21 CFR Part 11전자기록·전자서명 규정
Title 21 CFR Part 11 — Electronic Records; Electronic Signatures
한 줄 요약
21 CFR Part 11은 1997년에 발효된 미국 FDA의 전자기록·전자서명 규정입니다. 의료기기·의약품 회사가 품질기록을 전자적으로 만들고 보관하고 승인할 때, 그 기록을 신뢰할 수 있고 믿을 만하며 종이기록과 동등한 것으로 보기 위한 조건을 정합니다. 핵심은 네 가지입니다 — 시스템을 검증할 것, 변경 불가한 감사추적을 남길 것, 권한 있는 사람만 접근하게 할 것, 서명자·일시·서명의 의미가 결합된 전자서명을 쓸 것입니다. Part 11은 '무엇을 기록해야 하는가'를 정하지 않습니다. 그것은 근거 규정(predicate rule)인 품질시스템 규정 등이 정하고, Part 11은 '그것을 전자로 할 때의 방법'만 규율합니다.
- 정식 명칭
- Title 21 Code of Federal Regulations Part 11 — Electronic Records; Electronic Signatures
- 소관 기관
- 미국 식품의약국(FDA)
- 발효
- 1997년 8월 20일입니다. 실질 요건(§11.10~§11.300)은 이후 개정되지 않았습니다.
- 적용 대상
- FDA 규제 대상 기록을 전자적으로 작성·보관·제출·서명하는 모든 조직
- 구성
- Subpart A(총칙) · Subpart B(전자기록) · Subpart C(전자서명), 총 10개 조문
- 인증 제도
- FDA에는 소프트웨어를 인증하는 제도가 없습니다.
2026-07-29 기준 · 작성·검토 실록 규제팀 · 규제 정보는 개정될 수 있으므로 원문을 함께 확인해 주세요.
At a glance · 한눈에 보기
21 CFR Part 11, 핵심만 먼저
무엇인가
종이를 전자로 바꿀 때의 조건
FDA가 요구하는 기록을 전자로 만들고 전자로 서명하려면, 그 전자기록이 종이만큼 믿을 수 있어야 합니다. Part 11은 그 '믿을 수 있음'을 어떻게 증명하는지를 정합니다.
누가
FDA 규제 기록을 전자로 다루는 모든 회사
미국에 의료기기를 수출하거나 FDA 실사를 받는 한국 제조·수입업체도 그대로 적용받습니다. 자발적으로 전자화한 기록도 적용 대상입니다.
핵심 요구
검증 · 감사추적 · 접근통제 · 전자서명
§11.10의 (a) 시스템 검증, (e) 변경 불가한 감사추적, (d)(g) 접근·권한 통제, 그리고 §11.50·§11.70의 전자서명 요건이 실무에서 가장 자주 지적됩니다.
전자서명
누가 · 언제 · 어떤 의미로
서명된 기록에는 서명자의 성명, 서명한 날짜와 시각, 그리고 서명의 의미(검토·승인·책임 등)가 함께 표시되어야 합니다(§11.50).
감사추적
덮어쓰지 않고 따로 쌓입니다
안전하고, 컴퓨터가 자동으로 생성하며, 시각이 찍힌 감사추적이어야 합니다. 기존 기록을 가리거나 덮어쓰지 않고 별도로 기록되어야 합니다(§11.10(e)).
근거 규정
Part 11 단독으로는 작동하지 않습니다
무엇을 기록하고 얼마나 보관할지는 품질시스템 규정 등 근거 규정(predicate rule)이 정합니다. Part 11은 그 기록을 전자로 다룰 때의 방법만 규율합니다.
집행 재량
2003년 가이던스의 진짜 의미
FDA는 일부 항목에 집행 재량을 밝혔지만, 근거 규정이 요구하는 기록·감사추적·보존은 그대로 강제됩니다. '안 지켜도 된다'는 뜻이 아닙니다.
가장 큰 오해
'Part 11 인증 제품'은 존재하지 않습니다
FDA는 소프트웨어를 인증하지 않습니다. 공급자는 요건을 충족할 수 있는 기능을 제공할 뿐이고, 검증과 운영 책임은 사용하는 회사에 있습니다.
21 CFR Part 11은 무엇입니까
종이 기록을 전자로 바꾸고 싶다는 업계의 요구에서 출발했습니다.
