Sommaire de l’article
Une non-conformité critique est relevée en inspection parce que personne ne peut établir, a posteriori, quelle version de la procédure était en vigueur au moment où le lot a été fabriqué : le dossier existe, sa version effective ne se laisse pas reconstruire. Une investigation de déviation s’arrête sur un formulaire scanné, sans lien déclaré vers le lot, l’équipement ou le CAPA qu’il aurait dû justifier. Une action corrective est classée « clôturée » sans qu’aucune preuve de vérification n’ait été versée au dossier — la clôture est un statut, pas une démonstration. Trois défaillances distinctes, un mécanisme unique : le dossier existait, mais son identité, sa version ou ses dépendances n’avaient jamais été rendues explicites.
Une ligne de contrôle GMP défendable n’est pas un dossier partagé. C’est un graphe de preuve gouverné qui préserve l’identité, la provenance, la version et les dépendances de chaque dossier, teste son intégrité, expose les écarts non résolus et bloque la progression tant qu’une revue responsable n’est pas conclue.
- Registre source + dépendances
- Contrat de preuve exécutable
- Gouvernance des écarts en boucle fermée
- Porte de revue responsable
Les quatre couches convergent vers un seul objet : une ligne de contrôle GMP reconstructible. Trois parties pour les quatre couches : la partie 1 construit le registre source et dépendances, la partie 2 transforme la disponibilité documentaire en contrat d’intégrité exécutable, la partie 3 route chaque écart matériel vers une porte de revue responsable avant toute progression.
Ce que la ligne de contrôle exige
« Ligne de contrôle » se réduit trop souvent à un dossier partagé, correctement classé et à jour. La littérature ouverte sur les inspections GMP exige autre chose : un dossier ne prouve rien tant que son identité, sa version effective et ses dépendances ne sont pas explicites, et tant que son intégrité n’a pas été testée plutôt que supposée. Le vocabulaire vient ici aussi d’un livre plutôt que d’un standard pharmaceutique — The Checklist Manifesto: How to Get Things Right, d’Atul Gawande, dont l’édition consultée décrit un « submittal schedule » de chantier qui spécifiait, selon les mots du livre, qui devait parler à qui, avant quelle date, et à quel sujet (pages 65–66), puis distingue une checklist READ–DO d’une checklist DO–CONFIRM : dans la seconde, l’exécutant agit d’abord et ne s’arrête qu’à un point de pause défini pour vérifier que tout ce qui devait être fait l’a été (pages 122–123). Le texte intégral de ces pages n’a pas été vérifié pour cet article : la référence porte sur la structure du livre, consultable sur Google Books, pas sur une citation littérale de son contenu.
Transposé à un dossier GMP, un point de pause DO-CONFIRM ne remplace pas le jugement d’expert : il identifie les échanges d’information requis et empêche un travail dépendant de commencer avant que les bons dossiers n’aient été vérifiés par les bonnes personnes. Trois conditions opérationnelles en découlent, une par couche :
Cette synthèse vérifie ces trois conditions successivement. Aucune méta-analyse quantitative
ouverte n’évalue directement la transformation de dossiers GMP dispersés en une ligne de contrôle
unifiée : la source la plus proche est une revue de portée (scoping review) de 2025 —
classée systématique par la revue qui l’a publiée — qui a écarté 303 sources sur 377
identifiées et n’en a retenu que 74 : 14 publications académiques et 60 sources
documentaires qualifiées (grey literature). Une synthèse thématique plutôt que statistique :
elle ne doit pas être présentée comme une méta-analyse
(Frontiers in Medicine, 2025).
Deux sources la complètent : une étude rétrospective de 2024 portant sur 99 rapports
d’inspection GMP publiés dans 19 pays, et une preuve de concept de 2022 évaluant l’intégrité
ALCOA sur des données réelles de fabrication via une méthode ontologique. Nous examinons d’abord la
couche Registre (partie 1), puis Contrat de preuve (partie 2), puis
Gouvernance des écarts (partie 3).
Partie 1 — Le registre source & dépendances : donner une identité à chaque dossier
Première couche : transformer un dépôt de fichiers en registre. Un lot, une procédure, un équipement, une déviation et une approbation doivent chacun résoudre un identifiant sans ambiguïté, et chaque dossier doit déclarer la source qui fait autorité pour lui, son propriétaire, sa version effective, la période durant laquelle cette version s’appliquait, et le lot, le procédé, l’équipement ou le risque auquel il se rattache. La revue de 2025 formule cette exigence en termes opérationnels : un eQMS efficace doit maintenir un contrôle cohérent sur les procédures, les preuves de formation, les spécifications produit, les procédés de fabrication et les registres de maintenance des équipements et installations ; les versions à jour doivent rester accessibles et les documents obsolètes doivent être retirés (Frontiers in Medicine, 2025). Elle identifie aussi le stockage, la traçabilité et l’intégrité de transcription comme des risques propres à la transition du papier vers l’électronique — un rappel que le registre décrit ici doit couvrir les trois formats, pas seulement l’électronique.
