Ein pharmazeutischer Chargenfreigabe-Workflow sollte vier zusammenhängende, aber unterschiedliche Entscheidungen sichtbar und nachvollziehbar machen: den Abschluss der zutreffenden Prüfung und Bewertung durch QC, den Abschluss der QA-Prüfung des Chargendossiers, die Zertifizierung durch die QP, soweit EU GMP Annex 16 gilt, sowie die operative Entscheidung, Bestand in einem ERP- oder Lagerverwaltungssystem verfügbar zu machen. Softwarebezeichnungen wie „Bereit“, „Zertifiziert“ oder „Freigegeben“ sind keine regulatorisch vorgeschriebenen Begriffe. Sie sind kontrollierte Implementierungsentscheidungen, die die anwendbaren GMP-Anforderungen unterstützen, das unabhängige Urteil der QP wahren und verhindern müssen, dass eine Charge durch einen mehrdeutigen oder nicht autorisierten Statuswechsel operativ verfügbar wird.
Dieser Beitrag behandelt das digitale Workflow-Design und nicht den umfassenderen Freigabeprozess nach Annex 16. Den zugrunde liegenden Chargenfreigabe-Lebenszyklus und den Kontext von Annex 16 erläutert der GuideGxP-Praxisleitfaden zur Chargenfreigabe nach EU GMP Annex 16.
Mit den Entscheidungen beginnen, nicht mit den Statusbezeichnungen
EU GMP Annex 16 beschreibt Erwartungen an die Zertifizierung durch eine Qualified Person und die Chargenfreigabe. EU GMP Chapter 1 beschreibt das Pharmaceutical Quality System, einschließlich der Notwendigkeit von Wissensmanagement, Qualitätsrisikomanagement und einem wirksamen System der Qualitätsaufsicht. In den Vereinigten Staaten behandelt 21 CFR 211.192 die Prüfung von Herstellungsaufzeichnungen sowie die Untersuchung unerklärter Abweichungen und Fehler vor der Chargenfreigabe. Dies sind regulatorische Anforderungen beziehungsweise von Behörden veröffentlichte GMP-Erwartungen in ihrem jeweiligen Geltungsbereich; sie schreiben keinen ERP-Statuskatalog vor.
GuideGxP-Implementierungsempfehlung: Richten Sie das digitale Design an expliziten Geschäfts- und Qualitätsentscheidungen aus. Ein Signal „QC abgeschlossen“ darf nicht stillschweigend „QA genehmigt“ bedeuten. Eine abgeschlossene QA-Prüfung darf nicht als QP-Zertifizierung behandelt werden. Aus einer QP-Zertifizierung darf nicht automatisch geschlossen werden, dass alle physischen, kommerziellen oder vertriebsbezogenen Einschränkungen aufgehoben sind. Wo lokale Verfahren diese Tätigkeiten verknüpfen, sollte das System die Verknüpfung zeigen, ohne rechenschaftspflichtige Entscheidungen zu einer generischen Aktion „Freigabe“ zusammenzufassen.
- QC-Abschluss: dokumentiert, dass zutreffende Prüfergebnisse und die Laborprüfung gemäß dem genehmigten Prozess abgeschlossen sind. Dies ist ein Nachweis für das Dossier, nicht zwingend die endgültige Disposition.
- QA-Prüfung des Dossiers: bestätigt, dass die erforderlichen Nachweise aus Herstellung, Verpackung, QC und Qualitätsereignissen innerhalb des Pharmaceutical Quality System des Standorts bewertet wurden.
- QP-Zertifizierung: die eigenständige Zertifizierungsentscheidung, die nach Annex 16 erforderlich ist, soweit anwendbar. Der Workflow muss das Urteil der QP ermöglichen und darf es nicht ersetzen.
- Operative Bestandsdisposition: eine ERP-, Lager- oder Vertriebskontrolle, die festlegt, ob Bestand zugeordnet, kommissioniert, versandt oder anderweitig verwendet werden darf. Sie muss mit Qualitätsentscheidungen abgestimmt sein, bleibt aber eine operative Kontrolle.
