Vom Widerstand zur Bereitschaft: Organisationswandelmanagement für die Einführung von CSA

Die Leitlinien der FDA zur Computersoftware-Sicherung (Computer Software Assurance, CSA) bieten einen risikobasierten Rahmen für die Software-Sicherung, doch für eine erfolgreiche Umsetzung ist mehr erforderlich als nur aktualisierte Verfahren und überarbeitete Dokumentation. Ein effektives Change Management innerhalb der Organisation ist ebenso wichtig, um die für die Umsetzung dieser Änderungen verantwortlichen Mitarbeiter darauf vorzubereiten. 

In Teil 1 dieser Reihe, „Warum Life-Sciences-Unternehmen von CSV zu CSA wechseln“, haben wir die regulatorischen und branchenbezogenen Treiber untersucht, die hinter dem Wechsel von der traditionellen Computersystemvalidierung (CSV) zu CSA stehen. Dieser zweite Artikel konzentriert sich auf die organisatorische Bereitschaft, die erforderlich ist, um diese Prinzipien in die Praxis umzusetzen. Für viele Unternehmen besteht die größte Herausforderung nicht darin, CSA zu verstehen, sondern darin, die Mitarbeiter dabei zu unterstützen, eine andere Arbeitsweise anzunehmen. 

Viele Unternehmen aus dem Bereich der Biowissenschaften verstehen die Prinzipien hinter CSA. Die größere Herausforderung besteht darin, den Teams aus den Bereichen Qualität, Validierung, Technik und IT dabei zu helfen, über die seit langem etablierten CSV-Verfahren hinauszugehen und Vertrauen in eine neue Art der Risikobewertung aufzubauen. 

In diesem Beitrag untersuchen wir, warum das Veränderungsmanagement in Organisationen eine entscheidende Rolle bei der erfolgreichen Einführung von CSA spielt und wie Organisationen eine dauerhafte Unterstützung für einen risikobasierten Ansatz aufbauen können. 

Warum es so schwer ist, CSV-Gewohnheiten abzulegen 

CSV wurde nicht deshalb zum Standard, weil die Leute nachlässig waren oder um der Bürokratie willen handelten. Es wurde zum Standard, weil zwei Jahrzehnte lang eine lückenlose Dokumentation die sicherste Antwort auf die ungewisse Frage war: „Was wird ein FDA-Prüfer akzeptieren?“ Mehrere Faktoren haben dazu beigetragen, dass diese Methoden auch nach den Veränderungen im regulatorischen Umfeld weiterbestehen. 

• Angst vor Prüfungsfeststellungen.Fachleute für Qualitätund Validierung sind darauf geschult, 483-Feststellungen fast um jeden Preis zu vermeiden. Eine risikobasierte Begründung wirkt im Vergleich zu einem unterzeichneten, vorformulierten Testfall anfällig. Solange die Teams nicht sehen, dass sich CSA einer echten Überprüfung standhält, bleibt „mehr Dokumentation ist sicherer“ die Arbeitshypothese. 

• Institutionelles Wissen. LangjährigeMitarbeiter in den Bereichen Qualitätssicherung und Validierung haben ihr Fachwissen auf der Grundlage von CSV aufgebaut. Ihre Glaubwürdigkeit, ihre Standardarbeitsanweisungen (SOPs) und oft auch ihre Identität innerhalb der Organisation sind eng mit diesem Modell verbunden. Die Aufforderung, auf CSA umzusteigen, kann für sie so wirken, als würde man ihnen sagen, dass ihr Ansatz die ganze Zeit über falsch war – selbst wenn er zu seiner Zeit angemessen war. 

• Unklarheitsaversion. CSAfordert die Teams auf, ihr Urteilsvermögen einzusetzen: zu entscheiden, welches Maß an Sicherheit eine bestimmte Funktion rechtfertigt. Das ist unangenehm für eine Funktion, die bisher nach vorgeschriebenen Checklisten gearbeitet hat. Das eigene Urteilsvermögen erscheint riskanter als die bloße Einhaltung von Vorschriften, selbst wenn es zu besseren Ergebnissen führt. 

