Warum risikobasierte Lieferantenaudits kalenderbasierte Audits ersetzen

In den größeren Organisationen, für die ich als Qualitätsmanager tätig war. Lieferantenaudit Die Abläufe waren fast immer kalendergesteuert. Manchmal fanden Lieferantenaudits einmal jährlich statt, manchmal zweimal. Ich erstellte den Zeitplan entsprechend, und das System lief einfach.

Im Laufe der Zeit bin ich zu einem risikobasierten Ansatz übergegangen, bei dem die Tiefe und Häufigkeit der Lieferantenprüfung nicht mehr von einem Kalenderdatum, sondern vom individuellen Lieferantenrisiko abhängt.

Die Art und Weise, wie hohes und niedriges Risiko bestimmt werden, ist von entscheidender Bedeutung und ein zentraler Schwerpunkt der Aufsichtsbehörden im Rahmen der neuen FDA-Richtlinien. Qualitätsmanagementsystem-Verordnung (QMSR).

Werfen wir einen genaueren Blick auf die Vorteile risikobasierter Lieferantenaudits und die Daten, die diese stützen, sowie darauf, worauf die FDA und die Registrierungsbehörden bei der Bewertung Ihres Lieferantenprogramms achten.

Erfahren Sie in unserem kostenlosen Webinar, wie Technologie Ihr Lieferantenqualitätsprogramm unterstützen kann. Vom Onboarding bis zum Audit: Die richtigen Tools für Lieferantenqualität

Welche Nachteile haben kalenderbasierte Lieferantenaudits?

Standardmäßige, kalenderbasierte Prüfungen sind im Vergleich zu risikobasierten Prüfungen ineffizient und erhöhen zudem die Wahrscheinlichkeit, dass Probleme übersehen werden und es zu Schwierigkeiten mit den Aufsichtsbehörden kommt.

Die größten Nachteile dieses Ansatzes sind:

• Verschwendete Ressourcen: Wenn jeder Lieferant der gleichen Prüfung unterzogen wird, landen die eingehenden Analysen oft bei Lieferanten mit geringem Risiko, die diese eigentlich gar nicht benötigen.
• Fehlendes Signal bei Hochrisikolieferanten: Wenn man Hochrisikolieferanten genauso intensiv prüft wie Niedrigrisikolieferanten, verteilt sich die Zeit gleichmäßig auf eine ungleichmäßig risikobehaftete Gruppe. Dadurch steigt die Wahrscheinlichkeit, dass etwas übersehen wird.
• Falsches Sicherheitsgefühl auf Führungsebene: Wenn Sie Ihre Lieferanten jährlich besuchen, überwacht niemand die Hochrisikolieferanten in den 11 Monaten zwischen den geplanten Audits.
• Regulatorisches Risiko: Gemäß der ab Februar 2026 geltenden QMSR-Richtlinie der FDA kann die Behörde nun Lieferantenauditberichte prüfen und erwartet eine risikogerechte Lieferantenbewertung. ISO 13485 Klausel 7.4 verlangt dasselbe.

Wie sollten Hersteller das Lieferantenrisiko bewerten?

Auswertung Lieferantenrisiko Im Grunde erfordert dies, das Problem aus zwei Perspektiven zu betrachten.

Das erste Kriterium ist die Kritikalität, das zweite die Leistungsfähigkeit.

Kritikalität beschreibt die Rolle, die die Materialien und Komponenten des Lieferanten in Ihren Betriebsabläufen spielen. Zu den relevanten Faktoren gehören:

• Wichtigkeit der Komponenten: Wie wichtig ist dieses Bauteil oder Material für Ihr Endprodukt?
• Regulatorisches Engagement: Würde ein Ausfall oder eine Änderung bei diesem Lieferanten Meldepflichten auslösen oder Ihre aufsichtsrechtliche Stellung beeinträchtigen?
• Auswirkungen auf die Sicherheit: Was steht aus Sicht der Produktsicherheit auf dem Spiel, wenn das Produkt dieses Lieferanten versagt?
• Konzentration der Angebotsbasis: Handelt es sich um einen einzigen Lieferanten oder um einen von mehreren?

