Zum Inhalt springen
Entourage

Wie steuern Sie Änderungen an Produkten und Prozessen GMP-konform, ohne Compliance-Lücken oder Produktionsstopps?

Wir bauen Change-Control-Systeme nach ICH Q10 (Pharmaceutical Quality System), EU-GMP und ISO 13485:2016 auf, in denen jede geplante Änderung bewertet, freigegeben, dokumentiert und auf ihren regulatorischen Handlungsbedarf geprüft wird, von der Risikobewertung nach ICH Q9(R1) über das Impact Assessment bis zur Variation oder Meldung an die Benannte Stelle. Die entscheidende Hürde ist selten die technische Änderung, sondern die zu späte Klassifizierung: Wer erst nach der Umsetzung erkennt, dass eine Type-II-Variation nach Verordnung (EG) Nr. 1234/2008 oder eine Meldung an die Benannte Stelle nötig gewesen wäre, hat eine nicht genehmigte Änderung im zugelassenen Zustand, und genau das findet jeder Inspektor.

  • Pharma
  • Biotech
  • MedTech
  • IVD

Überblick

Warum sind unkontrollierte Änderungen eines der größten Compliance-Risiken?

Change Control über GxP, Pharma bis Medizinprodukt · ICH Q10/Q9(R1), EU-GMP, ISO 13485:2016, MDR (EU 2017/745) & IVDR

Zuletzt aktualisiert: 2026-06-12

Änderungen sind in der Produktion von Arzneimitteln, Biologika und Medizinprodukten unvermeidlich. Ohne strukturiertes Change-Control-System entstehen vier wiederkehrende Risiken:

  • Änderungen werden ohne vollständige Risikobewertung nach ICH Q9(R1) freigegeben und beeinflussen validierte Prozesse, ohne dass der Revalidierungsbedarf nach EU-GMP Annex 15 geprüft wurde.
  • Behördenrelevante Änderungen werden zu spät erkannt: Eine fällige Type-IB/II-Variation nach Verordnung (EG) Nr. 1234/2008 oder eine Meldung an die Benannte Stelle (MDCG 2020-3) unterbleibt.
  • Change Control wird als bürokratisches Hindernis statt als Qualitätsinstrument gelebt, sodass Records unvollständig bleiben.
  • Fehlende Traceability: Inspektoren können nicht nachvollziehen, wann was warum geändert wurde, obwohl ICH Q10 und ISO 13485:2016 (7.3.9) lückenlose Dokumentation verlangen.

Leistungen

Wie wir Sie unterstützen

Change-Control-System: Aufbau & Review

Design eines Change-Control-Prozesses nach ICH Q10 und ISO 13485:2016 (7.3.9): Change-Request-Formular, Impact-Assessment-Methodik nach ICH Q9(R1), Genehmigungsworkflow und Traceability-Matrix. Deliverable: dokumentierter Prozess plus Gap-Review der bestehenden Change-Control-SOPs.

Regulatorisches Impact Assessment

Bewertung jeder Änderung auf Meldepflicht: Variation-Klassifizierung (Type IA/IB/II) nach Verordnung (EG) Nr. 1234/2008, Meldung an die Benannte Stelle bei wesentlichen Änderungen (MDCG 2020-3), Revalidierungsbedarf nach Annex 15. Deliverable: Impact-Assessment-Report mit Fristen- und Einreichplan.

Mehr erfahren

Change Control für validierte IT-Systeme

Strukturiertes Änderungsmanagement für Software-Updates und Konfigurationen validierter Systeme nach GAMP 5 und EU-GMP Annex 11, inklusive Rückwirkungsanalyse auf den Validierungsstatus und 21 CFR Part 11-Konformität. Deliverable: CSV-Change-Record mit definiertem Re-Validierungsumfang.

Risikobasiertes Change-Klassifizierungsmodell

Minor/Major/Critical-Klassifizierung gekoppelt an die Risikobewertung nach ICH Q9(R1) bzw. ISO 14971:2019, mit definierten Eskalations- und Genehmigungspfaden. Deliverable: Klassifizierungsmatrix und Entscheidungsbaum.

Mehr erfahren

Post-Approval Change Strategy

Lifecycle-Planung von Änderungen nach ICH Q12 mit Established Conditions und Post-Approval Change Management Protocol (PACMP), um geplante Folgeänderungen vorab mit der Behörde abzustimmen. Deliverable: PACMP-Entwurf und Established-Conditions-Liste.

Schulung & Change-Control-Kultur

Trainings für Produktion, QA und Entwicklung: Was ist ein meldepflichtiger Change, wie wird der Impact nach ICH Q9(R1) bewertet, wann greift welche Variation? Deliverable: rollenbezogenes Schulungskonzept mit Fallbeispielen aus Pharma- und MedTech-Produktion.

Worauf es ankommt

Ein Change-Control-System scheitert selten an fehlenden Formularen, sondern an der Reihenfolge. Drei Schritte müssen ineinandergreifen, bevor eine Änderung umgesetzt wird: die Risikobewertung nach ICH Q9(R1) bestimmt, wie tief geprüft wird. Das regulatorische Impact Assessment entscheidet, ob eine Variation nach Verordnung (EG) Nr. 1234/2008 oder eine Meldung an die Benannte Stelle nach MDCG 2020-3 fällig ist. Und erst die Freigabe erlaubt die Umsetzung samt Revalidierung nach EU-GMP Annex 15. Wer diese Reihenfolge umdreht und zuerst umsetzt, hat im Zweifel eine nicht genehmigte Änderung im zugelassenen oder zertifizierten Zustand, und das ist der teuerste aller Befunde.

Genau hier setzen wir an. Das Impact Assessment steht am Anfang, nicht am Ende: Bevor in der Produktion etwas geändert wird, ist geklärt, ob die Änderung minor, major oder critical ist, welche Variation oder Meldung an die Benannte Stelle sie auslöst und welcher Revalidierungsumfang folgt. Über Established Conditions und ein PACMP nach ICH Q12 lassen sich geplante Folgeänderungen sogar vorab mit der Behörde abstimmen, was den späteren Einreichaufwand dorthin verschiebt, wo er planbar ist, statt in den kritischen Pfad kurz vor Markteinführung.

Unser Vorgehen

Unser Vorgehen

01

Ist-Analyse Change-Control-System

Gap-Report: Wo weicht der bestehende Prozess von ICH Q10, Annex 15 und ISO 13485:2016 ab, welche Records sind inspektionssicher, welche nicht.

02

Klassifizierungs- und Bewertungslogik

Risikobasierte Minor/Major/Critical-Matrix mit angebundenem Impact Assessment nach ICH Q9(R1).

03

Regulatorisches Impact Assessment

Pro Änderung dokumentierter Handlungsbedarf: Variation-Typ nach (EG) Nr. 1234/2008, Meldung an die Benannte Stelle oder reine interne Umsetzung, jeweils mit Fristenplan.

04

Umsetzung & Traceability

Geführter Change-Control-Record von Antrag über Freigabe bis Wirksamkeitsprüfung, lückenlos rückverfolgbar.

05

Wirksamkeitsprüfung & Schließung

Bestätigte Umsetzung, geprüfte Revalidierung, geschlossener Record, bei Inspektion vollständig vorlegbar.

Typische Stolperfallen

Woran Projekte häufig scheitern

Die regulatorische Klassifizierung erfolgt zu spät.

Wird erst nach Umsetzung erkannt, dass eine Type-II-Variation nach Verordnung (EG) Nr. 1234/2008 oder eine Meldung an die Benannte Stelle nötig war, liegt eine nicht genehmigte Änderung im zugelassenen Zustand vor, ein klassischer kritischer Inspektionsbefund.

Das Impact Assessment bleibt oberflächlich.

Eine Änderung wird isoliert betrachtet, ohne ihre Rückwirkung auf validierte Prozesse, das Risikomanagement nach ISO 14971:2019 oder abhängige Dokumente zu prüfen, sodass der nötige Revalidierungsumfang nach Annex 15 übersehen wird.

Change Control wird als reine Formalität gelebt.

Records werden nachträglich ausgefüllt, Genehmigungen rückdatiert, Wirksamkeitsprüfungen ausgelassen; im Audit fällt die fehlende Traceability sofort auf, weil die Reihenfolge von Genehmigung und Umsetzung nicht zusammenpasst.

