Inhaltsverzeichnis
Das Wichtigste vorab
Wie beurteilen wir die mögliche Fehlerfolge eines Produktions- oder QMS-Softwareprozesses?
Beschreiben Sie die Funktion, einen vernünftigerweise vorhersehbaren Ausfall und dessen mögliche Wirkung auf Produktqualität und Sicherheit. Berücksichtigen Sie vorhandene Kontrollen mit ihrer tatsächlichen Wirksamkeit. Die FDA unterscheidet für ihren CSA-Ansatz hohes und nicht hohes Prozessrisiko; nicht hohes Risiko bedeutet nicht fehlenden Prüfbedarf. Die Assurance muss zur jeweiligen Fehlerfolge passen. Der Ansatz betrifft Produktions- und QMS-Software im Medizinproduktebereich und ersetzt keine Produkt-Risikoanalyse.
- Vorhersehbare Fehlerfolgen beurteilen, nicht nur vermutete Fehlerhäufigkeit.
- Prozessrisiko und mögliche Medizinproduktewirkung miteinander verbinden.
- Kontrollen nur mit begründeter Wirkung in die Entscheidung einbeziehen.
1. Begrenzen Sie den Prozess vor der Bewertung
Die CSA-Guidance vom 3. Februar 2026 behandelt Software für Produktion und Qualitätsmanagement im Medizinproduktebereich. Sie ist eine nicht bindende FDA-Empfehlung innerhalb des einschlägigen Anforderungsrahmens. Sie ist weder ein allgemeines Punktesystem für jede GxP-Anwendung noch die Anleitung zur vollständigen Risikobewertung eines Medizinprodukts.
Benennen Sie eine konkrete Funktion statt eines gesamten Produktnamens. „ERP“ ist zu breit. „Das System wählt den für einen Fertigungsauftrag zulässigen Materialstand aus“ ist prüfbar. Erfassen Sie Eingangsdaten, Verarbeitung, Entscheidung und nachfolgenden Prozessschritt. Wenn mehrere Funktionen unterschiedliche Wirkungen haben, kann ihre Bewertung entsprechend unterschiedlich ausfallen.
2. Beschreiben Sie eine nachvollziehbare Fehlerkette
Beginnen Sie mit dem denkbaren Funktionsfehler. Fragen Sie anschließend, welche Qualitätsprobleme daraus entstehen können und ob diese vorhersehbar die Sicherheit beeinträchtigen könnten. Diese Kette ist wichtiger als ein isolierter Risikowert. Ohne sie lässt sich kaum prüfen, weshalb eine Funktion als hohes oder nicht hohes Prozessrisiko eingestuft wurde.
Die FDA spricht von vernünftigerweise vorhersehbaren Fehlern. Das ist nicht auf Fehler begrenzt, die das Team für besonders wahrscheinlich hält. Ein seltener, aber plausibler Fehler darf nicht allein durch eine niedrige geschätzte Häufigkeit verschwinden. Ebenso sollte eine rein theoretische Behauptung ohne Bezug zum tatsächlichen Ablauf nicht ungeprüft die gesamte Bewertung bestimmen.
Quellen: [1]
3. Halten Sie die Begriffe auseinander
Die folgende eigene Arbeitshilfe trennt Fehler, Qualitätsproblem, Sicherheitswirkung und Kontrolle. Diese Elemente können in einer bestehenden Risikoanalyse dokumentiert werden. Zwei zwingend getrennte Analysedokumente werden daraus nicht abgeleitet. Wichtig ist die nachvollziehbare Verbindung der Perspektiven.
Die Einteilung in hohes und nicht hohes Prozessrisiko dient in der Guidance der Auswahl angemessener Assurance. Sie ist kein Qualitätsurteil über den Lieferanten und kein Compliancezertifikat. Innerhalb einer Organisation können weitere Abstufungen sinnvoll sein, sofern deren Bedeutung klar bleibt und die relevante Fehlerfolge nicht durch die Skala verdeckt wird.
