PHARMA GMP · CSV · DATA INTEGRITY
GAMP 5 제2판 기반 CSV·데이터 인티그리티 완벽 가이드: 제약 GMP의 URS, IQ/OQ/PQ부터 감사추적·권한관리까지
제약회사 QA·QC·생산 엔지니어·밸리데이션 담당자를 위한 컴퓨터화 시스템 밸리데이션 실무 해설. GAMP 5 2nd Edition의 Critical Thinking과 Agile을 이해하고, 전자기록의 신뢰성을 설계·시험·운영 단계에서 입증하는 방법을 정리한다.
1. CSV와 데이터 인티그리티: 무엇을 입증해야 하는가?
1.1 CSV는 실제 사용 목적에 대한 신뢰의 입증이다
컴퓨터화 시스템 밸리데이션(CSV, Computerized System Validation)은 정의한 사용 목적에 따라 시스템이 신뢰할 수 있게 작동한다는 근거를 확보하고 유지하는 활동이다. 제약 현장에서는 기능의 정상 실행뿐 아니라 잘못된 입력의 차단, 승인 순서의 강제, 데이터 누락의 발견, 기록 변경의 추적과 장애 후 복구까지 고려해야 한다.
예를 들어 LIMS에서 시험 결과가 화면에 표시된다는 사실만으로는 충분하지 않다. 시료와 배치가 정확히 연결되는지, 규격 버전과 계산식이 맞는지, 단위가 일치하는지, 승인되지 않은 결과가 출하 판단에 사용되지 않는지 확인해야 한다. MES 역시 플랫폼 설치 확인과 실제 전자제조기록의 업무 검증을 구분해야 한다.
규제 연결: FDA 의약품 DI 최종 지침의 Section III, Q3은 개별 CGMP 업무 흐름의 사용 목적 검증을 다룬다. EU Annex 11의 Principle은 애플리케이션의 밸리데이션과 IT 인프라의 적격성평가를 구분한다. 짧은 영문 발췌와 번역은 13절의 원문 대조표에서 확인할 수 있다. 출처: FDA DI 지침, EU Annex 11.
1.2 CSV와 DI는 서로 다른 질문에 답한다
CSV는 “이 시스템과 업무가 의도대로 작동하는가?”를 확인한다. 데이터 인티그리티(DI, Data Integrity)는 “이 기록이 실제 활동을 완전하고 정확하게 설명하며, 그 신뢰성이 보존되는가?”를 확인한다. 두 활동은 겹치지만 동일하지 않다. 기능 시험을 통과했더라도 운영자가 원자료를 삭제할 수 있다면 DI 통제에 문제가 남는다.
반대로 접근통제를 강화했더라도 시험 결과 계산식이 잘못되었다면 품질 판단을 신뢰할 수 없다. 따라서 CSV 계획에 DI 요구사항을 넣고, 운영 SOP에 검증 당시의 통제 조건을 유지하도록 설계해야 한다.
1.3 법규·규제 가이드라인·산업 가이드의 성격을 구분한다
| 문서 | 성격 | 현장 적용 관점 |
|---|---|---|
| 21 CFR Part 11 | 미국 전자기록·전자서명 규정 | 해당 전자기록과 전자서명의 적용 범위를 먼저 판단하고, 관련 의약품 CGMP 기록 요건과 연결한다. |
| EU GMP Annex 11 | EU GMP의 컴퓨터화 시스템 관련 가이드라인 | EU GMP 적용 업무에서 시스템 생명주기와 운영 통제를 평가하는 기준으로 사용한다. |
| PIC/S PI 041-1 | GMP/GDP 데이터 관리·무결성에 관한 검사 가이드 | 데이터 거버넌스, 조직문화, 전자·종이 기록과 DI 개선 활동의 점검 관점으로 활용한다. |
| ISPE GAMP 5 제2판 | 산업계의 우수 실무 가이드 | 법규 준수를 지원하는 위험 기반 방법론이다. 개별 요구사항의 법적 근거를 GAMP 자체로 대체하지 않는다. |
문서 성격 확인: eCFR Part 11, European Commission EudraLex Volume 4, PIC/S PI 041-1, ISPE GAMP 소개.
1.4 Part 11 적용과 집행 재량을 혼동하지 않는다
Part 11은 모든 사내 전자파일에 같은 방식으로 적용되는 규정이 아니다. 어떤 규제상 기록을 전자적으로 유지하고 실제 GMP 판단에 사용하는지 문서화해야 한다. 전자자료를 출력한다는 이유만으로 전자 원기록의 중요성이 사라지지도 않는다.
FDA의 2003년 적용범위 지침은 특정 Part 11 요건에 대한 집행 재량을 설명하지만, 기초가 되는 기록 관련 규정인 predicate rules의 준수 의무는 유지된다고 설명한다. 이를 “감사추적이나 밸리데이션을 생략해도 된다”는 포괄적 면제로 해석해서는 안 된다. 적용범위 판단과 데이터 신뢰성 확보는 함께 검토해야 한다. 출처: FDA Part 11 Scope and Application, Sections III.A, III.B, III.C.1–2.
Annex 11 판본 구분: 확인 기준일의 European Commission 공식 Volume 4 목록은 Annex 11을 2011년 개정판으로 표시한다. 2025년에는 개정 초안에 대한 공개 의견수렴이 진행되었다. 본문의 Annex 11 조항 번호는 2011년판 기준이며, 초안의 재편된 번호와 섞어 사용하지 않는다. 출처: 공식 문서 목록, 2025년 공개 의견수렴 안내.
2. GAMP 5 제2판의 주요 변경: Critical Thinking, Agile, 도구와 서비스
2022년 출간된 GAMP 5 제2판은 기존 위험 기반 프레임워크를 유지하면서 현대적 개발 방식과 서비스 환경을 반영한다. ISPE가 강조하는 변화는 전문가의 비판적 사고, 반복·점진적 개발, 공급업체 지식과 증거의 활용, 소프트웨어 도구와 자동화의 확대다. 클라우드와 AI/ML 등 새로운 기술도 다룬다. 출처: ISPE GAMP 5 제2판 공식 소개.
2.1 Critical Thinking: 위험과 증거 사이의 판단을 명확히 한다
현장에서 비판적 사고를 적용하려면 먼저 실패 결과를 구체적으로 정의해야 한다. “LIMS는 중요 시스템이다”라는 문장만으로는 어떤 시험이 필요한지 결정하기 어렵다. “규격 개정 후 구버전 규격으로 적합 판정될 수 있다”처럼 기능·실패·영향을 연결하면 시험과 운영 통제를 정할 수 있다.
시험 범위를 정할 때에는 다음 네 질문을 사용하면 실무적이다. 첫째, 무엇이 실패할 수 있는가? 둘째, 그 실패가 환자·제품·기록에 어떤 영향을 주는가? 셋째, 공급업체 자료나 기존 검증 중 무엇을 신뢰할 수 있는가? 넷째, 현장 구성과 업무에 대해 추가로 확보할 증거는 무엇인가?
실무 적용 예시: 화면의 색상 변경과 배치 합격 판정 계산식 변경을 동일한 시험 수준으로 다루지 않는다. 계산식 변경에는 독립 계산값, 경계조건, 예외 입력, 기존 배치에 대한 영향과 회귀시험이 필요할 수 있다. 색상 변경은 경보 식별이나 상태 인식에 영향을 주는지 확인한 뒤 범위를 결정한다. 두 판단 모두 근거와 승인자를 기록한다.
2.2 Agile: 반복 개발과 GMP 릴리스 통제를 연결한다
Agile 프로젝트에서는 요구사항과 설계가 여러 번 구체화될 수 있다. 이때 문서 이름보다 중요한 것은 특정 릴리스가 어떤 요구사항을 구현했고 어떤 증거로 승인되었는지 재구성할 수 있는가이다. 전자 백로그를 사용한다면 항목 ID, 승인 상태, 변경 이력, 시험 링크와 릴리스 연결이 유지되어야 한다.
팀이 정하는 완료 기준에는 코드 구현 외에도 위험평가 갱신, 필요한 검토, 시험 결과, 결함 처리, 운영 문서 반영을 포함하는 것이 좋다. 개발 환경에서 완료된 기능이 곧 GMP 운영 승인 기능이 되는 것은 아니다. 운영 반영 전에 배포 대상, 구성값, 데이터 전환, 교육, 잔여 위험을 확인한다.
- 사용자 스토리에 업무 목적과 수용기준을 작성한다.
- GMP 영향과 DI 위험을 식별하고 필요한 검증 방법을 정한다.
- 변경된 코드·설정·시험 데이터를 버전과 연결한다.
- 반복 개발 중 시험 결과와 결함을 누적 관리한다.
- 릴리스 단위로 미해결 항목, 회귀시험, 운영 준비 상태를 평가한다.
- QA와 지정 책임자가 승인한 범위만 운영에 반영한다.
2.3 FDS가 불필요해졌다는 해석은 피한다
제2판 공식 목차에서 기존 Appendix D2는 폐기된 부록으로 표시되지만, 이것이 기능 정의나 설계 근거를 없애도 된다는 뜻은 아니다. 요구사항, 구성, 설계와 시험의 관계는 여전히 설명되어야 한다. 독립 FDS 문서, 구성 명세, 관리되는 사용자 스토리 등 어떤 형태가 적합한지는 시스템 복잡성과 회사 절차에 따라 정한다.
특히 맞춤 계산, 복잡한 상태 전이, 다중 인터페이스가 있는 시스템에서는 기능·설계 정보를 분리해 관리하는 편이 검토에 유리할 수 있다. 반면 단순 상용 시스템은 공급업체 기능 설명과 현장 구성 명세를 조합하여 중복을 줄일 수 있다.
2.4 테스트 자동화와 공급업체 증거의 활용
자동화 시험 결과를 검증 증거로 활용하려면 시험 대상 버전, 실행 조건, 기대결과, 실제 결과, 실패 내역을 확인할 수 있어야 한다. 스크립트가 성공 상태를 반환했다는 정보만으로는 계산값의 적합성이나 데이터 누락 여부를 설명하기 어렵다. 시험 도구 자체의 오류 가능성과 결과 저장 방식도 평가한다.
공급업체 시험을 재사용할 때에는 보고서의 존재보다 현장 사용 조건과의 관련성을 검토한다. 공급업체 기본 설치 시험이 고객사의 사용자 권한, 맞춤 보고서, 현장 인터페이스와 승인 업무까지 포함하는지 구분해야 한다.
GAMP 공식 목차의 확인 위치: Section 3.4 및 Appendix M12는 비판적 사고, Appendix D8은 Agile, Appendix D9는 도구, Appendix M11은 인프라, Appendix D1은 요구사항, Appendix D5는 시험 관련 위치다. 본문 해설은 실무 적용 제안이며 유료 가이드 본문을 재현한 것이 아니다. 출처: ISPE 공식 목차.
2.5 CSV와 CSA의 관계 및 제약 분야 적용 범위
CSA는 소프트웨어에 대한 신뢰를 위험에 비례하는 활동과 증거로 확보한다는 관점을 강조한다. 제약회사에서도 이러한 사고방식은 시험 우선순위 설정과 중복 활동 개선에 참고할 수 있다.
다만 FDA의 2026년 2월 3일 CSA 최종 지침은 의료기기 생산 또는 품질경영시스템에 사용하는 소프트웨어가 대상이다. 제약 GMP CSV를 일괄 대체하거나 의약품 기록 요건을 완화하는 근거로 사용해서는 안 된다. 해당 문서의 적용범위는 Section III, 위험 기반 접근은 Section V.A에 제시된다. 출처: FDA CSA 2026 최종 지침.
3. 생명주기 출발점: 시스템 목록, 데이터 흐름, 위험평가
운영·변경·정기평가 → 데이터 이관·시스템 폐기
3.1 시스템 목록을 자산대장보다 넓게 구성한다
컴퓨터화 시스템 목록에는 서버와 패키지 소프트웨어뿐 아니라 장비 내장 소프트웨어, 독립형 분석기기, 제조설비 제어시스템, 전자기록용 스프레드시트, 데이터 수집 서버와 인터페이스 프로그램을 포함해 검토한다. 업무 범위를 확인하지 않은 채 “PC 한 대” 또는 “장비 한 대”로만 등록하면 기록 관리 책임이 빠질 수 있다.
권장 관리 필드는 시스템 ID, 업무 목적, 사용 부서, 공정 책임자, 시스템 책임자, 제품·배치와의 관계, 전자기록 종류, 소프트웨어 버전, 운영 위치, 인터페이스, 공급업체, 검증 상태와 차기 검토 시점이다. 사용하지 않는 기능도 활성화 상태에 따라 GMP 기능에 영향을 줄 수 있으므로 범위 제외 근거를 남긴다.
3.2 데이터 흐름도에서 원자료와 책임 경계를 찾는다
QC 시스템이라면 시료 등록부터 데이터 취득, 재처리, 결과 계산, 검토, 승인, LIMS 전송, 출하 판단, 장기보관까지 연결한다. 생산 시스템이라면 센서·PLC·SCADA·히스토리언·MES·ERP 사이에서 어떤 값이 생성·변환·집계되는지 표시한다.
각 이동 지점에는 원본 위치, 전송 방식, 데이터 소유자, 실패 시 조치와 대사 방법을 적는다. 데이터가 시스템을 옮길 때마다 단위, 자릿수, 시료 식별자, 시각, 승인 상태가 유지되는지 질문해야 한다. 특히 집계값만 전송하는 인터페이스는 상세 원기록이 어디에 남는지 명확해야 한다.
가상의 생산 데이터 흐름: 온도센서 → PLC → SCADA → 히스토리언 → MES 배치 보고서. MES 보고서에는 1분 평균만 표시되고 히스토리언에 상세값이 남는다면, 일시적 온도 이탈의 평가에 어떤 기록을 사용하는지 정의한다. 네트워크 단절 중 버퍼 저장 여부, 재전송 순서, 중복 저장과 시간 불일치를 시험 항목으로 연결한다.
3.3 위험평가는 기능과 데이터별로 구체화한다
위험평가에는 실패 형태, 원인, 제품·환자·데이터 영향, 기존 통제, 필요한 추가 통제, 검증 방법, 잔여 위험과 승인자를 포함하는 것이 유용하다. 점수 체계를 쓰더라도 높은 심각도의 실패가 단순 평균이나 곱셈 결과만으로 낮게 분류되지 않도록 판단 기준을 정한다.
| 기능·데이터 | 실패 시나리오 | 제안 통제 | 확보할 증거 |
|---|---|---|---|
| 시험 규격 버전 | 개정 전 규격으로 결과가 판정됨 | 유효일·버전 통제, 승인 후 적용 | 유효일 전후·과거 시료 재조회 시험 |
| 원자료 저장 | 분석자가 실패 결과를 삭제함 | 삭제 권한 제한, 보존, 감사추적 | 애플리케이션·파일 경로별 삭제 시도 |
| 결과 인터페이스 | 다른 배치로 전송되거나 중복 반영됨 | 식별자 검증, 중복 방지, 대사 | 잘못된 ID·재전송·누락 시험 |
| 전자승인 | 미검토 결과가 승인 상태로 전환됨 | 상태 전이와 권한 분리 | 승인 순서 우회·비인가 승인 시험 |
| 장기보관 데이터 | 업그레이드 후 원자료를 열 수 없음 | 호환성 검토, 이관·조회 검증 | 과거 형식의 대표 자료 재조회 |
3.4 GAMP 소프트웨어 분류는 시험량의 자동 계산표가 아니다
현장에서는 인프라 소프트웨어, 비구성 제품, 구성 제품, 맞춤 애플리케이션이라는 구분을 활용한다. 흔히 Category 1·3·4·5로 설명하지만, 같은 시스템 안에서도 상용 플랫폼과 맞춤 확장이 함께 존재할 수 있다. 적용 중인 정식 가이드와 회사 분류 절차를 기준으로 판단한다.
분류만으로 GMP 영향이나 DI 위험을 결론 내리지 않는다. 단순한 스프레드시트라도 출하 판정 계산을 수행하면 중요한 통제가 필요하다. 복잡한 시스템의 비중요 화면을 핵심 계산 기능과 같은 수준으로 반복 시험할 필요도 없다. 분류와 위험평가를 함께 사용한다.
3.5 책임을 역할 단위로 명확히 한다
- 공정 책임자: 업무 목적, 사용자 요구사항과 운영상 수용기준을 책임진다.
- 시스템 책임자: 구성, 서비스, 유지보수와 시스템 상태를 관리한다.
- QA: GMP 영향, 위험 수용, 일탈 처리와 사용 승인에 대한 품질 감독을 수행한다.
- IT·자동화 담당: 인프라, 접근통제, 백업·복원, 기술적 변경을 수행한다.
- QC·생산 사용자: 실제 업무 시나리오, 예외 처리와 현장 운영의 적합성을 확인한다.
- 공급업체: 계약된 개발·시험·서비스와 증거 제공을 수행하며, 사용자 회사의 책임을 대신하지 않는다.
4. URS·FDS·설계·공급업체 평가: 시험 가능한 요구사항 만들기
4.1 URS는 모호한 준수 선언을 검증 가능한 문장으로 바꾼다
“시스템은 Part 11을 준수해야 한다”는 문장은 상위 목표로는 사용할 수 있지만 개별 시험의 합격 기준으로는 부족하다. 누가 어떤 데이터에 무엇을 할 수 있어야 하는지, 어떤 상황에서 차단·기록·경보가 발생해야 하는지 명확히 해야 한다.
URS에는 고유 ID, 요구사항, 업무 근거, GMP·DI 중요도, 수용기준, 관련 설계와 검증 방법을 연결한다. 구현 방식이 아직 정해지지 않았다면 업무상 필요한 결과를 먼저 작성하고, 특정 제품 기능에 맞춰 사용자 요구를 사후 축소하지 않도록 한다.
| ID | 요구사항 예시 | 수용기준 예시 |
|---|---|---|
| URS-ACC-001 | 시험 수행과 검토·승인 행위는 개인별 계정으로 식별되어야 한다. | 생성·변경·승인 기록에서 개인 ID와 행위 시각을 조회할 수 있다. |
| URS-AT-001 | 중요 결과와 처리방법의 변경은 보호된 감사추적에 남아야 한다. | 변경 대상, 이전·이후 값 또는 동등한 재구성 정보, 사용자, 시각과 사유를 확인한다. |
| URS-DAT-001 | 분석자는 시험 원자료와 관련 이력을 임의 삭제할 수 없어야 한다. | 일반 계정으로 프로그램과 저장 경로에서 삭제를 시도하면 차단된다. |
| URS-INT-001 | 수신 시스템은 잘못된 시료 ID와 중복 결과 전송을 식별해야 한다. | 오류 자료는 판정에 반영되지 않고, 처리 상태와 재처리 이력이 남는다. |
| URS-REC-001 | 승인된 복구 목표에 따라 기록과 관련 메타데이터를 복원할 수 있어야 한다. | 대표 자료를 복원한 뒤 조회·관계·이력·승인 상태를 확인하고 복구 시간을 평가한다. |
4.2 FS·FDS·설계명세는 회사의 정의를 먼저 통일한다
FS는 기능명세, FDS는 기능설계명세라는 의미로 쓰이는 경우가 많지만 회사마다 용어 사용이 다르다. 프로젝트 계획에서 URS·FS·FDS·DS·구성명세의 역할과 승인 관계를 정의해야 한다. 문서 제목만 같고 실제 내용의 책임 범위가 다르면 추적성 검토에 혼선이 생긴다.
기능·설계 정보에는 상태 전이, 권한, 계산 로직, 데이터 구조, 인터페이스 매핑, 오류 처리와 감사추적 구성을 포함할 수 있다. 구성형 제품은 승인한 설정값과 그 값이 요구사항을 충족하는 방식을 관리한다. 맞춤 코드가 있으면 설계 검토, 코드 검토와 개발 시험의 깊이를 별도로 판단한다.
4.3 설계 검토에서 DI 통제의 우회 경로를 찾는다
사용자 화면에서 삭제 버튼을 숨겼더라도 운영체제 파일 권한이나 데이터베이스 권한으로 삭제할 수 있다면 통제가 완결되지 않는다. 검토 범위에는 애플리케이션, 운영체제, 데이터베이스, 원격 접속, 인터페이스와 백업 도구를 포함한다.
승인 후 데이터 변경이 필요할 때에는 이전 승인 상태를 어떻게 처리하는지도 정의한다. 수정된 결과가 기존 승인 표시를 유지하면 검토자가 과거 승인과 현재 내용을 혼동할 수 있다. 재검토·재승인이 필요한 변경과 설명 정보만 보완하는 변경을 구분하고 시험한다.
4.4 공급업체 평가는 실제 제공 서비스에 맞춘다
공급업체의 품질체계, 개발·시험 절차, 변경 통지, 결함 관리, 보안, 원격 유지보수, 지원 종료와 데이터 반환 조건을 검토한다. 인증서가 있다는 이유만으로 고객사의 GMP 사용 목적이 검증되었다고 판단하지 않는다.
공급업체 자료를 재사용하려면 최소한 시험 대상 버전, 시험 환경, 수행 범위, 결과, 결함 처리와 현장 구성 차이를 확인한다. 시험을 반복하지 않기로 했다면 어떤 증거를 검토했고 어떤 위험이 남아 현장에서 추가 확인하는지 문서화한다.
4.5 추적성 매트릭스는 승인 전후의 누락을 찾는 도구다
| 요구사항 | 위험 | 설계·구성 | 검증 증거 | 승인 판단 |
|---|---|---|---|---|
| URS-AT-001 | R-DI-003: 재처리 이력 누락 | CFG-AT-02: 감사추적 및 사유 입력 | OQ-AT-01, OQ-AT-02 | 누락 없음, 일탈 종결 |
| URS-INT-001 | R-INT-002: 중복 결과 반영 | IF-03: 거래 ID와 중복 검사 | OQ-IF-04, PQ-WF-02 | 재전송·대사 결과 수용 |
추적성은 문서 번호를 나열하는 작업으로 끝나지 않는다. 미시험 요구사항, 설계와 다른 구성, 미해결 결함과 변경 후 재시험 필요성을 찾는 데 사용한다. 운영 변경 후에도 현재 승인 상태를 설명할 수 있도록 갱신한다.
관련 조항: Annex 11 §4.4는 사용자 요구사항과 생명주기 추적성, §§3.1–3.4 및 §4.5는 공급업체·서비스와 평가에 관련된다. 위 표와 세부 문서 구성은 이를 현장에 적용하기 위한 작성 제안이다. 출처: EU Annex 11 공식 원문.
5. IQ/OQ/PQ: 설치 확인에서 실제 GMP 업무 검증까지
5.1 단계 이름보다 검증 목적과 범위를 명확히 한다
IQ/OQ/PQ는 제약 현장에서 널리 사용하는 검증 구조다. 다만 모든 소프트웨어에 같은 문서 분량과 동일한 단계 구분을 적용해야 한다는 뜻은 아니다. 위험과 시스템 특성에 따라 활동을 묶거나 공급업체 증거를 활용하되, 설치·기능·실제 업무에 대한 근거가 어디에 있는지 설명할 수 있어야 한다.
| 단계 | 확인 질문 | 대표 시험·확인 항목 | 대표 산출물 |
|---|---|---|---|
| IQ 설치적격성평가 |
승인한 구성으로 설치되었는가? | 버전, 패치, 서버·장비 식별, 데이터베이스, 저장 경로, 네트워크, 설치 설정, 구성 기준선 | 설치 기록, 구성 목록, 설치 확인 결과 |
| OQ 운전적격성평가 |
정상·경계·오류 조건에서 기능과 통제가 작동하는가? | 계산, 권한, 감사추적, 전자서명, 경보, 입력 제한, 인터페이스, 오류 처리 | 기능 시험, 부정 시험, 일탈 및 재시험 기록 |
| PQ 성능적격성평가 |
교육된 사용자가 실제 업무를 수행할 수 있는가? | 시료·배치 등록부터 검토·승인·전송까지의 대표 업무, 교대·예외·복구 시나리오 | 업무 시나리오 결과, 사용자 확인, 운영 준비 평가 |
5.2 시험계획과 수용기준을 실행 전에 정한다
시험계획에는 대상 범위, 역할, 시험 환경, 데이터, 선행조건, 시험 방법, 증거 수준, 일탈 처리와 완료 기준을 포함한다. 시스템이 나온 값을 그대로 기대결과로 적으면 독립적인 검증이 되지 않는다. 계산 기능은 승인한 계산식과 독립 계산값을 기준으로 평가한다.
시험 중 발견한 제품 동작을 사후에 수용기준으로 바꾸어 통과시키지 않도록 한다. 요구사항 자체의 수정이 타당한 경우에는 변경 사유, 영향, 승인과 재시험 필요성을 별도로 남긴다.
5.3 정상 시험에 경계·부정·실패 시험을 더한다
- 경계값: 허용 하한·상한과 바로 안팎의 값, 소수점 처리, 최대 길이, 날짜 경계를 확인한다.
- 잘못된 입력: 빈 필수값, 중복 ID, 잘못된 단위, 비정상 형식과 존재하지 않는 시료를 시험한다.
- 권한 위반: 분석자의 승인, 검토자의 원자료 삭제, 비인가 규격 변경을 시도한다.
- 상태 전이: 미검토 결과 승인, 승인 후 내용 변경, 폐기 시료의 추가 결과 등록을 확인한다.
- 연계 실패: 전송 중단, 중복 메시지, 순서 변경, 일부 성공과 재전송을 시험한다.
- 장애 복구: 저장 중 중단, 서비스 재시작과 복구 후 데이터 일관성을 확인한다.
5.4 감사추적 OQ 시나리오 작성 예시
시험 ID: OQ-AT-001 / 중요 처리방법 변경 추적 확인
선행조건: 승인한 시험 환경, 개인 분석자·검토자 계정, 시험용 원자료와 기존 처리방법을 준비한다. 데이터·설정의 기준 상태를 기록한다.
실행: 허용된 절차에 따라 처리방법을 변경하고 변경 사유를 입력한다. 원자료를 재처리한 뒤 관련 감사추적을 조회한다. 분석자 계정으로 이력을 수정·삭제하거나 기록 기능을 해제할 수 있는지 확인한다.
기대결과: 대상·사용자·시각·변경 내용과 사유가 확인되고, 원자료와 기존 처리 결과의 관계가 유지된다. 일반 사용자는 보호된 이력을 수정·삭제할 수 없다. 권한상 허용되지 않은 설정 변경은 차단된다.
증거: 시험 데이터 ID, 환경·버전, 변경 전후 자료, 감사추적 추출본, 차단 결과, 실제 결과와 수행·검토 기록을 남긴다.
5.5 스크린샷 수보다 증거의 재구성 가능성이 중요하다
중요 계산 기능에서는 화면 캡처 한 장보다 입력 데이터, 승인 계산식, 실제 출력과 비교 결과가 더 직접적인 증거일 수 있다. 권한 시험에서는 사용한 역할과 차단 대상 행위가 명확해야 한다. 인터페이스 시험에서는 송신·수신 건수와 실패·중복 처리 상태를 함께 확보한다.
자동화 시험은 실행 로그와 결과 파일의 추적성을 확보한다. 탐색적 시험을 채택한다면 목적, 범위, 수행자, 환경, 관찰 결과와 발견 결함을 기록한다. “자유롭게 사용했으며 이상 없음”이라는 문장은 검증 범위를 설명하기 어렵다.
