Wer im regulierten Umfeld arbeitet, kennt die Situation.
Cloud wird strategisch gefordert. Digitalisierung sowieso.
Aber sobald es um Supplier Qualification, Audits oder GxP-Compliance geht, fühlt sich alles plötzlich an wie im Jahr 2005.
Im ChaosHacker-Talk mit Robert Geiger-Lebailly ging es genau um dieses Spannungsfeld:
Wie bewertet man Cloud-Provider korrekt, wenn die regulatorische Welt noch auf klassische Lieferantenmodelle ausgelegt ist?
Und die ehrliche Antwort ist:
Mit den aktuellen Methoden wird es zunehmend schwierig.
Das liegt nicht daran, dass Compliance falsch ist.
Es liegt daran, dass sich die Realität schneller verändert hat als unsere Bewertungsmodelle.
Viele der heute relevanten Regeln stammen aus einer Zeit, in der IT noch lokal war.
Annex 11
Annex 15
21 CFR Part 11
Sie definieren Anforderungen sinnvoll und notwendig – aber sie gehen implizit davon aus, dass man es mit einem Lieferanten zu tun hat, den man vollständig kontrollieren kann.
Bei klassischen Szenarien funktioniert das:
Bei Cloud-Providern sieht die Realität anders aus.
Ein Hyperscaler betreibt tausende Kunden gleichzeitig.
In mehreren Regionen.
Mit hochstandardisierten Prozessen.
Mit automatisierten Deployments.
Mit globalen Security-Modellen.
Und genau hier beginnt die Reibung.
In vielen SOPs steht sinngemäß:
Das klingt logisch.
Bis man versucht, es umzusetzen.
Versuch mal
vor Ort zu auditieren.
Rein formal ist die Forderung nachvollziehbar.
Praktisch ist sie kaum umsetzbar.
Deshalb passiert in der Realität oft Folgendes:
Das ist kein strukturiertes Risikomanagement.
Das ist Improvisation mit Dokumentation.
Ein Punkt aus dem Gespräch war besonders treffend:
Nur weil zwei Unternehmen das gleiche Wort verwenden, heißt das nicht, dass sie das Gleiche meinen.
Typische Beispiele:
Quality Management
User Access Management
Validation
Change Control
Training
Security
In Pharma bedeutet Quality oft:
In der Cloud bedeutet Quality oft:
Beides kann korrekt sein.
Aber es ist nicht dasselbe.
Wenn man das nicht versteht, bewertet man falsch.
Viele Cloud-Provider arbeiten mit standardisierten Prüfberichten wie
SOC 1
SOC 2
ISO 27001
ISO 9001
ISO 22301
CSA STAR
NIST-Frameworks
Diese Reports sind nicht Marketing.
Sie sind genau dafür gemacht, Vertrauen skalierbar zu machen.
Ein einzelner Kunde kann keinen Hyperscaler vollständig auditieren.
Aber ein unabhängiger Prüfer kann Controls bewerten, die für alle Kunden gelten.
Im Gespräch ging es auch um erweiterte Modelle wie SOC-Reports mit zusätzlichen GxP-Controls, um regulatorische Anforderungen besser abzubilden.
Das ist ein realistischer Weg.
Nicht perfekt.
Aber skalierbar.
Und Skalierbarkeit ist bei Cloud kein Nice-to-Have, sondern Voraussetzung.
Regulatorisch wird ständig vom risk-based approach gesprochen.
In der Praxis bedeutet das häufig:
kritisch = Audit
hoch kritisch = Vor-Ort-Audit
sehr kritisch = mehr Audit
Das ist kein Risikomanagement.
Das ist Eskalation ohne Differenzierung.
Ein echtes Risiko-Assessment müsste auch fragen:
Ein Anbieter mit tausenden Kunden und geprüften Control-Frameworks kann im Supplier-Risiko niedriger sein als ein kleiner, kaum geprüfter Dienstleister.
Das fühlt sich ungewohnt an.
Ist aber logisch.
Cloud ist kein Sonderfall mehr.
Cloud ist Standard.
Und wenn die Realität Standard ist, kann sie nicht mehr mit Sonderlösungen bewertet werden.
Was wir brauchen:
Nicht weniger Compliance.
Bessere Compliance.
Die größte Herausforderung bei der Digitalisierung im regulierten Umfeld ist nicht die Technik.
Es ist die Fähigkeit, unsere Denkmodelle anzupassen.
Solange wir Cloud wie einen Lohnhersteller auditieren,
werden wir immer zwischen Innovation und Regulierung hängen.
Wenn wir anfangen, Regulierung digital zu denken,
wird Compliance nicht schwächer.
Sie wird realistischer.
Video zur Diskussion im ChaosHacker-Talk: