Wann muss ein ERP validiert werden? GxP und Annex 11

Was validiert werden muss

Für Arzneimittelhersteller entscheidet nicht die Größe des Systems, sondern seine Funktion. Werden Aufzeichnungen mit elektronischen, fotografischen oder anderen Datenverarbeitungssystemen geführt, muss der Hersteller das System nach Art. 9 Abs. 2 der Richtlinie (EU) 2017/1572 zunächst validieren – mit dem Nachweis, dass die Daten während des voraussichtlichen Aufbewahrungszeitraums ordnungsgemäß gespeichert werden. Derselbe Absatz verlangt, dass die Daten leicht in lesbarer Form verfügbar sind und den zuständigen Behörden auf Verlangen vorgelegt werden können, dass sie gegen unbefugten Zugriff, Datenverlust und Beschädigung geschützt sind und dass Prüfpfade (Audit Trails) geführt werden.

Der EU-GMP-Leitfaden setzt das mit Annex 11 um. Nach seinem Grundsatz gilt er für alle Formen computergestützter Systeme, die Teil einer GMP-Tätigkeit sind; die Anwendung ist zu validieren, die IT-Infrastruktur zu qualifizieren. Wie tief die Prüfung reicht, entscheidet eine begründete und dokumentierte Risikobewertung, die Patientensicherheit, Datenintegrität und Produktqualität einbezieht (Annex 11 Nr. 1, Nr. 4.1). Wird ein System für Aufzeichnungen genutzt, die Qualitätsentscheidungen tragen, sind die Rohdaten festzulegen (Kapitel 4 Nr. 4.1 des EU-GMP-Leitfadens).

In Deutschland gilt die Pflicht doppelt abgesichert: § 10 Abs. 2 Satz 1 AMWHV verlangt, dass ein Datenverarbeitungssystem ausreichend validiert wird, und § 3 Abs. 2 AMWHV erklärt Teil I des EU-GMP-Leitfadens einschließlich seiner Anhänge für die Auslegung der Guten Herstellungspraxis für verbindlich (§ 2 Nr. 3 AMWHV).

Aufzeichnungen auf Papier lösen keine Validierungspflicht aus: Art. 9 Abs. 2 der Richtlinie (EU) 2017/1572 gilt nach seinem Wortlaut nur für Daten, die mit elektronischen, fotografischen oder anderen Datenverarbeitungssystemen aufgezeichnet werden. Wer ausschließlich schriftlich dokumentiert, fällt nicht darunter.

Für ein System, das ohne Validierung in Betrieb ist, nennt Teil II Nr. 5.42 des EU-GMP-Leitfadens die nachträgliche Validierung, wenn geeignete Unterlagen vorhanden sind; diese Nummer gilt für Wirkstoffe im Anwendungsbereich des Teils II, also für Ausgangsstoffe von Humanarzneimitteln. Für Wirkstoffe von Tierarzneimitteln enthält Art. 20 Abs. 3 der Durchführungsverordnung (EU) 2025/2154 dieselbe Möglichkeit ab 16. Juli 2026.

Wen die Pflicht trifft und wen nicht

Adressat ist der Hersteller oder Einführer, dessen Tätigkeit nach Art. 40 der Richtlinie 2001/83/EG erlaubnispflichtig ist (Art. 1 der Richtlinie (EU) 2017/1572). In Deutschland braucht für die Herstellung der Inhaber eine Erlaubnis nach § 13 AMG; für die gewerbs- oder berufsmäßige Einfuhr aus Staaten, die nicht Mitgliedstaaten der Europäischen Union oder andere Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum sind, braucht der Einführer eine Erlaubnis nach § 72 Abs. 1 AMG. Auch Auftraggeber und Auftragnehmer trifft es: Verträge müssen die Verantwortlichkeiten abgrenzen, und der Auftragnehmer unterwirft sich den Inspektionen (Art. 12 der Richtlinie; Annex 11 Nr. 3.1).

Die Pflicht endet nicht an der Systemgrenze. Prüfungsrelevant ist, ob eine Funktion eine GMP-Tätigkeit unterstützt: Chargenführung, Freigabe, Unterschrift, Prüfpfad. Wo das nicht der Fall ist, greift Annex 11 nicht. Für Tierarzneimittel sagt Anhang IV Teil I der Durchführungsverordnung (EU) 2025/2091 das ausdrücklich: Systeme für Personal- oder Geschäftsangelegenheiten, die nicht mit dem pharmazeutischen Qualitätssystem zusammenhängen, fallen nicht unter die Anforderungen.

