Dla inspekcji GMP nie jest przepisany żaden ogólny „pakiet dokumentów”. Oczekiwany jest raczej spójny, oparty na ryzyku i zorientowany na cykl życia system dowodowy, który wykazuje, że instalacje, procesy, procedury czyszczenia, systemy komputerowe i metody badawcze są odpowiednie do przewidzianego celu i pozostają trwale opanowane. Miarodajne są – zależnie od produktu, rynku i organu – w szczególności wytyczne EU-GMP z aneksem 15 i aneksem 11, wytyczne ICH Q8, Q9 i Q10 oraz dla rynku amerykańskiego między innymi 21 CFR Part 211 i Part 11.

Centralnym dokumentem ramowym jest zwykle walidacyjny plan główny. Opisuje on zakres obowiązywania systemu kwalifikacji i walidacji, odpowiedzialności, sposoby postępowania, priorytety oraz powiązanie z SOP, Change Control, zarządzaniem odchyleniami, CAPA i ocenami okresowymi. Decydujące jest, aby poszczególne działania – od wymagania do zwolnienia – dawały się w sposób odtwarzalny odnieść do tego systemu.

Dla instalacji istotnych z punktu widzenia GMP, mediów zasilających i w razie potrzeby systemów zautomatyzowanych konieczne są dokumenty kwalifikacyjne. Typowymi fazami są Design Qualification, Installation Qualification, Operational Qualification i Performance Qualification. Dokumenty muszą zawierać wymagania, kryteria akceptacji, wyniki badań, odchylenia, oceny i formalne zwolnienia. Rozstrzygająca nie jest liczba dokumentów, lecz odtwarzalny dowód, że instalacja działa powtarzalnie w przewidzianym zakresie pracy.

Walidacja procesu musi wykazać, że proces wytwarzania trwale dostarcza produkty w granicach zadanych wymagań jakościowych. Należą do tego definicja krytycznych atrybutów jakości i krytycznych parametrów procesu, oparty na ryzyku plan walidacji, udokumentowane przebiegi walidacyjne oraz statystyczna ocena wyników. Sztywne wymaganie trzech wsadów walidacyjnych nie jest dziś uznawane za ogólnie obowiązujące; zakres i liczba próbek muszą być uzasadnione naukowo i w oparciu o ryzyko. Status walidacji nadzorowany jest przez bieżącą weryfikację procesu z analizami trendów i oceną „State of Control”.

Dla procesów czyszczenia potrzebne są plan walidacji czyszczenia, analizy przypadku najbardziej niekorzystnego, uzasadnione granice akceptacji oraz protokoły i raporty walidacyjne. Granice akceptacji dla pozostałości substancji czynnej wyprowadzane są dziś często toksykologicznie, na przykład na podstawie koncepcji PDE lub HBEL. Należy uwzględnić badania odzysku, przydatność metody analitycznej i w razie potrzeby aspekty mikrobiologiczne. Jakie wymagania obowiązują w danym przypadku, zależy między innymi od rodzaju produktu, otoczenia wytwarzania i ryzyka zanieczyszczenia krzyżowego.

Systemy komputerowe istotne z punktu widzenia GMP muszą być kwalifikowane lub walidowane przez cały swój cykl życia. Typowo wymagane są specyfikacja wymagań, udokumentowana analiza ryzyka, plany i protokoły badań, identyfikowalność między wymaganiami a badaniami oraz raport walidacyjny. Szczególnie krytyczne są integralność danych, koncepcje użytkowników i uprawnień, Audit Trail, podpisy elektroniczne, zabezpieczenie danych, zarządzanie zmianami i oceny okresowe. Aneks 11 wymaga wyraźnie, aby dokumentacja walidacyjna i raporty obejmowały istotne fazy cyklu życia, a zakres był uzasadniony na podstawie oceny ryzyka.

Również metody analityczne muszą być odpowiednie do przewidzianego celu. Zależnie od metody i zastosowania należy badać na przykład specyficzność, precyzję, poprawność, liniowość, zakres pracy, odporność oraz granicę wykrywalności i oznaczalności. Dochodzą do tego testy przydatności układu, a przy zmianie laboratorium lub lokalizacji w razie potrzeby udokumentowane transfery metody.

Oceny ryzyka wiążą wszystkie te elementy. Służą one systematycznej ocenie krytycznych atrybutów jakości, parametrów procesu, funkcji instalacji, ryzyk integralności danych, ryzyk zanieczyszczenia krzyżowego i środków kontrolnych. Odpowiednie mogą być metody takie jak FMEA, HACCP albo analizy ryzyka uzasadnione toksykologicznie. Istotny dla inspekcji jest w szczególności widoczny łańcuch: ocena ryzyka, wyprowadzony z niej zakres walidacji, strategia kontroli, zarządzanie odchyleniami, CAPA i Change Control.

Wszystkie dokumenty muszą odpowiadać zasadom dobrej praktyki dokumentacyjnej: muszą być przypisywalne, czytelne, sporządzane na czas, oryginalne i poprawne, a także pozostawać kompletne, spójne, trwale dostępne i w razie potrzeby udostępniane. Obok dossier walidacyjnych inspektorzy sprawdzają często również Site Master File, SOP, dowody szkoleń, dokumenty konserwacji i kalibracji, procesy Change Control, odchylenia, trendy CAPA oraz nadzór nad dokumentami.

Decydujące dla inspekcji GMP nie jest zatem odosobnione istnienie poszczególnych dokumentów DQ, IQ, OQ czy PQ. Wymagany jest spójny i uzasadniony w oparciu o ryzyko łańcuch dowodowy – od wymagań i ryzyk przez kwalifikację i walidację po bieżący nadzór nad stanem opanowanym.