Audit-Trail in der Lebensmittelproduktion: Was IFS, BRCGS und Behörden an digitale Aufzeichnungen verlangen

Ein Audit-Trail ist die lückenlose, systemseitig erzeugte Historie jeder Aufzeichnung: wer hat wann welchen Wert erfasst, geändert oder gelöscht, was stand vorher dort und warum. Das EU-Lebensmittelrecht schreibt den Begriff nicht vor, verlangt aber in Art. 5 Abs. 4 VO (EG) Nr. 852/2004 aktuelle, vorlagefähige und aufbewahrte Nachweise, und IFS Food 8 sowie BRCGS Issue 9 fordern ausdrücklich, dass Aufzeichnungen authentisch und vor nachträglicher Veränderung geschützt sind. Ohne Audit-Trail kann ein digitales System diese Anforderung nicht nachweisen.

Warum Papier keinen Audit-Trail braucht und Software schon

Auf Papier ist eine Änderung physisch sichtbar: durchgestrichener Wert, neuer Wert daneben, Kürzel, Datum. Der Auditor erkennt Tipp-Ex und Radierspuren. In einer Datenbank verschwindet ein überschriebener Wert spurlos, wenn das System ihn nicht bewusst aufbewahrt. Deshalb verschiebt sich die Anforderung: Was auf Papier die Regel „nicht radieren, sondern durchstreichen" leistet, muss in Software der Audit-Trail leisten.

Dasselbe gilt für die Zuordnung. Auf Papier steht ein Kürzel. Digital braucht es eine persönliche Anmeldung; ein Sammelkonto „Linie 3" liefert keine Zuordnung zu einer Person und wird von Auditoren als Schwachstelle in der Authentizität bewertet.

Rechtsgrundlagen und Standardanforderungen

Ergänzend ist die US-Vorschrift 21 CFR Part 11 der international etablierte Maßstab für elektronische Aufzeichnungen. Sie gilt für die EU-Lebensmittelproduktion nicht unmittelbar, wird aber von Softwareanbietern und Auditoren als Referenz verwendet. § 11.10(e) verlangt sichere, computergenerierte, zeitgestempelte Audit-Trails, die Datum und Uhrzeit von Eingaben und Aktionen unabhängig aufzeichnen; Änderungen dürfen zuvor aufgezeichnete Informationen nicht verdecken.

Pflichtinhalte eines Audit-Trail-Eintrags

Ein Eintrag muss die Frage „wer hat was wann womit und warum getan" ohne Interpretation beantworten. Sieben Elemente sind Mindeststandard:

1. Nutzerkennung der handelnden Person (persönliches Konto, keine Gruppenkonten)
2. Zeitstempel aus der Systemuhr mit Zeitzone, nicht vom Nutzer editierbar
3. Aktion: Erstellen, Ändern, Löschen, Freigeben, Sperren, Verifizieren
4. Datensatz: eindeutige Kennung, zum Beispiel Charge, CCP, Messung
5. Alter Wert
6. Neuer Wert
7. Begründung bei Änderung und Löschung

Beispiel aus einer CCP-Überwachung:

Der ursprüngliche Wert bleibt sichtbar, die Korrektur ist begründet, die Verifizierung erfolgt durch eine zweite Person. Genau diese drei Zeilen zeigt ein Auditor sich an, wenn er den Audit-Trail prüft.

Die ALCOA+-Prinzipien als Prüfraster

Aus dem regulierten Umfeld stammt das Akronym ALCOA+, das die Eigenschaften integrer Daten beschreibt. Es eignet sich als Checkliste für jedes System, das HACCP-Aufzeichnungen führt:

• Attributable (zuordenbar): Jede Aufzeichnung ist einer Person zugeordnet
• Legible (lesbar): Auch nach Jahren und in einem Exportformat lesbar
• Contemporaneous (zeitnah): Erfasst zum Zeitpunkt der Handlung, nicht nachgetragen; Nacherfassungen sind als solche gekennzeichnet
• Original (ursprünglich): Der Erstwert bleibt erhalten
• Accurate (richtig): Frei von unbemerkten Übertragungsfehlern, Messgeräte kalibriert
• Complete (vollständig): Keine Lücken, auch Fehlmessungen und Abbrüche sind dokumentiert
• Consistent (konsistent): Zeitliche Reihenfolge stimmt, Zeitstempel aus einer Quelle
• Enduring (dauerhaft): Über die Aufbewahrungsfrist gesichert
• Available (verfügbar): Für Behörde und Auditor auf Verlangen abrufbar

Technische Anforderungen an das System

Unabhängigkeit vom Nutzer

Der Audit-Trail darf von keinem Nutzer und keinem Administrator abschaltbar oder editierbar sein. Systeme, in denen der Administrator Einträge „bereinigen" kann, erfüllen die Anforderung nicht. Administrative Handlungen, etwa Rechteänderungen oder Löschungen nach Fristablauf, werden selbst protokolliert.

