Lieferantenaudit digital: Was ein Remote-Audit belegen kann – und was nicht

Lieferantenqualifizierung bleibt auch bei ausgelagerter Herstellung eine eigene Verantwortung

Wer Herstellung oder Prüfung auslagert, muss wissen, ob der beauftragte Betrieb die vereinbarten Aufgaben unter den erforderlichen Bedingungen ausführen kann.

Im EU-GMP-Umfeld regelt Kapitel 7 den Umgang mit ausgelagerten Tätigkeiten. Der Auftraggeber muss die Eignung und Kompetenz des Auftragnehmers beurteilen, die Durchführung angemessen überwachen und die zugehörigen Ergebnisse bewerten. Die Verantwortlichkeiten sind vertraglich festzulegen. ^[1]

ICH Q10 beschreibt in Abschnitt 2.7 ebenfalls die Bewertung, Überwachung und Verbesserung ausgelagerter Tätigkeiten sowie die Kontrolle eingekaufter Materialien. ^[2]

Für die Auswahl und Qualifizierung von Ausgangsstofflieferanten enthält EU-GMP Kapitel 5 weitere Anforderungen. Insbesondere müssen die zuständigen Personen die Lieferanten, die Lieferkette und ihre Risiken kennen. ^[3]

Damit ist nicht jeder Lieferant gleichermaßen auditpflichtig. Art, Tiefe und Häufigkeit einer Prüfung hängen vom betroffenen Produkt, der Tätigkeit, dem Risiko und dem anwendbaren Regelwerk ab.

Der folgende fiktive Fall begleitet den Beitrag:

Ein Arzneimittelhersteller beauftragt einen externen Betrieb mit einem Verarbeitungsschritt für die Charge CH-918. Die zuständige QA-Leitung möchte überprüfen, ob die Arbeiten nach den vereinbarten Vorgaben ausgeführt wurden, welche Abweichungen aufgetreten sind und ob die erforderlichen Prüfungen abgeschlossen wurden.

Die Freigabeverantwortung lässt sich dabei nicht durch die bloße Übergabe eines Auditberichts erledigen.

Vor-Ort- und Remote-Audit liefern unterschiedliche Einblicke

Ein Remote-Audit eignet sich insbesondere zur Prüfung von Informationen, die der Auftragnehmer in geeigneter Form zugänglich machen kann.

Dazu gehören freigegebene Arbeitsanweisungen, Qualifikationsnachweise, Aufzeichnungen ausgeführter Tätigkeiten, Ergebnisse, Abweichungsberichte und dokumentierte Entscheidungen.

Ein Audit Trail kann helfen, relevante Änderungen einer elektronischen Aufzeichnung einschließlich ihrer Vorgeschichte zu untersuchen. Auch Live-Interviews mit verantwortlichen Personen sind aus der Ferne möglich.

Das bedeutet jedoch nicht, dass ein Bildschirm sämtliche Beobachtungen vor Ort ersetzt.

Bei einer Begehung lassen sich beispielsweise der Zustand von Räumen und Anlagen, die tatsächliche Arbeitsorganisation und das Verhalten während der Durchführung unmittelbar beobachten. Auch spontane Rückfragen und Beobachtungen abseits vorbereiteter Unterlagen gehören zum möglichen Prüfungsumfang.

Videoübertragungen können einzelne dieser Beobachtungen unterstützen. Perspektive, Auswahl des Bildausschnitts und Sichtbarkeit bleiben allerdings begrenzt.

Behördliche Ferninspektionen sind davon zu unterscheiden: Sie folgen den jeweils einschlägigen behördlichen Verfahren und ergänzenden Hinweisen, etwa der EMA-Leitlinie zu Distant Assessments. Diese Leitlinie ist kein unmittelbar geltender Maßstab für private Lieferantenaudits. ^[7]

Auch Zertifizierungsaudits, beispielsweise zur Bewertung eines Qualitätsmanagementsystems nach ISO-Normen, besitzen einen eigenen Prüfgegenstand und zugehörige Verfahrensregeln. Sie sind nicht mit der lieferantenbezogenen Qualifizierung einer ausgelagerten Herstellung gleichzusetzen.

