Automatisierte Compliance-Nachweise: Wie Nachweise während der Arbeit entstehen

Ein Nachweis muss eine konkrete Aussage tragen

Für das durchgehende Beispiel wird die Materialcharge RM-318 betrachtet. Sie soll nach der Arbeitsanweisung WI-27, Version 3.2, geprüft werden, bevor sie in einem weiteren Arbeitsschritt verwendet werden darf.

Während der Prüfung wird ein Temperaturwert von 6,4 °C aus einem angebundenen Messgerät übernommen. Die zuständige Person bestätigt zusätzlich, dass die Verpackung unbeschädigt ist. Anschließend bewertet die freigabeberechtigte Rolle die vorliegenden Angaben und gibt RM-318 zur Verwendung frei.

Eine bloße Sammlung einzelner Datensätze beantwortet die spätere Prüffrage noch nicht. Die nachweisrelevante Aussage lautet beispielsweise:

Materialcharge RM-318 wurde nach WI-27 Version 3.2 geprüft; der übernommene Messwert betrug 6,4 °C, die Verpackung wurde als unbeschädigt bestätigt und die Charge anschließend durch die dafür vorgesehene Rolle zur Verwendung freigegeben.

Der Unterschied ist wichtig. Ein Messwert beweist keine Freigabe. Eine Freigabe ohne Bezug zum geprüften Gegenstand erklärt nicht, worauf sie sich bezog. Und eine ausgeführte Aufgabe sagt noch nicht, nach welchem zu diesem Zeitpunkt geltenden Stand gearbeitet wurde.

Ein automatisierter Compliance-Nachweis ist deshalb nicht einfach ein automatisch erzeugtes PDF oder eine größere Menge an Logdaten. Entscheidend ist, ob aus der tatsächlichen Ausführung eine fachlich bestimmte Aussage entsteht, deren Bestandteile aufeinander bezogen bleiben.

Von ausgeführter Arbeit zur Nachweisaussage

Bei RM-318 entstehen die benötigten Informationen nicht alle auf dieselbe Weise. Der Objektbezug ist bereits bekannt, weil die Aufgabe für diese Charge geöffnet wurde. Die gültige Arbeitsanweisung ist dem Ausführungsschritt zugeordnet. Der Messwert kann technisch übernommen werden. Die Feststellung zum Zustand der Verpackung benötigt eine menschliche Eingabe. Die abschließende Freigabe wiederum ist eine eigene Entscheidung einer dafür vorgesehenen Rolle.

Für den Nachweis werden diese Informationen nicht als neue Parallelwelt noch einmal erfasst. Sie werden zu der Aussage zusammengeführt, die der reale Vorgang tragen soll:

• RM-318 ist der Gegenstand der Prüfung;
• WI-27 Version 3.2 ist der für diesen Schritt verwendete Stand;
• 6,4 °C und „Verpackung unbeschädigt“ bilden die dokumentierten Prüfungsergebnisse;
• die Freigabe ist die daraus folgende kontrollierte Entscheidung;
• Zeitpunkt und zugeordnete Identität beziehungsweise Rolle verbinden die Aussage mit ihrer tatsächlichen Ausführung.

Die einzelnen Bestandteile sind damit nicht deshalb wichtig, weil ein Datensatz möglichst viele Felder besitzen soll. Sie sind wichtig, weil ohne einen von ihnen eine andere oder schwächere Aussage entstünde. Fehlt etwa der verwendete Anweisungsstand, lässt sich später nicht ohne Weiteres zeigen, welche Vorgabe bei der Prüfung galt. Fehlt der Bezug der Freigabe zu RM-318, bleibt offen, auf welchen Gegenstand sich die Entscheidung bezog.

Einzelne Handlungen werden als Prozessereignisse mit ihrem jeweiligen Kontext erfasst. Für die Nachweisführung müssen sich mehrere dieser Informationen zu einer Aussage verbinden lassen, die den konkreten prüfungsrelevanten Vorgang beschreibt.

