FAQ

Bereits mit dem SOP Management stehen Verfahren zur Verteilung der Inhalte und Dokumente zur Verfügung. So lassen sich Dokumente mit der Freigabe automatisch an einen definierten Personenkreis verteilen. Die Verteilung der Dokumente erfolgt wahlweise zur Information oder zur Kenntnisnahme. Müssen Inhalte formal trainiert werden, so stehen mit dem Trainingsmanagement weitere Prozesse bereit. So können Dokumente systemgesteuert zum Gelesen-und-Verstanden-Training den Mitarbeiter:innen vorgelegt werden. Ebenso wird die Verwaltung von Class-Room-Trainings oder Präsenzveranstaltungen unterstützt. Trainer erhalten hierzu Ankündigungen, Teilnehmerlisten, Rückmeldeformulare uvm.

Das SOP Management bzw. unsere Lösung zur Lenkung und Verwaltung von Vorgabedokumenten stellt die Basis des Trainingsmanagement dar. Mit DHC VISION konzentrieren wir uns auf die ganzheitliche Digitalisierung des Dokumenten-Life-Cycle. Dazu gehört neben der Freigabe der Dokumente auch das Training sowie die Überprüfung des Lernerfolges. Im Ergebnis stehen geschlossene Prozesse von der Dokumentenerstellung bis zur Lernerfolgskontrolle. Wir nennen diese dann „SOP Closed Loop Prozesse“.

Zum einen in der Fokussierung von DHC VISION auf die Branchen wie Pharma, Chemie, MedTech bzw. allgemein zusammengefasst Life Sciences, also die EMA oder FDA regulierte Welt. Aber auch die Spezialisierung zum Beispiel auf den Trainingsnachweis von gelenkten Dokumenten ist ein wesentliches Leistungsmerkmal des DHC VISION Trainingsmanagement. Das Mantra lautet “gelesen und verstanden”. Dieser digitale Nachweis entspannt die Auditierung und Inspektion und lässt die Verantwortlichen im Qualitätsmanagement ruhig schlafen.  

Learning Management Systeme sind auf HR-Prozesse wie z.B. der Aus- und Weiterbildung, Personalentwicklung oder das Talentmanagement spezialisiert. Dazu gehört üblicherweise die Verwaltung von eLearning-Kursen, Lernmedien unterschiedlichster Formate, über Kurskataloge, zu denen sich Mitarbeiter:innen selbstständig anmelden können aber auch Autorentools zur Erstellung von multimedialen Lerninhalten.

Die Validierung dieser Anwendungen – und nicht zu vergessen, deren GxP-konforme Entwicklung – ist sehr aufwändig; falls überhaupt möglich. Daher kommen LMS in der Life Sciences häufig nur für nicht GxP-kritische Prozesse und Schulungsinhalte zum Einsatz. 

Unser DHC VISION eDMS ist mit seinen Verfahren und Funktionen zur Dokumentverwaltung und zum Training dagegen speziell auf das „validierte“ Umfeld hin ausgerichtet. Die Schulungslösung konzentriert sich auf die Trainings von Vorgabedokumenten, GxP- oder Compliance-Themen. Schulungen und Inhalte, die gesetzlich, regulatorisch oder innerbetrieblich vorgeschrieben sind und bei denen es einer 100% Nachvollziehbarkeit bedarf.  

Sogenannte Qualitätsauffälligkeiten, Non Conformities, Abweichungen, Reklamationen, Findings oder einfach formuliert „Fehler“ lösen detaillierte Fehler- und Ursachenanalysen aus, auf deren Basis Maßnahmen festgelegt, eingeleitet und im Anschluss auf ihre Wirksamkeit bewertet werden.

Hierbei werden Sofortmaßnahmen, Korrekturmaßnahmen und Präventivmaßnahmen unterschieden. Für bereits aufgetretene Abweichungen oder Fehler sind Korrekturmaßnahmen einzuleiten. Vorbeugemaßnahmen werden dagegen initiiert, um präventiv Abweichungen zu vermeiden, bevor sie entstehen. Der CAPA-Prozess beginnt mit sofort durchzuführenden Maßnahmen, um potentielle Schäden in Grenzen zu halten.

Die regulatorischen Anforderungen an Korrektur- (Corrective Action) und Vorbeugemaßnahmen (Preventive Action) sind zum Beispiel in der ISO 13485, Medical Device Regulation (MDR) oder im 21 CFR part 820.100 der FDA umfassend beschrieben.

Zu den bekannten Mängeln bei GMP-Inspektionen zählt die oftmals unzureichende Dokumentation im CAPA-Prozess, denn “was nicht dokumentiert wurde, gibt es nicht”. So werden Abweichungen nicht umfassend dokumentiert und näher untersucht, die Ursachenanalyse vernachlässigt und relevante CAPAs nicht umgesetzt.

Ebenso werden keine Maßnahmen zur Vermeidung von wiederholt aufgetretenen Vorfällen ergriffen und auch keine Aktivitäten zur Überprüfung der Wirksamkeit von Maßnahmen geplant. Kurzum: Das Verfahren ist methodisch bekannt und etabliert, ermöglicht in der analogen Bearbeitung aber zu viele Freiheitsgrade und öffnet damit Tür und Tor für Fehler. Zahlreiche Beispiele, wie nicht oder unzureichende digitale CAPA-Prozesse sogar zu einem Warning Letter der FDA führen können, finden sich unter Warning Letters | FDA.