1990년대 초 의약품·의료기기 업계는 늘어나는 종이 기록을 전자적으로 관리하고 서명하기를 원했습니다. 그러나 당시 FDA 규정은 기록의 '작성·보관·서명'을 종이를 전제로 쓰고 있었기 때문에, 전자기록이 법적으로 유효한지가 불분명했습니다. FDA는 업계 요청을 받아 규칙 제정에 착수했고, 그 결과가 21 CFR Part 11입니다.
Part 11의 목적은 한 문장으로 정리됩니다. 전자기록과 전자서명이 신뢰할 수 있고 믿을 만하며, 종이기록과 수기서명에 상응하는 것으로 FDA가 받아들일 수 있는 조건을 정하는 것입니다. 바꿔 말하면 Part 11을 충족하지 못한 전자기록은 규제상 '기록이 없는 것'으로 취급될 위험이 있습니다.
Part 11의 실질 요건인 §11.10부터 §11.300까지는 발효 이후 한 번도 개정되지 않았습니다. 그동안 개정된 것은 적용 범위를 정한 §11.1뿐이고, 그 개정은 모두 식품 분야 기록을 적용 대상에서 빼는 내용이라 의료기기와는 관계가 없습니다. 따라서 '최신 Part 11'을 찾으실 때는 조문이 아니라 가이던스와 실사 동향을 확인하셔야 합니다.
누가 적용받습니까 (§11.1 · §11.2)
미국 회사만의 문제가 아닙니다. FDA에 제출하거나 FDA 실사 대상이 되는 기록이면 적용됩니다.
- FDA 규정(근거 규정)이 작성·보관을 요구하는 기록을 전자 형태로 만들거나 수정하거나 보관하거나 열람하거나 전송하는 경우
- 종이 기록 대신 전자기록을 제출하거나, 전자기록만으로 규제 요구를 충족하려는 경우
- 수기서명 대신 전자서명으로 승인·검토·책임 표시를 하는 경우
- 미국에 의료기기를 수출하는 한국 제조·수입업체가 FDA 실사에서 전자기록을 제시하는 경우
반대로 적용되지 않는 경우도 분명합니다. 규제가 요구하지 않는 사내 참고용 자료, 그리고 전자시스템으로 만들었더라도 최종적으로 종이 원본을 정본으로 보관하고 종이에 수기서명하여 그 종이가 규제 기록으로 관리되는 경우에는 Part 11이 직접 적용되지 않습니다. 다만 이 경우에도 '종이가 진짜 정본인지'를 회사가 설명할 수 있어야 합니다.
국내 판매만 하는 회사라도 안심할 수는 없습니다. 식약처 KGMP 별표2 4.1.6은 품질경영시스템에 사용하는 컴퓨터 소프트웨어의 유효성을 최초 사용 전에 확인하고 그 기록을 유지하도록 요구합니다. 전자문서관리시스템을 도입했다면 국내 심사에서도 같은 성격의 검증 자료를 요구받습니다.
규정의 전체 지도 — 조문 10개
Part 11은 세 묶음, 조문 열 개로 이루어져 있습니다. 전체를 한 번 훑어두면 나머지가 쉬워집니다.
표는 좌우로 밀어서 보실 수 있습니다.
| 묶음 | 조문 | 제목 | 무엇을 정하는가 |
|---|---|---|---|
| Subpart A 총칙 | §11.1 | Scope | 어디까지 적용되는지 |
| Subpart A 총칙 | §11.2 | Implementation | 전자기록을 제출·보관에 쓸 수 있는 조건 |
| Subpart A 총칙 | §11.3 | Definitions | 전자기록·전자서명·폐쇄시스템·개방시스템 등 용어 |
| Subpart B 전자기록 | §11.10 | Controls for closed systems | 핵심 조문 — (a)~(k) 11개 통제 |
| Subpart B 전자기록 | §11.30 | Controls for open systems | 개방시스템 추가 통제(암호화·디지털서명) |
| Subpart B 전자기록 | §11.50 | Signature manifestations | 서명에 표시되어야 할 세 가지 |
| Subpart B 전자기록 | §11.70 | Signature/record linking | 서명과 기록의 결합 |
| Subpart C 전자서명 | §11.100 | General requirements | 서명의 고유성·신원확인·FDA 인증서 |
| Subpart C 전자서명 | §11.200 | Components and controls | 두 개의 식별 요소 등 서명 방식 |
| Subpart C 전자서명 | §11.300 | Identification codes/passwords | 아이디·비밀번호 관리 |
- 폐쇄시스템 Closed system
- 시스템에 담긴 전자기록의 내용에 책임이 있는 사람들이 시스템 접근을 통제하는 환경입니다. 사내 계정 체계로 접근을 관리하는 대부분의 업무 시스템이 여기에 해당합니다.
