Sillok QMS ← 블로그 목록
실록 품질팀 · · 규제 가이드 · 조회 3

21 CFR Part 11 완벽 가이드 — FDA 전자기록·전자서명 요건, 국내 의료기기 기업이 알아야 할 것

품질기록을 종이에서 전자로 옮기는 순간 반드시 따라오는 질문이 있습니다. "이 전자기록이 종이 기록과 같은 효력을 갖는다는 걸 어떻게 증명하죠?"

미국 식품의약국(FDA)이 이 질문에 답으로 내놓은 규정이 21 CFR Part 11입니다. 이름은 익숙한데 조문을 펴 보면 낯선 용어가 이어져서, 실무에서는 "감사추적 되는 시스템 쓰면 되는 거 아닌가" 정도로 뭉뚱그려지곤 합니다. 그러다 미국 수출을 준비하거나 해외 고객사 실사를 받으면서 제대로 부딪힙니다.

이 글은 Part 11을 한 번에 훑는 안내서입니다. 조문 구조, 적용 범위, 폐쇄형·개방형 구분, 자주 틀리는 지점, 도입 전 체크리스트까지 담았습니다. 규제 서술의 근거는 맨 아래 출처에 모아 두었습니다.

이 글은 일반적인 정보 제공이며 법률 자문이 아닙니다. 적용 여부와 범위는 제품·시장·기록 유형에 따라 달라지므로 최종 판단은 자사 규제 담당자와 전문가 확인이 필요합니다.

1. 21 CFR Part 11이란

Part 11은 FDA 규제를 받는 기업이 만드는 전자기록(electronic records)과 전자서명(electronic signatures)이 어떤 조건을 갖추면 종이 기록·수기 서명과 동등하게 인정되는지를 정한 연방규정입니다. 1997년 3월 20일 게재되어 같은 해 8월 20일부터 시행되었습니다.

배경은 단순합니다. 종이는 지우면 흔적이 남고 도장은 물리적으로 하나뿐입니다. 반면 전자파일은 흔적 없이 고칠 수 있고, 계정만 빌리면 남의 이름으로 승인할 수도 있습니다. 그래서 FDA는 "전자로 가도 좋다. 대신 종이가 물리적 성질로 담보하던 신뢰성을 전자에서는 통제 장치로 만들어 놓아라"고 요구한 것입니다.

시행 초기에는 해석이 과도하게 넓어졌습니다. 사실상 모든 전자파일을 대상으로 보고 검증 문서를 쌓으면서 오히려 전자화를 미루는 역효과가 났습니다. FDA는 2003년 8월 지침 "Part 11, Electronic Records; Electronic Signatures — Scope and Application" 으로 적용 범위를 좁게 해석하겠다고 밝히고, 일부 요구(검증, 감사추적, 기록 사본, 기록 보존, 레거시 시스템)에 집행재량(enforcement discretion — 위반이 있어도 상황에 따라 제재하지 않겠다는 방침) 을 적용하겠다고 정리했습니다.

여기서 오해가 자주 생깁니다. 집행재량은 "안 해도 된다"가 아닙니다. 같은 지침은 선행 규정(predicate rule — 해당 기록을 요구하는 원래 규정. 의료기기라면 품질시스템 규정, 시판 후 보고 규정 등)이 요구하는 기록과 서명 자체는 그대로 지켜야 한다고 못 박고 있습니다.

2. 누가, 언제 적용받나

Part 11은 FDA 규제 대상 제품의 기록을 전자적으로 만들고·수정하고·보관하고·조회하고·전송할 때 적용됩니다. 종이로만 관리하는 회사에는 적용되지 않습니다. 전자로 하기 때문에 생기는 규정입니다. 전자서명으로 승인·검토를 대신한다면 서명 부분(Subpart C)까지 정면으로 적용됩니다. 반대로 종이가 공식 기록이고 전자파일은 그 사본·편의용이라는 점이 절차로 명확하다면, 대상에서 벗어난다고 보는 것이 2003년 지침의 취지입니다.

