Confluence est de plus en plus utilisé par les entreprises MedTech pour organiser leur système de management de la qualité. Sa flexibilité permet de structurer des procédures, des formulaires, des enregistrements, des dossiers de conception et différents processus qualité dans un environnement collaboratif.
Mais une question revient régulièrement : puisque Confluence est une solution reconnue, largement utilisée et maintenue par Atlassian, faut-il encore la valider lorsqu’elle est utilisée comme eQMS ?
La réponse courte est oui. Lorsqu’un logiciel intervient dans le fonctionnement du système de management de la qualité, l’organisation doit démontrer qu’il est adapté à son usage prévu.
Cela ne signifie toutefois pas qu’il faut valider l’ensemble de la plateforme Confluence ni reproduire les tests réalisés par son fournisseur.
La réputation du logiciel ne remplace pas la validation
Le fait qu’un logiciel soit développé par un fournisseur reconnu, utilisé par de nombreuses organisations et hébergé dans une infrastructure professionnelle apporte des éléments de confiance.
Cela ne démontre cependant pas que la configuration mise en œuvre par une entreprise donnée répond correctement à ses propres besoins qualité.
Deux organisations peuvent utiliser Confluence de manière très différente.
La première peut uniquement y publier des procédures approuvées ailleurs. La seconde peut utiliser des workflows, des signatures électroniques, des restrictions d’accès, des modèles, des applications complémentaires et des automatisations pour gérer l’ensemble de son QMS.
Le périmètre et le niveau de validation ne peuvent donc pas être identiques.
Que faut-il réellement valider ?
L’objectif n’est pas de valider Confluence dans l’absolu. Il faut démontrer que le système configuré est adapté à l’usage que l’organisation lui attribue.
Cette démarche commence par une description claire de l’usage prévu. Celui-ci peut notamment inclure :
- la création et la révision de documents qualité ;
- l’approbation et la publication des procédures ;
- la gestion des versions ;
- l’utilisation de formulaires et de modèles ;
- la création et la conservation des enregistrements ;
- la gestion des formations ;
- le suivi des CAPA, des audits et des non-conformités ;
- la traçabilité des modifications ;
- la gestion des droits d’accès ;
- l’archivage et la récupération des informations.
Les fonctions réellement utilisées doivent ensuite être évaluées en fonction des conséquences possibles d’une défaillance.
Une erreur d’affichage sur une page purement informative n’a pas le même impact que la perte d’un enregistrement de formation, la modification non autorisée d’une procédure approuvée ou l’absence de traçabilité d’une décision de libération.
Une validation proportionnée aux risques
Une approche fondée sur les risques permet de concentrer les efforts sur les fonctions qui peuvent affecter :
- la sécurité ou les performances du dispositif ;
- la qualité du produit ;
- la conformité réglementaire ;
- l’intégrité et la disponibilité des données ;
- la maîtrise des documents et des enregistrements ;
- la capacité à démontrer le respect des exigences du QMS.
Les fonctionnalités à faible risque peuvent être vérifiées au moyen de tests simples. Les fonctions critiques nécessitent des preuves plus structurées, comprenant des scénarios représentatifs, des résultats attendus, des résultats obtenus et une approbation formelle.
La validation ne doit donc pas devenir un exercice documentaire disproportionné. Elle doit fournir un niveau de confiance suffisant, reposant sur des preuves objectives adaptées aux risques.
La configuration fait partie du système
Dans Confluence, de nombreux éléments déterminants dépendent de la configuration choisie par l’utilisateur :
- l’organisation des espaces ;
- les groupes et droits d’accès ;
- les modèles de pages ;
- les statuts documentaires ;
- les workflows d’approbation ;
- les règles de publication ;
- les restrictions de modification ;
- la gestion des versions ;
- les automatisations ;
- les conventions d’archivage.
Ces éléments doivent être documentés et vérifiés lorsqu’ils participent à la maîtrise du QMS.
Une validation réalisée sur une configuration théorique ou standard ne suffit pas si l’environnement effectivement utilisé est différent.
Les applications complémentaires doivent être incluses
Confluence est fréquemment associé à des applications complémentaires pour gérer les workflows, les approbations, les signatures électroniques, les tableaux, les feuilles de calcul ou les rapports.
Ces applications peuvent jouer un rôle essentiel dans le fonctionnement du QMS. Il faut donc déterminer lesquelles entrent dans le périmètre de validation.
Il convient notamment de vérifier :
- la création et la modification des workflows ;
- l’identité et les droits des approbateurs ;
- l’horodatage des décisions ;
- la traçabilité des changements ;
- le comportement en cas de modification d’une page approuvée ;
- la conservation des preuves d’approbation ;
- les possibilités d’exportation et de récupération des données.
L’installation d’une application de signature ou d’approbation ne suffit pas, à elle seule, à démontrer que les exigences applicables sont respectées.
Quels documents préparer ?
