Workflow-Software in regulierten Prozessen: Einführung und Betrieb

Den ersten Einsatzbereich begrenzen

Ein geeigneter Pilot hat einen erkennbaren Anfang und ein überprüfbares Ende. „Die Lagerprozesse digitalisieren“ lässt offen, welche Arbeit zuerst umgestellt wird. Ein klarer Auftrag wäre dagegen: Materialanforderungen aus einer Produktionslinie werden vom Lager bearbeitet; der Transfer endet mit der dokumentierten Übernahme am Ziel und dem Abgleich der zugehörigen Buchungen.

Als fiktives Beispiel dient hier das Einführungsprojekt MT-47. Es umfasst Transfers vom Lager zur Produktionslinie LP-09. Die Materialauswahl und ihre fachlichen Verwendungsvoraussetzungen sind bereits geregelt. Neu eingeführt werden die digitale Bearbeitung der Transferaufträge und die Übergabe der zugehörigen Angaben an das bestehende Bestandssystem. Lieferantenanlieferung, Herstellung und Versand gehören nicht zum Pilotumfang. Die folgenden Vorgehensweisen sind redaktionelle Vorschläge für diesen Beispielfall, keine allgemeingültige Verfahrensanweisung.

Zu Beginn sitzen Lager, Produktion, fachliche Qualitätssicherung und IT gemeinsam am tatsächlichen Ablauf. Sie klären, wer die Einführung verantwortet, wer Entscheidungen bei offenen Fragen treffen darf und wer später im Betrieb erreichbar ist. Für GMP-relevante computergestützte Systeme adressiert Annex 11 Nr. 2 die Zusammenarbeit der beteiligten Funktionen sowie Qualifikation, Zugangsrechte und definierte Verantwortlichkeiten.^[1]

Das erste Arbeitsergebnis ist eine kurze Pilotbeschreibung: beteiligte Arbeitsplätze, einbezogene Transfers, ausgeschlossene Vorgänge und benannte Verantwortliche. Die fachliche Beschreibung des Ablaufs kann auf Workflow-Modellen aufbauen. Hier geht es darum, ihren Einsatz im Betrieb vorzubereiten. Die vorgelagerte Auswahl von Compliance-Software prüft dagegen, ob die benötigten Funktionen tatsächlich angeboten werden.

Bevor die Einführung beginnt, muss feststehen, welcher Ablauf in der Produktion zuerst digitalisiert werden soll. Dazu gehören das beobachtete Problem, die Häufigkeit des Falls, seine Fehlerfolgen und die dafür verfügbare Information.

Für die technische Umsetzung beschreibt Weske die Konfigurationsphase als Übergang vom entworfenen Prozess zur ausführbaren Realisierung: Das Prozessmodell wird um technische Informationen ergänzt, das System auf das organisatorische Umfeld abgestimmt und bestehende Anwendungen werden eingebunden. Erst nach Konfiguration und Prüfung beginnt mit der Ausführung konkreter Prozessinstanzen der Laufzeitbetrieb.^[3]

Daten und Schnittstellen eindeutig zuordnen

Im Projekt MT-47 bleibt das Bestandssystem für die Bestandsbuchungen zuständig. Die neue Anwendung führt die Transferaufgaben. Damit entstehen zwei verschiedene Auskünfte: wo die Bearbeitung eines Auftrags steht und welche Materialbewegung bereits gebucht wurde. Für jeden Datenaustausch wird festgelegt, welche Information übergeben wird, welches System sie führt und wer eine unklare Zuordnung auflöst.

Transfer TR-218 betrifft zwei eindeutig gekennzeichnete, geschlossene Gebinde mit jeweils 6 kg. Bereits diese einfache Angabe wirft praktische Fragen auf: Wird die Anzahl der Gebinde oder die Masse übertragen? Woher stammen die Gebindekennungen? Was geschieht, wenn das Bestandssystem einen Zielort unter einer anderen Kennung führt? Diese Entscheidungen gehören vor den ersten produktiven Transfer.