Ein beispielhaftes kontrolliertes Statusmodell
Die folgenden Bezeichnungen sind ausschließlich GuideGxP-Beispiele. Unternehmen können andere Namen verwenden, sofern beabsichtigte Bedeutung, Eintrittskriterien, zulässige Übergänge und verantwortliche Rollen in kontrollierten Verfahren und Systemspezifikationen definiert sind.
| Beispielhafter Status | Eintrittskriterien und Systemzweck | Zulässige Austritts- oder Übergangsbefugnis | Wesentliche Kontrolle |
|---|---|---|---|
| Entwurf | Das Chargendokumentenpaket wurde angelegt; Datenerfassung oder Schnittstellen können noch unvollständig sein. | Ein konfiguriertes Workflow-Servicekonto oder eine autorisierte operative Rolle kann bei Vorliegen der erforderlichen Aufzeichnungen in „In Prüfung“ überführen. | Nicht für Zertifizierung oder operative Freigabe geeignet. |
| In Prüfung | Das Nachweispaket ist zur Prüfung zusammengestellt; offene Punkte sind sichtbar gekennzeichnet. | Der QA-Prüfer kann innerhalb seiner zugewiesenen Befugnis weiterleiten, zurückgeben oder sperren. | Prüfaufgaben dürfen fehlende oder nicht bestandene Nachweise nicht verdecken. |
| Gesperrt | Eine definierte qualitäts-, material-, daten-, system- oder lieferkettenbezogene Bedingung verhindert den Fortschritt. | Eine autorisierte QA-Rolle verwaltet die Sperre; ihre Aufhebung erfordert eine dokumentierte Begründung und die notwendigen Genehmigungen. | Die ERP-Verfügbarkeit bleibt eingeschränkt. |
| Wartet auf Untersuchung | Eine Abweichung, ein atypisches Ergebnis, eine Diskrepanz, ein Reklamationssignal oder ein anderes Qualitätsereignis erfordert eine Bewertung. | QA darf die Charge erst dann wieder in die Prüfung zurückführen, wenn das Ergebnis des verknüpften Qualitätsereignisses dies stützt. | Verwenden Sie eine dauerhafte Verknüpfung zum eQMS-Datensatz statt Freitextbehauptungen über einen Abschluss. |
| Bereit für QP-Entscheidung | Das definierte Dossier ist vollständig für die Prüfung durch die QP; dies nimmt die Entscheidung nicht vorweg. | Nur die entsprechend autorisierte QP kann zertifizieren oder zurückweisen. | Ein schreibgeschützter Dossier-Snapshot und der aktuelle Ausnahmestatus sollten verfügbar sein. |
| Zertifiziert | Die QP hat die Zertifizierungsentscheidung getroffen und dokumentiert, soweit anwendbar. | Eine kontrollierte Integration oder autorisierte operative Rolle kann nach definierten Regeln die Bestandsdisposition anstoßen. | Identität der zertifizierenden Person, Datum/Uhrzeit und zertifizierter Umfang sind unveränderbare Audit-Trail-Ereignisse. |
| Zurückgewiesen | Die QP oder eine andere autorisierte qualitätsentscheidende Person hat die Charge gemäß dem anwendbaren Prozess zurückgewiesen. | Kein Übergang zur Freigabe ohne einen formal geregelten und verfahrensseitig zulässigen Weg. | Der Bestand bleibt nicht verfügbar; verknüpfte Qualitätsaufzeichnungen bleiben sichtbar. |
| Operativ freigegeben | Anwendbare Zertifizierung und definierte operative Prüfungen sind abgeschlossen; ERP-Bestand ist wie autorisiert verfügbar. | Nachfolgende Sperren, Rückrufe oder Korrekturen erfolgen über kontrollierte Ausnahmeübergänge. | Diesen Status mit „Zertifiziert“ abstimmen; Abweichungen erfordern eine Untersuchung. |
Ein Workflow kann für produktspezifische Regelungen zusätzliche Status benötigen; vermeiden Sie jedoch eine unkontrollierte Vermehrung von Status. Jeder Status sollte eine eindeutige Bedeutung, einen Datenverantwortlichen, Übergangsbedingungen, ein rollenbasiertes Berechtigungsset und ein Audit-Trail-Ereignis haben. „Bereit für QP-Entscheidung“ ist besonders wertvoll, weil dieser Status die Aufbereitung der Nachweise von der Entscheidung der QP trennt.
Berechtigungen und Funktionstrennung
Annex 11 ist Teil von EudraLex Volume 4 und sollte berücksichtigt werden, wenn regulierte computergestützte Systeme GMP-Tätigkeiten unterstützen. Die EudraLex-Volume-4-Seite der Europäischen Kommission ist die offizielle Zugangsseite für Annex 11 und zugehörige GMP-Leitlinien. Eine belastbare Konfiguration nutzt eindeutige Identitäten, rollenbasierten Zugriff, zurechenbare elektronische Aufzeichnungen, kontrollierte Änderungen und prüfbare Audit Trails. Das detaillierte technische Kontrolldesign sollte risikobasiert sein und im Lebenszyklus des computergestützten Systems der Organisation dokumentiert werden.
| Tätigkeit | Herstellung/QC | QA | QP | System Owner/IT | ERP/Lager |
|---|---|---|---|---|---|
| Nachweise oder Schnittstellenaufzeichnungen erstellen | Verantwortlich | Informiert | Informiert | Unterstützend | Informiert |
| Dossiervollständigkeit und Ausnahmen prüfen | Trägt bei | Verantwortlich | Konsultiert | Schreibgeschützte Unterstützung | Informiert |
| Nach Annex 16 zertifizieren oder zurückweisen | Nicht zulässig | Nicht zulässig, außer bei gesonderter Qualifikation und Autorisierung als QP | Verantwortlich und rechenschaftspflichtig | Nicht zulässig | Informiert |
| Bestand operativ verfügbar machen | Nicht zulässig | Genehmigt definierte Ausnahme, sofern das Verfahren dies verlangt | Entscheidungsquelle, soweit anwendbar | Darf Workflow nicht umgehen | Verantwortlich für die kontrollierte Ausführung |
| Workflow-Konfiguration oder Rollenzuordnung ändern | Konsultiert | Genehmigt Qualitätsauswirkung | Konsultiert | Verantwortlich für kontrollierte Implementierung | Konsultiert |
Diese Matrix ist ein Implementierungsmuster und keine universelle RACI-Matrix. Insbesondere sollten Systemadministratoren nicht allein deshalb routinemäßig berechtigt sein, Bestand zu zertifizieren, zurückzuweisen oder freizugeben, weil sie die Plattform administrieren können. Notfallzugriffe benötigen, sofern eingesetzt, einen kontrollierten Prozess, eine zeitliche Begrenzung und eine nachgelagerte Überprüfung. Die regelmäßige Berechtigungsüberprüfung sollte aktive Konten, Angemessenheit von Rollen, privilegierte Zugriffe, ausgeschiedene Mitarbeitende und Konflikte zwischen Qualitätsentscheidung und operativer Ausführung bewerten.
Einen Nachweisgraphen aufbauen, keine Dokumentensammlung
Der Freigabe-Arbeitsbereich sollte auf die kontrollierte Quellaufzeichnung oder eine unveränderbare Referenz verlinken, mit eindeutiger Aufzeichnungsversion und eindeutigem Status. Vermeiden Sie das Kopieren einer veränderlichen Tabellenkalkulation oder die Abstützung auf eine E-Mail-Aussage, wonach ein Ereignis geschlossen sei. Prüfer und QP benötigen einen effizienten Zugriff auf die für ihre Entscheidung relevanten Nachweise, während das System die Rückverfolgbarkeit zur Ursprungsanwendung wahrt.
Mindestverknüpfungen zu Nachweisen
- Herstellungs- und Verpackungsaufzeichnungen einschließlich Identität der genehmigten Aufzeichnung und Referenz der abgeschlossenen Aufzeichnung.
- Anwendbare QC-Ergebnisse, Prüfstatus und relevante Laborausnahmen aus dem LIMS oder der kontrollierten Quelle.
- Referenzen auf Abweichung, Untersuchung, Change Control und CAPA, die die Charge betreffen, einschließlich ihres aktuellen kontrollierten Status.
- Informationen zu Materialien, Komponenten und Abstimmung, soweit dies der genehmigte Freigabeprozess verlangt.
