Standortbestimmung und RoadmapChapter 4, Annex 11 & 22
Die Standortbestimmung ist ein Gap Assessment Ihrer Kontrollarchitektur am Maßstab der drei Entwürfe zum EU GMP Guide (EudraLex Volume 4), gelesen mit der geltenden Good Practice. Wie gut Sie beim Inkrafttreten vorbereitet sind, entscheidet sich heute, denn von der Veröffentlichung bis dahin bleiben erfahrungsgemäß nur Monate.
Vier Lieferobjekte am Ende der Standortbestimmung.
Die vier Ergebnisse bauen aufeinander auf. Jedes gebuchte Modul steuert seine Kontroll-Landkarte und seine Befunde bei.
- 1Kontroll-Landkarte
Ihre Kontrollen je Modul mit Lücken und Prioritäten gegenüber Entwurf und geltender Good Practice.
- 2Priorisierte Lückenliste
Jede Lücke nach Risiko und Aufwand geordnet, strittige Konsultationspunkte markiert.
- 3Roadmap bis zum Inkrafttreten
Schritte, Reihenfolge und Terminfenster. Ihr Team setzt sie um, auf Wunsch begleiten wir.
- 4Management-Briefing
Der Stand in einer Sitzung: was sich ändert, wo Sie stehen, was zuerst ansteht.
Die Kontroll-Landkarte.
Die Kontroll-Landkarte ist ein Blatt je Modul. Jede Kontrolle des Rahmenwerks steht darauf mit ihrem Stand, jede Lücke mit ihrer Priorität. Mit diesem Blatt beginnt das Management-Briefing.
Drei Module, einzeln oder als Paket.
Sie wählen die passenden Module. Der Punkt-für-Punkt-Abgleich ist die Grundlage, der Schwerpunkt liegt auf der Einordnung. Wir klären, welche Erwartung und welche Absicht hinter einer Anforderung stehen, welche Aspekte für Sie wesentlich sind und wie Sie diese in Ihren Prozessen und Systemen umsetzen können. Diese Einordnung stützt sich auf Kundenprojekte und auf unsere Arbeit in den GAMP-Gremien der ISPE.
- Rahmenwerk der Data Governance und Verantwortung im Datenlebenszyklus
- Datenkritikalität und Datenrisiko als Maßstab, ALCOA++
- Play-Through an zwei bis drei kritischen Aufzeichnungsketten
- Kontroll-Landkarte des Rahmenwerks mit Lücken und Prioritäten
- Befund zu jeder untersuchten Aufzeichnungskette
- Prozessrahmenwerk für Validierung, Änderungen, Zugriffsrechte und Audit Trails
- Security, Periodic Review und Lieferantensteuerung
- Play-Through an zwei bis drei ausgewählten Systemen
- Kontroll-Landkarte des Rahmenwerks, Befund zu jedem untersuchten System
- Maßnahmenplan zur Stärkung Ihrer Systemkontrollen, einschließlich des erweiterten Periodic Review
- Inventar Ihrer KI-Modelle und Einstufung ihres Einsatzes als kritisch oder nicht kritisch
- Intended Use, Akzeptanzkriterien, Testdaten, Human-in-the-Loop (HITL) und Monitoring
- Play-Through an ausgewählten Modellen, auch an generativer KI außerhalb kritischer Anwendungen
- Kontroll-Landkarte für die Governance Ihrer KI-Modelle
- Einstufung je Anwendung, Befund zu jedem untersuchten Modell
Je Modul bewerten wir Ihr Prozessrahmenwerk und spielen es an ausgewählten Beispielen durch. Die Beispiele stehen für Ihre Systemlandschaft.
Für Sponsoren und CROs führen wir dieselbe Standortbestimmung anhand von ICH E6(R3) samt Annex 2 durch, der in der EU am 15. Januar 2027 wirksam wird. Zweiter Maßstab neben ICH E6(R3) ist die EMA-Guideline von 2023 zu computergestützten Systemen und elektronischen Daten in klinischen Prüfungen. Den fachlichen Rahmen beschreibt unsere Seite zur Datenintegrität GCP-relevanter Systeme.
Wohin die drei Entwürfe zeigen.
Im Juli 2025 stellte die Europäische Kommission Chapter 4, die Annex-11-Revision und den neuen Annex 22 zur Konsultation. Die drei Texte greifen ineinander, keiner ist final. Deshalb lesen wir die Entwürfe im Licht der geltenden Good Practice: Annex 11 von 2011, PIC/S PI 041, GAMP 5 2nd Edition und der ISPE GAMP Guide zu künstlicher Intelligenz. So ordnen wir ein, wie die finalen Fassungen voraussichtlich ausfallen.
Laut dem Arbeitsplan 2026 bis 2028 der GMP/GDP Inspectors Working Group der EMA sollen die finalen Texte zu Chapter 4, Annex 11 und Annex 22 bis Ende 2026 an die Europäische Kommission gehen. Danach folgt eine Übergangsfrist, die bei den Anhängen des EU GMP Guide bisher kurz war: Der geltende Annex 11 trat am 30. Juni 2011 in Kraft, wenige Monate nach seiner Veröffentlichung. Annex 15 folgte 2015 demselben Muster. Wer erst nach der Veröffentlichung der finalen Texte beginnt, muss Bestandsaufnahme, Bewertung und Umsetzung neben dem Tagesgeschäft innerhalb dieser Frist abschließen.
So läuft die Standortbestimmung ab.
In fünf Schritten erarbeiten wir mit Ihnen die Roadmap. Wir bringen Methode und Lesart der Entwürfe ein, die Bewertung nimmt Ihr Kernteam gemeinsam mit uns vor.
