Wirksame GxP-Audit-Vorbereitung: Schwachstellen, Mock Audits, CAPA-Reife

Audit-Vorbereitung wird häufig als Aufräumarbeit verstanden: Dokumente sortieren, Räume herrichten, Antworten zurechtlegen. Das ist der falsche Maßstab. Eine behördliche Inspektion prüft nicht, ob ein Standort an einem Stichtag ordentlich aussieht, sondern ob das Qualitätssystem trägt. GxP ist dabei kein einheitlicher Prüfmaßstab, sondern eine Familie getrennter Regelwerke für getrennte Tätigkeiten: GMP für die Herstellung nach dem EU-GMP-Leitfaden (EudraLex Volume 4) und 21 CFR Part 210/211, GCP für klinische Studien nach ICH E6 (R2), GLP für nichtklinische Laborstudien nach den OECD-Grundsätzen der Guten Laborpraxis und GDP für die Distribution nach den EU-GDP-Leitlinien 2013/C 343/01. Jedes dieser Regelwerke hat eigene Schwerpunkte, aber die Findings, an denen Audits scheitern, ähneln sich über alle hinweg. Sie entstehen nicht an exotischen Einzelvorschriften, sondern an wenigen wiederkehrenden Strukturlücken.

Wo Audits tatsächlich brechen

Die erste und folgenreichste Lücke betrifft die Datenintegrität. Ein vorhandener Audit Trail ist nicht dasselbe wie ein inspektionssicherer Audit Trail. Entscheidend ist, ob elektronische Aufzeichnungen den ALCOA+-Anforderungen genügen, also attributierbar, lesbar, zeitgleich, original, korrekt sowie vollständig, konsistent, dauerhaft und verfügbar sind, und ob der Audit Trail regelmäßig und dokumentiert reviewt wird. EU GMP Annex 11 adressiert genau diese computergestützten Systeme. Wer die Konformität nur an der Systemkonfiguration prüft und nicht gegen reale Aufzeichnungen, übersieht die Lücke, die in der Inspektion am schwersten wiegt.

Die zweite Lücke liegt in der CAPA-Qualität. Eine Korrektur- und Vorbeugemaßnahme, die das Symptom adressiert statt der Grundursache, produziert das vorhersehbare Wiederholungsfinding beim Folgeaudit. Verschärft wird das durch eine zu früh angesetzte Wirksamkeitsprüfung: Ein Effectiveness Check unmittelbar nach der Implementierung belegt nichts, weil die Maßnahme noch nicht im Betrieb stand.

Die dritte Lücke betrifft die Lieferantenüberwachung. Der EU-GMP-Leitfaden und ICH Q10 verlangen eine risikobasierte Qualifizierung und periodische Re-Bewertung von Lieferanten. In der Praxis werden kritische Lieferanten und CMOs zu selten und ohne klare Finding-Klassifizierung auditiert, oft per Fragebogen statt per Vor-Ort-Audit.

Die vierte Lücke ist die Inspection-Readiness der Mitarbeiter. Inspektoren befragen nicht nur das Management, sondern operative Mitarbeiter direkt. Inhaltlich korrekte, aber schlecht kommunizierte Antworten erzeugen unnötige Follow-up-Anfragen, selbst wenn der Prozess dahinter sauber ist.

Warum die CAPA-Anbindung über den Audit-Wert entscheidet

Ein klassifizierter Befund entfaltet seinen Nutzen erst nach dem Audit. Die Verkettung ist entscheidend: Root-Cause-Analyse, dokumentierte Maßnahme, Implementierung, dann eine Wirksamkeitsprüfung nach einem ausreichenden Zeitabstand. Fehlt dieses letzte Glied, gilt die Maßnahme formal als erledigt, während der Mangel fortbesteht. ICH Q10 ordnet CAPA und Management Review dem übergeordneten Qualitätssystem zu; ICH Q9(R1) liefert den risikobasierten Rahmen, an dem sich die Priorisierung der Maßnahmen ausrichtet.

