Approval Workflow: Prüfungen und Freigaben kontrolliert steuern

Worauf sich eine Freigabe bezieht

Die zentrale Frage lautet nicht nur „Ist die Charge freigegeben?“, sondern: Welche Verwendung wurde durch wen auf Grundlage welchen Prüfstands zugelassen? Eine Dokumentationsprüfung, eine Materialfreigabe und eine Kenntnisnahme können denselben Gegenstand betreffen und trotzdem unterschiedliche Wirkungen haben.

Die Entscheidung benötigt einen unverwechselbaren Prüfgegenstand

Vor einer Freigabe muss feststehen, worüber entschieden wird. Das kann ein Dokument, eine Chargendokumentation, ein Prüfergebnis, eine Abweichungsbewertung, eine SOP-Version oder eine Materialbewegung sein. Der Prüfgegenstand benötigt eine eindeutige Identität und einen bestimmten Versionsstand.

Ändern sich relevante Daten nach Beginn der Prüfung, darf die frühere Entscheidung nicht stillschweigend auf den neuen Stand übertragen werden. Je nach fachlicher Bedeutung wird die Freigabe ungültig, eine erneute Prüfung erforderlich oder die Änderung als kontrollierte Ergänzung behandelt.

Ein Approval Workflow sollte deshalb nicht nur eine Objekt-ID speichern. Er muss auch den bewerteten Stand referenzieren: beispielsweise Dokumentversion, Hashwert, Änderungsnummer oder eindeutig bezeichnete Datenmenge. Nur so bleibt später erkennbar, welchen Inhalt die entscheidende Person tatsächlich vorliegen hatte.

Prüfstand 2 wird zurückgegeben, Prüfstand 3 freigegeben

Das fiktive Beispiel betrifft die interne Freigabe einer Chargendokumentation. Es bildet keine vollständige arzneimittelrechtliche Chargenzertifizierung ab. Prüfstand 2 enthält eine Messwertkorrektur ohne ausreichende Begründung. Die prüfende Person gibt genau diesen Stand mit dem benannten Mangel zurück.

Bei einem Electronic Batch Record ist diese Freigabe Teil des vollständigen chargenbezogenen Records. Der Approval Workflow steuert den zugehörigen Entscheidungsablauf; er ersetzt nicht die übrige Chargenaufzeichnung.

Die Ergänzung führt zu Prüfstand 3. Dieser enthält die Begründung und den Bezug auf die frühere Korrektur. Die neue Vorlage zeigt sowohl die Änderung als auch den Rückgabegrund. Nach den für dieses Beispiel festgelegten Kriterien wird geprüft, ob der Mangel behoben ist und weitere Inhalte betroffen sind.

Die anschließende Freigabe gilt für Prüfstand 3 mit der ausdrücklich angegebenen Bedeutung. Sie macht Prüfstand 2 nicht rückwirkend zu einer freigegebenen Vorlage. Ebenso entsteht aus der Freigabe der Dokumentation keine darüber hinausgehende Erlaubnis zur Verwendung des Materials, sofern dafür eine weitere Entscheidung vorgeschrieben ist.

Workflow-Modelle legen fest, welche Prüfstufen die neue Vorlage erneut durchlaufen muss. Der dokumentierte Einzelfall zeigt anschließend, welche dieser Prüfungen tatsächlich stattgefunden haben. Bei der Auswahl von Compliance-Software sollte die Vorführung deshalb getrennt zeigen, welcher Dokumentationsstand genehmigt wurde und welche Materialverwendung die Entscheidung tatsächlich ermöglicht.

Nacharbeit erweitert den Verlauf, statt die frühere Prüfung zu ersetzen

Wird ein Gegenstand zur Nacharbeit zurückgegeben, müssen Grund, betroffene Punkte und erwartete Korrektur erkennbar sein. Die bearbeitende Person erhält eine neue Aufgabe, ohne dass die ursprüngliche Einreichung und Rückgabe verschwinden.

Nach der Korrektur beginnt nicht zwingend der gesamte Freigabefluss neu. Das Modell kann festlegen, ob nur geänderte Teile, alle Prüfkriterien oder eine zusätzliche Stufe erneut bewertet werden. Diese Entscheidung hängt von Risiko und fachlichem Zusammenhang ab.