Al Azawei et al., Frontiers in Medicine, 2025 — sous licence CC BY 4.0.« Literature search, PRISMA diagram, inclusion, and exclusion criteria. »
Ce que montre la figure : 447 sources identifiées (258 en base académique, 189 en littérature grise), 377 après retrait de 70 doublons, 198 résumés académiques examinés dont 148 exclus, 50 évaluées en texte intégral dont 36 exclues (mauvais format, résultat, comparateur ou texte introuvable) ; 14 publications académiques et 60 sources documentaires qualifiées retenues au final. La plupart des études académiques incluses restent jugées de qualité faible ou moyenne — une seule notée bonne, une seule excellente. Un registre solide doit donc composer avec une littérature académique encore jeune sur le sujet, complétée par une littérature grise abondante plutôt que remplacée par elle.
Sur les 99 rapports d’inspection publiés qu’analyse la seconde source retenue — inspections menées dans 19 pays entre 2013 et 2022 — la répartition par pays est hétérogène.
Lebanova et al., Pharmacia, 2024 — sous licence CC BY 4.0.« Breakdown of published reports by country. »
Ce que montre la figure : sur les 99 rapports publiés couvrant 19 pays sur 5 continents, la répartition est très concentrée : l’Inde (39) et la Chine (25) totalisent à elles seules près des deux tiers des rapports, chacun des autres pays (États-Unis, Canada, Brésil, Arabie saoudite, plusieurs pays européens) n’en comptant qu’un seul. Cette carte reflète la visibilité réglementaire publiée dans EudraGMDP, pas un échantillon représentatif de l’activité de fabrication mondiale.
Un registre construit sur ce seul jeu de rapports hériterait du même biais géographique : il faut le déclarer, pas le corriger silencieusement en moyennant.
record_id +
authoritative_source + owner + effective_version + applicable_period + linked_batch/process/equipment
+ supersession_stateLe registre répond à « quel dossier, quelle version, pour quoi ». Il ne répond pas à « ce dossier est-il correct, complet et daté sincèrement ». C’est la question de la couche suivante : le contrat de preuve exécutable.
Partie 2 — Le contrat de preuve exécutable : tester l’intégrité plutôt que la supposer
Deuxième couche. Un dossier identifié et versionné n’est toujours pas une preuve tant que son intégrité n’a pas été vérifiée contre des règles explicites. Reprenant la distinction READ–DO / DO–CONFIRM introduite plus haut : verser un dossier au registre est le travail ; sa validation d’intégrité est la porte DO–CONFIRM qui doit s’ouvrir avant qu’il ne compte comme preuve. Une preuve de concept de 2022 opérationnalise exactement cette porte : un système fondé sur une ontologie et des règles SWRL/SQWRL représente des données hétérogènes de fabrication pharmaceutique dans une structure sémantique unifiée, puis applique des règles pour tester des propriétés d’intégrité — évalué sur des données réelles de fabrication, pas seulement sur un jeu de données synthétique.
Lallas et al., Applied Sciences, 2022 — sous licence CC BY 4.0.« ALCOA violation data assessment. »
Ce que montre la figure : calculé sur un seul lot (LOT 932132), le taux de violation va de 0 % (Original, Enduring, Available) à 69,2 % (Attributable), avec Consistent et Accurate à 50 %, Legible et Contemporaneous à 25 %, Complete à 5,3 % : les neuf principes ne se dégradent pas ensemble, ce qui est précisément l’argument pour neuf règles indépendantes plutôt qu’un score unique. La figure démontre une faisabilité technique sur des données réelles de fabrication, pas une réduction mesurée du temps de revue de lot, des écarts d’inspection ou des ruptures qui en découlent — et elle documente un seul lot, pas une distribution sur un jeu de données plus large.
Les neuf critères que ce type de règle doit rendre exécutables, plutôt que listés dans une charte qualité :
| Critère | Test exécutable |
|---|---|
| Attribuable | Une personne responsable ou un utilisateur autorisé est identifié sur l’entrée. |
| Lisible | La valeur possède une représentation lisible et valide. |
| Contemporain | L’entrée porte la date et l’heure réelles de l’événement qu’elle documente. |
| Original | Toute modification ultérieure reste identifiable comme telle. |
| Exact | La valeur reste dans les contraintes permises pour le champ concerné. |
| Complet | Les champs obligatoires sont renseignés. |
| Cohérent | Les relations temporelles et logiques entre entrées restent cohérentes. |
| Pérenne | La durée de conservation exigée est respectée. |
| Disponible | Le dossier reste récupérable quand il est requis. |
Le contrat de preuve répond à « ce dossier est-il, en lui-même, digne de confiance ». Il ne répond pas à « ce dossier manque-t-il, contredit-il un autre dossier, ou son absence bloque-t-elle une décision ». C’est la question de la troisième couche.
