Cloud Computing: Unterlagen zur sicheren Migrationsplanung in die Cloud

Auch in der pharmazeutischen Industrie geht der Trend in Richtung Cloud Computing. Finanzielle, aber auch organisatorische Vorteile sprechen für die Cloud. Gleichzeitig sollten aber auch potentielle Gefahren und regulatorische Einschränkungen beachtet werden. Neun Experten aus der Pharmaindustrie und von Überwachungsbehörden beantworten einen umfangreichen Fragenkatalog aus den folgenden GxP-relevanten Themenkreisen:

Grundlagen der Cloud Computing Technologie
Regulatorische Grundlagen und Erwartungen von Inspektoren
Kunden-Lieferanten-Beziehung
Anforderungen an den Cloud Service Provider (CSP)
Anforderungen an die Lieferantenbewertung und Lieferantenaudits
Qualifizierungs-/Validierungsanforderungen

Frage 25: Welche Unterlagen braucht der Pharmazeutische Unternehmer (PU), um eine sichere Migration in die Cloud zu planen? - Themenkreis Kunden-Lieferanten-Beziehung

In der konservativen pharmazeutischen Industrie hat man noch vor zehn Jahren den Einsatz der Cloud Technologie im GxP Bereich abgelehnt, da große Bedenken bezüglich Sicherheit und Vertraulichkeit der Daten bestanden. Mittlerweile ist die Verwendung von Cloud basierten Applikationen (SaaS) und -Infrastruktur (IaaS) an der Tagesordnung, d. h. immer mehr Systeme werden entsprechend migriert. Um eine solche Migration strukturiert ablaufen zu lassen und Fehler zu vermeiden, empfiehlt es sich für das pharmazeutische Unternehmen, die Vorgehensweise in einer SOP festzulegen, in der Rollen, Verantwortung und Vorgehensweise beschrieben sind.

Zunächst ist es erforderlich, das Migrationsprojekt klar zu umreißen, mit eindeutigen Definitionen von Pro und Contra Cloud. Der Projektleiter (Process Owner) sollte die im Team ermittelten Anforderungen (Lastenheft, Request for Proposal, RfP) an die möglichen Service Provider übermitteln, um entsprechende Angebote einschließlich laufender- und Lizenz-Kosten zu erhalten.

Aus den Angeboten wird nach Eliminierung der nicht infrage kommenden Anbieter eine sogenannte "Short List" erarbeitet, die eine Basis für die weitere Planung darstellt. Die in der Liste aufgeführten Topkandidaten werden mittels eines Fragen-Katalogs zunächst verglichen und gegebenenfalls vor Ort in Augenschein genommen (Pre-Audit). Daraus werden die interessantesten Firmen (ca. 1-3) ausgewählt, bei denen ein Audit vor Ort zur Qualifizierung des Serviceproviders erfolgt.
Daraus ergibt sich der "ideale" Vertragspartner, mit dem ein Vertrag abgeschlossen werden kann. Besonderer Wert sollte auf die dem Vertrag angegliederte Qualitätsvereinbarung (Quality Agreement, Statement of Work) gelegt werden, in der mindestens folgende Punkte zu definieren sind:

Roles & Responsibilities
Quality System Requirements
Audits and Regulatory Inspection Support
Personnel and Training
Change Management
SDLC Methodology details
Non Conformance and CAPA
Data Governance / Data Privacy
Security / Encryption
Validation Deliverables
RTO / RPO

Der endgültigen Migration in die Cloud sollte eine intensive Pilotphase vorangestellt werden, in der die zukünftigen User die Möglichkeit haben, die Applikation zu testen (SaaS) und Schwachstellen zu identifizieren.

Bei der Projektierung der Migration sollte sich das pharmazeutische Unternehmen darüber Gedanken machen, ob eine firmenspezifische Anpassung (Customizing) wirklich sinnvoll und notwendig ist, da dies bei allen späteren Versionen (Releases) ein erheblicher Kostenfaktor sein wird, da in diesen Fällen nicht nur auf die Standard-Validierungsunterlagen des Serviceproviders zurückgegriffen werden kann, sondern umfangreiche, zeitraubende Arbeiten erforderlich sind. Sofern auf ein umfangreiches Customizing nicht verzichtet werden kann, ist gegebenenfalls einer lokal installierten Applikation der Vorzug zu geben.

Weitere Fragen und Antworten des Expertenteams zum Thema "Cloud Computing"

Hier finden Sie weitere Fragen und Antworten zum Thema "Cloud Computing" die u.a. das Expertenteam beantwortet hat.

Die Experten

Frank Behnisch, CSL Behring GmbH, Marburg
Klaus Feuerhelm, ehem. Inspektor beim Regierungspräsidium Tübingen
Oliver Herrmann; Q-FINITY Quality Management, Dillingen
Eberhard Kwiatkowski, PharmAdvantageIT GmbH, Neuschoo
Stefan Münch, Körber Pharma Consulting, Karlsruhe
Yves Samson, Kereon AG, Basel
Dr. Wolfgang Schumacher, ehem. F. Hoffmann-La Roche AG, Basel
Dr. Arno Terhechte, Bezirksregierung Münster
Sieghard Wagner, Chemgineering Germany GmbH, Stuttgart