GMP 실무자 필독: ALCOA+부터 Audit Trail까지, 데이터 무결성 이건 모르면 위험합니다. 📗 5편 : "21 CFR Part 11 기반 전자서명 적용 전략"

 

21 CFR Part 11이란? - 규제 배경과 주요 요구사항

 

21 CFR Part 11은 미국 FDA(식품의약국)가 제정한 전자기록 및 전자서명의 규정입니다. 이 법령은 전자 데이터가 종이 문서와 동일한 법적 효력을 가지려면 어떠한 기술적·관리적 조건을 충족해야 하는가를 명확하게 정의합니다.

 

이 규정은 1997년부터 시행되어 현재까지 GxP(특히 GMP, GLP, GCP) 환경에서 전자기록을 사용하는 모든 제약·바이오 기업이 반드시 준수해야 하는 기준으로 자리잡고 있습니다. 특히 전자서명(e-signature)과 시스템 액세스 제어, 감사 추적(Audit Trail), 보안 관리 등이 핵심입니다.

 

주요 적용 대상 

 

 

• GMP 장비 소프트웨어 및 분석기기(CDS, LIMS, QMS 등)
• 전자 배치 레코드(eBR), 전자 제조기록(eMR), 전자시험기록(eCRF)
• 전자서명 기능을 포함한 모든 전산 시스템

 

카테고리	요구사항 요약
전자기록	변경 내역 추적(Audit Trail), 시간정보 기록, 보안 백업
전자서명	서명자 식별(ID/PW), 서명 의미 기재(확인/승인 등), 위조 방지
시스템 접근	사용자별 권한 구분, 로그인 관리, 공용 ID 금지
문서 관리	정본과 원본의 구분, 서명된 기록의 추적성 유지

 

 

 

이 규정을 충족하지 못하면 FDA 실사에서 Warning Letter 또는 483 Form을 받을 수 있으며, 심각한 경우 제품 생산 중단 및 수출 제한 조치까지 이어질 수 있습니다.

 

중요한 건 단순히 기능이 있다는 게 아니라, 그 기능이 조직 내에서 어떻게 문서화되어 있고, 실제로 운영되고 있으며, 문제가 생겼을 때 누구 책임인지 명확히 보여줄 수 있어야 한다는 것입니다.

 

전자서명은 단지 전산 시스템의 기능이 아니라, 품질보증(QA)과 컴플라이언스의 핵심 도구입니다. 따라서 이 법령을 이해하는 것은 단순히 전산팀만의 몫이 아니라, QA, 생산, RA, 심지어 경영진까지 포함된 전사적 과제입니다.

 

 

전자서명(ER/ES)의 구성요소와 법적 효력

 

전자서명(Electronic Signature, 줄여서 e-signature 또는 ER/ES)은 GxP 환경에서 종이 기반 자필 서명과 동일한 법적 효력을 갖기 위해 도입된 기술입니다. 미국 FDA의 21 CFR Part 11은 전자서명의 요건을 명확하게 정의하고 있으며, 이 기준에 부합하지 않으면 해당 서명은 법적 효력을 인정받을 수 없습니다.

 

전자서명은 단순히 “이 사람이 로그인했다”라는 기술적 기록을 의미하지 않습니다. “이 사람이 이 시점에 이 데이터를 생성/검토/승인했으며, 해당 행위에 책임을 진다”는 것을 의미하는 법적 책임 선언입니다. 따라서 이를 시스템적으로, 문서적으로, 실무적으로 뒷받침할 수 있어야 합니다.

