Systemwechsel im regulierten Großhandel: Der Übergang ohne Compliance-Bruch

In kaum einer Branche wiegt die Trägheit eines bestehenden Systems so schwer wie im regulierten Großhandel. Das hat einen guten Grund: Wer in einem GDP-pflichtigen Umfeld arbeitet, weiß, dass jede Veränderung an einem validierten System bewertet, dokumentiert und beherrscht sein muss.

Die Sorge ist dabei selten, dass das neue System weniger leisten würde. Die Sorge gilt dem Übergang — jener Phase, in der historische Daten, Audit-Trails und die lückenlose Rückverfolgbarkeit auf dem Spiel zu stehen scheinen. Diese Sorge ist berechtigt. Aber sie ist kein Argument gegen den Wechsel, sondern eines für einen sauber geführten Übergang. Und die wirksamste Stellschraube dabei ist nicht die Sorgfalt bei der Migration, sondern ihr Umfang.

Die eigentliche Sorge hat einen Namen: Diskontinuität

Was einen verantwortlichen Großhändler beim Gedanken an einen Systemwechsel umtreibt, lässt sich auf einen Punkt verdichten: Es darf keine Lücke entstehen. Keine Lücke in der Chargenhistorie, keine Lücke im Audit-Trail, keinen Zustand, in dem eine Inspektion eine Frage stellt, die niemand mehr beantworten kann, weil die Antwort „im alten System" liegt.

Diese Kontinuität ist das Schutzgut. Und sie ist planbar — vorausgesetzt, man behandelt den Wechsel nicht als IT-Projekt mit Compliance-Anhang, sondern als regulatorisch geführten Vorgang mit IT-Anteil. Der Unterschied klingt akademisch, entscheidet in der Praxis aber darüber, wer den Übergang verantwortet: die IT allein oder die Verantwortliche Person gemeinsam mit ihr.

Was der Übergang erhalten muss

Nicht alles muss mitwandern — aber alles muss erhalten bleiben. Der Unterschied zwischen diesen beiden Sätzen ist der Kern des Themas. Im Kern sind es drei Dinge, an denen ein Übergang trägt oder bricht.

Erstens: die historischen Aufzeichnungen. Chargen, Bewegungen, Freigabe-Entscheidungen, Rückrufe, Lieferanten- und Kundenqualifizierungen — was in der Vergangenheit aufgezeichnet wurde, muss auch nach dem Wechsel auffindbar, lesbar und im Zusammenhang nachvollziehbar bleiben, und zwar über die gesamte gesetzliche Aufbewahrungsfrist. Erhalten heißt dabei aber nicht zwangsläufig mitnehmen — welche Wege dafür offenstehen und welcher sich in der Praxis bewährt, ist die entscheidende Weiche des gesamten Übergangs. Ihr ist der übernächste Abschnitt gewidmet.

Zweitens: die Datenintegrität beim Umzug. Eine Migration ist der Moment, in dem Daten am verwundbarsten sind. Die Grundsätze der Datenintegrität gelten hier in vollem Umfang: Daten müssen zuordenbar, lesbar, zeitgerecht, original und korrekt bleiben — und vollständig, konsistent, dauerhaft und verfügbar. Eine belastbare Migration ist deshalb kein einmaliges Kopieren, sondern ein abgesicherter, abgeglichener und protokollierter Vorgang mit nachvollziehbarer Vorher-Nachher-Kontrolle. Der Maßstab ist unmissverständlich formuliert: Werden Daten in ein anderes Format oder ein anderes System übertragen, muss geprüft und belegt sein, dass sich weder ihr Wert noch ihre Bedeutung dabei verändert hat. Was hinter diesen Grundsätzen im Einzelnen steckt, ordnet der Beitrag zu ALCOA+ und Datenintegrität ein.

Drittens: die Validierung des neuen Zustands. Ein computergestütztes System im Großhandel muss vor der Inbetriebnahme durch Validierung oder Verifizierung nachweisen, dass es die beabsichtigten Ergebnisse genau, konsistent und reproduzierbar liefert — und es muss unter einem kontrollierten Änderungsprozess stehen. Das ist keine Hürde, die den Wechsel erschwert, sondern der reguläre Weg, auf dem ein System in den validierten Betrieb übergeht. Wie die Anforderungen an computergestützte Systeme derzeit weiterentwickelt werden, ordnet der Beitrag zur Annex-11-Revision ein.

