Bijlage 11 – Geautomatiseerde systemen (EU GMP)

Dit onderwerp is onderdeel van de SG Systems Global regelgevings- en operationele woordenlijst.

Bijgewerkt oktober 2025 • EU GMP, elektronische registraties en handtekeningen, validatie, gegevensintegriteit • Farmaceutica, biologische producten, ATMP, apparaten, cosmetica, voedingssupplementen

Bijlage 11 van de EU GMP (Good Manufacturing Practice) stelt de norm voor hoe fabrikanten in de biowetenschappen geautomatiseerde systemen die van invloed zijn op de productkwaliteit en de patiëntveiligheid, moeten specificeren, valideren, beheren en uitfaseren. Als een systeem de uitkomst van een batch – of de beslissing om deze vrij te geven – kan beïnvloeden, valt bijlage 11 onder de reikwijdte. De verwachting is eenvoudig en onverbiddelijk: bewijs de geschiktheid voor het beoogde gebruik, houd het systeem onder controle en bewaar betrouwbare gegevens zolang ze relevant zijn . De bijlage is gebaseerd op risicogebaseerd denken ( QRM ), levenscyclusvalidatie ( CSV ) en gegevensintegriteit (ALCOA+) om ervoor te zorgen dat elektronische gegevens – inclusief eBMR en DHR – volledig, consistent en controleerbaar zijn.

"Als het de kwaliteit beïnvloedt, is het Bijlage 11. Toon je logica, je controle en je bewijs – of wees bereid de productielijn stil te leggen."

1) Scope: wat is inbegrepen en waarom is het belangrijk?

Bijlage 11 gaat verder dan de voor de hand liggende MES/LIMS/QMS-stack. Het omvat labelsystemen ( labelverificatie , UDI ), WMS , apparatuurinterfaces ( SCADA , weegschalen, controlewegers) en spreadsheets die worden gebruikt voor vrijgavebeslissingen. Als een berekening, scan of goedkeuring van invloed is op de identiteit, sterkte, kwaliteit, zuiverheid, traceerbaarheid of vrijgavestatus, valt dit onder Bijlage 11. De reikwijdte komt overeen met 21 CFR Deel 11 , maar is breder wat betreft levenscyclus en operationele aspecten – ontwerp voor beide als u levert aan de EU en de VS.

2) Levenscyclus en validatie: risicogebaseerd en op bewijs gebaseerd

Begin met een VMP ( Vendor Management Plan) op hoog niveau en een verdedigbare URS (User Requirements Specification). Leid functionele en ontwerpspecificaties af en test vervolgens waar het risico dit vereist. Infrastructuur (servers, cloud, netwerken) wordt gekwalificeerd; applicatieconfiguraties (recepten, formulieren, labeltemplates) worden gevalideerd zoals je code zou valideren – omdat het code is . Gebruik QRM ( Quality Risk Management) om testen te richten op faalmodi die de patiëntveiligheid, productkwaliteit of data-integriteit bedreigen. Houd een dynamische traceermatrix bij van vereiste → risico → controle → test → releasenotitie. Valideer de wijzigings- en implementatieprocessen zelf – niet alleen de app – zodat toekomstige updates niet ongemerkt de compliance schenden.

Documentatie van de leverancier is nuttig, maar vervangt geen gebruikersvalidatie. Een mooie brochure is geen doorslaggevend bewijs. Bevestig het beoogde gebruik in uw omgeving aan de hand van uw datavolumes, integraties ( ISA-95 ) en rolmodel. Voor cloud- en multi-tenant SaaS-oplossingen moet u vaststellen hoe de provider infrastructuurupdates kwalificeert, release notes beschikbaar stelt en uw hervalidatiecyclus ondersteunt zonder onverwachte downtime.

3) Rollen, verantwoordelijkheden en leveranciersgarantie

Elk systeem heeft een business owner nodig (verantwoordelijk voor gebruik en data), QA-toezicht en IT-ondersteuning. Definieer wie wijzigingen mag goedkeuren, wie audit trails controleert, wie toegang verleent en wie releases ondertekent. Sluit voor externe partijen kwaliteitsafspraken af ​​waarin responstijden, incidentafhandeling, datatoegang en meldingen van wijzigingen, datalekken en NOC worden vastgelegd. Controleer leveranciers in verhouding tot het risico; als uw batchrelease afhankelijk is van hun applicatie, moet u hun SDLC, testmethoden en beveiligingsstatus begrijpen – en niet zomaar gokken.

4) Gegevensintegriteit – ALCOA+ is een ontwerp, geen slogan

Records moeten toewijsbaar, leesbaar, actueel, origineel en nauwkeurig zijn ( ALCOA ), met daarnaast de vereisten van volledigheid, consistentie, duurzaamheid en beschikbaarheid. Configureer audit trails voor elk GxP-object: aanmaken/wijzigen/verwijderen, identiteit van de gebruiker, reden voor de wijziging, tijdstempels, oude versus nieuwe waarden. Zorg ervoor dat deze op een vastgestelde frequentie kunnen worden gecontroleerd ; "audit trail ingeschakeld" is zinloos als niemand ernaar kijkt. Verbied ongecontroleerde offline bewerkingen, exporteren/herimporteren van "correcties" en schaduwspreadsheets. Elektronische handtekeningen moeten uniek gekoppeld zijn aan de gebruikersidentiteit, de exacte inhoud van de ondertekende actie (niet zomaar een hash op zichzelf) en de betekenis van de actie (controleren/goedkeuren/verifiëren).

Apparaatgegevens zijn belangrijk. Als u gewichten van een weegschaal afneemt of als machine vision een defect signaleert, bewaar dan de bron-ID, het tijdstip en de verificatiestatus. De kalibratiestatus moet bekend zijn op het moment van vastlegging; als een instrument buiten de tolerantie valt, moet uw systeem de betreffende batches automatisch blokkeren of in quarantaine plaatsen ( Quarantaine/Wachtstand ).

5) Toegangscontrole: de minste privileges of niets

Implementeer op rollen gebaseerd UAM met unieke gebruikers, MFA waar mogelijk en tijdsgebonden privilegeverhoging. Controleer de toegang regelmatig en bij personeelswijzigingen. Strikte regel: niemand keurt zijn eigen werk goed. Scheid ontwikkel-, test- en productieomgevingen. Als uw leverancier "gedeelde beheerdersaccounts" voorstelt, ga daar dan tegenin. Het is 2025; gedeelde inloggegevens zijn onverdedigbaar in een GxP-omgeving.

6) Configuratie, inhoud en wijzigingsbeheer

Behandel configuratie als code: recepten, labelsjablonen, SOP- links, checklists, SPC-limieten en workflowlogica moeten worden geverifieerd, beoordeeld, getest en vrijgegeven onder Change Control . Documenteer de ontwerpintentie en het risico dat u wilt beperken; neem regressietests op voor kritieke paden. Voer periodieke controles uit om te bevestigen dat de gevalideerde status, de beveiligingsstatus en de lessen die uit incidenten zijn getrokken nog steeds geldig zijn. Bij twijfel, voer een gerichte impactanalyse uit in plaats van te gokken op "waarschijnlijk wel in orde".

7) Interfaces en automatisering: waar fouten zich vermenigvuldigen

Bijlage 11 verwacht dat u de gegevensstromen van begin tot eind begrijpt en beheert ( ISA-95 ): ERP ↔ MES ↔ LIMS ↔ QMS ↔ WMS ↔ etikettering/serialisatie. Specificeer berichtformaten ( EDI , EPCIS), timing, herhaalpogingen en foutafhandeling; valideer met realistische volumes, niet met fictieve datasets. Voor automatisering – weegschalen ( gravimetrisch ), microdosering , vision , serialisatie – toon nauwkeurigheid, latentie en fraudebestendigheid aan. Bewijs de logica van de etikettering met verificatiecontroles van de etiketten in de workflow voor lijnvrijgave ( Line Clearance ).

8) Uitvoeringsgegevens - eBMR/eDHR zonder hiaten

Elektronische batch- en apparaatgeschiedenisregistraties moeten stappen afdwingen, materiaal- en lotgeschiedenis vastleggen , specificatielimieten toepassen en handtekeningen vereisen op de juiste momenten. Gebruik dubbele verificatie voor risicovolle handelingen. Weiger vrijgave als vereiste gegevens, beoordeling of handtekening ontbreken. Integreer milieu- en nutsvoorzieningsgegevens ( EM , temperatuurregistratie ) en zorg ervoor dat het auditspoor onderdeel is van het registratiepakket – en niet een optionele export tijdens de inspectie. Koppel voor gecontroleerde herverwerking expliciet aan afwijkings- en risicobeoordelingen.

