Mickael RutembyaIA · Data · R&D vérifiable

Articles Données & environnements régulés

Maîtrise du risque qualité : une justification, un propriétaire, une issue

Un score de risque n’est pas une preuve de maîtrise, et un dossier fermé n’est pas un risque disparu. Synthèse de la littérature ouverte sur la gestion du risque qualité — pourquoi un risque n’est réellement maîtrisé que lorsqu’il porte une justification traçable, un propriétaire responsable et un critère de sortie vérifié par la preuve, pas seulement un chiffre de priorité et un statut « clos ».

Publié le
Lecture
15 min
Sommaire de l’article

Un risque qualité est identifié, coté, discuté en revue — puis le dossier est clos. Six mois plus tard, un risque presque identique est rouvert sous un autre identifiant, avec une autre cote, sans qu’aucun lien ne subsiste avec la décision précédente : personne ne peut dire pourquoi le premier avait été jugé maîtrisé, qui en portait la responsabilité, ni quelle preuve avait justifié sa clôture.

L’hypothèse de recherche est la suivante : la gestion du risque qualité est effective lorsque chaque risque matériel porte une question de risque explicite et une justification appuyée sur des preuves ; est relié à un effet plausible sur la qualité produit et la protection du patient ; est évalué et priorisé avec son incertitude visible ; a un propriétaire responsable unique, une action et une échéance ; dispose de critères de sortie prédéfinis ; n’est clos qu’après preuve d’efficacité et acceptation du risque résiduel ; et reste soumis à un déclencheur de revue explicite.

Cette hypothèse est conditionnellement soutenue, mais non validée comme un effet causal pharmaceutique unique. L’ICH Q9(R1) définit le QRM comme un processus de cycle de vie couvrant évaluation, maîtrise, communication et revue du risque ; l’OMS exige explicitement une question de risque, des preuves de fond, un responsable, des ressources, une échéance, des livrables, des rôles documentés, un suivi et une revue, le tout relié in fine à la protection du patient. Mais aucune méta-analyse groupée en libre accès n’a été localisée pour l’ensemble du cycle de vie du risque décrit ici : la revue systématique la plus proche (Dastjerdi et al., 22 études retenues sur la FMEA en établissement de santé) et la revue de portée la plus récente (Vecchia et al., 2025, sur la FMEA en maladies infectieuses) restent toutes deux des synthèses narratives, sans effet groupé. Le mécanisme est défendable au niveau opérationnel ; une affirmation causale universelle du type « cette méthode réduit le risque de X % » ne l’est pas.

Cette synthèse reste à l’intérieur de la mécanique d’un enregistrement de risque unique, de la question à la clôture. Elle ne couvre pas la gouvernance MAH‑CDMO ou fournisseur, la gestion de pénurie ou de disponibilité produit, la montée en charge ou la préparation au lancement, l’architecture générale de lignée décisionnelle, l’alignement inter‑fonctionnel, ni le cadrage émotionnel ou social du risque : chacun de ces sujets est un objet d’analyse distinct.

Partie 1 — Donner au risque une justification

Thinking in Bets d’Annie Duke distingue la qualité de la décision de la qualité du résultat : l’information incomplète et le hasard font qu’un bon résultat ne prouve pas une bonne décision, et qu’un mauvais résultat n’en prouve pas une mauvaise. Le passage pertinent ouvre le chapitre « Fielding the Unfolding Future », à la page 75 de l’édition Penguin de 2018. Appliqué au QRM : un enregistrement de risque doit conserver ce qui était su, inconnu et supposé au moment de la décision — un score seul, sans sa question de risque, ses preuves et son incertitude, ne peut pas démontrer la qualité de la décision qui l’a produit.