Inspektoren erwarten Veränderung — nur beherrscht

Ein verbreitetes Missverständnis lautet, ein Systemwechsel sei in einem regulierten Umfeld per se verdächtig. Das Gegenteil trifft zu. Aufsichtsbehörden erwarten nicht, dass sich nie etwas ändert — sie erwarten, dass Veränderung beherrscht abläuft: über ein dokumentiertes Änderungsmanagement, eine Risikobewertung, eine Migrationsstrategie mit vorab definierten Abnahmekriterien und einen Nachweis, dass der neue Zustand validiert ist.

Wer einen Wechsel auf diese Weise führt, steht in der Inspektion besser da als ein Betrieb, der ein bestehendes System über Jahre mit undokumentierten Provisorien am Laufen hält. Ein sauber geführter Übergang ist ein Zeichen von Reife, nicht von Risiko. Umgekehrt gilt: Der gefährlichste Systemwechsel ist der stillschweigende — der, bei dem irgendwann niemand mehr sagen kann, wann welche Daten wohin gewandert sind.

Drei Wege für die Historie — und warum der dritte meist der beste ist

An dieser Stelle fällt die Entscheidung, die über Aufwand, Kosten und Risiko des gesamten Übergangs bestimmt. Für die historischen Aufzeichnungen gibt es drei gangbare Wege.

1.) Die Vollübernahme. Sämtliche Daten wandern in das neue System — Stammdaten, Bestände und die komplette Bewegungs- und Chargenhistorie. Das klingt nach der saubersten Lösung und ist in Wahrheit die aufwendigste und die riskanteste. Denn genau die historischen Bewegungsdaten sind der Teil, bei dem eine Übertragung Bedeutung verlieren kann, ohne dass es auffällt: Statuswerte, Freigabe-Kontexte und die Herkunft von Zeitstempeln lassen sich nicht immer verlustfrei in ein anderes Datenmodell überführen. Ein Abgleich der Satzzahlen zeigt so etwas nicht. Der Nachweis, dass sich weder Wert noch Bedeutung verändert haben, wird hier am teuersten — und er ist trotzdem am schwersten zu führen.

Der kritischste Punkt liegt dabei tiefer, als die meisten Migrationsprojekte ihn suchen: bei den Beziehungen zwischen den Datensätzen. Ein historischer Bewegungssatz ist für sich genommen wertlos — seine Aussagekraft entsteht erst durch seine Verweise auf die zugrunde liegenden Stammdatensätze: auf den Artikel, die Charge, den Lagerort, den Lieferanten, den Kunden. Diese Verweise werden im Quellsystem über Schlüssel hergestellt, die im Zielsystem anders vergeben und anders aufgebaut sind. Lassen sie sich beim Übertragen nicht sauber auflösen, entsteht eine Verletzung der referenziellen Integrität: Ein Verweis zeigt ins Leere oder — der gefährlichere Fall — auf einen anderen als den ursprünglich gemeinten Datensatz.

Das Tückische daran ist, dass ein solcher Zustand technisch nicht auffällt. Ein Zielsystem prüft die Konsistenz seiner Beziehungen für das, was es selbst erzeugt; ein importierter Verweis kommt als scheinbar gültiger Wert an und wird als solcher gespeichert. Es gibt keine Fehlermeldung, keinen abgebrochenen Lauf, keine Abweichung in der Satzzahl. Bemerkt wird die Inkonsistenz erst, wenn jemand die Frage stellt, die den Verweis auflöst — und das ist im ungünstigsten Fall eine Inspektion oder ein Rückruf. Wer den Weg der Vollübernahme geht, braucht deshalb eine Prüfung, die nicht nur Datensätze zählt, sondern Beziehungen stichprobenweise über die gesamte Kette hinweg nachverfolgt.