 

 

전자서명의 기본 구성 요소 (3요소 기준)

 

 

21 CFR Part 11에서는 전자서명이 다음과 같은 세 가지 구성요소를 갖춰야 한다고 명시하고 있습니다

 

 

• 전자서명자 고유 식별정보 (ID)와 인증 정보 (Password)
  • ID는 고유해야 하며 사용자 간 공유되어서는 안 됩니다.
  • Password는 복잡성 요구 조건을 만족해야 하며 주기적으로 변경되어야 합니다.
  • 공용 계정 로그인 후 서명하는 방식은 허용되지 않습니다.
• 서명 의미(Signing Meaning)
  • 서명을 통해 사용자가 무엇을 수행했는지를 명확하게 정의해야 합니다.
  • 예: “확인(Confirmed)”, “검토(Reviewed)”, “승인(Approved)”, “거절(Rejected)” 등
  • 일반적으로 시스템에서 선택형 드롭다운 또는 주석 란을 통해 제공
• 서명 시각(Timestamp)과 감사기록 연계
  • 서명한 시간과 날짜가 명확하게 기록되어야 하며, 변경이 불가능해야 함
  • Audit Trail과 연동되어 시스템 로그에 남아야 함
  • 서명이 붙은 데이터 변경 이력 또한 추적 가능해야 함

 

전자서명의 법적 효력 조건

 

전자서명이 자필 서명과 동등한 법적 효력을 갖기 위해서는 단순히 기능이 존재하는 것만으로는 부족합니다.

 다음과 같은 조건이  충족되어야 합니다.

 

 

• 사용자 고유성 확보: 누가 서명했는지 시스템적으로 명확히 식별 가능해야 함
• 책임 추적 가능성 확보: 서명 행위가 데이터와 연계되어, 언제 어떤 행위에 대해 서명했는지 추적 가능해야 함
• 위·변조 방지: 서명 이후 문서 변경이 불가능하거나 변경 시 이력이 남아야 함
• 서명 이력 보존: 시스템이 중단되거나 퇴사자가 생기더라도, 서명 이력은 보존되어야 함

 

주의해야 할 실무 이슈

 

 

• 같은 사람이 생성과 검토를 모두 하는 경우: 불가피할 경우 SOP에 근거를 명시하고, Deviation 관리가 필요
• 서명 후 PDF 출력만 남기는 경우: 전자서명의 메타데이터는 반드시 원 시스템에서 함께 보존되어야 함 (PDF만 보관하면 불충분)
• 중간 저장 단계에서 서명 처리하는 경우: 서명 완료 전에 데이터가 확정되지 않은 상태에서 서명하면 무효로 간주될 수 있음

 

전자서명은 더 이상 선택이 아닌 필수이며, 종이기반 문서보다 훨씬 더 정확한 추적성과 감사 대응력을 보장할 수 있는 장치입니다. 그러나 그만큼 위험도와 책임도 수반되는 요소이므로, 단순 기능 구현에 그쳐선 안 되고 전사적으로 ‘의미 있게 사용하는 문화’가 필요합니다.

 

 

시스템 설계에서 전자서명 적용 시 고려사항

 

전자서명을 도입한다는 것은 단지 소프트웨어의 버튼 하나를 ‘활성화’시키는 문제가 아닙니다. GxP 시스템에 전자서명 기능을 적용하기 위해서는, 법적 요건과 운영 환경, 사용자 행동 패턴까지 모두 고려하여 시스템을 설계하거나 재정비해야 합니다.

 

21 CFR Part 11에서는 전자서명이 가져야 할 최소 조건들을 제시하고 있지만, 그것을 어떻게 구현하고, 어떤 식으로 실제 운영할지는 각 회사의 시스템 환경에 따라 매우 다릅니다. 그래서 전자서명은 항상 규정과 기술, 프로세스가 동시에 작동하는 종합설계 문제라고 볼 수 있습니다.

 

 

시스템 설계 시 고려해야 할 주요 요소

 

 

1) 사용자 계정 관리 (User ID/Password)

• 각 사용자는 개별 ID와 비밀번호를 가져야 하며, 절대 공유해서는 안 됩니다.
• 비밀번호 정책은 최소 문자 수, 특수문자 포함, 일정 주기 변경 등의 기준을 가져야 하며, 시스템 내에서 강제 설정되어야 합니다.
• 퇴사자 처리 절차 또한 포함되어야 하며, 비활성화된 계정도 감사기록 상 추적이 가능해야 합니다.