- 1
Erstgespräch
Das Erstgespräch dauert etwa 30 Minuten. Sie schildern Systemlandschaft, Datenflüsse und KI-Vorhaben. Innerhalb von zwei Werktagen erhalten Sie einen Modulvorschlag mit Umfangsschätzung und Terminfenster.
- 2
Rahmenwerk und Beispiele
Mit einem kleinen Kernteam aus QA, IT und einem Prozessverantwortlichen erfassen wir Ihr Prozessrahmenwerk und wählen die Beispiele aus: Aufzeichnungsketten, Systeme und Modelle, geordnet nach dem Risiko für Patientensicherheit, Produktqualität und Datenintegrität.
- 3
Gap Assessment je Modul
Abschnitt für Abschnitt prüfen wir Ihr Rahmenwerk gegen die geltende Good Practice und die Richtung der Entwürfe. So decken wir Lücken auf. Dazu gehören strukturierte Interviews, der Review Ihrer Prozess- und Systemdokumentation sowie Walkthroughs nach Bedarf. Den Zeiteinsatz Ihres Kernteams nennen wir Ihnen vorab. Die Nachweistiefe richten wir nach der risikobasierten Methodik von GAMP 5 und Computer Software Assurance aus.
- 4
Priorisierung
Jede Lücke priorisieren wir nach Risiko und Aufwand. Vorrang haben Anforderungen, die schon in den geltenden Fassungen stehen und die der Entwurf im Detail ausführt. Strittige Fragen der Konsultation führen wir als Beobachtungspunkte. Unsere Analyse ergänzen wir um Empfehlungen aus unserer Projekterfahrung.
- 5
Roadmap und Briefing
Sie erhalten die vier Lieferobjekte, von der Kontroll-Landkarte bis zum Management-Briefing. Unser Anspruch ist, dass Ihr Team handlungsfähig wird und die Roadmap umsetzen kann.
Sechs Fragen für den ersten Blick.
Jede der sechs Fragen greift ein Kernelement eines der drei Entwürfe auf. Die Fragen ersetzen keine Standortbestimmung, aber jede Nein-Antwort zeigt, mit welchem Modul Sie beginnen sollten.
Die ersten beiden Fragen gehören zum Modul Daten, die dritte und vierte zum Modul Systeme, die letzten beiden zum Modul KI. Beantworten Sie in mindestens zwei Modulen jeweils mindestens eine Frage mit Nein, empfehlen wir ein Paket aus diesen Modulen.
Wer die Standortbestimmung durchführt.
Die Standortbestimmung führt ein QFINITY-Team durch. Es kennt Annex 11 und Annex 22 aus der GAMP-Gremienarbeit, aus Fachbeiträgen und dem Austausch mit Behördenvertretern. Die Erwartungen der Inspektoren kennt es aus der eigenen Auditpraxis.
Die Verantwortung für Bewertung, Restrisiko und Freigabe bleibt bei Ihrem Unternehmen.
Häufige Fragen zur Standortbestimmung.
Ja. Die Grundsätze von Chapter 4 und Annex 11 stehen schon in den geltenden Fassungen, etwa der validierte Zustand über den Lebenszyklus und die Verantwortung für ausgelagerte Tätigkeiten. Annex 22 ist neu, baut aber auf Annex 11 auf. Weil wir die Entwürfe mit der geltenden Good Practice abgleichen, bleibt die Bewertung aussagekräftig, auch wenn sich Details im finalen Text ändern.
Vor allem der Prüfumfang. Für den Periodic Review nennt der Annex-11-Entwurf zwölf Prüfpunkte, darunter Lieferantenverträge, Zugriffsrechte und Audit Trails. Dazu kommen das dokumentierte Data-Governance-System aus Chapter 4 und die Governance für KI-Modelle aus Annex 22. Eine funktionierende CSV ist die Basis, auf der die Standortbestimmung aufsetzt.
Nein. Jedes Modul ist ein eigenständiges Gap Assessment. Wer den KI-Einsatz vorbereitet, etwa mit einem SOP-Entwurf zur Validierung KI-gestützter Systeme, lässt diesen Entwurf im Modul KI prüfen. Wer Data Governance dokumentiert hat, lässt im Modul Daten Rahmenwerk und Aufzeichnungsketten prüfen, bevor der finale Text gilt. Einstieg und Bestandsaufnahme sind für alle Module gleich, die Einstufung folgt dem Entwurf des jeweiligen Regelwerks.
Der Aufwand richtet sich nach der Zahl der Module und Betriebsstätten sowie dem Einbezug globaler Prozesse. Ein globaler Zuschnitt wird gesondert geschätzt. Mit der Umfangsschätzung nach dem Erstgespräch nennen wir den Aufwand in Tagen und ein Terminfenster. Einplanen sollten Sie drei bis sechs Wochen und die Mitwirkung Ihres Kernteams in Interviews und Walkthroughs.
Ihr Team kann die Roadmap eigenständig umsetzen, auf Wunsch begleiten wir Sie dabei. Den Review weiterer Daten, Systeme und KI-Anwendungen nach derselben Methodik bieten wir als Folgeschritt an. Wo Ihr Team zusätzliche Kapazität oder Fachwissen braucht, unterstützen wir Sie mit GxP-Beratung, Lieferantenaudits oder Schulungen.
Die Entwürfe im Detail.
Vorbereitung schafft Sicherheit.
Sind die finalen Texte veröffentlicht, bleibt für die Umsetzung erfahrungsgemäß wenig Zeit. Im kostenfreien Erstgespräch (etwa 30 Minuten) ordnen wir Ihre Daten, Systeme und KI-Vorhaben den Modulen zu. Innerhalb von zwei Werktagen erhalten Sie eine Umfangsschätzung und ein Terminfenster.
Jetzt Standortbestimmung besprechen