2.) Das statische Archiv. Die Historie wird in ein festes, unveränderliches Format exportiert und zugriffssicher abgelegt. Der Migrationsaufwand sinkt deutlich. Dafür entsteht ein neues Problem: Ein Export ist nur so gut wie seine Lesbarkeit im Ernstfall, und die Zusammenhänge, die im System selbstverständlich waren — von der Charge zur Bewegung zum Kunden —, muss in einer Exportdatei erst wieder jemand herstellen. Für Betriebe ohne lauffähiges Ursprungssystem ist das der richtige Weg. Als erste Wahl ist es selten der beste.

3.) Das eingefrorene Lesesystem. Migriert werden nur die Stammdaten und der aktuelle Lagerbestand. Das bisherige System bleibt bestehen — schreibgeschützt, ausschließlich als Nachschlage- und Recherchesystem für die Vergangenheit. In den Systemwechseln, die wir begleitet haben, hat sich dieser Weg als der günstigste und zugleich risikoärmste erwiesen. Das ist keine Selbstverständlichkeit, denn günstig und sicher fallen selten zusammen. Hier tun sie es, weil beide Vorteile aus derselben Entscheidung stammen: Was nicht übertragen wird, kann bei der Übertragung auch nicht verfälscht werden.

Der dritte Weg hat vier Eigenschaften, die ihn regulatorisch stark machen. Erstens wird der validierungspflichtige Umfang klein und vor allem prüfbar: Stammdaten lassen sich feldweise abgleichen, und für den übernommenen Bestand existiert das belastbarste Abnahmekriterium überhaupt — die körperliche Inventur. Sie belegt nicht nur, dass Quelle und Ziel übereinstimmen, sondern dass das Ziel mit der Realität im Lager übereinstimmt.

Zweitens braucht das bisherige System keine erneute Validierung, weil sich an ihm nichts ändert. Eingefroren heißt: keine Änderung, kein Änderungsverfahren, kein neuer Nachweis. Es bleibt in dem Zustand, in dem es ohnehin validiert war. Drittens entfällt der Schulungsaufwand für den Lesepfad — die Mitarbeiter kennen das System, in dem sie nachschlagen. Und viertens ist die Verpflichtung befristet: Der historische Datenbestand verliert seinen Nutzen von selbst, sobald er aus den regulatorisch relevanten Betrachtungszeiträumen herausfällt.

Am Ende dieser Frist wird das Lesesystem allerdings nicht einfach abgeschaltet. Im validierten Umfeld ist die Außerbetriebnahme ein formaler, dokumentierter Akt — der letzte Schritt im Lebenszyklus eines computergestützten Systems und selbst wieder ein Vorgang des Änderungsmanagements. Dazu gehört die Feststellung, dass für die enthaltenen Aufzeichnungen keine Aufbewahrungs- oder Rückverfolgbarkeitsverpflichtung mehr besteht, die Entscheidung über den Verbleib der Daten und ihre dokumentierte Vernichtung, der Entzug der Zugriffsrechte sowie eine formale Freigabe durch die Verantwortliche Person. Wer das plant, statt es geschehen zu lassen, schließt den Übergang genauso sauber ab, wie er ihn begonnen hat.

Diese Frist sollte man allerdings sortimentsgenau bestimmen: Für Arzneimittel und für Medizinprodukte gelten unterschiedlich lange Aufbewahrungs- und Rückverfolgbarkeitsverpflichtungen, und bei implantierbaren Produkten ist der Zeitraum am längsten. Maßgeblich ist immer die längste einschlägige Frist, nicht die geläufigste.

Was der Weg im Gegenzug verlangt

Der Vorteil ist real, aber er ist an Bedingungen geknüpft. Fünf davon gehören in die Risikobewertung und in die Änderungsdokumentation, sonst kippt der Vorteil ins Gegenteil.

Der Schreibstopp muss technisch erzwungen sein. Rechte entziehen, Rollen abschalten, den Zustand dokumentieren. „Wir buchen dort nicht mehr" ist eine Absichtserklärung, keine Trennung — und zwei Systeme, die gleichzeitig Bestände fortschreiben, erzeugen genau die doppelten Wahrheiten, die eine Inspektion aufdeckt.