국내 기업 관점에서 이 규정이 문제 되는 시점은 대체로 미국 시장 진입입니다. 510(k), De Novo, PMA 등으로 미국에 제품을 내놓으면 미국 품질시스템 요구를 따르는 품질경영시스템을 운영하고 FDA 실사 대상이 됩니다. 설계관리·공정검증·부적합·시정예방조치(CAPA)·불만처리 기록을 전자시스템으로 관리한다면, 그 시스템이 Part 11 통제를 갖추었는지가 질문 대상이 됩니다. 회사 소재지가 한국인지는 기준이 아닙니다.

식약처 제출이 주력인 회사라면 Part 11이 직접 적용되지는 않습니다. 다만 국내 의료기기 제조·품질관리 기준(KGMP)과 ISO 13485:2016도 기록의 신뢰성을 요구합니다. 누가·언제 기록했는지, 나중에 고쳤다면 흔적이 남는지 — 표현은 달라도 묻는 것은 같고, 국제적으로 통용되는 ALCOA+ 원칙(귀속성·가독성·동시성·원본성·정확성에 완전·일관·영속·가용을 더한 데이터 무결성 판단 틀)과도 결이 같습니다. 게다가 미국 진출은 대개 뒤늦게 결정되고, 몇 년치 기록이 쌓인 뒤 맞추는 비용이 처음부터 그 수준으로 운영하는 비용보다 훨씬 큽니다.

3. 규정 구조 — 조문별로 무엇을 요구하나

Subpart A — 총칙 (§11.1 ~ §11.3)

§11.1 Scope(적용 범위), §11.2 Implementation(전자기록·전자서명을 종이 대신 쓸 수 있는 조건), §11.3 Definitions(정의)로 이루어집니다. 실무에서 가장 많이 인용되는 것이 §11.3의 폐쇄형 시스템(closed system) 과 개방형 시스템(open system) 정의입니다(4장 참조).

Subpart B — 전자기록 (§11.10 · §11.30 · §11.50 · §11.70)

§11.10 — 폐쇄형 시스템의 통제. Part 11의 심장입니다. (a)부터 (k)까지 열한 가지를 요구합니다.

  • (a) 시스템 검증 — 정확하고 신뢰할 수 있게, 의도한 대로 일관되게 동작함을 확인할 것. 그리고 무효이거나 변경된 기록을 식별할 수 있을 것.
  • (b) 정확하고 완전한 사본 — 사람이 읽을 수 있는 형태와 전자적 형태 모두로 만들어 FDA 검토·복사·조회에 제공할 수 있을 것.
  • (c) 기록 보호 — 보존기간 내내 보호하고 정확·신속하게 찾아볼 수 있게 할 것.
  • (d) 접근 제한 — 시스템 접근을 권한 있는 사람으로 제한할 것.
  • (e) 감사추적 — 안전하고, 컴퓨터가 자동 생성하며, 시간이 찍힌(secure, computer-generated, time-stamped) 감사추적(audit trail — 누가 언제 무엇을 만들고 고치고 지웠는지 자동으로 남는 기록) 을 쓰고, 이전에 기록된 정보를 가리지 않을 것. 기록 보존기간 이상 보관되고 조회·복사가 가능해야 합니다.
  • (f) 순서 통제 — 정해진 단계와 사건의 순서를 시스템이 강제할 것(해당되는 경우).
  • (g) 권한 검사 — 권한 있는 사람만 시스템을 쓰고, 전자서명하고, 입출력 장치에 접근하고, 해당 작업을 수행하도록 확인할 것.
  • (h) 장치 검사 — 데이터 입력이나 명령의 출처가 유효한지 확인할 것(해당되는 경우).
  • (i) 교육·훈련·경험 — 시스템을 개발·유지·사용하는 사람이 그 업무에 맞는 교육·훈련·경험을 갖출 것.
  • (j) 서명 책임 정책 — 전자서명한 행위에 개인이 책임지도록 문서화된 정책을 두어 기록·서명 위조를 억제할 것.
  • (k) 시스템 문서 통제 — 시스템 문서의 배포·접근·사용을 통제하고 변경 이력을 감사추적으로 남길 것.

