Ursachenanalyse bei Abweichungen und CAPA, die Audits standhält

Die Abweichung ist eingedämmt, die Charge gesperrt und das Untersuchungsfeld im Formular noch leer. Jemand muss entscheiden, warum es passiert ist. Was in dieses Feld eingetragen wird, bestimmt die CAPA, die Chargenentscheidung und früher oder später auch die Einschätzung eines Inspektors zu Ihrem Qualitätssystem. Dieser Artikel bietet Ihnen eine praktische Orientierung, wie Sie für das jeweilige Problem eine Methode zur Ursachenanalyse auswählen, stellt Fragen vor, mit denen eine Untersuchung über „menschliches Versagen“ hinausgeht, und liefert ein Format für die Ursachenbeschreibung sowie ein kurzes, ausgearbeitetes Beispiel aus einer fiktiven Verpackungslinie.

Was Aufsichtsbehörden von der Ursachenanalyse in der GMP erwarten

Der EU-GMP-Leitfaden ist hier eindeutig. In Kapitel 1 des EudraLex Band 4, Absatz 1.4(xiv), heißt es, dass bei der Untersuchung von Abweichungen, vermuteten Produktmängeln und anderen Problemen eine angemessene Ursachenanalyse durchzuführen ist. Deren Umfang kann anhand der Grundsätze des Qualitätsrisikomanagements festgelegt werden. Kann die tatsächliche Grundursache nicht ermittelt werden, sollten Sie die wahrscheinlichste Grundursache identifizieren und angehen. Wird menschliches Versagen als Ursache vermutet oder festgestellt, sollte diese Schlussfolgerung begründet werden. Dabei ist sicherzustellen, dass prozess-, verfahrens- oder systembedingte Fehler nicht übersehen wurden. Absatz 1.8(vii) ergänzt, dass signifikante Abweichungen mit dem Ziel untersucht werden, die Grundursache zu ermitteln, und dass geeignete Korrektur- und Vorbeugungsmaßnahmen umgesetzt werden.

Medizinproduktehersteller begegnen demselben Grundsatz in ISO 13485:2016, Abschnitt 8.5.2, in dem die Ermittlung der Ursachen von Nichtkonformitäten als erforderlicher Schritt von Korrekturmaßnahmen festgelegt ist.

Zwei Formulierungen in 1.4(xiv) verdienen besondere Beachtung. „Angemessener Umfang“ ermöglicht es Ihnen, den Aufwand anzupassen: Bei einem falsch beschrifteten Probenröhrchen ist nicht dieselbe Untersuchung erforderlich wie bei einem Sterilitätsmangel. „Wahrscheinlichste Grundursache“ bedeutet, dass eine ergebnisoffene Untersuchung akzeptabel ist, wenn Sie die durchgeführten Schritte dokumentieren, die möglichen Ursachen einstufen und gegen die wahrscheinlichste vorgehen. Inspektoren beanstanden Untersuchungen, die zu früh abgebrochen wurden – das ist etwas anderes.

Der Blogbeitrag der MHRA-Inspektion zu Untersuchungen im GMDP-Umfeld führt wiederkehrende Mängel auf, die Inspektoren immer wieder feststellen. Dazu zählen Grundursachen, die auf Annahmen statt auf Nachweisen beruhen, sowie Ursachenanalysen, die in eine CAPA ausgelagert werden, damit die Abweichung fristgerecht geschlossen werden kann. Dort wird auch festgehalten, dass menschliches Versagen nur dann als Grundursache angeführt werden sollte, wenn System- und Prozessvariablen ausgeschlossen wurden.

Beginnen Sie jede Untersuchung mit einer Zeitleiste

Bevor Sie ein Analysewerkzeug auswählen, halten Sie die Ereignisse in der richtigen Reihenfolge fest. Die Zeitleiste ist die unspektakulärste Methode und zugleich diejenige, die am häufigsten ausgelassen wird. Führen Sie jedes Ereignis mit Uhrzeit und Quelle auf: den Eintrag im Chargenprotokoll, den Audit-Trail des Geräts, das Alarmprotokoll, die Schichtübergabenotiz, das Zutrittsprotokoll oder das Interview. Markieren Sie fehlende Quellen und widersprüchliche Angaben.

