu'ils recherchent.
La partie I et, si vous manipulez des substances actives, la partie II s'appliquent à quiconque détient une autorisation de fabrication. L'annexe 11 s'applique à quiconque dispose d'un système informatisé en BPF, c'est-à-dire à tout le monde ; l'annexe 15 à quiconque qualifie des équipements ou valide un procédé ; l'annexe 16 à la certification des lots. Le reste dépend de ce que vous fabriquez : l'annexe 1 pour les produits stériles, l'annexe 2 pour les médicaments biologiques, l'annexe 3 pour les radiopharmaceutiques, et ainsi de suite. Votre autorisation et votre liste de produits disent lesquelles.
Non. La certification est délivrée par un organisme de certification accrédité, une autorisation par votre autorité, et l'assurance qualité étatique est exercée par l'autorité d'acquisition. ComplyTrain est le système dans lequel vous construisez, pilotez et prouvez votre conformité, et les consultants de Skylen peuvent vous accompagner dans ce travail. Le certificat, c'est à vous de l'obtenir.
Oui, c'est précisément à cela que sert le bouton « Demander l'accès » présent sur chaque entrée. Indiquez-nous la norme et l'origine de l'exigence, et nous revenons vers vous sur ce qu'implique de la tenir dans votre espace de travail, en général sous un jour ouvré. Ajouter une norme à un espace de travail prend en général quelques jours, ce n'est pas un projet. ComplyTrain tient une norme sous forme d'arbre d'exigences avec vos preuves associées à chaque exigence, et c'est cet arbre que nous construisons.