Drei grundlegende Elemente: Kontrollen, Validierung und Archivierung

Neben der Bereitstellung von Überwachungs- und Validierungssystemen beschäftigen wir uns häufig mit Problemen, die sich für unsere Kunden bei der Auslegung von Vorschriften und Richtlinien ergeben. Uns erreichen viele Fragen über 21 CFR Teil 11 und Anhang 11. In diesem Artikel bieten wir Ihnen einen Überblick über drei grundlegende Punkte der beiden „11er“ einschließlich: Systemkontrollen, Validierung und Archivierung.

Es ist wichtig, darauf hinzuweisen, dass Part 11 eine Anforderung in den USA ist, während Annex 11 ein Richtliniendokument für die EU ist.

Sowohl Part 11 als auch Annex 11 enthalten die folgenden Elemente:

• Validierung
• In menschlich lesbarer Form
• Schutz und Aufbewahrung von Aufzeichnungen
• Audit Trails
• Eingeschränkter Zugriff nur für autorisierte Benutzer
• Behördenkontrollen
• Gerätekontrollen
• Schulung
• Schriftliche Verfahren
• Systemdokumentation

Ein Blick auf die Liste zeigt, dass jeder Teil eine Methode zur Funktions- und Ausgangskontrolle eines Systems ist.

Unter 21 CFR Teil 11 „Kontrollen für geschlossene Systeme“ heißt es:
(b) „Die Fähigkeit, richtige und vollständige Kopien von Aufzeichnungen in menschlich lesbarer und elektronischer Form zu erzeugen, die für die Inspektion, Nachprüfung und Kopie durch die Behörde geeignet sind.“

Die Tatsache, dass es eine spezielle Regelung für menschlich lesbare Kopien gibt, zeigt, wie weit die Technologie fortgeschritten ist. Ein benutzerfreundliches System, das den Druck von Dokumenten und Daten nicht zulässt, ist heute kaum noch vorstellbar.

Für die meisten Überwachungssysteme sind die interessanten Aufzeichnungen die tatsächlichen historischen Überwachungswerte. Und die Erstellung eines Dokuments in menschlich lesbarer Form bedeutet, dass historische Daten und Ereignisprotokolle in einem sicheren Format ausgedruckt werden können.

In 21 CFR Teil 11 (e), „Abschnitt 11.10 − Kontrollen für geschlossene Systeme“, lesen wir:

„Benutzung von sicheren computererzeugten, zeitgestempelten Audit Trails, um unabhängig das Datum und die Zeit von Bedienereingaben und von Aktionen aufzuzeichnen, die elektronische Aufzeichnungen erzeugen, verändern oder löschen. Änderungen von Aufzeichnungen sollten nicht die Ergebnisse vorheriger ausgezeichneter Informationen verdecken. Eine Audit Trail-Dokumentation soll wenigstens so lange aufbewahrt werden wie die entsprechende elektronische Aufzeichnung und soll der Behörde für die Nachprüfung und das Kopieren zur Verfügung stehen.“

Für Anwendungen im Bereich Umweltüberwachung bedeutet dies lediglich, dass die elektronischen Aufzeichnungen (Daten und Ereignisse) nicht manuell änderbar oder löschbar sein dürfen, damit Ihre Aufzeichnungen den Anforderungen entsprechen.

Darüber hinaus muss der Audit Trail Ihres Systems alle Änderungen an Metadaten (Zeitpläne und Berichtsvorlagen) und Konfigurationsdaten erfassen, ohne frühere Einträge zu verdecken. Wenn Ihr System keine Änderungen der einmal aufgezeichneten Werte zulässt, entspricht es den Abschnitten von Part 11 und Annex 11.

Als geschlossenes System muss Ihr Überwachungssystem den Zugang auf „befugte Personen“ beschränken. Das steht unter Punkt (d) in Abschnitt 11.10 von Part 11. Typischerweise bedeutet dies, dass alle, die Zugang zum System haben, einen eindeutigen Benutzernamen und ein sicheres Passwort haben. Häufig integriert sich ein System in Ihre Betriebssystem-Authentifizierung, um häufig verwendete, bereits vorhandene Passwort-Management-Tools zu nutzen

Im Hinblick auf die Validierung wird in Part 11 die Notwendigkeit der Validierung im ersten Punkt von Abschnitt 11.10 dargelegt: „Kontrollen für geschlossene Systeme“:

(a) „Validierung von Systemen zur Sicherstellung der Richtigkeit, Zuverlässigkeit, der konsistenten beabsichtigten Leistung sowie die Fähigkeit ungültige oder veränderte Aufzeichnungen zu erkennen.“

