Audit-Trail-Review nach Annex 11 und Part 11

Fast jedes GMP-relevante Computersystem schreibt heute einen Audit Trail. Die Aufzeichnung ist selten das Problem. Woran es in der Praxis hakt, ist die Überprüfung: wer schaut sich diese Datenspuren wann, wie und mit welchem Ziel an? Genau hier trennt sich formale Konformität von gelebter Datenintegrität.

Was die Regelwerke verlangen

EU-GMP Annex 11 fordert in seinem Abschnitt zu Audit Trails, dass Änderungen und Löschungen GMP-relevanter Daten nachvollziehbar aufgezeichnet werden und dass diese Audit Trails regelmässig bewertet werden. Auf US-Seite verlangt 21 CFR Part 11, konkret Abschnitt 11.10(e), sichere, computergenerierte und mit Zeitstempel versehene Audit Trails, die Anlage, Änderung und Löschung von elektronischen Datensätzen unabhängig festhalten und so lange aufbewahrt werden wie der Datensatz selbst. Beide Regelwerke verfolgen dasselbe Ziel: Daten müssen zurechenbar und nachvollziehbar bleiben.

Aufzeichnen ist nicht Überprüfen

Der häufigste Irrtum lautet: ein aktivierter Audit Trail sei bereits Compliance. Tatsächlich verlangen die Behörden die Bewertung. Die Datenintegritäts-Leitlinien der MHRA und der PIC/S (PI 041) stellen klar, dass Audit Trails routinemässig überprüft werden müssen, und zwar dort, wo Entscheidungen über die Produktqualität getroffen werden. Ein Audit Trail ohne Review ist eine Kontrolle, die nur auf dem Papier existiert.

Ein Audit Trail, den niemand liest, schützt die Datenintegrität so wenig wie eine Kamera, auf die niemand schaut.

Risikobasiert statt Zeile für Zeile

Der Anspruch, jede Audit-Trail-Zeile zu lesen, ist weder realistisch noch gefordert. Sinnvoll ist ein risikobasierter Review, der sich auf die kritischen Ereignisse konzentriert:

• Fokus auf GMP-relevante Aktionen: geänderte Ergebnisse, überschriebene Werte, abgebrochene Läufe, veränderte Integrationen.
• Review by exception: das System filtert die kritischen Ereignisse heraus, der Mensch bewertet sie.
• Verankerung im Prozess: der Audit-Trail-Review wird Teil des Batch-Record-Review und vor der Chargenfreigabe abgeschlossen.

Wer prüft, und wie oft

Ebenso wichtig wie das Was ist das Wer. Ein Review verliert seinen Wert, wenn eine Person ihre eigenen Handlungen bewertet; Unabhängigkeit und eine klare Funktionstrennung sind entscheidend. Die Frequenz richtet sich nach dem Risiko: kritische, chargenbezogene Systeme werden mit jeder Freigabe geprüft, andere in definierten Intervallen oder ereignisgesteuert bei Abweichungen und Verdachtsmomenten.

Voraussetzungen im System

Ein prüfbarer Audit Trail braucht technische Grundlagen: individuelle Benutzerkonten statt geteilter Logins, eine synchronisierte und geschützte Systemzeit und die Fähigkeit, den Audit Trail in eine lesbare, auswertbare Form zu bringen. Besonders tückisch sind hybride Abläufe, in denen Papier und elektronische Aufzeichnung nebeneinander bestehen und die Zuordnung verschwimmt. Deshalb gehört die Prüfbarkeit des Audit Trails schon in die Anforderungen (URS) und in die Computer System Validation.

Die typischen Befunde

Inspektionen und Audits stossen bei Audit Trails immer wieder auf dieselben Muster: der Audit Trail war technisch deaktivierbar und wurde deaktiviert, er wurde zwar aufgezeichnet, aber nie bewertet, oder geteilte Benutzerkonten machen die Zurechnung unmöglich. Solche Befunde sind vermeidbar, wenn Aufzeichnung, Schutz und Review von Beginn an zusammen gedacht werden.

Was am Ende zählt

Ein guter Audit-Trail-Review ist kein Selbstzweck, sondern eine der wirksamsten Kontrollen gegen Datenmanipulation und Fehler. Er muss risikobasiert, unabhängig, dokumentiert und in den Freigabeprozess eingebettet sein. Vispact hilft, solche Review-Konzepte praktikabel aufzusetzen, von der Systemanforderung bis zur Verankerung im Qualitätsprozess.

‍