Partie 3 — La gouvernance des écarts en boucle fermée : router chaque lacune matérielle vers une clôture
Troisième couche, et la plus proche du terrain de l’inspection : un point de pause placé immédiatement avant une transition conséquente — une décision de libération de lot, une promotion en production, une clôture de CAPA. L’objectif n’est pas une documentation exhaustive de tout ; c’est la vérification du nombre limité de conditions qui rendraient la progression dangereuse ou injustifiée. L’équivalent pharmaceutique du point de pause de Gawande est une porte de disposition de lot qui ne peut s’ouvrir tant qu’une dépendance requise reste absente, contradictoire, obsolète ou non résolue.
Lebanova et al., Pharmacia, 2024 — sous licence CC BY 4.0.« Average number of discrepancies by category. »
Ce que montre la figure : le nombre moyen de non-conformités critiques est presque identique entre les deux groupes (2,23 contre 2,72), mais l’écart se creuse nettement pour les non-conformités majeures (7,88 contre 11,6, soit +47 %) chez les fabricants dont l’autorisation de fabrication a été suspendue. 1 458 écarts ont été identifiés au total sur les 99 rapports publiés, dont 544 majeurs et 127 critiques. Association descriptive dans un jeu de données réglementaires rétrospectif : la figure ne démontre pas de causalité, et le déclin annuel du nombre de rapports publiés sur la période ne prouve pas, à lui seul, une amélioration de la conformité GMP.
La chaîne que la revue de 2025 décrit pour une inspection — revue documentaire, capture des constats en temps réel, dossiers CAPA accessibles, contrôles de cohérence, analyse de cause racine, mise à jour des procédures, réponse réglementaire — n’est pas une liste d’activités indépendantes ; c’est un pipeline à étapes distinctes, transposable à la gestion de tout écart détecté dans la ligne de contrôle :
- Lacune détectée
- Classification de matérialité
- Propriétaire désigné
- Correction ou exception justifiée
- Preuve à l’appui
- Revue indépendante
- Approbation ou rejet
- Confirmation d’efficacité
Les trois couches convergent maintenant vers une exigence commune, reprise dans la conclusion : un dossier n’intègre la ligne de contrôle que lorsque son identité, sa version, ses dépendances, son intégrité et — le cas échéant — sa résolution d’écart et sa revue indépendante sont toutes réunies. Aucune de ces cinq conditions, seule, ne suffit.
Dix principes à haut consensus
La revue de portée, l’étude rétrospective et la preuve de concept citées plus haut convergent vers dix règles de conception, déduites de leurs résultats combinés plutôt que mesurées directement par l’une d’entre elles :
- Une ligne de contrôle exige des identifiants stables. Lot, procédure, équipement, déviation et approbation doivent chacun résoudre sans ambiguïté.
- L’autorité doit être explicite. Chaque catégorie de dossier a une source qui fait autorité et une règle de supersession déclarées, jamais implicites.
- La validité temporelle fait partie du sens du dossier. Une procédure techniquement correcte peut rester invalide pour un lot si elle n’était pas en vigueur au moment de l’exécution.
- La complétude documentaire doit être exécutable. Les champs requis et les dépendances se valident par des règles, pas seulement par une relecture humaine.
- Les relations méritent un statut de premier ordre. Le lien entre deux dossiers compte autant que les fichiers eux-mêmes.
- Un désaccord ou une contradiction devient un objet contrôlé. Il porte une gravité, un propriétaire, une échéance et un statut de résolution — jamais masqué par un renvoi manuel.
- Une lacune matérielle est une condition d’arrêt. Une dépendance manquante à haut risque bloque la progression du lot ou de la décision.
- L’automatisation exige une revue responsable. Un résultat d’intégrité généré par une règle reste relié à l’identité du relecteur et à sa décision.
- La clôture exige plus qu’un changement de statut. La ligne conserve la preuve de correction, l’approbation et, le cas échéant, la vérification d’efficacité.
- Les résultats d’inspection doivent nourrir en retour le modèle de contrôle. Un constat peut être ramené à la règle de preuve qui a échoué, pour améliorer la prochaine porte.