Für CH-918 lässt sich aus der Ferne untersuchen, ob eine Reinigung dokumentiert und geprüft wurde. Ob die Anlage im relevanten Zeitraum tatsächlich den erforderlichen Zustand aufwies, kann zusätzliche Nachweise oder eine Vor-Ort-Prüfung erfordern.

Ein risikobasiertes Hybridmodell verbindet deshalb die jeweils geeigneten Prüfverfahren.

Papier vor der Kamera beseitigt den eigentlichen Engpass nicht

Bei einem digitalen Lieferantenaudit zählt nicht nur, ob eine Information angezeigt werden kann. Entscheidend ist, ob der Auditor ihren Zusammenhang prüfen kann.

Vier Schwierigkeiten treten besonders hervor:

Lesbarkeit: Fotografierte Seiten oder abgefilmte Aufzeichnungen sind mitunter schwer zu erkennen. Randvermerke, Tabellen und Unterschriften können verloren gehen.

Vollständigkeit: Der Auditor sieht zunächst nur die ausgewählten Unterlagen. Ob weitere Aufzeichnungen, Korrekturen oder Vorgänge existieren, ist damit noch ungeklärt.

Auswahl durch den Geprüften: Wenn ausschließlich der Auftragnehmer bestimmt, welche Bildschirmansichten geöffnet werden, ist die Unabhängigkeit der Stichprobe eingeschränkt.

Fehlender Zusammenhang: Ein einzelner Prüfwert beantwortet nicht, welches Material geprüft wurde, welche Vorgabe galt und welche Entscheidung anschließend getroffen wurde.

Für CH-918 zeigt der externe Hersteller eine Tabelle mit einem unauffälligen Prüfergebnis. Die QA-Leitung benötigt zusätzlich die Zuordnung zur Charge, die geltende Spezifikation und die Dokumentation möglicher Korrekturen.

Hier berührt das Lieferantenaudit die Grundsätze von ALCOA+: Angaben müssen unter anderem zuordenbar, lesbar, zeitnah, ursprünglich und korrekt sein.

Auch die Datenintegrität über den gesamten Datenlebenszyklus ist relevant. Ein Dateiexport genügt nicht, wenn notwendige Metadaten oder Beziehungen dabei verloren gehen.

Ein elektronischer Nachweis ist daher mehr als eine eingescannte Papierseite.

Laufender Einblick macht den Chargenverlauf früher überprüfbar

Der größte praktische Unterschied entsteht, wenn qualitätsrelevante Informationen bereits während der beauftragten Tätigkeit strukturiert erfasst werden.

Für CH-918 muss die QA-Leitung dann nicht zwingend bis zur vollständigen Chargendokumentation warten, um bestimmte offene Vorgänge zu erkennen. Vereinbarte Zwischenstände lassen sich zeitnah bereitstellen: Ist die Verarbeitung abgeschlossen? Liegt ein Prüfergebnis vor? Wurde eine Abweichung bearbeitet? Welche Freigabe steht noch aus?

Ein Electronic Batch Record verbindet die dokumentierte Chargenausführung mit ihren Arbeitsschritten, Ergebnissen und Prüfungen. Bei mehrstufiger Verarbeitung ist außerdem wichtig, dass Materialbewegungen und Folgechargen über die Chargenrückverfolgung nachvollziehbar bleiben.

Ein solcher Einblick verändert die Auditvorbereitung. Statt zunächst verstreute Dateien zusammenzutragen, kann die Prüfung bei einer konkret betroffenen Charge und ihren offenen Fragen beginnen.

Die externe Datenverifikation behandelt darüber hinaus, wie ausgewählte Aufzeichnungen gegen einen geschützten Bezugspunkt technisch geprüft werden können. Sie beantwortet damit eine andere Frage als die fachliche Richtigkeit der dokumentierten Herstellung.

Der laufende Einblick setzt jedoch vereinbarte Zugriffsrechte, geeignete Datenformate und klare Zuständigkeiten voraus. Er begründet keinen uneingeschränkten Zugriff des Auftraggebers auf sämtliche Betriebsdaten.