- 개방시스템 Open system
- 기록 내용에 책임이 있는 사람들이 시스템 접근을 통제하지 못하는 환경입니다. 이 경우 §11.10의 통제에 더해 문서 암호화와 적절한 디지털 서명 표준을 추가로 적용해야 합니다(§11.30).
- 근거 규정 Predicate rule
- 무엇을 기록하고 얼마나 보관해야 하는지를 정하는 실체 규정입니다. 의료기기라면 품질시스템 규정(21 CFR Part 820 → 2026년 2월 2일부터 QMSR), 부작용 보고(Part 803), 회수·시정(Part 806) 등이 여기에 해당합니다.
폐쇄시스템과 개방시스템은 '클라우드인가 사내 서버인가'로 갈리지 않습니다. 판단 기준은 오직 접근 통제의 주체입니다. 클라우드 서비스라도 회사가 계정 발급과 권한을 통제한다면 폐쇄시스템으로 볼 수 있습니다.
§11.10 폐쇄시스템 통제 — (a)부터 (k)까지
Part 11의 무게 중심입니다. 실사에서 지적되는 항목의 대부분이 이 조문 안에 있습니다.
폐쇄시스템을 쓰는 조직은 전자기록의 진정성·무결성, 그리고 필요한 경우 기밀성을 보장하고 서명자가 서명한 기록을 부인하지 못하도록 설계된 절차와 통제를 갖춰야 합니다. 구체적인 항목은 다음 열한 가지입니다.
- (a) 시스템 유효성 확인 Validation
- 정확하고 신뢰할 수 있으며 의도한 대로 일관되게 동작함을 확인하고, 무효이거나 변경된 기록을 식별할 수 있어야 합니다. 설치·기능·성능을 계획에 따라 시험하고 그 증거를 남기는 것을 말합니다.
- (b) 정확하고 완전한 사본 생성 Accurate and complete copies
- 사람이 읽을 수 있는 형태와 전자 형태 양쪽으로 기록의 사본을 만들어 낼 수 있어야 합니다. FDA가 조사·검토·복사할 수 있도록 하기 위한 요건입니다.
- (c) 보존기간 내내 보호 Protection of records
- 기록이 보존기간 동안 정확하게 유지되고 즉시 검색될 수 있도록 보호해야 합니다. 백업과 복구가 여기에 걸립니다.
- (d) 접근 제한 Limiting system access
- 시스템 접근을 권한이 있는 사람으로 제한해야 합니다.
- (e) 감사추적 Audit trail
- 안전하고, 컴퓨터가 생성하며, 시각이 기록되는 감사추적으로 기록의 생성·수정·삭제 행위와 그 시각, 행위자를 독립적으로 남겨야 합니다. 이전 기록을 가리거나 덮어쓰지 않아야 하고, 해당 기록의 보존기간 이상 보관되며, 검토와 복사가 가능해야 합니다.
- (f) 운영 점검 Operational system checks
- 해당되는 경우, 단계와 이벤트가 허용된 순서대로만 진행되도록 강제해야 합니다. 예를 들어 검토를 건너뛰고 승인으로 바로 넘어갈 수 없어야 합니다.
- (g) 권한 점검 Authority checks
- 시스템을 사용하고, 전자서명하고, 입력·출력 장치에 접근하고, 기록을 변경하고, 해당 작업을 수행할 권한이 있는 사람만 그렇게 할 수 있도록 확인해야 합니다.
- (h) 장치 점검 Device checks
- 해당되는 경우, 데이터 입력이나 명령의 출처가 유효한지 확인해야 합니다.
- (i) 인력의 자격 Education, training, experience
- 시스템을 개발·유지·사용하는 사람이 담당 업무를 수행할 수 있는 교육·훈련·경험을 갖춰야 합니다.