Le graphe de décision, en clair
Traduit en étapes plutôt qu’en diagramme, le graphe de décision applicable à un dossier entrant se lit ainsi :
| Étape | Question | Suite |
|---|---|---|
| 1. Identité & source | La source autorisée et l’identité du dossier sont-elles connues ? | Non → mise en quarantaine, propriétaire désigné. Oui → étape suivante. |
| 2. Validité temporelle | La version est-elle celle en vigueur au moment du lot ou de l’événement ? | Non → mise en quarantaine. Oui → étape suivante. |
| 3. Intégrité | Les neuf critères ALCOA+ et les champs obligatoires sont-ils satisfaits ? | Non → écart contrôlé ouvert. Oui → étape suivante. |
| 4. Dépendances | Le dossier est-il relié au lot, au procédé, à l’équipement et au risque concerné, sans contradiction ? | Non → écart contrôlé ouvert. Oui → étape suivante. |
| 5. Matérialité | L’écart ouvert franchit-il le seuil qui exige une revue indépendante ? | Oui → porte DO-CONFIRM, approbation requise avant poursuite. Non → dossier jugé complet. |
| 6. Clôture | L’écart est-il résolu avec preuve de correction et approbation ? | Oui → dossier complet, ligne de contrôle reconstructible. Non → retour à l’étape 3 avec nouvelle preuve exigée. |
Un objet evidence_record porte, au minimum, ces champs :
evidence_record_id
record_type / gxp_domain
authoritative_source
owner
effective_version
applicable_period_start / applicable_period_end
supersedes / superseded_by
linked_batch_or_process
linked_equipment_or_risk
alcoa_status
missing_mandatory_fields
dependency_links
discrepancy_id
materiality
reviewer
review_disposition
resolution_evidence
effectiveness_verifiedConclusion — la ligne, pas le dossier partagé
Les trois scénarios d’ouverture correspondent chacun à la défaillance d’une couche distincte de la même ligne de contrôle : une non-conformité qui survit à l’inspection parce que le registre n’a jamais rendu la version effective reconstructible ; une investigation qui s’arrête sur un formulaire sans dépendance déclarée parce que le contrat de preuve n’a jamais été testé ; un CAPA « clôturé » sans preuve de vérification parce qu’aucune gouvernance d’écart n’exigeait de revue indépendante avant la clôture. La revue de portée, l’étude rétrospective et la preuve de concept citées plus haut convergent vers trois conditions opérationnelles :
- Un registre où chaque dossier porte une identité, une source, un propriétaire, une version effective et ses dépendances.
- Un contrat de preuve exécutable qui teste l’intégrité ALCOA+ plutôt que de la supposer.
- Une gouvernance des écarts en boucle fermée, qui bloque la progression tant qu’une revue responsable n’est pas conclue.
Ces trois conditions ont une conséquence d’architecture : elles supposent des systèmes reliés (eQMS, LIMS et MES plutôt que des silos), des rôles humains non négociables (propriétaire nommé par dossier, relecteur indépendant au-delà d’un seuil de matérialité, signataire de disposition), et une cadence propre à chaque couche plutôt qu’un rythme unique :
Les trois horloges convergent vers un seul objet reconstructible plutôt que vers trois systèmes qui s’ignorent. Ce cadre reste toutefois une hypothèse d’architecture, pas un résultat causal établi : aucune étude contrôlée ne mesure la réduction d’écarts majeurs ou de délai d’inspection qu’une telle ligne de contrôle produirait en pratique.
Ce qui reste incertain
- Aucune méta-analyse quantitative ouverte n’évalue directement la transformation de dossiers GMP dispersés en une ligne de contrôle unifiée ; la source la plus proche est une synthèse thématique, pas statistique.
- La plupart des études académiques incluses dans la revue de 2025 sont jugées de qualité faible ou moyenne, une seule bonne et une seule excellente.
- Le jeu de 99 rapports d’inspection reflète la visibilité réglementaire publiée, pas un échantillon représentatif de l’activité de fabrication mondiale ; le déclin annuel du nombre de rapports ne démontre pas, à lui seul, une amélioration de la conformité.
- La preuve de concept ALCOA de 2022 démontre une faisabilité technique sur des données réelles, pas une réduction mesurée du temps de revue de lot, des écarts d’inspection ou des ruptures qui en découlent ; sa figure de référence documente un seul lot, pas une distribution de violations sur un ensemble de lots plus large.
- Le passage exact du livre de Gawande devra être vérifié dans l’édition finale avant toute citation littérale ; seule la structure du livre a été contrôlée ici.
- Un classement de solutions eQMS commerciales ne serait pas défendable à partir de ces seules sources : il faudrait des protocoles de benchmark comparables et des données de performance accessibles.
