Change Control bei computergestützten Systemen

Change Control bei computergestützten Systemen ist kein triviales Thema. Zwar sind die betrieblichen internen Vorgaben zum Change Control meist vorhanden, doch der Teufel steckt hier häufig im Detail.

Regulatorische Vorgaben

Die regulatorischen Vorgaben sind spärlich und insbesondere EU-GMP Annex 11 "Computerised Systems" ist bezüglich der Anforderungen eher bescheiden. Hier findet man lediglich folgende Forderung:

Annex 11 - 10. Änderungs- und Konfigurationsmanagement: Jede Änderung an einem computergestützten System einschließlich der System-konfigurationen sollte kontrolliert und nach einem festgelegten Verfahren erfolgen.

Zusätzlich muss man aber auch noch die im EU-GMP Anhang 15 "Qualification and validation" genannten Vorgaben berücksichtigen. Ein erster wesentlicher Hinweis findet sich unter dem Abschnitt "Grundsätze": Alle geplanten Änderungen an Einrichtungen, Ausrüstung, Betriebsmitteln und Prozessen, die die Produktqualität beeinflussen können, sollten formell dokumentiert und die Auswirkungen auf den Validierungsstatus oder die Kontrollstrategie untersucht werden.

Des Weiteren werden im Annex 15 unter anderem noch folgende Punkte angesprochen:

• Das Qualitätsrisikomanagement sollte im Zusammenhang mit Change Control genutzt werden.
• Änderungen sollten von verantwortlichen Personen genehmigt werden.
• Die Bewertung der Auswirkungen der Änderung vor der abschließenden Genehmigung. 
• Nach Durchführung der Änderung sollte bewertet werden, ob die Änderung erfolgreich war.

Der PIC/S Guidance PI 011 befasst sich im Kapitel 18 ausführlich mit dem Change Control. Zunächst werden grundlegende Forderungen an die Dokumentation gestellt. Was soll dokumentiert werden?

• Es soll ein Verfahren zur Prüfung und Freigabe von Änderungen (SOP) geben.
• Ausführliche Aufzeichnungen über vorgeschlagene Änderungen mit Begründung. 
• Ermittlung der Auswirkungen vor Implementierung der Änderungen. 
• Aufzeichnungen über Überprüfung und Urteil zum Change (Freigabe oder Ablehnung). 
• Einführung einer Methode zur Anzeige des Änderungsstatus. 
• Methode zur Beurteilung der Gesamtauswirkung der Änderung, einschl. Tests. 
• Schnittstelle zwischen Änderungskontrollverfahren und Konfigurationsmanagementsystem.

Inspektionspraxis

Was wurde im Rahmen von GMP-Inspektionen als an Inspektionsmängeln gefunden? Folgend einige Beispiele, die häufiger zu finden waren:

Beispiel 1
Eine Bewertung hinsichtlich der Kritikalität des Changes konnte nicht vorgelegt werden.

Es macht Sinn, Änderungen in unterschiedliche Klassen einzuteilen. Auch das AiM 07121202 (Aide mémoire - Katalog von Vorgaben, Fragen und Empfehlungen; dient der Harmonisierung bei der Vorbereitung, Durchführung und Nachbereitung einer Inspektion) der EFG 11* beschreibt eine Klassifizierung. Aus der Klasse ergibt sich dann der Aufwand im Zusammenhang mit dem Change. Zur Klassifizierung können in der Praxis unterschiedliche Einteilungen vorgenommen werden. Hier einige Varianten, die in der Praxis zu finden sind:

• Klasse 1, 2, 3 usw.
• Major, Minor 
• Critical, Significant, Insignificant, … 
• Kritisch, wenig kritisch, sehr kritisch, …

Beispiel 2
Der Betrieb hatte ein Change Control-System etabliert. Es war jedoch unklar, welche Änderungen über dieses Verfahren abzuarbeiten sind. Es fanden sich lediglich Hinweise zum Umgang mit Software-Updates. Nicht geregelt waren folgende Punkte im Umgang mit

• Hardwaredefekten
• Security-Patches
• Änderungen bei Benutzerkonten
• Notwendigen Änderungen auf Grund erkannter Softwarefehler
• Änderungen am Testsystem 

Zu den Security-Patches ein Hinweis aus PIC/S PI 041-1:

PIC/S PI 041-1
Security patches for operating systems and network components should be applied in a controlled and timely manner according to vendor recommendations in order to maintain data security. The application of security patches should be performed in accordance with change management principles.

Beispiel 3
Konkrete Vorgaben für Zeitintervalle, bis wann ein Change abgeschlossen sein muss, sind nicht dokumentiert vorhanden. Es sollte hier ein dokumentiertes Konzept geben, innerhalb welcher Zeitintervalle eine Änderung abzuschließen ist (Zeitplanung). Hierzu empfiehlt es sich, ein abgestuftes Verfahren einzuführen. Angaben wie beispielsweise ein Jahr nach Antragstellung sind extrem lang und bei einem hot-fix nicht akzeptabel. Diese Beispiel ist übrigens ein Mangel, der immer wieder im Zusammenhang mit Change Control und computergestützten Systemen anzutreffen ist.

Quellen:

EU GMP Leitfaden Annex 11
EU GMP Leitfaden Annex 15
PIC/S PI 011-3
PIC/S PI 041-1
AiM 07121202