Alternativer Ansatz zur Risikobewertung von computergestützten Systemen

Ziel ist es, eine Aussage darüber zu bekommen, welches Risiko eine Anforderung mit sich bringt und ob weitere risikominimierende Maßnahmen erforderlich sind.

Aus der Anwendung der Methode des Golden Circle ergeben sich folgende Aufgaben, um das Ziel der Risikobewertung computergestützter Systeme zu erreichen:

1. Lastenheft mit allen regulatorischen und Prozess-Anforderungen erstellen
2. Unerwünschte Wirkungen identifizieren und die erforderlichen risikominimierenden Maßnahmen als Anforderungen im Lastenheft ergänzen
3. Software- und Hardware-Kategorie gemäß ISPE GAMP^® 5-Definition den Anforderungen im Lastenheft zuordnen
4. Für jede Anforderung die GxP-Relevanz bestimmen
5. Risikoprioritätszahl bestimmen
6. Risikoprioritätszahl bewerten

Die Schritte 1-3 sind bereits in Kapitel 9.D.1 Systemklassifizierung nach ISPE GAMP^® 5 und Kapitel 9.E Validierung computergestützter Systeme beschrieben und werden daher hier nur kurz zusammengefasst. Die Bestimmung der GxP-Relevanz, die Berechnung der Risikoprioritätszahl sowie deren mögliche Bewertung (Schritte 4-6) werden nachfolgend erläutert.

In der Regel sind computergestützte Systeme aus Modulen, Komponenten und Funktionen aufgebaut, denen verschiedene Softwarekategorien gemäß ISPE GAMP^® 5 zur Erfüllung einer Anforderung zugeordnet werden können. So wird beispielsweise eine individuell programmierte Schnittstelle der Softwarekategorie 5 zugeordnet, während ein Standard-Monitoring-System ohne Konfiguration der Softwarekategorie 3 entspricht. Für die Risikobewertung kann daher jede Anforderung einzeln betrachtet und bewertet werden.

Durch die Anwendung von Risikoanalysemethoden können potentiell unerwünschte Wirkungen oder fehlende Anforderungen aufgezeigt werden. Die Ergebnisse sollten iterativ als Anforderung im Lastenheft ergänzt und ebenso einer Risikobeurteilung unterzogen werden.

Schritt 4: Bestimmung der GxP-Relevanz

Der ISPE GAMP^® 5 gibt einige Beispiele zur Risikobeurteilung, wird jedoch bei Angaben zur Risikopriorität respektive Auswirkung unerwünschter Wirkungen auf Patientensicherheit, Produktqualität und Datenintegrität eines computergestützten Systems nicht konkret. Der ISPEGAMP^® 5 folgt damit letztlich nur der Formulierung der ICH Q9, quantitative Beschreibungen wie zum Beispiel “high”, “medium” oder “low” so detailliert wie möglich zu definieren. Entsprechende Zitate sind in Abbildung 4 wiedergegeben.

Abbildung 1 Aussagen der ICH Q9 und des GAMP^® 5 zur Klassifizierung von Risiken

Im Rahmen der Computersystem-Validierung ist es wichtig festzustellen, ob sich eine Funktion des Systems auf die Patientensicherheit, Produktqualität und Datenintegrität auswirken kann und somit GxP-relevant ist. Weiter ist von Bedeutung, ob eine Fehlfunktion indirekten oder direkten Einfluss nehmen kann. Dort, wo sich das Risiko von Fehlfunktionen nicht durch technische Maßnahmen eliminieren lässt, sollte ein Monitoring implementiert werden und eine Korrektur möglich sein.

Mit der Einführung der GxP-Relevanz als Beispiel einer risikobeschreibenden Größe lassen sich die genannten Aspekte in fünf Stufen differenzieren (Abbildung 5). Diese Stufen sollten durch den Anwender für den jeweils eigenen Risikomanagementprozess weiter spezifiziert werden.

Abbildung 2 Definition der GxP-Relevanz

Schritt 5: Berechnung der Risikoprioritätszahl

Die Risikoprioritätszahl einer Anforderung aus dem Lastenheft eines computergestützten Systems errechnet sich aus der ISPE GAMP^® 5-Kategorie des Systems und der GxP-Relevanz wie folgt:

Risikoprioritätszahl (RPZ) = (ISPE GAMP^® 5-Kategorie) x (GxP-Relevanz)

Abbildung 3 Risikoprioritätszahlen aus ISPE GAMP^® 5-Kategorie und GxP-Relevanz

Schritt 6: Bewertung der Risikoprioritätszahl

Basierend auf der ermittelten Risikoprioritätszahl der jeweiligen Anforderung wird die Notwendigkeit technischer oder organisatorischer Maßnahmen zur Minimierung des Risikos festgelegt.

Die Festlegung der Notwendigkeit von Maßnahmen erfolgt beispielhaft gemäß dem in Abbildung 7 gezeigten Schema.

Abbildung 4 Akzeptanzkriterien und Notwendigkeit von Maßnahmen

Somit sind für Anforderungen, die eine Risikoprioritätszahl < 5 haben, keine technischen oder organisatorischen Maßnahmen erforderlich und eine einfache Funktionsprüfung ist ausreichend. Im Gegensatz hierzu sind für Anforderungen mit einer Risikoprioritätszahl ≥ 15 Maßnahmen erforderlich. Für Anforderungen mit Risikoprioritätszahlen zwischen > 5 und < 15 sind Maßnahmen empfohlen.