Ein Electronic Batch Record führt die vollständige elektronische Aufzeichnung einer ausgeführten Charge zusammen. Eine einzelne Nachweisaussage kann sich auf Teile dieses Records stützen, ersetzt aber nicht die gesamte Chargenaufzeichnung.

Regelwerke verlangen zeitnahe Aufzeichnungen und einen vollständigen Zusammenhang

Wie weit eine solche Nachweisführung regulatorisch gefordert ist, hängt vom jeweiligen Markt und dem konkreten Vorgang ab. Im Arzneimittel-GMP-Umfeld formulieren mehrere Primärquellen jedoch ein gemeinsames Gestaltungsprinzip: Aufzeichnungen sollen nicht erst nachträglich aus dem Gedächtnis oder aus temporären Zwischenständen hergestellt werden.

EU-GMP Kapitel 4 verlangt in Abschnitt 4.8, dass Aufzeichnungen zu dem Zeitpunkt erstellt oder vervollständigt werden, zu dem die jeweilige Handlung ausgeführt wird, und dass wesentliche Herstellungstätigkeiten nachvollziehbar bleiben.^[1] Für die Systemgestaltung bedeutet das nicht, dass jeder Arbeitsschritt maximal viele Daten erzeugen muss. Es bedeutet, dass die für die spätere Aussage erforderliche Aufzeichnung dort entstehen sollte, wo die Handlung tatsächlich stattfindet.

Die FDA beantwortet in ihrer Data-Integrity-Guidance ausdrücklich die Frage, wann elektronische Daten zu einem CGMP-Record werden. Werden Daten zur Erfüllung einer CGMP-Anforderung erzeugt, werden sie zum CGMP-Record; sie sind zum Zeitpunkt der Ausführung zu dokumentieren beziehungsweise zu speichern. Die FDA nennt als mögliches technisches Beispiel ein System, das nach jeder Eingabe automatisch speichert.^[2] Die Aussage ist für die Nachweislogik besonders relevant: Eine spätere Zusammenfassung ersetzt nicht automatisch die Aufzeichnung, die bereits bei der Handlung entstehen sollte.

Die MHRA setzt an derselben Stelle bei der Systemgestaltung an: Aufzeichnungen sollen am Ort der Tätigkeit verfügbar sein, damit keine informelle Erfassung mit späterer Übertragung entsteht. Für kritische Schritte in computergestützten Systemen soll die Ausführung zeitnah aufgezeichnet werden; mehrere einzelne Tätigkeiten sollten nicht unnötig zu einer einzigen später gespeicherten Transaktion zusammengezogen werden. ^[4] Für die Nachweisgestaltung folgt daraus keine Pflicht zu maximaler Protokolltiefe, sondern die Anforderung, den benötigten Record tatsächlich im Arbeitsschritt entstehen zu lassen.

PIC/S betrachtet in PI 041-1 auch hybride Systeme, in denen manuelle und elektronische Bestandteile zusammenwirken. Abschnitt 9.10 fordert für deren Review unter anderem Anweisungen dazu, wie elektronische und papierbasierte Daten zu einem vollständigen Record miteinander korreliert werden.^[3] Das zeigt die andere Seite derselben Aufgabe: Selbst wenn alle Einzelinformationen vorhanden sind, muss erkennbar bleiben, wie sie zu dem vollständigen Vorgang gehören.

Diese Quellen begründen keine allgemeine Pflicht zu einer bestimmten Softwarearchitektur. Sie zeigen aber, warum eine nachträgliche Rekonstruktion aus voneinander getrennten Informationsinseln schwächer ist als eine Gestaltung, bei der der Zusammenhang bereits während der Ausführung erhalten bleibt.

Automatisieren lässt sich die Erfassung – nicht jede fachliche Bewertung

Bei RM-318 können Objektbezug, Zeitpunkt, gültige Version und der Messwert weitgehend ohne erneute manuelle Eingabe in den Vorgang gelangen. Auch ein Statuswechsel kann technisch ausgelöst werden, sobald eine vorgesehene Entscheidung getroffen wurde.

