Ist der Datenprozess kontrolliert – oder nur seine Systeme?

Ein kontrolliertes System ist zunächst genau das: ein kontrolliertes System. Seine Funktionen können spezifiziert, Zugriffsrechte festgelegt, Berechnungen geprüft, Änderungen nachvollziehbar und Daten gegen unbefugte Veränderungen geschützt sein. Ebenso kann eine Schnittstelle darauf geprüft werden, ob die für sie vorgesehenen Informationen korrekt übertragen werden.

Damit sind wesentliche Teile eines Datenwegs beherrscht.

Eine später verwendete Information kann ihre Aussage jedoch aus mehreren solcher Schritte beziehen. Ein Wert wurde gemessen, danach berechnet, anschließend fachlich eingeordnet, mit anderen Informationen verbunden und schließlich in einem Report verwendet. Keine einzelne Kontrolle beantwortet dann zwangsläufig die Frage, ob der gesamte Zusammenhang, von dem diese spätere Aussage abhängt, erfasst ist.

PIC/S beschreibt den Data Lifecycle entsprechend nicht nur als Speicherung von Daten innerhalb eines Systems. Er umfasst unter anderem Erzeugung, Verarbeitung, Reporting, Prüfung, Nutzung für Entscheidungen, Speicherung und spätere Vernichtung. Daten können dabei Grenzen zwischen papierbasierten und computergestützten Systemen sowie organisatorische Grenzen – etwa zwischen Produktion, QC und QA – überschreiten.

Für die folgende Analyse lässt sich daraus eine engere Frage ableiten:

Welche später verwendete Information hängt von welchen vorgelagerten Verarbeitungsschritten ab?

Erst wenn diese Beziehung sichtbar ist, lässt sich prüfen, ob die Kontrollen der einzelnen Komponenten tatsächlich den Weg abdecken, auf dem die spätere Information entstanden ist.

Ein Datenprozess kann sehr einfach beginnen.

Eine Waage erfasst Brutto- und Taragewicht. Aus beiden Werten wird eine Nettomenge berechnet und einem bestimmten Material oder einer Charge zugeordnet. Diese Nettomenge wird anschließend nicht nur angezeigt, sondern fließt in einen späteren Bestands- oder Reconciliation-Wert ein. Dessen Aussage hängt nun nicht allein von der Waagenmessung ab. Sie setzt ebenso voraus, dass die Berechnung und die Zuordnung im vorherigen Verarbeitungsschritt kontrolliert erfolgt sind.

Eine zweite Konstellation benötigt keine Berechnung. Ein Gerät erzeugt einen Wert aus der Umgebungsüberwachung. Im weiteren Prozess wird festgelegt, welchem Raum, Zeitpunkt oder Betriebszustand die Messung zugeordnet ist. Später erscheint sie in einer Auswertung oder einem Trend. Der ursprüngliche Messwert kann unverändert geblieben sein. Die Aussage der späteren Auswertung hängt dennoch auch von dem fachlichen Verarbeitungsschritt ab, durch den der Wert in seinen weiteren Zusammenhang eingeordnet wurde.

Noch deutlicher wird die Abhängigkeit bei einem Report, der Informationen aus mehreren vorgelagerten Quellen verbindet. Messwerte stammen aus einem System, Mengen aus einem anderen, ein Status wurde zwischenzeitlich ergänzt oder verändert. Keine einzelne Quelle enthält bereits die Aussage des fertigen Reports. Sie entsteht erst durch die Auswahl und kontrollierte Zusammenführung dieser Informationen.

Bei der Nettomenge lässt sich die Abhängigkeit noch unmittelbar an den vorausgehenden Werten und ihrer Berechnung erkennen. Bei der fachlichen Einordnung liegt ein zusätzlicher Verarbeitungsschritt außerhalb des sichtbaren Messwerts; beim zusammengesetzten Report kann der fertige Informationsstand mehrere solcher Vorstufen zusammenführen, ohne sie selbst noch erkennen zu lassen.

Der Vergleich dieser drei Konstellationen zeigt mehr als nur, dass frühere Schritte wichtig bleiben. Die Abhängigkeit muss im späteren Informationsobjekt selbst nicht mehr sichtbar sein. Sie kann in einer Berechnungslogik, in einem manuellen Verarbeitungsschritt oder in der Zusammenführung verschiedener Quellen liegen. Ein fertiger Informationsstand kann deshalb in sich geschlossen erscheinen, obwohl seine Belastbarkeit von Kontrollen abhängt, die an anderen Stellen des Prozesses stattfinden.

Genau hier unterscheidet sich die Betrachtung eines Datenprozesses von der bloßen Addition seiner Systeme.

