-
AUTOMATION/MESSTECHNIK
68 MedPLAST · Mai 2007
IN KLEINEN SCHRITTEN RISIKOBETRACHTUNG MINIMIERT AUFWAND BEI DER
VALIDIERUNG COMPUTERGESTÜTZTER SYSTEME Die Einführung von
computergestützten Einzelanlagen, Produktionslinien,
Analyseneinrichtungen im Labor oder übergeordneten IT-Systemen (zum
Beispiel ERP oder MES) in der Herstellung, Lagerung und Kontrolle
medizin-technischer Geräte sind ebenso wie in der Pharmazie
GMP-relevant und müssen daher validiert werden. Das heißt, dass die
im Leitfaden einer guten Herstellungspraxis (Good Manufacturing
Practice, GMP) und deren An-hänge festgelegten Grundsätze einer
Validierung eingehalten und umgesetzt werden müssen. Für viele, vor
al-lem kleinere Betriebe eine große Hürde, die sich aber in kleinen
Schritten überwinden lässt.
T ritt ein computergestütztes System an die Stelle eines
ebenfalls GMP-relevanten manuellen Vorgangs, dürfen weder die
Qualität noch die Si-cherheit der Produkte beeinträchtigt werden.
Ebenso dürfen durch eine redu-zierte Beteiligung des
Bedienpersonals keine Informationen verloren gehen. Die über die
allgemeine Validierungspflicht gemäß AMWHV (Arzneimittel und
Wirkstoff-Herstellungsverordnung), GMP-Leitfaden und dessen Anhang
11 hinausgehenden, sehr konkreten Anfor-derungen des CFR 21 Part 11
(Vorgaben
zum Umgang bei Systemen mit elektro-nischen Aufzeichnungen und
elektro-nischen Unterschriften), standen in den letzten Jahren
immer mehr im Mittel-punkt vieler Diskussionen. Doch die
all-gemeinen Anforderungen bei der Vali-dierung von
computergestützten Syste-men innerhalb des GMP-Leitfadens, ge-ben
nur einen sehr allgemeinen Rahmen für Umfang und Tiefe von
Validierungs-aktivitäten. Für verarbeitende Betriebe ist es anhand
dieser Vorgaben nicht leicht zu entscheiden, welche Maßnahmen sie
treffen müssen.
Konkretere Vorschläge zur Vor-gehensweise bei der Qualifizierung
der Hardware und Validierung der Software sind in Empfehlungen von
Interessen-gemeinschaften und Verbänden enthal-ten. Dazu zählen zum
Beispiel GAMP 4 (Good Automated Manufacturing Practi-ce) und
„Validation of Process Control
Systems“ der Interessengemeinschaft ISPE (International Society
of Pharma-ceutical Engineering) sowie der Leitfaden „Good Practice
for Computerised GXP-Environments“ des Verbands PIC/S PI011–2
(Pharmaceutical Inspection Co-Operation Scheme). Gesetzliche
Anfor-derungen an ein computerisiertes Sys-tem, um eine
GMP-gerechte Validierung überhaupt durchführen und zum Ab-schluss
bringen zu können, sind in so ge-nannten Predicate Rules,
festgeschrie-ben. Hierzu zählt unter anderem auch der CFR 21 Part
11.
Validierungsmasterplan als Basis Die Validierung von komplexen,
be-reichsübergreifenden ERP-Systemen wie SAP oder Manufacturing
Execution (MES) beziehungsweise Dokumenten-Management-Systemen
sollte sinnvoller Weise in drei Phasen unterteilt werden.
Autor Wolfgang Hähnel, Leiter Vertrieb und Marketing, Gempex/GMP
Con-sulting & Execution, Mannheim, [email protected]
Kein Grund zum Durchdrehen: Durch ein strukturiertes Vorgehen
verliert die Validierung computer-gestützter Systeme in der
Medizintechnik ihre Schrecken (Bild: photocase.de)
-
MedPLAST · Mai 2007 69
In Phase 1 (Initialisierung) wird die Vorgehensweise und
Strategie innerhalb des Projekts im Validierungsplan (VP)
festgelegt. Durch die Komplexität und der unterschiedlichen
Verantwortlich-keiten von computergestützten Syste-men ist zu
empfehlen, einen eigenen Va-lidierungsmasterplan für diese Systeme
zu erstellen. In diesem Dokument, kurz VMP genannt, wird den
verantwort-lichen Abteilungen, der Geschäftsfüh-rung und den
Behörden ein übersicht-liches Up-date aller
Validierungsaktivitä-ten aufgezeigt.
Parallel dazu müssen im Betreiberlas-tenheft, in den so
genannten User Requi-rement Specifications (URS), die
GMP-kritischen Prozessparameter und andere qualitätsrelevante
Anforderungen iden-tifiziert und schriftlich fixiert werden. Im
Lastenheft sollten daher sehr kon-sequent, gut strukturiert und mit
mög-lichst vielen Details alle Anforderungen an das zu beschaffende
System und den Lieferanten beschrieben sein. Unter an-derem gehören
dazu folgende Punkte:
Bezug zu VMP, Gesetzlicher Hintergrund (Predicate Rules), auf
die Prozesskette bezogen, Betrachtung vom Ist-Zustand, sofern
möglich, Prozessablaufbeschreibung, Prozess-kette Soll-Zustand, Art
und Durchführung der Neueinfüh-rung oder des Release-Wechsels,
Hardware-Spezifikationen (PCs, Ser-ver, redundante Systeme etc.),
Sicherheitskonzept (Firewalls, Viren-Scan etc.),
Geschäftsprozesskontinuität (Ausfall, Stillstand etc.),
Fall-Back-Szenario (Rückfall auf das al-te Release oder System bei
Problemen beschreiben), Archivierungskonzept von GMP-rele-vanten
Daten, Forderung von Programmiervorschrif-ten/Richtlinien im
Pflichtenheft, Forderung von Source-Code-Reviews durch neutrale
Personen,
ERHÖHTE MARKTCHANCEN Validierung Schritt für Schritt Durch die
Vorgehensweise der kleinen Schritte sind auch komplexe Systeme oder
größere Ablaufsteuerungen bei der Qualifizierung der Hardware und
Validierung der Software keine unüberschaubare Hürde mehr. Durch
die Einstufung mittels einer gut strukturierten Risikobetrachtung
lässt sich der Aufwand minimieren und überbli-cken.
-
AUTOMATION/MESSTECHNIK
70 MedPLAST · Mai 2007
Betrachtung von Fremdsystemen, Lieferantenbewertung und Audit
(ist ab Software-Kategorie 4 Pflicht), Liste der Zulieferer des
Lieferanten, Wartung, Hotline, Servicevereinbarun-gen, Schulung des
Personals. Neben dem Validierungsplan und der
URS sind während der ersten Phase noch die SOPs (Standard
Operating Procedu-res) zu betrachten. Hier sollten alle
An-weisungen aufgelistet werden, die für die spätere Bedienung,
Instandhaltung und Pflege notwendig sind.
Von den Behörden gefordert: die Risikobetrachtung Mit das
wichtigste Instrument um eine gut strukturierte, und nicht über das
Ziel hinausgehende Validierung dieser Syste-me durchzuführen, ist
eine von den Be-hörden geforderte Risikobetrachtung. Diese hat zum
Ziel, ausgehend von der Gesamtheit aller vorhandenen Prozesse und
den daraus resultierenden Funktio-nen, diejenigen zu
identifizieren, mit de-nen in den einzelnen Abteilungen GMP-
relevante Daten angelegt, angezeigt, ge-speichert, gelöscht oder
verändert wer-den können. Die GMP-Risikobetrach-tung sollte bei
größeren computer-gestützten Systemen, wie ERP in zwei se-parate
Abschnitte unterteilt werden.
Die Risikoklassifizierung dient zum ei-nen der Überprüfung, ob
es sich bei dem vorliegenden System um ein so genann-tes Legacy
System handelt und zum an-deren der Identifikation der vom
Unter-nehmen eingesetzten GMP-relevanten Geschäftsprozesse
beziehungsweise der dazugehörigen Fremdsysteme.
Die Grundlage für die Risikoklassifi-zierung bilden neben den,
auf das com-puterisierte System anzuwendenden Pre-dicate Rules, die
im Vorfeld der Validie-rung zu erstellenden Prozessablaufpläne,
mittels derer die einzelnen Geschäftspro-zesse als eine Sequenz von
funktional zu-sammen gehörigen Geschäftsvorfällen beschrieben
werden.
Aus dieser Darstellung resultiert letzt-endlich eine Übersicht
aller verwendeten Geschäftsprozesse, welche die Zuord-nung der
Transaktionen zu der ge-
wünschten Funktionalität beschreibt. Im Rahmen der
Risikoklassifizierung müs-sen außerdem alle Fremdsysteme
identi-fiziert und kategorisiert werden, die eine Schnittstelle zum
ERP-System besitzen.
Alle als GMP-relevant eingestuften Business Module und
Geschäftsprozesse werden in einem zweiten Schritt, das heißt in
Phase 2, einer detaillierten Risi-koanalyse unterzogen und dafür
auf Transaktionsebene auf ihr Risikopotenzi-al bewertet. Dieser
Schritt kann aber erst nach der Umsetzung der in den URS
be-findlichen GMP-relevanten Anforderun-gen in das
Lieferanten-Pflichtenheft er-folgen. Denn erst dann sind die
genauen Verzweigungen innerhalb der Module und die Anzahl der
Transaktionen be-kannt. Die Risikoanalyse kann unter an-derem auf
der FMEA (Fehler-Möglich-keit-und-Einfluss-Analyse)-Methode
ba-sieren.
Die daraus resultierende Eingruppie-rung in eine Risikoklasse
bildet die Grundlage für die Festlegung des Testum-fangs, der
Testtiefe sowie des Dokumen-tationsaufwands der Validierung. Für
je-de einzelne als kritisch bewertete Trans-aktion muss der
Nachweis der Validität dokumentiert werden.
Weiterhin sind innerhalb der Risiko-analyse die Schnittstellen
zwischen den Transaktionen und den möglichen Fremdsystemen auf ihre
GMP-Relevanz zu untersuchen und zu bewerten. Falls erforderlich,
ist die Validität der einzel-nen Schnittstellen durch entsprechende
Funktionstests innerhalb der Funktions-qualifizierung (OQ)
nachzuweisen und zu dokumentieren.
In Phase 3 (Umsetzung) werden dann die anwenderspezifischen
Programmie-rungen, die Abnahmen beim Hersteller (FAT) und am
Aufstellungsort (SAT) so-wie die Validierungsaktivitäten
Installati-onsqualifizierung (IQ), Funktionsqualifi-zierung (OQ)
und Leistungsqualifizie-rung (PQ) innerhalb des Entwicklungs-,
Validier- und Produktivsystems durchge-führt.
Validierungsstrategie in drei Schritten
infoDIRECT Ergänzende Dokumente stehen zum Down-load bereit:
Schematische Darstellung der GMP-Risikobetrachtung , Formular für
die Ri-sikoklassifizierung, Beispiel für eine FMEA-Ri-sikoanalyse.
www.plastverarbeiter.de Suche: MedPlast07Gempex