PIC/S unterscheidet dabei manuelle und automatisierte Datenerfassung. Bei automatisierter Übernahme sollen die Schnittstellen zwischen Ursprungssystem, Datenerfassung und Aufzeichnung validiert sein; die übernommenen Daten sollen geschützt gespeichert und auf Vollständigkeit einschließlich relevanter Metadaten geprüft werden. ^[3] Automatisierung kann damit erneute Eingaben vermeiden, übernimmt aber nicht die fachliche Zuordnung des Messwerts zu RM-318 oder die anschließende Freigabeentscheidung.

Die Feststellung, ob eine beschädigte Verpackung fachlich akzeptabel ist, oder die Bewertung eines widersprüchlichen Belegs kann das System dadurch nicht automatisch übernehmen. Ebenso bleibt die Freigabe eine fachliche Entscheidung, wenn der Prozess hierfür menschliche Verantwortung vorsieht.

Automatisierte Nachweisführung soll diese Entscheidung belegen, nicht sie heimlich durch Datenerfassung ersetzen. Bei Human in the Loop muss die prüfende Person an diesem Entscheidungspunkt tatsächlich eingreifen können; die bloße Erfassung ihrer Bestätigung genügt dafür nicht.

Vollständigkeit richtet sich nach der Aussage, nicht nach der Protokollmenge

Ein System kann tausende technische Ereignisse speichern und trotzdem eine einfache fachliche Frage nicht beantworten. Für RM-318 wären zusätzliche Systemmeldungen über Seitenaufrufe, interne API-Aufrufe oder Hintergrundjobs nur dann nachweisrelevant, wenn sie für die konkrete Aussage tatsächlich Bedeutung besitzen. Eine Aussage zur Chargenrückverfolgung benötigt wiederum die tatsächlichen Materialverwendungen zwischen Eingangs- und Ausgangschargen; aus der Freigabe von RM-318 allein lassen sich diese späteren Verbindungen nicht ableiten.

Umgekehrt kann ein scheinbar kleiner fehlender Zusammenhang entscheidend sein. Wenn der Messwert 6,4 °C vorliegt, aber nicht mehr sicher der Charge RM-318 zugeordnet werden kann, lässt sich die Freigabeaussage nicht aus der Menge anderer Protokolldaten reparieren. Dasselbe gilt, wenn nicht mehr feststeht, welche Version der Arbeitsanweisung beim Prüfschritt gültig war.

Vollständigkeit bedeutet deshalb nicht „alles speichern“. Sie bedeutet, dass die konkrete Nachweisaussage ohne spekulative Zwischenschritte getragen wird. Ob die dafür verwendeten Daten über ihren Lebenszyklus vollständig, konsistent, genau und verfügbar bleiben, ist die weitergehende Aufgabe der Datenintegrität.

Korrekturen müssen die Nachweisaussage erweitern

Angenommen, nach der Freigabe wird festgestellt, dass nicht RM-318, sondern versehentlich eine falsche Gebindenummer innerhalb derselben Charge bestätigt wurde. Die Berichtigung darf den ursprünglichen Vorgang nicht so ersetzen, als hätte er nie stattgefunden.

Für die Nachweisführung entsteht vielmehr eine erweiterte Aussage: Was wurde zunächst bestätigt, was wurde später berichtigt, weshalb war die Berichtigung erforderlich und hatte sie Auswirkungen auf die bereits getroffene Freigabe?

Das Korrekturereignis hält ursprüngliche und korrigierte Informationen im Zusammenhang.

Der Audit Trail macht relevante Änderungen und ihre Prüfung nachvollziehbar.

Für automatisierte Nachweise genügt hier die Konsequenz: Ein Nachweis bleibt nur dann verständlich, wenn relevante Korrekturen und ihre Auswirkungen zur Aussage gehören können, statt den früheren Zustand unsichtbar zu machen.

