E-Signaturen FDA-konform einsetzen: Annex 11, 21 CFR Part 11 & Co.

Auditfähige E-Signaturen in regulierten Branchen: Annex 11, 21 CFR Part 11 & Co.

In Pharma, MedTech und Biotech zählt jede Unterschrift – und jede muss lückenlos nachvollziehbar sein. Wer Chargen freigibt, SOPs genehmigt oder Konformitätserklärungen unterzeichnet, bewegt sich in einem engen Rahmen aus Annex 11, 21 CFR Part 11 und weiteren Vorgaben. Die gute Nachricht: Genau hier spielt die elektronische Signatur ihre Stärken aus.

In diesem Webinar klären wir gemeinsam mit dem GMP-Auditor Timo Jäger, welche Compliance-Anforderungen an digitale Signaturen in regulierten Branchen gelten – und wie Sie sie in der Praxis erfüllen. Von den rechtlichen Grundlagen über eine Live-Demo bis zur konkreten Checkliste für ERES-Konformität.

Mit dabei sind zwei Perspektiven: Sven Sauer, Senior Account Executive bei Skribble, ordnet ein, warum die E-Signatur gerade in regulierten Umfeldern punktet, und zeigt die Plattform live. Timo Jäger, GMP-Auditor und Berater für Qualitätsmanagement, übersetzt die Regulatorik in klare, umsetzbare Schritte.

Das nehmen Sie mit

• Warum E-Signaturen in regulierten Branchen mehr Nachvollziehbarkeit bieten als die handschriftliche Unterschrift
• Was 21 CFR Part 11, Annex 11 und die AMWHV konkret von einer elektronischen Unterschrift fordern
• Wann Sie welchen Signaturstandard brauchen – und warum die Konformitätserklärung die QES verlangt
• Wie Sie ein Dokument nach 21 CFR Part 11 in wenigen Schritten signieren
• Wie Sie die ERES-Anforderungen mit einer Validierung nach GAMP 5 erfüllen

Kurz: Compliance muss nicht kompliziert sein. Mit dem richtigen Standard und einem sauber validierten Prozess wird die digitale Signatur zum verlässlichen Baustein Ihres Qualitätsmanagements.

Vollständiges Transkript

Begrüssung und Vorstellung der Gäste

Sven Sauer: Ein herzliches Hallo und willkommen zu unserem Webinar «Annex 11, Part 11 und Co.: Compliance-Anforderungen an digitale Signaturen verstehen und umsetzen». Mein Name ist Sven Sauer, ich bin seit fast drei Jahren Senior Account Executive bei Skribble. Ich bin Ansprechpartner für Unternehmen, die zum ersten Mal auf eine E-Signatur umstellen möchten – vom Erstgespräch über die Beratung bis zum Vertragsabschluss. Und natürlich spreche ich auch mit Unternehmen, die bereits eine E-Signatur im Einsatz haben und sich einen anderen Anbieter anschauen möchten.

Ich freue mich sehr über meinen Gesprächspartner und Experten heute, der sich gleich vertieft in die Thematik einführen wird: Timo Jäger, Auditor und Berater im Qualitätsmanagement. Timo, magst du kurz etwas zu dir sagen?

Timo Jäger: Vielen Dank für die Einführung und auch von mir herzlich willkommen. Ich bin seit 2003 im GMP-regulierten Umfeld tätig, unter anderem als GMP-Auditor und Qualitätsmanagement-Beauftragter. Warum ich Skribble unterstütze: Ich habe bei einem Medizinproduktehersteller der Klasse IIa im Dentalbereich diese Unterschriftenprozedur eingeführt und war sehr zufrieden. Während weiterer Webinare konnte ich mich dann hier bei Skribble platzieren.

Sven Sauer: Sehr schön, vielen Dank, Timo. Eine kurze Frage: Erinnerst du dich noch, wann du das erste Mal mit einer E-Signatur in Berührung kamst?

Timo Jäger: Mit E-Signaturen kam ich schon 2005, 2006 in Berührung – allerdings nicht im PDF-Format, das ja das Papier ersetzen sollte, sondern über diverse Systeme, die elektronisch, praktisch über Benutzername und Passwort, eine sogenannte E-Signatur ermöglicht haben. Das waren Systeme wie TrackWise, Documentum und so weiter.