- Relevante Nachweise zum Status von Herstellung, Medien, Ausrüstung oder Validierung, wenn eine Chargenentscheidung davon abhängt.
- QP-Zertifizierungsaufzeichnung mit authentifiziertem Unterzeichner, Zeitpunkt der Signatur, Entscheidung und erklärtetem Umfang.
- ERP-Dispositionsbuchung, Lagerstatus und Nachweise zu Vertriebsbeschränkungen.
Elektronische Signaturen sollten der einzelnen unterzeichnenden Person zurechenbar und an die konkrete Entscheidung oder Aufzeichnung gebunden sein. Der Audit Trail sollte Erstellung, Änderung, Statusübergang, Signatur, Begründung sowie relevante Werte vor und nach der Änderung erfassen. Verwenden Sie kontrollierte Begründungscodes für aussagekräftige Ereignisse wie Sperren, Rückgaben in die Prüfung, zurückgewiesene Chargen, manuelle Schnittstellenkorrekturen und die Rücknahme einer operativen Freigabe. Freitext kann Kontext liefern, sollte jedoch eine kontrollierte Begründungskategorie nicht ersetzen, wenn Trendanalysen und Prüfungen erforderlich sind.
Ausnahmen, Schnittstellen und fehlgeschlagene Nachrichten kontrollieren
Schnittstellen zwischen MES, LIMS, eQMS und ERP sind eine häufige Quelle falscher Sicherheit. Ein erfolgreiches Zertifizierungsereignis im eQMS beweist nicht, dass eine ERP-Bestandsaktualisierung erfolgreich war; umgekehrt darf eine ERP-Nachricht keinen Umgehungsweg um den Qualitätsworkflow bilden. Definieren Sie für jedes Datenelement die führende Datenquelle: Chargenidentität, Qualitätsstatus, Zertifizierungsentscheidung, Bestandsstatus und Versandberechtigung.
GuideGxP-Implementierungsempfehlung: Nutzen Sie explizite Schnittstellenbestätigungen, Transaktionskennungen, Fehlerwarteschlangen und Abstimmungen. Eine fehlgeschlagene oder verzögerte Nachricht sollte die Charge in einen sichtbaren Ausnahmezustand versetzen, statt dass Anwender ihre Verfügbarkeit nur ableiten. Manuelle Wiederverarbeitung oder Korrektur muss autorisiert, zurechenbar und mit einem Begründungscode versehen sein. Wiederholte Fehler sollten dem Prozess des Qualitätssystems zur Bewertung zugeführt werden, statt ausschließlich als IT-Tickets gelöst zu werden.
Gestalten Sie Ausnahmezweige vor dem Go-live. Eine Sperre sollte die jeweils zutreffenden nachgelagerten Tätigkeiten beschränken. Eine zurückgewiesene Charge sollte nicht denselben Übergangspfad verwenden wie eine gewöhnliche Rückgabe zur Prüfung. Nacharbeit benötigt, soweit sie nach dem genehmigten Qualitätsprozess zulässig ist, eine klar definierte Beziehung zur ursprünglichen Chargenaufzeichnung und den nachfolgenden Nachweisen. Ein Rückruf oder eine Vertriebsbeschränkung erfordert eine zeitnahe Abstimmung zwischen Qualitätsstatus und der operativen Möglichkeit, Bestand zuzuordnen oder zu vertreiben. Das System sollte diese Abstimmung darstellen; es darf das Qualitätsergebnis nicht autonom entscheiden.
Den Workflow validieren und Abstimmungen überwachen
Die Workflow-Konfiguration ist keine einmalige IT-Einstellung. Statusbedeutungen, Entscheidungsregeln, Berechtigungen, Integrationen, Berichte und das Verhalten elektronischer Signaturen sind Kontrollen regulierter Prozesse, wenn sie GMP-Entscheidungen unterstützen. Änderungen sollten über Change Control und den Lebenszyklus computergestützter Systeme der Organisation bewertet werden. Risikobasierte Tests sollten die beabsichtigte Funktion nachweisen und die Datenintegrität schützen. Dies entspricht der Erwartung, das Pharmaceutical Quality System und kontrollierte computergestützte Systeme zu steuern; es ist keine Behauptung, dass Behörden ein bestimmtes Testskript oder eine feste Validierungsmethode vorschreiben.
