01 · Wer
Eindeutige Person.
Jeder Eintrag muss einer Person zugeordnet sein, nicht einem Sammelkonto „Messplatz 2“. Das setzt persönliche Benutzerkonten voraus.
Änderungsprotokoll im QM
Audit-Trail Software,
die nichts überschreibt.
Prüfpläne, Messungen, Prüfstatus und Benutzerkonten: QIMS protokolliert Anlegen, Ändern und Löschen mit Person, Zeitstempel, altem und neuem Wert. Das Audit-Log in QIMS ist append-only und per Datenbank-Trigger gegen Änderung und Löschung gesperrt, auch für Administratoren.
QIMS-Übersicht · Beispieldaten
Anforderungen
Was ein Audit-Trail
leisten muss.
Ein Audit-Trail beantwortet eine einfache Frage: Wie ist diese Aufzeichnung zu ihrem heutigen Stand gekommen? Im Qualitätsmanagement taucht sie ständig auf, im Audit, bei einer Kundenreklamation oder wenn ein Messwert auffällig glatt aussieht. In Excel lässt sie sich kaum beantworten: Die Datei zeigt den letzten Stand, nicht den Weg dorthin.
Damit ein Änderungsprotokoll im QM belastbar ist, muss es vier Dinge festhalten und zwei Eigenschaften erfüllen: Es darf nachträglich nicht veränderbar sein, und der Zugriff darauf muss geregelt sein.
02 · Was
Aktion und Datensatz.
Angelegt, geändert oder gelöscht: Der Audit-Trail muss zeigen, welche Aktion an welchem Datensatz stattgefunden hat, etwa an Messung 4711 oder Prüfplan „Drehen 1“.
03 · Wann
Zeitstempel vom System.
Der Zeitpunkt wird vom System gesetzt, nicht von der Person eingetippt. Nur so lässt sich die Reihenfolge von Ereignissen belastbar rekonstruieren.
04 · Alt und neu
Beide Werte bleiben sichtbar.
Wird eine Prüfhäufigkeit von „pro Schicht“ auf „täglich“ geändert, müssen beide Werte erhalten bleiben. Eine Änderung darf die ursprüngliche Information nicht verdecken.
Unveränderbarkeit
Ein Protokoll, das sich bearbeiten lässt, beweist wenig. Entscheidend ist, dass Einträge nach dem Schreiben nicht mehr verändert oder entfernt werden können, auch nicht von Personen mit weitreichenden Rechten. Wie das technisch umgesetzt ist, sollten Sie bei jeder QM-Software konkret erfragen: Ist es nur eine Regel in der Oberfläche, oder verhindert die Datenbank selbst die Änderung?
Zugriffsrechte
Nicht jede Person im Betrieb muss das Änderungsprotokoll sehen. Es enthält Namen, Zeiten und Werte, also auch Informationen über die Arbeitsweise einzelner Mitarbeiter. Ein sinnvolles Rollenmodell gibt QM-Leitung und Auditoren Einblick, während die Erfassung an der Linie davon unberührt bleibt.
Normkontext
Audit-Trail nach
ISO 13485 und darüber hinaus.
Der Begriff Audit-Trail stammt aus der regulierten Pharma- und Medizinprodukteindustrie, die Idee dahinter gilt für jedes QM-System. Die folgenden Regelwerke beschreiben, was ein Änderungsprotokoll leisten soll. Das Audit-Log in QIMS ist nach diesen Anforderungen entwickelt; die Bewertung Ihres QM-Systems bleibt Aufgabe Ihrer Benannten Stelle, Zertifizierungsstelle oder Behörde.
ISO 13485
§4.2.5Lenkung von Aufzeichnungen: Aufzeichnungen müssen lesbar, leicht erkennbar und wiederauffindbar bleiben. Änderungen an einer Aufzeichnung müssen identifizierbar bleiben.
21 CFR Part 11
§11.10(e)Sichere, computergenerierte Audit-Trails mit Zeitstempel für Anlegen, Ändern und Löschen elektronischer Aufzeichnungen. Änderungen dürfen frühere Einträge nicht verdecken.
EU-GMP Anhang 11
Nr. 9Auf Basis einer Risikobewertung soll das System GMP-relevante Änderungen und Löschungen aufzeichnen; der Grund der Änderung soll dokumentiert und der Audit-Trail regelmäßig überprüft werden.