Eine digitale CAPA-Lösung berücksichtigt alle notwendigen Aktivitäten und automatisiert den gesamten Lebenszyklus der relevanten Vorgänge – von der Identifizierung des Problems bis zur erfolgreichen Umsetzung der Problemlösung.

Der CAPA-Prozess ist damit immer vollständig und transparent: Kein Vorgang oder notwendige Aktivitäten werden ausgelassen, übersprungen oder vergessen; Termine werden strikt in der Wiedervorlage eskaliert, wodurch kein Verzögern oder Verschleppen möglich ist.  Konsequent bis ins kleinste Detail, ohne Frage. Aber genau hier zeigen sich die Stärken digitaler CAPA-Prozesse auf Basis der eQMS-Lösung der DHC VISION Produktfamilie.

Managementberichte folgen dem Top Down Ansatz der Informationspyramide. Hier interessiert zuerst eine Gesamtübersicht der aktuellen CAPA-Situation, immer zielgruppenspezifisch in der Datenaggregation. Wie viele CAPAs sind aktuell in der Bearbeitung? Welcher Trend ist dabei erkennbar? Ist eine Zunahme oder Abnahme von CAPAs und damit verbunden der Findings, Abweichungen, Reklamationen feststellbar? In welchem Bearbeitungsstatus befinden sich diese CAPAs? Überwiegt die Anzahl der noch offenen CAPAs oder sind die Mehrzahl der CAPAs schon in der Wirksamkeitsprüfung? Welche CAPAs sind zeitlich überfällig? Sind Häufungen von CAPAs an bestimmten Unternehmensstandorten feststellbar? Alles Fragen von hoher Relevanz für das Qualitätsmanagement.

Ganz allgemein formuliert wird unter einer Abweichung die Nichterfüllung einer gewünschten Regelmäßigkeit oder eines Normzustandes verstanden.

Andere fachliche Domänen wie zum Beispiel die Kostenkontrolle oder Statistik verwenden den Begriff der Abweichung ebenfalls. Im Qualitätsmanagement handelt es sich dabei in der Regel um die Differenz eines vereinbarten Ziel-, Planwertes oder Sollzustands vom tatsächlichen Istwert oder Istzustand. In den regulierten Branchen handelt es sich bei Abweichungen häufig um Qualitätsauffälligkeiten oder -mängel, Out of Specifications oder Non Conformities, ebenso auch Verfahrens- oder Prozessabweichungen. Im weitesten Sinne sind dies Abweichungen vom definierten Sollzustand: Abweichungen in der Rezeptur, der Abfüllmenge oder technische Prozessparameter in der Produktion sind einige Beispiele in den Life Sciences, die den weiteren Prozess der Investigation anstoßen. Wichtig in der begrifflichen Abgrenzung sind Abweichungen und Änderungen: Abweichungen sind ungeplant – im Gegensatz zu einer geplanten Änderung (Change).

Schon die um wenige Millimeter veränderte Falzrichtung des Beipackzettels in einer Medikamentenschachtel löst einen Abweichungsprozess aus. Die Haltung von Regulierungsbehörden wie der FDA oder EMA auf die Feststellung von Abweichungen ist für Unternehmen in dieser Branche eindeutig. Einmal festgestellte Abweichungen dürfen nicht vertuscht oder verharmlost werden, sondern müssen detailliert untersucht werden.

Bei der Analyse von Abweichungen geht es meistens darum, erst einmal Transparenz herzustellen und das “Auffällige” bzw. “Außergewöhnliche” vom “weniger Wichtigen” zu trennen, um im Anschluss daran die Ursachen solcher Auffälligkeiten direkt zu beheben. Denn zügiges Handeln, wenn zum Beispiel einzelne Chargen für die Auslieferung gesperrt werden müssen, kann größere Schäden verhindern. Der Übergang zum CAPA-Prozess ist deshalb fließend.

Festgestellte Abweichungen – zum Beispiel im pharmazeutischen Alltag – sind Massenphänomene und erreichen damit schnell eine unüberschaubare Dimension. Der Abweichungsprozess muss hohe Standards erfüllen und dies ohne Abkürzungen in der Bearbeitung oder improvisierte Lösungsansätze. Gleichzeitig ist eine Vielzahl von Personen in den Abweichungsprozess involviert. Aber auch durch die enge Verzahnung mit weiteren Verfahren wie zum Beispiel Korrekturmaßnahmen oder die Abhängigkeiten zu resultierenden „Langzeitmaßnahmen“ wird jeder einzelne Abweichungsvorgang schnell unübersichtlich. Kurzum: Mit papierbasierten Methoden ist die Informationsflut und Komplexität der Aufgaben nicht zu bewältigen.

Software für das Abweichungsmanagement übernimmt die regulatorisch konforme Dokumentation und Automatisierung der vielfältigen Workflows vom ersten bis zum letzten Schritt.

