,

NIS2, Business Continuity, ISO 27001 & der Annex 11: Warum Cyberresilienz in der Pharmabranche stärker in den Fokus rücken muss 

Die Pharmabranche steht seit Jahren unter hohem regulatorischem Druck. Qualität, Patientensicherheit, Validierung, Lieferfähigkeit und Dokumentation sind fest in den Prozessen verankert. Was dabei jedoch in der Vergangenheit häufig weniger sichtbar war, rückt nun unweigerlich in den Mittelpunkt: Auch Informationssicherheit und Business Continuity werden zunehmend zu kritischen Erfolgsfaktoren. 

Denn moderne Pharmaunternehmen sind längst nicht mehr nur Produktions- oder Forschungsorganisationen. Sie sind digitale Ökosysteme. Forschung, klinische Daten, Produktionsanlagen, Laborinformationssysteme, Lieferketten, Qualitätsmanagement, Cloud-Dienste und externe Dienstleister greifen ineinander. Wird eines dieser Systeme gestört, kann das weit über einen klassischen IT-Ausfall hinausgehen und direkte Auswirkungen auf die Datenintegrität (ALCOA+) und letztlich die Patientensicherheit haben. 

Diesen Paradigmenwechsel untermauert die anstehende Revision des EU GMP Annex 11. Der neue Entwurf macht unmissverständlich klar, dass Cybersicherheit, Identity Management, Audit Trails und Backup-Strategien keine losgelösten IT-Aufgaben mehr sind, sondern elementare Bestandteile der GMP-Compliance werden. Genau an dieser Schnittstelle zwischen IT-Betrieb, Qualitätsmanagement und gesetzlicher Pflicht setzen NIS2, Business Continuity, ISO 27001 und der neue Annex 11 gemeinsam an, um die Resilienz des gesamten Ökosystems systematisch und auditfest zu gewährleisten. 

Cyber

Warum NIS2 für die Pharmabranche relevant ist 

Mit der NIS2-Richtlinie wurde der Kreis der regulierten Organisationen deutlich erweitert. Besonders relevant für die Pharmabranche ist, dass der Gesundheitssektor und angrenzende Bereiche ausdrücklich adressiert werden. Dazu zählen unter anderem Einrichtungen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel ausüben, Hersteller pharmazeutischer Erzeugnisse sowie bestimmte Hersteller von Medizinprodukten. 

Damit verschiebt sich der Blick: Cybersicherheit ist nicht mehr nur eine technische Aufgabe der IT-Abteilung. Sie wird zu einer Frage der organisatorischen Resilienz, der Geschäftsfortführung und letztlich auch der Versorgungssicherheit. 

Für betroffene Unternehmen bedeutet das: Es reicht nicht aus, einzelne Schutzmaßnahmen umzusetzen. Gefordert ist ein systematischer Ansatz, der Risiken erkennt, bewertet, behandelt und regelmäßig überprüft. Dazu gehören technische, organisatorische und operative Maßnahmen – von Zugriffskontrollen und Backup-Konzepten über Incident Response bis hin zu Lieferketten- und Krisenmanagement. 

Business Continuity: Mehr als „IT wieder hochfahren“ 

Gerade in der Pharmabranche ist Business Continuity mehr als klassische Notfall-IT. Es geht nicht nur darum, Server wiederherzustellen oder Daten aus einem Backup zurückzuspielen. Entscheidend ist die Frage: Welche Prozesse müssen weiterlaufen, damit Forschung, Produktion, Qualitätssicherung, Freigabeprozesse oder Lieferfähigkeit nicht zum Stillstand kommen? 

Ein Cyberangriff auf ein Produktionssystem, ein Ausfall eines validierten Laborinformationssystems oder eine Störung bei einem kritischen IT-Dienstleister kann direkte Auswirkungen auf Termine, Chargenfreigaben, Dokumentationspflichten und Lieferketten haben. 

Business Continuity muss deshalb fachlich gedacht werden. Welche Prozesse sind kritisch? Welche Abhängigkeiten bestehen zu IT, OT, Cloud-Diensten oder externen Partnern? Wie lange darf ein Prozess ausfallen? Welche manuellen Alternativprozesse sind realistisch? Und wurden diese Szenarien tatsächlich getestet? 

NIS2 macht diesen Gedanken besonders deutlich, indem Business Continuity, Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement ausdrücklich zu den relevanten Risikomanagementmaßnahmen zählen. 

ISO 27001 als strukturierter Rahmen 

Während NIS2 regulatorische Anforderungen formuliert, bietet ISO 27001 einen bewährten Managementrahmen, um Informationssicherheit systematisch zu steuern. Die Norm fordert ein Informationssicherheitsmanagementsystem, kurz ISMS, das Risiken nicht punktuell, sondern dauerhaft betrachtet. 

Für Pharmaunternehmen ist das besonders wertvoll, weil ISO 27001 gut zu bestehenden Managementsystemen passt. Viele Unternehmen arbeiten bereits mit etablierten Strukturen für Qualität, Compliance, Auditierung und dokumentierte Prozesse. Ein ISMS kann daran anschließen und Informationssicherheit in die bestehende Governance integrieren. 

ISO 27001 hilft insbesondere dabei, Verantwortlichkeiten zu klären, Risiken nachvollziehbar zu bewerten, Maßnahmen zu priorisieren, deren Wirksamkeit zu überprüfen und kontinuierlich nachzubessern. Genau diese Nachvollziehbarkeit ist in regulierten Branchen entscheidend: Nicht nur die Maßnahme selbst zählt, sondern auch die Begründung, Dokumentation und regelmäßige Überprüfung. 

Annex 11: Cybersicherheit wird zur GMP-Pflicht  

Der neue Entwurf des Annex 11 (veröffentlicht im Juli 2025) vollzieht einen klaren Paradigmenwechsel weg von einer rein projektbezogenen Systemvalidierung hin zu einem kontinuierlichen Lifecycle- und Governance-Ansatz. Die Richtlinie harmonisiert GMP-Systeme ausdrücklich mit europäischen Cybersicherheitserwartungen wie der NIS2-Richtlinie und der ISO 27001. Das bedeutet: Ein Cybervorfall (z.B. Ransomware) ist nicht mehr nur ein IT-Problem, sondern ein direkter GMP-Verstoß, da er die Datenintegrität (ALCOA+) gefährdet. 

Nahtlose Überschneidung mit NIS2- und BCM-Anforderungen  

Die neuen Annex-11-Vorgaben fordern für computergestützte Systeme im GMP-Umfeld exakt die Maßnahmen, die auch NIS2 und BCM verlangen: 

  • Business Continuity und Backups: Der Annex 11 fordert nun explizit und detailliert Backup-, Archivierungs- und Wiederherstellungskonzepte (Disaster Recovery). Das Testen von Wiederherstellungsprozessen wird zur zwingenden Vorgabe, was sich mit dem BCM-Fokus von NIS2 deckt. 
  • Lieferkettensicherheit und Cloud: Während NIS2 das Management von Lieferkettenrisiken fordert, verlangt Annex 11 dies spezifisch für Software- und Cloud-Anbieter. Das Pharmaunternehmen bleibt für die Compliance voll verantwortlich und muss formale Service Level Agreements (SLAs), Risikoaudits und Exit-Strategien für IT-Dienstleister etablieren. 
  • Identitäts- und Zugriffsmanagement: Moderne Standards wie Multi-Faktor-Authentifizierung (MFA), das Least-Privilege-Prinzip (nur so viele Rechte wie nötig) und strikte Aufgabentrennung (Segregation ofDuties) sind auch im GMP-Umfeld vorgeschrieben. 

Der blinde Fleck: Lieferkette und Dienstleister 

Ein wesentlicher Risikofaktor in der Pharmabranche liegt in der Vernetzung mit Dritten. Forschungspartner, CROs, CDMOs, Cloud-Anbieter, Softwareanbieter, Logistikpartner und externe IT-Dienstleister sind häufig tief in kritische Abläufe eingebunden. Ein Sicherheitsvorfall muss daher nicht im eigenen Unternehmen entstehen, um Auswirkungen auf die eigene Organisation zu haben. Wenn ein Dienstleister ausfällt, Daten nicht verfügbar sind oder ein externer Zugang kompromittiert wird, kann dies unmittelbar die eigene Betriebsfähigkeit beeinträchtigen. 

Deshalb sollten Lieferantenbeziehungen nicht nur aus Qualitäts- und Beschaffungssicht bewertet werden, sondern auch aus Sicht der Informationssicherheit und Business Continuity. Dazu gehören klare Sicherheitsanforderungen, definierte Meldewege, Notfallkontakte, Wiederherstellungszeiten und regelmäßige Überprüfungen. 

Was für Pharmaunternehmen jetzt wichtig ist 

Unternehmen sollten prüfen, ob sie unter NIS2 beziehungsweise das nationale Umsetzungsgesetz fallen, welche Prozesse wirklich kritisch sind und wie gut diese Prozesse gegen Cybervorfälle, Systemausfälle und Dienstleisterstörungen abgesichert sind. 