- (j) 책임 정책 Written policies
- 자신의 전자서명으로 수행한 행위에 대해 개인이 책임을 지도록 하는 문서화된 정책을 세우고 지켜야 합니다. 기록과 서명의 위조를 억제하기 위한 요건입니다.
- (k) 시스템 문서 관리 Systems documentation
- 시스템 운영·유지 문서의 배포·접근·사용을 적절히 통제하고, 그 문서의 개정과 변경에 대해 시간 순서대로 남는 감사추적을 갖춘 절차를 운영해야 합니다.
실록에서는
실록은 (d)(g) 접근·권한 통제를 개인 계정 로그인과 역할 기반 권한으로 제공합니다. (e) 감사추적은 모든 변경을 자동으로 남기며 수정·삭제 기능 자체를 두지 않았습니다. (f) 운영 점검은 변경관리(QCN)와 전자결재를 거치지 않으면 문서가 시행 상태로 넘어가지 못하게 하는 방식으로 구현되어 있습니다. (b) 사본 생성은 시행본 PDF와 서명 페이지, 그리고 전 플랜 공통으로 제공하는 일괄 내려받기로 지원합니다.
전자서명 요건 — §11.50 · §11.70 · §11.100 · §11.200 · §11.300
'승인 버튼을 눌렀다'는 것만으로는 전자서명이 되지 않습니다.
-
1
§11.50 서명에 표시되어야 할 세 가지
서명된 전자기록에는 서명자의 성명, 서명이 실행된 날짜와 시각, 그리고 그 서명의 의미(검토·승인·책임·작성 등)가 함께 표시되어야 합니다. 이 세 가지는 전자기록과 동일한 통제를 받으며, 화면과 인쇄물처럼 사람이 읽을 수 있는 형태에도 나타나야 합니다.
-
2
§11.70 서명과 기록의 결합
전자서명은 해당 기록에 결합되어, 잘라내거나 복사하거나 옮겨서 다른 기록을 위조하는 데 쓰일 수 없어야 합니다.
-
3
§11.100 서명의 고유성과 신원 확인
각 전자서명은 한 사람에게만 고유해야 하며 다른 사람에게 재사용되거나 재배정되어서는 안 됩니다. 서명을 부여하기 전에 그 사람의 신원을 확인해야 합니다. 또한 조직은 전자서명이 수기서명과 법적으로 동등한 구속력을 갖는다는 점을 FDA에 서면으로 인증해야 합니다.
-
4
§11.200 서명 구성 요소
생체인식이 아닌 전자서명은 최소 두 개의 서로 다른 식별 요소(예: 아이디와 비밀번호)를 써야 합니다. 한 번의 연속 접속 중 첫 서명에는 모든 요소를 사용하고, 이어지는 서명에는 최소 한 개 요소를 사용합니다. 접속이 끊긴 뒤에는 다시 모든 요소를 사용해야 합니다. 서명은 진짜 소유자만 사용할 수 있어야 하고, 두 사람 이상이 공모하지 않고서는 다른 사람이 쓸 수 없도록 설계되어야 합니다.
-
5
§11.300 아이디·비밀번호 관리
아이디와 비밀번호 조합의 고유성을 유지하고, 주기적으로 점검·회수·갱신하며, 분실·도난된 인증 수단을 회수하는 절차를 두고, 무단 사용 시도를 탐지해 보고하며, 토큰이나 카드 같은 장치는 정상 동작 여부를 시험해야 합니다.
전자서명이 반드시 공인인증서나 공개키 기반(PKI) 디지털 서명이어야 하는 것은 아닙니다. Part 11은 두 개의 식별 요소를 갖춘 아이디·비밀번호 방식도 인정합니다. 디지털 서명이 요구되는 곳은 개방시스템(§11.30)입니다.
실록에서는
실록의 전자결재는 검토·승인 단계마다 서명자·일시·서명의 의미를 결합해 기록하고, 시행본 PDF에 서명 페이지를 자동으로 만들어 붙입니다. 서명 기록은 문서 개정본에 묶여 있어 따로 떼어내 다른 문서에 붙일 수 없습니다.
2003년 '적용 범위' 가이던스 — 집행 재량의 진짜 의미
Part 11을 이야기할 때 가장 많이 오해되는 지점입니다.
