Lieferantenqualifizierung nach ISO 13485 und EU-GMP: ein praxisorientierter Leitfaden

Die Liste zugelassener Lieferanten umfasst 140 Namen. Etwa zwanzig davon sind von großer Bedeutung, vielleicht vierzig wurden vor Jahren anhand eines Fragebogens zugelassen, den niemand mehr gelesen hat, und einer – ein Hersteller von Silikondichtungen – hat im vergangenen Frühjahr auf ein anderes Härtungssystem umgestellt, ohne jemanden darüber zu informieren. Davon erfuhren Sie erst, als während eines Audits durch eine Benannte Stelle eine Frage zur Biokompatibilität aufkam.

So sieht die Lieferantenqualifizierung bei einem wachsenden Hersteller üblicherweise aus: Am Anfang gibt es jede Menge Papierkram, danach jedoch nur sehr wenig. Dieser Leitfaden erläutert, was ISO 13485, Abschnitt 7.4, und die EU-GMP-Kapitel 5 und 7 tatsächlich vorschreiben. Anschließend bietet er einen risikobasierten Ansatz zur Klassifizierung von Lieferanten, zur Auswahl von Nachweisen, zum Verfassen von Qualitätsvereinbarungen, zur Leistungsüberwachung und zum Umgang mit Lieferantenänderungen.

Anforderungen von ISO 13485 und EU-GMP

ISO 13485:2016, Abschnitt 7.4.1, verlangt Bewertungskriterien für die Auswahl von Lieferanten. Diese müssen sich auf die Fähigkeit des Lieferanten stützen, ein konformes Produkt zu liefern, seine Leistung und die Auswirkung des beschafften Produkts auf die Qualität des Medizinprodukts berücksichtigen und in einem angemessenen Verhältnis zum Risiko des Medizinprodukts stehen. Sie müssen die Überwachung und Neubewertung planen, die Überwachungsergebnisse als Grundlage für die Neubewertung verwenden, nicht erfüllte Beschaffungsanforderungen in einem dem Risiko angemessenen Umfang mit dem Lieferanten behandeln und Aufzeichnungen über all diese Vorgänge führen.

Abschnitt 7.4.2 besagt, dass Beschaffungsinformationen gegebenenfalls eine schriftliche Vereinbarung enthalten sollten, wonach der Lieferant Sie über Änderungen informiert, bevor er solche umsetzt, die die Fähigkeit des beschafften Produkts beeinträchtigen, die Anforderungen zu erfüllen. Abschnitt 7.4.3 verknüpft den Umfang der Wareneingangsprüfung mit den Ergebnissen der Lieferantenbewertung und dem Produktrisiko. Außerdem müssen Sie jede Ihnen bekannt gewordene Änderung auf ihre Auswirkungen auf die Produktrealisierung oder das Medizinprodukt bewerten. Wenn Sie einen Prozess auslagern, verlangt Abschnitt 4.1.5 risikogerechte Kontrollen, einschließlich schriftlicher Qualitätsvereinbarungen.

Gemäß der EU-MDR führt Artikel 10 Absatz 9 die Auswahl und Kontrolle von Lieferanten und Unterauftragnehmern als einen der Bereiche auf, die das Qualitätsmanagementsystem eines Herstellers abdecken muss. Anhang IX, Abschnitt 3.4, erlaubt es der Benannten Stelle, ihre unangekündigten Audits gegebenenfalls auf Lieferanten und Unterauftragnehmer des Herstellers auszuweiten. Ihre kritischen Lieferanten müssen auf einen Besuch vorbereitet sein, den Sie nicht angekündigt haben.

Für Arzneimittel regelt EU-GMP-Kapitel 7 ausgelagerte Tätigkeiten. Der Auftraggeber muss vor der Auslagerung die Rechtmäßigkeit, Eignung und Kompetenz des Auftragnehmers bewerten (7.5), seine Leistung überwachen und überprüfen (7.7) und über einen schriftlichen Vertrag verfügen, der die Zuständigkeiten für die einzelnen Schritte festlegt und Audits erlaubt (7.14 bis 7.17). Der Auftragnehmer darf ohne vorherige Bewertung und Genehmigung keine Unteraufträge vergeben (7.11) und keine nicht genehmigten Änderungen vornehmen, die sich auf die Qualität auswirken könnten (7.12).

