GAMP 5 vereinfacht: Ein praktischer, risikobasierter Ansatz für computergestützte Systeme

In den Branchen Pharma, Biotechnologie und Medizintechnik taucht der Begriff „GAMP 5“ häufig in Diskussionen über Compliance und computerisierte Systeme auf. Aber was bedeutet er wirklich? Warum ist er wichtig? Und wie lässt er sich im täglichen Betrieb anwenden? Dieser Leitfaden erklärt alles klar und einfach — ohne Fachchinesisch und ohne unnötige Komplexität!

Was ist GAMP 5?

GAMP 5 steht für Good Automated Manufacturing Practices, Issue 5. Es handelt sich um eine von der ISPE, der International Society For Pharmaceutical Engineering, veröffentlichte Richtlinie, die speziell darauf ausgelegt ist, regulierten Branchen beim ordnungsgemäßen Management computerisierter Systeme zu helfen.

Ein entscheidender Punkt gleich vorweg: GAMP 5 ist kein Gesetz. Es begründet keine rechtliche Verpflichtung. Lassen Sie sich davon jedoch nicht täuschen. Es wird von Aufsichtsbehörden weltweit zitiert und anerkannt, einschließlich der US FDA, und ist damit das, was der Branche am nächsten an einem universellen Standard für die Compliance computerisierter Systeme liegt. Denken Sie eher an ein hoch angesehenes Playbook als an ein Regelwerk.

GAMP 5 gilt für computerisierte Systeme, die in regulierten Umgebungen eingesetzt werden, und ist für regulierte Unternehmen, Aufsichtsbehörden, Lieferanten und andere Interessengruppen gedacht. Sein Kernzweck ist es, einen risikobasierten Ansatz bereitzustellen, um sicherzustellen, dass diese Systeme validiert sind und wie vorgesehen arbeiten.

Warum ist das eigentlich wichtig?

GAMP 5 wurde entwickelt, um neben anderen Branchenrichtlinien, Standards und GxP-Vorschriften zu funktionieren, wie etwa Gute Herstellungspraxis (GMP), Good Clinical Practice (GCP), Good Laboratory Practice (GLP), Good Distribution Practice (GDP), Good Pharmacovigilance Practices (GVP), Medical Device Regulations, 21 CFR Part 11 (Regeln für elektronische Aufzeichnungen und elektronische Unterschriften), EU GMP Annex 11 und verschiedene ISO-Normen.

Es ist ein allgemein akzeptierter Rahmen für die Gestaltung, Entwicklung und Wartung computerisierter Systeme in GxP-regulierten Umgebungen. Die Bedeutung von GAMP 5 in GxP-Umgebungen lässt sich durch fünf Hauptaspekte verstehen:

1. Schutz der Patientensicherheit, Produktqualität und Datenintegrität
2. Sicherstellung, dass Systeme für ihren vorgesehenen Zweck geeignet sind und konform bleiben
3. Angebot eines kosteneffizienten und praxisnahen Ansatzes
4. Unterstützung beim Verständnis regulatorischer Anforderungen und Förderung konsistenter Branchenpraktiken
5. Ermöglichung von Innovation und Anpassung an sich ändernde Technologien

Eine kurze Geschichte, wie wir hierher gekommen sind

Das Verständnis von GAMP 5 fällt leichter, wenn man die Entstehungsgeschichte kennt. Es ist nicht aus dem Nichts entstanden — es hat sich über Jahrzehnte als Reaktion auf reale Herausforderungen der Branche entwickelt.

GAMP selbst wurde 1991 im Vereinigten Königreich gegründet, speziell um mit den sich entwickelnden Erwartungen der US FDA an das Management und die Kontrolle automatisierter Systeme im Rahmen der GMP-Compliance umzugehen. 

Einige Jahre später, 1994, entwarf eine Gruppe britischer Pharmaexperten die erste GAMP-Richtlinie und verbreitete sie in Fachkreisen. 1995 wurde die erste formale Version offiziell unter der Schirmherrschaft der ISPE veröffentlicht — damit begann die dauerhafte Partnerschaft zwischen GAMP und der ISPE.