Jede Abweichung (aber auch Reklamation) ist zunächst ein Risiko und damit ein potenzieller Schaden. Eine erste Abschätzung und damit Indikation für die potenzielle Schadensbemessung liefert die Klassifizierung der Abweichung hinsichtlich der Kritikalität. Aber auch Standort-bezogene Abweichungsanalysen in allen nur erdenklichen Querbeziehungen zu Produkten, Rohstoffen, Prozessen oder Lieferanten sind Teil jedes Quality Site Reporting.

Auch hier folgen Managementberichte dem Top Down Ansatz der Informationspyramide. Hier interessiert zuerst eine Gesamtübersicht der aktuellen Abweichungssituation und dies immer zielgruppenspezifisch in der Datenaggregation. Wie viele Abweichungen sind aktuell in welchem Bearbeitungszustand? Welcher Trend ist dabei erkennbar? Ist eine Zunahme oder Abnahme von Abweichungen feststellbar? Überwiegt die Anzahl der noch offenen Abweichungen oder ist die Mehrzahl der Abweichungen schon in der Wirksamkeitsprüfung? Welche Abweichungen sind in der Bearbeitung zeitlich überfällig? Sind Häufungen von Abweichungen an bestimmten Unternehmensstandorten feststellbar?

Wie immer bei solchen Kennzahlen und Berichten geht es um die lückenlose Nachvollziehbarkeit und die Einhaltung der regulatorischen Compliance.

Unter einer Reklamation gemäß 21 CFR Part 820.3 (b) versteht man schriftliche, elektronische oder mündliche Mitteilungen, die auf Mängel hinsichtlich der Identität, Qualität, Haltbarkeit, Zuverlässigkeit, Sicherheit, Wirksamkeit oder Leistung eines für den Vertrieb freigegebenen Produkts hinweisen. Bei einem unternehmensintern festgestellten Mangel handelt es sich dagegen um eine Abweichung.  

Da es sich um eine Beschwerde des Kunden handelt, sind Reklamationen ernst zu nehmen und bedürfen der weiteren Prüfung. Das Reklamationsmanagement ist ein zentraler Prozess der Qualitätssicherung. Auch hier gilt die Sorgfaltspflicht des Herstellers, denn Produktmängel können der Kundenzufriedenheit schaden oder auch eine Gefahr für Sicherheit und Gesundheit darstellen.

Bei korrektem Umgang haben sie jedoch zugleich einen positiven Effekt: Sie ermöglichen die Optimierung der Verfahren zur Verbesserung der Produktqualität; dies auf allen Seiten – Prozesse auf Lieferanten- bzw. Kundenseite und auch der eigenen internen Abläufe.

Hersteller von zum Beispiel Medizinprodukten müssen Aufzeichnungen über Reklamationen führen. Darüber sind für die Annahme, Bewertung und Untersuchung von Reklamationen Verfahren und Standards zu definieren. Der gesamte Bearbeitungsprozess jeder Reklamation ist systemgesteuert, jederzeit regulatorisch sicher und der Life-Cycle permanent nachvollziehbar. DHC VISION bietet eine Vielzahl von Methoden und Werkzeugen, um Reklamationen zu erfassen, deren Ursachen und Fehler zu identifizieren, sie zu beheben und für die Zukunft abzustellen.

Von besonderem Interesse ist die Analyse von Reklamationsdaten. Tiefergehende Untersuchungen fokussieren sich auf die Erkennung von Trends, aber auch dem Status Quo zum Beispiel im Bearbeitungszustand sowie tiefergehende Fehler- und Ursachenmuster.

Das Untersuchungsprotokoll sollte folgende Punkte enthalten (eCFR : 21 CFR 820.198 — Complaint files.)

• Name des Produkts
• Datum des Erhalts der Reklamation
• Kennzeichnungsnummer(n) und Kontrollnummer(n) des Produkts
• Name, Adresse und Telefonnummer des Beschwerdeführers
• Art und Einzelheiten der Reklamation
• Zeitpunkte und Ergebnisse der Untersuchung
• durchgeführte korrigierende Maßnahmen
• eventuelle Antworten an den Beschwerdeführer

In einer allgemeinen Bedeutung bezieht sich der Begriff “Change Management” auf die Notwendigkeit von Organisationen, Organisationseinheiten oder Abteilungen zur Anpassung an veränderte Rahmenbedingungen. Dabei kommen Methoden und Maßnahmen zur Anwendung, mit denen der angestrebte Zielzustand erreicht werden soll.

Im GxP-regulierten Umfeld stellt das “Change Management” sicher, dass jede, bspw. für ein Produkt, vorgeschlagene Änderung angemessen definiert, überprüft und genehmigt wird. “Change Management” bezeichnet hier also eine zentrale Methode, mit der gefährliche Fehler vermieden und Folgeschäden für Verbraucher oder Patienten verhindert werden können.

Zunächst kann zwischen „normalen“ Änderungen, Standardänderungen sowie Emergency Changes (Notfall-Änderungen) unterschieden werden. Standard-Changes sind dabei auf Erfahrungswerten basierende, vordefinierte und wiederkehrende Änderungen. Es handelt sich i.d.R. um vorautorisierte und dokumentierte Änderungen mit einem überschaubaren Risiko und einer erfolgreich angewandten Vorgehensweise. Notfall-Änderungen sind direkt umzusetzen und basieren meist auf vorherigen hoch-kritischen Abweichungen oder Incidents. Ein Emergency Change Advisory Board (ECAB) bewertet und autorisiert diese Changes.