Un benchmark ouvert pour tester l’hypothèse
Un artefact neutre vis-à-vis du domaine permettrait de tester cette architecture sans publier la
moindre donnée GMP réelle ou de patient : evidence-line-control-benchmark.
evidence-line-control-benchmark/
├── schemas/ modèles evidence_record, dependency, discrepancy, review
├── records/ dossiers synthétiques, versions et périodes de validité
├── rules/ règles d’intégrité ALCOA+ et de complétude, exécutables
├── scenarios/ contradictions, dépendances manquantes, versions expirées
├── gates/ tests de porte de disposition, seuils de matérialité
├── metrics/ délai de détection, faux positifs, temps de revue, taux de clôture sans preuve
├── notebooks/ analyses et figures reproductibles
└── governance/ revue indépendante, dérogations et lignage d’auditLes métriques utiles : proportion de dossiers sans propriétaire ni version effective, complétude du lignage de dépendances, délai entre détection d’écart et clôture, proportion de clôtures sans preuve de résolution jointe, et proportion de décisions dont l’efficacité a été vérifiée après coup. De quoi comparer des architectures de contrôle documentaire sans prétendre qu’un eQMS commercial constitue, à lui seul, une ligne de contrôle.
Si cette architecture recoupe une décision que vous devez déjà défendre en environnement réglementé, le programme Assurance preuve-décision pharmaceutique part du même principe : la preuve avant l’affirmation.
Sources citées
- Gawande, A. (2010). The Checklist Manifesto: How to Get Things Right. Metropolitan Books. Structure du livre consultée sur Google Books (pp. 65–66 ; pp. 122–123).
- Al Azawei, A., Loughrey, K., Surim, K., Connolly, M. E., & Naughton, B. D. (2025). The management of good manufacturing practice (GMP) inspections: A scoping review of the evidence. Frontiers in Medicine, 12, 1687864. doi.org/10.3389/fmed.2025.1687864.
- Lebanova, H., Stoev, S., & Petrova, G. (2024). Analysis of non-compliances identified in GMP inspections between 2013 and 2022. Pharmacia, 71, 1–6. pharmacia.pensoft.net/article/120053.
- Lallas, E. N., Santouridis, I., Mountzouris, G., Gerogiannis, V. C., & Karageorgos, A. (2022). An SQWRL-based method for assessing regulatory compliance in the pharmaceutical industry. Applied Sciences, 12(21), 10923. mdpi.com/2076-3417/12/21/10923.
A critical non-conformance is raised at inspection because nobody can establish, after the fact, which procedure version was in force when the batch was manufactured: the record exists, but its effective version cannot be reconstructed. A deviation investigation stalls on a scanned form with no declared link to the batch, the equipment or the CAPA it was meant to justify. A corrective action is marked "closed" with no verification evidence ever filed against it — closure is a status, not a demonstration. Three distinct failures, one mechanism: the record existed, but its identity, version or dependencies were never made explicit.
A defensible GMP control line is not a shared folder. It is a governed evidence graph that preserves each record's identity, provenance, version and dependencies, tests its integrity, exposes unresolved gaps, and blocks progression until accountable review is complete.
- Source + dependency registry
- Executable evidence contract
- Closed-loop exception governance
- Accountable review gate
The four layers converge on one object: a reconstructable GMP control line. Three parts for the four layers: part 1 builds the source and dependency registry, part 2 turns document availability into an executable integrity contract, part 3 routes every material gap to an accountable review gate before progression.
What the control line requires
"Control line" is too often reduced to a shared folder that is correctly filed and up to date. The open literature on GMP inspections requires something else: a record proves nothing until its identity, effective version and dependencies are explicit, and until its integrity has been tested rather than assumed. The vocabulary comes from a book here too, rather than a pharmaceutical standard — Atul Gawande's The Checklist Manifesto: How to Get Things Right, whose consulted edition describes a construction "submittal schedule" that specified, in the book's own words, who had to talk to whom, by which date, and about what (pages 65–66), then distinguishes a READ–DO checklist from a DO–CONFIRM checklist: in the latter, the performer acts first and only stops at a defined pause point to verify that everything required was in fact done (pages 122–123). The full text of those pages was not verified for this article: the reference is to the book's structure, checkable on Google Books, not to a literal quotation of its content.
Applied to a GMP record, a DO–CONFIRM pause point does not replace expert judgement: it identifies the required information exchanges and prevents dependent work from starting before the right records have been verified by the right people. Three operational conditions follow, one per layer:
This synthesis checks these three conditions in turn. No open quantitative meta-analysis directly
evaluates turning scattered GMP records into one unified control line: the closest available source is
a 2025 scoping review — classified as systematic by the journal that published it — which screened out
303 of 377 identified sources and retained only 74: 14 academic publications and 60 qualified
grey-literature sources. A thematic synthesis rather than a statistical one: it should not be
presented as a meta-analysis
(Frontiers in Medicine, 2025).
