ALCOA+: zwölf Kontrollen für Data Integrity in GMP-Systemen
ALCOA+ übersetzt Data Integrity in neun Prinzipien für GxP-Daten. Der Artikel ordnet zwölf Kontrollen ein, die QA, Labor, Produktion und IT-Validation an GMP-Systemen gemeinsam prüfen können: Benutzerzuordnung, Audit Trails, Zeitstempel, Rohdaten, Korrekturen, Aufbewahrung, Backups und Exporte. Der Fokus liegt auf einem risikobasierten Kontrollrahmen, nicht auf pauschalen Inspektorenerwartungen.
Data Integrity bedeutet, dass GxP-Daten vollständig, nachvollziehbar, unverändert verständlich und über die vorgeschriebene Aufbewahrungsfrist verfügbar bleiben. Für Arzneimittelhersteller betrifft das nicht nur Laborrohdaten, sondern auch Batch Records, Herstellprotokolle, Abweichungen, CAPA, Schulungsnachweise, Wartung, Kalibrierung, Lieferantenbewertung und elektronische Signaturen. ALCOA+ ist der gebräuchliche Merksatz, mit dem diese Anforderungen in neun prüfbare Prinzipien übersetzt werden.
PIC/S PI 041-1, die FDA-Guidance zu Data Integrity, die MHRA-Guidance von 2018 und die WHO-Guideline von 2021 verwenden nicht in jedem Detail dieselbe Sprache. Die Kontrollrichtung ist dennoch gleich: Daten dürfen nicht anonym, nachträglich, selektiv, unlesbar, unzugänglich oder ohne Originalkontext geführt werden. Für QA, Labor, Produktion und IT-Validation ist ALCOA+ deshalb kein Akronym für Schulungsfolien, sondern ein Kontrollrahmen für konkrete Systeme und Datenflüsse.
ALCOA+ als Kontrollrahmen
Attributable verlangt eine eindeutige Zuordnung zu Person, System oder automatisiertem Prozess. In Papierprozessen geschieht das über Unterschrift, Datum und nachvollziehbare Rollen. In elektronischen Systemen braucht es persönliche Benutzerkonten, Rollen, Systemkonten für technische Prozesse und eine dokumentierte Trennung zwischen interaktiver Nutzung und automatischer Verarbeitung.
Legible bedeutet mehr als lesbare Handschrift. Aufzeichnungen müssen auch nach Migration, Archivierung oder Export verständlich bleiben. Ein PDF-Ausdruck ohne Rohdatenkontext, ein proprietäres Messformat ohne Viewer oder ein Scan ohne Metadaten erfüllt diese Anforderung nur eingeschränkt. Lesbarkeit umfasst deshalb Formatstrategie, Systemzugriff und Kontextinformationen.
Contemporaneous betrifft den Zeitpunkt der Aufzeichnung. GxP-relevante Beobachtungen werden zum Zeitpunkt der Tätigkeit dokumentiert. Nachträge sind möglich, aber sie brauchen Kennzeichnung, Begründung, Datum und Verantwortlichkeit. Ein später ergänzter Eintrag darf nicht so aussehen, als sei er zum ursprünglichen Prozesszeitpunkt entstanden.
Original trennt Primärdaten von Kopien. In einem elektronischen Laborgerät liegt das Original meist nicht im Ausdruck, sondern in der ursprünglichen elektronischen Aufzeichnung samt Metadaten und Audit Trail. Papier kann Original sein, wenn der Prozess papierbasiert ist. Ein Scan ist dann Kopie, sofern der Scanprozess nicht validiert und der Originalstatus geregelt ist.
Accurate verlangt fachlich richtige und technisch unverfälschte Daten. Korrekturen bleiben sichtbar, der ursprüngliche Wert bleibt erhalten und die Begründung ist dokumentiert. Genauigkeit betrifft auch Berechnungen, Rundungen, Schnittstellen, Zeitzonen, Stammdaten und Systemkonfigurationen.
