Wie etablieren Life-Sciences-Unternehmen eine Digital Governance, die IT-Compliance strukturiert und gleichzeitig handlungsfähig bleibt?
Wir bauen für Pharma-, Biotech-, MedTech- und IVD-Unternehmen die Governance-Strukturen, innerhalb derer regulierte IT-Systeme betrieben werden: vollständiges System-Inventar, GAMP-5-basierte Kritikalitätsbewertung, klare System-Ownership sowie IT-Policies für Change Control, Zugriff und Incident Management nach EU GMP Annex 11. Der neuralgische Punkt ist selten ein einzelnes Validierungsprojekt, sondern die fehlende Struktur darüber: Ohne dokumentierte System-Ownership und ein gepflegtes Inventar laufen Validierung und Datenintegrität auseinander, und im Audit fällt zuerst auf, dass niemand formal für ein GMP-relevantes System verantwortlich ist.
- Pharma
- Biotech
- MedTech
- IVD
Überblick
Welche Anforderungen stellt die regulierte IT an eine Digital Governance?
IT-Governance über alle Branchen · GAMP 5, EU GMP Annex 11, FDA 21 CFR Part 11
Zuletzt aktualisiert: 2026-06-13
Mit wachsender IT-Landschaft entscheidet nicht mehr die Validierung des Einzelsystems über die Inspektionsfähigkeit, sondern die Governance darüber: Wer ist System Owner, welche Systeme sind GMP-relevant, wie werden Änderungen kontrolliert. Die Stellen, an denen IT-Governance in Life Sciences am häufigsten reißt:
- Unklare Verantwortlichkeiten zwischen IT, QA und Business: Der EU-GMP-Leitfaden Annex 11 setzt einen benannten System Owner und einen Prozess-Owner voraus; ohne formale Zuordnung gibt es für ein GMP-relevantes System keine eindeutige Compliance-Verantwortung.
- Unvollständiges System-Inventar: Wenn nicht dokumentiert ist, welche Systeme produktiv im GMP-Umfeld laufen, lässt sich der Validierungsstatus nicht belegen - die Inventarbasis ist die Voraussetzung jeder risikobasierten Steuerung nach GAMP 5.
- Fehlende oder uneinheitliche Change Control für IT-Systeme: Updates, Konfigurations- und Infrastrukturänderungen ohne Impact Assessment heben den validierten Zustand auf, den Annex 11 über den gesamten Lebenszyklus verlangt.
- IT-Risikomanagement ohne einheitliches Framework: Werden Risiken pro Projekt statt portfolioweit bewertet, entsteht keine vergleichbare Priorisierung - GAMP 5 verlangt einen durchgängigen risikobasierten Ansatz statt punktueller Einzelbetrachtung.
- Datenintegrität nur in SOPs beschrieben: Audit Trail, Zugriffskontrolle und Berechtigungskonzepte nach Annex 11 und FDA 21 CFR Part 11 müssen technisch konfiguriert und governance-seitig überprüfbar sein, nicht nur in einer Richtlinie behauptet.
Leistungen
Wie wir Sie unterstützen
IT-System-Inventar & GAMP-5-Kritikalitätsbewertung
Vollständige Inventarisierung des IT-Systemportfolios und Klassifizierung nach den GAMP-5-Kategorien. Deliverable: ein gepflegtes System-Inventar mit GxP-Kritikalität, abgeleitetem Validierungsumfang und zugeordneter System-Ownership pro System.
Mehr erfahren →IT-Governance-Framework & Policies
Aufbau eines IT-Governance-Frameworks mit IT-Policy, Change-Control-Verfahren für IT-Systeme, Incident Management und Zugriffskontroll-Policy, integriert in das bestehende QMS. Deliverable: ein gegen Annex 11 prüffähiges Policy-Set mit definierten Verantwortlichkeiten.
IT-Risikomanagement
Portfolioweites IT-Risikoassessment mit Priorisierung nach Eintrittswahrscheinlichkeit und Auswirkung auf GMP-Compliance und Betriebsfähigkeit. Deliverable: ein Risikoregister mit Maßnahmenplan und nachverfolgbarem Tracking je System.
Mehr erfahren →Software-Lifecycle-Management
Strukturierte Steuerung von Softwareversionen, Patch- und Update-Strategie sowie End-of-Life-Planung für GMP-kritische Systeme mit Impact Assessment. Deliverable: eine Lifecycle-Übersicht mit Update- und Sunset-Planung je System.
Datenintegrität in der Governance verankern
Bewertung von Audit Trail, Berechtigungskonzepten und elektronischen Unterschriften nach Annex 11 und FDA 21 CFR Part 11 sowie deren Anbindung an Governance-Prozesse. Deliverable: ein Data-Integrity-Konzept mit governance-seitig überprüfbaren Kontrollen.
Mehr erfahren →Wie wir zusammenarbeiten
Worauf es ankommt
Eine wachsende IT-Landschaft macht nicht die einzelne Validierung zur Herausforderung, sondern die Struktur darüber. Drei Ebenen müssen in der richtigen Reihenfolge zusammenpassen: Zuerst das System-Inventar, das überhaupt sichtbar macht, welche Systeme produktiv GxP-Daten verarbeiten. Darauf die GAMP-5-Kritikalitätsbewertung, die pro System den Validierungsumfang festlegt und damit verhindert, dass ein Standardsystem wie eine Eigenentwicklung behandelt wird oder ein kritisches System untervalidiert bleibt. Und erst darüber die System-Ownership und die IT-Policies für Change Control, Zugriff und Incident Management nach EU-GMP-Leitfaden Annex 11. Wer diese Reihenfolge umdreht und mit Policies beginnt, bevor das Inventar steht, schreibt Regeln für Systeme, die niemand vollständig kennt.