2) 서명 이벤트의 시점 정의

• 어떤 시점에 어떤 서명을 요구할지, 시스템상 자동 트리거인지 수동 입력인지 명확히 해야 합니다.
• 예: 시험 결과 생성 후 서명 vs. 배치 기록 승인 전 서명 등
• 데이터가 확정된 시점 이후에만 서명할 수 있도록 제한을 걸어야 합니다.

3) 서명 의미 (Signing Reason) 설정

• 단순 ‘승인’ 외에도 ‘검토’, ‘확인’, ‘거절’ 등 다양한 의미가 필요하며,
  시스템 내에서 이들 중 하나를 선택하거나 직접 입력하는 방식으로 구현해야 합니다.
• 특히 비정상적인 데이터(Out of Specification) 처리 시 ‘거절’ 사유를 필수로 기재하게 하는 설정이 필요합니다.

4) 서명 내역 저장 및 감사 추적(Audit Trail)

• 서명 시점, 사용자, 서명 의미, 연결된 데이터의 버전까지 모두 저장되어야 하며,
  이 정보는 Audit Trail 기능과 통합되어야 합니다.
• 서명 후 데이터가 변경되었을 경우, 서명 무효화 및 재서명 요구가 자동으로 동작해야 합니다.

 

예시: 분석기기 소프트웨어(CDS)의 전자서명 적용

 

• Empower, Chromeleon, JASCO Spectra Manager CFR 등 대부분의 CDS는 ER/ES 기능이 내장되어 있음
• 하지만 사용자가 기능을 꺼두거나, 공용 계정을 쓰거나, 서명 주체 구분을 생략하는 경우 규정 위반으로 간주
• “자동 저장 + 서명 후 PDF 출력” 방식은 감사 대응 시 메타데이터가 없는 것으로 간주되어 불충분

 

시스템 설계에서 자주 발생하는 문제점

 

 

문제	리스크	개선 포인트
공용 ID 사용	책임 추적 불가	개인별 ID/Password 부여 및 공용 계정 금지
서명 없이 문서 출력	위변조 가능성	서명된 상태의 원본 파일 보존
서명 기능만 있고 감사 추적 없음	변경 이력 추적 불가	Audit Trail 연동 필수
서명 시점이 불명확	의도되지 않은 책임 전가	프로세스 내 명확한 서명 단계 설정

 

 

 

전자서명은 시스템 기능이 아니라 품질 문화의 일환입니다. 설계 단계에서부터 사용자 행동, 업무 흐름, 규정 해석을 모두 고려해 세팅하지 않으면, 나중에 감사에서 큰 문제로 돌아올 수 있습니다. 특히 최근에는 FDA, MHRA 등에서 전자서명 적용 방식에 대해 훨씬 구체적이고 실질적인 기준을 요구하고 있기 때문에, 실무 설계 시 더 큰 정교함이 필요합니다.

 

 

전자서명 적용을 위한 CSV 및 SOP 전략

 

전자서명(ER/ES)을 시스템에 적용하는 것은 기술적인 기능 구현만으로 끝나지 않습니다. 해당 기능이 의도된 목적대로 신뢰성 있게 작동하고, 법적 요구사항을 충족하며, 실제 업무 흐름에서 일관되게 운영될 수 있도록 문서화되어야 합니다. 이것이 바로 컴퓨터시스템검증(CSV, Computer System Validation)과 SOP(표준작업지침서) 전략의 역할입니다.

 

21 CFR Part 11에서는 전자서명을 하나의 기능으로 간주하지 않고, “전자 기록과 그 서명 전체가 법적 증거로 작동할 수 있는가”

를 중점적으로 봅니다.

즉, 서명 기능만 있다고 규정을 준수하는 것이 아니라, 그 서명이 문서로 검증되었는지, 누가 책임지는지, 어떻게 운영되고 있는지가 모두 확인되어야 합니다.

 

 

CSV 전략: 전자서명 기능을 검증하라

 

전자서명 기능은 다음과 같은 검증 흐름을 거쳐야 합니다.

 

URS (User Requirements Specification)

• 사용자가 요구하는 전자서명 기능 정의
  • 개인별 로그인 → 고유 ID 사용
  • 서명 의미 입력 가능
  • 서명 후 변경 시 Audit Trail 기록
  • 이중 서명(생성자 + 검토자) 등

 

FRS/DS (기능 및 설계 명세서)

• 시스템이 위 요구사항을 어떤 방식으로 구현했는지 상세 기술
• 예: 서명 시도 시 Password 재입력 요구 여부, 서명 의미 리스트 정의 등

 

IQ/OQ/PQ (설치/작동/성능 검증)

• IQ: ER/ES 기능 포함된 시스템이 올바르게 설치되었는지 확인
• OQ: 서명 기능이 설계대로 작동하는지 테스트 (예: 동일 사용자 이중 서명 불가 테스트)
• PQ: 실제 사용 환경에서 사용자 계정과 서명이 올바르게 작동하는지 확인

 

RTM (Requirement Traceability Matrix)

• URS ↔ 테스트 항목 간 추적성 확보
• 감사관이 요구할 경우, 전자서명 관련 모든 요구사항이 실제 테스트되었음을 증빙 가능해야 함

 

 

SOP 전략: 누구나 동일하게, 일관되게

 

전자서명 관련 SOP는 단일 문서로 끝나지 않습니다. 다음과 같은 영역으로 세분화되어야 합니다

 

전자서명 정책 SOP

• 전자서명의 정의, 법적 지위, 적용 대상 시스템, 책임자 지정
• 공용 계정 금지, ID 폐기 정책, 교육 요건 등 포함

 

사용자 계정 관리 SOP

• 신규 계정 생성, 비밀번호 정책, 퇴사 시 계정 비활성화 등
• 감사관이 가장 자주 보는 영역 중 하나

 

서명 이력 점검 및 Audit Trail Review SOP

• 서명된 기록의 정기 점검 주기 설정
• 변경된 데이터에 대해 재서명 요청 및 기록 관리 절차

 

전자문서 출력 및 보존 SOP

• 전자서명 포함된 원본을 어떤 형식으로 출력/보관할지 정의
• 서명된 PDF만 보관할 경우, 메타데이터까지 포함 여부 확인 필요

 

실무 팁

 

 

• 실제 감사에서 가장 자주 나오는 질문:
  “이 서명을 누가 했는지, 왜 했는지, 언제 했는지, 지금도 그 기록이 유효한지 보여줄 수 있습니까?”
• 시스템의 로그만으로 부족합니다.
  검토 및 승인 내역이 문서화되어 있어야 하며, SOP와 현장의 일치성이 중요합니다.
• CSV는 일회성 프로젝트가 아닌 주기적 갱신 대상입니다.
  전자서명 기능 변경, 시스템 업그레이드, SOP 개정 등 변화가 있을 때마다 CSV도 재수행해야 합니다.

 

전자서명의 핵심은 단순히 서명하는 것이 아니라, 그 서명이 “무결한 데이터”를 지지하는 증거로 작동하는 구조를 만드는 것입니다. 이를 위해 CSV와 SOP는 시스템 기능과 업무 책임을 연결하는 다리 역할을 하며, 감사 대응의 핵심 근거가 됩니다.

 

 

실제 감사 대응 시 전자서명 관련 지적 사례와 대처법

 

전자서명은 시스템적으로 구현된 기능일 뿐만 아니라, 데이터 무결성과 컴플라이언스의 핵심 증거입니다. 그러나 많은 제약·바이오 기업에서는 이 기능을 "설정만 하면 끝나는 옵션"처럼 다루다가 GMP 감사나 FDA 실사에서 치명적인 지적사항을 받는 일이 종종 발생합니다.