Sven Sauer: Da warst du damals sicher einer der Pioniere. Und in letzter Zeit: Hast du in Gesprächen mit deinen Kunden gemerkt, dass sich beim Thema E-Signatur etwas tut, dass mehr Unternehmen darüber sprechen?

Timo Jäger: Ja, auf jeden Fall. Es geht hauptsächlich darum, dass Papiere, die normalerweise per Hand unterschrieben werden – also ausgedruckt oder per Post versendet, händisch unterschrieben und wieder eingescannt werden müssen –, sich digital abbilden lassen. Hier sehe ich einen grossen Vorteil: Man kann PDFs direkt verschicken oder in eine Cloud hochladen und dort die Verantwortlichen einladen, eine Unterschrift beziehungsweise Freigabe zu erteilen.

Die Agenda des Webinars

Sven Sauer: Spannend, Timo, was du schon erlebt hast. Kurz zur Agenda: Ich gehe zunächst darauf ein, warum digitale Signaturen in regulierten Branchen sinnvoll sind. Timo schaut sich dann das Thema Annex 11 und Part 11 vertieft mit Ihnen an. Anschliessend wollen wir die Theorie auch in der Praxis sehen: Ich zeige eine Demo, wie das mit Skribble in unserer Plattform aussieht. Ich habe gesehen, dass viele Teilnehmende noch keine Skribble-Kunden sind – das ist sicher spannend. Danach geht Timo bei der Checkliste zur Erfüllung der ERES-Anforderungen noch einmal in die Tiefe. Und am Ende ist natürlich Platz für Ihre Fragen.

Stellen Sie Ihre Fragen gerne über die Chatfunktion. Meine Kollegin Jasmin im Hintergrund beantwortet die eine oder andere Frage vielleicht schon direkt. Für den Rest haben wir uns am Ende Zeit reserviert.

Warum digitale Signaturen in regulierten Branchen?

Sven Sauer: Fangen wir an mit «Warum digitale Signaturen in regulierten Branchen». Wir haben dazu Umfragen mit unseren Experten gestartet und sind auf einen Punkt gestossen: Viele Unternehmen unterschreiben noch per Hand. Das sieht auf den ersten Blick romantisch und schön aus. In der Realität ist es aber eher ineffizient, teuer, Papierverschwendung – und ein gewisser Stressfaktor.

Auf diesem Bild sehen Sie übrigens Kolleginnen und Kollegen von mir, auch Mitgründer des Unternehmens. Vor einigen Monaten hat ein grösserer Finanzdienstleister mit uns einen E-Signatur-Vertrag abgeschlossen – und wollte diesen Vertrag dann über 60 Seiten Papier unterschreiben lassen. Das machen wir eigentlich nicht mehr. Es war chaotisch und nicht das, was wir uns vorgestellt haben.

Dass das nicht mehr passieren muss, ist genau das Thema. Wir haben über 4'000 Kunden allein in der DACH-Region und eine Umfrage mit QA-Verantwortlichen, IT-Expertinnen, Produktionsleitung, Compliance und Legal gestartet – gerade auch in regulierten Bereichen wie Food, MedTech und Biotech. Die Frage: Warum seid ihr auf die E-Signatur umgestiegen?

Der erste Grund ist Nachvollziehbarkeit und Compliance von Anfang an. In streng regulierten Umfeldern ist die Signatur Teil eines lückenlosen Audit-Trails. Wenn man mit dem höchsten Standard signiert, der qualifizierten elektronischen Signatur (QES), ist jede Zustimmung revisionssicher dokumentiert und lückenlos nachvollziehbar – gemäss EU-Verordnung wie eIDAS, der ZertES in der Schweiz oder branchenspezifischen Anforderungen wie 21 CFR Part 11.

Der zweite Punkt: operative Effizienz ohne Kompromiss bei der Sicherheit. Bei kritischen Prozessen wie klinischen Studien, Produktionszulassungen oder Lieferantenfreigaben beschleunigt die E-Signatur den Prozess enorm, ohne Sicherheit oder Validierung zu gefährden – und minimiert die manuelle Fehlerquelle.

