Audit-Trail für 21 CFR Part 11: was und wie protokollieren?

21 CFR Part 11 der US-amerikanischen Food and Drug Administration (FDA) regelt elektronische Aufzeichnungen und elektronische Signaturen, die FDA-Anforderungen unterliegen. Hersteller und Auftragslabore, die den US-Markt beliefern, begegnen diesen Anforderungen auch in Kundenaudits. Auf der Softwareseite ist ihr sichtbarster Teil der Audit-Trail.

Dieser Beitrag fasst die Sicht eines Softwareteams zusammen; er ist keine Rechts- oder Regulierungsberatung. Ob ein System konform ist, wird im Rahmen der eigenen Validierung des Unternehmens bewertet.

Was sollte der Audit-Trail protokollieren?

Abschnitt 11.10(e) verlangt sichere, computergenerierte, mit Zeitstempel versehene Audit-Trails, die Datum und Uhrzeit von Benutzereingaben und Aktionen, die elektronische Aufzeichnungen anlegen, ändern oder löschen, unabhängig festhalten. In der Praxis wird je Ereignis gespeichert:

• wer: eine eindeutige Benutzerkennung
• wann: Serverzeit mit Angabe der Zeitzone
• was: Anlegen, Ändern oder Löschen
• welcher Datensatz und welches Feld
• alter und neuer Wert
• der Änderungsgrund (in GMP-Prozessen erwartet, z. B. nach EU-GMP-Annex 11)

Frühere Angaben dürfen nicht verdeckt werden

Derselbe Abschnitt verlangt, dass Änderungen frühere Angaben nicht verdecken. Im Design wird daraus zweierlei: Datensätze werden nicht physisch gelöscht, sondern als gelöscht markiert (Soft Delete), und Änderungen überschreiben nichts, sondern werden als neue Version angelegt. Der Audit-Trail selbst muss unveränderbar sein: Kein Anwender, auch kein Administrator, darf einen Audit-Eintrag bearbeiten können.

Aufbewahrung und Zugriff

Der Audit-Trail ist mindestens so lange aufzubewahren wie die zugehörige elektronische Aufzeichnung und muss bei einer Inspektion einsehbar und kopierbar sein. Deshalb gehören Audit-Einträge in dieselbe Sicherungs- und Archivierungsrichtlinie wie die Primärdaten, und es braucht einen lesbaren Export (PDF oder CSV).

Zugriffskontrolle und elektronische Signatur

In einem System mit schwacher Authentifizierung verliert der Audit-Trail seinen Sinn. Part 11 verlangt, den Systemzugriff auf berechtigte Personen zu beschränken (11.10(d)), in der elektronischen Signatur Name, Datum und Uhrzeit sowie die Bedeutung der Signatur (etwa „freigegeben“ oder „geprüft“) anzuzeigen (11.50) und die Signatur mit dem Datensatz zu verknüpfen (11.70). Jede elektronische Signatur gehört genau einer Person (11.100); gemeinsam genutzte Konten sind daher nicht zulässig.

Checkliste für die Softwareseite

• Ein eindeutiges Konto je Benutzer, rollenbasierte Rechte
• Serverseitig erzeugte, in der Anwendung nicht änderbare Audit-Einträge
• Alter und neuer Wert, Feld für den Änderungsgrund
• Soft Delete und Versionierung von Datensätzen
• Name, Datum/Uhrzeit und Bedeutung in elektronischen Signaturen
• Audit-Trail zusammen mit den Daten gesichert und exportierbar
• Nachvollziehbare Zuordnung von Anforderungen zu Tests für die Validierungsdokumentation

In unserer Serialisierungs- und Laborsoftware ist diese Struktur von Anfang an Teil des Designs. Wenn Sie den Audit-Trail eines bestehenden Systems gemeinsam prüfen möchten, schreiben Sie uns.