Für Medizinproduktehersteller ist ISO 13485 §4.2.5 der zentrale Bezugspunkt. 21 CFR Part 11 betrifft Hersteller, die in den US-Markt liefern; EU-GMP Anhang 11 betrifft computergestützte Systeme in der Arzneimittelherstellung. Beide werden in der Praxis auch außerhalb ihres direkten Geltungsbereichs als Orientierung genutzt. Mehr dazu auf den Seiten ISO 13485, Medizintechnik und Pharma.
So setzt QIMS es um
Append-only,
von der Datenbank erzwungen.
Das Audit-Log in QIMS ist keine Zusatzfunktion, die man einschalten muss. Es läuft automatisch mit, wenn Prüfpläne, Messungen, Prüfstatus oder Benutzerkonten angelegt, geändert oder gelöscht werden. Eine erfasste Messung wird nicht überschrieben: Wird sie gelöscht, steht der vollständige Datensatz mit allen Werten im Log. Passwortänderungen werden protokolliert, ohne den Passwort-Hash selbst zu speichern.
Die Sperre gegen Änderung und Löschung liegt nicht in der Oberfläche, sondern in der Datenbank: Trigger brechen jeden UPDATE- oder DELETE-Befehl auf die Tabelle ab. Das ist technisch erzwungen, nicht nur Konvention. Details zu Rollen, Passwörtern und Hosting stehen auf der Seite Sicherheit.
- 01
Automatische Protokollierung
Wird ein Prüfplan angelegt, geändert oder gelöscht, eine Messung erfasst oder gelöscht, ein Prüfstatus gesetzt oder ein Benutzerkonto geändert, schreibt QIMS den Eintrag selbst. Niemand muss daran denken.
- 02
Vollständiger Eintrag
Zeitstempel, Person (Kennung und Name), Aktion, betroffene Tabelle, Datensatz-Nummer sowie alter und neuer Wert als strukturierte Daten.
- 03
Append-only per Datenbank-Trigger
Die Datenbank selbst weist jeden Versuch ab, einen Eintrag zu ändern oder zu löschen. Das gilt für jede Rolle, auch für Administratoren.
- 04
Einsicht ab Rolle Supervisor
Lesender Zugriff auf das Audit-Log haben Supervisor und Admin. Operator und Viewer sehen es nicht. Ändern kann es niemand.
- 05
Filtern für Audit und Reklamation
Einträge lassen sich nach Zeitraum, Person und betroffener Tabelle filtern. So finden Sie für eine bestimmte Charge oder Woche schnell, wer was geändert hat.
Praxis
Wann das
Änderungsprotokoll zählt.
Praxisbeispiel Medizintechnik: das Überwachungsaudit
Ein Hersteller von Implantatkomponenten wird von seiner Benannten Stelle auditiert. Die Auditorin bemerkt, dass für eine Charge zwei Messungen der Oberflächenrauheit existieren, eine davon gelöscht, und fragt nach dem Grund.
Die QM-Leitung filtert das Audit-Log nach Zeitraum und Tabelle: Der Prüfer hatte bei der Erfassung zwei Ziffern vertauscht, die fehlerhafte Messung gelöscht und neu erfasst. Der gelöschte Datensatz mit dem ursprünglichen Wert, die neue Messung, beide Namen und Zeitpunkte stehen im Log. Die Frage ist schnell beantwortet.
Praxisbeispiel Fertigung: die Kundenreklamation
Ein Zulieferer erhält eine Reklamation zu einer Charge Drehteile. Der Kunde will wissen, ob der Prüfplan für die betroffene Station im fraglichen Zeitraum verändert wurde, etwa durch eine verlängerte Prüfhäufigkeit.
Im Audit-Log ist zu sehen, dass die Häufigkeit drei Wochen vor der Lieferung von „pro Schicht“ auf „täglich“ geändert wurde, von wem und wann. Das ist nicht angenehm, aber nachvollziehbar, und genau das ist der Zweck. Mehr zu Prüfplänen auf der Seite Prüfplanung.
Abgrenzung
Was noch
in Entwicklung ist.
Wir trennen klar zwischen dem, was das Audit-Log heute leistet, und dem, woran wir arbeiten. Diese Funktionen sind nicht Teil des aktuellen Produktumfangs:
In Entwicklung
Kryptografische Hash-Kette
Eine Verkettung der Einträge per SHA-256, mit der sich die Integrität des gesamten Logs rechnerisch prüfen lässt, ist in Entwicklung. Heute schützt der Datenbank-Trigger.
In Entwicklung
Elektronische Signaturen
Freigaben mit elektronischer Unterschrift, wie sie 21 CFR Part 11 Subpart C beschreibt, sind in Entwicklung.
In Entwicklung
PDF-Audit-Paket
Ein fertiges Exportpaket für Auditoren ist in Entwicklung. Heute gibt es den CSV-Export der Messdaten und die gefilterte Ansicht des Audit-Logs.
Ebenfalls nicht Teil des heutigen Umfangs ist ein eigenes Pflichtfeld für den Änderungsgrund je Audit-Log-Eintrag. Wie sich das Audit-Log von einer Excel-Datei mit Versionsnummern unterscheidet, zeigt die Seite Excel vs. QIMS.
Häufige Fragen
Fragen zum
Audit-Trail.
Was ist ein Audit-Trail in einer QM-Software? +
Ein Audit-Trail, auch Änderungsprotokoll genannt, ist eine chronologische Aufzeichnung aller Änderungen an Qualitätsdaten. Jeder Eintrag hält fest, wer wann welche Aktion an welchem Datensatz ausgeführt hat und welcher Wert vorher und nachher galt. Er macht nachvollziehbar, wie eine Aufzeichnung zu ihrem heutigen Stand gekommen ist.
Kann ein Administrator Einträge im QIMS-Audit-Log löschen? +
Nein. Das Audit-Log ist append-only. Datenbank-Trigger brechen jeden Versuch ab, einen Eintrag zu ändern oder zu löschen, unabhängig davon, wer ihn auslöst. Neue Einträge können nur angehängt werden. Eine zusätzliche kryptografische Verkettung der Einträge ist in Entwicklung.
Unterstützt der QIMS-Audit-Trail die Anforderungen aus ISO 13485 §4.2.5? +
Das Audit-Log ist nach den Anforderungen aus ISO 13485 §4.2.5 entwickelt: Änderungen an Aufzeichnungen bleiben mit Person, Zeitpunkt, altem und neuem Wert identifizierbar. Ob Ihr Umgang mit Aufzeichnungen insgesamt den Anforderungen entspricht, bewertet Ihre Benannte Stelle bzw. Zertifizierungsstelle. Die Validierung der Software für Ihren Einsatz begleiten wir.
Bietet QIMS elektronische Signaturen nach 21 CFR Part 11? +
Noch nicht. Elektronische Signaturen sind in Entwicklung. Heute enthält QIMS technische Bausteine, die Part 11 adressiert: persönliche Benutzerkonten mit Passwort, rollenbasierte Zugriffssteuerung und einen Audit-Trail mit Zeitstempel, Person sowie altem und neuem Wert. Ob das für Ihren Anwendungsfall ausreicht, klären wir im Demo-Gespräch.
Wird bei einer Änderung ein Änderungsgrund abgefragt? +
Ein eigenes Pflichtfeld für den Änderungsgrund je Audit-Log-Eintrag ist nicht Teil des heutigen Umfangs. Wenn Ihr Prozess eine Begründung verlangt, etwa nach EU-GMP Anhang 11, können Sie im Erfassungsformular ein Bemerkungsfeld vorsehen. Sein Inhalt gehört zum Datensatz der Messung und steht damit auch im zugehörigen Audit-Log-Eintrag.
Verwandt: Sicherheit · Messdatenerfassung · Produkt & Ist-Stand · Preise
Betrieb
Cloud oder On-Premise.
Sie entscheiden.
Dieselbe Software, derselbe Funktionsumfang, zwei Betriebsarten. Ob QIMS bei uns in der Cloud oder bei Ihnen im Werk läuft, richtet sich nach Ihren IT- und Datenschutzvorgaben. Ein späterer Wechsel ist möglich.
Cloud
In der Cloud, in Deutschland.
Wir betreiben QIMS für Sie auf Servern in Deutschland. Updates und Backups übernehmen wir, Ihr Team arbeitet im Browser oder mit der Desktop-App.
- Hosting bei Hetzner in Deutschland
- Updates und Backups durch uns
- Kein eigener Server nötig
On-Premise
Auf Ihren eigenen Servern.
QIMS läuft als Container in Ihrem Netz. Ihre IT entscheidet über Zugriff, Backup und Netzwerksegmentierung, auch ganz ohne Internetverbindung.
- Daten verlassen Ihr Werk nicht
- Betrieb ohne Internet möglich
- Updates nach Ihrem Freigabeprozess
Welche Betriebsart in welchem Tarif enthalten ist, steht auf der Preisseite.
Nächster Schritt
Ein Wert geändert.
Beide sichtbar.
In der Demo ändern wir live einen Prüfplan und zeigen Ihnen den Eintrag im Audit-Log, mit Person, Zeitpunkt, altem und neuem Wert.