Inhaltsverzeichnis
Das Wichtigste vorab
Wie validieren Sie SAP Business One für den GxP-Einsatz?
Sie weisen nach, dass Ihre konkrete SAP-Business-One-Lösung die festgelegten Anforderungen des regulierten Einsatzes erfüllt. Dazu gehören Version, Konfiguration, Datenbank, Add-ons, Rollen und Schnittstellen. Die Prüftiefe folgt den möglichen Fehlerfolgen. Besonders relevant sind wirksame Materialkontrollen, vollständige Datenübergaben und nachvollziehbare Änderungen. Herstellerunterlagen und Partnertests bilden dafür eine Grundlage; die eigene Prozessbewertung ersetzen sie nicht.
- Chargenstatus und fachliche Verwendbarkeit müssen für jeden relevanten Beleg zusammenpassen.
- SAP Business One wird eigenständig bewertet; Funktionen von ByDesign oder S/4HANA werden nicht übertragen.
- Change Log, Genehmigung und elektronische Signatur erfüllen unterschiedliche Aufgaben.
- Add-ons, technische Benutzer und Ausnahmewege gehören in den Prüfungsumfang.
1. Den regulierten Einsatz an Entscheidungen festmachen
Beginnen Sie mit einer Prozessliste statt mit sämtlichen ERP-Menüs. Welche Daten entscheiden über Materialverwendung, Herstellung, Kennzeichnung oder Rückverfolgung? Wer verlässt sich darauf? Eine falsche Bankverbindung und ein falscher Qualitätsstatus haben andere Folgen. Auch gemeinsam genutzte Stammdaten können mehrere Abläufe beeinflussen. Dokumentieren Sie daher, welche Funktionen relevant sind und warum andere außerhalb des betrachteten Umfangs liegen.
Für GMP-Tätigkeiten bei Humanarzneimitteln adressiert Annex 11 computergestützte Systeme und ein risikobasiertes Vorgehen. Das EU-Verzeichnis führt am Recherchetag die Revision Januar 2011. Part 11 wird anhand einschlägiger FDA-Aufzeichnungspflichten und tatsächlich genutzter elektronischer Aufzeichnungen eingeordnet. Der Produktname allein entscheidet diese Anwendbarkeit nicht.
2. Systemstand und Betriebsverantwortung beschreiben
Der Artikel betrachtet SAP Business One 10.0. Als Quellen dienen die 10.0-Anwendungshilfe, der SQL-Administrationsleitfaden SP 2605 und die im Browser angezeigten Webclient-Genehmigungseinstellungen FP 2608. Diese Dokumentationsstände sind keine Aussage über Ihren installierten Stand. SAP Business One ist außerdem weder SAP Business ByDesign noch SAP S/4HANA.
Erfassen Sie den vollständigen Aufbau einschließlich Datenbankplattform und tatsächlich benutztem Client. Bei einem Hostingpartner klären Sie, wer Benutzer verwaltet, Sicherungen betreibt und Änderungen ankündigt. Eine erfolgreiche Installation sagt noch nichts darüber aus, ob Ihre fachlichen Anforderungen richtig umgesetzt sind.
| Baustein | Benötigte Angabe | Warum sie zählt |
|---|---|---|
| Installation | Version, Feature-/Support-Package, Datenbank, Lokalisierung | Funktionen und unterstützte Kombinationen abgrenzen |
| Benutzerzugang | Desktopclient, Webclient, mobile oder technische Zugänge | Alternative Buchungswege erkennen |
| Erweiterungen | Add-on-Version, eigene Felder, Abfragen und Berichte | Zusätzliche Logik sichtbar machen |
| Betrieb | Systemverantwortlicher, Hostingvertrag, Backup und Wiederherstellung | Nachweise den zuständigen Beteiligten zuordnen |
3. Chargenerfassung und Rückverfolgung durchgängig prüfen
SAP unterscheidet Chargenzuordnung bei jeder Buchung und nur bei Ausgabe. Artikelbezogene Einstellungen können den allgemeinen Standard überschreiben. Damit beginnt die Prüfung schon bei den Stammdaten: Ist die vorgesehene Verwaltungsmethode für alle relevanten Artikel eingerichtet und gegen unpassende Änderungen kontrolliert?
