Quality Risk Management für Pharmawassersysteme: Gefahren, kritische Kontrollpunkte und Control Strategy

Bei einer Inspektion ist nicht die Frage „Haben Sie eine Risikobewertung für das Wassersystem?“ die schwierige. Darauf gibt es immer eine Antwort: Es gibt eine Datei, sie ist unterschrieben, sie ist abgelegt. Schwierig wird die zweite Frage: „Zeigen Sie mir eine Entscheidung, die diese Risikobewertung verändert hat.“

Oft kommt darauf keine Antwort. Das Dokument wurde einmal erstellt, während der Qualifizierung, als das Layout der Ringleitung bereits eingefroren und der Probenahmeplan bereits von jemand anderem geschrieben war. Die Alert Level stammen aus der Voreinstellung des Lieferanten. Die Probenahmestellen sind jene, die man ohne Podestleiter erreicht. Die Risikobewertung existiert, hat aber nie etwas entschieden: Sie beschreibt das System, sie steuert es nicht.

Dieser Beitrag dreht die Reihenfolge um. Nicht „wie fülle ich eine Matrix aus“, sondern wie man eine Bewertung aufbaut, die Designvorgaben, Akzeptanzkriterien, Probenahmestellen und Anlässe zur Neubewertung erzeugt und über den gesamten Lebenszyklus lebendig bleibt. Er gehört zum Cluster Pharmaceutical Water & WFI Systems.

Zur Begrifflichkeit: was hier „critical control point“ bedeutet

Zunächst eine ehrliche Klarstellung zum Vokabular, denn sie ist eine wiederkehrende Quelle von Missverständnissen. „Critical control point“ ist für Pharmawassersysteme kein definierter GMP-Begriff. Er erscheint weder in Annex 1 des EudraLex Volume 4 noch in Annex 15 als Definition. Er stammt aus der Lebensmittelsicherheit (HACCP) und wird im pharmazeutischen Umfeld vor allem als Methode zitiert: ICH Q9(R1) führt HACCP in Annex I unter den Werkzeugen des Quality Risk Management auf, ohne es vorzuschreiben und ohne eine Schwelle der „Kritikalität“ zu definieren.

Hier wird der Begriff im Sinne einer prozessbezogenen Control Strategy verwendet: die Stelle, an der eine ausgeübte Kontrolle den Verlust eines Qualitätsattributs des Wassers verhindert oder abfängt und an der ein Kontrollverlust stromabwärts nicht mehr aufgefangen wird. Das ist ein Arbeitsbegriff, keine Anforderung. Wenn Ihr Qualitätssystem den Begriff verwendet, muss es ihn in einer Verfahrensanweisung definieren und konsistent anwenden — und darf ihn dem Inspektor nie als regulatorische Pflicht darstellen. Andernfalls nutzen Sie das Vokabular, das die Regelwerke tatsächlich verwenden: risikobasierte Kontrollen für Utilities (Annex 1, 6.1-6.5) und Contamination Control Strategy, deren ausdrücklicher Bestandteil die Wasserqualität ist (Annex 1, 2.5(v)). Ein Dokument mit nicht existierenden regulatorischen Begriffen lädt den Inspektor dazu ein, nach der Fundstelle zu fragen.

Der regulatorische Rahmen: was tatsächlich verlangt wird

Keiner dieser Texte liefert Ihnen die Zahlen. Sie sagen Ihnen, dass Sie sie festlegen, begründen und überprüfen müssen.

