ALCOA+: Die neun Prinzipien der Datenintegrität in der Warenwirtschaft

Wenn ein Inspektor in einem regulierten Lager Daten prüft, fragt er im Kern immer dasselbe: Kann ich dieser Aufzeichnung trauen? Hinter dieser Frage steht seit über drei Jahrzehnten eine Merkhilfe aus fünf Buchstaben – ALCOA – die längst zu einem internationalen Maßstab für Datenintegrität gewachsen ist. Wer eine GDP-Warenwirtschaft führt, begegnet ihr in jeder Inspektion, ob die neun Prinzipien beim Namen genannt werden oder nicht.

Dieser Artikel erklärt, woher ALCOA+ kommt, was jedes der neun Prinzipien bedeutet – und vor allem, wie sie sich in einem Warenwirtschaftssystem für den pharmazeutischen Großhandel konkret niederschlagen. Denn der entscheidende Unterschied liegt nicht darin, die Prinzipien zu kennen, sondern darin, ob sie aus dem System folgen oder von der Sorgfalt einzelner Mitarbeiter abhängen.

Woher ALCOA kommt

Die Abkürzung entstand Anfang der 1990er Jahre nicht in einem Gesetzestext, sondern in der Praxis: Ein Inspektor der US-Arzneimittelbehörde suchte eine eingängige Eselsbrücke, um Kolleginnen und Kollegen zu schulen, woran man die Qualität von Aufzeichnungen schnell erkennt. Er bündelte fünf Eigenschaften zu einem Wort, das er sich – nach eigener Erinnerung – beim gleichnamigen Aluminiumkonzern auslieh: Attributable, Legible, Contemporaneous, Original, Accurate.

Mit der Digitalisierung reichten fünf Eigenschaften nicht mehr aus. Europäische Behörden ergänzten in einem Reflexionspapier zu elektronischen Quelldaten vier weitere – Complete, Consistent, Enduring, Available – und die britische Aufsicht formalisierte daraus in ihrer Leitlinie zur Datenintegrität das heutige ALCOA+. Inzwischen ist der Rahmen bei FDA, MHRA, WHO und der internationalen Inspektoren-Kooperation PIC/S etabliert und liegt auch den Datenintegritätsbetrachtungen von GAMP 5 zugrunde. Aus einer Inspektoren-Eselsbrücke ist ein globaler Standard geworden.

Die fünf ursprünglichen Prinzipien

Attributable – zurechenbar. Jede Aufzeichnung muss eindeutig der Person zugeordnet sein, die sie erzeugt hat. Im Lager heißt das: Jede Buchung – Wareneingang, Umlagerung, Statuswechsel, Freigabe – trägt unveränderlich, wer sie wann vorgenommen hat. Ein Sammel-Login, unter dem mehrere Mitarbeiter arbeiten, bricht dieses Prinzip, weil sich eine Handlung nicht mehr einer Person zuordnen lässt.

Legible – lesbar. Daten müssen dauerhaft les- und verständlich bleiben, nicht nur im Moment der Erfassung. Handschriftliche Kürzel auf einem Laufzettel, die ein Jahr später niemand mehr entziffert, verfehlen das ebenso wie ein Exportformat, das ohne die Ursprungssoftware nicht mehr zu öffnen ist. Eine Aufzeichnung, die niemand lesen kann, ist keine Aufzeichnung.

Contemporaneous – zeitgleich. Die Aufzeichnung entsteht im Moment des Vorgangs, nicht am Abend aus dem Gedächtnis. Wird ein Wareneingang erst Stunden später aus Notizzetteln nachgebucht, entsteht eine Lücke zwischen Ereignis und Datensatz, in der Fehler und nachträgliche Korrekturen unsichtbar bleiben. Ein System, das im Augenblick des Scannens bucht, erfüllt dieses Prinzip von selbst.

Original – original. Die maßgebliche Aufzeichnung ist die erste Erfassung einer Beobachtung oder eine beglaubigte echte Kopie davon – nicht die abgetippte Zweitfassung. Der Barcode-Scan, die Messung des Temperaturfühlers, die elektronische Eingangsbuchung sind das Original. Wer Werte erst auf Papier notiert und dann ins System überträgt, macht das System zur Kopie und das Papier zum eigentlichen Originaldatensatz – mit allen Aufbewahrungspflichten, die daran hängen.

Accurate – korrekt. Der festgehaltene Wert muss sachlich richtig und frei von Fehlern sein. Das ist mehr als Tippfehlervermeidung: Plausibilitätsprüfungen, die einen unmöglichen Bestand oder eine Temperatur außerhalb des definierten Bereichs abfangen, und eine geprüfte Berechnungslogik gehören dazu. Korrekt und original sind nicht dasselbe – eine Aufzeichnung kann das Original sein und trotzdem einen falschen Wert tragen.

Das Plus: vier Eigenschaften für die digitale Realität

Complete – vollständig. Alle Daten werden festgehalten, ohne stille Auslassungen. Dazu gehören auch Wiederholungen, verworfene Messungen und Korrekturen: Eine zweite Wägung ersetzt die erste nicht, sie ergänzt sie. Wird ein fehlgeschlagener Versuch einfach gelöscht und nur das passende Ergebnis behalten, ist die Aufzeichnung unvollständig – und genau danach suchen Inspektoren im Audit-Trail.

