Risk-Based Approach to Operation of GxP Computerized Systems

Transkript

1 Risk-Based Approach to Operation of GxP Computerized Systems Eine Analyse des GAMP 5 Companions und Ansatz zur Integration in die IT-Prozesse Business White Paper Konstantin Clevermann Senior Expert, Software AG März 2011

2 INHALT EINLEITUNG 3 DIE PROZESSE 3 VERANTWORTLICHKEITEN 4 RISK-BASED APPROACH 5 VERSCHIEDENE SICHTEN AUF DIE PROZESSE 5 ZUORDNUNG ZUM LIFE CYCLE 6 ABGLEICH DER PROZESSE ZU ITIL 7 ABGLEICH ZU COBIT 8 ZUSAMMENFASSUNG 8 2

3 EINLEITUNG Seit Januar 2010 hat die ISPE den Companion Volume zum GAMP 5 veröffentlicht, welcher den Betrieb von GxP-relevanten computerisierten Systemen beschreibt. Auf der GAMP 5- Konferenz im Dezember wird die deutsche Übersetzung dazu auf den Markt kommen. Es werden darin detaillierter die Anforderungen an die Operations-Prozesse, welche bereits im GAMP 5 aufgenommen sind, beschrieben. Der Companion behandelt im Wesentlichen den operativen Betrieb von GxP-relevanten IT-Systemen, nicht die Erstellung und Verifikation eines Systems, also die Validierungsphasen vor dem produktiven Einsatz. Konsequenterweise wird im Companion als erster Prozess das Handover beschrieben. Als wesentliche Ziele sind in dem Campanion Volume u.a. festgelegt: Dieses Whitepaper analysiert, wie Sie die GAMP 5-Forderungen in Ihre IT-Prozesse integrieren, um mit qualifizierten Operations-Prozessen das Business zu unterstützen. Besseres Verständnis der operationellen Prozesse und Beziehungen und Abhängigkeiten dieser Prozesse untereinander Dies wird u.a. erreicht durch eine grafische und einheitliche Darstellung der Prozesse Hilfestellung, um Rollen und Verantwortungen eindeutig zuordnen zu können Ein skalierbarer Risk-Based Approach Im Folgenden wird kurz erläutert, wie diese Ziele umgesetzt wurden. 3

4 DIE PROZESSE Für ein besseres Verständnis werden die Prozesse zum einen klar identifiziert (dies war mehr oder minder schon im GAMP 5 durch die Anhänge erreicht), zum anderen werden deren Ablauf und die erforderlichen Verantwortlichkeiten beschrieben. Im GAMP 5 sind im Anhang Operations die wichtigsten Prozesse für den operationellen Betrieb der Systeme zusammengefasst. Darüber hinaus werden zwei zusätzliche Themen (Data Migration und System Retirement) im Companion behandelt. Die beschriebenen Prozesse sind nachfolgend aufgelistet und einige beispielhaft mit Kommentaren versehen. Anhang Prozessname Kommentar O 1 Handover O 2 Establishing and Managing Support Services Betrachtet ebenfalls S5 Managing Quality with an Outsourced IS/IT environment. O 3 Performance Monitoring O 4 Incident Management Beinhaltet sowohl Incident Management als auch (Teile des) Problem Management. Hat natürlich Schnittstellen zum Change Management. O 5 Corrective and Preventive Actions Operational Change and Configuration Dies sind zwei getrennte Prozesse, die vermutlich aus Konsistenzgründen zum GAMP 5 O 6 Management und aufgrund der engen Beziehung zwischen Change und Configuration zusammen betrachtet werden. O 7 Repair Activity Like for Like Changes bzw. Ersetzungen sind Teil der Repair Activity. O 8 Periodic Review O 9 Backup and Restore O 10 Business Continuity Management Aus GAMP 5-Sicht beinhaltet dies beide Sichten Business Continuity Planning (Geschäftsprozess-Sicht des Process Owners) Disaster Recovery Planning (Technische Sicht des System Owners) ITIL bezieht dies mehr auf die technische Seite des Continuity Planning. O 11 Security Management Referenziert stark auf ISO O 12 System Administration O 13 Archiving and Retrieval Wird im Companion nicht weiter betrachtet. Dazu gibt es bereits einen separaten GAMP Good Practice Guide: Electronic Data Achiving. D 7 Data Migration M 1 System Retirement S 5 Managing Quality with an Outsourced IS/IT Die relevanten Anforderungen sind in O2 integriert worden. environment Tabelle 1: Übersicht der einzelnen Prozesse 4