• ICH Q9(R1), Step 4 am 18. Januar 2023. QRM ist ein Prozess — Risk Assessment, Risk Control, Risk Communication, Risk Review — und kein Formular. Die Revision R1 hat vier Themen ausdrücklich gemacht, die bei einem Wassersystem schwer wiegen: die Subjektivität der Bewertung und ihre Eingrenzung; Formalität als Spektrum, wobei die Stringenz der Unsicherheit, der Bedeutung und der Komplexität des Sachverhalts angemessen sein muss; risikobasierte Entscheidungsfindung; und das Risiko für die Produktverfügbarkeit. Q9(R1) stellt zudem klar, dass Ressourcenknappheit kein geringeres Maß an Formalität rechtfertigt.
• ICH Q10, Step 4 am 4. Juni 2008: Restrisiko und dessen Entwicklung sind ein Input für das Management Review, kein Projektanhang.
• Annex 1 (C(2022) 5938 final, in Kraft seit 25. August 2023): Wasserqualität ist ein Element der CCS (2.5(v)); Utilities sind risikobasiert zu kontrollieren, wobei Utilities mit direktem Produktkontakt das höchste Risiko darstellen (6.1-6.5); die Anlage ist so auszulegen, zu installieren, in Betrieb zu nehmen, zu qualifizieren, zu überwachen und zu warten, dass mikrobiologische Kontamination verhindert wird, mit Minimierung von Partikeln, mikrobieller Vermehrung und Endotoxinen/Pyrogenen, mit Gefälle der Rohrleitungen zur Entleerung und ohne Toträume (6.7); die Qualifizierung muss die jahreszeitliche Schwankung berücksichtigen (6.8); die Strömung muss turbulent bleiben, um mikrobielle Anhaftung und Biofilm zu begrenzen, wobei der Volumenstrom in der Qualifizierung festgelegt und routinemäßig überwacht wird (6.9); die Sanitisierung folgt einem vorgegebenen Zeitplan und ist zugleich Abhilfemaßnahme (6.12); Alert Level beruhen auf den Daten der Erstqualifizierung und werden periodisch neu bewertet (6.13); Überschreitungen sind zu dokumentieren, zu bewerten und zu untersuchen, wobei ein Einzelereignis von einem ungünstigen Trend zu unterscheiden ist (6.14); WFI-Systeme umfassen kontinuierliches Monitoring wie TOC und Leitfähigkeit (6.15).
• EMA Q&A EMA/INS/GMP/443117/2017 (gültig seit 1. August 2017) zur WFI-Herstellung mit anderen Verfahren als der Destillation. Zwei Aussagen fließen direkt in die Risikobewertung ein: Umkehrosmose arbeitet typischerweise bei Umgebungstemperatur und stellt damit eine ideale Umgebung für die Biofilmbildung dar; und zu den Grenzwerten: „Increasing of such limits is not good practice and may mask a failing system“. Das Dokument erwartet umfangreiche Prüfungen, tägliche Prüfung aller kritischen Stellen in der Anfangsphase und etwa ein Jahr Daten, um die jahreszeitliche Schwankung zu erfassen, und verlangt mindestens eine jährliche Bewertung der Wirksamkeit des Monitorings.
• WHO TRS 1033, Annex 3 (2021): Alert und Action Level werden aus den berichteten historischen Daten abgeleitet und für Bulk Purified Water durch Systemkenntnis und Datentrending bestimmt.
• PIC/S Aide-Memoire PI 009-4 „Inspection of Utilities“, Rev. 4, gültig seit 1. Januar 2021: das Dokument, mit dem sich PIC/S-Inspektoren auf die Betrachtung der Utilities vorbereiten.

Die EMA Guideline on the quality of water for pharmaceutical use (EMA/CHMP/CVMP/QWP/496873/2018, in Kraft seit 1. Februar 2021) legt die Mindestwasserqualität nach Verwendung und Applikationsweg fest, aber weder Alert-/Action-Grenzwerte noch Sanitisierungsintervalle noch Regeln zur periodischen Überprüfung. Genau diese Lücke muss die Risikobewertung mit einer dokumentierten Begründung füllen.

Umfang und Systemgrenzen: der Teil, den fast niemand schreibt

Eine Risikobewertung ohne erklärte Systemgrenzen wird beim ersten Gespräch angreifbar. Vier Punkte gehören schriftlich fixiert, bevor Gefahren aufgelistet werden. Stromaufwärts: Liefervertrag für Trinkwasser, Übergabepunkt, Vorlagebehälter oder Rohwasserspeicher — für Standorte, die in die USA liefern, verlangt 21 CFR 211.48 Trinkwasser unter kontinuierlichem Überdruck in einem mängelfreien Leitungssystem, das einzige Wasserkriterium in Part 211 und eine vorgelagerte Integritätsanforderung, die oft außerhalb des Umfangs bleibt. Stromabwärts: Ventil der Entnahmestelle, Schlauch des Nutzers, Probenahmestelle, Übergabe an den Prozess; der Schlauch ist fast immer der am stärksten hinterfragte und am schlechtesten dokumentierte Punkt. Angrenzende Systeme: Reindampf, CIP, Laborwasser, Kondensat — erklären Sie, ob sie im Umfang liegen oder durch eine separate Bewertung abgedeckt sind, und zitieren Sie diese. Unterstützende Prozesse: Probenahme, Labor, Instandhaltung, Kalibrierung, Automatisierung und SCADA, Change Control; das sind Prozesse, keine Rohre, aber dort entstehen viele reale Fehlermöglichkeiten.

Schreiben Sie auch auf, was Sie bewusst ausgeschlossen haben, und warum. Eine nicht schriftlich festgelegte Grenze ist eine Grenze, die in der Inspektion diskutiert wird.

