Audit Finding: not compliant – was nun? Audit- und GxP-ready per Software-Update

Anbieter zum Thema

SPECTRO Analytical Instruments GmbH

Dr. Klinkner & Partner GmbH

PCE Deutschland GmbH

handshake Handelsges. mbh

Das nächste Audit steht an – Sind alle Anforderungen an Data Integrity und GxP erfüllt? Besonders bei Bestandsgeräten kann dies zur Belastungsprobe für die Verantwortlichen werden. Um bestehende Anlagen und Programme abzusichern, gibt es dennoch Möglichkeiten – etwa per Zusatz-Software.

Viele wachsende Unternehmen in der Pharmaindustrie müssen die Anforderungen der Gesundheitsbehörden erfüllen, lückenlos zu dokumentieren wer, was, wann im Arbeits- oder Produktionsprozess gemacht hat. Data Integrity, „Good Manufacturing Practices“ (GMP) und „Good Laboratory Practices“ (GLP) müssen umgesetzt werden. Zu dokumentieren, welche Parameter zu einem bestimmten Zeitpunkt verwendet wurden und welche Abläufe wann durchgeführt wurden, ist notwendig für die Produktfreigabe und letztlich für die Zulassung der Produkte zum Verkauf. Obligatorisch dabei ist auch der Nachweis, dass generierte Daten vollständig vorliegen, also nichts gelöscht wurde und auch keine Veränderungen an generierten Daten durchgeführt wurden.

Bis zu einem bestimmten Punkt ist das recht übersichtlich. Aber wenn es im Fall eines Audits darum geht, den Nachweis vollständiger „Compliance“ möglichst rasch und punktgenau vorlegen zu können, ist das eine nicht zu unterschätzende Herausforderung für die zuständigen Audit-Betreuer im Labor.

Dazu kommt, dass Aufzeichnungen auch regelmäßig kontrolliert und einem Review unterzogen werden müssen, der ebenfalls dokumentiert und nachvollziehbar sein muss. Dies manuell durchzuführen, erfordert viel Erfahrung und ist zeitaufwändig. Teilautomatisierung kann den Aufwand hier enorm reduzieren. Zusätzliches Optimierungspotenzial liegt darin, Review-Prozesse zu vereinheitlichen und Audit-Trail-Anforderungen auf möglichst allen im Unternehmen befindlichen Anlagen zu harmonisieren.

Problem: Bestandsgeräte oft nicht GxP-fit

Die Auflagen der Behörden werden immer strenger und restriktiver. Damit sind auch bestehende Anlagen immer wieder mit dem Problem konfrontiert, diesen Anforderungen nicht gerecht zu werden. Im Zuge der obligatorischen „Data Integrity Assessments“ werden Vorgaben identifiziert, die aktuell nicht erfüllt werden („Gaps“), aber erfüllt werden müssen, um weiter produzieren zu dürfen. Mitunter stehen in solchen Fällen Investitionen in Millionenhöhe im Raum, um die Prozesse und Abläufe den geänderten Vorgaben entsprechend anpassen zu können und so die Produktion nachhaltig sicherzustellen.

Insbesondere problematisch ist, dass viele im Labor oder in der Produktion eingesetzte Geräte nicht für diesen qualitätskritischen Anwendungsbereich entwickelt wurden und die relevanten Anforderungen daher nicht erfüllen. Auch Neugeräte, die nicht explizit für GxP-Bereiche entwickelt wurden, erfüllen diese gesetzlichen, GxP-relevanten Anforderungen oft nicht. Ein Gerät zu finden, das die fachlich und operativ erforderlichen Notwendigkeiten im jeweiligen Forschungs- oder Produktionsprozess erfüllt, ist entsprechend schwierig. Ein solches Gerät dann nicht einsetzen zu dürfen, weil die Anforderungen an Data Integrity und GxP nicht ausreichend erfüllt werden können, ist frustrierend, weil GxP-konforme Geräte mit der gleichwertigen Funktionalität mitunter nicht zur Verfügung stehen oder viel teurer sind.

