Appliquer une approche basée sur le risque à l'intégrité des données et des enregistrements

L'intégrité des données et des enregistrements fait référence à l'exactitude, à l'intégralité et à la cohérence de ceux-ci. Dans notre ère numérique, où les technologies sont omniprésentes, maintenir la précision des données et des enregistrements est vital pour garantir leurs fiabilités et pour qu’ils puissent être utilisés avec confiance dans les décisions et les opérations quotidiennes.

Préserver la fiabilité des données et des enregistrements nécessite l'adoption de stratégies pour éviter les inexactitudes, la détérioration ou les changements illicites. Ces stratégies peuvent comprendre la vérification des données, la gestion des permissions, les méthodes de sauvegarde et de restauration ainsi que des contrôles périodiques.

Dans ce blogue, nous présenterons une analyse complète de l'adoption d'une stratégie basée sur le risque pour la sécurité des informations et des données. Nous aborderons les éléments fondamentaux de la gestion des risques, présenterons des cas de risques fréquents à éviter et explorerons comment mettre en œuvre une stratégie basée sur le risque afin de les contrôler.

Enjeux sur l'intégrité des données et des enregistrements

Assurer l'intégrité des données et des enregistrements est important pour plusieurs raisons. Par exemple, cela permet d’assurer de prendre des décisions basées sur des informations précises et fiables, de réduire les risques d'erreurs et d'incohérences et de maintenir la confiance et la crédibilité des données.

La plupart des professionnels dans le secteur des sciences de la vie sont familiers avec le guide GAMP de l'ISPE, conçues pour assurer la sécurité des patients, la qualité des produits, et la protection des données dans l'usage des systèmes numériques. Ancré dans de bonnes pratiques éprouvées, GAMP encourage l'adoption d'une gestion du cycle de vie des systèmes, clarifie les rôles impliqués et leurs responsabilités, offre une interprétation des requis règlementaire liés à cette gestion sous forme d’une méthodologie accompagnée de recommandations et forme une base solide pour l’unification du vocabulaire utilisé par les experts du domaine.

Un principe fondamental de GAMP réside dans l'adoption d'une approche orientée sur le risque. Cette méthode garantit l'affectation de ressources appropriées et s'assure que les mesures de contrôle pour protéger l'intégrité des données soient ajustées en fonction de leur impact potentiel sur la qualité du produit et la sécurité des patients. Par conséquent, des stratégies enracinées dans les meilleures pratiques et alimentées par une approche basée sur les risques sont susceptibles d'être les plus efficaces à prévenir les problèmes d'intégrité des enregistrements et des données, surtout lorsqu'on considère les résultats qu’elles apportent proportionnellement à leurs coûts.

Voici plusieurs raisons pour lesquelles cette approche est importante :

• Allocation des ressources : Tous les ensembles de données et d’enregistrements n'ont pas le même niveau d’importance. En identifiant et en évaluant quels types de données sont les plus à risque, les entreprises peuvent répartir leurs ressources de façon adéquate. Cela leur permet de concentrer davantage d'efforts et de ressources là où les problèmes seraient plus graves et probables.

• Identification proactive des vulnérabilités : Adopter une stratégie basée sur le risque pousse les organisations à repérer et à anticiper les failles au sein de leurs méthodes de gestion des données. Par l'évaluation des risques, elles peuvent identifier des points faibles dans leurs systèmes, leurs procédures ou leurs mécanismes de contrôle susceptibles d'affecter la fiabilité des données. Cela permet de prendre des mesures préventives pour réduire ces risques avant qu'ils ne se transforment en complications.

• Exigences de conformité : Divers secteurs sont soumis à des normes réglementaires spécifiques concernant la préservation de l'intégrité des données et des enregistrements. En optant pour une stratégie basée sur les risques, les entreprises peuvent garantir leur conformité en allouant leurs ressources aux secteurs présentant un risque élevé de non-conformité. Cela les aide à concentrer leurs efforts sur l'application de mesures de contrôle et la mise en œuvre de procédures pour résoudre les principaux problèmes de conformité.

• Amélioration continue : La gestion des risques ne se résume pas à un exercice isolé, mais s'inscrit dans une démarche en continue. En effectuant des évaluations régulières des risques associés à la sécurité des données, les entreprises peuvent repérer de nouveaux dangers, des changements dans leur environnement opérationnel ou des faiblesses dans leurs systèmes de contrôle. Ce processus leur offre l'opportunité d'optimiser de manière continue leurs stratégies de gestion des données, garantissant ainsi un haut degré d'intégrité des données à long terme.