발효 직후 업계에서는 Part 11의 적용 범위가 지나치게 넓게 해석되어 혁신을 막고 비용만 키운다는 문제 제기가 이어졌습니다. FDA는 2003년 8월 '적용 범위와 적용'(Scope and Application) 가이던스를 내어 Part 11을 좁게 해석하겠다고 밝히고, 유효성 확인, 감사추적, 기록 사본 생성, 기록 보존의 일부 항목에 대해 집행 재량을 행사하겠다고 설명했습니다.
그러나 이는 요건이 사라졌다는 뜻이 아닙니다. FDA는 같은 문서에서 근거 규정이 요구하는 기록의 작성·보관·감사추적은 그대로 강제된다는 점을 분명히 했습니다. 즉 품질시스템 규정이 '누가 언제 승인했는지 남기라'고 요구한다면, 그 기록을 전자로 남기든 종이로 남기든 반드시 있어야 하고, 전자로 남긴다면 Part 11의 방식을 따라야 합니다.
- 집행 재량은 '규정 폐지'가 아니라 '지금 단계에서 이 부분을 근거로 조치하지는 않겠다'는 FDA의 방침 표명입니다.
- 근거 규정이 요구하는 기록·감사추적·보존기간은 재량 대상이 아닙니다.
- 실사에서 문제가 되는 경로는 대개 Part 11 자체보다 근거 규정 위반입니다 — 기록이 없거나, 누가 바꿨는지 알 수 없거나, 승인 없이 문서가 바뀐 경우입니다.
2025~2026년의 변화 — 컴퓨터 소프트웨어 보증(CSA)과 품질경영시스템 규정(QMSR)
조문은 그대로지만, 그 주변 환경은 최근 2년 사이에 크게 바뀌었습니다.
-
1
컴퓨터 소프트웨어 보증(CSA) 가이던스 — 2025년 9월 최종 확정, 2026년 2월 개정
FDA는 2025년 9월 24일 생산·품질시스템 소프트웨어에 대한 '컴퓨터 소프트웨어 보증' 가이던스를 최종 확정했고, 2026년 2월 3일 QMSR 시행에 맞춰 개정판을 냈습니다. 개정판 제목은 「Computer Software Assurance for Production and Quality Management System Software」이며 2025년 9월판을 대체합니다. 핵심은 모든 기능을 똑같이 대본대로 시험하고 문서를 쌓던 방식 대신, 그 소프트웨어가 환자 안전과 제품 품질에 미치는 위험에 비례해 보증 활동을 정하는 것입니다. 2026년 개정판에서는 클라우드 서비스(SaaS 등)의 정의, 인공지능·기계학습을 쓰는 소프트웨어, 사이버보안 증거, Part 11이 적용되는 경우, 공급자 관리에 관한 내용이 보강되었습니다. 이 가이던스가 2002년 '소프트웨어 유효성 확인의 일반 원칙'(GPSV) 제6장을 대체합니다. 다만 의료기기에 내장된 소프트웨어나 소프트웨어 자체가 의료기기인 경우(SaMD, Software as a Medical Device)에는 적용되지 않습니다.
-
2
품질경영시스템 규정(QMSR) 시행 — 2026년 2월 2일
FDA는 기존 품질시스템 규정(21 CFR Part 820)을 ISO 13485:2016을 준용하는 구조로 개정했고, 2026년 2월 2일부터 시행되었습니다. 이로써 미국의 품질시스템 요구가 국제표준과 상당 부분 정렬되었습니다. 다만 QMSR은 Part 11을 대체하지 않습니다. 전자기록·전자서명에 관한 규율은 여전히 Part 11이 담당합니다.
-
3
AI가 만든 기록의 취급
품질 업무에 인공지능을 쓰는 사례가 늘면서, 사람이 서명하기 전에 인공지능이 무엇을 만들었고 무엇을 사람이 검토했는지 감사추적에서 구분할 수 있어야 한다는 요구가 강해지고 있습니다. 아직 Part 11 조문에 반영된 사항은 아니지만, 시스템을 고르실 때 확인해 두시는 편이 좋습니다.
실록에서는
실록은 AI가 만든 결과를 항상 초안(Draft)으로만 저장하고, 사람의 검토와 명시적 승인 없이는 확정 상태로 넘어가지 못하게 막습니다. AI 사용 내역은 일반 감사추적과 별도로 기록됩니다.
