Lebenszyklussteuerung

Ziel ist es, auf dem gesamten Lebensweg Verantwortlichkeiten, Gültigkeitsstatus, Änderungsprozesse und Nachweisdokumentation jederzeit transparent, nachvollziehbar und normkonform zu steuern.

Im Rahmen der Lenkung dokumentierter Information nach Managementsystem-Normen (z. B. ISO 9001, ISO/IEC 27001, IATF 16949, ISO 13485, GxP, FDA 21 CFR Part 11 und 820, GoBD) stellt die Lebenszyklussteuerung die operative Erfüllung aller relevanten Vorgaben sicher. Sie unterstützt dabei, Compliance-Risiken zu minimieren, die Verwendung veralteter Informationen zu vermeiden und die Transparenz sowie Effizienz der Geschäftsprozesse zu erhöhen. Bei der Anwendung müssen länderspezifische und branchenspezifische Vorgaben berücksichtigt werden.

Klarstellung der Begriffe

Die differenzierte Verwendung zentraler Begriffe ist entscheidend:

• Externe Normen: Standards und Spezifikationen normgebender Stellen (z. B. ISO, DIN, IEC). Nutzung und Vervielfältigung sind lizenzabhängig und können, je nach Lizenzvertrag, unterschiedliche Formen der internen Bereitstellung erlauben.
• Interne dokumentierte Information: Unternehmensinterne Richtlinien, Prozesse, Arbeitsanweisungen oder SOPs, die gesteuert werden.
• Aufzeichnungen (Records): Nachweisführende Dokumente wie Prüfprotokolle oder Bestätigungen mit eigenen Regeln für Aufbewahrung und Löschung.

Lebenszyklussteuerung bezieht sich dabei auf die normkonforme Steuerung sowohl externer und interner Dokumente als auch die Verwaltung von Aufzeichnungen.

Kurzdefinition

Lebenszyklussteuerung ist die operative Lenkung aller Schritte im Lebenszyklus dokumentierter Informationen. Sie umfasst Statusmodelle (z. B. Entwurf, Prüfung, Freigabe, gültig, ersetzt, gesperrt, zurückgezogen, archiviert), vollständige Rollen- und Workflowmodelle, Versionsmanagement, Änderungsdokumentation, geregelte Außerkraftsetzung sowie nachvollziehbare Archivierung. Regulatorische Anforderungen wie Unveränderbarkeit, Nachvollziehbarkeit und datenschutzkonforme Löschung sind dabei maßgebend; zugleich gilt es spezifische Auflagen etwa durch GoBD primär für steuerrelevante Dokumente zu beachten.

Abgrenzung: Lebenszyklussteuerung, Lebenszyklusmanagement und Dokumentenlenkung

• Lebenszyklussteuerung: Operative, meist IT-gestützte Verwaltung von Statuswechseln, Rollenbesetzungen (z. B. Ersteller, Prüfer, Freigebende), Audit-Trails, Fristen und Aufgabenmanagement.
• Lebenszyklusmanagement: Strategisch-produktiver Teil, der Governance-Strukturen, Richtlinien, Prüfintervalle, Berichtswesen, Risikoanalysen, KPIs und kontinuierliche Verbesserung umfasst.
• Lenkung dokumentierter Information (Dokumentenlenkung): Übergeordneter Begriff, der sowohl Erstellung, Überarbeitung, Freigabe, Verteilung als auch Schutz, Aufbewahrung, Zugriffskontrolle und ordnungsgemäße Archivierung umfasst.

Lebenszyklussteuerung setzt die im Lebenszyklusmanagement definierten Regeln in den täglichen Prozessen normgemäß und auditierbar um.

