21 CFR Part 11 및 부속서 11: 격리 장비 제어 수단을 지정하기 전에 확인해야 할 사항

기록 유형, 품질 결정 범위, 관할권 적용 범위에 관한 몇 가지 기본적인 질문에 먼저 답하지 않은 채 격리 장비에 대한 통제 사항을 지정하는 것은 검증 작업을 다시 해야 할 상황을 초래하는 가장 확실한 방법 중 하나입니다. 이 문제는 늦게 드러나는데, 대개는 IQ/OQ 또는 사전 승인 검사 시 — 품질 보증(QA) 팀이 장비에서 생성된 전자 기록이 정의된 감사 추적, 접근 제어 또는 데이터 불변성 구조 없이 배치 출하 결정에 비공식적으로 사용된 사실을 발견하는 경우입니다. 이로 인한 대가는 단순히 시정 조치에 그치지 않고, 기록 자체의 신뢰성까지 훼손됩니다. 이러한 결과를 피하려면, 21 CFR Part 11의 격리 장비 통제에 관한 단 하나의 URS 조항도 작성되기 전에 기록의 범위에 대한 문제를 해결해야 합니다.

Part 11 관련 의문을 제기하는 전자 기록

제11부는 신뢰성 기준을 설정하고 있다. 이는 전자 기록이나 서명이 신뢰할 수 있으며 종이 문서와 동등한 것으로 간주되기 위한 최소 기준이다. 이 조항은 구체적인 설계 사양을 규정하지는 않는다. 이 조항이 제기하는 실질적인 질문은 “해당 장비에 감사 추적이 있는가?”가 아니라 “이 장비로 생성된 전자 기록이 품질 결정에 사용되는가? 만약 그렇다면, 그 기록이 신뢰할 수 있는 이유는 무엇인가?”이다.”

이러한 구분이 중요한 이유는, 격리 시스템이 여러 종류의 전자 데이터를 생성하지만, 그 모든 데이터가 동일한 의무를 발생시키는 것은 아니기 때문입니다. 시설 관리팀만이 HVAC 기능을 확인하기 위해 사용하는 압력 기록은, 자동 충전 아이솔레이터 생성되며, QA 팀이 로트 출하 승인을 내리는 데 사용하는 것입니다. 이 두 가지를 혼동하면 URS의 범위가 부풀려지고, 결국 실제로 중요한 부분에서 데이터 무결성을 개선하지도 못한 채 검증 부담이 가중될 뿐입니다.

사전 명세 수립 단계에서는 두 가지 질문을 바탕으로 각 기록 유형을 분류해야 합니다. 첫째, 이 데이터가 배치 기록, 편차 조사 또는 품질 결정 과정에서 참조될 가능성이 있는지, 둘째, 그러한 참조 여부에 대한 결정 권한은 누구에게 있는지입니다. 두 번째 질문은 종종 생략되는데, 이것이 바로 범위 확대(scope creep)가 발생하는 이유입니다. 즉, 편의상 작성된 모니터링 로그가 신중한 선택이 아닌, 단순히 기본 설정에 따라 GxP 기록으로 분류되는 경우가 생기기 때문입니다.

위의 표는 파트 11 관련 사항이 언제 본격적으로 적용되는지를 보여줍니다. 여기서 핵심은 “무엇을 명확히 할 것인가” 열입니다. 이는 설치 후 개조가 아닌, 조달 전 협의 사항을 의미합니다. 장비 사양이 확정되기 전에 배치 처리 매개변수가 공식 배치 기록에 포함될지 여부에 대해 품질 보증(QA) 팀과 자동화 팀이 의견을 조율하지 못했다면, 공급업체는 제어 플랫폼의 범위를 신뢰성 있게 설정할 수 없으며, 현장에서는 타당성이 입증될 수 있는 검증 계획을 수립할 수 없습니다.

