# CRO Sponsor Oversight: Wie Sponsoren die Aufsicht über ausgelagerte Studienaufgaben sicherstellen

> Sponsor Oversight von CROs: ICH E6(R3), EU-Verordnung 536/2014, 21 CFR 312.52, TORO, Oversight-Plan, KPIs, Audits, Inspektionsbefunde und Praxisempfehlungen für kleine Sponsoren. Stand November 2026.

- Quelle: https://info-pharma.de/cro-sponsor-oversight/
- Sprache: Deutsch
- Stand: 2026-11-06
- Bereich: Startseite › Outsourcing/Dezentralisierung › CRO Sponsor Oversight
- English version: https://info-pharma.de/en/cro-sponsor-oversight/index.html.md

---

*Stand: 5. November 2026*

**Kurzfassung:** Ein Sponsor darf Studienaufgaben an eine CRO auslagern, die Letztverantwortung bleibt aber bei ihm. Das legen ICH E6(R3), Art. 71 der EU-Verordnung 536/2014 und 21 CFR 312.52 übereinstimmend fest[1][2][3]. Inspektoren verlangen deshalb nicht nur einen Vertrag, sondern belegbare, risikobasierte Aufsicht während der gesamten Studie[4]. Im EMA-Jahresbericht 2024 wurden 52,8 % aller Major- und Critical-Befunde dem Sponsor zugeordnet, der CRO dagegen nur 1,5 %[10].

## 1. Was bedeutet Sponsor Oversight?

Sponsor Oversight umfasst alle Maßnahmen, mit denen ein Sponsor sicherstellt und nachweist, dass ausgelagerte Studienaufgaben GCP-konform und protokollgerecht erfüllt werden. ICH E6(R3) widmet der Sponsoraufsicht einen eigenen Abschnitt 3.9. Danach müssen die Aufsichtsmaßnahmen „fit for purpose“ sein und sich nach der Komplexität und den Risiken der Studie richten. Die Letztverantwortung bleibt beim Sponsor (3.6.6)[1]. E6(R3) spricht allgemein von „Service Providern“. Die CRO ist ein Beispiel dafür[5].

**Delegation und Übertragung von Verpflichtungen:** In der EU *delegiert* der Sponsor Aufgaben. Nach Art. 71 der Verordnung 536/2014 lässt das seine Verantwortung unberührt[2]. In den USA erlaubt 21 CFR 312.52 dagegen die *Übertragung* von Verpflichtungen auf eine CRO, die dann für diese Pflichten derselben behördlichen Verfolgung unterliegt wie ein Sponsor. Jede Übertragung muss schriftlich beschrieben sein. Nicht beschriebene Pflichten gelten als nicht übertragen[3]. Auch nach einer Übertragung bleibt der Sponsor für die Aufsicht verantwortlich[1].

## 2. Rechtlicher Rahmen

**ICH E6(R3):** Vereinbarungen mit Dienstleistern sind vor Beginn der Tätigkeit zu dokumentieren (3.6.1). Was nicht ausdrücklich übertragen ist, bleibt beim Sponsor (3.6.4). Der Sponsor wählt den Dienstleister aus und beurteilt seine Eignung (3.6.7). Er braucht Zugang zu dessen SOPs und Leistungskennzahlen (3.6.8), und seine Aufsicht erstreckt sich auch auf Subunternehmer (3.6.9). Das Qualitätsmanagement folgt dem risikobasierten Zyklus aus Abschnitt 3.10[1]. In der EU gelten Principles und Annex 1 seit dem 23. Juli 2025[6]. Die FDA hat E6(R3) im September 2025 als finale Guidance veröffentlicht[7]. Mehr dazu in unserem Beitrag zu [GCP](https://info-pharma.de/gcp/).

**EU-Verordnung 536/2014:** Für die Sponsoraufsicht sind mehrere Artikel relevant[2]:

- Art. 71: Delegation von Aufgaben
- Art. 52: Meldung schwerwiegender Verstöße innerhalb von 7 Tagen
- Art. 58: Archivierung des Trial Master File für mindestens 25 Jahre
- Art. 74: gesetzlicher Vertreter in der Union für Sponsoren ohne Sitz in der EU

**21 CFR 312:** 312.52 regelt die Übertragung von Pflichten. 312.50 bis 312.59 beschreiben die allgemeinen Sponsorpflichten, darunter das Monitoring (312.56)[8]. Wie streng die FDA 312.52 auslegt, zeigt der Warning Letter an Verdure Sciences vom 10. November 2025: Vertrag und Work Order bezeichneten den Dienstleister nur als „Service Provider“ und beschrieben keine übertragenen Pflichten. Damit blieben alle Sponsorpflichten beim Auftraggeber[9].