5 VERANTWORTLICHKEITEN Im Companion sind die Prozesse als Ablaufdiagramme modelliert sowie detailliert beschrieben. Auch die Rollen und Verantwortungen werden bei den einzelnen Aktivitäten mittlerweile gemäß der standardisierten RACI-Methode vorgeschlagen. Bei der RACI-Methode werden die Verantwortlichkeiten sauber differenziert nach: R Responsible (verantwortlich für die eigentliche Durchführung) A Accountable (rechenschaftspflichtig aus Prozesssicht bzw. Kostenverantwortung) C Consulted (beratend, fachliche Verantwortung) I Informed (muss informiert werden) IDS Scheer Consulting setzt bereits seit langem die RACI-Methode zur Beschreibung der Verantwortlichkeiten bei der Geschäftsprozessmodellierung und -optimierung ein. Der konsequente Risk- Based-Approach führt zu einer effizienten und skalierbaren Festlegung der Maßnahmen und reduziert somit die Aufwände. RISK-BASED APPROACH Der GAMP 5 Companion trägt mit Recht den Zusatz a risk-based approach. So ist zu allen Prozessen eine Erläuterung bzw. Anregung im Sinne der Scaleability enthalten. Dies sind entweder einzelne Bemerkungen, oder aber eine komplette Risikomatrix, wie das unten stehende Beispiel illustriert. Bei den meisten Prozessen ist eine zusätzliche Risikomatrix (analog den bisherigen Gepflogenheiten) hinterlegt. Letztlich wird damit eine Hilfe geboten, den Aufwand für Sicherheit in den Prozessen angemessen festzulegen. Im Prozess System Administration werden zum Beispiel Änderungen von Rollen bzw. Benutzern als normaler Administrationsprozess bewertet. Nur bei High-Impact -Systemen wird dies zusätzlich im Change Control integriert. System Administration Task User Account Management Permissioning Monitoring Data Maintenance... Low Impact System Medium Impact system... change... control High Impact system... change control change control... Tabelle 2: Auszug aus einer Beispieltabelle 5

6 VERSCHIEDENE SICHTEN AUF DIE PROZESSE Nun haben verschiedene leitende Mitarbeiter in einem Unternehmen aufgrund ihres Verantwortungsbereichs unterschiedliche Sichten auf die Operations-Prozesse. Der IT-Manager hat primär die Aufgabe, für den Support aller Systeme eine durchgängig hohe Qualität und Performance zu bieten. Häufig hat er seine Prozesse mehr oder minder an ITIL -Vorschlägen angepasst. Der Qualitätsbeauftragte ist weitestgehend daran interessiert, dass für alle GxP-relevanten Systeme eine qualifizierte IT-Infrastruktur zur Verfügung steht und dass beim Betrieb die Vorgaben des GAMP 5 eingehalten werden. Der Systemverantwortliche aus Anwendungssicht wiederum ist verantwortlich für einen validen Zustand seines Systems und betrachtet daher den gesamten Life Cycles seines Systems. Abbildung 1: Unterschiedliche Sichten auf die Prozesse Es ergibt natürlich keinen Sinn, hierfür unterschiedliche Prozesse zu definieren. Vielmehr ist es sinnvoll, diese miteinander zu integrieren. 6

