Cloud Computing: Audit eines Cloud Service Providers - Vor Ort / Remote / Dauer?

Auch in der pharmazeutischen Industrie geht der Trend in Richtung Cloud Computing. Finanzielle, aber auch organisatorische Vorteile sprechen für die Cloud. Gleichzeitig sollten aber auch potentielle Gefahren und regulatorische Einschränkungen beachtet werden. Neun Experten aus der Pharmaindustrie und von Überwachungsbehörden beantworten einen umfangreichen Fragenkatalog aus den folgenden GxP-relevanten Themenkreisen:

• Grundlagen der Cloud Computing Technologie
• Regulatorische Grundlagen und Erwartungen von Inspektoren
• Kunden-Lieferanten-Beziehung
• Anforderungen an den Cloud Service Provider (CSP)
• Anforderungen an die Lieferantenbewertung und Lieferantenaudits
• Qualifizierungs-/Validierungsanforderungen

Frage 11: Wie viele Tage muss man für ein Audit eines CSP ansetzen? Ist ein Remote Audit ebenfalls möglich? - Themenkreis Anforderungen an die Lieferantenbewertung und Lieferantenaudits

Sofern Aktivitäten des pharmazeutischen Unternehmers an Dritte ausgelagert werden, sind die Auftragnehmer zu qualifizieren. Dies trifft sowohl für die seit Jahrzehnten übliche Auslagerung der Herstellung von pharmazeutischen Wirkstoffen, Fertigarzneimitteln und Medizinprodukten zu als auch für das Outsourcing von Dienstleistungen im IT-Bereich, einschließlich Cloud Service-Providern. Für die Qualifizierung bietet sich zunächst ein kostensparender Fragebogen an, der dem Dienstleister zugeschickt und anschließend bewertet wird. Hierbei ist eine Einschätzung der Korrektheit und Ehrlichkeit der zur Verfügung gestellten Antworten kaum möglich.

Seit einigen Jahren werden zunehmend Remote Audits von IT-Dienstleistern durchgeführt, die hohe Anforderungen an die Auditoren stellen, da die Video-Technologie bei der persönlichen Analyse von Reaktionen der auditierten Partei, beim Lesen und Bewerten großer Dokumente und beim Rundgang durch die Räumlichkeiten (Rechenzentrum) an ihre Grenzen stößt.

Die optimale Lösung ist das bewährte Audit vor Ort, bei dem der Auditor einen objektiven Eindruck von Qualität und Leistungsfähigkeit des zukünftigen Vertragspartners erhalten kann.

Für ein IaaS Audit können je nach Umfang der Dienstleistungen ein bis zwei Tage vor Ort ausreichen. Im Fall von SaaS-Applikationen sind sehr eingehende Prüfungen des Serviceproviders erforderlich, da dieser auch maßgebliche Teile der Validierung übernimmt. Eine Auditdauer von 5-7 Personentagen ist durchaus üblich.
In Abhängigkeit von den übertragenen Leistungen sollte der Lead Auditor weitere Experten (zum Beispiel aus dem Bereich Sicherheit) hinzuziehen, um einen kompletten Eindruck zu erhalten.
Für die Detailplanung des Audits wird dem Dienstleister üblicherweise ein Plan zur Verfügung gestellt, aus dem der Inhalt der Prüfung eindeutig ersichtlich ist. Dieser Auditplan kann auch in einen Zeitplan integriert werden; es ist jedoch empfehlenswert, dies dem auditierten Unternehmen zu überlassen, da die zeitliche Verfügbarkeit der Mitarbeiter für die spezifischen Prüfungspunkte gewährleistet sein muss.
Im Folgenden ist ein Auszug aus einem SaaS-Auditplan wiedergegeben, aus dem der Service-Provider die infrage kommenden Themen entnehmen und entsprechendes Personal für die Interviews bereitstellen kann.

Hier finden Sie weitere Fragen und Antworten zum Thema "Cloud Computing" die u.a. das Expertenteam beantwortet hat.

Die Experten

Frank Behnisch, CSL Behring GmbH, Marburg
Klaus Feuerhelm, ehem. Inspektor beim Regierungspräsidium Tübingen
Oliver Herrmann; Q-FINITY Quality Management, Dillingen
Eberhard Kwiatkowski, PharmAdvantageIT GmbH, Neuschoo
Stefan Münch, Körber Pharma Consulting, Karlsruhe
Yves Samson, Kereon AG, Basel
Dr. Wolfgang Schumacher, ehem. F. Hoffmann-La Roche AG, Basel
Dr. Arno Terhechte, Bezirksregierung Münster
Sieghard Wagner, Chemgineering Germany GmbH, Stuttgart