Validierung computergestützter Systeme in der Pharmalogistik

Fortsetzung aus PHARMALOGISTICS Magazin Ausgabe 1/24 Seite 18

Die Umsetzung von Validierungsvorhaben wird bedauerlicherweise weder durch Inspektoren noch in den Gesetztestexten klar und eindeutig geregelt. Wer GDP-Konformität anstrebt, bemüht sich, mit „geeigneter Validierung“ den Nachweis zu erbringen, dass die eigenen Systeme kontinuierlich und genau die gewünschten Ergebnisse erreichen.

Von: Dr. Torsten Schmidt-Bader

(Bad Homburg) Leider fehlen bis heute rechtssichere Aussagen, was genau GDP-Inspektoren von einer Computersystem-Validierung erwarten und inwieweit der Gesetzgeber sich eine Validierung in der Pharma-Distribution vorgestellt hat. Gleichwohl findet sich in keiner Publikation ein Hinweis darauf, dass GDP-regulierte Unternehmen die strengen GAMP-Prinzipien anwenden müssten.

Fazit: Die Erwartungshaltung von GDP-Inspektoren ist weder national noch europaweit abgestimmt. Einzelmeinungen kompetenter und erfahrener Inspektoren, die z.B. auf internationalen Konferenzen als Redner auftreten, sind entweder privater Natur (und damit nicht offiziell referenzierbar) oder helfen in der täglichen Praxis nicht weiter, weil sie zu wenig praktische Hilfen zur Durchführung von Validierungsstudien anbieten.

An dieser Stelle sei der Vollständigkeit halber darauf hingewiesen, dass es neben den streckenweise unerklärten Validierungserwartungen der behördlichen Überwachung gleichermaßen noch weitere Anforderungen zur „Transportverifizierung“ aus dem EU GMP-Leitfaden Annex 15, Kapitel 6 zu beachten gilt. Die Ausführungen zu diesem eher weniger rühmlichen Kapitel bürokratischer Regelungs-Redundanz würden den Rahmen dieses Beitrags sprengen. Als im Jahr 2015 der Annex 15 des GMP-Leitfadens überarbeitet wurde, waren EU GDP-Leitlinien bereits über 2 Jahre in Kraft. Die Sicht vieler Akteure in der Arzneimitteldistribution auf das Kapitel 6 lässt den Schluss zu, dass die dortigen Regelungen im Vergleich zu Kapitel 9 „Transport“ der GDP-Leitlinien keine überraschenden, neuen Anforderungen darstellten.

• Leitlinien vom 5. November 2013 für die gute Vertriebspraxis von Humanarzneimitteln
  (2013/C 343/01)
• Leitlinien vom 19. März 2015 für die gute Vertriebspraxis von Wirkstoffen Humanarzneimitteln
  (2013/C 343/01)
• Durchführungsverordnung (EU) 2021/1248 der Kommission vom 29. Juli 2021 über Maßnahmen zur guten Vertriebspraxis für Tierarzneimittel gemäß der Verordnung (EU) 2019/6 des Europäischen Parlaments und des Rates
• Eudralex Vol. 4, Good Manufacturing Practice Medicinal Products for Human and Veterinary Use, Annex 15: Qualification and Validation, chapter 6

1. Validierungspflicht computergestützter Systeme in der Pharmalogistik

Die Validierung computergestützter Systeme ist für lizenzierte Großhändler, Arzneimittelhersteller mit Herstell- und Großhandelslizenz sowie für Importeure bzw. Exporteure zwingend erforderlich. Hier gelten direkt die GDP-Leitlinien ohne Abstriche.

Für Transporteure, Spediteure oder allgemein „Pharma-Logistiker“ sind diese Anforderungen rechtlich nicht bindend, da die EU GDP-Richtlinie für sie nicht gilt. Im Gegensatz zu Großhändlern, die Arzneimittel an- und verkaufen, sie länger lagern und transportieren oder bei Qualitätsmängeln vom Markt zurückrufen, werden Transport-Dienstleister lediglich für „Kurzzeit“-Transporte mit gelegentlicher Zwischenlagerung von bis 72 Stunden (z.B. übers Wochenende) verpackter Arzneimittel oder auch Wirkstoffe beauftragt.

„Kurzzeitig“ bedeutet hier die Zeitdauer üblicher Transportrouten. Landtransporte in Europa finden in der Regel nur über wenige Tage statt, wohingegen Seetransporte von 15 Tagen bis 6 Wochen andauern können – je nachdem, in welchen Seehäfen Fracht noch umgeladen wird. Die reine Flugzeit von Sendungen, die mit Lufttransport ihr Ziel erreichen, kann zwischen wenigen Stunden (regional) bis hin zu mehreren Tagen (interkontinental) mit Zwischenlandungen und ggf. erforderlicher Zwischenlagerung in Flughafen-Hubs betragen.