Verwenden Sie für eine eigene Rückverfolgungsprüfung beispielsweise zwei Lieferantenchargen desselben Materials. Buchen Sie Eingang, Teilentnahme, Umlagerung und Rückgabe. Lassen Sie anschließend einen fachkundigen Benutzer die Herkunft und Verwendung einer ausgewählten Teilmenge rekonstruieren. Prüfen Sie Mengen, Einheiten, interne und externe Chargenkennung sowie den Zusammenhang zwischen Belegen. Ein gefülltes Chargenfeld allein beantwortet diese Fragen nicht.
Quellen: [2]
4. „Gesperrt“ ist keine vollständige Prozesssperre
Die SAP-Hilfe beschreibt für „Gesperrt“ weiterhin mögliche Bestandsbelege, etwa Umlagerungen und Warenausgänge. „Zugriff nicht möglich“ verhindert bestimmte Verkaufsbelege, erlaubt aber beispielsweise Bestandsumlagerungen. Der englische Begriff „Locked“ darf deshalb nicht ungeprüft als vollständige Quarantänefunktion interpretiert werden.
Definieren Sie zuerst die fachliche Regel: Ein Material darf etwa noch umgelagert, aber nicht für die Herstellung entnommen werden. Ordnen Sie anschließend jeder relevanten Belegart die erlaubte Handlung zu. Wenn Standardverhalten und Prozessanforderung auseinanderfallen, bewerten Sie geeignete zusätzliche Kontrollen. Das kann eine andere Prozessführung oder geprüfte Erweiterung erfordern. Entscheidend ist das belegte Gesamtergebnis, nicht der Name eines Statusfelds.
Quellen: [1]
5. Illustrativer Test: Materialstatus einschließlich Ausnahmeweg
Das folgende selbst entwickelte Beispiel betrachtet einen Betrieb mit separater Qualitätsentscheidung. Rohstoff R-01 liegt als Charge C-01 vor. Vor Freigabe darf keine Entnahme für den definierten Herstellprozess erfolgen; eine dokumentierte Umlagerung in den Prüfbereich bleibt erlaubt. Ob Ihre Lösung diese Regel erfüllt, ist das Testergebnis und keine hier zugesicherte Standardfunktion.
Führen Sie die Fälle mit einem normalen Lagerbenutzer aus. Halten Sie Ausgangsbestand, Konfiguration, Rolle, Belegart und Sollverhalten vorab fest. Wiederholen Sie kritische Fälle über tatsächlich genutzte Scanner oder Schnittstellen. Ein nur im Desktopclient erfolgreicher Test deckt einen anderen Buchungsweg nicht automatisch ab.
| Situation | Prüfung | Akzeptanzkriterium des Beispiels |
|---|---|---|
| Charge ohne Qualitätsfreigabe | Entnahme für Herstellung anstoßen | Unzulässige Verwendung wird durch die eingerichtete Gesamtlösung verhindert |
| Erlaubte Quarantäneumlagerung | Charge in definierten Prüfbereich verschieben | Charge, Menge und fachlicher Status bleiben richtig zugeordnet |
| Ausnahmebenutzer | Status ändern und anschließend entnehmen | Nur der festgelegte berechtigte Weg ist möglich; Entscheidung bleibt nachvollziehbar |
| Veraltete Qualitätsmeldung | Älteren Freigabestatus erneut übertragen | Aktuelle Entscheidung wird nicht unbemerkt überschrieben |
| Rücknahme einer Teilmenge | Entnahme teilweise rückgängig machen | Menge, Ursprung und weitere Verwendbarkeit entsprechen der festgelegten Regel |
6. Rollen am tatsächlichen Arbeitsweg testen
SAP beschreibt Superuser mit vollständigen Berechtigungen, die sich nicht wie die Rechte regulärer Benutzer einschränken lassen. Verwenden Sie solche Konten daher nicht als Beleg dafür, dass eine fachliche Rolle korrekt begrenzt ist. Erfassen Sie auch Benutzergruppen, Vertretungen und technische Konten. Bei mehreren Benutzer- und Gruppenzuordnungen beschreibt SAP die höchste zutreffende Berechtigungsstufe als effektiv. Eine eingeschränkte Einzelzuordnung kann dadurch weitergehende Gruppenrechte nicht automatisch aufheben.