Weiter kann zwischen zwei Änderungstypen, einem allgemeinen Change (Änderungsanforderungen fachlicher Natur) und IT-Change (Änderungsanforderungen IT-technischer Art) differenziert werden.

DHC VISION unterstützt einen standardisierten Prozess (Workflow) zur systematischen und kontrollierten Umsetzung aller genannten Änderungen. Das können Change Requests auf Produkte, Prozesse, Anlagen, IT-Anwendungen oder auch Dokumente wie SOP`s sein. Für IT-Changes (beispielsweise „Neueinführung einer Software“) wird ein gesonderter Workflow bereitgestellt, da u.A. die Auswirkungsanalyse (Impact Analysis) abweichend durchgeführt wird (Auswirkung auf Validierung, Trainingsdokumentation…). Hieraus ergeben sich sehr breite und vielfältige Anwendungsmöglichkeiten. Die Standard-Workflows können durch Konfiguration an unternehmensspezifische Anforderungen angepasst werden. Unabhängig vom jeweiligen Änderungsgegenstand werden alle Schritte komplett elektronisch dokumentiert – von der Ausarbeitung über die fachliche und formale Prüfung sowie der Impact Analysis und Genehmigung bis hin zur Umsetzung, (Wirksamkeits-) Prüfung und dem Abschluss eines Änderungsprozesses.

Änderungen haben meist eine Auswirkung auf diverse Prozesse und auch Dokumente wie SOP`s oder Herstellanweisungen. An der Umsetzung bzw. bis es überhaupt dazu kommt, sind viele Personen und Abteilungen beteiligt, die eventuell sogar in unterschiedlichen Gebäuden oder Standorten sitzen. Ohne eine digitale Unterstützung sind die Anforderungen an den komplizierten und systemübergreifenden Prozess kaum zu schaffen. Zudem resultieren Changes oftmals auch aus externen Faktoren heraus, welche nicht in der „Entscheidungsgewalt“ des Unternehmens liegen. Auf diese Änderungen gilt es schnell reagieren zu können.

Der Einsatz einer ganzheitlichen Lösung automatisiert den gesamten Prozess und stellt sicher, dass alle Änderungen zielgerichtet und jederzeit nachvollziehbar gelenkt werden. Die Nachweisführung erfolgt vollständig elektronisch. Jederzeit ist ersichtlich, wer, wann, wo, was und wie gemacht hat. Änderungen, Freigaben, Genehmigungen, Nachweise – alles wird protokolliert. Die Änderungsmanagementsoftware gewährleistet die permanente Einhaltung der Compliance-Anforderungen.

DHC VISION als web-basiertes System (ob im Cloud- oder On Premise-Modell) stellt dabei auch sicher, dass die Mitarbeiter über Änderungen rechtzeitig informiert werden und auch ortsunabhängig arbeiten können. Weitere Prozesse wie das SOP Management bzw. eDMS (Änderung und Training von Standardarbeitsanweisungen) oder CAPA & Deviation und Complaint Management können zur Herstellung systemübergreifend lückenloser Prozesse, nahtlos integriert werden.

Das Change Management ist eng mit anderen eQMS-Prozessen in der DHC VISION Produktfamilie integriert. Ergibt sich aus einem Änderungsverfahren neuer Schulungsbedarf, kann dieser über das Produkt Trainingsmanagement abgedeckt werden; die Dokumentenlenkung im Change-Prozess erfolgt auf Basis des Produkts SOP Management (Dokumentenmanagement für gelenkte Dokumente bzw. Vorgabedokumente); und Abweichungen und Maßnahmen können weiter gehende Änderungsprozesse auslösen, die dann im DHC VISION Change Management und auf Basis der Informationen aus den vorgelagerten Prozessen digital unterstützt werden. Es gibt also eine nahtlose Integration mit den anderen DHC VISION-Produkten; auf einer einheitlichen Datenbasis können so geschlossene Prozesse umgesetzt werden. Qualitätsmanagement, Qualitätssicherung, Produktion oder IT werden miteinander verbunden.

In einer allgemeinen Bedeutung bezieht sich der Begriff “Change Management” auf die Notwendigkeit von Organisationen, Organisationseinheiten oder Abteilungen zur Anpassung an veränderte Rahmenbedingungen. Dabei kommen Methoden und Maßnahmen zur Anwendung, mit denen der angestrebte Zielzustand erreicht werden soll.

Im GxP-regulierten Umfeld stellt das “Change Management” sicher, dass jede, bspw. für ein Produkt, vorgeschlagene Änderung angemessen definiert, überprüft und genehmigt wird. “Change Management” bezeichnet hier also eine zentrale Methode, mit der gefährliche Fehler vermieden und Folgeschäden für Verbraucher oder Patienten verhindert werden können.

Zunächst kann zwischen „normalen“ Änderungen, Standardänderungen sowie Emergency Changes (Notfall-Änderungen) unterschieden werden. Standard-Changes sind dabei auf Erfahrungswerten basierende, vordefinierte und wiederkehrende Änderungen. Es handelt sich i.d.R. um vorautorisierte und dokumentierte Änderungen mit einem überschaubaren Risiko und einer erfolgreich angewandten Vorgehensweise. Notfall-Änderungen sind direkt umzusetzen und basieren meist auf vorherigen hoch-kritischen Abweichungen oder Incidents. Ein Emergency Change Advisory Board (ECAB) bewertet und autorisiert diese Changes.