Besonders wichtig sind dabei fünf Fragen: 

  1. Welche Geschäftsprozesse sind für Forschung, Produktion, Qualität und Lieferfähigkeit kritisch?  
  1. Welche IT-, OT- und Dienstleisterabhängigkeiten bestehen in diesen Prozessen?  
  1. Sind Risikoanalyse, Incident Response, Backup, Wiederanlauf und Krisenmanagement dokumentiert und getestet?  
  1. Sind Verantwortlichkeiten bis zur Leitungsebene klar geregelt?  
  1. Gibt es ein Managementsystem, das Informationssicherheit regelmäßig überprüft und verbessert?  

Wer diese Fragen belastbar beantworten kann, ist nicht automatisch vollständig compliant. Aber er schafft die Grundlage für einen reifen und prüfbaren Umgang mit Cyberrisiken. 

Fazit 

NIS2, Business Continuity, ISO 27001 und der überarbeitete Annex 11 sollten in der Pharmabranche nicht isoliert betrachtet werden. Sie verfolgen unterschiedliche Ansätze, zielen jedoch auf dasselbe Ziel ab: die Widerstandsfähigkeit von Unternehmen gegenüber Cyberrisiken, Systemausfällen und Störungen in der Lieferkette nachhaltig zu stärken. 

Während NIS2 den regulatorischen Rahmen für Cybersicherheit und organisatorische Resilienz setzt, bietet ISO 27001 eine etablierte Methodik zur strukturierten Steuerung von Informationssicherheit. Business Continuity stellt sicher, dass kritische Geschäftsprozesse auch im Krisenfall aufrechterhalten werden können. Der neue Annex 11 macht darüber hinaus deutlich, dass Themen wie Cybersecurity, Backup- und Recovery-Konzepte, Lieferantenmanagement sowie Identity & Access Management künftig fester Bestandteil der GMP-Compliance sind. 

Der Schlüssel zur Erfüllung der Regulatorik und zur Vermeidung von Risiken liegt in genau dieser Verzahnung von IT-Sicherheit, operativer Ausfallsicherheit (Resilienz) und Unternehmens-Compliance. 

Wir unterstützen Unternehmen dabei, Cyberresilienz und regulatorische Anforderungen ganzheitlich zu betrachten. Von der Standortbestimmung und Risikoanalyse über den Aufbau von Managementsystemen bis hin zur Umsetzung von Business-Continuity- und Informationssicherheitsmaßnahmen. Get ahead and in touch with us – info@expertsinstitut.de  

Referenzen: 

  1. Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 — NIS-2-Richtlinie 
    Grundlage für den NIS2-Bezug, insbesondere Anwendungsbereich, betroffene Sektoren, Risikomanagementmaßnahmen, Meldepflichten und Business-Continuity-Anforderungen. 
    https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2555 
  1. DIN EN ISO/IEC 27001:2024-01 — Informationssicherheit, Cybersicherheit und Datenschutz; Informationssicherheitsmanagementsysteme — Anforderungen 
    Grundlage für den ISO-27001-Bezug, insbesondere ISMS, Risikobeurteilung, Risikobehandlung, Governance, dokumentierte Informationen und fortlaufende Verbesserung. 
  1. Bundesamt für Sicherheit in der Informationstechnik (BSI): NIS-2-Starterpaket / Informationen für NIS-2-regulierte Unternehmen 
    Ergänzende Quelle für den Deutschlandbezug, insbesondere zur Einordnung betroffener Unternehmen, Registrierung, Meldepflichten und Risikomanagementmaßnahmen. 
    https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Starterpaket/nis-2-start_node.html 
  1. Europäische Kommission: Stakeholder Consultation on the Revision of EU-GMP Annex 11, Annex 22 and Chapter 4 
    Grundlage für den Bezug zur Revision des EU-GMP Annex 11, insbesondere zu den erweiterten Anforderungen an Cybersecurity. https://health.ec.europa.eu/consultations/stakeholders-consultation-eudralex-volume-4-good-manufacturing-practice-guidelines-chapter-4-annex_en

Lesen Sie hier unseren gesamten Blog: https://experts-institut.de/newsroom/
Und folgen Sie uns gerne auf LinkedIn: https://de.linkedin.com/company/expertsinstitut

/von
,

Zu viele Audits, zu wenig Wirkung? Audit Fatigue im GMP-Umfeld lösen

Die steigende Anzahl an Audits im GMP-Umfeld ist längst mehr als ein organisatorisches Thema. Für viele Unternehmen entwickelt sich Audit Fatigue zu einem strukturellen Problem im Qualitätssystem, mit direkten Auswirkungen auf Effizienz, Fokus und letztlich auch auf die Produktqualität. Die Lösung hierfür liegt in der strategischen Steuerung von Audits, insbesondere im Zusammenspiel mit Audits durch Dritte.

Fatigue

Was ist Audit Fatigue – und warum wird sie zum Risiko?

Audit Fatigue beschreibt die Situation, in der Unternehmen einer übermäßigen Anzahl an Audits ausgesetzt sind. Besonders im GMP-Umfeld betrifft dies häufig:

  • Auftragshersteller (CMOs)
  • Wirkstofflieferanten
  • Globale Zulieferketten

Typisch ist dabei, dass:

  • mehrere Kunden nahezu identische Audits durchführen
  • ähnliche Anforderungen mehrfach geprüft werden
  • interne Fachbereiche stark gebunden sind

Das eigentliche Problem ist jedoch nicht nur der Aufwand. Mit steigender Auditdichte verändert sich häufig auch die Arbeitsweise im Unternehmen: Der Fokus verschiebt sich von nachhaltiger Qualitätsverbesserung hin zur reinen Audit-Erfüllung.

Vom Kontrollinstrument zum Steuerungsinstrument: die eigentliche Rolle von Audits

Ein oft übersehener Aspekt im Kontext von Audit Fatigue ist die Frage, welche Funktion Audits im Qualitätssystem tatsächlich erfüllen sollen. In vielen Organisationen haben sie sich historisch als Kontrollinstrument etabliert, das vor allem der externen Absicherung dient – gegenüber Behörden, Kunden oder Partnern. Dadurch entsteht jedoch ein System, in dem Audits primär als Nachweislogik funktionieren, nicht als Steuerungsinstrument.

Je stärker diese Kontrolllogik dominiert, desto mehr verschiebt sich der Fokus weg von der eigentlichen Qualitätsverbesserung hin zur formalen Erfüllung von Anforderungen. Audits werden dann nicht mehr genutzt, um Risiken frühzeitig zu erkennen oder Prozesse gezielt zu verbessern, sondern um Erwartungen verschiedener Stakeholder einzeln zu bedienen. Genau an dieser Stelle entsteht strukturelle Ineffizienz: gleiche Themen werden mehrfach geprüft, ohne dass die Erkenntnisse systematisch zusammengeführt oder strategisch genutzt werden.

Ein moderner Auditansatz muss deshalb stärker als bisher die Frage beantworten, welchen konkreten Beitrag ein Audit leistet. Nicht jede Prüfung erhöht automatisch die Qualität des Systems. Im Gegenteil kann eine unverbundene Auditlandschaft dazu führen, dass relevante Informationen zwar vorhanden sind, aber nicht in eine übergeordnete Steuerungslogik überführt werden. Der eigentliche Mehrwert entsteht erst dann, wenn Audits nicht isoliert betrachtet werden, sondern als Teil eines kontinuierlichen Lern- und Steuerungssystems verstanden werden.

Der blinde Fleck: Fehlende Verknüpfung von Auditdaten

Ein Aspekt, der in vielen Unternehmen unterschätzt wird, ist die fehlende Integration von Audit-Ergebnissen in das Gesamtsystem. Auditberichte existieren häufig isoliert neben CAPA-Systemen, dem Abweichungsmanagement oder der Lieferantenbewertung, ohne systematisch miteinander verknüpft zu werden. Dadurch gehen zentrale Erkenntnisse verloren: Es bleibt unklar, welche Muster sich über mehrere Audits hinweg zeigen, wo sich Schwachstellen wiederholen oder welche Risiken bereits bekannt sind, aber nicht konsequent adressiert werden. Ohne diese Verknüpfung bleibt selbst eine hohe Auditdichte analytisch untergenutzt und ihr tatsächlicher Mehrwert für das Qualitätssystem begrenzt.

Audits durch Dritte: Mehr als nur Entlastung

Audits durch unabhängige Dritte werden häufig primär als Mittel zur Reduktion von Auditaufwand betrachtet. Ihr eigentliches Potenzial geht jedoch deutlich weiter.

Richtig eingesetzt können sie:

  • Vergleichbarkeit zwischen Lieferanten herstellen
  • Eine einheitliche Bewertungslogik schaffen
  • Als zentrale Datenbasis für mehrere Auftraggeber dienen

Damit entsteht die Möglichkeit, Audit-Ergebnisse systematisch auszuwerten und zu aggregieren, statt sie nur einzeln zu betrachten. Der Mehrwert liegt also nicht nur in weniger Audits, sondern in besseren, konsistenteren Erkenntnissen.