7 ZUORDNUNG ZUM LIFE CYCLE Aus Sicht des Systemeigners müssten die Anforderungen zunächst einmal den verschiedenen Phasen des Life Cycle zugeordnet werden, wobei, wie schon oben erläutert, fast alle zur Betriebs-Phase gehören. Nur das Aufsetzen des Handover sowie das Einführen bzw. Vorbereiten der Unterstützungsprozesse gehören noch in die Endphase der Validierungsaktivitäten vor Go-Live. Die Beschaffung und Installation, welche bei der IQ betrachtet werden, sind nicht Bestandteil des GAMP 5 Companion, müssen aber im Gesamtkontext einer qualifizierten IT-Infrastruktur betrachtet werden. Das Thema Datenmigration wird je nach System bzw. Übergabe vor dem Produktivstart (als Übernahme aus einem Legacy-System) und ggf. auch bei der Außerbetriebnahme falls es von einem anderen System abgelöst wird relevant. Abbildung 2: Vergleich GAMP 5-Prozesse (violett) zum Life Cycle (grün) eines Systems 7

8 ABGLEICH DER PROZESSE ZU ITIL Laut einer Studie von IDC haben bereits bzw. planen über 60% der Unternehmen mit mehr als 500 Mitarbeitern die Life-Cycle-Prozesse gemäß den ITIL Best Practices zu etablieren. Um so wichtiger ist der Abgleich der Companion-Anforderungen mit den ITIL -Prozessen. Die Integration der GAMP 5- Prozesse mit den ITIL - Prozessen führt zu einem regulatorisch compliant aber gleichzeitig effizienten IT Business Process Management. Es liegt primär in der Sicht des IT-Managers, die GAMP 5-Prozessanforderungen in seine gewohnten ITIL -Prozesse zu integrieren. Eine Vergleichstabelle der Prozesse nach GAMP 5, gemäß ITIL V.3 und CobiT 4.1, die im Anhang aufgeführt ist, bietet dabei Unterstützung. Zwar ist dieser Abgleich nicht immer vollständig möglich, bei ITIL wird teilweise auf Prozesse gemäß ITIL V2.1 verwiesen, aber es hilft bei einer unternehmensinternen Aufstellung der IT-Prozesse. Nachfolgende Grafik gibt im Überblick ein Gefühl dafür, wie sich das Verhältnis von GAMP 5- Prozessen (violett markiert) zu den ITIL -Prozessen (grün markiert) darstellt und ihre Zuordnung aussieht. Die fünf Spalten repräsentieren die fünf ITIL -Bücher Service Strategy, Service Design, Service Transition, Service Operation und Continous Service Improvement. Es war zu erwarten, dass aufgrund der unterschiedlichen Zielsetzung von ITIL und GAMP 5 eine Zuordnung der Prozesse nicht immer 1:1 möglich ist, sondern dass dies einiger Interpretation bzw. einer detaillierten Analyse der Prozesse bedarf. Ebenso überlappen sich einige Prozesse. Das heißt, die nachfolgende Sicht ist zunächst ein Einstieg, um anschließend in einer detaillierten Analyse die IT-Prozesse zu optimieren. Abbildung 3: Vergleich GAMP 5-Prozesse (violett) zu ITIL (grün), sortiert nach den 5 Büchern 8

9 ABGLEICH ZU COBIT Ein ähnliches Bild spiegelt der Abgleich wider, inwieweit CobiT Controls vom Companion betroffen sind. Auch hierzu hat die ISPE im Anhang eine Cross-Referenz tabellarisch dargestellt. In der nachfolgenden grafischen Prozesssicht erkennt man in einem Überblick die Korrelationen. Dabei sind in den Spalten die vier Domänen mit ihren Haupt-Komponenten aufgeführt. PO Plan and Organize AI Acquire and Implement DS Deliver and Support ME Monitor and Evaluate Mit den CobiT Controls integrieren Sie die erforderlichen Controll- und Key-Performance- Indikatoren in Ihre Prozesse. Dies bietet zwar eine erste gute Orientierungshilfe, muss jedoch im jeweiligen Einzelfall detailliert analysiert werden. Es ist auch hier nicht verwunderlich, dass die Prozesse des GAMP 5 Companion am meisten die CobiT Controls in den Bereichen Acquire and Implement (zweite Spalte) und Deliver and Support (dritte Spalte) beeinflussen. Abbildung 4: Vergleich CobiT Komponenten (grau) zu GAMP-Prozessen (violett) 9