9) Incidenten, afwijkingen, CAPA: neem de grondoorzaak in eigen hand

Systeemincidenten en problemen met de data-integriteit leiden tot afwijkingen/non-conformiteiten . Onderzoek deze met een oorzaakanalyse ( RCA) , los het defect op en implementeer corrigerende en preventieve maatregelen (CAPA) die herhaling voorkomen (niet alleen "gebruikers opnieuw trainen"). Als de impact het uitgebrachte product betreft, evalueer dan de gereedheid voor een terugroepactie en breng het bewijsmateriaal in kaart . Een ongemakkelijke waarheid: als het auditspoor wijzigingen met zwakke redenen en zonder controle door een tweede persoon laat zien, zult u toezeggingen aan inspecteurs moeten doen. Ontwikkel deze gewoonte vóór de audit.

10) Bedrijfscontinuïteit: back-ups die u daadwerkelijk kunt terugzetten

Backups zijn zinloos totdat je kunt bewijzen dat ze hersteld kunnen worden. Valideer dat je volledige records – data, metadata, handtekeningen, bijbehorende bijlagen en het auditspoor – kunt reconstrueren in een sandbox binnen een realistische tijdsspanne (RTO/RPO). Documenteer voor de cloud de verantwoordelijkheden van de provider en je tests. Neem failover-scenario's voor disaster recovery op en oefen deze. Als je eerste volledige herstel plaatsvindt tijdens een inspectie, ben je al verloren.

11) Bewaring en archivering – leesbaar gedurende de gehele levenscyclus

Bewaartermijnen zijn afhankelijk van product- en wettelijke termijnen. Gearchiveerde documenten moeten jarenlang leesbaar, opvraagbaar en betrouwbaar blijven. Gebruik gecontroleerde archivering met integriteitscontroles (checksums, verificatie van handtekeningen) en geteste migratieplannen wanneer formaten of platforms veranderen. Plaats eBMR-pdf's niet zomaar in een gedeelde map; bewijs dat u het volledige document kunt reproduceren met behoud van context en auditspoor.

12) Spreadsheets en lokale hulpmiddelen: valideren of vervangen

Kritieke spreadsheets zijn applicaties. Vergrendel cellen, documenteer formules, beheer versiebeheer onder Documentbeheer , houd wijzigingen bij en valideer. Als het risico hoog is, vervang ze dan door gevalideerde systeemfuncties. De ergste bevinding bij een inspectie is: "We hebben een verborgen kolom ontdekt die de potentieberekeningen beïnvloedt." Voorkom dit met transparante, gevalideerde logica en validatie en verificatie.

13) Het praktische Annex 11-pakket: hoe goed eruitziet

• Systeeminventaris: Kritiek van GxP, eigenaren, gegevensclassificatie, interfaces en hostingmodel.
• Vereisten en risico's: URS met risicoclassificatie gekoppeld aan controles en tests (risicoregister).
• Validatiebewijs: IQ/OQ/PQ met realistische scenario's (PPQ analogieën), datamigratietests en prestatie-/volumeresultaten.
• Operationele controles: Standaardprocedures voor toegangsbeheer, wijzigingen, afhandeling van incidenten, beoordeling van audittrails, periodieke beoordelingen en back-up-/hersteloefeningen.
• Configuraties onder controle: recepten met versiebeheer, etiketsjablonen, grenzen, met goedkeuringen in Document controle.
• Release gereedheid: ondertekend releasepakket met tracematrix, afwijkingssluitingen en trainingsupdates (Trainingsmatrix).
• metrics: dekking van audit trail-beoordelingen, verwijdering van verouderde toegangsrechten, het herstellen van testresultaten en het wijzigen van defecten per release.

14) Hoe dit past bij V5 door SG Systems Global

Levenscyclus en CSV. Het V5-platform wordt geïmplementeerd volgens een gedocumenteerde CSV-aanpak met risicogebaseerde testpakketten en ondertekende releases. Vereisten worden vastgelegd in testbewijs en in het auditspoor van de geïmplementeerde versie. Klantspecifieke configuraties – formules, receptversiebeheer , verpakkings-/ verzendregels – worden op dezelfde manier beheerd.

Uitvoeringscontroles. V5 hanteert een strikte elektronische goedkeuring ( pass/fail ) voor kritieke stappen, controleert de kalibratiestatus voordat apparaatgegevens worden geaccepteerd en blokkeert de vrijgave wanneer handtekeningen of gegevens ontbreken. Label- en serialisatiesjablonen zijn gevalideerde objecten met een goedkeuringsgeschiedenis.

