Praktische inzichten in GMP audits

Scope en doelgroep

Dit artikel behandelt de praktische uitvoering van GMP-audits: plannen, voorbereiden, uitvoeren en opvolgen. Het richt zich op QA-professionals, Qualified Persons (QP), Responsible Persons (RP), Auditors en productie- en distributiemedewerkers die audits organiseren, hosten of zelf uitvoeren binnen GMP-gereguleerde omgevingen.

Audittypen en regelgeving

Drie typen audits spelen in de GMP-praktijk:

• Interne audits (self-inspections), vereist onder EU GMP Chapter 9 en PIC/S.
• Leveranciers- en contractgeveraudits, uitgevoerd om de kwalificatie van contractacceptanten, API-leveranciers of testlaboratoria te beoordelen.
• Regulatory inspections door bevoegde autoriteiten (nationaal, EMA, FDA, PIC/S-lidstaten).

EU GMP Part I en Part II, PIC/S GMP Guide, FDA 21 CFR Parts 210/211 en ICH Q10 vormen het regelgevend kader. ICH Q10 positioneert het self-inspection-programma als onderdeel van het Pharmaceutical Quality System (PQS) en koppelt het aan management review en continuë verbetering.

Risicogebaseerde auditplanning en scheduling

Het jaarlijkse auditprogramma begint bij een risicobeoordeling, niet bij een kalender. Factoren die de frequentie en scope bepalen: compliancehistorie van de site (aantal en ernst van eerdere bevindingen), productcriticiteit (steriele producten, biologicals), complexiteit van uitbestede activiteiten en recente wijzigingen in regelgeving of registraties.

Een site met herhaaldelijk openstaande CAPA's of recente regulatory findings verdient een hogere auditfrequentie. Nieuwe contractacceptanten worden vóór goedkeuring geaudit, niet daarna. Regulatory intelligence, zoals nieuwe Annex-versies of FDA warning letters in de sector, stuurt de scopekeuze: als de autoriteit data integrity prioriteert, doet het auditprogramma dat ook.

Selectie en kwalificatie van auditors

Auditors moeten aantoonbaar competent zijn in de relevante GMP-domeinen. Voor gespecialiseerde audits (steriele productie, data integrity, computerized systems) is aanvullende vakinhoudelijke kennis vereist. Een auditor die geen ervaring heeft met aseptische processen, mist de observaties die ertoe doen.

Onafhankelijkheid is een must: een auditor beoordeelt geen processen waarvoor hij of zij operationeel verantwoordelijk is. Bij kleine organisaties zonder voldoende interne capaciteit is uitbesteding aan gekwalificeerde externe auditoren of audit-sharing met andere bedrijven een gangbare oplossing. Documenteer de kwalificatie van elke auditor, inclusief training, ervaring en eventuele certificeringen.

Auditvoorbereiding voor de geauditeerde site

Effectieve voorbereiding begint met een readiness self-inspection, enkele weken vóór de geplande audit. Controleer of documenten actueel en beschikbaar zijn: batch records, kwalificatierapporten, validatiedocumenten, PQR's, training records. Bereid logistiek voor: een auditruimte met netwerktoegang, begeleidend personeel per afdeling, en een schema met beschikbaarheid van subject-matter experts.

Voer een gap-analyse uit tegen recente deficiency trends in de sector en tegen eigen openstaande bevindingen. Een CAPA die al zes maanden overdue is, wordt tijdens de audit een bevinding. Los het eerder op.

Veelvoorkomende inspection-readiness gaps

• Overdue CAPA's, met name die voortkomen uit eerdere audits of deviations.
• Onvolledige of niet-getekende Product Quality Reviews (PQR).
• Training records die niet actueel zijn of niet traceerbaar gekoppeld aan specifieke SOP-versies.
• Verlopen kwalificatiestatus van equipment (bijv. HVAC-rekwalificatie, kalibratiecertificaten).
• Data integrity-zwaktes: ontbrekende audit trails, gedeelde login-accounts, ongecontroleerde spreadsheets voor GMP-kritische berekeningen.