Im Laufe der Jahre folgten mehrere Überarbeitungen. Die bemerkenswerten Versionen waren GAMP 4 im Jahr 2001 und dann GAMP 5 im Jahr 2008, das konzeptionell in einer wissenschaftsbasierten Risikomanagementstrategie verankert war, die mit den GxP-Vorschriften des 21. Jahrhunderts und den ICH Q8-, Q9- und Q10-Leitlinien in Einklang steht. 

Es wurde außerdem so gestaltet, dass es mit IEEE-Standards, ISO 9000, ISO 12207 und der IT Infrastructure Library (ITIL) kompatibel ist. 2017 startete die GAMP-Community of Practice eine formelle Überprüfung, um zu beurteilen, ob die Richtlinie ihre Ziele noch erfüllte und wo Aktualisierungen am dringendsten nötig waren. 

Dieser Prozess mündete in der zweiten Ausgabe, die 2022 veröffentlicht wurde — das bedeutendste Update seit 14 Jahren. Diese Ausgabe brachte die Richtlinie in Einklang mit der neuen Computer Software Assurance-Guidance der FDA (September 2022) und ISO 14971 für Medizinprodukte.

Was hat sich in der zweiten Ausgabe 2022 geändert?

Die ursprüngliche Version von 2008 konzentrierte sich größtenteils auf Compliance — Kästchen abhaken, Prozesse befolgen, Inspektionsbefunde vermeiden. Die Ausgabe von 2022 verlagert diesen Fokus grundlegend. Patientensicherheit, Produktqualität und Datenintegrität stehen nun im Vordergrund gegenüber Dokumentations- und Compliance-Formalitäten.

Praktisch gesehen brachte die zweite Ausgabe aktualisierte Leitlinien zu Cybersicherheit, Datenintegrität und Cloud-Computing. Sie unterstützte zudem agile Entwicklungsmethoden und risikobasierte Validierungsansätze, die besser mit der heutigen tatsächlichen Softwareentwicklung und -wartung übereinstimmen.

Um diese Bereiche abzudecken, wurden in der zweiten Ausgabe mehrere neue Anhänge ergänzt, die Themen wie die folgenden behandeln:

• IT-Infrastrukturmanagement
• Kritisches Denken in der Validierung
• Effektive Spezifikation von Anforderungen
• Agile Softwareentwicklung
• Softwaretools
• Verteilte Ledger-Systeme (Blockchain)
• Artificial Intelligence (AI) und Machine Learning (ML)

Das V-Modell — und warum Agile das Spiel verändert hat

Viele Jahre lang wurde GAMP 5s Ansatz zur Validierung durch das V-Modell veranschaulicht. Die Idee ist einfach: Systemspezifikationen, die während der Entwicklung erstellt werden, werden durch entsprechende Tests in der Verifikation abgeglichen. Die linke Seite des V repräsentiert das, was Sie entwerfen; die rechte Seite repräsentiert, wie Sie es testen.

Beispielsweise würde ein konfigurierbares Produkt getestet, um seine Anforderungen, Funktionalität und Konfigurationsspezifikationen zu verifizieren. Kommerzielle Standardsoftware (commercial off-the-shelf software) hingegen benötigt möglicherweise überhaupt keine Funktions- und Konfigurationsspezifikationen, sodass der Testumfang kleiner wäre.

Das V-Modell funktioniert gut in strukturierten, linearen Entwicklungsumgebungen. Es ist jedoch nicht immer praktikabel. Traditionelle „lineare Ansätze“ wie das V-Modell oder die Wasserfallmethode tun sich schwer in agilen Entwicklungsumgebungen, in denen Software iterativ entwickelt und kontinuierlich aktualisiert wird. 

Das gilt besonders für moderne Systeme wie SaaS-Plattformen, AI-Modelle und Machine-Learning-Tools, die schnelle Rollouts und konstante Verbesserungszyklen benötigen.

Genau deshalb hat die zweite Ausgabe von GAMP 5 aus dem Jahr 2022 formell Unterstützung für das Agile-Modell eingeführt. Das gibt Teams die Flexibilität, die sie benötigen, um die GxP-Konformität in Umgebungen zu beurteilen, in denen die Entwicklung schnell voranschreitet und anpassungsfähig ist – ohne die Strenge zu opfern, die regulierte Branchen verlangen.

GAMP 5 und Computer System Validation (CSV)

Computer System Validation, allgemein CSV genannt, ist der dokumentierte Prozess, der nachweist, dass ein computerisiertes System konsequent wie beabsichtigt funktioniert und die anwendbaren GxP-Anforderungen erfüllt. In Pharma-, Biotech- und Medizintechnikunternehmen ist CSV nicht optional. Es ist eine zentrale Erwartung von Aufsichtsbehörden wie der FDA und EMA.

GAMP 5 ersetzt nicht die regulatorischen Anforderungen für CSV. Stattdessen bietet es einen praxisorientierten, risikobasierten Rahmen, um CSV strukturiert und effizient durchzuführen. Es ist weithin als der branchenübliche Ansatz anerkannt, dies gut zu tun.

Unter GAMP 5 umfasst die Computer System Validation typischerweise:

• Definition der beabsichtigten Nutzung und Anforderungen über User Requirement Specifications (URS) und Funktionsspezifikationen
• Durchführung von Risikoanalysen, um das angemessene Maß an Validierungsaufwand zu bestimmen
• Bewertung von Lieferanten und Nutzung ihrer Dokumentation, wo dies angemessen ist
• Durchführung von Verifikations- und Testaktivitäten, kalibriert auf die Kategorie und das Risikoniveau des Systems
• Aufrechterhaltung des validierten Zustands durch Änderungssteuerung und periodische Überprüfungen

Ein großer praktischer Vorteil der Anwendung von GAMP 5 auf CSV ist die Skalierbarkeit. Ein hoch konfigurierbares Standardprodukt benötigt nicht die gleiche Tiefe an Dokumentation und Tests wie eine vollständig kundenspezifisch entwickelte Anwendung. Indem der Fokus auf kritische Funktionen und Datenintegrität gelegt wird, hilft GAMP 5 Organisationen, Übervalidierung zu vermeiden und gleichzeitig konform und auditbereit zu bleiben.

Die 5 Schlüsselprinzipien von GAMP 5

GAMP 5 basiert auf fünf Leitprinzipien. Das sind keine abstrakten Ideen – sie prägen, wie Validierungsarbeit tatsächlich Tag für Tag erledigt wird!

Prinzip 1 — Produkt- & Prozesswissen

GAMP 5 fördert kritisches Denken bei der Anwendung risikobasierter Tests und Validierung. Anstatt überall das gleiche Maß an Prüfung anzuwenden, werden Teams ermutigt, ihr Wissen über das Produkt und seine Prozesse zu nutzen, um die Aufmerksamkeit dort zu fokussieren, wo sie am meisten zählt – auf Aspekte, die wirklich die Patientensicherheit, die Produktqualität und die Datenintegrität beeinflussen.

Prinzip 2 — Validierungslebenszyklus

GAMP 5 beschreibt einen vierstufigen Lebenszyklus, dem alle computergestützten Systeme folgen sollten. Laut Leitlinie müssen alle Lebenszyklusphasen im Qualitätsmanagementsystem (QMS) des Unternehmens definiert sein:

Konzept: In dieser Phase, die außerhalb des Lieferantenbereichs liegt, identifizieren Hersteller Automatisierungsmöglichkeiten, listen Anfangsanforderungen auf und beginnen mit der Suche nach geeigneten Lieferanten.

Projekt: Sobald ein Lieferant identifiziert ist, wird das System entworfen, entwickelt, implementiert und auf GxP Konformität. Die Ausgabe von 2022 unterstützt nun agile Entwicklungsansätze an dieser Stelle, wodurch diese Phase flexibler wird als in der Version von 2008.