Nützliche Abstimmungskennzahlen sind die Zahl zertifizierter, aber noch nicht operativ freigegebener Chargen, operativ freigegebener Chargen ohne erwartete Zertifizierungsverknüpfung, gesperrter Chargen mit fehlgeschlagenen Schnittstellennachrichten, gealterter Chargen mit verknüpften Untersuchungen sowie manueller Statuskorrekturen. Kennzahlen sollten die Überprüfung von Daten, Workflow-Design und Prozessverantwortung auslösen; sie sind keine von Annex 16 oder Annex 11 vorgegebenen Akzeptanzgrenzen.
Checkliste für Inspektionsbereitschaft
- Kann das Team anhand der konfigurierten Status den Unterschied zwischen QC-Abschluss, QA-Prüfung, QP-Zertifizierung und ERP-Disposition erläutern?
- Hat jeder Übergang definierte Kriterien, zulässige Rollen und einen zurechenbaren Audit-Trail-Eintrag?
- Kann eine QP das aktuelle Dossier, verknüpfte Ausnahmen und die Herkunft der Nachweise einsehen, ohne auf unkontrollierte Kopien angewiesen zu sein?
- Sind QP-Zertifizierung und operative Freigabe getrennte Ereignisse, deren Beziehung eindeutig abgestimmt wird?
- Verhindern Pfade für Sperre, Zurückweisung, Untersuchung, Nacharbeit sowie Rückruf oder Beschränkung eine unangemessene Bestandsverfügbarkeit?
- Sind Schnittstellenfehler sichtbar, soweit angemessen untersucht und mit Quell- und Zielsystemen abgestimmt?
- Sind privilegierte Zugriffe, widerstreitende Rollen und regelmäßige Berechtigungsüberprüfungen kontrolliert?
- Wurden Workflow- und Schnittstellenänderungen im Lebenszyklus des computergestützten Systems bewertet, genehmigt und getestet?
FAQ
Verlangt Annex 16 einen Status namens „Zertifiziert“?
Keine Software-Statusbezeichnung ist durch das Workflow-Beispiel vorgeschrieben. „Zertifiziert“ ist eine hilfreiche Implementierungsbezeichnung zur Erfassung der eigenständigen QP-Entscheidung, Unternehmen sollten jedoch ihre eigene kontrollierte Terminologie definieren.
Kann QA eine Charge im Namen der QP zertifizieren?
Der digitale Workflow darf QA-Prüfung und QP-Zertifizierung nicht vermischen. Soweit Annex 16 gilt, ist die Zertifizierung eine eigenständige Verantwortung der QP. Die lokale Rollenzuordnung muss die anwendbaren rechtlichen Regelungen und Qualitätsmanagementsystem-Vereinbarungen widerspiegeln.
Sollte die QP-Zertifizierung ERP-Bestand automatisch freigeben?
Nicht zwingend. Automatisierung kann angemessen sein, wenn sie spezifiziert, kontrolliert und validiert ist. Das Design muss jedoch weiterhin zwischen Zertifizierung und operativer Disposition unterscheiden sowie Schnittstellenfehler und operative Beschränkungen steuern.
Was ist die wichtigste Kontrolle bei manuellen ERP-Aktualisierungen?
Verhindern Sie, dass ein manuelles Update die definierte Qualitätsentscheidung umgeht. Fordern Sie eine angemessene Berechtigung, einen Begründungscode, zurechenbare Audit-Trail-Nachweise und die Abstimmung mit der auslösenden Zertifizierungs- oder Ausnahmeaufzeichnung.
Die Methode in ein auditfaehiges System ueberfuehren
Qualified Person (QP) Operational Guide - Annex 16 / Batch Release ist eine optionale operative GuideGxP-Ressource für vertiefende Methoden, Checklisten und anpassbare Werkzeuge. Sie ist nicht von einer Behörde gebilligt und ersetzt weder Ihre genehmigten Verfahren noch das Urteil der QP oder anwendbare Anforderungen.