**Aussagen von EMA und MHRA:** Die MHRA betont, dass sich Oversight nicht in der initialen Lieferantenbewertung erschöpft, sondern während der gesamten Studie nachzuweisen ist[4]. Die EMA nennt in ihrem Jahresbericht 2024 als typische Befunde unter anderem eine unzureichend dokumentierte Qualifizierung und Aufsicht von Dritten und fehlende Audits von Partnern und Dienstleistern[10].

## 3. Auswahl und Qualifizierung von CROs

Die Qualifizierung beginnt vor der Beauftragung und richtet sich nach dem Risiko der ausgelagerten Tätigkeiten. Die MHRA nennt als mögliche Formen[4]:

- Fragebogen
- Prüfung der SOPs und des Qualitätsmanagementsystems
- Besuch vor Ort
- Audit

Entscheidend ist eine dokumentierte Entscheidung des Sponsors, die Bewertung darf kein bloßes Formularausfüllen sein. Ein Labor, das Proben für den primären Endpunkt analysiert, ist zum Beispiel höher einzustufen als eines, das nur explorative Analysen liefert[4].

Bewertet werden üblicherweise:

- Qualitätsmanagementsystem
- Erfahrung in Indikation und Region
- Inspektionshistorie
- Personal und Schulung
- validierte Systeme
- Kapazität

**Subunternehmer:** Der Sponsor muss alle Subunternehmer der CRO kennen und ihrem Einsatz zustimmen. Die MHRA beobachtet, dass dies häufig über dreiseitige Vereinbarungen geregelt wird. Delegiert der Sponsor die Aufsicht über Subunternehmer an die CRO, muss er robuste Aufsichtsmechanismen bei der CRO und einen klaren Eskalationsweg sicherstellen[4].

## 4. Vertragliche Grundlagen

**Dienstleistungsvertrag:** Der Vertrag muss vor Beginn der Tätigkeit stehen[1]. Er sollte festhalten, dass Protokoll und Vorschriften Vorrang vor internen Verfahren der CRO haben. Die MHRA stellt bei Inspektionen häufig fest, dass zentrale gesetzliche Pflichten in Verträgen fehlen, etwa die Meldung dringender Sicherheitsmaßnahmen und schwerwiegender Verstöße[4].

**TORO bzw. Aufgabenmatrix:** Der Begriff „Transfer of Regulatory Obligations“ (TORO) stammt aus der Praxis. Er bezeichnet die schriftliche Zuordnung jeder Sponsorpflicht, die 21 CFR 312.52 verlangt[3]. In der EU erfüllt eine Aufgaben- oder Verantwortlichkeitsmatrix dieselbe Funktion für die Delegation.

**Qualitätsvereinbarung:** Sie regelt:

- anzuwendende SOPs
- Meldewege und Fristen
- Umgang mit Abweichungen und CAPA
- Audit- und Inspektionsrechte
- Einsatz von Subunternehmern

**Zugriffsrechte:** Der Sponsor braucht Zugang zu Daten, Systemen und zum TMF. Die EMA nennt einen unzureichenden direkten Zugang zur Studiendokumentation ausdrücklich als Befund[10]. Zur TMF-Struktur siehe [TMF und eTMF](https://info-pharma.de/tmf-etmf/). Für die Systeme, die eine CRO betreibt, gelten die Validierungsanforderungen aus unserem Beitrag [Computer System Validation](https://info-pharma.de/computer-system-validation/).

## 5. Operative Aufsicht

**Oversight-Plan und Kennzahlen:** Ein Oversight-Plan legt fest, welche Aktivitäten der Sponsor mit welchen Kennzahlen, Schwellenwerten und Eskalationswegen überwacht. Key Performance Indicators messen die Leistung der CRO, etwa Fristen für Monitoring-Berichte oder die Bearbeitungszeit von Queries. Key Risk Indicators signalisieren Risiken auf Ebene der Prüfzentren. E6(R3) definiert KRIs nicht, verlangt aber Zugang zu Leistungskennzahlen (3.6.8) und vorab festgelegte „acceptable ranges“ wie Quality Tolerance Limits (3.10.1.3)[1]. Die FDA-Guidance zum risikobasierten Monitoring und die ergänzenden Questions and Answers von 2023 empfehlen, die Risikobewertung zu dokumentieren und im Studienverlauf zu aktualisieren[12][13]. Die EMA hat diesen Ansatz bereits 2013 beschrieben[14].

**Governance und Eskalation:** Meetings sollten eine klare Agenda und Protokolle haben, in denen Maßnahmen mit Verantwortlichen und Fristen festgehalten werden. Die MHRA schildert einen Fall, in dem ein nicht umgesetzter Punkt aus einem Meeting zu einer tödlichen Überdosierung führte[4]. Bei möglichen schwerwiegenden Verstößen beginnt die Meldefrist, sobald irgendjemand, der im Auftrag des Sponsors handelt, das Problem erkennt. Das gilt ausdrücklich auch für Dienstleister[4].

**Audits, TMF-Oversight, CAPA:** Audits können vor der Auswahl, während der Studie und an deren Ende stattfinden, studienspezifisch oder prozessbezogen[4]. Der Sponsor sollte eine eigene Oversight-Akte führen. Die MHRA hat beobachtet, dass Oversight-Nachweise am Studienende beim Zusammenführen mit dem TMF der CRO verloren gingen, sodass sich die Aufsicht nicht mehr rekonstruieren ließ[4]. Abweichungen sind mit Ursachenanalyse, CAPA und einer Prüfung der Wirksamkeit abzuschließen[15].

**Oversight-Instrumente und Inspektionsnachweise**

| Oversight-Instrument | Zweck | Nachweis für die Inspektion |
| --- | --- | --- |
| Qualifizierung (Fragebogen, Audit) | Eignung vor Beauftragung belegen | Bewertungsbericht mit dokumentierter Entscheidung |
| Vertrag, TORO/Aufgabenmatrix | Pflichten eindeutig zuordnen | Unterschriebene Fassungen aller Versionen |
| Qualitätsvereinbarung | SOPs, Meldewege und Auditrechte regeln | Gültige, freigegebene Vereinbarung |
| Oversight-Plan | Aufsicht risikobasiert planen | Versionierter Plan mit Begründung |
| KPIs/KRIs | Leistung und Risiken messen | Berichte mit Trendauswertung und Folgemaßnahmen |
| Governance-Meetings | Entscheidungen steuern | Protokolle mit Maßnahmen, Verantwortlichen und Fristen |
| Dokumentenreview | Qualität der CRO-Arbeit prüfen | Geprüfte Monitoring-Berichte, Pläne, Abweichungslisten |
| Co-Monitoring | Monitoring-Qualität bewerten | Eigener Besuchsbericht des Sponsors |
| Audits während der Studie | Unabhängige Prüfung | Auditplan, -berichte, CAPA |
| TMF-Oversight | Vollständigkeit sichern | QC-Ergebnisse, Oversight-Akte |
| Eskalation, CAPA | Probleme beheben | Eskalationsprotokolle, Wirksamkeitsprüfung |
| Subunternehmer-Aufsicht | Kette der Verantwortung schließen | Zustimmung des Sponsors, Bewertung durch die CRO |

Das FDA Compliance Program 7348.810 (Fassung vom 15. September 2021) weist Inspektoren an, alle Fassungen von Verträgen, Oversight-Plänen und Meeting-Protokollen anzufordern[11][15].

## 6. Typische Inspektionsbefunde zu mangelnder Sponsoraufsicht

**EMA:** Im Jahresbericht 2024 der GCP IWG führten 67 Inspektionen zu 335 Major- und Critical-Befunden. Davon entfielen 152 auf 18 Inspektionen bei Sponsoren. Nach Verantwortlichkeit wurden dem Sponsor 177 Befunde zugeordnet (52,8 %), darunter 9 von 11 Critical-Befunden (81,8 %). Auf die CRO entfielen 5 Befunde (1,5 %)[10]. Eine peer-reviewte Analyse gemeinsamer FDA-EMA-Inspektionen zeigt: Bei Sponsor- und CRO-Inspektionen war für die FDA das Trial Management der häufigste Befundbereich, für die EMA die Dokumentation einschließlich TMF[22].

**MHRA:** Der Metrics-Bericht 2018/2019 nennt unter anderem fehlende wirksame Sponsor-QC eines eTMF sowie fehlende angemessene Aufsicht und ungeeignete Systeme beim Sponsor[17]. Für 2019/2020 berichtet die ECA in ihrer Zusammenfassung des MHRA-Berichts: Bei nicht-kommerziellen Sponsoren gab es 4 Critical-Befunde, unter anderem zur Sponsoraufsicht. Bei kommerziellen Sponsoren gab es ebenfalls 4 Critical-Befunde, alle zur Pharmakovigilanz[18]. In einem Fallbeispiel konnte ein Sponsor ohne Oversight-Akte seine Aufsicht nicht belegen, und die CRO meldete SUSARs verspätet[16][15].