Zu den zu bewertenden Leistungskennzahlen gehören:

• Pünktliche Lieferung: Kommen die Lieferungen zum erwarteten Zeitpunkt an, und wie regelmäßig ist dieses Muster?
• Empfänglichkeit: Wie schnell reagiert der Lieferant auf Probleme, beantwortet Ihre Anfragen und geht proaktiv auf wiederkehrende Probleme ein?
• Anforderung von Korrekturmaßnahmen durch den Lieferanten (SCAR) Frequenz: Treten die Probleme beim selben Lieferanten wiederholt auf und haben sie dieselben Ursachen?
• CAPA-Wirksamkeit: Verhindern Korrekturmaßnahmen das erneute Auftreten von Problemen?
• Trends bei der Auditbewertung: In welche Richtung entwickeln sich die Audit-Ergebnisse im Laufe der Zeit?

Die Betrachtung sowohl der Kritikalität als auch der Leistung ist entscheidend für die Festlegung des geeigneten Prüfungsplans und -umfangs, sowohl aus betrieblicher als auch aus regulatorischer Sicht.

Ein Lieferant mit schlechter Leistung, der ein kritisches Bauteil liefert, birgt das höchste Risiko und wird einer besonders gründlichen Prüfung unterzogen. Ein Lieferant mit guter Leistung, der ein nicht kritisches Bauteil liefert, erhält hingegen möglicherweise eine weniger intensive Prüfung. Bei Lieferanten im mittleren Bereich bestimmt die Kombination aus Kritikalität und Leistung, worauf Sie Ihren Zeitaufwand konzentrieren.

Tiefe der Lieferantenprüfung: Vertrauen und Beweise im Einklang

Eine Möglichkeit, risikobasierte Lieferantenaudits zu betrachten, besteht darin, dass der Umfang des Audits widerspiegeln sollte, wie viel Vertrauen sich der Lieferant erworben hat.

Ein risikoarmer Lieferant mit einwandfreier Erfolgsbilanz genießt beispielsweise ein gewisses Maß an Vertrauen, was sich oft in einem weniger aufwendigen Audit niederschlägt. Er verfügt über Standardarbeitsanweisungen (SOPs), gibt an, diese einzuhalten, und die Audithistorie bestätigt dies. Dank dieses Vertrauens neigt man eher dazu, den Angaben Glauben zu schenken und weniger Zeit mit der Überprüfung jeder einzelnen Behauptung zu verbringen.

Ein Hochrisikolieferant hingegen hat sich dieses Vertrauen noch nicht erworben. In manchen Fällen haben wiederholte Probleme das ehemals vorhandene Vertrauen zerstört. Bei solchen Hochrisikolieferanten sollten Sie stichprobenartige Kontrollen einzelner Lieferanten durchführen. Trainingsaufzeichnungen und zu überprüfen, ob das, was sie Ihnen mitteilen, tatsächlich in ihrer Produktion geschieht. Der Umfang der Prüfung wird je nach den gewonnenen Daten erweitert oder reduziert.

Wie Daten Lieferantenaudits verändern

Meiner Erfahrung nach änderte sich meine Arbeit während der Audits selbst, sobald die Daten die Auditfrequenz bestimmten. Ich war nicht mehr da, um die Daten zu bestätigen. SOP Es sollte überprüft werden, ob die Schulung abgeschlossen war. Ich war dort, um herauszufinden, warum drei SCARs im selben Schulungsdefizit gehäuft auftraten.

