Audit Trail: Bedeutung der Reviewpflichten

Regulierungsbehörden wie die FDA (Food and Drug Administration) und die EMA (European Medicines Agency) sowie die MHRA (Medicines and Healthcare products Regulatory Agency) fordern eine regelmäßige und nachvollziehbare Überprüfung von Audit Trails. Ziel ist es, unautorisierte Änderungen oder Manipulationen frühzeitig zu erkennen und die Datenintegrität gemäß den ALCOA(+)-Prinzipien sicherzustellen.

Audit-Trail-Review-Pflichten für Chromatographiedatensysteme (CDS) in der Pharmaindustrie

Chromatographiedatensysteme (CDS) sind essenzielle computergestützte Systeme in der pharmazeutischen Qualitätskontrolle (QC), insbesondere für HPLC- und GC-Analysen. Da sie analytische Rohdaten generieren, die direkt die Produktqualität beeinflussen, unterliegen sie strengen regulatorischen Anforderungen bezüglich Audit Trails und deren Überprüfung.

Regulatorische Anforderungen

Gemäß FDA (21 CFR Part 11):

• Elektronische Aufzeichnungen müssen Audit Trails enthalten, um Änderungen nachvollziehbar zu machen.
• Audit Trails müssen jederzeit abrufbar sein und dürfen nicht manipulierbar sein.
• Elektronische Signaturen sind erforderlich, um Genehmigungen und Überprüfungen zu dokumentieren.

Aus dem EU-GMP Annex 11:

• Audit Trails müssen überprüfbar sein und sich auf kritische Daten beziehen.
• Die Überprüfung muss in definierten Abständen erfolgen und dokumentiert werden.

Aus dem MHRA Data Integrity Guidance (2018):

• Audit Trails müssen vor der Freigabe von Ergebnissen überprüft werden.
• Jede nachträgliche Änderung an Analysendaten muss mit einem Grund versehen und nachvollziehbar sein.

Weitere relevante Richtlinien:

• PIC/S PI-041 Guidance on Data Integrity: Unterstützt die Umsetzung eines risikobasierten Datenintegritätsmanagements.

Annex 15 (EU-GMP):

• Bezieht sich auf Qualifizierung und Validierung, auch im Kontext von CDS.

Wichtige Elemente eines CDS-Audit-Trails

Ein vollständiges Audit-Trail-Protokoll in einem Chromatographiedatensystem muss mindestens folgende Aspekte enthalten:

• Benutzeraktionen: Wer hat was getan? (Z. B. Methode geändert, Integrationsgrenzen angepasst.)
• Zeitstempel: Wann wurde eine Aktion durchgeführt?
• Originaldaten und geänderte Daten: Sicherstellen, dass kein Datenverlust oder Manipulation erfolgt ist. Die ursprünglichen Werte müssen abrufbar sein, sodass des "Was wurde gemacht?" ersichtlich ist.
• Grund für Änderungen: Falls ein Nutzer z. B. eine Retentionszeit oder Peak-Integration geändert hat, muss der Grund benannt werden (können).

Die Kommentierung durch den Anwender ist erforderlich, um die Intention (das "Warum?") der Änderung nachvollziehbar zu machen.

Audit Trail Review – Pflichten und Vorgehensweise

Wann muss der Audit Trail überprüft werden? Die Behörden fordern eine regelmäßige Überprüfung, überlassen jedoch den regelmäßigen Zeitrahmen der Überprüfung einer risikobasierten Festlegung dem Unternehmen. Der etablierte Standard ist, dass im Falle von Freigaben diese Pflicht auf jede freizugebende Analyse anzuwenden ist.

Die restlichen Reviewpflichten bezogen auf die Datenstruktur des Systems, die Administration oder auch die Instrumente erfolgen meist nach dem risikobasierten Ansatz, in dem die Unternehmen selbst festlegen, in welchen Takten (monatlich, quartalsweise, halbjährlich) die Überprüfung zu erfolgen hat.

Davon ausgenommen sind die ereignisbezogenen Reviews, die z. B. bei Abweichungen wie OOS-Ergebnissen erforderlich werden.

Im Falle der Freigabe wird die Verpflichtung zum Review der Daten meist auf zwei Verantwortungsebenen verteilt und erfolgt im 4- oder 6-Augen-Prinzip. Die erste Ebene stelle die User-Ebene dar, auf der der Anwender sicherstellt, dass seine eigene Arbeit korrekt und ohne unzulässige Änderungen dokumentiert ist und kritische Änderungen korrekt kommentiert sind. Die Freigabe erfolgt dann meist durch den Laborleiter oder die QA, die die Kommentierung überprüft und sicherstellt, dass die Auswertung korrekt war und keine kritischen Änderungen vorgenommen wurden.

Wie erfolgt ein regelkonformes Audit Trail Review?

1. Analyse des Audit Trails:

• Vergleich der Freigabedaten mit Originaldaten (z. B. Wägeprotokoll, Laborjournal).
• Prüfung der Methoden und Analysen auf korrekte Anwendung und Aufbau.

2. Identifikation kritischer Änderungen

• Gab es Änderungen an Rohdaten oder Peak-Integrationen?
• Wurden Methoden oder Sequenzen angepasst?

3. Bewertung und Dokumentation

• Änderungen müssen begründet sein (technische oder wissenschaftliche Erklärung).
• Keine unautorisierte oder nicht nachvollziehbare Modifikation darf akzeptiert werden.

4. Archivierung und Aufbewahrungspflichten

• Audit-Trail-Reports müssen mindestens für die Dauer der Produktlebenszeit plus ein Jahr aufbewahrt werden (EU-GMP Annex 11).
• Elektronische Daten müssen gesichert und vor Manipulation geschützt sein.