§11.30 — 개방형 시스템의 추가 통제. 개방형이면 §11.10에 더해 기록의 진본성·무결성과 (필요한 경우) 기밀성을 보장할 추가 수단을 두어야 하며, 조문은 그 예로 문서 암호화와 적절한 디지털 서명 표준의 사용을 듭니다.

§11.50 — 서명 표시. 서명된 전자기록에는 서명자의 인쇄된 이름, 서명이 실행된 날짜와 시각, 서명의 의미(검토·승인·책임·작성 중 무엇인지)가 표시되어야 합니다. 이 정보는 화면 표시본이든 인쇄본이든 사람이 읽을 수 있는 형태에 포함되어야 하고 §11.10의 통제를 똑같이 받습니다. 실무에서 가장 많이 빠뜨리는 것이 "의미" 입니다.

§11.70 — 서명과 기록의 결합. 전자서명은 해당 기록에 연결(link) 되어, 잘라내거나 복사하거나 다른 기록으로 옮겨 위조하는 일이 불가능해야 합니다. 서명 이미지를 PDF에 얹는 방식이 위험한 이유가 여기 있습니다.

Subpart C — 전자서명 (§11.100 · §11.200 · §11.300)

§11.100 — 일반 요구. 각 전자서명은 한 개인에게 고유해야 하고 다른 사람에게 재사용·재배정될 수 없습니다. 조직은 서명을 부여하기 전에 그 사람의 신원을 확인해야 합니다. 그리고 전자서명을 쓰려는 자는 사용 전에, 자사 전자서명이 수기 서명과 법적 구속력이 동등하다는 점을 증명하는 서한(certification) 을 FDA에 제출해야 합니다 — 국내 기업이 자주 놓치는 절차 항목입니다.

§11.200 — 서명의 구성요소와 통제. 생체인식이 아닌 전자서명은 최소 두 개의 서로 다른 식별 요소(예: 식별코드와 비밀번호)를 씁니다. 한 번의 연속된 접속 중 첫 서명은 모든 구성요소로, 이어지는 서명은 최소 하나 이상(오직 본인만 실행할 수 있는 요소)으로 실행합니다. 연속 접속 중이 아니면 매번 모든 구성요소를 씁니다. 또한 본인이 아닌 사람이 쓰려면 두 명 이상의 공모가 필요하도록 설계되어야 합니다.

§11.300 — 식별코드·비밀번호 통제. 식별코드와 비밀번호 조합의 고유성 보장, 비밀번호의 주기적 점검·회수·개정, 분실·도난 장치에 대한 손실 관리와 대체 발급 통제, 무단 사용 방지 안전장치와 시도 탐지 시 보안 담당·경영진에 즉시 보고, 토큰·카드 등 장치의 초기·주기 시험을 요구합니다.

4. 폐쇄형 vs 개방형 시스템

§11.3의 정의를 실무 언어로 옮기면 이렇습니다. 폐쇄형은 시스템 접근을 그 안에 든 전자기록의 내용에 책임지는 사람들이 통제하는 환경이고, 개방형은 접근이 그 사람들의 통제 밖에 있는 환경입니다.

핵심은 인터넷을 쓰느냐가 기준이 아니라는 점입니다. 클라우드로 서비스되더라도 계정 발급·권한 부여·회수를 기록 책임자(품질책임자 등)가 통제하고 그 통제가 절차로 문서화되어 있다면 일반적으로 폐쇄형으로 해석됩니다. 반대로 사내 서버에 있어도 누구나 계정을 만들고 관리자가 불분명하면 폐쇄형이라 말하기 어렵습니다.

