Computersystemvalidierung in der Praxis: Antworten auf zentrale Fragen

Im Rahmen eines Seminars zur Computersystemvalidierung mit Markus Roemer und Klaus Eichmüller wurden zahlreiche praxisnahe Fragen gestellt, die einen guten Einblick in typische Herausforderungen im GMP-Umfeld geben. Nachfolgend eine Auswahl relevanter Themen und Antworten.

Release Management und Change Management

Ob Release Management und Change Management denselben Prozess erfordern, war eine zentrale Frage. Die Empfehlung lautet, diese nicht identisch zu gestalten. Release Management – inklusive Patch Management – hat eigene Anforderungen und wird in Verbindung mit Change- und Konfigurationsmanagement betrachtet.

Validierung von Cloud-basierten Systemen

Bei Cloud-Systemen gilt: Sie sind als Dienstleistung zu qualifizieren. Wichtig ist die Absicherung der Daten in Bezug auf Integrität und Verfügbarkeit. Ein zusätzliches Backup außerhalb der Cloud ist gesetzlich nicht zwingend vorgeschrieben, da seriöse Anbieter über vertraglich geregelte Backup-Mechanismen verfügen. Diese sollten jedoch regelmäßig überprüft werden. Entscheidend bleibt, ob Daten und Anwendungen im Bedarfsfall zurückgeholt werden können.
Hilfreich sind hier die Vorgaben der ZLG (Ref. 11002) sowie GLP-Dokumente, die auch auf Cloud-Szenarien eingehen.

Erstellung von URS (User Requirement Specifications)

Die Empfehlung lautet, die URS am Prozess zu orientieren. Gerät und Software sollten gemeinsam betrachtet werden. Nur in Ausnahmefällen – etwa bei unterschiedlichen Lieferanten – ist eine Trennung sinnvoll, wobei diese idealerweise in einem Dokument zusammengeführt wird.

Umgang mit Software Development Tools

Entwicklungswerkzeuge für GxP-Systeme sollten auf ihre Eignung geprüft werden. Eine schlanke Vorgehensweise („Validation light“) reicht hier meist aus: Anforderungen prüfen, dokumentieren und die Tools dann im Fachbereich einsetzen.

Risikobewertung vor dem Lastenheft

Die Risikobewertung sollte auf dem Prozess und dessen intended use basieren – nicht auf dem Lastenheft. Risiken werden aus der Anwendung abgeleitet, nicht aus den Anforderungen an ein System. Andernfalls droht, dass wesentliche Prozessrisiken übersehen werden.

Remote- und Postal Audits

Remote Audits: Sie können bei Softwareentwicklern eine praktikable Alternative zum Vor-Ort-Audit sein. Im Gegensatz zu Herstellern oder Laboren gibt es hier keine physischen Warenströme, sodass ein gut vorbereitetes Remote-Audit ausreichend sein kann.

Postal Audits: Reine Fragebögen ohne Belege sind wenig aussagekräftig. Sie können als Vorstufe oder zur Vorbereitung dienen, ersetzen aber kein fundiertes Audit.

Auditchecklisten

Hilfreiche Checklisten finden sich u. a. im ISPE GAMP® 5 Second Edition. Zusätzlich stellen Verbände wie der BAH praxisnahe Vorlagen bereit.

Qualifizierung vs. Validierung (z. B. DocuSign)

Werkzeuge wie elektronische Signaturlösungen sind zu qualifizieren. Dabei müssen SOPs zur Dokumentenlenkung angepasst werden. Wichtig sind klare Festlegungen, welche Dokumente elektronisch signiert werden dürfen und wie Mischformen mit handschriftlichen Signaturen gehandhabt werden.

Audit Trail und Audit Trail Review

Eine Definition des Audit Trails findet sich in EU-GMP Annex 11, ergänzt durch Beschreibungen im ZLG-Aide Mémoire. Die FDA versteht Audit Trails teils abweichend. Für das Audit Trail Review fehlen einheitliche Vorgaben – hier helfen regulatorische Leitlinien als Orientierung.

Qualifizierung von SaaS-Lösungen

Eine Lieferantenqualifizierung ist notwendig, reicht jedoch nicht aus. Zusätzlich sind formelle Vereinbarungen (z. B. Quality Agreements) erforderlich. Eine reine Standardlösung ohne Anpassungsbedarf ist im GMP-Umfeld selten.

Veraltete Software und lokale Datenspeicherung

Lokale Speicherung auf C:-Laufwerken, die für alle änderbar sind, entspricht nicht dem Stand der Technik. Hier sind Upgrades oder Retrofit-Lösungen erforderlich. Moderne Systeme setzen auf zentrale Datenhaltung mit kontrolliertem Zugriff.

Produktionsnetzwerke und IT-Infrastruktur

Produktionsnetzwerke müssen qualifiziert und regelmäßig geprüft werden. Periodische Prüfungen sind nach EU-Anhang 11 verpflichtend (i. d. R. alle 1–3 Jahre). „Requalifizierung“ bedeutet in der Praxis oft, bei Abweichungen oder Änderungen gezielt Teile der Validierung erneut durchzuführen.

Validierungs-Masterplan (VMP)

Ein VMP sollte die gesamte Validierungsstrategie eines Unternehmens abbilden – von Anlagen über Räume bis hin zu computergestützten Systemen. Separate VMPs nur für CSV oder IT können sinnvoll erscheinen, bergen jedoch die Gefahr, Zusammenhänge aus dem Blick zu verlieren. Empfehlenswert ist daher ein integrierter Ansatz oder ein CSV-Anhang zum bestehenden VMP.