Grundsätze des Audit-Trails
Diese Seite beschreibt die Regeln, nach denen LiteLog einen Mandanten einrichtet und betreibt, und wie der Audit-Trail diese Regeln absichert. Sie richtet sich an Qualitätsverantwortliche, Administratoren und Prüfer. Die Regeln gelten für alle Mandanten gleich. Welche davon in Ihrem Mandanten aktiv sind, entscheiden die Schalter unter Einstellungen → Richtlinien.
:::info Einordnung LiteLog dokumentiert nach den ALCOA+-Prinzipien und unterstützt Sie damit bei einer GMP-konformen Dokumentation. Die Validierung des Einsatzes bleibt Aufgabe Ihres Qualitätssystems. Die Zuordnung der einzelnen Anforderungen aus 21 CFR Part 11 und EU-GMP Annex 11 finden Sie unter Konformität Part 11 & Annex 11. :::
Was jeder Eintrag im Audit-Trail enthält
| Angabe | So ist es umgesetzt |
|---|---|
| Wer | Name, Anmeldename und Rolle der Person. Alles wird beim Schreiben festgehalten. Bei Erledigungen und Signaturen auch die Personalnummer. |
| Wann | Mit Sekunden, in Ortszeit und in Weltzeit (UTC). Einstellungen, Zugriffe und Konto-Änderungen tragen die Serverzeit. Bei Signaturen stehen Gerätezeit und Empfangszeit des Servers nebeneinander. Bei Erledigungen gilt die Uhr des Handys, wenn sie höchstens eine Stunde hinter der Serverzeit und höchstens fünf Minuten vor ihr liegt, sonst die Serverzeit. |
| Was | Der Bereich, der Datensatz und das Ereignis, zum Beispiel angelegt, geändert, archiviert, storniert. |
| Alter Wert, neuer Wert | Je geändertem Feld eine Zeile. |
| Begründung | Grund-Code und Text. Das System verlangt sie beim Speichern (Grundsatz 3). |
Die vierzehn Grundsätze
1. Jede Eingabe gehört zu einer Person
Es gibt nur persönliche Konten, keine Sammelkonten. Name, Anmeldename, Rolle und Personalnummer werden in jeder Zeile festgehalten. Die Anmeldung erfolgt per Passwort, QR-Code, NFC-Chip oder Microsoft-Konto. Welche Arten ein Konto nutzen darf, legen Sie je Konto fest.
2. Die Uhrzeit kommt vom Server
Einstellungen, Zugriffe und Konto-Änderungen tragen die Serverzeit, in Ortszeit und in Weltzeit. Bei Signaturen stehen Gerätezeit und Empfangszeit des Servers nebeneinander, so bleibt sichtbar, wenn ein Gerät offline war. Bei Erledigungen gilt die Uhr des Handys, wenn sie höchstens eine Stunde hinter der Serverzeit und höchstens fünf Minuten vor ihr liegt. Sonst zählt die Serverzeit.
3. Beim Anlegen keine Begründung, bei jeder Änderung eine Begründung
Anlegen, Erledigen, Einreichen und Melden sind die Erfassung selbst. Dafür braucht es keinen Grund. Jede spätere Änderung, jedes Storno, jede Archivierung und jede Änderung an der Konfiguration braucht einen Grund. Der Grund besteht aus einem Code und einem Text. Das System verlangt ihn beim Speichern und legt ihn mit altem und neuem Wert ab. Das gilt im Portal, in der App, über die Schnittstelle und über die KI-Anbindung gleichermaßen.
Die Begründungspflicht für Einstellungs-Änderungen schalten Sie unter Einstellungen → Richtlinien ein (siehe Änderungskontrolle). Die Grund-Codes sind Korrektur, Neue Anforderung, Kundenwunsch, Fehlerbehebung, Periodische Überprüfung und Sonstiges.
4. Nichts wird gelöscht
Aufgaben werden archiviert. Erledigungen werden storniert. Berichte und Meldungen werden korrigiert oder storniert. Das Original bleibt mit seiner Signatur sichtbar, auch im Export und im PDF.
5. Signiert wird, wo der Prozess es verlangt
Die persönliche Signatur-PIN ist ein zweiter Faktor neben der Anmeldung. Signiert werden Erledigung, Einreichung, Meldung, „Nicht durchführbar" und Storno. Jede Signatur trägt eine Bedeutung, die Uhrzeit und eine Prüfsumme über den Datensatz. Danach ist der Datensatz gesperrt. Jede spätere Änderung wird erkannt und angezeigt. Das System zeigt je Signatur den Status: signiert, nach Signatur geändert, ersetzt oder storniert. Die Signaturpflicht legen Sie je Objekt, je Vorlage und je Aufgabe fest (siehe Digitale Signatur).
6. Der Nachweis ist das signierte Ganze
Ein Formular wird als Ganzes erfasst und mit der Signatur zeitlich festgelegt. LiteLog protokolliert nicht, wann einzelne Felder ausgefüllt oder Häkchen gesetzt wurden. Das hat einen einfachen Grund: Mitarbeiter dokumentieren am Ende eines Arbeitsgangs, nicht nach jedem Handgriff. Eine Zeitleiste je Feld würde eine Gleichzeitigkeit vortäuschen, die es nicht gibt. Maßgeblich sind die Uhrzeit der Signatur, der Eingang auf dem Server und der Inhalt, der danach nicht mehr änderbar ist. Entwürfe vor der Signatur sind keine Nachweise.
Der Zeitpunkt der Erledigung ist der Zeitpunkt der Signatur, sofern die Handy-Uhr plausibel ist (Grundsatz 2). Sonst gilt der Eingang auf dem Server. Offline-Erfassung bleibt am Abstand zwischen Signatur und Server-Eingang erkennbar.