So trennen Sie beobachtete Fakten von Rekonstruktionen und erkennen, welche Teile der Darstellung auf Erinnerungen beruhen. Die Zeitleiste macht wichtige zeitliche Zusammenhänge sichtbar: einen Neustart zehn Minuten nach dem Schichtwechsel, eine Kalibrierung, die am Vortag abgelaufen ist, oder einen Rollenwechsel mitten in der Charge. Außerdem bietet sie jedem später eingesetzten Werkzeug eine belastbare Grundlage. Widerspricht Ihre 5-Why-Analyse der Zeitleiste, ist die 5-Why-Analyse falsch. Nehmen Sie die Zeitleiste in den Untersuchungsbericht auf.

Die richtige Methode zur Ursachenanalyse auswählen: 5-Why, Fischgräte oder Fehlerbaum

Keine einzelne Methode eignet sich für jede Abweichung. Wählen Sie die Methode passend zur Problemstruktur.

5-Why

Die 5-Why-Methode eignet sich für ein klar begrenztes Problem mit einer einzelnen Ursache-Wirkungs-Kette, etwa einen ausgelassenen Schritt bei der Linienfreigabe. Fragen Sie so lange nach dem Warum, bis Sie eine Ursache erreichen, die die Organisation kontrollieren und ändern kann. Die Zahl fünf ist eine Konvention: Manche Ketten enden nach drei Fragen, andere erfordern sieben.

Die Schwäche der Methode ist, dass sie eine einzelne Kette ergibt, während reale Fehler oft auf zwei oder drei zusammenwirkende Ursachen zurückzuführen sind. Beugen Sie dem vor, indem Sie für jede Antwort einen Nachweis verlangen (einen Eintrag, eine Beobachtung oder ein Testergebnis) und auf jeder Ebene fragen, ob noch etwas anderes diesen Schritt erklären könnte. Lautet die Antwort ja, benötigen Sie ein Fischgrätendiagramm oder einen Fehlerbaum.

Fischgrätendiagramm für Qualitätsuntersuchungen

Das Fischgrätendiagramm, auch Ishikawa-Diagramm genannt, ist eine Struktur für das Brainstorming. Der Effekt steht am Kopf, die Gräten stehen für Ursachenbereiche. Die meisten GMP-Teams verwenden eine Variante der 6M: Mensch, Methode, Maschine, Material, Messung und Mitwelt. Der Vorteil ist die größere Breite: Das Team berücksichtigt auch Material und Messung, wenn alle bereits überzeugt sind, dass der Bediener einen Fehler gemacht hat.

Das Ergebnis ist eine Liste möglicher Ursachen. Jede davon muss anhand von Nachweisen bestätigt oder ausgeschlossen werden, und der Bericht sollte zeigen, wie dies erfolgt ist. Ein Fischgrätendiagramm mit zwanzig Haftnotizen und ohne anschließende Tests zeigt einem Inspektor lediglich, dass das Team ein Brainstorming durchgeführt hat.

Fehlerbaumanalyse

Ein Fehlerbaum beginnt mit dem Fehler an der Spitze und verzweigt sich nach unten in Kombinationen von Ereignissen, die ihn verursachen könnten. Diese werden durch UND- und ODER-Verknüpfungen verbunden. ICH Q9(R1), Anhang I.4, beschreibt die Fehlerbaumanalyse und weist darauf hin, dass sie zur Untersuchung von Reklamationen oder Abweichungen eingesetzt werden kann, um deren Grundursache vollständig zu verstehen und zu prüfen, ob die geplante Verbesserung das Problem behebt, ohne ein anderes zu verursachen. Derselbe Anhang führt Ursache-Wirkungs-Diagramme (Ishikawa) als grundlegende Moderationsmethode auf.

Verwenden Sie einen Fehlerbaum, wenn ein einzelner Grund das Ereignis nicht erklären kann, etwa bei einem Gerät, das nur dann ausfällt, wenn eine bestimmte Komponentencharge mit einer bestimmten Sterilisationsladung kombiniert wird. Die UND-Verknüpfungen zeigen, welche Kombination von Bedingungen unterbrochen werden muss.