Der dritte Punkt: standortübergreifend und rechtsgültig handeln. Gerade bei globalen Teams oder bei Unterschriften mit Behörden und Zertifizierungsstellen sind Verzögerungen das Letzte, was man braucht. Das sind zeitkritische Prozesse. Signaturen laufen in Echtzeit, oft in zwei bis drei Minuten – auch über Landesgrenzen hinweg.

Der vierte Punkt: Standardisierung und digitale Transformation fördern. Die E-Signatur ist ein Baustein der digitalen Transformation. Sie hilft, standardisierte Workflows wie SOP-Freigaben oder Lieferantenfreigaben sicher zu signieren, und macht papierbasierte Dokumente überflüssig.

Und der letzte Punkt: Vertrauen durch Validierung und Identitätsprüfung. Gerade in sensiblen, regulierten Bereichen ist wichtig, dass die signierende Person zweifelsfrei verifiziert werden kann. Mit der QES ist das der Fall, weil davor eine Identitätsprüfung durchlaufen wird. Das ist ein grosser Vorteil gegenüber der handschriftlichen Unterschrift, deren Authentizität oft schwer nachzuvollziehen ist.

Was die E-Signatur spart: Zahlen und ROI

Sven Sauer: Legen wir ein paar Zahlen dahinter, damit man das einordnen kann. Wir stellen unseren Kunden einen ROI-Rechner (Return on Investment) zur Verfügung, der das Einsparpotenzial berechnet. Dabei hat sich ergeben: Rund 34 Franken unnötige Ausgaben fallen pro Dokument an, wenn es von Hand unterzeichnet und per Post versandt wird. Das hat auch mit den Löhnen in der Schweiz zu tun. Und Signierende verschwenden pro Dokument rund 27 Minuten, wenn sie von Hand unterschreiben, zum Drucker gehen und einscannen müssen – über 90 Prozent Zeitersparnis bewirkt hier die E-Signatur.

Für viele wichtig: 9,8 Millionen Blatt Papier haben unsere Kunden 2024 gespart – ein Papierstapel, dreimal so hoch wie der Eiffelturm. Und 50 Prozent weniger CO₂-Emissionen als beim Unterschreiben von Hand.

Ich habe das für einen unserer MedTech-Kunden hochgerechnet, einen Schweizer Kunden aus Basel mit rund 1'000 Mitarbeitenden. In den letzten zwölf Monaten lagen die Signaturen bei circa 1'600, mit zwei Signaturen pro Dokument und fünf Seiten pro Dokument. Das Ergebnis: rund 27'000 Franken gespart, 43 Arbeitstage gespart, fast 8'000 Blatt Papier nicht gedruckt und 38 Kilo CO₂ eingespart. Diesen Überblick über das Einsparpotenzial – gerade beim Papier – bieten wir auch direkt im Produkt an. Öffnet man einen Account, sieht man, wie viel Blatt Papier man eingespart hat. Dieser ökologische Aspekt ist für viele Unternehmen ein wichtiger Punkt, um weitere Stakeholder abzuholen.

Skribble im Überblick: Rechtsgültigkeit und Sicherheit

Sven Sauer: Kurz zu Skribble: Im März 2018 gegründet, haben wir heute 160'000 aktive Nutzende in über 140 Ländern und über 4'000 Kunden weltweit. Unser Fokus als Schweizer Unternehmen liegt auf der Schweiz und der DACH-Region, aber wir haben Kunden auf der ganzen Welt. In dieser Zeit wurden über fünf Millionen Signaturen getätigt.

Ein wichtiger Punkt gerade im regulierten Bereich: die Rechtsgültigkeit. Es gibt die einfache, die fortgeschrittene und die qualifizierte elektronische Signatur. Bei der einfachen und der fortgeschrittenen handelt es sich um Verträge ohne gesetzliche Formvorschrift, die nicht handschriftlich unterschrieben werden müssen. Mit der QES werden dagegen Verträge unterschrieben, die die Schriftform erfordern. Bei der einfachen Signatur benötigt man nur eine E-Mail-Adresse, bei der fortgeschrittenen kommt eine SMS dazu. Bei der QES schaltet man – ähnlich wie beim Online-Banking – einen Identifikationsprozess mit Reisepass oder ID davor und darf erst dann unterschreiben.