Eine sinnvolle Rollenprüfung betrachtet etwa das Anlegen einer Charge, das Ändern ihres Status und die Entnahme getrennt. Testen Sie erlaubte und abgewiesene Aktionen. Ergänzen Sie einen Rollenwechsel und den Austritt eines Benutzers. Bei Partnerlösungen prüfen Sie deren eigene Rechteverwaltung. Dokumentieren Sie zusätzlich, wer berechtigte administrative Änderungen kontrolliert und wie dringende Unterstützung nachvollziehbar erfolgt.
Quellen: [3]
7. Change Log, Aufbewahrung und fachliche Historie verbinden
Das ChangeLogsService beschreibt Änderungen für verschiedene Business-One-Objekte und die Anzeige von Differenzen. Daraus folgt keine vollständige Abdeckung jedes fachlich benötigten Ereignisses. Wählen Sie konkrete relevante Änderungen aus, etwa einen Stammdatenwert oder eine Berechtigung, und prüfen Sie die tatsächlich verfügbaren Informationen.
Zusätzlich dokumentiert SAP eine Cleanup-Funktion für Änderungsprotokolle. Eine technische Löschmöglichkeit ist keine fachliche Erlaubnis, aufbewahrungspflichtige Informationen zu entfernen. Legen Sie deshalb Schutz, Zugriffsrechte und Aufbewahrung passend zum Record fest. Prüfen Sie, ob der Verantwortliche einen Vorgang später verständlich rekonstruieren kann. Falls Gründe oder Zusammenhänge fehlen, muss die ergänzende Kontrolle diese Lücke tatsächlich adressieren.
8. Genehmigungen über Clients und Schnittstellen abgleichen
In den dokumentierten Webclient-Einstellungen aktiviert eine eigene Option den Genehmigungsprozess für die Datenschnittstelle DI. Weitere Optionen betreffen Änderungen an ausstehenden oder genehmigten Entwürfen und erzeugten Belegen. Diese Einstellungen gehören in die dokumentierte Konfiguration, wenn der entsprechende Ablauf relevant ist.
Prüfen Sie insbesondere eine fachliche Änderung nach Genehmigung: Welche Entscheidung gilt anschließend, und welche Information sieht der Genehmigende? Testen Sie auch Ablehnung und Stellvertretung. Eine Genehmigungsfunktion belegt für sich keine elektronische Signatur nach Part 11. Wenn eine solche Signatur benötigt wird, bewerten Sie zusätzlich die einschlägigen Anforderungen an Identität, Bedeutung und dauerhafte Zuordnung zur Aufzeichnung.
9. Add-ons, Berichte und Datenübergaben gezielt einbeziehen
Ein Branchenpaket kann den relevanten Prozess wesentlich verändern. Lassen Sie sich zeigen, welche Funktion SAP-Standard, konfiguriertes Partnerprodukt oder individuelle Entwicklung ist. Eine pauschale GAMP-Kategorie nur wegen der Bezeichnung Add-on hilft bei dieser Abgrenzung nicht. Beurteilen Sie den tatsächlichen Bestandteil und seine Verwendung.
Für jede wichtige Übergabe dokumentieren Sie führendes System, Identifikatoren, Einheiten und Fehlerbehandlung. Ein illustrativer Test sendet denselben Wareneingang zweimal nach einem Verbindungsabbruch. Die vereinbarte Erwartung lautet: keine unerkannte Doppelbuchung und eine nachvollziehbare Bearbeitung des Fehlers. Eigene Freigabeberichte prüfen Sie mit bekannten Daten einschließlich Grenzfällen. Bewerten Sie Partnernachweise auf Übereinstimmung mit Ihrer Version, Konfiguration und den verwendeten Integrationen.
10. Migration, Änderungen und Projektstart vorbereiten
Bei einer Migration vergleichen Sie nicht nur Datensatzanzahlen. Prüfen Sie ausgewählte historische Chargenketten, offene Belege, Mengen und notwendige Anhänge. Legen Sie fest, welche Historie im Zielsystem verfügbar sein muss und welche im Altsystem lesbar bleibt. Definieren Sie, wie Fehler korrigiert und erneute Übernahmen kontrolliert werden.