Der Einwand liegt nahe. Wenn jedes beteiligte System kontrolliert ist und jede Schnittstelle definiert wurde, warum sollte zusätzlich noch von einer Kontrolle des Datenprozesses gesprochen werden?

Die Antwort beginnt mit einer Konzession: Besteht der tatsächlich ausgeführte Datenweg vollständig aus genau diesen kontrollierten Komponenten und sind auch ihre Beziehungen untereinander erfasst, muss zwischen lokaler Kontrolle und Prozesskontrolle kein Widerspruch bestehen.

Das Problem liegt in der Voraussetzung.

Aus den Kontrollnachweisen der einzelnen Komponenten lässt sich der kontrollierte Gesamtweg erst dann ableiten, wenn bekannt ist, wie die später verwendete Information tatsächlich zustande kommt. Dazu muss feststehen, welche Verarbeitungsschritte auf ihrem Weg wirksam werden, wo menschliche Eingriffe stattfinden, welche Zwischeninformationen weitere Schritte beeinflussen und ob der tatsächliche Ablauf dem zugrunde gelegten Prozess entspricht.

PIC/S weist ausdrücklich darauf hin, dass bei computergestützten Systemen auch manuelle Interfaces in der Risikobewertung berücksichtigt werden sollen. Die Guidance hält zudem fest, dass Computer System Validation isoliert betrachtet nicht zwangsläufig zu einem niedrigen Data-Integrity-Risiko führt – insbesondere wenn Nutzer beeinflussen können, welche Daten aus einem validierten System berichtet werden.

Das macht die Validierung einzelner Systeme nicht weniger wichtig. Es begrenzt nur die Aussage, die aus ihr gezogen werden kann.

Die Frage lautet deshalb nicht:

Wie viele der beteiligten Systeme sind kontrolliert?

Sondern:

Sind die Schritte kontrolliert, von deren Zusammenspiel die Aussage der später verwendeten Information tatsächlich abhängt?

Wie weit formaler und tatsächlicher Informationsweg auseinanderfallen können, zeigt eine FDA-Inspektion bei Celltrion im Jahr 2017.

Die Inspektion vom 22. Mai bis 2. Juni 2017 endete mit einem zwölf Punkte umfassenden Form 483. Zu den Inspection Observations gehörte, dass Batch Production Records nicht alle Informationen zur Herstellung und Kontrolle einer Charge enthielten. Im veröffentlichten Establishment Inspection Report erläuterte der Investigator dazu, Produktionsmitarbeiter hätten inoffizielle Records der Produktionsaktivitäten geführt, die Informationen enthielten, die sich in den offiziellen Batch Records nicht wiederfanden.

Die Supporting Evidence im EIR macht den Mechanismus konkreter. Produktionsmitarbeiter arbeiteten demnach an vernetzten Computern mit auf einem gemeinsamen Laufwerk gespeicherten Excel-Dateien. Nach der im Bericht wiedergegebenen Erklärung waren diese Dokumente nicht durch ein Verfahren vorgesehen und wurden nicht von der Quality Unit geprüft. Sie wurden von der Produktion zum Tracken und Trenden verwendet, damit Mitarbeiter Entwicklungen erkennen und darauf reagieren konnten. Der Investigator fand darin unter anderem Kommentare zu Problemen während der Herstellung, Hinweise auf zusätzliche Bench-top-Messungen und Werte, die nicht in den offiziellen Batch Records enthalten waren.

Daran ist nicht primär interessant, welche einzelne Information später im Batch Record fehlte. Das wäre vor allem eine Frage nach Vollständigkeit und Entstehung des offiziellen Records.

Interessant ist die betriebliche Rolle des zusätzlichen Informationswegs. Die inoffiziellen Records waren nach der im EIR beschriebenen Praxis nicht lediglich eine Zwischenfassung, die anschließend in einen offiziellen Record übertragen werden sollte. Sie wurden von Produktionsmitarbeitern selbst verwendet, um Produktionsverläufe zu verfolgen und auf Entwicklungen zu reagieren. Neben den formal vorgesehenen Records bestand damit ein weiterer Informationsbestand, der nach der im EIR beschriebenen Praxis im Produktionsbetrieb tatsächlich zum Tracken und Trenden verwendet wurde. Für die folgende Analyse stellt sich deshalb die Frage, ob ein Datenprozess vollständig beschrieben ist, wenn solche tatsächlich wirksamen Informationswege in seiner formalen Betrachtung nicht erfasst werden.

Celltrion beweist damit keine allgemeine Theorie komplexer Datenprozesse. Ein Form 483 enthält Inspection Observations und stellt keine abschließende FDA-Entscheidung über die Compliance des Unternehmens dar. Der spätere FDA Warning Letter an Celltrion übernahm diesen konkreten Spreadsheet-Befund zudem nicht als eigenen Warning-Letter-Punkt. Über den Grund dafür lässt sich aus den veröffentlichten Quellen nichts ableiten.

Der Befund zeigt aber, warum die Kenntnis der vorgesehenen Systeme allein nicht immer genügt, um den tatsächlichen Informationsweg eines Betriebs zu erfassen.

Ein kontrollierter Datenprozess verlangt deshalb nicht, sämtliche Daten eines Unternehmens in einem einzigen System zusammenzuführen. Ebenso wenig folgt daraus, dass jeder manuelle Verarbeitungsschritt durch Automatisierung ersetzt werden müsste.

Entscheidend ist zunächst etwas Einfacheres: Der Betrieb muss erkennen können, welche Schritte die Aussage einer später verwendeten Information tragen – bevor diese Information im weiteren Prozess verwendet wird.

Bei einer berechneten Nettomenge gehören dazu die relevanten Mess- und Berechnungsschritte. Bei einer fachlich eingeordneten Messung gehört der Verarbeitungsschritt dazu, durch den der Wert einem bestimmten Zustand oder Kontext zugeordnet wird. Bei einem zusammengesetzten Report gehören diejenigen Quellen und Transformationen dazu, aus denen seine spätere Aussage hervorgeht. Entsteht daneben ein operativer Informationsweg, der den tatsächlichen Ablauf beeinflusst, muss auch seine Rolle im Prozess sichtbar werden.

Damit verschiebt sich die Kontrollfrage. Nicht jede Station muss dieselben Informationen enthalten. Nicht jede Information muss an jedem Punkt erneut geprüft werden. Aber die Abhängigkeiten dürfen nicht nur zufällig dadurch funktionieren, dass verschiedene lokale Kontrollen nebeneinander bestehen.

Prozesskontrolle bedeutet nicht nur, einzelne Systeme und Übergaben zu kontrollieren. Sie bedeutet, die Schritte zu beherrschen, von deren Zusammenspiel die Aussage der später verwendeten Information abhängt.

Erst wenn diese Abhängigkeiten sichtbar sind, lässt sich auch Verantwortung für ihre Kontrolle sinnvoll zuordnen.

Eine historische MHRA-Auswertung der Inspektionsdefizite zur Guten Herstellungspraxis (GMP) des Jahres 2016 liefert für diese Unterscheidung einen bemerkenswert direkten Behördenbefund. Als Deficiency-Beispiel hielt die MHRA fest, Data-Integrity-Assessments hätten sich auf die Compliance einzelner Systeme konzentriert und dabei den Einfluss der Business Processes auf die Datenintegrität nicht ausreichend berücksichtigt; ausdrücklich genannt wurde als Beispiel der manuelle Transfer von Daten zwischen elektronischen Systemen. Die Quelle stammt aus dem Jahr 2016 und erlaubt keine Aussage darüber, wie häufig ein solcher Befund heute auftritt.

PIC/S formulierte die Prozessperspektive später noch systematischer: Risikobewertungen sollen Datenflüsse und Erzeugungs- und Verarbeitungsmethoden innerhalb eines Business Process untersuchen; ausdrücklich genannt werden dabei mehrstufige Prozesse, Transfers zwischen Systemen und Prozessen sowie der Grad menschlicher Interaktion.

Die Behördenquellen liefern damit keine regulatorische Definition der hier verwendeten „Prozessabhängigkeit". Sie stützen aber die Unterscheidung, von der die Analyse ausgeht: Die Kontrolle der Komponenten und die Kontrolle des tatsächlichen Informationswegs sind nicht dieselbe Prüfperspektive.

Ein Gerät kann kontrolliert sein. Ein System kann validiert sein. Eine Schnittstelle kann korrekt arbeiten. Jeder dieser Befunde ist wichtig.

Die Information, mit der ein späterer Prozess tatsächlich arbeitet, kann ihre Aussage trotzdem erst aus mehreren vorherigen Verarbeitungsschritten erhalten.

Dann reicht es nicht, die beteiligten Systeme aufzulisten. Der Betrieb muss wissen, welche dieser Schritte den späteren Informationsstand tragen und wie ihre Abhängigkeiten kontrolliert werden.

Die entscheidende Frage eines Datenprozesses lautet deshalb nicht nur:

Wo liegen die Daten?

Sondern:

Wovon hängt die Information ab, mit der der Prozess am Ende tatsächlich weiterarbeitet?