Geplante Änderungen und ungeplante Abweichungen werden vermischt.

Eine Abweichung wird als Change behandelt oder umgekehrt, wodurch entweder die Root-Cause-Analyse fehlt oder eine geplante Änderung ohne vorherige Genehmigung umgesetzt wird.

Bei validierten IT-Systemen wird die Konfigurationsänderung nicht als Change erfasst.

Ein vermeintlich kleines Software-Update verändert den validierten Zustand nach GAMP 5 und Annex 11, ohne dass Re-Validierungsumfang und Part-11-Relevanz bewertet wurden.

FAQ

Häufige Fragen

Der formelle Prozess, durch den geplante Änderungen an Produkten, Prozessen, Ausrüstung, Systemen oder Dokumenten bewertet, genehmigt, dokumentiert und umgesetzt werden. ICH Q10 (Abschnitt 3.2.3) verlangt das Change Management System als festen Bestandteil des pharmazeutischen Qualitätssystems; für Medizinprodukte fordert ISO 13485:2016 (7.3.9) die Lenkung von Entwicklungsänderungen.

Quellen
  • ICH Q10 (Pharmaceutical Quality System), Abschnitt 3.2.3 Change Management System
  • ICH Q9(R1) Quality Risk Management; ICH Q12 Lifecycle Management (Established Conditions, PACMP)
  • Verordnung (EG) Nr. 1234/2008 (Variations Regulation), Type IA/IB/II
  • EU-GMP-Leitfaden Teil I Kapitel 1, Annex 11 (Computerised Systems), Annex 15 (Qualifizierung und Validierung)
  • ISO 13485:2016 Abschnitt 7.3.9; ISO 14971:2019
  • EU 2017/745 (MDR) Art. 120 und MDCG 2020-3; EU 2017/746 (IVDR) und MDCG 2022-6
  • GAMP 5 (2nd Edition); 21 CFR Part 11, Part 211, Part 820 (820.30(i), 820.70(b))
  • Writer-Quelldatei: change-management-compliance.md (Entourage Website Writer, 2026-03-30)
  • https://theentourage.de/expertise/change-management-compliance/ (bestehender Seiteninhalt, überarbeitet)

Life Science Journal

Regulatorische Updates, direkt ins Postfach.

Neue Anforderungen, Behördenentscheidungen und Praxishinweise. Einmal monatlich, jederzeit abbestellbar.

Berücksichtigte Verordnungen & Normen

  • ICH Q10 (Pharmaceutical Quality System), Change Management System (Abschnitt 3.2.3)
  • ICH Q9(R1) (Quality Risk Management)
  • ICH Q12 (Lifecycle Management), Established Conditions & PACMP
  • Verordnung (EG) Nr. 1234/2008 (Variations Regulation), Type IA/IB/II
  • EU-GMP-Leitfaden Teil I Kapitel 1 (Pharmazeutisches Qualitätssystem)
  • EU-GMP-Leitfaden Annex 15 (Qualifizierung und Validierung)
  • EU-GMP-Leitfaden Annex 11 (Computerised Systems)
  • ISO 13485:2016, Abschnitt 7.3.9 (Lenkung von Entwicklungsänderungen)
  • ISO 14971:2019 (Risikomanagement für Medizinprodukte)
  • EU 2017/745 (MDR), Art. 120 (Übergangsbestimmungen, wesentliche Änderungen)
  • MDCG 2020-3 (Significant changes, MDR)
  • EU 2017/746 (IVDR)
  • MDCG 2022-6 (Significant changes, IVDR)
  • GAMP 5 (Good Automated Manufacturing Practice, 2nd Edition)
  • 21 CFR Part 211 (cGMP for Finished Pharmaceuticals)
  • 21 CFR Part 820, 820.30(i) & 820.70(b) (Design / Process Changes)
  • 21 CFR Part 11 (Electronic Records)

Dazu ein konkretes Vorhaben?

Schildern Sie uns kurz Ihre Ausgangslage. Wir melden uns mit einer ersten Einschätzung, in der Regel innerhalb eines Werktags.

Lieber direkt? +49 89 4161170-0
info@theentourage.de

  • Antwort i.d.R. innerhalb eines Werktags
  • 4 Standorte: DE · CH · IT · US
  • 100% Life Sciences