Externe Verifikation ist eine zusätzliche Nachweisebene

Ein fachlich vollständiger Nachweis kann zusätzlich technisch gegen einen unabhängigen Bezugspunkt überprüfbar gemacht werden. Damit lässt sich beispielsweise feststellen, ob eine später vorgelegte Datenfolge noch zu einem zuvor gesicherten Referenzwert passt.

Diese zusätzliche Prüfbarkeit verändert aber nicht die fachliche Aussage selbst. Ein technisch unveränderter Datensatz kann unvollständig, falsch zugeordnet oder fachlich ungeeignet sein. Umgekehrt kann ein vollständig nachvollziehbarer Vorgang je nach Anforderung auch ohne externen Anker ordnungsgemäß dokumentiert sein.

Ein unabhängiger Bezugspunkt kann durch externe Datenverifikation zusätzliche technische Prüfbarkeit schaffen. Für automatisierte Compliance-Nachweise bleiben beide Ebenen zu unterscheiden: Fachliche Vollständigkeit entsteht aus dem Vorgang; technische Verifikation kann ihre spätere Prüfung ergänzen.

Wo automatisierte Nachweisführung an Grenzen stößt

Automatisierung verschiebt Fehlerquellen, sie beseitigt sie nicht. Wird ein Messgerät falsch zugeordnet, kann auch ein automatisch übernommener Wert dem falschen Gegenstand zugeschrieben werden. Ist im System eine veraltete Arbeitsanweisung als gültig konfiguriert, dokumentiert die automatische Versionserfassung sehr zuverlässig den falschen Stand. Und wenn eine Identität geteilt oder eine Rolle falsch vergeben wurde, macht ein sauberer Zeitstempel die Verantwortlichkeit nicht automatisch richtig.

Auch die Auswahl dessen, was überhaupt nachweisrelevant ist, bleibt eine fachliche Gestaltungsaufgabe. Ein Prozess kann nur das strukturiert erfassen, was bei seiner Modellierung berücksichtigt wurde. Unvorhergesehene Situationen, widersprüchliche Angaben oder qualitative Beobachtungen können zusätzliche Bewertung und Dokumentation erfordern.

Schließlich darf Automatisierung nicht dazu führen, dass die Oberfläche nur noch einen fertigen Nachweis präsentiert, während seine Grundlage für die zuständige Person unsichtbar bleibt. Wer eine Freigabe trifft oder eine Abweichung bewertet, muss die dafür relevanten Informationen in angemessener Form prüfen können.

Eine erzeugte Nachweisaussage ist deshalb nicht selbstprüfend. Die MHRA verlangt für GxP-Daten einen risikobasierten, dokumentierten Review einschließlich relevanter Metadaten; der Review-Record soll festhalten, ob Auffälligkeiten gefunden wurden, wann geprüft wurde und wer die Prüfung bestätigt hat. ^[4] PIC/S verlangt für kritische elektronische Daten entsprechend festgelegte Review-Verfahren und ordnet die Prüfung relevanter Audit-Trail-Informationen in den regulären Datenreview ein, bevor die Daten für eine kritische Entscheidung wie die Chargenfreigabe herangezogen werden. ^[3]

Automatisierte Nachweisführung ist deshalb am stärksten, wenn sie Routineerfassung reduziert und Zusammenhänge erhält, ohne die fachliche Verantwortung zu verdecken.

Eine einfache Prüffrage für die Nachweisgestaltung

Für RM-318 sollte später ohne nachträgliche manuelle Rekonstruktion beantwortet werden können:

Was geschah an welchem Gegenstand, nach welchem zu diesem Zeitpunkt geltenden Stand, mit welchem Ergebnis, durch wen beziehungsweise welche Rolle – und welche kontrollierte Entscheidung folgte daraus?

Kann das System diese Frage nur beantworten, indem Daten aus mehreren Quellen erst manuell zusammengesucht, zeitlich sortiert und fachlich verbunden werden, entsteht der Nachweis im Wesentlichen erst bei der Prüfung.

Kann die Aussage dagegen aus dem tatsächlichen Arbeitsvorgang heraus nachvollzogen werden, ist die Nachweisführung Teil der Prozessausführung geworden.