Annex 11 Nr. 5 behandelt im GMP-Bereich Kontrollen des elektronischen Datenaustauschs; Nr. 4.8 verlangt bei einer Migration Prüfungen auf unveränderten Wert und unveränderte Bedeutung der Daten.^[1] Im Pilot werden deshalb auch vorhandene offene Transferunterlagen gesichtet: Welche werden übernommen, welche im bisherigen Verfahren abgeschlossen? Eine Liste der Entscheidungen verhindert, dass dieselben offenen Vorgänge unbemerkt in beiden Arbeitsvorräten erscheinen.

Ausnahmen und Ausfälle vor dem Start erproben

Für TR-218 wird in einer Übung die Verbindung zum Bestandssystem unterbrochen, nachdem die Gebinde physisch an LP-09 übergeben wurden. Die neue Anwendung zeigt noch keine bestätigte Bestandsbuchung. Ein erneuter Transport wäre keine passende Reaktion: Das Material befindet sich bereits am Ziel. Zuerst muss geklärt werden, was tatsächlich geschehen ist und welche Rückmeldung fehlt.

Vor der Übung benennt das Projektteam die Person, die über den zulässigen Ersatzbetrieb entscheidet, sowie eine Vertretung. Es legt dessen zeitliche Grenze und die Bedingungen für einen früheren Abbruch fest. Die fachliche Zulässigkeit weiterer Arbeit bleibt dabei gesondert zu prüfen. Ein Schnittstellenausfall erlaubt weder eine Materialverwendung noch eine Umgehung bestehender Prüfungen.

Im Beispiel erfasst der Ersatznachweis die Kennung TR-218, die beteiligten Gebinde, die tatsächliche Übergabe und die beteiligten Personen. Nach Wiederherstellung der Verbindung gleicht die zuständige Person diesen Nachweis mit den vorhandenen Aufzeichnungen und Buchungen ab. Sie klärt offene Widersprüche, bevor der Vorgang als abgeglichen gilt. Zur Übung gehört auch, ob sie diese Informationen ohne Hilfe des Projektteams findet.

Technische Wiederanläufe und mehrfach eintreffende Antworten gehören zur Laufzeitverantwortung der Workflow Engine. Die Einführungsaufgabe ist hier die Handlungsfähigkeit der Organisation: Wer darf entscheiden, wer dokumentiert und wer beendet den Ersatzbetrieb? Annex 11 Nr. 16 nennt für kritische GMP-Prozesse dokumentierte und getestete Vorkehrungen bei Systemausfällen.^[1]

Den vorgesehenen Einsatz risikobasiert prüfen

Ein erfolgreicher Standarddurchlauf zeigt zunächst, dass genau dieser Durchlauf funktioniert hat. Im Projekt MT-47 interessiert ebenso, ob eine falsche Zielzuordnung auffällt, eine fehlende Buchungsbestätigung bearbeitet werden kann und eine Vertretung den Ersatznachweis versteht. Die Auswahl der Prüfungen richtet sich danach, welche Fehler im vorgesehenen Einsatz welche Folgen haben könnten.

Annex 11 Nr. 4 verbindet im GMP-Bereich die Validierungsdokumentation mit dem Lebenszyklus. Nr. 4.4 betrifft risikobasierte, nachvollziehbare Nutzeranforderungen; Nr. 4.7 geeignete Tests einschließlich Grenzen und Fehlerbehandlung.^[1] Für MT-47 lässt sich daraus eine praktische Dokumentationsfrage ableiten: Kann die fachlich verantwortliche Person für eine wichtige Anforderung die durchgeführte Prüfung und ihr Ergebnis auffinden?

Die MHRA formuliert in Abschnitt 6.19 für computergestützte Systeme im GMP-Bereich ergänzend eine wichtige Grenze: Eine Validierung für den vorgesehenen Zweck setzt voraus, die Funktion des Systems im konkreten Prozess zu verstehen. Hersteller- oder Lieferantentests allein reichen deshalb nicht aus, wenn Konfiguration, tatsächliche Nutzung und betriebliche IT-Umgebung unberücksichtigt bleiben.^[4]

Beim Test der unterbrochenen Übertragung wird beispielsweise vorab beschrieben, woran eine gelungene Bearbeitung erkennbar ist. Die Beteiligten sollen den betroffenen Transfer identifizieren, den Ersatznachweis zuordnen und die Buchungslage klären können. Anschließend wird festgehalten, was tatsächlich beobachtet wurde. Wenn eine Kennung fehlt und die Zuordnung nur durch Erinnerung gelingt, gehört dieser Befund in die Bearbeitung; ein nachträglich freundlich formulierter Testbericht beseitigt ihn nicht.

Ein offener Punkt erhält eine verantwortliche Person und eine begründete Entscheidung über seine Bedeutung für den Start. Nicht jede Unbequemlichkeit muss die Einführung stoppen. Eine ungeklärte Zuordnung der übertragenen Gebinde kann jedoch den Kern des Piloten betreffen. Die Entscheidung darüber gehört zur fachlichen Bewertung und lässt sich nicht durch die Anzahl bestandener Tests ersetzen.

Mitarbeitende auf den tatsächlichen Ablauf vorbereiten

Die Schulung für MT-47 findet an den vorgesehenen Arbeitsplätzen mit repräsentativen Übungsdaten statt. Lager und Produktion bearbeiten einen Transfer gemeinsam. Danach wird eine Unterbrechung eingespielt. Die Beteiligten sollen zeigen können, wo sie den Vorgang finden, wen sie hinzuziehen und welche Angaben sie im Ersatzbetrieb festhalten.

Dabei lässt sich erkennen, ob Schwierigkeiten aus der Bedienung, aus unklaren Zuständigkeiten oder aus der Arbeitsumgebung entstehen. Ein unlesbares Gebindeetikett wird nicht dadurch brauchbar, dass die Bildschirmmaske gut erklärt wurde. Ebenso wenig hilft eine erreichbare Anwendung, wenn die zuständige Unterstützung nur während einer anderen Schicht verfügbar ist. Solche Beobachtungen werden im Pilot gesammelt und vor der Ausweitung bearbeitet.

Im GMP-Umfeld behandelt Kapitel 2 Nr. 2.10–2.11 aufgabenbezogene und fortlaufende Schulung einschließlich der regelmäßigen Bewertung ihrer praktischen Wirksamkeit.^[2] Eine Teilnahmebestätigung und eine beobachtete sichere Bearbeitung beantworten unterschiedliche Fragen. Für MT-47 wird deshalb festgehalten, welche Tätigkeiten eingeübt wurden und wo weitere Unterstützung nötig ist.

Vor dem Start stehen außerdem Vertretungen und Anlaufstellen fest. Neue Mitarbeitende benötigen später einen vergleichbaren Einstieg; das Wissen darf nicht auf die Pilotgruppe beschränkt bleiben. In der Task Orchestration müssen diese Zuständigkeiten bei der laufenden Zuordnung und Koordination der Aufgaben berücksichtigt werden.

Den Übergang in den Regelbetrieb organisieren

Der Starttermin trennt zunächst zwei Arbeitsweisen. Im Projekt MT-47 wird für jeden noch offenen Altvorgang entschieden, in welchem Verfahren er beendet wird. Neue Transfers innerhalb des Pilotumfangs beginnen ab dem vereinbarten Zeitpunkt digital. Die bisherige Dokumentation bleibt zugänglich, wird aber nicht stillschweigend als zweiter, gleichberechtigter Arbeitsauftrag weitergeführt.

Vor der Umstellung stimmen Lager und Produktion die offene Transferliste ab. Entscheidend ist der tatsächliche Bearbeitungsstand: bereits abgeholt, am Ziel übernommen oder noch nicht bewegt. Für TR-218 muss insbesondere erkennbar bleiben, ob lediglich eine Buchungsrückmeldung aussteht. Eine neue Kennung allein würde diese Klärung nicht leisten.

Die Entscheidung über die Betriebsaufnahme bezieht sich auf den konkret geprüften Umfang. Im Beispiel gehören dazu die vereinbarte Konfiguration, die Schnittstelle, die beteiligten Arbeitsplätze, die Einsatzbereitschaft der Personen und die Behandlung offener Befunde. Wird die Entscheidung in einem Approval Workflow geführt, muss sie genau diesem Prüfgegenstand und seinem geprüften Stand zugeordnet bleiben.

