Der PIC/S GMP Annex 11 ist der Anhang des PIC/S-GMP-Leitfadens (PE 009) für computergestützte Systeme: Er legt fest, was ein Pharmaunternehmen sicherstellen muss, wenn ein Computer, eine Software oder ein automatisiertes System eine GMP-Tätigkeit ersetzt oder unterstützt. Der Text ist im Wesentlichen identisch mit Annex 11 von EudraLex Band 4, wird aber von einem deutlich größeren Kreis von Inspektionsbehörden angewendet: allen, die am PIC/S-Schema teilnehmen – in Europa und darüber hinaus. Zu verstehen, wo er verankert ist, was er verlangt und wie er sich mit der gemeinsamen EU–PIC/S-Revision ändert, ist für QA, CSV-Spezialisten und IT-Verantwortliche essenziell, die ihre Systeme im Audit verteidigen müssen.
PIC/S GMP Annex 11: seine Stellung im GMP-Leitfaden PE 009
Der PIC/S-GMP-Leitfaden (Dokument PE 009) übernimmt die Struktur von EudraLex Band 4: Teil I für Arzneimittel, Teil II für Wirkstoffe (APIs) und eine Reihe thematischer Anhänge. Annex 11 „Computerised Systems“ ist einer davon und ist zusammen mit Kapitel 4 (Dokumentation) zu lesen, denn elektronische Daten und Papieraufzeichnungen gehören zum selben Dokumentationssystem. Die aktuelle Version des Leitfadens ist PE 009-18, in Kraft seit dem 24. September 2026: Diese Revision betraf Annex 19 (Rückstell- und Referenzmuster), während der Text des Annex 11 die Revision von 2011 bleibt, in Kraft seit dem 30. Juni 2011 – in der EU wie im PIC/S-Schema.
Der praktische Unterschied zum europäischen Anhang liegt nicht im Inhalt, sondern in der Reichweite: Der PIC/S-Leitfaden ist der Referenzstandard der am Schema teilnehmenden Behörden (über 50 Behörden weltweit, von der FDA über Swissmedic und Health Canada bis zur australischen TGA). Ein Standort, der von einer PIC/S-Behörde außerhalb der EU inspiziert wird, wird bei computergestützten Systemen also an denselben Anforderungen gemessen wie nach dem europäischen Annex 11.
Was Annex 11 verlangt: Grundsätze und Kernanforderungen
Das Prinzip des Annex 11 ist klar: Ersetzt ein computergestütztes System eine manuelle Tätigkeit, dürfen sich weder Produktqualität noch Prozesskontrolle verschlechtern, und das Gesamtrisiko darf nicht steigen. Daraus ergeben sich die operativen Anforderungen, gegliedert in drei Blöcke:
- Allgemeiner Teil: Risikomanagement über den gesamten Lebenszyklus (Abschnitt 1), qualifiziertes Personal mit definierten Rollen (Abschnitt 2), formale Vereinbarungen und Audits bei Lieferanten und Dienstleistern, einschließlich Cloud-Anbietern (Abschnitt 3).
- Projektphase: risikobasierte Validierung (Abschnitt 4), mit aktuellem Systeminventar, nachvollziehbaren User Requirements und dokumentiertem Vorgehen für individuelle und konfigurierte Systeme.
- Betriebsphase: Kontrollen von Daten und Schnittstellen (Abschnitte 5–6), Speicherung und Backup (Abschnitt 7), Ausdrucke (Abschnitt 8), Audit Trail (Abschnitt 9), Change- und Konfigurationsmanagement (Abschnitt 10), periodische Bewertung (Abschnitt 11), Sicherheit und Zugriffskontrolle (Abschnitt 12), Incident Management (Abschnitt 13), elektronische Signatur (Abschnitt 14), Chargenfreigabe (Abschnitt 15), Business Continuity (Abschnitt 16) und Archivierung (Abschnitt 17).
Im Audit sind die strittigsten Abschnitte fast immer dieselben: nie aktivierte oder nie geprüfte Audit Trails, gemeinsam genutzte Benutzerkonten, die eine Zuordnung von Aktionen unmöglich machen, nie durchgeführte periodische Reviews und nie formal qualifizierte Cloud-Anbieter.
Wenn Sie mit GxP-Systemen arbeiten und praxisnahe Updates zu Annex 11, Datenintegrität und Inspektionen wünschen, abonnieren Sie The Pragmatic GMP, den kostenlosen wöchentlichen Newsletter von GuideGxP: jede Woche ein GMP-Thema, operativ erklärt und ohne Füllstoff.