5.6 일탈과 결함을 사용 승인에 연결한다
시험 실패는 사실대로 기록하고, 원인이 환경·시험 절차·데이터·제품 결함 중 어디에 있는지 평가한다. 수정 후에는 해당 기능뿐 아니라 관련 기능에 미치는 영향을 고려해 회귀시험 범위를 정한다. 실패 기록을 삭제하거나 성공 결과로 덮어쓰지 않는다.
사용 승인 보고서에는 수행 범위, 시험 요약, 일탈·결함 처리, 추적성, 미해결 항목, 운영 절차와 교육 상태, 잔여 위험을 포함한다. 중요한 DI 통제 실패를 단순 일정 사유로 수용하지 않는다. 조건부 사용이 타당한 경우에도 제한 범위, 보완 통제, 책임자와 종료 조건을 명확히 해야 한다.
관련 조항: Annex 11 §§4.1–4.2는 생명주기 검증 자료와 일탈, §4.7은 시험방법·경계·오류 처리 및 시험 도구의 적절성 평가와 연결된다. 세부 시험 구성은 시스템 위험에 맞게 정한다. 출처: EU Annex 11.
6. ALCOA+ 원칙을 현장 데이터 관리로 구현하는 방법
ALCOA+는 기록의 신뢰성을 검토하는 핵심 속성이다. PIC/S PI 041-1의 §§7.4–7.5는 ALCOA와 추가 속성을 설명한다. 아래 표의 시험·관리 방법은 각 속성을 현장에 적용하기 위한 예시다. 출처: PIC/S PI 041-1.
| 원문 용어 | 한글 의미 | 현장 구현 예시 | 확인할 증거 |
|---|---|---|---|
| Attributable | 귀속성 | 개인 계정, 작업자·장비·시료 식별, 변경자 연결 | 기록에서 수행 개인과 시점을 확인 |
| Legible | 판독성 | 조회 도구, 단위·용어 정의, 읽을 수 있는 출력 | 보관 자료의 실제 열람·해석 결과 |
| Contemporaneous | 동시성 | 발생 시 기록, 자동 취득, 시각 관리 | 이벤트·취득·입력 시각과 지연 설명 |
| Original | 원본성 | 최초 포착 기록과 필요한 메타데이터 유지 | 원자료·이력·결과 간 연결 |
| Accurate | 정확성 | 계산 검증, 입력 확인, 교정·규격 통제 | 독립 계산과 실제 결과의 비교 |
| Complete | 완전성 | 반복·중단·무효 결과와 관련 이력 포함 | 전체 시험 목록과 보고·제외 내역의 대사 |
| Consistent | 일관성 | 시간·순서·버전·식별자 관계 유지 | 다른 시스템 간 사건 순서와 상태 일치 |
| Enduring | 지속성 | 통제된 저장, 매체·형식 관리, 복구 준비 | 손상·노후화에 대한 관리와 복원 결과 |
| Available | 가용성 | 보존기간 동안 권한 있는 조회와 제공 | 대표 과거 자료의 검색·열람·제공 시험 |
6.1 원자료는 최종 보고서보다 넓다
HPLC 분석을 예로 들면 최종 함량값만으로 시험을 충분히 설명하기 어렵다. 원신호, 시료·시퀀스 정보, 취득·처리방법 버전, 적분 조건, 재처리 결과와 관련 이력이 있어야 판단 경로를 재구성할 수 있다. 어떤 자료가 원기록 패키지에 속하는지 시스템별로 정의한다.
특히 “결과가 적합하면 상세자료는 필요 없다”는 관행은 피해야 한다. 결과의 신뢰성은 처리 과정과 기록의 완전성을 함께 확인해야 평가할 수 있다.
6.2 PDF 변환과 동적 전자기록의 보존을 구분한다
정적 PDF는 승인 보고서의 배포와 읽기에 유용하지만, 원자료의 검색·재처리·확대·이력 확인 기능까지 모두 보존하지는 않을 수 있다. 변환본이 어떤 내용을 보존하고 어떤 메타데이터나 상호작용을 잃는지 평가해야 한다.
전자 원자료를 삭제하기 전에는 출력물만으로 기록의 내용과 의미, 필요한 재구성 가능성이 유지되는지 검토한다. 동적 특성이 평가에 필요한 자료는 적절한 전자 형식과 조회 환경을 유지하는 방안을 마련한다.
6.3 재시험·재처리는 원기록과 함께 관리한다
재시험과 재처리는 서로 다른 행위다. 재시험은 새로운 실험·측정을 수행하는 경우이고, 재처리는 이미 취득한 데이터에 다른 처리 조건을 적용하는 경우다. 회사 SOP에서 용어와 승인 조건을 구분하면 조사 범위가 명확해진다.
권장 관리 항목은 시행 사유, 승인 근거, 원결과, 변경된 조건, 모든 관련 결과, 과학적 평가와 최종 판정이다. 무효화된 결과도 조사 및 정당화 자료와 연결한다. 원하는 결과가 나올 때까지 반복한 뒤 최종값만 보고하는 방식은 기록의 완전성을 훼손한다.
6.4 종이·전자 혼합 시스템도 전체 흐름을 관리한다
장비 출력물을 수기로 전사하고 전자파일을 별도로 보관한다면, 출력물·수기 기록·전자 원자료 사이의 식별 관계를 유지해야 한다. 같은 시료를 다른 이름으로 재측정하거나 공식 기록에 들어가지 않은 출력물이 발생할 수 있는지도 확인한다.
통제된 양식 발행, 사용·취소 양식 대사, 장비별 시험 목록, 출력물 식별, 전사 확인과 전자파일 보관을 조합할 수 있다. 통제가 복잡해질수록 데이터 흐름을 단순화하는 개선도 검토한다.
추가 확인 위치: FDA DI 지침 Section III, Q1(b), Q1(d), Q2, Q10, Q14는 메타데이터, 정적·동적 기록, 무효화와 재처리 관련 판단에 참고할 수 있다. PIC/S §7.7은 사본 관련 고려사항, §9.10은 혼합 시스템을 다룬다. 출처: FDA DI 지침, PIC/S PI 041-1.
7. 감사추적 Audit Trail: 기능 활성화부터 검토 효과성까지
7.1 시스템 로그와 GMP 감사추적의 역할을 구분한다
로그인 로그, 애플리케이션 이벤트 로그, 결과 변경 이력, 관리자 설정 로그는 목적과 기록 범위가 다를 수 있다. 로그인 이력이 남는다고 해서 시험방법 변경이나 원자료 삭제가 모두 추적되는 것은 아니다.
시스템별로 로그 종류, 저장 위치, 기록 이벤트, 조회 권한, 변경 가능성, 보존기간과 검토 책임자를 목록화한다. 이후 GMP 중요 활동이 어느 로그에서 확인되는지 연결한다. 기록되지 않는 중요 행위는 기술 개선 또는 보완 통제 대상으로 평가한다.
7.2 감사추적 요구사항을 이벤트별로 정의한다
현장 설계 예시로는 중요 데이터 생성·변경·삭제, 시험방법 변경, 재처리, 결과 상태 변경, 권한 변경과 중요 설정 변경을 검토할 수 있다. 모든 기술 이벤트를 같은 빈도로 읽는 방식보다는 품질 판단에 필요한 사건을 빠짐없이 식별하는 구조가 중요하다.
변경 기록에는 누가, 언제, 무엇을 변경했는지와 필요한 사유를 확인할 수 있어야 한다. 변경 전후 값이 직접 표시되지 않는 구조라면 이전 버전 등 동등한 정보로 사건을 재구성할 수 있는지 평가한다. 이유를 자유 입력하게 했더라도 “수정”, “오류”만 반복된다면 검토자는 변경의 타당성을 판단하기 어렵다.
7.3 검토는 데이터 검토와 시스템 관리 검토로 나눈다
| 검토 유형 | 주요 대상 | 시점 결정 원칙 | 기록 예시 |
|---|---|---|---|
| 시험·배치별 검토 | 결과 변경, 재처리, 중요 삭제·무효화, 승인 관련 이벤트 | 관련 기록 검토와 품질 판단 전에 필요한 범위를 정함 | 대상 ID, 검토 이력, 이상 여부, 조사 연결 |
| 시스템 정기 검토 | 권한·감사추적 설정·시간·관리자 활동 | 위험, 변경 빈도, 자동 경보와 기존 통제를 고려 | 기간, 전체 이벤트 수, 필터 조건, 예외 평가 |
| 이벤트 기반 검토 | 장애, 의심 행위, 중요 변경, 복원 후 상태 | 사건 발생과 영향평가에 따라 수행 | 원인, 영향 범위, 봉쇄·복구·CAPA |
FDA DI 지침의 Section III, Q7–Q8은 감사추적 검토자와 검토 빈도를 다룬다. 관련 CGMP 기록 검토 주기를 따르고, 별도 주기가 규정되지 않은 경우에는 공정과 데이터 위험을 고려해 정하도록 설명한다. 일률적인 “월 1회 검토”만으로 모든 기록의 출하 전 검토를 대신하지 않는다. 출처: FDA DI 최종 지침.
7.4 예외 보고서와 필터도 검증 대상이다
감사추적이 수만 건이라면 예외 보고서와 검색 필터가 유용할 수 있다. 그러나 필터가 중요한 이벤트를 제외하면 검토가 형식적으로 변한다. 이벤트 코드, 기간, 시간대, 사용자, 데이터 ID와 상태 조건을 명확히 정의한다.
검증 시에는 의도적으로 발생시킨 중요 이벤트가 보고서에 포함되는지 확인한다. 기간 경계, 여러 페이지, 최대 출력 건수, 같은 시각의 다중 이벤트, 이름이 바뀐 사용자와 이관된 기록도 고려한다. “이상 없음”은 검토 대상이 완전하게 포함되었다는 근거가 있을 때 의미가 있다.
7.5 감사추적 검토 기록의 권장 필드
- 시스템·버전, 검토 대상 시료·시험·배치 또는 기간
- 조회한 감사추적 종류와 검색·필터 조건
- 검토한 자료의 식별자와 보관 위치
- 주요 변경·재처리·삭제·권한 이벤트의 평가
- 확인한 이상과 관련 일탈·조사 번호
- 제품·데이터 영향과 추가 조치
- 검토자, 검토일과 필요한 승인
핵심 근거: 21 CFR §11.10(e), Annex 11 §9, PIC/S PI 041-1 §9.6. PIC/S의 해당 절은 감사추적 기능과 위험에 따른 검토 범위를 평가하는 데 참고할 수 있다. 출처: 21 CFR §11.10, Annex 11, PIC/S PI 041-1.
8. 사용자 권한관리와 전자서명: 개인 식별과 독립성 확보
8.1 개인 계정과 업무 권한을 연결한다
계정관리에서는 계정의 존재보다 실제 권한이 중요하다. 승인된 역할과 시스템에서 부여된 권한이 일치하는지 확인하고, 화면 권한 외에 운영체제·데이터베이스·공유폴더 접근도 검토한다.
권한 신청서에는 사용자, 부서, 역할, 필요 사유, 교육 상태, 요청·승인·부여·종료일을 포함할 수 있다. 이동·퇴사·휴직·외주 계약 종료가 계정 변경으로 이어지도록 인사 및 협력업체 절차와 연결한다. 과거 기록의 귀속성을 유지하면서 접속을 차단할 수 있어야 한다.
8.2 권한 매트릭스는 이해상충을 드러내야 한다
| 행위 | 분석자 | 검토자 | QA 승인자 | 기술 관리자 |
|---|---|---|---|---|
| 시험 수행·원자료 생성 | 허용 | 업무상 필요 시 별도 정의 | 통상 제한 | 통상 제한 |
| 처리방법 수정 | 승인 절차에 따라 제한 | 업무 분리에 따라 정의 | 통상 직접 수행 제한 | 업무 내용 수정 제한 |
| 자기 수행 결과의 최종 승인 | 제한 | 자기 수행 건 제한 | 승인 범위·독립성 확인 | 제한 |
| 계정·권한 설정 | 제한 | 제한 | 필요한 승인·감독 | 승인된 요청에 따라 수행 |
| 원자료·감사추적 임의 삭제 | 차단 | 차단 | 임의 삭제 차단 | 일상 권한으로 제한하고 불가피한 특권행위 별도 통제 |
8.3 관리자의 기술적 권한도 감독한다
기술 관리자는 복구·유지보수를 위해 강한 권한이 필요할 수 있다. 따라서 “관리자는 신뢰할 수 있으므로 검토 대상이 아니다”라는 접근을 피한다. 일상 업무 계정과 관리자 계정을 구분하고, 특권 사용의 사유·기간·승인·활동 기록을 관리하는 방식이 유용하다.
기록 내용의 책임자와 관리자를 분리하기 어려운 소규모 조직이라면 독립 검토, 중요 설정 변경의 이중 확인, 원격 유지보수의 감독, 삭제·설정 이벤트 경보 등 보완책을 설계한다. 보완책이 기술적 위험을 얼마나 줄이는지 평가하고 필요한 시스템 개선 계획을 유지한다.
8.4 공유·서비스·비상 계정을 구분한다
여러 사람이 같은 계정으로 시험을 수행하거나 검토·승인하면 행위를 개인에게 귀속시키기 어렵다. 서비스 계정은 자동 처리용으로 목적·소유자·접속 방식·비밀정보 관리와 대화형 로그인 제한을 정한다. 사람의 업무 수행을 서비스 계정으로 숨기지 않도록 한다.
비상 계정은 장애나 긴급 복구를 위한 별도 절차로 관리한다. 사용 승인, 사용자의 실제 신원, 활동 로그, 사용 후 검토와 인증정보 교체를 기록할 수 있어야 한다. 읽기 전용 조회 계정의 허용 여부도 수행 가능한 행위와 개인 식별 필요성을 기준으로 판단한다.
8.5 전자서명은 로그인과 구별된다
로그인 기록만으로 특정 결과의 검토·승인이 완료되었다고 판단하지 않는다. 전자서명에는 누가 어떤 기록에 어떤 의미로 서명했는지 명확해야 한다. 서명 당시 기록 버전과 이후 변경의 관계도 확인한다.
검증 예시로는 서명자 표시, 서명 시각, 검토·승인 의미, 서명과 기록의 연결, 타인 인증정보 사용 방지, 변경 후 재승인, 출력·조회 시 서명 정보 표시를 확인할 수 있다. 서명 이미지 파일을 붙이는 기능과 개인별 전자서명 통제를 같은 것으로 보지 않는다.
9. 운영 중 검증 상태 유지: 복원·보관·클라우드·변경·폐기
9.1 백업 성공과 복원 성공은 다르다
백업 작업의 성공 메시지는 기록을 실제로 복구해 사용할 수 있다는 증거와 다르다. 데이터베이스 파일만 복원했을 때 애플리케이션 버전, 인증서, 암호화 키나 첨부파일이 없어 기록을 열 수 없는 경우가 있을 수 있다.
복원시험에는 대표 자료뿐 아니라 감사추적, 전자서명 연결, 설정·방법 파일, 인터페이스 상태와 필요한 접근권한을 포함해 범위를 정한다. 복원 후 내용 조회, 관계의 일관성, 건수 대사와 업무 재개 가능성을 확인한다.
복구시점목표(RPO)와 복구시간목표(RTO)는 업무 위험에 맞춰 승인한다. 어떤 시스템에도 같은 시간을 적용하기보다 데이터 손실 허용 범위, 수기 대체 가능성, 생산 중단 영향과 품질 검토 요구를 함께 고려한다. 수치와 시험 주기는 회사가 정할 기준이며 보편적인 법정 고정값으로 제시하지 않는다.
9.2 운영 복구용 백업과 장기보관 목적을 구분한다
이 글에서 운영 복구용 백업은 장애 복구를 위한 복사본, 장기보관은 보존기간 동안 기록을 읽고 설명할 수 있게 유지하는 관리 활동을 뜻한다. 실제 규제 문서에서 사용하는 backup·archive 용어와 회사 용어가 다를 수 있으므로 SOP에 정의를 명확히 한다.
장기보관 계획에는 자료 종류, 보존기간의 근거, 보관 시작점, 접근권한, 조회 도구, 형식·매체 노후화, 서비스 종료와 폐기 승인을 포함한다. 모든 GMP 기록을 일률적으로 같은 기간 보관한다고 정하지 말고 제품·기록·시장별 적용 요건을 대조한다.
9.3 데이터 이관은 건수뿐 아니라 의미를 확인한다
시스템 교체 시에는 원본·대상 데이터의 필드 매핑, 단위, 날짜·시간대, 소수점, 사용자와 승인 상태를 검토한다. 단순 건수 일치만으로 데이터의 의미가 유지되었다고 볼 수 없다. 한 레코드의 결과가 다른 시료로 연결되어도 전체 건수는 같을 수 있다.
이관 계획에는 대상 범위, 제외 기준, 변환 규칙, 실패 처리, 대사, 예외 조사와 롤백을 포함한다. 자동 대사는 넓은 범위를 확인하는 데 유용하며, 중요 관계와 실제 조회는 대표 사례 및 위험이 높은 사례를 직접 확인한다. 제외된 자료의 위치와 보관 책임도 남긴다.
9.4 클라우드·SaaS는 책임 분담을 문서화한다
클라우드 이용 시 공급업체가 플랫폼을 관리하더라도 고객사의 업무 구성과 GMP 사용 목적에 대한 책임은 남는다. 인증·보안 보고서는 공급업체 평가의 자료가 될 수 있지만 현장 검증을 모두 대신하지는 않는다.
- 변경: 업데이트 통지, 시험 환경 제공, 영향평가와 긴급 수정 절차를 정한다.
- 데이터: 소유권, 저장·처리 위치, 하위 서비스, 접근과 반출 형식을 확인한다.
- 복구: 백업 범위, 복구 지원, 목표와 시험 증거의 제공 범위를 합의한다.
- 보안: 특권 접근, 원격 지원, 사고 통지와 활동 기록을 확인한다.
- 종료: 계약 종료 시 데이터·메타데이터·감사추적 반환과 조회 가능성을 시험한다.
- 감사: 필요한 품질·기술 자료에 대한 접근권과 규제 실사 지원을 정한다.
9.5 변경관리에서 설정·업무·보안의 영향을 함께 본다
운영체제 패치, 데이터베이스 변경, 사용자 인증 방식, 보고서 계산식, 인터페이스, 경보 한계값과 SaaS 업데이트는 영향평가 대상이 될 수 있다. 모든 변경에 전체 재검증을 반복하기보다 어떤 요구사항과 통제에 영향을 주는지 판단한다.
권장 흐름은 변경 요청 → GMP·DI·보안 영향평가 → 시험·롤백 계획 → 승인 → 실행·시험 → 운영 확인 → 문서 갱신·종결이다. 긴급 변경도 사후 평가·시험과 문서 정리를 누락하지 않도록 별도 절차를 둔다.
9.6 정기평가는 누적된 변화를 검토한다
정기평가에서는 최근 변경, 장애·일탈, 미해결 결함, 감사추적 검토, 사용자 권한, 복원시험, 공급업체 지원 상태와 현재 검증 범위를 함께 확인한다. 최초 검증 이후 작은 변경이 누적되어 실제 운영 구성이 승인 문서와 달라지지 않았는지 살펴본다.
평가 결과에는 유지 가능 여부와 개선 항목, 책임자·기한을 명시한다. 정기평가는 자동으로 전체 재검증을 뜻하지 않지만, 중요한 기능·사용 목적·통제에 변화가 확인되면 추가 검증을 결정할 수 있다.
9.7 폐기 단계에서도 기록을 사용할 수 있어야 한다
시스템 사용 중단 전에 필요한 기록이 모두 보존되었는지 확인한다. 과거 버전 조회 환경, 라이선스, 암호화 키와 인증정보를 없애면 데이터 파일만 남아 있어도 실질적으로 사용할 수 없을 수 있다.
폐기 계획에는 데이터 동결, 이관 또는 보관, 대사, 조회 검증, 잔여 서비스 종료, 접근권한 회수와 폐기 승인을 포함한다. 시스템 폐기와 GMP 기록 폐기는 별도 결정으로 관리한다.
관련 조항: Annex 11 §4.8은 이관, §7.2는 백업·복원 확인, §10은 변경, §11은 정기평가, §§16–17은 연속성과 보관에 연결된다. PIC/S §§9.4, 9.9도 데이터 전송·보관 검토에 참고할 수 있다. 위 운영 구성은 현장 적용 예시다. 출처: EU Annex 11, PIC/S PI 041-1.
10. 제약 현장 DI 감사 지적 시나리오와 대응 전략
아래 사례는 실무 교육을 위해 구성한 가상 시나리오다. 특정 회사의 실제 Warning Letter나 지적 빈도 통계를 인용한 것이 아니다. 대응은 발견 사실, 환자·제품 영향과 자료 확보 가능성에 맞춰 조정해야 한다.
10.1 공용 분석자 계정과 과도한 관리자 권한
관찰 상황: 모든 분석자가 같은 계정을 사용하며 시험자료 삭제와 방법 변경이 가능하다. 작업대장에는 개인 이름이 적혀 있지만 전자기록과의 연결이 확실하지 않다.
핵심 문제: 실제 수행자 식별과 권한 분리가 불충분하다. 작업대장만으로 과거의 모든 전자행위를 소급 확정하기 어렵다.
초기 대응: 관련 기록과 로그를 보전하고, 사용 범위·기간·제품을 확인한다. 업무를 안전하게 유지할 수 있는 통제된 방식으로 권한을 제한한다. 증거 확보 전에 계정·로그를 삭제하거나 설정을 대규모 변경하지 않는다.
개선: 개인 계정, 승인된 권한 매트릭스, 독립 관리자 또는 보완 감독, 이동·퇴사 연계와 실제 권한 재검토를 도입한다. 효과성은 계정 발행률뿐 아니라 임의 표본의 실제 권한·활동을 확인한다.
10.2 감사추적이 비활성화되었거나 중요 이벤트가 기록되지 않음
관찰 상황: 도입 시 감사추적 기능을 시험했으나 운영 설정에서 해제되어 있다. 일부 재처리는 남지만 원자료 삭제나 중요 설정 변경은 조회되지 않는다.
핵심 문제: 검증 상태와 실제 운영 통제가 다르다. 기능을 다시 켜도 과거 누락 이벤트가 복원되는 것은 아니다.
대응: 설정·버전·기간을 보전하고, 가능한 원자료·백업·시스템 로그를 함께 조사한다. 영향 범위와 확인 불가능한 부분을 구분한다. 중요 이벤트 목록을 다시 작성하고 설정 보호, 관리자 활동 검토, 변경 통지와 회귀시험을 개선한다.
10.3 최종 적합 크로마토그램만 보관
관찰 상황: 재적분과 반복 분석이 있었지만 최종 PDF만 보관되어 있다. 최초 결과와 중간 처리방법을 확인하기 어렵다.
핵심 문제: 결과 선택과 처리 과정을 재구성할 수 없다. 적합 결과 하나만으로 누락 자료의 영향을 배제할 수 없다.
대응: 원자료 저장소와 백업에서 복구 가능성을 확인하고, 시료·시퀀스·시험 목록을 대사한다. 재처리와 무효화의 과학적 근거를 조사한다. 데이터가 없을 경우 불확실성을 명시하고 관련 배치·제품에 대한 품질평가를 수행한다. 이후 자동 저장, 삭제 제한과 재처리 검토를 강화한다.
10.4 감사추적 검토 서명만 있고 검토 범위가 불명확함
관찰 상황: 검토 양식에는 “이상 없음”과 서명만 있다. 조회 기간, 시료, 필터와 실제 확인 자료가 남아 있지 않다.
핵심 문제: 검토의 완전성과 재현성을 설명하기 어렵다. 필터 누락이나 검토 대상 오선정이 발견되지 않을 수 있다.
대응: 검토 대상 선정 방식과 사용한 보고서를 확인한다. 중요 이벤트를 넣은 시험자료로 보고서의 검출 능력을 평가한다. 향후 대상·조건·결과·예외 조치를 남기도록 양식을 개선하고, 과거 범위는 위험에 따라 재검토한다.
10.5 백업 파일은 있으나 복원할 수 없음
관찰 상황: 백업 작업은 성공했지만 데이터베이스와 파일의 시점이 맞지 않거나 조회 소프트웨어·키가 없어 기록을 열 수 없다.
핵심 문제: 복구 가능성과 보관 자료의 가용성이 입증되지 않았다.
대응: 원본과 기존 백업을 보전한 상태에서 복구를 시도한다. 복구에 필요한 구성 요소와 종속성을 정리한다. 복원 성공 후에도 건수·관계·이력·서명과 실제 업무 사용을 확인한다. 이후 전체 복구 패키지와 정기시험 범위를 재정의한다.
10.6 공급업체 인증서만 있고 현장 업무 검증이 없음
관찰 상황: “검증 완료 제품”이라는 공급업체 확인서만 있고 고객사 계산식·권한·전자승인·연계 업무 시험이 없다.
핵심 문제: 제품 시험과 현장 사용 목적 사이의 공백이 남는다.
대응: 실제 사용 목적과 현재 구성을 기준으로 차이를 평가한다. 재사용 가능한 공급업체 증거를 선별하고, 현장 구성과 중요 업무를 추가 검증한다. 과거 운전·결과 자료는 보조 근거가 될 수 있지만 필요한 검증을 모두 대신한다고 판단하지 않는다.
10.7 스프레드시트 계산식이 통제되지 않음
관찰 상황: 출하용 계산 파일에 숨겨진 수식과 외부 링크가 있고, 사용자가 수식을 수정할 수 있다. 승인본과 실제 사용본의 차이를 확인하기 어렵다.
핵심 문제: 계산 정확성, 버전과 기록 신뢰성에 대한 통제가 부족하다.
대응: 사용 파일과 결과를 보전하고 계산식·매크로·링크를 평가한다. 독립 계산으로 중요 결과를 확인한다. 승인 마스터, 배포·버전 통제, 수식 보호, 입력 검증, 결과 검토와 보관을 설계한다. 시트 보호 암호만으로 전체 보안과 감사추적이 해결된다고 보지 않는다.
10.8 DI 조사와 CAPA의 권장 흐름
- 사실과 증거 보전: 관찰 사실, 자료 위치, 로그와 구성 상태를 기록한다.
- 즉시 봉쇄: 데이터 손실과 품질 위험의 확대를 막는 통제를 적용한다.
- 범위 설정: 기간·시스템·사용자·제품·배치와 유사 시스템을 평가한다.
- 품질 영향평가: 출하 판단, 안정성, 공정 관리에 미친 영향을 검토한다.
- 근본원인: 기술, 절차, 인력·자원, 감독과 조직문화의 원인을 함께 조사한다.
- CAPA 실행: 책임자·기한·산출물·검증과 필요한 재교육을 정한다.
- 효과성 확인: 재발 여부와 통제의 실제 작동을 확인한 후 종결한다.
단순한 “작업자 부주의”나 “교육 완료”만으로 원인과 개선을 끝내지 않는다. 공유 계정이 운영 편의를 위해 허용되었거나 검토 시간이 배정되지 않았다면 시스템과 관리 방식도 원인일 수 있다.
개선 활동 참고: FDA DI 지침 Section III, Q18, PIC/S PI 041-1 §§12.1–12.2. 실제 규제 통지·보고·제품 조치 여부는 확인된 품질 영향과 적용 요건에 따라 별도로 판단한다. 출처: FDA DI 지침, PIC/S PI 041-1.
11. 내부 SOP 작성 체계와 현장 도입 로드맵
11.1 CSV·DI 문서를 운영 절차와 연결한다
CSV SOP에 프로젝트 산출물만 정하고 운영 통제를 다른 문서에 맡기면 책임 경계가 비기 쉽다. 반대로 한 SOP에 모든 기술 세부사항을 넣으면 변경이 어려워진다. 상위 정책, 공통 절차, 시스템별 작업지침과 기록 양식을 연결하는 구조가 실무적이다.
| 절차 | 포함할 핵심 내용 | 관련 기록 |
|---|---|---|
| CSV 생명주기 관리 | 범위·위험·공급업체·명세·시험·일탈·승인·운영·폐기 | 계획, 위험평가, 추적성, 보고서 |
| DI 관리 | 데이터 소유권, 원기록 정의, ALCOA+, 보고 문화와 감독 | 데이터 흐름, 취약점 평가, 개선계획 |
| 계정·권한관리 | 신청·승인·부여·변경·회수, 특권·비상 계정과 재검토 | 권한 매트릭스, 계정 대장, 검토 기록 |
| 감사추적 검토 | 종류·범위·시점·필터·검토자·예외 처리 | 검토 기록, 보고서, 조사 연결 |
| 전자기록·전자서명 | 기록 식별, 승인 의미, 서명 연결과 변경 후 처리 | 서명 권한, 검증·교육 자료 |
| 백업·복원·보관 | 범위, 목표, 모니터링, 복원시험, 장기 조회와 폐기 | 작업 로그, 복원 결과, 보관 목록 |
| 변경·사고·정기평가 | 영향평가, 긴급 변경, CAPA, 누적 변경과 상태 평가 | 변경·일탈·CAPA·정기평가 보고서 |
11.2 SOP에 활용할 수 있는 문장 예시
다음은 사내 검토·승인을 거쳐 조정할 수 있는 작성 예시다.
검증 범위: 공정 책임자와 시스템 책임자는 시스템의 사용 목적, GMP 영향, 데이터 흐름 및 위험평가에 근거하여 필요한 검증 활동을 정의한다. 공급업체 자료를 활용하는 경우 적합성과 현장 구성의 차이를 검토하고 그 근거를 기록한다.
권한관리: GMP 기록의 생성·수정·검토·승인 권한은 승인된 역할에 따라 부여한다. 권한의 신설·변경·회수는 기록하며, 기술적 특권의 사용은 업무상 필요성과 독립적인 감독을 고려하여 통제한다.
감사추적 검토: 검토자는 지정된 기록 또는 기간의 관련 감사추적을 승인된 방법으로 검토하고, 대상·조회 조건·이상 여부 및 후속 조치를 기록한다. 기록 신뢰성에 영향을 줄 수 있는 이상은 일탈 또는 조사 절차로 처리한다.
복원 확인: 시스템 책임자는 승인된 계획에 따라 대표 전자기록과 관련 메타데이터의 복원·조회 가능성을 확인하고, 결과 및 발견 문제의 조치를 기록한다.
11.3 90일 개선 로드맵 예시
다음 일정은 초기 개선 프로그램을 설계하기 위한 예시다. 중대한 DI 문제의 즉시 봉쇄를 뒤로 미루는 일정이나 모든 CSV 완료를 보장하는 기한으로 사용하지 않는다.
| 기간 | 주요 활동 | 완료 판단 자료 |
|---|---|---|
| 1–15일 | 책임자 지정, 시스템 목록, 중요 데이터 흐름, 긴급 취약점 확인 | 범위·책임·우선순위와 즉시 조치 기록 |
| 16–30일 | 위험·차이 평가, 계정·감사추적·보관 현황 확인 | 승인된 개선계획과 자원·기한 |
| 31–60일 | 중요 요구사항·설정 개선, 추가 검증, SOP·교육 반영 | 시험·일탈·교육과 운영 통제 증거 |
| 61–90일 | 복원·검토 효과성 확인, 잔여 위험 평가와 확대 계획 | 품질 검토, 미완료 항목과 경영진 의사결정 |
11.4 KPI는 문제의 은폐를 유도하지 않도록 정한다
“DI 이슈 0건”만 목표로 하면 문제 보고를 꺼리게 만들 수 있다. 발견된 위험의 적시 조치, 권한 회수 지연, 검토 미완료, 복원시험 성공 여부와 반복 결함을 함께 본다. 신고·발견 건수의 증가는 관리 성숙도 향상에 따른 결과일 수도 있으므로 맥락을 평가한다.
지표는 분모와 제외 기준을 명확히 해야 한다. 예를 들어 “감사추적 검토 완료율”은 전체 대상 중 적시에 검토한 비율인지, 일부 시스템만 집계한 값인지 구분한다. 경영진은 지표를 보고 인력·예산·시스템 개선 필요성을 판단해야 한다.
11.5 감사 대응용 최종 점검표
- 시스템 목록과 실제 운영 시스템이 일치하는가?
- 각 시스템의 사용 목적과 GMP·DI 영향이 정의되어 있는가?
- 원자료·메타데이터·결과·이력의 보관 위치를 설명할 수 있는가?
- 요구사항·위험·설계·시험·일탈이 연결되어 있는가?
- 사용자·관리자 권한을 실제 시스템에서 확인했는가?
- 중요 감사추적이 기록되고 보호되며 적절히 검토되는가?
- 검토 필터와 예외 보고서가 중요한 사건을 누락하지 않는가?
- 재시험·재처리·무효화의 전체 경로가 보존되는가?
- 복원한 자료를 열고 업무 맥락까지 재구성할 수 있는가?
- 변경 후 구성과 검증 문서가 현재 상태를 반영하는가?
- 공급업체 서비스 종료 후에도 기록을 사용할 수 있는가?
- 미해결 위험과 개선 계획을 책임자가 승인하고 추적하는가?
감사 대응의 준비 수준은 문서의 권수보다 설명과 실제 동작의 일치에서 드러난다. 임의의 시험 또는 배치 하나를 선택해 원자료, 처리방법, 변경 이력, 검토·승인과 보관 상태를 따라가 보는 방식이 효과적이다.
12. GAMP 5·CSV·데이터 인티그리티 FAQ
Q1. GAMP 5 제2판을 따르면 Part 11 준수가 자동으로 입증되는가?
자동으로 입증되지 않는다. GAMP는 실무 접근을 지원하는 가이드다. 실제 전자기록·전자서명의 적용 범위, 현장 구성, 업무 절차와 통제의 작동을 별도로 평가하고 증거로 설명해야 한다.
Q2. 상용 소프트웨어도 CSV가 필요한가?
GMP 사용 목적과 위험을 평가해야 한다. 공급업체가 개발한 제품이라도 고객사의 계산, 구성, 권한, 연계와 업무 흐름은 다를 수 있다. 공급업체 자료를 활용하면서 현장에 필요한 추가 검증 범위를 정한다.
Q3. 모든 기능을 동일한 수준의 IQ/OQ/PQ로 시험해야 하는가?
기능의 중요도, 실패 영향과 확보된 증거에 따라 범위를 조정할 수 있다. 조정 근거, 필요한 검증의 위치와 잔여 위험을 설명할 수 있어야 하며 회사의 승인된 절차도 따라야 한다.
Q4. Agile을 사용하면 사전 승인 없이 운영에 배포할 수 있는가?
반복 개발 방식과 GMP 운영 승인은 구분해야 한다. 릴리스 전 요구사항·위험·시험·결함·교육·운영 준비 상태를 확인하고 승인된 범위를 배포한다.
Q5. 감사추적을 월 1회 확인하면 충분한가?
모든 시스템에 공통인 정답은 아니다. 관련 기록의 검토 요건과 품질 판단 시점, 데이터 위험을 기준으로 정한다. 시험·배치 기록 검토와 시스템 관리 이벤트 검토는 목적과 시점을 구분하는 것이 좋다.
Q6. 전자 원자료를 PDF로 바꾸면 원본을 삭제할 수 있는가?
변환 후 기록의 내용·의미·메타데이터와 필요한 동적 특성이 유지되는지 먼저 평가해야 한다. 단순 출력만으로 원자료 보존을 대체한다고 판단하지 않는다.
Q7. 오래된 장비에 감사추적 기능이 없다면 어떻게 하는가?
데이터 위험과 우회 가능성을 평가하고 접근 제한, 독립 확인, 기록 대사 등 보완책의 효과를 확인한다. 충분한 통제가 불가능하면 사용 제한·교체를 포함한 개선이 필요할 수 있다. 오래되었다는 이유만으로 자동 면제되지는 않는다.
Q8. 비밀번호 변경주기와 정기평가 주기는 법규에 모두 고정되어 있는가?
본문에서 인용한 규정을 모든 시스템에 동일한 일수나 연간 횟수를 정한 표로 해석해서는 안 된다. 적용 요건, 보안 정책, 시스템 위험과 운영 특성을 근거로 구체적인 주기를 승인하고 효과를 검토한다.
Q9. 클라우드 공급업체가 검증했다면 고객사 검증은 생략 가능한가?
공급업체 검증은 활용할 수 있지만 고객사의 사용 목적, 구성과 업무 검증의 공백을 평가해야 한다. 계약상 책임 분담과 데이터 반환·조회 가능성도 확인한다.