Lösung: Update statt Neukauf – nur wie?

Es gibt einen alternativen Weg, um Geräte GxP-ready zu machen, die Microsoft Windows als Betriebssystem für den Betrieb der Steuerungssoftware unterstützen: Statt neue Hardware anzuschaffen bietet sich die Installation von Zusatzsoftware an, welche Data Integrity und GxP-relevante Funktionalität nachträglich implementiert. „Smart Audit Trail“ ist genau dafür entwickelt worden. Die Software stammt von einem österreichischen Unternehmen, das sich seit mehr als 30 Jahren genau auf Prozesse im qualitätsrelevanten und validierten Produktions- und Forschungsumfeld spezialisiert hat. Sie bringt über konfigurierbare Zusatzsoftware nachträglich Audit-Trail-Funktionalität.

Um Data Integrity Gaps zu schließen, sind umfangreiche Zusatzfunktionalitäten enthalten. Elemente und Funktionen in Dialogen können für die Aktivierung durch Benutzer bestimmter Benutzergruppen gesperrt werden. Wenn es z. B. im Zuge des Data Integrity Assessments als erforderlich definiert wurde, kann jeder Versuch, eine Funktionalität über ein Dialogelement aufzurufen, im Audit Trail dokumentiert werden. Damit ist festgehalten, wer, wann, was versucht bzw. ausgelöst hat – und das ist auch im Fall eines Audits unmittelbar abrufbar, z. B. in Form eines PDF-Berichts.

Bildergalerie

Welche Vorteile das Nachrüsten von Laborgeräten mit der GxP-Software im Detail bietet, wird im Folgenden näher erläutert.

Nutzerführung für Sicherheit und Kontrolle

Um auch Systeme mit einem GxP-gerechten Audit Trail ausstatten zu können, die vom Design her nur auf einen Benutzer ausgelegt sind, unterstützt Smart Audit Trail eine „Multi User Screen Lock“-Funktion. Das bedeutet, dass beim Start des Systems eine automatisierte Anmeldung mit einem Service-Account erfolgt, aber unmittelbar danach der Bildschirm für Eingaben gesperrt wird. Diese Sperre kann nur durch persönliche Authentifikation und Anmeldung mit einem Benutzer-zugeordneten Konto erfolgen. Damit ist sichergestellt, dass im Audit Trail der tatsächlich aktive Benutzer mitgeführt wird, obwohl das laufende Programm nach wie vor unter dem Service Account betrieben wird, mit dem das System gestartet wurde. Besonders Legacy-Anwendungen die Administratorrechte erfordern, um fehlerlos zu arbeiten, lassen sich so auch weiterhin GxP-gerecht einsetzen.

Sollen kritische Operationen ausgelöst werden, lässt sich eine Sicherheitsabfrage einrichten. Dann muss der Benutzer die Aktivierung bestimmter Gerätefunktionen durch eine zusätzliche Eingabe begründen und ggf. mit einer elektronischen Unterschrift quittieren. Durch Sperren von nicht benötigten Funktionen wird sichergestellt, dass Anwender nur die Software-Funktionen nutzen können, die auch tatsächlich für den Arbeitsprozess erforderlich sind. Damit kann auch der Validierungs- und Qualifikationsaufwand reduziert werden, da manche Funktionen nachweislich nicht für bestimmte Anwender freigeschaltet sind und somit auch nicht validiert werden müssen. Um Manipulation von Daten auszuschließen, lassen sich Datenspeicher, auf denen die Rohdaten generiert werden, überwachen. So ist es möglich, erstellte Daten unmittelbar nach vollständiger Erzeugung auf gesicherte Speicherbereiche zu übertragen. Das System kann dabei mit unterschiedlichen Anmeldeinformationen agieren. Es hat also Zugriff auf Speicherbereiche, die für den Benutzer nicht zugänglich sind. Damit ist jede Möglichkeit der Manipulation ausgeschlossen.