Über „menschliches Versagen“ hinausgehen bei der Untersuchung einer Abweichung

Menschliches Versagen beschreibt, was im letzten Schritt passiert ist. Es erklärt fast nie, warum es passieren konnte. Wenn eine Untersuchung bei einem Bediener als Ursache ankommt, stellen Sie weiterhin Fragen zum System, in dem diese Person arbeitet:

• War das Verfahren klar, aktuell und am Ort der Durchführung verfügbar, und stimmt es mit der tatsächlichen Arbeitsweise überein?
• War die Person in dieser Revision geschult, und umfasste die Schulung den fehlerhaften Schritt?
• Hat die Aufgabengestaltung den Fehler begünstigt: ähnlich aussehende Etiketten, manuelle Übertragung, eine von Hand durchgeführte Berechnung oder zwei Bildschirme mit widersprüchlichen Angaben?
• Gab es eine Kontrolle, die den Fehler hätte erkennen müssen, und warum hat sie ihn nicht erkannt?
• Wie waren die Rahmenbedingungen: Personalbesetzung, Zeitdruck, Unterbrechungen, Schichtdauer oder eine in derselben Woche eingeführte Änderung?
• Ist derselbe oder ein ähnlicher Fehler schon früher aufgetreten – an einem anderen Ort im Betrieb oder bei anderen Personen?

Die letzte Frage ist besonders wichtig. Wenn mehrere Personen denselben Fehler gemacht haben, liegt die Ursache im Prozess. Wenn eine Person ihn einmal unter Bedingungen begangen hat, denen sonst niemand ausgesetzt war, kann eine auf die Person ausgerichtete Maßnahme gerechtfertigt sein. Der Bericht sollte begründen, warum. Eine alleinige Nachschulung ist selten eine wirksame CAPA, und eine Wirksamkeitsprüfung macht dies meist deutlich. Siehe So prüfen Sie die Wirksamkeit von CAPA.

Hilfreich ist auch, den Fehlertyp zu benennen. Ein Versehen oder ein Aussetzer (eine falsche Handlung trotz richtiger Absicht oder ein vergessener Schritt) lässt sich durch Gestaltungsänderungen wie Verriegelungen, Eingabeaufforderungen und Zweitkontrollen angehen. Bei einem Irrtum (die Absicht selbst war falsch) sind Schulungen, Verfahren oder die verfügbaren Informationen zu prüfen. Eine bewusste Abweichung vom Verfahren weist auf die Unternehmenskultur, die Aufsicht oder ein Verfahren hin, das sich in der beschriebenen Form nicht umsetzen lässt.

So verfassen Sie eine Ursachenbeschreibung

Die Ursachenbeschreibung ist der Satz, den ein Inspektor zuerst liest – und auf den die CAPA reagieren muss. Eine hilfreiche Struktur umfasst das Ereignis, den Mechanismus, der dazu geführt hat, und die Systembedingung, die es ermöglicht hat, gefolgt von den Nachweisen.

Formulieren Sie die Beschreibung so, dass sie sich konkret auf dieses Ereignis bezieht, eine Ursache innerhalb Ihres Einflussbereichs benennt und direkt zu einer Maßnahme führt. „Bedienerfehler bei der Einrichtung“ erfüllt keine dieser drei Anforderungen. „Das Verfallsdatum wurde falsch eingegeben, weil das Verfahren vorsieht, dass der Bediener es von Hand berechnet und als Freitext eingibt, ohne den Wert vor dem Druck mit einem freigegebenen Wert abzugleichen“ erfüllt sie. Kann eine für die CAPA verantwortliche Person anhand der Beschreibung nicht erkennen, was geändert werden muss, ist sie noch nicht fertig.

Trennen Sie die Grundursache von beitragenden Faktoren, die das Ereignis wahrscheinlicher oder schwerer erkennbar gemacht haben (etwa ein neuer Mitarbeiter in der Schicht oder eine schlecht beleuchtete Prüfstation), deren Beseitigung allein das Ereignis aber nicht verhindert hätte. Dokumentieren Sie diese Faktoren, aber nehmen Sie sie nicht in den Satz zur Grundursache auf. Wo dies in den vollständigen Bericht gehört, erfahren Sie unter So verfassen Sie einen Abweichungsbericht.