Eine gute Rückgabeschleife begrenzt Wiederholungen nicht nur technisch. Sie zeigt, warum ein Vorgang mehrfach zurückging und ob wiederkehrende Fehler auf unklare Vorgaben, fehlende Informationen oder eine unpassende Aufgabenführung hinweisen.

Freigabe, Ablehnung und Nacharbeit sind verschiedene Zustände

Ein einfacher Freigabefluss beginnt häufig mit „Entwurf“ und führt über „zur Prüfung“ zu „freigegeben“. Für reale Prozesse reicht diese lineare Folge selten aus. Der Gegenstand kann unvollständig sein, Rückfragen auslösen, abgelehnt, zurückgezogen oder durch eine neue Version ersetzt werden.

Jedes Ergebnis benötigt eine eindeutige Wirkung. „Zur Nacharbeit“ bedeutet nicht dasselbe wie „abgelehnt“. Nacharbeit lässt eine kontrollierte Rückgabe mit anschließendem Wiedereintritt in die Prüfung zu. Ablehnung kann den Vorgang beenden oder eine neue Einreichung verlangen. „Freigegeben mit Auflage“ sollte nur verwendet werden, wenn Bedeutung, Frist und Folgeprozess klar modelliert sind.

BPMN 2.0.2 stellt Aktivitäten, Benutzeraufgaben, Ereignisse und Gateways bereit, mit denen solche Entscheidungswege formal beschrieben werden können.^[1] Die Notation liefert jedoch nicht automatisch die fachlich richtigen Zustände. Diese müssen aus dem tatsächlichen Entscheidungsprozess abgeleitet werden.

Eine Entscheidung braucht Kontext und Bedeutung

Die entscheidende Person muss die Informationen sehen, die für ihre Aufgabe relevant sind: Prüfgegenstand, Version, offene Abweichungen, frühere Rückgaben, Messergebnisse, anzuwendende Vorgaben und gegebenenfalls die Folgen der Entscheidung.

Zu viele unstrukturierte Informationen können die Prüfung ebenso beeinträchtigen wie fehlende Daten. Damit Human in the Loop eine wirksame Prüfung ermöglicht, muss der Workflow den erforderlichen Kontext gezielt bereitstellen und sichtbar machen, welche Angaben noch fehlen.

Die Bedeutung muss beim Abschluss eindeutig sein. „Geprüft“, „genehmigt“, „freigegeben“, „zur Kenntnis genommen“ und „verantwortet“ sind keine austauschbaren Begriffe. Sie können unterschiedliche fachliche oder rechtliche Wirkungen besitzen.

Für GxP-Daten konkretisiert die MHRA den Review selbst: Er soll risikobasiert und dokumentiert sein; der Review-Record soll festhalten, ob Auffälligkeiten gefunden wurden, wann geprüft wurde und wer die Prüfung bestätigt hat. Wo eine elektronische Signatur eingesetzt wird, soll ihre sichtbare Darstellung außerdem die Person, Funktion, das Datum und – soweit relevant – den Zeitpunkt sowie die Bedeutung der Signatur erkennen lassen. ^[6] Damit ist die technische Bestätigung nur dann aussagekräftig, wenn sie auf einen bestimmten Review und eine bestimmte Entscheidungsbedeutung verweist.

Befugnis und Unabhängigkeit für diese Freigabe prüfen

Entscheidungsbefugnis ist auf den Prüfgegenstand und den jeweiligen Freigabeschritt zu beziehen. Eine Person kann zur Dokumentationsprüfung berechtigt sein, ohne die anschließende Materialverwendung freigeben zu dürfen. Eine Vertretung muss denselben erforderlichen Verantwortungsumfang abdecken.

WS-HumanTask unterscheidet unter anderem potentielle und tatsächliche Aufgabenverantwortliche und beschreibt die Übertragung menschlicher Aufgaben.^[2] Ob die übernehmende Person fachlich qualifiziert und unabhängig genug ist, muss der konkrete Freigabeprozess zusätzlich festlegen.

Wo Funktionstrennung erforderlich ist, zählt auch die frühere Beteiligung am Vorgang. Zwei Rollenbezeichnungen allein belegen nicht, dass zwei unabhängige Personen geprüft haben.