Traceerbaarheid. Elke materiaalbeweging is gekoppeld aan partijen en herkomst ; FEFO / FIFO- regels worden toegepast in het WMS ; de wachtstatus voorkomt onbedoelde verzending vóór kwaliteitscontrole.

Gegevensintegriteit. Auditlogboeken leggen waarden van voor en na de bewerking vast, evenals de redenen, gebruikers en tijdstempels; rapporten worden gegenereerd op basis van uitgevoerde gegevens, niet op basis van opnieuw berekende spreadsheets. Toegang is gebaseerd op rollen met periodieke controle en MFA-opties ( UAM ).

Continuïteit. Back-up/herstel is getest om volledige gegevens en sporen te herstellen; archiveringsplannen zorgen ervoor dat de leesbaarheid in de loop der tijd behouden blijft. Kortom: V5 operationaliseert Bijlage 11, zodat uitvoering, gegevens en evaluatie op elkaar afgestemd blijven.

15) Labs, Methoden & Data – Bijlage 11 overbruggen met 17025

Waar bijlage 11 van toepassing is op laboratoria, kunt u overlapping verwachten met ISO/IEC 17025 en TMV . LIMS- en instrumentinterfaces moeten de bewijsketen, veilige auditsporen en traceerbare kalibraties waarborgen. Bemonsteringsplannen ( GMP-bemonstering ) en beslissingen over de afhandeling van monsters worden volledig in de juiste context teruggekoppeld naar MES/QMS. Als uw potentie, identificatie of microdata de vrijgave bepalen, vereist bijlage 11 dat de elektronische koppeling robuust en controleerbaar is.

16) Warehousing & Logistiek: Kwaliteit stopt niet bij de haven

Voorraadstatus, verpakken en verzenden , en eenheids-/doos-/pallet-ID's vallen binnen het toepassingsgebied wanneer ze van invloed zijn op de vrijgave. Valideer vervoerderslabels, doosalgoritmes ( GS1-128 ) en verzenddocumenten ( BOL ). Bevestig dat het WMS geen artikelen in de wachtstand kan verzenden en dat de gereedheid voor terugroepacties orders snel kan traceren met een volledige herkomstgeschiedenis.

17) Prestatie, CPV en voortdurende fitheid

Na de livegang moet de geschiktheid van het systeem continu worden gecontroleerd met behulp van CPV- achtige monitoring: transactiesnelheden, foutpercentages, afwijkingen in het auditspoor, beveiligingsincidenten, geslaagde hersteltests en afwijkingen in de time-to-close. Voor processen met statistische controles ( SPC ) moet de Cp/Cpk- waarde op kritieke datastromen worden bijgehouden. Wanneer prestatieafwijkingen of incidentpatronen zich voordoen, moet dit worden beschouwd als een signaal om de controles aan te scherpen of delen van de stack opnieuw te valideren.

18) Veelvoorkomende valkuilen - en de oplossing

• “Config is geen code.” Fout. Beheer recepten, labels, limieten en workflows als gevalideerde, geversieerde objecten onder Document controle.
• Het audittrail is actief maar nog niet gelezen. Plan beoordelingen in, train beoordelaars en neem monsters van risicovolle objecten. Geen beoordeling = geen controle.
• Papieren afdrukken zijn primair. Tenzij gerechtvaardigd, zijn elektronische gegevens primair. Afdrukken behoudt geen metadata en context.
• Zwakke veranderingsimpact. Gebruik risicobeoordelingen die gekoppeld zijn aan specifieke gegevensstromen en faalmodi. Test wat u daadwerkelijk kan schaden.
• Eenmalige validatie. Regelmatige beoordelingen zorgen ervoor dat u eerlijk blijft na updates, incidenten of wijzigingen bij leveranciers.
• Schaduwspreadsheets. Vervangen door gevalideerde functies of onder volledige controle brengen V&V.
• Niet-gekwalificeerde instrumenten die MES voeden. Gegevens blokkeren van apparaten met onbekende toestand.
• Er is geen scheiding van taken. Zorg ervoor dat makers niet zelf goedkeuring kunnen geven. Registreer en controleer eventuele noodoverrides.
• Ongecontroleerde integraties. Behandel interfaces als gevalideerde objecten met versiebeheer en regressietests.

