Worauf sollte man bei einem 21 CFR Part 11-konformen Dokumentenmanagementsystem achten?

21 CFR Part 11 bezieht sich auf Part 11 von Title 21 des Code of Federal Regulations. Die US FDA veröffentlichte diese Vorschrift im März 1997, und sie trat im August 1997 in Kraft. Sie regelt die Anforderungen der FDA an elektronische Aufzeichnungen und elektronische Signaturen. 

Seit ihrer Einführung wurde die Vorschrift periodisch überarbeitet mit dem Ziel, die elektronische Einreichung von Aufzeichnungen zu fördern und die Compliance-Kosten für Organisationen zu senken. 

Da immer mehr Life-Sciences-Unternehmen von papierbasierten Systemen weggehen, ist das Verständnis und die Umsetzung dieser Vorschrift zu einem zunehmend wichtigen Bestandteil beim Aufbau eines robusten Qualitätsmanagementsystems geworden.

Für welche Organisationen gilt diese Vorschrift?

21 CFR Part 11 gilt für alle Aufzeichnungen in elektronischer Form, die erstellt, geändert, gepflegt, archiviert, abgerufen oder übertragen werden im Rahmen von Aufzeichnungsanforderungen, die in den US FDA-Vorschriften festgelegt sind. Sie gilt auch für elektronische Aufzeichnungen, die der FDA gemäß dem Federal Food, Drug, and Cosmetic Act und dem Public Health Service Act übermittelt werden, selbst wenn diese Aufzeichnungen in den behördlichen Vorschriften nicht ausdrücklich genannt sind. 

Wichtig ist, dass der Begriff „elektronische Aufzeichnung“ auch solche Aufzeichnungen umfasst, die nicht ursprünglich elektronisch erstellt wurden, sondern später gescannt und elektronisch gespeichert oder an die Behörde übermittelt wurden. Infolgedessen sind alle Life-Sciences-Branchen, die elektronische Aufzeichnungen führen oder Informationen elektronisch für die Produktzulassung auf dem US-Markt einreichen, verpflichtet, diese Vorschrift einzuhalten. 

Dazu gehören Pharmahersteller, Medizinprodukteunternehmen, Biotechnologieunternehmen, Auftragsforschungsorganisationen (CROs) und jede andere Einheit, die der Aufsicht der FDA unterliegt. Wenn Ihre Organisation irgendeine Form elektronischer Qualitätsaufzeichnung im Rahmen ihrer regulatorischen Verpflichtungen verarbeitet, gilt 21 CFR Part 11 für Sie.

Die Kernziele von 21 CFR Part 11

Der Hauptzweck von 21 CFR Part 11 besteht darin, die Sicherheit und den Schutz digital verwalteter Qualitätsaufzeichnungen in der Life-Sciences-Industrie zu gewährleisten, einschließlich der Art und Weise, wie diese Aufzeichnungen verteilt, gespeichert und abgerufen werden. Die FDA ist insbesondere besorgt über mehrere zentrale Risiken im Zusammenhang mit elektronischen Aufzeichnungen:

1. Fehlfunktionen von Computersystemen und Software
2. Herstellerpraktiken zur Aufrechterhaltung von Datensicherheit und -schutz
3. Verhinderung von Datenkorruption oder Datenverlust
4. Sicherung der Integrität von Genehmigungs- und Prüf-Signaturen
5. Rückverfolgbarkeit von jeglichen an Daten vorgenommenen Änderungen
6. Verhinderung und Erkennung gefälschter Aufzeichnungen

Über die Datensicherheit hinaus war 21 CFR Part 11 auch dazu gedacht, die digitale Transformation in der Branche zu beschleunigen. Indem elektronische Systeme als praktikable und konforme Alternative zur papierbasierten Ablage geschaffen werden, ermutigt die Vorschrift Organisationen, papierlose Systeme zu übernehmen, was langfristig erhebliche Kosteneinsparungen bewirkt. 

Papierbasierte Systeme erfordern physischen Lagerraum, manuelle Handhabung und beträchtliche Zeit für das Auffinden und die Überprüfung von Dokumenten. Ein gut implementiertes elektronisches System, das mit 21 CFR Part 11 konform ist, beseitigt die meisten dieser Ineffizienzen und stärkt gleichzeitig die Gesamtheit und Integrität der Qualitätsaufzeichnungen. 

In diesem Sinne dient die Vorschrift einem doppelten Zweck: Sie schützt die öffentliche Gesundheit durch zuverlässiges Datenmanagement und hilft Organisationen gleichzeitig, effizienter zu arbeiten.

Warum muss Ihr eQMS die Anforderungen von 21 CFR Part 11 erfüllen?

Eine der Hauptfunktionen eines mit 21 CFR Part 11 konformen Dokumentenmanagementsystems besteht darin, Qualitätsaufzeichnungen elektronisch zu erstellen, zu speichern, abzurufen und zu archivieren. Auch der Prozess der elektronischen Unterzeichnung dieser Aufzeichnungen findet innerhalb eines Dokumentenmanagementsystems statt, das Teil eines eQMS ist. 

Für jede Organisation, die Life-Sciences-Produkte auf dem US-Markt verkauft, ist ein 21 CFR Part 11-konformes eQMS nicht optional, sondern eine Anforderung. Wenn Sie derzeit ein neues eQMS evaluieren oder unsicher sind, ob Ihr vorhandenes System den Standard erfüllt, lohnt es sich, die wichtigsten Compliance-Funktionen zu überprüfen, die ein vollständig konformes eQMS bieten sollte.

Es ist ebenfalls zu beachten, dass die Nicht-Einhaltung von 21 CFR Part 11 erhebliche Folgen haben kann. Die FDA hat die Befugnis, Warning Letters zu erlassen, Produktrückrufe einzuleiten oder regulatorische Maßnahmen gegen Organisationen zu ergreifen, die keine konformen elektronischen Aufzeichnungen führen. 

Über die rechtlichen und finanziellen Risiken hinaus kann Nicht-Compliance den Ruf einer Organisation schädigen und Produktzulassungen verzögern, was beides langfristige Auswirkungen auf die Geschäftstätigkeit haben kann. In ein konformes eQMS von Anfang an zu investieren ist deutlich kosteneffizienter als zu versuchen, Compliance-Lücken nach einer behördlichen Inspektion zu beheben.

Wichtige Compliance-Funktionen, die in einem eQMS zu bewerten sind

Zu verstehen, was 21 CFR Part 11 tatsächlich verlangt, ist der erste Schritt bei der Auswahl des passenden eQMS für Ihre Organisation. Die folgende Checkliste deckt die prominentesten Anforderungen ab und kann Ihren Evaluierungsprozess beschleunigen. Stellen Sie beim Überprüfen einer eQMS-Lösung die folgenden Fragen:

a) Benutzerberechtigungen und Zugriffskontrolle:

1. Können Sie Benutzerberechtigungen basierend auf Rollen definieren — zum Beispiel den Zugriff auf Audit-Trails nur auf QA-Personal beschränken?
2. Können Sie den Ordnerzugriff auf bestimmte Benutzerrollen einschränken — zum Beispiel nur QC-Personal den Zugriff auf QC-Ergebnisordner erlauben?
3. Können Sie steuern, wer die Berechtigung hat, Dateien zu löschen, zu erstellen, zu bearbeiten, zu überprüfen und zu genehmigen — zum Beispiel die Genehmigungsbefugnis nur auf den QA-Leiter zu beschränken?

b) Benutzeridentität und Passwortverwaltung

1. Erfordert das System einen eindeutigen Benutzernamen für jeden Benutzer, um die Rückverfolgbarkeit sicherzustellen?
2. Fordert das System Benutzer auf, bewährte Verfahren für die Passwortverwaltung zu befolgen?
3. Informiert das System die Benutzer darüber, dass ihr Benutzername und Passwort als Autorisierung für ihre elektronische Signatur dienen und dass diese Zugangsdaten vertraulich zu behandeln sind?

c) Audit-Trail

1. Erfasst das System jede Aktion eines angemeldeten Benutzers in Form eines mit Zeitstempel versehenen Audit-Trails?
2. Erfasst das Audit-Trail, wann Datensätze erstellt, geändert, gelöscht oder als obsolet markiert wurden, und protokolliert es diese Aktionen mit Benutzername, Datum und Uhrzeit?

Es ist wichtig zu beachten, dass diese Checkliste die prominentesten Anforderungen abdeckt, jedoch nicht als Ersatz für die Lektüre der tatsächlichen Gesetzgebung dienen sollte. Wir empfehlen dringend, die vollständige Bundesverordnung zu prüfen und eine eigene unabhängige Interpretation ihrer Anforderungen zu bilden.

