ISO 13485 내부심사 준비 — 실무자가 실제로 챙기는 체크리스트

내부심사(8.2.4)는 외부 인증심사의 리허설이자, 시스템이 실제로 돌아가는지 조직 스스로 확인하는 장치입니다. 그런데 많은 회사에서 내부심사가 "문서가 있는지 확인하는 형식적 절차"로 축소됩니다. 정작 외부 심사관은 문서의 존재가 아니라 문서와 현실의 일치를 봅니다.

준비 단계에서 실무자가 실제로 챙기는 항목을 체크리스트로 풀었습니다. 인증 표준의 문장을 외우는 것보다, 이 질문들에 답할 수 있는지가 훨씬 중요합니다.

준비 1 — 지난 심사의 시정조치가 실제로 닫혔는가

가장 먼저 파고드는 지점입니다. 직전 내부·외부 심사의 부적합에 대한 시정조치(8.5.2)가 근본 원인까지 다뤘는지, 아니면 증상만 덮었는지를 봅니다.

• [ ] 지난 부적합별 시정조치 완료 기록이 있는가
• [ ] "재발 방지"가 담당자 교육 한 줄로 끝나지 않았는가 (근본 원인 분석 유무)
• [ ] 조치의 유효성 검증(effectiveness check)이 기록되었는가

시정조치가 열린 채 다음 심사를 맞으면, 신뢰 자체가 흔들립니다.

준비 2 — 절차서와 실제 작업이 일치하는가

심사관이 즐겨 쓰는 방식은 "문서를 덮고 작업자에게 직접 묻기"입니다. 절차서에는 3단계로 적혀 있는데 현장은 2단계로 한다면, 그건 문서가 현실을 반영하지 못한다는 증거입니다.

• [ ] 최근 개정된 절차서의 변경 내용을 실무자가 알고 있는가
• [ ] 절차서상 기록 양식과 실제 사용 양식이 같은 버전인가
• [ ] "현행본이 무엇인지" 작업 지점에서 즉시 확인 가능한가

준비 3 — 기록이 ALCOA+를 만족하는가

기록관리(4.2.5)에서 심사관은 기록의 신뢰성을 봅니다. 국제적으로 통용되는 ALCOA+ 원칙(귀속성·가독성·동시성·원본성·정확성 + 완전·일관·영속·가용)이 판단 틀입니다.

• [ ] 누가 기록했는지 명확한가 (Attributable)
• [ ] 작업 시점에 기록되었는가, 나중에 몰아서 쓰지 않았는가 (Contemporaneous)
• [ ] 수정 흔적이 원본을 지우지 않고 남는가 (Original·정정 이력)
• [ ] 사후 편집 여부를 증명할 수 있는가

종이 기록의 "화이트 수정액" 문제가 전자기록에서는 "감사추적 없는 덮어쓰기"로 되풀이됩니다.

준비 4 — 심사원에게 무엇을, 어디까지 보여줄지 정했는가

외부 심사 당일, 요청받은 문서를 찾느라 30분씩 헤매면 그 자체가 인상을 깎습니다. 반대로 요청 범위를 넘어 과도하게 열어 주면 불필요한 지적을 부릅니다.

• [ ] 심사 회차별로 열람 범위가 통제되는가
• [ ] 열람 전용 접근을 즉시 부여·회수할 수 있는가
• [ ] 원본 다운로드 권한이 필요 이상으로 열려 있지 않은가

준비 5 — 내부심사원의 독립성이 확보됐는가

내부심사(8.2.4)는 자기 업무를 자기가 심사하지 않는 것이 원칙입니다. 문서를 만든 사람이 그 문서 영역을 심사하면 객관성이 성립하지 않습니다.

• [ ] 심사원이 자신의 담당 영역을 심사하고 있지 않은가
• [ ] 심사원 자격·교육 이력이 기록되어 있는가

자주 묻는 질문

Q. 내부심사를 인증심사 직전에 한 번만 하면 되나요?
연간 계획에 따라 전 프로세스를 주기적으로 커버하는 게 원칙입니다. 인증 직전 벼락치기는 "심사를 위한 심사"로 보여 오히려 감점 요인이 됩니다.

Q. 부적합이 하나도 안 나온 내부심사는 좋은 건가요?
대개는 그 반대로 해석됩니다. 무결점 결과는 "심사가 충분히 깊지 않았다"는 신호일 수 있습니다. 개선 기회를 스스로 찾아내는 것이 내부심사의 목적입니다.

Q. 소규모 조직에서 독립성을 어떻게 확보하나요?
전 직원이 서로의 영역을 교차 심사하거나, 외부 심사원을 활용하는 방법이 있습니다. 규모가 작아도 "만든 사람이 심사하지 않는다"는 선은 지켜야 합니다.

내부심사의 진짜 목적은 부적합 개수를 줄이는 게 아니라, 외부 심사에서 나올 질문을 우리가 먼저 던지는 것입니다. 위 다섯 준비를 통과하면, 인증심사는 이미 절반쯤 끝난 셈입니다.