Flugfracht benötigt allerdings zusätzliche Transportkapazitäten & Zeiten auf dem Weg zum Flughafen, während der Bodenabfertigung („ground handling“) und über den Transport am Zielort hin zum Empfänger. Einschließlich zeitweise ungeplanten Zwischenstopps durch die Zollabfertigung können sich Transportzeiten in der Luftfracht schon einmal auf 10 Tage oder mehr Transportzeit ausdehnen.

Ein Übergang der Eigentumsrechte an den beförderten Arzneimitteln findet während der Transporte nicht statt. Da die Transport-Unternehmen für diese aus Herstellersicht „ausgelagerten“ Tätigkeiten keine besonderen gesetzlichen GxP-Regelungen einhalten müssen, war und ist eine spezielle Überwachung seitens der Aufsichtsbehörden nicht vorgesehen. Der Auftraggeber (also der Hersteller selbst) ist dafür verantwortlich, dass die Distribution unter kontrollierten und jederzeit nachvollziehbaren Bedingungen stattfindet. Gemäß EU GDP-Leitlinie soll die Eignung eines Auftragnehmers grundsätzlich vor der Auftragsvergabe hinsichtlich der Erfüllung der Grundsätze der guten Vertriebspraxis überprüft werden.

2. Validierung als Erfolgsfaktor im Lieferantenmanagement

In der Praxis werden Pharma-Logistiker gerne von Arzneimittel-Herstellern durch Selbstauskunft-Fragebogen qualifiziert und zunehmend häufiger auch durch GDP-Audits. Dabei wird über die Konformität wie auch über die operative Leistungsfähigkeit eines zukünftigen Auftragnehmers entschieden. Den Rahmen dafür bildet der im Qualitätsmanagement-System etablierte Lieferantenmanagement-Prozess.

Sehr oft finden sich auf Seiten der Transporteure nach ISO 9001:2015 zertifizierte Managementsysteme, die nicht automatisch auch GDP-Konformität herstellen. Es mangelt oft an den pharma-spezifischen Prozessen wie Qualitätsrisikomanagement und Änderungskontrolle. Die Validierung computergestützter Systeme gilt vielen Transport-Unternehmen als „rotes Tuch“: Dieser Ansatz wird manches Mal als überflüssig bewertet oder einfach nicht „GDP-gerecht“ verstanden.

Setzen die Pharma-Hersteller die Validierungspflicht im Innenverhältnis als neuen Maßstab für eine Qualifizierung als „freigegebener GDP-Dienstleister“, wird die für Großhändler und Hersteller auch für Transport-Dienstleister über Nacht zur bindenden Anforderung – und damit zur großen Herausforderung. Ein eher generisch aufgebautes Qualitätssicherungs-System nach ISO 9001:2015 erfüllt in diesen Fällen erfahrungsgemäß keine Validierungsanforderungen nach Pharma-Standards.

Erschwerend kommt dazukommt, dass die Umsetzung von CSV aus Herstellersicht eher in Richtung GAMP-Konformität tendiert. Großhändler tendieren eher dazu, weniger strenge Erwartungen an ihre Transport-Dienstleister zu formulieren und akzeptieren auch „dünnere“ Validierungskonzepte. Der Hintergrund ist einleuchtend: Wer lange Jahre mit GAMP-Standards seine IT-Landschaft validiert hat, wird hinsichtlich der umsetzten Validierungsstandards kaum Abstriche bei seinen Auftragnehmern tolerieren. Ein Großhändler, der GAMP nur vom Hörensagen kennt, tut sich anfangs sehr viel schwerer, die eigenen Validierungskonzepte so zu etablieren, dass auch GMP-Experten zufrieden wären. Vor diesem Hintergrund wird von den externen Transport-Dienstleistern kein höheres Validierungs-Niveau erwartet, als im eigenen Qualitätssystem geregelt ist.

Die Situation wird allerdings ungemütlich, wenn einzelne Anbieter im Logistikmarkt mit „GDP Exzellenz“ werben, aber intern im QMS im Grunde nichts anbieten können – schon gar nicht GAMP-Konformität. Ein knackiges „GDP Performance Audit“, das in der Regel weit über harmlose Compliance-Fragen aus standardisierten Checklisten hinausgeht, bringt hier Abhilfe: Anhand valider Kennzahlen kann über Branchenvergleichsdaten gezeigt werden, ob und wie das Transport-Unternehmen qualitativ und operativ in der „Champions League“ spielt – oder eben nicht.