Die realen Gefahren eines Wassersystems

Biofilm. Er ist die strukturelle Gefahr, kein Unfall. Anhaftende Zellen bilden eine Matrix, die sie vor Sanitisierung und Strömung schützt, und geben planktonische Zellen unregelmäßig ab: wochenlang niedrige, stabile Keimzahlen, dann eine Spitze ohne erkennbare Ursache, dann wieder niedrige Werte. In einem System mit etabliertem Biofilm ist diese Spitze kein analytisches Rauschen, sondern eine Freisetzung. Daher die beiden Kontrollen, die Annex 1 ausdrücklich nennt — turbulente Strömung (6.9) und entleerbare Geometrie ohne Toträume (6.7) — und die Warnung des EMA-Q&A zu RO-Systemen bei Umgebungstemperatur. Das Thema wird im Beitrag zur mikrobiologischen und Endotoxin-Kontrolle in PW und WFI vertieft.

Endotoxine. Eine von der Keimzahl unabhängige Gefahr: Sie überdauern den Zelltod und werden durch thermische Sanitisierung nicht entfernt, die durch Zelllyse sogar welche freisetzen kann. Ein System kann also beherrschte Keimzahlen und zugleich eine steigende Endotoxinlast zeigen. Behandeln Sie sie als eigenes Attribut mit eigener Fehlermöglichkeit und eigener Detektion: Annex 1 fordert unter 6.7 die Minimierung von Endotoxinen und Pyrogenen, nicht nur der mikrobiellen Vermehrung.

Chemische Gefahren. Ionendurchbruch durch erschöpfte oder degradierte Membranen und Harze, organischer Carry-over als TOC, Rückstände von Sanitisierungs- und Regeneriermitteln, Korrosionsprodukte und Rouging, Abgabe aus Polymeren und Dichtungen, Desinfektionsmittel im Speisewasser. Viele davon haben keinen eigenen Alarm: Sie zeigen sich als Trend von Leitfähigkeit oder TOC — genau deshalb fordert Annex 1 unter 6.15 kontinuierliches Monitoring dieser beiden Attribute bei WFI-Systemen.

Stagnation. Sie verstärkt alle mikrobiologischen Gefahren und betrifft nicht nur geometrische Toträume: Sie betrifft selten genutzte Entnahmestellen, Reserveabgänge für künftige Erweiterungen, Instrumente an Abzweigen, Probenehmer und Entleerungsventile. Ein Abgang, der alle geometrischen Kriterien erfüllt, aber einmal im Monat geöffnet wird, verhält sich wie ein Totraum.

Schwankung des Speisewassers. Es ändert sich mit der Jahreszeit, mit der Rohwasserquelle des Versorgers, mit Niederschlägen, mit Arbeiten am Netz, mit dem Desinfektionsregime des Betreibers: Keimlast, organische Substanz, Temperatur, Härte, freies Chlor oder Chloramine verändern sich. Annex 1 verlangt unter 6.8, dass die Qualifizierung die jahreszeitliche Schwankung berücksichtigt, und das EMA-Q&A erwartet rund ein Jahr Daten, gerade um sie zu erfassen. Ein in nur einer Jahreszeit qualifiziertes System trägt eine Wissenslücke, die die Risikobewertung benennen und nicht verbergen muss.

Typische Fehlermöglichkeiten in Erzeugung, Lagerung und Verteilung

Eine Liste von Gefahren genügt nicht: Die Risikobewertung arbeitet an den Arten, wie das System versagt. Die Tabelle sammelt wiederkehrende Fehlermöglichkeiten. Sie ist nicht erschöpfend und ersetzt die Analyse Ihrer Anlage nicht: Sie ist ein Ausgangspunkt für die Arbeitssitzung.

Von der Gefahr zum Kontrollpunkt: vier Kriterien

Die Frage „ist das ein kritischer Punkt?“ erzeugt ohne Kriterien endlose Diskussionen. Vier Kriterien, in dieser Reihenfolge angewandt, beenden die meisten davon.

1. Direkte Auswirkung. Der Kontrollverlust verändert ein Qualitätsattribut des an den Prozess gelieferten Wassers. Betrifft die Wirkung nur Effizienz, Verbrauch oder Standzeit von Verbrauchsmaterial, ist es ein Prozess-, kein Qualitätskontrollpunkt.
2. Steuerbarkeit. Dort kann tatsächlich eine Kontrolle ausgeübt werden: ein einstellbarer Parameter, eine Barriere, ein Zyklus, eine Verfahrensanweisung. Gibt es keine, ist es kein Kontrollpunkt, sondern eine Designrestriktion, die im Design gelöst oder als erklärtes Restrisiko akzeptiert werden muss.
3. Rechtzeitige Überprüfbarkeit. Es gibt eine Prüfung, die rechtzeitig einen Nachweis liefert, um die Verwendung des Wassers zu verhindern. Eine Kontrolle, die nur durch eine Analyse bestätigt wird, deren Ergebnis nach dem Verbrauch vorliegt, ist detektionsseitig schwach, so gut die Methode auch sein mag.
4. Keine Korrektur stromabwärts. Der Kontrollverlust wird durch keinen nachfolgenden Schritt korrigiert. Dieses Kriterium trennt einen kritischen Punkt von einer bloßen Monitoringstelle, und es wird am häufigsten vergessen.