Two sources complete it: a 2024 retrospective study of 99 published GMP inspection reports across 19
countries, and a 2022 proof of concept assessing ALCOA integrity on real manufacturing data through an
ontology-based method. We examine the Registry layer first (part 1), then
Evidence contract (part 2), then Exception governance (part 3).
Part 1 — The source & dependency registry: giving every record an identity
First layer: turning a file repository into a registry. A batch, a procedure, a piece of equipment, a deviation and an approval each need to resolve to an unambiguous identifier, and every record needs to declare the source that is authoritative for it, its owner, its effective version, the period during which that version applied, and the batch, process, equipment or risk it attaches to. The 2025 review states this requirement in operational terms: an effective eQMS should provide consistent control over SOPs, training evidence, product specifications, manufacturing processes, and equipment or facility maintenance records; current versions should remain accessible and obsolete documents should be removed (Frontiers in Medicine, 2025). It also flags storage, traceability and transcription integrity as risks specific to the paper-to- electronic transition — a reminder that the registry described here has to cover all three formats, not electronic records alone.
Al Azawei et al., Frontiers in Medicine, 2025 — licensed CC BY 4.0.“Literature search, PRISMA diagram, inclusion, and exclusion criteria.”
What the figure shows: 447 sources identified (258 from academic databases, 189 from grey literature), 377 after removing 70 duplicates, 198 academic abstracts screened with 148 excluded, 50 assessed in full text with 36 excluded (wrong setting, outcome, comparator or no full text available); 14 academic publications and 60 qualified grey-literature sources included in the end. Most included academic studies are still rated low or moderate quality — only one is rated good, one excellent. A solid registry has to work with an academic literature that is still thin on this exact topic, complemented by abundant grey literature rather than replaced by it.
Across the 99 published inspection reports the second included source analyses — inspections carried out in 19 countries between 2013 and 2022 — the country distribution is heterogeneous.
Lebanova et al., Pharmacia, 2024 — licensed CC BY 4.0.“Breakdown of published reports by country.”
What the figure shows: across the 99 published reports spanning 19 countries on 5 continents, the distribution is heavily concentrated: India (39) and China (25) alone account for close to two-thirds of reports, while every other country (United States, Canada, Brazil, Saudi Arabia, several European countries) contributes just one. This map reflects published regulatory visibility inside EudraGMDP, not a representative sample of global manufacturing activity.
A registry built on this report set alone would inherit the same geographic bias: it needs to be declared, not silently averaged away.
record_id +
authoritative_source + owner + effective_version + applicable_period + linked_batch/process/equipment
+ supersession_stateThe registry answers "which record, which version, for what". It does not answer "is this record correct, complete and honestly dated". That is the next layer's question: the executable evidence contract.
Part 2 — The executable evidence contract: testing integrity instead of assuming it
Second layer. An identified, versioned record still is not evidence until its integrity has been checked against explicit rules. Picking up the READ–DO / DO–CONFIRM distinction from above: filing a record into the registry is the work; its integrity validation is the DO–CONFIRM gate that has to open before it counts as evidence. A 2022 proof of concept operationalises exactly that gate: a system built on an ontology and SWRL/SQWRL rules represents heterogeneous pharmaceutical manufacturing data in a unified semantic structure, then applies rules to test integrity properties — evaluated on real manufacturing data, not on a synthetic dataset alone.
Lallas et al., Applied Sciences, 2022 — licensed CC BY 4.0.“ALCOA violation data assessment.”
What the figure shows: calculated for a single batch (LOT 932132), the violation rate ranges from 0% (Original, Enduring, Available) to 69.2% (Attributable), with Consistent and Accurate at 50%, Legible and Contemporaneous at 25%, and Complete at 5.3%: the nine principles do not degrade together, which is exactly the argument for nine independent rules rather than one composite score. The figure demonstrates technical feasibility on real manufacturing data, not a measured reduction in batch-review time, inspection findings, or the shortages that follow from them — and it documents a single batch, not a distribution across a larger dataset.
The nine criteria this kind of rule set has to make executable, rather than list in a quality charter:
| Criterion | Executable test |
|---|---|
| Attributable | A responsible person or authorised user is identified on the entry. |
| Legible | The value has a valid, readable representation. |
| Contemporaneous | The entry carries the real date and time of the event it documents. |
| Original | Any later modification remains identifiable as such. |
| Accurate | The value stays within the permitted constraints for that field. |
| Complete | Mandatory fields are populated. |
| Consistent | Temporal and logical relationships between entries stay coherent. |
| Enduring | The required retention period is preserved. |
| Available | The record remains retrievable when required. |
The evidence contract answers "is this record, on its own terms, trustworthy". It does not answer "is this record missing, does it contradict another one, or does its absence block a decision". That is the third layer's question.
