Inhalt
1. Die kurze Antwort
GAMP 5 Kategorie 4 ist konfigurierte Software — ein kommerzielles Produkt, das Sie mit Parametern, Regeln und Workflows einrichten, ohne den Code zu ändern. Kategorie 5 ist kundenspezifische (bespoke) Software — Code, der eigens für Sie geschrieben wurde. Der praktische Unterschied ist Validierungsaufwand und Risiko: Kategorie 5 verlangt die Validierung des Codes selbst (Design-Reviews, Code-Review, strukturelle Tests), während Kategorie 4 es erlaubt, sich auf den Produktlebenszyklus des Anbieters zu stützen und die Validierung auf Ihre Konfiguration und deren bestimmungsgemäßen Gebrauch zu konzentrieren.
2. Die GAMP-5-Softwarekategorien
GAMP 5 (Second Edition, 2022) stuft computergestützte Systeme danach ein, wie sie gebaut sind, weil das den risikobasierten Validierungsansatz bestimmt:
| Kategorie | Was es ist | Beispiel |
|---|---|---|
| 1 | Infrastruktursoftware | Betriebssysteme, Datenbanken, Middleware |
| 3 | Nicht konfiguriert (as-is genutzt) | Standardtools mit Standardeinstellungen |
| 4 | Konfiguriert | LIMS, MES, ERP, QMS — mit Ihren Parametern und Regeln eingerichtet |
| 5 | Kundenspezifisch / bespoke | Software (oder Module), eigens für Ihren Prozess codiert |
(Kategorie 2, Firmware, wurde in der GAMP 5 First Edition zurückgezogen und erscheint in der aktuellen Klassifizierung nicht.)
3. Kategorie 4 vs. Kategorie 5 — Vergleich
| Aspekt | Kategorie 4 (konfiguriert) | Kategorie 5 (kundenspezifisch) |
|---|---|---|
| Codeherkunft | Validiertes Produkt des Anbieters | Für Ihre Instanz geschrieben |
| Anbieter-Hebel | Auf Lebenszyklus + Audit stützen | Mehr Lebenszyklus bei Ihnen |
| Design-Reviews | Konfigurationsspezifikation | Vollständige Design- + Code-Reviews |
| Testfokus | Konfiguration & Gebrauch (IQ/OQ/PQ) | Strukturell + funktional, inkl. Codepfade |
| Änderungskontrolle | Betroffene Konfiguration re-verifizieren | Betroffenen Code re-validieren |
| Typischer Aufwand | Geringer, bei starker Anbieter-Evidenz | Höher |
4. Warum die Einstufung Ihren CSV-Aufwand ändert
Die Einstufung ist kein Papierkram — sie entscheidet, wie viel Sie selbst nachweisen müssen. Ein Kategorie-4-Produkt erlaubt es, die Entwicklungs- und Testnachweise des Anbieters zu nutzen (über ein Lieferantenaudit und dessen Validierungspaket), sodass sich Ihre Vor-Ort-Validierung darauf konzentriert, ob Ihre Konfiguration das Beabsichtigte leistet. Ein Kat-4-Produkt als Kat 5 einzustufen, verschwendet Aufwand; einen Kat-5-Build als Kat 4 einzustufen, belässt ungetesteten Code in einem GxP-Entscheidungspfad — genau die Lücke, über die ein Warning Letter geschrieben wird.
Die Feinheit, die die GAMP 5 Second Edition betont: Konfiguration und Anpassung können in einem System koexistieren. Ein konfiguriertes Produkt mit einem bespoke Berechnungsmodul ist Kategorie 4 für die konfigurierten Teile und Kategorie 5 für das kundenspezifische Modul. Klassifizieren Sie nach Komponente, nicht nach dem Produktetikett.
5. Was ein Anbieter für Kategorie 4 nachweisen muss
Behauptet ein Anbieter, sein Produkt sei konfigurierbare Software der Kategorie 4, verlangen Sie die Nachweise, die es erlauben, sich darauf zu stützen:
- Einen dokumentierten Produktentwicklungs-Lebenszyklus (SDLC), den Sie auditieren können.
- Ein Validierungs-/Qualifizierungspaket: URS-zu-Test-Rückverfolgbarkeit, IQ/OQ-Skripte, Release-Tests.
- Eine klare Grenze Konfiguration vs. Anpassung — was Sie einrichten vs. was neuen Code erfordern würde.
- Versionskontrolliertes, reproduzierbares Verhalten — dieselben Eingaben und Versionen erzeugen dieselbe Ausgabe für den Auditor.
- Einen Lieferantenaudit-Weg (vor Ort oder dokumentiert), um ihn als Lieferanten zu qualifizieren.
Das ist der Standard, für den Synlogica Terminus gebaut ist: Das Quality-Modul (Terminus M4) ist als konfigurierbare Software der GAMP 5 Kategorie 4 entworfen und dokumentiert — mit Ihren SOPs, Regeln und Schwellenwerten konfiguriert, mit einem Anbieter-Validierungspaket und versionsfixierten, reproduzierbaren Entscheidungspaketen. Die Klassifizierungsbegründung und der Validierungsansatz stehen in unserem Whitepaper zur GAMP-5-Kategorie-4-Klassifizierung.
6. FAQ
Kann ein System zugleich Kategorie 4 und Kategorie 5 sein?
Ja. GAMP 5 klassifiziert nach Komponente. Ein konfiguriertes Produkt (Kat 4) mit einem bespoke Modul oder einer kundenspezifischen Berechnung ist für dieses Modul Kat 5. Validieren Sie jeden Teil nach seiner eigenen Kategorie, statt dem ganzen System ein Etikett aufzuzwingen.
Bedeutet Kategorie 4 weniger Validierung?
Meist bedeutet es weniger doppelte Validierung: Sie nutzen die Lebenszyklus-Evidenz des Anbieters und konzentrieren sich auf Ihre Konfiguration und den Gebrauch. Die Gesamtstrenge ist risikobasiert — eine GxP-Entscheidung mit hoher Auswirkung erfordert weiterhin gründliches IQ/OQ/PQ, nur kein erneutes Testen des Anbietercodes.
Wo fallen LLMs / KI-Funktionen hin?
Eine KI/ML-Komponente, die eine GxP-Entscheidung beeinflusst, braucht über das Kategorie-Etikett hinaus spezifische Governance — Daten, Modellversionierung und Änderungskontrolle. Deshalb hält Synlogica kein LLM in der Entscheidungsschleife und strebt ISO 42001 für die KI-gestützte Extraktionsschicht separat an.
7. Quellen
- ISPE GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems, Second Edition (2022).
- EU-GMP Annex 11 — Computergestützte Systeme.
- 21 CFR Part 11 — Electronic Records; Electronic Signatures.
- ISPE GAMP Good Practice Guides — Records & Data Integrity.