Weiter kann zwischen zwei Änderungstypen, einem allgemeinen Change (Änderungsanforderungen fachlicher Natur) und IT-Change (Änderungsanforderungen IT-technischer Art) differenziert werden.

DHC VISION unterstützt einen standardisierten Prozess (Workflow) zur systematischen und kontrollierten Umsetzung aller genannten Änderungen. Das können Change Requests auf Produkte, Prozesse, Anlagen, IT-Anwendungen oder auch Dokumente wie SOP`s sein. Für IT-Changes (beispielsweise „Neueinführung einer Software“) wird ein gesonderter Workflow bereitgestellt, da u.A. die Auswirkungsanalyse (Impact Analysis) abweichend durchgeführt wird (Auswirkung auf Validierung, Trainingsdokumentation…). Hieraus ergeben sich sehr breite und vielfältige Anwendungsmöglichkeiten. Die Standard-Workflows können durch Konfiguration an unternehmensspezifische Anforderungen angepasst werden. Unabhängig vom jeweiligen Änderungsgegenstand werden alle Schritte komplett elektronisch dokumentiert – von der Ausarbeitung über die fachliche und formale Prüfung sowie der Impact Analysis und Genehmigung bis hin zur Umsetzung, (Wirksamkeits-) Prüfung und dem Abschluss eines Änderungsprozesses.

Änderungen haben meist eine Auswirkung auf diverse Prozesse und auch Dokumente wie SOP`s oder Herstellanweisungen. An der Umsetzung bzw. bis es überhaupt dazu kommt, sind viele Personen und Abteilungen beteiligt, die eventuell sogar in unterschiedlichen Gebäuden oder Standorten sitzen. Ohne eine digitale Unterstützung sind die Anforderungen an den komplizierten und systemübergreifenden Prozess kaum zu schaffen. Zudem resultieren Changes oftmals auch aus externen Faktoren heraus, welche nicht in der „Entscheidungsgewalt“ des Unternehmens liegen. Auf diese Änderungen gilt es schnell reagieren zu können.

Der Einsatz einer ganzheitlichen Lösung automatisiert den gesamten Prozess und stellt sicher, dass alle Änderungen zielgerichtet und jederzeit nachvollziehbar gelenkt werden. Die Nachweisführung erfolgt vollständig elektronisch. Jederzeit ist ersichtlich, wer, wann, wo, was und wie gemacht hat. Änderungen, Freigaben, Genehmigungen, Nachweise – alles wird protokolliert. Die Änderungsmanagementsoftware gewährleistet die permanente Einhaltung der Compliance-Anforderungen.

DHC VISION als web-basiertes System (ob im Cloud- oder On Premise-Modell) stellt dabei auch sicher, dass die Mitarbeiter über Änderungen rechtzeitig informiert werden und auch ortsunabhängig arbeiten können. Weitere Prozesse wie das SOP Management bzw. eDMS (Änderung und Training von Standardarbeitsanweisungen) oder CAPA & Deviation und Complaint Management können zur Herstellung systemübergreifend lückenloser Prozesse, nahtlos integriert werden.

Das Change Management ist eng mit anderen eQMS-Prozessen in der DHC VISION Produktfamilie integriert. Ergibt sich aus einem Änderungsverfahren neuer Schulungsbedarf, kann dieser über das Produkt Trainingsmanagement abgedeckt werden; die Dokumentenlenkung im Change-Prozess erfolgt auf Basis des Produkts SOP Management (Dokumentenmanagement für gelenkte Dokumente bzw. Vorgabedokumente); und Abweichungen und Maßnahmen können weiter gehende Änderungsprozesse auslösen, die dann im DHC VISION Change Management und auf Basis der Informationen aus den vorgelagerten Prozessen digital unterstützt werden. Es gibt also eine nahtlose Integration mit den anderen DHC VISION-Produkten; auf einer einheitlichen Datenbasis können so geschlossene Prozesse umgesetzt werden. Qualitätsmanagement, Qualitätssicherung, Produktion oder IT werden miteinander verbunden.

Das Spektrum der Auditarten und –typen ist vielfältig: Prozessaudit, Produktaudit, Systemaudit, Kundenaudit, Lieferantenaudit, Überwachungsaudit, Wiederholungsaudit und Third Party Audit oder GxP-Audit. Auf Basis geltender Standards, Normen oder Regelwerke stellt DHC VISION für interne und externe Audits alle Funktionen und Prozesse zur komfortablen Steuerung bereit. Alle Schritte im Auditprozess werden automatisiert und durch die Workflow Engine automatisiert.

Von einem “Third-Party Audit” spricht man, wenn sich ein Unternehmen nach einer bestimmten Norm zertifizieren lassen will. Synonym gebraucht wird dafür auch der Begriff “Zertifizierungsaudit”.

Derartige Audits dürfen nur von zugelassenen Stellen durchgeführt werden, die dann auch das angestrebte Zertifikat ausstellen dürfen. Begutachtet werden Prozesse und Systeme, die im Unternehmen implementiert sind; bewertet wird der Grad der Übereinstimmung mit den regulatorischen Vorgaben. Die Zertifizierung wird im Rahmen von regelmäßigen Überwachungsaudits bzw. Audits zur Rezertifizierung überprüft und aktualisiert. Auch bei “Third-Party Audits” erweisen sich digitale Auditsysteme als überaus hilfreich: Die Prozesse und die zugehörigen Dokumente können an einer Stelle eingesehen und geprüft werden; automatisierte Prozesse unterstützen die Nachverfolgung von Audit-Ergebnissen und die Überprüfung von eingeleiteten Maßnahmen.

Nach gängigen Regularien müssen auch “ausgelagerte Prozesse” in das Qualitätsmanagement eines Unternehmens einbezogen werden. Dies fordert z.B.  für die Medizintechnik die DIN EN ISO 13485:2016 im Kapitel 4.1.5; weitere relevante Vorgaben machen der EU-GMP-Leitfaden in Teil 1, Kapitel 7, die MDR-Verordnung (EU) 2017/745 in Kapitel 10 (9) d und der FDA-21 CFR in part 820, Subpart 50. Mit diesen Vorgaben soll gewährleistet werden, dass auch externe Partner – also auch Lieferanten – die regulatorischen Anforderungen erfüllen, denen das Unternehmen selbst unterliegt.  Wer also mit Lieferanten zusammenarbeitet, muss diese qualifizieren und immer wieder überprüfen. Letzteres erfolgt durch Lieferantenaudits auf Grundlage von Fragebögen, Checklisten oder auch im Rahmen von Vor-Ort-Besuchen.

Spätestens mit der Diskussion um die Zulassung von Corona-Impfstoffen ist der breiten Öffentlichkeit der Begriff „Klinische Studie“ bekannt. Eine Klinische Studie überprüft die Leistung, Wirksamkeit und Sicherheit von Medizinprodukten, Behandlungsformen, Wirkstoffen etc. und wird mit Patienten oder Probanden durchgeführt. 4

Das Trial Master File (TMF) ist eine Sammlung von Dokumenten aus einer klinischen Studie. Im TMF sind alle wesentlichen Akten der Studie zusammengefasst. Das TMF stellt die Integrität der klinischen Daten und die Compliance zur GCP sicher. Bei einer klinischen Studie wirken in der Regel zusammen: Das forschende Unternehmen (Sponsor), das sein Produkt für die Zulassung auf Leistung, Wirksamkeit und Verträglichkeit prüfen lässt; ein Auftragsforschungsinstitut (Contract Research Organization – CRO), das die Studie im Sponsor-Auftrag durchführt; eine oder mehrere klinische Einrichtungen (Investigator), die die Prüfung nach geltenden Standards und gemäß Studienplan durchführen. Pro Klinische Studie entsteht ein TMF. 

Die GCP – Good Clinical Practice – definiert einen international anerkannten und nach ethischen und wissenschaftlichen Gesichtspunkten aufgestellten Standard für Planung, Durchführung, Monitoring/Auditierung, Dokumentation, Auswertung und Berichterstattung von Klinischen Studien. Der Inhalt eines TMF wird in der EU-Richtlinie 2005/28/EG geregelt. Relevante Regulierungen der Europäischen Arzneimittel Agentur (EMA) sind: Guideline on the content, management and archiving of the clinical trial master file (paper and/or electronic), (EMA/INS/GCP/856758/2018); Guideline for good clinical practice E6(R2), Step 2b (EMA/CHMP/ICH/135/1995); Guideline for good clinical practice E6(R2), Step 5 (EMA/CHMP/ICH/135/1995). Die Struktur einer klinischen Studie und die entsprechende Dokumentation wird im Referenzmodell TMF der Drug Information Association (DIA) festgelegt. 

Die besonderen Herausforderungen bei TMFs liegen 

• in der Zahl der beteiligen Personen/Organisationen (Sponsor, CRO, Investigators) und deren unterschiedlichen Aufgaben und Interessen; 
• in der Vielzahl und Heterogenität der Daten und Dokumente, ihrer Vollständigkeit, Wiederauffindbarkeit, Versionierung, Verfügbarkeit und regulatorisch konformen, auditierbaren Ablage bzw. Dokumentation;  
• in Medienbrüchen zwischen analogen, z.T. handschriftlichen, und digitalen Daten, die in klinischen Studien entstehen und sich u.a. aufgrund des geringen Digitalisierungsgrads nicht konsolidiert darstellen lassen; 
• in der fehlenden Integration verwandter IT-Systeme bei Sponsor, CRO und Investigator und damit in einer heterogenen und redundanten Systeminfrastruktur, die den durchgängigen Datenaustausch behindern. 

Dadurch werden die Durchführung bzw. Dokumentation einer Studie tendenziell schwierig, ihre Überprüfung (Audit) durch Regulierungs- und Zulassungsbehörden erschwert und die regulatorisch konforme Archivierung gefährdet. In Auditberichten von Regulierungsbehörden finden sich daher regelmäßig Beanstandungen des regulatorisch konformen TMF-Managements und der nachvollziehbaren Dokumentation von Studien. Viele dieser Herausforderungen können durch Digitalisierung der Prozesse und durch entsprechende KI-Unterstützung in einem eTMF bewältigt werden. Das Forschungsprojekt NextGenTMF entwickelt unter Federführung der DHC arbeitet an einer entsprechende Lösung

Ein Richtlinienmanagementsystem hat die Aufgabe, Prozesse zu definieren und zu etablieren, um den gesamten Lebenszyklus von Richtlinien und anderen Vorgabedokumenten revisionssicher zu steuern. Dieser Lebenszyklus erstreckt sich von der Erstellung über die Prüfung, Freigabe und Veröffentlichung, bis zur letztendlichen Außerkraftsetzung und der Archivierung. Wie bereits erwähnt beziehen sich diese Prozesse nicht ausschließlich auf Richtlinien, sondern umfassen alle Vorgabedokumente einer Dokumentenpyramide – Leitlinien, Prozessanweisungen, Arbeitsanweisungen, Verfahrensanweisungen und sonstige Dokumente im Sinne von Vorgabedokumenten.

In Organisationen und Unternehmen kursieren meist unzählige Richtlinien zu den unterschiedlichsten Themenschwerpunkten wie Arbeitssicherheit, Informationssicherheit, Datenschutz, Qualitätsmanagement oder branchenspezifischen Compliance-Vorgaben im Allgemeinen. Meist sind diese Vorgabedokumente unkontrolliert in Dateisystemen abgelegt und nicht mehr auf dem neuesten Stand. Selten ist nachvollziehbar, wer diese Dokumente tatsächlich gelesen hat. Ein systemgestütztes Richtlinienmanagement stellt eine zentrale Ablage der Dokumente sicher. Die Prüfung, Freigabe und Veröffentlichung erfolgt workflowgestützt und revisionssicher. Empfängerkreise können klar abgegrenzt und zielgruppenspezifisch definiert werden. Die Empfänger werden proaktiv über Neuerungen und Änderungen informiert. Durch die inkludierte Einforderung einer Kenntnisnahmebestätigung ist die Reichweite der Dokumente jederzeit transparent nachvollziehbar.   

Unternehmen und Organisationen unterliegen einer Vielzahl an gesetzlichen und normativen Anforderungen. Teils ist die Einhaltung dieser Anforderungen eine gesetzliche Pflicht, teilweise verpflichtet sich das Unternehmen oder die Organisation aber auch freiwillig zur Einhaltung der entsprechenden Vorgaben. Eines der verfolgten Ziele ist es, Risiken auszuschließen oder zu reduzieren und somit einen sicheren Geschäftsbetrieb zu gewährleisten. Ein Richtlinienmanagement hilft dabei, die aus den Anforderungen resultierenden Richtlinien rechtskonform und revisionssicher zu verwalten. Der Zeitpunkt der Veröffentlichung von Richtlinien ist jederzeit transparent und nachvollziehbar. Eine Verpflichtung zur Einhaltung dieser Richtlinien lässt sich direkt über das Richtlinienmanagement initiieren und kontrollieren. Zusammengefasst unterstützt ein Richtlinienmanagement die Einhaltung von Compliance-Vorgaben durch eine transparente Kommunikation der Anforderung und eine rechtsverbindliche Verpflichtung zur Einhaltung durch die Mitarbeiter.

Die Abkürzung SFO steht für den Begriff “Schriftlich fixierte Ordnung”. In ihren Mindestanforderungen an das Risikomanagement (MaRisk) fordert die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), dass Finanzinstitute (Banken, Versicherungen, etc.) ein Organisationshandbuch führen müssen. Neben der Beschreibung der Aufbau- und Ablauforganisation, umfasst die SFO auch Richtlinien, Arbeits- und Verfahrensanweisungen. Dabei ist es wichtig, dass diese Informationen stehts aktuell gehalten und den Mitarbeitern der Organisation niederschwellig zugänglich gemacht werden.    

Wesentlicher Bestandteil einer SFO ist die Dokumentation der Aufbau-
und Ablauforganisation, welche zur Erfüllung eines rechtskonformen Geschäftsbetriebs erforderlich ist. Die Aufbauorganisation wird meist in Form von Organigrammen dokumentiert und beschreibt die relevanten Stellen, Rollen und Organisationsbereiche. Die Dokumentation der Ablauforganisation erfolgt über hierarchisch strukturierte Geschäftsprozessmodelle. Angefangen von der Unternehmensprozesslandkarte bis zu den Detailprozessen werden die Geschäfts-abläufe dokumentiert und mit den Stellen, Rollen und Organisationsbereichen verknüpft. Ergänzend werden relevante Vorgabedokumente mit der Auf- und Ablauforganisation in Beziehung gesetzt.

Wird die SFO im Zusammenspiel mit einer Software-Lösung umgesetzt, so lassen sich die Organigramme und Prozessabläufe den Mitarbeitern online in navigierbarer Form bereitstellen. Der Mitarbeiter wählt seine Stelle oder Rolle aus und erhält direkt einen Überblick zu seinen Aufgaben und Verantwortlichkeiten. Die relevanten Richtlinien und Vorgabedokumente sind den Prozessen zugeordnet und ohne Medienbruch direkt abrufbar. Die regelmäßige Überprüfung der Inhalte im Hinblick auf Aktualität wird durch die Software-Lösung automatisch initiiert. Änderungen und Neuerungen werden bei Veröffentlichung automatisch an den vordefinierten Adressatenkreis propagiert.