5 praktische Schritte zur Aufrechterhaltung der laufenden Compliance

Sobald Sie ein konformes Dokumentenmanagementsystem ausgewählt haben, besteht die nächste Herausforderung darin, die laufende Compliance aufrechtzuerhalten. Die folgenden fünf Schritte decken alle wichtigen Bereiche ab, die Sie angehen müssen.

Schritt 1 — Softwarevalidierung

Selbst wenn ein Softwareanbieter eine vorvalidierte Lösung anbietet, liegt die Verantwortung für die Compliance letztlich beim Hersteller. Sie sollten die oben genannten zentralen Anforderungen sowie alle zusätzlichen, intern von Ihrem Team definierten Benutzeranforderungen überprüfen. 

Eine gründliche Compliance-Prüfung kann im Rahmen der Operational Qualification-Phase Ihres Softwarevalidierungsprozesses durchgeführt werden. Ebenso ist es wichtig, den Validierungsprozess umfassend zu dokumentieren, da diese Dokumentation selbst während einer FDA-Inspektion überprüft werden kann. Ein typischer Softwarevalidierungsprozess umfasst drei Stufen:

1. Installationsqualifikation — die Überprüfung, dass die Software korrekt installiert wurde
2. Betriebsqualifikation — die Bestätigung, dass die Software alle regulatorischen und Benutzeranforderungen erfüllt
3. Leistungsqualifikation — die Gewährleistung, dass die Software über die Zeit konsistent und zuverlässig arbeitet

Validierung ist keine einmalige Tätigkeit. Wesentliche Änderungen an der Software, wie Upgrades, Patches oder Konfigurationsänderungen, können eine Revalidierung erfordern, um die fortgesetzte Compliance sicherzustellen. Die Etablierung eines klaren Änderungssteuerungsprozesses für Ihr eQMS ist daher ein wesentlicher Bestandteil des langfristigen Compliance-Managements.

Die Softwarevalidierung für die Einhaltung von 21 CFR Part 11 erfordert das Verständnis der CSV-Methodik und risikobasierter Ansätze zur Systemqualifizierung.

Erfahren Sie, wie sich Computer System Validation (CSV) und Computer Software Assurance (CSA) unterscheiden und welcher Ansatz zu Ihrem eQMS passt.

→ Lesen: CSV vs CSA: Computer System Validation & Software Assurance in Pharma

Schritt 2 — Sicherstellung der Integrität elektronischer Aufzeichnungen

Die Aufrechterhaltung der Integrität elektronischer Aufzeichnungen erfordert einen Satz klar definierter Verfahren und Kontrollen. Wichtige Aufgaben in diesem Bereich umfassen die Sicherstellung der Genauigkeit, Zuverlässigkeit und Konsistenz von Aufzeichnungen sowie die Definition von Prozessen zur periodischen Erkennung ungültiger oder veränderter Aufzeichnungen. 

Aufzeichnungen müssen genau und vollständig erzeugt, für Inspektionen, Überprüfungen und behördliche Kopien geeignet aufbewahrt und während der vorgeschriebenen Aufbewahrungsfrist abrufbar sein. Zudem müssen alle Personen, die elektronische Aufzeichnungs- und Signatursysteme entwickeln, pflegen oder verwenden, über die entsprechende Ausbildung, Schulung und Erfahrung für ihre zugewiesenen Aufgaben verfügen. 

Es müssen Kontrollen vorhanden sein, die die Authentizität, Integrität und Vertraulichkeit der Aufzeichnungen vom Erstellungszeitpunkt bis zum Empfangspunkt schützen. Regelmäßige Auffrischungsschulungen und periodische interne Überprüfungen der Aufzeichnungspraktiken helfen sicherzustellen, dass diese Kontrollen im Laufe der Zeit wirksam bleiben und nicht im Zuge von Personalwechseln oder Prozessänderungen erodieren.

Datenintegrität in 21 CFR Part 11-Systemen erfordert mehr als Technologie; sie verlangt organisatorische Fähigkeit, Mitarbeiterkompetenz und eine proaktive Qualitätssicherungs‑kultur.

Erfahren Sie, wie Kompetenzaufbau und Compliance-Schulungen sicherstellen, dass Ihr Team die Integrität elektronischer Aufzeichnungen tatsächlich aufrechterhält.