Mehrstufige Freigaben brauchen eine definierte Reihenfolge

Ein Vier-Augen-Prinzip kann als parallele oder sequenzielle Prüfung umgesetzt werden. Bei einer sequenziellen Freigabe entscheidet zunächst eine fachliche Stelle und danach eine qualitätssichernde Rolle. Bei paralleler Prüfung werden zwei voneinander unabhängige Entscheidungen eingeholt.

Das Modell muss klären, ob beide Zustimmungen erforderlich sind, ob eine Ablehnung den Vorgang sofort beendet und ob eine frühere Zustimmung nach einer Änderung erhalten bleibt. Ebenso wichtig ist die Frage, ob dieselbe Person mehrere Stufen ausführen darf.

Für kritische Schritte in papierbasierten Chargenaufzeichnungen beschreibt PIC/S im GMP/GDP-Kontext eine abgestufte Prüfung: Prüfung oder Witnessing durch unabhängiges und dafür benanntes Personal während der Tätigkeit, anschließend Review durch eine dafür autorisierte Person in der Produktion und danach Review und Freigabe durch die Quality Unit vor Freigabe oder Distribution der Charge. ^[7] Das ist kein allgemeines Vier-Augen-Schema für jede Freigabe, zeigt aber, dass Prüfrollen und Reihenfolge aus der fachlichen Kritikalität des konkreten Vorgangs abgeleitet werden müssen.

Eine bloße Zahl von zwei Signaturen reicht nicht. Entscheidend sind unterschiedliche Verantwortungsbeiträge. Eine technische Identitätsprüfung verhindert nicht automatisch, dass dieselbe Person zwei organisatorisch getrennte Rollen ausübt. Der Approval Workflow muss die konkrete Funktionstrennung kontrollieren.

Für widersprüchliche Ergebnisse braucht der Ablauf ebenfalls eine festgelegte Auflösung. Stimmt eine Person zu und eine andere lehnt ab, darf das System nicht stillschweigend die zuletzt abgegebene Entscheidung übernehmen. Möglich sind eine gemeinsame Klärungsaufgabe, eine erneute Vorlage nach Korrektur oder die Eskalation an eine dafür autorisierte Rolle. Der Konflikt und seine Auflösung bleiben als getrennte Vorgänge erhalten.

Änderungen nach der Freigabe benötigen einen neuen kontrollierten Vorgang

Eine abgeschlossene Freigabe darf nicht dadurch fortbestehen, dass der freigegebene Inhalt nachträglich überschrieben wird. Wesentliche Änderungen erzeugen eine neue Version und einen neuen Prüf- beziehungsweise Freigabevorgang.

Der bisherige Stand bleibt mit seiner Entscheidung erhalten. Die neue Version kann auf ihn verweisen, Änderungen kennzeichnen und begründen, warum eine erneute Prüfung erforderlich ist. Unwesentliche Metadatenkorrekturen können enger behandelt werden, benötigen aber ebenfalls eine nachvollziehbare Regel.

Ein Audit Trail dokumentiert relevante Änderungen und Eingriffe. Der Approval Workflow ergänzt diese Historie um ihre fachliche Prozesswirkung: welche Version vorgelegt, zurückgegeben, genehmigt oder ersetzt wurde.

Rücknahme und Widerruf brauchen eine sichtbare Folge

Nach einer Freigabe können neue Informationen auftreten: ein korrigiertes Prüfergebnis, eine festgestellte Abweichung oder eine geänderte Bewertung. Dann muss definiert sein, ob die Freigabe zurückgenommen, der Gegenstand gesperrt oder ein zusätzlicher Untersuchungsprozess gestartet wird.

Der frühere Freigabevorgang bleibt historisch wahr. Er wird nicht gelöscht, sondern durch einen späteren, begründeten Status ergänzt. Nutzer müssen zugleich unmittelbar erkennen können, dass die frühere Freigabe nicht mehr handlungsleitend ist.

Auch abhängige Vorgänge sind zu berücksichtigen. Wurde ein Material bereits reserviert oder eine Charge weiterverarbeitet, kann der Widerruf Folgeaufgaben in anderen Prozessinstanzen auslösen. Der Approval Workflow benötigt dafür klare Beziehungen zu den betroffenen Objekten.