Rollen und Rechte

• Erfassen: Linienpersonal, eigenes Konto
• Freigeben und Sperren: HACCP-Teamleiter, QM
• Verifizieren: Zweite Person, nicht identisch mit der erfassenden Person
• Administrieren: IT oder QM-Leitung, ohne Recht zur Änderung von Messwerten

Das Vier-Augen-Prinzip bei CCP-Verifizierung, das BRCGS 2.10 verlangt, ist nur mit Rollentrennung nachweisbar.

Zeitbasis

Alle Geräte, auch Tablets an der Linie und Sensoren, beziehen ihre Zeit von einer synchronisierten Quelle. Unterschiedliche Uhren erzeugen Einträge in falscher Reihenfolge, was Auditoren als Hinweis auf Nacherfassung werten.

Umgang mit Ausfällen

Fällt das Netz aus, wird auf Papier erfasst und später nacherfasst. Die Nacherfassung wird im Audit-Trail als solche gekennzeichnet, mit Verweis auf das Papieroriginal, das aufbewahrt wird. Ein System, das Offline-Erfassung mit lokalem Zeitstempel und späterer Synchronisation unterstützt, vermeidet die Lücke.

Datensicherung und Wiederherstellung

BRCGS 3.3 verlangt die Sicherung elektronischer Aufzeichnungen. Ein Backup ohne getestete Wiederherstellung ist kein Nachweis. Der Wiederherstellungstest wird dokumentiert und gehört in das interne Audit.

Export für Behörde und Auditor

Art. 15 VO (EU) 2017/625 gibt der Behörde Zugang zum System. In der Praxis wird ein lesbarer Export erwartet, etwa als PDF je Charge oder als Tabellenexport mit Audit-Trail-Spalten. Beides muss ohne Programmierkenntnisse abrufbar sein.

Audit-Trail und Rückverfolgbarkeit

Der Audit-Trail wirkt nur, wenn Aufzeichnungen an die Charge gebunden sind. Art. 18 VO (EG) Nr. 178/2002 verlangt die Rückverfolgbarkeit eine Stufe zurück und eine Stufe vor; IFS Food 8 (4.18) und BRCGS Issue 9 (3.9) verlangen Rückverfolgbarkeitstests, BRCGS mit einem Zeitziel von vier Stunden. Ein Rückverfolgbarkeitstest, der Rohstoffcharge, Prozessdaten, CCP-Messungen, Freigaben und Auslieferung verknüpft und dabei zeigt, wer jeden Schritt wann freigegeben hat, ist nur mit einem chargenbezogenen Audit-Trail in dieser Zeit machbar.

Workflow-Systeme wie RCX Food führen Audit-Trail und Chargenhistorie zusammen: Jeder Prozessschritt, jeder CCP-Check, jede Sperre und jede Freigabe wird mit Person und Zeitstempel an der Charge gespeichert, sodass die vollständige Historie einer Charge einschließlich aller Änderungen mit einem Aufruf vorliegt.

Prüfliste: So bewerten Auditoren digitale Aufzeichnungen

1. Historie eines beliebigen CCP-Datensatzes aufrufen: Sind alter Wert, neuer Wert, Person, Zeit und Grund sichtbar?
2. Existieren Sammelkonten oder geteilte Passwörter an der Linie?
3. Kann ein Administrator Messwerte ändern oder Einträge löschen? Wird das protokolliert?
4. Sind Zeitstempel systemgeneriert und synchronisiert?
5. Wie werden Nacherfassungen nach Ausfall gekennzeichnet?
6. Wann wurde die Wiederherstellung aus dem Backup zuletzt getestet und dokumentiert?
7. Wie lange werden Aufzeichnungen aufbewahrt, und wer löscht nach Fristablauf?
8. Kann die Behörde einen Export je Charge erhalten?
9. Ist die Verifizierung der CCP-Aufzeichnungen durch eine zweite Person nachweisbar?
10. Ist der Rückverfolgbarkeitstest innerhalb der Zeitvorgabe mit Audit-Trail dokumentiert?

Ein digitales System, das diese zehn Fragen mit Nachweisen beantwortet, erfüllt die Anforderungen an Authentizität und Änderungsschutz aus IFS Food 8 und BRCGS Issue 9 sowie die Nachweispflicht aus Art. 5 Abs. 4 VO (EG) Nr. 852/2004. Ein System, das eine dieser Fragen nicht beantworten kann, produziert Daten, aber keine Nachweise.