Dabei spielt insbesondere die Validierungsstrategie eine herausragende Rolle: So sind es vor allem die IT-Systeme, von denen in der Pharma-Distribution so viel abhängt. Sichere Vertriebswege, jederzeit rückverfolgbare Informationen über Transport- und Umgebungsbedingungen sowie punktgenaue Lokalisierung sind heute nur noch automatisiert möglich. All diese „elektronischen Helferlein“ stellen den Verantwortlichen eine große Menge elektronischer Daten zur Verfügung. Ob diese Daten immer valide sind, ob die Übertragungswege und Speicherplätze sicher sind und wer auf diese Daten mit welchen Rechten zugreifen und ggf. ändern oder löschen kann, wird selten mit Tiefgang hinterfragt.

Angesichts immer häufigerer Cyber-Attacken auf Unternehmen jeder Branche ist niemand mehr auf Dauer sicher. Das Thema „IT-Sicherheit“ geht einher mit „Datensicherheit“ und kann bei nicht ausreichenden Schutzmaßnahmen geschäftsgefährdend sein. Daher ist es nicht verwunderlich, dass sich die Kosten von Cyber-Versicherungen direkt an der Wirksamkeit technischer und operativer Schutzmaßnahmen orientieren. Das Niveau der Datensicherheit lässt sich mit Hilfe cleverer Fragebögen inzwischen auch in GDP-Audits von weniger IT-affinen Auditoren aussagekräftig überprüfen.

Die Gefahr falscher Entscheidung mit gravierenden Folgen für Patienten ist real: Datenverluste, zeitweise blockierte Prozesse oder invalide (=falsche) Daten könnten z.B. bei Abweichungen von den Vorgaben dazu führen, dass eine Wiederfreigabe der betroffenen Arzneimittel in den verkaufsfähigen Bestand auf falscher Grundlage getroffen würde. Die Folgen für Patienten durch qualitätsgeminderte Arzneimittel können gravierend sein. Die Validierung der Systeme führt bei systematischer Umsetzung gleichzeitig zu einem besseren Verständnis und einer proaktiven Sichtweise, auch auf die Sicherheit der installierten Systeme und Netzwerke. Klar ist: Ohne verlässliche elektronische Daten und Systeme ist eine sichere Arzneimittel-Distribution undenkbar.

3. Das große Missverständnis: Validierung „nice to have“

Basis jeder Entscheidung ist im regulierten Umfeld eine risikobasierte Faktenlage. Risikoanalysen sind allgegenwärtig und gehören auch in GDP-regulierten Qualitätsmanagement-Systemen heute zum guten Ton (und werden natürlich von Inspektoren & Auditoren entsprechend erwartet). Nach über 10 Jahren eifrigen Lernens haben viele Unternehmer unter den GDP-Akteuren von der großen GMP-Welt ihre Lektion gelernt: Inzwischen liegen Risikobewertungen auf einem deutlich höheren Niveau, als noch in den Anfangsjahren der Leitlinien zwischen 2013 und 2018.

Als Lead-Auditor komme ich jedes Jahr zu vielen bekannten und unbekannten Großhändlern (weltweit) und auditiere neben GMP-Lieferanten und Lohnherstellern auch Lageranbieter, klassische „Pre-Wholesaler“ und Transport-Dienstleister für Land-, Luft- und Seefracht. Die Unterschiede in den überwiegend ISO 9001:2015 zertifizierten Managementsystemen sind teilweise erstaunlich. Noch heute lassen sich selbst bei langjährig im Markt agierenden Großhändlern Lücken bei der Umsetzung von klassischen GDP-Anforderungen beobachten. Gab es in den Anfangsjahren der GDP-Leitlinien großen Nachholbedarf vor allem im Qualitäts-Risikomanagement (QRM), wurden die „GAPs“ bei der Implementierung von QRM sichtbar kleiner.

Nur in der Validierung der IT-Systeme gab und gibt es immer noch erhebliche Optimierungspotentiale. Offenbar scheint es große Anstrengungen zu machen, risikobasiert und mit Blick auf die Produktqualität die Kritikalität der eigenen Prozesse und Systeme systematisch zu bewerten. Regelmäßig bemängele ich den in Risikoanalysen fehlenden Blick auf die Produktqualität. Noch viel zu oft steht in der Pharma-Logistik der Transportprozess im Mittelpunkt und die Auswirkungen von Abweichungen können oder werden nicht systematisch identifiziert. Sollen computergestützte Systeme hinsichtlich ihrer Kritikalität auf Produkt-Qualität bewertet und überprüft werden, kommen viele Verantwortliche schnell an ihre (Verständnis) Grenzen.

