Cloud Computing: Vorgehen bei der Migration in die Cloud

Auch in der pharmazeutischen Industrie geht der Trend in Richtung Cloud Computing. Finanzielle, aber auch organisatorische Vorteile sprechen für die Cloud. Gleichzeitig sollten aber auch potentielle Gefahren und regulatorische Einschränkungen beachtet werden. Neun Experten aus der Pharmaindustrie und von Überwachungsbehörden beantworten einen umfangreichen Fragenkatalog aus den folgenden GxP-relevanten Themenkreisen:

• Grundlagen der Cloud Computing Technologie
• Regulatorische Grundlagen und Erwartungen von Inspektoren
• Kunden-Lieferanten-Beziehung
• Anforderungen an den Cloud Service Provider (CSP)
• Anforderungen an die Lieferantenbewertung und Lieferantenaudits
• Qualifizierungs-/Validierungsanforderungen

Frage 33: Wie geht man bei einer Migration in die Cloud am besten vor? - Themenkreis Anforderungen an den Cloud Service Provider (CSP) 

Bei einer Migration in die Cloud wird das pharmazeutische Unternehmen vor zahlreiche Probleme gestellt, die von der IT-Abteilung gemeinsam mit dem Business gelöst werden müssen. Sofern es sich um IT-Infrastruktur-Services handelt (IaaS), wird die IT-Abteilung als treibende Kraft eine Migration initiieren. Dabei spielt in erster Linie der Kostendruck, verursacht durch hohe Personalkosten, die stetig steigend auf der Informatik lasten, eine entscheidende Rolle. Die Businessfunktionen, die einen ganzjährigen 24x7 Support fordern, sind dabei eher indifferent, da wenig Kenntnisse über die Komplexität einer permanenten IT-Servicebereitschaft im Schichtbetrieb vorliegen.

Im Fall von "Software as a Service (SaaS)" sind vor allem die Laborabteilungen an einer Migration interessiert, da von den meisten Anbietern von Laborsoftware (z. B. Chromatographie Datensysteme, LIMS) die Vorteile der in einer Cloud betriebenen Applikation herausgestellt werden. Auf besonderes Interesse stoßen die Anbieter im GCP Bereich, da der komplexe Aufbau von klinischen Studienmanagementsystemen mit den verschiedenen Prüfzentren deutliche Vorteile bei einem Betrieb in der Cloud zeigt. Die Migration von MES (Manufacturing Execution Systeme) in die Cloud ist aufgrund der ganz speziellen unternehmensspezifischen Ausprägung der Herstellung dagegen noch wenig verbreitet.

Da sich der Trend der Cloud-Migration in allen Bereichen eines Unternehmens in den nächsten Jahren deutlich verstärken dürfte, sollten die in diesem Prozess zu berücksichtigenden Kriterien, in die Entscheidung einzubeziehende Bereiche und zu betrachtende Szenarien dokumentarisch festgelegt werden. Es ist sinnvoll, eine entsprechende Arbeitsanweisung zu erstellen, die alle notwendigen Prozessschritte umfasst und Hilfestellung bei der Bewertung der Chancen und Risiken sowie der Auswahl der infrage kommenden Service-Provider gibt.

IaaS/PaaS: Der hart umkämpfte IT-Infrastruktur-Markt wird von zahlreichen globalen, nationalen und lokalen Firmen bearbeitet. Das pharmazeutische Unternehmen hat die Qual der Wahl, den geeigneten Servicepartner auszuwählen, der alle notwendigen Kriterien möglichst umfassend erfüllen sollte. Nach Vorliegen der verschiedenen Angebote sollten die infrage kommenden Firmen zunächst durch ein Team, das aus Vertretern der verschiedenen Bereiche des Unternehmens besteht, besucht werden. Es ist empfehlenswert, die Bewertungskriterien zuvor gemeinsam festzulegen, um eine objektive Entscheidung treffen zu können, z. B. mittels nachstehender Matrix:

 
Nach Abschluss dieser ersten Bewertung sollte ein Qualitätsaudit beim "besten" Provider durch Fachexperten erfolgen. Besonderer Wert ist auf die vom Annex 11 geforderte Qualifizierung der IT- Infrastruktur zu legen. Im Hinblick auf die zunehmende Gefährdung durch Hacker ist unbedingt ein Spezialist für IT-Sicherheit ins Audit einzubeziehen, der die vom Provider getroffenen Massnahmen beurteilen kann. Zertifikate sind zu wenig aussagekräftig.

SaaS: Für die Migration von GxP-Applikationen in die Cloud sind ungleich mehr Faktoren vom Business zu berücksichtigen, da eine Vielzahl von behördlichen Forderungen erfüllt werden muss. Beim Vergleich der Anbieter spielt die Datenmigration aus der bisher lokal gehaltenen Applikation in die SaaS-Cloud eine große Rolle, da ansonsten ein Parallelbetrieb über viele Jahre erforderlich wäre. Die Auswahl des Cloud-Partners sollte zunächst auf der Basis der Anforderungsspezifikation für die Applikation (URS), die an die infrage kommenden Provider gesendet wird, erfolgen. Die Angebote müssen dann geprüft werden, ob möglichst viele Anforderungen ohne zusätzliches Customizing erfüllt werden (im Fall von intensivem Customizing sind lokale Applikationen einem Cloudbetrieb vorzuziehen). Der erste Besuch der infrage kommenden Firmen (Shortlist) durch das Expertenteam sollte sich auf die Beurteilung der vorhandenen Erfahrung des Providers mit den Anforderungen der regulierten Industrie fokussieren. Das nachfolgende Qualitätsaudit bei dem/den ausgewählten Partner/n prüft die Details der vorliegenden Prozesse und vor allem die Validierung der Applikation mit der erzeugten Dokumentation. Der SaaS-Service-Provider sollte bereit sein, Behördeninspektionen, bei denen die Validierung der Applikation und Qualifizierung der IT Infrastruktur in der Cloud hinterfragt werden können, möglichst kostengünstig zu unterstützen.

In allen Fällen steht am Ende der Auswahl des Providers der Abschluss des Vertrags. Es ist sinnvoll, ausreichend Zeit in die Gestaltung der Vereinbarung zu investieren, alle KPIs festzulegen und genau zu definieren, welche Leistungen zusätzlich zu bezahlen sind, um ein "böses Erwachen" zu vermeiden.

Weitere Fragen und Antworten des Expertenteams zum Thema "Cloud Computing"

Hier finden Sie weitere Fragen und Antworten zum Thema "Cloud Computing" die u.a. das Expertenteam beantwortet hat.

Die Experten

Frank Behnisch, CSL Behring GmbH, Marburg
Klaus Feuerhelm, ehem. Inspektor beim Regierungspräsidium Tübingen
Oliver Herrmann; Q-FINITY Quality Management, Dillingen
Eberhard Kwiatkowski, PharmAdvantageIT GmbH, Neuschoo
Stefan Münch, Körber Pharma Consulting, Karlsruhe
Yves Samson, Kereon AG, Basel
Dr. Wolfgang Schumacher, ehem. F. Hoffmann-La Roche AG, Basel
Dr. Arno Terhechte, Bezirksregierung Münster
Sieghard Wagner, Chemgineering Germany GmbH, Stuttgart