• Funktionsübergreifendes Vertrauen. CSAsetzt voraus, dass sich die Abteilungen für Qualitätssicherung, IT und die für die Geschäftsprozesse Verantwortlichen über Risiken und den Verwendungszweck einig sind. In vielen Organisationen arbeiten diese Gruppen seit Jahren isoliert voneinander, wobei sich IT- und Geschäftsteams eher auf die Umsetzung konzentrieren, anstatt an gemeinsamen Risikodiskussionen teilzunehmen. Echte Risikodiskussionen erfordern ein Maß an Zusammenarbeit, das viele Teams bisher noch nie praktiziert haben. 

Keine dieser Verhaltensweisen ist irrational. Sie sind das vorhersehbare Ergebnis eines Systems, das lange Zeit Vorsicht gegenüber Urteilsvermögen bevorzugt hat. Um sie zu überwinden, bedarf es mehr als nur einer neuen Standardarbeitsanweisung. Es erfordert gezielte Maßnahmen im Bereich des Veränderungsmanagements. 

Echte Akzeptanz für CSA schaffen 

Eine CSA-Richtlinie, die von der Qualitätssicherung genehmigt, aber von niemandem tatsächlich umgesetzt wird, ist schlimmer als gar keine Richtlinie. Sie führt zu einer Diskrepanz zwischen den Vorgaben der Standardarbeitsanweisung (SOP) und dem, was die Teams tatsächlich tun. Genau diese Art von Inkonsistenz wird ein Prüfer beanstanden. Eine echte Umsetzung erfordert einige konkrete Maßnahmen. 

• Sorgen Sie für sichtbare Unterstützung durch die Führungsspitze. CSAmuss von kompetenten Führungskräften, Standortleitern und im Idealfall von einem Mitglied der Geschäftsleitung vorangetrieben werden. Es darf nicht einfach als Memo des Validierungsteams herausgegeben werden. Wenn die Mitarbeiter sehen, dass die Führung risikobasierte Entscheidungen als legitim und vertretbar betrachtet, hören sie auf, auf eine möglichst umfassende Dokumentation zu setzen. 

• Beziehen Sie die Mitarbeiter aus den Bereichen Qualitätssicherung und Validierung in die Gestaltung des Übergangs ein, statt sie nur als Empfänger zu betrachten. Diejenigen, die CSA im Tagesgeschäft anwenden werden, sollten an der Ausarbeitung der Kriterien für die Risikobewertung, der Vorlagen und der Beispiele mitwirken. Das während der Gestaltung entwickelte Verantwortungsbewusstsein wirkt sich direkt auf die Akzeptanz bei der Umsetzung aus. 

• Beginnen Sie mit Pilotprojekten, die ein geringes Risiko bergen und eine hohe Sichtbarkeit aufweisen. Wählen Sieeine Handvoll Systeme aus, bei denen die Vorteile eines weniger strengen Ansatzes offensichtlich sind und die Folgen eines Fehlers minimal sind. Ein gut dokumentiertes Pilotprojekt, das eine interne Prüfung erfolgreich durchläuft, trägt mehr zur Änderung der Einstellung bei als jede noch so umfangreiche Schulungsunterlage. 

• Ändern Sie, was gemessen wird. Wenndie Kennzahlen zur Prüfungsbereitschaft nach wie vor das Dokumentationsvolumen belohnen, passen Sie sie so an, dass stattdessen fundierte Risikobewertungen und angemessen abgesteckte Prüfungsmaßnahmen belohnt werden. Die Mitarbeiter reagieren auf das, was die Führungsebene tatsächlich misst, und nicht auf das, was in der Einleitung der Standardarbeitsanweisung steht. 

• Machen Sie dokumentierte Ermessensentscheidungen zur Selbstverständlichkeit. Geben Sieden Teams konkrete Beispiele dafür, wie eine fundierte, risikobasierte Begründung aussieht. Machen Sie deutlich, dass eine gut begründete Entscheidung für exploratives Testen keine Abkürzung ist. Es ist der Standard, den das Unternehmen nun erwartet.  