 

이번 항목에서는 실제 감사에서 나왔던 전자서명 관련 지적 사례를 분석하고, 그에 대한 실무적인 대응 전략을 정리해 보겠습니다.

 

 

사례 1: 공용 ID로 서명된 기록

 

지적내용: 전자기록에 남아 있는 서명이 모두 동일한 ID로 남아 있었고, 이 계정은 여러 사용자가 공유한 것으로 확인됨.

 

문제점: 공용 계정은 사용자의 귀속성을 상실하게 만들며, 서명자의 책임성을 부정합니다.

이는 ALCOA+ 원칙 중 "Attributable(귀속성)"에 위배되며, FDA와 MHRA 모두 매우 민감하게 지적하는 항목입니다.

 

대응전략:

• 공용 계정 사용 금지 정책 명시 (전자서명 정책 SOP에 포함)
• 계정 생성 시 신원확인 절차 기록 및 권한 분류 기록 유지
• 서명된 로그와 사용자 정보 매핑 가능하도록 시스템 정비
• 과거 공용 계정 기록은 Deviation으로 처리하고 CAPA 시행

 

사례 2: 서명 이력 누락 및 변경 후 재서명 미실시

 

지적내용: 시험 결과에 서명이 있었으나, 이후 수정된 이력이 존재함에도 불구하고 재서명이 이루어지지 않음. 감사관은 “최종 책임자는 누구인가?”라는 질문에 대한 명확한 답변을 요구함.

 

문제점: 전자서명은 특정 시점의 데이터에 대한 책임 선언입니다. 이후 데이터가 변경되었을 경우, 이전 서명은 무효로 간주되어야 하며, 변경된 데이터에 대해서는 새롭게 서명이 이루어져야 합니다.

 

대응전략:

• 서명 이후 데이터 변경 시, 자동으로 서명 무효 처리 및 재서명 요구 기능 구현
• Audit Trail과 연동되어 서명 상태를 '유효/무효'로 구분
• SOP에 서명 이후 변경 시 재서명 필수 프로세스 명시
• 변경사항은 반드시 Change Control로 연계하여 추적 가능하게 관리

 

사례 3: 서명 의미(Signing Meaning) 누락

 

지적내용: 서명은 있었으나, 그것이 '검토'인지 '승인'인지 명확하지 않음. 시스템상 로그에도 서명 의미 필드가 비어 있음.

 

문제점: 전자서명은 단순한 인증 행위가 아니라, 어떤 행위에 대한 승인인지를 명확히 구분하는 법적 행위입니다.

서명 의미가 없으면 책임 추적이 불가능하며, 시스템상 ‘누가 무엇을 승인했는가’가 식별되지 않습니다.

 

대응전략:

• 시스템 설정 시 서명 시 반드시 의미(검토/승인 등) 선택 필수화
• 업무별 서명 의미 리스트 표준화: 예) OOS 확인 → ‘거절’, 시험결과 검토 → ‘검토’
• 서명 의미 변경이 불가피할 경우, 그 내역도 Audit Trail에 포함되도록 시스템 설계
• SOP에는 서명 의미에 따라 후속 절차가 어떻게 다르게 적용되는지 기술

 

전사적 ER/ES 적용 로드맵 – 실무 중심의 전환 전략

 

전자서명(ER/ES)을 시스템 일부에 부분적으로 도입한 기업은 많습니다. 그러나 진정한 의미의 데이터 무결성과 감사 대응력을 확보하려면, 전자서명을 ‘기능’이 아닌 전사적 디지털 품질문화의 핵심요소로 바라봐야 합니다. 이를 위해서는 단순한 기술 적용을 넘어, 업무 절차, 사람, 문서, 시스템이 유기적으로 맞물리는 구조로 전환되어야 합니다.

 

이번 항목에서는 조직이 전자서명을 전사적으로 도입하고 성공적으로 정착시키기 위한 실무 중심의 단계별 로드맵을 제시합니다.

 

 

STEP 1: 현황 파악 – 어디까지 되어 있고, 무엇이 안 되어 있는가?