Betrieb: Dies ist typischerweise die längste Phase. Das System wird im Tagesbetrieb genutzt, und der Fokus liegt darauf, es durch robuste Änderungssteuerung und Disaster-Recovery-Prozesse in einem validierten Zustand zu halten.

Außerbetriebnahme: Wenn das System ersetzt werden muss, wird es außer Betrieb genommen, stillgelegt oder migriert. Obwohl dies in GAMP nicht formell als eigene Phase definiert ist, werden die notwendigen Maßnahmen wie Datenmanagement und Migrationsplanung während der Betriebsphase beschrieben.

Prinzip 3 — Skalierbarkeit

GAMP 5 fördert skalierbare Ansätze zur Validierung. Es gibt kein einziges Modell, das auf jede Situation passt. Abhängig vom Umfang und der Komplexität des Systems können Waterfall-, V‑Modell-, Agile‑ oder sogar reduzierte bzw. erweiterte Varianten dieser Ansätze angemessen sein. Die Aufnahme des Agile-Modells in der zweiten Ausgabe unterstützt dieses Prinzip direkt.

Prinzip 4 — Qualitätssicherungs‑Risikomanagement

Patientensicherheit, Produktqualität und Datenintegrität müssen alle Validierungsentscheidungen leiten. Das bedeutet, Tests nach dem mit Systemattributen verbundenen Risiko zu priorisieren, mehr Zeit und Aufwand auf kritische Bereiche zu verwenden und weniger auf nicht-kritische.

Die Ausgabe von 2022 nimmt hier eine pragmatische Haltung ein. Sie unterstützt ausnahmebasierte Berichterstattung, bei der ein einfaches "Pass" ausreichend ist, wenn ein System wie beabsichtigt funktioniert. Sie brauchen nicht für jeden Testschritt Screenshots.

Nur Hochrisiko- oder kritische Tests können zusätzliche Nachweise erfordern. Die Leitlinie erkennt auch an, dass kleinere Dokumentationsfehler geringen Mehrwert und geringes Risiko haben, sodass die Aufmerksamkeit auf Probleme gerichtet werden sollte, die tatsächlich die Systemleistung und Konformität beeinflussen.

Prinzip 5: Nutzung von Lieferantenaktivitäten

GAMP 5 ermutigt Unternehmen, die Fachkompetenz von Lieferanten in der Projektphase des Lebenszyklus eines Systems umfassend zu nutzen. Vom Lieferanten bereitgestellte Validierungspakete können helfen, GxP‑Verifikationsanforderungen zu erfüllen, doppelte Arbeit zu reduzieren und als zusätzliche Sicherheitsebene zu dienen. Das Ziel ist eine schnellere, effektivere Einführung, ohne jedes Mal bei Null beginnen zu müssen.

GAMP 5 Softwarekategorien

GAMP 5 klassifiziert Software in Kategorien basierend auf GxP‑Auswirkung und Risiko. Es ist erwähnenswert, dass Kategorie 2, die in GAMP 4 mit Firmware assoziiert war, in GAMP 5 entfernt wurde. Das Risiko steigt mit dem Übergang von Kategorie 1 zu Kategorie 5, ebenso wie die Tiefe der erforderlichen Validierung. So lassen sich die Kategorien einordnen:

Kategorie 1 — Infrastruktur-Software (Betriebssysteme, Datenbanken, Middleware usw.): Diese Art von Software unterliegt nicht einer eigenen spezifischen Funktionsverifikation. Ihre Funktionen werden indirekt getestet, wenn die darauf laufende Anwendung validiert wird. Erforderlich ist hier lediglich die Dokumentation und Überprüfung von Identität und Versionsnummern während der Installation.

