GxP-Audit & Lieferantenbewertung - Sicherheit durch unabhängige Prüfung.
Ein Audit zeigt Ihnen, worauf Sie bauen können - und macht die Dokumentation Ihres Lieferanten zu einem Teil Ihrer Nachweiskette statt zu einem zweiten Stapel Arbeit. Bewertet wird jeder Lieferant - wie tief, entscheidet das Risiko: Beim Standardsystem kann eine begründete Bewertung ohne Audit genügen, beim kritischen Partner ist ein Auditor bis zu einer Woche vor Ort.
Vertrauen auf belastbarer Grundlage.
In Qualifizierung und Validierung stützen Sie sich auf Aktivitäten und Dokumente Ihrer Lieferanten. Damit dieses Vertrauen trägt, braucht es drei Dinge - fehlt eines, trägt das Ergebnis nicht.
Objektive Nachweise
Belegte Fakten statt Selbstauskunft. Was niemand zeigen kann, zählt nicht.
Dokumentiert
Prüfbar statt erinnert - auch noch in der Inspektion in zwei Jahren.
Auditkriterien
Der Maßstab steht vorher fest. Wer erst hinterher misst, misst sich selbst.
Ein Audit dient dem Aufbau von Vertrauen. Es schafft die Grundlage, auf der Sie der Arbeit Ihres Lieferanten vertrauen können - initial bei der Auswahl, kontinuierlich im Betrieb. Stützt sich dieses Vertrauen auf dokumentierte Nachweise, wird die Lieferantendokumentation Teil Ihrer Nachweiskette, statt dass die vollständige Dokumentation neu erstellt werden muss. Bei nachweislich guten Lieferanten senkt das Ihren Aufwand - nicht, weil weniger nachgewiesen würde, sondern weil die vorhandenen Nachweise verwendet werden dürfen. Annex 11 nennt Kompetenz und Zuverlässigkeit des Lieferanten als Schlüsselfaktoren bei der Auswahl - und macht den Auditbedarf von einer Risikobewertung abhängig.
Nach welchem Verfahren wird auditiert?
Die Regularien sagen, dass auditiert wird. Wie ein Audit abzulaufen hat, sagen sie so gut wie nicht - das Verfahren muss jemand mitbringen. Dafür gibt es drei legitime Antworten, und welche gilt, bestimmen Sie:
Sechs Phasen von der Initiierung zur Nachverfolgung.
Jede Phase erzeugt nachvollziehbare Auditnachweise. Der Ablauf gilt unabhängig vom Auditmodus - postalisch, remote oder vor Ort:
- 1
Initiierung
Auditteam benennen, Kontakt zur auditierten Organisation herstellen - und die Machbarkeit prüfen: Eine frische Übernahme, abgewanderte Schlüsselpersonen oder eine laufende Behördeninspektion können ein Audit wertlos machen. Dann wird verschoben, nicht durchgezogen.
- 2
Vorbereitung
Einschätzung der Prozess- und Systemlandschaft - etwa über SOP- und Systemliste - nicht um Konformität festzustellen, sondern um Umfang und Aufwand zu bestimmen. Es entstehen die Auditagenda (vom Auftraggeber freizugeben) und die Arbeitsdokumente: Checklisten, Stichprobenplan, Dokumentenlog.
- 3
Durchführung
Eröffnungsgespräch, Interviews, Dokumenteneinsicht, Beobachtung vor Ort. Nur verifizierbare Information wird als Auditnachweis akzeptiert. Zum Eröffnungsgespräch erwarten wir die Geschäftsführung - die für das ganze Unternehmen sprechen kann, nicht nur für eine Abteilung.
- 4
Mängel & Bewertung
Nachweise werden gegen die Auditkriterien ausgewertet und eingestuft: kritisch, schwerwiegend, sonstige. Eine Pflicht zur Einstufung gibt es nicht - wir stufen trotzdem ein, und zwar in dem Raster, in dem ein Inspektor Ihre Mängel sehen würde: abgeleitet aus der Verfahrensanweisung "Inspektionsbericht GCP" der deutschen GCP-Inspektorate (ZLG) und dem Community-Format des EU GMP Inspektionsberichts. Abweichende Auffassungen werden vor dem Bericht ausgeräumt, nicht in ihn hineingetragen.
- 5
Bericht & Abschluss
Der Bericht hält fest, inwieweit die Kriterien erfüllt sind - belegt, eingestuft, nachvollziehbar. Dazu Stellungnahme der auditierten Organisation und auf Wunsch ein Auditzertifikat.
- 6
CAPA & Nachverfolgung
Korrigierende und vorbeugende Maßnahmen ableiten, Wirksamkeit nachhalten, bei Bedarf ein Folgeaudit ansetzen - damit aus einem Mangel eine geschlossene Schleife wird und nicht eine Zeile im nächsten Inspektionsbericht.
Ein Audit ist so gut wie der Mensch, der es führt.
Nicht ohne Grund widmet ISO 19011 der Kompetenz der Auditoren ein eigenes Kapitel: Fachwissen allein macht keinen Auditor. Was noch wichtig ist, legt unser Prozess fest:
Weiterbildung wird nachgewiesen, nicht behauptet: Wir bilden intern aus, begleiten mit Mentoring und schicken zu externen Trainings - und halten die Lebensläufe unserer Auditoren aktuell, damit Sie sehen, wer bei Ihnen prüft.
Von Mock Audits bis zum KI-Anbieter.
Über einhundert Audits haben wir geführt - vom Mock Audit bis zum KI-Anbieter. Bewertet wird jeder Lieferant - auditiert nicht jeder. Die Bewertung ist die Kette, das Audit ein Glied darin. Bei einem verbreiteten Standardsystem mit geringem Risiko können Marktinformationen und die Auskünfte aus dem Beschaffungsprozess (RfI/RfP) ausreichen, festgehalten in einem Bewertungsdokument mit begründeter Entscheidung. Trägt das nicht, eskaliert die Form: postalisch, remote, vor Ort. Für IT- und Software-Lieferanten führen wir das auf der Seite IT-Lieferantenaudits im GxP-Umfeld vertieft aus.
Zertifikate sind notwendig. Hinreichend sind sie nicht.
Zertifikate und Prüfberichte belegen, was geprüft wurde - ein SOC-2-Bericht etwa Sicherheit, Änderungs- und Zugriffskontrollen. Für Infrastruktur mag das genügen; die GxP-spezifischen Nachweise einer Anwendung - Spezifikation, Verifizierung, Betrieb - liegen außerhalb seiner Prüfkriterien, und die Verantwortung bleibt bei Ihnen. Welche Lücken dann bleiben, wissen wir aus erster Hand: Beim ISPE AI in Life Sciences Summit 2026 in Boston hat QFINITY den Workshop zur Zusammenarbeit mit KI-Anbietern geleitet - regulierte Unternehmen und Anbieter haben die typischen Lücken dort gemeinsam bewertet: Dealbreaker, behebbar oder vertretbares Risiko. Vier davon bleiben unsichtbar, bis jemand den Nachweis sehen will:
Prüfung wirkt im Zusammenspiel.
Mängel vermeiden, bevor die Inspektion kommt.
Wir setzen Ihr Audit auf - einzeln oder als Programm, nach Ihrem Verfahren oder unserem. Im Erstgespräch klären wir Umfang, Auditkriterien und Modus: postalisch, remote oder vor Ort.
Erstgespräch vereinbaren