Wichtig ist auch die Sicherheit: Skribble läuft auf Hochsicherheitsservern in der Schweiz und in Deutschland nach Bankenstandard. Wir sind ISO 27001 und ISO 9001 zertifiziert und konform mit der Europäischen Datenschutzgrundverordnung (DSGVO) und dem Schweizer Datenschutzgesetz (DSG). Und ein Aspekt, der in den letzten Monaten oft zur Sprache kam: 0 Prozent Datenverarbeitung in den USA. Die Daten unserer Kunden werden nicht in den USA verarbeitet, und US-Behörden haben keinen Zugriff darauf.

Damit übergebe ich an Timo – zum Thema Annex 11 und Part 11.

21 CFR Part 11: Die Grundlage für elektronische Unterschriften

Timo Jäger: Eine kurze Information vorab: Ich werde viel QM-Sprache und viele Abkürzungen verwenden. Wenn Fragen sind, stellen Sie sie gerne im Chat – wir beantworten alle im Anschluss. Ich möchte kurz die Gesetzesrichtlinien ansprechen und was daraus für eine elektronische Signatur folgt.

Fangen wir bei 21 CFR Part 11 an. Dort wird definiert, dass eine elektronische Unterschrift der handgeschriebenen entspricht und genauso bewertet wird. Und dass kryptografische Methoden verwendet werden, um die Sicherheit und die Identifizierbarkeit der unterschreibenden Person darzustellen. Das gilt für alle Dokumente, die im QM-System erstellt, gelenkt oder archiviert werden – praktisch alle Vorgabedokumente, Testdokumente, Änderungsdokumente, Berichte und so weiter, die später im QM- oder Produktmanagementsystem hinterlegt werden und einen Produkteinfluss haben.

Anforderungen für Pharma und Medizinprodukte

Timo Jäger: Wie es umgesetzt wird, ist im amerikanischen Sektor für die Pharmazeuten in 21 CFR Part 211 geregelt. Auch hier die Anforderung: Das Datum muss ersichtlich sein und welche Funktion oder Rolle die unterschreibende Person hat. Es muss nachweisbar sein, dass diese Person eine Genehmigung oder Freigabe hat – etwa in Vertretung ihren Auftrag unterschreibt oder eine Prokura hat. Das muss nicht im Unterschriftenfeld stehen, kann aber in der HR definiert sein. Damit ist die Verantwortlichkeit geklärt.

Auf dem Dokument muss erkennbar sein, dass es sich um eine Unterschrift handelt. Ein reiner Textbaustein oder ein JPEG ist nicht erwünscht – im Gegenteil, das wird nicht akzeptiert und führt zu einem Audit-Finding. Es muss ersichtlich sein, dass es sich um eine digitale Unterschrift handelt und nicht um ein Bild. Verwendet wird das in allen möglichen Records, etwa in Laborberichten.

Bei den Medizinprodukteherstellern haben wir praktisch die gleichen Anforderungen, nur für den Medizinproduktebereich: Design-Dokumente, Dokumente aus der Qualitätskontrolle (QC), Prozessvalidierungen, Akzeptanzberichte, Abweichungen. Zusätzlich kommt die Label-Freigabe dazu – darauf legen die Medizinproduktehersteller mehr Wert als die Pharmazeuten. Wenn man sich heute ein Label anschaut, wundert man sich nicht mehr über die Verpackungsgrösse.

Annex 11, Good Documentation Practice und AMWHV

Timo Jäger: Im europäischen Raum ist das durch den Annex 11 definiert. Hier wird gefordert: Datum, Unterschrift und Uhrzeit. Als Auditor hinterfrage ich die Uhrzeit allerdings – wenn man die elektronische Unterschrift der handgeschriebenen gleichsetzt: Welche Firmen dokumentieren bei einer handschriftlichen Unterschrift schon die Uhrzeit? Ich würde das als Auditor abnicken und akzeptieren. Betroffene Dokumente sind zum Beispiel Chargenfreigaben.

Wichtig für Pharmazeuten und Medizinproduktehersteller ist die Good Documentation Practice (GDP). Im Kapitel 4 des EU-GMP-Leitfadens ist beschrieben, was und wie es gemacht werden muss. In der AMWHV (Arzneimittel- und Wirkstoffherstellungsverordnung) steht die Forderung, dass es gemacht werden muss. Auch hier: Datum, Funktion, Rolle, Genehmigung, Freigabe – die Verantwortlichkeit muss geklärt sein. Konkret gefordert sind in der AMWHV genehmigte Herstellprotokolle, genehmigte Prüfprotokolle sowie genehmigte Laboruntersuchungen und Berichte.

In meiner Vergangenheit habe ich Laboruntersuchungen von einem externen Labor als gescanntes PDF bekommen, das ausgedruckt, im Haus unterschrieben und wieder eingescannt werden musste. Das könnte man komplett elektronisch abbilden. Die AMWHV fordert die Unterschrift und hält fest, dass eine elektronische Unterschrift gleichwertig zu behandeln ist. Der Ablauf ist im Kapitel 4 des EU-GMP-Leitfadens beschrieben.

Bei den Medizinprodukteherstellern kommt hinzu, dass auch der Ort ergänzt werden darf. Gerade bei Konformitätserklärungen ist das wichtig, ebenso in der technischen Dokumentation und in der Post-Market-Surveillance – abhängig von den Prozeduren der Organisation.

Den richtigen Signaturstandard risikobasiert wählen

Timo Jäger: Auch hier die Anforderung, dass die unterschreibenden Personen eine gewisse Prokura oder einen Auftrag haben. Sven hat es erklärt: Es muss eine Verbindlichkeit dahinterstehen. Gerade die Qualified Person bei den Pharmazeuten beziehungsweise die Person Responsible for Regulatory Compliance (PRRC) müssen notariell beglaubigt sein. Das heisst, für die Konformitätserklärung muss man die höchste Stufe verwenden. Andere Dokumente wie Test- oder Nachweisdokumente sehe ich als weniger kritisch – da kann eine geringere Beweiskraft verwendet werden.

Zusammengefasst: Die Organisation muss selbst entscheiden, welche Dokumente sie mit welchem Standard unterzeichnet. Meine Empfehlung: risikobasiert. Die Konformitätserklärung bitte mit dem höchsten Standard, damit erkennbar ist, dass diese Personen die entsprechende Befugnis und Prokura haben.

Eine weitere Anforderung aus den Gesetzen und Richtlinien: Das Verfahren muss validiert sein. Auf der Lieferantenseite muss Skribble nachweisen, dass mit den abgelegten Daten sicher umgegangen wird – das ist über die ISO-Zertifizierung bereits belegt. Und die Kunden müssen nachweisen, dass sie diesen Prozess beschrieben, trainiert und im Einsatz haben und dass er funktioniert.

Als Beweismittel für Haftungsfragen wird die Signatur ebenfalls verwendet. Falls es vor Gericht geht oder Reklamationen kommen, dient sie als Nachweis. Aus allen Richtlinien und Gesetzen gilt: Es muss eindeutig sein, wer wann unterschrieben hat – und dass diese Person die Befugnis dazu hatte.

Zertifikate werden gerne gesehen. Eine explizite Anforderung, ein bestimmtes Zertifikat zu verwenden, gibt es noch nicht – je nach Markt wird es aber gern gesehen. Gerade die in der EU, den USA oder den MDSAP-Ländern akzeptierten Zertifikate sind hilfreich. Auch das muss die Organisation entscheiden.

Gefordert wird zudem, dass alle Informationen lesbar sind. Das sehe ich als kein grosses Problem. Als Auditor genügt mir, dass ich Ort, Datum, Name und Funktion nachvollziehen kann. Im Grunde müssen bei einer elektronischen Unterschrift diese Fragen ersichtlich sein: wo, wann, wer, wie, warum. Wie hoch die Sicherheit sein muss, darf die Organisation selbst entscheiden. Und alle Informationen müssen mit gesundem Menschenverstand lesbar sein.

Sven Sauer: Wunderbar. Timo, vielen Dank für deine Einführung und dein vertieftes Wissen. Wir gehen später noch weiter darauf ein.

Umfrage: Wo stehen Sie bei auditfähigen E-Signaturen?

Sven Sauer: Bevor wir die Theorie in einer Demo sehen, starte ich gerne eine kurze Umfrage. Antworten Sie einfach im Chat. Die Frage: Wo steht Ihr Unternehmen aktuell bei der Einführung von auditfähigen E-Signaturen? A: Wir stehen ganz am Anfang, es ist noch nichts implementiert. B: Erste Schritte sind gemacht, aber es gibt noch viele offene Fragen. C: Wir haben bereits ein auditfähiges Setup im Einsatz.