Figure 1
Arbre d’analyse hiérarchique des tâches de dispensation en pharmacie, avec la sous-tâche 3.0 développée jusqu’à son niveau le plus fin.Ashour, Phipps & Ashcroft (2022), sous licence CC BY 4.0

« HTA of dispensing task including complete high-level subtasks and expanded view of sub-task 3.0. A single black line beneath a sub-task indicates it's the lowest level. »

Source
Ashour, A., Phipps, D. L., & Ashcroft, D. M., Figure 1, Predicting dispensing errors in community pharmacies: An application of the Systematic Human Error Reduction and Prediction Approach (SHERPA)
Publication
PLOS ONE, 17(1), e0261672, 2022

L’arbre décompose la dispensation en neuf tâches de haut niveau, puis développe la tâche 5 (« compléter la vérification finale des médicaments ») jusqu’à des sous-tâches de troisième et quatrième niveau — vérifier le nom, la force et la quantité du médicament, vérifier l’identité du patient. C’est cette décomposition, construite à partir de 12 heures d’observation en officine et de groupes de discussion de pharmaciens, qui a permis d’identifier 88 erreurs potentielles : un libellé de processus large (« dispenser une prescription ») ne les aurait pas révélées.

La décomposition fine du procédé révèle des risques que des libellés de processus larges dissimulent. Dans l’étude SHERPA ci-dessus, menée sur trois pharmacies communautaires, l’analyse hiérarchique des tâches a permis d’identifier 88 erreurs potentielles : 28 associées à la production des étiquettes et 28 à la vérification finale du médicament.

Dans une étude FMEA menée dans un centre d’essais cliniques (Lee et al., 2017), six processus centraux ont produit 114 modes de défaillance, avec des indices de criticité (RPN) allant de 3 à 378. Quatorze ont été classés à haut risque et 11 ont reçu une action corrective ; la réévaluation à un an a montré une réduction des scores d’occurrence et de détectabilité — un résultat encourageant, mais qui porte sur une seule installation et sans groupe témoin.

Une justification défendable suit cette chaîne :

Question de risque
→ étape de procédé et état attendu
→ mode de défaillance
→ cause
→ contrôles existants
→ conséquence qualité produit
→ conséquence patient
→ preuves à l’appui
→ hypothèses et lacunes de connaissance

Un RPN est un résultat de priorisation, pas la justification elle-même. L’OMS définit l’identification du risque par référence à la question de risque sous-jacente et exige des informations à l’appui concernant le danger, le dommage et l’impact sur la santé humaine.

Mécanisme soutenuDécomposer le procédé jusqu’au niveau où les modes de défaillance et les points de récupération deviennent observables augmente le nombre de risques identifiés, par rapport à une analyse au niveau du processus global.
Non établiQu’un RPN élevé, à lui seul, démontre une justification suffisante : la source des preuves et l’incertitude derrière le score doivent rester visibles.

Partie 2 — Donner au risque un propriétaire et une action crédible

The Effective Executive de Peter Drucker relie l’efficacité à la contribution, à la priorité et à la conversion du savoir en résultats. Le chapitre pertinent, « What Can I Contribute? », s’ouvre à la page 52 de l’édition Harper & Row de 1967. Pour le QRM : « l’équipe » ne peut pas être le propriétaire final responsable. Plusieurs personnes peuvent contribuer à l’analyse, mais un rôle nommé unique doit porter la responsabilité de l’action, de la preuve d’implémentation et de l’escalade.

Figure 2
Organigramme en trois panneaux d’un procédé de laboratoire scientifique, décomposé en étapes opérationnelles détaillées pour chaque sous-procédé.Mascia et al. (2020), sous licence CC BY 4.0

« Flowchart of the pilot process under analysis. The process comprises three sub-processes: a RNA Aptamer Dephosphorylation and Extraction; b RNA Aptamer Phosphorylation and Purification; and c Cell-binding Assay. The double-sided boxes are predefined processes (series of activities no further detailed). »