EU-GMP-Kapitel 5 behandelt Materialien. Absatz 5.27 verlangt, dass Auswahl, Qualifizierung, Genehmigung und Betreuung der Lieferanten von Ausgangsmaterialien dokumentiert werden. Die Überwachung muss dem Risiko des jeweiligen Materials angemessen sein und dessen Quelle, Herstellungsverfahren, Komplexität der Lieferkette und vorgesehene Verwendung berücksichtigen. Absatz 5.28 erwartet, dass Qualitätsanforderungen in einer formellen Qualitätsvereinbarung oder Spezifikation festgelegt werden. Absatz 5.29 verlangt Audits der Hersteller und Händler von Wirkstoffen sowie eine formalisierte Risikobewertung für Hilfsstoffe. Absatz 5.45 weitet dieselbe Sorgfalt auf Lieferanten von Primär- und bedrucktem Verpackungsmaterial aus.

Lieferanten vor der Qualifizierung nach Risiko klassifizieren

Alle genannten Anforderungen schreiben vor, dass Maßnahmen „angemessen“ sein müssen. Beginnen Sie daher mit einer Klassifizierung. Für die meisten kleinen und mittelgroßen Hersteller genügen drei Stufen.

Klassifizieren Sie nach den Auswirkungen auf Produkt und Patient und passen Sie die Einstufung anschließend an. Ein Alleinlieferant, eine komplexe Lieferkette oder ein Material, bei dem Sie sich auf das Analysenzertifikat des Lieferanten statt auf eine vollständige Prüfung verlassen, sollte zu einer höheren Einstufung führen. Seit der Überarbeitung von ICH Q9 im Jahr 2023 zählt auch die Produktverfügbarkeit als Qualitätsrisiko. Deshalb verdient ein Alleinlieferant für ein Material, bei dem Engpässe kritisch wären, die Einstufung „kritisch“, selbst wenn das Material an sich einfach ist.

Dokumentieren Sie die Begründung für jede Einstufung im Lieferantendatensatz. Wenn ein Auditor fragt, warum der Etikettendrucker als „bedeutend“ und nicht als „kritisch“ eingestuft wurde, sollten Sie mit einem Satz antworten können, der die von Ihnen bei Wareneingang durchgeführte Prüfung der Etiketteninhalte erwähnt.

Bewertungskriterien und Nachweise

Legen Sie für jede Stufe fest, welche Aspekte die Bewertung abdecken muss. Für kritische und bedeutende Lieferanten empfiehlt sich eine Reihe von Kriterien:

• Status des Qualitätssystems (ISO-13485-Zertifikat, GMP-Zertifikat oder gegebenenfalls Herstellungserlaubnis, Inspektionshistorie)
• technische Fähigkeit, Ihre Spezifikation zu erfüllen, einschließlich des Validierungsstatus von Prozessen
• Änderungskontrolle und Verfahren zur Änderungsmitteilung
• Kontrolle der eigenen Lieferanten und Unterauftragnehmer
• Rückverfolgbarkeit und Aufbewahrung von Aufzeichnungen
• Bearbeitung von Beschwerden, Abweichungen und Rückrufen
• regulatorischer Status, zum Beispiel Eintrag in EudraGMDP bei Wirkstoffherstellern
• Versorgungskontinuität: weitere Standorte, Kapazität, Notfallpläne zur Aufrechterhaltung des Geschäftsbetriebs

Legen Sie anschließend fest, welche Nachweise die einzelnen Kriterien belegen. Zertifikate belegen, dass eine andere Stelle das System anhand einer Norm bewertet hat. Sie belegen nicht, dass der Lieferant Ihr Teil gemäß Ihrer Spezifikation herstellen kann. Deshalb sind Muster, Erstmusterprüfungen oder Qualifizierungschargen bei kritischen Artikeln von großer Bedeutung.

Lieferantenaudit oder Fragebogen?

Ein Fragebogen zeigt Ihnen, was ein Lieferant nach eigener Aussage tut. Bei einem Audit können Sie sehen, ob er es tatsächlich tut. Beide Methoden haben ihren Platz.