Kategorie 3 — Nicht-konfigurierbare Software: Diese Software wird unverändert eingesetzt, ohne jegliche Konfiguration. Die Validierung umfasst die Überprüfung der Installation, die Durchführung von Abnahmetests und die Bestätigung, dass die Software für den beabsichtigten Einsatz geeignet ist, alles gestützt durch eine Risiko- und Lieferantenbewertung.

Kategorie 4 — Konfigurierbare Software: Dies ist Software, die konfiguriert, aber nicht grundlegend verändert werden kann. Die Validierung umfasst korrekte Installation und Konfiguration, funktionale Tests, die durch Risikoanalysen und Lieferantenbewertungen gesteuert werden, sowie Abnahmetests gegen die festgelegten Anforderungen.

Kategorie 5 — Anpassbare Software: Dies ist die risikoreichste Kategorie und umfasst kundenspezifische oder stark angepasste Anwendungen. Die Validierung ist hier am strengsten und beinhaltet korrekte Installation, funktionale und designbasierte Spezifikationen, risikobasierte Funktionstests, Lieferantenbewertung und vollständige Abnahmetests gegen die Anforderungen.

Je höher die Kategorie, desto mehr Arbeit ist in den Spezifikations- und Validierungsphasen des Projektlebenszyklus erforderlich. Dieser gestufte Ansatz ermöglicht Herstellern rationale, verhältnismäßige Entscheidungen darüber, wie viel Validierungsaufwand in jedes System investiert werden sollte.

Häufige Fehler, die zu einer schlechten GAMP-Implementierung führen

Branchenexperten haben die häufigsten und kostspieligsten Fehler identifiziert, die Unternehmen bei der Implementierung von GAMP machen. Diese sollte man gut kennen — und um jeden Preis vermeiden:

• Keine Anforderungen dokumentiert

• Kein Nachweis der verwendeten Softwareversion

• Versäumnis, alle Versionen der Designspezifikationen zu archivieren

• Fehlende Aufzeichnungen für Testeingaben und -ausgaben

• Fehlende Vorwärts- und Rückwärtsverfolgung — mit anderen Worten, keine Rückverfolgbarkeitsmatrix

• Keine Fehlerverfolgung während des Testprozesses

• Keine Qualitätssicherung Einheit, die unabhängig die Vertrauenswürdigkeit der Software prüft

• Keine erneute Bewertung oder Retests, wenn Hardware hinzugefügt oder geändert wird

• Fehlende Hardware-Qualifizierung, einschließlich Infrastruktur- und anwendungsbezogener Software

• Unzureichende Sicherheitskontrollen

Eine praxisnahe Lektion: Warum ist ein SOP besser als zwei?

Erfahrene GAMP-Praktiker geben oft eine scheinbar kleine, aber kritisch wichtige Empfehlung: Verwenden Sie dasselbe Standardarbeitsverfahren (SOP) sowohl für GxP- als auch für nicht-GxP-Systeme. Das klingt unbedeutend, aber die Folgen, es zu ignorieren, können schwerwiegend sein.

Validierung ist im Wesentlichen „gute Softwareentwicklung mit Dokumentation auf Steroiden.“ Der Zweck ist, Dinge bewusst zu verlangsamen, da diese Systeme für kritische Funktionen verantwortlich sein können, wie etwa das Aufrechterhalten des Herzschlags einer Person oder das Unterstützen der Atmung eines Neugeborenen.

Der Grund für ein einheitliches SOP ist einfach: Wenn Sie unterschiedliche SOPs für GxP- und nicht-GxP-Systeme haben, können und werden Menschen versehentlich das falsche anwenden. Ein reales Beispiel veranschaulicht dies perfekt. Ein großes Unternehmen hatte 150 HPLC-Instrumente und 150 Agilent-Systeme.

Während eines IT-Upgrades trug das Team einen Patch ein, befolgte dabei jedoch irrtümlich das nicht-GxP-SOP. Infolgedessen stürzte die Hälfte der Systeme ab. Die Organisation musste dann CAPAs, Änderungssteuerungen implementieren und mehrere Test- und Retest-Runden durchlaufen, um die Compliance und Funktionalität wiederherzustellen. All dies hätte mit einem einzigen, einheitlichen SOP vermieden werden können.