Source
Mascia, A., Cirafici, A. M., Bongiovanni, A., et al., Figure 1, A failure mode and effect analysis (FMEA)-based approach for risk assessment of scientific processes in non-regulated research laboratories
Publication
Springer Nature, Accreditation and Quality Assurance, 25(5–6), 311–321, 2020

Chaque sous-procédé est décomposé en étapes opérationnelles précises (mélange, extraction, centrifugation, lecture) avec leurs paramètres — la granularité nécessaire pour qu’une analyse FMEA identifie un mode de défaillance à l’étape, pas au sous-procédé. C’est cette même équipe et cette même rigueur de cartographie qui, dans son compte-rendu, n’a pas documenté qui portait chaque action corrective ni à quelle échéance : la décomposition du procédé et la propriété de l’action sont deux exigences distinctes, et la première ne garantit pas la seconde.

L’étude FMEA de procédés scientifiques de Mascia et al., illustrée ci-dessus, documente en détail son équipe et sa structure d’analyse — mais son compte-rendu expose aussi une lacune de cycle de vie utile comme contre-exemple : les actions proposées sont enregistrées sans que la personne responsable, le statut de mise en œuvre ou les dates prévues/réelles ne soient définis. Le suivi et la revue du plan de traitement ne sont pas rapportés. Un contre-exemple utile : identification et priorisation ont été réalisées avec rigueur, mais la gouvernance de clôture reste incomplète.

La force de la mesure compte également. Dans l’étude SHERPA de la partie précédente, sur 35 mesures proposées, seules 5 — 14 % — sont classées fortes ; 46 % sont faibles et 40 % intermédiaires. Les contrôles les plus forts sont ceux qui dépendent le moins d’une vigilance humaine répétée. Les auteurs notent explicitement que les mesures proposées nécessitaient encore une évaluation avant déploiement large.

Chaque action de traitement a besoin du tuple de contrôle suivant :

Propriétaire de l’action
+ autorité et ressources
+ échéance
+ mécanisme de contrôle
+ processus ou CQA/CPP affecté
+ réduction de risque attendue
+ preuve de mise en œuvre
+ seuil d’escalade

La formation, les rappels et la vérification supplémentaire ne devraient pas être traités comme automatiquement équivalents à une refonte, une automatisation, une contrainte ou un anti-erreur (« error-proofing »). L’action retenue doit porter une justification expliquant pourquoi la force de son contrôle est proportionnée au risque patient et produit.

Non établiQu’un plan d’action documenté équivaille à une action possédée : sans propriétaire nommé, échéance et seuil d’escalade, l’action reste une intention.
Mécanisme soutenuLe système doit représenter l’autorité du propriétaire, la force du contrôle choisi et la preuve de mise en œuvre — pas seulement le texte de l’action proposée.

Partie 3 — Donner au risque une issue

The Checklist Manifesto d’Atul Gawande traite de l’échec évitable dans des systèmes complexes et sous pression, en convertissant les exigences essentielles en vérifications exécutables. Les passages pertinents sont « The Checklist Factory », à la page 114, et « The Test », à la page 136 de l’édition Profile Books de 2010. Pour le QRM, le concept de checklist est le plus utile à la clôture : l’organisation doit définir, avant la mise en œuvre, quelle preuve démontrera qu’un contrôle de risque fonctionne réellement.

Figure 3
Tableau à trois colonnes associant cinq risques inacceptables identifiés à leurs mesures de contrôle et à leur réévaluation dans deux hôpitaux chinois.Luan et al. (2025), sous licence CC BY 4.0

« Control measures and re-evaluation of unacceptable risks. »

Source
Luan, X., Ke, L., Feng, M., et al., Tableau 3, Risk management in POCT blood glucose monitoring: FMEA approach aligned with ISO 15189:2022
Publication
PLOS ONE, 20(3), e0319817, 2025