Ein solches Muster ist ein Hinweis darauf, wo man genauer hinschauen sollte. Im Beispiel der Ausbildungslücke könnte das bedeuten, sich beispielsweise Folgendes anzusehen:

• Klarheit der Standardarbeitsanweisungen: Wenn ich als Produktionsmitarbeiter diese Standardarbeitsanweisung lesen würde, würde ich verstehen, was zu tun ist?
• Kompetenzbeurteilung: Handelt es sich um eine Bestätigung, die lediglich das Lesen und Verstehen erfordert, oder muss der Mitarbeiter zusätzlich einen Test oder eine Prüfung bestehen, bevor die Schulung als abgeschlossen gilt?
• Ursache: Warum übersehen die Arbeiter einen Arbeitsschritt? Liegt es an der Standardarbeitsanweisung, der Schulungsmethode, den Betriebsbedingungen oder an etwas anderem?

Die Leistungsdaten der Lieferanten beeinflussen sowohl den Ton des Audits als auch dessen Umfang. Lieferanten reagieren weniger defensiv, wenn die Daten beiden Parteien vorliegen. Es wird nicht mehr darüber diskutiert, ob tatsächlich ein Problem besteht. Stattdessen konzentriert sich das Gespräch darauf, wie Sie es gemeinsam lösen werden.

Was erwartet die FDA in Ihren Lieferantenaudit-Dokumenten?

Im Rahmen der QMSR kann die FDA nun Lieferantenauditberichte prüfen; die bisherige QMSR-Ausnahme für diese Aufzeichnungen wurde aufgehoben. Die FDA erwartet von Herstellern, dass sie gemäß QMSR eine risikobasierte und kontinuierliche Kontrolle ihrer Lieferanten aufrechterhalten. ISO 13485:2016 fordert zudem eine dokumentierte Lieferantenbewertung und -überwachung, die den mit dem Lieferanten und seinen Produkten verbundenen Risiken angemessen ist.

Im gesamten Bereich der Lebenswissenschaften Regulierungsbehörden und ISO-Registrierungsstellen Sie nehmen „risikobasiert“ nicht mehr einfach so hin. Sie wollen die Begründung dahinter verstehen, was bedeutet, dass sie sich jetzt Folgendes ansehen:

• Klassifizierungslogik: Wie definieren Sie hohes, mittleres und niedriges Risiko? Welche Faktoren fließen in diese Klassifizierung ein?
• Logik der Prüfhäufigkeit: Wie wirkt sich die Risikokategorie eines Lieferanten auf die Häufigkeit von Audits aus?
• Eskalationslogik: Welche konkreten Auslöser veranlassen einen Lieferanten, von der routinemäßigen Überwachung zu einem detaillierteren Audit überzugehen?
• Zugrundeliegende Daten: Welche Leistungskennzahlen? CAPA-AufzeichnungenWerden Beschwerdemuster und Trendanalysen in die Klassifizierung einbezogen?
• Trend analysen: Können Sie nachweisen, dass Sie die Entwicklung der Audit-Ergebnisse über mehrere Zyklen hinweg bewerten?

Die Aufsichtsbehörden fordern von Herstellern die Übereinstimmung zwischen Standardarbeitsanweisungen (SOP) und den erhobenen Daten. Beschreibt Ihre SOP ein risikobasiertes Programm, müssen die Begründung, die Kennzahlen und die Auditentscheidungen mit dieser Beschreibung übereinstimmen. Es genügt nicht, ein Programm als „risikobasiert“ zu bezeichnen, ohne dies durch Daten zu belegen.

Wie gelingt der Übergang zu risikobasierten Lieferantenaudits?

Die Umstellung auf risikobasierte Lieferantenaudits beginnt mit der Programmgestaltung und den Kennzahlen, mit einem Unternehmensqualitätsmanagementsystem (EQMS) Unterstützung des Programms, sobald diese Entscheidungen getroffen sind.

