Remote Access von Dienstleistern auf kritische GxP-Systeme

Problemstellung:

Bei der Wartung von Software, der Behebung von Fehlern, aber auch dem Installieren neuer Funktionalitäten hat der Remote-Zugang des Lieferanten viele Vorteile. Aber welche Regelungen muss es zum Remote Access von Dienstleistern auf GxP-kritische Systeme geben und welche Anforderungen zur Datenintegrität müssen diese enthalten?

Wie kann man diesen Prozess GxP-konform gestalten?

Der Remote Access ermöglicht es Dienstleistern über eine Netzwerkverbindung auf computergestützte Systeme zuzugreifen mit dem Ziel, Fehler zu beheben oder die Konfiguration zu ändern. Sofern es sich um ein GxP-kritisches computergestütztes System handelt, auf das remote zugegriffen wird, kann das System durch die Tätigkeiten des Dienstleisters oder Serviceunternehmens so verändert werden, dass der validierte Zustand verlassen wird. Daher sollte der Remote-Zugriff und die im Rahmen dieser Sitzung durchgeführten Aktionen kontrolliert und dokumentiert erfolgen. Das bedeutet, dass der Zugriff durch den RU (regulierten Nutzer) aktiv freigeschaltet werden sollte, dass er über eine gesicherte Netzwerkverbindung erfolgt und dass vermerkt wird, welchen Tätigkeiten im Rahmen des Zugriffs durchgeführt wurden. Ggf. ist ein Change Control-Prozess einzuleiten. Ziel ist es, den validierten Zustand des Systems zu erhalten und zu kontrollieren.