Als Auditor staunen Sie nicht schlecht, wenn ein Validierungskonzept gar nicht erst schriftlich geregelt ist. Auf Nachfrage wird dann regelmäßig und unisono erklärt, dass die eigenen Systeme „stabil und ohne Ausfälle“ arbeiten – und das über Jahre. Man verlasse sich gerne auf die großartigen Leistungen der internen IT-Abteilungen. Leider bekommt man als Auditor selten interne IT-Anweisungen zu Gesicht, da diese gerne außerhalb des QM-Systems gelenkt werden.

Hat man Glück, wird ein schriftlich formuliertes und vom Geschäftsführer unterzeichnetes „Validierungs-Statement“ überreicht, das auf einer Seite knapp erklärt, dass eine Validierung des seit 15 Jahren eingesetzten, selbst entwickelten ERP-Systems nicht erforderlich sei. Sie werden verstehen, dass derartige Ansätze nicht nur eine Non-Konformität im Auditbericht nach sich ziehen, sondern auch blindes Vertrauen in die Vergangenheit zeigen.

Selbst Zertifikate nach ISO 27.000 (Informations-Sicherheits-Management) schützen vor Angriffen nicht: So wurde vor einigen Jahren ein sehr großer, weltweit operierender Paketdienst Opfer von Hackern. Die Systeme funktionierten über mehr als 2 Monate nicht. Stellen Sie sich vor, dass hoch-automatisierte Prozesse – wie die Sendungsverfolgung – plötzlich ohne den Einsatz von Scannern per Hand durchgeführt werden mussten. Auch Datenbanken und Mailsysteme waren für Monate lahmgelegt. Eine systematische Validierung hätte die Schwächen bei der „Disaster Recovery“ deutlich gemacht und das Unternehmen wäre sicher besser in der Lage gewesen, die kritischen System schnell neu aufzusetzen.

Wer sich dennoch bemüht, das Wagnis „Computersystem-Validierung“ anzugehen, scheitert manches Mal schon bei den schriftlichen Vorgaben: Die mühsam in langen Arbeitsanweisungen implementierten Validierungsansätze überfordern das Validierungsteam in der Praxis durch eine bürokratische Papierflut oder formale Überlastung. Eine beeindruckend große Zahl an ausgedruckten Test-Dokumenten führt bei mir heute in Audits eher zu Stirnrunzeln über die Sinnhaftigkeit derartiger „Test-Wut“.

Oder die Regeln verfehlen das eigentliche Ziel einer Validierung: Die risikobasierte Prüfung des Systems auf „Herz und Nieren“ – funktional und technisch sowie einschließlich IT-Sicherheit mit angemessenem Aufwand. Der Kern jeder guten Validierung ist und bleibt die Risikoanalyse, die vor allem einen Zweck verfolgt: Sie lenkt den Fokus auf die kritischen Schritte, die wirklich kritischen Daten und vermeidet redundante oder überflüssige Systemtests. Wer zu wenig Prozesswissen einbringt, validiert manchmal am Ziel vorbei. Risiken werden nicht erkannt und das System erzeugt trotz Validierung Fehler, die man im Testumfang einfach nicht berücksichtigt hatte.

Fazit: Erfolgreiche Validierung führt nicht automatisch zu 100% funktionierenden Systemen.

4. Welche IT-Systeme sind validierungspflichtig?

Computersystem-Validierung lässt sich grundsätzlich auf 4 System-Ebenen durchführen. Dabei werden der Ebene 1 alle Betriebs-Management-Systeme zugeordnet, wie z.B. kaufmännische Abläufe oder die Koordination von Auftrags- und Ressourcenplanung. Neben diesen „Enterprise Ressource Planning”-Systemen (ERP) werden noch Systeme zur Dokumentenlenkung eingesetzt (Document Management Systems, DMS). ERP- und DMS-Systeme enthalten regelmäßig kritische GMP- und GDP-Daten und sind daher grundsätzlich validierungspflichtig.

Auf der Ebene 2 finden sich Produktions-Managementsysteme, die zur Kontrolle eines Herstellungsbetriebs (MES, eBRS) oder im Qualitätskontroll-Labor (LIMS) Verwendung finden. Transport-Logistiker unterhalten keine Produktionsstandorte, sondern setzen eher Monitoringsysteme zur Überwachung von Lagerbedingungen ein. Solche „Building Management Systeme” (BMS), die zur Regelung von Temperaturen und ggf. auch Feuchte im Einsatz sind, wären aufgrund der Kritikalität der aufgezeichneten Daten gleichfalls validierungspflichtig.

