„Audit Trail lässt sich bei vielen Systemen abschalten“

Wenn elektronische Systeme helfen, den Entwicklungsprozess zu managen, kann ein Unternehmen effizienter arbeiten und schneller mit neuen Produkten auf den Markt kommen. Außerdem lassen sich über deren Lebenszyklus hinweg alle Daten leichter auswerten. Product Lifecycle Management (PLM) heißt das Zauberwort.

Für ein Medizintechnik-Unternehmen stellt sich aber rasch die Frage, wie FDA-konforme Lösungen aussehen müssen. „Die FDA stellt zunächst einmal keine spezifischen Anforderungen an PLM-Systeme“, erläutert Unternehmensberater Dr. Bernhard Bauer aus Kleve. Jeder Anwender könne sich also das System heraussuchen, das ihm am ehesten hilft, die Qualität seiner Produkte sicherzustellen. „Sobald es aber um die elektronische Datenverwaltung und die elektronische Signatur geht, unterliegt das System dem Kapitel 21 des Code of Federal Regulations, Teil 11 – und hier äußert sich die FDA doch recht detailliert“, schränkt Bauer ein.

Sobald eine Unterschrift nicht mehr auf dem Papier erfolge, werde es kniffelig. Viele Systeme erfordern beim Start die Eingabe eines Passwortes, aber allein dadurch hat der Anwender noch nichts elektronisch unterzeichnet. „Zumindest müsste für eine elektronische Unterschrift ein weiteres Mal das Passwort abgefragt oder die Identität des Unterzeichnenden über andere Methoden bis hin zu biometrischen Verfahren geprüft werden“, gibt Bauer zu bedenken. Alternativ lasse sich ein Hybrid-System nutzen, bei dem die Daten elektronisch vorliegen, die Freigaben aber nach wie vor über Papier und Unterschrift erfolgen.

Software kann nicht zertifziert werden

Die einfache Möglichkeit, auf von der FDA zertifizierte Systeme zurückzugreifen, gibt es für den Anwender nicht, denn die Softwarehersteller haben keine Möglichkeit, ihre Lösungen von der FDA zertifizieren zu lassen.

„Nach meiner Erfahrung darf man keinem System blind vertrauen“, ergänzt Unternehmensberater Bauer. Dies liege nicht unbedingt an deren Funktionalitäten, denn das automatische Aufzeichnen von Dateneingaben und -änderungen, der Audit Trail, sei darin vorhanden. Dennoch bleibe der Audit Trail ein besonders kritischer Punkt. Obwohl viele Applikationen in der Lage sind, die Historie einer Entwicklung zu dokumentieren, lasse sich diese Funktion „interessanterweise häufig abschalten, selbst bei SAP-Software“, sagt Bauer.

Sobald der Audit Trail abgeschaltet ist, lassen sich Änderungen nicht nachvollziehen – und damit sind elektronische Unterschriften wertlos. Gerade auf diesen Punkt achtet die FDA bei ihren Inspektionen.

Ein Grund für die Existenz eines Schalters für die Audit-Trail-Funktion liegt darin, dass diese für den Anwender zu Leistungseinbußen führt. Denn die wiederholte Eingabe eines Passwortes wird schnell lästig. „Wenn ich die Historie wegen der 21-CFR-11-Konformität benötige, muss ich sie anschalten“, betont Bernhard Bauer. Um sicherzustellen, dass das umgesetzt wird, empfiehlt der Berater ein Validierungsprojekt – „idealerweise vor der Anschaffung oder Einführung eines PLM-Systems.“ Mehr als ein Monat sei dafür nicht zu veranschlagen, nur in Ausnahmefällen wäre mehr als ein Jahr erforderlich.

Die erste Voraussetzung dafür ist, dass der Anwender seine Anforderungen an das System spezifiziert. „Im nächsten Schritt muss ich die Risiken analysieren und mich auf die Punkte konzentrieren, die für die Qualität meiner Produkt entscheidend sind“, so Bauer weiter. Speziell auf diese sollte man im dritten Schritt, der Qualifizierung, achten. „Will ich bei der Qualifizierung die elektronische Unterschrift verwenden, gehört die Audit-Trail-Funktion dazu, und es muss gleichzeitig überprüft werden, ob sie funktioniert.“ Diese Validierung wolle ein FDA-Inspektor sehen. Von hoher Bedeutung ist in diesem Zusammenhang das Anwendertraining.

Die Erfahrung des Klever Beraters zeigt, dass viele CAD-Systeme nur ein einmaliges Einloggen zu Beginn einer Sitzung erfordern. Danach werde bei den wichtigen Freigaben der Arbeitsfluss nicht mehr gestört, auf eine weitere Legitimation verzichtet. Damit seien die Zeichnungen nicht unterzeichnet, müssten also zusätzlich auf Papier ausgedruckt und unterschrieben werden.

Ob der Einsatz von PLM-Software zu Problemen mit der FDA führt oder nicht, kann mit einem Validierungsprojekt rechtzeitig geprüft werden. „Verfügen die Softwarehersteller selbst über Qualifizierungs- und Validierungsmuster, kann dies den Aufwand für den Anwender reduzieren“, so Bauer abschließend.

Das Ergebnis eines Validierungsprojektes könne man sich von der FDA aber nicht zertifizieren lassen, denn die Behörde erteile nur die Marktfreigabe für medizinische Geräte.