Anforderung der DIN EN ISO an Computersysteme: Qualifizierung und Validierung in bestehenden IT-Landschaften

Transkript

1 Anforderung der DIN EN ISO an Computersysteme: Qualifizierung und Validierung in bestehenden IT-Landschaften Ingo Baumann, Partner Thescon GmbH

2 Rückfragen? Ingo Baumann Thescon GmbH

3 Das macht Thescon aus > 30 Vollzeitkollegen, davon 2 Geschäftsführer 10 Jahre kontinuierliches & organisches Wachstum Fester Branchenfokus Klarer Themenbezug Über 80 zufriedene Kunden Über 200 abgeschlossene Projekte Anteil erfolgreicher Projekte: 100% Verluste von Beratern an Wettbewerber: 0

4 Und das machen wir Validierung & Qualifizierung Compliance- Steuerung IT Management IT Security

5 DIN EN ISO Anwendungsbereich 2 Normative Verweisungen 3 Begriffe 4 Qualitätsmanagement 5 Verantwortung der Leitung 6 Management von Ressourcen 7 Produktrealisierung 8 Messung, Analyse und Verbesserung

6 DIN EN ISO CSV 4 Qualitätsmanagement 4.1.6: Forderung nach dokumentierten, risikobasierten Verfahren für die Validierung von Computersoftware im QMS

7 Agenda Computer-System-Validierung Infrastrukturqualifizierung Vorgehen in der Praxis Fazit

8 Praxis - Was kann schiefgehen? Daten kommen nicht oder unvollständig an Daten können gelöscht oder manipuliert werden System lässt unautorisierte Eingaben oder Falscheingaben zu Rückverfolgbarkeit wird unterbrochen Gesperrtes Material kann weiterverwendet werden Fehlerhafte Produkte gelangen in den Markt u.v.m.

9 Was bedeutet Validierung? Validierung liefert den dokumentierten Nachweis, dass ein computergestütztes System: Seine vordefinierten Spezifikationen erfüllt Seine Funktionen betriebssicher und korrekt erfüllt und weiterhin erfüllen wird integrität Patientensicherheit Gesichert ist gegenüber unbefugter oder zufälliger Veränderung Produktqualität Daten-

10 Ziele der CSV Erfüllung von gesetzlichen Anforderungen Sicherstellung der Produktqualität Gewährleistung der Patientensicherheit Rückverfolgbarkeit der hergestellten Ware Nachweis, dass IT-Prozesse beherrscht werden: Handlungsvorgabe, Dokumentation, Nachvollziehbarkeit

11 CSV-Richtlinien und Vorgaben Gesetzgebung / Norm Normative Vorgaben / Best Practice: GAMP 5 Interne Vorgaben - Interne Verfahrensanweisungen - Maßgeblich für die Durchführung der CSV - In QMS integriert

12 Zu validierende Systeme & Prozesse Software Hardware Betriebliche Prozesse & Menschen Anlagen Computer-System (steuerndes System) Gesteuertes System Computerisiertes System Betriebsumgebung (inkl. anderer vernetzter oder stand-alone computerisierte Systeme, anderes Equipment, Menschen oder Prozesse) Quelle: PIC/S (PI 011-3)

13 Zu validierende Systeme & Prozesse Qualitätsrelevante Systeme sind zu validieren, z. B.: Enterprise Resource Planning (ERP) Document Management System (DMS) Software für Prüfstände Mess- und Steuerungssoftware Software für Werkerführung Prüfmittelverwaltung

14 Validierungsarten Prospektive CSV Vor dem erstmaligen produktiven Einsatz Retrospektive CSV Das System ist bereits im produktiven Einsatz Revalidierung Nach einer im Validierungsmasterplan vorgegebenen Zeitspanne

15 Validierungsarten Retrospektive CSV Validierung eines bereits eingeführten Systems, in dessen Einführungs- und/oder Betriebsphase keinerlei oder nur mangelnde Validierungsaktivitäten durchgeführt wurden Eingeführtes System, das erst durch Funktionserweiterungen oder Änderungen des Einsatzbereichs validierungspflichtig geworden ist Eingeführtes System, das erst durch Änderungen im regulativen Umfeld validierungspflichtig geworden ist Neues System, bei dem das prospektive Vorgehensmodell nicht angewendet wurde

16 Umfang der CSV Wie viel Validierung ist notwendig? Validierungsumfang Risiko, Grösse und Komplexität Der Aufwand für die Validierung steht im direkten Zusammenhang mit dem Risiko, der Größe und Komplexität eines Systems und seinen Applikationen

17 Umfang der CSV Durch Validierung kann ein hoher Grad an Sicherheit/Vertrauen zu dem System erreicht werden, jedoch keine 100% Der Validierungsumfang sollte daher nach einer Risikobewertung mit Klassifikation bestimmt werden Risikobasierter Ansatz

