ALCOA+: Grundsätze für verlässliche Daten in regulierten Prozessen

Was bedeutet ALCOA+?

Die Begriffe stammen nicht aus einem eigenständigen technischen Standard. Sie bündeln Erwartungen guter Dokumentations- und Datenmanagementpraxis. PIC/S beschreibt ALCOA+ für papierbasierte und elektronische Systeme und ordnet die Eigenschaften dem gesamten Datenlebenszyklus zu.^[2] Die MHRA verwendet in ihrer Leitlinie überwiegend die Kurzform ALCOA, stellt jedoch ausdrücklich klar, dass dadurch keine geringeren Erwartungen gelten: Vollständigkeit, Konsistenz, Dauerhaftigkeit und Verfügbarkeit müssen ebenfalls über den Lebenszyklus gewährleistet werden.^[1]

Neun Eigenschaften, ein zusammenhängender Nachweis

Die neun Merkmale lassen sich knapp gegenüberstellen:

Die Eigenschaften sind nicht unabhängig voneinander. Eine Messung kann einer Person zugeordnet und sofort erfasst worden sein, aber durch eine falsche Einheit dennoch ungenau sein. Ein PDF kann dauerhaft gespeichert und jederzeit abrufbar sein, aber wesentliche Metadaten eines ursprünglich dynamischen Datensatzes verlieren. Ein Audit Trail kann Änderungen vollständig erfassen, ohne zu beweisen, dass der ursprüngliche Messwert sachlich richtig war.

Gerade diese Wechselwirkungen machen ALCOA+ nützlich. Die Merkhilfe lenkt den Blick auf mehrere Eigenschaften, statt Datenqualität allein an Unveränderbarkeit, Zugriffsschutz oder Backup zu beurteilen.

Ein lesbarer Endbericht lässt die ursprüngliche Verwiegung offen

In einem fiktiven Prüfauftrag liegt ein dauerhaft gespeicherter, gut lesbarer PDF-Bericht zu einer Verwiegung vor. Der Bericht zeigt Endwert und Chargenkennung. Die für diesen Vorgang erforderliche ursprüngliche Aufzeichnung mit Gerätebezug und dokumentierter Berichtigung ist darin jedoch nicht enthalten und auch nicht anderweitig verfügbar.

Lesbarkeit und Abrufbarkeit sind damit gegeben; Originaltreue und Vollständigkeit bleiben ungeklärt. Aus einem vorhandenen Endwert lässt sich weder die erste Erfassung noch der Grund einer späteren Änderung verlässlich ableiten. Eine erneute Unterschrift unter den Bericht würde diese fehlenden Angaben nicht wiederherstellen.

Das Problem ist nicht das PDF-Format. Ein PDF kann für eine geeignete statische Aufzeichnung oder echte Kopie passen. Entscheidend ist, ob der erforderliche Inhalt, seine Bedeutung und gegebenenfalls benötigte Funktionalität erhalten sind. Bei dynamischen Ursprungsdaten kann ein bloßer Endbericht dafür unzureichend sein.[1][3]

Data Provenance beschreibt die Herkunftsbezüge. Datenintegrität betrachtet ihre Verlässlichkeit über den Lebenszyklus. Im konkreten Prüfauftrag müssen die neun Eigenschaften an den tatsächlich verfügbaren Aufzeichnungen beurteilt werden.

Original: Die erste Erfassung und ihr Kontext

Original bezeichnet grundsätzlich die erste Erfassung einer Information – auf Papier oder elektronisch. Eine kontrollierte echte Kopie kann an ihre Stelle treten, wenn Inhalt und Bedeutung des Originals erhalten und die Übereinstimmung verifiziert werden. Welche Form erforderlich ist, hängt davon ab, wie die Information ursprünglich entstanden ist.

Bei einfachen Geräten kann ein unmittelbarer Ausdruck die Originalaufzeichnung bilden. Bei dynamischen elektronischen Daten genügt ein statischer Ausdruck dagegen möglicherweise nicht. Rohdaten, Metadaten, Verarbeitungsschritte oder interaktive Funktionen können für die Rekonstruktion erforderlich sein. MHRA und FDA betonen deshalb, dass echte Kopien elektronischer Aufzeichnungen den relevanten Kontext und die Bedeutung des Originals bewahren müssen.^[1][3]

„Original“ ist nicht mit „niemals verändert“ gleichzusetzen. Ein Fehler darf korrigiert werden. Die Korrektur darf aber die ursprüngliche Eintragung nicht verdecken, und der Zusammenhang aus ursprünglichem Wert, Änderung, Zeitpunkt, Person und Grund muss nachvollziehbar bleiben.