Eine ausstehende Entscheidung bleibt ausstehend

Eine Erinnerung oder Eskalation kann eine offene Freigabe organisatorisch voranbringen. Sie liefert jedoch keine Zustimmung, wenn eine aktive Entscheidung erforderlich ist. Bis dahin bleibt die Nutzung des Gegenstands an den bisherigen zulässigen Zustand gebunden.

Wechselt die Zuständigkeit, muss die neue Person dieselbe Vorlage mit den offenen Prüfpunkten erhalten. Eine Workflow Engine kann das Warten und Weiterleiten koordinieren; sie ersetzt damit keine fachliche Bewertung.

Freigabestatus und elektronische Signatur sind nicht identisch

Ein System kann einen Status auf „freigegeben“ setzen, ohne dass damit automatisch eine elektronische Signatur im regulatorischen Sinn vorliegt. Umgekehrt kann eine Signatur verschiedene Bedeutungen haben, etwa Prüfung, Genehmigung, Verantwortung oder Urheberschaft.

21 CFR Part 11 verlangt für unter seinen Anwendungsbereich fallende elektronische Aufzeichnungen unter anderem kontrollierte Systemzugriffe, zeitgestempelte Audit Trails, Ablauf- und Berechtigungsprüfungen. Bei signierten elektronischen Aufzeichnungen müssen Name, Datum und Uhrzeit sowie die Bedeutung der Signatur erkennbar sein; die Signatur ist mit der zugehörigen Aufzeichnung zu verknüpfen.^[3]

Diese Anforderungen gelten nicht pauschal für jeden Approval Workflow. Zunächst ist zu bestimmen, welche regulatorischen und fachlichen Regeln für den konkreten Datensatz und Markt gelten. Die FDA erläutert in ihrer Guidance zum Anwendungsbereich von Part 11 zudem die Verbindung zu den jeweiligen zugrunde liegenden Aufzeichnungspflichten.^[4]

Eine Signatur ersetzt keine fachliche Prüfung. Identität und Verantwortungsbedeutung müssen mit einem realen Prüfvorgang verbunden sein.

Freigaben im GMP-Umfeld gesondert einordnen

EU-GMP Annex 11 behandelt computergestützte Systeme im GMP-Umfeld. Zu den angesprochenen Kontrollen gehören Zugriffsrechte, risikobasiert zu berücksichtigende Audit Trails und regelmäßige Systembewertungen. Elektronische Signaturen sollen dauerhaft mit der jeweiligen Aufzeichnung verbunden sein und Datum sowie Zeitpunkt enthalten.^[5]

Für computergestützt erfasste Chargenzertifizierung und -freigabe enthält Abschnitt 15 zusätzlich besondere Vorgaben: Die Zertifizierung ist Qualified Persons vorbehalten; die freigebende beziehungsweise zertifizierende Person soll eindeutig erfasst werden, unter Verwendung einer elektronischen Signatur. Eine allgemeine interne Dokumentationsfreigabe ist davon zu unterscheiden.

Ein Approval Workflow ersetzt weder diese fachliche Zuständigkeit noch die Validierung des Systems für seinen vorgesehenen Zweck. Entscheidend ist, welche konkrete Freigabe abgebildet wird und welche Anforderungen dafür gelten.

Eine Freigabe lässt sich nur mit ihrem Gegenstand verstehen

Die Rückgabe von Prüfstand 2 und die Freigabe von Prüfstand 3 können beide korrekt dokumentiert sein. Entscheidend ist, dass die Oberfläche für die heutige Arbeit die gültige Entscheidung zeigt und die Historie deren Entstehung erklären kann.

Wer eine Freigabe später nachvollzieht, muss deshalb den geprüften Inhalt, die Bedeutung der Entscheidung und nachfolgende Änderungen zusammen betrachten. Erst diese Verbindung macht aus dem Wort „freigegeben“ eine verwendbare Aussage.

Eine Freigabe beweist nicht die Richtigkeit aller Ausgangsdaten. Die Qualität der Entscheidung hängt vom geprüften Stand ab. Ein Audit Trail ersetzt keinen Approval Workflow. Änderungshistorie und fachliche Entscheidungslogik erfüllen verschiedene Zwecke.