→ Lesen: Warum Pharmaceutical Quality Systems ohne Kompetenzaufbau scheitern

Schritt 3 — Steuerung des Systemzugriffs und der Benutzerbefugnisse

Der Zugriff auf das System muss kontrolliert und auf autorisierte Personen beschränkt sein. Dies umfasst die Aktivierung von Passwortschutz, die Schaffung unterschiedlicher Befugnisstufen für verschiedene Benutzerrollen und die Sicherstellung, dass nur die richtigen Personen Aufzeichnungen elektronisch signieren, Ein- oder Ausgabegeräte nutzen, Aufzeichnungen ändern oder bestimmte Operationen ausführen können. 

Angemessene Kontrollen müssen auch für die Verteilung und den Zugriff auf Dokumentationen zur Systembedienung und -wartung bestehen. Benutzerzugriffsrechte sollten regelmäßig überprüft und aktualisiert werden, insbesondere wenn Mitarbeiter Rollen wechseln, das Unternehmen verlassen oder neue Teammitglieder hinzukommen. 

Das Belassen veralteter Zugriffsrechte ist eine häufige Compliance-Lücke, die während einer Prüfung festgestellt werden kann und proaktiv als Teil routinemäßiger Qualitätsaktivitäten verwaltet werden sollte.

Schritt 4 — Aufrechterhaltung eines verlässlichen Audit-Trails

Ein konformer Audit-Trail muss alle zeitgestempelten Bedienereinträge sowie alle Aktionen aufzeichnen, die elektronische Aufzeichnungen erstellen, ändern oder löschen. Bereits aufgezeichnete Informationen dürfen durch Änderungen an Aufzeichnungen niemals verdeckt werden. Audit-Trail-Dokumente müssen mindestens so lange aufbewahrt werden, wie es gesetzlich für die betreffenden elektronischen Aufzeichnungen vorgeschrieben ist, und für behördliche Überprüfungen abrufbar bleiben. 

Revisions- und Änderungssteuerungsverfahren sollten ebenfalls vorhanden sein, um eine chronologische Aufzeichnung darüber zu führen, wie Systemdokumentation im Laufe der Zeit entwickelt und modifiziert wurde. Der Audit-Trail ist eines der am stärksten überprüften Elemente während einer FDA-Inspektion, daher ist es entscheidend, dass das System Audit-Trail-Einträge automatisch erzeugt und dass diese Einträge von keinem Benutzer, einschließlich Systemadministratoren, verändert oder gelöscht werden können.

Schritt 5 — Korrekte Verwaltung elektronischer Signaturen

Unterzeichnete elektronische Aufzeichnungen müssen den gedruckten Namen des Unterzeichners, das Datum und die Uhrzeit der Ausführung der Signatur sowie die mit der Signatur verbundene Rolle wie Prüfer, Genehmiger oder Autor enthalten. Elektronische Signaturen müssen direkt mit ihren jeweiligen Aufzeichnungen verknüpft sein, sodass sie nicht entfernt, kopiert oder übertragen werden können, um eine andere Aufzeichnung zu fälschen. 

Geschriebene Richtlinien müssen eingeführt und durchgesetzt werden, um Personen für alle Handlungen, die unter ihren elektronischen Signaturen vorgenommen werden, zur Verantwortung zu ziehen und so eine Abschreckung gegen Fälschung zu schaffen. 

Organisationen sollten außerdem sicherstellen, dass die Mitarbeitenden die rechtliche Tragweite einer elektronischen Signatur verstehen; sie hat die gleiche bindende Wirkung wie eine handschriftliche Unterschrift, und im Namen einer anderen Person zu unterschreiben oder Anmeldeinformationen zu teilen, ist ein schwerwiegender Compliance-Verstoß, der ausdrücklich in Schulungen und Richtliniendokumenten behandelt werden muss.

Wie ist die Lage für Hersteller, die auf dem europäischen Markt verkaufen?

Kurz gesagt: sowohl ja als auch nein. 21 CFR Part 11 selbst gilt nicht für Produkte, die ausschließlich in Europa verkauft werden – in diesem Zusammenhang ist EU Annex 11 die anzuwendende Vorschrift. EU Annex 11 deckt jedoch im Wesentlichen dieselben Anforderungen an computergestützte Systeme ab wie 21 CFR Part 11. 

