eQMS für klinische Studien: Welche Anforderungen ein Qualitätssystem im GCP-Umfeld erfüllen muss und wie Biotechs es auswählen

1. Was ein eQMS in einer klinischen Studie konkret leisten muss

ICH E6(R3) schreibt kein eQMS vor. Der Sponsor muss aber „ein geeignetes System zur Steuerung der Qualität in allen Phasen des Studienprozesses“ implementieren (ICH E6(R3), 3.10) und QA- und QC-Prozesse mit dokumentierten Verfahren einrichten (3.11). In der Praxis heißt das für ein Phase-I/II-Biotech sechs Kernfunktionen:

• Dokumentenlenkung: SOPs, Pläne und Vorlagen mit Versionierung, Prüfung, Freigabe und Signatur. Laut ICH E6(R3) Appendix C.2.1 sollen Records identifizierbar und versionskontrolliert sein und Autoren, Prüfer und Freigebende samt Datum und Signatur ausweisen. Nicht studienspezifische Records wie SOPs und Validierungsunterlagen dürfen außerhalb der studienspezifischen Ablage geführt werden (C.2.12). Das ist genau die Schnittstelle zwischen eQMS und eTMF. Die Anforderungen an das reine Dokumentenmanagement beschreibt der Beitrag eDMS-Anforderungen für Biotechs und CROs.
• Abweichungen und CAPA: Bei Noncompliance, die Rechte, Sicherheit oder Datenzuverlässigkeit erheblich beeinträchtigen kann, soll der Sponsor eine Ursachenanalyse durchführen, CAPA umsetzen und deren Wirksamkeit bestätigen (ICH E6(R3), 3.12.2). QA soll risikobasiert Ursachen schwerwiegender Noncompliance identifizieren, damit korrigierende und vorbeugende Maßnahmen möglich werden (3.11.1).
• Change Control: Änderungen an Systemen werden risikobasiert validiert und folgen Change-Control-Verfahren (ICH E6(R3), 4.3.4(c)). Die EMA verlangt einen formalen Change-Control-Prozess mit Risikobewertung und Versionskontrolle (EMA/INS/GCP/112288/2023, Annex 2, A2.10).
• Schulungen: Der Sponsor setzt qualifizierte Personen ein (3.4). Wer computergestützte Systeme nutzt, muss darin geschult sein (4.3.2), und Schulungen sind zu dokumentieren und für Inspektionen verfügbar zu halten (EMA-Leitlinie, 5.3).
• Lieferanten- und CRO-Qualifizierung: Der Sponsor bewertet die Eignung von Dienstleistern und wählt sie aus (3.6.7). Er braucht Zugang zu deren SOPs und Leistungskennzahlen (3.6.8) und beaufsichtigt übertragene Tätigkeiten einschließlich Unterbeauftragungen (3.6.9).
• Audits: Audits sind unabhängig vom Monitoring, risikoproportional und folgen dokumentierten Verfahren zu Gegenstand, Methode, Häufigkeit und Berichtsform (3.11.2, 3.11.2.2).

Ein eQMS ersetzt diese Pflichten nicht. Es macht sie aber nachweisbar: Jede Abweichung ist mit SOP, Schulung und CAPA verknüpft, und jede Freigabe trägt einen zuordenbaren Audit-Trail-Eintrag.

2. Welche Vorgaben dahinterstehen (mit Fundstellen)

ICH E6(R3): Was in 3.10, 3.16 und Abschnitt 4 tatsächlich steht

ICH hat die finale Fassung von E6(R3), bestehend aus Principles und Annex 1, am 6. Januar 2025 angenommen. In der EU gilt sie seit dem 23. Juli 2025 (EMA/CHMP/ICH/135/1995, Step 5). Die FDA hat sie am 8. September 2025 als finale, rechtlich nicht bindende Guidance herausgegeben; die Bekanntmachung im Federal Register folgte am 9. September 2025 (90 FR 43460, Docket FDA-2023-D-1955). Annex 2 zu dezentralen und pragmatischen Studien wurde laut der ICH-Seite zu den Efficacy Guidelines am 3. Juni 2026 angenommen („Annex 2 was subsequently adopted on 3 June 2026“), der CHMP folgte laut ECA Academy am 25. Juni 2026, und laut der ACT-EU-Seite zur GCP-Modernisierung „Annex 2 comes into effect on 15 January 2027“. Für die eQMS-Grundanforderungen ist Annex 2 nachrangig.

