Inspektion Computergestützter Systeme

Transkript

1 Werden computergestützte Systeme bei prä-/klinischen Studien (GLP, GCP), in der Herstellung (GMP) oder in der Verteilung (GDP) von Arzneimitteln eingesetzt, so müssen diese validiert sein. Aufgabe einer Inspektion ist es, die Verlässlichkeit eines computergestützten Systems auf Grundlage der Validierungsnachweise zu überprüfen. Die Inspektion der computergestützten Systeme erfolgt üblicherweise im Rahmen der GxP-Inspektionen, kann dabei jedoch als eigener Inspektionsschwerpunkt eines Fachinspektors gesetzt werden. Bestehende Leitlinien für die Inspektion bzw. für die Validierung sind für die gesamte GxP anwendbar. Eine Inspektion beginnt in der Regel mit der Anforderung folgender Dokumente: Firmenleitlinie zur Computervalidierung Validierungsmasterplan Validierungspläne / Validierungsberichte SOPs zu IT bzw. Computer Dienstleistungen Dritter für Wartung und Support Inventarliste aller computergestützten Systeme Liste der GxP relevanten Systeme Details zu Datensicherung, Änderungskontrolle, Informationssicherheit, Konfigurationsmanagement Qualifikation und Schulung des Personal Zusammenfassung wesentlicher Änderungen seit der letzten Inspektion Die allgemeine Inspektionsstrategie ist variabel, kann jedoch folgendermaßen ablaufen: Beurteilung der Validierungsnachweise der GxP-kritischen Systeme. Beurteilung des Systems zur Beibehaltung des validierten Zustandes und der Interaktion zwischen verschiedenen am Prozess beteiligten Organisationseinheiten (zb IT Support und GMP- Prozessverantwortlichen). Einsicht in Ausdrucke und Archive. Alle Punkte von EU GMP Guide Annex 11 sind relevant. Nachweise für Change Management, Konfigurationsmanagement, Genauigkeit oder Verlässlichkeit (Fehlerberichte). Systemsicherheit, Zugangskontrolle und Datenintegrität sind Aspekte, die für viele Systeme relevant sind. Verifikation der Umsetzung von Vorgaben. Relevante Literatur: AMBO 2009 EG-GMP-Leitlinie Anhang 11 PIC/S Guidance on Good Practices for Computerised Systems in Regulated "GXP" Environments (PI 011); Leitlinien bzw. Publikationen der ISPE (Industrie); L_INS_VIE_00QM_I05_04 Gültig ab: von 5

2 Frequently asked Questions: Frage 1: Wie sieht die Herangehensweise an ein IT-System oder an einen Computergestützten Prozess bei einer Inspektion aus? Frage 2: Was sind die relevanten gesetzlichen Anforderungen und welche Verbindlichkeit hat der GAMP Guide? Woran kann man sich bei der Validierung eines Computergestützten Systems orientieren? Frage 3: Was ist der PIC/S Guide und wo kann ich ihn erhalten? Antwort zu Frage 1: Die Inspektion kann systemorientiert oder prozessorientiert sein. Bei Einstieg in die Validierung eines CGS wird üblicherweise mit dem Validierungsplan und/oder dem Validierungsbericht begonnen. Eine prozessorientierte Inspektion zielt auf jene Teile des Herstellprozesses, der von einem CS gestützt wird. So kann ausgehend vom Prozess die Validierung aufgerollt werden und überprüft werden, ob das CGS eine GMP Regeln verletzt bzw. ob der Prozess als vertrauenswürdig zu beurteilen ist. Antwort zu Frage 2: Grundsätzlich ist gemäß nationaler Gesetze die Validierung der Computergestützten Systeme vorgeschrieben (AMG, AMBO), ohne dass nähere Vorgaben über konkrete Anforderungen gestellt sind. Etwas konkreter, aber immer noch sehr grob, sind Anforderungen an Computergestützte Systeme im EU GMP Guide Annex 11 formuliert. Wesentlich konkreter sind die Erwartungen eines Inspektors an ein Computergestütztes System im PIC/S Guide über Computerized Systems in GxP beschrieben ( Diese Leitlinie kann daher für den Inspizierten als gute Orientierung empfohlen werden. Die GAMP-Leitlinie ist eine Leitlinie, wie eine Validierung im GxP-Umfeld durchgeführt werden kann, sie ist jedoch nicht verbindlich; nach GAMP wird daher auch nicht inspiziert. Die GAMP Leitlinie wurde allerdings von Industrievertretern unter Mitarbeit europäischer und amerikanischer Behörden erstellt, sodass sie als Leitlinie zur Umsetzung einer Validierung empfehlenswert ist. [Version 1,Dezember 2006] Antwort zu Frage 3: Der PIC/S Guide beinhaltet u.a. konkrete Forderungen an eine Validierung aus Inspektionssicht. Der Guide beinhaltet auch Vorgaben an die Inspektorate, wie eine Inspektion durchgeführt werden soll und welche Schwerpunkte gesetzt werden können. Das Dokument kann unter gratis bezogen werden. L_INS_VIE_00QM_I05_04 Gültig ab: von 5