Voraussetzung: Vertrauen und Bewertungslogik

Damit Audits durch Dritte ihre volle Wirkung entfalten können, reicht die reine externe Durchführung nicht aus. Entscheidend ist vielmehr, dass sie auf einer konsistenten und nachvollziehbaren Bewertungslogik basieren. Dazu gehören klar definierte Kriterien, einheitliche Bewertungsmaßstäbe sowie transparente Risikoeinstufungen, die für alle Beteiligten verständlich und vergleichbar sind. Ebenso wichtig ist eine strukturierte und lückenlose Dokumentation, die es ermöglicht, Feststellungen, Bewertungen und Schlussfolgerungen jederzeit nachzuvollziehen.

Nur wenn diese Voraussetzungen erfüllt sind, können Auditberichte als belastbare Entscheidungsgrundlage dienen. Das ist insbesondere dann relevant, wenn mehrere Auftraggeber auf dieselben Audit-Ergebnisse zurückgreifen sollen. Fehlt dieses Vertrauen in Methodik und Aussagekraft, werden externe Audits häufig nicht akzeptiert – mit der Folge, dass zusätzliche, redundante Audits durchgeführt werden.

Darüber hinaus schafft eine klare Bewertungslogik die Grundlage dafür, Audit-Ergebnisse systematisch in bestehende Qualitätssysteme zu integrieren, etwa in Lieferantenbewertungen oder risikobasierte Auditplanungen. Erst dann entfalten Audits durch Dritte ihren eigentlichen Mehrwert: Sie reduzieren nicht nur den Aufwand, sondern verbessern gleichzeitig die Vergleichbarkeit, Transparenz und Steuerbarkeit von Qualität im gesamten System.

Von Einzel-Audits zu Audit-Ökosystemen

Ein zukunftsweisender Ansatz besteht also darin, Audits nicht länger als isolierte Einzelaktivitäten zu betrachten, sondern sie als Bestandteil eines vernetzten Audit-Ökosystems zu verstehen. Statt einzelne Prüfungen unabhängig voneinander durchzuführen und zu dokumentieren, werden interne Audits, Lieferantenaudits und Dritt-Audits systematisch miteinander verzahnt und in einen gemeinsamen Kontext gestellt.

Die Ergebnisse dieser unterschiedlichen Auditarten fließen dabei in zentrale Auswertungen ein, wodurch ein umfassenderes Bild der tatsächlichen Qualitäts- und Risikosituation entsteht. Einzelbefunde werden nicht mehr nur für sich betrachtet, sondern im Zusammenspiel analysiert und eingeordnet. Dadurch können Risiken übergreifend priorisiert werden, anstatt sie ausschließlich auf Basis einzelner Auditberichte zu bewerten.

In einem solchen Modell verändert sich auch die Rolle der Qualitätseinheit grundlegend. Sie ist nicht mehr ausschließlich für die Planung, Durchführung und Nachverfolgung einzelner Audits verantwortlich, sondern übernimmt zunehmend eine steuernde und auswertende Funktion. Im Mittelpunkt steht dann weniger das reine Audit-Management, sondern vielmehr die Interpretation von Daten sowie die Ableitung und Priorisierung von Maßnahmen auf Basis eines integrierten Gesamtbilds.

Risikobasierte Steuerung wird zur Pflicht

Parallel dazu verschiebt sich der regulatorische Fokus klar in Richtung risikobasierter Ansätze.

Für Auditstrategien bedeutet das:

  • Weniger starre Zyklen
  • Mehr dynamische Anpassung basierend auf Daten
  • Gezielter Einsatz von Dritt-Audits bei stabilen oder standardisierten Lieferanten

Audit Fatigue entsteht häufig genau dort, wo dieser Schritt noch nicht konsequent umgesetzt ist.

Fazit zur Audit Fatigue

Audit Fatigue ist letztlich ein Symptom zunehmender Komplexität in regulierten Umgebungen, zugleich aber auch ein deutliches Signal dafür, dass bestehende Auditstrategien grundlegend weiterentwickelt werden müssen. Wenn Organisationen immer häufiger prüfen, ohne die gewonnenen Erkenntnisse systematisch zu vernetzen und zu nutzen, entsteht eine wachsende Belastung, ohne dass der eigentliche Mehrwert im gleichen Maß steigt.

Der zentrale Schlüssel zur Lösung liegt in der konsequenten Verknüpfung von Auditdaten über verschiedene Quellen hinweg, einer klaren risikobasierten Steuerung sowie dem gezielten und strategischen Einsatz von Audits durch Dritte. Erst wenn diese Elemente zusammengedacht werden, entsteht ein konsistentes und belastbares Gesamtsystem, das sowohl Effizienz als auch Wirksamkeit stärkt.

Unternehmen, die diesen Wandel frühzeitig angehen, profitieren dabei in doppelter Hinsicht: Einerseits sinkt die operative Belastung durch redundante oder schlecht abgestimmte Auditaktivitäten, andererseits verbessern sich die Entscheidungsgrundlagen, da Informationen strukturierter, vergleichbarer und aussagekräftiger zur Verfügung stehen. Nicht eine Reduktion von Kontrolle ist dabei entscheidend, sondern mehr Struktur, bessere Integration und eine intelligentere Nutzung vorhandener Informationen.

Wie wir Sie unterstützen

Wenn Sie Audit Fatigue aktiv reduzieren und Ihre Auditstrategie effizienter, strukturierter und risikoorientierter aufstellen möchten, kann der Blick von außen entscheidend sein. Externe Audits schaffen nicht nur zusätzliche Objektivität, sondern helfen auch dabei, bestehende Auditprozesse kritisch zu hinterfragen, Doppelstrukturen zu erkennen und echte Mehrwerte aus Ihren Qualitätsdaten zu gewinnen. Genau hier setzen wir an: mit unabhängigen, praxisnahen Audits, die nicht nur prüfen, sondern Orientierung schaffen und konkrete Optimierungspotenziale sichtbar machen. Get ahead and in touch with us: info@expertsinstitut.de

Lesen Sie hier unseren gesamten Blog: https://experts-institut.de/newsroom/
Und folgen Sie uns gerne auf LinkedIn: https://de.linkedin.com/company/expertsinstitut

/von
, ,

Pharmatauglicher Einsatz von generativer KI: Regularien, Grenzen und konkrete Umsetzungsansätze

Generative Künstliche Intelligenz (KI) und Large Language Models (LLMs) sind längst im Arbeitsalltag angekommen – auch in der Pharmaindustrie. Doch gerade in regulierten Umfeldern stellt sich nicht die Frage ob, sondern wie KI regelkonform, sicher und sinnvoll eingesetzt werden kann. Zwischen Effizienzpotenzialen, EU AI Act, GMP-Anforderungen und dem Draft des Annex 22 herrscht bei vielen Unternehmen Unsicherheit.

Im Experts Talk „Pharmatauglicher Einsatz von generativer KI“ zeigten wir praxisnah auf, welche regulatorischen Rahmenbedingungen gelten, wo reale Risiken liegen und welche KI-Anwendungen heute bereits compliant und validierbar eingesetzt werden können. Dieser Beitrag fasst die wichtigsten Inhalte des Webinars zusammen.

Experts Talk

Warum generative KI im Pharmaumfeld ein kritisches Thema ist

Die Relevanz von KI im pharmazeutischen Umfeld ist unbestritten. Studien und Marktanalysen zeigen, dass insbesondere in Quality Control / Manufacturing ein hohes Potenzial für KI-gestützte Anwendungen besteht. Gleichzeitig verdeutlichen aktuelle Zahlen ein ernstzunehmendes Risiko: Ein Großteil der Mitarbeitenden nutzt KI-Tools bereits heute, häufig ohne Freigabe, ohne Schulung und ohne klare Regeln.

Dieses Phänomen wird als Shadow AI bezeichnet. Es entsteht immer dann, wenn Mitarbeitende generische KI-Tools einsetzen, ohne dass das Unternehmen davon weiß oder den Einsatz kontrolliert. Die Folgen reichen von Datenschutzproblemen über Compliance-Risiken bis hin zu Verstößen gegen den EU AI Act, insbesondere gegen die Pflicht zur AI Literacy.

Welche Regularien gelten beim Einsatz von LLMs in der Pharmaindustrie?

Ein zentrales Thema ist die Einordnung der geltenden und kommenden Regularien. Entscheidend ist dabei: Nicht jedes KI-System unterliegt denselben Anforderungen. Der Einsatzkontext bestimmt die regulatorische Tiefe.