한국 회사에는 언제 실제로 문제가 됩니까
미국 수출 계획이 없어도 Part 11을 완전히 무시하기는 어렵습니다.
표는 좌우로 밀어서 보실 수 있습니다.
| 상황 | Part 11이 걸리는 지점 |
|---|---|
| 미국 수출 · FDA 실사 | 조사관이 전자기록을 요구합니다. 사본 생성·감사추적·접근 통제를 그 자리에서 보여 드려야 합니다. |
| MDSAP(의료기기공동심사프로그램) 심사 | 미국이 참여국이므로 FDA 요구가 심사 항목에 포함됩니다. 전자기록을 쓰신다면 그 통제를 설명하셔야 합니다. |
| 510(k) · 시판 전 허가(PMA) 등 제출 | 제출 자료의 근거가 되는 원본 기록의 신뢰성이 문제가 됩니다. |
| 임상시험 | 임상시험에서의 전자시스템·전자기록·전자서명에 관한 FDA 질의응답 가이던스(2024년 10월 최종)가 별도로 적용됩니다. |
| 국내 KGMP 심사만 받는 경우 | Part 11이 직접 적용되지는 않지만, KGMP 별표2 4.1.6이 품질경영시스템에 사용하는 소프트웨어의 유효성 확인을 요구합니다. |
위 표 마지막 줄에서 말씀드린 KGMP 조문의 원문은 다음과 같습니다. 아래 인용은 식품의약품안전처 고시 원문이라 문체가 '~하여야 한다'로 되어 있습니다.
가. 조직은 품질경영시스템에 사용되는 컴퓨터 소프트웨어의 유효성 확인에 대한 절차를 문서화하여야 한다.
나. 이러한 소프트웨어의 적용은 최초 사용 전에 유효성이 확인되어야 하고, 해당되는 경우 소프트웨어의 변경 또는 적용 후에도 유효성이 확인되어야 한다.
다. 소프트웨어 유효성 확인 및 유효성 재확인과 관련된 구체적인 접근 방법과 활동들은 소프트웨어의 사용과 관련된 위험에 비례하여야 한다.
라. 이러한 활동의 기록은 유지되어야 한다.
「의료기기 제조 및 품질관리 기준」(식품의약품안전처 고시 제2025-80호, 시행 2025-12-09) [별표 2] 중 원문 인용
자주 보는 오해 다섯 가지
도입 검토 단계에서 시간을 가장 많이 잡아먹는 오해들입니다.
- 오해 1 "Part 11 인증받은 소프트웨어를 사면 끝"
- FDA는 소프트웨어를 인증하지 않습니다. 그런 인증 제도 자체가 없습니다. 공급자는 요건을 충족할 수 있는 기능을 제공할 뿐이고, 그 시스템을 자사 용도에 맞게 검증하고 절차와 함께 운영할 책임은 사용하는 회사에 있습니다.
- 오해 2 "집행 재량이니 지키지 않아도 된다"
- 근거 규정이 요구하는 기록·감사추적·보존은 재량 대상이 아닙니다. 실사에서 문제가 되는 것은 대개 Part 11 조문이 아니라 '기록이 없다'는 근거 규정 위반입니다.
- 오해 3 "전자서명은 공인인증서라야 한다"
- 두 개의 서로 다른 식별 요소를 갖춘 아이디·비밀번호 방식도 인정됩니다(§11.200). 공개키 기반구조(PKI)를 이용한 디지털 서명 표준이 명시적으로 요구되는 곳은 개방시스템(§11.30)입니다.
- 오해 4 "로그 파일이 있으니 감사추적은 된다"
- §11.10(e)의 감사추적은 컴퓨터가 자동으로 생성하고, 이전 기록을 덮어쓰지 않으며, 해당 기록의 보존기간 이상 남고, 검토·복사가 가능해야 합니다. 관리자가 지울 수 있는 로그는 이 요건을 충족하지 못합니다.
- 오해 5 "클라우드를 쓰면 개방시스템이다"
- 판단 기준은 저장 위치가 아니라 접근 통제의 주체입니다. 기록 내용에 책임이 있는 조직이 계정과 권한을 통제한다면 폐쇄시스템으로 볼 수 있습니다.
도입 전 확인 목록
전자문서관리시스템을 고르실 때 공급자에게 그대로 물어보실 수 있는 항목입니다.
- 감사추적을 관리자 권한으로도 수정하거나 삭제할 수 있습니까 — 있다면 §11.10(e)를 충족하기 어렵습니다.
- 기록의 사본을 사람이 읽을 수 있는 형태와 전자 형태 양쪽으로 내보낼 수 있습니까(§11.10(b)).
- 서명 화면과 인쇄물에 서명자·일시·서명의 의미가 함께 나타납니까(§11.50).
- 검토를 건너뛰고 승인으로 넘어가는 경로가 막혀 있습니까(§11.10(f)).
- 역할별로 열람·작성·승인 권한을 나눌 수 있습니까(§11.10(d)(g)).
- 계정을 공용으로 쓰지 않고 사람마다 하나씩 발급됩니까(§11.100(a)).
- 시스템 검증(설치·기능·성능) 자료를 공급자가 제공합니까, 아니면 회사가 직접 만들어야 합니까(§11.10(a)).
- 보존기간 동안 백업과 복구가 검증되어 있습니까(§11.10(c)).
- 비밀번호 정책과 계정 회수 절차가 시스템에 구현되어 있습니까(§11.300).
실록에서는
실록은 위 확인 항목 대부분을 제품 기본 기능으로 제공하고, 도입 시 설치·기능 검증(밸리데이션) 보고서를 함께 드립니다. 감사추적은 수정·삭제 엔드포인트를 두지 않아 운영자도 손댈 수 없습니다. 다만 회사의 실제 업무 절차에 맞춘 성능 확인과 절차서·교육 기록은 사용하시는 회사가 준비하셔야 합니다.
FAQ
21 CFR Part 11 자주 묻는 질문
21 CFR Part 11이 무엇입니까?
미국 FDA의 전자기록·전자서명 규정입니다. FDA가 규제하는 기록을 종이 대신 전자로 만들고 서명할 때, 그 전자기록과 전자서명을 종이기록·수기서명과 동등하게 인정받기 위한 요건을 정합니다. 시스템 검증, 변경 불가한 감사추적, 접근·권한 통제, 서명자·일시·의미가 결합된 전자서명이 핵심입니다.
한국 회사도 Part 11을 지켜야 합니까?
미국에 의료기기를 수출하거나 FDA 실사·MDSAP 심사를 받으시면서 전자기록을 사용하신다면 적용됩니다. 국내 판매만 하시는 경우 Part 11이 직접 적용되지는 않지만, 식약처 KGMP 별표2 4.1.6이 품질경영시스템에 사용하는 소프트웨어의 유효성 확인과 그 기록 유지를 요구하므로 실질적인 준비 내용은 크게 다르지 않습니다.
'Part 11 인증'을 받은 소프트웨어가 있습니까?
없습니다. FDA는 소프트웨어를 인증하는 제도를 운영하지 않습니다. 공급자는 요건을 충족할 수 있는 기능을 제공할 뿐이며, 그 시스템을 자사 용도에 맞게 검증하고 절차와 함께 운영할 책임은 사용하는 회사에 있습니다. '인증받았다'고 광고하는 제품은 표현을 확인해 보셔야 합니다.
감사추적은 어느 수준까지 남겨야 합니까?
§11.10(e)는 안전하고, 컴퓨터가 자동으로 생성하며, 시각이 기록되는 감사추적을 요구합니다. 기록의 생성·수정·삭제와 그 행위자·시각이 남아야 하고, 이전 기록을 가리거나 덮어쓰지 않아야 하며, 해당 기록의 보존기간 이상 보관되고, 검토와 복사가 가능해야 합니다.
전자서명에는 공인인증서가 필요합니까?
필요하지 않습니다. §11.200은 생체인식이 아닌 전자서명에 대해 최소 두 개의 서로 다른 식별 요소(예: 아이디와 비밀번호)를 요구합니다. 디지털 서명 표준이 명시적으로 요구되는 경우는 개방시스템(§11.30)입니다.
2003년 가이던스로 Part 11이 완화된 것 아닙니까?
FDA가 일부 항목에 집행 재량을 밝힌 것은 사실이지만, 근거 규정(predicate rule)이 요구하는 기록의 작성·보관·감사추적은 그대로 강제됩니다. 실사에서 지적되는 대부분은 Part 11 조문 자체가 아니라 '기록이 없다', '누가 바꿨는지 알 수 없다'는 근거 규정 위반입니다.
