IT-Lieferantenaudits im GxP-Umfeld.
Jeder Lieferant eines GxP-regulierten Systems gehört bewertet, aber nicht jeder braucht dieselbe Prüftiefe. Was ein Lieferant an Nachweis schuldet, ergibt sich aus seinem Risiko für Patientensicherheit, Produktqualität und Datenintegrität.
Lieferanten qualifizieren, Risiken minimieren.
Ein Lieferantenaudit macht sichtbar, was Sie sonst glauben müssten: wie der Lieferant entwickelt, wie er Qualität sichert, ob er Änderungen im Griff hat und ob er Sie im Betrieb trägt. Was er dabei belegt, können Sie nutzen. Was er nicht belegen kann, müssen Sie selbst abfangen.
Ihre Verantwortung endet nicht an der Unternehmensgrenze. Auch was ein Lieferant beisteuert, muss den GxP-Anforderungen genügen, und den Nachweis dafür müssen Sie erbringen. Ein risikobasiertes Auditprogramm verzahnt deshalb Lieferantenbewertung, Audit- und Inspektionsunterstützung sowie die konforme Nutzung von Cloud-Diensten.
Jeder Lieferant wird bewertet. Nicht jeder wird auditiert.
Die Bewertung ist die Kette. Das Audit ist ein Glied darin, kein Synonym. Am Anfang steht deshalb nicht der Fragebogen, sondern eine Risikoentscheidung: welche Form der Bewertung dieser Lieferant braucht. Bei einem verbreiteten Standardsystem mit geringem Risiko können die Informationen aus dem Markt und die Auskünfte tragen, die der Anbieter im Beschaffungsprozess ohnehin gibt, etwa in der Informationsanfrage (RfI) und der Angebotsaufforderung (RfP). Dann wird bewertet, ohne zu auditieren. Das Ergebnis wird in einem Bewertungsdokument mit begründeter Entscheidung festgehalten.
Trägt diese Grundlage nicht, eskaliert die Form: postalisch, remote, vor Ort. Dieselbe Logik trägt die FDA-Guidance Computer Software Assurance: Nachweistiefe folgt dem Risiko.
| Aspekt | Basisbewertung | Postalisches Audit | Remote-Audit | Vor-Ort-Audit |
|---|---|---|---|---|
| Form | Marktinformationen und Anbieterauskünfte aus RfI/RfP, zusammengefasst im Bewertungsdokument mit Rationale | Fragebögen, Selbstauskunft | begleitete Prüfung per Video und Bildschirmübertragung | Inspektion am Standort des Lieferanten |
| Risikoeinstufung | Standardsystem, geringes Risiko | geringe Kritikalität | mittlere Kritikalität | hohe Kritikalität |
| QS-System | indirekt, aus vorhandenen Quellen | dokumentenbasiert | live, aber distanziert | vollständig, inkl. Prozesse vor Ort |
| Entwicklung | keine eigene Prüfung bei begründetem Verzicht | auf Basis eingereichter Nachweise | stichprobenartig live | tiefgehend, inkl. SDLC-Evidenz |
| Typischer Einsatz | etabliertes Standardprodukt ohne direkten Patientenbezug | Erstbewertung, Neubewertung | kritische Lieferanten ohne Reisebedarf | Dienstleister hoher Kritikalität, Mock-Audits |
Der Qualifizierungs- und Audit-Lebenszyklus.
Lieferantenqualifizierung ist kein einmaliger Akt, sondern ein dokumentierter, risikobasierter Zyklus, der von der Definition der Prozesse bis zur kontinuierlichen Nachverfolgung reicht.
- 1
Prozesse & Rollen definieren
Festlegung der Qualifizierungsprozesse inklusive Rollen und Verantwortlichkeiten sowie der Standards für Bewertung und kontinuierliches Lieferantenmanagement, in denen regulatorische und sicherheitsrelevante Anforderungen enthalten sind.
- 2
Risikobasierte Bewertung
Bewertung der Qualitätssicherungssysteme, Entwicklungsprozesse und Support-Fähigkeit des Lieferanten. Die Kritikalität bestimmt die Audit-Tiefe (postalisch, remote oder vor Ort).
- 3
Audit planen & durchführen
Planung, Durchführung und Nachverfolgung der Qualifizierungsmaßnahmen, das heißt der Audits von Technologie- und Dienstleistungspartnern in der dem Risiko angemessenen Form.
- 4
SDLC-Evidenz wiederverwenden
Ein robuster Software Development Life Cycle des Lieferanten liefert Daten und Dokumentation, die sich in der nachfolgenden Implementierung und Validierung wiederverwenden lassen.
- 5
Audit- & Inspektionssupport
Definition von Prozessen für Audit- und Inspektionssupport sowie Durchführung von Mock-Audits zur gezielten Vorbereitung auf Audits und Inspektionen.
- 6
Kontinuierliches Management
Laufende Nachverfolgung und periodische Neubewertung der Lieferanten sowie die konforme Nutzung von Cloud-Diensten über den gesamten Lebenszyklus, von der Plattform (IaaS/PaaS) bis zur Business-Applikation als Dienst (SaaS).
Eine Checkliste abzuarbeiten ist noch keine Bewertung.
Der GAMP-Leitfaden zur Lieferantenbewertung ist an einer Stelle ungewöhnlich deutlich: Seine Beispiel-Fragenkataloge sind ausdrücklich nur als Orientierung gedacht und an den jeweiligen Lieferanten anzupassen. Kritisches Denken ist vor und während der Bewertung anzuwenden, statt eine Checkliste blind abzuarbeiten. Genau daran entscheidet sich, ob ein Audit trägt: Nicht die Zahl der Fragen zählt, sondern ob jemand versteht, was die Antworten bedeuten.
Deshalb sitzen bei uns Auditoren im Raum, die das System kennen, das sie bewerten, statt Fragebögen abzuarbeiten.
Ihr IT-Lieferantenaudit, gezielt unterstützt.
Über die reine Bewertung hinaus begleiten wir den gesamten Qualifizierungs- und Auditzyklus von der Prozessdefinition bis zur spezialisierten GxP-Schulung. Auch als Lieferant können Sie dieses Format nutzen, als vorbereitendes Audit, bevor Ihre Kunden prüfen, etwa gegen die Anforderungen an elektronische Aufzeichnungen und Signaturen.
Audits brauchen den Validierungsrahmen.
Ihr risikobasiertes Auditprogramm, sauber aufgesetzt.
Wir priorisieren Ihre IT-Lieferanten nach Kritikalität und legen je Lieferant die passende Auditform und Prüftiefe fest, ob postalisch, remote oder vor Ort. Startpunkt ist ein kostenfreies Erstgespräch (etwa 30 Minuten), in dem wir Ihren Lieferantenbestand und den Audit-Bedarf einordnen.
Erstgespräch vereinbaren