Der EU AI Act

Der EU AI Act gilt sektorübergreifend und betrifft sämtliche KI-Anwendungen im Unternehmen, vom Office-Chatbot bis zur Entscheidungsunterstützung in der Qualitätssicherung. Besonders relevant für Pharmaunternehmen sind:

  • Pflicht zur AI Literacy (Schulung der Mitarbeitenden)
  • Klassifizierung von KI-Anwendungen als High-Risk
  • Verpflichtende menschliche Aufsicht bei Hochrisiko-Systemen

Pharma zählt klar zu den Hochrisiko-Branchen, sodass automatisierte Entscheidungen ohne Human-in-the-Loop nicht zulässig sind.

GMP-Rahmenwerke

Unabhängig vom Annex 22 greifen bereits bestehende GMP-Regularien, unter anderem:

  • ICH Q9 – Qualitätsrisikomanagement
  • Annex 15 – Qualifizierung und Validierung
  • Annex 11 – Datenmanagement
  • GAMP 5 (Version 2) mit explizitem KI-Bezug

Diese bilden bereits heute den Rahmen für eine risikobasierte Bewertung und Validierung von KI-Systemen.

Annex 22 (Draft)

Der Draft des Annex 22 konkretisiert erstmals die Erwartungen an KI im GMP-Umfeld. Besonders relevant:

  • Keine generative KI für kritische GMP-Anwendungen
  • Nur statische Modelle (kein automatisches Retraining)
  • Deterministische Ergebnisse (gleicher Input → gleicher Output)
  • Anforderungen an Erklärbarkeit (XAI) – keine Black-Box-Systeme

Im Fokus stehen Anwendungen mit direktem Einfluss auf Patientensicherheit, Produktqualität oder Datenintegrität.

Was bedeutet das konkret? KI-Use-Cases im GMP-Umfeld

Trotz klarer Einschränkungen bleibt ein breites Feld an zulässigen, validierbaren und wirtschaftlich sinnvollen Einsatzmöglichkeiten.

Compliant nutzbare Anwendungsfälle:

Zu den praxistauglichen Use-Cases zählen unter anderem:

  • Unterstützung beim Dokumentenentwurf
  • Klassifikation und Extraktion von Informationen (z. B. Abweichungen)
  • Recherche in vorhandenen Dokumenten und GAP-Identifikation
  • Hyperindividualisiertes Training für Mitarbeitende
  • Datenaggregation und Trend- oder Clusteranalysen
  • Identifikation wiederkehrender Abweichungen

Diese Anwendungen sind unterstützend, nicht entscheidend – und lassen sich mit klarer Governance validierbar betreiben.

Kritische Anwendungen mit hohem Risiko:

Nicht oder nur sehr eingeschränkt zulässig sind u. a.:

  • Automatischer Batch Release
  • Echtzeit-Entscheidungen ohne menschliche Kontrolle
  • Automatische CAPA-Generierung
  • Vollautomatische Vorfallsbeschreibungen

Hier ist das Risiko von Halluzinationen, Fehlentscheidungen und regulatorischen Verstößen besonders hoch.

Human-in-the-Loop, Intended Use & Performance Monitoring

Human-in-the-Loop (HITL) bedeutet, dass KI-Systeme Mitarbeitende unterstützen, die Entscheidung jedoch immer beim Menschen verbleibt. Dieses Prinzip ist sowohl im EU AI Act als auch im Draft des Annex 22 gefordert und notwendig.

Gleichzeitig wurde aus der Praxis aufgezeigt, dass Human-in-the-Loop allein nicht ausreicht. Der langfristige Einsatz von KI kann das Entscheidungsverhalten von Mitarbeitenden beeinflussen. Wenn KI-Vorschläge über längere Zeit als zuverlässig wahrgenommen werden, besteht die Gefahr, dass Entscheidungen zunehmend unkritisch bestätigt werden.

Deshalb sind zusätzliche Maßnahmen erforderlich:

  • Klar definierter Intended Use: Es muss eindeutig festgelegt werden, wofür die KI genutzt werden darf und wofür nicht. Da generative KI oft mehr kann als ursprünglich geplant, muss jede Nutzung außerhalb des definierten Anwendungszwecks bewusst geprüft werden.
  • Überwachung des Zusammenspiels von Mensch und KI: Neben der technischen Funktion der KI muss beobachtet werden, wie Mitarbeitende mit den KI-Vorschlägen umgehen und ob Entscheidungen weiterhin aktiv und kritisch getroffen werden.
  • Performance-Validierung und Versionskontrolle: Die Leistung der KI muss über die Zeit hinweg überprüft werden – insbesondere bei Änderungen von Prozessen, Regularien oder Daten. Gleichzeitig muss nachvollziehbar sein, welche System- oder Modellversion zu welchem Zeitpunkt im Einsatz war.
  • Strukturiertes Datenmanagement: Trainings-, Test- und produktiv genutzte Daten müssen klar getrennt, dokumentiert und nachvollziehbar sein, um die Qualität und Validierbarkeit der KI-Anwendung sicherzustellen.

Diese Punkte wurden im Webinar als zentrale Voraussetzungen benannt, um generative KI im GMP-Umfeld kontrolliert, nachvollziehbar und regelkonform einzusetzen.

Praxisbeispiel: Generative KI mit MyGPT von Leftshift One

Im zweiten Teil des Experts Talks zeigte Robert Spari von Leftshift One anhand von MyGPT, wie generative KI kontrolliert und compliant eingesetzt werden kann.

MyGPT ist eine KI-Plattform, die:

  • in einer geschützten Private-Cloud-Umgebung betrieben wird
  • garantiert, dass keine Daten für Retraining gespeichert werden
  • sich in bestehende Systeme integrieren lässt
  • den Einsatz generativer KI ohne Datenabfluss ermöglicht (interne oder sensible Daten verlassen das kontrollierte System nicht und werden nicht für andere Zwecke weiterverwendet)

Typische Anwendungsbeispiele:

  • Strukturierung unstrukturierter Audit-Notizen zu formalen Audit-Reports
  • Unterstützung bei wissenschaftlichen Texten nach definierten Formalkriterien
  • Nutzung interner GMP-Dokumente mittels Retrieval-Augmented Generation (die KI greift bei Anfragen gezielt auf freigegebene interne Dokumente zu, ohne diese zu trainieren oder dauerhaft zu speichern)
  • Transparente Quellenangaben zur Nachvollziehbarkeit (XAI-Ansatz)

Besonders wichtig: Die Systeme sind so konfiguriert, dass sie nicht halluzinieren, sondern ausschließlich auf freigegebene Inhalte zugreifen, was einen entscheidenden Faktor für die GMP-Tauglichkeit darstellt. Bei Fragen zu dem Tool können Sie sich gerne an Robert Spari wenden: robert.spari@leftshift.one

Fazit: Generative KI ist mit klaren Leitplanken nutzbar

Generative KI ist kein No-Go für die Pharmaindustrie, aber auch kein Selbstläufer. Unternehmen müssen heute:

  • Shadow AI aktiv adressieren
  • KI-Use-Cases strukturiert erfassen und bewerten
  • AI Literacy sicherstellen
  • Governance, Dokumentation und Human-in-the-Loop konsequent umsetzen

Wer frühzeitig handelt, kann KI als Effizienz- und Qualitätshebel nutzen, statt sie als Compliance-Risiko zu erleben.

Weitere Fragen? Treffen Sie uns live auf den Lounges in Karlsruhe

Wenn Sie das Thema pharmatauglicher Einsatz von KI weiter vertiefen möchten, freuen wir uns auf den persönlichen Austausch auf den Lounges Cleanroom and Processes 2026 in Karlsruhe. Die Messe bringt Expert*innen aus Pharma, Biotechnologie, Medizintechnik und angrenzenden Branchen zusammen und bietet Raum für fachlichen Austausch zu Reinräumen, Prozessen, Technologie und regulatorischen Anforderungen.

Unser KI-Vortrag auf den LOUNGES 2026

Voraussichtlich am 24.03.2026 | 11:30 – 12:00 Uhr | Raum 11
Qualitätsentscheidungen mit KI: Annex 22 und EU AI Act

In diesem Vortrag zeigen wir, wie sich KI und Large Language Models für Qualitätsentscheidungen einsetzen lassen – ohne regulatorische Anforderungen zu verletzen. Wir geben Einblicke aus realen Projekten, ordnen Annex 22 und den EU AI Act praxisnah ein und sprechen offen über Chancen, Grenzen und typische Hürden bei der Umsetzung.

