Korrekturereignis: Wie Fehler berichtigt werden, ohne die Historie zu überschreiben

Eine Berichtigung mit bestimmtem Bezug und bestimmter Wirkung

Der Begriff wird hier als Oberbegriff für Wertberichtigung, Ergänzung oder Aufhebung einer bisherigen Wirkung verwendet. Art, Grund und Auswirkung werden getrennt angegeben.

Es handelt sich um ein fachliches Modellierungsprinzip, nicht um eine einheitlich definierte regulatorische Ereignisklasse. Entscheidend sind der eindeutige Bezug auf den Ursprung, der begründete neue Inhalt und die Regeln, nach denen er wirksam wird. Das folgende fiktive Beispiel trennt deshalb die Berichtigung eines Messwerts von ihren möglichen Folgen für den Bestand.

Beispiel: Ein falsches Trockengewicht wird berichtigt

In einem fiktiven Beispiel erfasst eine Bedienperson nach einer Trocknungsphase ein Trockengewicht von 4.820 Gramm. Der Vorgang ist mit Charge, Aufgabe, Waage, Einheit, Zeitpunkt, Benutzeridentität und Arbeitsanweisung verbunden. Nach einer Plausibilitätsprüfung stellt sich heraus, dass beim Ablesen zwei Ziffern vertauscht wurden; das dokumentierte Waagenergebnis beträgt 4.280 Gramm.

Die ursprüngliche Messwerterfassung wird nicht geändert. Die berechtigte Person startet eine Korrektur, wählt „Messwert berichtigen“ als Vorgangsart und nennt „Übertragungsfehler“ als Grund, verweist auf den Messwerteintrag und gibt 4.280 Gramm als korrigierten Wert an. Die Ablesedokumentation wird als Beleg zugeordnet. Weil der Wert bereits einen Inventarbestand beeinflusst hat, verlangt der Prozess eine zweite Prüfung.

Nach Bestätigung wird der gültige Messwert auf 4.280 Gramm berichtigt. Die Differenz zur früheren Erfassung beträgt minus 540 Gramm. Ob daraus eine gleich hohe Bestandskorrektur folgt, muss anhand der bereits erfolgten Buchungen geprüft werden; dieselbe Differenz darf nicht mehrfach verrechnet werden. Abhängige Berechnungen werden zunächst als prüfbedürftig gekennzeichnet. Erst nach abgeschlossener Neubewertung dürfen sie als geprüft gelten. In der Historie bleiben die ursprüngliche Erfassung, die erkannte Abweichung, die Korrektur und ihre Prüfung als getrennte Vorgänge sichtbar.

Ein Audit Trail zeichnet relevante Änderungen kontrolliert nach. Das Korrekturereignis beschreibt enger die fachliche Handlung, mit der eine konkrete frühere Aufzeichnung berichtigt und ihre Wirkung fortgeschrieben wird.

Die Korrektur benötigt einen eindeutigen Bezug

Eine Berichtigung ist nur verständlich, wenn erkennbar bleibt, welche konkrete Aufzeichnung sie betrifft. Der bloße Hinweis „Wert korrigiert“ genügt bei mehreren Messungen oder Buchungen nicht. Das Korrekturereignis sollte deshalb eine stabile Referenz auf den ursprünglichen Eintrag enthalten.

Je nach Datenmodell kann es sich auf einen einzelnen Wert, einen vollständigen Vorgang oder einen daraus abgeleiteten Zustand beziehen. Bei einer Temperaturmessung wird beispielsweise der konkrete Messwerteintrag referenziert. Bei einer irrtümlichen Freigabe kann die Korrektur dagegen die Wirkung eines gesamten Freigabevorgangs aufheben.

Mehrere Korrekturen desselben Eintrags müssen ebenfalls geordnet bleiben. Die aktuelle Sicht darf nicht lediglich „den letzten Wert“ verwenden, wenn zwischenzeitlich eine Korrektur zurückgenommen, geprüft oder abgelehnt wurde. Die Ereignistypen und ihre zulässigen Übergänge bestimmen, welcher Stand fachlich gilt.

Korrektur, Ergänzung, Stornierung und Löschung unterscheiden

• Korrektur: Eine fehlerhafte Angabe wird durch einen nachvollziehbar begründeten gültigen Inhalt berichtigt.
• Ergänzung: Fehlender Kontext wird hinzugefügt, ohne den vorhandenen Inhalt als falsch zu erklären.
• Stornierung: Die fachliche Wirkung eines Vorgangs wird aufgehoben; der Vorgang selbst bleibt historisch erkennbar.
• Wiederholung: Eine Tätigkeit oder Prüfung wird erneut ausgeführt und erzeugt ein neues eigenständiges Ergebnis.
• Löschung: Daten werden entfernt oder unzugänglich gemacht. Dafür gelten andere technische, rechtliche und organisatorische Regeln.

