Im Geschäftsjahr 2023 beanstandeten FDA-Inspektoren 38-mal unzureichende Umgebungsmonitoringsysteme in aseptischen Bereichen. Damit gehörte dieser Befund zu den zehn häufigsten arzneimittelbezogenen Beobachtungen auf Formular 483. Hinter vielen dieser Beanstandungen steckt ein wiederkehrendes Problem. Die meisten Standorte betreiben zwei Systeme, die dieselben Räume überwachen. Dennoch dient nur eines davon als maßgebliches System für die GMP-Aufzeichnungen.
Das Gebäudemanagementsystem (BMS) steuert die Heizungs-, Lüftungs- und Klimaanlagen (HLK), hält Druck und Temperatur innerhalb der festgelegten Grenzen und unterstützt Teams der pharmazeutischen Verfahrenstechnik im täglichen Betrieb. Das Umgebungsmonitoringsystem (EMS) hingegen zeichnet kritische Parameter unabhängig auf, löst GMP-Alarme aus und liefert die validierten Nachweise, die Inspektoren prüfen.
Bei BMS vs. EMS in der Pharmaindustrie geht es daher nicht darum, welches System leistungsfähiger ist. Entscheidend ist, welches System die Kontrolle nachweist und in welchem Umfang jedes validiert werden muss. Deshalb ist eine klar dokumentierte Abgrenzung zwischen beiden Systemen eine zentrale Erwartung gemäß EU-GMP-Leitfaden Anhang 1 und 21 CFR Part 11.
Table of Contents
BMS vs. EMS in der Pharmaindustrie aus GMP-Sicht erklärt
Ein Gebäudemanagementsystem (BMS) steuert die HLK-Anlagen, die Raumdrücke sowie Temperatur und Luftfeuchtigkeit, während ein Umgebungsmonitoringsystem (EMS) GMP-kritische Bedingungen unabhängig aufzeichnet und Alarme auslöst, sobald Messwerte ihre Grenzen verlassen. Daher behandeln die meisten Standorte das EMS als maßgebliches Aufzeichnungssystem (System of Record), das nach GAMP 5 validiert wird, während das BMS der Guten Ingenieurpraxis (GEP) folgt und nur seine GMP-relevanten Funktionen gezielt qualifiziert werden.
Die folgende Tabelle vergleicht beide Systeme anhand von vier zentralen GMP-Kriterien und zeigt genau, wo die Steuerung endet und der dokumentierte Nachweis beginnt.
| GMP-Kriterium | Gebäudemanagementsystem (BMS) | Umgebungsmonitoringsystem (EMS) |
|---|---|---|
|
Hauptzweck |
Steuert und überwacht die HLK-Anlagen und häufig auch Beleuchtung, Energieversorgung, Brandschutz- und Sicherheitssysteme |
Überwacht und dokumentiert GMP-kritische Umgebungsbedingungen, ohne Anlagen zu steuern |
|
Rolle in der GMP-Dokumentation |
Dient als Steuerungssystem |
Dient als festgelegtes maßgebliches Aufzeichnungssystem (System of Record) |
|
Validierungsansatz |
Folgt der Guten Ingenieurpraxis, mit Erstqualifizierung und risikobasierter periodischer Requalifizierung der GMP-relevanten Funktionen |
Durchläuft eine Validierung computergestützter Systeme nach GAMP 5 |
|
Kontrollen zur Datenintegrität |
Erfüllt die Anforderungen von 21 CFR Part 11 meist nicht von Haus aus, und ein ergänzender Daten-Historian muss selbst validiert werden |
Bietet Audit Trails, Zugriffskontrolle und elektronische Signaturen gemäß 21 CFR Part 11 und EU-GMP-Leitfaden Anhang 11 |
Wie Inspektoren entscheiden, welches System die GMP-Aufzeichnung führt
Inspektoren beginnen selten mit der Software. Stattdessen setzen sie bei einer Entscheidung an, etwa einer freigegebenen Charge oder einer abgeschlossenen Abweichung, und verfolgen diese bis zu den zugrunde liegenden Daten zurück. Nach den Erwartungen der FDA werden elektronische Daten zu einer CGMP-Aufzeichnung, sobald ein Standort sie zur Erfüllung einer CGMP-Anforderung erzeugt, daher zählt die Herkunft jedes einzelnen Umgebungswerts. Anschließend fragt der Inspektor, welches System diesen Wert erzeugt hat, ob der Standort es formal als maßgebliches Aufzeichnungssystem (System of Record) festgelegt hat und ob Validierung, Zugriffskontrolle und Audit-Trail-Review seine Datenintegrität schützen. Führt die Antwort zu einem nicht validierten BMS-Trend, folgt in der Regel eine Beanstandung. Aus diesem Grund benennen gut vorbereitete Standorte das EMS in ihrem Systeminventar und ihren Validierungsdokumenten als GMP-Aufzeichnung und weisen den BMS-Daten eine klar unterstützende Rolle zu.