Die Plus-Erweiterungen schließen Lücken, die in elektronischen und hybriden Prozessen schnell entstehen. Complete verlangt vollständige Datensätze einschließlich Rohdaten und relevanter Metadaten. Consistent verlangt eine zeitliche und logische Ordnung. Enduring verlangt haltbare Aufbewahrung über den vorgeschriebenen Zeitraum. Available verlangt Zugriff innerhalb eines Zeitrahmens, der Inspektionen, Batch Review und interne Untersuchungen praktisch ermöglicht.
Zwölf Kontrollen für GxP-Datenflüsse
Die folgenden Kontrollen sind kein offizieller Katalog einer Behörde. Sie verdichten die Anforderungen aus PIC/S PI 041-1, FDA, MHRA, WHO, EU GMP Chapter 4 und Annex 11 zu einem prüfbaren Arbeitsmodell. Der Nutzen liegt darin, Papierprozesse, Laborgeräte, MES, LIMS, eQMS, Dokumentenmanagement und Cloud-Systeme mit derselben Sprache zu bewerten. Wie sich die Kontrollen auf einen konkreten strukturierten Datenfluss anwenden lassen, zeigt der Beitrag zur ePI-Readiness am Beispiel elektronischer Produktinformationen.
Kontrolle 1: eindeutige Benutzer-Identitäten. Jeder schreibende Zugriff auf GxP-Daten braucht eine eindeutige Identität. Geteilte Konten für Schicht, Laborraum oder Linie verhindern Zuordnung und schwächen elektronische Signaturen. Technische Servicekonten bleiben erlaubt, wenn Zweck, Berechtigung, Passwortverwaltung und Nicht-Verwendung für interaktive Aufzeichnungen geregelt sind.
Kontrolle 2: rollenbasierte Berechtigungen. Benutzerrechte müssen zum Prozess passen. Eine Person, die Daten erzeugt, darf nicht ohne zweite Kontrolle kritische Systemparameter, Audit-Trail-Einstellungen oder Freigabestatus ändern. Rollenmodelle brauchen fachliche Begründung, Genehmigung, periodische Prüfung und einen dokumentierten Prozess für Eintritt, Rollenwechsel und Austritt.
Kontrolle 3: aktivierter und geschützter Audit Trail. GxP-relevante Systeme benötigen Audit Trails für kritische Datenänderungen, Systemkonfiguration, Benutzerverwaltung und Freigaben. Der Audit Trail darf nicht durch Standardnutzer deaktiviert oder überschrieben werden. Die Prüfung umfasst deshalb nicht nur vorhandene Einträge, sondern auch die Konfiguration und die administrativen Berechtigungen.
Kontrolle 4: risikobasierter Audit-Trail-Review. PIC/S PI 041-1 und FDA verlangen Review dort, wo Audit-Trail-Daten für GxP-Entscheidungen relevant sind. Daraus folgt kein identischer Monatsrhythmus für jedes System. Ein HPLC-System mit chargenrelevanten Rohdaten, ein MES-Schritt mit kritischem Prozessparameter und ein QMS-Workflow für CAPA brauchen unterschiedliche Review-Punkte. Der Review muss begründen, welche Ereignisse geprüft werden, wann die Prüfung erfolgt, wer sie durchführt und wie Abweichungen eskaliert werden.
Kontrolle 5: kontrollierte Zeitstempel. Zeitstempel tragen Datenintegrität nur, wenn die Zeitquelle kontrolliert ist. Systeme brauchen eine definierte Zeitsynchronisation, dokumentierte Zeitzonenlogik und Schutz vor manueller Manipulation. Bei Stand-alone-Geräten ohne zentrale Synchronisation muss die Zeitprüfung in Wartung, Kalibrierung oder Routinecheck aufgenommen werden.
Kontrolle 6: Schutz vor nicht gekennzeichneten Nachträgen. Nachträge sind in GMP-Prozessen nicht verboten. Kritisch wird es, wenn sie wie zeitgleiche Originaleinträge aussehen. Papierprozesse brauchen eine klare Korrekturregel mit Datum, Initialen und Grund. Elektronische Systeme brauchen Funktionen für verspätete Einträge, die den tatsächlichen Eingabezeitpunkt und die Begründung sichtbar halten.