Weitere Vorträge von uns am 25.03.2026:

  • Annex 1: Große Worte, kleine Media-Fill-Taten – strategische Nutzung von Media-Fill-Tests zur nachhaltigen Verbesserung steriler Prozesse
  • Water Wars: Herausforderungen und Chancen von Reinstwasser – Biofilm-Risiken, Anlagendesign, Standardisierung und Nachhaltigkeit in der Reinstwasseraufbereitung


Besuchen Sie uns an Stand K6.1 – wir freuen uns auf spannende Gespräche und den fachlichen Austausch! Kostenfreie Tickets erhalten Sie mit dem Code EXPERTSLOUNGES26 (Registrierung erforderlich). Über folgenden Link können Sie ein Ticket buchen: https://cleanroom-processes.de/lounges-karlsruhe-2026/besuchertickets-lounges-karlsruhe-2026/

Wie das Experts Institut Sie unterstützen kann

Das Experts Institut begleitet Pharmaunternehmen bei der Einordnung regulatorischer Anforderungen, der praxisnahen Umsetzung von KI-Governance sowie bei Schulungen und Workshops rund um EU AI Act, Annex 22 und KI im GMP-Umfeld. Get ahead and in touch with us: info@expertsinstitut.de

Ergänzend zu diesem Beitrag lohnt sich ein Blick in unseren Blogartikel zum Thema Annex 22 und EU AI Act. Dort zeigen wir auf, welche KI-Anwendungen aus regulatorischer Sicht als risikoarm, begrenzt oder hochkritisch einzustufen sind und welche Vorbereitungen Unternehmen bereits heute treffen sollten: https://experts-institut.de/ki-in-der-pharmaindustrie-annex-22-eu-ai-act/

Bleiben Sie außerdem auf LinkedIn über weitere Experts Talks, Blogbeiträge und Veranstaltungen informiert: https://de.linkedin.com/company/expertsinstitut

/von
, ,

Continuous Manufacturing: Zukunftstrend in der Pharmaindustrie

Die Pharmaindustrie steht an einem Wendepunkt. Jahrzehntelang prägten klassische Batch-Verfahren die Herstellung von Arzneimitteln. Diese haben sich zwar bewährt, doch sie gelten heute oft als starr, langsam und ressourcenintensiv. Mit Continuous Manufacturing eröffnet sich ein neuer Weg: Die Produktion läuft nicht mehr in einzelnen Chargen, sondern kontinuierlich und ohne Unterbrechung. Damit verändert sich nicht nur die Geschwindigkeit der Fertigung, sondern auch die Qualität, Flexibilität und Nachhaltigkeit pharmazeutischer Prozesse.

Continuous Manufacturing

Was bedeutet Continuous Manufacturing?

Im Unterschied zum traditionellen Batch-Verfahren ermöglicht Continuous Manufacturing eine durchgängige Produktion in einem geschlossenen System. Während früher Zwischenlagerungen und Wartezeiten unvermeidlich waren, erlaubt die kontinuierliche Fertigung eine konstante Herstellung und Überwachung. Unternehmen profitieren dadurch von kürzeren Produktionszeiten, einer gleichbleibenden Produktqualität und einer effizienteren Nutzung von Ressourcen. Gleichzeitig eröffnet die Technologie die Möglichkeit, flexibler auf Nachfrageschwankungen zu reagieren und Lieferengpässe zu vermeiden. Continuous Manufacturing ist somit weit mehr als eine technologische Neuerung, es steht für einen grundlegenden Paradigmenwechsel in der Pharmaindustrie.

Digitalisierung als Motor für Prozessstabilität

Die Vorteile kontinuierlicher Fertigung lassen sich nur durch eine konsequente digitale Transformation ausschöpfen. Moderne Sensorik, Process Analytical Technology (PAT) und Advanced Process Control (APC) ermöglichen es, Produktionsprozesse in Echtzeit zu überwachen. Auf diese Weise wird die Prozessstabilität abgesichert, Abweichungen können sofort erkannt und korrigiert werden. Gleichzeitig sorgt die durchgängige Datenerfassung dafür, dass Qualitätsinformationen nahtlos dokumentiert und in regulatorische Systeme eingebunden werden. So entsteht nicht nur eine stabile und sichere Produktion, sondern auch eine höhere Transparenz im Hinblick auf GMP-Compliance.

Regulatorische Anforderungen im Fokus

Auch die Behörden haben das Potenzial erkannt. Die FDA gilt als Vorreiter und hat bereits erste Genehmigungen für kontinuierliche Fertigungsprozesse erteilt. In Europa nimmt die EMA die Thematik ebenfalls verstärkt in den Blick. Für Unternehmen bedeutet das: Wer frühzeitig in Continuous Manufacturing investiert, erleichtert sich nicht nur die spätere Zulassung, sondern verschafft sich auch eine strategische Position im Hinblick auf künftige Inspektionen. Pilotprojekte sind ein wertvoller Weg, um Erfahrungen zu sammeln und regulatorische Erwartungen von Anfang an zu berücksichtigen.

Auswirkungen auf Lieferketten und Nachhaltigkeit

Ein oft unterschätzter Aspekt kontinuierlicher Fertigung ist ihr Beitrag zur Nachhaltigkeit. Durch den reduzierten Energie- und Materialverbrauch entstehen weniger Abfälle. Gleichzeitig ermöglicht die kontinuierliche Produktion eine Herstellung „on demand“, wodurch Lagerbestände verringert und Medikamente schneller verfügbar gemacht werden können. Gerade in Krisensituationen oder bei Lieferengpässen bietet Continuous Manufacturing damit einen entscheidenden Vorteil. Für die globalen Lieferketten pharmazeutischer Unternehmen bedeutet dies mehr Flexibilität, kürzere Reaktionszeiten und eine insgesamt höhere Versorgungssicherheit.

Herausforderungen auf dem Weg zur Umsetzung

Natürlich ist der Umstieg auf Continuous Manufacturing mit Hürden verbunden. Hohe Anfangsinvestitionen, komplexe Schnittstellen zwischen IT, Automatisierung und Qualitätsmanagement sowie der Mangel an qualifizierten Fachkräften stellen Unternehmen vor große Aufgaben. Doch gerade deshalb empfiehlt es sich, schrittweise vorzugehen: Pilotprojekte bieten die Möglichkeit, Risiken zu minimieren und Know-how aufzubauen, bevor die Technologie in großem Maßstab eingeführt wird. Wer diesen Weg bewusst plant, kann die Lernkurve aktiv gestalten und den Wandel nachhaltig verankern.

Fazit: Experts Institut als Partner für Ihre Transformation

Continuous Manufacturing ist kein Trend, sondern die Zukunft pharmazeutischer Produktion. Unternehmen, die den Schritt frühzeitig gehen, sichern sich nicht nur Vorteile in Effizienz und Qualität, sondern auch im Hinblick auf regulatorische Akzeptanz und Marktposition.

Das Experts Institut unterstützt Sie dabei mit praxisnaher Beratung, passgenauen Trainings und der Begleitung Ihrer Digitalisierungs- und Modernisierungsprojekte. Von der Machbarkeitsanalyse über die Entwicklung eines Umsetzungsplans bis hin zur regulatorisch sauberen Implementierung begleiten wir Sie auf Ihrem Weg zur kontinuierlichen Fertigung.

Kontaktieren Sie uns für maßgeschneiderte Lösungen, gemeinsam machen wir Ihre Produktion zukunftssicher. Get ahead and in touch with us – info@expertsinstitut.de

Lesen Sie unseren gesamten Blog: https://experts-institut.de/newsroom/
Und folgen Sie uns gerne auf LinkedIn: https://de.linkedin.com/company/expertsinstitut

/von
,

So gelingt ein wirksames Qualitätsmanagementsystem (QMS) nach ISO  9001

Ein Qualitätsmanagementsystem (QMS) nach ISO  9001 ist weit mehr als ein formales Regelwerk – es ist ein strategisches Instrument, mit dem Unternehmen ihre internen Abläufe transparent gestalten, Kundenerwartungen verlässlich erfüllen und dauerhaft Vertrauen bei Mitarbeitenden, Partnern und Kunden aufbauen können. Wer Qualitätsmanagement nicht als Pflicht, sondern als gelebte Praxis versteht, legt den Grundstein für nachhaltige Effizienz, Risikominimierung und echten Markterfolg.

In einer zunehmend komplexen Wirtschaftswelt mit globalen Lieferketten, strengeren regulatorischen Vorgaben und steigendem Wettbewerbsdruck rückt die Frage nach verlässlicher Qualität in den Fokus. Gerade Unternehmen, die sich zukunftssicher aufstellen wollen, benötigen strukturierte Systeme, um Anforderungen systematisch zu erfüllen und zugleich Verbesserungspotenziale aktiv zu nutzen. Die Norm ISO  9001 bietet hierfür den weltweit anerkannten Rahmen, doch sie entfaltet ihren vollen Nutzen erst dann, wenn sie in den Arbeitsalltag integriert und aktiv gelebt wird.

QMS

Was die ISO  9001 fordert und warum das für Sie relevant ist

Ein zentraler Gedanke der ISO  9001 ist das Verständnis für den Kontext Ihrer Organisation. Welche internen und externen Einflussfaktoren prägen Ihr Unternehmen? Welche Anforderungen stellen Kunden, Regulierungsbehörden, Partner oder die eigene Belegschaft? Wer sich mit diesen Fragen intensiv auseinandersetzt, schafft die Basis für ein passgenaues QMS, das sich nicht nur an Normen orientiert, sondern auch an Ihrer Unternehmensrealität.

Die Norm verlangt außerdem, Chancen und Risiken systematisch zu analysieren und daraus konkrete Maßnahmen abzuleiten. Sie fordert eine klare Definition des Anwendungsbereichs des Qualitätsmanagementsystems und eine regelmäßige Überprüfung der strategischen Ausrichtung.

Führung beginnt mit Verantwortung für Qualität

Die ISO  9001 unterstreicht die Rolle der obersten Leitung im Qualitätsmanagement. Qualität ist keine Aufgabe, die delegiert werden kann, sie muss aktiv vorgelebt werden. Das bedeutet: Die Geschäftsführung sollte nicht nur eine verbindliche Qualitätspolitik formulieren, sondern diese auch kommunizieren, um Mitarbeitende mitzunehmen und das Thema im Alltag zu verankern.

Kundenzufriedenheit ist ein strategisches Ziel und Qualität das Instrument, um dieses Ziel nachhaltig zu erreichen. Ein wirksames QMS unterstützt die Unternehmensleitung dabei, diese Verantwortung strukturiert wahrzunehmen.

Dokumentation schafft Struktur und Verlässlichkeit

Ein zentrales Element der ISO  9001 ist die Steuerung und Pflege dokumentierter Informationen. Ob Prüfprotokolle, Arbeitsanweisungen oder Schulungsnachweise: Alle relevanten Unterlagen müssen nachvollziehbar, versioniert, freigegeben und sicher aufbewahrt werden.

Viele Unternehmen profitieren hier von einem digitalen Dokumentenmanagementsystem, das Transparenz, Konsistenz und schnellen Zugriff ermöglicht. Das Ziel ist klar: Prozesse sollen nicht nur stattfinden, sie sollen dokumentiert, kontrollierbar und stetig verbesserbar sein.

Qualität im Tagesgeschäft verankern

Ein Qualitätsmanagementsystem darf kein reines Papiertiger-Konstrukt sein. Die ISO  9001 fordert explizit, dass Qualität in der täglichen Arbeit sichtbar und wirksam wird. Dazu gehört etwa die prozessorientierte Steuerung von Abläufen, die Auswahl und Qualifikation externer Dienstleister oder ein durchdachter Umgang mit Abweichungen und Reklamationen.

Unternehmen, die regelmäßig interne Audits durchführen, ihre Mitarbeiter aktiv einbinden und Rückmeldungen ernst nehmen, schaffen eine dynamische Qualitätskultur und stellen sicher, dass ihr QMS auch im Alltag funktioniert.

Messen, bewerten, verbessern – mit System

Nur was gemessen wird, kann verbessert werden. Deshalb sieht die ISO  9001 regelmäßige Bewertungen der Qualitätsleistung vor, anhand klarer Kennzahlen, systematisch erhobener Kundenzufriedenheit und dokumentierter Audit-Ergebnisse.

Managementbewertungen sind dabei kein Selbstzweck, sondern ein wichtiges Instrument zur strategischen Steuerung. Sie helfen, fundierte Entscheidungen zu treffen und Verbesserungspotenziale frühzeitig zu identifizieren.

Kontinuierliche Verbesserung als Haltung

Ein starkes QMS ist kein statisches Gebilde. Es lebt von der Bereitschaft, besser zu werden. Korrektur- und Vorbeugemaßnahmen, Lessons Learned aus Projekten und Audits sowie die aktive Einbindung von Mitarbeitenden in Verbesserungsprozesse sorgen dafür, dass Qualität nicht stagniert, sondern wächst.

Die ISO  9001 macht deutlich: Qualität ist kein Projekt mit Anfang und Ende, sondern ein kontinuierlicher Prozess, der gelebt werden muss.

Fazit: Mit gelebtem QMS langfristig erfolgreich

Ein Qualitätsmanagementsystem nach ISO  9001 kann der entscheidende Unterschied sein – zwischen reaktiver Fehlerbehebung und proaktiver Unternehmenssteuerung. Es hilft, Klarheit in komplexen Prozessen zu schaffen, Risiken zu erkennen, Potenziale zu nutzen und Kunden wie Mitarbeitende nachhaltig zu überzeugen.

In einer Zeit, in der Vertrauen, Transparenz und Effizienz erfolgsentscheidend sind, wird ein gelebtes QMS zum strategischen Erfolgsfaktor – weit über die Zertifizierung hinaus.

Sie möchten Ihr Qualitätsmanagement weiterentwickeln?

Ob GAP-Analyse, Auditvorbereitung oder operative Umsetzung – wir begleiten Sie auf dem Weg zu einem wirkungsvollen Qualitätsmanagementsystem nach ISO  9001. Get ahead and in touch with us – info@expertsinstitut.de

Lesen Sie unseren gesamten Blog: https://experts-institut.de/newsroom/
Und folgen Sie uns gerne auf LinkedIn: https://de.linkedin.com/company/expertsinstitut

/von
,

Untrue Supplier-Audit-Reports: The Danger of Ethnocentric GMP-Auditing

If You are in any QA / QU role and are responsible for audits and audit reports in the GxP-context, I encourage You to take time and read this, it will be worth Your while. And if You are a QP (like I have been), this is likely to help You.

Where We Pick Up the Audit Topic

Manufacturers of pharmaceutical products and marketing authorization holders are required to ensure that audits at critical suppliers and service providers are done in a regular basis: active substance suppliers, suppliers of primary and printed packaging materials, and many others. This is basic, everyone knows this. However…

The supply chain is typically globalized and suppliers and manufacturers of materials are located all over the globe. When audits are carried out at suppliers located in a different culture, auditors always bring in their understanding of GMP and quality expectations-and here is the news: these are projected by the auditors on the auditees in culturally driven way and interpretation.

Auditors are Biased and Lack Understanding

Often auditors are trained to ask clear questions, closed questions, sometimes intentionally open questions, hypothetical questions, and often “show me” questions. Auditors expect to hear clear cut answers, yes or no, black or white, clarity – ambiguity is not typically acceptable as an answer.

But this way of auditing and listening in audits is actually called #ethnocentrism and it leads to very inaccurate audit reports. Such inaccuracy is very dangerous for supply chain and product quality asusrance! And this is a danger this industry cannot affort. We don´t produce umbrellas, but medication, we do this for patients, people who have serious needs..

Auditors assume to be heard and understood like they would be in their own birth cultural context, and even in their own company. It is an expectation which auditors bring with them due to their cultural bias in how communication should work. And so they filter what they see and hear in an audit through what they believe everyone uses to communicate.

Another assumption is that because a standard like GMP is laid down in writing, everyone sort of will understand this the same way, or at least to a contained degree of variability. Another ehtnocentric assumption: keeping in with the text of GMP requirements is what drives quality. As long as everyone else shares this – no problem. But the issue is: not everyone does! As a matter of fact, most cultures in this world do not share the mindset that underlies GMP.

The underlying problem is that GMP and similar quality standards have spawned in a Western cultural framework. This framework is not the majority reality in the world, it is a minority view no matter how important we think we are. Auditors do in almost all cases not know this, and they do not understand how big the impact of this is on what is heard and understood in audits, and what documents and records really mean.

It is needless to say that many drug manufacturing companies care very little about this aspect of audits and audit reports. Since the auditee is perceived as a supplier and only as that, the auditors feel – just like their company – that treating audit situations as an exchange of two business partners is not necessary. Another proof of ethnocentrism.

Real Consequences – Supply Contraction and Patient Risk

Especially in Asia (supplier in China, India, Japan to name a few) this will ultimately lead to a contraction of the supply range, meaning that the supply to European and Western-based companies will be a decreasing market priority to these Asian suppliers. Suppliers in Asia are fine with the Asian market alone, we must not forget that. The West is a very small part of the global village community. If we don´t take this seriously then it is our own fault.

The much bigger issue for the now is though that audit reports most often misrepresent what is going on at the supplier. Miscommunication happens so often without the auditor(s) even noticing it. And it ends up in the audit report, either as a conclusion that a particular audit topic was fine at the supplier (though it wasn´t) or that observations and deficiencies are noted that are simply not true.

The issues that come with ethnocentric auditing, which happens in almost every cross-cultural audit are significant and relevant! And they are essentially unaddressed. Auditors should not be sent into such an audit setting without a proper understandig of this.

Now What?

We seek to train our consultants and audit specialists at EI and our client auditors regarding this issue. And although no person can be truly multicultural, knowing the pitfalls makes a world of difference for the quality that is delivered.

If You are an auditor You cannot guess things in another culture, even in a business or highly regulated setting. Someone needs to show You, teach You, make You understand, and apply it. If not then audit reports will be sub-standard, inaccurate at best. And we will convince ourselves erroneously that we did a good job, and we will deceive ourselves to think that we were the ones who taught the auditee something new, although it is us who had a chance to learn and we did not take it.

Do You want to be an auditor who after 30 or 40 years of work realizes “goodness I got this wrong all my life”? Patient health and safety depend more on accurate auditing than we might think. We owe it to those who depend on medication to do our vey best.