Die Prozess-Managementsysteme der Ebene 3 umfassen eine Vielzahl von Steuerungen und Regeleinrichtungen, die mit der Feld-Management-Ebene verknüpft sind. Sie kommen als Kontroll-Systeme bei der Herstellung von Arzneimittel-Chargen vor und spielen für die Pharma-Logistik keine Rolle. Darunter fallen SPS (Speicher-Programmierbare Steuerungen), SCADA (Supervisory Control And Data Acquisition), DCS ( Distributed Control System) und PLS (Prozessleitsysteme).

Auf Ebene 4 im Feld-Management kommen meist konfigurierbare Sensoren und Aktoren, wie z.B. Messfühler, Barcode-Leser und analytische Messgeräte, zum Einsatz, die durch die Prozess-Management-Ebene koordiniert werden. In der Praxis werden Datenlogger, IR-Thermometer, Waagen oder Kameras auch ohne Einbindung in IT-Architekturen eingesetzt. Die Speicherung der Daten erfolgt dann nach lokaler Speicherung über manuelles Auslesen mit Hilfe von Software. Üblicherweise werden die Daten ausgewertet und in Form von PDF-Berichten dokumentiert, die formal die Datenintegrität erfüllen.

Die Validierung von „Stand-alone“ Software kann aufgrund manch „dünner“ Systembeschreibung herausfordernd sein. Werden zur Übertragung von z.B. im Trailer aufgezeichneten Temperaturdaten sogenannte „Telematik“-Systeme eingesetzt, die Daten in Echtzeit über ein Portal dem Auftraggeber zur Verfügung stellen, besteht in jedem Fall Validierungspflicht. Leider hat sich gezeigt, dass die Anbieter derartiger Telematik-Lösungen einer Validierung gegenüber verschlossen sind. Die Vermutung liegt nahe, dass zusätzlicher Aufwand & Kosten vermieden werden sollen. Es bleibt zu hoffen, dass stärkere Nachfrage nach validierten Systemen den Druck auf die Anbieter in Zukunft verstärkt, damit diese kritische Validierungslücke geschlossen wird.

5. Was ist kritisch in der Pharma-Logistik?

Gesetze, interne Qualitätsstandards von Auftraggebern oder Aufsichtsbehörden verlangen, dass Software, die zur Auswertung kritischer Daten verwendet wird, ordnungsgemäß validiert wird. Mit Hilfe von Verfahrensanweisungen oder SOPs soll schon in der Entwicklungsphase durch den Anbieter sichergestellt werden, dass die Anwendungssoftware validiert (oder zumindest validierungsfähig) ist und bei Implementierung in die IT-Architektur sowie während ihres Betriebs regelmäßig neu evaluiert wird. Hier stellt sich sofort die Frage: Was genau sind kritische Daten in der Pharma-Logistik und wie kann ich diese bestimmen?

Die Validierung computergestützter Systeme startet immer mit einer guten Beschreibung des Systems in Form von URS (Kundenanforderungen, User Requirement Specification), funktionaler und technischer Spezifikation oder auch durch Hardware und Software Design Spezifikationen, deren Lesbarkeit sich eher dem Experten erschließt.

Das Herzstück aber ist das Wissen über die „Kritikalität“ in Prozessen, Abläufen und Systemen. Ohne ein klares Verständnis „kritischen Daten“, die direkt Einfluss auf die Qualität der transportierten oder gelagerten Arzneimittel haben, lässt weder eine Risikoanalyse ernsthaft dokumentieren, noch eine Validierung sinnvoll durchführen. Man könnte es auch so ausdrücken: Die Daten spiegeln die Realität und nicht alles, was potentielles Risiko für Produkte darstellt, sind kritische Daten.

So können Defizite in der Schulung von Lagermitarbeiter, Unachtsamkeit im Umgang mit temperatursensitiven Arzneimitteln oder auch Nachlässigkeit in der Dokumentation – alles verursacht durch den wichtigen Faktor „Mensch“ – zur Qualitätsminderung von Arzneimitteln führen. Menschliches Versagen spiegelt sich selten direkt in Daten: Allerdings lassen z.B. Temperaturaufzeichnungen Rückschlüsse auf Fehler im Handling zu, wenn z.B. eine Palette mit kühlpflichtigen Produkten vor dem Lagertor vergessen wird. Solche Vorkommnisse sind nicht selten. Erfahrungswerte zeigen, dass über 60% der Temperaturabweichungen am Boden auftreten – nicht im LKW, nicht im Flugzeug und auch nicht im See-Container.