Die folgende Infografik verfolgt einen einzelnen Umgebungsmesswert vom Sensor bis zum Chargenprotokoll und zeigt genau, an welchem Punkt die BMS-Steuerung endet, und der EMS-Nachweis beginnt.
4 Entscheidungen, die Steuerung und Nachweis trennen
Eine klare Grenze zwischen BMS und EMS entsteht nie zufällig. Vielmehr ergibt sie sich aus wenigen dokumentierten Entscheidungen, die Qualitätssicherung, Technik und Validierung gemeinsam treffen. Jede Entscheidung beantwortet eine praktische Frage: Welche Parameter muss das EMS überwachen, wie tief muss jedes System validiert werden, wie erreichen Alarme die richtigen Personen und wie bleibt die Aufzeichnung vertrauenswürdig? Zudem erwarten Inspektoren, dieselben Antworten in der Kontaminationskontrollstrategie, den Benutzeranforderungen und den SOPs wiederzufinden. Widersprechen sich diese Dokumente, wirkt die Grenze improvisiert, und diese Schwäche wird während der Inspektion schnell zum Diskussionspunkt.
Die folgenden vier Entscheidungen legen diese Grenze fest, beginnend mit den Parametern, die eine kontinuierliche Überwachung erfordern, bis hin zu den Audit Trails, die die GMP-Aufzeichnung schützen.
- Kritische Parameter unter kontinuierlicher Überwachung (PDF verfügbar)
- Validierungstiefe für BMS und EMS (PDF verfügbar)
- Alarmgrenzen und Reaktion auf Abweichungen (PDF verfügbar)
- Audit Trails und Part-11-Bereitschaft (PDF verfügbar)
Die folgende Infografik übersetzt diese vier Entscheidungen in die Prüfpunkte, die Inspektoren typischerweise durchgehen, damit Sie Ihre eigene Monitoring-Grenze testen können, bevor es ein Audit für Sie tut.
Kritische Parameter unter kontinuierlicher Überwachung (PDF verfügbar)
Das EMS sollte nur GMP-kritische Bedingungen überwachen, etwa Differenzdruck, Partikel, Temperatur und Luftfeuchtigkeit. Annex 1 verlangt, dass kritische Druckdifferenzen kontinuierlich überwacht und aufgezeichnet werden.
Validierungstiefe für BMS und EMS (PDF verfügbar)
Das EMS erfordert eine vollständige Validierung als computergestütztes System nach GAMP 5. Für das BMS genügen eine gezielte Qualifizierung und eine risikobasierte Requalifizierung.
Alarmgrenzen und Reaktion auf Abweichungen (PDF verfügbar)
Alarmgrenzen, Verzögerungszeiten und Eskalationswege müssen festgelegt sein, bevor eine Abweichung eintritt. Jeder Alarm sollte dokumentiert und jede Abweichung untersucht werden.
FDA-Leitfaden zur aseptischen Herstellung als PDF herunterladen
Audit-Trails und Part-11-Konformität (PDF verfügbar)
Eine vertrauenswürdige GMP-Aufzeichnung beruht auf Audit-Trails, Zugriffskontrollen und elektronischen Signaturen. Wer Aufzeichnungen freigibt, muss auch die zugehörigen Audit-Trails prüfen.
FDA-Q&A-Leitfaden zur Datenintegrität (2018) hier herunterladen
Inspektionsbefunde, die eine unklare Systemgrenze offenlegen
Die meisten Befunde in diesem Bereich entstehen nicht durch fehlende Technik. Vielmehr entstehen sie durch eine Grenze, die niemand schriftlich festgelegt hat. Ein typischer Fall beginnt, wenn die Qualitätssicherung eine Charge auf Basis von BMS-Trenddaten freigibt und der Inspektor anschließend feststellt, dass das BMS für diesen Zweck nie validiert wurde. Als Reaktion darauf legt die CAPA in der Regel das EMS als maßgebliches Aufzeichnungssystem (System of Record) fest und aktualisiert die GMP-Auswirkungsanalyse.