Gemeinsam angewandt reduzieren sie die Liste der kritischen Punkte von einigen Dutzend auf wenige entscheidende. Genau das ist das Ziel: Eine Control Strategy, in der alles kritisch ist, unterscheidet nichts.

FMEA angewandt auf ein Wassersystem

Die FMEA ist eines der in Annex I von ICH Q9(R1) aufgeführten Werkzeuge, neben FMECA, Fehlerbaumanalyse, HACCP, HAZOP, Preliminary Hazard Analysis, Risk Ranking and Filtering sowie den unterstützenden statistischen Methoden. Keines ist verpflichtend: Die Guideline verlangt, dass das Werkzeug zum Problem passt und die Formalität der Unsicherheit, Bedeutung und Komplexität angemessen ist. Bei einem Wassersystem funktioniert die FMEA gut, weil das System aus Komponenten mit identifizierbaren Fehlerarten besteht; sie funktioniert schlecht, wenn man sie als Rechenübung betreibt.

• Legen Sie die Granularität vor dem Start fest. Führen Sie die FMEA auf der Ebene durch, auf der Sie entscheiden können: Jedes Ventil einzeln zu analysieren erzeugt Hunderte Zeilen und keine Entscheidung, „die Ringleitung“ als ein einziges Element zu betrachten erzeugt keine spezifische Kontrolle. Das funktionale Teilsystem mit seinen Schnittstellen ist meist die richtige Ebene.
• Dokumentieren Sie bestehende Kontrollen vor der Bewertung. Bewerten Sie das System „nackt“, erhalten Sie ein Risikoprofil, das es nicht gibt; listen Sie die Kontrollen nicht auf, können Sie nicht belegen, warum das Risiko niedrig ist.
• Seien Sie ehrlich bei der Detektierbarkeit. Sie misst nicht die Güte der Analysenmethode, sondern die Fähigkeit, den Fehler rechtzeitig zur Verhinderung der Verwendung abzufangen: Eine hervorragende Methode, deren Ergebnis nach dem Verbrauch vorliegt, hat niedrige Detektierbarkeit. Hier richtet Subjektivität den größten Schaden an — genau das Thema, das ICH Q9(R1) explizit gemacht hat.
• Machen Sie aus der RPZ keine Freigabeschwelle. Das Produkt dreier Ordinalskalen ist weder additiv noch linear, und sehr unterschiedliche Kombinationen ergeben dieselbe Zahl. Nutzen Sie es zur Priorisierung und wenden Sie dann eine ausdrückliche Regel an: Jede Fehlermöglichkeit mit maximaler Schwere wird einzeln bewertet, unabhängig von der Punktzahl.
• Interdisziplinäres Team und Moderator. Eine von einer einzigen Funktion geschriebene FMEA bildet nur die Gefahren ab, die diese Funktion kennt; ein Wassersystem berührt Engineering, Produktion, Mikrobiologie, QA, Instandhaltung und Automatisierung.
• Trennen Sie Design- und Betriebs-FMEA. Die Design-FMEA wird bei noch offenen Entscheidungen durchgeführt und erzeugt Anforderungen; die Betriebs-FMEA wird am bestehenden System durchgeführt und erzeugt Kontrollen, Monitoring und Maßnahmen.

Die folgende Vorlage kann unverändert übernommen werden. Die Bewertungsspalten sind bewusst leer: Die Werte vergeben Sie, mit der Skala, die Ihr Standort definiert und begründet hat.

Danach braucht es eine Skala. Die folgende Tabelle ist ein Strukturbeispiel, kein Standard und keine regulatorische Referenz. Weder ICH Q9(R1) noch EudraLex schreiben eine Skala für Schwere, Auftretenswahrscheinlichkeit und Detektierbarkeit vor: Jeder Standort muss seine eigene definieren, begründen, in einer Verfahrensanweisung genehmigen und über verschiedene Bewertungen hinweg konsistent anwenden — sonst sind die Bewertungen nicht vergleichbar. Die Bewertungsspalte bleibt bewusst leer.