Der SAP-Administrationsleitfaden behandelt Datenbanken und Komponenten beim Upgrade sowie Backup und Wiederherstellung. Leiten Sie aus geplanten Änderungen einen eigenen Prüfungsumfang ab. Ein Wiederanlauftest sollte einen fachlichen Ablauf einschließen, nicht nur den Start des Servers. Für den Projektstart können Sie folgende Arbeitspunkte gemeinsam mit Fachbereich, IT, Partner und QA klären:
- Prozessverantwortliche benannt und regulierte Entscheidungen abgegrenzt.
- Installationsstand, Datenbank, Clientzugänge und Add-ons dokumentiert.
- Relevante Chargen-, Stammdaten- und Rollenregeln vereinbart.
- Schnittstellen, Berichte und Ausnahmewege vollständig erfasst.
- Geeignete Testumgebung sowie repräsentative und gezielte fehlerhafte Testdaten verfügbar.
- Partnernachweise geprüft; offene Lücken und Verantwortliche festgehalten.
- Migration, Aufbewahrung, Wiederherstellung und Änderungen im Betrieb geplant.
Quellen: [7]
Häufige Fragen zu SAP Business One
Muss das gesamte SAP Business One validiert werden?
Der Umfang folgt Ihrem regulierten Einsatz. Erfassen Sie zuerst die Prozesse, Aufzeichnungen und gemeinsam genutzten Daten, die Produktqualität oder relevante Entscheidungen beeinflussen. Daraus leiten Sie die betroffenen Funktionen und Abhängigkeiten ab. Eine pauschale Prüfung aller Menüs wäre ebenso wenig begründet wie der Ausschluss des ERP allein wegen seiner kaufmännischen Funktionen.
Quellen: [8]
Ist SAP Business One für Pharma automatisch geeignet?
Das lässt sich aus dem Produktnamen oder einer Branchenbeschreibung nicht ableiten. Entscheidend sind Ihre Anforderungen und die eingerichtete Gesamtlösung. Lassen Sie sich kritische Abläufe einschließlich Fehler- und Ausnahmefällen zeigen. Bewerten Sie Standardfunktionen, Partnerpaket und eigene Organisation gemeinsam. Dieser Artikel enthält keine Zertifizierung oder Freigabe einer bestimmten Installation.
Verhindert der Chargenstatus „Gesperrt“ jede Warenbewegung?
Nein. SAP dokumentiert weiterhin mögliche Bestandsbelege. Prüfen Sie deshalb die konkrete Belegart und Ihren Arbeitsweg. Wenn Ihre Anforderung eine Herstellungsentnahme verhindert, muss genau diese Handlung in der eingerichteten Lösung geprüft werden. Auch erlaubte Umlagerungen brauchen eine klare Abgrenzung. Der Statusname allein ist kein ausreichender Nachweis.
Quellen: [1]
Reicht ein Change Log als vollständiger GxP-Audit-Trail?
Erst der Vergleich mit den benötigten Informationen beantwortet das. Wählen Sie relevante Aufzeichnungen und Änderungen aus und untersuchen Sie Abdeckung, Verständlichkeit, Schutz und Aufbewahrung. Beziehen Sie eigene Felder, Partnerlösungen und technische Zugänge ein. Dokumentieren Sie mögliche Lücken und wirksame ergänzende Kontrollen. Die bloße Verfügbarkeit eines Protokolls belegt keine Vollständigkeit.
Quellen: [4]
Sind Genehmigungen in SAP Business One elektronische Signaturen?
Ein Genehmigungsstatus allein belegt die einschlägigen Signaturanforderungen nicht. Klären Sie zunächst, welche Entscheidung bestätigt werden soll und ob eine elektronische Signatur benötigt wird. Bewerten Sie dann die vollständige Umsetzung. Dazu gehören insbesondere die Personenzuordnung, die Bedeutung der Bestätigung und ihre Verbindung mit dem richtigen Stand der Aufzeichnung.
Quellen: [10]
Gilt derselbe Nachweis für Desktopclient, Webclient und Schnittstelle?