Typische Phasen im Lebenszyklus dokumentierter Information

Ein deutlich abgetrenntes Statusmodell differenziert zwischen Gültigkeit, Nutzung und Ablage:

• Bedarf/Identifikation: Ermittlung und Auswahl relevanter externer Anforderungen nach Markt-, Produkt- oder Standortspezifika.
• Bewertung/Lizenzprüfung: Überprüfung der Anwendbarkeit, Gültigkeit und Lizenzbedingungen externer Normen. Die interne Bereitstellung kann, so lizenziert, als Netz- oder Mehrplatzlizenz erfolgen; bei restriktiven Lizenzen ist meist die Verlinkung auf Originalquellen vorzuziehen.
• Übernahme/Erstellung: Transformation externer Anforderungen in interne Dokumente. Spezifische Übersetzungen, Versionszuordnung, regionale Gültigkeit und Kennzeichnung kontrollierter Kopien (Wasserzeichen, QR-Codes) werden dabei abgebildet.
• Review und Freigabe: Mehrstufige Prüfung (z. B. Ersteller, Reviewer, Freigebende), unter Einbindung von Vertretungsregelungen und Vier-Augen-Prinzip. Die Verknüpfung mit Schulungen kann, abhängig vom Geltungsbereich (GxP, Arbeitsschutz), bereits Voraussetzung für die Wirksamkeit/Freigabe des Dokuments sein.
• Veröffentlichung/Nutzung: Steuerung von Wirksamkeitsdaten und gegebenenfalls Übergangsfristen. Die Nutzung durch die Anwender wird einschließlich zwingender Schulungen und Bestätigungen nachweisbar gemacht.
• Überwachung/Monitoring: Automatisiertes Änderungsmonitoring, z. B. durch Systeme mit Benachrichtigungen zu zurückgezogenen oder geänderten Normen, geplante Reviews und Eskalationsoptionen.
• Änderungsmanagement/Revision: Steuerung kontrollierter Anpassungen, inklusive Impact-Analysen, Change-Notices, Betroffenheitsbewertung aller abhängigen Dokumente, paralleler Gültigkeit („Parallelversionen“).
• Außerkraftsetzung/Sperrung/Archivierung: Klare Kennzeichnung von Dokumenten mit temporärer Sperre, ersetzten oder endgültig zurückgezogenen Status. Nach Außerbetriebnahme bleibt das Dokument für Prüfzwecke archiviert, operativ wird der Zugriff unterbunden.

Dabei bedeuten Status wie „gesperrt“ eine temporäre Nichtnutzung (z. B. während einer laufenden Revision), während „ersetzt", „zurückgezogen" oder „ungültig" eine endgültige Außerkraftsetzung darstellen, die eine Überarbeitung oder operative Entfernung zur Folge hat. „Archiviert“ steht für die dauerhafte, aber eingeschränkte Verfügbarkeit im Rahmen vorgeschriebener Aufbewahrungsfristen.

Verfeinerung des Rollenmodells

Der Erfolg einer Lebenszyklussteuerung basiert auf klaren Rollen:

• Ersteller: Erstellt oder adaptiert interne Dokumente und übernimmt externe Normen als Referenz.
• Reviewer: Führt inhaltliche, normative und sprachliche Prüfungen durch.
• Freigebende Instanz: Entscheidet final über die Wirksamkeit und Freigabe.
• Qualitätssicherung/Compliance: Überwacht die Einhaltung regulatorischer Vorgaben und Risiken.
• Prozesseigner/Fachabteilung: Sichert Anwendbarkeit und meldet Änderungsbedarfe.
• Systemadministration: Verwalter von Workflows, Benutzerrollen und Systemintegrationen.
• Normenmanager/Lizenzverwaltung: Verantwortlich für das Lizenzmanagement externer Normen.
• Vertretung/Eskalation: Klare Festlegung von Stellvertretungen und Eskalationsstufen bei Fristüberschreitungen.

Erweiterte Rollenkonzepte, wie RACI oder Segregation of Duties (SoD), sorgen für Transparenz und Nachweisbarkeit. Für kontrollierte Kopien sind Prozessschritte zum Rückruf und zur Vernichtung unabdingbar.

Normativer Rahmen und regulatorische Anforderungen

Lebenszyklussteuerung bezieht sich auf zahlreiche Normen und Regelwerke:

• ISO 9001 (Qualitätsmanagement), ISO 13485 (Medizintechnik), IATF 16949 (Automobil), ISO/IEC 27001 (Informationssicherheit), GxP, GMP/EU Annex 11 (computergestützte Systeme in Arzneimittel-Qualitätssicherung), FDA 21 CFR Part 11, FDA 21 CFR Part 820/2024-QMSR, GoBD (primär steuerrelevante Dokumente), eIDAS (regulierte Signaturen), ISO 15489, ISO 30300/30301 (Records Management), ISO 10007 (Konfigurationsmanagement), OAIS/ISO 14721 (Archivierung), PDF/A (ISO 19005)

Im Mittelpunkt stehen Gültigkeit, Übergangsfristen, Parallelversionen, Änderungen, Schutz vor Verlust und Manipulation, individuelle Aufbewahrungsregeln je Dokumenttyp, Region und Rechtsrahmen.

