Freelance IT Quality Assurance Manager (GxP)

Aufgaben und Anforderungen im Überblick

Typische Projektanlässe

• Mehrere parallele Systemeinführungen ohne ausreichende interne QA-Kapazität
• Inspektionsbefund zu Data Integrity oder computergestützten Systemen
• Rückstau bei Periodic Reviews und offenen Changes
• Umstellung der Validierungsrichtlinie auf risikobasierte CSA-Ansätze
• Auslagerung von Infrastruktur oder Wechsel zu SaaS mit neuem Lieferantenmodell
• Vakanz oder Elternzeitvertretung in der IT-QA

Was ein freiberuflicher IT-QA-Manager im GxP-Umfeld leistet

Der IT Quality Assurance Manager ist die unabhängige Instanz, die beurteilt, ob ein computergestütztes System validiert eingesetzt werden darf und ob es im Betrieb in diesem Zustand bleibt. Während der CSV Engineer Validierungsdokumente erstellt, prüft die IT-QA, ob Umfang, Methodik und Evidenz für den Verwendungszweck ausreichen – und übernimmt mit ihrer Unterschrift Verantwortung. Diese Unabhängigkeit ist der Kern der Rolle: Ein IT-QA-Manager, der Dokumente nur formal abzeichnet, schützt weder das Unternehmen noch den Patienten.

Im Freelance-Einsatz arbeiten Sie häufig als Projekt-QA in einer Systemeinführung, als Vertretung der IT-QA mit Verantwortung für ein Systemportfolio oder als Remediation-Lead, der nach Inspektionsbefunden das Qualitätssystem für computergestützte Systeme neu aufstellt. In kleineren Unternehmen bündeln Sie häufig CSV-Methodik, QA-Freigabe und Lieferantenaudits in einer Person.

Ihre Schnittstellen reichen von System Ownern und Business Process Ownern über IT-Betrieb, Informationssicherheit und Datenschutz bis zu Softwarelieferanten, Cloud-Anbietern und der klassischen GMP-QA. Bei Inspektionen sind Sie die Person, die Validierungsstrategie, Systeminventar und Data-Integrity-Konzept erläutert. Eine wichtige Fähigkeit ist, Projekten zu sagen, was wirklich nötig ist – und was nicht. Überregulierung bindet genauso Ressourcen wie fehlende Kontrolle.

Typische IT-QA-Projekte und Deliverables

Die Arbeit der IT-QA erzeugt weniger eigene Dokumente als Bewertungen, Freigaben und Entscheidungen. Dennoch gibt es klar abgrenzbare Ergebnisse, an denen Auftraggeber den Projektbeitrag messen.

• QA-Review von Validierungsdokumenten: Kommentierung und Freigabe von Validierungsplan, URS, Risikobewertung, Testplan, Testprotokollen, Traceability Matrix und Validierungsbericht – mit dokumentierter Begründung bei Ablehnung.
• Change- und Abweichungsbewertung: Einordnung von Changes nach GxP-Auswirkung, Festlegung des Testumfangs, Bewertung von Abweichungen in Tests und im Betrieb.
• Periodic Review: Prüfung, ob ein System weiterhin im validierten Zustand ist – Changes, Incidents, Abweichungen, Benutzerverwaltung, Backup und Restore, Audit-Trail-Reviews, Lieferantenstatus, offene CAPAs.
• Data-Integrity-Assessment: Analyse von Datenflüssen, Rollen und Rechten, Audit-Trail-Konfiguration und Datenarchivierung; Ableitung von Maßnahmen.
• Lieferantenaudit: Auditplan, Durchführung vor Ort oder remote, Bericht mit Bewertung von Qualitätssystem, Entwicklungsprozess, Release-Management und Betrieb.
• Systeminventar und Validierungsmasterplan: Übersicht aller GxP-Systeme mit Klassifizierung, Status und Review-Terminen.
• SOP-Landschaft: Validierungsrichtlinie, Change-Control-SOP für IT, Benutzerverwaltung, Backup, Incident- und Problem-Management im GxP-Kontext.

Bei einem Rückstau von Periodic Reviews entsteht oft ein eigenes Projekt: Priorisierung nach Risiko, schlankes Review-Template, Abarbeitung in Wellen und Überführung in einen nachhaltigen Rhythmus. Ein guter Freelancer hinterlässt dabei nicht nur abgeschlossene Reviews, sondern einen Prozess, den die Organisation ohne externe Unterstützung weiterführen kann.

Normen, Regularien und Guidelines für IT Quality Assurance

Die IT-QA bewegt sich im selben Regelwerk wie die Validierung, bewertet es aber aus Freigabeperspektive. Hinzu kommen Anforderungen an Informationssicherheit, die in der Praxis eng mit GxP-Anforderungen verzahnt sind. In der EU wurden Entwürfe eines überarbeiteten Annex 11 und Kapitels 4 sowie eines neuen Annex 22 zu künstlicher Intelligenz bis Oktober 2025 konsultiert; Stand 2026 gilt der bisherige Annex 11 fort. Für IT-QA-Verantwortliche lohnt es sich, den Entwurf zu kennen, weil er Themen wie Lieferantenmanagement, Cloud-Betrieb, Sicherheit und Audit-Trail-Review deutlich ausführlicher behandelt.

ISO/IEC 27001 ist kein GxP-Regelwerk, wird aber bei Lieferantenaudits und in der Bewertung von Cloud-Anbietern häufig herangezogen. Ein Zertifikat ersetzt nicht die GxP-spezifische Bewertung, liefert aber Evidenz zu Sicherheitsprozessen, die in die Lieferantenbewertung einfließen kann.

Qualifikation und Erfahrung, die Auftraggeber erwarten

Für IT-QA-Rollen erwarten Auftraggeber in der Regel mindestens fünf Jahre Erfahrung mit computergestützten Systemen im GxP-Umfeld, davon einen erheblichen Teil in der Validierung. Viele IT-QA-Manager haben selbst jahrelang als CSV Engineer gearbeitet, bevor sie in die Freigaberolle gewechselt sind – das ist hilfreich, weil sie realistisch einschätzen können, was ein Projekt leisten kann.

• sichere Bewertung von Validierungsstrategien unterschiedlicher Systemklassen,
• Erfahrung mit Lieferantenaudits, idealerweise auch bei Cloud- und SaaS-Anbietern,
• Kenntnis von IT-Service-Management-Prozessen (Incident, Problem, Change, Release) und deren GxP-Einbindung,
• Verständnis von Informationssicherheit und Datenschutz an der Schnittstelle zu GxP,
• Inspektionserfahrung mit Fragen zu Data Integrity und computergestützten Systemen.

Auditorenqualifikationen, etwa nach ISO 19011 oder als Lead Auditor für ISO 9001 oder ISO/IEC 27001, sind nützlich, ersetzen aber keine GxP-Erfahrung. Wichtig ist die persönliche Eignung: Sie müssen Nein sagen können, ohne Projekte zu blockieren, und Entscheidungen so begründen, dass sie in einer Inspektion Bestand haben.

Stundensatz und Konditionen für IT-QA-Manager GxP

Als Orientierung liegen Stundensätze für freiberufliche IT-QA-Manager im GxP-Umfeld etwa zwischen 90 und 120 € netto pro Stunde, ohne Reisekosten. Diese Spanne ist eine Einordnung und keine Erhebung. Am oberen Ende stehen Experten, die nach Inspektionsbefunden Remediation-Programme verantworten, Cloud-Lieferanten auditieren oder Validierungsrichtlinien konzernweit auf risikobasierte Ansätze umstellen. Am unteren Ende stehen Review-Kapazitäten mit begrenzter Entscheidungsbefugnis.

• Freigabeverantwortung: Wer tatsächlich als QA unterschreibt, trägt mehr Verantwortung als ein beratender Reviewer.
• Inspektionsnähe: Kurzfristige Einsätze vor oder nach Inspektionen werden höher bewertet.
• Auditreisen: Lieferantenaudits mit Reisetätigkeit erhöhen Aufwand und Reisekosten.
• Teilzeitmodelle: Periodic-Review-Programme laufen oft mit 50–60 % Auslastung über längere Zeit.