If You like to know more about this, feel free to contact d.gross@expertsinstitut.de or visit https://experts-institut.de.

/von
,

Einblicke in unsere Projekterfahrungen: Qualitätssicherungsvereinbarungen (QSV) in der Pharmaindustrie erfolgreich umsetzen

Im Rahmen eines Projekts für einen pharmazeutischen Hersteller und dessen Auftragshersteller haben wir unsere Kompetenz in der Umsetzung von Qualitätssicherungsvereinbarungen (QSV) unter Beweis gestellt. Ziel des Projekts war es, die Qualitätssicherungsprozesse zu optimieren und die Einhaltung der aktuellen GMP-Richtlinien sicherzustellen.

Qualitätssicherungsvereinbarungen

Das Projekt wurde unter anspruchsvollen Rahmenbedingungen realisiert, die durch strenge regulatorische Vorgaben und enge Zeitpläne geprägt waren. Unser Team aus erfahrenen GMP-Berater:innen und QA-Spezialist:innen erarbeitete passgenaue Lösungen, darunter die Erstellung, Überprüfung, Aktualisierung und Verhandlung von Qualitätssicherungsvereinbarungen, Verantwortungsabgrenzungsverträgen (VAV), Technical Agreements und QP-Agreements – sowohl in deutscher als auch englischer Sprache.

Ein wesentlicher Erfolgsfaktor war die enge Abstimmung mit den internen Abteilungen der Kund:innen und den externen Vertragspartner:innen. Durch gezieltes Projektmanagement und präzises Verhandlungsgeschick konnten zeitkritische Verträge termingerecht abgeschlossen werden. Ergänzend optimierten wir relevante Prozesse, überarbeiteten SOPs und Templates und erzielten dadurch signifikante Effizienzgewinne.

Unsere Expertise im Supplier Management und in der Lieferantenqualifizierung war maßgeblich für den Projekterfolg. Darüber hinaus sicherten wir durch gezielte Einarbeitung und Schulung der Teams eine nachhaltige Umsetzung und Einhaltung regulatorischer Anforderungen.

Die erfolgreiche Umsetzung des Projekts führte nicht nur zu einer spürbaren Verbesserung der Qualitätssicherung, sondern auch zu einer Vertiefung der Zusammenarbeit mit den Kund:innen. Dieses Beispiel verdeutlicht, wie selbst komplexe Herausforderungen durch eine klare Strategie, fundiertes Fachwissen und ein gut koordiniertes Team gemeistert werden können.

Sie stehen vor ähnlichen Herausforderungen bei Qualitätssicherungsvereinbarungen, Supplier Management oder GMP-konformen Vertragsstrukturen? Wir unterstützen Sie mit praxisnaher Beratung, regulatorischer Expertise und operativer Umsetzung, von der Erstellung und Verhandlung bis zur nachhaltigen Prozessintegration. Get ahead and in touch with us – info@expertsinstitut.de

Lesen Sie hier unseren gesamten Blog: https://experts-institut.de/newsroom/
Und folgen Sie uns gerne auf LinkedIn: https://de.linkedin.com/company/expertsinstitut

/von
,

GxP-Audits: Wie wichtig sind sie und wie werden sie durchgeführt?

In der stark regulierten Pharmaindustrie sind Audits mehr als nur ein Kontrollmechanismus – sie sind ein unverzichtbares Instrument, um die Qualität und Compliance von Prozessen sicherzustellen. Audits tragen wesentlich dazu bei, dass Unternehmen die strengen Anforderungen der Guten Herstellpraxis von Arzneimitteln (Good Manufacturing Practice, GMP) und anderer GxP-Standards einhalten. Dabei geht es nicht nur darum, Fehler zu identifizieren, sondern auch darum, Prozesse kontinuierlich zu verbessern und Schwachstellen zu beheben bevor sie zu Fehlern oder Qualitätsproblemen führen. Die Rolle von Audits im Qualitätsmanagement kann daher gar nicht hoch genug eingeschätzt werden. Sie helfen, den regulatorischen Anforderungen gerecht zu werden und gleichzeitig das Vertrauen von Kunden und Behörden in das Unternehmen zu stärken. 

Im Folgenden erfahren Sie, was ein GxP-Audit ausmacht, warum es für Unternehmen in regulierten Branchen so wichtig ist und wie es optimal durchgeführt werden kann.

Was ist ein GxP-Audit?

Ein Audit ist eine systematische, unabhängige und dokumentierte Überprüfung, die dazu dient, festzustellen, ob Tätigkeiten und Ergebnisse den geplanten Anforderungen entsprechen. Soweit die Theorie. 

Im GxP-Bereich sind Audits in der Praxis besonders wichtig, da sie sicherstellen, dass alle Prozesse den strengen Vorgaben der GMP-, GLP- und GCP-Standards tatsächlich entsprechen. Diese Audits prüfen nicht nur die Einhaltung von Vorschriften, sondern auch, ob Prozesse zur kontinuierlichen Verbesserung und Risikominderung eingesetzt werden und faktisch wirklich diesen Beitrag leisten.

Warum sind Audits im GxP-Bereich so wichtig?

Audits erfüllen eine zentrale Funktion im sogenannten Pharmazeutischen Qualitätssystem (PQS) und bieten viele Vorteile, die für die gesamte Branche von Bedeutung sind:

  • Audits garantieren, dass Unternehmen die gesetzlichen und regulatorischen Anforderungen so einhalten und umsetzen, dass die hergestellten Arzneimittel wirklich qualitativ einwandfrei und auch sicher sind.
  • Durch Audits lassen sich potenzielle Fehlermöglichkeiten im Betrieb und bei der Herstellung frühzeitig erkennen, sodass Maßnahmen zur Risikominimierung ergriffen werden können. So wird verhindert, dass kritische Fehler oder Schwachstellen im Produktionsprozess zu ernsthaften Problemen führen und bedenkliche Arzneimittel in den Vertrieb und an Patienten gelangen.
  • Audits bieten die Möglichkeit, bestehende Prozesse zu bewerten und Optimierungspotenziale zu identifizieren. Auf diese Weise können Unternehmen ihre Effizienz steigern und gleichzeitig die Qualität verbessern.
  • Regelmäßige Audits stärken das Vertrauen von Kunden, Partnern und Regulierungsbehörden. Ein gut dokumentiertes und durchgeführtes Audit zeigt, dass das Unternehmen in der Lage ist, sich selbst kritisch zu hinterfragen, um so anhaltend hochwertige Produkte zuverlässig für die Marktversorgung zu liefern.

Der Ablauf eines Audits: Schritt für Schritt

Ein Audit im GxP-Bereich folgt einem strukturierten Ablauf, der es dem Auditor ermöglicht, die Prozesse im Unternehmen gründlich zu prüfen. Typischerweise besteht ein Audit aus sechs Hauptphasen:

  1. Die Planung: Die Auditvorbereitung ist entscheidend für den Erfolg. Die beteiligten Parteien müssen sicherstellen, dass alle relevanten Personen und Dokumente verfügbar sind. Eine gründliche Planung sorgt für einen reibungslosen Ablauf.
  2. Die Eingangsbesprechung: In diesem Schritt treffen sich die Auditoren und die Vertreter des zu auditierenden Unternehmens zum Auditbeginn. Der Auditplan bzw. die Audit-Agenda wird nochmals besprochen. Hier werden auch Fragen geklärt und Erwartungen festgelegt, soweit sie nicht bereits vor dem Audit klar verstanden wurden.
  3. Die Durchführung des Audits: Der Auditor überprüft die Räumlichkeiten, Maschinen, Dokumente und Prozesse des Unternehmens. In dieser Phase finden auch Interviews mit den Mitarbeitern statt, um die praktische Umsetzung der Prozesse zu bewerten.
  4. Die Abschlussbesprechung: Am Ende des Audits werden die Ergebnisse zusammengefasst. Hier wird besprochen, was gut funktioniert hat und wo es Verbesserungsbedarf gibt.
  5. Der Auditbericht: Der Auditor erstellt einen detaillierten Bericht, der die Ergebnisse des Audits dokumentiert. Dieser Bericht enthält auch Empfehlungen, die dem Unternehmen helfen sollen, Schwachstellen zu beheben und die Prozesse weiter zu verbessern.
  6. Die Nachverfolgung der Auditergebnisse: Nach dem Audit ist die Nachverfolgung essenziell, um sicherzustellen, dass die empfohlenen Maßnahmen umgesetzt wurden. Dies umfasst die Dokumentation der Korrekturen und ggf. erneute Überprüfungen, um die Nachhaltigkeit der Verbesserungen zu gewährleisten.

Vorbereitung der auditierten Firma auf ein GxP-Audit: So gelingt es

Eine gründliche Vorbereitung ist der Schlüssel zu einem erfolgreichen Audit. Unternehmen sollten sicherstellen, dass ihre Dokumente vollständig und aktuell sind und ihre Mitarbeiter über die Anforderungen des Audits informiert sind. Die Schulung der Mitarbeiter spielt hierbei eine zentrale Rolle, da ein gut vorbereitetes Team dazu beiträgt, dass das Audit reibungslos verläuft und mögliche Mängel frühzeitig erkannt werden können.