판단할 때 보는 질문은 대체로 이렇습니다. 계정 발급·권한 부여·퇴사자 회수의 승인권자가 정해져 있는가. 관리자 권한을 가진 사람이 기록 내용에 책임지는 조직 라인 안에 있는가. 접근 권한 변경이 기록으로 남는가. 개방형으로 판단되면 §11.30에 따라 암호화·디지털 서명 같은 추가 통제가 얹히므로, 실무에서는 접근 통제 체계를 갖춰 폐쇄형으로 운영하는 것이 일반적인 선택입니다.

5. 실무에서 자주 틀리는 것

① 감사추적을 사람이 손으로 관리한다. 개정 이력을 엑셀이나 문서 표지에 담당자가 직접 적는 방식입니다. §11.10(e)는 감사추적이 컴퓨터가 자동 생성하는(computer-generated) 것이어야 한다고 요구합니다. 사람이 적으면, 적지 않은 순간 남지 않습니다.

② 공유 계정을 쓴다. "품질팀 공용 아이디"로 여러 명이 로그인하는 경우입니다. §11.100(a)의 서명 고유성과 §11.10(d)의 접근 제한을 동시에 무너뜨리고, 무엇보다 기록에 남은 서명이 누구의 행위인지 특정할 수 없게 되어 기록 전체의 신뢰성이 흔들립니다.

③ 스캔한 서명 이미지를 전자서명으로 여긴다. 이미지는 복사해 다른 문서로 옮길 수 있으므로, 서명과 기록이 결합되어 위조가 불가능해야 한다는 §11.70을 만족하기 어렵습니다. 서명 시점에 본인 확인이 있었는지도 증명되지 않습니다.

④ 서명의 "의미"가 없다. 승인란에 이름과 날짜만 있는 경우입니다. §11.50은 서명의 의미(검토·승인·책임·작성)를 함께 표시하도록 요구합니다. 결재선에서 검토자와 승인자의 역할이 문서 위에 구분되어 보이는지 확인해 보시면 됩니다.

⑤ 백업은 있는데 복구해 본 적이 없다. §11.10(c)는 보존기간 내내 기록을 보호하고 정확·신속하게 조회할 수 있어야 한다고 요구합니다. 백업 설정만 있고 실제로 복구해 본 기록이 없으면 이 요구를 충족한다고 말하기 어렵습니다. 복구 시험 기록은 실사에서 바로 쓰이는 증거입니다.

6. CSA와의 관계 — 위험에 비례한 검증으로

§11.10(a)의 검증 요구는 실무에서 부담이 가장 큰 항목이었습니다. 화면 하나하나를 각본대로 시험하고 스크린샷을 수천 장 붙이는 관행이 여기서 나왔습니다. FDA는 이 부담이 오히려 품질을 해친다고 보고 방향을 바꿨습니다. Computer Software Assurance(CSA — 컴퓨터 소프트웨어 보증) 지침은 소프트웨어의 의도된 용도와 공정 위험을 먼저 판단해 위험이 큰 기능에 검증 노력을 집중하고, 낮은 위험은 덜 형식적인 보증 활동(각본 없이 수행하는 시험 등)과 간결한 기록으로 처리하도록 권고합니다.

규정 배경도 최근 바뀌었습니다. 과거 의료기기 품질시스템 소프트웨어의 검증 근거는 21 CFR 820.70(i)(자동화 공정)였는데, 2026년 2월 2일 시행된 QMSR(Quality Management System Regulation) 이 21 CFR Part 820을 개정해 ISO 13485:2016을 인용하는 구조로 바꾸면서 소프트웨어 밸리데이션 요구의 위치가 ISO 13485:2016 4.1.6 등으로 옮겨 갔습니다. FDA는 2025년 9월 24일 CSA 최종 지침을 발표한 뒤, 2026년 2월 3일 QMSR과 정합을 맞춘 개정판을 내어 이를 대체했습니다.