Zwei Gegenbeispiele. Ein Lohnfertiger lagert losweise den Wirkstoff eines Kunden und bucht jede Charge im ERP: Wareneingang, Verbrauch und Versand sind GMP-relevante Aufzeichnungen, das System ist zu validieren. Ein Handelsbetrieb ohne Arzneimittel, Wirkstoffe oder Medizinprodukte führt dieselbe ERP-Funktion, aber ohne GMP-Tätigkeit; er unterliegt Annex 11 nicht. Wer Arzneimittel nur großhändisch vertreibt, fällt unter die Gute Vertriebspraxis; dieser Artikel behandelt sie nicht.

Die Richtlinie ist nach dem Hinweis im Amtsblatt für den Europäischen Wirtschaftsraum von Bedeutung. Für Betriebe in der Schweiz gilt das schweizerische Heilmittelrecht; dieser Artikel behandelt es nicht.

Entscheidungstabelle: Produktart und Regelwerk

Die Tabelle ordnet die Produktarten dem geltenden Regelwerk zu. Sie ersetzt nicht die Prüfung, welche Funktionen im Einzelfall GMP-relevant sind.

Produkt oder Tätigkeit	Regelwerk	Validierung des ERP?	Grundlage
Humanarzneimittel ohne Arzneimittel für neuartige Therapien: Herstellung und Einfuhr mit Erlaubnis	EU-GMP-Leitfaden Teil I mit Annex 11; Richtlinie (EU) 2017/1572	Ja	Art. 9 Abs. 2 der Richtlinie (EU) 2017/1572; Annex 11 Grundsatz und Nr. 4
Arzneimittel für neuartige Therapien	EU-GMP-Leitfaden Teil IV; Richtlinie (EU) 2017/1572, Art. 3 Abs. 2	Ja; Leitfaden Teil IV	Art. 3 Abs. 2 der Richtlinie (EU) 2017/1572; Teil IV Nr. 10.13 Buchst. b mit Fußnote 17
Prüfpräparate für klinische Prüfungen am Menschen	Delegierte Verordnung (EU) 2017/1569	Ja	Art. 8 Abs. 4 und 5 der Delegierten Verordnung (EU) 2017/1569
Wirkstoffe (API) für Humanarzneimittel	EU-GMP-Leitfaden Teil II (August 2014)	Ja	Teil II Nr. 5.40 bis 5.49
Tierarzneimittel	Durchführungsverordnung (EU) 2025/2091	Ja	Anhang IV Teil II Nr. 1, Teil III und IV
Wirkstoffe (API) für Tierarzneimittel	Durchführungsverordnung (EU) 2025/2154 (in Anwendung seit 16. Juli 2026)	Ja	Art. 20 und Art. 77 der Durchführungsverordnung (EU) 2025/2154
Medizinprodukte	Verordnung (EU) 2017/745	Nicht nach Annex 11; QM-System verlangt, jedoch nicht für Prüfprodukte	Art. 10 Abs. 9 (nur für Hersteller von Produkten, bei denen es sich nicht um Prüfprodukte handelt); Bewertung nach dem gewählten Konformitätsverfahren (Art. 52): Anhang IX Kapitel I Nr. 2.2 und 2.3 für die Klassen IIa, IIb und III, daneben Alternativen nach Art. 52 Abs. 3, 4 und 6; Produkte der Klasse I, ausgenommen Sonderanfertigungen, Prüfprodukte und die Sonderfälle des Art. 52 Abs. 7, ohne Beteiligung der benannten Stelle, in diesen Sonderfällen begrenzt beteiligt
In-vitro-Diagnostika	Verordnung (EU) 2017/746	Nicht nach Annex 11; QM-System verlangt, jedoch nicht für Produkte für Leistungsstudien	Art. 10 Abs. 8 (nur für Hersteller von Produkten, bei denen es sich nicht um Produkte für Leistungsstudien handelt)
Großhandel und Vertrieb ohne Herstellung	Gute Vertriebspraxis	Nicht Gegenstand dieses Artikels	–
Handel, Handwerk, Dienstleistung ohne GxP-Tätigkeit	–	Nein	Annex 11 gilt nur für GMP-Tätigkeiten

Die drei Funktionen Charge, Freigabe und Unterschrift

Die zweite Tabelle übersetzt die Anforderungen in ERP-Funktionen. Die Spalte Prüfaufwand ist unsere Einschätzung, keine Vorgabe des EU-Rechts; verbindlich ist die Risikobewertung nach Annex 11 Nr. 1.