Ich sehe schon einige Antworten: viele A, viele B, auch ein C – also Teilnehmende, die schon weiter sind. Ein Grossteil steht aber noch am Anfang oder hat noch Schritte zu erledigen. Genau da unterstützen wir gerne, auch mit Timos Wissen.

Live-Demo: Ein Dokument nach 21 CFR Part 11 signieren

Sven Sauer: Ich mache einen kleinen Switch auf unsere Demo. Ich habe sie auf Englisch aufgenommen – wir bieten die Plattform natürlich auch auf Deutsch, Französisch und in weiteren Sprachen an. Skribble hat den Ruf, ein sehr einfaches, userfreundliches Tool zu sein. Man braucht kein grosses IT-Wissen oder Onboarding, um loszulegen. Wir haben Kunden, die uns an einem Tag angeschrieben haben und 48 Stunden später live waren.

Hier sehen Sie meinen Test-Account – so würde auch Ihrer aussehen. Skribble lässt sich 14 Tage kostenlos testen, das empfehle ich jedem. Man sieht die Dokumente, die ich hochgeladen und signiert habe, die noch ausstehend sind oder die ich abgelehnt habe.

Das Wichtigste ist der blaue «New»-Button oben links. Hier lade ich einen Mustervertrag hoch. Danach ist es weitgehend selbsterklärend: Wer soll das Dokument signieren – nur ich oder mehrere Personen? Unten sieht man die verschiedenen Standards: Basic, High und Maximum, also die einfache, die fortgeschrittene und die qualifizierte Signatur. Bei der Qualifizierten wählt man zwischen eIDAS (EU) und ZertES (Schweiz). Und natürlich 21 CFR Part 11, das wir für Kunden einstellen, die es benötigen.

Wir wählen für dieses Beispiel den 21-CFR-Part-11-Standard und gehen zur nächsten Stufe, wo man auswählt, wer das Dokument erhalten soll. Ich nehme einen externen Empfänger – das kann ein Kunde von Ihnen sein, der noch nie mit Ihnen zu tun hatte, oder ein interner Mitarbeitender. Diese externe Person hat noch kein Skribble-Konto und wird eingeladen, das Dokument zu unterschreiben.

Eine Bedingung, die 21 CFR Part 11 mit sich bringt: Man platziert eine visuelle Signatur. Ich bin als einladende Person noch dabei, den Vertrag vorzubereiten, und platziere die visuelle Signatur für die Person, die anschliessend unterschreibt. Man kann eine Nachricht hinzufügen und schickt dann die Einladung raus. Jetzt wechseln wir in die Inbox des Empfängers, der eine Nachricht von Skribble erhält: «Sie wurden eingeladen, das Dokument zu signieren.»

Die Person schaut sich das Dokument zuerst an. Eine zweite Besonderheit bei Part 11: Sogenannte Non-Account-Signers – Personen ohne Skribble-Konto – werden automatisch auf unsere Webseite geleitet und erstellen dort ein kostenloses Free-Test-Account. Das dauert weniger als eine Minute. Das gilt nur für Part 11; für die anderen drei Standards ist es nicht nötig.

Wir erstellen das Account und kommen in die nächste Maske. Das ist die dritte Bedingung für Part 11: einen sogenannten Signing Reason angeben. Man gibt Vor- und Nachnamen ein und darunter den Grund, warum man das Dokument signiert. Das ist vorgegeben und muss getätigt werden. Man sieht auch das Datum, wann das Dokument signiert wurde. Dann geht man auf «Sign Now». Als letzter Schritt bekommt man einen Code in die Inbox, den man per Copy-and-paste einsetzt, auf «Confirm» bestätigt – und das Dokument ist komplett signiert. Sehr einfach.

Gerne zeige ich das im Anschluss individuell auf Ihren speziellen Anwendungsfall in einer Live-Demo. Jetzt gehe ich zurück zur Präsentation und übergebe wieder an Timo – zum Thema Checkliste: So erfüllen Sie die ERES-Anforderungen. ERES steht für Electronic Records and Electronic Signatures. In einem regulierten Kontext bedeuten die ERES-Anforderungen die Einhaltung bestimmter Vorschriften zur elektronischen Aufzeichnung und zur elektronischen Signatur. Details erklärt der Experte – Timo, ich gebe dir gerne das Wort.