오해하기 쉬운 지점을 짚습니다. CSA는 검증을 면제해 주는 제도가 아닙니다. 총량을 줄이는 게 아니라 배분을 바꾸는 것입니다. 환자 안전이나 제품 품질에 직접 영향을 주는 기능 — 승인 없이 문서가 시행되지 않게 막는 통제, 감사추적이 지워지지 않게 하는 통제 — 은 오히려 더 엄격하게 봅니다. 위험 판단의 근거를 기록으로 남기는 일도 여전히 필요합니다.

7. 도입 전 체크리스트

전자시스템 도입을 검토 중이라면 공급업체와 자사 절차를 이 항목들로 점검해 보시면 됩니다. 앞의 다섯은 시스템이, 뒤의 다섯은 회사가 갖춰야 할 것입니다.

  • ☐ 모든 생성·수정·삭제가 자동으로 감사추적에 남고, 사용자가 그 감사추적을 지우거나 고칠 수 없는가 (§11.10(e))
  • ☐ 감사추적이 이전 값을 덮어쓰지 않고 변경 전·후를 함께 보여 주는가 (§11.10(e))
  • ☐ 기록을 사람이 읽을 수 있는 형태와 전자적 형태로 내보낼 수 있는가 (§11.10(b))
  • ☐ 서명 시점에 본인 확인 절차가 있고, 서명자 이름·일시·의미가 기록에 표시되는가 (§11.50, §11.200)
  • ☐ 확정된 기록이 수정되지 않도록 잠기고, 재개정은 별도 절차와 사유를 거치는가 (§11.10(a)(c))
  • ☐ 계정이 1인 1계정으로 발급되고 공유 계정이 존재하지 않는가 (§11.100(a))
  • ☐ 권한 부여·변경·회수(퇴사자 포함)의 승인권자와 절차가 문서화되어 있는가 (§11.10(d)(g), §11.300)
  • ☐ 전자서명 책임에 관한 사내 정책 문서가 있고 서명자가 교육받았는가 (§11.10(i)(j))
  • ☐ 백업과 복구 시험 기록이 있고, 보존기간이 선행 규정에 맞게 정의되어 있는가 (§11.10(c))
  • ☐ 미국에서 전자서명을 쓸 예정이라면 FDA 앞 증명 서한(certification) 제출 계획이 있는가 (§11.100(c))

8. 자주 묻는 질문

Q. Part 11은 한국 기업에도 적용되나요?
한국에 있다는 이유만으로 적용되지는 않습니다. 적용 여부는 FDA 규제 대상 제품의 기록을 전자로 다루는지로 갈립니다. 미국에 제품을 공급하면서 품질기록을 전자시스템으로 관리한다면 회사 소재지와 무관하게 대상이 된다고 보는 것이 일반적인 해석입니다. 국내 판매만 한다면 직접 적용은 아니지만, KGMP·ISO 13485가 요구하는 기록 신뢰성의 관점은 크게 다르지 않습니다.

Q. 전자서명과 공인인증서(공동인증서)는 같은 건가요?
다릅니다. Part 11의 전자서명은 인증서 기술을 쓰라는 요구가 아니라, 서명이 한 사람에게 고유하고(§11.100) 두 개 이상의 식별 요소로 실행되며(§11.200) 기록에 결합되어 떼어낼 수 없어야 한다(§11.70)는 요건을 정한 것입니다. 식별코드와 비밀번호 조합으로도 이 요건을 만족할 수 있습니다. 반대로 국내 전자서명법상의 인증서를 쓴다고 해서 Part 11 요건이 자동으로 충족되지도 않습니다.