Part 3 — Closed-loop exception governance: routing every material gap to closure
Third layer, and the closest to the ground an inspector walks: a pause point placed immediately before a consequential transition — a batch-release decision, a promotion to production, a CAPA closure. The goal is not exhaustive documentation of everything; it is verification of the limited number of conditions that would make progression unsafe or unjustified. The pharmaceutical equivalent of Gawande's pause point is a batch-disposition gate that cannot open while a required dependency remains absent, contradictory, obsolete or unresolved.
Lebanova et al., Pharmacia, 2024 — licensed CC BY 4.0.“Average number of discrepancies by category.”
What the figure shows: the average number of critical deficiencies is almost identical between the two groups (2.23 versus 2.72), but the gap widens sharply for major deficiencies (7.88 versus 11.6, a +47% difference) among manufacturers whose manufacturing authorisation was suspended. 1,458 deficiencies were identified in total across the 99 published reports, including 544 major and 127 critical. A descriptive association within a retrospective regulatory dataset: the figure does not demonstrate causality, and the annual decline in the number of published reports over the period does not, on its own, prove improving GMP compliance.
The chain the 2025 review describes for an inspection — documentation review, real-time finding capture, accessible CAPA records, consistency checks, root-cause analysis, SOP updates, regulatory response — is not a list of independent activities; it is a pipeline of distinct steps, transposable to managing any gap detected inside the control line:
- Detected gap
- Materiality classification
- Accountable owner
- Correction or justified exception
- Supporting evidence
- Independent review
- Approval or rejection
- Effectiveness confirmation
The three layers now converge on a shared requirement, picked up in the conclusion: a record only enters the control line once its identity, version, dependencies, integrity and — where applicable — its exception resolution and independent review are all in place. No single one of these five conditions is enough on its own.
Ten high-consensus design principles
The scoping review, the retrospective study and the proof of concept cited above converge on ten design rules, deduced from their combined findings rather than directly measured by any one of them:
- A control line requires stable identifiers. Batch, procedure, equipment, deviation and approval each need to resolve unambiguously.
- Authority must be explicit. Every record category has a declared authoritative source and supersession rule, never an implicit one.
- Temporal validity is part of a record's meaning. A technically correct procedure can still be invalid for a batch if it was not in force at execution time.
- Document completeness must be executable. Required fields and dependencies are validated by rules, not by a human read-through alone.
- Relationships deserve first-class status. The link between two records matters as much as the files themselves.
- A disagreement or contradiction becomes a controlled object. It carries a severity, an owner, a deadline and a resolution status — never silently overridden by hand.
- A material gap is a stop condition. A missing, high-risk dependency blocks the batch or the decision from progressing.
- Automation requires accountable review. A rule-generated integrity result stays linked to the reviewer's identity and disposition.
- Closure requires more than a status change. The line retains correction evidence, approval and, where applicable, effectiveness verification.
- Inspection findings should feed back into the control model. A finding can be traced back to the evidence rule that failed, to improve the next gate.
The decision graph, in plain steps
Translated into steps rather than a diagram, the decision graph applied to an incoming record reads as follows:
| Step | Question | Next |
|---|---|---|
| 1. Identity & source | Are the authoritative source and the record's identity known? | No → quarantine, owner assigned. Yes → next step. |
| 2. Temporal validity | Is this the version in force at the time of the batch or event? | No → quarantine. Yes → next step. |
| 3. Integrity | Are the nine ALCOA+ criteria and mandatory fields satisfied? | No → controlled discrepancy opened. Yes → next step. |
| 4. Dependencies | Is the record linked to the relevant batch, process, equipment and risk, without contradiction? | No → controlled discrepancy opened. Yes → next step. |
| 5. Materiality | Does the open discrepancy cross the threshold requiring independent review? | Yes → DO-CONFIRM gate, approval required before proceeding. No → record judged complete. |
| 6. Closure | Is the discrepancy resolved with correction evidence and approval? | Yes → record complete, control line reconstructable. No → back to step 3 with new evidence required. |
An evidence_record object carries, at minimum, these fields:
evidence_record_id
record_type / gxp_domain
authoritative_source
owner
effective_version
applicable_period_start / applicable_period_end
supersedes / superseded_by
linked_batch_or_process
linked_equipment_or_risk
alcoa_status
missing_mandatory_fields
dependency_links
discrepancy_id
materiality
reviewer
review_disposition
resolution_evidence
effectiveness_verifiedConclusion — the line, not the shared folder
Each of the three opening scenarios maps to the failure of a distinct layer in the same control line: a non-conformance that survives inspection because the registry never made the effective version reconstructable; an investigation stalling on a form with no declared dependency because the evidence contract was never tested; a CAPA "closed" with no verification evidence because no exception governance required independent review before closure. The scoping review, the retrospective study and the proof of concept cited above converge on three operational conditions:
- A registry where every record carries an identity, a source, an owner, an effective version and its dependencies.