18 Umfang der CSV Risikobasierter Ansatz: Klassifikation Kategorie Typ Beschreibung 1 Betriebssysteme/Infrastruktur Software weit verbreitete Standard Software, z. B. Windows, Unix Microcontroller, Barcodeleser Niedrig 2 N/A N/A 3 Standard Software 4 Konfigurierbare Software weit verbreitete Standard-Software, z. B. Microsoft Office weit verbreitete Standard Software, welche parametrisiert oder konfiguriert werden muss, z. B. ERP, DMS, MES, CAQ Aufwand 5 Eigenentwickelte Software Programmierte Software Hoch

19 Validierung in der Praxis Retrospektive CSV Detailanalyse CSV Rahmenwerk Validierung

20 Validierung in der Praxis Retrospektive CSV Detailanalyse Inventarisierung CSV Rahmenwerk Risikoanalyse Validierung Review Qualitätsmanagementsystem

21 Validierung in der Praxis Retrospektive CSV CSV Rahmenwerk Erstellung Validierungsmasterplan Validierung Rollen und Verantwortlichkeiten Erarbeitung Validierungsstrategie Abstimmung und Definition der operativen Prozesse (z.b. Änderungsmanagement)

22 Validierung in der Praxis Retrospektive CSV CSV Rahmenwerk Erstellung des Rahmenkonzepts in Form von CSV Vorgabe SOPs und Policy Validierung CSV, Lieferantenqualifizierung, Spezifizierung, Testmanagement, Change Control,. Erstellung der zugehörigen Vorlagen / Formblättern Validierungsplan, Spezifikationen, Risikoanalyse, Tests

23 Validierung in der Praxis Retrospektive CSV CSV Rahmenwerk Erstellung / Anpassung der für den Betrieb benötigten SOPs sowie Validierung die zugehörigen Vorlagen / Formblätter Änderungs-, Sicherheitsmanagement Einbindung der erstellten / angepassten SOPs in das bestehende QMS Schulung der Mitarbeiter

24 Validierung in der Praxis Retrospektive CSV Validierung Erstellung Validierungsplan Validierung Erstellung Erfahrungsbericht Spezifikation (basierend auf Zweckbestimmung) Funktionale Risikoanalyse Testdokumentation Validierungsbericht

25 Validierung in der Praxis Validierung nach dem V-Modell Spezifikation Vollständige, exakte und nachprüfbare Beschreibung der Anforderungen, des Entwurf, des Verhaltens oder andere Charakteristika eines Systems oder einer Komponente

26 Validierung in der Praxis Validierung nach dem V-Modell Spezifikation Vollständige, exakte und nachprüfbare Beschreibung der Anforderungen, des Entwurf, des Verhaltens oder andere Charakteristika eines Systems oder einer Komponente Verifizierung Bestätigung durch die Bereitstellung objektiver Nachweise, dass die geforderten Anforderungen erfüllt worden sind

27 Validierung in der Praxis Konzept Projekt Betrieb Stilllegung Stilllegung Änderungsantrag Implementierung

28 Validierung in der Praxis Konzept Projekt Betrieb Stilllegung Stilllegung Änderungsantrag Implementierung

29 Validierung in der Praxis Zu erstellende Dokumentation Benutzerebene Funktionale Ebene Technische Ebene

30 Validierung in der Praxis Zu erstellende Dokumentation Benutzerebene Funktionale Ebene Funktionale Spezifikationen Funktionstest Technische Ebene Benutzerakzeptanztest Benutzeranforderungen Entwicklungsspezifikationen Entwicklertest Entwicklung

31 Was bedeutet Qualifizierung? Qualifizierung liefert den dokumentierten Nachweis, dass IT Infrastrukturkomponenten: gemäß den Anforderungen ausgewählt worden sind korrekt installiert worden sind integrität Patientensicherheit ihren spezifizierten Anwendungszweck erfüllen Produktqualität Daten-

32 Übersicht IT-System Business Systeme Infrastruktur Systeme Geschäftsapplikationen und Prozesse Infrastruktur Applikationen und Prozesse ERP DMS etc. Änderungsmanagement Konfigurationsmanagement etc. Clients IT Services Betriebssysteme Server Hardware Netzwerkumgebung IT Infrastruktur

33 Qualifizierung in der Praxis Retrospektive Qualifizierung Detailanalyse Rahmenwerk Qualifizierung

34 Betrieblicher Unterhalt Aufgaben zum Unterhalt des validierten/qualifizierten Zustandes, z. B.: Änderungsmanagement/Change Management (Anpassungen) Release Management (Erneuerungen, Versionierung) Störungen, Incident- & Problemmanagement Backup & Restore Konfigurationsmanagement (Zustand dokumentieren) Sicherheitsmanagement (Logisch/Physisch) System Monitoring (Performance)

