Computersystemvalidierung ist der dokumentierte Nachweis, dass ein System im regulierten Umfeld reproduzierbar das tut, was es soll: GAMP 5 sortiert dafür die Software, Annex 11 und 21 CFR Part 11 setzen den rechtlichen Rahmen, ALCOA+ beschreibt, wann Daten belastbar sind.
Wer in Pharma, Biotechnologie, Medizintechnik oder einem Prüflabor Verantwortung trägt, begegnet früher oder später einer Kette von Kürzeln: GxP, CSV, GAMP 5, Annex 11, ALCOA+. Sie stehen in Angeboten, Auditberichten und Projektplänen, als wären sie selbsterklärend. Dieser Ratgeber übersetzt sie in verständliche Sprache und zeigt, wie die Bausteine zusammenhängen. Wie badata die Infrastrukturseite davon in der Praxis umsetzt, lesen Sie auf der Seite zu GxP-konformer, validierter IT.
Was GxP bedeutet: GMP, GLP und GCP
GxP ist ein Sammelbegriff, das x ist ein Platzhalter. Gemeint sind die Regelwerke für gute fachliche Praxis in regulierten Bereichen. GMP (Good Manufacturing Practice) gilt für die Herstellung von Arzneimitteln und Wirkstoffen, in Europa über den EU-GMP-Leitfaden. GLP (Good Laboratory Practice) regelt nichtklinische Sicherheitsprüfungen im Labor. GCP (Good Clinical Practice) betrifft klinische Prüfungen am Menschen. Dazu kommen weitere Ausprägungen wie GDP für die Distribution.
So unterschiedlich die Bereiche sind, der Kern ist derselbe: Nicht das Ergebnis allein zählt, sondern der belegte Weg dorthin. In der Praxis läuft das auf einen Satz hinaus, den jeder Inspektor kennt: Was nicht dokumentiert ist, gilt als nicht geschehen. Sobald ein Computersystem an diesem Weg beteiligt ist, muss auch das System diesem Anspruch genügen.
Computersystemvalidierung und die GAMP-5-Kategorien
Computersystemvalidierung, kurz CSV, ist der dokumentierte Nachweis, dass ein computergestütztes System das tut, wofür es vorgesehen ist, und zwar reproduzierbar. Das ist kein einmaliger Test vor dem Start, sondern ein Lebenszyklus: Anforderungen festhalten, Risiken bewerten, spezifizieren, prüfen, formal freigeben, im Betrieb über Change-Control kontrolliert ändern und am Ende geordnet außer Betrieb nehmen.
GAMP 5 ist der dazugehörige Leitfaden der ISPE, seit der zweiten Auflage mit deutlicher Betonung von kritischem Denken und risikobasiertem Vorgehen. Er sortiert Software in Kategorien, damit der Aufwand zum Risiko passt:
- Kategorie 1, Infrastruktur: Betriebssysteme, Datenbank-Engines, Hypervisor, Netz und Speicher. Diese Schicht wird qualifiziert, nicht validiert.
- Kategorie 3, nicht konfigurierte Standardsoftware: wird so genutzt, wie sie geliefert wird. Geprüft wird die bestimmungsgemäße Verwendung.
- Kategorie 4, konfigurierte Produkte: LIMS, MES oder Dokumentenmanagement, an Ihre Prozesse parametriert. Sie werden validiert, mit Schwerpunkt auf der Konfiguration.
- Kategorie 5, individuelle Software: eigens entwickelte Anwendungen und Schnittstellen. Höchster Aufwand, weil auch die Entwicklung selbst betrachtet wird.
Daraus folgt die wichtigste Faustregel dieses Themas: Infrastruktur qualifiziert man, Anwendungen validiert man. Wer diese Grenze sauber zieht, klärt zugleich, welche Nachweise vom IT-Dienstleister kommen und welche beim Betreiber oder beim Softwarehersteller bleiben.
IQ, OQ und PQ: die Stufen der Qualifizierung
Hinter den drei Kürzeln stecken aufeinander aufbauende Prüfstufen. Die Installationsqualifizierung (IQ) belegt, dass ein System so aufgebaut und installiert ist wie spezifiziert: Hardware, Versionsstände, Konfiguration, Umgebungsbedingungen. Die Funktionsqualifizierung (OQ) belegt, dass es sich im vorgesehenen Bereich wie gefordert verhält, geprüft an Testfällen einschließlich Grenz- und Fehlerfällen, Berechtigungen, Protokollierung und Alarmen. Die Leistungsqualifizierung (PQ) zeigt schließlich, dass es das auch im echten Prozess tut, mit echten Daten, echten Anwendern und unter Alltagsbedingungen. Vorgelagert kann eine Designqualifizierung stehen, die belegt, dass das geplante Design überhaupt zu den Anforderungen passt.
Entscheidend ist die Form: Prüfprotokolle werden vorher geschrieben, Abweichungen dokumentiert und bewertet, die Freigabe erfolgt formal. Erst danach darf produktiv gearbeitet werden. Und der qualifizierte Zustand ist kein Dauerzustand: Jede Änderung durchläuft Change-Control mit Bewertung der GxP-Auswirkung, dazu kommt eine periodische Bewertung im festgelegten Turnus.
Annex 11, 21 CFR Part 11 und Datenintegrität nach ALCOA+
EU-GMP Annex 11 ist der europäische Anhang zu computergestützten Systemen. Er verlangt unter anderem Risikomanagement, eine Bewertung und formale Vereinbarung mit Lieferanten, eine geprüft wiederherstellbare Sicherung, einen Audit-Trail, geregelten Zugriff, periodische Bewertung und einen belastbaren Plan für den Ausfall. 21 CFR Part 11 ist das Gegenstück der US-Behörde FDA und regelt elektronische Aufzeichnungen und elektronische Unterschriften, also die Frage, wann eine elektronische Signatur einer handschriftlichen gleichsteht.
Beide stehen nicht in Konkurrenz, sie decken zwei Rechtsräume mit weitgehend gleichem Ziel ab. Wer für den europäischen und den US-Markt produziert, erfüllt beide, und die technischen Maßnahmen überschneiden sich stark.
ALCOA+ ist der Maßstab für Datenintegrität. Daten sollen zuordenbar, lesbar, zeitnah, im Original und korrekt sein, ergänzt um vollständig, konsistent, dauerhaft und verfügbar. Für die IT bedeutet das sehr Handfestes: persönliche Benutzerkonten statt Sammelzugängen, getrennte Rollen für Betrieb und Administration, eine synchronisierte Zeitquelle, geschützte und nicht überschreibbare Protokolle sowie eine Aufbewahrung, die zur Aufbewahrungsfrist Ihrer Aufzeichnungen passt. Ein Audit-Trail mit abweichenden Zeitstempeln lässt sich im Zweifel nicht verwerten. Ein Managementsystem nach ISO/IEC 27001 ist übrigens keine GxP-Anforderung, deckt aber viele der hier verlangten Kontrollen bereits strukturiert ab.