Wie weisen Life-Sciences-Unternehmen die QA-Compliance ihrer GxP-relevanten IT-Systeme lückenlos gegenüber der Inspektion nach?

Ein QA-Audit für IT-Systeme prüft nicht das System gegen ein Lastenheft, sondern den Qualitäts-Oversight über das System. Der EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 verlangen, dass computergestützte Systeme über ihren Lebenszyklus validiert bleiben, dass der Audit-Trail die Nachvollziehbarkeit jeder Datenänderung sichert und dass Lieferanten und Dienstleister formal bewertet werden. Die Reihenfolge entscheidet über den Aufwand: Zuerst muss das Systeminventar stehen und jedes System eine GAMP-5-Kategorie tragen, denn erst die Kategorisierung steuert risikobasiert, wie tief Validierung, Vendor-Assessment und Audit-Trail-Review reichen müssen. Wer ohne dieses Inventar auditiert, validiert Standardsoftware unnötig tief und übersieht zugleich die kundenspezifischen Kategorie-5-Systeme, an denen die kritischen Findings hängen.

Der neuralgische Punkt liegt fast immer an der Schnittstelle zwischen IT-Betrieb und QA. Patches, Konfigurationsänderungen und Anbieter-Updates laufen im IT-Betrieb, während die QA-Beteiligung im Change-Control fehlt. Solange diese Lücke besteht, wird eine berührte Validierung erst sichtbar, wenn ein Inspektor den Audit-Trail öffnet und eine undokumentierte Änderung findet. Wir setzen deshalb am Change-Control und am Audit-Trail-Review an, bevor wir das Portfolio für die Inspektion freigeben: Korrekturen sind dort günstig, wo sie als CAPA geplant werden, und teuer, wenn sie als Beanstandung im Inspektionsbericht stehen.