- An executable evidence contract that tests ALCOA+ integrity rather than assuming it.
- Closed-loop exception governance that blocks progression until accountable review is complete.
These three conditions carry an architectural consequence: they require connected systems (eQMS, LIMS and MES rather than silos), non-negotiable human roles (a named owner per record, an independent reviewer past a materiality threshold, a disposition signatory), and a cadence specific to each layer rather than a single rhythm:
All three clocks converge on a single reconstructable object rather than on three systems that ignore each other. This framework remains an architectural hypothesis, though, not an established causal result: no controlled study measures the reduction in major discrepancies or inspection lead time that a control line like this would produce in practice.
What remains uncertain
- No open quantitative meta-analysis directly evaluates turning scattered GMP records into a unified control line; the closest source is a thematic synthesis, not a statistical one.
- Most academic studies included in the 2025 review are rated low or moderate quality, with only one rated good and one excellent.
- The 99-report inspection dataset reflects published regulatory visibility, not a representative sample of global manufacturing activity; the annual decline in published reports does not, on its own, demonstrate improving compliance.
- The 2022 ALCOA proof of concept demonstrates technical feasibility on real data, not a measured reduction in batch-review time, inspection findings, or the shortages that follow from them; its reference figure documents a single batch, not a violation distribution across a wider batch set.
- The exact passage from Gawande's book still needs verification against the final edition before any literal quotation; only the book's structure was checked here.
- A ranking of commercial eQMS vendors would not be defensible from these sources alone: it would require comparable benchmark protocols and accessible performance data.
An open benchmark to test the hypothesis
A domain-neutral artefact would let this architecture be tested without publishing a single real GMP
or patient record: evidence-line-control-benchmark.
evidence-line-control-benchmark/
├── schemas/ evidence_record, dependency, discrepancy and review models
├── records/ synthetic records, versions and validity periods
├── rules/ executable ALCOA+ integrity and completeness rules
├── scenarios/ contradictions, missing dependencies, expired versions
├── gates/ disposition-gate tests, materiality thresholds
├── metrics/ detection lead time, false positives, review time, unevidenced-closure rate
├── notebooks/ reproducible analyses and figures
└── governance/ independent review, overrides and audit lineageUseful metrics: the share of records with no owner or effective version, dependency-lineage completeness, time between discrepancy detection and closure, the share of closures with no resolution evidence attached, and the share of decisions whose effectiveness was verified after the fact. Enough to compare document-control architectures without claiming that a commercial eQMS is, on its own, a control line.
If this architecture overlaps a decision you already have to defend in a regulated environment, the Pharmaceutical Evidence-to-Decision Assurance programme starts from the same principle: proof before assertion.
Sources cited
- Gawande, A. (2010). The Checklist Manifesto: How to Get Things Right. Metropolitan Books. Book structure checked on Google Books (pp. 65–66; pp. 122–123).
- Al Azawei, A., Loughrey, K., Surim, K., Connolly, M. E., & Naughton, B. D. (2025). The management of good manufacturing practice (GMP) inspections: A scoping review of the evidence. Frontiers in Medicine, 12, 1687864. doi.org/10.3389/fmed.2025.1687864.
- Lebanova, H., Stoev, S., & Petrova, G. (2024). Analysis of non-compliances identified in GMP inspections between 2013 and 2022. Pharmacia, 71, 1–6. pharmacia.pensoft.net/article/120053.
- Lallas, E. N., Santouridis, I., Mountzouris, G., Gerogiannis, V. C., & Karageorgos, A. (2022). An SQWRL-based method for assessing regulatory compliance in the pharmaceutical industry. Applied Sciences, 12(21), 10923. mdpi.com/2076-3417/12/21/10923.
Voir aussi
- Pharmaceutical Evidence-to-Decision Assurance Le mandat qui relie donnée régulée, décision et dossier d’inspection.
- Data & outillage Outils systèmes, indexation et persistance vérifiables, écrits pour durer.
- Calculateur de mission Chiffrer l’enveloppe de ce type de mission, calcul local et reproductible.