ERP-Funktion	Was die Regel verlangt	Nachweis	Prüfaufwand (unsere Einschätzung)
Chargenführung: Charge je Wareneingang, Verbrauch und Versand	Rückverfolgung des Werdegangs jeder Charge (Art. 9 Abs. 1 der Richtlinie (EU) 2017/1572); richtige und sichere Verarbeitung, zusätzliche Prüfung kritischer manueller Eingaben, Schutz der gespeicherten Daten (Annex 11 Nr. 5 bis 7)	Anwenderanforderung, Testfälle mit geteilter und vertauschter Charge, Nachweis der Lesbarkeit über die Aufbewahrungsfrist	hoch: mehrere Verarbeitungsstufen, Datenflüsse und Schnittstellen betroffen
Freigabe einer Charge zum Inverkehrbringen	Annex 11 Nr. 15 verlangt, dass das System nur die dazu befugte Person (Qualified Person) freigeben lässt und sie mit dem Vorgang aufzeichnet; in Deutschland ist das die sachkundige Person nach § 14 AMG, deren Freigabe § 16 Abs. 1 AMWHV regelt	Rollen- und Rechtekonzept, Testfall „Freigabe ohne Rolle nicht möglich“, Ausdruck des Freigabeprotokolls mit Kennzeichnung nachträglicher Änderungen (Annex 11 Nr. 8.2)	hoch: Freigabe ist die Entscheidung, die Qualitätsdaten trägt
Unterschrift und Namenswiedergabe	Die eigenhändige Unterschrift kann durch Namenswiedergabe ersetzt werden, wenn nur befugte Personen bestätigen (§ 10 Abs. 2 Satz 4 AMWHV); elektronische Signaturen müssen dauerhaft mit dem Datensatz verknüpft sein und Zeit und Datum tragen (Annex 11 Nr. 14)	Signaturkonfiguration, Test der Verknüpfung, Sperre nach Entzug der Berechtigung	mittel: Konfiguration und ein belastbarer Testfall
Änderungsprotokoll und Zugriffsrechte	Nach Art. 9 Abs. 2 der Richtlinie (EU) 2017/1572 sind für elektronisch gespeicherte GMP-Daten Prüfpfade (Audit Trails) zu führen; nach Annex 11 Nr. 9 ist der systemgenerierte Prüfpfad für alle GMP-relevanten Änderungen und Löschungen risikobasiert einzurichten, die Gründe für Änderung und Löschung sind zu dokumentieren, und die Prüfpfade sind regelmäßig durchzusehen. Aufzeichnung von Erteilung, Änderung und Entzug von Zugangsrechten (Nr. 12.3, Nr. 12.4)	Audit-Trail-Konzept, Stichprobe einer Änderung, Verfahren zur regelmäßigen Durchsicht	mittel: hängt davon ab, ob das System den Prüfpfad selbst führt

Wie Chargenführung und Chargenprotokoll im ERP aufgebaut werden, steht in Chargenverwaltung im ERP einrichten und in Chargenfertigung und Rezeptur im ERP.

Die Mindestdokumentation

Diese Unterlagen gehören zu einer Validierung nach Annex 11. Die Nummern verweisen auf die Stellen des Anhangs.

• Systemverzeichnis aller relevanten Systeme mit ihrer GMP-Funktion; für kritische Systeme zusätzlich eine Systembeschreibung mit physischen und logischen Vorkehrungen, Datenflüssen, Schnittstellen, Hardware- und Software-Voraussetzungen und Sicherheitsmaßnahmen (Nr. 4.3).
• Risikobewertung, die Umfang der Validierung und der Datenintegritätskontrollen begründet (Nr. 1).
• Anwenderanforderung (User Requirements Specification) mit Rückverfolgbarkeit über den gesamten Lebenszyklus (Nr. 4.4).
• Validierungsplan mit Standards, Protokollen und Abnahmekriterien, begründet aus der Risikobewertung, sowie Validierungsbericht über die relevanten Lebenszyklusschritte (Nr. 4.1), einschließlich Änderungskontrolle und Abweichungsberichten (Nr. 4.2).
• Testnachweise mit Systemparametergrenzen, Datengrenzen und Fehlerbehandlung; bei automatisierten Testwerkzeugen eine dokumentierte Bewertung ihrer Eignung (Nr. 4.7).
• Lieferantenbewertung, risikobasiert auch ein Audit, und schriftliche Vereinbarungen mit Dritten, die installieren, konfigurieren, validieren, warten, ändern oder Daten verarbeiten (Nr. 3.1, Nr. 3.2, Nr. 4.5).
• Nachweis, dass bei einer Datenübernahme in ein anderes Format oder System die Daten in Wert und Bedeutung unverändert bleiben (Nr. 4.8).
• Verfahren zur Änderungs- und Konfigurationskontrolle (Nr. 10).
• Nachweis über Sicherung und Wiederherstellung (Nr. 7.2) und über die Lesbarkeit der archivierten Daten (Nr. 17).
• Berechtigungs- und Rollenkonzept mit Aufzeichnung der Erteilung, Änderung und des Entzugs von Zugangsrechten sowie der Identität der Anwender einschließlich Datum und Uhrzeit (Nr. 12.1, Nr. 12.3, Nr. 12.4).
• Verfahren für Vorfälle (Nr. 13), für den Systemausfall (Nr. 16) und für die regelmäßige Bewertung des Validierungsstatus (Nr. 11).
• Schulungsnachweise für Anwender und Systembetreuung (Nr. 2; § 4 Abs. 1 AMWHV).

Seit wann die Pflichten gelten

Annex 11 gilt in der Revision vom Januar 2011; das Dokument nennt als Termin für die Anwendung den 30. Juni 2011. Die Richtlinie (EU) 2017/1572 trat am zwanzigsten Tag nach ihrer Veröffentlichung vom 16. September 2017 in Kraft, also am 6. Oktober 2017 (Art. 17). Sie gilt ab dem Geltungsbeginn der Verordnung (EU) Nr. 536/2014 und hat die Richtlinie 2003/94/EG abgelöst, auf die der Kopf des Annex 11 noch verweist (Art. 15, Art. 16, Erwägungsgrund 2).

In Deutschland ist die AMWHV vom 3. November 2006 (BGBl. I S. 2523) in der Fassung ihrer letzten Änderung durch Artikel 2 Absatz 5 des Gesetzes vom 12. Mai 2026 (BGBl. 2026 I Nr. 143) maßgeblich. Für Tierarzneimittel gilt Anhang IV der Durchführungsverordnung (EU) 2025/2091 seit dem 16. Juli 2026 (Art. 46); für Wirkstoffe, die als Ausgangsstoffe für Tierarzneimittel verwendet werden, gilt Art. 20 der Durchführungsverordnung (EU) 2025/2154 seit dem 16. Juli 2026 (Art. 77).

Was bei einer Kontrolle passiert

Die Mitgliedstaaten gewährleisten durch wiederholte Inspektionen, dass Hersteller die Grundsätze und Leitlinien der Guten Herstellungspraxis einhalten (Art. 3 Abs. 1 der Richtlinie (EU) 2017/1572 mit Verweis auf Art. 111 Abs. 1a der Richtlinie 2001/83/EG). Annex 11 verlangt, dass Qualitätssystem- und Auditinformationen zu Lieferanten und Softwareentwicklern den Inspektoren auf Verlangen vorgelegt werden können (Nr. 3.4) und dass ein aktuelles Systemverzeichnis vorliegt (Nr. 4.3).

In Deutschland unterliegen Betriebe, in denen Aufzeichnungen über Herstellung, Prüfung, Lagerung oder Inverkehrbringen aufbewahrt werden, der Überwachung (AMG § 64 Abs. 1 Nr. 6); die Behörde trifft die Anordnungen, die festgestellte Verstöße beseitigen und künftige verhüten (AMG § 69 Abs. 1 Satz 1). Für die in § 42 AMWHV aufgeführten Ordnungswidrigkeiten sieht § 97 Abs. 3 AMG eine Geldbuße bis zu 25.000 Euro vor; die unterlassene Validierung nach § 10 Abs. 2 AMWHV nennt die Aufzählung des § 42 AMWHV nicht.