Consistent – konsistent. Daten und Abläufe folgen einem einheitlichen, nachvollziehbaren Muster und widersprechen sich nicht. Zeitstempel laufen in derselben Zeitbasis, Vorgänge erscheinen in plausibler chronologischer Reihenfolge, dieselbe Charge trägt über alle Belege hinweg dieselben Stammdaten. Inkonsistenzen – etwa ein Versand, der vor dem Wareneingang gebucht ist – sind ein klassisches Alarmsignal.

Enduring – dauerhaft. Daten bleiben über die gesamte regulatorisch geforderte Aufbewahrungsdauer erhalten und lesbar. Das fordert mehr als einen Ordner: Es verlangt eine revisionssichere Speicherung, die weder durch einen Systemwechsel noch durch das Überschreiben von Audit-Logs verloren geht. Ein Protokoll, das nach kurzer Zeit zyklisch überschrieben wird, verfehlt dieses Prinzip.

Available – verfügbar. Daten müssen über ihren gesamten Lebenszyklus zügig abrufbar sein – für die interne Prüfung, das Audit und vor allem die Inspektion. Wenn der Nachweis einer lückenlosen Kühlkette für eine bestimmte Charge erst mühsam aus mehreren Quellen zusammengesucht werden muss, ist er rechtlich vorhanden, aber praktisch nicht verfügbar – und in der Inspektionssituation zählt der schnelle, belastbare Zugriff.

Was ALCOA+ für eine GDP-Warenwirtschaft bedeutet

Liest man die neun Prinzipien hintereinander, fällt auf: Keines davon ist eine reine Verhaltensregel für Mitarbeiter. Jedes lässt sich entweder durch Disziplin erfüllen – oder durch ein System, das die Eigenschaft erzwingt. Genau hier liegt der Unterschied zwischen einer Warenwirtschaft mit nachgelagerter Dokumentation und einer GDP-Warenwirtschaft, die Datenintegrität im Datenmodell trägt.

In einer Software, die für die regulierte Welt entwickelt wurde, folgen die Prinzipien aus dem System selbst: Jede Buchung trägt automatisch Nutzer und Zeitstempel, sodass Zurechenbarkeit und Zeitgleichheit nicht von Sorgfalt abhängen. Werte werden nicht überschrieben, sondern versioniert – die ursprüngliche Aufzeichnung bleibt erhalten, jede Änderung ist mit Grund, Person und Zeit nachvollziehbar. Das bedient Original, Vollständigkeit und Dauerhaftigkeit in einem Zug. Pflichtfelder und Plausibilitätsprüfungen halten Korrektheit und Vollständigkeit hoch, ein durchgängiges Datenmodell sorgt für Konsistenz über alle Belege, und ein strukturiert geführter Bestand macht die Daten jederzeit verfügbar.

Der unveränderliche Audit-Trail ist dabei kein Zusatzmodul, sondern die technische Klammer um fast alle neun Prinzipien gleichzeitig – derselbe Mechanismus, dessen wachsende Bedeutung auch die Annex-11-Revision in den Vordergrund rückt. Wo der Audit-Trail belastbar ist, lassen sich Zurechenbarkeit, Zeitgleichheit, Originaltreue, Vollständigkeit und Konsistenz an einer einzigen Stelle nachweisen.

Wo ALCOA+ in der Inspektion auftaucht

In der Praxis fragt eine Inspektion die neun Prinzipien selten als Liste ab – sie prüft sie an konkreten Vorgängen. Lässt sich für eine ausgelieferte Charge zeigen, wer den Wareneingang wann gebucht hat? Stimmen die Temperaturdaten lückenlos und in plausibler Reihenfolge? Ist eine Korrektur als Korrektur erkennbar oder hat sie den ursprünglichen Wert verschluckt? Genau diese Fragen sind der rote Faden hinter den häufigsten Beanstandungen einer GDP-Inspektion, und sie folgen der Reihenfolge, in der ein Prüfer eine Behördeninspektion durchgeht.

Wie tief man die einzelnen Eigenschaften technisch absichern muss, ist dabei eine Frage des Risikos – nicht jede Funktion verlangt denselben Aufwand. Diese risikobasierte Abstufung beschreibt der Beitrag zu GAMP 5 für kleine und mittlere Betriebe: ALCOA+ sagt, welche Eigenschaften gelten, GAMP 5 hilft zu entscheiden, mit welchem Nachweisaufwand man sie belegt.

Fazit

ALCOA+ ist keine Theorie und kein zusätzliches Regelwerk, sondern die Sprache, in der Datenintegrität geprüft wird – neun Eigenschaften, die eine vertrauenswürdige Aufzeichnung erfüllen muss. Aus einer Eselsbrücke für Inspektoren ist ein Maßstab geworden, den heute jede ernsthafte GDP-Aufstellung kennt. Der entscheidende Hebel liegt nicht im Auswendiglernen der neun Begriffe, sondern in der Frage, ob das eigene System sie trägt: Wo Zurechenbarkeit, Originaltreue, Vollständigkeit und ein dauerhafter, verfügbarer Nachweis aus der Plattform folgen, wird Datenintegrität von einer täglichen Sorgfaltsleistung zu einer Eigenschaft der Software – und jede Inspektion zu einer Frage des Abrufs, nicht der Rekonstruktion.