Auch die Rückkehr zu einem Ersatzverfahren braucht einen geregelten Übergang. Das Projektteam legt fest, wie es laufende Vorgänge dabei erfasst und wer die anschließende Zusammenführung verantwortet. Für die erste Betriebsphase wird Unterstützung eingeplant. Die Übergabe ist erst praktisch gelungen, wenn der benannte Betrieb den nächsten unklaren Transfer selbst aufnehmen und bearbeiten kann.

Änderungen und Betriebsprobleme kontrolliert bearbeiten

Nach einigen Wochen soll der Pilot auf eine zweite Produktionslinie ausgeweitet werden. Die Oberfläche bleibt nahezu gleich, doch die Zielzuordnung, beteiligte Personen und Erreichbarkeit der Unterstützung ändern sich. Im Projekt MT-47 wird deshalb geprüft, welche bisherigen Annahmen weiter gelten und welche Prüfungen für den zusätzlichen Einsatz erforderlich sind.

Annex 11 Nr. 10 erfasst kontrollierte Änderungen einschließlich Konfiguration; Nr. 11 die regelmäßige Bewertung des fortbestehenden validen Zustands im GMP-Bereich.^[1] Eine Erweiterung ist damit auch dann zu beurteilen, wenn sie ohne neue Programmierung erfolgt.

Für den Betrieb des Beispiels ist eine gemeinsame Sicht auf Probleme hilfreich: Werden Transfernachweise regelmäßig nachgearbeitet? Bleiben Buchungsrückmeldungen über Schichtwechsel offen? Sind Ersatzverfahren häufiger nötig als im Pilot angenommen? Solche Beobachtungen zeigen, welche Teile der Einführung erneut betrachtet werden sollten. Eine schneller gewordene Bearbeitung allein beantwortet diese Fragen nicht.

Die Verantwortung dafür geht ausdrücklich vom Projekt in den Betrieb über. Es wird festgehalten, wer die Beobachtungen bewertet, Änderungen veranlasst und die erforderlichen Nachweise zusammenhält. Eine Konfigurationsänderung erhält einen nachvollziehbaren Anlass und eine Entscheidung über die betroffenen Prüfungen. So bleibt auch später erkennbar, für welchen Einsatz die ursprünglichen Ergebnisse noch aussagekräftig sind.

Was die Einführung nicht leistet

Workflow-Software kann einen ungeklärten Ablauf in vielen Aufgaben sichtbar machen. Sie entscheidet damit noch nicht, ob die Aufteilung sinnvoll ist oder wer einen Zuständigkeitskonflikt lösen soll. Vorhandene Doppelarbeit kann nach der Einführung weiterhin bestehen und durch zusätzliche Eingaben sogar schwerer zu erkennen sein. Der Pilot braucht deshalb Raum, den Ablauf selbst zu hinterfragen.

Auch ein technisch durchgängiger Datenaustausch ersetzt keine fachliche Verantwortung für Material und Verwendung. Ein angenommener Transferdatensatz ist kein Nachweis, dass alle Voraussetzungen einer späteren Produktion erfüllt sind. Die Einführung muss ihre Grenzen ebenso deutlich machen wie ihre erreichten Ergebnisse.

Die hier angeführten GMP-Bezüge betreffen ihren jeweiligen Geltungsbereich. Für Cannabis, Lebensmittel, Kosmetik oder andere regulierte Produkte ist anhand der konkreten Tätigkeit zu bestimmen, welche Anforderungen gelten. Ein ähnlicher Materialtransfer begründet keine identischen rechtlichen Pflichten. Die beschriebenen Projektmaßnahmen sind daher keine vollständige regulatorische Checkliste.

Schließlich ist der Projektabschluss kein dauerhafter Validierungsstatus. Neue Arbeitsplätze, Schnittstellen, Verwendungszwecke oder betriebliche Erkenntnisse können bisherige Annahmen verändern. Für MT-47 bleibt nach der Einführung deshalb eine konkrete Aufgabe bestehen: den nächsten Transfer unter den tatsächlich geltenden Bedingungen nachvollziehbar bearbeiten zu können.