ERES-Anforderungen: Die Checkliste

Timo Jäger: Zum Rekapitulieren: Verantwortlichkeiten und Zuständigkeiten müssen geklärt sein. Alle Dokumente, die ich unterzeichne, müssen eindeutig gekennzeichnet sein. Die Zuordenbarkeit muss gegeben sein, ebenso die Leserlichkeit und der Zeitpunkt, wann von wem unterschrieben wurde.

Was hinzukommt: Wenn ich Dokumente in einer Cloud ablege – wie es beim Signieren mit Skribble der Fall ist –, muss gewährleistet sein, dass die Dokumente sicher sind und unbefugte Personen sie nicht sehen.

Ob ein Zertifikat verwendet werden muss, ist marktabhängig. In Europa fordert etwa die MDR (Medical Device Regulation) das momentan noch nicht, aber die Zertifikate werden kommen. Welches man verwendet, muss der Kunde gegenüber Skribble vorgeben – die Evaluation liegt beim Kunden. Je nach Markt, in dem ich mein Produkt vertreiben möchte, wird das eine oder das andere akzeptiert. Und dass der Ablauf validiert sein muss, steht in allen Richtlinien und Gesetzen.

Validierung nach GAMP 5: Das V-Modell

Timo Jäger: Wie die Validierung umgesetzt wird, ist zum Beispiel in GAMP 5 (Good Automated Manufacturing Practice) beschrieben, in der Guidance for Data Integrity oder in der Guidance for Industry, die noch in einer Draft-Version ist. Was in Zukunft gefordert wird, kann ich schon jetzt vorbereiten und erfüllen – damit bin ich zukunftssicher.

Hier ein V-Modell in Anlehnung an GAMP 5. Als CSV-Experte (Computerised System Validation) sehe ich das als eine Kategorie-3-Software: eine Art Software, die ich als Kunde theoretisch nicht beeinflussen kann. Deswegen kann ich mir einige Positionen im GAMP-5-V-Modell sparen beziehungsweise abkürzen.

Im Grunde brauche ich einen Validierungsplan, eine Spezifikation – User Requirement Specification (URS) oder Functional Specification. Ich bewerte kurz das Risiko, starte die Umsetzung und verifiziere, validiere und qualifiziere sie anschliessend, bevor ich einen Abschlussreport erstelle.

Der Validierungsplan ist relativ einfach: Ich gebe an, was gemacht werden muss, mit einer groben Projekt- und Terminplanung. Die Schnittstellen und die Verantwortlichkeiten sollten geklärt sein – hier noch nicht die Personen, sondern die Rollen: Was macht der Kunde, was der Lieferant, wofür ist der Lieferant verantwortlich?

In der URS halte ich fest, welche Zertifizierung wir brauchen. Zum Beispiel: Die normalen Mitarbeitenden haben ein einfaches Level, und ein gewisser Personenkreis – Qualified Person beziehungsweise PRRC – hat das höchste. Diese Informationen werden dem Lieferanten, also Skribble, mitgeteilt, damit er sie entsprechend umsetzen kann.

Beim Risikomanagement sollte ein High-Level-Risk-Assessment durch den Kunden erfolgen. Sie dürfen risikobasiert entscheiden und bewerten, welchen Einfluss das auf Ihr Geschäfts- und Organisationsrisiko hat. Ein Beispiel: Wenn ich in die USA liefere, muss ich gewisse SOX-Kriterien (Sarbanes-Oxley) betrachten – das bewertet Ihre Finanzabteilung. Beziehen Sie die HSE-Abteilung (Health, Safety, Environment) ein, bewertet diese sicherheitstechnische oder Umweltfragen. Und die IT-Abteilung bewertet, wie kritisch die Implementierung der Software ist – neue Server, geänderte Protokolle, Software-Installation.

So sah eine Unterschrift von mir vor rund einem Jahr aus – ich bin seit circa 18 Monaten beratend für Skribble tätig. Hier meine gescannte Unterschrift, mit der ich mich identifiziere. Der Name ist leserlich, der Ort und das Datum sind da. Was fehlt, ist meine Rolle beziehungsweise Funktion. Möchte ich die Uhrzeit sehen, öffne ich das per Rechtsklick und bekomme die Information, wann unterschrieben wurde. Auch den kryptografischen Text mit dem Token und die ausstellende Stelle des Zertifikats kann ich einsehen. Mir als Auditor reicht das aus – bei einer handschriftlichen Unterschrift auf Papier sehe ich auch nicht viel mehr.