Sur les cinq catégories de risque inacceptable identifiées — vérification de performance avant mise en service, formation du personnel, calibration, contrôle qualité, gestion des données —, chaque contrôle appliqué est immédiatement suivi de sa réévaluation : toutes les catégories traitées retombent à un niveau « acceptable » une fois leur contrôle spécifique en place. Les deux hôpitaux atteignent ce même verdict par des mécanismes structurellement différents : l’hôpital de Shenzhen mise sur l’automatisation IT (surveillance en temps réel, identification code-barres/RFID, sauvegarde automatique), l’hôpital de Wuhan sur la vérification manuelle (registres papier, audits manuels, classement papier). Le tableau ne montre donc pas un contrôle universel, mais deux chemins de contrôle distincts menant chacun à une réévaluation vérifiée.

Le tableau ci-dessus démontre que « critère de sortie atteint » doit être jugé au regard du mécanisme de contrôle propre à chaque site, pas seulement de l’étiquette de risque obtenue en sortie. Un risque ne devrait être clos que lorsque les cinq conditions suivantes sont vraies :

Action complétée ET critère de sortie atteint ET efficacité démontrée par la preuve ET risque résiduel accepté ET déclencheur de revue défini.

Une tâche complétée n’est pas automatiquement un risque clos. Lorsque la preuve est insuffisante, les états corrects sont ouvert, en surveillance, escaladé, retraitement requis, ou accepté avec risque résiduel documenté.

Mécanisme soutenuLa réévaluation post-contrôle, effectuée avec la même grille que la cotation initiale, est ce qui distingue un contrôle proposé d’un contrôle vérifié.
Non établiQu’une réduction de score modélisée ou prévue équivale à une efficacité observée : seule une réévaluation post-implémentation, sur la même échelle, permet de le conclure.

Conclusion

La recherche soutient une boucle de contrôle fermée :

Justification → conséquence patient/produit → priorité → propriétaire → action → preuve d’efficacité → décision de risque résiduel → clôture ou réouverture.

Elle ne soutient pas une affirmation numérique universelle selon laquelle une architecture de QRM donnée réduirait le risque pharmaceutique d’un pourcentage fixe : aucune méta-analyse groupée éligible n’a été localisée. La distinction décisive n’est donc pas entre un risque coté et un risque non coté. C’est entre un risque simplement documenté et un risque qui porte un chemin traçable, testé par la preuve, vers un état final explicitement gouverné.

Un score de risque n’est pas une preuve de maîtrise ; un dossier fermé n’est pas un risque disparu. Sans propriétaire nommé, sans critère de sortie prédéfini et sans preuve d’efficacité observée après une exposition suffisante, chaque risque « clos » reste, en réalité, un risque non vérifié.

Dix concepts distillés de la preuve

  1. La primauté de la question de risque. Établir le problème de décision avant de choisir un outil de cotation.
  2. La granularité du procédé. Décomposer le travail jusqu’à ce que les défaillances plausibles et les points de récupération deviennent observables.
  3. Le lien produit/patient. Expliquer comment chaque défaillance peut altérer la qualité, la sécurité ou l’efficacité.
  4. La cotation qualifiée par la preuve. Conserver les sources, hypothèses et incertitudes derrière la sévérité, l’occurrence et la détectabilité.
  5. La priorité n’est pas le contrôle. Un RPN ou un score de danger identifie l’attention requise ; il ne prouve pas la maîtrise.
  6. La responsabilité à un seul point. Assigner un propriétaire unique, doté d’autorité, de ressources et d’une échéance.
  7. La justification de la force de contrôle. Préférer contraintes système et refonte à la vigilance répétée, quand c’est proportionné au risque.
  8. Le critère de sortie prospectif. Définir le succès avant que l’action ne soit mise en œuvre, pas après.
  9. La vérification d’efficacité. Utiliser une preuve observée après contrôle, pas seulement une recotation prédite ou modélisée.
  10. La gouvernance du risque résiduel. Clore, accepter, escalader ou rouvrir explicitement ; ne jamais laisser un risque disparaître administrativement.