Die Lauffähigkeit muss über die gesamte Frist geplant sein. Nicht die Daten fallen aus, sondern die Plattform: Wartung, Betriebssystem, Lizenz, Hardware, Zuständigkeit. Deshalb gehört zu diesem Weg eine schriftliche Rückfallebene — ein statischer, lesbarer Export, der einmal vorab erzeugt und geprüft wurde und nicht erst dann entsteht, wenn das System sich nicht mehr starten lässt.

Zugänglichkeit, Lesbarkeit und Integrität werden periodisch nachgewiesen. Für archivierte Daten ist dieser Nachweis ausdrücklich gefordert, und bei einer Änderung der Systemlandschaft ausdrücklich auch die getestete Abrufbarkeit. In der Praxis genügt ein dokumentierter Abruf-Test auf einer definierten Stichprobe in festem Turnus. Auch der Zugriffsschutz läuft weiter: Ein Lesesystem braucht weiterhin eine gepflegte Benutzerverwaltung, gerade bei Personalwechseln.

Die Schnittkante gehört auf ein Datum genau dokumentiert. Eine Datenlandkarte auf einer Seite — welche Satzart liegt bis wann wo, wer hat Zugriff, wie kommt man heran — gehört in die Verfahrensanweisung, nicht in das Erfahrungswissen einzelner Personen. Kommt in einer Inspektion eine Frage zu einem Vorgang vor dem Umschaltzeitpunkt, muss die Antwort lauten: „Dort steht es, und so kommen wir heran."

Grenzüberschreitende Fälle brauchen eine bewusste Behandlung. Eine Charge, die vor dem Stichtag zugegangen und danach noch im Bestand ist, existiert in beiden Welten. Damit die Spur nicht am Umschalttag abreißt, führt der übernommene Bestandssatz seine Herkunftsmerkmale mit — Charge, Lieferant, Zugangsdatum, Verfall. Dasselbe gilt für offene Quarantänefälle, laufende Retouren, offene Aufträge sowie Lieferanten- und Kundenqualifizierungen: Hier wandert der aktuelle Stand mit Verweis, nicht die Historie.

Ein Fall verdient dabei besondere Aufmerksamkeit: der Rückruf. „Welche Kunden haben Charge X erhalten?" ist die einzige Frage, die zeitkritisch ist und die Schnittkante überschreiten kann. Eine Antwort aus zwei Quellen ist dafür vertretbar — aber nur, wenn sie in der Rückruf-Verfahrensanweisung beschrieben und einmal geprobt wurde. Nicht im Ernstfall zum ersten Mal.

Der Übergang in der Praxis: Parallelität statt Sprung

Der sicherste Übergang ist selten der harte Stichtag, sondern der geplante Gleitflug. In der Praxis bewährt sich eine Phase, in der Stammdaten und Prozesse im neuen System angelegt und geprüft werden, während der operative Betrieb noch unverändert weiterläuft — ergänzt um einen klar definierten Umschaltzeitpunkt, ab dem die führende Spur eindeutig im neuen System liegt.

Entscheidend ist, dass zu jedem Zeitpunkt eindeutig ist, welches System die verbindliche Aufzeichnung führt. Doppelte Wahrheiten sind der eigentliche Feind der Kontinuität: Sobald zwei Systeme parallel Bestände fortschreiben, entsteht genau die Mehrdeutigkeit, die eine Inspektion aufdeckt. Ein guter Übergangsplan beseitigt diese Mehrdeutigkeit, statt sie zu verwalten. Bewährt hat sich eine schlichte Reihenfolge: zuerst die Stammdaten, geprüft und freigegeben; dann zum Stichtag die Bestände, abgenommen über eine körperliche Inventur; und ab dem Umschaltzeitpunkt jede neue Buchung ausschließlich im neuen System, während das bisherige im selben Moment schreibgeschützt wird. Der Umschalttag ist damit kein Datensprung, sondern ein Rechtewechsel.

Vier Fehler, die den Übergang teuer machen

1.) Die Migration beginnt ohne Abnahmekriterien. Wer nicht vorher festschreibt, woran „erfolgreich migriert" erkennbar ist — Feldabgleich der Stammdaten, Mengen- und Wertabgleich der Bestände, körperliche Inventur als abschließender Nachweis —, kann hinterher nicht belegen, dass nichts verloren ging.