Le dossier de validation peut rester relativement simple. Il devrait généralement comprendre :
- une description du système et de son périmètre ;
- la définition de l’usage prévu ;
- les exigences utilisateur pertinentes ;
- une analyse des risques ;
- une description de la configuration ;
- un plan de validation ;
- les scénarios de test et leurs résultats ;
- le traitement des anomalies et des déviations ;
- un rapport de validation ;
- une approbation pour la mise en service.
Les documents du fournisseur, les informations relatives à la sécurité, les historiques de version et les résultats d’essais disponibles peuvent être utilisés comme éléments justificatifs.
Ils ne remplacent toutefois pas la vérification de l’usage et de la configuration propres à l’organisation.
Maintenir l’état validé
La validation ne s’arrête pas lors de la mise en service. Confluence Cloud et ses applications complémentaires évoluent régulièrement.
L’organisation doit donc définir comment elle évalue :
- les mises à jour importantes ;
- les modifications de configuration ;
- l’ajout ou le remplacement d’une application ;
- les changements apportés aux workflows ;
- les nouvelles automatisations ;
- les incidents susceptibles d’affecter les fonctions qualité.
Chaque mise à jour ne nécessite pas une revalidation complète. Une analyse d’impact documentée doit permettre de déterminer si des essais complémentaires sont nécessaires.
Confluence peut-il donc servir d’eQMS ?
Oui. Confluence peut constituer un environnement efficace et adaptable pour un QMS ISO 13485, particulièrement pour les petites et moyennes entreprises MedTech qui souhaitent éviter un système d’entreprise complexe.
Sa flexibilité implique toutefois une responsabilité : l’organisation doit définir, maîtriser et vérifier la configuration qu’elle utilise.
La reconnaissance commerciale de Confluence ne constitue donc pas une exemption de validation. L’approche appropriée consiste à valider son usage prévu, les fonctions critiques, la configuration réellement déployée et les applications complémentaires pertinentes, selon un niveau d’effort proportionné aux risques.
Un module de validation inclus dans ReadySet
ReadySet contient un module consacré à la validation des logiciels utilisés dans le système de management de la qualité.
Ce module comprend une procédure de validation ainsi qu’un rapport structuré permettant de documenter :
- l’identification du logiciel, de l’instance et de sa configuration ;
- l’usage prévu du logiciel dans le QMS ;
- la classification fondée sur les risques pour la qualité du produit, la conformité réglementaire et l’intégrité des données ;
- le périmètre de validation, y compris les fonctions Confluence et les applications complémentaires concernées ;
- l’approche de validation retenue, par exemple selon une logique IQ, OQ et PQ ou une approche équivalente ;
- les activités de test et leurs résultats ;
- les éventuelles déviations et les actions correctives associées ;
- la conclusion et l’approbation de la validation ;
- les éléments de preuve conservés en annexe.
Le modèle couvre notamment la création et la modification des pages, la gestion des versions, les droits d’accès, les modèles de pages, les workflows d’approbation, les signatures électroniques, la traçabilité et les applications complémentaires utilisées par le QMS.
ReadySet ne signifie pas pour autant qu’une configuration Confluence est automatiquement validée dès son installation.
L’organisation reste responsable de définir son propre usage prévu, d’identifier sa configuration réelle, d’évaluer les risques et d’exécuter les tests applicables.
Le module fournit toutefois une méthode directement exploitable et une structure documentaire permettant de conduire cette validation de manière cohérente, traçable et proportionnée aux risques.
ReadySet for Confluence
ReadySet est un QMS ISO 13485 structuré dans Confluence. Il comprend un ensemble organisé de procédures, de formulaires et de documents de référence couvrant notamment :
- la maîtrise documentaire ;
- la conception et le développement ;
- la gestion des risques ;
- la gestion des fournisseurs ;
- les formations ;
- les CAPA ;
- les audits ;
- les activités après commercialisation.
En intégrant également les éléments nécessaires à la validation des logiciels utilisés dans le QMS, ReadySet aide l’organisation à traiter dès le départ un aspect souvent négligé lors du déploiement d’un eQMS basé sur Confluence.
Vous souhaitez découvrir ReadySet et son module de validation ? Contactez AZ Biotech Consulting pour demander une présentation.
Références
- ISO 13485:2016 — Dispositifs médicaux — Systèmes de management de la qualité
https://www.iso.org/standard/59752.html - ISO/TR 80002-2:2017 — Validation des logiciels utilisés dans les systèmes qualité des dispositifs médicaux
https://www.iso.org/standard/60044.html - FDA — Computer Software Assurance for Production and Quality Management System Software
https://www.fda.gov/regulatory-information/search-fda-guidance-documents/computer-software-assurance-production-and-quality-management-system-software
Donat De Groote, PhD. Plus de 40 ans d’expérience en qualité et affaires réglementaires. Fondateur d’AZ Biotech Consulting et créateur de ReadySet.