Definieren Sie die operative Bedeutung jeder Stufe mit Beispielen aus Ihrer Anlage, sonst vergeben zwei Bewerter für denselben Fehler unterschiedliche Zahlen. Und legen Sie die Entscheidungsregel in einer Verfahrensanweisung fest — welche Kombination eine Maßnahme erfordert, welche nur Monitoring, wer akzeptieren darf — bevor Sie die Ergebnisse sehen: Die Schwelle nach Sichtung der Bewertungen festzulegen ist der häufigste Weg, die FMEA das sagen zu lassen, was ohnehin schon entschieden war.

Anwendungsbeispiel: Standort Delta

Standort Delta ist ein fiktiver Standort und dient hier als Lehrbeispiel. Keine der genannten Angaben stellt ein Akzeptanzkriterium oder einen Referenzwert dar.

Standort Delta stellt sterile Injektabilia her: eine PW-Ringleitung, die auch einen membranbasierten WFI-Erzeuger speist, und eine WFI-Ringleitung. Die Risikobewertung bestand seit Jahren und war nur durch formale Revisionen aktualisiert worden. Ihre Wiedereröffnung im interdisziplinären Team mit einem bereichsfremden Moderator brachte vier Ergebnisse, von denen keines exotisch ist.

Eine vergessene Entnahmestelle. Ein zweimal monatlich genutzter Raum wurde über einen Abzweig mit Handventil versorgt, und keine Fehlermöglichkeit deckte ihn ab, weil die frühere Analyse am Verteiler geendet hatte. Das Kriterium „keine Korrektur stromabwärts“ machte ihn zum kritischen Punkt. Ergebnis: Spülung vor Gebrauch, Aufnahme in den rotierenden Probenahmeplan, technische Bewertung der Entfernung des Abzweigs.

Ein unvollständiger Integritätstest. Der Sterilluftfilter des WFI-Tanks wurde nach Gebrauch geprüft, die Anweisung sah aber keine Prüfung vor dem Einbau vor, die Annex 1 unter 6.11 zusammen mit der Kondensatvermeidung fordert. Die FMEA hatte dem Filter eine hohe Detektierbarkeit zugewiesen, ohne zu prüfen, was die Anweisung tatsächlich verlangte. Ergebnis: Anweisung überarbeitet, Filterbeheizung geprüft, und eine methodische Lehre — Detektierbarkeit wird am gültigen Dokument geprüft, nicht an der Überzeugung des Teams.

Eine Qualifizierung in nur einer Jahreszeit. Die PQ war vollständig im Winter durchgeführt worden, die Lücke war nicht erklärt. Ergebnis: Lücke als Restrisiko mit Frist erfasst, erweitertes Monitoring zur Abdeckung des Jahreszyklus, Alert Level bis zum Abschluss des Programms vorläufig belassen.

Ein aufgezeichneter, aber nicht alarmierter Volumenstrom. Ein langsamer Abfall des Rücklaufvolumenstroms der WFI-Ringleitung wäre erst im Monatsreview sichtbar geworden, während 6.9 einen in der Qualifizierung festgelegten und routinemäßig überwachten Volumenstrom verlangt, gerade weil turbulente Strömung eine Kontrolle gegen mikrobielle Anhaftung ist. Ergebnis: Alarm unter Change Control konfiguriert, Audit-Trail-Prüfung der Grenzwertänderungen, Detektierbarkeit neu berechnet.

Keines der vier Ergebnisse erforderte nennenswerte Investitionen, und alle vier waren im früheren Dokument unsichtbar: Dieses Dokument war gebaut worden, um zu existieren, nicht um zu entscheiden.

Von der Bewertung zur Control Strategy

Die Control Strategy ist kein Dokument: Sie ist die Gesamtheit der Kontrollen, die das System im validierten Zustand halten, verteilt auf mehrere Ebenen. Die Risikobewertung legt fest, welche Ebene jede Gefahr trägt, und zeigt jene Gefahren auf, die auf einer zu schwachen Ebene ruhen.

• Eliminierung. Die robusteste Kontrolle ist, die Gefahr nicht zu haben: einen Abzweig entfernen, einen Reservestrang stilllegen, ein Instrument in die Leitung setzen. Das kostet im Design und danach nichts mehr.
• Designkontrollen. Entleerbare Geometrie, keine Toträume, Gefälle zur Entleerung, Werkstoffe und Oberfläche, Auslegung für turbulente Strömung, Temperatur- oder Ozonregime (Annex 1, 6.7 und 6.9). Es sind die einzigen Kontrollen, die nicht vom täglichen menschlichen Verhalten abhängen.
• Betriebliche Kontrollen. Kontinuierliche Umwälzung, Temperaturregime, vorgegebener Sanitisierungsplan und Sanitisierung als Abhilfemaßnahme (6.12), Lenkung von Entnahmestellen und Schläuchen.
• Monitoringkontrollen. Regelmäßiges und fortlaufendes chemisches und mikrobiologisches Monitoring (6.13), kontinuierliches TOC- und Leitfähigkeitsmonitoring bei WFI-Systemen (6.15), ein Probenahmeplan, der auf den identifizierten kritischen Punkten aufbaut.
• Verfahrens- und Qualitätssystemkontrollen. Abweichungen, Trending, Untersuchungen, Change Control, periodische Überprüfung, Schulung. Die letzte und fragilste Ebene, weil sie vollständig von der Ausführung abhängt.