Nur soweit die nachgewiesene Funktion und ihre Voraussetzungen tatsächlich übereinstimmen. Erfassen Sie alle genutzten Zugänge und prüfen Sie Unterschiede. Die dokumentierte gesonderte Aktivierung des Genehmigungsprozesses für DI zeigt, warum ein einzelner Oberflächentest nicht sämtliche Wege abdeckt. Kritische Übergaben benötigen passend ausgewählte eigene Fälle.
Quellen: [6]
Können wir ein Validierungspaket des Partners übernehmen?
Geeignete Unterlagen können Sie nach Bewertung verwenden. Vergleichen Sie Version, Konfiguration, Anforderungen und ausgeführte Testfälle mit Ihrem Einsatz. Halten Sie offen, welche Prozessvarianten, Schnittstellen oder Risiken nicht abgedeckt sind. Eine Dokumentenmenge oder ein erfolgreicher Standardtest ersetzt die begründete Entscheidung über verbleibende eigene Nachweise nicht.
Was muss vor dem Start bereitstehen?
Sammeln Sie Prozessübersicht, Installationsstand, Add-on- und Schnittstellenliste, Rollen sowie verfügbare Partnernachweise. Benennen Sie kritische Entscheidungen und bekannte Sonderfälle. Eine zugängliche Testumgebung und geeignete Daten ermöglichen anschließend konkrete Prüfungen. Wenn diese Grundlagen fehlen, planen Sie zunächst deren Klärung; sonst wird eine vermeintliche Testphase zur ungeplanten Bestandsaufnahme.
Wer muss bei einem kleinen Unternehmen mitarbeiten?
Mindestens erforderlich sind die Personen, die den Prozess fachlich beurteilen, das System technisch betreuen und die Qualitätsanforderungen entscheiden können. Der Implementierungspartner erklärt Konfiguration und Erweiterungen. Eine Person kann mehrere Aufgaben übernehmen, sofern Zuständigkeiten, notwendige Kompetenz und geeignete Kontrolle geklärt sind. Reservieren Sie insbesondere Zeit für fachliche Entscheidungen und Befundklärung.
Welche Faktoren bestimmen Aufwand und Dauer?
Wesentliche Treiber sind die Zahl kritischer Prozessvarianten, eigene Erweiterungen, Schnittstellen, Datenqualität und der Zustand vorhandener Nachweise. Hinzu kommen verfügbare Testumgebungen, Rückfragen an den Partner und Bearbeitungszeiten für Befunde. Ein klarer Standardprozess kann anders geplant werden als eine Migration mit vielen Sonderwegen. Belastbare Termine entstehen aus diesen Voraussetzungen, nicht aus dem Produktnamen.
Quellen & fachlicher Stand
Die Produktangaben beruhen auf den genannten SAP-Unterlagen und ihren jeweiligen Versionsständen. Prüfmatrizen und Projektfragen sind eigene illustrative Empfehlungen; das Verhalten der konkreten Installation muss nachgewiesen werden.
- SAP Business One 10.0: Fenster Chargendetails
- SAP Business One 10.0: Allgemeine Einstellungen für Chargennummern
- SAP Business One SDK 10.0: ChangeLogsService
- SAP: How to Manage the Protection of Personal Data in SAP Business One
- SAP Business One Webclient: Genehmigungsprozesseinstellungen
- SAP Business One Administrator’s Guide
- Europäische Kommission: EU-GMP Annex 11
- Europäische Kommission: EudraLex Volume 4
- eCFR: 21 CFR Part 11
- FDA: Part 11 – Scope and Application
Zuletzt fachlich geprüft am 06.10.2026.
Daniel Herrmann Consulting
Den Umfang vor der Testphase klären
Wir unterstützen Sie dabei, die SAP-Business-One-Prozesse abzugrenzen, vorhandene Partnernachweise zu bewerten und offene Prüfungen zu planen. Als Ausgangspunkt genügen Systemübersicht, Erweiterungsliste und Ihre wichtigsten regulierten Abläufe.
- IT-GxP-Consulting →
Validierungsumfang, Verantwortlichkeiten und notwendige Nachweise gemeinsam klären.