Nutzen Sie Fragebögen für bedeutende Lieferanten, als Vorauswahl vor einem Audit und zur Aktualisierung von Informationen zwischen Audits. Gestalten Sie sie spezifisch. Auf die Frage „Haben Sie ein Verfahren zur Änderungskontrolle?“ erhalten Sie immer ein Ja. „Beschreiben Sie die letzte Änderung, über die Sie einen Kunden informiert haben, und wie viel Vorlauf Sie gegeben haben“ sagt Ihnen mehr.

Führen Sie ein Audit durch, wenn der Lieferant kritisch ist, der Fragebogen Zweifel aufwirft, Leistungsdaten schlechter werden oder der Lieferant eine wesentliche Änderung vorschlägt. Wenn Sie sich auf Prüfergebnisse eines Lieferanten verlassen, erwartet EU-GMP-Absatz 5.36 risikobasierte Audits des Prüforts, die Sie selbst oder über Dritte durchführen. Remote-Audits eignen sich gut für dokumentenbasierte Überprüfungen eines Ihnen bereits bekannten Lieferanten. Für einen ersten Besuch an einem Produktionsstandort sind sie weniger geeignet, denn dort ist es wichtig, die Produktionshalle, das Lager und den Ausschussbereich zu sehen.

Planen Sie Lieferantenaudits parallel zu Ihren internen Audits und verwenden Sie dabei dieselbe risikobasierte Terminplanung. Unser Leitfaden zum Aufbau eines Programms für interne Audits behandelt die Festlegung der Häufigkeit, die gleichermaßen für Lieferanten gilt.

Inhalte einer GMP-Qualitätsvereinbarung

Eine Qualitätsvereinbarung ist der technische Teil des Vertrags. Kapitel 7 verlangt, dass sie von Personen erstellt wird, die mit der ausgelagerten Tätigkeit und GMP vertraut sind. Das zeigt sich in den Details. Mindestens sollte sie Folgendes abdecken:

• Geltungsbereich: abgedeckte Produkte, Materialien, Dienstleistungen und Standorte
• Spezifikationen und Zuständigkeit dafür
• Zuständigkeiten für die einzelnen Schritte in einer Tabelle: Materialbeschaffung, Prüfung, Freigabe, Lagerung, Transport
• Änderungsmitteilung: Was muss mitgeteilt werden, wie weit im Voraus und für welche Änderungen ist Ihre Genehmigung vor der Umsetzung erforderlich?
• Abweichungen und Ergebnisse außerhalb der Spezifikation: Was muss der Lieferant melden und innerhalb welcher Frist?
• Unteraufträge: ohne Ihre vorherige Genehmigung unzulässig
• Aufzeichnungen: Was wird wie lange aufbewahrt und worauf haben Sie auf Anfrage Zugriff?
• Ihr Recht auf Audits, einschließlich kurzfristiger Audits aus besonderem Anlass
• Beschwerden, Rückrufe und Untersuchungen zu gefälschten Produkten
• Behördeninspektionen: Benachrichtigung, wenn eine Behörde eine Inspektion durchführt oder Probleme feststellt, die Ihr Produkt betreffen

Die Klausel zur Änderungsmitteilung ist der Punkt, der in Verhandlungen oft abgeschwächt wird. Bestehen Sie bei kritischen Lieferanten auf einer klaren Regelung. Nennen Sie in einem Anhang Beispiele für meldepflichtige Änderungen: Quelle von Rohmaterialien, Herstellungsstandort, wichtige Ausrüstung, Prüfverfahren, Sterilisationsparameter, Unterauftragnehmer.

Liste zugelassener Lieferanten und laufende Überwachung

Die Liste zugelassener Lieferanten sollte mehr enthalten als einen Namen und ein Häkchen. Erfassen Sie für jeden Lieferanten die zugelassenen Materialien oder Dienstleistungen, die Einstufung samt Begründung, den Zulassungsstatus (zugelassen, bedingt zugelassen, ausgesetzt, disqualifiziert), das Datum der letzten Bewertung und den nächsten Fälligkeitstermin sowie einen Link zur Qualitätsvereinbarung. Die Beschaffung sollte keine Bestellung bei einem Lieferanten auslösen können, der für den betreffenden Artikel nicht zugelassen ist.