• Efficacité des coûts : L'application uniforme de mesures pour maintenir l'intégrité des données à travers tous les enregistrements et données peut s’avérer dispendieuse et inappropriée. Opter pour une démarche axée sur l'évaluation des risques permet aux entreprises de hiérarchiser leurs dépenses en allouant leurs ressources là où elles seront le plus bénéfiques pour minimiser les menaces pesant sur l'intégrité des données. Ainsi, elles assurent une utilisation des ressources à la fois efficace et rationnelle.
  

Comment puis-je mettre en œuvre une approche basée sur le risque pour la gestion des données et des enregistrements ?

Pour mettre en place une stratégie basée sur les risques dans la gestion des données et des enregistrements, il est recommandé de se conformer aux principes de la gestion des risques liés à la qualité énoncés dans le guide GAMP de l'ISPE. Cette démarche consiste à identifier, atténuer, communiquer et réévaluer les risques affectant l'intégrité des données et des enregistrements à travers leur cycle de vie complet.

Les phases habituellement suivies dans l'application d'une stratégie basée sur les risques pour l'intégrité des données et des enregistrements incluent :

• Identifier : À l’aide d’une analyse approfondie des risques, il faut identifier l’importance des données et le niveau de risque qui leur est associé. Pour ce faire, cela nécessite de cartographier et d'examiner le cycle de vie complet des données pour identifier d'éventuelles sources d'erreur ou de détérioration des informations. Il est également crucial d'évaluer les conséquences potentielles de ces risques sur la qualité du produit et la sécurité des patients. Il est important de noter que cette analyse ne se limite pas qu’aux données numériques. Elle inclut toutes les données, autant sous forme papier, hybride ou autres formats

• Développer : Créer et mettre en œuvre des stratégies et des contrôles pour atténuer les risques identifiés peut inclure la mise en œuvre de contrôles d'accès, de vérifications de validation des données et de mécanismes de suivi pour assurer l'exactitude et la sécurité des données.

• Communiquer : Il est important de partager les informations sur les risques identifiés ainsi que les méthodes de contrôle utilisées avec les parties prenantes concernées, incluant la direction, l'équipe informatique, et les utilisateurs finaux. Pour atteindre cet objectif, il est nécessaire d'organiser des formations et de fournir des instructions précises sur les meilleures pratiques de gestion des données, en s'assurant que chacun soit au clair sur ses responsabilités et ses rôles. Il est essentiel que tous les systèmes soient abordés de manière uniforme et que la communication englobe également les autres groupes réalisant des analyses de risque.

• Surveiller : La surveillance et l’évaluation de l'efficacité des dispositifs de contrôle et des formations requiert la réalisation d'audits et d'analyses périodiques pour vérifier que les mesures sont exécutées conformément aux attentes, que les politiques de gestion de l'information et des données sont bien appliquées et que l'intégrité des données reste assurée. Lorsque nécessaire, il faudrait également procéder à des tests susceptibles de révéler les faiblesses des systèmes. Étant donné que les systèmes évoluent et que les compétences des pirates informatiques progressent, il est crucial d'effectuer des contrôles et des tests périodiques des systèmes, en privilégiant les tests automatisés quand cela est faisable.

Comprendre la différence entre les risques d’affaires et les déficiences des contrôles

Dans la gestion des risques, un risque d'affaires se réfère à la possibilité qu'un événement ou une situation puisse impacter de manière négative la capacité d'une entreprise à atteindre ses objectifs. Cela peut englober comme effets néfastes des pertes financières, des atteintes à la réputation, des implications juridiques ou encore une interruption des activités.

En revanche, une mesure d’atténuation insuffisante fait référence à une mesure de contrôle ou une approche conçue pour minimiser ou gérer un risque déterminé, mais qui s'avère inefficace. Les raisons de cet échec peuvent varier entre une mise en application inadéquate, une approche incomplète ou un manque de mises à jour ou de révisions régulières.