Korrektur der Abschnittszuordnung: Die im Briefing genannten Abschnitte stimmen inhaltlich, decken aber nicht alle eQMS-Funktionen ab.

• 3.10 Quality Management: ein System zur Steuerung der Qualität über alle Studienphasen, Quality by Design und kritische Qualitätsfaktoren. Unter 3.10.1 folgt das Risikomanagement mit Identifikation, Bewertung, Kontrolle, Kommunikation, Review und Reporting. Risiken sind ausdrücklich auch „über Prozesse und Systeme, einschließlich computergestützter Systeme“ zu betrachten (3.10.1.1).
• 3.16 Data and Records: Datenhandling (3.16.1), Aufbewahrung (3.16.3) und Zugang (3.16.4). Für die Systemwahl ist 3.16.1(x) zentral. Der Sponsor führt eine Übersicht der wichtigen computergestützten Systeme mit Validierungsstatus (i), stellt Validierung, Audit Trails, Benutzerverwaltung, Backup, Disaster Recovery und IT-Sicherheit sicher (ii) und führt ein Verzeichnis der berechtigten Nutzer mit Rollen und Rechten (iii).
• 4 Data Governance – Investigator and Sponsor: 4.2 beschreibt den Datenlebenszyklus, darunter Audit Trails (4.2.2) sowie Transfer und Migration (4.2.5). 4.3 behandelt computergestützte Systeme mit Verfahren, Schulung, Sicherheit, Validierung (4.3.4), Systemausfall und Benutzerverwaltung (4.3.8).
• Ergänzend nötig: Für CAPA, Audits und Dienstleister braucht es zusätzlich 3.6 (Agreements und Dienstleister), 3.9 (Sponsor Oversight), 3.11 (QA, QC und Audit) und 3.12 (Noncompliance mit Ursachenanalyse und CAPA).

EU-Verordnung 536/2014 (Clinical Trials Regulation)

• Art. 47: Sponsor und Prüfer stellen sicher, dass die Studie gemäß Prüfplan und GCP durchgeführt wird.
• Art. 52: Schwerwiegende Verstöße meldet der Sponsor über das EU-Portal „ohne unangemessene Verzögerung, spätestens jedoch sieben Tage“, nachdem er davon Kenntnis erlangt hat. Für das eQMS heißt das: Das Abweichungsmanagement braucht eine Eskalationsstufe „potenzieller Serious Breach“ mit Fristüberwachung.
• Art. 57 und 58: Sponsor und Prüfer führen eine Trial Master File und archivieren ihren Inhalt mindestens 25 Jahre nach Studienende. Die Archivierung muss die Inhalte vollständig, lesbar und für Behörden verfügbar halten, und Änderungen müssen nachvollziehbar sein.
• Art. 71: Der Sponsor darf Aufgaben per schriftlichem Vertrag übertragen, bleibt aber verantwortlich.

21 CFR Part 11 (für Studien unter US-IND)

• 11.10: Kontrollen für geschlossene Systeme. Dazu gehören Validierung (a), Zugriffsbeschränkung (d), „sichere, computergenerierte, zeitgestempelte Audit Trails“ (e), Berechtigungsprüfungen (g), Schulung (i) und Kontrolle der Systemdokumentation (k).
• 11.50: Die Signaturmanifestation zeigt Name, Datum und Uhrzeit sowie die Bedeutung der Signatur.
• 11.70: Die Signatur ist untrennbar mit dem Record verknüpft.
• 11.100: Jede Signatur ist einer Person eindeutig zugeordnet und wird nicht weitergegeben.

