Computer System Validierung (CSV)
GxP & Audit-sichere Konformität nach GAMP 5

Computersystemvalidierung ist ein systematischer Prozess zur Überprüfung und Dokumentation, dass ein Computersystem die festgelegten Anforderungen erfüllt und reproduzierbar die gewünschten Ergebnisse erzielt. In der Pharma- und Chemieindustrie ist CSV essentiell, um die Einhaltung von GxP-Vorschriften (Good Practice-Richtlinien) wie GMP, GLP und GCP sicherzustellen und die Integrität von Daten zu garantieren.

Die wichtigsten regulatorischen Anforderungen stammen von:

• FDA 21 CFR Part 11: Elektronische Aufzeichnungen, elektronische Signaturen
• GAMP 5 (Good Automated Manufacturing Practice): Leitfaden für die Validierung von Systemen in der Automations- und Computertechnologie
• EU Richtlinie Annex 15: Qualifizierung und Validierung
• ICH Q7/Q14: Leitfäden für Pharmaproduktion und Entwicklung
• GxP-Richtlinien: GMP, GLP, GCP und weitere branchenspezifische Vorgaben

Der CSV-Prozess folgt typischerweise diesen Phasen:

• User Requirements Specification (URS): Definition der geschäftlichen und funktionalen Anforderungen
• Functional Specification (FS): Detaillierte Beschreibung der Systemfunktionen
• Design Specification (DS): Technisches Design des Systems
• Installation Qualification (IQ): Überprüfung der korrekten Installation
• Operational Qualification (OQ): Validierung der Systemfunktionen unter normalen Bedingungen
• Performance Qualification (PQ): Überprüfung der Systemleistung mit realen Daten

• Verifizierung beantwortet die Frage “Wurde das System richtig gebaut?” – Sie überprüft, ob das System den Spezifikationen entspricht.
• Validierung beantwortet die Frage “Wurde das richtige System gebaut?” – Sie überprüft, ob das System die beabsichtigte Geschäftsfunktion erfüllt.

Beide Prozesse sind für eine umfassende CSV essentiell und müssen dokumentiert sein.

Data Integrity bezieht sich auf die Sicherstellung, dass Daten korrekt, vollständig und unverändert sind. Dies umfasst:

• Authentizität: Die Daten stammen aus einer bekannten Quelle
• Integrität: Die Daten wurden nicht unbefugt verändert
• Verfügbarkeit: Daten sind zugänglich und lesbar
• Nachvollziehbarkeit: Alle Änderungen sind dokumentiert und rückverfolgbar

Dies wird durch Audit Trails, elektronische Signaturen und Access Controls sichergestellt.

Die Aufbewahrungsdauer richtet sich nach den regulatorischen Anforderungen:

• Pharmazeutische Systeme: Mindestens so lange wie das Produkt verkauft wird, oft 5-10 Jahre
• Klinische Studien: Mindestens 2 Jahre nach Genehmigung oder Ablehnung
• Lebenszyklusmanagement: Dokumentation sollte über die gesamte Lebensdauer des Systems verfügbar sein

Länderabhängige Besonderheiten und kundenspezifische Verträge können abweichende Anforderungen vorsehen.

Eine Revalidierung ist erforderlich nach:

• Änderungen am System: Software-Updates, Hardware-Upgrades oder Konfigurationsänderungen
• Betriebsumgebungsänderungen: Wechsel des Betriebssystems, der Datenbank oder der IT-Infrastruktur
• Prozessänderungen: Änderungen an kritischen Geschäftsprozessen
• Regulatorischen Änderungen: Neue oder geänderte Compliance-Anforderungen
• Fehlerbehebung: Bei kritischen Systemfehlern

Das Ausmaß der Revalidierung hängt von der Auswirkung der Änderung ab (Impact Assessment).

Risk Assessments sind zentral für die CSV-Strategie:

• Sie identifizieren kritische Systemfunktionen und potenzielle Fehlerquellen
• Sie bestimmen das Validierungsausmaß: Systeme mit höherem Risiko erfordern umfassendere Validierungen
• Sie dokumentieren Maßnahmen zur Risikominderung
• Sie unterstützen die Priorisierung von Validierungsaktivitäten
• Sie nachvollziehbar und gerechtfertigt die Validierungsstrategie

Dies erfolgt nach Methoden wie FMEA (Fehlermöglichkeits- und Einflussanalyse) oder anderen standardisierten Verfahren.

Ein Audit Trail ist ein chronologisches Protokoll aller Systemaktionen und Datenänderungen, das dokumentiert:

• Wer (Benutzer-ID)
• Wann (Zeitstempel)
• Was (durchgeführte Aktion oder Änderung)
• Warum (optional: Änderungsgrund)

Audit Trails sind kritisch für:

• Regulatorische Compliance (21 CFR Part 11, FDA)
• Rückverfolgbarkeit von Datenänderungen
• Erkennung unbefugter Zugriffe
• Forensische Analysen bei Fehlerverdacht

Sie müssen unveränderbar sein und über die Lebensdauer des Systems aufbewahrt werden.

• COTS-Systeme (Commercial Off-The-Shelf): Der Hersteller ist verantwortlich für Basisvalidierung. Der Benutzer muss die Systemkonfiguration, Integration in die bestehende Infrastruktur und die Anwendung im spezifischen Geschäftskontext validieren. Der Validierungsaufwand ist oft geringer.
• Custom/Maßgeschneiderte Systeme: Der Entwickler und/oder der Benutzer sind verantwortlich für die vollständige Validierung von Anfang an (von URS bis PQ). Der Validierungsaufwand ist typischerweise umfassender, da alle Aspekte des Systems validiert werden müssen.

Beide Ansätze erfordern eine Validated State und kontinuierliche Überwachung während des Betriebs.