| Begriff | Konkrete Frage | Unzureichende Abkürzung |
|---|---|---|
| Funktionsfehler | Was kann die Software falsch tun oder unterlassen? | Die Software ist komplex. |
| Qualitätswirkung | Wie verändert der Fehler Produkt oder Prozessentscheidung? | Es könnte irgendein Problem geben. |
| Sicherheitswirkung | Kann das Qualitätsproblem vorhersehbar die Sicherheit beeinträchtigen? | Jeder Qualitätsfehler ist automatisch gleich kritisch. |
| Kontrolle | Was erkennt oder verhindert die Folge unter realen Bedingungen? | Ein Mitarbeiter könnte es bemerken. |
| Assurance | Welche Evidenz beantwortet die relevante Vertrauensfrage? | Bei dieser Systemklasse testen wir immer gleich. |
Quellen: [1]
4. Prüfen Sie vorhandene Kontrollen kritisch
Eine bestehende Kontrolle kann die Fehlerkette verändern. Beschreiben Sie, welche Information sie verwendet, wann sie wirkt und wer auf einen Befund reagiert. Eine unabhängige Prüfung des tatsächlichen Materials ist anders zu bewerten als die erneute Sichtung derselben möglicherweise falschen Systemanzeige.
Berücksichtigen Sie auch die Bedingungen, unter denen die Kontrolle versagt. Ist sie nur für eine Stichprobe vorgesehen? Kann eine Meldung übergangen werden? Fehlt die zuständige Person bei einer Schichtübergabe? Solche Fragen machen aus einer allgemeinen Kontrollbehauptung eine bewertbare Maßnahme. Die Guidance erlaubt die Berücksichtigung zusätzlicher Prozesskontrollen, nicht ihre ungeprüfte Unterstellung.
Quellen: [1]
5. Illustrativer Fall: Materialzuordnung und Statusanzeige
Ein fiktiver Medizinproduktehersteller hat zwei Funktionen in derselben Anwendung. Funktion A wählt automatisch einen Materialstand für einen sicherheitsrelevanten Fertigungsschritt. Im angenommenen Ablauf gibt es vor Verwendung keine zusätzliche wirksame Prüfung. Funktion B zeigt den Bearbeitungsfortschritt einer administrativen Aufgabe an; die tatsächliche Materialentscheidung erfolgt davon unabhängig.
Für A wird ausdrücklich angenommen, dass eine falsche Materialzuordnung ein Qualitätsproblem mit vorhersehbarer Sicherheitswirkung auslösen kann. Unter diesen Annahmen ist hohes Prozessrisiko plausibel. Für B wird angenommen, dass eine falsche Anzeige lediglich die administrative Bearbeitung verzögert. Diese Voraussetzungen müssen in einem echten Projekt belegt werden; die Funktionsnamen allein reichen nicht.
| Funktion | Fehler und Folge | Kontrollen im angenommenen Ablauf | Begründete Folgerung |
|---|---|---|---|
| A: Materialstand auswählen | Unzulässiger Stand wird verwendet; sicherheitsrelevante Produkteigenschaft betroffen | Keine weitere wirksame Prüfung vor Verwendung angenommen | Hohes Prozessrisiko; Assurance an der relevanten Gerätewirkung ausrichten |
| B: Bearbeitungsstatus anzeigen | Status veraltet; administrative Aufgabe verspätet sichtbar | Materialverwendung hängt nicht von dieser Anzeige ab | Nicht hohes Prozessrisiko unter diesen Annahmen; passende Prozessprüfung bleibt nötig |
| A nach geplanter Zusatzkontrolle | Falsche Zuordnung soll vor Verwendung erkannt werden | Kontrolle bisher nur geplant, nicht belegt | Bewertung nicht allein wegen geplanter Maßnahme herabsetzen |
| B nach Nutzungsänderung | Anzeige steuert nun die tatsächliche Materialverwendung | Bisherige Unabhängigkeit entfällt | Erneut bewerten; alte Einstufung nicht unverändert übernehmen |
Quellen: [1]
6. Leiten Sie die Absicherung aus der Fehlerfolge ab
Für Funktion A sollten gezielte Fälle die Auswahlregeln, Grenzbedingungen und unzulässigen Materialstände prüfen. Zusätzlich kann die Betrachtung von Schnittstellen und Stammdaten erforderlich sein. Für Funktion B können andere Aktivitäten genügen, wenn sie den vorgesehenen Einsatz angemessen belegen. Das ist eine begründete Methodenentscheidung, keine automatische Befreiung von Prüfungen.