Data Integrity und Nachvollziehbarkeit

Anforderungen an Datenintegrität werden immer bedeutender. ALCOA+-Prinzipien (Attributable, Legible, Contemporaneous, Original, Accurate, plus Complete, Consistent, Enduring, and Available) sowie Leitlinien von FDA und MHRA legen besonders Wert auf lückenlose Audit-Trails, nachvollziehbare Zeitstempel (z. B. nach RFC 3161, eIDAS-Qualitätsanforderungen), revisionssichere Dokumentation von Änderungen (Wer/Was/Wann/Vorher-Nachher) einschließlich Begründungen.

Funktionsumfang moderner Informationsmanagementsysteme

Ein leistungsfähiges System für Lebenszyklussteuerung bietet:

• Ein zentrales, strukturiertes Register für alle Typen dokumentierter Information, differenziert nach Gültigkeitsbereich, Standort, Sprache, Schutzklasse und Metadaten.
• Einheitliche Status- und Versionsverwaltung, inklusive Parallelversionen und Ersatzbeziehungen.
• Dokumentierte Nachweisketten zu Vorgabeprozessen, Formularen, Risiken, abgeleiteten Schulungen und Nachweisen „Read & Understand“, Quiz, Rezertifizierung.
• Workflow-Bausteine für Prüfung, Freigabe, Eskalation, Übersetzungsmanagement und Master/Untervarianten-Verwaltung.
• Granulares Rollen-, Zugriffs- und Lizenzmanagement, einschließlich Lizenzdokumentation und ggf. DRM-Integration für externe Normen.
• Transparente Änderungs- und Leseprotokolle mit Berücksichtigung des Schutzes personenbezogener Daten gemäß DSGVO.
• Steuerung und Verfolgung von Druckkopien und Exporten, unter Berücksichtigung von Kennzeichnung, Rückruf und Vernichtung.
• Automatisierte Änderungsverfolgung und Impact-Analysen; Schnittstellen zu eQMS-, ECM-, GRC-, ERP-, PLM- sowie Lern- und Prozessmanagementsystemen, inklusive SSO, APIs, E-Signaturen nach verschiedenen rechtlichen Standards.
• Auswertungen zu Durchlaufzeiten, Review-SLAs, Kontrollquote physischer Kopien, Trainingsabdeckung und Nutzungsstatistiken.

Wirksamkeitskontrollen, Mehrsprachigkeit und Kommunikation

• Gültigkeits- und Friststeuerung: Granulare Steuerung von „gültig ab“, „gültig bis“ und Übergangsfristen, inklusive Dokumenthistorie und paralleler Gültigkeit.
• Kommunikationsplanung: Regelbasierte, nachverfolgbare Mitteilungen und Eskalationen bei Änderungen oder kritischen Updates, Rückmeldung durch Schulungsbestätigungen.
• Mehrsprachigkeit/Regionalisierung: Steuerung von Übersetzungen, Terminologiemanagement nach ISO 17100, differenzierte Freigabe und Gültigkeit je Region.

Umgang mit externen Normtexten und Lizenzmanagement

Die Nutzung externer Normtexte erfordert sorgfältige Lizenzverwaltung:

• Die interne Bereitstellung als Kopie oder Download ist nur im Rahmen der erworbenen Rechte erlaubt (z. B. Netz- oder Mehrplatzlizenz, DRM-Lösung). Jegliche Nutzung muss durch dokumentierte Lizenznachweise abgesichert werden.
• Bei restriktiven Lizenzen ist die Verlinkung auf die Originalquelle im Lizenzportal üblich.
• Automatisierte Überwachung von Änderungen, zentral dokumentierte Nutzung, Prüfung der Rechtslage und Nachweispflichten gegenüber Audit und Lizenzgeber gehören zum Pflichtprogramm.