Zur Abbildung der Ablauf- und Aufbauorganisation gibt es unterschiedliche Modellierungsmethoden. Zu nennen sind: Prozesslandkarte (PLK), Prozessdiagramm, Prozessablaufdiagramm / Wertschöpfungsdiagramm, Supplier-Input-Process-Output-Customer (SIPOC), Geschäftsprozessdiagramm, Swimlane, BPMN 2.0, Ereignisgesteuerte Prozesskette (EPK), Organigramm, Zieldiagramm.

Damit können Organisationsstrukturen und unternehmensinterne Abläufe erfasst und dokumentiert werden. In einem Prozessmodell ist die Prozesslandkarte oberste Ebene; auf weiteren Ebenen werden die Prozesse immer detaillierter dargestellt.

Die Dokumentation von Prozessen, ihre kontinuierliche Beobachtung und Versbesserung ist eine wesentliche Voraussetzung für ein effektives Qualitätsmanagement. Nur wenn klar ist, wie Prozesse gestaltet sein sollen, werden Unregelmäßigkeiten im Prozessablauf und in der Prozessausführung erkennbar; Abweichungen vom definierten Soll-Zustand, der zur gewünschten Qualität von Ergebnissen führen soll, können identifiziert werden. Entsprechend wichtig ist, dass die Vorgabedokumentation – Anweisungen, Handbücher, Formulare etc. – in die Prozesse integriert sind und dass Risiken, Kontrollen und Maßnahmen prozessorientiert und nachvollziehbar dokumentiert sind. Letzteres wird von der Norm ISO 9001 und ihren branchenspezifischen Ausprägungen gefordert.

Unter „Quality Oversight“ versteht man die kontinuierliche und systematische Beobachtung aller GxP-relevanten Prozesse in einem Unternehmen durch die dafür das Qualitätsmanagement zuständige Unternehmenseinheit. Die entsprechenden Aktivitäten stehen im Zusammenhang mit dem übergeordneten Anliegen, die Qualität und Sicherheit von Medizinprodukten zu gewährleisten. Voraussetzung für den „Quality Oversight“ ist die Erfassung und Dokumentation der relevanten Prozesse sowie detaillierter Daten aus der Prozessausführung. Auf dieser Basis können kritische Entwicklungen und Vorfälle erkannt und analysiert sowie entsprechende Maßnahmen zur Mangelbehebung bzw. Risikominimierung ergriffen werden.

Der Begriff ISMS steht für Information Security Management System. Ein ISMS definiert Methoden und Regeln, um in einer Organisation bzw. einem Unternehmen die Informationssicherheit zu gewährleisten. Basierend auf aktuellen Bedrohungslagen werden Risiken im Bezug auf die Werte (Assets) abgeleitet. Als Werte sind dabei nicht nur IT-Komponenten zu verstehen, dies betrifft auch die Gebäudeinfrastruktur, Geschäftsprozesse, die Beschäftigten, geistiges Eigentum und sonstige schützenwerte Daten. Durch die Umsetzung von geeigneten technischen und organisatorischen Maßnahmen sollen die Risiken mit Hinblick auf die mögliche Eintrittswahrscheinlichkeit und das zu erwartende Schadensausmaß reduziert werden. Hierbei handelt es sich um einen kontinuierlichen Prozess der regelmäßigen Überwachung und Nachsteuerung.   

Das Ziel eines ISMS besteht im Wesentlichen darin, die Informationssicherheit einer Organisation kontinuierlich zu verbessern.

Konkrete Ziel sind dabei:

• Schaffung eines Gesamtbewusstseins für Informationssicherheit in der Organisation
• Identifikation der zu schützenden Werte (Assets)
• Identifikation und Bewertung der Informationssicherheitsrisiken
• Definition und Umsetzung geeigneter Schutzmaßnahmen
• Etablierung von Prozessen zur kontinuierlichen Verbesserung der Informationssicherheit.

Bisher stehen nur KRITIS-Unternehmen in der Pflicht, ein Informations-sicherheitsmanagementsystem (ISMS) umzusetzen. Dazu gehören beispielsweise Unternehmen der Energie- und Wasserversorgung, der Bereiche Transport und Verkehr, der medizinischen Versorgung, der staatlichen Verwaltung – zusammengefasst sind alle Unternehmen und Organisationen betroffen, welche die Versorgung mit diesen und weiteren unentbehrlichen Dienstleistungen und Gütern sicherstellen müssen.

In Zeiten stetig wachsender Bedrohungen durch Cyberkriminalität, Hackerangriffen und Datendiebstahl sei jedoch allen Unternehmen und Organisation empfohlen, sich mit der Thematik auseinanderzusetzten. Durch eine strukturierte Herangehensweise im Rahmen der Einführung eines ISMS können Sicherheitslücken identifiziert und durch geeignete Maßnahmen geschlossen werden. In vielen B2B-Geschäftsbeziehungen wird vom Geschäftspartner das Vorhandensein eines funktionierenden ISMS erwartet.