Der Abschnitt „Projektphase“ in Annex 11 behandelt die Validierung in acht kurzen, einfachen Punkten:

• Risikoanalyse zur Begründung von Standards, Protokollen, Abnahmekriterien, Verfahren und Aufzeichnungen nutzen
• Korrekte Dokumentationspraxis der Änderungskontrolle verwenden, um Abweichungen zu melden
• Inventar der EDV-Systeme mit Beschreibungen, Schnittstellen, Prozessen, Software und Hardware führen
• Mithilfe einer Risikobewertung die GMP-Auswirkungen von Benutzerbedarfsspezifikationen bewerten
• Qualitätsmanagementsysteme der Lieferanten auditieren
• Die Validierung computergestützter Systeme deckt den gesamten Lebenszyklus des Systems ab
• Dokumentenprüfung
• Datentransfers validieren

Wir stellen fest, dass Annex 11 in den Empfehlungen für die Validierung expliziter ist.

Für die Systeme von Vaisala stellen wir eine Reihe von IQOQ-Protokollen zur Verfügung, und wenn der Kunde es wünscht, führen wir diese auch aus.

Der Schutz und die Aufbewahrung von Aufzeichnungen, wie in Abschnitt 11.10 (c) von Part 11 beschrieben, bedeutet, dass alle Daten, die Ihr System erzeugt, nicht verändert werden dürfen. Darüber hinaus müssen Ihre Daten so archiviert werden, dass sie bequem abgerufen werden können − ohne dass ein Auditor warten muss − um die Anforderung, dass die Daten während der Aufbewahrungsfrist jederzeit abrufbar sind, zu erfüllen

Wenn Sie die Daten dauerhaft in Ihrer Datenbank speichern, sollte die Datenbank so konzipiert sein, dass die Systemleistung nicht beeinträchtigt wird, wenn die Datenbank mit der Zeit wächst. Wie Sie diese Anforderung von 21 CFR Teil 11 erfüllen, kann ebenso viel mit dem Aufbau Ihres Systems zu tun haben wie mit den Richtlinien zur Systemadministration rund um die Archivierung.

In Annex 11 unter „Datenspeicherung"“ wird empfohlen, die Daten sicher zu speichern, physisch und elektronisch zu sichern und regelmäßig auf Zugänglichkeit, Lesbarkeit und Genauigkeit zu überprüfen. Annex 11 erwähnt auch die Notwendigkeit der Validierung der Datenwiederherstellungsfähigkeit des Systems.

Part 11 und Annex 11 wurden eingeführt, um die Hauptunterschiede zwischen computergestützten und manuellen Systemen zu beseitigen und elektronische Aufzeichnungen als Beweis für die Qualität der Prozessausführung mit Papierdokumenten gleichzusetzen. Heute sind die meisten Umweltüberwachungssysteme, die in GxP-konformen Betrieben eingesetzt werden, von Natur aus auf die Anforderungen der beiden „11er“ ausgerichtet. Das Risiko liegt jedoch nicht in den Systemen selbst, sondern in der Art und Weise, wie sie implementiert und gewartet werden.

Obwohl Ihr Überwachungssystem wahrscheinlich Benutzer- und Administratorhandbücher und CDs enthalten hat, die relativ einfach in Ihr Dokumentenverwaltungssystem zu integrieren sind, liegt die Verantwortung für die Verfahren zur Kontrolle der Dokumentation weiterhin bei Ihnen. So gut Ihr Überwachungssystem auch sein mag (und wenn Sie ein Vaisala-System haben, ist es sowieso super!), nur die Verfahren Ihres Qualitätssystems lassen Sie konform mit Part 11/Annex 11 sein.

Elektronische Signaturen haben wir nicht behandelt, da es sich um eine spezielle Softwarefunktion handelt. Spezielle Unternehmenssoftware gibt es für die Implementierung von elektronischen Signaturen in einem elektronischen Dokumenten-Management-System (EDMS). Für die Überwachungslösung von Vaisala verwenden wir ein „hybrides“ System, d. h. elektronische Aufzeichnungen kombiniert mit handschriftlichen Unterschriften, wobei die PDF-Ausgaben in EDMS importiert werden können.

Dazu ein White Paper: „Das kontinuierliche Überwachungssystem von Vaisala erfüllt die Anforderungen von 21 CFR Teil 11 und Anhang 11“ und weitere regulatorische Dokumente und Anwendungshinweise finden Sie in unserer Wissensdatenbank.