En résumé, un risque d'affaires représente un impact négatif potentiel qu’une organisation tente d'éviter, alors qu'une mesure d’atténuation insuffisante désigne une approche qui ne parvient pas efficacement à gérer ce risque. En tant que spécialistes de la gestion des risques, il est fréquent de voir une confusion entre ces deux concepts, ce qui conduit à traiter les problèmes comme s'ils étaient des risques. Adopter une perspective à court terme peut sembler anodin, car considérer un problème comme un risque peut quand même contribuer à améliorer le profil de risque d’une organisation. Néanmoins, dans le cadre de la mise en place et de l'exploitation d'un système de gestion des risques où ceux-ci sont continuellement surveillés et évalués, les implications dépassent une simple question de terminologie. Cela tient en partie au fait que les problématiques (telles que les contrôles inadéquats) peuvent être résolues, alors que les risques majeurs pour l'organisation sont souvent persistants et ne peuvent qu'être atténués. Prenons l'exemple de la perte de données : l'occurrence d'une telle perte ne peut être entièrement anticipée, ni l'ampleur de ses conséquences pleinement appréhendée à l'avance. Même avec les meilleures stratégies d'atténuation en place, le risque persiste, mais il est possible de le réduire à un niveau jugé acceptable.

Si vous cataloguez des mesures d'atténuation insuffisantes ou des contrôles défaillants en tant que risques cela peut entraîner une fluctuation constante dans la liste des risques identifiés, compliquant la décision d'intervention et le suivi de l'évolution de votre exposition au risque. En effet, l'objectif n'est pas d'éliminer tous les risques, mais de les diminuer à un niveau acceptable, aligné sur votre tolérance au risque. Contrairement aux risques, les problèmes identifiés devraient, dans la mesure du possible, être résolus ou supprimés. Traiter les problèmes comme des risques peut mener à perdre de vue la raison d'être de certains contrôles (à quel risque ce contrôle est-il censé répondre ?), leur existence pouvant finir par se justifier par elle-même. Cette approche rend ardue la tâche de déterminer quels contrôles nécessitent des améliorations, doivent être mis en place ou, paradoxalement, être retirés, en fonction de l'évaluation des risques.

Finalement, il est essentiel de faire la différence entre le risque qui concerne l'intégrité des données et des enregistrements d'une entreprise et ce qui peut représenter un danger pour cette intégrité même. Cela semble compliqué ? Voici un exemple : Un système de sauvegarde et de restauration des données défaillant ne constitue pas en soi un risque pour l'entreprise. Il représente plutôt une lacune qui entrave la gestion des risques relatifs à la sécurité et à l'intégrité des données et des enregistrements. Le "véritable risque", celui que l'on cherche à prévenir, est la perte de données susceptible d'entraîner de sérieuses conséquences pour l'organisation. Ce risque demeure, que le processus de sauvegarde soit amélioré ou pas, mais sa sévérité (élevée, moyenne, faible) sera directement influencée par l'efficacité de ce processus.

Risques d’affaires courants liés à l'intégrité des données et des enregistrements

Voici quelques risques d’affaires de haut niveau couramment liés aux problèmes d'intégrité des données et des enregistrements que les organisations veulent éviter :

• Perte de confiance : Les inexactitudes ou le manque de fiabilité des données provoquent une diminution, et même une perte, de la confiance des clients, partenaires et autres acteurs clés.

• Impacts financiers négatifs : Des erreurs d'intégrité des données conduisent à des pertes financières causées par des facturations erronées, la perte de ventes ou des sanctions pour non-respect des normes réglementaires.

• Conséquences juridiques : L'inexactitude ou le manque de fiabilité des données peut mener à des implications juridiques, incluant des procès, des rappels de produits ou des mesures réglementaires.

• Atteinte à la réputation : Les soucis liés à l'intégrité des données nuisent à l'image de l'organisation, affectant négativement ses activités futures.

• Interruptions des opérations : Les complications liées à l'intégrité des données peuvent provoquer des interruptions dans les opérations, nécessitant l'arrêt ou la modification des systèmes et des processus pour remédier aux problèmes.

Afin de prévenir ces effets négatifs, il est crucial pour les organisations d'adopter des pratiques exemplaires de gestion des données et des stratégies de surveillance rigoureuses pour minimiser les risques d'atteinte à l'intégrité des données et des enregistrements. Cela nécessite la mise en place de mesures préventives et de contrôles visant à éviter les incidents nuisibles ou à réduire leurs impacts négatifs s'ils se produisent.