Contemporaneous: Dokumentation entsteht mit der Tätigkeit

Contemporaneous verlangt, dass Handlungen, Ereignisse und Entscheidungen aufgezeichnet werden, während sie stattfinden. PIC/S beschreibt sie als Beleg dafür, was getan oder entschieden wurde und welche Umstände die damalige Entscheidung beeinflussten.^[2]

Eine spätere erstmalige Aufzeichnung aus Erinnerung ist von der kontrollierten Übertragung einer bereits vorhandenen Originalaufzeichnung zu unterscheiden. Bei einer erstmaligen Erfassung aus Erinnerung entstehen andere Risiken als bei der Dokumentation während der Tätigkeit. Reihenfolgen können verwechselt, Zwischenergebnisse ausgelassen und Abweichungen nachträglich geglättet werden. Deshalb sollten Arbeitsablauf und Dokumentation nicht künstlich voneinander getrennt sein.

Erfassung während der Tätigkeit bedeutet nicht zwangsläufig, dass ein Mensch jeden Wert manuell eintippen muss. Messgeräte, Sensoren oder ausführbare Workflows können Daten direkt im fachlich passenden Schritt erzeugen. Entscheidend ist, dass der Zeitpunkt der Erfassung den realen Vorgang abbildet und nachträgliche Änderungen als solche erkennbar bleiben.

Attributable: Handlungen müssen zurechenbar bleiben

Attributable verlangt, dass die Entstehung und Veränderung einer Aufzeichnung einer Person oder einem automatisierten System zugeordnet werden kann. PIC/S bezieht dies nicht nur auf die ursprüngliche Tätigkeit, sondern auch auf Korrekturen, Löschungen und andere Änderungen: Erkennbar sein sollen der Handelnde, der Zeitpunkt und – soweit erforderlich – der Grund.^[2]

Bei einer manuellen Erfassung kann die Zuordnung durch eine kontrollierte Unterschrift erfolgen. In einem elektronischen System sind individuelle Benutzerkonten, Rollen, Zeitstempel und gegebenenfalls elektronische Signaturen relevant. Geteilte Konten schwächen die Zurechenbarkeit, weil sich nicht mehr zuverlässig feststellen lässt, welche Person eine Handlung ausgeführt hat. Die FDA hebt deshalb hervor, dass für aufzeichnungspflichtige Handlungen eine konkrete Person identifizierbar bleiben muss.^[3]

Zurechenbarkeit bedeutet allerdings nicht, dass jede automatisch erzeugte Information einem menschlichen Urheber zugeschrieben werden muss. Wird ein Wert durch ein Gerät oder eine Schnittstelle erzeugt, gehören die Systemquelle, der Gerätekontext und die auslösende Tätigkeit zur Zuordnung. Zusätzlich muss nachvollziehbar sein, welche Person für Einrichtung, Prüfung oder Freigabe zuständig war.

Legible: Lesbarkeit umfasst auch Bedeutung

Legible wird häufig zu eng als gut erkennbare Handschrift verstanden. Gemeint ist, dass Informationen lesbar, eindeutig und für ihren Zweck verständlich bleiben. Das betrifft alle Bestandteile, die für einen vollständigen Nachweis benötigt werden: Werte, Einheiten, Kennzeichnungen, Metadaten, Kommentare und Änderungshistorien.

Bei elektronischen Aufzeichnungen kann Lesbarkeit eine geeignete Software voraussetzen. Ein gespeicherter Datenstrom ist nicht praktisch lesbar, wenn nach der Außerbetriebnahme des ursprünglichen Systems weder Formatbeschreibung noch kompatible Anwendung vorhanden sind. Umgekehrt kann ein Ausdruck optisch gut lesbar sein und trotzdem die Bedeutung des ursprünglichen Datensatzes verkürzen.

