Cloud Computing: Genügen Checklisten zur Bewertung eines Cloud Service Providers?

Auch in der pharmazeutischen Industrie geht der Trend in Richtung Cloud Computing. Finanzielle, aber auch organisatorische Vorteile sprechen für die Cloud. Gleichzeitig sollten aber auch potentielle Gefahren und regulatorische Einschränkungen beachtet werden. Neun Experten aus der Pharmaindustrie und von Überwachungsbehörden beantworten einen umfangreichen Fragenkatalog aus den folgenden GxP-relevanten Themenkreisen:

• Grundlagen der Cloud Computing Technologie
• Regulatorische Grundlagen und Erwartungen von Inspektoren
• Kunden-Lieferanten-Beziehung
• Anforderungen an den Cloud Service Provider (CSP)
• Anforderungen an die Lieferantenbewertung und Lieferantenaudits
• Qualifizierungs-/Validierungsanforderungen

Frage 12: Genügt es, eine Checkliste zur Bewertung des CSP zu schicken - z. B. Amazon und Microsoft? - Themenkreis Anforderungen an die Lieferantenbewertung und Lieferantenaudits

Cloud Service Provider zählen zu den wichtigen qualitätsrelevanten Lieferanten, die ein pharmazeutisches Unternehmen im Rahmen der Supplier Qualification bewerten muss. Dies stellt hohe Anforderungen an die Qualitätssicherung bzw. Auditabteilung im Hinblick auf die Qualifikation der Auditoren und die Verfügbarkeit der erforderlichen Informationen beim Lieferanten: Für jeden Cloud Service Provider bedeutet eine Auditanfrage die Einleitung umfangreicher Koordinationsaktivitäten für ein On-Site Audit bzw. für die Beantwortung langer Fragelisten. Beides ist wenig beliebt, da umfangreiche Ressourcen gebunden werden. Im Falle von Audits vor Ort wird daher häufig eine Kostenbeteiligung gefordert, in der Hoffnung, dass Audits dann nicht durchgeführt werden. Die Qualitätsabteilung des Cloud Service Providers ist natürlich auch nicht erfreut, mit offenen Fragen gespickte Questionnaires zu erhalten, deren Beantwortung mehrere Tage in Anspruch nehmen kann.

Für die Bewertung eines SaaS Cloud Service Providers, der eine qualitätsrelevante Applikation bereitstellt, ist ein Audit - am besten vor Ort - unbedingt erforderlich, da die Dokumentation zur Entwicklung und Validierung des Systems unter GMP Aspekten bewertet werden muss. Sofern nur ein Remote-Audit infrage kommt, ist sicherzustellen, dass ausreichend Zeit zum Lesen der online zur Verfügung gestellten Dokumentation vorhanden ist. Der Auditor sollte versuchen, die qualitätsrelevanten Dokumente möglichst in Kopie zur Prüfung vor dem eigentlichen Audit zu erhalten. Dies lehnen die meisten Lieferanten jedoch aus Vertraulichkeitsgründen ab.

Die Qualitätsbeurteilung von globalen Serviceprovidern im Bereich der IT-Infrastruktur (IaaS Service-Provider) stößt häufig auf größere Schwierigkeiten, da solche Unternehmen (z. B. Microsoft, Amazon) entsprechende Anfragen einfach ignorieren. Deswegen ist der pharmazeutische Unternehmer darauf angewiesen, auf breiter Basis bereitgestellte generelle Unterlagen zu bewerten. Microsoft stellt hierzu ein umfangreiches Qualitätshandbuch (Microsoft Azure GxP Guidelines, © 2020 Microsoft Corporation, 99 Seiten) auf seiner Webseite zum Download zur Verfügung. Hier findet der Auditor Antworten auf eine Reihe von Fragen, die er/sie während des Audits stellen würde.

The goal of the GxP guidelines document is to provide life sciencies organisations with a comprehensive toolset for using Microsoft Azure while adhering to industry best practices and applicable regulations. It identifies the shared resposibilities between Microsoft and its life science customers for meeting regulatory requirements, such as FDA 21 CFR Part 11 Electronic Records, Electronic Signatures (21 CFR Part 11), and EudraLex Volume 4 - Annex 11 Computerised Systems (Annex 11).

Amazon stellt eine Reihe von Unterlagen als nicht zusammenhängende Fragmente zu den entsprechenden Sachgebieten bereit, die dem Auditor allerdings erst nach Vertragsabschluss in vollem Umfang zur Verfügung stehen, also für eine initiale Bewertung des Lieferanten ungeeignet sind.

Der Auditor sollte auch bei diesen globalen Unternehmen unbedingt versuchen, zunächst eine Frageliste mit der Bitte um Beantwortung zu übersenden, um nichts unversucht zu lassen. In diesem Zusammenhang sei angemerkt, dass ich bei einer Anfrage an Amazon unlängst einen recht vollständig ausgefüllten Fragenkatalog zurückerhalten habe, der mir eine Bewertung ermöglicht hat.

Für das pharmazeutische Unternehmen ist es sehr wichtig, in den Vertrag mit dem Service Provider die Möglichkeit eines regelmäßigen Audits (ohne zusätzliche Kosten) aufzunehmen. Weiterhin sollte die Bündelung von Auditaktivitäten mehrerer Pharmafirmen (Joint Audit) mit Teilung der Kosten ins Auge gefasst werden, die für beide Teile - Kunde und Service-Provider - sehr viele Vorteile mit sich bringt, da Zeit und Kosten eingespart werden können.

Hier finden Sie weitere Fragen und Antworten zum Thema "Cloud Computing" die u. a. das Expertenteam beantwortet hat.

Die Experten

Frank Behnisch, CSL Behring GmbH, Marburg
Klaus Feuerhelm, ehem. Inspektor beim Regierungspräsidium Tübingen
Oliver Herrmann; Q-FINITY Quality Management, Dillingen
Eberhard Kwiatkowski, PharmAdvantageIT GmbH, Neuschoo
Stefan Münch, Körber Pharma Consulting, Karlsruhe
Yves Samson, Kereon AG, Basel
Dr. Wolfgang Schumacher, ehem. F. Hoffmann-La Roche AG, Basel
Dr. Arno Terhechte, Bezirksregierung Münster
Sieghard Wagner, Chemgineering Germany GmbH, Stuttgart