ALCOA++, un cadre pour l'intégrité des données et des enregistrements

ALCOA++ représente une expansion de l'acronyme initial ALCOA, symbolisant les principes clés pour assurer l'intégrité des données : Attribuable, Lisible, Contemporain, Original et Exact. L'ajout du "+" à ALCOA inclut un nouveau principe : Complet. Avec le "++", ALCOA++ enrichit davantage ces fondations en y intégrant plusieurs autres critères essentiels à la qualité des données :

• Attribuable : Il est impératif que les données puissent être reliées à leur auteur ainsi qu'à la date et l'heure de leur création.

• Lisible : Les enregistrements des données doivent être clairs et faciles à lire.

• Contemporain : L'enregistrement des données doit se faire simultanément à l'activité concernée.

• Original : Les données doivent être consignées dans leur forme original, sans altérations. Des procédures doivent être établies pour l'utilisation de copies conformes en remplacement des originaux si nécessaire.

• Exact : Les données doivent être justes, précises et sans erreurs.

• Complet : Il est essentiel d'enregistrer et de conserver intégralement toutes les données, incluant les répétitions ou réanalyses.

• Cohérent : Les données doivent refléter avec fidélité la date et l'heure des activités enregistrées.

• Durable : Les enregistrements doivent être préservés pour toute la durée de conservation requise, suivant leur cycle de vie défini.

• Disponible : L'accès aux données pour révision ou inspection doit être facile et rapide.

• Inaltérable : Les enregistrements doivent être effectués de manière à prévenir toute modification ou altération non autorisée.

• Traçable : Les données doivent pouvoir être retracées jusqu'à leur origine et la personne responsable de leur saisie.

• Examiné : Un contrôle régulier des données est nécessaire pour assurer leur précision et intégrité.

• Protégé : Les mesures doivent être prises pour sécuriser les données contre tout accès ou manipulation non approuvés.

S'engager en faveur de l'intégrité des données et des enregistrements implique un effort constant pour maintenir leurs attributs de qualités. Cela revient à lutter contre les situations ou les risques susceptibles d'altérer ces éléments et, par extension, de porter préjudice à l'organisation. Adopter une stratégie de gestion des risques en matière d'intégrité des données et des enregistrements vise à prévenir toute atteinte à ces qualités essentielles et à garantir la mise en place de procédures pour détecter et rectifier toute altération non-autorisée lorsqu'elle se produit. Cette démarche n'est pas absolue. L'ampleur des actions préventives doit correspondre au niveau de risque que les conséquences négatives représentent pour l'organisation.

Conseil de pro : Pour ceux intéressés par l'évolution d'ALCOA, l'article « Is Traceability the Glue for ALCOA, ALCOA+, or ALCOA++? » disponible sur spectroscopyonline.com est une lecture à considérer. Les directives et les définitions sur l'intégralités des données GxP, GXP’ Data Integrity Guidance and Definitions, fournies par l'Agence de réglementation des médicaments et des produits de santé (MHRA) constituent aussi une ressource précieuse pour qui cherche à se familiariser avec un ensemble de définitions standardisées et de principes directeurs en matière d'intégrité des données.

Stratégies de contrôle typiques pour atténuer les risques d'intégrité des données et des enregistrements

Les stratégies de contrôle adaptées à l'évaluation des risques jouent un rôle crucial pour prévenir toute atteinte à l'intégrité des données et des enregistrements. Ces mesures de sécurité doivent être ajustées en fonction de l'ampleur des risques pour l'organisation.

Voici quelques mesures de contrôle couramment employées pour atténuer les risques associés à l'intégrité des données :

• Contrôles d'accès : L'application de mesures de contrôle d'accès assure que seuls les utilisateurs autorisés peuvent interagir avec les données et les enregistrements critiques. Ces contrôles comprennent divers mécanismes pour authentifier les utilisateurs, tels que l'utilisation de mots de passe, la reconnaissance biométrique, l'authentification multifacteur (Multifactor authentication en anglais), et les systèmes de contrôle d'accès basés sur les rôles (Role-Based Access Control en anglais), qui limitent l'accès en fonction du rôle professionnel et des permissions de l'utilisateur.

• Cryptage des données : Le cryptage joue un rôle essentiel dans la protection des données, tant au repos qu'en cours de transmission, en les rendant inaccessibles et inutilisables en cas d'accès non autorisé. Des normes de chiffrement robustes, telles que l'Advanced Encryption Standard (AES), sont largement adoptées pour sécuriser les informations stockées sur divers supports (serveurs, bases de données, appareils de stockage) et pour protéger les données échangées à travers les réseaux.

