In einem Pharmaunternehmen muss jedes System, das Produkt, Charge oder Patientendaten berührt, nachgewiesen und nicht bloß eingeschaltet sein. Für eine Qualitätsleitung, einen Validation Lead oder eine IT-Leitung heißt das: Ein IT-System ist Teil des Compliance-Nachweises und keine bequeme Ergänzung des Prozesses. Computersystemvalidierung (CSV, Computer System Validation) ist genau die Arbeit, diesen Nachweis zu erbringen: den Beweis, dass die Software sich wie vorgesehen verhält, wiederholbar und im Einklang mit ihren Anforderungen.
Aus unserer Erfahrung ist der Engpass nicht das Wissen darüber, was zu tun ist, sondern die Menschen, die es sauber und termingerecht tun. Für einen global führenden Pharmakonzern besetzen wir seit 2021 ein Team, zu dem unter anderem Validation Manager und ein QA Lead im regulierten Umfeld gehören. Genau diese Kompetenzen werden knapp, sobald ein Projekt schneller läuft, als eine Qualitätsabteilung wachsen kann.
Was ist Computersystemvalidierung (CSV) und warum zählt sie?
Sie ist die dokumentierte Bestätigung, dass ein System genau das tut, wofür es bestimmt war. In der Praxis beantwortet CSV die einfachen Fragen eines Auditors:
- tut das System, was es soll und nur das,
- arbeitet es wiederholbar in der realen Umgebung,
- haben wir Nachweise dafür statt Zusicherungen,
- wissen wir, was sich geändert hat seit der letzten Qualifizierung.
Ohne Validierung lässt sich die Verlässlichkeit der Daten nicht belegen, und genau diese Verlässlichkeit trägt eine Chargenfreigabe oder ein Studienergebnis.
Was ist GxP und warum ist Software Teil des Nachweises?
GxP ist die Gesamtheit der guten Praktiken (GMP, GLP, GDP und verwandte), die Qualität über die ganze Kette regeln, von der Herstellung über das Labor bis zur Distribution. Ein Prinzip verbindet sie: Was nicht dokumentiert ist, hat nicht stattgefunden. Weil heute fast jeder Schritt auf einem System beruht, ist Software kein neutrales Werkzeug mehr, sondern ein Träger des Nachweises:
- das System speichert die Daten, auf denen Qualitätsentscheidungen beruhen,
- das System führt Operationen aus, die früher ein Mensch erledigt hat,
- das System schreibt den Audit Trail, der vollständig und unversehrt sein muss.
Deshalb ist die Validierung eines Systems keine IT-Formalie, sondern Teil der Verteidigung der Qualität vor einer Inspektion.
Welche Artefakte der GxP-Dokumentation sind entscheidend?
Der Nachweis entsteht aus konkreten, miteinander verknüpften Dokumenten. In Validierungsprojekten konzentrieren wir uns auf das Paket, das tatsächlich durch ein Audit geht:
- ein Validierungsplan mit Umfang, Vorgehen und Akzeptanzkriterien,
- eine Anforderungs- und Traceability-Matrix, die jede Anforderung mit Test und Nachweis verbindet,
- IQ/OQ/PQ-Qualifizierungen (Installation, Betrieb, Leistung),
- Testnachweise (Protokolle, Ergebnisse, Screenshots, Abweichungen),
- Qualifizierungspakete und ein Validierungsbericht, die das Ganze abschließen.
Entscheidend ist die Stimmigkeit zwischen diesen Dokumenten, denn ein Auditor liest sie als eine einzige logische Beweiskette.
Warum ist ein risikobasierter Ansatz sinnvoll?
Nicht alles muss mit derselben Intensität validiert werden, und das ist eine gute Nachricht für das Budget. Ein risikobasierter Ansatz lenkt den Aufwand dorthin, wo das Risiko für Patient, Daten und Qualität am größten ist:
- kritische Funktionen zuerst, für Produktqualität und Datenintegrität,
- ein Testumfang im Verhältnis zum Gewicht des Risikos,
- weniger Papier, wo das Risiko gering ist, ohne Compliance zu verlieren.
Ein verbreiteter Rahmen für dieses Denken ist GAMP, das hilft, die Validierungstiefe an die Systemkategorie anzupassen. Wir behandeln es als Bezugspunkt, nicht als starren Formularstapel.
Welche Rolle haben Validation Manager und QA?