2026년 시행된 QMSR 때문에 Part 11도 바뀝니까?
바뀌지 않습니다. 품질경영시스템 규정(QMSR)은 품질시스템 규정(21 CFR Part 820)을 ISO 13485:2016을 준용하도록 개정한 것으로 2026년 2월 2일 시행되었습니다. 전자기록·전자서명에 관한 규율은 여전히 Part 11이 담당하며, Part 11의 실질 요건(§11.10~§11.300)은 1997년 발효 이후 개정된 적이 없습니다.
CSA 가이던스가 나오면서 검증이 쉬워졌습니까?
덜 형식적이 되었다고 보시는 편이 정확합니다. 2025년 9월 24일 최종 확정되고 2026년 2월 3일 개정된 컴퓨터 소프트웨어 보증(CSA) 가이던스는 모든 기능을 똑같이 시험하고 문서를 쌓는 대신, 환자 안전과 제품 품질에 미치는 위험에 비례해 보증 활동을 정하도록 방향을 바꿨습니다. 위험이 큰 기능에 대한 요구는 오히려 분명해졌고, 2026년 개정판에서는 클라우드 서비스와 인공지능을 쓰는 소프트웨어, 공급자 관리에 관한 내용이 보강되었습니다.
전자문서관리시스템을 도입하면 Part 11이 자동으로 충족됩니까?
충족되지 않습니다. 시스템은 필요한 기능을 제공할 뿐이고, 그 위에 절차서·권한 부여·교육·검증 기록이 함께 있어야 합니다. 예를 들어 §11.10(j)는 자신의 전자서명으로 한 행위에 책임을 지우는 문서화된 정책을 요구하는데, 이는 소프트웨어가 대신해 줄 수 없는 부분입니다.
실록은 Part 11을 어떻게 지원합니까?
실록은 사람마다 하나씩 발급되는 개인 계정 로그인과 역할 기반 권한으로 접근을 통제하고, 모든 변경을 자동으로 남기는 감사추적에 수정·삭제 기능을 두지 않았습니다. 전자결재는 서명자·일시·서명의 의미를 결합해 기록하고 서명 페이지를 자동으로 만듭니다. 변경관리(QCN)와 결재를 거치지 않으면 문서가 시행 상태로 넘어가지 못하며, 도입 시 검증 보고서를 함께 제공합니다. 다만 규정 준수 여부는 시스템 기능만으로 결정되지 않습니다. 절차서와 권한 부여, 교육, 검증 기록을 갖추고 실제로 그렇게 운영할 책임은 사용하시는 회사에 있습니다.
근거 자료
이 페이지는 아래 원문을 근거로 작성했습니다. 규제는 개정될 수 있으니 실제 업무에 적용하실 때는 원문을 함께 확인해 주세요.
- eCFR — 21 CFR Part 11 (Electronic Records; Electronic Signatures) (새 창에서 열립니다) — 조문 원문
- FDA Guidance — Part 11, Electronic Records; Electronic Signatures: Scope and Application (2003-08) (새 창에서 열립니다) — 집행 재량 방침
- FDA Guidance — Computer Software Assurance for Production and Quality Management System Software (2026-02-03 개정판) (새 창에서 열립니다) — 위험 기반 소프트웨어 보증 (2025-09-24 최종판을 대체)
- FDA — Quality Management System Regulation (QMSR) 자주 묻는 질문 (새 창에서 열립니다) — 2026-02-02 시행
- 국가법령정보센터 — 의료기기 제조 및 품질관리 기준 (새 창에서 열립니다) — 별표2 4.1.6 원문
ISO 표준 본문은 저작권 보호 대상이라 이 페이지에 옮겨 싣지 않았습니다. 인용한 조문은 모두 공공저작물(식품의약품안전처 고시)이거나 미국 연방규정입니다.
함께 보면 좋은 규제
ISO 13485는 의료기기의 설계·제조·유통·서비스 전 과정에서 규제 요구를 지속적으로 충족하기 위한 품질경영시스템 요구사항을 정한 국제표준이며, 현행판은 ISO 13485:2016입니다.
KGMP는 국내에서 의료기기를 제조하거나 수입하려는 자가 지켜야 할 품질관리 기준을 정한 식품의약품안전처 고시로, 이 기준에 적합함을 인정받는 절차가 적합성인정등 심사입니다.