PIC/S verbindet Lesbarkeit deshalb mit der dynamischen Natur elektronischer Daten. Wenn Suchen, Abfragen, Zoomen, Neuberechnen oder Trenddarstellungen für Inhalt und Bedeutung relevant sind, gehört die Möglichkeit zur Interaktion zur späteren Nutzbarkeit der Aufzeichnung.^[2]

Accurate: Richtigkeit braucht mehr als einen Zeitstempel

Accurate verlangt, dass eine Aufzeichnung den zugrunde liegenden Sachverhalt richtig wiedergibt. Technische Sicherung allein erzeugt keine sachliche Richtigkeit. Ein unveränderbar gespeicherter Messwert kann von einem ungeeigneten oder nicht kalibrierten Gerät stammen. Eine vollständig protokollierte Eingabe kann auf einem Bedienfehler beruhen.

PIC/S ordnet Genauigkeit deshalb in ein breiteres Qualitätssystem ein. Dazu gehören je nach Prozess Qualifizierung, Kalibrierung, Wartung, Validierung, freigegebene Verfahren, Datenprüfung, Abweichungsmanagement sowie geschultes Personal.^[2]

Die Eigenschaft richtet den Blick sowohl auf den Wert als auch auf seine Entstehungsbedingungen. War das richtige Gerät eingesetzt? Galt die passende Methode? Wurde die Einheit korrekt übernommen? Wurden Berechnungen und Übertragungen geprüft? Erst dieser Kontext erlaubt eine belastbare Bewertung.

Complete und Consistent: Nichts Wesentliches darf fehlen

Complete verlangt einen hinreichend vollständigen Datensatz. Dazu gehören nicht automatisch möglichst viele Daten, sondern alle Informationen, die zur Rekonstruktion und Bewertung des relevanten Vorgangs erforderlich sind. PIC/S macht den Umfang ausdrücklich von der Kritikalität der Information abhängig und zählt bei elektronischen Daten auch relevante Metadaten zum vollständigen Datensatz.^[2]

Unbegrenzte Datensammlung kann Prüfung und Verständnis sogar erschweren. Vorgeschriebene Daten dürfen dadurch nicht nachträglich zur Auswahl gestellt werden.

Für Laborprüfungen im hier behandelten FDA-CGMP-Bereich umfasst die Dokumentation auch fehlerhafte, auffällige und nicht bestandene Ergebnisse. Daten aus der Analyse von Produktproben müssen erhalten und geprüft werden; ein günstiges Endergebnis ersetzt diesen Prüfverlauf nicht. Auch ein Abbruch rechtfertigt nicht, bereits erzeugte aufbewahrungspflichtige Daten zu verwerfen.^[4] Eine wissenschaftlich begründete Bewertung kann ein Ergebnis als ungültig einordnen. Sie beseitigt aber nicht die Pflicht, den ursprünglichen Datensatz und die Untersuchung nachvollziehbar zu erhalten.^[3]

Consistent ergänzt die Vollständigkeit um logische Stimmigkeit. Zeitliche Reihenfolgen, Datumsformate, Einheiten, Rundungsregeln, Identifikatoren und Statusübergänge müssen einem definierten System folgen. Ein Datensatz kann alle erwarteten Felder enthalten und dennoch widersprüchlich sein – etwa wenn eine Freigabe vor der zugehörigen Prüfung liegt oder Mengen in verschiedenen Einheiten ohne nachvollziehbare Umrechnung geführt werden.

Konsistenz bedeutet nicht, dass reale Prozesse immer gleich verlaufen müssen. Abweichungen können fachlich berechtigt sein. Sie müssen dann als Abweichungen erkennbar, begründet und mit ihren Folgen verbunden bleiben.

Enduring und Available: Erhalten heißt auch nutzbar bleiben

Enduring betrifft die dauerhafte Erhaltung einer Aufzeichnung über den erforderlichen Zeitraum. Papier muss gegen Verlust und unleserliche Veränderungen geschützt werden. Elektronische Daten benötigen geeignete Speichermedien, kontrollierte Sicherungen, Migrationsstrategien und Schutz vor unbeabsichtigter oder unbefugter Veränderung.

Available verlangt zusätzlich, dass die Aufzeichnung für berechtigte Personen tatsächlich verfügbar und lesbar ist. PIC/S nennt etwa Freigabeentscheidungen, Untersuchungen, Trendanalysen, periodische Berichte, Audits und Inspektionen als Nutzungssituationen.^[2]

Ein Backup erfüllt diese Merkmale nicht allein. Es schützt gegen bestimmte Verlustszenarien, sagt aber noch nichts darüber aus, ob Daten vollständig, mit den richtigen Metadaten, innerhalb angemessener Zeit und in einem verständlichen Format wiederhergestellt werden können. Auch langfristige Verfügbarkeit verlangt daher Tests, Verantwortlichkeiten und eine dokumentierte Strategie.