3 Frage 4: Wie sollen wir unser System validieren? Frage 5: Wie sollen wir unser altes Computergestütztes System (legacy system) handhaben? Frage 6: Wie sollen wir unseren Prozess validieren, wenn wir ein fremdes Datensystems für GMP-relevante Tätigkeiten verwenden (z.b. in einem Krankenhaus). Antwort zu Frage 4: Eine Antwort darauf kann und darf ein Inspektorat nicht geben. Ein Inspektor darf nicht als Berater auftreten. Rechtsunterworfene müssen sich das Wissen für eine Validierung selber beschaffen. Aufgabe eines Inspektors ist es, die Situation in einem Betrieb gegen die rechtlichen Vorgaben zu prüfen. Antwort zu Frage 5: Für das System sollte eine Basislinie geschaffen werden. Dazu muss das System nachdokumentiert werden. Das heißt, es sollten ein Erfahrungsbericht mit dem System und Anwenderspezifikationen - zumindest grob - erstellt werden. Auf Grundlage der Nachdokumentation sollte die Evaluierung des Systems erfolgen (von Validierung kann man retrospektiv genau genommen nicht sprechen). Nach Abschluss der Evaluierung sollte das Change Management etabliert werden, um das System valide zu halten. Ein Shut Down eines Altsystems ist bei entsprechender Kenntnis des Risikos von vornherein nicht erforderlich. Ein System, das jedoch mangels Dokumentation und Risikoeinschätzung als Black Box zu betrachten ist, ist im Regelfall nicht als vertrauenswürdig und daher nicht als validierbar zu beurteilen. Antwort zu Frage 6: GMP Relevanz eines Systems und Validierungspflicht ist dann gegeben, wenn ein Herstellungsschritt mittels Computersystem gestützt wird und wenn eine GMP-Regel betroffen ist. Dies ist unabhängig davon, wer für das Computersystem / die Software zuständig ist. Der Prozess sollte analysiert und die GMP-relevanten Bereiche sollten identifiziert werden. Schnittstellen sollten bekannt und definiert sein, eine Risikobetrachtung sollte durchführt werden. Die Prozessschritte sollten validiert werden, auch dann, wenn ein außerhalb der eigenen Organisationseinheit liegendes (Krankenhaus-)system oder SAP-System im Prozess Verwendung findet. Krankenhaussysteme oder SAP-Systeme sollten daher nicht als Black Box betrachtet werden. Die Validierungstiefe ist dem Risiko und der Komplexität der Arbeitsschritte anzupassen (z.b. werden einfache Gewichtsberechnungen mittels SAP keiner besonders tiefgründigen Validierung bedürfen). L_INS_VIE_00QM_I05_04 Gültig ab: von 5