Ebenso führen gemeinsam genutzte Differenzdrucksensoren ohne Rückverfolgbarkeit der Kalibrierung zu Beanstandungen, daher müssen Standorte jeden GMP-relevanten Sensor in ein kontrolliertes Kalibrierprogramm aufnehmen. Auch Alarmverzögerungen ohne Begründung ziehen Aufmerksamkeit auf sich, denn der EU-GMP-Leitfaden Anhang 1 verlangt, dass jede Verzögerung in der Kontaminationskontrollstrategie begründet wird. Wenn schließlich niemand den Audit Trail des Reinraum-Monitoringsystems prüft, führt die CAPA üblicherweise ein risikobasiertes Review-Verfahren mit klarer Verantwortlichkeit ein.
Die Wahl der Architektur für ein kontinuierliches Monitoringsystem
Keine Architektur für ein kontinuierliches Monitoringsystem passt zu jedem Standort, doch jede Option verlagert den Validierungsaufwand in eine andere Richtung. Eine vollständig getrennte Lösung gibt dem EMS eigene Sensoren, ein eigenes Netzwerk und eine eigene Datenbank, sodass der Umfang der EMS-Validierung überschaubar bleibt und die GMP-Daten unabhängig von Änderungen an der HLK-Anlage bleiben.
Eine Lösung mit gemeinsam genutzten Sensoren teilt dagegen ein Signal zwischen beiden Systemen auf, was Hardware spart, aber eine kontrollierte Kalibrierung und einen validierten Signalweg erfordert, um die Datenintegrität zu schützen. Eine integrierte Plattform geht noch einen Schritt weiter und vereint Steuerung und Überwachung in einem einzigen System; folglich muss der Standort nachweisen, dass Nicht-GMP-Funktionen die GMP-Daten nicht beeinflussen können. In jedem Fall entscheidet jedoch nicht die Technik selbst, sondern eine dokumentierte, risikobasierte Begründung, die Inspektoren von den Benutzeranforderungen bis zur Kontaminationskontrollstrategie nachvollziehen können.
Fazit
Der Durchsetzungsdruck lässt nicht nach. Im Jahr 2025 verschickte die FDA 303 Warning Letters an Arzneimittel- und Biologika-Hersteller, rund 59 % mehr als im Vorjahr, und Lücken in Dokumentation und Datenintegrität spielten in vielen davon eine Rolle. Vor diesem Hintergrund ist BMS vs. EMS in der Pharmaindustrie längst keine rein technische Frage für Ingenieure mehr; vielmehr ist es eine Frage des Nachweises, den die Qualitätssicherung vertreten muss. Standorte, die das EMS formal als maßgebliches Aufzeichnungssystem (System of Record) festlegen, ihre Alarmeinstellungen begründen und Audit Trails regelmäßig prüfen, können Inspektoren mit klaren Antworten begegnen. Der wertvollste nächste Schritt ist daher einfach: Prüfen Sie Ihre GMP-Auswirkungsanalyse und Ihr Systeminventar und stellen Sie sicher, dass beide dieselbe Geschichte erzählen.
Qualification and Validation for GMP Systems
Our team supports the planning, execution, and maintenance of qualification and validation activities, including IQ, OQ, and PQ, to keep GMP-regulated systems compliant and under control.
FAQ
Ja, aber nur für seine GMP-relevanten Funktionen. Ein BMS, das kritische Parameter wie den Differenzdruck steuert, benötigt eine Erstqualifizierung und eine risikobasierte periodische Requalifizierung. Die vollständige Validierung computergestützter Systeme nach GAMP 5 bleibt dem EMS vorbehalten, das als maßgebliches GMP-Aufzeichnungssystem (System of Record) dient.
Nur wenn das BMS für diesen Verwendungszweck validiert ist und die Anforderungen von 21 CFR-Part 11 und EU-GMP-Leitfaden Anhang 11 erfüllt, einschließlich Audit Trails, Zugriffskontrolle und elektronischer Signaturen. Die meisten Standorte vermeiden dieses Risiko, indem sie ein validiertes EMS als System of Record festlegen und BMS-Trends nur als unterstützende Informationen nutzen.
Ja, sofern der Sensor kalibriert ist, die Signalaufteilung dokumentiert ist und der Signalweg zum EMS validiert ist, um die Datenintegrität zu schützen. Unabhängige Sensoren vereinfachen jedoch Validierung und Inspektionen, insbesondere bei kritischen Druckdifferenzen, die nach EU-GMP-Leitfaden Anhang 1 kontinuierlich überwacht und aufgezeichnet werden müssen.
Quellen
Marco Klinger is Head of Quality Services at Zamann Pharma Support, where he leads consulting teams through complex regulatory and quality-driven projects. He brings more than 15 years of hands-on compliance experience across regulated industries. His work includes close collaboration with companies such as Reckitt, Sanofi, Biotech, Biotest, and others. Marco has deep expertise in medical device development, aseptic manufacturing, and the design, implementation, and management of complete quality management systems within GMP-regulated environments.