GxP-Audit & Lieferantenbewertung - Sicherheit durch unabhängige Prüfung.
Ein Audit zeigt Ihnen, worauf Sie bauen können, und macht die Dokumentation Ihres Lieferanten zu einem Teil Ihrer Nachweiskette statt zu einem zweiten Stapel Arbeit. Jeder Lieferant wird bewertet. Die Prüftiefe richtet sich nach dem Risiko: Bei einem Standardsystem kann eine begründete Bewertung ohne Audit genügen, bei einem kritischen Partner ist ein Auditor bis zu einer Woche vor Ort.
Vertrauen auf geprüfter Grundlage.
Ein GxP-Audit ist die unabhängige Prüfung, ob ein Lieferant, ein Prozess oder ein computergestütztes System die vorab festgelegten Auditkriterien erfüllt. Grundlage der Beurteilung sind objektive Nachweise. In Qualifizierung und Validierung vertrauen Sie auf Aktivitäten und Dokumente Ihrer Lieferanten. Dieses Vertrauen setzt drei Dinge voraus. Fehlt eines davon, trägt das Ergebnis nicht.
Objektive Nachweise
Belegte Fakten. Eine Selbstauskunft des Lieferanten ist kein Nachweis.
Dokumentiert
Schriftlich festgehalten, damit der Nachweis auch in einer Inspektion in zwei Jahren prüfbar ist.
Auditkriterien
Der Maßstab steht vorher fest. Wer ihn erst nach der Prüfung festlegt, misst seine eigenen Erwartungen, nicht den Lieferanten.
Gebraucht wird dieses Vertrauen initial bei der Auswahl und kontinuierlich im Betrieb. Ruht es auf dokumentierten Nachweisen, wird die Lieferantendokumentation Teil Ihrer Nachweiskette. Sie erstellen diese Nachweise nicht neu, sondern verweisen darauf, und bei nachweislich guten Lieferanten senkt das Ihren Aufwand. Die Anforderung an den Nachweis sinkt dabei nicht. Er wird nur nicht zweimal erbracht. EU GMP Annex 11 macht den Auditbedarf ausdrücklich von einer Risikobewertung abhängig.
Nach welchem Verfahren wird auditiert?
Als Auftraggeber legen Sie fest, nach welchem Verfahren auditiert wird: nach der Audit-SOP von QFINITY, nach Ihrer eigenen SOP oder nach einem Verfahren, das wir für Sie aufsetzen. Die Regelwerke verlangen die Bewertung, sagen zum Ablauf eines Audits aber kaum etwas. EU GMP Annex 11 knüpft die Auswahl eines Lieferanten an dessen Kompetenz und Zuverlässigkeit. ICH Q10 beschreibt die Überwachung ausgelagerter Tätigkeiten als Aufgabe des pharmazeutischen Qualitätssystems. Die Methodik liefert ISO 19011, der internationale Leitfaden für das Auditieren von Managementsystemen, aktuelle Ausgabe 2018. Er beschreibt Auditprinzipien, Auditprogramm und die Durchführung einzelner Audits, schreibt aber kein Verfahren vor. Diese Lücke schließt das Verfahren des Auftraggebers. Alle drei Verfahrenswege führen zu demselben Ergebnis, einem Bericht, der Mängel ausweist, belegt und den Auditkriterien zuordnet. Er fügt sich in Ihr Qualitätsmanagementsystem ein. So unterscheiden sich die drei Wege:
Wie läuft ein GxP-Audit ab?
Ein GxP-Audit läuft in sechs Phasen ab: Initiierung, Vorbereitung, Durchführung, Bewertung der Mängel, Bericht und Abschluss sowie Nachverfolgung der Maßnahmen. Die Abfolge orientiert sich an ISO 19011 und gilt für jeden Auditmodus, vom postalischen Audit bis zum Vor-Ort-Audit. Der Leitfaden beschreibt diesen Ablauf in seinen Grundzügen. Unsere Audit-SOP setzt diesen Ablauf verbindlich um. Jede Phase erzeugt nachvollziehbare Auditdokumente, von den Arbeitsdokumenten über die Auditagenda bis zum Bericht. Zwischen Vorbereitung und Durchführung liegt die Freigabe der Auditagenda durch Sie als Auftraggeber, zwischen Bericht und Nachverfolgung die Stellungnahme der auditierten Organisation. Wie lange ein Audit dauert, richtet sich in der Praxis nach Risiko und Umfang. Ein postalisches Audit braucht Stunden, ein Vor-Ort-Audit bis zu einer Woche. Am Ende steht ein Bericht mit den Mängeln, eingestuft in dem Raster, das auch ein Behördeninspektor nutzt. Die sechs Phasen im Einzelnen:
- 1
Initiierung
Auditteam benennen, Kontakt zur auditierten Organisation herstellen und die Machbarkeit prüfen. Eine kürzlich erfolgte Übernahme, abgewanderte Schlüsselpersonen oder eine laufende Behördeninspektion können ein Audit wertlos machen. In diesem Fall setzen wir das Audit neu an.