CAPA-Reife lässt sich an konkreten Merkmalen ablesen:

• Die Root-Cause-Analyse stützt sich auf eine nachvollziehbare Methodik, etwa Fishbone- oder Fault-Tree-Analyse, nicht auf eine erste Vermutung.
• Die Wirksamkeitsprüfung ist terminlich vom Implementierungsdatum entkoppelt und mit einem Kriterium hinterlegt, an dem sich Wirksamkeit messen lässt.
• Findings aus mehreren Audits werden über eine Finding-Trendanalyse zusammengeführt, sodass wiederkehrende Muster als systemische Schwäche sichtbar werden statt als isolierte Einzelfälle.

Ohne diese Trendsicht bleiben CAPA-Maßnahmen punktuell, und dieselbe Schwäche taucht in einem anderen Bereich erneut auf.

Was ein Mock Audit leistet, das ein interner Review nicht kann

Ein internes Review prüft mit dem Blick derer, die das System gebaut haben. Genau das ist seine Grenze: Bekannte Schwächen werden eingeordnet und relativiert, statt als Finding markiert. Ein Mock Audit mit externen Auditoren übernimmt den Blick des Inspektors und simuliert die Inspektionssituation als Ablauf: Eröffnung, Rundgang, Dokumentenprüfung, Mitarbeiterbefragung und Abschluss mit klassifizierten Findings. ISO 19011 liefert dafür den methodischen Rahmen, von den Auditprinzipien über die Auditorenkompetenz bis zur Programmplanung.

Der Ertrag ist eine priorisierte Maßnahmenliste, die vor der Inspektion vorliegt, nicht danach. Damit verschiebt sich der entscheidende Unterschied: Eine im Mock Audit gefundene Lücke ist eine Aufgabe mit Vorlauf, dieselbe Lücke in der behördlichen Inspektion ist ein Finding mit Frist. Der Vorlauf ist begrenzt. Eine RCA mit anschließender Wirksamkeitsprüfung braucht Zeit, deshalb sollte der Termin für ein Mock Audit nicht auf den letzten Moment vor einer erwarteten Inspektion fallen, sondern mit Abstand davor, damit die identifizierten CAPA überhaupt umgesetzt und auf Wirksamkeit geprüft werden können.

Der Mock-Audit-Ansatz trägt über alle GxP-Disziplinen, verschiebt aber den Fokus: Im GMP-Umfeld auf Batch Records, Validierungen und Annex-11-Systeme, im GCP-Bereich auf Informed Consent, Monitoring-Berichte und den Trial Master File nach ICH E6 (R2), im GLP-Bereich auf Studienarchive und Geräte-Qualifizierung nach den OECD-Grundsätzen und in der GDP auf Temperaturkontrolle, Rückverfolgbarkeit und Selbstinspektion nach den Leitlinien 2013/C 343/01.

Was vor der nächsten Inspektion zu tun ist

Die Reihenfolge der Vorbereitung folgt dem Risiko, nicht der Bequemlichkeit. Zuerst gehört die Datenintegrität gegen reale Aufzeichnungen geprüft, weil sie der häufigste Auslöser kritischer Findings ist. Dann die CAPA-Historie auf belegte Wirksamkeit statt formaler Schließung. Anschließend das Lieferantenprogramm auf eine risikobasierte Staffelung der Audit-Intervalle. Und schließlich die Mitarbeiterebene auf die Befragungssituation, die sich am ehesten in einem Mock-Interview vorbereiten lässt.

Entourage begleitet diese Vorbereitung mit Mock Audits unter Inspektionsbedingungen, mit der Überführung der Findings in ein nachverfolgbares CAPA-System und mit der Schließung von Inspection-Readiness-Lücken vor dem Behördentermin. Der Maßstab ist dabei nicht das gute Bild am Audittag, sondern die belastbare Verkettung von Befund, Ursache, Maßnahme und nachgewiesener Wirksamkeit, denn nur diese Kette hält der Folgeinspektion stand.