부록 11: 컴퓨터화된 시스템에 대한 요구 사항

EU GMP 부록 11 이는 법적 구속력이 있는 규정이 아닌 지침 문서입니다. 이 문서는 EU GMP 환경에서 컴퓨터화된 시스템을 위한 프로세스 참조 프레임워크 역할을 하며, Part 11과 개념적으로 유사한 영역을 다루고 있지만, 두 가지는 서로 대체할 수 없습니다. Part 11은 미국 FDA 관할권 하에서 완전한 집행력을 갖지만, 부속서 11은 그렇지 않습니다. 사양서에서 이 두 가지를 동등한 것으로 취급하면 범위 문제가 발생합니다. 즉, 프로젝트 팀이 어떤 규정이 적용되는지 구분하지 않은 채 부속서 11의 지침 문구와 파트 11의 요구 사항을 혼합하여 URS 조항을 작성할 경우, 그 결과로 도출된 검증 증거는 어느 쪽의 요구 사항도 명확하게 충족하지 못할 수 있습니다.

부속서 11과 제11부는 유사한 원칙을 다루고 있으나, 그 집행 가능성은 동일하지 않으므로 — 이에 따라 통제 조항의 적용 범위를 적절히 설정해야 합니다.

특정 프로젝트에 부속서 11이 적용되는 경우, 이를 EU GMP 등록 시설에 대한 설계 지침 프레임워크로 활용해야 합니다. 이 부속서는 전산 시스템 검증 방법이, 위험 관리, 유럽 당국이 데이터 무결성 관행을 어떻게 다루고 있는지를 파악하는 것은 시스템 수명 주기, 접근 관리 및 감사 역량과 관련된 공급업체 요구 사항 논의를 체계화하는 데 유용합니다. 그러나 프로젝트 맥락에서 명시적으로 이중 관할권 등록이 포함되지 않는 한, 이를 파트 11 의무를 언급하는 것과 동일한 조항 구조 내에서 규정 준수 요구 사항으로 인용해서는 안 됩니다.

장비 사양을 수립할 때 실질적으로 고려해야 할 점은, 해당 시설을 감사할 규제 기관이 어디인지, 그리고 해당 기관이 어떤 전자 기록 요건을 적용하는지 파악하는 것입니다. 미국과 EU 시장 모두에 제품을 수출하는 시설의 경우, 두 규제의 기준이 모두 기대치를 형성하게 되지만, 검증 설명서에서는 각 통제 요소에 대한 관할권적 근거를 명확히 밝혀야 합니다. 이러한 명확성 없이 두 기준을 혼용할 경우, 점검, 안전망이 아니다.

액세스 역할, 감사 추적 및 레시피 관리

격리 장비에 있어 사양상의 모호성을 가장 많이 야기하는 세 가지 제어 요소, 즉 접근 권한, 감사 추적, 레시피 제어는 Part 11에서 소프트웨어 기능 목록이 아닌 책임성 및 추적성 목표로 정의되어 있습니다. 핵심은 장비 공급업체가 이러한 기능을 제공하는지 여부가 아니라, 해당 현장이 신원 확인, 작업 귀속, 매개변수 변경 이력이 단순히 시운전 시에 설정되는 데 그치지 않고 운영상 지속적으로 유지되고 있음을 입증할 수 있는지 여부입니다.

제11부에 따른 신원 확인이란 시스템에 기록된 각 작업이 특정 승인된 개인에게 귀속될 수 있음을 의미합니다. 로그인 규정이 공유되는 격리 장비, 일반 자격 증명이 사용되는 운영자 터치 패널, 또는 사용자 귀속을 우회하는 감독자 우선 모드의 경우, 이는 즉시 감사 추적 기록의 공백을 초래합니다. 시스템이 공유 계정으로 구성되어 있다면, 개별 감사 추적 항목을 생성할 수 있는 기능은 아무런 의미가 없습니다.

레시피 및 파라미터 관리에는 명확한 추적성 의무가 따릅니다. 운영자가 변경 기록을 생성하지 않고 검증된 레시피의 공정 파라미터를 수정할 수 있다면, 해당 레시피에 따라 실행된 모든 배치의 무결성이 의심받게 됩니다. 검증의 핵심은 레시피 파라미터가 승인 후 잠겨 있는지, 그리고 모든 수정(일시적인 우회 설정 포함)이 지정된 사용자에 대해 기록되는지 여부입니다. 장비 공급업체는 이를 위한 기술적 기능을 제공할 수 있지만, 해당 기능이 제대로 작동하는지 확인하는 절차적 검토 체계는 현장 소유자의 책임입니다.