19) Metrieken die inspecteurs overtuigen

• Gevalideerde staatsdekking: % GxP-systemen met actuele URS, risicobeoordeling en recente periodieke beoordeling.
• Toegang tot hygiëne: oude accounts gesloten; bevoorrechte toegang tijdsgebonden; MFA-dekking.
• Audit‑Trail-status: % van de objecten met een hoog risico is volgens schema beoordeeld; afwijkingen opgelost binnen SLA.
• Kwaliteit wijzigen: wijzigingen met impactanalyse en geslaagde regressietesten; ontsnapte defecten per release.
• Continuïteitsgarantie: Hersteltest slagingspercentage; mediane hersteltijd versus RTO; volledigheid van herstelde gegevens.
• Incidenten met betrekking tot gegevensintegriteit: een neerwaartse trend en een afsluiting met effectieve CAPA, niet met de standaardtekst van ‘omgeschoolde gebruiker’.

20) Snelstartchecklist (gebruik deze morgen)

• Maak een lijst van uw top 10 GxP-systemen en geef aan welke primaire records genereren of hosten.
• Bevestig dat de controlepaden zijn ingeschakeld en beoordeeld voor die gegevens; documenteer de laatste beoordeling.
• Voer een toegangsbeoordeling uit; sluit oude accounts; dwing de minste privileges af in UAM.
• Kies één systeem en voer een volledige hersteltest van een representatieve recordset.
• Identificeer één schaduwspreadsheet dat een releasebeslissing aanstuurt; valideer deze of vervang deze.
• Plan periodieke evaluaties met een op risico's gebaseerde diepgang; koppel bevindingen aan CAPA.
• Documenteer interfaceversies en stel regressietests in vóór de volgende release.

21) Doorloop van clausule tot clausule (praktisch overzicht)

Risicomanagement. Gebruik QRM om functies te rangschikken op basis van hun impact; concentreer testen en beheersmaatregelen daar waar de schade reëel is. Koppel risico's aan beheersmaatregelen en aan de reikwijdte van het auditspoor. Houd het register actueel wanneer processen of leveranciers veranderen.

Personeel en training. Koppel competenties aan rollen en systemen via een actuele trainingsmatrix . Het voltooien van een training staat niet gelijk aan competentie; beoordeel de effectiviteit waar het risico hoog is.

Leveranciers en dienstverleners. Voer een proportionele kwalificatie uit van softwareleveranciers, hostingproviders en beheerde services. Kwaliteitsovereenkomsten moeten incident-SLA's, openbaarmaking van kwetsbaarheden en gegevensportabiliteit definiëren.

Validatie. Valideer het beoogde gebruik, niet alleen de functionaliteiten. Maak gebruik van de documentatie van de leverancier, maar genereer uw eigen risicogebaseerde OQ/PQ met traceerbaarheid. Voer een hervalidatie uit na significante wijzigingen in code, configuratie of infrastructuur.

Gegevens. Definieer gegevenseigenaren, classificaties en bewaartermijnen. Beheer stamgegevens (recepten, specificaties, etiketclaims) onder documentbeheer met een effectieve datuminstelling.

Nauwkeurigheidscontroles. Ontwikkel geautomatiseerde verificatie voor kritieke berekeningen (potentieaanpassingen, omrekeningen), met dubbele verificatie waar handmatige invoer nog nodig is.

Gegevensopslag. Zorg voor betrouwbare opslag met integriteitscontroles; bescherm tegen onmerkbare corruptie; test herstelprocedures regelmatig.

Afdrukken. Als u afdrukt, leg dan de context en metadata vast of voeg een verifieerbaar record-ID toe. Het elektronische record blijft primair, tenzij anders is aangegeven.

Auditsporen. Schakel ze in, bepaal de reikwijdte, controleer ze en beveilig ze. Zorg ervoor dat ze onlosmakelijk verbonden zijn met het primaire document en bescherm ze tegen wijzigingen.

Elektronische handtekeningen. Uniek, betekenisgebonden en ondersteund door identiteitsbeheer; voorkomen ongemerkte overdracht.

Batch-/vrijgaveproces. Elektronische goedkeuring moet een volledig en consistent verslag weergeven; blokkeer de vrijgave bij ontbrekende gegevens of openstaande afwijkingen.