**FDA BIMO:** Neben dem Fall Verdure Sciences[9] zeigt der Warning Letter an Applied Therapeutics (27. November 2024), dass der Einsatz eines Dienstleisters die Verantwortung des Sponsors nicht mindert. Ein Dienstleister hatte nach Ankündigung der Inspektion eCOA-Daten einschließlich der Audit Trails für 47 Teilnehmende gelöscht[19].

## 7. Praxisempfehlungen für kleine Sponsoren

- Vor Studienbeginn eine Aufgabenmatrix bzw. ein TORO erstellen, das jede Pflicht zuordnet, und Unklarheiten nicht stehen lassen[3][9].
- Oversight risikobasiert auf wenige kritische Bereiche konzentrieren: Safety Reporting, primärer Endpunkt, Datenmanagement, TMF[4].
- Eine eigene Oversight-Akte von Anfang an im eigenen Zugriff führen[4].
- In Verträgen Meldepflichten für schwerwiegende Verstöße und dringende Sicherheitsmaßnahmen, Zugang zu Systemen und TMF sowie die Zustimmungspflicht für Subunternehmer verankern[4][10].
- Den Aufwand gering halten, wobei Softwarelösungen die Oversight heute stark vereinfachen und handhabbar machen, etwa Supplier- bzw. Vendor-Management-Lösungen oder Systeme, die diese Funktionen integriert haben[21].
- Für das Vereinigte Königreich die MHRA-Erwartung einer dokumentierten E6(R3)-Gap-Analyse berücksichtigen[20].

## FAQ

### Was bedeutet Sponsor Oversight?

Die risikobasierte, dokumentierte Aufsicht des Sponsors über alle ausgelagerten Studienaufgaben über die gesamte Studiendauer (ICH E6(R3) 3.9)[1].

### Ist der Sponsor verantwortlich, wenn die CRO Fehler macht?

Ja. Die Letztverantwortung bleibt beim Sponsor (E6(R3) 3.6.6, Art. 71 der Verordnung 536/2014)[1][2]. In den USA haftet die CRO zusätzlich für Pflichten, die ihr schriftlich übertragen wurden (21 CFR 312.52)[3].

### Was gehört in einen Oversight-Plan?

Die überwachten Aktivitäten, KPIs und KRIs mit Schwellenwerten, Häufigkeit und Form der Reviews, Governance-Meetings, Eskalationswege, Audit- und Co-Monitoring-Planung sowie die Aufsicht über Subunternehmer[4].

### Was ist ein TORO?

Ein „Transfer of Regulatory Obligations“, also das schriftliche Dokument, das nach 21 CFR 312.52 beschreibt, welche Sponsorpflichten auf die CRO übergehen. Nicht aufgeführte Pflichten gelten als nicht übertragen[3].

### Wie oft sollte ein Sponsor seine CRO auditieren?

Eine feste Frequenz schreibt keine Vorschrift vor. Die MHRA empfiehlt eine risikobasierte Planung mit Audits vor der Auswahl, während der Studie und an deren Ende, je nach Kritikalität der ausgelagerten Tätigkeiten[4]. Fehlende Audits von Dienstleistern sind ein dokumentierter EMA-Befund[10].