Datenschutz, Sicherheit und Systemvalidierung

• Umfassendes Zugriffs- und Rechtemanagement nach Prinzipien wie RBAC/ABAC sowie Least-Privilege.
• Audit-Trails mit vollständiger Protokollierung aller Statuswechsel, Freigaben, Zugriffe und Exporte. Protokollierung personenbezogener Daten ist auf das notwendige Maß zu beschränken, mit klar geregelter Interessen- und Rechtsgrundlagenabwägung (z. B. Legal Hold vs. Löschpflicht).
• Datenschutz und Datensicherheit durch Verschlüsselung, Mandantentrennung, Schlüsselmanagement und Protokollreduktion.
• Systemvalidierung risikobasiert nach GAMP5/CSV, IQ/OQ/PQ, Traceability-Matrix sowie regelmäßige System- und Datenintegritätsreviews.

Erweiterte Klassifikation, Konfigurations- und Änderungsmanagement

• Strukturierte Taxonomien, eindeutige Metadaten, Geschäftsgeheimnisse, Schutzklassen, Exportkontrollen (z. B. ITAR/EAR), Nummerierung und Benennungsregeln.
• Gesteuertes Änderungsmanagement mit Major/Minor-Revisionslogik, Redlining, Change Requests, CAPA-Verknüpfung, End-to-End-Verfolgung.
• Kontrolle von externen und kunden-/lieferantenseitigen Dokumenten (z. B. Spezifikationen, Zeichnungen, ECR/ECO-Verknüpfungen).

Effektivitätsnachweise und Nutzungsmonitoring

• Überprüfung der tatsächlichen Nutzung von Dokumenten mit Punktnutzungs-Analysen, Wirksamkeitskontrollen, Kompetenzmanagement, Feedback-Mechanismen.
• Anbindung an Telemetriedaten, um Leserate, Prüfintervalle und Auditproben systemgestützt zu erfassen.

Point-of-Use- und Systemintegration

• Spezielle Oberflächen für Shopfloor/Kiosk, Offline-Read-Only-Modus, dynamische Kopienkennzeichnung, Rückruf- und Sperrmechanismen.
• Integration in Prozess-, Lern- und Kollaborationssysteme sowie Einbindung in Single Sign-On, zertifizierte API-Standards und SCIM-Schnittstellen.

Lebenszyklusende von Dokumenten, Aufbewahrung und Disposition

• Definition und Einhaltung länderspezifischer Retentions- und Aufbewahrungsfristen, sowohl für Archive als auch für Backups.
• Differenzierte Regeln für steuerrelevante, qualitätsrelevante sowie auftrags- oder produktspezifisch begrenzte Unterlagen (inklusive GoBD, SOX, FDA, ISO, nationale Gesetze).
• Nach Ablauf-Frist: Dokumentierte Löschung oder Anonymisierung, sichere Protokollierung der Vernichtung, rechtssichere Nachweisführung. Bei Legal Hold wird die Löschung bis zur Klärung ausgesetzt.

Erweiterte KPIs und Erfolgskriterien

Relevante Kennzahlen zur Steuerung (Definition jeweils mit Scope, Zähler/Nenner, Zielsetzung):

• Aktualitätsquote: Anteil aktueller, gültiger Dokumente zum Stichtag (je Bereich/Kritikalität).
• Time-to-Update: Zeitspanne zwischen Bekanntwerden einer externen Änderung und Umsetzung.
• Durchlaufzeit je Phase: Durchschnittlicher Zeitbedarf pro Statusstufe (z. B. Entwurf bis Freigabe).
• Review-Überfälligkeit: Anzahl/Prozentsatz überfälliger Überprüfungen (Overdue-Reviews).
• Schulungsabdeckung/Wirksamkeitskontrolle: Anteil korrekt geschulter Mitarbeitender zur Frist.
• Auditfeststellungen: Anzahl und Trends von Abweichungen je geprüfte Dokumente.
• Change-Backlog: Offene Änderungsanforderungen und deren Bearbeitungsstatus.
• Fehler-/Korrekturquote nach Veröffentlichung: Anteil nach Erstfreigabe erkannter Fehler.
• Rezertifizierungsquote, Audit-Trail-Vollständigkeit, Nutzungsmetriken, RPO/RTO-Nachweise.
• Referenzen-Qualität: Anteil veralteter Referenzen. Hoher Wert signaliert Handlungsbedarf ‒ Ziel ist die Minimierung.