Tipps für die Auditvorbereitung:

  • Überprüfen Sie alle wichtigen Dokumente, einschließlich SOPs (Standardarbeitsanweisungen), Chargendokumentationen und Qualifizierungsunterlagen
  • Führen Sie vorab, wenn möglich, interne Mock-Audits durch, um Schwachstellen vorab zu identifizieren
  • Bringen Sie Ihr Team auf den neuesten Stand, was regulatorische Anforderungen und die Erwartungen des Audits angeht

Erfolgreiche Auditpraxis: Der Schlüssel zum Erfolg

Ein erfolgreiches Audit erfordert eine sorgfältige Vorbereitung, eine klare Struktur und eine detaillierte Nachbereitung. Die Zusammenarbeit zwischen Auditor und auditiertem Unternehmen ist von großer Bedeutung, um ein gemeinsames Verständnis der Anforderungen und Erwartungen zu entwickeln. Dies fördert nicht nur die Compliance, sondern auch die kontinuierliche Verbesserung der Prozesse. Unternehmen, die regelmäßige Audits in ihren Geschäftsablauf integrieren, verbessern ihre Qualitätssicherung und verringern das Risiko von Produktionsfehlern oder Nichteinhaltung von Vorschriften.

Fazit: Audits als Schlüssel zur Qualitätssicherung

Audits sind ein unverzichtbarer Bestandteil des Qualitätsmanagements im GxP-Bereich. Sie helfen nicht nur, die Einhaltung von Vorschriften zu sichern, sondern fördern auch die Qualität und Sicherheit von Produkten. Eine gründliche Vorbereitung und die Auswahl erfahrener Auditoren sind entscheidend für den Erfolg eines Audits. 

Wir beim Experts Institut bieten nicht nur Schulungen für Auditoren an, sondern unterstützen Sie auch gerne dabei, Ihre Compliance sicherzustellen und Ihre Prozesse kontinuierlich zu verbessern. Wir können „Audits“. Kontaktieren Sie uns unter info@expertsinstitut.de

Sie möchten mehr erfahren?

Hören Sie sich unsere Podcastfolge „Audits in der Pharmaindustrie“ an, in der wir die Bedeutung und Herausforderungen von Audits im Detail beleuchten: https://podcasters.spotify.com/pod/show/experts-insights/episodes/Audits-in-der-Pharmaindustrie-e2of577

Lesen Sie unseren Blog: experts-institut.de/newsroom

Folgen Sie uns auf LinkedIn: Experts Institut LinkedIn

/von
, , , , ,

Quality Management Maturity: The Importance of Good English Writing Practices (GEWP)

English is common for most who work in a GxP-regulated industry. Though most would consider themselves firm English speakers, the truth of the matter is: most will never go beyond some standard vocabulary, and most have only little understanding of English grammar and writing style. After the Brexit, in Europe very few are English native speakers. One could likely make a case for that even English EU GxP Guidance and Drug Regulation documents suffer from this issue.

No, English is in fact not easy – good English is just not!

In company GxP documents and reports the English text often suffers from features of other languages which are unknowingly imposed on it because authors and reviewers are not native speakers.

Consequences of Poor Language Quality

Clarity and quality suffer, content is misrepresented, reports are harder to read later on, procedures are misinterpreted due to undetected ambiguity, even wrong conclusions can be the consequence of using substandard “EUnglish” instead of actual English. And when a native English speaking authority comes in for inspection (USFDA, TGA, MHRA) all of a sudden QA wonders why the authorities have such trouble seeing through the local QMS and GxP-system and find what they read rather irksome (if You need to look up “irksome” then I totally got You!). “And here we thought all is fine…”.

Tailored Training by Experts Institut

Experts Institut offers a customized and taylor-made applicational training on “Technical Editing of GxP Documents: The Relevance of Quality and Style”. This training is relevant for really all levels of GMP-/GxP-regulated organizations. The training provides theoretical elements of English language features and how they can interfere with other languages in GxP documents and reports. Important elements in English writing style are presented as well. Application of the theoretical part is then trained in inductive workshop sections to gain immediate hands-on understanding of how all this plays out in real GxP life.

Basic quality systems can make good use of this, just as well established ones can. It is a great contribution to the foundation of Pharmaceutical Quality Management Maturity.

This training is one of many reasons why Experts Institut is so unique in its work portfolio: We go beyond GMP/GxP-only – We see the big picture – We see the whole. For Your benefit.

Feel free to contact us and make an appointment to talk about how we can customize this expertise to Your need. Get ahead and in touch with us – info@expertsinstitut.de

Read our full blog: https://experts-institut.com/newsroom/

And feel free to follow us on LinkedIn: https://de.linkedin.com/company/expertsinstitut

/von
,

Crossing Cultures in Audits and Inspections

Today the world, with its regulated industry, is strongly globalized. The cultural diversity of a company’s staff can be huge, reflecting different cultures from around the world. This is one reason why many would assume that the entire world can be talked to, related to, and understood quite readily. It is part of everyday work for many after all—or so we think.

In the area of audits and inspections, crossing cultures happens all the time. Different cultures bring varying perspectives, which can influence how audits are perceived and conducted. Where supply chains are globalized, trans-national and trans-continental audits and inspections are mandatory and pretty much normal in many company and regulatory settings. Understanding the nuances of each culture involved is essential for effective communication and successful outcomes.

True Multiculturalism and Cultural Limits

This poses a problem though: we learn to communicate, read, and perceive in our birth culture. And even if a society is highly diverse, we are still product of a cultural framework that is discrete—in other words, that has boundaries. It is simply impossible for one person to really become multicultural—our lifespan is just not large enough. You may be the child of a double or third culture set of parents, but true multiculturalism in a single individual is virtually impossible.

So as we are controlled by our birth culture, we do not learn how to properly navigate in foreign cultural contexts (and globalization does not do away with this at all). We may think we know what is going on around us when we engage people from other host cultures, but we really do not. Even in a seasoned friendship with someone from another country, there will still be a vast degree of ignorance in understanding the other person. We believe we know and understand. But we miss most of it in reality. We continue to filter everything we experience, see, hear and judge through what we believe is normal, and our frame of reference is our birth culture. And we cannot stop doing it because we are not even aware of it.

The Impact of Culture on Audits and Inspections

And now it gets interesting: This problem includes audit and inspection situations!
Good auditing is more than knowing compliance requirements, audit methodology, and a work experience of 100+ or even 1000+ audits.

Culture is so powerful that it controls everything we think, say and do. And what we expect of others. In an audit situation (also in GMP inspections), this routinely produces misunderstandings. And many of them are never corrected, simply because neither the auditor nor the auditee is aware of them.

From document reviews, an auditor may conclude that a company is falsifying records, when the truth is though that what the auditor saw has nothing to do with cheating at all.

An auditor may think the auditee is trying to avoid saying the truth about a given audit question or subject, but there is no intent of this in the conversation at all. But the auditor is blind to this.

As a result of examples like these, auditors will put their impressions into the report, in a coded form of course, but it will color all parts of the report and the perception of GMP deficiencies—even the judgment on severeness.

If an auditor is not aware of what is missed and where the personal perception of things is going astray, then such an auditor must improve. The objectiveness of the report will suffer, and the picture that is brought home is greatly inaccurate. We do a disservice to the auditee and to our own sending unit. And frankly, to ourselves…

This plays out even more drastically in audits of suppliers or service providers where no GMP or GxP quality system is available. Such cultural ignorance can make or break the business relationship altogether.

How can You improve?

  • Stop thinking that cultural differences are easy to figure out. You cannot guess them. You need extra training for this.
  • Understand that cultural differences have little to do with differing food preferences or how a business card must be presented.
  • Respect that standards—even GMP—can be lived effectively in different ways.
  • Open to the truth that You do not know everything best.

Read our full blog: https://experts-institut.de/newsroom/

And feel free to follow us on LinkedIn: https://de.linkedin.com/company/expertsinstitut

/von
Logo Experts Institut

Webpräsenz der Allianz für Cyber- Sicherheit
kununu widget

Business Solutions

GMP / GXP Beratung

EI Academy

Neustadt

Experts Institut Beratungs GmbH
Weinstraße 85

D-67434 Neustadt a. d. Weinstraße

Tel.: +49 (0)6321 969210
E-Mail: info@expertsinstitut.de

Fax: +49 (0)6321 9692199

Bamberg

Experts Institut Beratungs GmbH
Untere Sandstraße 53

D-96049 Bamberg

Tel.: +49 (0)951 51939330
E-Mail: info@expertsinstitut.de

St. Gilgen (Österreich)

Experts Institut Beratungs GmbH
Helenenstraße 16

A-5340 St. Gilgen, Österreich

Tel.: +43 (0)6227 21068
E-Mail: info@expertsinstitut.de