Remote oder vor Ort: Wie IT-QA-Einsätze organisiert sind

IT-QA-Arbeit ist überwiegend hybrid und häufig mit hohem Remote-Anteil möglich. Dokumentenreview, Change-Bewertungen und Periodic Reviews erfolgen in elektronischen Dokumenten- und Change-Systemen, die über gesicherte Zugänge erreichbar sind. Viele Auftraggeber akzeptieren einen Remote-Anteil von 60 bis 80 %.

Präsenz ist sinnvoll bei Workshops zu Validierungsstrategie und Data Integrity, bei Gesprächen mit System Ownern zur Aufnahme von Datenflüssen, bei Inspektionen und deren Vorbereitung sowie bei Lieferantenaudits, die – je nach Risiko – vor Ort oder remote stattfinden. Für Remediation-Programme nach Inspektionsbefunden ist zu Beginn eine stärkere Präsenz üblich, um Vertrauen aufzubauen und Gegebenheiten vor Ort zu verstehen.

Achten Sie bei Remote-Reviews auf die Arbeitsumgebung: Viele Auftraggeber stellen eigene Endgeräte oder virtuelle Desktops bereit, damit GxP-Daten das Unternehmensnetz nicht verlassen. Planen Sie die Einrichtung dieser Zugänge in die ersten Projekttage ein, denn ohne Systemzugriff ist eine Review-Rolle nicht arbeitsfähig.

Vertragsmodelle für IT-QA-Freelancer

IT-QA-Mandate werden häufig über Personaldienstleister oder spezialisierte Compliance-Beratungen vergeben. Weil die Rolle eine formale Freigabeverantwortung im Qualitätssystem des Auftraggebers beinhalten kann, ist die vertragliche Gestaltung besonders sorgfältig zu prüfen: Wer externe Personen als QA benennt, muss deren Qualifikation dokumentieren und ihre Rolle in SOPs abbilden.

Bei Direktverträgen mit klar umrissenen Paketen – Periodic-Review-Programm, Data-Integrity-Assessment, Lieferantenaudit – lässt sich die Selbstständigkeit gut begründen. Langfristige Vertretungen mit fester Einbindung in das QA-Team und Weisungen der QA-Leitung ähneln dagegen Linienfunktionen. Hier ist Arbeitnehmerüberlassung eine Option, mit Equal Pay nach § 8 AÜG und einer Höchstüberlassungsdauer von 18 Monaten. Alle Hinweise sind allgemeine Information und keine Rechtsberatung; im Zweifel schafft eine Statusfeststellung nach § 7a SGB IV Klarheit.

Abgrenzung zu CSV Engineer, Data Integrity Specialist und Informationssicherheit

Der IT-QA-Manager unterscheidet sich vom CSV Engineer durch die Rolle: Der eine erstellt, der andere bewertet und gibt frei. In kleinen Organisationen verschwimmen die Rollen, doch das Prinzip der Unabhängigkeit sollte gewahrt bleiben – dieselbe Person sollte nicht ihre eigenen Dokumente freigeben. Der Data Integrity Specialist fokussiert sich auf Datenflüsse, ALCOA+ und Audit-Trail-Konzepte, oft auch für papierbasierte und hybride Prozesse; der IT-QA-Manager deckt zusätzlich Validierung, Changes und Lieferanten ab.

Gegenüber der Informationssicherheit grenzt sich die Rolle durch den GxP-Fokus ab, überschneidet sich aber bei Zugriffskontrolle, Backup, Incident-Management und Lieferantenbewertung. Für den Einstieg in die Selbstständigkeit eignen sich Fachleute, die mehrere Jahre CSV-Erfahrung mitbringen und bereits Freigabeverantwortung oder Auditverantwortung getragen haben.

Projektbeispiele für IT-QA GxP

Anonymisierte Projektanfragen, wie sie für diese Rolle und verwandte Profile regelmäßig vorkommen.

Häufige Fragen

Allgemeine Information, keine Rechts- oder Steuerberatung. Stundensätze sind Orientierungsspannen, kein Honorarspiegel. Stand: 10/2026.