Kontrolle 7: Original- und Kopiestatus. Für jeden Datenfluss muss klar sein, welches Objekt das Original ist. Bei elektronischen Messsystemen sind Ausdrucke oft nur Berichtskopien. Bei papierbasierten Herstellprotokollen kann das unterschriebene Papier das Original bleiben. Hybride Prozesse brauchen eine dokumentierte Entscheidung, wann Papier vernichtet werden darf, wann Scans beweiskräftig sind und welche Metadaten erhalten bleiben.
Kontrolle 8: Rohdaten und Metadaten. Ergebniswerte allein reichen bei analytischen und automatisierten Prozessen nicht aus. Chromatogramme, Integrationsparameter, Reprocessing-Schritte, Gerätemetadaten, Sequenzinformationen und Systemereignisse können für die Bewertung entscheidend sein. Die Kontrolle prüft deshalb, ob Rohdaten und relevante Metadaten auffindbar, lesbar und mit dem freigegebenen Ergebnis verknüpft bleiben.
Kontrolle 9: kontrollierte Korrekturen. Korrekturen müssen den ursprünglichen Wert erhalten und den neuen Wert begründen. In Papierprozessen bedeutet das einfache Streichung, lesbarer Originalwert, Datum, Initialen und Grund. In elektronischen Prozessen bedeutet es Audit-Trail-Eintrag, Änderungsgrund, Benutzerkennung und Schutz vor Überschreiben ohne Historie.
Kontrolle 10: Trennung von Test, Schulung und Produktion. Testdaten, Schulungsdaten und Entwicklungsaktivitäten dürfen GxP-Produktivdaten nicht verfälschen. Getrennte Umgebungen sind der klare Weg. Wo ein Gerät keinen echten Testmodus bietet, braucht es Kennzeichnung, Prozessgrenzen, Review und eine Begründung, weshalb keine Verwechslung mit Chargen- oder Prüfdaten entsteht.
Kontrolle 11: Aufbewahrung, Backup und Wiederherstellung. Enduring und Available werden erst durch Wiederherstellung belastbar. Backups allein belegen nicht, dass Daten nutzbar zurückgeführt werden können. Für GxP-Daten braucht es definierte Aufbewahrungsfristen, technische Löschsperren oder kontrollierte Löschprozesse, Wiederherstellungstests und eine Klärung, wie Cloud-Anbieter, Archivsysteme und Altsysteme in diesen Prozess eingebunden sind.
Kontrolle 12: kontrollierte Exporte und Schnittstellen. Datenexporte für Behördenanfragen, Audits, Datenaustausch oder Migration müssen nachvollziehbar sein. USB, E-Mail, manuelle CSV-Exporte und API-Schnittstellen können Datenkontext verlieren oder unkontrollierte Kopien erzeugen. Die Kontrolle prüft Genehmigung, Zweck, Format, Hash- oder Vollständigkeitsprüfung, Zugriffsschutz und Rückverfolgbarkeit.
Audit-Trail-Review ohne Scheinroutine
Audit-Trail-Review ist der Punkt, an dem ALCOA+ und Prozessrealität aufeinandertreffen. Ein Review, der jede technische Systemmeldung liest, erzeugt Aufwand ohne GxP-Nutzen. Ein Review, der nur bestätigt, dass ein Audit Trail existiert, verfehlt die Data-Integrity-Funktion. Der wirksame Mittelweg ist ein risikobasiertes Review-Modell.
Der erste Schritt ist die Ereignisklassifikation. Kritische Ereignisse sind Änderungen an freigegebenen Daten, Reprocessing, manuelle Integration, gelöschte oder wiederholte Messungen, Benutzer- und Rollenänderungen, deaktivierte Kontrollen, Zeitänderungen, Konfigurationsänderungen und fehlgeschlagene Signatur- oder Freigabeversuche. Nicht jedes System hat alle Ereignisse. Entscheidend ist, dass die relevanten Ereignisse pro System benannt sind.
Der zweite Schritt ist der Review-Zeitpunkt. Bei chargenbezogenen Daten kann ein Review vor Batch-Freigabe notwendig sein. Bei QMS-Daten kann der Review an Workflow-Abschluss, CAPA-Wirksamkeitsprüfung oder periodische Systemprüfung gekoppelt werden. Bei Infrastruktur- oder Archivsystemen kann ein periodischer technischer Review genügen, sofern Änderungen keinen direkten Einfluss auf Produktqualität oder Freigabeentscheidung haben.