Die praktische Regel: Eine Gefahr, die nur auf der Detektionsebene kontrolliert wird, ist keine kontrollierte Gefahr. Ist die einzige Verteidigung gegen die Kontamination einer Entnahmestelle die periodische Probenahme, haben Sie keine Kontrolle, sondern eine Hoffnung mit Aufzeichnung. Die Risikobewertung muss solche Fälle sichtbar machen und eine Entscheidung erzwingen: die höhere Ebene stärken oder das Restrisiko ausdrücklich akzeptieren. Bei sterilen Produkten mündet all das in die Contamination Control Strategy, deren Element die Wasserqualität ist (Annex 1, 2.5(v)): Eine Bewertung, die die CCS weder speist noch deren Vorgaben aufnimmt, ist ein Paralleldokument — und das fällt in der Inspektion auf.

Restrisiko: wer es akzeptiert und mit welchem Nachweis

ICH Q9(R1) behandelt die Risikoakzeptanz als informierte Entscheidung, nicht als Abschlussformalität. Drei ehrliche Kategorien genügen: Risiko auf ein akzeptables Maß reduziert und überwacht, mit Kontrollen im Betrieb und beobachtetem Trend; Risiko mit Begründung und Frist akzeptiert, wenn die ideale Kontrolle jetzt nicht anwendbar ist, mit kompensierender Maßnahme und Überprüfungsdatum; und nicht akzeptables Risiko, das gar kein Restrisiko ist, sondern eine offene Maßnahme mit Verantwortlichem und Termin.

Zwei Regeln vermeiden die meisten Probleme. Die Akzeptanz gehört zu einer Rolle, nicht zu einem Projekt: Ein „vom Projektteam“ akzeptiertes Risiko hat keinen Eigentümer mehr, sobald das Projekt schließt. Und ein Restrisiko, das von einer noch nicht installierten Kontrolle abhängt, ist kein Restrisiko, sondern eine als Schlussfolgerung getarnte offene Maßnahme.

Wie die Risikobewertung URS, Design, Qualifizierung, Monitoring und periodische Überprüfung verbindet

Hier liegt der Unterschied zwischen einer lebendigen Risikobewertung und einem Anhang. Risikobewertung ist keine Projektphase: Sie ist der Faden, der durch alle Phasen läuft, und jede Phase muss von ihr etwas empfangen und ihr etwas zurückgeben. Ist der Fluss einseitig, stirbt das Dokument mit der ersten Übergabe.

Zwei Verbindungen verdienen Genauigkeit. Die erste ist die URS des Wassersystems: Jede aus einer Gefahr entstandene Anforderung sollte auf diese Gefahr rückverfolgbar sein, damit im Design Review klar ist, welche Anforderung verhandelbar ist und welche nicht. Eine Anforderung ohne Ursprung fällt der ersten Kostendiskussion zum Opfer, weil niemand weiß, wovor sie schützt. Der science- and risk-based Ansatz von ASTM E2500-25 beruht genau auf dieser Rückverfolgbarkeit, und die vorgelagerte Wahl der für den vorgesehenen Zweck erforderlichen Wasserqualität ist die erste risikobasierte Entscheidung des Projekts: Qualität zu überdimensionieren ist keine Vorsicht, sondern eine Verlagerung des Risikos auf den Unterhalt eines komplexeren Systems.

Die zweite ist das Monitoring. Der Probenahmeplan ist der Ort, an dem die Bewertung jede Woche überprüfbar wird: Sind die beprobten Stellen nicht die als kritisch identifizierten, haben Sie zwei Dokumente, die zwei verschiedene Systeme beschreiben. Annex 1 schließt unter 6.13 den Kreis auf der Kriterienseite — Alert Level entstehen aus den Daten der Erstqualifizierung und werden periodisch auf Basis von Requalifizierung, Routinemonitoring und Untersuchungen neu bewertet. Sie sind kein Konfigurationsparameter, sondern ein Ergebnis des Lebenszyklus.