Uitvoering van de audit en omgaan met bevindingen

De opening meeting stelt de scope, het tijdschema en de verwachte medewerking vast. Houd het kort. Vervolgens vindt evidence gathering plaats: documentreview, rondgang door productie- en opslagruimtes, en interviews met operators en QA-personeel.

Interview shopfloor-medewerkers op hun werkplek, niet in een vergaderruimte. Vraag een operator om het deviationproces uit te leggen aan de hand van een recent voorbeeld. Vergelijk het antwoord met de SOP en het daadwerkelijke deviationrecord. Discrepanties zijn bevindingen.

Beoordeel observaties real-time en leg ze vast met verwijzing naar het betreffende document, batchnummer of systeem. Bij de closing meeting presenteert de auditor de voorlopige bevindingen, geeft de geauditeerde site gelegenheid tot feitelijke correctie, en communiceert het vervolgtraject.

Classificatie van observaties en effectieve auditrapportage

Classificeer elke bevinding op basis van GMP-risico. PIC/S en FDA hanteren vergelijkbare indelingen: critical, major en other (of minor). Een critical deficiency betreft een situatie die direct patiëntveiligheid of productintegriteit in gevaar brengt. Major deficiencies wijzen op significante afwijkingen van GMP-eisen. Other deficiencies zijn verbeterpunten zonder directe risico-impact.

Schrijf bevindingen specifiek en evidence-linked. Niet: "Training is onvoldoende." Wel: "Drie van vijf geïnterviewde operators in de granulatie-afdeling konden de actuele SOP voor in-process controls niet benoemen; training records toonden aan dat hun laatste SOP-training dateert van meer dan 18 maanden geleden." Een bevinding die niet herleidbaar is tot bewijs, is onverdedigbaar.

Effectieve CAPA vanuit auditbevindingen

Elke bevinding vereist een root cause analysis die verder gaat dan het symptoom. Gebruik gestructureerde methoden (Ishikawa, 5-why) en documenteer het proces. Wijs CAPA-eigenaarschap toe aan de proceseigenaar, niet aan QA. QA bewaakt de voortgang, de proceseigenaar implementeert.

Stel realistische maar bindende deadlines. Verifieer de effectiviteit van de CAPA na implementatie: is de root cause daadwerkelijk geëlimineerd, of is alleen het symptoom verholpen? Volg de CAPA binnen het site-QMS en escaleer wanneer deadlines worden overschreden of wanneer de voorgestelde maatregel het risico niet afdekt.

Hosten van regulatory inspections

Regulatory inspections verschillen fundamenteel van interne of third-party audits: de inspecteur heeft wettelijke bevoegdheden, de uitkomst kan gevolgen hebben voor de manufacturing authorisation of markttoelating, en het tempo wordt bepaald door de inspecteur.

Organiseer een back-room team dat documenten klaarzet, kopieën beheert en real-time bijhoudt welke informatie is verstrekt. Beantwoord vragen feitelijk en volledig, maar bied geen informatie aan die niet gevraagd is. Laat de inhoudelijk verantwoordelijke persoon antwoorden, niet de meest beschikbare.

Bij preliminary observations: noteer exact wat de inspecteur zegt, vraag om verduidelijking als de observatie onduidelijk is, en corrigeer feitelijke onjuistheden ter plekke. Na ontvangst van het officiële inspectierapport: reageer binnen de gestelde termijn met concrete remediation-maatregelen en haalbare deadlines. Vage toezeggingen leiden tot follow-up inspections.

Belangrijkste actiepunten

• Ontwerp het auditprogramma risicogebaseerd: compliancehistorie, productcriticiteit en regulatory trends bepalen frequentie en scope.
• Bereid de site voor met een readiness self-inspection en sluit bekende gaps (overdue CAPA's, verlopen kwalificaties, training records) vóór de audit.
• Schrijf bevindingen altijd specifiek en met directe verwijzing naar het bewijs. Een observatie zonder evidence is een mening.
• Verifieer CAPA-effectiviteit na implementatie en escaleer bij overschrijding van deadlines.
• Behandel inspection readiness als een continue staat van het QMS, niet als een projectmatige voorbereiding op een aangekondigd bezoek.