존재하지만 검토되지 않는 감사 추적 기록은 책임성을 보장하지 못합니다. 접근 및 추적 기능은 명확히 정의된 검토 의무와 함께 마련되어야 합니다.

여기서 나타나는 문제점은 액세스 역할과 감사 추적 기능이 시운전 결과물로 취급된다는 점입니다. 즉, 설정이 완료되고 IQ 파일을 위해 스크린샷이 촬영되지만, 누가, 얼마나 자주 해당 기록을 검토할지에 대해서는 아무도 정의하지 않습니다. 이러한 허점은 이상 현상 조사를 위해 매개변수 변경 내역이나 운영자의 조치 순서를 재구성해야 할 때 비로소 드러나는데, 이때 감사 로그가 존재하긴 하지만 증거로 사용된 적이 한 번도 없는 경우가 많습니다.

과대평가될 수 있는 통제 범위

제11부 적용 범위에 대한 비용 증가 위험은 현실적인 문제이며, 이는 프로젝트 비용에 직접적인 영향을 미칩니다. 격리 시스템에서 생성된 모든 데이터 포인트를 — 품질 결정에 사용되든 아니든 상관없이 — 규제 대상 전자 기록으로 취급하게 되면, 원래는 시설 모니터링의 편의를 위해 도입된 시스템에 대해서도 소프트웨어 검증, 접근 제어 구성, 감사 추적 검토 절차, 데이터 무결성 통제 등이 포함되도록 검증 부담이 확대됩니다. 이러한 투자 중 어느 것도 실제로 중요한 기록의 법적 방어력을 높여주지는 않습니다.

범위 팽창의 가장 대표적인 예로는 압력 차, 온도, 습도를 기록하는 건물 관리 시스템이나 시설 모니터링 인터페이스가 있습니다. BSL-3 격리 구역. 해당 데이터가 시설 관리팀에 의해 오직 HVAC 시스템이 시설의 필수 조건을 유지하고 있음을 입증하는 용도로만 사용되며, 배치 기록, 로트 출하 결정 또는 GxP 문서에 전혀 등장하지 않는다면, 해당 시스템에 파트 11의 모든 통제 조치를 적용하는 것은 규제상의 의무가 아닌 품질 보증(QA)상의 결정에 해당합니다. 이러한 결정은 신중하게 내려지고 문서화되어야 하지만, 기본적으로 파트 11이 자동으로 적용되는 것은 아닙니다.

반대로, 품질 결정 과정에서 모니터링 데이터를 비공식적으로 참조하면서도 이를 적용 범위 외로 취급하는 것은 데이터 무결성 위반 사항을 야기하는 실패 유형입니다. 여기서 문제는 바로 “비공식적으로’라는 표현입니다. 품질 보증(QA) 관리자가 배치 처분 논의 중에 시설 모니터링 추세를 참조했으나 해당 데이터가 통제된 기록의 일부가 아닌 경우, 해당 현장은 통제되지 않은 전자 기록에 품질 결정이 의존하게 된 것입니다. 비공식적으로 내려진 적용 범위 결정은 바로 검사에서 불합격 판정을 받는 원인이 됩니다.

분명히 명심해야 할 또 다른 점은, 파트 11 준수를 인증할 수 없다는 사실입니다. “파트 11 인증” 시스템을 제공한다고 주장하는 공급업체는 규제상 아무런 의미가 없는 표현을 사용하고 있는 것입니다. 준수는 검증된 증거와 문서화된 통제 수단을 통해 입증되며, 이러한 입증 의무는 공급업체가 아닌 현장에서 부담해야 합니다. 공급업체의 인증 주장을 현장의 의무 이행으로 간주하는 조달 약관은 허위적인 경계를 설정하는 것이며, 유능한 검사관 앞에서는 통용되지 않을 것입니다.