• Vérifications de l'intégrité des données : Mettre en place des procédures de vérification de l'intégrité des données est crucial pour assurer que les informations demeurent exactes et intègres tout au long de leur cycle de vie. Des méthodes telles que l'utilisation de sommes de contrôle, de fonctions de hachage et de signatures numériques permettent de confirmer la fiabilité des données et de détecter toute altération non autorisée, contribuant ainsi à maintenir l'intégrité des informations.

• Pistes de vérification : La mise en œuvre de pistes de vérification est essentielle pour que les organisations puissent documenter et examiner l'accès aux données et aux archives. En archivant des informations telles que les actions des utilisateurs, les horodatages, et les incidents systèmes, les pistes de vérification offrent un enregistrement détaillé de qui a accédé, modifié, ou supprimé des données. Ceci est crucial pour identifier et investiguer les infractions potentielles à l'intégrité des données.

• Contrôle des versions : L'adoption de systèmes de gestion de versions est un moyen efficace de surveiller les modifications apportées aux données et aux documents au cours du temps. En conservant un historique des modifications et en documentant les altérations, les outils de contrôle de versions permettent aux organisations de suivre les évolutions et de revenir à des états antérieurs si des anomalies d'intégrité sont détectées, assurant ainsi une gestion rigoureuse des données.

• Sauvegarde et récupération des données : Effectuer des sauvegardes régulières des données et des enregistrements est crucial pour garantir leur restauration en cas de perte, corruption, ou autres complications d'intégrité. L'adoption de stratégies de sauvegarde et de récupération efficaces, y compris les sauvegardes externalisées et les plans de continuité d'activité, est fondamentale pour limiter les conséquences des incidents sur les opérations de l'entreprise.

• Formation et sensibilisation : Mettre en place des programmes de formation et de sensibilisation pour les collaborateurs est essentiel pour cultiver une conscience organisationnelle autour de la sécurité et de l'intégrité des données. En informant les employés sur l'importance de la préservation des données, les approches recommandées pour la gestion des informations délicates et les risques associés, il est possible de réduire les erreurs humaines et de contrer les menaces internes.

• Réponse aux incidents de données : Concevoir un protocole de réponse en cas d'incidents liés aux données permet aux organisations de gérer efficacement les atteintes à l'intégrité des données. Cela inclut les processus d'identification, d'évaluation, de confinement, d'élimination et de rétablissement face à un incident, ainsi que les méthodes de communication pour alerter les parties concernées et les autorités de régulation.

En rétrospective…

Adopter une stratégie basée sur l'analyse des risques pour préserver l'intégrité des données et des enregistrements permet aux organisations de gérer de manière plus efficace leurs risques, d'assurer leur conformité avec les normes réglementaires et d'optimiser l'utilisation de leurs ressources pour la protection des informations essentielles. Cette approche ciblée aide à prioriser les efforts de sécurité, en concentrant les mesures de protection là où elles sont le plus nécessaires.

Nous espérons que vous avez trouvé notre perspective sur comment vous pouvez bénéficier d'une approche axée sur les risques pour l'intégrité des enregistrements et des données utile. Si vous avez des questions, des commentaires ou des suggestions, ou si vous souhaitez approfondir ce sujet, nous serions ravis d'avoir l'occasion de discuter avec vous et de partager nos connaissances. Pour plus d'informations, cliquez ici ou contactez-nous directement info@innnovx.org.

Sources :

1. ISPE. (2022, July). ISPE GAMP® 5: A Risk-Based Approach to Compliant GxP Computerized Systems (Second Edition). InnovX - ISPE GAMP 5 - 2nd Edition - G5ED2DL-Watermarked-1076747.pdf - All Documents. Retrieved from internal Sharepoint

2. McDowall, R.D. (2022, April). Is Traceability the Glue for ALCOA, ALCOA+, or ALCOA++? Spectroscopy, 37(4), 13–19. https://doi.org/10.56530/spectroscopy.up8185n1

3. Medicines & Healthcare products Regulatory Agency. (2018, March). ‘GXP’ Data Integrity Guidance and Definitions. Retrieved from https://assets.publishing.service.gov.uk/media/5aa2b9ede5274a3e391e37f3/MHRA_GxP_data_integrity_guide_March_edited_Final.pdf

4. World Health Organization. (2016). Guidance on good data and records management practices. Retrieved from https://rx-360.org/wp-content/uploads/2018/08/WHO_TRS_996_annex05.pdf