Dass alle Anforderungen aus der URS umgesetzt wurden, muss ich verifizieren, validieren und qualifizieren. Ich überprüfe, ob alle Kundenwünsche erfüllt wurden. Falls nicht: warum nicht, gibt es eine Alternative, wurde die Abweichung vorher kommuniziert? Das fasse ich in einem Qualifizierungs- beziehungsweise Validierungsdokument zusammen, bewerte und teste es.

Abschliessend – das Pendant zum Validierungsplan – schreibe ich einen Abschlussbericht, in dem alle geforderten Tätigkeiten und ihr Ergebnis dokumentiert sind. Abweichungen werden festgehalten und weiterverfolgt. Das ist der reine GAMP-5-Standard für Qualifizierung und Validierung.

Sven Sauer: Super, Timo, vielen, vielen Dank. Ich habe gesehen, dass ich in diesem Teil auch noch einiges lernen kann – sehr spannend, gerade für unsere Teilnehmenden in regulierten Branchen. Beeindruckend, wie du das schon mit Kunden von uns umgesetzt hast.

Nächste Schritte: FDA-Readiness-Gap-Analyse und Workshop

Sven Sauer: Für alle, die sagen: «Ich habe jetzt einen ersten Einblick gewonnen, und das Thema landet bei uns bald auf der Agenda» – wir bieten an, hier tiefer einzusteigen, zum Beispiel mit einer FDA-Readiness-Gap-Analyse. Dafür holen wir gerne die Expertise von Timo dazu. Der nächste Schritt: einfach Kontakt mit mir aufnehmen, den Code scannen und direkt einen Termin buchen oder mich anschreiben.

Timo bietet unseren Kunden die Möglichkeit, in einem Workshop tiefer in die Materie einzugehen – rund zwei bis drei Stunden für eine Ist- und eine Gap-Analyse, danach mit der Option eines Rollouts der E-Signatur. Timo, magst du noch etwas zu diesen Workshops sagen?

Timo Jäger: Kurz: Ich stelle meine Dienstleistung gerne zur Verfügung, berate über Skribble und bin bereit, den Prozess für Kunden einzuführen.

Sven Sauer: Sehr schön. Ich kann nur das Feedback unserer Kunden weitergeben, die schon mit Timo zusammengearbeitet haben – das ist sehr erfolgreich gelaufen. In Kombination von Skribble und Timo, über mich als denjenigen, der den Kontakt vermittelt. Kommen Sie gerne auf uns zu, wenn Interesse besteht.

Das Transkript endet hier. Es folgte die Live-Fragerunde mit dem Publikum.

Über Timo Jäger

Timo Jäger ist GMP-Auditor und Berater für Qualitätsmanagement und seit 2003 im GMP-regulierten Umfeld tätig. Als Experte für Computerised System Validation (CSV) hat er unter anderem bei einem Medizinproduktehersteller der Klasse IIa im Dentalbereich elektronische Signaturprozesse eingeführt. Seit rund anderthalb Jahren begleitet er Skribble-Kunden beratend beim Weg zu auditfähigen E-Signaturen – von der Ist- und Gap-Analyse bis zur FDA-Readiness. In Workshops übersetzt er regulatorische Anforderungen wie Annex 11, 21 CFR Part 11 und die ERES-Vorgaben in konkrete, umsetzbare Schritte.

Über Sven Sauer

Sven Sauer ist Senior Account Executive bei Skribble und begleitet Unternehmen auf dem Weg zur elektronischen Signatur – vom Erstgespräch über die Beratung bis zum Vertragsabschluss. Er ist erster Ansprechpartner für alle, die zum ersten Mal auf eine E-Signatur umstellen, ebenso wie für Unternehmen, die bereits eine Lösung im Einsatz haben und einen Anbieterwechsel prüfen. Ein Schwerpunkt seiner Arbeit liegt auf regulierten Branchen wie Pharma, MedTech und Biotech, in denen Nachvollziehbarkeit und Compliance besonders zählen.