13. 규제 참조: 영문 원문·한글 번역·정확한 섹션 번호
아래 영문은 공식 문서의 짧은 발췌 또는 원문 표제다. 번역은 비공식이며, 적용 해설과 실무 예시는 원문 인용과 구분한다. 원문 표제는 해당 절의 위치를 식별하기 위한 것으로 그 절의 전체 요건을 대체하지 않는다. 논문·SOP에 반영할 때에는 연결된 공식 원문과 적용 판본을 함께 확인한다.
13.1 FDA 21 CFR Part 11
| 정확한 위치 | 영문 원문 발췌·표제 | 한글 번역 | 조항 연결 |
|---|---|---|---|
| §11.10 | “Controls for closed systems.” | 폐쇄형 시스템에 대한 통제 | (a) 검증, (b) 사본, (c) 보존·검색, (d) 접근, (e) 감사추적, (g) 권한 확인 |
| §11.50 | “Signature manifestations.” | 서명 표시사항 | (a)(1) 서명자 이름, (a)(2) 서명 날짜·시간, (a)(3) 서명의 의미, (b) 가독 형태에 포함 |
| §11.70 | “Signature/record linking.” | 서명과 기록의 연결 | 서명과 해당 기록의 연결 보호 |
| §11.100 | “General requirements.” | 일반 요건 | (a) 개인 고유성, (b) 신원 확인, (c) 법적 구속력에 대한 FDA 확인 절차 |
| §11.200 | “Electronic signature components and controls.” | 전자서명 구성요소와 통제 | (a) 비생체인식 서명, (b) 생체인식 서명 관련 통제 |
| §11.300 | “Controls for identification codes/passwords.” | 식별코드·비밀번호에 대한 통제 | 고유성, 관리·분실 대응, 오용 탐지 등 |
원문: eCFR, Title 21, Part 11. 개방형 시스템에 해당하는 경우에는 §11.30의 추가 통제도 검토한다. 폐쇄형·개방형의 구분을 인터넷 연결 여부만으로 결정하지 않는다.
13.2 EU GMP Annex 11 — 2011년판
| 정확한 위치 | 영문 원문 | 한글 번역 |
|---|---|---|
| Principle | “The application should be validated; IT infrastructure should be qualified.” | 애플리케이션은 밸리데이션되어야 하며, IT 인프라는 적격성이 평가되어야 한다. |
| §4.4 | “User requirements should be traceable throughout the life-cycle.” | 사용자 요구사항은 생명주기 전반에 걸쳐 추적 가능해야 한다. |
| §9 | “Audit Trails” | 감사추적 |
| §12 | “Security” | 보안 |
본문의 생명주기·운영 설명에 연결되는 위치는 §1 위험관리, §§3.1–3.4 공급업체·서비스, §§4.1–4.8 검증, §§7.1–7.2 저장·백업, §10 변경, §11 정기평가, §14 전자서명, §16 업무 연속성, §17 보관이다.
원문: European Commission, Annex 11, revision January 2011. 판본 상태 확인: EudraLex Volume 4 공식 목록.
13.3 PIC/S PI 041-1 — 2021년 7월 1일판
| 정확한 위치 | 영문 원문 발췌·표제 | 한글 번역 |
|---|---|---|
| §§7.4–7.5 | Attributable; Legible; Contemporaneous; Original; Accurate; Complete; Consistent; Enduring; Available | 귀속성, 판독성, 동시성, 원본성, 정확성, 완전성, 일관성, 지속성, 가용성 |
| §5.2 | “Data governance systems” | 데이터 거버넌스 체계 |
| §9.5 | “System security for computerised systems” | 컴퓨터화 시스템의 시스템 보안 |
| §9.6 | “Audit trails for computerised systems” | 컴퓨터화 시스템의 감사추적 |
추가 검토 위치는 §9.3 검증·유지, §9.4 데이터 전송, §9.8 데이터 검토, §9.9 전자자료 저장·보관·폐기, §9.10 혼합 시스템, §§12.1–12.2 DI 문제 개선과 개선 지표다.
원문: PIC/S PI 041-1 공식 PDF. 세부 기대사항은 본문 표의 항목까지 확인한다.
13.4 FDA 의약품 DI 최종 지침 — 2018년 12월판
| 정확한 위치 | 영문 원문 | 한글 번역 |
|---|---|---|
| Section III, Q1(a) | “data integrity refers to the completeness, consistency, and accuracy of data.” | 데이터 인티그리티는 데이터의 완전성, 일관성 및 정확성을 의미한다. |
| Section III, Q7 | “Who should review audit trails?” | 누가 감사추적을 검토해야 하는가? |
| Section III, Q8 | “How often should audit trails be reviewed?” | 감사추적을 얼마나 자주 검토해야 하는가? |
원문: FDA, Data Integrity and Compliance With Drug CGMP: Questions and Answers. 본문에서 참조한 추가 위치: Q1(b) 메타데이터, Q1(d) 정적·동적 기록, Q2 무효화, Q3 업무 흐름 검증, Q4–Q5 접근·공유 계정, Q10 전자 원기록, Q14 재처리, Q18 개선 대응.
13.5 FDA Part 11 적용범위 지침 — 2003년 9월판
정확한 위치: Section III.A, III.B.1–2, III.C.1–2
영문 원문 발췌: “Part 11 remains in effect”
한글 번역: Part 11은 계속 유효하다.
적용 해설: 적용범위와 특정 집행 재량을 검토하더라도 기초 규정의 기록 요건을 별도로 충족해야 한다.
13.6 FDA CSA 최종 지침 — 2026년 2월 3일판
정확한 위치: Section III; Section V.A(1), V.A(2), V.A(4), V.A(6)
영문 원문 발췌 — Section III: “used as part of production or the quality management system for medical devices.”
한글 번역: 의료기기의 생산 또는 품질경영시스템의 일부로 사용되는.
적용 해설: 의료기기 관련 적용범위를 확인한 뒤, 사용 목적·위험·보증 활동·증거 수립에 관한 사고방식을 참고한다. 의약품 GMP에 대한 포괄적 면제로 사용하지 않는다.
출처: FDA, Computer Software Assurance for Production and Quality Management System Software.
13.7 GAMP 5 제2판의 관련 위치 — 산업 가이드
| 정확한 위치 | 영문 원문 표제 | 한글 번역 |
|---|---|---|
| Appendix M12, Chapter 20 | Critical Thinking | 비판적 사고 |
| Appendix D8, Chapter 28 | Agile Software Development | 애자일 소프트웨어 개발 |
| Appendix D9, Chapter 29 | Software Tools | 소프트웨어 도구 |
| Appendix M11, Chapter 19 | IT Infrastructure | IT 인프라 |
| Appendix D1, Chapter 21 | Specifying Requirements | 요구사항 명세화 |
| Appendix D5, Chapter 25 | Testing of Computerized Systems | 컴퓨터화 시스템 시험 |
출처: ISPE GAMP 5 제2판 공식 목차. 위 표는 공식 목차의 위치 확인 자료이며, 정식 본문의 세부 권고를 대체하지 않는다.
13.8 참고문헌
- ISPE. GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems, Second Edition. July 2022. 관련 위치: Section 3.4, Chapters 19–21, 25, 28–29.
- U.S. FDA / eCFR. 21 CFR Part 11 — Electronic Records; Electronic Signatures. 관련 위치: §§11.10, 11.30, 11.50, 11.70, 11.100, 11.200, 11.300.
- European Commission. EudraLex Volume 4, Annex 11: Computerised Systems. Revision January 2011. 관련 위치: Principle, §§1–4, 7, 9–14, 16–17.
- PIC/S. PI 041-1: Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments. 1 July 2021. 관련 위치: §§5–7, 9, 12.
- U.S. FDA. Data Integrity and Compliance With Drug CGMP: Questions and Answers. December 2018. 관련 위치: Section III, Q1–5, Q7–10, Q14, Q18.
- U.S. FDA. Part 11, Electronic Records; Electronic Signatures — Scope and Application. September 2003. 관련 위치: Sections III.A–C.
- U.S. FDA. Computer Software Assurance for Production and Quality Management System Software. 3 February 2026. 관련 위치: Sections III, V.A.
- European Commission. 2025년 Chapter 4·Annex 11·신규 Annex 22 공개 의견수렴. 본문의 현행 Annex 11 조항 인용과 구분한 개정 동향 참고자료.
활용 안내: 본문 표·시나리오·SOP 문장·로드맵은 현장 적용을 위한 작성 예시다. 내부 SOP에는 적용 시장, 제품·공정 특성, 시스템 구성, 회사 역할과 승인 기준을 반영한다. 논문에서는 규제 근거와 연구 결과를 구분하고, 원문 문서명·판본·조항·접근일을 명시한다.
'📢 GMP 자료 > 교육자료' 카테고리의 다른 글
| 제약 GMP · 오토클레이브 · 고압증기멸균기 · IQ OQ PQ · 멸균 밸리데이션 (0) | 2026.10.29 |
|---|---|
| Cephalosporin: 제약 제조·GMP 품질관리 및 교차오염 방지 (0) | 2026.10.23 |
| FDA PAI 실사 대비 및 cGMP 준비 가이드 (0) | 2026.10.22 |
| 중앙공급실 BI 오류 대응 및 멸균공정 안전관리: 근거기반 검토 (0) | 2026.10.22 |
| 원료 및 완제품의 품질 시험 규격 설정과 이화학 분석(HPLC) 실무 (0) | 2026.10.16 |