Die FDA ordnet bei hohem Prozessrisiko die Assurance der relevanten Medizinproduktewirkung zu; bei nicht hohem Prozessrisiko bleibt sie am Prozessrisiko ausgerichtet. Scripted, unscripted oder automatisierte Prüfungen sind Werkzeuge. Ein starres Schema „hoch bedeutet immer vollständig geskriptet, niedrig bedeutet nie geskriptet“ wäre zu grob und würde die konkrete Nachweisfrage verfehlen.
Quellen: [1]
7. Machen Sie unklare Annahmen sichtbar
Wenn unklar ist, ob Funktion B doch eine Materialentscheidung beeinflusst, fehlt eine wesentliche Grundlage. Klären Sie den tatsächlichen Arbeitsablauf, statt die Lücke durch eine günstige Bewertung zu schließen. Gespräche mit Nutzern, Prozessbeobachtung und die Prüfung vorhandener Vorgaben können zeigen, wo die Software wirklich verwendet wird.
Dokumentieren Sie Annahmen so, dass spätere Änderungen erkannt werden. Eine neue Schnittstelle oder das Wegfallen einer manuellen Kontrolle kann die bisherige Begründung verändern. Für kleine Teams ist eine kurze, gepflegte Funktionsübersicht oft wirksamer als eine umfangreiche einmalige Tabelle, deren Voraussetzungen nach dem Projekt niemand mehr kennt.
Quellen: [1]
8. Checkliste vor der Risikoentscheidung
Die Entscheidung sollte auch für einen Kollegen nachvollziehbar sein, der nicht an der Besprechung teilgenommen hat. Kann er den Weg vom Funktionsfehler zur möglichen Folge und zur gewählten Assurance verfolgen? Wenn nur eine Zahl oder Farbe übrig bleibt, fehlt meist ein Teil dieser Begründung.
Die eigene Checkliste unterstützt die fachliche Diskussion. Sie schreibt keine feste Bewertungsformel, keine universelle Punkteskala und keine bestimmte Unterschriftenfolge vor. Bestehende Verfahren können genutzt werden, wenn sie die relevante Entscheidung und deren Voraussetzungen ausreichend abbilden.
- Konkreter Produktions- oder QMS-Einsatz beschrieben.
- Vorhersehbarer Funktionsfehler benannt.
- Qualitäts- und mögliche Sicherheitswirkung verbunden.
- Kontrollen mit ihrer tatsächlichen Wirkung und Grenzen bewertet.
- Unklare Annahmen und zusätzliche Erkenntnisfragen sichtbar.
- Assurance-Methode und Tiefe aus der Fehlerfolge begründet.
- Auslöser für eine erneute Bewertung dokumentiert.
Quellen: [1]
Häufige Fragen zu FDA CSA: Prozessrisiko aus konkreten Fehlerfolgen ableiten
Ist Prozessrisiko dasselbe wie Medizinprodukterisiko?
Nein. Die Guidance unterscheidet die mögliche Beeinträchtigung eines Produktions- oder QMS-Prozesses von der daraus folgenden Geräte- beziehungsweise Sicherheitswirkung. Diese Perspektiven sind zu verbinden. Daraus folgt keine Pflicht zu zwei voneinander getrennten Dokumenten, solange die Zusammenhänge ausreichend nachvollziehbar sind.
Quellen: [1]
Müssen wir nur wahrscheinliche Softwarefehler betrachten?
Nein. Die Guidance stellt auf vernünftigerweise vorhersehbare Fehler ab. Ein plausibler Fehler mit schwerer Folge darf nicht allein deshalb entfallen, weil seine Häufigkeit niedrig geschätzt wird. Die konkrete Fehlerkette und die Wirksamkeit vorhandener Kontrollen müssen betrachtet werden.
Quellen: [1]
Ist ein CAPA-System immer nicht hohes Prozessrisiko?
Eine solche pauschale Einteilung wäre falsch. Die Bedeutung hängt von der konkreten Funktion und ihrer Folge ab. Eine administrative Weiterleitung kann anders wirken als eine Funktion, deren Ausfall eine erforderliche sicherheitsrelevante Reaktion verhindert. Beurteilen Sie den tatsächlichen Ablauf.