10 ZUSAMMENFASSUNG Der GAMP 5 Companion ist ein deutlicher Schritt zur Optimierung der IT-Prozesse. Erstmalig sind damit qualitative Anforderungen prozessorientiert dargestellt worden. Dies wird verstärkt durch die konsequente Zuordnung der Rollen und Verantwortungen nach dem RACI-Konzept. Die sicherlich nicht leichte Zuordnung zu dem Quasi-Standard der ITIL -Prozesse, die aufgrund der unterschiedlichen Ansätze auch nicht eindeutig sein kann, gibt trotzdem eine sehr große Hilfestellung für IT-Manager, diese Anforderungen in ihre interne IT-Prozesse zu integrieren. Ebenfalls sind die notwendigen Controls, die in CobiT zusammengeführt sind, konsequent zugeordnet und gut aufbereitet worden. Darum kann (und sollte!) dies in einem integrierten Prozessmodell zusammengeführt werden, um IT-intern zu globalen GxP-compliant Prozessen zu kommen. QUELLEN: * GAMP 5, A Risk-Based Approach to Compliant GxP Computerized Systems, ISPE, 2008 * GAMP, A Risk-Based Approach to Operation of GxP Computerized Systems, Companion Volume to GAMP 5 ISPE 2009 * Aligning CobiT 4.1, ITIL V3 and ISO / IEC for Business Benefit, IT Governance Institut,

11 NOTES: 11

12 TO FIND THE SOFTWARE AG OFFICE NEAREST YOU, PLEASE VISIT Take the next step to get there - faster. ÜBER SOFTWARE AG Software AG ist weltweit führend im Bereich Business Process Excellence. Seit über 40 Jahren steht unser Name für Innovation: Adabas, die erste transaktionale Hochleistungsdatenbank, ARIS, die erste Plattform zur Analyse von Geschäftsprozessen, und webmethods, der erste B2B-Server und die erste SOA-basierte Integrationsplattform. Wir liefern unseren Kunden Produkte, Lösungen und Services für das Management von Geschäftsprozessen (BPM), die sich durch eine hohe Benutzerfreundlichkeit bei niedriger Total-Cost-of-Ownership auszeichnen und die vollständige Lieferkette abdecken. Unsere branchenführenden Marken ARIS, webmethods, Adabas, Natural, CentraSite und IDS Scheer Consulting fügen sich zu einem einzigartigen Portfolio zusammen. Wir bieten Software und Services für den Entwurf von Prozess-Strategien sowie das Design, die Implementierung und die Überwachung von Prozessen; SOA-basierte Integration und Datenmanagement; prozessgesteuerte SAP-Implementierung sowie strategische Prozessberatung und Dienstleistungen. ÜBER IDS SCHEER CONSULTING IDS Scheer Consulting, eine Marke der Software AG, bietet seinen Kunden seit über 25 Jahren qualifizierte Unterstützung auf dem Weg zu effizienteren Geschäftsprozessen. Als Marktführer für Geschäftsprozessmanagement pflegen wir vertrauenswürdige Partnerschaften mit unseren Kunden und begleiten sie auf ihrem Weg zu nachhaltigem Geschäftserfolg. Unsere Berater unterstützen Unternehmen dabei, strategische Entscheidungen zu treffen als Treiber für Kosteneffektivität, Effizienz und damit geschäftlichen Erfolg. IDS Scheer Consulting verspricht seinen Kunden Industry Process Excellence durch die Kombination aus Branchenexpertise, Prozessorientierung und IT-Know-how. Software AG - Get There Faster 2011 Software AG. Alle Rechte vorbehalten. Software AG und alle Produkte von Software AG sind Marken oder eingetragene Marken von Software AG. Andere Produkt- und Unternehmensnamen können Marken der jeweiligen Markeninhaber sein. SAG_IDS_GAMP5_WP_G_Apr11