Wie sichern Pharma-, Biotech- und MedTech-Unternehmen ihre GxP-Compliance durch strukturierte Audits ab?

GxP umfasst keinen einheitlichen Prüfmaßstab, sondern getrennte Regelwerke für getrennte Tätigkeiten: GMP nach dem EU-GMP-Leitfaden (EudraLex Volume 4) und 21 CFR Part 211 für die Herstellung, GLP nach den OECD-Grundsätzen für nichtklinische Laborstudien, GCP nach ICH E6 (R2) für klinische Studien. Ein belastbares Audit beginnt deshalb mit dem Scoping: Welches Regelwerk gilt, welche Kritikalität hat der auditierte Bereich, und wo lagen die Findings der letzten Prüfung. Erst diese Festlegung bestimmt, ob die knappe Audit-Zeit in Batch Records, in Studienarchive oder in den Trial Master File fließt. Wer ohne diese Priorisierung auditiert, prüft Breite statt Tiefe und übersieht den kritischen Befund.

Der eigentliche Engpass liegt nach dem Audit, nicht währenddessen. Ein klassifizierter Befund entfaltet seinen Wert erst, wenn er über eine Root-Cause-Analyse in ein CAPA-System mit Wirksamkeitsprüfung mündet; ohne diese Verkettung gilt die Maßnahme formal als erledigt, während der Mangel fortbesteht und in der nächsten Behördeninspektion erneut beanstandet wird. Genauso entscheidet die risikobasierte Staffelung der Re-Audit-Intervalle darüber, ob Lieferantenqualifizierung die Kapazität dort bindet, wo die Kritikalität sie verlangt. Datenintegrität nach 21 CFR Part 11 schließlich gehört gegen reale Audit-Trails und Zugriffsrechte geprüft, nicht gegen die Systemkonfiguration allein, weil sonst genau die Lücke bis zur Inspektion unentdeckt bleibt, die dort am schwersten wiegt.