Data Integrity (ALCOA+): Wie der QA sich auf Inspektionen vorbereitet (Annex 11)

Der neue Albtraum der Inspektoren

In den letzten zehn Jahren hat eine einzige Nichtkonformität die Inspektionsberichte von FDA, EMA und MHRA dominiert: die Datenintegrität (Data Integrity). Die Behörden haben verstanden, dass ein Arzneimittel auf dem Papier perfekt aussehen kann (sauberer Batch Record, konformes CoA) – aber wenn die zugrunde liegenden Daten manipuliert, gelöscht oder unvollständig dokumentiert wurden, bricht das gesamte Qualitätssystem zusammen.

Für den QA Manager ist die Gewährleistung der Datenintegrität längst kein „IT-Problem“ mehr, sondern eine zentrale Verantwortung des Quality Systems. Sicherzustellen, dass alle GMP-relevanten Daten vollständig, konsistent und korrekt sind, ist entscheidend, um moderne Inspektionen zu bestehen. Dieser Leitfaden erklärt, wie der QA Manager die Compliance mit EU GMP Annex 11 und den ALCOA+-Prinzipien sicherstellen kann.

---

Was Inspektoren prüfen: Die ALCOA+-Prinzipien

Wenn ein Inspektor die Data Integrity bewertet, sucht er nicht nur nach Betrug, sondern nach der Robustheit des Systems.
Der zugrunde liegende Rahmen ist ALCOA+:

• Attributable (Zurechenbar): Wer hat den Datensatz erzeugt/geändert? (Keine gemeinsam genutzten Passwörter!)
• Legible (Lesbar): Sind die Daten während ihres gesamten Lebenszyklus lesbar (inkl. Metadaten)?
• Contemporaneous (Zeitgleich): Wurden die Daten zum Zeitpunkt der Aktivität erfasst? (Keine End-Schicht-Nachträge, keine Notizzettel!)
• Original (Original): Handelt es sich um Rohdaten oder autorisierte Kopien?
• Accurate (Genau): Spiegeln die Daten die Realität korrekt wider?

+ (Plus):

• Complete (Vollständig): Alle Daten vorhanden (inkl. Fehlversuche, Re-Analysen)?
• Consistent (Konsistent): Chronologisch korrekt und nicht widersprüchlich?
• Enduring (Beständig): Werden Daten auf einem stabilen Medium gespeichert (nicht auf Thermopapier)?
• Available (Verfügbar): Sind die Daten für Überprüfungen und Inspektionen leicht zugänglich?

---

EU GMP Annex 11: Validierung computergestützter Systeme (CSV)

Der Großteil der Risiken im Zusammenhang mit Data Integrity liegt heute in den computergestützten Systemen (HPLC, LIMS, ERP, Überwachungssysteme).
Der EU GMP Annex 11 ist die maßgebliche Vorschrift für deren Management.

Der QA Manager muss sicherstellen, dass der Annex 11 eingehalten wird – oft in enger Zusammenarbeit mit IT und Technik.

---

Rollen: Verantwortung von QA vs. IT

• IT: Verwaltet Infrastruktur (Server, Netzwerk)
• QA: Ist Eigentümer der GMP-Daten und verantwortlich für die Compliance der Systeme
• QA genehmigt jede Phase des Systemlebenszyklus (CSV)

---

Validierung (CSV) und Qualifizierung der Infrastruktur

Annex 11 verlangt:
„The application should be validated; IT infrastructure should be qualified.“

Der QA Manager muss:

• den Validierungsplan (VMP) genehmigen – basierend auf Risikobewertung
• IQ/OQ/PQ-Protokolle prüfen – Validierungstests müssen GMP-relevante Funktionen abdecken (GAMP 5)
• den abschließenden Validierungsbericht freigeben – vor GMP-Einsatz des Systems

---

Der wichtigste Annex-11-Pfeiler: Audit Trail

Der Audit Trail ist der „Flugschreiber“ des Systems.
Er dokumentiert jede Erstellung, Änderung und Löschung von Daten – manipulationssicher.

Was der Inspektor prüft:

• Ist der Audit Trail aktiviert?
  Ein deaktivierter Audit Trail in einem GMP-System ist ein critical finding.
• Wird der Audit Trail überprüft?
  QA/QC benötigt eine SOP für die periodische Audit-Trail-Review – mit festgelegter Methodik und Zielkriterien.

---

Wie man kritische Data-Integrity-Abweichungen vermeidet (echte Fallbeispiele)

---

Critical Finding 1: Gemeinsame Zugänge/Passwörter

Was der Inspektor sieht:
HPLC-Analysten nutzen den „Admin“-Account oder einen gemeinsamen Benutzer wie „LAB_01“.

Warum kritisch:
Verstoß gegen „Attributable“.
Man kann nicht nachvollziehen, wer die Daten wirklich erzeugt oder geändert hat.

QA-Maßnahme:
Strikte Zugangsrichtlinien.
Einzelkonten, Rollen- und Rechtemanagement, Admin-Rechte nur für IT/QA.

---

Critical Finding 2: „Testing into Compliance“

Was der Inspektor sieht:
Der Audit Trail zeigt fünf fehlgeschlagene Injektionen (OOS), die gelöscht oder nicht gespeichert wurden.
Nur die sechste – konforme – erscheint im Batch Record.

Warum kritisch:
Verstoß gegen „Complete“ und „Accurate“.
Dies gilt als Datenfälschung.

QA-Maßnahme:
OOS-SOP mit klarer Verknüpfung zur Data Integrity.
Alle Daten müssen gespeichert und untersucht werden.
Audit-Trail-Review muss gezielt nach solchen Mustern suchen.

---

Critical Finding 3: Ungeschützte elektronische Daten

Was der Inspektor sieht:
Kritische Daten (z. B. Umweltmonitoring) auf USB-Sticks oder lokalen PCs ohne Backup.

Warum kritisch:
Verstoß gegen „Enduring“ und „Available“.
Daten können verloren gehen oder manipuliert werden.

QA-Maßnahme:
Alle GMP-Systeme müssen vernetzt sein und über validierte Backup- und Restore-Verfahren verfügen (Disaster Recovery).

---

Audit-Readiness: Dokumente und Nachweise, die der QA Manager bereithalten muss

• Data Integrity Policy: Unternehmensgrundsätze, ALCOA+, Verantwortlichkeiten
• Inventar computergestützter Systeme (CSV): Status, Validierungsstand, Kritikalität

• SOPs:

  • SOP für CSV/Validierung

  • SOP für Audit-Trail-Review

  • SOP für Zugangs- und Passwortmanagement

  • SOP für Backup & Restore

• Validierungsdokumentation: VMP, IQ, OQ, PQ, Validierungsberichte

• Nachweise: Audit-Trail-Review-Protokolle, Schulungsnachweise, Access-Control-Nachweise

---

Fazit: Data Integrity ist eine Frage der Qualitätskultur

Data Integrity ist kein technologisches Thema, sondern ein Kulturthema.
Der QA Manager muss diese Kultur gestalten und fördern:

• durch validierte Systeme
• durch korrektes Rollen-/Rechtemanagement
• durch Schulung zu ALCOA+
• durch klare SOPs und konsequente Umsetzung

Transparenz und Datenwahrheit müssen nicht verhandelbare Werte sein.

Für detaillierte Leitfäden zu Data-Integrity-Programmen, Annex-11-Konformität und Audit-Trail-Review-SOPs ist der „Operative Leitfaden für die Rolle des QA Managers“ von GuideGxP.com die maßgebliche Ressource.