Der Fahrplan für die Überarbeitung des Annex 11 "Computerised Systems" wurde seitens der EU-Kommission schon im Dezember 2006 angekündigt (siehe auch GMP-News vom 15. Januar 2007).
Der von der Inspectors Working Group intern abgestimmte Entwurf wurde nun am 11. April 2008 zur Kommentierung veröffentlicht. Kommentare zu dem Entwurf können bis zum 31. Oktober 2008 eingereicht werden.

Vor dem Hintergrund, dass Computergestützte Systeme auch zur Dokumentation GMP-relevanter Daten eingesetzt werden, wurde wie angekündigt auch das Kapitel 4 "Dokumentation" des EG GMP-Leitfadens in Abstimmung zum Annex 11 angepasst.

Auch wenn die Prinzipien des bisherigen Annex 11 lange für die Bewertung Computergestützter Systeme angewendet wurden, konnten viele Anforderungen aus neuen regulatorischen und technologischen Entwicklungen doch nur indirekt daraus abgeleitet werden.

Der jetzt vorliegende Entwurf beinhaltet die Entwicklungen der letzten Jahre, angesprochen sind insbesondere die PIC PI 011-1 "Good practices für computerised systems in ‚GxP' regulated environments", die ISO 17799 "A code of practice for information security management" und der GAMP 5.

Die Inhalte des bisherigen Annex 11 finden sich nach wie vor auch in der Neufassung wieder, teilweise aber inhaltlich erheblich erweitert.
Principles

1. Risk Management
2. Personnel
3. Validation
4. System
5. Software
6. Data
7. User testing and the system's fitness for purpose
8. Security
9. Accuracy Checks
10. Audit Trails
11. Signatures
12. Change control and configuration management
13. Printouts
14. Data Storage
15. Back Up; Migration; Archiving; Retrieval
16. Business Continuity
17. Incident Management
18. Suppliers
19. Batch Release

Wie schon bislang müssen neben dem Annex 11 auch andere relevante GMP-Prinzipien beachtet werden. Durch den Einsatz von Computergestützten Systemen darf keine Abnahme der Produktqualität oder der Qualitätssicherung eintreten. Hierzu soll die Validierung der Systeme sowohl für den Betreiber als auch für die Überwachungsbehörde die Vertrauensbasis erzeugen. Dabei soll der Betreiber immer die Kontrolle über die Entwicklung / Validierung der Systeme behalten.

Deutlich wird auch die neue Bedeutung des Risiko-Managements. Schon Kapitel 1 verlangt dezidiert, dass der Umfang der Validierung und die Überprüfung der Daten-Integrität auf einer überprüfbaren und dokumentierten Risikoanalyse mit Blick auf die Produktqualität und Produktsicherheit als auch der Datensicherheit und Datenqualität bestimmt werden soll.

Das Thema Validierung ist deutlich erweitert worden. Dazu einige wichtige Aussagen:

• Benutzeranforderungen - müssen durch den gesamten Validierungs-Lebenszyklus rückverfolgbar (traceable) sein
• Periodische Überprüfungen sollten Aussagen enthalten zum aktuellen Stand der Systemfunktionalität, zur Fehleraufzeichnungen, zur Upgrade History, zur Leistung, Zuverlässigkeit und Sicherheit des Systems und zum Validierungsstatus

Umfangreich wurde auch das Thema Validierung von Datenbanken dargestellt, u.a. sollte diese beinhalten

• Vorkehrungen zur Datensicherheit
• Wiederherstellungsmechanismen
• Belastungstest

Im Bereich der Hardware wird jetzt eine Inventarisierung aller Computergestützter Systeme gefordert. Folgende Punkte sollten aufgeführt werden:

• Standort und Zweck des Systems
• Risikoeinstufung zu jedem System
• Identifizierung der Systeme mit Einfluss auf regulatorische Aktivitäten

Weiterhin sollen aktuelle Systemspezifikationen vorliegen, die u.a. folgende Dinge beschreiben sollen:

• die geforderten Systemfunktionen
• Module und deren Beziehung zueinander
• Schnittstellen und externe Verbindungen
• Systemgrenzen
• Hard- und Software-Voraussetzungen

Es kann sicher die Aussage gewagt werden, dass sich insgesamt keine neuen Anforderungen in diesem Entwurf befinden. Alle, die sich in der Vergangenheit schon an PIC PI 011-1 oder an den GAMP Guides orientiert haben, dürften keine Umsetzungsprobleme bekommen. Klar ist auch, dass dieser neue Annex 11 wieder Zielvorgaben für den gesamten Bereich Computergestützte Systeme im Pharmaumfeld gibt. Wie diese im konkreten Fall anzuwenden sind, ist und kann auch nicht Ziel und Zweck dieses Annex sein. Hier muss der Anwender, ausgehend von den Zielvorgaben, seine eigene Strategie festlegen und umsetzen - natürlich dokumentiert!

Autor:
Andreas Mangel
CONCEPT HEIDELBERG

Quellen:
http://ec.europa.eu/enterprise/pharmaceuticals/pharmacos/docs/doc2008/2008_04/
gmp_annex_11_consult_200804.pdf

http://ec.europa.eu/enterprise/pharmaceuticals/pharmacos/docs/doc2008/2008_04/
gmp_chap_4_consult_200804.pdf

Kommentare können bis Ende Oktober an die beiden folgenden Adressen geschickt werden:
entr-gmp@ec.europa.eu  und GMP@emea.europa.eu