Wie strukturieren Life-Sciences-Unternehmen ihre IT-Betriebsprozesse so, dass Incident, Change und Service Delivery effizient laufen und bei einer Inspektion belegbar sind?
Wir strukturieren IT-Betriebsprozesse nach ITIL und den GxP-Anforderungen aus GAMP 5: Incident, Problem, Change, Release und Service Request mit klaren Verantwortlichkeiten, Priorisierung nach GMP-Kritikalität und auditierbarer Dokumentation. Die kritische Weiche ist selten das Framework, sondern die Schnittstelle: Ein IT-Change-Prozess, der getrennt vom QMS-Change-Control läuft, erzeugt genau die Dokumentationslücken, die in einer FDA- oder MHRA-Inspektion zuerst auffallen.
- Pharma
- Biotech
- MedTech
- IVD
Überblick
Warum sind IT-Betriebsprozesse in regulierten Unternehmen compliance-kritisch?
IT-Betriebsprozesse nach ITIL, strukturiert gegen GAMP 5 und 21 CFR Part 11 · QMS-integriertes IT-Change-Management
Zuletzt aktualisiert: 2026-06-13
In Life Sciences sind IT-Betriebsprozesse nicht nur ein Effizienzthema. Sobald ein System GxP-relevante Daten erzeugt, verarbeitet oder speichert, wird der Prozess, mit dem dieses System betrieben und verändert wird, selbst Gegenstand der Inspektion. Vier Stellen, an denen es regelmäßig hängt:
- Incident-Management ohne Kritikalitätslogik: GxP-kritische Systemausfälle laufen durch dieselbe Warteschlange wie ein vergessenes Passwort. Annex 11 verlangt für computergestützte Systeme dokumentierte Verfahren zum Umgang mit Störungen, inklusive Bewertung der Datenintegrität nach einem Vorfall.
- Getrenntes IT-Change-Management: Änderungen an validierten Systemen laufen im IT-Werkzeug, während das QMS-Change-Control nichts davon erfährt. GAMP 5 und Annex 11 fordern, dass Änderungen an validierten Systemen kontrolliert, bewertet und dokumentiert werden. Der Riss zwischen beiden Welten ist die häufigste Inspektionsfeststellung.
- Service Requests ohne SLA-Struktur: Zugriffsvergabe und User-Provisioning folgen keinem definierten, nachvollziehbaren Verfahren. 21 CFR Part 11 und Annex 11 setzen kontrollierten, dokumentierten Systemzugang voraus.
- Fehlende Prozessdokumentation: Backup, Recovery, Monitoring und Berechtigungsvergabe sind gelebte Praxis, aber nicht in SOPs und RACI-Matrizen festgehalten. Was nicht dokumentiert ist, gilt im Audit als nicht existent.
Leistungen
Wie wir Sie unterstützen
IT-Prozessanalyse & Framework-Design
Gap-Analyse der bestehenden Betriebsprozesse (Incident, Problem, Change, Release, Service Request) gegen ITIL 4 und GAMP 5. Deliverable ist ein an Unternehmensgröße und Regulierungstiefe angepasstes IT-Process-Framework mit dokumentierter Prozesslandkarte.
Incident & Problem Management
Einführung eines GxP-konformen Incident-Prozesses mit Priorisierungsmatrix nach GMP-Kritikalität, Eskalationswegen und Root-Cause-Analyse für Vorfälle mit Datenintegritätsbezug nach Annex 11. Deliverable: Incident-SOP plus Priorisierungs- und Eskalationsmatrix.
IT-Change-Management & QMS-Integration
Aufbau eines IT-Change-Prozesses, der an das QMS-Change-Control angebunden ist: GxP-Impact-Bewertung jeder Änderung an validierten Systemen nach GAMP 5, definierte Übergabepunkte ins Change-Control. Deliverable: Change-SOP mit Entscheidungsbaum GxP/Nicht-GxP.
Mehr erfahren →Prozessdokumentation & SOP-Entwicklung
Dokumentation aller IT-Betriebsprozesse als SOPs, Arbeitsanweisungen, RACI-Matrizen und Prozessflussdiagramme. Deliverable: auditierbares SOP-Set, das Backup, Recovery, Monitoring und Berechtigungsvergabe für die Inspektion belegbar macht.
Service-Management & SLA-Definition
Aufbau eines Service-Request- und Service-Level-Modells nach ITIL 4 und ISO/IEC 20000: Katalog der IT-Services, definierte Bearbeitungs- und Reaktionszeiten, nachvollziehbares User-Provisioning. Deliverable: Service-Katalog mit SLA-Definitionen.
Wie wir zusammenarbeiten
Worauf es ankommt
In regulierten Betrieben entscheidet die Reihenfolge der Prozesse darüber, ob IT-Betrieb effizient und inspektionsfest zugleich ist. Am Anfang steht die Kritikalitätsbewertung: Erst wenn klar ist, welche Systeme GxP-relevante Daten erzeugen, lässt sich das Incident-Management sinnvoll priorisieren und das Change-Management an der richtigen Stelle ins QMS-Change-Control übergeben. Wer diese Bewertung überspringt, baut entweder ein zu schweres Framework, das der Betrieb nicht lebt, oder ein zu flaches, das GxP-kritische Vorfälle wie Routine-Tickets behandelt. Beide Fehler erzeugen dieselbe Lücke zwischen dokumentiertem und gelebtem Prozess, und genau diese Lücke ist im Audit die Feststellung.