Diese Vorgänge sollten nicht über einen universellen Button „Bearbeiten“ abgebildet werden. Unterschiedliche Bedeutungen benötigen unterscheidbare Ereignistypen, Regeln und Berechtigungen. Nur dann kann die spätere Auswertung erkennen, was tatsächlich geschehen ist.

Welche Angaben ein Korrekturereignis benötigt

Der notwendige Inhalt richtet sich nach der Kritikalität des betroffenen Datums. Für eine belastbare Grundstruktur sind typischerweise folgende Angaben erforderlich:

• eigene Ereigniskennung für die eindeutige Identität der Korrektur;
• Referenz auf den Ursprungseintrag oder auf den zu korrigierenden Vorgang;
• bisheriger und korrigierter Inhalt, soweit dies zum Verständnis erforderlich ist;
• Korrekturart, etwa Berichtigen, Ergänzen, Stornieren oder Wirkung aufheben;
• fachlicher Grund in einer verständlichen und überprüfbaren Form;
• ausführende Identität einschließlich Rolle oder Systemkomponente;
• Zeitpunkt der Korrektur sowie gegebenenfalls abweichende fachliche Gültigkeit;
• Prüfung oder Freigabe, wenn der Prozess eine zweite Rolle verlangt;
• Auswirkungen auf abhängige Zustände, Berechnungen, Berichte oder Folgeaufgaben.

Auswahllisten können standardisierte Gründe unterstützen, dürfen aber eine notwendige Erklärung nicht verhindern. Umgekehrt erzeugt ein beliebiges Freitextfeld allein noch keine konsistente Korrekturklassifikation. Häufig ist eine Kombination sinnvoll: definierte Korrekturart, strukturierter Grund und optionale Erläuterung.

Welche Belege tragen den neuen Wert?

Im Trockengewichtsfall stützt sich die Berichtigung auf das dokumentierte Waagenergebnis. Das ist eine andere Beleglage als eine spätere Schätzung oder eine neue Wägung. Eine erneute Messung findet unter möglicherweise veränderten Bedingungen statt und muss als eigener Vorgang erkennbar bleiben.

Für die Datenintegrität zählt deshalb nicht nur die ausgefüllte Korrekturmaske. Der Beleg muss zum betroffenen Vorgang passen, seine Herkunft nachvollziehbar sein und die Änderung tatsächlich tragen. Bleibt die Ursache ungeklärt, darf die Beschreibung diese Unsicherheit nicht durch einen scheinbar präzisen Standardgrund verdecken.

Erfassungszeit und fachliche Gültigkeit unterscheiden

Eine Korrektur wird zu einem bestimmten Zeitpunkt vorgenommen, kann sich aber auf einen früheren Sachverhalt beziehen. Diese beiden Zeiten dürfen nicht vermischt werden. Der Korrekturzeitpunkt beantwortet, wann die Berichtigung tatsächlich erfasst wurde. Der fachliche Bezug erklärt, für welchen Vorgang oder Zeitraum der korrigierte Inhalt gilt.

Eine rückdatierte Überschreibung würde den Anschein erwecken, der richtige Wert sei bereits ursprünglich bekannt gewesen. Ein eigenständiges Korrekturereignis erhält dagegen die zeitliche Wahrheit: Zuerst wurde eine Angabe erfasst; später wurde ihr Fehler erkannt und berichtigt.

Bei verspäteten Eingaben kommt eine dritte Perspektive hinzu. Der reale Vorgang kann bereits stattgefunden haben, bevor er im System dokumentiert wird. Dann sollten Ereigniszeit, Erfassungszeit und gegebenenfalls Korrekturzeit getrennt vorliegen. Nur so lassen sich Reihenfolge und Verzögerung sachlich beurteilen.

Berechtigung, Begründung und Prüfung bleiben getrennte Kontrollen

Nicht jede Person sollte jede Aufzeichnung korrigieren dürfen. Berechtigungen müssen zum Prozess und zur Rolle passen. Eine Person kann beispielsweise eigene Eingabefehler berichtigen, während die Korrektur eines freigegebenen Prüfergebnisses eine zusätzliche Qualitätsrolle erfordert.

Die Identität der ausführenden Person beantwortet, wer gehandelt hat. Der Grund erklärt, warum die Korrektur vorgenommen wurde. Eine Prüfung beurteilt, ob sie fachlich zulässig und ausreichend belegt ist. Diese drei Informationen dürfen nicht zu einem einzigen Status verschmolzen werden.