• Bringen Sie die IT- und Geschäftsprozessverantwortlichen mit den Qualitätsverantwortlichen an einen Tisch. Die Risikobewertungim Rahmen der CSA ist von Natur aus funktionsübergreifend. Gemeinsame Arbeitssitzungen – und nicht aufeinanderfolgende Freigaben – schaffen das gemeinsame Verständnis von Verwendungszweck und Risiko, auf das sich die CSA stützt. 

• Bereiten Sie sich auf die erste echte Bewährungsprobe vor. Dieerste interne Prüfung oder externe Inspektion, bei der ein CSA-zertifiziertes System auf den Prüfstand kommt, wird entweder den neuen Ansatz bestätigen oder alle dazu bringen, wieder zu den alten CSV-Gewohnheiten zurückzukehren. Üben Sie das. Stellen Sie sicher, dass nicht nur die Belege, sondern auch die Begründung bereit sind, um lautstark verteidigt zu werden. 

Was Führungskräfte kommunizieren müssen 

Während des gesamten Übergangsprozesses müssen drei Botschaften konsequent wiederholt werden. 

• CSA ist keine Deregulierung. Es handelt sich um eine andere und in vielerlei Hinsicht strengere Art, Kontrolle auszuüben. Der Schwerpunkt wird lediglich auf jene Systeme und Funktionen verlagert, bei denen ein Versagen tatsächlich schwerwiegende Folgen hat. 

• Eine fundierte Risikobewertung, die zu einem geringeren Testaufwand führt, stellt keine Lücke in der Compliance dar. Sie ist vielmehr das vorschriftsmäßige Ergebnis, vorausgesetzt, die Begründung ist dokumentiert und vertretbar. 

• Fehler, die bei der Anwendung des neuen Rahmens in gutem Glauben begangen werden, werden als Gelegenheit zum Coaching und nicht als disziplinarischer Vorfall behandelt. 

Ausblick 

Kulturelle Akzeptanz schafft die Bereitschaft zur Veränderung. Sie allein schafft jedoch noch keine entsprechenden Fähigkeiten. In Teil 3 werden wir uns damit befassen, was eine effektive CSA-Schulung über eine einmalige Sensibilisierungsveranstaltung hinaus erfordert, wie die für den Übergang benötigten Ressourcen geplant werden können und welchen praktischen, risikobasierten Ansatz es gibt, um den Rückstand an veralteten, validierten Systemen zu bewältigen, den die meisten Organisationen noch immer mit sich herumtragen. 

Wie RCM Life Sciences Ihnen helfen kann 

RCM Life Sciencesunterstützt Unternehmen dabei, von der traditionellen CSV auf ein effizienteres, risikobasiertes CSA-Modell umzustellen und dabei die Kontrolle über Compliance, Qualität und Datenintegrität zu behalten. Unser Team verfügt über praktische Erfahrung in den Bereichen Qualität, Einhaltung gesetzlicher Vorschriften, Computersystemvalidierung, eQMS, Projektmanagement und Initiativen zur digitalen Transformation. Wir unterstützen unsere Kunden dabei, aktuelle Validierungspraktiken zu bewerten, SOPs und Vorlagen neu zu gestalten, risikobasierte Sicherungsstrategien zu definieren, funktionsübergreifende Teams zu schulen und eine inspektionsgerechte Umsetzung zu gewährleisten. 

Ganz gleich, ob Sie CSA zum ersten Mal prüfen oder sich auf eine umfassendere Einführung vorbereiten – RCM Life Sciences kann Ihr Unternehmen dabei unterstützen, die notwendigen Rahmenbedingungen, Prozesse und Kompetenzen aufzubauen, um ein nachhaltiges, risikobasiertes Software-Sicherheitsprogramm umzusetzen.Kontaktieren Sie unser Team, um mehr zu erfahren. 

Nächster Teil der Reihe:Aufbau von CSA-Kompetenzen: Schulungen, Ressourcen und Altsysteme (in Kürze)