Medizinprodukte: Was stattdessen gilt

Für Hersteller von Medizinprodukten und In-vitro-Diagnostika gilt ein anderer Rahmen: Die Verordnung (EU) 2017/745 verlangt von Herstellern von Produkten, bei denen es sich nicht um Prüfprodukte handelt, ein dokumentiertes QM-System (Art. 10 Abs. 9); wie es bewertet wird, richtet sich nach dem Konformitätsverfahren, das der Hersteller nach Art. 52 wählt. Anhang IX Kapitel I sieht für die Klassen IIa, IIb und III die Bewertung des QM-Systems durch die benannte Stelle vor (Nr. 2.2 und das Audit nach Nr. 2.3); Art. 52 Abs. 3 und 4 lassen für die Klassen III und IIb stattdessen Anhang X in Kombination mit Anhang XI zu, Art. 52 Abs. 6 für die Klasse IIa die technische Dokumentation nach den Anhängen II und III in Kombination mit Anhang XI Abschnitt 10 oder 18. Produkte der Klasse I, die weder Sonderanfertigung noch Prüfprodukt sind, erklärt der Hersteller selbst als konform (Art. 52 Abs. 7); bei Produkten, die in sterilem Zustand in Verkehr gebracht werden, bei Produkten mit Messfunktion und bei wiederverwendbaren chirurgischen Instrumenten wendet er die Verfahren nach Anhang IX Kapitel I und III oder Anhang XI Teil A an, und die Beteiligung der benannten Stelle ist auf die mit der Sterilität, der Messfunktion oder der Wiederverwendung zusammenhängenden Aspekte begrenzt (Art. 52 Abs. 7 Buchst. a bis c). Für In-vitro-Diagnostika verlangt Art. 10 Abs. 8 der Verordnung (EU) 2017/746 das QM-System ebenfalls, jedoch nicht von Herstellern von Produkten für Leistungsstudien. Eine dem Annex 11 entsprechende Vorschrift über die Validierung computergestützter Systeme enthält die Verordnung (EU) 2017/745 nicht.

Das ERP bleibt deshalb nicht ungeprüft: Soweit die Verordnung ein QM-System verlangt, ist Gegenstand der Konformitätsbewertung, welche Aufzeichnungen es verlangt und wie sie gelenkt werden – im Verfahren nach Anhang IX bei den Klassen IIa, IIb und III im Audit der benannten Stelle (Kapitel I Nr. 2.3), bei Produkten der Klasse I, die weder Sonderanfertigung noch Prüfprodukt sind, in der Verantwortung des Herstellers (Art. 52 Abs. 7), bei in sterilem Zustand in Verkehr gebrachten Produkten, Produkten mit Messfunktion und wiederverwendbaren chirurgischen Instrumenten mit begrenzter Beteiligung der benannten Stelle. Die Anforderungen an das Produkt selbst – bei Produkten mit Software oder Produkten in Form von Software einschließlich Verifizierung und Validierung (Anhang I Nr. 17.2) – betreffen die Produktsoftware, nicht das ERP.

Wenn Sie in die USA liefern: 21 CFR Part 11

Für die USA gilt ein eigener Rahmen. 21 CFR Part 11 gilt seit August 1997 und erfasst Aufzeichnungen in elektronischer Form, die nach Aufzeichnungspflichten der FDA-Regelungen erstellt, geändert, gepflegt, archiviert, abgerufen oder übermittelt werden (§ 11.1 Buchst. b). Die FDA legt den Anwendungsbereich eng aus: Treten elektronische Aufzeichnungen an die Stelle von Papieraufzeichnungen, die eine FDA-Regelung verlangt, gilt Part 11; erzeugt der Computer dagegen nur Papierausdrucke, die die Vorgaben der Aufzeichnungspflicht erfüllen und auf die sich der Betrieb für seine regulierten Tätigkeiten stützt, sieht die Leitlinie der FDA zu Anwendungsbereich und Auslegung von Part 11 vom August 2003 darin keine Verwendung elektronischer Aufzeichnungen anstelle von Papieraufzeichnungen. Stützt sich der Betrieb trotz des Ausdrucks auf die elektronische Aufzeichnung, kann Part 11 nach derselben Leitlinie doch greifen.