- 2
Vorbereitung
Einschätzung der Prozess- und Systemlandschaft, etwa anhand der SOP- und Systemliste, um Umfang und Aufwand zu bestimmen, nicht um Konformität festzustellen. Daraus entstehen die vom Auftraggeber freizugebende Auditagenda und die Arbeitsdokumente: Checklisten, Stichprobenplan und Dokumentenlog.
- 3
Durchführung
Eröffnungsgespräch, Interviews, Dokumenteneinsicht, Beobachtung vor Ort. Nur verifizierbare Informationen werden als Auditnachweis akzeptiert. Zum Eröffnungsgespräch erwarten wir die Geschäftsführung, weil sie für das ganze Unternehmen sprechen kann und nicht nur für eine Abteilung.
- 4
Mängel & Bewertung
Die Nachweise werten wir anhand der Auditkriterien aus. Die daraus abgeleiteten Mängel stufen wir ein: kritisch, schwerwiegend, sonstige. ISO 19011 verlangt keine Einstufung nach Schwere. Wir nehmen sie dennoch vor, in dem Raster, das auch ein Inspektor nutzt. Es ist abgeleitet aus der Verfahrensanweisung "Inspektionsbericht GCP" der ZLG für die deutschen GCP-Inspektorate und dem Community-Format des EU GMP Inspektionsberichts. Abweichende Auffassungen klären wir vor dem Bericht.
- 5
Bericht & Abschluss
Der Bericht hält fest, welche Kriterien erfüllt sind und welche nicht. Jeder Mangel ist darin belegt und eingestuft. Dazu kommen die Stellungnahme der auditierten Organisation und auf Wunsch ein Auditzertifikat.
- 6
CAPA & Nachverfolgung
Korrigierende und vorbeugende Maßnahmen ableiten, ihre Wirksamkeit nachhalten und bei Bedarf ein Folgeaudit ansetzen. So wird jeder Mangel zu Ende bearbeitet und erscheint nicht als offene Zeile im nächsten Inspektionsbericht.
Ein Audit ist so gut wie der Mensch, der es führt.
ISO 19011 widmet der Kompetenz der Auditoren ein eigenes Kapitel: fachliches Wissen aus der Disziplin, Auditmethodik und persönliches Verhalten, nachgewiesen durch Ausbildung, Berufserfahrung, Auditorenschulung und Auditerfahrung. Wie wir das sicherstellen, legt unser Prozess fest:
Unsere Auditoren bilden wir intern aus, begleiten sie mit Mentoring und melden sie zu externen Trainings an. Die Weiterbildung weisen wir nach, und die Lebensläufe halten wir aktuell, damit Sie sehen, wer bei Ihnen prüft.
Von Mock Audits bis zum KI-Anbieter.
Über einhundert Audits haben wir geführt, bei Herstellern, Dienstleistern und Software-Anbietern. Nicht jede Bewertung mündet in ein Audit. Wo das Risiko gering ist, reichen Marktinformationen und die Auskünfte aus dem Beschaffungsprozess (RfI/RfP). Die begründete Entscheidung wird in einem Bewertungsdokument festgehalten. Wie wir IT- und Software-Lieferanten bewerten, steht ausführlich auf der Seite IT-Lieferantenaudits im GxP-Umfeld.
Zertifikate sind notwendig. Hinreichend sind sie nicht.
Zertifikate und Prüfberichte belegen, was geprüft wurde. Ein SOC-2-Bericht deckt etwa Sicherheit sowie Änderungs- und Zugriffskontrollen ab und mag für die Infrastruktur genügen. Die GxP-spezifischen Nachweise einer Anwendung zu Spezifikation, Verifizierung und Betrieb liegen jedoch außerhalb der Prüfkriterien eines solchen Berichts. Die Verantwortung bleibt bei Ihnen. Welche Lücken dann offen sind, wissen wir aus erster Hand. Beim ISPE AI in Life Sciences Summit 2026 in Boston gehörte Frank Henrichmann für QFINITY zum Kernteam des GAMP-Workshops zur Zusammenarbeit mit KI-Anbietern. Regulierte Unternehmen und Anbieter haben die typischen Lücken dort gemeinsam bewertet, als Ausschlusskriterium, als behebbaren Punkt oder als vertretbares Risiko. Vier davon bleiben unsichtbar, bis jemand den Nachweis sehen will:
Stand:
Prüfung wirkt im Zusammenspiel.
Mängel vermeiden, bevor die Inspektion kommt.
Wir führen einzelne Audits durch und setzen ganze Auditprogramme auf, nach Ihrem oder unserem Verfahren. Im Erstgespräch klären wir Umfang, Auditkriterien und Modus: postalisch, remote oder vor Ort.
Erstgespräch vereinbaren