Bedrijfscontinuïteit. Schriftelijke, geteste plannen; gedocumenteerde resultaten; verbeteringsacties die tot de afronding worden gevolgd.

Archivering. Zorg voor leesbaarheid en betrouwbaarheid; plan voor wijzigingen in formaat en platform; test het ophalen van gegevens periodiek.

22) Uitgewerkte voorbeelden (waar inspecteurs dol op zijn)

Voorbeeld A—Potentieaanpassing in formulering. Een gevalideerde regel verhoogt de hoeveelheid werkzame stof wanneer de gehaltebepaling onder de streefwaarde ligt. Bewijs hiervoor is onder andere: gecontroleerde formuleversie, TMV voor het berekeningsproces, dubbele verificatie van de gehaltebepalingsgegevens, audit trail van de regeluitvoering en batchresultaat binnen de specificaties. Gerelateerde links: Potentieaanpassing , V&V.

Voorbeeld B—Netto inhoudscontrole met guardbanding. Controleweger integreert met MES; targets en SPC-limieten zijn gecontroleerde objecten; sub-TNE-risico wordt bewaakt; labelclaims halen uitgevoerde netten op. Bewijsmateriaal: apparaat-ID's en status, tarra-tabellen onder documentbeheer en auditspoor van elke targetwijziging. Gerelateerde links: TNE , Controlelimieten.

Voorbeeld C—Elektronische labelgoedkeuring. Labelsjablonen worden geverifieerd en gevalideerd; barcodesymboliek wordt gecontroleerd; UDI- en GTIN-regels worden toegepast; vrijgave wordt geblokkeerd als het sjabloon niet de juiste ingangsdatum voor de betreffende partij heeft. Gerelateerde links: Labelverificatie , GS1 GTIN.

23) Vragen die inspecteurs stellen (bereid nu uw antwoorden voor)

• Laat me de tracematrix voor dit systeem zien: testvereiste voor vrijgave. Waar is de risicobeoordeling?
• Demonstreer een audittrailbeoordeling van een kritisch object. Hoe vaak wordt de beoordeling uitgevoerd en wie ondertekent deze?
• Herstel dit batchrecord, inclusief audit trail, in een sandbox. Hoe lang duurde dit en wat is uw RTO?
• Neem me mee door verandering X: impactanalyse, uitgevoerde tests en productieverificatie.
• Hoe zorg je ervoor dat gebruikers hun eigen werk niet kunnen goedkeuren? Laat me het rolmodel en de laatste toegangsbeoordeling zien.
• Wat gebeurt er als dit instrument niet gekalibreerd is? Bewijs de vergrendeling en de dispositiestroom.

24) Veelgestelde vragen

V1. Is Bijlage 11 hetzelfde als 21 CFR Deel 11?
Nee. Ze overlappen elkaar op het gebied van elektronische gegevens/handtekeningen, maar Bijlage 11 gaat breder over levenscyclus, risicobeheer en bedrijfsvoering. Als u zowel in de EU als in de VS verkoopt, ontwerp dan voor zowel vanaf dag een.

Vraag 2. Moeten COTS-systemen nog steeds gevalideerd worden?
Ja. Leveranciersdocumentatie ondersteunt uw inspanning, maar u moet valideren uw beoogde gebruik, configuratie, rollen, volumes en interfaces in jouw milieu.

Vraag 3. Zijn papieren afdrukken acceptabel als primaire documenten?
Alleen met een goede onderbouwing. Bijlage 11 behandelt elektronische gegevens over het algemeen als primair; bij het printen blijven metadata, handtekeningen of de context van het audittrail niet behouden.

Vraag 4. Vallen spreadsheets onder Bijlage 11?
Als ze GxP-beslissingen beïnvloeden, ja: beheer en valideer ze of migreer de logica naar een gevalideerde systeemfunctie.

Vraag 5. Hoe vaak moeten we toegangs- en controlepaden controleren?
Met een vastgestelde, risicogebaseerde frequentie (vaak maandelijks/driemaandelijks) en ad-hoc na incidenten of grote wijzigingen. Reviews moeten worden gedocumenteerd en steekproefsgewijs worden geanalyseerd op effectiviteit.

Vraag 6. Wat is de snelste manier om de gevalideerde status weer te geven?
Houd een live tracematrix, actuele risicobeoordeling, laatste periodieke controle, bewijs van hersteltests en een ondertekend vrijgavepakket bij, klaar om aan een inspecteur te overhandigen.