25.02.2013: Edgar Dietrich, Stefan Weber & Berthold Lebert, freier Berater

Allgemein wird oft angenommen, dass Softwaresysteme grundsätzlich korrekte Ergebnisse liefern. Aufgrund der Komplexität solcher Programme sind jedoch Fehler mit zum Teil gravierenden Auswirkungen nie vollständig auszuschließen.

Der Einsatz von Software ist heute in Unternehmen nicht mehr wegzudenken. Diese stellt mittlerweile quasi das „zentrale Nervensystem“ eines Unternehmens dar. Der Korrektheit solcher Systeme kommt daher größte Bedeutung zu, insbesondere wenn es sich um berechnete Qualitätskennzahlen handelt, die für wesentliche Entscheidungsprozesse in einem Unternehmen herangezogen werden. Dieser Problematik wurde man sich immer mehr bewusst und daher wird der Software-Validierung heute immer größere Aufmerksamkeit geschenkt. Für behördlich regulierte Unternehmen (Pharma und Medizintechnik) ist Software-Validierung sogar Pflicht.

Was versteht man unter Software-Validierung?

Einfach formuliert, möchte man mit der Validierung eines installierten Softwaresystems den Nachweis führen, dass das System das leistet, was es leisten soll.

Nach DIN EN ISO 9000:2005 versteht man unter Validierung die „Bestätigung durch Bereitstellung eines objektiven Nachweises, dass die Anforderung für einen spezifischen beabsichtigten Gebrauch oder eine spezifisch beabsichtigte Anwendung erfüllt worden ist.“ Dies kann anhand von Konformitätsbewertungen durch Beobachten und Beurteilen begleitet, soweit zutreffend, durch Messen, Testen und Vergleichen erreicht werden.

Wo sind Forderungen an die Software-Validierung gestellt?

Im Rahmen der Zertifizierung eines Qualitätsmanagementsystems wird auch das verwendete Softwaresystem auditiert, insbesondere wenn mit diesem Qualitätsinformationen verarbeitet werden. So fordert die DIN EN ISO 9001:2008 bzw. ISO TS 16949:2009 in Abschnitt 7.6:

„Bei Verwendung von Computersoftware zur Überwachung und Messung festgelegter Anforderungen muss die Eignung dieser Software für die beabsichtigte Anwendung bestätigt werden. Dies muss vor dem ersten Gebrauch vorgenommen werden und, wenn notwendig, auch später bestätigt werden.“

Da die Q-DAS Software Messergebnisse von Messprozessen weiterverarbeitet, kommt zusätzlich die Forderung aus der DIN EN ISO 10012:2003 Abschnitt 6.2.2 zum Tragen.

„Die in den Messprozessen und bei der Berechnung der Ergebnisse eingesetzte Software muss dokumentiert, gekennzeichnet und überwacht werden, um ihre Eignung für den fortgesetzten Einsatz sicherzustellen. Die Software und sämtliche aktualisierte Versionen müssen vor dem ersten Einsatz geprüft und/oder validiert, für den Einsatz freigegeben und archiviert werden.“

Wie kann man den Anforderungen der Software-Validierung gerecht werden?

Softwaresysteme kann man nicht wie andere Produkte „anfassen“ und damit auch nicht mit üblichen Prüfprozessen bewerten. Daher muss für die Software-Validierung das Softwareprogramm zunächst in der später verwendeten Umgebung installiert werden. Nach erfolgreicher und vollständiger Inbetriebnahme der Software ist diese im Sinne der og. Definition zu prüfen und nach erfolgreichem Abschluss freizugeben. Die Prüfung erfolgt anhand von Testszenarien, die auf die Punkte der Anforderungsspezifikation zugeschnittenen sind und möglichst alle relevanten Anwendungsfälle und Risikopotentiale abdecken.

Q-DAS verifiziert ihre Softwareprodukte gegen Standardszenarien und gibt diese vor der Auslieferung an den Kunden frei. Durch den unbekannten konkreten Einsatzzweck dort ist damit zwar keine absolute Fehlerfreiheit garantiert, allerdings kann der Kunde davon ausgehen, dass die meisten Anwendungsfälle und insbesondere die Rechenoperationen korrekt sind. Dadurch reduziert sich der Prüfaufwand beim Kunden drastisch auf die Prüfungen, die sicherstellen, dass die von Q-DAS verifizierte Software in seiner Systemumgebung (Rechnerhardware, Betriebssystem, Netzwerk, Datenbank, Schnittstellen usw.) und für seinen konkreten Anwendungsfall bzw. seine konkreten Anwendungsfälle auch korrekt arbeitet.

Dazu empfiehlt es sich, eigene Testszenarien zusammenzustellen, die bei jeder Neuinstallation der Q-DAS Software abgearbeitet werden müssen, um den behördlichen Anforderungen zur Validierung gerecht zu werden und die Software für die Anwendung freizugeben. Bei Änderungen am validierten System muss über Änderungsmanagement sichergestellt werden, dass der validierte Zustand aufrecht erhalten bleibt.

Wie kann eine Validierung aussehen?

In Verbindung mit der Q-DAS Software kann man prinzipiell von zwei unterschiedlichen Testphasen sprechen:

• Überprüfung der Berechnung von Kenngrößen und Kennzahlen anhand definierter Referenzdatensätze (s. auch Eignungserklärung auf der Q-DAS Homepage unter https://www.q-das.de/fileadmin/mediamanager/Software/Eignungserklaerung/Eignungserklaerung.pdf).
• Überprüfung der Dateneingabe und der korrekten Weiterverarbeitung gemäß eines vorgegeben Datenflusses sowie der allgemeinen Programmsteuerung. Die wesentliche Testszenarien hierzu sind vom Anwender festzulegen.

Der strukturierte Ablauf eines Validierungsprozesses beruht auf einer freigegebenen Verfahrensbeschreibung. Wesentlicher Bestandteil ist dabei die Beschreibung der Anforderungsspezifikation, die Risikoanalyse und der Testszenarien. Die Durchführung aller Qualifikationsschritte wird protokolliert und schließlich freigegeben, wenn keine relevanten Abweichungen vorliegen.