Validierung nach GAMP 5.
Die Validierung nach GAMP 5 folgt dem Lebenszyklusmodell: Der Nachweis wird über den gesamten Systemlebenszyklus geführt - von der Konzeptentscheidung bis zur Stilllegung - und endet nicht mit dem Validierungsbericht. GAMP 5 ist der maßgebliche ISPE-Leitfaden für GxP-Compliance und computergestützte Systeme - weltweit von Aufsichtsbehörden und Life-Science-Unternehmen als Referenz herangezogen. QFINITY war Teil des Kernteams der Revision zur Second Edition und bringt diese Expertise direkt in jedes Mandat ein.
Die Referenz für computergestützte Systeme.
Der GAMP 5 Guide bietet einen pragmatischen, praktischen Rahmen, mit dem konforme und für ihren Verwendungszweck geeignete computergestützte Systeme effizient entstehen. Sein flexibler, risikobasierter Ansatz auf Basis skalierbarer Spezifikation und Verifizierung hat sich für Systeme jeder Größe bewährt.
Die Second Edition (Juli 2022) behält Prinzipien und Rahmen der ersten Edition bei, wurde aber erweitert - für die wachsende Rolle von Dienstleistern, neue Ansätze in der Softwareentwicklung sowie den verbreiteten Einsatz von Cloud-Technologie, Software-Tools und Automatisierung.
Die Schwerpunkte der Second Edition.
Wie läuft eine Validierung nach GAMP 5?
Eine Validierung nach GAMP 5 folgt dem Lebenszyklusmodell des Leitfadens: vier Phasen von der Konzeptentscheidung bis zur Stilllegung; Umfang und Tiefe von Spezifikation und Verifizierung skalieren nach Risiko, Komplexität und Neuheit.
| Phase | Was geschieht |
|---|---|
| Konzept | Bedarf und Intended Use entstehen im Fachbereichs-Prozess; erste Risikobetrachtung und Grundsatzentscheidung über Lösungsweg und Lieferant. |
| Projekt | Planung, Spezifikation, Konfiguration bzw. Entwicklung, Verifizierung und Freigabe - risikobasiert skaliert; Lieferantenleistungen werden bewertet und genutzt statt wiederholt. |
| Betrieb | Die längste Phase: Änderungs- und Konfigurationsmanagement, periodische Bewertung sowie Vorfall- und CAPA-Prozesse halten den validierten Zustand aufrecht. |
| Stilllegung | Geordneter Rückzug: Datenmigration oder -archivierung nach Aufbewahrungspflichten - die Aufzeichnungen bleiben über die Systemlebensdauer hinaus lesbar und verfügbar. |
Und das V-Modell? Es ist ein Spezifikations-Verifikations-Modell: Es zeigt, welche Prüfung welcher Spezifikationsebene antwortet - mehr nicht. Es deckt genau eine Phase ab, das Projekt; Konzept, Betrieb und Stilllegung kommen darin nicht vor. Das V-Modell sitzt innerhalb des Lebenszyklus - es ist nicht der Lebenszyklus. Der Leitfaden selbst hat das früh nachvollzogen: Schon die First Edition (2008) nahm das klassische V-Diagramm zurück, die Second Edition führt die generische Spezifikations-Verifikations-Darstellung konsequent fort - zu oft war das V als lineares Wasserfall-Vorgehen fehlgelesen worden, und dieselbe Logik trägt auch iterative, agile Ansätze, nur inkrementell durchlaufen.
Was das System erzeugt, folgt dem ältesten Muster der IT: Eingabe - Verarbeitung - Ausgabe. Eine Funktion macht aus Eingangsdaten Ausgangsdaten; die Summe der Funktionen ist das System. Seine Ausgaben sind elektronische Aufzeichnungen und Signaturen - sie unterliegen 21 CFR Part 11 und Annex 11, und ihr regelkonformes Entstehen wird im validierten System mit nachgewiesen. Annex 11 gehört dem GMP-Regelwerk an - das Prinzip gilt im gesamten GxP-Spektrum, in der klinischen Forschung etwa über ICH E6(R3) und die EMA-Guideline computerised systems.