Graphe de décision d’application

PorteQuestionSuite
1. IdentifiéLa question de risque, le mode de défaillance, la cause et le lien produit/patient sont-ils présents ?Non → compléter avant de poursuivre. Oui → étape suivante.
2. PrioriséLa méthode, les preuves, l’incertitude et la décision de priorité sont-elles enregistrées ?Non → compléter la cotation. Oui → étape suivante.
3. PossédéUn rôle responsable unique, une échéance et un chemin d’escalade sont-ils assignés ?Non → assigner avant mise en œuvre. Oui → étape suivante.
4. Contrôle mis en œuvreUne preuve objective de mise en œuvre existe-t-elle ?Non → rester en traitement. Oui → étape suivante.
5. EfficaceLe critère de sortie prédéfini est-il atteint, avec une preuve observée ?Non → ne pas déclarer l’efficacité ; réévaluer après exposition supplémentaire. Oui → étape suivante.
6. Clos ou acceptéLe risque résiduel est-il évalué et approuvé, avec un déclencheur de revue enregistré ?Oui → clore ou accepter formellement. Non → rester en surveillance ou escalader.

Modèle de données contrôlé minimal

ChampObjectifExigence de contrôle
risk_idIdentifiant de contrôle documentaire uniqueImmuable
risk_questionÉnoncé explicite du problèmeObligatoire, non vide
failure_modePerte plausible de fonction attendueVocabulaire contrôlé
causeMécanisme causal appuyé par la preuveLié à la preuve ; incertitude admise
product_effectCQA, spécification ou conséquence procédéRéférence de données maîtres
patient_effectConséquence qualité, sécurité ou efficacitéJustifiée par preuve ou hypothèse déclarée
priority_scoreSévérité, occurrence, détectabilité, incertitudeMéthode et source documentées
owner_roleRôle responsable uniqueAutorité confirmée
due_dateÉchéance de l’actionImmuable sauf approbation documentée
action_control_typeÉlimination, ingénierie, administratif, formationClassificateur défini + justification
exit_criterionCritère de sortie prédéfiniFixé avant mise en œuvre
effectiveness_evidencePreuve observée post-contrôleMême échelle que la cotation initiale
residual_risk_decisionAcceptation, clôture, escalade ou réouvertureSignée et reconstructible
review_triggerCondition de réouvertureDéfini avant clôture

Couche d’indicateurs

Taux de risques avec propriétaire assigné =
  risques avec un rôle responsable unique et une échéance
  --------------------------------------------------------
  tous les risques ouverts

Taux de clôture prématurée =
  risques clos sans preuve d’efficacité observée
  -----------------------------------------------
  tous les risques clos sur la période

Taux d’action à force faible =
  actions dont le contrôle le plus fort est formation/révision documentaire
  ----------------------------------------------------------------------------
  toutes les actions de traitement de la période

Complétude de la boucle de contrôle =
  risques ayant franchi les six portes (identifié → clos/accepté)
  -----------------------------------------------------------------
  tous les risques matériels ouverts sur la période

Informations manquantes

  • Aucune méta-analyse pharmaceutique groupée en libre accès n’a été localisée pour le cycle de vie complet du QRM décrit ici ; la preuve repose sur la convergence réglementaire (ICH Q9(R1), OMS) et des synthèses narratives ou de portée, pas sur un effet groupé.
  • La littérature empirique est hétérogène par secteur, méthode de cotation, seuils, composition d’équipe et durée de suivi ; les variations de RPN ou de score de danger ne sont pas directement comparables entre études sans harmonisation.
  • Plusieurs études rapportent des contrôles proposés ou modélisés plutôt que des résultats patient ou produit observés prospectivement : elles soutiennent la conception du contrôle, pas l’affirmation finale d’efficacité.
  • Les concepts issus des trois livres fournissent des accroches sémantiques utiles, pas une validation pharmaceutique ; aucune citation textuelle au niveau de la phrase n’est utilisée ici, la pagination exacte n’ayant été vérifiée qu’au niveau de l’ouverture de chapitre.
  • Le tableau de Luan et al. documente deux hôpitaux chinois seulement ; sa généralisation à d’autres contextes de soins ou à la fabrication pharmaceutique reste à démontrer.

