Was ist GAMP 5?
GAMP 5 ist ein Leitfaden der ISPE, mit dem regulierte Unternehmen computerisierte Systeme risikobasiert validieren. Er ist kein Gesetz. Inspektoren erkennen ihn aber als Methode an, die Validierungspflicht aus EU-GMP Annex 11 zu erfüllen. Wie tief Sie validieren, hängt von der Software-Kategorie und vom Risiko der einzelnen Funktionen ab.
Quelle: EU-GMP-Leitfaden, Anhang 11: Computerised Systems (EU-Kommission)
T. LozerCompliance Strategy Specialist · entroit GmbH
· Aktualisiert
Woher GAMP 5 kommt
GAMP steht für Good Automated Manufacturing Practice. Herausgeber ist die International Society for Pharmaceutical Engineering, kurz ISPE. Die erste Auflage von GAMP 5 erschien 2008, die zweite 2022. Die Pflicht zur Validierung kommt aus EU-GMP Annex 11. GAMP 5 beschreibt, wie ein Betrieb sie erfüllt, ohne mehr zu prüfen als nötig.
Die Software-Kategorien
Die Kategorie bestimmt, wie viel Validierung ein System braucht. Seit der ersten Auflage von GAMP 5 gibt es vier:
| Kategorie | Beispiele | Validierung |
|---|---|---|
| 1 · Infrastruktur | Betriebssystem, Datenbank, Middleware | Version dokumentieren, ins Inventar und ins Patch-Management aufnehmen |
| 3 · Nicht konfiguriert | Standard-Software, die ohne Einrichtung läuft | Risikobasierte Funktionsprüfung |
| 4 · Konfiguriert | Standard-Software, für den Betrieb eingerichtet | Anforderungen, Konfigurationsspezifikation, Risikoanalyse, IQ, OQ und PQ |
| 5 · Individuell | Eigens entwickelte Software und Erweiterungen | Voller Lebenszyklus mit Design-Spezifikation und Code-Review |
Die Kategorie 2 für Firmware aus GAMP 4 hat die ISPE mit GAMP 5 gestrichen. Eine Warenwirtschaft für den Pharma-Großhandel ist fast immer Kategorie 4. Programmiert ein Anbieter etwas eigens für Sie, behandeln Sie diesen Teil wie Kategorie 5.
Wie eine Validierung nach GAMP 5 abläuft
GAMP 5 folgt einem V-Modell, in dem jeder Anforderung ein Test gegenübersteht. Für eine konfigurierte Warenwirtschaft entstehen diese Dokumente:
- Die User Requirements Specification beschreibt, was das System fachlich leisten muss. Sie leitet sich aus GDP, Annex 11 und Ihren Prozessen ab und kommt von Ihnen, nicht vom Anbieter.
- Die Risikoanalyse legt fest, welche Funktionen GxP-kritisch sind und was bei einem Fehler passiert.
- Die Konfigurationsspezifikation hält fest, wie das System für Ihren Betrieb eingerichtet ist.
- Die Lieferantenbewertung prüft, ob der Anbieter ein Qualitätsmanagement, eine Teststrategie und eine Versionsverwaltung hat. Dokumentierte Tests des Anbieters dürfen Sie in Ihre Validierung übernehmen.
- IQ, OQ und PQ belegen Installation, Funktion und Betrieb unter realen Bedingungen. GAMP 5 erlaubt, die drei in einem Test zu kombinieren.
- Alle 12 bis 24 Monate bestätigt eine periodische Überprüfung, dass der validierte Zustand noch gilt.
Was risikobasiert heißt
Sie testen nicht jede Funktion, sondern die, deren Fehler Patienten, Produktqualität oder Datenintegrität gefährden. In einer Warenwirtschaft sind das Wareneingang mit Quarantäne, Freigabe, Chargenbuchung, Audit Trail und Schnittstellen. Der Beitrag GAMP 5 ohne Über-Engineering zeigt, welcher Validierungsumfang für einen mittelständischen Betrieb reicht.