Für die Überwachung benötigen Sie Daten, die Sie bereits erfassen: Zurückweisungen beim Wareneingang, Abweichungen bei Analysenzertifikaten, dem Lieferanten zugeordnete Abweichungen und Beschwerden, verspätete oder unvollständige Antworten auf Lieferantenkorrekturmaßnahmen sowie termingerechte Lieferungen, wenn Engpässe die Versorgung beeinträchtigen würden. EU-GMP 5.36 fügt eine oft ausgelassene Prüfung hinzu: Wenn Sie den Prüfumfang reduzieren und sich auf das Zertifikat des Lieferanten verlassen, führen Sie in risikobasierten Abständen vollständige Analysen durch und vergleichen Sie die Ergebnisse. Bei einer Abweichung dürfen Sie Zertifikate erst wieder akzeptieren, wenn die Untersuchung abgeschlossen ist.

Führen Sie Neubewertungen nach einem anhand der Einstufung festgelegten Zeitplan durch und beziehen Sie die Überwachungsergebnisse ein, wie es Abschnitt 7.4.1 verlangt. Das Ergebnis ist eine Entscheidung: weiterführen, mit Auflagen weiterführen, Überwachung verstärken, auditieren oder disqualifizieren. Wenn ein Lieferantenproblem formelle Maßnahmen erfordert, leiten Sie es über CAPA ein und weisen Sie dem Lieferanten die Verantwortung für die Korrekturmaßnahme und sich selbst die Verantwortung für deren Überprüfung zu. Unser Artikel zu CAPA nach ISO 13485 erläutert, wie Sie das strukturieren.

Wenn ein Lieferant etwas ändert

Lieferantenänderungen erreichen Sie auf drei Wegen: durch eine formelle Mitteilung, einen Hinweis in einem neuen Zertifikat oder Datenblatt oder eine Untersuchung, nachdem etwas schiefgelaufen ist. Der erste Fall bedeutet, dass das System funktioniert. Die beiden anderen zeigen, dass die Vereinbarung oder die Beziehung Aufmerksamkeit erfordert.

Behandeln Sie jede mitgeteilte Änderung als interne Änderungskontrolle. Bewerten Sie ihre Auswirkungen auf Spezifikationen, Validierung, Stabilität, Biokompatibilität, Zulassungsunterlagen und Ihre eigenen Prozesse. Legen Sie fest, welche Nachweise Sie vor der Annahme benötigen: Vergleichsprüfungen, Qualifizierungschargen, aktualisierte Zertifikate oder eine Mitteilung an die Benannte Stelle oder die zuständige Behörde. Die Methode in unserem Artikel zur Bewertung der Auswirkungen einer Änderungskontrolle eignet sich ebenso für vom Lieferanten initiierte Änderungen.

Eine nicht mitgeteilte Änderung ist eine Abweichung. Sichern Sie betroffenes Material, bewerten Sie bereits freigegebene Produkte und leiten Sie eine CAPA ein, die sowohl die Produktauswirkungen als auch das Versagen der Änderungsmitteilungsregelung abdeckt. Überlegen Sie, ob die Einstufung des Lieferanten, die Audit-Häufigkeit oder der Zulassungsstatus geändert werden sollten. Im Beispiel mit der Silikondichtung bedeutet das, Bestände unter Quarantäne zu stellen, das neue Härtungssystem anhand der biologischen Bewertung zu beurteilen und vor der Freigabe weiterer Lieferungen die Änderungskontrolle des Lieferanten zu auditieren.

Fazit

Nehmen Sie sich diese Woche Ihre zehn kritischsten Lieferanten vor und prüfen Sie für jeden drei Dinge: eine schriftliche Begründung der Einstufung, eine Qualitätsvereinbarung mit einer konkreten Klausel zur Änderungsmitteilung und eine Neubewertung im vergangenen Jahr, bei der tatsächliche Leistungsdaten verwendet wurden. Fehlt bei einem kritischen Lieferanten auch nur einer dieser Punkte, beheben Sie das, bevor Sie der Liste einen weiteren Namen hinzufügen.

Wenn Sie Lieferantenaudits mit demselben Programm, denselben Checklisten, Feststellungen und Maßnahmenabschlüssen wie Ihre internen Audits planen und nachverfolgen möchten, erfahren Sie mehr über das Auditmanagement von InnoQualis.