Vertraulichkeit, Geschäftsgeheimnisse und Datenhoheit des Auftragnehmers bleiben zu berücksichtigen. Die relevanten Nachweise müssen sich auf den vereinbarten Prüfzweck beschränken lassen.

Lieferantenbewertung verbindet Auditbefunde und Betriebserfahrung

Eine Lieferantenbewertung sollte nicht nur das Ergebnis eines einzelnen Audits wiedergeben. Auch Reklamationen, festgestellte Abweichungen, Zuverlässigkeit der Lieferungen und die Umsetzung vereinbarter Maßnahmen können zur Bewertung beitragen.

Für CH-918 zeigt das Audit möglicherweise eine vollständig dokumentierte Verarbeitung. Gleichzeitig könnten wiederholt verspätete Prüfberichte oder unzureichend abgeschlossene Abweichungen vorliegen. Diese Informationen verändern die Einschätzung des Auftragnehmers.

ICH Q9(R1) beschreibt Grundsätze des Qualitätsrisikomanagements, mit denen Umfang und Formalität von Bewertungen an Risiko und Unsicherheit ausgerichtet werden. ^[4]

Die Auswertung von Prozessvarianten kann ergänzend zeigen, ob bestimmte Nacharbeiten oder Verzögerungen bei vergleichbaren Aufträgen häufiger auftreten. Ein beobachtetes Muster ist jedoch noch kein Nachweis seiner Ursache.

Die Bewertung bestimmt schließlich, ob eine erneute Prüfung erforderlich ist, welche Bereiche genauer untersucht werden sollen und ob ein Remote-, Vor-Ort- oder kombiniertes Audit angemessen ist.

Für ausgelagerte Tätigkeiten im Arzneimittelgroßhandel verlangen die EU-GDP-Leitlinien in Kapitel 7 ausdrücklich eine risikobasierte Festlegung der Auditfrequenz. ^[5]

Ein festes Jahresaudit ist deshalb kein allgemeingültiger Maßstab für jeden Lieferanten.

Qualitätssicherungsvereinbarungen müssen den Informationszugang festlegen

Ein laufender Informationsaustausch funktioniert nur, wenn beide Parteien wissen, welche Daten wann und in welcher Form bereitgestellt werden sollen.

Im EU-GMP-Umfeld verlangt Kapitel 7 eine schriftliche Vereinbarung mit klaren Verantwortlichkeiten und Kommunikationswegen. ^[1]

Für ein digitales Lieferantenaudit sollten die Parteien insbesondere festlegen, welche Aufzeichnungen zum Prüfgegenstand gehören, wie Stichproben ausgewählt werden, in welchen Fristen Unterlagen verfügbar sein müssen und wer Rückfragen beantwortet.

Ebenso wichtig ist der Umgang mit Abweichungen: Wann wird der Auftraggeber informiert? Welche Ergebnisse muss er vor einer Entscheidung einsehen können? Wie werden Korrekturen und Nacharbeiten kenntlich gemacht?

Ein Approval Workflow kann als fachliches Modell verdeutlichen, dass Vorlage, Prüfung, Rückgabe und erneute Freigabe unterschiedliche Zustände sind.

Für CH-918 wäre beispielsweise zu vereinbaren, dass qualitätskritische Abweichungen zeitnah mitgeteilt werden und die zugehörigen Aufzeichnungen vor der abschließenden Chargenbewertung verfügbar sind.

Die Vereinbarung sollte außerdem Zugriffsbeschränkungen, Vertraulichkeit, Aufbewahrung und den Umgang mit technischen Ausfällen abdecken.

Die Möglichkeit eines Remote-Zugriffs ersetzt nicht die Pflicht, Eignung, Umfang und Aussagekraft des Audits selbst zu bewerten. Ein digitales Lieferantenaudit gewinnt seinen Wert aus den überprüfbaren Beziehungen zwischen Vorgängen, Nachweisen und verantwortlichen Entscheidungen – nicht allein aus dem Wegfall einer Dienstreise.