공급업체 장비에 대한 데이터 무결성 경계

파트 11 데이터 무결성의 핵심인 불변성 원칙, 즉 추적 가능한 승인 없이는 기록된 값을 변경해서는 안 된다는 원칙은 장비의 기능과 현장의 구현 방식 모두에 달려 있습니다. 공급업체는 타임스탬프가 포함된 기록, 잠긴 데이터 필드, 감사 추적 생성, 형식 보존 데이터 내보내기 등의 기술적 아키텍처를 제공할 수 있습니다. 그러나 공급업체가 제공할 수 없는 것은 시스템이 현장의 의도된 용도에 따라 정확하고 안정적으로 작동한다는 검증 증거나, 감사 추적 기록을 검토하는 데 실질적인 의미를 부여하는 절차적 구조입니다.

이 부분이 바로 장비 조달 과정에서 프로젝트 팀 간 의사소통이 가장 자주 엇갈리는 지점입니다. RFQ(견적 요청서)에는 해당 시스템이 감사 추적 기능과 사용자 수준 접근 제어를 지원하는지 여부가 명시되어 있습니다. 공급업체는 이를 지원한다고 확인합니다. 장비가 납품됩니다. 하지만 공급업체가 구성하는 부분, 현장이 검증하는 부분, 현장이 절차에 따라 운영하는 부분 등 책임 분담이 명확히 정해지지 않으면, 기능적 역량과 입증된 데이터 무결성 사이의 격차는 여전히 해소되지 않은 채 남게 됩니다.

위 표의 ‘데이터 내보내기 및 전송’ 행은 현장 데이터 히스토리안, LIMS 또는 배치 기록 시스템과 연동되는 격리 장비의 경우 특히 주의를 기울여야 합니다. 데이터 무결성은 인터페이스 단계에서 훼손될 수 있습니다. 장비 자체 데이터베이스 내에서는 변경 불가능한 기록이라도, 현장의 전자 배치 기록에 입력되기 전에 편집이 가능한 형식으로 재수출될 수 있습니다. 수출 경로를 통해 원본 기록의 무결성이 유지되는지, 그리고 전송 후의 처리가 현장의 데이터 관리 절차에 따라 이루어지는지 확인하는 것은 현장 소유자의 책임이며, 이는 공급업체의 검증 패키지에서는 일반적으로 다루지 않는 사항입니다.

공급업체 장비의 기능은 데이터 무결성을 가능하게 할 뿐, 이를 입증하지는 않습니다. 검증 증거와 절차 검토를 통해 그 간극을 메워야 합니다.

검증 요건은 단순한 형식적 절차가 아닙니다. 시스템은 의도된 용도에 따라 정확하고, 신뢰할 수 있으며, 일관되게 작동함을 입증해야 하며, 유효하지 않거나 변조된 기록을 식별할 수 있어야 합니다. 이러한 입증은 공급업체의 문서, 현장 적격성 평가 프로토콜, 그리고 지속적인 절차적 통제 조치를 종합하여 이루어지는데, 이 중 어느 것도 공급업체가 현장을 대신하여 수행할 수 없습니다.

규제 대상 통제 요건에 대한 결정 요인

이 결정 요인을 가장 유용하게 해석하는 기준은 기술적인 것이 아니라, 관할권 및 용도에 기반한 것입니다. 제11부는 미국 시장을 대상으로 하는 의약품, 생물학적 제제, 의료기기, 혈액 및 조직의 연구, 제조 및 유통에 사용되는 시스템에 적용됩니다. 해당 장비가 이러한 활동을 뒷받침하는 전자 기록을 생성하고, 그 기록이 GxP 의사 결정에 활용되는 경우, 제11부의 통제 요건이 발동됩니다. 두 조건 모두 충족되지 않는다면, 해당 장비에 제11부의 적용 범위를 확대해야 할 근거를 명시적으로 제시해야 하며, 단순히 가정해서는 안 됩니다.

