Validierung von Computersystemen Seite 1 von 3

Stand: 14.03.2011 © Dr. Ulrich Quast

Validierung von Computersystemen - ein erster Überblick

Definition Validierung Dokumentierter Nachweis, dass ein bestimmter Pro-zess mit einem hohen Grad an Sicherheit kontinuier-lich ein Produkt erzeugt, das die zuvor definierten Spezifikationen und Qualitätsmerkmale erfüllt.

Was bedeutet Validierung? Für alle Industriezweige, deren Produkte einen direkten Einfluss auf die Gesundheit des Menschen haben, gelten gesetzliche Vorschriften über die „Gute Herstellungspra-xis“ (GMP). Ein GMP-Grundsatz besagt, dass für die Herstellung und Prüfung solcher Produkte nur Verfahren eingesetzt werden dürfen, deren Eignung durch Validie-rung nachgewiesen wurde. Dies bezieht sich damit auch auf alle Anlagen und Computersysteme, die Einfluss auf die Qualität der Produkte haben. Auch für die Entwicklung, Sicherheitsprüfung und klini-sche Prüfung von Arzneimitteln gelten Richtlinien (GLP, GCP), die die Anwendung validierter Verfahren vorse-hen.

GMP, GLP, GCP werden häufig als GXP zusam-mengefasst.

Gesetzliche Vorgaben Deutschland • Arzneimittelgesetzt AMG

• Arzneimittel- und Wirkstoff- Herstellungs-verordnung AMWHV

Europa • EG-Richtlinien und nationale Arzneimittelgesetze

• EG-GMP-Leitfaden mit Annex 11 (Computerge-stützte Systeme) und Annex 18 (GMP für Wirk-stoffe)

USA • 21 CFR Part 210, 211 (cGMP für Arzneimittel)

• 21 CFR Part 820 (Medizinprodukte)

• 21 CFR Part 11 (Electronic Records & Electronic Signatures)

In welchen Branchen ist Validierung re-levant? Gesetzliche GMP-Regelungen gibt es für Arzneimittel-hersteller, Wirkstoffhersteller und Hersteller von Me-dizinprodukten. Die Einhaltung dieser Vorschriften wird durch die zuständigen Behörden oder benannte Zertifi-zierungsstellen überprüft. Mit der Freigabe eines Arzneimittels zum Vertrieb muss die Sachverständige Person zertifizieren, dass die GMP-Regeln vollständig eingehalten, also nur validierte Systeme eingesetzt wurden. In allen GMP-Regelwerken gibt es spezielle Kapitel oder Anhänge mit den Anforderungen zum Betrieb von Com-putersystemen.

Was bedeutet Validierung computerge-stützter Systeme? Die Festlegung welche Computersysteme in welcher Weise validiert werden müssen, kann man aus dem Va-lidierungsmasterplan ersehen, der in allen GMP-regulierten Betrieben vorhanden sein sollte. Diese Entscheidungen werden auf Basis von Risikobe-wertungen getroffen. Es wird dabei überprüft, ob GMP-relevante Vorgänge mit dem jeweiligen Computersystem gesteuert oder dokumentiert werden. Computersysteme werden in Klassen (üblich sind die GAMP ® -Kategorien 1 bis 5) eingeteilt. Daraus ergeben sich Vorgaben für die Umsetzung und den Umfang der Validierungsmaßnahmen. Computergestützte Systeme bestehen nicht nur aus der Anwendungssoftware sondern auch aus der Be-triebsumgebung, Netzwerk, Hardware, Betriebssystemen und Datenbanken sowie den kontrollierten Prozessen mit Geräten, SOPs und Bedienungspersonal (siehe Grafik auf der folgenden Seite).

Validierung von Computersystemen Seite 2 von 3

Stand: 14.03.2011 © Dr. Ulrich Quast

GAMP ® 5 Leitfaden

Voraussetzungen für Lieferanten• Qualitätsgesicherte Software-Entwicklung nach

einem Lifecycle-Modell • Qualitätsgesicherte Anpassung und Implementie-

rung von Software • Qualitätsgesicherte Wartung und Betreuung • … dargestellt anhand eines QM-Systems

V-Modell nach GAMP ® 5

Wie funktioniert Validierung? Zur Validierung von Computersystemen sind zahlreiche Modelle entwickelt worden. Ein praktikables und weit verbreitetes Vorgehen wird im GAMP-Leitfaden zur Va-lidierung automatisierter Systeme, kurz GAMP ® 5 genannt, beschrieben. Grundsätzlich erfolgt der Validierungsansatz nach einem Lifecycle-Modell (V-Modell), das bereits die Entwicklung der Software umfasst. Deshalb ist auch die Qualifizierung des Lieferanten von großer Bedeutung. Ein Lieferantenaudit sollte mög-lichst früh erfolgen, um Risiken aus unzureichender Qua-lifikation des Lieferanten abzufangen. Verantwortlich für die Validierung eines Computersys-tems ist immer der Anwender (Systemeigner). Das gesamte Vorgehen bei der Validierung wird in einem Validierungsplan beschrieben. Die Designphase der Validierung umfasst die Erstellung der Benutzeranforderung (Lastenheft), die Umsetzung in Funktionsspezifikationen (Pflichtenheft) und die Er-stellung der Technischen Spezifikationen. Eine Funktionelle Risikoanalyse filtert die Prozessrisi-ken heraus, um sie durch geeignete Testpläne zu mini-mieren. Eine gut durchgeführte Risikoanalyse reduziert den späteren Testaufwand auf das notwendige und aus-reichende Maß. Die Designphase wird durch das Designreview abge-schlossen. Hier ermittelt man, ob alle Anforderungen in Spezifikationen umgesetzt wurden und ob alle Punkte bezüglich des GMP-Risikos bewertet wurden. Die Systemanpassung und die Einrichtung der erforderli-chen Hardware erfolgt auf Basis der Spezifikationen. Nach Implementierung des gesamten Systems beginnt die Testphase. Die früheren Stufen Installationsqualifi-zierung (IQ), Funktionsqualifizierung (OQ) und Leis-tungsqualifizierung (PQ) werden heute unter dem Begriff Verifizierung zusammengefasst. Mit Beginn der Testphase dürfen Änderungen nur noch unter strikter Änderungskontrolle (Change Control) durchgeführt werden. Nach erfolgreicher Testung und einem Gesamtreview der Validierungsdokumente erfolgt die Freigabe zum Systembetrieb. Die Validierung wird durch den Validierungsbericht ab-geschlossen.

SOFTWARE HARDWARE

Steuerungssystem

GERÄTEARBEITS-

ANWEISUNGENDOKUMENTATION

Kontrollierter Prozess

Computergestütztes System

Betriebsumgebung (Netzwerk, andere Systeme, Personal, Ausrüstung und Verfahren)

Validierung von Computersystemen Seite 3 von 3

Stand: 14.03.2011 © Dr. Ulrich Quast

Notwendige SOPs Prospektive Validierung • Validierung von Computersystemen • Validierungsplan • Lastenhefte • Pflichtenhefte • Risikoanalyse • Testen von Software • Validierungsbericht und Systemfreigabe

Was ist für die Validierung noch erfor-derlich? Alle Validierungsaktivitäten müssen in das QM-System des Anwenders einbezogen werden. Falls noch nicht vorhanden, sind deshalb verschiedene SOPs zu erstel-len, die sowohl die prospektive Validierung als auch den Betrieb des validierten Systems regeln. Ein validiertes System kann nur auf qualifizierter Hard-ware und Betriebsumgebung betrieben werden. Dazu sind die firmeninterne IT-Abteilung sowie – falls vorhan-den - der externe IT-Dienstleister einzubeziehen. Unabdingbar für den Betrieb eines validierten Computer-systems sind qualifizierte Mitarbeiter. Alle User müs-sen deshalb entsprechend den vorgesehenen Schu-lungsplänen ausgebildet werden. Diese Schulungen sind zu dokumentieren.

Systembetrieb • Änderungskontrolle • Fehlerkontrolle • Sicherheitsmaßnahmen • Datensicherung • Desaster Recovery • Konfigurationsmanagement • Monitoring und Wartung • … und weitere

Welche Vorteile bietet die Validierung? Für den Anwender ist es von entscheidender Bedeutung, durch die Validierung in Übereinstimmung mit den ge-setzlichen Vorgaben zu stehen. Prospektiv validierte Systeme gehen zudem üblicherweise problemlos in den Produktivstart. Durch ein gutes Risikomanagement wer-den die Risiken weitgehend abgefangen, ohne dass der Prüfaufwand unvernünftig hoch ist.

GMP-gerechte Software

• ermöglicht Chargenrückverfolgung

• bietet Audit-Trail-Funktion auf allen Tabellen

• unterstützt Berechtigungskonzepte und 4-Augen-Prüfungen

• ermöglicht Compliance mit 21 CFR Part 11

Wer leistet Validierungsunterstützung? Die Validierung von Computersystemen stellt ein um-fangreiches Teilprojekt mit zahlreichen verknüpften Akti-vitäten dar. Für mittelständische Firmen bilden fehlende Ressourcen und unzureichende Erfahrung häufig ein Problem, das ohne externe Hilfe nicht zu meistern ist. Validierungsberater können durch ihre Erfahrung und zahlreiche vorhandene Templates und Muster für Vali-dierungsdokumente den Aufwand für die Validierung deutlich mindern.

Die Computersystem-Validierung wurde zugunsten der Ver-ständlichkeit etwas vereinfacht dargestellt. Die Ausführungen erheben deshalb keinen Anspruch auf Vollständigkeit. Die wich-tigsten Gesichtspunkte wurden jedoch berücksichtigt.

Validierungsberatung

GMP-Compliance-Beratung

Dr. Ulrich Quast Weilertalstraße 75 79410 Badenweiler Telefon 07632 891520 Mobilfunk 0160 8 43 69 87 Mailto: quast@qualityconsulting.de Web: www.qualityconsulting.de