4 Frage 7: Welche Anforderungen sollen wir an einen Softwarelieferanten stellen? Frage 8: Wie oft ist ein Softwarelieferant zu auditieren Frage 9: Wann spricht man von einer COT-Software und was sind die Anforderungen Frage 10: Wo sollte die LC-Dokumentation aufbewahrt werden? Antwort zu Frage 7: Er sollte zumindest ein dokumentiertes Qualitätssicherungssystem haben, das seine Beurteilung bei einem Lieferantenaudit zulässt (siehe dazu den PIC/S Guide). Eine Life Cycle Dokumentation darf erwartet werden. Eventuell können einschlägige Normen, die im PIC/S Guide angeführt sind oder z.b. ISO von Bedeutung sein. Antwort zu Frage 8: Zumindest zu Beginn einer Kooperation sollte sich der Auftraggeber Klarheit darüber verschaffen, ob der Zulieferer die Anforderungen des GxP-Umfeldes kennt/versteht bzw ggf in der Lage ist, sein Qualitätssicherungssystem danach auszurichten. Bei einer bestehenden Kooperation sollten Lieferantenaudits anlassbezogen durchgeführt werden; ein starrer Zeitraum, zb jährlich, erscheint nicht zweckmäßig. Bedeutend ist auch die einschlägige Qualifikation des Lieferantenauditors. Antwort zu Frage 9: Software von der Stange ist eine COT Software. Bei entsprechend weiter Verbreitung kann man unterstellen, dass ihr Anwendungsrisiko kalkulierbarer ist, als eine bespoken Software. Wenn die COT Software wie gekauft, ohne Customizing (durch Konfiguration oder Mitimplementierung von Makros) eingesetzt wird, ist ein deutlich geringerer Validierungsaufwand zu erwarten. Der Validierungsaufwand hängt jedoch vom Einsatzgebiet und vom Ergebnis einer Risikoeinschätzung ab. Siehe GAMP4 bezüglich Software-Kategorisierung. Antwort zu Frage 10: Sie muss bei einer Inspektion greifbar sein; ob sie vor Ort lagert oder sich beim Zulieferer befindet ist dem Anwender überlassen. Bei Auslagerung sind vertragliche Regelungen empfehlenswert. Deren Existenz muss dem pharmazeutischen Hersteller bekannt sein und sollte bei der Validierung Berücksichtigung finden. L_INS_VIE_00QM_I05_04 Gültig ab: von 5

5 Frage 11: Wo liegen die Zuständigkeiten bei der Durchführung einer Risikoanalyse? Wie sollte man diese Tätigkeit abgrenzen? Frage 12: Wann sollte eine qualifizierte elektronische Signatur angewendet werden, wann ist Zugangskontrolle durch Verwendung von Username/Passwort ausreichend? Frage 13: Ist die Notwendigkeit der Verwendung FDAzertifizierter Software gegeben? Antwort zu Frage 11: Die Risikoanalyse sollte immer vom Anwender durchgeführt werden. Bei Übertragung der Durchführung einer Risikoanalyse an den Zulieferer muss dieser alle nötigen Informationen bereitgestellt bekommen. Die Form der Zusammenarbeit muss schriftlich definiert sein. Die Plausibilität der Dienstleistung muss gegeben sein. Antwort zu Frage 12: Prüfen ob eine handschriftliche Signatur gemäß einer GMP-Regel erforderlich ist; wenn ja, sicherstellen, dass dort, wo Rechtsverbindlichkeit gefordert ist, diese auch erreicht werden kann; ist lediglich die Abbildung/ Nachvollziehbarkeit eines prozessualen Geschehens gefragt, reicht in der Regel die Zugangskontrolle mittels Username/Passwort aus. Antwort zu Frage 13: Die Zertifizierung einer Software ist keine Forderung der GxP. Von Bedeutung ist lediglich, ob eine Software / ein computergestütztes System einen Prozess so stützt, dass dies vertrauenswürdig (valide) geschieht. Die verwendete Software muss qualifiziert sein. FDA-zertifizierte Software gibt es nicht, da seitens der FDA, wie von jeder anderen Behörde auch, keine Zertifizierungen durchgeführt werden. Ebensowenig gibt es Software, die von vornherein als Part 11 Compliant bewertet werden kann. Beide Attribute sind weit verbreitete Irrtümer. L_INS_VIE_00QM_I05_04 Gültig ab: von 5