Das bedeutet, dass, wenn Ihre Organisation bereits mit EU Annex 11 konform ist, die Umstellung auf die Einhaltung von 21 CFR Part 11 relativ unkompliziert sein sollte und die Möglichkeit eröffnet, ohne erhebliche zusätzliche Anstrengungen in den US-Markt einzutreten. Für global tätige Organisationen ist es eine langfristig sinnvolle Strategie, Ihr eQMS so auszurichten, dass es beide Standards gleichzeitig erfüllt. 

Der Aufbau eines einzigen konformen Systems, das von Anfang an sowohl EU Annex 11 als auch 21 CFR Part 11 erfüllt, reduziert Doppelarbeit und gewährleistet, dass Ihre Qualitätsinfrastruktur den Zugang zu internationalen Märkten unterstützt, wenn Ihr Unternehmen wächst.

Zusammenfassung

Die Einhaltung von 21 CFR Part 11 ist nicht nur ein regulatorisches Pflichtfeld, sondern die Grundlage für eine vertrauenswürdige, sichere und effiziente Verwaltung elektronischer Aufzeichnungen in der Life-Sciences-Branche. Die Wahl des richtigen Dokumentenmanagementsystems erfordert eine sorgfältige Prüfung, wie es den Benutzerzugang, elektronische Signaturen, Audit-Trails und die Datenintegrität handhabt. 

Und wenn das richtige System einmal implementiert ist, besteht die Aufrechterhaltung der Compliance darin, strukturierte Prozesse in den Bereichen Validierung, Sicherheit, Aufbewahrung von Aufzeichnungen und Verantwortlichkeit einzuhalten. Ob Sie zum ersten Mal in den US-Markt eintreten oder ein bestehendes Qualitätssystem stärken: Der Aufbau eines soliden 21 CFR Part 11-Compliance-Rahmens ist eine Investition, die sich in Prüfungsbereitschaft, regulatorischem Vertrauen und langfristiger operativer Effizienz auszahlt.

Häufig gestellte Fragen

1) Was macht ein Dokumentenmanagementsystem konform mit 21 CFR Part 11?

Ein mit 21 CFR Part 11 konformes System muss die Sicherheit, Integrität und Rückverfolgbarkeit elektronischer Aufzeichnungen und Signaturen gewährleisten. Dazu gehören Funktionen wie rollenbasierte Benutzerberechtigungen, sichere Passwort- und Identitätskontrollen, manipulationssichere Audit-Trails, validierte Softwareleistung und zuverlässige Verknüpfung elektronischer Signaturen. Es sollte außerdem die vollständige Wiederauffindbarkeit von Aufzeichnungen während Inspektionen ermöglichen und die langfristige Datenaufbewahrung unterstützen. Ein vollständig konformes System verringert das Risiko von Datenmanipulation und stärkt die allgemeine regulatorische Bereitschaft.

2) Warum ist Softwarevalidierung wichtig für die Einhaltung von 21 CFR Part 11?

Die Softwarevalidierung weist nach, dass Ihr Dokumentenmanagementsystem kontinuierlich wie beabsichtigt funktioniert und sowohl regulatorische als auch interne Benutzeranforderungen erfüllt. Selbst wenn Ihr Anbieter eine validierte Plattform liefert, verlangt die FDA weiterhin, dass Ihre Organisation die korrekte Installation, die funktionale Leistungsfähigkeit und die langfristige Zuverlässigkeit verifiziert. Die Validierung hilft auch dabei, Lücken zu erkennen, bevor sie bei Inspektionen zu Compliance-Problemen werden. Letztlich stellt sie sicher, dass Ihre Qualitätsprozesse zuverlässig, konsistent und prüfungsfähig bleiben.

3) Wie funktionieren elektronische Signaturen in einem mit 21 CFR Part 11 konformen System?

In einem konformen System müssen elektronische Signaturen eindeutig, sicher und dauerhaft mit den von ihnen genehmigten Aufzeichnungen verknüpft sein. Jede Signatur muss den Namen des Unterzeichners, einen Zeitstempel und die Rolle anzeigen, und das System muss das Kopieren, Entfernen oder Verändern der Signatur verhindern. Diese Kontrollen tragen dazu bei, die Verantwortlichkeit für jede Genehmigung und Handlung innerhalb des Systems sicherzustellen. Sie liefern zudem eine transparente Prüfspur, die regulatorische Entscheidungen unterstützt.