Der eigentliche Engpass liegt fast immer an der Schnittstelle zwischen IT und Qualität. Ein IT-Change-Prozess, der getrennt vom QMS-Change-Control läuft, bricht den Validierungsnachweis eines Systems, sobald eine Konfiguration geändert wird, ohne dass die Änderung bewertet und dokumentiert ist. Wir definieren deshalb zuerst den Übergabepunkt zwischen beiden Welten, also die GxP-Impact-Bewertung nach GAMP 5, bevor wir die einzelnen Betriebsprozesse nach ITIL 4 ausgestalten. So bleibt der Betrieb schnell, wo er schnell sein darf, und kontrolliert, wo Annex 11 und 21 CFR Part 11 es verlangen.
Unser Vorgehen
Unser Vorgehen
Schritt
Ergebnis
Gap-Analyse
Priorisierte Feststellungsliste: Wo weichen die Betriebsprozesse von ITIL 4 und den GxP-Anforderungen aus GAMP 5 und Annex 11 ab, was ist inspektionskritisch.
Framework-Design
Angepasste IT-Prozesslandkarte mit definierten Prozessen für Incident, Problem, Change, Release und Service Request.
Change-Schnittstelle definieren
Festgelegte Übergabepunkte zwischen IT-Change und QMS-Change-Control mit GxP-Impact-Bewertung nach GAMP 5.
Prozessdokumentation
SOPs, Arbeitsanweisungen und RACI-Matrizen, die jeden Betriebsprozess auditierbar machen.
Rollout & Schulung
Eingeführte Prozesse, geschulte Rollen, betriebsbereites Service-Management mit definierten SLAs.
Typische Stolperfallen
Woran Projekte häufig scheitern
IT-Change und QMS-Change-Control laufen in zwei getrennten Systemen.
Eine Konfigurationsänderung an einem validierten System wird im IT-Tool gebucht, aber nie im Change-Control bewertet. In der Inspektion fällt die Lücke auf, weil der Validierungsstatus des Systems nicht mehr nachvollziehbar ist.
Die Incident-Priorisierung kennt keine GMP-Kritikalität.
Ein Ausfall des Systems, das Batch-Records erzeugt, landet in derselben Warteschlange wie ein Drucker-Problem. Annex 11 verlangt für computergestützte Systeme einen dokumentierten Umgang mit Störungen, eine flache Priorisierung erfüllt das nicht.
Problem Management fehlt komplett.
Jeder Incident wird einzeln gelöst, aber niemand sucht die Grundursache wiederkehrender Ausfälle. Derselbe GxP-kritische Fehler tritt mehrfach auf, ohne dass eine Root-Cause-Analyse dokumentiert ist, ein Muster, das im Audit als unkontrollierter Betrieb gewertet wird.
Berechtigungsvergabe ist gelebte Praxis, aber nicht dokumentiert.
User-Provisioning und Entzug von Zugriffsrechten laufen über Zuruf statt über einen definierten Service-Request-Prozess. 21 CFR Part 11 und Annex 11 setzen kontrollierten, belegbaren Systemzugang voraus.
Das Framework wird zu groß aufgesetzt.
Ein vollständiges ITIL-Prozesswerk wird einem kleinen Betrieb übergestülpt, der es nicht lebt. Die SOPs existieren auf Papier, der reale Betrieb weicht davon ab. Die Diskrepanz zwischen dokumentiertem und gelebtem Prozess ist selbst eine Feststellung.
FAQ
Häufige Fragen
Quellen
- FDA 21 CFR Part 11: Electronic Records; Electronic Signatures (Primärtext)
- EudraLex Volume 4, EU GMP-Leitfaden Annex 11: Computerised Systems (Primärtext)
- ISPE GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems
- ISO/IEC 20000: Information technology, Service management
- Writer-Material: it-process-management.md (Business Data Solutions & IT Services)
- https://theentourage.de/expertise/it-process-management/ (bestehender Seiteninhalt, überarbeitet)
Life Science Journal
Regulatorische Updates, direkt ins Postfach.
Neue Anforderungen, Behördenentscheidungen und Praxishinweise. Einmal monatlich, jederzeit abbestellbar.
Referenzprojekte
Wie das in der Praxis aussieht
Passende Insights
Alle Insights →Berücksichtigte Verordnungen & Normen
- FDA 21 CFR Part 11 (Electronic Records; Electronic Signatures)
- EU GMP-Leitfaden Annex 11 (Computerised Systems)
- ISPE GAMP 5 (Good Automated Manufacturing Practice)
- ITIL 4 (IT Service Management Framework)
- ISO/IEC 20000 (IT Service Management)
Angrenzende Themen
Computer System Validierung →
CSV für GxP-Systeme nach GAMP 5 und Annex 11, das validierte System, das die Betriebsprozesse trägt
Change Management Compliance →
Das QMS-Change-Control, an das der IT-Change-Prozess angebunden wird
21 CFR Part 11 & Datenintegrität →
Anforderungen an elektronische Records und Zugriffskontrolle, die IT-Prozesse erfüllen müssen
Digitalisierung →
Die Transformationsseite: IT Process Management optimiert den laufenden Betrieb, nicht den Umbau
Dazu ein konkretes Vorhaben?
Schildern Sie uns kurz Ihre Ausgangslage. Wir melden uns mit einer ersten Einschätzung, in der Regel innerhalb eines Werktags.
Lieber direkt? +49 89 4161170-0
info@theentourage.de
- Antwort i.d.R. innerhalb eines Werktags
- 4 Standorte: DE · CH · IT · US
- 100% Life Sciences