Die periodische Überprüfung: wann, nicht nur wie oft

Ein fester Turnus ist die schlechteste Art, die Überprüfung zu steuern, weil er garantiert, dass das Dokument zum falschen Zeitpunkt aktualisiert wird. ICH Q9(R1) legt Risk Review als fortlaufenden Prozess an, mit Neubewertung ausgelöst durch geplante Ereignisse (Product Review, Inspektionen, Audits, Change Control) und ungeplante (Untersuchungen, Rückrufe), mit einer dem Risikoniveau angemessenen Häufigkeit. Übertragen auf ein Wassersystem sind dies die Auslöser für die Verfahrensanweisung.

• Änderungen unter Change Control an Geometrie, Werkstoffen, Temperaturregime, Sanitisierungszyklen, Instrumentierung oder Alarmlogik.
• Hinzufügen oder Entfernen einer Entnahmestelle und jede wesentliche Änderung des Verbrauchsprofils.
• Ein neues Produkt oder Verfahren, das eine andere Wasserqualität oder eine andere Nutzung einer bestehenden Stelle erfordert.
• Abweichungen, OOS und OOT, mit der von 6.14 geforderten Unterscheidung zwischen Einzelereignis und ungünstigem Trend.
• Änderungen des Speisewassers: neue Rohwasserquelle des Versorgers, geändertes Desinfektionsregime, ungewöhnliches saisonales Ereignis, Arbeiten am Netz.
• Ergebnisse der periodischen Requalifizierung und der Überprüfung der Alert Level.
• Retrofit, Austausch wesentlicher Komponenten, Obsoleszenz des Leitsystems.
• Bewertung der Wirksamkeit des Monitorings: Das EMA-Q&A zu nicht destillativen Verfahren verlangt mindestens eine pro Jahr.
• Veröffentlichung oder Inkrafttreten eines anwendbaren regulatorischen Texts.

Eine Falle sei ausdrücklich benannt. Wenn ein System wiederholt Überschreitungen erzeugt, ist die schnellste Reaktion, die Grenzwerte anzuheben: Die Überschreitungen verschwinden und der Trend wirkt wieder „beherrscht“. Das EMA-Q&A EMA/INS/GMP/443117/2017 sagt dazu unmissverständlich: „Increasing of such limits is not good practice and may mask a failing system“. Ein Alert Level anzuheben ist nur als Ergebnis einer Analyse legitim, die zeigt, dass das bisherige Niveau gegenüber den Daten eines beherrschten Systems unangemessen war — niemals als Abhilfe für ein System, das nachlässt. Dieselbe Logik gilt für die im informativen Kapitel USP <1231> genannten Werte, die unverbindliche Action Level bleiben und keine hauseigenen Spezifikationen auf Basis Ihrer Daten ersetzen. Der Risk Review ist zugleich der natürliche Auslöser für Entscheidungen zu periodischer Überprüfung und Retrofit: der Moment, in dem entschieden wird, ob ein vor drei Jahren akzeptiertes Restrisiko noch akzeptabel ist oder zur Art geworden ist, ein strukturelles Problem nicht anzugehen.

Häufige Fehler und Warnsignale in der Inspektion

• Die Risikobewertung nach dem Design Freeze schreiben: Sie kann dann nur noch bereits getroffene Entscheidungen begründen.
• Das System „nackt“ bewerten, ohne die bestehenden Kontrollen aufzulisten.
• Einer Kontrolle hohe Detektierbarkeit zuweisen, deren Ergebnis nach der Verwendung des Wassers vorliegt.
• Eine RPZ-Schwelle als automatische Freigabe nutzen oder die Akzeptanzschwelle erst nach Sichtung der Bewertungen festlegen.
• Die Skala nicht in einer Verfahrensanweisung definieren und dadurch nicht vergleichbare Bewertungen erhalten.
• Die Analyse am Verteiler beenden und Abzweige, Schläuche und selten genutzte Entnahmestellen auslassen.
• Endotoxine als automatische Folge der mikrobiologischen Kontrolle behandeln.
• In nur einer Jahreszeit qualifizieren und die Lücke nicht erklären.
• „Critical control point“ als regulatorischen Begriff darstellen, ohne ihn in einer Verfahrensanweisung definiert zu haben.

In der Inspektion sind es diese Signale, die die Diskussion eröffnen.