35 Rollen und Verantwortlichkeiten Projektleiter Quality Assurance Prozesseigner Systemeigner PQM Fachexperte Anwender/Tester

36 Rollen und Verantwortlichkeiten Projektmanagement und planung Kontrolle der Projektaktivitäten, Ressourcen und Kosten Projektleiter Quality Assurance Prozesseigner Systemeigner PQM Fachexperte Anwender/Tester

37 Rollen und Verantwortlichkeiten Genehmigung der wesentlichen Dokumentation der Validierung / Qualifizierung, z.b. Grundsätze, Vorgehensweisen, Akzeptanzkriterien, Pläne und Berichte Genehmigung von Änderungen, die potenziell die Patientensicherheit, die Produktqualität und die Datenintegrität beeinflussen Projektleiter Quality Assurance Prozesseigner Systemeigner PQM Fachexperte Anwender/Tester

38 Rollen und Verantwortlichkeiten Verantwortung der Validierungs - / Qualifizierungsplanung (kann an den PQM delegiert werden und den Systemeigner mit einbeziehen) Genehmigung der wesentlichen Dokumentation Sicherstellung : Von Schulungen der Endanwender Der Erstellung von Verfahrensanweisungen für den Betrieb des Systems Der Genehmigung und Verwaltung von Änderungen Projektleiter Quality Assurance Prozesseigner Systemeigner PQM Fachexperte Anwender/Tester

39 Rollen und Verantwortlichkeiten Unterstützung bei der Validierungs - / Qualifizierungsplanung (in Koordination mit dem PQM und dem Prozesseigner) Genehmigung der wesentlichen Dokumentation Sicherstellung : Von Schulungen des Instandhaltungs- und Unterstützungs-Personals Der Erstellung von Verfahrensanweisungen für die Instandhaltung des Systems Der Durchführung von Änderungen Projektleiter Quality Assurance Prozesseigner Systemeigner PQM Fachexperte Anwender/Tester

40 Rollen und Verantwortlichkeiten Project Quality Manager/Validation Manager Validierungs - / Qualifizierungsplanung (in Koordination mit dem Prozesseigner und dem Systemeigner) Steuerung und Überwachung der Validierungs- / Qualifizierungsaktivitäten über den gesamten Projektverlauf Praktische Durchführung der Validierungs- / Qualifizierungsaktivitäten Qualitätssicherung im Validierungs- / Qualifizierungsprojekt Projektleiter Quality Assurance Prozesseigner Systemeigner PQM Fachexperte Anwender/Tester

41 Rollen und Verantwortlichkeiten Sicherstellung der Vorschriftenkonformität und der Eignung des Systems für den vorgesehenen Zweck Planung und Festlegung von Verifizierungsstrategien Festlegung von Akzeptanzkriterien Wahl geeigneter Testmethoden Durchführung von Verifizierungstests und Prüfung der Ergebnisse Projektleiter Quality Assurance Prozesseigner Systemeigner PQM Fachexperte Anwender/Tester

42 Rollen und Verantwortlichkeiten Mitwirkung bei den Spezifikationen und der Verifizierung Akzeptierung des Systems und Übergabe Mitwirkung bei der Entwicklung von Verfahrensanweisungen für den Betrieb des Systems Bericht über Defekte Erkennung von Verbesserungsmöglichkeiten Projektleiter Quality Assurance Prozesseigner Systemeigner PQM Fachexperte Anwender/Tester

43 Fazit

44 Fazit Analyse

45 Fazit Analyse Rahmenwerk / Schulung

46 Fazit Analyse Rahmenwerk / Schulung Validierung / Qualifizierung

47 Fazit Aufrechterhaltung Analyse Rahmenwerk / Schulung Validierung / Qualifizierung

48 48 Copyright Thescon GmbH, 2017 Alle Rechte vorbehalten. Der Inhalt dieses Dokuments unterliegt dem Urheberrecht. Veränderungen, Kürzungen, Erweiterungen und Ergänzungen bedürfen der vorherigen schriftlichen Genehmigung durch die Thescon GmbH, Solms. Jede Vervielfältigung ist nur gestattet unter der Bedingung, dass dieser Urheberrechtsvermerk beim Vervielfältigen auf dem Dokument selbst erhalten bleibt. Jede Veröffentlichung oder jede Übersetzung bedarf der vorherigen schriftlichen Einwilligung durch die Thescon GmbH, Solms. Für den Namen Thescon besteht Markenschutz. Thescon.de, Thescon.net und Thescon.com sind Domänen der Thescon GmbH Thescon GmbH Bodenstr. 20, Solms Gottfriedweg 22, Coesfeld Geschäftsführende Gesellschafter: Dr. Claus Breer, Dr. Hans-Werner Velten Handelregister Wetzlar HRB 5472, USt-ID DE