EU-GMP Annex 11 fordert, dass Änderungen und Löschungen GMP-relevanter Daten aufgezeichnet und ihre Gründe dokumentiert werden; zugleich sollen Zugriffsrechte auf autorisierte Personen beschränkt sein.^[4] Welche konkrete Freigabelogik erforderlich ist, lässt sich daraus nicht pauschal für jeden Datentyp ableiten. Sie muss risikobasiert im jeweiligen Verfahren festgelegt werden.

Entwurf, bestätigte Aufzeichnung und freigegebener Zustand

Nicht jede Berichtigung muss denselben formalen Ablauf durchlaufen. Ob eine Eingabe direkt bearbeitet werden darf, hängt auch davon ab, ob bereits eine aufbewahrungspflichtige Aufzeichnung entstanden ist. Im FDA-CGMP-Bereich werden Daten, die zur Erfüllung einer CGMP-Anforderung erzeugt werden, bereits bei ihrer Entstehung zu entsprechenden Aufzeichnungen. Die Bezeichnung „Entwurf“ hebt diese Anforderungen nicht auf.^[3] Bearbeitbare Vorstufen müssen deshalb von bereits zu erhaltenden Aufzeichnungen unterschieden werden; erforderliche Änderungen bleiben nachvollziehbar.

Nach der Bestätigung verändert sich die Situation. Die Aufzeichnung kann bereits einen Materialbestand, einen Chargenzustand, ein Prüfergebnis oder eine Folgeaufgabe beeinflusst haben. Eine nachträgliche Änderung sollte dann nicht wie die Korrektur eines Tippfehlers im noch offenen Formular behandelt werden. Sie benötigt einen eigenen Vorgang und eine definierte Auswirkung.

Besonders sensibel sind freigegebene Daten. Wird etwa ein Wert korrigiert, der Grundlage einer Freigabe war, kann die ursprüngliche Entscheidung nicht automatisch als weiterhin gültig angenommen werden. Die Korrektur sollte den betroffenen Zustand kenntlich machen und den vorgesehenen Bewertungsweg auslösen. Je nach Risiko kann dies eine erneute fachliche Prüfung, eine vorübergehende Sperre oder eine neue Freigabeentscheidung sein.

Entwurf, Bestätigung und Freigabe beschreiben Bearbeitungszustände. Welche Korrekturkontrollen erforderlich sind, ergibt sich zusätzlich aus Art und Zweck der Aufzeichnung, ihrer bisherigen Verwendung und den anwendbaren Anforderungen. Auch eine noch nicht freigegebene Aufzeichnung kann bereits vollständig zu erhalten sein.

Eine Korrektur muss ihre fachliche Wirkung festlegen

Das Speichern eines neuen Eintrags reicht nicht, wenn unklar bleibt, wie er auf den aktuellen Zustand wirkt. Das System benötigt Regeln dafür, ob der korrigierte Wert den bisherigen ersetzt, eine Differenz bucht, einen Vorgang storniert oder eine erneute Prüfung auslöst.

Bei Mengen ist eine Differenzbuchung häufig sinnvoll: Statt einen Gesamtwert erneut zu setzen, beschreibt das Korrekturereignis die Veränderung. Bei Textangaben kann eine neue Fassung gelten. Bei Entscheidungen ist möglicherweise kein „neuer Wert“, sondern ein formaler Widerruf mit anschließender Neubewertung erforderlich.

Event Sourcing kennt hierfür kompensierende Ereignisse. Microsoft beschreibt sie als neue Ereignisse, die die Wirkung früherer Ereignisse aufheben oder korrigieren, während die ursprünglichen Ereignisse im Stream erhalten bleiben.^[5] Ein Korrekturereignis kann diesem Muster folgen, ohne dass die gesamte Anwendung Event Sourcing einsetzen muss.

Nachgelagerte Auswirkungen dürfen nicht verborgen bleiben

Ein korrigierter Ausgangswert kann bereits in Berechnungen, Berichten, Bestandsständen oder Entscheidungen verwendet worden sein. Die Berichtigung des Ursprungs aktualisiert diese Ergebnisse nicht automatisch fachlich korrekt. Zunächst muss erkennbar werden, welche abhängigen Objekte betroffen sein können.

Das System kann Folgeaufgaben erzeugen, Berechnungen neu ausführen oder Ergebnisse als prüfbedürftig markieren. Ob eine erneute Freigabe nötig ist, entscheidet jedoch der definierte Prozess. Eine automatische Neuberechnung darf keine bereits getroffene menschliche Entscheidung still rückwirkend verändern.

