GxP-Relevanz bewerten: Welche IT-Systeme müssen Sie validieren?

Zuerst den Geltungsbereich festlegen

GxP ist ein Sammelbegriff. Eine Einstufung für die Arzneimittelherstellung lässt sich deshalb nicht ungeprüft auf klinische Prüfungen, Vertrieb oder Medizinprodukte übertragen. Dieser Artikel behandelt computergestützte Systeme im EU-GMP-Kontext für Humanarzneimittel. Halten Sie vor der Bewertung fest, welche Tätigkeit, welcher Standort und welche Vorgaben tatsächlich betroffen sind.

Annex 11 erfasst computergestützte Systeme, die als Teil GMP-regulierter Tätigkeiten eingesetzt werden. Dabei unterscheidet er die Validierung der Anwendung von der Qualifizierung der IT-Infrastruktur. Risikomanagement berücksichtigt unter anderem Patientensicherheit, Datenintegrität und Produktqualität.

Die praktische Ausgangsfrage lautet daher: Was tut dieses System in unserem Prozess? Der Kauf einer Standardsoftware beantwortet sie ebenso wenig wie die Bezeichnung Cloud, Office oder ERP. Auch ein System außerhalb des hier betrachteten GMP-Scopes kann anderen Anforderungen unterliegen. Eine negative GMP-Einstufung ist keine allgemeine Freistellung von Pflichten.

Gleiche Software, anderer Einsatz

Beschreiben Sie den vorgesehenen Einsatz in einem Satz mit Tätigkeit, Nutzern und Ergebnis. Ergänzen Sie, welche Verwendung ausdrücklich ausgeschlossen ist. So bleibt die Bewertung auch dann verständlich, wenn später ein anderer Mitarbeiter das System übernimmt.

Die Beispiele sind keine fertigen Einstufungen. Entscheidend bleiben der tatsächliche Ablauf und seine Kontrollen. Fragen Sie besonders bei gemischter Nutzung nach: Sind Bereiche getrennt? Werden Informationen weiterverarbeitet? Wird ein zunächst informeller Export später als Entscheidungsgrundlage verwendet? Ein Etikett wie „nur Hilfstool“ erklärt diese Abhängigkeiten nicht.

Ein Bewertungsblatt mit zehn Feldern

Die folgende Struktur ist eine praktische Arbeitshilfe, kein behördlich vorgeschriebenes Formular. Füllen Sie sie gemeinsam mit dem Prozessverantwortlichen und den fachlich zuständigen Mitarbeitern aus. Verlinken Sie vorhandene Unterlagen, statt dieselben Angaben mehrfach abzuschreiben.

Daten bis zur Entscheidung verfolgen

Beginnen Sie nicht mit einer langen Funktionsliste. Wählen Sie einen typischen Datensatz und verfolgen Sie ihn vom Eingang bis zur Verwendung. Wer erfasst ihn? Welche Berechnung verändert ihn? Wo wird er geprüft? Wer entscheidet anhand des Ergebnisses? Zeichnen Sie auch Exporte, E-Mails und manuelle Zwischenschritte ein.

Prüfen Sie anschließend drei unterschiedliche Fehlerbilder: Das Ergebnis ist falsch, das Ergebnis fehlt und das Ergebnis wird unbemerkt verändert. Notieren Sie jeweils, welcher Prozess betroffen wäre und welche bestehende Kontrolle den Fehler tatsächlich erkennen würde. Eine Kontrolle zählt in Ihrer Begründung nur dann, wenn ihre Durchführung und Wirksamkeit nachvollziehbar sind.

Bleibt eine Abhängigkeit ungeklärt, dokumentieren Sie diese offen. Benennen Sie einen Verantwortlichen für die Klärung. Eine unbekannte Schnittstelle wird nicht dadurch unkritisch, dass sie im ersten Gespräch niemand erklären konnte.

Einstufung und Validierung auseinanderhalten

Die Ersteinstufung grenzt ein, welche Nutzung zu bewerten ist und weshalb sie relevant sein kann. Sie belegt noch nicht, dass die Anwendung für diesen Einsatz geeignet ist. Für Systeme im Scope von Annex 11 bestimmt die begründete Risikobewertung den Umfang der Validierung und der Datenintegritätskontrollen; sie ersetzt die Validierung nicht.

Aus einer relevanten Einstufung folgt deshalb ein weiterer Arbeitsauftrag. Klären Sie Anforderungen, vorhandene Lieferantennachweise, benötigte Prüfungen, offene Abweichungen und die betriebliche Verantwortung. Annex 11 behandelt unter anderem ein aktuelles Systeminventar, nachvollziehbare Nutzeranforderungen und bei kritischen Systemen Beschreibungen einschließlich Datenflüssen und Schnittstellen. Welche Nachweise Sie konkret benötigen, ist im jeweiligen Kontext festzulegen.

Ein Zertifikat des Anbieters oder ein erfolgreiches Standardtraining beantwortet nicht automatisch die Fragen zu Ihrer Konfiguration, Ihren Schnittstellen und Ihrem Einsatz. Nutzen Sie vorhandene Unterlagen gezielt, und halten Sie fest, welche Lücken für Ihr System verbleiben.

Eine Entscheidung treffen, die später noch trägt

Eine brauchbare Entscheidung enthält mehr als ein angekreuztes Ja oder Nein. Sie benennt den bewerteten Einsatz, die tragenden Fakten, die Schlussfolgerung und die nächste Maßnahme. Ungeklärte Angaben bekommen einen Bearbeiter; eine noch offene Bewertung darf nicht wie eine abgeschlossene Freigabe aussehen.

Vereinbaren Sie, wer die Begründung fachlich prüft und nach dem eigenen Qualitätssystem genehmigt. IT kennt die technische Umgebung, der Prozessverantwortliche den tatsächlichen Ablauf und die Qualitätsfunktion die einschlägigen Anforderungen. Keine dieser Perspektiven sollte die anderen durch eine pauschale Produktklassifizierung ersetzen.

Prüfen Sie die Einstufung erneut, wenn sich der Einsatz, wichtige Datenflüsse oder die Entscheidungsfunktion ändern. Verknüpfen Sie das mit Ihrem Änderungsverfahren und der vorgesehenen regelmäßigen Bewertung. Die BASG-Inspektionsinformation verdeutlicht, dass auch Inventare, Änderungen und die Aufrechterhaltung des validierten Zustands betrachtet werden.

Mit einem klar begrenzten Arbeitspaket beginnen

Für einen geordneten Einstieg benötigen Sie keine Sammlung ungeprüfter Vorlagen. Stellen Sie eine vorläufige Systemliste, die betroffenen Prozesse und je System einen Ansprechpartner zusammen. Wählen Sie dann die Fälle aus, bei denen Entscheidungen, Nachweise oder Verantwortlichkeiten unklar sind.

Ein abgegrenztes Arbeitspaket kann die Aufnahme des Einsatzes, die Moderation der Bewertung und eine Liste erforderlicher Folgeschritte umfassen. Daniel Herrmann Consulting unterstützt bei dieser Strukturierung und der anschließenden fachlichen Umsetzung. Die Entscheidung und Genehmigung bleiben in Ihrem vereinbarten Verantwortungsmodell. Passende Einstiege finden Sie unter System-Validierung, CSV-Beratung und Nachweise im Griff.