GAMP 5 Validering af It-systemer

Hvem skal have GAMP 5-validering af IT-systemer? GAMP 5 er ikke et lovpligtigt personbevis i Danmark. Det lovpligtige er, at relevante computeriserede systemer i GMP-reguleret lægemiddelfremstilling bliver valideret og dokumenteret korrekt.

Det danske lovgrundlag findes blandt andet i bekendtgørelse nr. 1358 af 18. december 2012 om fremstilling og indførsel af lægemidler og mellemprodukter. Efter § 22 skal en fremstiller, der anvender elektroniske, fotografiske eller andre databehandlingssystemer, validere systemet. Fremstilleren skal blandt andet kunne godtgøre, at data lagres passende, beskyttes mod tab eller beskadigelse, og at ændringer i data dokumenteres.

For importører indeholder bekendtgørelsens § 37 et tilsvarende krav til validering af elektroniske, fotografiske eller andre databehandlingssystemer, når de bruges til den relevante dokumentation.

Lægemiddelstyrelsen henviser desuden til de europæiske GMP-regler i EudraLex Volume 4. Annex 11 om Computerised Systems fastslår, at computeriserede systemer, der indgår i GMP-regulerede aktiviteter, er omfattet. Applikationen skal valideres, mens den relevante IT-infrastruktur skal kvalificeres.

Annex 11 kræver en risikobaseret tilgang. Omfanget af valideringen og kontrollen med dataintegritet skal derfor bygge på en begrundet og dokumenteret risikovurdering. Kritiske systemer kræver typisk mere dokumentation og kontrol end systemer med begrænset GMP-påvirkning.

GAMP 5 kommer ind som metode, ikke som lov. GAMP 5 udgives af ISPE og beskriver en risikobaseret måde at arbejde med computeriserede GxP-systemer gennem deres livscyklus. ISPE beskriver selv GAMP som praktisk guidance og ikke som en bindende standard eller en lovbestemt metode.

En virksomhed kan derfor bruge GAMP 5 til at strukturere eksempelvis kravspecifikation, risikovurdering, leverandørvurdering, test, sporbarhed, ændringsstyring og løbende kontrol. Men virksomheden kan ikke erstatte sit regulatoriske ansvar med et GAMP 5-kursusbevis hos en medarbejder.

Hvor tager man GAMP 5-beviset? Der findes ikke et dansk myndighedsudstedt eller lovpligtigt GAMP 5-personbevis. Derfor er der heller ikke et lovkrav om at bestå en bestemt dansk prøve eller benytte et myndighedsgodkendt prøvested.

Selve den regulatoriske validering udføres og dokumenteres i den GMP-regulerede virksomhed. Arbejdet involverer typisk systemejer, procesejer, Quality Assurance, IT og relevante fageksperter. Eksterne leverandører og valideringskonsulenter kan også udføre dele af arbejdet.

Annex 11 kræver, at relevante personer har passende kvalifikationer og klart definerede ansvarsområder. Hvis eksterne leverandører bruges til blandt andet installation, konfiguration, integration, validering, vedligeholdelse eller ændringer, skal ansvaret mellem virksomheden og leverandøren være formelt beskrevet.

Hvis en fagperson ønsker dokumentation for uddannelse i GAMP, tilbyder ISPE Academy et GAMP Essentials Certificate. Programmet behandler blandt andet risikobaseret validering, dataintegritet og regulatoriske krav med udgangspunkt i GAMP 5.

ISPE-certifikatet er faglig efteruddannelse. Det er ikke et dansk myndighedsbevis, og det fritager ikke en lægemiddelvirksomhed fra selv at dokumentere, at dens konkrete computeriserede systemer er egnede til deres tilsigtede brug og opfylder GMP-kravene.

Pris og varighed for GAMP 5-validering Der findes ingen myndighedsfastsat pris eller kursusvarighed for et lovpligtigt GAMP 5-bevis, fordi et sådant personbevis ikke findes i dansk lovgivning.

Omkostningen og arbejdsomfanget ved validering afhænger i stedet af det konkrete system og dets GMP-risiko. Et standardsystem med begrænset konfiguration kan kræve en anden indsats end et specialudviklet produktions-, laboratorie- eller kvalitetssystem med mange integrationer og kritiske data.

Annex 11 kræver, at valideringsdokumentation og rapporter dækker de relevante dele af systemets livscyklus. Virksomheden skal kunne begrunde sine standarder, protokoller, acceptkriterier, procedurer og registreringer ud fra den dokumenterede risikovurdering.

For specialudviklede eller stærkt tilpassede systemer stiller Annex 11 særskilt krav om en proces, der sikrer formel vurdering og rapportering af kvalitet og performance gennem systemets relevante livscyklus.

Prisen og forløbet for frivillig GAMP-undervisning eller et ISPE-certifikat fastsættes af den konkrete udbyder og er ikke en offentlig myndighedsafgift.

Gyldighed og fornyelse af GAMP 5-validering Der er ingen lovbestemt udløbsdato eller fornyelsesordning for et personligt GAMP 5-bevis i Danmark, fordi lovgivningen ikke kræver et sådant bevis.

For det validerede IT-system er situationen anderledes. Annex 11 kræver, at computeriserede systemer løbende forbliver i en valideret tilstand og fortsat overholder GMP.

Systemerne skal evalueres periodisk. Den vurdering kan blandt andet omfatte funktionalitet, afvigelser, hændelser, problemer, opgraderinger, performance, pålidelighed, sikkerhed og den aktuelle valideringsstatus.

Ændringer i et computeriseret system, herunder konfiguration, skal ske kontrolleret efter en defineret procedure. En opgradering, større konfigurationsændring, ny integration eller ændret anvendelse kan derfor udløse en vurdering af, om eksisterende validering stadig er dækkende, og hvilke nye test eller dokumentation der er nødvendige.

Det centrale regulatoriske krav er således ikke at forny et GAMP 5-kursusbevis. Det er at kunne dokumentere gennem systemets livscyklus, at det fortsat er egnet til den tilsigtede GMP-anvendelse, og at patientbeskyttelse, produktkvalitet og dataintegritet er under kontrol.