Ausgearbeitetes Beispiel: ein falsch gedrucktes Verfallsdatum

Dieses Beispiel ist fiktiv.

Bei der routinemäßigen Verpackung eines Tablettenprodukts auf Linie 3 stellt die abschließende QA-Kontrolle fest, dass die Kartons aus den ersten beiden Stunden ein Verfallsdatum tragen, das ein Jahr nach dem genehmigten Datum liegt. Die Linie wird angehalten und die betroffenen Kartons werden unter Quarantäne gestellt.

Die Zeitleiste zeigt, dass der Überdrucker um 06:10 eingerichtet wurde. Im Chargenprotokoll sind das Herstellungsdatum und eine Haltbarkeit von 24 Monaten vermerkt. Der Bediener berechnete das Verfallsdatum und gab es ein. Die Zweitkontrolle um 06:25 bestätigte, dass der Aufdruck lesbar und korrekt positioniert war. Abgezeichnet wurde ein Checklistenpunkt mit der Überschrift „Codierung geprüft“. Der Fehler wurde um 08:30 entdeckt.

Die 5-Why-Analyse: Auf den Kartons stand das falsche Datum, weil das falsche Datum eingegeben wurde. Es wurde falsch eingegeben, weil der Bediener 36 statt 24 Monate hinzurechnete, nachdem er am Vortag ein Produkt mit einer Haltbarkeit von 36 Monaten auf derselben Linie verpackt hatte. Das war möglich, weil das Verfahren eine manuelle Berechnung und eine Freitexteingabe verlangt. Der Fehler blieb unentdeckt, weil der Schritt „Codierung geprüft“ nicht angibt, womit der Aufdruck abgeglichen werden soll und die Prüfer in der Praxis nur die Druckqualität bestätigten.

Bei einem Fischgräten-Brainstorming wurden der Drucker (sein Audit-Trail zeigte den eingegebenen Wert), der Kartonbestand und das Chargenprotokoll als Ursachen ausgeschlossen. Die Abweichungsaufzeichnungen zeigten zwei frühere Codierungsfehler auf anderen Linien im vergangenen Jahr, verursacht durch unterschiedliche Bediener.

Ursachenbeschreibung: Das falsche Verfallsdatum wurde gedruckt, weil das Codierungsverfahren von den Bedienern verlangt, das Verfallsdatum zu berechnen und als Freitext einzugeben, und weil die Zweitkontrolle keinen Abgleich des Aufdrucks mit dem freigegebenen Wert im Chargenprotokoll vorsieht. Nachweise: Audit-Trail des Druckers, Chargenprotokoll, Wortlaut der Checkliste, zwei frühere ähnliche Abweichungen. Beitragender Faktor: Umstellung am Vortag von einem Produkt mit einer anderen Haltbarkeit.

Die CAPA ergibt sich direkt daraus: Das Verfallsdatum wird in das Chargenprotokoll übernommen, damit es niemand mehr berechnen muss. Die Checkliste wird so geändert, dass ein zeichenweiser Abgleich mit diesem Wert erforderlich ist. Außerdem wird geprüft, ob der Wert elektronisch an den Drucker übermittelt werden kann.

Das Wichtigste

Erstellen Sie zuerst die Zeitleiste, wählen Sie das Werkzeug passend zur Problemstruktur aus, prüfen Sie jede mögliche Ursache anhand von Nachweisen und betrachten Sie „menschliches Versagen“ als Ausgangspunkt für weitere Fragen. Verfassen Sie dann eine Ursachenbeschreibung, anhand derer eine für die CAPA verantwortliche Person handeln kann, ohne nachfragen zu müssen, was damit gemeint ist. Einen Überblick über den umfassenderen Prozess rund um die Untersuchung finden Sie im Leitfaden zum Abweichungsmanagement.

Wenn Sie Untersuchungen, Grundursachen und die zugehörigen Maßnahmen gemeinsam mit einem unveränderbaren Audit-Trail dokumentieren möchten, erfahren Sie hier, wie InnoQualis das Abweichungsmanagement handhabt.