Genau hier setzen wir an: Das gepflegte Inventar mit zugeordneter Ownership ist die Voraussetzung dafür, dass Computer System Validierung und Datenintegrität nach Annex 11 und FDA 21 CFR Part 11 nicht auseinanderlaufen. Der häufigste Befund im Audit ist nicht ein fehlendes Testprotokoll, sondern eine fehlende formale Verantwortung - ein GMP-relevantes System, für das sich IT, QA und Business gegenseitig zuständig glauben. Die Governance schließt diese Lücke an der Wurzel, bevor sie als einzelnes Finding sichtbar wird.
Unser Vorgehen
Unser Vorgehen
Schritt
Ergebnis
System-Inventar aufnehmen
Vollständiges, dokumentiertes Inventar aller produktiven IT-Systeme mit Verantwortlichen.
Kritikalität bewerten
GAMP-5-basierte Klassifizierung mit GxP-Kritikalität und abgeleitetem Validierungsumfang je System.
Ownership zuordnen
Definierte System- und Prozess-Ownership zwischen IT, QA und Business für jedes GMP-relevante System.
Policies aufsetzen
IT-Governance-Framework mit Change Control, Zugriffs- und Incident-Policy, integriert ins QMS.
Risiken steuern
Portfolioweites Risikoregister mit priorisiertem Maßnahmenplan und laufendem Tracking.
Lifecycle betreiben
Etablierte Update-, Patch- und End-of-Life-Steuerung mit Impact Assessment für kritische Systeme.
Typische Stolperfallen
Woran Projekte häufig scheitern
Das System-Inventar wird einmalig erstellt und nicht gepflegt.
Neue Systeme, Migrationen und stillgelegte Altsysteme laufen am Inventar vorbei; im Audit zeigt sich die Lücke zwischen dokumentiertem Stand und produktivem Betrieb, und der Validierungsstatus einzelner Systeme ist nicht mehr belegbar.
System Owner und IT-Administrator werden verwechselt.
Der System Owner trägt die Business- und Compliance-Verantwortung nach Annex 11, der Administrator betreibt das System technisch. Fehlt diese Trennung, ist niemand formal für Validierungsstatus und regulatorische Konformität zuständig.
Change Control für IT-Systeme existiert nur für die Anwendung, nicht für die Infrastruktur.
Betriebssystem-Upgrades, Datenbank-Patches und Virtualisierungsänderungen ohne Impact Assessment heben den validierten Zustand auf, den Annex 11 über den Lebenszyklus verlangt - ein häufiges Finding bei vermeintlich stabilen Systemen.
Datenintegrität wird in Policies beschrieben, aber nicht in der Konfiguration umgesetzt.
Ein deaktivierbarer Audit Trail oder geteilte Benutzerkonten widersprechen den Anforderungen nach Annex 11 und FDA 21 CFR Part 11, auch wenn die SOP das Gegenteil behauptet.
Legacy-Systeme ohne End-of-Life-Plan bleiben im Betrieb.
Software ohne Herstellersupport erhält keine Sicherheits-Patches mehr; ohne Sunset- oder Mitigationsplan im Lifecycle-Management entsteht ein dauerhaftes IT- und Compliance-Risiko, das erst bei einem Vorfall sichtbar wird.
FAQ
Häufige Fragen
Quellen
- EU-GMP-Leitfaden Annex 11 (Computerised Systems) - Primärtext
- FDA 21 CFR Part 11 (Electronic Records; Electronic Signatures) - Primärtext
- GAMP 5 (ISPE) - A Risk-Based Approach to Compliant GxP Computerized Systems
- PIC/S PI 041 - Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments
- https://theentourage.de/expertise/digital-governance/ (bestehender Seiteninhalt, überarbeitet)
Life Science Journal
Regulatorische Updates, direkt ins Postfach.
Neue Anforderungen, Behördenentscheidungen und Praxishinweise. Einmal monatlich, jederzeit abbestellbar.
Referenzprojekte
Wie das in der Praxis aussieht
Passende Insights
Alle Insights →Berücksichtigte Verordnungen & Normen
- EU-GMP-Leitfaden Annex 11 (Computerised Systems)
- FDA 21 CFR Part 11 (Electronic Records; Electronic Signatures)
- GAMP 5 (ISPE Good Automated Manufacturing Practice, A Risk-Based Approach to Compliant GxP Computerized Systems)
- PIC/S PI 041 (Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments)
- ISO/IEC 27001 (Informationssicherheits-Managementsysteme)
Angrenzende Themen
Computer System Validierung (CSV) →
CSV als das Element, das die Governance pro System operativ umsetzt
21 CFR Part 11 & Datenintegrität →
Audit Trail und elektronische Unterschriften nach Annex 11 und 21 CFR Part 11
Risikomanagement →
Risikobasierte Priorisierung der IT-Systemlandschaft im Detail
Digitalisierung Life Sciences →
Digitale Transformation auf einem tragfähigen Governance-Fundament
Dazu ein konkretes Vorhaben?
Schildern Sie uns kurz Ihre Ausgangslage. Wir melden uns mit einer ersten Einschätzung, in der Regel innerhalb eines Werktags.
Lieber direkt? +49 89 4161170-0
info@theentourage.de
- Antwort i.d.R. innerhalb eines Werktags
- 4 Standorte: DE · CH · IT · US
- 100% Life Sciences