## Literaturverzeichnis

1. EMA: ICH E6(R3) Guideline for good clinical practice (GCP), Step 5. https://www.ema.europa.eu/en/documents/scientific-guideline/ich-e6-r3-guideline-good-clinical-practice-gcp-step-5_en.pdf (abgerufen am 05.11.2026)
2. Verordnung (EU) Nr. 536/2014 über klinische Prüfungen mit Humanarzneimitteln (konsolidierte Fassung). https://eur-lex.europa.eu/eli/reg/2014/536/2022-12-05/deu (abgerufen am 05.11.2026)
3. eCFR: 21 CFR 312.52 – Transfer of obligations to a contract research organization. https://www.ecfr.gov/current/title-21/chapter-I/subchapter-D/part-312/subpart-D/section-312.52 (abgerufen am 05.11.2026)
4. MHRA Inspectorate Blog: Sponsor Oversight – Part 1 (26.07.2018). https://mhrainspectorate.blog.gov.uk/2018/07/26/sponsor-oversight-part-1/ (abgerufen am 05.11.2026)
5. MHRA Inspectorate Blog: ICH E6 (R3) Good Clinical Practice (26.05.2023). https://mhrainspectorate.blog.gov.uk/2023/05/26/ich-e6-r3-good-clinical-practice/ (abgerufen am 05.11.2026)
6. Europäische Kommission, ACT EU: Good clinical practice modernisation. https://accelerating-clinical-trials.europa.eu/our-work/good-clinical-practice-modernisation_en (abgerufen am 05.11.2026)
7. FDA: E6(R3) Good Clinical Practice (GCP), Guidance for Industry. https://www.fda.gov/regulatory-information/search-fda-guidance-documents/e6r3-good-clinical-practice-gcp (abgerufen am 05.11.2026)
8. eCFR: 21 CFR Part 312, Subpart D – Responsibilities of Sponsors and Investigators. https://www.ecfr.gov/current/title-21/chapter-I/subchapter-D/part-312/subpart-D (abgerufen am 05.11.2026)
9. FDA: Warning Letter Verdure Sciences, Inc., MARCS-CMS 717259 (10.11.2025). https://www.fda.gov/inspections-compliance-enforcement-and-criminal-investigations/warning-letters/verdure-sciences-inc-717259-11102025 (abgerufen am 05.11.2026)
10. EMA: Annual Report of the GCP Inspectors’ Working Group 2024 (EMA/INS/GCP/37608/2025). https://www.ema.europa.eu/en/documents/report/annual-report-good-clinical-practice-inspectors-working-group-2024_en.pdf (abgerufen am 05.11.2026)
11. FDA: Compliance Program 7348.810, Sponsors and Contract Research Organizations (15.09.2021). https://www.fda.gov/media/75916/download (abgerufen am 05.11.2026)
12. FDA: Oversight of Clinical Investigations – A Risk-Based Approach to Monitoring (2013). https://www.fda.gov/media/116754/download (abgerufen am 05.11.2026)
13. FDA: A Risk-Based Approach to Monitoring of Clinical Investigations – Questions and Answers (April 2023). https://www.fda.gov/media/121479/download (abgerufen am 05.11.2026)
14. EMA: Reflection paper on risk based quality management in clinical trials (2013). https://www.ema.europa.eu/en/documents/scientific-guideline/reflection-paper-risk-based-quality-management-clinical-trials_en.pdf (abgerufen am 05.11.2026)
15. Docuply: ICH E6(R3) Inspection Readiness: Wie sich Sponsoren auf eine GCP-Inspektion vorbereiten (aktualisiert 30.10.2026). https://docuply.io/ich-e6-r3-inspection-readiness-sponsoren/ (abgerufen am 05.11.2026)
16. MHRA Inspectorate Blog: Sponsor Oversight – Part 2 (25.09.2018). https://mhrainspectorate.blog.gov.uk/2018/09/25/sponsor-oversight-part-2 (abgerufen am 05.11.2026)
17. MHRA: GCP Inspections Metrics Report, 1 April 2018 – 31 March 2019 (12.02.2021). https://assets.publishing.service.gov.uk/media/602a8e3cd3bf7f03190cbe43/GCP_INSPECTIONS_METRICS_2018-2019_final_12-02-21.pdf (abgerufen am 05.11.2026)
18. ECA Academy: MHRA’s GCP Inspection Metrics (Zusammenfassung des MHRA-Berichts 2019/2020). https://www.gmp-compliance.org/gmp-news/mhras-gcp-inspection-metrics (abgerufen am 05.11.2026)
19. FDA: Warning Letter Applied Therapeutics, Inc., MARCS-CMS 696833 (datiert 27.11.2024). https://www.fda.gov/inspections-compliance-enforcement-and-criminal-investigations/warning-letters/applied-therapeutics-inc-696833-12032024 (abgerufen am 05.11.2026)
20. MHRA: Clinical trials for medicines: compliance with ICH E6 good clinical practice in the United Kingdom (2026). https://www.gov.uk/guidance/clinical-trials-for-medicines-compliance-with-ich-e6-good-clinical-practice-gcp-in-the-united-kingdom (abgerufen am 05.11.2026)
21. Docuply: Supplier Management. https://docuply.io/supplier-management/ (abgerufen am 05.11.2026)
22. Therapeutic Innovation & Regulatory Science: Descriptive Analysis of Good Clinical Practice Inspection Findings from U.S. Food and Drug Administration and European Medicines Agency (2022). https://link.springer.com/article/10.1007/s43441-022-00417-w (abgerufen am 05.11.2026)