Part 11을 참조하는 URS 조항을 작성하기 전에 수행해야 할 실질적인 확인 사항은 다음 세 가지 질문으로 구성됩니다. 해당 제품 또는 활동이 Part 11의 적용 범위에 포함되는가? 해당 시설이 FDA 검사 또는 미국 시장 등록 대상인가? 그리고 해당 특정 장비가 해당 적용 대상 활동에 대한 품질 결정에 사용되거나 사용될 수 있는 기록을 생성하는가? 이 세 가지 질문 모두에 ’예’라고 답할 경우, 해당 조항은 적용됩니다. 단 하나라도 ‘아니오’라고 답할 경우, 통제 범위에 대해서는 기본 적용이 아닌 문서화된 근거가 필요합니다.

FDA 감사를 받은 적이 없는 미국 외 시설의 경우, 파트 11 의무가 없다고 해서 전자 기록에 관한 규제가 전혀 없다는 의미는 아닙니다. 현지 규제 당국은 자체적인 전자 기록 및 데이터 무결성 기준을 적용하며, 통제 조치를 명시하기 위한 적절한 프레임워크는 해당 시설을 감사할 당국이 어디인지에 따라 결정됩니다. 적용 가능한 현지 요건을 평가하지 않고 미국 외 상황을 단순히 “파트 11 면제”로 간주할 경우, 또 다른 규정 준수 격차가 발생하게 됩니다.

이 결정의 시기가야말로 진정한 위험 변수입니다. GxP 영향 평가를 공급업체 선정 이후, 혹은 더 나쁜 경우 공장 인수 검사 단계까지 미루는 팀들은 품질 시스템의 범위가 명확히 정의되지 않은 상태에서 제어 플랫폼이 사양화되었다는 사실을 깨닫게 됩니다. 이로 인해 공급업체 차원에서 사양 변경을 위한 개조가 필요해지거나, 설치 후 검증하기 어려운 절차상의 임시 방편을 마련해야 하는 상황이 발생합니다. GxP 영향 평가는 공급업체와의 논의가 시작되기 전, 제어 시스템 사양화 과정의 초기 단계에서 이루어져야 합니다.

사전 사양 수립 단계에서 가장 명확한 조치는, 장비 제어 URS가 작성되기 전에 품질 보증(QA), 자동화, 규제 업무 담당자들을 한 자리에 모아 다음과 같은 단 하나의 질문을 논의하는 것입니다. “이 장비가 생성할 각 전자 기록 등급에 대해, 해당 기록이 해당 제품의 품질 결정에 사용될 것인가?” 이 질문에 대한 답변에 따라 Part 11 또는 이에 상응하는 현지 프레임워크가 적용되는지, 공급업체가 어떤 제어 사항을 지원해야 하는지, 그리고 해당 사업장이 절차상 무엇을 검증하고 유지해야 하는지가 결정됩니다. 이 질문에 대한 답이 없다면, URS는 불필요하게 과도하게 명시되어(필요하지 않은 시스템에 검증 비용과 유지 관리 부담을 가중시키거나) 정반대로, 검사관이 집중적으로 살펴볼 부분에서 규정이 미흡하게 명시될 수 있습니다.

통제 사항이 명시되고 장비 조달이 진행 중인 상황에서 수행되는 후속 점검은, 공급업체가 제출한 기술 문서가 기능적 능력과 검증된 규정 준수 여부를 명확히 구분하고 있는지 확인하는 것입니다. 감사 추적 기능, 역할 기반 접근 권한, 변경 불가능한 기록 아키텍처를 제공하는 공급업체는 규정 준수 구성을 가능하게 하지만, 현장 측에는 해당 구성이 의도된 용도에 부합하는지 검증하고, 감사 추적 검토를 정의 및 실행하며, 데이터 수집 시점부터 저장 및 내보내기에 이르기까지 데이터를 통제할 의무가 있습니다. 이 체인에 어떤 허점이 있더라도 데이터 무결성 위반 사항으로 기록될 수밖에 없습니다.

자주 묻는 질문

Q: 새로운 장비를 지정하지는 않지만, 기존 격리 시스템이 Part 11 규정을 준수하는지 평가해야 하는 경우에는 어떻게 해야 합니까?
A: 먼저 기록 사용 및 GxP 의사결정 평가부터 시작하십시오. Part 11은 장비 설치 시기와 관계없이, 해당 활동의 품질 의사결정에 사용되는 전자 기록에 적용됩니다. 본 기사에서 제시한 사양 수립 전 질문들을 격차 분석 프레임워크로 활용하십시오. 기술적 개조가 불가능한 경우에는 잔여 위험을 문서화하고, 보완적인 절차적 통제 조치를 시행하며, 임시 조치로 종이 기반 대안을 고려하십시오.

Q: 파트 11의 적용 대상인 기록을 파악한 후, 감사 시에도 문제가 없도록 적용 범위 결정 사항을 공식적으로 어떻게 문서화해야 합니까?
A: GxP 영향 평가서 또는 데이터 무결성 범위 설정 문서에 그 근거를 명시하십시오. 기사에서 다룬 세 가지 요소(제품 범위, 미국 시장 노출 여부, 품질 결정 의존도)를 기반으로 한 관할권 및 용도별 점검 사항, 기록별 분류, 그리고 품질 보증(QA), 자동화, 규제 업무 담당자의 서명을 포함시켜야 합니다. 이 문서를 해당 장비의 요구사항 명세서(URS) 및 검증 계획과 연계하여 감사 가능한 논리적 근거 체계를 구축하십시오.

Q: 저희 시설은 미국 및 EU 이외의 시장으로도 제품을 출하하고 있습니다. 해당 지역에 적합한 전자 기록 관리 방안을 어떻게 결정해야 합니까?
A: 데이터 무결성에 관한 기본 원칙은 ICH Q9(R1)과 같은 프레임워크를 통해 전 세계적으로 조화되어 있으므로, 위험 기반 접근 방식은 여전히 유효합니다. 귀사의 시설을 검사할 구체적인 규제 기관을 파악하고, 해당 기관이 요구하는 데이터 무결성 기준을 검토한 후, 귀사의 통제 조치를 해당 프레임워크에 맞춰 정립하십시오. Part 11이나 Annex 11이 법적 효력을 갖지 않는 관할 구역에서는 이를 무작정 적용하지 마십시오.

Q: QA 팀과 자동화 팀이 특정 기록이 Part 11의 적용 대상인지 여부에 대해 의견이 일치하지 않을 경우, 안전을 위해 기본적으로 통제 조치를 포함시켜야 할까요?
A: 아닙니다. 더 안전한 방법은 해당 기록을 무조건 포함시키는 것이 아니라, 문서화된 품질 위험 관리 프로세스를 통해 모호성을 해소하는 것입니다. 위험 평가(예: FMEA)를 활용하여 해당 기록이 제품 품질 결정에 영향을 미칠 가능성을 평가하십시오. 위험이 낮고 해당 기록이 절차상 GxP 적용 대상에서 제외될 경우, 중요한 부분에서 데이터 무결성을 개선하지도 못하면서 검증 부담만 가중시키는 통제 항목을 추가해 적용 범위를 부풀리는 것보다, 타당한 근거를 바탕으로 한 제외 조치가 더 설득력이 있습니다.

Q: 종이 배치 기록을 사용하고, 격리 설비의 전자 데이터를 GxP 기준에 부합하지 않는 편의 기록으로 취급함으로써, Part 11 준수 비용을 절감할 수 있을까요?
A: 네 — Part 11은 전자 기록이 종이 기록과 동등함을 규정하고 있으므로, 완전히 종이 기반의 GxP 기록 시스템은 해당 규정의 적용 대상이 되지 않습니다. 그러나 배치 처분, 편차 조사 또는 기타 품질 결정 과정에서 전자 데이터에 대한 비공식적인 의존을 방지하기 위해 엄격한 절차를 마련해야 합니다. 품질 보증(QA) 관리자가 우연히 전자 데이터를 언급하는 것만으로도 시스템이 규제 적용 범위에 포함될 수 있는 의존성이 발생할 수 있으며, 병행되는 종이 기반 절차를 엄격히 유지하는 데 드는 비용이 규정 준수 전자 통제 시스템을 구현하는 비용보다 더 많이 들 수 있습니다.