Comment valider un module complémentaire pour un environnement cGMP ?Salut tout le monde,
Un client du secteur biopharmaceutique (CDMO) nous demande si nous avons de l'expérience en matière de validation d'un module complémentaire JMP pour un environnement cGMP (voir ci-dessous). Ce module effectue une analyse d'ajustement de courbe standard sur un nouvel ensemble de données. La question est de savoir comment se prémunir contre toute modification de l'analyse par l'utilisateur final.
Merci d'avance pour votre aide.
Phil
« Avez-vous déjà discuté de la validation avec d'autres utilisateurs ? J'ai crypté mon extension et fait tout ce qu'il faut pour que le service informatique soit satisfait des mots de passe et des versions, mais lorsqu'il s'agit de tests, nous ne savons pas comment prouver que cela ne peut pas être altéré. »
Bien qu'il soit extrêmement difficile de modifier subtilement le module complémentaire pour truquer les résultats, l'utilisateur pourrait très bien supprimer le script du module complémentaire et le rendre inutilisable !
Mon script est très bien protégé et suivi, mais le module complémentaire lui-même est vulnérable.
En gros, c'est ce qu'on écrit : si l'utilisateur a produit un rapport identique à celui du test, alors il n'a pas pu modifier le module complémentaire. Mais je ne suis pas sûr que ça passe !
Des conseils sur la façon de défendre ce point ?
Re: Comment valider un module complémentaire pour un environnement cGMP ?Merci, Martin.
Je suis d'accord.
Salutations,
Phil
Re: Comment valider un module complémentaire pour un environnement cGMP ?Salut Phil,
Pour la validation, il est essentiel d'utiliser un système de contrôle de version (ou de sous-version) qui enregistre les modifications et sauvegarde les fichiers sur un serveur distinct. Cela rejoint les propos de Malcolm, mais avec une approche plus sophistiquée pour une utilisation à long terme. Dans les environnements réglementés, il est nécessaire de créer des versions pour apporter des améliorations ou créer des sous-versions du code. Ce processus doit être suivi, mais surtout, il est souvent indispensable, même après des décennies (dans l'industrie aérospatiale par exemple), de pouvoir retrouver exactement la même procédure utilisée pour une application validée spécifique.
Il est absolument hors de question de partager le code source du module complémentaire avec l'utilisateur final, ni les informations de chemin d'accès (sous forme de texte modifiable). Votre chiffrement doit empêcher cela.
Malheureusement, je constate trop souvent (à mon avis) des exigences de validation sans recours à un système de contrôle de version. Or, les systèmes de contrôle de version garantissent, de surcroît, la sauvegarde des données grâce à des serveurs redondants en cas de panne ou de défaillance du système.
Salutations,
Martin
Re: Comment valider un module complémentaire pour un environnement cGMP ?Merci, Malcolm.
C'est une très bonne idée.
Salutations,
Phil
Re: Comment valider un module complémentaire pour un environnement cGMP ?Salut Phil,
Si votre client craint que le code du module complémentaire ne soit modifié, une solution alternative consiste à créer un menu personnalisé qui accède à un fichier JSL situé sur un lecteur partagé auquel les utilisateurs ont un accès en lecture. Ainsi, les utilisateurs ne peuvent pas modifier le fichier JSL source.
Malcolm
Re: Comment valider un module complémentaire pour un environnement cGMP ?Merci, Peter.
Oui, nous (JMP) ne souhaitons absolument pas assumer la moindre responsabilité en matière de validation.
Je cherche simplement à savoir comment d'autres clients ont géré cette exigence. Je sais que ce client en particulier est très sensible à la validation des logiciels.
Merci pour vos commentaires.
Phil
Re: Comment valider un module complémentaire pour un environnement cGMP ?Phil :
Voici quelques réflexions à partager :
1. Lorsqu'on envisage la validation dans n'importe quel environnement réglementaire ou de contrôle interne, je vois deux aspects :
a. Respect des exigences énoncées par l'entreprise (indépendamment des influences externes telles qu'un organisme de réglementation).
b. Respect des exigences des parties externes (qui pourraient être différentes (plus ou moins étendues ?)).
Mon conseil au client est donc d'examiner d'abord ces deux scénarios. Il existe peut-être déjà des directives officielles, et la question de la conformité est sans importance, même si les bonnes pratiques ne sont pas pertinentes. Le client devra ensuite déterminer comment rendre une architecture d'extension JMP conforme… laissons-le faire le gros du travail. Je ne voudrais surtout pas devenir le garant de la méthode de validation pour un client… et j'imagine que SAS ne souhaite pas non plus endosser ce rôle ?
En l'absence des points a. ou b. ci-dessus, le client a toute latitude pour rédiger un document, quel qu'il soit, qui respecte au moins l'esprit de la validation, considérée comme une bonne pratique. Un peu comme concevoir un cahier des charges APRÈS la finalisation de la conception d'un produit. Prévoyez une certaine marge de manœuvre, définissez les caractéristiques opérationnelles et la manière dont vous prouverez concrètement la conformité.