Zu den bewährten Vorgehensweisen, die Hersteller befolgen sollten, gehören:

• Definition Ihrer Leistungskennzahlen: Entscheiden Sie, was Sie messen wollen und wie: pünktliche Lieferung, Reaktionsfähigkeit, Häufigkeit von SCARs, Wirksamkeit von CAPA, Trends bei Audit-Ergebnissen.
• Die Daten an einem Ort zusammenführen: Muster in CAPAs, Abweichungen, Audits und anderen Bereichen werden erst sichtbar, wenn Systeme Daten austauschen. Papier- und Tabellenkalkulationsaufzeichnungen reichen für die notwendige Analyse nicht aus.
• Klein anfangen: Wählen Sie eine Lieferantengruppe, beispielsweise Verpackungslieferanten, und testen Sie Ihren Ansatz. Achten Sie auf Zusammenhänge zwischen Abweichungen und der Auditleistung. Passen Sie Ihren Ansatz fortlaufend an.
• Iteration der Kennzahlen: Bei der Datenerfassung können sich Zusammenhänge zeigen. Eine geringe Pünktlichkeitsrate bei Lieferungen korreliert beispielsweise häufig mit Problemen bei der Produktqualität, da Lieferanten Arbeitsschritte auslassen, um die Liefertermine einzuhalten.
• Klassifizierungen mindestens jährlich neu bewerten: Bewerten Sie Ihre Lieferanten im Rahmen Ihrer Managementbewertung neu. Die Risikokategorie eines Lieferanten sollte sich mit Änderungen seiner Leistung und seines Risikos ändern.

In Schritt 2 wird ein EQMS unerlässlich. Ein vernetztes System, das CAPA-, Abweichungs-, Audit-, Beschwerde- und Lieferantenqualitätsdaten modulübergreifend verknüpft, bietet Ihnen die Transparenz, auf der ein risikobasiertes Programm basiert.

Drei Fehler, die Sie bei risikobasierten Lieferantenaudits vermeiden sollten

Es gibt einige häufige Fehler, die Qualitätsteams bei diesem Übergang beachten sollten:

• Ihr Programm als risikobasiert zu bezeichnen, ohne dies durch Daten zu untermauern: Gemäß QMSR und ISO 13485 stellt dies nun ein Prüfrisiko dar. Wenn Sie das Label verwenden, benötigen Sie die dokumentierte Logik und die zugehörigen Daten.
• Sich in die EQMS-Implementierung zu stürzen, bevor man die gesammelten Daten versteht: Ich sehe das oft bei ISO 13485 oder Konformität mit 21 CFR Part 820 ist der Auslöser für die Implementierung. Entwerfen Sie zuerst das Programm, machen Sie sich klar, was Sie messen und warum, und fügen Sie dann die Technologie hinzu.
• Sich auf eine einzige Kennzahl verlassen: Die Bewertung im Audit oder die Pünktlichkeitsquote allein reichen nicht aus, um ein umfassendes Bild zu erhalten. Ein Lieferant kann beispielsweise bei der Lieferung schlecht abschneiden und dennoch ein starkes Programm zur Behebung von Abweichungen betreiben.

Die Zukunft der Lieferantenaudits

Die Erwartungen an die Qualität der Lieferkette verändern sich, und damit auch die Programme für Lieferantenaudits. Risikobasierte Lieferantenaudits erfüllen zwei Zwecke gleichzeitig: Sie lenken Ihre Zeit auf Lieferanten, die tatsächlich Aufmerksamkeit benötigen, und setzen Ressourcen frei, die besser in die Prozessoptimierung investiert werden können, anstatt Lieferanten mit nachweislich guter Leistung zu auditieren.

 

Über den Autor

Stephanie Ojeda Stephanie ist Vizepräsidentin für Produktmanagement im Bereich Life Sciences bei AssurX. Sie verfügt über mehr als 18 Jahre Erfahrung in leitenden Positionen im Bereich Qualitätssicherung in verschiedenen Branchen, darunter Pharma, Biotechnologie, Medizintechnik, Lebensmittel und Getränke sowie Fertigung.