Der Risikoprozess hinter dem Nachweis.
Innerhalb der Phasen steuert das Qualitätsrisikomanagement, wofür Nachweise entstehen und wie tief sie gehen. Den systematischen Prozess dafür definiert ICH Q9 - GAMP 5 übersetzt ihn für computergestützte Systeme in fünf Stufen:
- 1
Initiale Risikobewertung
Erste Einschätzung des Systems im Prozesskontext: Welchen Einfluss hat es auf GxP-relevante Abläufe - und welchen Impact-Level hat das System insgesamt?
- 2
Relevante Funktionen identifizieren
Welche Funktionen berühren Patientensicherheit, Produktqualität oder Datenintegrität? Nur sie tragen das Risiko - und verdienen die Prüftiefe.
- 3
Funktionale Risikobewertung & Kontrollen
Je identifizierter Funktion: Fehlerszenarien identifizieren, bewerten und Kontrollmaßnahmen festlegen - technisch, prozessual oder organisatorisch.
- 4
Kontrollen umsetzen & verifizieren
Die Maßnahmen werden implementiert und nachvollziehbar verifiziert - rückverfolgbar bis zur Anforderung, die sie absichern.
- 5
Periodisch überprüfen
Risiken und Kontrollen werden im Betrieb regelmäßig bewertet - der validierte Zustand ist ein gepflegter Zustand, kein Archivdokument.
Software-Kategorien: Kontinuum, keine Checkliste.
Die GAMP-Kategorien ordnen Software nach ihrer Herkunft; dahinter stehen zwei kausale Größen: Neuheit und Komplexität. Je mehr Individualität das regulierte Unternehmen verlangt, je weiter es also vom Standard der Software abweicht, desto weniger trägt die bewertbare Vorleistung des Lieferanten - und desto größer wird der eigene Nachweisanteil.
| Kategorie | Was daraus folgt |
|---|---|
| 1 - Infrastruktur-SoftwareBetriebssysteme, Datenbanken, Middleware | Etabliert und breit im Einsatz - geringe Neuheit. Wird kontrolliert betrieben und qualifiziert, nicht einzeln validiert. |
| 3 - Standardproduktenicht konfiguriert, "wie gekauft" | Der Nachweis stützt sich auf bewertete Vorleistung: Lieferantenbewertung plus Verifizierung gegen die eigenen Anforderungen tragen ihn. |
| 4 - Konfigurierte ProdukteLIMS, MES, eQMS, ERP | Die Konfiguration ist der neue, unerprobte Teil - der Nachweis konzentriert sich auf sie und auf die Prozesse, die sie trägt. |
| 5 - IndividualentwicklungEigenentwicklung, Custom-Code | Maximale Neuheit, keine Vorleistung, auf die sich der Nachweis stützen könnte: Der volle Lebenszyklus-Nachweis von der Spezifikation bis zum Test liegt beim Betreiber und seinem Lieferanten. |
Die Second Edition stellt klar, was die Praxis oft verkürzt: Die Kategorien sind ein Kontinuum, kein Raster - reale Systeme mischen Komponenten mehrerer Kategorien, ein MES trägt Anteile von 3, 4 und 5 zugleich. Und die Kategorie ist nur ein Skalierungsfaktor neben GxP-Impact, Komplexität und Neuheit. Wer sie als Validierungs-Checkliste liest, validiert am Risiko vorbei. Die Verbreitung eines Produkts spielt dabei eine eigene Rolle: Je mehr Anwender eine Standardfunktion nutzen, desto mehr liegt dem Lieferanten selbst daran, diesen Standard zu härten - ein Fehler darin ist unmittelbar ein Reputationsschaden. In den Nachweis eingehen kann davon aber nur, was als bewertbare Vorleistung vorliegt. Richtig angewendet ist GAMP 5 damit ein Effizienzprogramm: prüfbare Anforderungen, risikobasierte Entscheidungen, genutzte Lieferanten-Vorleistung, effizientes Testen, Werkzeuge und Automatisierung - Validierung wird effektiv und effizient, weil der Aufwand dort landet, wo das Risiko ist.
Häufige Fragen zur Validierung nach GAMP 5.
Nein. Die Validierung selbst verlangen die Regularien - EU GMP Annex 11 und 21 CFR Part 11. GAMP 5 ist kein Regelwerk, sondern die etablierte Methodik der Industrie, diesen Nachweis risikobasiert zu führen. Die CSA-Guidance der FDA nennt in der geltenden Fassung (02/2026) die Second Edition als eine Orientierungsquelle für Testmethoden.
Risikobasiert statt schablonenhaft: Die Second Edition ermutigt neben skriptbasierten Tests ausdrücklich exploratives und ungeskriptetes Testen sowie Testautomatisierung - und lässt elektronische Aufzeichnungen aus Werkzeugen an die Stelle formaler Testdokumente treten. Maßstab ist die nachweisbare Abdeckung der risikorelevanten Anforderungen, nicht das Formular.
Ja - ausdrücklich seit der Second Edition: Sie bezieht die Regulierung der Medizinprodukte-Industrie ein und adressiert Produktions- und QMS-Systeme der Hersteller. Die erste Edition hatte eingebettete Medizinprodukte-Software noch ausgeschlossen.
Nein. Computer Software Assurance konkretisiert auf FDA-Seite das risikobasierte Testen von Produktions- und QMS-Software der Medizinproduktehersteller - was der risikobasierte Ansatz von GAMP 5 methodisch bereits angelegt hatte. Beachtung findet der Ansatz weit über diesen formalen Geltungsbereich hinaus. GAMP 5 liefert den Lebenszyklus, CSA schärft die Teststrategie: kein Ersatz, sondern zwei Perspektiven auf denselben Nachweis. Wie eng beide zusammenlaufen, zeigt der angekündigte GAMP Good Practice Guide "Testing of GxP Systems" (3rd Edition): unter Mitwirkung von Mitgliedern des FDA-CSA-Teams entstanden, bettet er die CSA-Denke nativ in die Testmethodik ein - skaliert nach Komplexität und Neuheit des Systems.
QFINITY im GAMP 5 Second Edition Kernteam.
Wir sind stolz, Teil des Kernteams gewesen zu sein und zu Erstellung und Review des Leitfadens beigetragen zu haben - als langjähriger aktiver Mitwirkender in der ISPE GAMP Community. Unsere Einordnung der Second Edition ist als Fachbeitrag in der Pharm. Ind. erschienen.
- Beitrag zu Erstellung und Review von GAMP 5 Second Edition
- Frank Henrichmann: Chair des GAMP Global Steering Committee
- Oliver Herrmann: GAMP Track Lead der ISPE Europe Annual Conference 2026
- Qualifizierte ISPE-GAMP-Trainer - ein kleiner Kreis weltweit
- Mitwirkung am GPG "Enabling Innovation", auf dem die Second Edition aufbaut
Der Leitfaden, auf den die FDA selbst verweist.
QFINITY präsentierte die Second Edition wenige Monate nach ihrem Erscheinen auf der 15. Offiziellen GAMP 5 Konferenz in Mannheim (2022) - und kennt die Prinzipien des Guides aus erster Hand. Und es ist der Leitfaden, auf den die FDA selbst verweist: 2003 nannte ihre Part-11-Guidance den GAMP 4 Guide als Industrie-Referenz für die Validierung; die CSA-Guidance ergänzte die Referenz auf die Second Edition bei den Testmethoden mit der Fassung 02/2026 - weder Entwurf noch Erstfassung enthielten sie.
Vom Leitfaden zur gelebten Praxis.
Sprechen wir über Ihre Validierung.
Wir übersetzen GAMP 5 Second Edition - risikobasierte CSV, Computer Software Assurance, KI/ML, Agile, Cloud/SaaS - in Ihre konkrete Validierungsstrategie. Erstgespräch kostenfrei, etwa 30 Minuten, direkt mit einem Mitwirkenden des Kernteams.
Erstgespräch vereinbaren