ALCOA+ gilt für Papier und elektronische Systeme

Die Prinzipien sind medienneutral. Papier, elektronische Systeme und hybride Abläufe besitzen jedoch unterschiedliche Schwachstellen. Bei Papier geht es beispielsweise um kontrollierte Formulare, dauerhafte Eintragungen, freie Felder, Korrekturen und sichere Ablage. Elektronische Systeme benötigen unter anderem individuelle Zugänge, geeignete Berechtigungen, Audit Trails, validierte Funktionen und kontrollierte Archivierung.

Hybride Systeme erhöhen häufig die Komplexität: Ein Wert wird vom Gerät abgelesen, auf einen Zettel geschrieben, später in eine Tabelle übertragen und schließlich als PDF abgelegt. An jeder Mediengrenze können Kontext, Zeitbezug oder Metadaten verloren gehen. ALCOA+ hilft dabei, nicht nur den Endbeleg, sondern die gesamte Kette zu prüfen.

Die Wahl eines digitalen Systems löst die Aufgabe deshalb nicht automatisch. PIC/S betont, dass technische und organisatorische Maßnahmen zusammenwirken müssen und sich ihre Ausgestaltung an Datenkritikalität und Risiko orientiert.^[2]

Was ALCOA+ nicht leistet

ALCOA+ ersetzt keine Rechtsprüfung. Welche Daten erzeugt, geprüft und wie lange aufbewahrt werden müssen, ergibt sich aus dem einschlägigen Regelwerk, dem konkreten Prozess und der Risikobewertung. Die neun Eigenschaften helfen bei der Gestaltung und Beurteilung, bestimmen aber nicht selbst den erforderlichen Dokumentationsumfang.

Die Merkhilfe ist auch kein Beweis für Datenintegrität. Ein System kann passende Funktionen bereitstellen und dennoch ungeeignet konfiguriert oder fehlerhaft genutzt werden. Umgekehrt können einfache technische Systeme durch wirksame organisatorische Kontrollen belastbare Aufzeichnungen ermöglichen.

Aufsichtsbefund

Befund: Die FDA beanstandete bei einem Arzneimittelhersteller, dass ausführende Personen aus einer Reihe von Filterintegritätstests nur das abschließende bestandene Ergebnis berichteten. Im Beispiel vom 25. Juli 2024 umfasste die Reihe neun Tests: fünf nicht bestandene, drei abgebrochene und einen abschließenden bestandenen Test.^[5]

Einordnung: Das Beispiel verdeutlicht das ALCOA+-Merkmal Complete: Ein Bericht mit ausschließlich dem bestandenen Ergebnis bildet den Prüfverlauf nicht vollständig ab. Die nicht bestandenen Ergebnisse und die abgebrochenen Tests bleiben für dessen Bewertung relevant. Der Befund betrifft die Arzneimittel-CGMP und bestimmt nicht selbst die Dokumentationspflichten anderer Märkte.

Prüffrage: Enthält die zur Prüfung vorliegende Aufzeichnung alle neun Tests, ihre Ergebnisse beziehungsweise Abbrüche und die dokumentierte Bewertung des Prüfverlaufs?

Schreiben vom 24.02.2025 · Quelle geprüft am 18.09.2026.

Dargestellt ist der ausgewählte Behördenbefund zum Zeitpunkt des Schreibens. Unternehmensantworten und spätere Entwicklungen werden hier nicht bewertet; die Darstellung beschreibt keinen aktuellen Compliance-Status.

Neun Fragen an die tatsächlich vorhandene Aufzeichnung

Im Endbericht sind einige Eigenschaften sichtbar erfüllt, während andere nicht belegt werden können. Genau diese Unterscheidung macht ALCOA+ praktisch: Ein einzelnes positives Merkmal darf fehlende Nachweise nicht überdecken.

Die Prüfung muss deshalb benennen, welche Aufzeichnung vorliegt, was sie enthält und welche erforderlichen Angaben oder Funktionen fehlen. So wird aus der Merkhilfe eine konkrete Beurteilung statt eines pauschalen Häkchens hinter neun Begriffen.