2.) Der Umschaltzeitpunkt bleibt unscharf. „Wir laufen erst mal eine Weile parallel" ist kein Plan, sondern eine Einladung zu widersprüchlichen Beständen.

3.) Die Verantwortliche Person kommt zu spät ins Projekt. Wird sie erst zur Abnahme eingebunden, muss sie eine Entscheidung verantworten, die längst gefallen ist. Sie gehört an den Anfang der Risikobewertung — und in die Entscheidung, welcher der drei Wege für die Historie gewählt wird.

4.) Die Schulung wird auf den Umschalttag gelegt. Ein Team, das den neuen Ablauf erst am Stichtag zum ersten Mal sieht, erzeugt genau die Buchungsfehler, die man später als Datenproblem missversteht.

Wo das neue System den Übergang leichter macht

Wie aufwendig ein Wechsel ausfällt, hängt nicht nur vom Übergangsplan ab, sondern auch davon, wie viel das Zielsystem von sich aus mitbringt. Drei Punkte machen den Unterschied.

Regulatorische Funktionen im Standard statt im Projekt. Wenn Quarantäne als realer Bestandsstatus, ein durchgehender Audit-Trail, die securPharm-Anbindung und die temperaturgeführte Lagerplatz-Logik bereits Teil des Systems sind, verkürzt das den Übergang erheblich: Was nicht erst konfiguriert werden muss, muss auch nicht einzeln nachvalidiert werden. Das Befüllen der Stammdaten ist dann eine Sache von etwa einer Stunde, und für die Validierung bleibt ein entsprechend kurzer Zeitraum. Welche Eigenschaften dafür vom ersten Tag an tragen müssen, beschreibt der Beitrag Inspektionsbereit ab Tag eins.

Ein einziger Audit-Trail statt mehrerer Spuren. Läuft die gesamte Nachvollziehbarkeit über ein Datenmodell — Lieferant, Charge, Bestand, Kunde, Auftrag —, gibt es nach dem Übergang genau eine Stelle, an der die Historie hängt. Das ist im Alltag bequem und in der Inspektion entscheidend, weil die Antwort auf eine Rückverfolgungsfrage keine Zusammenführung mehrerer Datenbanken verlangt.

Validierungs-Unterlagen, die man beziehen kann. Die formale Validierungs-Dokumentation — Lieferanten-Dossier, IQ/OQ-Protokolle, Validierungs-Matrix — lässt sich als Zusatzleistung mitnehmen, statt sie im eigenen Haus von Grund auf zu erstellen. Das nimmt dem Übergang den Teil, der erfahrungsgemäß am längsten liegen bleibt.

Was auch ein gut vorbereitetes System nicht abnimmt: die Entscheidung, welche Daten übernommen und welche archiviert werden, die Risikobewertung des Übergangs und die formale Freigabe des neuen Zustands. Das bleibt beim Betrieb und bei der Verantwortlichen Person — und das ist richtig so.

Fazit

Der Wechsel der Warenwirtschaft im regulierten Großhandel ist kein Sprung ins Ungewisse, sondern ein planbarer, dokumentierter Vorgang — wenn man ihn von der Kontinuität her denkt. Historische Aufzeichnungen, Datenintegrität und Validierung sind die drei Punkte, an denen der Übergang entweder trägt oder bricht.

Die wirksamste Entscheidung fällt dabei früher, als die meisten erwarten: beim Umfang. Wer nur Stammdaten und den aktuellen Lagerbestand überträgt und die Vergangenheit in einem schreibgeschützten Lesesystem belässt, verkleinert nicht den Aufwand an einer beliebigen Stelle, sondern genau dort, wo das Risiko sitzt. Was nicht übertragen wird, kann bei der Übertragung nicht verfälscht werden — und was übertragen wird, lässt sich gegen die Realität im Lager abnehmen statt nur gegen eine Datei. Werden die Bedingungen dieses Weges sauber geführt, wird der Wechsel zu dem, was er sein sollte: ein kontrollierter Schritt nach vorn, der die Inspektionsfähigkeit nicht gefährdet, sondern stärkt.