Beispiele für kritische Daten sind:

• Temperatur
• Feuchte
• Luftdruck
• Schock (kurzzeitig starke Beschleunigung mit abruptem Stillstand)
• Position & Geo-Daten
• Status (freigegeben, gesperrt)
• Transportsicherheit (verplombter Trailer, Türalarm)
• Zeit- und Datumstempel
• Sendungsverfolgung

Die Kritikalität von physikalischen Parametern wird oftmals als einziges Risiko für Arzneimitteltransporte gesehen. Dabei spielen für die Integrität einer Sendung und letztlich des transportierten Produkts noch weitere Parameter eine Rolle. Die folgenden Fallbeispiele stammen aus der Praxis und sind – zugegebenermaßen – sehr selten. Sie sollen aber verdeutlichen, dass Risikoanalysen mit „Tiefgang“ ein systematisches Herangehen an potentielle Gefährungssituationen durch präventives Handeln effektiv entschärfen können.

Fallstudie 1: Wer ahnt schon, ob das ausgetretene Lösungsmittel (aus einem beschädigten Fass) im Seefracht-Container nicht durch die Verpackung und den Blister bis in die Tablette migriert ist? Nach 30 Tagen Transportzeit wird diese „unsichtbare“ Abweichung vermutlich selbst beim Öffnen der Tür schwer erkennbar sein. Bis dahin hat sich die chemische Kontamination vermutlich von allein verflüchtigt.

Validierungs-Herausforderung: Werden Logger eingesetzt, die während des Transports Temperatur- und Feuchtedaten speichern, müssen die Auswertesysteme validiert werden. Noch kritischer sind Systeme, die ihre Daten über Mobilfunknetze senden. Hier ist die Qualität der übertragenen Daten besonders zu beachten.

Fallstudie 2: Wer weiß mit Sicherheit, mit welcher Strahlungsstärke die Röntgen-Geräte an US-Flughäfen arbeiten? Röntgenstrahlung ist in der Lage, einzelne Moleküle zu spalten. Müssen jetzt wissenschaftliche Abschätzungen stattfinden, die eine Aussage zulassen, ob sich ein Wirkstoff nach Röntgenbestrahlung nachteilig verändert hat, wenn die Sendung durch einen Röntgen-Scanner bewegt wurde? Der Zoll und die Flugfracht-Sicherheitsverantwortlichen lassen sich von GDP-Bedenkenträgern nicht gerne reinreden.

Validierungs-Herausforderung: Die Eignung eines Röntgen-Gerätes zum Scannen von Arzneimitteln mit empfindlichen Molekülen im Rahmen einer Qualifizierung nachgewiesen werden. Die Validierung der Steuerungs-Software wäre Teil der Qualifizierung. Erfahrungsgemäß werden die Geräte nicht unter GMP oder GDP-Regularien betrieben und Nachfragen diesbezüglich werden meist abschlägig beschieden.

Fallstudie 3: Wer tippt auf einen Transportschaden durch Unterdruck, wenn die Blister als undicht reklamiert werden und die Versiegelung unsachgemäß ist? Wie wir alle wissen, werden Passagier-Kabinen während des Flugs mit Normaldruck beaufschlagt. Mitfliegende Fracht in den Bodenabteilen der Flugzeuge wird manchmal ordentlichem Unterdruck und schwankenden Temperaturen ausgesetzt. Und wer weiß, dass die Kühlkapazität vieler Flugzeuge gar nicht ausreicht, um Sendungen wieder auf den erforderlichen Temperaturbereich herunterzukühlen auf z.B. +2°C bis +8° bei Kühlwaren?

Validierungs-Herausforderung: Flugzeuge als Transportmittel müssten unter GDP formal qualifiziert werden. Die Steuerung und Überwachung der Umgebungsbedingungen, z.B. der Lufttemperatur im Frachtraum, müsste validiert werden. Gleiches gilt für Monitoringsysteme und Logger zur Aufzeichnung Daten während des Flugs. Der Autor vermutet, dass Flugzeuge als „fliegende Lager“ in der Qualifizierung durchfallen würden, weil allein schon die räumliche Trennung verschiedener Temperaturzonen im Flugzeug bauartbedingt nicht durch feste Trennwände realisierbar ist.

Fazit: Prozesse an Flughäfen und Seehäfen, der Transport in Containern und das „Ground Handling“ in Zwischenlagern bergen Risiken, die erfahrene Logistiker und felderprobte Qualitäts-Experten kennen und sehen. Für die Verantwortliche Person oder den Qualitätsmanagement-Beauftragten, der öfter am Schreibtisch sitzt als ihm lieb ist, sind solche Szenarien oftmals außerhalb ihrer Erfahrungswelt. Nur durch gemeinsames Lernen und eine gute Kommunikation zwischen den Akteuren können Risiken in der Lieferkette proaktiv minimiert werden.

Dabei kommt den Speditionen, die Pharma-Fracht weltweit transportieren, eine wichtige Rolle als „Informations-Broker“ zu: Nur sie wissen, mit welchen Luftfahrtgesellschaften geflogen wird, welche Route auf dem Air Waybill (AWB, Luftfrachtbrief) geplant war und wer an welchem Ort eine Flugfrachtpalette (ULD) neu gepackt hat. GDP-Konformität in den Qualitätssystemen lässt sich einfach beschreiben – die Prozesse in der Praxis sind viel schwerer zu kontrollieren.

Letztlich fällt und steht der Erfolg eines gelungenen (und sicheren) Arzneimittel-Transports vor allem mit mehr oder minder zuverlässigen IT-Systemen. GDP-konforme Validierung kann dazu beitragen, die Systemverfügbarkeit dauerhaft zu erhöhen, Risiken zu entschärfen und die Wahrscheinlichkeit eines Cyber-Angriffs zu minimieren. Nicht vergessen sollte man, dass alle Beteiligten einer Validierungsstudie ihre Systeme weitaus besser verstehen und bedienen können, als vorher. Validierung leistet so dem gewünschten Schulungsniveau Vorschub und lässt vor allem die Implementierung neuer Systeme oftmals reibungsloser ablaufen.

8. CSV in der Praxis

Wer nun eine Validierung seiner Systeme beginnen will, steht vor der Herausforderung, einerseits Abläufe zu standardisieren, ohne dass man im Vorhinein weiß, ob das Konzept seinen Inspektor oder seine Kunden überzeugt. Als Pharma-Logistiker ist die Aufgabe um Einiges anspruchsvoller, da man als Unternehmen nie einen GDP-Inspektor im Hause sehen wird: Die Überwachungsbehörden haben kein Mandat (und damit auch keine Möglichkeit), Transporteure zu inspizieren – selbst auf freiwilliger Basis nicht oder mit dem Angebot der Kostenübernahme für die Aufwendungen. Da muss man schon trickreich auf die Idee kommen und ein Großhandels-Zertifikat beantragen, um in den Genuss einer offiziellen GDP-Inspektion zu kommen. Dies bedingt aber, dass das Unternehmen ernsthaft Handel mit Arzneimitteln anstrebt und nicht nur den Inspektor zur Begutachtung des GDP-Niveaus sehen will.

Wie sieht eine pragmatische und systematische Validierung unter GDP aus? Eine Computervalidierung könnte wie folgt strukturiert werden:

• Planung mittels systemspezifischem Validierungsplan
• Identifizierung der GDP-kritischen Computersysteme
• Feststellen der Validierungspflicht
• Erstellen der Spezifikationen (mindestens URS & FS)
• Einstufung der Software und der Hardware in Kategorien (in Anlehnung an GAMP)
• Durchführung der Risikoanalyse
• Planung und Durchführung der Tests
• Abschluss der Validierung durch Bericht

Je spezifischer die Software an die Anforderungen angepasst ist, d.h. je weniger standardisiert und frei administrierbar sie ist, desto kritischer ist die Software zu bewerten. Grundsätzlich gilt, dass höhere Risikoklassen auch einen höheren Aufwand bei der Systemprüfung nach sich ziehen. Frei bzw. selbst entwickelte Software wird der höchsten Risikoklasse zugeordnet.

Neben den zentralen, funktionalen Prüfungen sind zusätzliche noch folgende Schwerpunkte zu testen:

• Überprüfung der Hardware und Softwareinstallation
• Zugriffsschutz
• Benutzermanagement
• Plausibilitätsprüfungen bei Dateneingaben
• Wiederanlaufprozedur (Disaster Rercovery)
• Datensicherheitskonzept
• Audit Trail mit Review
• Back-Up / Restore
• Archivierung elektronischer Aufzeichnungen

Dabei wird empfohlen, vorab den Begriff der „GDP- kritischen Daten“ in den eigenen Arbeitsanweisungen (oder im Validierungs-Masterplan) klar zu definieren. Die nötigen Ressourcen zur Durchführung sowie ein ausreichend geschultes Validierungsteam sind die Voraussetzung für einen guten Abschluss der Validierung.