Details stehen im Leitfaden zu 21 CFR Part 11 Electronic Signatures.

EU-GMP Annex 11

Annex 11 (EudraLex Vol. 4) ist eine GMP-Leitlinie und gilt in der Fassung von 2011 weiter. Den Entwurf einer umfassenden Revision haben Europäische Kommission und PIC/S am 7. Juli 2025 zur Konsultation veröffentlicht (bis 7. Oktober 2025), zusammen mit einem überarbeiteten Kapitel 4 und einem neuen Annex 22 zu KI. In GCP-Inspektionen dient Annex 11 nur als Referenz. Maßgeblich für klinische Studien ist die EMA-Leitlinie zu computergestützten Systemen.

EMA Guideline on computerised systems and electronic data in clinical trials

Die Leitlinie EMA/INS/GCP/112288/2023 wurde von der GCP IWG am 7. März 2023 angenommen, am 9. März 2023 veröffentlicht und gilt seit September 2023. Ihr Anwendungsbereich nennt ausdrücklich eTMFs und Dokumentenmanagementsysteme. Für die eQMS-Auswahl sind diese Abschnitte relevant:

• 4.10 und Annex 2 (Validierung): Nach A2.1 darf man sich auf die Validierungsdokumentation des Anbieters stützen, wenn man sie bewertet hat, etwa durch ein Audit. Die Verantwortung bleibt beim Sponsor. Hinzu kommen periodische Reviews (A2.9) und Change Control (A2.10).
• 6.2 (Audit Trail): Der Audit Trail darf von normalen Nutzern nicht deaktivierbar sein, muss menschenlesbar und vollständig exportierbar sein und zeigt was, wer, wann und warum.
• 5.4 und Annex 3 (Benutzerverwaltung): Segregation of Duties (A3.3), Least Privilege (A3.4) und keine Gruppenkonten (A3.5).
• 6.7 (Cloud): Der Cloud-Anbieter muss qualifiziert sein, Fragen der Datenjurisdiktion sind vertraglich zu klären, und für eigene Validierung braucht es eine Testumgebung, die der Produktion entspricht.
• Annex 1 (Verträge): Ein Anbieter, der Vor-Qualifizierungsaudits oder Inspektionen nicht unterstützt, soll nicht eingesetzt werden. Der Datenspeicherort ist zu beschreiben, und der Zugriff bei Insolvenz oder Anbieterwechsel ist zu sichern.
• 6.10 (Migration): Die Validierung der Datenmigration verdient „nicht weniger Fokus“ als die Systemvalidierung.

3. Sponsor-Biotech oder CRO: Was sich am eQMS unterscheidet

• Sponsor-Biotech: Der Sponsor behält die Gesamtverantwortung, auch für übertragene Tätigkeiten (ICH E6(R3), Principle 10.1 und 3.6.6). Sein eQMS muss deshalb vor allem die Aufsicht abbilden: Qualifizierung und Audits von CRO und Anbietern, ein Register der übertragenen Aufgaben, einen Eskalationsweg für Serious Breaches nach Art. 52 und den Zugang zu den TMF-Teilen, die die CRO führt.
• CRO: Jeder Dienstleister soll „ein angemessenes Qualitätsmanagement implementieren“ und dem Sponsor relevante Vorfälle melden (3.6.6). Bestehende QM-Prozesse genügen, wenn sie für die Studie geeignet sind (3.6.10). Am System zeigt sich der Unterschied vor allem in der Mandantentrennung: Berechtigungen je Sponsor und Projekt, Sponsor-Zugriff auf das eTMF und die Bereitschaft für Kundenaudits. Die EMA-Leitlinie gilt ausdrücklich auch für Dienstleister.

Die CRO-Perspektive behandelt ausführlich der Beitrag eQMS für CROs: GCP-Anforderungen.