Die fortlaufende Auswertung sichert Verbesserungsmaßnahmen, Trendanalysen und bietet fundierte Zahlen für Audit und Management.

Best Practices in der Lebenszyklussteuerung

• Zentrale Quelle (One Source of Truth): Eine einzige, verbindliche Instanz für alle Dokumente und Versionen.
• Verantwortungszuweisung: Jede Information ist eindeutig zugeordnet, einschließlich Nachweiskette und Vertretung.
• Risikoorientierte Prüfintervalle: Prüfzyklen orientieren sich an Kritikalität, Änderungsintensität, gesetzlichen Vorgaben.
• Konsistente Referenzpflege: Alle Relationen zwischen Norm, Dokument, Prozess, Schulung und Aufzeichnung sind nachvollziehbar und versioniert.
• Verbindliche Kommunikationswege: Änderungen werden nachvollziehbar und mit Lesebestätigung kommuniziert.
• Sicherstellung der Nutzungssteuerung: Ungültige Dokumente dürfen nicht weiterverwendet werden, bleiben jedoch zur Dokumentation archiviert.
• Automatisierte Übergangsmechanismen: Grace Periods mit Nachverfolgung und Eskalationsvorgaben.
• Kontrolle physischer/digitaler Exporte: Rückverfolgbarkeit, Kennzeichnung, Rückrufsystem für kontrollierte Kopien.
• Regelmäßige Daten- und Systemmigration: Bereinigung, Konsolidierung, Dublettenprüfung, dokumentierte Migration inkl. Audit-Trail.

Integration, Usability und Systemmigration

• Prozessmanagement: Verbindung zu Workflows, Formularen, Audit- und CAPA-Systemen zur vollständigen Traceability.
• Lernmanagement und Kompetenzsteuerung: Automatische Auslösung von Trainings/Maßnahmen nach Relevanzänderungen.
• Barrierefreiheit und Nutzerfreundlichkeit: Accessibility nach WCAG/EN 301 549. Suchfähigkeit, mehrsprachige Inhalte, Metadaten-strukturierte Inhalte.
• Flexibilität bei Systemwechsel/Migration: Sicherstellung von Audit-Trail- und Metadatenexport, Vermeidung von Vendor-Lock-in, vollständige Nachweiskette auch über Systemmigrationen.

Unterschiede zwischen Archiv und Backup

Archive dienen der langfristigen, gesicherten und nachvollziehbaren Aufbewahrung von Dokumenten zur Nachweissicherheit; sie sind nicht mit Sicherungskopien (Backup) zu verwechseln, die zur schnellen Wiederherstellung dienen. Aufbewahrungsfristen und Löschkonzepte müssen für beide Umgebungen klar geregelt und technisch umgesetzt sein.

Häufige Fehler und Missverständnisse

• Ablage ersetzt keine Steuerung: Nur ein durchgängiger Prozess, nicht die reine Archivablage, gewährleistet Nachweisbarkeit und Verantwortung.
• Unklare Rollentrennung: Fehlt Transparenz in Rollen und Zuständigkeiten, leidet die Unabhängigkeit der Prüfprozesse.
• Lizenzverstöße bei externen Normen: Fehlendes Lizenzmanagement kann zu massiven Rechtsrisiken führen.
• Veraltete Referenzen: Nicht aktualisierte Quellverknüpfungen stellen ein Audit- und Compliance-Risiko dar.
• Fehlende Notfall- und Kommunikationsprozesse: Unzureichend getestete Eskalationsszenarien für kritische Änderungen gefährden den Regelbetrieb.
• Informelle/unkontrollierte Kommunikation: Mündliche oder nicht dokumentierte Weitergaben sind revisionskritisch.
• Druck- und Exportverluste: Fehlende Nachverfolgung oder Kennzeichnung physischer Kopien kann Kontroll- und Datenschutzdefizite offenbaren.
• Löschregeln unklar: Ungeregelte oder nicht dokumentierte Lösch-/Archivierungsprozesse führen zu auditkritischen Nachweisproblemen.
• Vermischung von Archiven und Backups: Fehlende Trennung gefährdet sowohl Datenintegrität als auch gesetzliche Anforderungen.