Auch externe Systeme sind einzubeziehen. Wurde der ursprüngliche Wert bereits übertragen, benötigt die Schnittstelle einen eindeutigen Korrekturvorgang oder eine abgestimmte neue Version. Andernfalls zeigen Quell- und Zielsystem unterschiedliche Wahrheiten, obwohl die lokale Historie korrekt fortgeschrieben wurde.

Warum Überschreiben die Vergangenheit verdeckt

Wird ein vorhandener Wert direkt ersetzt, zeigt der Datensatz anschließend nur noch den neuen Stand. Ohne zusätzliche Historie ist nicht mehr feststellbar, dass vorher eine andere Angabe existierte, wann sie verändert wurde und wer die Änderung vorgenommen hat. Gerade bei Messungen, Materialbuchungen, Prüfergebnissen und Freigaben kann dadurch ein entscheidender Teil des Prozessverlaufs verloren gehen.

MHRA und PIC/S verlangen für relevante elektronische Änderungen eine nachvollziehbare Erhaltung ursprünglicher Informationen sowie eine Zuordnung von Änderung, Zeitpunkt und Person.^[1][2] Die FDA beschreibt Audit Trails entsprechend als sichere, computergenerierte und zeitgestempelte elektronische Aufzeichnungen, die Entstehung, Änderung oder Löschung von Daten rekonstruieren lassen.^[3]

Ein Korrekturereignis erfüllt diese Anforderungen nicht automatisch. Es schafft zunächst eine klare Datenstruktur, in der Ursprung und Berichtigung getrennt bleiben. Ob die Aufzeichnung ausreichend ist, hängt zusätzlich von Prozess, Risiko, Berechtigungen, Begründung, Prüfung und anwendbarem Regelungsrahmen ab.

Korrekturereignisse sind selbst auswertbare Prozessdaten

Eine einzelne Berichtigung kann ein normaler menschlicher Vorgang sein. Häufen sich Korrekturen an derselben Aufgabe, bei derselben Eingabeart oder nach derselben Arbeitsanweisung, entsteht ein eigenständiges Prozesssignal. Die Ereignisse sollten deshalb nicht nur für die Rekonstruktion eines Einzelfalls, sondern auch für eine übergreifende Auswertung strukturiert bleiben.

Sinnvolle Kennzahlen können Korrekturhäufigkeit, Zeit bis zur Entdeckung, wiederkehrende Gründe, betroffene Datentypen und erforderliche Folgeprüfungen sein. Solche Werte beweisen noch keine mangelhafte Arbeit. Sie helfen zunächst, Stellen zu erkennen, an denen Eingabeführung, Schulung, Geräteintegration oder Prozessgestaltung überprüft werden sollten.

Auch die Wirksamkeit einer Verbesserung lässt sich beobachten. Wird beispielsweise eine manuelle Übertragung durch eine Waagenschnittstelle ersetzt, kann die spätere Entwicklung entsprechender Übertragungsfehler verglichen werden. Die Korrekturhistorie wird damit zu Lernmaterial, ohne einzelne Berichtigungen vorschnell als persönliches Fehlverhalten zu bewerten.

Wann eine Berichtigung noch offen bleibt

Ein neuer Wert kann geprüft sein, während die Auswirkung auf einen exportierten Bericht noch offen ist. Umgekehrt kann eine technische Schnittstellenmeldung zugestellt worden sein, ohne dass die empfangende Stelle ihre Entscheidung neu bewertet hat. Ein einzelner Gesamtstatus würde diese Unterschiede verdecken.

Der Abschluss sollte daher erkennen lassen, was bereits erledigt wurde, welche Folgen geprüft wurden und welche Unsicherheiten verbleiben. Unbekannte Abhängigkeiten lassen sich nicht durch das Setzen eines Erledigt-Kennzeichens ausschließen. Für Löschung und Aufbewahrung gelten zudem eigene Verfahren; ein Berichtigungsvorgang ersetzt sie nicht.

Vom korrigierten Wert zum abgeschlossenen Vorgang

Die Differenz von minus 540 Gramm beantwortet im Beispiel nur die Frage, wie stark sich der erfasste Messwert ändert. Sie beantwortet noch nicht, welcher Bestand anzupassen ist oder welche Entscheidung erneut betrachtet werden muss.

Eine nachvollziehbare Berichtigung hält diese Schritte auseinander: belegter Ursprung, begründeter neuer Inhalt, freigegebene Wirkung und bearbeitete Folgen. Erst dadurch kann eine spätere Prüfung erkennen, ob lediglich ein Wert ersetzt oder der Fehler mit seinen tatsächlichen Auswirkungen behandelt wurde.