Annex 11 PIC/S und Annex 11 EU: die tatsächlichen Unterschiede
Fachlich sind die beiden Texte gleichwertig: gleiche Nummerierung, gleiche Anforderungen, gleiche risikobasierte Logik. Die Unterschiede liegen im regulatorischen Kontext und in der Anwendung durch die Behörden.
| Aspekt | Annex 11 EU (EudraLex Band 4) | Annex 11 PIC/S (PE 009) |
|---|---|---|
| Fachlicher Inhalt | Revision 2011, 17 Abschnitte + Grundsatz | Im Wesentlichen identisch mit dem EU-Text |
| Anwendungsgrundlage | Verbindlich für in der EU/dem EWR zugelassene Hersteller | Referenzstandard für die PIC/S-Teilnehmerbehörden |
| Wer ihn in Inspektionen nutzt | Behörden der EU-/EWR-Mitgliedstaaten | Über 50 Behörden weltweit |
| Leitdokument für Inspektoren | EMA/GMDP Q&A-Leitlinien | PIC/S PI 011-3 (Good Practices for Computerised Systems) |
| Laufende Revision | Gemeinsam EU–PIC/S: Entwurf veröffentlicht am 7. Juli 2025, Finalisierung zwischen Ende 2026 und 2027 erwartet | |
Eine Besonderheit: Nicht alle EudraLex-Anhänge wurden von PIC/S übernommen (das klassische Beispiel ist Annex 16 zur Zertifizierung durch die Qualified Person, der an ein spezifisch europäisches Rechtsinstitut gebunden ist). Annex 11 dagegen wurde vollständig übernommen: Bei computergestützten Systemen ist die Harmonisierung komplett.
PI 011-3: die PIC/S-Anleitung, mit der Inspektoren arbeiten
Neben dem Anhang veröffentlicht PIC/S das Dokument PI 011-3 „Good Practices for Computerised Systems in Regulated GXP Environments“ (September 2007): keine zusätzliche Anforderung, sondern die Anleitung, mit der PIC/S-Inspektoren computergestützte Systeme interpretieren und prüfen. Sie behandelt Implementierung, Validierung, Sicherheit, Datenmanagement und Inspektionstechniken, mit konkreten Beispielen. Sie zu lesen ist der direkteste Weg zu verstehen, worauf ein Inspektor achten wird: Beantwortet Ihre CSV-Dokumentation die Fragen des PI 011, startet die Systeminspektion mit Rückenwind. Eine PIC/S-Arbeitsgruppe aktualisiert auch dieses Dokument, parallel zur Revision des Anhangs.
Die gemeinsame EU–PIC/S-Revision: was zu erwarten ist
Die Revision des Annex 11 ist ein gemeinsames Projekt: Das Konzeptpapier durchlief vom 16. November 2022 bis zum 16. Januar 2023 eine PIC/S–EMA-Konsultation, mit PIC/S-Vertretung in der EMA-Drafting-Group. Der Entwurf des neuen Annex 11 wurde am 7. Juli 2025 zusammen mit dem neuen Annex 22 zur künstlichen Intelligenz veröffentlicht; die öffentliche Konsultation endete am 7. Oktober 2025. Die Texte werden derzeit in der gemeinsamen EMA–PIC/S-Arbeitsgruppe finalisiert, mit erwarteter Verabschiedung zwischen Ende 2026 und 2027. Bis dahin gilt weiterhin der Text von 2011.
Für Unternehmen in PIC/S-Jurisdiktionen ist die Botschaft beruhigend: Da die Revision gemeinsam erfolgt, entsteht der neue Anhang bereits harmonisiert zwischen EU und PIC/S, ohne Phasen der Abweichung zwischen den beiden Leitfäden. Die Richtungen des Entwurfs — systematische Audit-Trail-Review, strengere Kontrollen von Zugriffen und Lieferanten, explizite Data Governance — sind schon heute die Bereiche, in denen sich Vorarbeit lohnt.
GuideGxP-Empfehlung
Warten Sie nicht auf den finalen Text, um die Grundlagen zu ordnen. Drei konkrete Maßnahmen für jetzt:
- Inventar und Kritikalität: Prüfen Sie, ob das GxP-Systeminventar vollständig ist und für jedes System GAMP-Kategorie, GMP-Impact und Validierungsstatus dokumentiert sind.
- Audit Trails und Zugriffe: Aktivieren Sie fehlende Audit Trails, definieren Sie ein risikobasiertes Review-Verfahren und beseitigen Sie gemeinsam genutzte Konten.
- Lieferanten und Cloud: Formalisieren Sie Quality Agreements und Bewertungen der SaaS-/Cloud-Anbieter, mit klaren Verantwortlichkeiten für Backup, Sicherheit und Datenverfügbarkeit.
Um all das methodisch aufzusetzen, deckt die operative Anleitung zur Computer System Validation (CSV) im GxP-Umfeld von GuideGxP den gesamten Lebenszyklus computergestützter Systeme ab — vom Inventar bis zur periodischen Review — mit 12 einsatzbereiten Excel- und Word-Vorlagen und einem eigenen Kapitel zur Readiness für den neuen Annex 11.
