GAMP 5 ist der ISPE-Leitfaden „A Risk-Based Approach to Compliant GxP Computerized Systems“ für den sachgerechten Umgang mit computergestützten GxP-Systemen. Er beschreibt einen patientenzentrierten, risikobasierten Lebenszyklusansatz, der Patientensicherheit, Produktqualität und Datenintegrität schützen soll. Die zweite Auflage versteht sich als praxisorientierte Anleitung und nicht als unmittelbar verbindliche Vorschrift.
Leitgedanke: angemessen statt schematisch
GAMP 5 richtet den Aufwand für Spezifikation, Lieferantensteuerung, Tests und Betriebsmaßnahmen an der Bedeutung der jeweiligen Systemfunktion aus. Ein Werkzeug, das eine randomisierte Zuteilung ausführt oder kritische Sicherheitsdaten verarbeitet, erfordert eine andere Nachweistiefe als eine Anwendung ohne GxP-relevante Entscheidung. Der Leitfaden soll dabei gerade keine starre Einheitsmethode vorgeben, sondern begründete, verhältnismäßige Praktiken ermöglichen.
Der Ansatz beginnt mit dem vorgesehenen Zweck des Systems. Anforderungen, Risiken und Kontrollen werden nicht isoliert für Softwarefunktionen gesammelt, sondern danach beurteilt, welche Auswirkung ein Fehler auf Patientinnen und Patienten, Produktqualität oder die Verlässlichkeit regulierter Daten haben kann. Fachleute aus dem Geschäftsprozess müssen deshalb an Entscheidungen beteiligt sein; technische Testnachweise allein erklären noch nicht, welche Nutzung als akzeptabel gilt.
Lebenszyklus und Dienstleister
GAMP fördert eine Betrachtung über Konzept, Beschaffung oder Entwicklung, Konfiguration, Freigabe, Betrieb, Änderung und Außerbetriebnahme hinweg. In jedem Abschnitt entstehen andere Nachweise: Benutzeranforderungen präzisieren den Zweck, Tests belegen die Umsetzung kritischer Funktionen und Betriebsprozesse steuern Zugang, Störungen, Datensicherung oder Änderungen. Der Validierungsstand ist somit ein fortlaufend zu erhaltendes Ergebnis.
Die zweite Auflage berücksichtigt nach Angaben der ISPE auch Dienstleister und iterative Entwicklung. Das ist für cloudbasierte EDC- oder eTMF-Lösungen relevant, weil Anbieterleistung, Konfiguration und Verantwortlichkeit miteinander verbunden werden müssen. Ein Lieferant kann Dokumentation und Testmaterial bereitstellen, doch die Entscheidung, ob die bereitgestellte Lösung den eigenen regulierten Anwendungsfall abdeckt, bleibt beim nutzenden Unternehmen.
Abgrenzung zur computergestützten Systemvalidierung
GAMP 5 ist der Leitfaden, nach dessen Prinzipien ein risikobasierter Validierungsansatz gestaltet werden kann. Computerized System Validation ist dagegen die konkrete, dokumentierte Tätigkeit und der Nachweis, dass ein bestimmtes System für seine vorgesehene Nutzung geeignet bleibt. Der Leitfaden ersetzt weder Benutzeranforderungen noch Testprotokolle oder Freigabeentscheidungen eines einzelnen Systems.
Auch GxP ist weiter gefasst. Es bezeichnet die regulierte Qualitätsumgebung, in der Anforderungen aus guter klinischer, Herstellungs-, Labor- oder Vertriebspraxis greifen können. GAMP 5 konzentriert sich auf computergestützte Systeme innerhalb solcher Umgebungen. Daraus folgt nicht, dass jede technische Anwendung automatisch nach GAMP 5 denselben Validierungsumfang erhält.
Für die Anwendung bedeutet „risikobasiert“ auch, dass vorhandene Lieferantenevidenz gezielt genutzt werden kann. Die Übernahme erfolgt jedoch nach einer Bewertung ihrer Relevanz für die eigene Konfiguration, nicht als pauschale Entlastung. Ein Anbieter kann beispielsweise Standardtests zur Kernfunktion liefern, während die studienspezifische Integration eines ePRO-Systems in das EDC zusätzliche Tests beim Sponsor oder dessen Dienstleister benötigt. Die Nachweisstrategie sollte die kritischen Funktionen mit den jeweils passenden Belegen verbinden.
GAMP 5 legt Wert auf nachvollziehbares fachliches Urteilsvermögen. Ein Prüfplan, der für alle Anwendungen die gleiche Testtiefe vorsieht, kann Ressourcen an wenig kritischen Details binden und zugleich eine wesentliche Schnittstelle untergewichten. Umgekehrt darf ein agiler Entwicklungsansatz nicht dazu führen, dass Anforderungen, Änderungen und Freigaben unklar bleiben. Der Leitfaden bietet hierfür Denkmodelle und Werkzeuge, bestimmt aber nicht die konkrete organisationsinterne Arbeitsanweisung.
Damit bleiben Ressourcen dort konzentriert, wo ein Systemfehler die klinische Entscheidung, den Teilnehmerschutz oder die Integrität eines Einreichungsdatensatzes tatsächlich beeinträchtigen könnte.
Die Begründung der Gewichtung muss für die jeweilige Systemfunktion nachvollziehbar festgehalten werden.
Bedeutung für klinische Studien
In klinischen Prüfungen hilft GAMP 5, die Diskussion über EDC, eTMF, ePRO oder Randomisierung von der Frage „Ist das System validiert?“ zu den konkreten Nutzungsrisiken zu verschieben. Besonders entscheidend sind die protokollrelevante Konfiguration, die Nachweise für Schnittstellen, Berechtigungen und Versionswechsel sowie die Behandlung von Abweichungen. Ein generischer Lieferantenbericht ersetzt keine Bewertung der studienspezifischen Einrichtung.
Full-Service-CROs wie Mediconomics unterstützen bei risikobasierten Benutzeranforderungen, Lieferantenbewertungen und Validierungsplänen für studienbezogene Systeme. Sie können Testfälle für kritische Datenflüsse koordinieren, Change-Control-Unterlagen bewerten und die Freigabe von EDC-, ePRO- oder IRT-Konfigurationen mit Datenmanagement, Clinical Operations und Qualitätsmanagement verknüpfen.
Häufig gestellte Fragen (FAQ)
Ist GAMP 5 selbst eine gesetzliche Vorgabe?
Nein. Die ISPE beschreibt GAMP als Leitfaden und ausdrücklich nicht als Standard oder vorgeschriebene Methode. Er hilft bei der Auslegung regulierter Erwartungen an GxP-Systeme.
Gilt GAMP 5 nur für in eigener Regie entwickelte Software?
Nein. Der Ansatz ist auch für konfigurierte Standardsoftware und von Dienstleistern erbrachte Leistungen relevant, weil deren Eignung für den vorgesehenen Gebrauch bewertet werden muss.
Endet die Arbeit nach der Systemfreigabe?
Nein. Der Lebenszyklusansatz umfasst auch Betrieb, Änderungen und kontrollierte Außerbetriebnahme. Neue Risiken können eine erneute Bewertung oder zusätzliche Nachweise erfordern.
Regulatorische Referenzen
- ISPE GAMP 5 Guide, Second Edition – beschreibt den risikobasierten Lebenszyklusansatz für GxP-Systeme.
- EudraLex Volume 4, Annex 11 – verlangt risikobasierte Validierung und Kontrollen der Datenintegrität.
- EMA/INS/GCP/112288/2023 – überträgt Erwartungen an computergestützte Systeme auf klinische Prüfungen.