Quellen: [1]
Bedeutet nicht hohes Prozessrisiko, dass keine Validierung nötig ist?
Können manuelle Kontrollen die Bewertung beeinflussen?
Ja, wenn sie tatsächlich geeignet sind, die relevante Folge zu verhindern oder zu erkennen. Beschreiben Sie Ablauf, Information, Zeitpunkt und Reaktion. Eine bloß erwartete Aufmerksamkeit eines Mitarbeiters ist weniger belastbar als eine definierte und nachweisbar wirksame Kontrolle.
Quellen: [1]
Reicht eine Risikozahl aus einer FMEA?
Eine Zahl kann eine bestehende Methode unterstützen, ersetzt aber nicht die Begründung. Es muss erkennbar bleiben, welcher Funktionsfehler welche Folge haben kann und weshalb die Kontrollen tragen. Unterschiedliche Fehlerketten können denselben Zahlenwert ergeben und dennoch andere Nachweise brauchen.
Quellen: [1]
Braucht hohes Prozessrisiko immer ausschließlich geskriptete Tests?
Nicht zwingend. Die Guidance lässt eine geeignete Kombination von Methoden zu. Entscheidend ist, dass die Absicherung zur relevanten Fehlerfolge passt. Explorative oder automatisierte Prüfungen können beitragen, ohne gezielte Nachweise für kritische Regeln automatisch zu ersetzen.
Quellen: [1]
Wann müssen wir die Bewertung erneut ansehen?
Wenn sich Einsatzzweck, Funktion, Datenfluss oder tragende Kontrollen verändern, kann die bisherige Begründung betroffen sein. Auch neue Befunde können Anlass geben. Prüfen Sie die konkrete Wirkung; ein unveränderter Produktname garantiert keine unveränderte Risikosituation.
Quellen: [1]
Gilt diese Einteilung auch für Arzneimittel-GMP?
Die FDA-CSA-Guidance hat einen spezifischen Medizinprodukte-Scope. Ihre Begriffe dürfen nicht ohne Einordnung als allgemeine pharmazeutische Pflichtvorgaben ausgegeben werden. Für Arzneimittel-GMP müssen die dort geltenden Anforderungen und die passende Risikomethodik eigenständig bestimmt werden.
Quellen: [1]
Wie vermeiden wir endlose Risikodiskussionen?
Arbeiten Sie mit einer konkreten Funktion und einem nachvollziehbaren Fehlerweg. Markieren Sie, welche Annahme strittig ist, und beschaffen Sie gezielt die fehlende Information. Eine Diskussion über abstrakte Systemklassen dauert oft länger, ohne die tatsächlich benötigte Entscheidung näherzubringen.
Quellen: [1]
Quellen & fachlicher Stand
Quellenstand 7. Oktober 2026. Behördenvorschriften, Leitlinien und Branchenmethodik sind getrennt einzuordnen. Tabellen, Zahlen und Fälle sind eigene illustrative Arbeitshilfen; keine ausgeführten Produktprüfungen oder Kundenergebnisse.
- FDA: Computer Software Assurance for Production and Quality Management System SoftwareFinal Guidance 03.02.2026; nicht bindende Empfehlungen für Produktions-/QMS-Software im Medizinproduktebereich.
- 21 CFR Part 820 – Quality Management System RegulationAktueller QMSR-Text; seit 02.02.2026 wirksam. §§820.1,820.7,820.10,820.35,820.45.
Zuletzt fachlich geprüft am 07.10.2026.
Daniel Herrmann Consulting
Den konkreten Nachweisprozess gemeinsam bearbeiten
Wir unterstützen Sie bei der nachvollziehbaren Bewertung konkreter Softwarefunktionen und bei der Auswahl der dazu passenden Assurance-Aktivitäten.
- IT-GxP-Audit →
Anforderungen, vorhandene Nachweise und relevante Lücken beurteilen.
- IT-GxP-Consulting →
Vereinbarte Bewertungs-, Dokumentations- und Testarbeit im Projekt bearbeiten.
- IT-GxP-Coaching →
Ihr Team bei konkreten Entscheidungen und der Anwendung eigener Verfahren begleiten.
- IT-GxP-Compliance-Programm →
Passende interne Verfahren, Vorlagen und Schulung aufbauen.