Q. 엑셀로 품질기록을 관리하면 위반인가요?
엑셀을 썼다는 사실 자체가 곧 위반은 아닙니다. 문제는 일반적인 스프레드시트가 §11.10(e)의 자동 감사추적과 §11.10(d)의 접근 제한을 만족하기 어렵다는 데 있습니다. 누가 언제 어느 셀을 고쳤는지 자동으로 남지 않고, 파일을 복사하면 통제 밖으로 나갑니다. 전자기록으로 인정받으려면 상당한 부가 통제가 필요하고, 그 비용이 전용 시스템 도입 비용에 근접하는 경우가 많습니다.

Q. 클라우드 QMS를 쓰면 개방형 시스템인가요?
인터넷 사용 여부가 기준이 아닙니다. §11.3의 정의는 기록 내용에 책임지는 사람이 접근을 통제하는가를 봅니다. 계정 발급·권한 부여·회수를 자사 품질책임자가 통제하고 그 절차가 문서화되어 있다면 일반적으로 폐쇄형으로 해석됩니다. 개별 판단은 자사 규제 담당자 확인이 필요합니다.

Q. 시스템만 도입하면 Part 11 준수가 끝나나요?
아닙니다. 열한 가지 통제 중 교육·훈련(§11.10(i)), 서명 책임 정책(§11.10(j)), 계정 관리 절차(§11.300), FDA 앞 증명 서한(§11.100(c))은 회사의 절차와 행위로 채워야 하는 부분입니다. 소프트웨어는 기술적 통제를 제공하고, 나머지는 조직이 완성합니다.

9. 실록 QMS는 어떻게 돕나

실록은 위 요건 중 소프트웨어가 담당할 수 있는 기술적 통제를 기본 기능으로 제공합니다. 준수는 시스템만으로 완성되지 않고, 고객사의 절차·교육·기록과 함께 성립합니다.

  • 서명 시점 비밀번호 재인증 — 결재 각 단계에서 서명 직전에 본인 비밀번호를 다시 확인합니다(§11.200의 두 요소 요건을 겨냥한 설계입니다).
  • 서명자·일시·의미 표시 — 결재 이력에 서명한 사람, 실행 시각, 그 서명이 작성인지 검토인지 승인인지가 함께 남고 문서 위에 표시됩니다(§11.50).
  • SHA-256 무결성 다이제스트 — 상신 시점의 결재 내용을 해시로 계산해 두고 서명마다 함께 기록합니다. 서명 이후 내용이 바뀌면 대조로 드러납니다(§11.70의 결합 요건을 겨냥한 설계입니다).
  • 고칠 수 없는 감사추적 — 생성·수정·삭제가 자동으로 감사로그에 남고, 감사로그 자체를 수정·삭제하는 경로를 두지 않았습니다. 변경 전·후 값을 함께 보관합니다(§11.10(e)).
  • 확정 기록 잠금 — 시행된 문서는 수정되지 않으며 개정은 변경관리와 결재를 거칩니다(§11.10(a)(c)).
  • 검증보고서(Validation Summary) 발급 — 고객사가 자사 검증 근거로 쓸 수 있도록, 시스템 검증 수행 결과를 정리한 문서를 발급합니다(§11.10(a) 대응 자료).

무엇을 시스템이 담보하고 무엇이 회사 몫으로 남는지 명확히 하는 것이 실사에서 가장 방어력이 큰 준비입니다. 도입을 검토 중이시라면 7장 체크리스트를 들고 지금 쓰시는 방식과 하나씩 비교해 보시길 권합니다.

출처

규제 서술은 다음 공식 자료를 근거로 작성했습니다. 조문 해석과 적용 판단은 자사 규제 담당자·전문가 확인이 필요합니다.

ISO 13485:2016은 조항 번호와 명칭만 인용했으며 표준 본문은 옮기지 않았습니다.

문서관리 때문에 같은 고통을 겪고 계시다면, 실록이 어떻게 해결하는지 살펴보세요.

시스템 소개 보기 요금제 확인

댓글 0

첫 댓글을 남겨보세요.