Prozesse im System automatisieren

Neben der Sicherheit spielt auch die Effizienz von Prozessen eine entscheidende Rolle, allen voran durch Automation. Ansätze bieten hier so genannte „Events on Demand“. Damit lassen sich Abläufe und Vorgänge starten, wenn bestimmte Funktionen ausgeführt oder bestimmte Ereignisse im Steuerungssystem identifiziert werden, die zuvor als Auslöser definiert wurden. Die Möglichkeiten sind umfassend: von Kopiervorgängen bis hin zur Umwandlung von Textdateien in PDF, um zusätzliche Manipulationssicherheit zu gewährleisten.

Besonders hilfreich für die Personen, die mit dem Review betraut sind, ist die übersichtliche Darstellung der gesammelten Daten und die Teilautomatisierung zum Erstellen von Berichten in PDF-Format. In diesen PDF-Dokumenten lässt sich ein abgeschlossenes Review unmittelbar per elektronischer Unterschrift dokumentieren und ebenfalls elektronisch und somit automatisierbar archivieren.

Audit Trail lässt sich auch remote abrufen

Mithilfe von „intelligenten Berichtsvorlagen“ können Anwender überprüfen, ob bestimmte Ereignisse vollständig und chronologisch korrekt abgearbeitet wurden. Dies lässt sich auf Knopfdruck ebenfalls jederzeit als PDF-Bericht abrufen. Damit wird der Zeitaufwand für den Review drastisch reduziert.

Große Zeitersparnis bietet die Möglichkeit, den Review „remote“, also über das Netzwerk direkt von Büroarbeitsplätzen durchzuführen. Auf diese Weise entfällt das zeitaufwändige, aber für Reinraumbereiche obligatorische Ein- und Ausschleusen. Die Analyse der Daten wird dabei selbstverständlich nur auf dem Gerät durchgeführt, auf dem der Audit Trail gespeichert ist, um auch hier jede Manipulationsmöglichkeit auszuschließen.

So werden Bestandsgeräte GxP-konform

Aber was bedeutet es in der Praxis ein System nachträglich abzusichern? Ausgangspunkt ist immer ein „Data Integrity Assessment“ und die damit verbundenen Erkenntnisse, welche „Gaps“ gelöst werden müssen. Hierbei wird u. a. geprüft, ob es möglich ist, ein GxP-gerechtes Audit Trail nachzurüsten und potenzielle Risiken hinsichtlich Data Integrity zu schließen. Ist dies der Fall, kann die Zusatzsoftware „Smart Audit Trail“ installiert werden. In der nicht konfigurierten Form überwacht die Software jeden Zugriff auf Daten im System und dokumentiert, welche Dateien erstellt, verändert oder gelöscht wurden. Im Zuge der Konfiguration auf die relevanten Verzeichnisse und Bereiche lässt sich die Überwachung aber nach Bedarf einschränken. Alle Anforderungen an Systeme hinsichtlich Data Integrity, sowie CFR Part 11 und GxP-relevante Vorgaben können auf diese Weise erfüllt werden.

Fazit: sinnvolles GxP-Update

Smart Audit Trail ist ein mächtiges Werkzeug, um Windows-Softwareprodukte auch nachträglich mithilfe von Audit Trail „compliant“ zu machen und sowohl hinsichtlich Data Integrity als auch GxP-bezogen abzusichern. Dadurch können Investitionen zur Erfüllung von Behördenvorgaben hinsichtlich Data Integrity und GxP auf moderatem Niveau gehalten werden. Der Aufwand für Review und Kontrolle der Audit Trail Information kann durch Teilautomatisierung der Auswertungen erheblich verringert werden; durch Remote-Zugriffsmöglichkeit auf Geräte in Reinraum-Umgebungen entfällt das aufwändige Ein- und Ausschleusen in diese Bereiche.

Damit ist Smart Audit Trail ein wesentlicher Beitrag, Investitionen zu sichern und bestehende Anlagen mit moderaten Kosten den immer strenger werdenden Anforderungen an Data Integrity, GMP und GLP anzupassen.

Glossar

(ID:49642762)