LIMS en ISO 17025: welke eisen stelt de norm aan labsoftware?
ISO/IEC 17025 schrijft niet voor welk softwarepakket je gebruikt. Wel eist de norm dat je data, registraties en traceerbaarheid betrouwbaar zijn, ook als ze digitaal worden opgeslagen. Een LIMS (laboratorium informatiemanagementsysteem) is het programma waarin veel van die gegevens leven: monsters, opdrachten, resultaten en kalibraties. De eisen over technische registraties (onderdeel 7.5) en over het beheer van data en informatie (onderdeel 7.11) bepalen wat je LIMS moet kunnen. De RvA beoordeelt het resultaat, niet het merk. Lees ook de pagina over het kwaliteitssysteem, want het LIMS hoort bij die documentenlijst. Nieuw in het vak? Begin bij de uitleg van ISO 17025.
Een LIMS is geen verplichting. Een goed gevulde spreadsheet kan voldoen als hij beheerd wordt. Het probleem ontstaat zodra meerdere mensen, meerdere versies en meerdere klanten erbij komen.
Wat zegt de norm over data?
De norm heeft twee onderdelen die voor software direct relevant zijn. Onderdeel 7.5 gaat over technische registraties: wat je moet vastleggen om een resultaat te kunnen reconstrueren. Onderdeel 7.11 gaat over het beheer van data en informatie, inclusief computers en systemen. De RvA legt in haar toelichting (INF002) een aantal punten uit:
| Punt | Wat de RvA zegt | Voorbeeld (fictief) |
|---|---|---|
| Standaardsoftware (7.11.2) | Beheer de gebruikte versies en valideer de software passend bij wijzigingen | Een update van het rekenpakket wordt eerst getest met bekende data |
| Interne ICT-dienst (7.11.2) | Ook als een interne ICT-afdeling het systeem beheert, moet het werk voor het laboratorium gevalideerd zijn | De ICT-afdeling van een moederbedrijf host het LIMS |
| Berekeningen en overdracht (7.11.6) | Controleer ze stelselmatig. Dat is niet hetzelfde als periodiek: je mag het risicogericht doen, met oog op de hele soft- en hardwareomgeving | Een steekproef na elke nieuwe koppeling in plaats van één keer per jaar |
| Back-up (8.4.2) | Controleer periodiek of de back-up werkt, inclusief het volledig terugzetten van data | Elk kwartaal een testherstel van de database |
| Cloud (4.2.1) | Het laboratorium blijft verantwoordelijk voor de informatie, ook in een clouddienst | De leverancier host, het laboratorium beheert de toegang |
| Informatiebeveiliging (6.6) | Een ISO 27001-certificaat van de ICT-leverancier dekt niet alle eisen van ISO 17025 | Het laboratorium beoordeelt de leverancier zelf ook |
| Automatisch vrijgeven (7.8.1.1) | Een geautomatiseerde vrijgave van resultaten mag, als je die adequaat en risicogericht inricht | Resultaten binnen een logisch bereik gaan automatisch door |
Een auditor test software door een resultaat terug te volgen. Kun je van het rapport naar de ruwe data, de instrumentinstelling en de kalibratie, zonder handwerk? Dan voldoet het systeem in de praktijk.
Checklist: wat moet je LIMS kunnen?
Gebruik deze lijst als startpunt bij het kiezen of beoordelen van een systeem. Niet elke functie hoeft ingebouwd te zijn. Het gaat erom dat de hele keten aantoonbaar werkt.
| Functie | Waarom het nodig is | Vraag aan de leverancier |
|---|---|---|
| Unieke monsteridentificatie | Herleidbaarheid van monster tot rapport | Hoe wordt een monster uniek gekoppeld aan een opdracht? |
| Audit trail (spoor van wijzigingen) | Wijzigingen in technische registraties moeten naspeurbaar blijven (onderdeel 7.5) | Worden wijzigingen met gebruiker en tijd vastgelegd? |
| Rechten per rol | Alleen bevoegden voeren resultaten in of wijzigen ze | Hoe worden rollen en rechten beheerd? |
| Koppeling met instrumenten | Ruwe data komt direct binnen zonder overtypen | Welke instrumenten en bestandsformaten worden ondersteund? |
| Versiebeheer van methoden | Het systeem gebruikt de juiste versie van een methode | Hoe worden methodeversies vastgelegd? |
| Kalibratiebeheer | Meetmiddelen en referenties zijn gekoppeld aan het resultaat | Kan het systeem kalibratiedata en vervaldatums tonen? |
| Rapportgeneratie | Rapporten bevatten de juiste gegevens en verwijzingen | Kan de rapportage de methode en onzekerheid tonen? |
| Back-up en herstel | Data is niet verloren bij een storing | Hoe vaak, waar, en hoe snel is herstel mogelijk? |
| Export | Je kunt je data overzetten als je van leverancier wisselt | In welk formaat en met welke volledigheid? |
Fictief voorbeeld: een spreadsheet die te groot werd
Een fictief milieulaboratorium werkt met een Excel-bestand per opdracht. In het begin gaat dat goed. Na drie jaar en twaalf medewerkers ontstaat het volgende probleem.
| Situatie (fictief) | Risico volgens de norm | Oplossing |
|---|---|---|
| Analist overtypt meetwaarden uit het instrument | Fouten in het resultaat, niet herleidbaar | Koppeling met het instrument, of verplichte dubbele controle |
| Bestanden in verschillende versies op verschillende laptops | Onduidelijk welke versie geldt | Gecontroleerde map met versiebeheer |
| Wijzigingen zonder spoor | Geen audit trail | Systeem dat wijzigingen logt, met gebruiker en tijd |
| Laptop van een vertrokken medewerker kwijt | Verlies van data | Centrale opslag met back-up |
Het laboratorium kiest uiteindelijk voor een LIMS met een audit trail en koppeling met twee instrumenten. De spreadsheet blijft nog bestaan voor de rekenbladen, maar die staan in een gecontroleerd systeem.
Hoe kies je een LIMS verstandig?
Begin met de eisen, niet met de functielijst van de leverancier. Veel systemen beloven veel, maar de vraag is wat jouw laboratorium nodig heeft.
- Maak een lijst van je geaccrediteerde methoden en je instrumenten.
- Beschrijf per proces waar data ontstaat, wie het invoert, en waar het naartoe gaat.
- Bepaal welke gegevens je moet kunnen reconstrueren, en tot wanneer.
- Vraag leveranciers om een demonstratie met jouw eigen scenario, niet met hun voorbeelddata.
- Laat de keuze en de validatie van het systeem vastleggen in je kwaliteitssysteem.
Die laatste stap is belangrijk. Software die je gebruikt voor resultaten, moet je valideren en beheren (onderdeel 7.11). Rekenmodules horen ook bij je meetonzekerheid, want een rekenfout werkt door in elke uitslag.
Stappenplan voor invoering
Een LIMS invoeren is meer dan installeren. Het raakt je processen, je medewerkers en je kwaliteitssysteem. Een gefaseerde aanpak voorkomt dat je twee systemen tegelijk moet beheren zonder duidelijkheid.
Breng de huidige situatie in kaart
Welke data ontstaat waar, wie voert hem in, en welke registraties bestaan al? Dit is ook het moment om te zien waar je nu al afwijkt van je eigen procedures.
Kies een pilot
Neem één methode of één opdrachttype. Daarmee test je het systeem zonder het hele laboratorium stil te leggen.
Valideer het systeem voor het doel
Test of de berekeningen, de rapportage en de audit trail doen wat je procedure zegt. Leg de testresultaten vast in je kwaliteitssysteem.
Migreer historische data gecontroleerd
Bepaal welke oude data je overzet en welke je bewaart in het oude formaat. Controleer steekproefsgewijs of de overgezette gegevens kloppen.
Train, evalueer en breid uit
Laat medewerkers het systeem gebruiken in de pilot, verbeter de werkinstructies en breid pas daarna uit naar andere methoden.
Audit- en kwaliteitssoftware naast een LIMS
Een LIMS bewaart de labdata: monsters, resultaten en rapporten. Software voor kwaliteitsbeheer doet iets anders. Die beheert documenten, interne audits en corrigerende acties. Veel laboratoria gebruiken allebei, of laten het kwaliteitsdeel in een apart pakket staan.
Voor een eerste aanvraag verlangt de RvA dat je met interne audits hebt bevestigd dat je voor de hele aangevraagde scope aan alle eisen voldoet (INF002, 8.8). Een auditmodule kan het auditplan en de bevindingen vastleggen. Maak er geen vervanging van de checklist van: de software bewaart de uitkomst, de auditor beoordeelt het werk. Ook voor dit pakket gelden de eisen van 7.11 als het resultaten of registraties beheert.
Veelgemaakte fouten
- Software kiezen zonder processen te beschrijven. Het systeem wordt aangepast aan de software, niet andersom.
- Audit trail uitschakelen om het sneller te maken. Daarmee kun je wijzigingen in registraties niet meer naspeuren.
- Geen back-up testen. Een back-up die nooit is teruggezet, is geen back-up.
- Alle data in één gedeelde map. Rechten per rol ontbreken, en je kunt niet aantonen wie wat deed.
Veelgestelde vragen
Is een LIMS verplicht voor ISO 17025? Nee. De norm eist betrouwbare registraties en data, maar schrijft het middel niet voor. Een goed beheerde spreadsheet kan voldoen, zolang hij aan dezelfde eisen voldoet.
Moet de software geaccrediteerd zijn? Software wordt niet zelf geaccrediteerd. Het laboratorium moet aantonen dat de software voor zijn doel geschikt is en correct werkt.
Wat als ik van LIMS wissel? Dan moet je data kunnen exporteren en de historie bewaren. Zorg dat je dat in het contract regelt, niet pas bij het vertrek.
Telt een cloudoplossing anders? De eisen blijven gelijk. Je moet weten waar de data staat, wie er toegang toe heeft en hoe back-ups en herstel zijn geregeld.