7. Vier Augen bei der Konfiguration
Änderungen an Vorlagen, Rollen, Rhythmen und Objekt-Einstellungen lassen sich als Antrag mit Begründung stellen. Ein zweiter Administrator entscheidet und signiert. Niemand kann seinen eigenen Antrag freigeben. Die Freigabepflicht lässt sich nur einschalten, wenn es mindestens zwei Freigeber gibt. Welche Bereiche unter Freigabe stehen, legen Sie je Bereich fest (siehe Änderungskontrolle).
8. Der Audit-Trail ist unveränderbar
Die Protokolle sind in der Datenbank gegen Ändern und Löschen gesperrt. Auch das Programm selbst kann einen Eintrag nicht ändern. Es gibt keine Funktion dafür. Kann ein Eintrag nicht geschrieben werden, wird die Änderung abgelehnt.
9. Zugriffe des Herstellers sind erkennbar
Greift LiteLog zum Support auf den Mandanten zu, erscheint das im Verlauf als „Plattform-Admin" mit eigenem Namen. Nie unter dem Konto des Kunden. Konfiguration im Auftrag des Kunden läuft über ein Administratorkonto des Mandanten und ist im Verlauf als solche sichtbar. Testdaten des Herstellers sind als „Test" gekennzeichnet und werden vor dem Regelbetrieb archiviert.
10. Vorlagen sind versioniert
Jede Änderung am Inhalt einer Formular-Vorlage erhöht die Version. Ein eingereichtes Formular trägt die Version, mit der es ausgefüllt wurde. Änderungen werden je Prüfpunkt protokolliert. Ältere Fassungen bleiben nachvollziehbar.
11. Nachweise lassen sich exportieren und gegeneinander prüfen
Exporte als CSV, Excel und PDF tragen Anmeldename, Rolle und Weltzeit. Die Prüfsumme einer Signatur ist in der Erledigung, im Signatur-Verlauf und im PDF dieselbe. Derselbe Verlauf ist für Prüfer über die Schnittstelle abrufbar. Welche Exporte es gibt und wie sie zusammenpassen, beschreibt das Nachweispaket.
12. Zugriff ist auf das Nötige beschränkt und wird protokolliert
Jede Rolle hat nur die Rechte, die sie braucht. Jede Anmeldung, jede Abmeldung, jeder Fehlversuch, jede PIN-Prüfung und jede Änderung von Passwort oder PIN wird mit Uhrzeit, Gerät und Methode protokolliert. Sitzungen laufen ab. Das Zugangsprotokoll steht im Verlauf unter der Quelle Sitzungen und im Aktivitäts-Export.
13. Grenzen werden genannt
Was LiteLog nicht erfasst und was noch in Arbeit ist, steht im Handbuch. Nicht zwischen den Zeilen. Die offenen Punkte zur Konformität finden Sie unter Konformität Part 11 & Annex 11, die Grenzen der Änderungskontrolle unter Was das Verfahren nicht erfasst.
14. Updates sind geplant und richten sich nach der Hosting-Art
Jede Änderung am System ist ein Release mit Versionsnummer und Änderungsnotizen. Der Audit-Trail wird durch Updates nicht verändert. Wie oft Updates kommen, hängt von der Hosting-Art ab (siehe Hosting-Modelle).
Wann eine Begründung Pflicht ist
| Art der Aktion | Beispiele | Begründung |
|---|---|---|
| Erst-Erfassung | Aufgabe anlegen, Meldung anlegen, Formular einreichen, Aufgabe erledigen, Konto anlegen | Nicht nötig. Der Datensatz ist die Erfassung. Wer und wann wird festgehalten. |
| Abweichung vom Sollprozess | Aufgabe „Nicht durchführbar" | Grund-Code ist Pflicht. Bei „Sonstiges" auch ein Text. |
| Nachträgliche Änderung | Meldung korrigieren, Bericht korrigieren, Stammdaten oder Konto ändern, Status zurücksetzen | Pflicht. Mit altem und neuem Wert je Feld. |
| Storno, Archivierung, Löschung | Erledigung stornieren, Bericht stornieren, Aufgabe archivieren, Meldung löschen | Pflicht. Der Datensatz bleibt sichtbar. |
| Konfiguration | Vorlagen, Rollen, Rhythmen, Objekt-Einstellungen, Firmen-Einstellungen | Pflicht. Bei freigabepflichtigen Änderungen zusätzlich die Entscheidung eines zweiten Administrators mit Signatur. |
| Zugangsverwaltung | Passwort oder Signatur-PIN zurücksetzen | Nicht nötig. Wer, wann und wie steht im Zugangsprotokoll. |
:::tip Begründungspflicht einschalten Die Pflicht für Konfigurations-Änderungen ist ein Schalter unter Einstellungen → Richtlinien. Solange er aus ist, bleibt der Grund bei Einstellungs-Änderungen freiwillig. Die Pflicht für Korrekturen, Storno und „Nicht durchführbar" gilt immer. :::
Wer was tut bei der Konfiguration
| Rolle | Aufgabe |
|---|---|
| Administratoren des Kunden | Nehmen fachliche Einstellungen selbst vor. Jede Änderung trägt ihren Namen, ihre Rolle und ihren Grund. |
| Zweiter Administrator | Entscheidet über Anträge zu freigabepflichtigen Bereichen, zum Beispiel Vorlagen und Rollen, und signiert die Entscheidung. |
| LiteLog (Hersteller) | Ändert im Mandanten nur nach Auftrag des Kunden. Eingriffe des Herstellers sind gekennzeichnet und im Verlauf sichtbar. |
Vor dem Regelbetrieb werden Testobjekte, Testformulare und Testkonten archiviert. Der Verlauf bleibt erhalten.