• Ein einziges Unterschriftsdatum und keine Revision nach Jahren Betrieb mit dokumentierten Abweichungen.
• Stellen des Monitoringplans, die nicht mit den kritischen Punkten der Bewertung übereinstimmen.
• Alert Level, die weder auf Qualifizierungsdaten noch auf eine Auswertung historischer Daten zurückführbar sind, oder angehoben wurden mit dem Rückgang der Überschreitungen als dokumentierter Begründung.
• Wiederholte Überschreitungen, einzeln als Einzelereignisse geschlossen, ohne Trendbewertung.
• Vor Ort sichtbare Anlagenänderungen, die weder im aktuellen R&I-Fließbild noch in der Risikobewertung erscheinen.
• „Akzeptierte“ Restrisiken ohne Verantwortlichen, ohne technische Begründung und ohne Überprüfungsdatum.
• Eine Skala für Schwere, Auftreten und Detektierbarkeit, die in keiner genehmigten Verfahrensanweisung definiert ist.
• Ein aufgezeichneter Volumenstrom der Ringleitung ohne Kriterium und ohne Alarm, obwohl er als Kontrolle gegen Biofilm genannt wird.
• Eine Risikobewertung des Wassersystems, auf die die Contamination Control Strategy des Standorts nicht verweist.

Wenn diese Themen für Sie relevant sind: In The Pragmatic GMP sammeln wir operative Analysen zu Qualifizierung, Utilities und Wassersystemen. Keine Werbung, nur Material, das bei der Arbeit brauchbar ist.

Kernaussagen

• Eine Risikobewertung, die keine Entscheidung verändert hat, ist keine Risikobewertung, sondern eine Systembeschreibung.
• „Critical control point“ ist für Wassersysteme kein definierter GMP-Begriff: Nutzen Sie ihn als Control-Strategy-Label und definieren Sie ihn in einer Verfahrensanweisung.
• Die Regelwerke verlangen die Methode, nicht die Zahlen: ICH Q9(R1) für den Prozess, Annex 1 für risikobasierte Kontrollen der Utilities, WHO TRS 1033 Annex 3 für die Ableitung von Alert und Action Level aus historischen Daten.
• Biofilm, Endotoxine, Stagnation und jahreszeitliche Schwankung des Speisewassers sind die strukturellen Gefahren: als eigene Einträge behandeln, mit eigener Fehlermöglichkeit und eigener Detektion.
• Vier Kriterien identifizieren einen kritischen Punkt: direkte Auswirkung, Steuerbarkeit, rechtzeitige Überprüfbarkeit, keine Korrektur stromabwärts. Das vierte wird vergessen.
• Keine Skala für Schwere, Auftreten und Detektierbarkeit ist vorgeschrieben: Der Standort definiert, begründet und genehmigt sie vor der Anwendung; die RPZ priorisiert, sie gibt nicht frei.
• Eine nur durch Detektion kontrollierte Gefahr ist nicht kontrolliert: Die Control Strategy wird von der Eliminierung her aufgebaut.
• Restrisiko wird durch eine Rolle akzeptiert, mit Begründung und Frist. Hängt es von einer nicht installierten Kontrolle ab, ist es eine offene Maßnahme.
• Die Überprüfung muss durch Ereignisse ausgelöst werden, nicht nur durch den Kalender — und Grenzwerte anzuheben, damit Überschreitungen verschwinden, verdeckt ein nachlassendes System.

Regulatorische und technische Referenzen

• ICH Q9(R1) Quality Risk Management, Step 4 am 18. Januar 2023; ICH Q10 Pharmaceutical Quality System, Step 4 am 4. Juni 2008 — ich.org
• EudraLex Volume 4, Annex 1, C(2022) 5938 final, in Kraft seit 25. August 2023 (Punkte 2.5(v), 6.1-6.5, 6.7, 6.8, 6.9, 6.11, 6.12, 6.13, 6.14, 6.15); Annex 15, in Kraft seit 1. Oktober 2015 — ein EU-PIC/S-Concept-Paper zur Revision wurde am 9. Februar 2026 veröffentlicht, die Konsultation endete am 9. April 2026, Annex 15 wurde jedoch nicht revidiert — EudraLex Volume 4
• EMA Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, in Kraft seit 1. Februar 2021 — ema.europa.eu; EMA Q&A EMA/INS/GMP/443117/2017, gültig seit 1. August 2017
• WHO TRS 1033, Annex 3 (2021) — who.int; PIC/S Aide-Memoire PI 009-4 Inspection of Utilities, Rev. 4, gültig seit 1. Januar 2021 — picscheme.org
• USP <1231> Water for Pharmaceutical Purposes, informatives Kapitel (die genannten Action Level sind unverbindlich); USP <643> und <645>
• 21 CFR 211.48 Plumbing — eCFR Part 211; FDA Guide to Inspections of High Purity Water Systems (Juli 1993), unverbindlich — fda.gov
• ASTM E2500-25 (genehmigt am 1. April 2025); ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3. Auflage, September 2019; PDA Technical Report No. 69 (2015) — Branchenleitfäden, keine Regelwerke