„Critical Finding“

So lautet die unangenehme Nachricht nach dem IT-Qualitäts-Audit im Unternehmen. Die langjährige Geschäftsbeziehung mit dem bisher besten Kunden, der das Audit durchgeführt hat, ist nun Vergangenheit. Wurde ein behördliches Audit durchgeführt, stehen womöglich wesentliche Produktentwicklungen vor dem Aus.

Unternehmensprozesse müssen mühselig analysiert, verbessert und dokumentiert werden. Solche und ähnliche Szenarien geschehen in vielen Branchen – angefangen im Bankenwesen bis hin zur Life Science und Pharma Industrie. Jedes Unternehmen ist aufgefordert, sich an die in ihrer Branche gültigen Regelwerke zu halten, um die Compliance bzw. die Regelkonformität des Unternehmens zu sichern. Ein Unternehmen ist compliant, wenn sowohl gesetzliche als auch interne und externe Regularien (zum Beispiel von Kunden oder Lieferanten) eingehalten und vollständig dokumentiert sind. Ein geläufiges Beispiel für den Nachweis eines bestehenden und funktionierenden Qualitätsmanagementsystems (QMS) durch ein Audit ist die erfolgreiche Zertifizierung eines Unternehmens nach EN ISO 9001.

Richtlinien in der Computersystemvalidierung

Die Pharma Industrie hat hier zum Schutz der Bevölkerung besonders hohe behördliche Auflagen zu erfüllen. Die Richtlinien zur Guten Herstellungspraxis (GMP), zur Einhaltung der Qualitätsanforderungen an Klinische Prüfungen (GCP) sowie zur Einhaltung der Qualitätsanforderungen der Guten Laborpraxis (GLP) – kurz GxP für alle drei Bereiche – bieten hier eine gute Orientierung. Diese GxP-Richtlinien werden beispielsweise von der Europäischen Arzneimittelzulassungsbehörde (EMA) und der amerikanischen Lebensmittelüberwachung- und Arzneimittelzulassungsbehörde (FDA) festgelegt und sind bindend.

Zum zentralen Element der Computersystemvalidierung (CSV) nach GAMP 5/ISPE im GxP-Bereich gehört die Risikobewertung und das Risikomanagement aller Computersysteme. Die Softwareentwicklung und die Validierung anhand des V-Modells mit seinen Qualifizierungsphasen DQ, IQ, OQ oder PQ wurde für die Computersystemvalidierung im GxP-Bereich in den GAMP 5/ISPE Leitlinien auf das Wesentliche reduziert. Die Risikobewertung im Lebenszyklus von Computersystemen soll hier auf so genannte kritische Systeme beschränkt bleiben. Kritische Systeme haben stets mit Datensicherheit und Datenintegrität zu tun. Im Netz habe ich eine gute Zusammenfassung bei GMP-Navigator bezüglich der praktischen Interpretation von GAMP 5/ISPE gefunden. Interessant ist hier die Unterteilung des Microsoft Office Programms Excel in verschiedene Anwendungskategorien von GAMP 5/ISPE. Allgemeine Fragen rund um die Computersystemvalidierung sind auf den FAQ-Seiten der European Compliance Academy (ECA) beantwortet. Weitere Informationen mit Links finden sich am Ende dieses Beitrags.

Ein kleiner aber wichtiger Hinweis am Rande

GAMP 5/ISPE gilt für alle Unternehmen im GxP-Bereich, die mit computerbasierten Systemen arbeiten. Die GMP-Richtlinie der EU für Computersysteme, Annex 11, trat am 30. Juni 2011 in Kraft und wurde vollständig in die Leitlinien GAMP 5/ISPE integriert. Der Annex 11 ist bindend für alle Hersteller, Lieferanten und Dienstleister innerhalb der EU, die in irgendeiner Weise im pharmazeutischen Umfeld tätig sind. Zwar wurden diese Leitlinien zunächst nur für den GMP-Bereich angewendet, da hier meist computergesteuerte und vollautomatisierte Anlagen für die Produktherstellung verantwortlich sind. Doch diese Leitlinien gelten inzwischen auch für den GCP- und GLP-Bereich, sofern sie mit Patienten- und Probandendaten sowie mit pharmazeutischen Produktdaten zu tun haben.

Unternehmen, die sich auch auf die Validierung von Computersystemen im GxP-Bereich konzentriert haben sowie bereits für GAMP optimierte Managementsoftwaresysteme oder Enterprise Resource Planning (ERP) bzw. Unternehmensressourcenplanungssysteme bereitstellen, sind beispielsweise YAVEON, DHC Dr. Herterich & Consultants, COI Consulting für Office, viastore systems oder die GUS Group AG & Co KG. Aufgrund des Inkrafttreten von Annex 11 im Jahr 2011 wird die Anzahl der Anbieter im Bereich der Computersystemvalidierung mit Sicherheit ansteigen. Denn viele,  insbesondere kleinere Unternehmen, die im Bereich der pharmazeutischen Industrie tätig sind, können sich nicht mehr auf Good Practices oder das V-Modell alleine stützen, wenn es um die IT-Systeme und Software geht. Sie müssen Annex 11 im Unternehmen umsetzen und dokumentieren, dokumentieren und dokumentieren – und hier helfen die GAMP 5/ISPE Leitlinien mit praktischen Anwendungsbeispielen weiter sowie kompetente Dienstleister, die beratend zur Seite stehen.

Weiterführende Links: