IT-Lieferantenaudits im GxP-Umfeld.
Jeder Lieferant eines GxP-regulierten Systems gehört bewertet - aber nicht jeder braucht dieselbe Prüftiefe: Was ein Lieferant an Nachweis schuldet, ergibt sich aus seinem Risiko für Patientensicherheit, Produktqualität und Datenintegrität.
Lieferanten qualifizieren, Risiken minimieren.
Ein Lieferantenaudit macht sichtbar, was Sie sonst glauben müssten: wie der Lieferant entwickelt, wie er Qualität sichert, ob er Änderungen im Griff hat und ob er Sie im Betrieb trägt. Was er dabei belegt, können Sie nutzen - was er nicht belegen kann, müssen Sie selbst abfangen.
Ihre Verantwortung endet nicht an der Unternehmensgrenze. Auch was ein Lieferant beisteuert, muss den GxP-Anforderungen genügen - nachweisen müssen Sie es. Ein risikobasiertes Auditprogramm verzahnt deshalb Lieferantenbewertung, Audit- und Inspektionsunterstützung sowie die konforme Nutzung von Cloud-Diensten.
Jeder Lieferant wird bewertet. Nicht jeder wird auditiert.
Die Bewertung ist die Kette - das Audit ist ein Glied darin, kein Synonym. Am Anfang steht deshalb nicht der Fragebogen, sondern eine Risikoentscheidung: welche Form der Bewertung dieser Lieferant braucht. Bei einem verbreiteten Standardsystem mit geringem Risiko können die Informationen aus dem Markt und die Auskünfte tragen, die der Anbieter im Beschaffungsprozess ohnehin gibt - in der Informationsanfrage (RfI) und der Angebotsaufforderung (RfP). Dann wird bewertet, ohne zu auditieren - und das Ergebnis in einem Bewertungsdokument mit begründeter Entscheidung festgehalten.
Trägt diese Grundlage nicht, eskaliert die Form: postalisch, remote, vor Ort. Dieselbe Logik trägt die FDA-Guidance Computer Software Assurance: Nachweistiefe folgt dem Risiko.
| Aspekt | Basisbewertung | Postalisches Audit | Remote-Audit | Vor-Ort-Audit |
|---|---|---|---|---|
| Form | Marktinformationen und Anbieterauskünfte aus RfI/RfP, zusammengefasst im Bewertungsdokument mit Rationale | Fragebögen, Selbstauskunft | begleitete Prüfung per Video und Bildschirmübertragung | Inspektion am Standort des Lieferanten |
| Risikoeinstufung | Standardsystem, geringes Risiko | geringe Kritikalität | mittlere Kritikalität | hohe Kritikalität |
| QS-System | indirekt, aus vorhandenen Quellen | dokumentenbasiert | live, aber distanziert | vollständig, inkl. Prozesse vor Ort |
| Entwicklung | keine eigene - Verzicht wird begründet | auf Basis eingereichter Nachweise | stichprobenartig live | tiefgehend, inkl. SDLC-Evidenz |
| Typischer Einsatz | etabliertes Standardprodukt ohne direkten Patientenbezug | Erstbewertung, Neubewertung | kritische Lieferanten ohne Reisebedarf | Dienstleister hoher Kritikalität, Mock-Audits |
Der Qualifizierungs- und Audit-Lebenszyklus.
Lieferantenqualifizierung ist kein einmaliger Akt, sondern ein dokumentierter, risikobasierter Zyklus - von der Definition der Prozesse bis zur kontinuierlichen Nachverfolgung.
- 1
Prozesse & Rollen definieren
Festlegung der Qualifizierungsprozesse inklusive Rollen und Verantwortlichkeiten sowie der Standards für Bewertung und kontinuierliches Lieferantenmanagement - inkl. regulatorischer und sicherheitsrelevanter Anforderungen.
- 2
Risikobasierte Bewertung
Bewertung der Qualitätssicherungssysteme, Entwicklungsprozesse und Support-Fähigkeit des Lieferanten - die Kritikalität bestimmt die Audit-Tiefe (postalisch, remote oder vor Ort).
- 3
Audit planen & durchführen
Planung, Durchführung und Nachverfolgung der Qualifizierungsmaßnahmen - Audits von Technologie- und Dienstleistungspartnern in der dem Risiko angemessenen Form.
- 4
SDLC-Evidenz wiederverwenden
Ein robuster Software Development Lifecycle des Lieferanten liefert Daten und Dokumentation, die sich in der nachfolgenden Implementierung und Validierung wiederverwenden lassen.
- 5
Audit- & Inspektionssupport
Definition von Prozessen für Audit- und Inspektionssupport sowie Durchführung von Mock-Audits zur gezielten Vorbereitung auf Audits und Inspektionen.
- 6
Kontinuierliches Management
Laufende Nachverfolgung und periodische Neubewertung der Lieferanten sowie die konforme Nutzung von Cloud-Diensten über den gesamten Lebenszyklus - von der Plattform (IaaS/PaaS) bis zur Business-Applikation als Dienst (SaaS).
Eine Checkliste abzuarbeiten ist noch keine Bewertung.
Der GAMP-Leitfaden zur Lieferantenbewertung ist an einer Stelle ungewöhnlich deutlich: Seine Beispiel-Fragenkataloge sind ausdrücklich nur als Orientierung gedacht, anzupassen an den jeweiligen Lieferanten - und kritisches Denken ist vor und während der Bewertung anzuwenden, statt eine Checkliste blind abzuarbeiten. Genau daran entscheidet sich, ob ein Audit trägt: Nicht die Zahl der Fragen zählt, sondern ob jemand versteht, was die Antworten bedeuten.
Deshalb sitzen bei uns Auditoren im Raum, die das System kennen, das sie bewerten - keine Fragebogen-Abarbeiter.
Ihr IT-Lieferantenaudit - gezielt unterstützt.
Über die reine Bewertung hinaus begleiten wir den gesamten Qualifizierungs- und Auditzyklus - von der Prozessdefinition bis zum spezialisierten GxP-Training. Auch als Lieferant können Sie dieses Format nutzen: als vorbereitendes Audit, bevor Ihre Kunden prüfen - etwa gegen die Anforderungen an elektronische Aufzeichnungen und Signaturen.
Audits brauchen den Validierungsrahmen.
Ihr risikobasiertes Auditprogramm, sauber aufgesetzt.
Wir priorisieren Ihre IT-Lieferanten nach Kritikalität und legen je Lieferant die passende Audit-Tiefe fest - postalisch, remote oder vor Ort. Startpunkt ist ein kostenfreies Erstgespräch (etwa 30 Minuten), in dem wir Ihren Lieferantenbestand und den Audit-Bedarf einordnen.
Erstgespräch vereinbaren