Erfolgreich validierte Systeme unterliegen von diesem Zeitpunkt an dem Änderungskontroll-Prozess: Alle Ergänzungen, Erweiterungen oder Weiterentwicklungen des Systems müssen vorab schriftlich genehmigt werden. U.U. werden neue Prüfungen erforderlich, wenn sich die Funktionalität des Systems erweitert. Auch Wiederholungen einzelner Tests können angeordnet werden, sofern das Change-Control Gremium Risiken durch eine neue Version minimieren möchte.

Solange das computergestützte System im Einsatz ist, muss der validierte Zustand erhalten werden: Dieses Lebenszyklus-Modell („life cycle approach“) hat sich unter GAMP in der Praxis über die letzten Jahrzehnte bewährt. Es wird von Inspektoren wie auch von Herstellern gleichermaßen geschätzt als wertvolles Instrument zur Kontrolle immer komplexer werdender Anwendungen. Der Einsatz künstlicher Intelligenz macht dabei auch vor der Pharma-Industrie keinen Halt. Die ersten KI-gestützten Anwendungen werden in den Forschungslaboren der Arzneimittel-Hersteller bereits eingesetzt. Die Anforderungen für Inspektoren wachsen damit im gleichen Maße, wie die Herausforderungen für die Anwender, solche Systeme zu validieren.

Das Lebenszyklusmodell lässt sich mit nur wenigen Anpassungen elegant in die GDP-Welt übertragen. Dabei kann zur Validierung durchaus ein schlanker Ansatz („lean validation“) gewählt werden, ohne dass die Struktur und methodische Sicherheit des GAMP-Prinzips verloren geht. Um Missverständnisse im Vorfeld aus dem Weg zu räumen, sollten derartige Konzepte unter GDP „in Anlehnung an GAMP Standards“ dokumentiert werden.

9. Zusammenfassung

Die Rolle standardisierter Abläufe ist insbesondere für die zeitkritischen Prozesse der Pharma-Logistik von großer Bedeutung. Reibungslose, weltweite Lieferketten hängen auf Gedeih und Verderb an der Verfügbarkeit und Funktionalität von zentralen IT-Systemen und Netzwerken. Die Validierung computergestützter Systeme wird bis heute im GDP-regulierten Umfeld seitens Aufsichtsbehörden, Auftraggebern und Pharma-Logistiker mit unterschiedlicher Motivation vorangetrieben.

Während einige Akteure lieber Kosten sparen und auf vermeintlich teure Validierungsstudien verzichten, schöpfen andere das volle Potential einer vollumfänglichen Validierung aus mit dem Ziel, jederzeit einen störungsfreien Betrieb ihrer Systeme zu gewährleisten. Angesichts zunehmender Gefahren durch Cyber-Angriffe hat die IT-Sicherheit an Bedeutung gewonnen: Eingespielte und regelmäßig überprüfte Wiederherstellungs-Routinen nach dem Abschalten von Servern & Datenbanken, Wiedereinspielen historischer Daten und eine funktional zügig wiederbelebte Software-Landschaft ist für viele Unternehmen inzwischen zum Schlüsselfaktor geworden. Neben einem Rollen- und Rechtekonzept, der funktionalen Prüfung von Applikationen bis hin zum Audit Trail bieten moderne Validierungskonzepte in Anlehnung an die Prinzipien von GAMP 5 gerade der Pharma-Logistik Vorteile im harten Wettbewerb.

Wer will sich schon als Logistiker eingestehen, nach einem Hacker-Angriff wochenlang nicht auf Mails und Order-System zugreifen zu können? Ein auf Leistungsparameter fokussiertes „GDP Performance Audit“ zeigt operative Schwächen auf und geht über die einfache Feststellung der Konformität gegenüber den gesetzlichen Vorgaben hinaus. Besteht in diesen Audits das Validierungskonzept mit Bravour, kann auf ein hohes Maß an operative Zuverlässigkeit auch in Krisensituationen rückgeschlossen. Der Erkenntnisgewinn über die „wahre“ Eignung von Dienstleistern begründet den in der Praxis höheren Aufwand.

Zentrale Kernprozesse entscheiden in Zukunft

Die zentralen Kernprozesse „Qualitätsrisikomanagement“ und „Validierung“ entscheiden in Zukunft darüber, wer als Dienstleister seine Mitbewerber „outperformt“: Wer 24/7 zuverlässig GDP-Compliance & Performance abliefert, spielt als Pharma-Logistiker in der höchsten Liga. Für manche Marktteilnehmer ist dieser Weg noch weit – aber nicht unerreichbar.

Fotos: © Loginfo24