Das sind die beiden Rollen, die dafür sorgen, dass der Nachweis vollständig und glaubwürdig ist. Der Validation Manager führt den Prozess und verantwortet die Strategie, QA wacht über Compliance und die Qualität der Dokumentation. In der Praxis:
- der Validation Manager plant die Validierung, steuert das Risiko und überwacht die Qualifizierungen,
- QA genehmigt Dokumente und sichert Verfahren und Datenintegrität,
- beide sprechen die Sprache des Auditors, nicht nur die des Ingenieurs.
Unsere Spezialisten übernehmen diese Rollen beim Kunden, unter dessen Verfahren, und schließen die Dokumentation ab, statt neue Bürokratie zu schaffen.
Wie bauen wir Validierung in die Delivery ein statt daneben?
Die teuerste Validierung ist die am Ende, wenn das System schon steht und die Dokumente nachträglich rekonstruiert werden müssen. Deshalb verweben wir Validierung von Anfang an mit dem Delivery-Zyklus:
- wir formulieren Anforderungen prüfbar, damit sie sich sofort verifizieren lassen,
- wir bauen Traceability parallel zur Entwicklung auf, nicht danach,
- wir sammeln Nachweise unterwegs, bei jedem relevanten Schritt,
- wir steuern Änderungen, damit jede ihre Spur hinterlässt.
So hört die Validierung auf, ein Engpass vor dem Go-live zu sein, und wird zum natürlichen Teil der Teamarbeit.
Lässt sich die Validierungsdokumentation automatisieren?
Ja, und wir tun es zunehmend, denn wiederholbare Dokumentation ist ein ideales Feld für Automatisierung. Wir automatisieren das Erzeugen und Verknüpfen von Artefakten dort, wo der Mensch durch Urteilskraft Wert schafft und nicht durch Abtippen:
- Vorlagen und Generatoren für Protokolle und Traceability-Matrizen,
- automatisches Sammeln von Nachweisen aus Tests und Pipelines,
- Konsistenzprüfungen zwischen Anforderung, Test und Ergebnis.
Optional ergänzen wir eine AI-Schicht, die Dokumentation entwirft und aufräumt, immer mit einem Menschen, der den Inhalt freigibt. Automatisierung beschleunigt, aber die Verantwortung für den Nachweis bleibt bei QA.
Wie schnell kann ein Validierungsteam einsteigen?
Tempo zählt, denn eine verzögerte Validierung verzögert das ganze Produkt. Als Nearshore-Partner aus Polen arbeiten wir in einer nahen Zeitzone, sodass ein Validation Manager oder QA-Spezialist ohne langen Anlauf in Reviews, Verfahren und Termine einsteigt. Wir prüfen die Kompetenzen vor dem Start und formen das Team um das konkrete System und seine Risikokategorie, nicht „auf Vorrat”. So beginnt das Team damit, Dokumentation abzuschließen, statt sich erst den Kontext anzueignen.
Wie machen wir das bei RITS?
Wir tun das als Nearshore-Partner aus Polen, der Menschen für die Arbeit im regulierten Umfeld stellt, nicht eine fertige Schachtel:
- für einen global führenden Pharmakonzern besetzen wir seit 2021 ein Team von rund 40 Spezialisten, zu dem unter anderem Validation Manager und ein QA Lead gehören,
- unser Umfang deckt unter anderem Unterstützung der Pharmaproduktion und die Entwicklung von Medizinprodukten ab,
- wir arbeiten unter den Verfahren des Kunden, innerhalb seines Qualitätssystems, und füllen Kompetenzlücken auf,
- wir prüfen die Kompetenzen vor dem Start und besetzen die Rollen passend zum System und seinem Risiko.
Am häufigsten tun wir das als Team-Verstärkung, denn in der Validierung zählen konkrete Menschen mit GxP-Erfahrung und keine abstrakte Dienstleistung.
Womit beginnen Sie bei Validierung und Dokumentation im GxP-Umfeld?
Beginnen Sie mit einer Inventur Ihrer Systeme und ihrer Risikokategorien, dann mit der Frage, wo Ihnen Hände fehlen: bei Planung, Qualifizierung oder beim Pflegen der Dokumentation. Das legt fest, welche Rollen Sie wirklich besetzen müssen und in welchem Modell. Die Unterschiede zwischen den Kooperationsmodellen haben wir in unserem Artikel zu IT-Kooperationsmodellen beschrieben.
Brauchen Sie Validation Manager oder QA-Spezialisten für CSV und GxP-Dokumentation? Sprechen wir darüber - wir stimmen die Menschen auf Ihre Systeme und Verfahren ab.