 

전자서명 적용은 일괄 도입이 아니라 위험도 기반 단계적 접근(Risk-Based Approach)이 가장 효과적입니다. 이를 위해 먼저 다음을 파악해야 합니다

 

 

• 어떤 시스템이 전자서명을 적용 중인가?
  예: LIMS, CDS, QMS, ERP 등
• 어떤 시스템은 미적용 상태인가?
• 공용 계정 또는 수기서명이 아직 사용되고 있는 영역은 어디인가?
• 전자서명에 대한 SOP, 교육, 로그 기록은 존재하는가?

 

이 과정을 통해 High Risk → Medium Risk → Low Risk 영역을 구분하여, 도입 우선순위를 설정할 수 있습니다.

 

 

STEP 2: 전사 정책 수립 – 전자서명 통합 기준 정의

 

모든 시스템에서 전자서명 방식과 로그 구조가 다르면, 감사를 대비하기 어렵습니다.

따라서 QA 중심의 전사 정책 수립이 필요합니다

 

 

• 전자서명 정의 및 범위 명확화
  (어떤 서명이 법적 책임을 수반하며, 어떤 데이터가 대상인지)
• 표준화된 서명 의미(Signing Meaning) 용어집 작성
  예: 승인, 검토, 확인, 거절 등
• 공용 ID 사용 금지 선언 및 계정 운영 가이드라인 명문화
• 전자서명 기록의 보존 기간, 재서명 조건, 변경 이력 관리 기준 명시

 

 

STEP 3: CSV + SOP + 교육 통합 실행

 

전사 정책을 기반으로 각 시스템별로 전자서명 기능을 검증하고, SOP를 마련하고, 사용자 교육을 실행해야 합니다.

 

 

• CSV 문서 재정비: URS, FRS, OQ에 ER/ES 기능 포함 여부 확인
• SOP 업데이트: 계정 운영, 로그 검토, 서명 의미 입력 절차 등
• 정기 교육: 모든 사용자가 전자서명의 목적과 책임성을 인지하도록 실시

 

특히 교육은 형식적인 강의가 아니라, Audit 시 실제 질문을 중심으로 한 시뮬레이션 기반 교육이 효과적입니다.

 

 

STEP 4: 전사 통합 모니터링 체계 구축

 

전자서명은 도입 이후가 더 중요합니다. 실시간 모니터링 체계가 없다면 감사에 취약해질 수 있습니다.

 

 

• 서명 로그 주간/월간 리뷰 체계 수립
• 감사 Trail 자동 분석 및 예외 탐지 시스템 구축 (Exception Report)
• 내부 감사 셀프 점검 체크리스트 운영
  (전자서명 누락, 변경 후 미서명 여부 등)

 

STEP 5: 지속적인 갱신과 내부 감사 연계

 

전자서명 도입 이후에도 다음을 꾸준히 관리해야 합니다.

 

• 시스템 업그레이드 또는 버전 변경 시 Revalidation 수행
• 규정 개정 시 SOP와 로그 구조 일치 여부 검토
• Deviation 발생 시 Root Cause가 전자서명과 연관되었는지 확인

전자서명은 ‘도입했다’가 아니라, ‘지속적으로 통제되고 있다’는 상태를 유지하는 것이 핵심입니다.

 

 

 

마무리: 전자서명을 넘어서, 디지털 컴플라이언스로

 

전자서명은 단지 종이 서명을 대체하는 기술이 아니라, 조직의 품질 책임성과 데이터 투명성을 제도화하는 도구입니다. 이 도구를 통해 조직은 감사에 더 유연하게 대응할 수 있고, 고객사 및 규제기관의 신뢰를 얻을 수 있습니다.

 

ALCOA+ 시리즈 5편의 주제를 통해 우리는 기술, 규정, 실무가 어떻게 맞물려야 데이터 무결성이 지켜지는지 살펴보았습니다. 이제 남은 것은 이를 실천하는 조직의 의지와 문화입니다.