Der dritte Schritt ist die Dokumentation. Ein Audit-Trail-Review braucht nicht zwingend lange Protokolle. Er braucht eine nachvollziehbare Aussage: System, Zeitraum oder Prozessobjekt, geprüfte Ereignisklassen, Reviewer, Ergebnis, Abweichungen und Folgeaktionen. Damit wird aus einer technischen Logdatei ein prüfbarer Qualitätsnachweis.
Papier, Hybridprozesse und Cloud-Systeme
ALCOA+ ist kein reines IT-Thema. Papierprozesse haben eigene Data-Integrity-Risiken: nachträgliche Einträge, unlesbare Korrekturen, fehlende Seiten, nicht kontrollierte Kopien, lose Anlagen und unklare Archivorte. EU GMP Chapter 4 stellt Dokumentation deshalb als eigenständigen GMP-Baustein auf, nicht als Anhängsel der IT.
Hybride Prozesse erhöhen die Komplexität. Ein Labor kann elektronische Rohdaten erzeugen, einen PDF-Bericht freigeben und Papierunterlagen archivieren. Ein Produktionsprozess kann elektronische Wiegedaten, manuelle Ergänzungen und papierbasierte Freigaben kombinieren. Für solche Abläufe muss der Datenfluss zeigen, welches Objekt Original ist, welche Kopie nur Arbeitsmittel ist und an welcher Stelle Freigabe, Review und Archivierung erfolgen.
Cloud-Systeme verschieben Data Integrity nicht zum Anbieter. Der Anbieter betreibt Teile der technischen Umgebung, der regulierte Betrieb bleibt beim Pharma-Unternehmen; die Shared-Responsibility-Systematik für die GxP-Cloud beschreibt diesen Verantwortungsschnitt. Verträge, Rollen, Backup, Mandantentrennung, Supportzugriffe, Audit Trails, Release-Wechsel, Datenexport und Exit-Szenario müssen deshalb in die Data-Integrity-Bewertung einbezogen werden. Annex 11 und PIC/S PI 041-1 liefern dafür den Anschluss an Validierung, Anbietersteuerung und Risikomanagement.
Prüfpfad für die nächsten 30 Tage
Ein schlanker Prüfpfad beginnt mit einem System- und Datenflussinventar. Pro System werden Datenklasse, GxP-Impact, Originalstatus, Schnittstellen, Aufbewahrungsfrist, Audit-Trail-Funktion, Review-Punkt und Verantwortlichkeit erfasst. Ohne dieses Inventar bleiben ALCOA+-Bewertungen abstrakt.
Danach folgt eine Stichprobe über drei Datenflüsse: ein Laborprozess, ein Produktions- oder MES-Prozess und ein QMS- oder Dokumentationsprozess. Für jeden Datenfluss wird ein Datensatz vom Entstehen bis zur Archivierung verfolgt. Die Prüfung fragt nicht nur, ob ein SOP-Kapitel existiert. Sie fragt, ob ein konkreter Datensatz mit Benutzer, Zeit, Original, Korrekturen, Review und Archivzugriff nachvollzogen werden kann.
Der dritte Schritt ist eine Lückenliste mit Risikoklasse. Kritische Lücken sind geteilte Konten, fehlende Audit Trails für kritische Daten, löschbare Rohdaten ohne Kontrolle, unklare Originale und nicht getestete Wiederherstellung. Mittlere Lücken betreffen unvollständige SOPs, uneinheitliche Korrekturgründe, nicht dokumentierte Review-Auswahl oder fehlende Exportregeln. Niedrige Lücken betreffen Darstellung, Schulungsunterlagen oder lokale Vereinheitlichung.
Zum Abschluss braucht jede Lücke eine Entscheidung: technische Korrektur, Prozesskontrolle, temporäre Zusatzprüfung oder begründete Akzeptanz. Diese Entscheidung muss zur Datenkritikalität passen. ALCOA+ verlangt keine identische Lösung für jedes System, aber eine begründete und dokumentierte Kontrolle für jeden GxP-relevanten Datenfluss.