Enthalten sind zwei Ebenen. § 11.10 Buchst. a verlangt die Validierung des Systems, Buchst. e zeitgestempelte Prüfpfade und Buchst. b vollständige Kopien in lesbarer und elektronischer Form. Für die Buchstaben a bis c, e und k Nr. 2 kündigt die Leitlinie von 2003 Ermessensspielraum bei der Durchsetzung an; verlangt bleiben die Kontrollen nach § 11.10 Buchst. d und f bis k Nr. 1, die entsprechenden Kontrollen für offene Systeme nach § 11.30 und alle Vorschriften zu elektronischen Signaturen (§§ 11.50, 11.70, 11.100, 11.200, 11.300). Signatur und Datensatz müssen unlösbar verknüpft sein, die Signatur muss Name, Datum, Uhrzeit und Bedeutung tragen, und der Betrieb muss der FDA vor oder bei der Verwendung erklären, dass die elektronischen Signaturen in seinem System als rechtlich bindendes Äquivalent der traditionellen handschriftlichen Unterschrift bestimmt sind (§ 11.100 Buchst. c). Systeme, Kontrollen und die zugehörige Dokumentation müssen für die Inspektion verfügbar sein (§ 11.1 Buchst. e).

Für Medizinprodukte hat die FDA die CGMP-Anforderungen mit Wirkung vom 2. Februar 2026 neu gefasst: 21 CFR Part 820 verweist seither auf ISO 13485:2016; die Norm bindet damit über das US-Regelwerk, nicht als EU-Recht. Die Leitlinie von 2003 verweist für Systeme von Medizinprodukte-Herstellern auf die daneben geltenden Anforderungen der Produktregelungen und nennt dafür die Validierung automatisierter Prozesse nach 21 CFR 820.70(i) in der damaligen Fassung; in der seit 2. Februar 2026 geltenden Fassung des Part 820 ist diese Nummer nicht mehr enthalten – die Subparts C bis O sind dort ohne Anforderungen geführt, und die Lenkung von Aufzeichnungen regelt § 820.35.

Leitfäden ohne Gesetzeskraft

Zwei weitere Dokumente sind keine Rechtsakte: Der ISPE-Leitfaden GAMP 5 (2. Auflage) beschreibt ein risikobasiertes Vorgehen für validierte Systeme; er bindet nur, wenn ein Betrieb ihn in seinem QM-System oder vertraglich verbindlich macht. Die PIC/S-Guidance PI 011-3 (2007) richtet sich an Inspektorate. Beide ersetzen weder Art. 9 Abs. 2 der Richtlinie (EU) 2017/1572 noch Annex 11.

Checkliste für Ihren Betrieb

• Stellen Sie fest, welche ERP-Funktionen GMP-relevante Aufzeichnungen erzeugen, und führen Sie sie in einem Systemverzeichnis mit ihrer GMP-Funktion (Annex 11 Nr. 4.3).
• Schreiben Sie für jede dieser Funktionen die Anwenderanforderung auf und begründen Sie Prüfungstiefe und Datenintegritätskontrollen mit einer dokumentierten Risikobewertung (Nr. 1, Nr. 4.4).
• Prüfen Sie vor der Freigabe des Systems die Freigabe- und Signaturwege: Wer darf freigeben, wer darf bestätigen, und zeichnet das System Person, Zeitpunkt und Bedeutung auf (Nr. 14, Nr. 15; § 10 Abs. 2 Satz 4 AMWHV).
• Führen Sie für elektronisch gespeicherte GMP-Aufzeichnungen einen Prüfpfad (Art. 9 Abs. 2 der Richtlinie (EU) 2017/1572); richten Sie nach Annex 11 Nr. 9 den systemgenerierten Prüfpfad für GMP-relevante Änderungen und Löschungen risikobasiert ein, dokumentieren Sie die Gründe und legen Sie fest, wer die Prüfpfade wie oft durchsieht.
• Belegen Sie Sicherung, Wiederherstellung und Lesbarkeit über die gesamte Aufbewahrungsfrist (Nr. 7.2, Nr. 17) und grenzen Sie die Aufbewahrung nach Art. 9 Abs. 1 der Richtlinie (EU) 2017/1572 zu den steuer- und handelsrechtlichen Fristen ab.
• Halten Sie Lieferantenunterlagen, Ihre Lieferantenbewertung und die Vereinbarungen mit Dritten für den Inspektionsfall bereit (Nr. 3.1 bis 3.4) und regeln Sie Änderungs- und Konfigurationskontrolle schriftlich (Nr. 10).
• Prüfen Sie die Einrichtung von Rollen und Berechtigungen mit einem eigenen Testfall; für den laufenden Betrieb siehe Benutzerverwaltung im ERP.