Häufige Fragen zu Lebenszyklussteuerung

Wie unterscheidet sich die Lebenszyklussteuerung von der klassischen Dokumentenlenkung?

Die Lebenszyklussteuerung setzt einen breiteren, stärker systematisierten Ansatz um. Sie umfasst alle Statusübergänge, Verantwortlichkeiten, Nachweispflichten und Integrationspunkte sowie automatische Eskalations- und Monitoringmechanismen, die weit über klassische Freigabe- und Ablageprozesse hinausgehen.

Welche Status sollten im Lebenszyklus dokumentierter Information mindestens abgebildet werden?

Essenzielle Status sind: Entwurf – in Prüfung – freigegeben/gültig – gesperrt (temporär) – ersetzt/zurückgezogen/ungültig (endgültig) – archiviert (Daueraufbewahrung ohne operative Nutzung).

Wie oft müssen Normen und abgeleitete Dokumente überprüft werden?

Eine risikoorientierte Planung empfiehlt Prüfintervalle von 6–12 Monaten für kritische oder regulatorisch relevante Inhalte und 12–24 Monate für weniger kritische. Zudem erfolgen anlassbezogene Überprüfungen nach externen Änderungen oder bei festgestellten Abweichungen.

Wer trägt die Verantwortung für die Aktualität und Wirksamkeit der jeweiligen Dokumente?

Die fachlich verantwortliche Person oder Rolle (z. B. Dokumenten-, Normen-, Prozesseigner) verantwortet Aktualität und Anwendbarkeit. Die Qualitäts-/Compliance-Funktion überwacht Prozesseinhaltung und berichtet an das Management.

Wie ist mit zurückgezogenen oder ersetzten Normen im System umzugehen?

Sobald eine Norm zurückgezogen oder ersetzt wird, ist sie umgehend operativ zu sperren und zu kennzeichnen. Eine vollständige Impact-Analyse aller davon abhängigen Informationen und Prozesse muss automatisch veranlasst, Revisionen eingeleitet und Vorgänger für Nachweise archiviert werden.

Welche KPIs sind für die Auditierung der Lebenszyklussteuerung besonders aussagekräftig?

Sinnvolle KPIs sind: Aktualitätsquote, Time-to-Update, Einhaltung von Review- und Schulungsfristen, Zahl auditierter und festgestellter Abweichungen, Anteil durchgängig aktualisierter Referenzen sowie Nutzungsmessungen und Change-Backlog-Auswertungen. Ziel ist stets die fortlaufende Verbesserung.

Was ist beim Lizenzmanagement externer Normen besonders zu beachten?

Erlaubt sind Formen der Bereitstellung, die dem Lizenzvertrag entsprechen (z. B. Netzlizenzen, Mehrplatzlizenzen, DRM-Systeme). Jede Nutzung muss rechtlich abgesichert und dokumentiert werden. Verstöße können gravierende rechtliche Folgen haben.

Welche Bedeutung haben kontrollierte Druckkopien im Kontext der Lebenszyklussteuerung?

Kontrollierte Kopien müssen durch Merkmale wie Wasserzeichen oder QR-Codes eindeutig zugeordnet sein, systematisch ausgegeben, bei Außerbetriebnahme gezielt zurückgerufen und vernichtet werden. Alle Vorgänge sind zu protokollieren.

Wie unterscheidet sich die Aufbewahrung und Löschung von steuerrelevanten Dokumenten und Aufzeichnungen?

Steuerrelevante Unterlagen sind revisions- und zugriffsicher bis zum Fristablauf zu archivieren. Aufzeichnungen erhalten individuelle Aufbewahrungsfristen und müssen nach Ablauf nachweisbar gelöscht oder anonymisiert werden. Beides muss dokumentiert und nachvollziehbar sein.

Wann reicht ein einfaches System, wann ist ein spezialisierter Ansatz erforderlich?

Für kleine, wenig regulierte Unternehmen mit überschaubaren Daten genügt häufig ein strukturiertes Ablagesystem. Bei umfangreicher Dokumentationslandschaft, mehreren Standorten, komplexen Prozessen oder regulatorischen Auflagen ist ein spezialisierter und systemgestützter Ansatz unerlässlich.

‍