Sources citées

  • Ashour, A., Phipps, D. L., & Ashcroft, D. M. (2022). Predicting dispensing errors in community pharmacies: An application of the Systematic Human Error Reduction and Prediction Approach (SHERPA). PLOS ONE, 17(1), e0261672. doi.org/10.1371/journal.pone.0261672
  • Dastjerdi, H. A., Khorasani, E., Yarmohammadian, M. H., & Ahmadzade, M. S. (2017). Evaluating the application of failure mode and effects analysis technique in hospital wards: a systematic review. Journal of Injury and Violence Research, 9(1). doi.org/10.5249/jivr.v9i1.794
  • Drucker, P. F. (1967). The Effective Executive. Harper & Row, p. 52.
  • Duke, A. (2018). Thinking in Bets: Making Smarter Decisions When You Don’t Have All the Facts. Penguin, p. 75.
  • Gawande, A. (2010). The Checklist Manifesto: How to Get Things Right. Profile Books, pp. 114, 136.
  • International Council for Harmonisation. (2023). ICH guideline Q9(R1) on quality risk management. European Medicines Agency. ema.europa.eu
  • Lee, H., Lee, H., Baik, J., Kim, H., & Kim, R. Y. (2017). Failure mode and effects analysis drastically reduced potential risks in clinical trial conduct. Drug Design, Development and Therapy, 11, 3035–3043. doi.org/10.2147/DDDT.S145310
  • Luan, X., Ke, L., Feng, M., Peng, W., Luo, H., Xue, H., & Xia, Y. (2025). Risk management in POCT blood glucose monitoring: FMEA approach aligned with ISO 15189:2022. PLOS ONE, 20(3), e0319817. doi.org/10.1371/journal.pone.0319817
  • Mascia, A., Cirafici, A. M., Bongiovanni, A., Colotti, G., Lacerra, G., Di Carlo, M., Digilio, F. A., Liguori, G. L., Lanati, A., & Kisslinger, A. (2020). A failure mode and effect analysis (FMEA)-based approach for risk assessment of scientific processes in non-regulated research laboratories. Accreditation and Quality Assurance, 25(5–6), 311–321. doi.org/10.1007/s00769-020-01441-9
  • Vecchia, M., Sacchi, P., Marvulli, L. N., Ragazzoni, L., Muzzi, A., Polo, L., Bruno, R., & Salio, F. (2025). Healthcare Application of Failure Mode and Effect Analysis: Is There Room in the Infectious Disease Setting? A Scoping Review. Healthcare, 13(1), 82. doi.org/10.3390/healthcare13010082
  • World Health Organization. (2013). WHO guidelines on quality risk management, Annex 2, WHO Technical Report Series No. 981. who.int

Date limite de preuve : 20 février 2026.

Voir aussi

À lire ensuite

Tous les articles, par sujet

Systèmes IA & agents

Architecture, évaluation et exploitation des systèmes agentiques en production.

Rien de publié pour le moment.

Données & environnements régulés

Traçabilité GxP, validation, qualité des données cliniques et preuve d’inspection.

Preuve & vérifiabilité

Provenance, registres on-chain et méthodes de calcul publiques et reproductibles.

Rien de publié pour le moment.

Ce sujet rejoint le vôtre ?

Décrivez le problème et l’échéance : la réponse indique ce qui est faisable, ce qui ne l’est pas, et à quelles conditions.

Cadrer le besoin Estimer une enveloppe