Cloud Computing: Was macht man, wenn der Cloud Service Provider keine Audits zulässt?

Auch in der pharmazeutischen Industrie geht der Trend in Richtung Cloud Computing. Finanzielle, aber auch organisatorische Vorteile sprechen für die Cloud. Gleichzeitig sollten aber auch potentielle Gefahren und regulatorische Einschränkungen beachtet werden. Neun Experten aus der Pharmaindustrie und von Überwachungsbehörden beantworten einen umfangreichen Fragenkatalog aus den folgenden GxP-relevanten Themenkreisen:

• Grundlagen der Cloud Computing Technologie
• Regulatorische Grundlagen und Erwartungen von Inspektoren
• Kunden-Lieferanten-Beziehung
• Anforderungen an den Cloud Service Provider (CSP)
• Anforderungen an die Lieferantenbewertung und Lieferantenaudits
• Qualifizierungs-/Validierungsanforderungen

Frage 22: Die Informationen zum QS-System und zu Audits, die Lieferanten oder Entwickler von Software und verwendeten Systemen betreffen, sollten Inspektoren auf Nachfrage zur Verfügung gestellt werden. Was macht man, wenn der CSP keine Audits zulässt? Welche Alternativen zum Audit würden akzeptiert? - Themenkreis Anforderungen an die Lieferantenbewertung und Lieferantenaudits

Sofern qualitätsrelevante Dienstleistungen vom pharmazeutischen Unternehmer an Dritte übertragen werden, sind die Auftragnehmer unbedingt auf ihre Kompetenz und Eignung hin zu bewerten; diese Bewertung muss in schriftlicher Form vorliegen. Diese Verpflichtung erstreckt sich auch auf Dienstleister im Cloud Bereich, für die eine zusammenfassende Bewertung gegebenenfalls auch dem pharmazeutischen Inspektor vorzulegen ist. Globale Cloud Service-Provider treten dabei oft recht arrogant auf und akzeptieren keine Audits.

Als Alternative bietet sich hier ein postalisches Audit an, bei dem ein detaillierter Fragebogen an den CSP übersandt wird in der Hoffnung, dass dieser in ausgefüllter Form zurückgesandt werden wird. Die Beantwortung einer solchen Frageliste ist für den CSP recht aufwendig und nimmt viel Zeit in Anspruch, sofern auf eine exakte und vollständige Beantwortung der einzelnen Fragen Wert gelegt wird. Nach Erhalt des ausgefüllten Fragebogens erfolgt die Bewertung der einzelnen Elemente in einer (kurzen) Zusammenfassung, bei der eine Einstufung des CSP (z. B. freigegeben, eingeschränkt freigegeben, nicht freigegeben) durch die Fachabteilung unter Einbezug der Qualitätssicherung erfolgt.

Weiterhin besteht manchmal die Möglichkeit, wichtige Fragen, die üblicherweise bei einem Audit gestellt werden, in einem Telefongespräch mit dem Qualitätsverantwortlichen des CSP zu klären und in einem Memo festzuhalten, das zusammen mit anderen Dokumenten eine Einstufung zulässt.

Sofern der CSP zu keinerlei Zugeständnissen bereit ist, muss auf Unterlagen, die im Internet verfügbar sind, zurückgegriffen werden. Dabei sind Informationen hilfreich, die eine Tätigkeit des CSP im GMP-Bereich bei anderen pharmazeutischen Unternehmen nachweisen. In diesem Zusammenhang sei auf die Microsoft Azure GxP Guidelines (White paper, July 2020) verwiesen, wo auf ca. 100 Seiten die wichtigsten Qualitätselemente herausgearbeitet werden. Amazon Web Services (AWS) stellt ähnliche Dokumente zur Verfügung, allerdings leider erst nach Vertragsabschluss. Auch in diesem Fall müssen die geprüften Unterlagen summarisch bewertet und eine Einstufung des CSP vorgenommen werden.

Weitere Fragen und Antworten des Expertenteams zum Thema "Cloud Computing"

Hier finden Sie weitere Fragen und Antworten zum Thema "Cloud Computing" die u.a. das Expertenteam beantwortet hat.

Die Experten

Frank Behnisch, CSL Behring GmbH, Marburg
Klaus Feuerhelm, ehem. Inspektor beim Regierungspräsidium Tübingen
Oliver Herrmann; Q-FINITY Quality Management, Dillingen
Eberhard Kwiatkowski, PharmAdvantageIT GmbH, Neuschoo
Stefan Münch, Körber Pharma Consulting, Karlsruhe
Yves Samson, Kereon AG, Basel
Dr. Wolfgang Schumacher, ehem. F. Hoffmann-La Roche AG, Basel
Dr. Arno Terhechte, Bezirksregierung Münster
Sieghard Wagner, Chemgineering Germany GmbH, Stuttgart