Abschließende Gedanken

GAMP-5 ist möglicherweise nicht gesetzlich bindend, fungiert in regulierten Branchen jedoch als de-facto-Standard für die Validierung computergestützter Systeme. Seine Empfehlungen stehen in engem Einklang mit den GxP-Anforderungen sowohl der EU- als auch der US-Regulierungsbehörden und machen es zum umfassendsten und am weitesten anerkannten Rahmenwerk.

Richtig angewendet hilft GAMP-5 Herstellern, effizienter mit ihren Lieferanten zusammenzuarbeiten, verringert den Aufwand für Tests und Dokumentation, senkt Validierungs- und Compliance-Erhaltungskosten und bereitet Unternehmen gut auf behördliche Audits und Inspektionen vor.

Und mit der 2022 erschienenen zweiten Ausgabe, die moderne Realitäten wie Cloud-Computing, AI, Blockchain und Agile-Entwicklung anspricht, hält GAMP-5 mit der Art Schritt, wie Software heute tatsächlich entwickelt und eingesetzt wird — und bleibt damit so relevant wie eh und je.

Häufig gestellte Fragen (FAQs)

1. Was ist GAMP-5 und warum ist es in regulierten Branchen wichtig?

GAMP-5, oder Good Automated Manufacturing Practice (GAMP-5), ist eine weithin anerkannte Richtlinie, die Organisationen dabei unterstützt, computergestützte Systeme in regulierten Umgebungen zu verwalten und zu validieren. Sie bietet einen strukturierten, risikobasierten Ansatz, um sicherzustellen, dass Systeme für ihren beabsichtigten Einsatz geeignet sind. Obwohl es keine gesetzliche Anforderung ist, wird es von Regulierungsbehörden wie der U.S. Food and Drug Administration stark anerkannt. Dadurch ist es ein vertrauenswürdiges Rahmenwerk zur Aufrechterhaltung von Compliance, Datenintegrität und Produktqualität. Seine Bedeutung liegt darin, Unternehmen zu helfen, Compliance mit Effizienz und praktischer Umsetzung in Einklang zu bringen.

2. Wie unterstützt GAMP-5 die Validierung von Computersystemen (CSV)?

GAMP 5 unterstützt die Computer System Validation, indem es einen klaren und skalierbaren Rahmen für die Validierung von Systemen basierend auf deren Risiko und Komplexität bietet. Es hilft Organisationen, Anforderungen zu definieren, Risikoanalysen durchzuführen und geeignete Testaktivitäten umzusetzen. Anstatt auf jedes System dasselbe Validierungsniveau anzuwenden, fördert es die Konzentration auf kritische Funktionen, die Qualität und Sicherheit beeinflussen. Dieser Ansatz reduziert unnötige Arbeit und gewährleistet gleichzeitig die Einhaltung von Vorschriften. Dadurch können Unternehmen Validierungen effizienter durchführen, ohne regulatorische Erwartungen zu kompromittieren.

3. Was sind die wichtigsten Grundsätze von GAMP 5, denen Organisationen folgen sollten?

GAMP 5 basiert auf fünf zentralen Grundsätzen, die den Ansatz für Validierung und Systemmanagement leiten. Dazu gehören Produkt- und Prozessverständnis, Lebenszyklusmanagement, Skalierbarkeit, qualitatives Risikomanagement und die Nutzung von Aktivitäten des Lieferanten. Zusammen sorgen diese Grundsätze dafür, dass Validierungsbemühungen praxisnah, zielgerichtet und an den tatsächlichen geschäftlichen Anforderungen ausgerichtet sind. Sie fördern zudem kritisches Denken statt blindes Befolgen dokumentlastiger Prozesse. Durch die Anwendung dieser Grundsätze können Organisationen robustere, verlässlichere und konforme computergestützte Systeme aufbauen.