화요일 아침에 전화가 왔다. 인랜드엠파이어(Inland Empire)에 있는 식품 3PL 고객사 중 한 곳의 품질 관리 매니저는 지친 목소리였다. FDA 조사관이 이틀 동안 시설에 머물며 계속 같은 이야기를 꺼냈다고 했다. 온도 일탈 기록이었다. 그것은 창고 사무실 컴퓨터의 공유 스프레드시트에 있었다. 현장의 모든 사람이 비밀번호를 알고 있었다. "3월 기록을 누가 바꿨냐고 물어보는데, 답을 못 했어요"라고 그녀는 말했다.
21 CFR Part 11의 전부가 이 한 통의 전화에 담겨 있다. 이 규정은 종이 기록부를 버리라고 요구한 적이 없다. 요구하는 것은, 전자화하는 순간 전자기록이 종이만큼 신뢰할 수 있어야 한다는 것이다. 사실 그 이상이다. 그것을 증명해야 하기 때문이다.
Part 11은 FDA의 전자기록 및 전자서명에 관한 규정으로, 1997년 3월 20일 최종 확정되어 1997년 8월 20일 발효되었다. FDA 규제가 적용되는 모든 산업—식품, 의약품, 생물의약품, 의료기기—에 적용되며, FDA 규정이 요구하는 기록을 전자적으로 유지하거나 자필 서명을 전자서명으로 대체하는 경우에 해당한다. 식품 창고로서는 온습도 기록, 입고 검사, 해충 관리 기록, 교육훈련 기록, 출고 승인 기록이 종이를 떠나 시스템에 들어가는 순간이 그 대상이다.
대부분의 운영자가 오해하는 것은 이것이다. Part 11은 디지털화를 강제하지 않는다. 종이는 여전히 완벽하게 허용된다. 그러나 유지하는 전자기록은 동일한 신뢰성 기준을 충족해야 하며, 요구받으면 이를 입증해야 한다.
이 규정이 실제로 요구하는 것은 무엇인가?
법률 용어를 걷어내면 Part 11이 요구하는 것은 네 가지다. 첫째, 시스템 밸리데이션: 시스템이 의도한 대로 동작하고, 정확하게 동작하며, 무효하거나 변경된 기록을 감지할 수 있음을 보여줄 수 있어야 한다. 기성 소프트웨어도 예외가 아니다. 벤더의 밸리데이션 문서를 확보하거나 직접 작성해야 한다.
둘째, 감사 추적(audit trail). 11.10(e)조는 명시적이다. 전자기록을 생성·수정·삭제한 "누구"에 대한 안전하고 컴퓨터로 생성되며 타임스탬프가 찍힌 기록. 변경은 이전 기록을 가려서는 안 된다. 덮어쓰기 금지, 새 버전 추가만 가능하다. 감사 추적은 기록 자체만큼은 보관해야 하며 FDA의 검토와 복사에 제공되어야 한다. 쉽게 말하면, 모든 변경은 흔적을 남기고, 변경한 본인이 그것을 지울 수 없다는 것이다.
셋째, 접근 통제: 권한 있는 사람만 시스템에 들어가고, 데이터를 변경하고, 기록에 서명할 수 있다. 넷째, 전자서명: 11.50조에 따라 서명 표시에는 서명자의 성명, 서명 일시, 서명의 의미(검토, 승인 또는 실행)가 표시되어야 한다. 11.70조에 따라 서명은 기록에 영구적으로 연결되어 잘라서 다른 데 붙일 수 없게 해야 한다.
일찍 알아야 할 중요한 구분이 있다. 맡게 될 작업량을 결정하기 때문이다. 폐쇄형(closed) 대 개방형(open) 시스템이다. 폐쇄형 시스템은 자사 조직이 접근을 통제하는 것—자사 WMS, 사내 온도 모니터링 플랫폼이다. 대부분의 식품 창고는 완전히 폐쇄형 영역에 있으며 11.10조의 적용을 받는다. 개방형 시스템은 접근 통제가 자신의 손에 없는 것—공용 인터넷으로 고객이나 규제기관에 전송되는 기록 등—으로, 11.30조가 암호화와 디지털 서명 요구를 추가한다. 비용을 쓰기 전에 자신이 어느 쪽인지 확인하라. 특정 요구사항이 헷갈리면 FDA 공식 가이던스나 규제 자문에게 문의하라. 벤더 영업사원은 진실의 원천이 아니다.
감사 추적은 실제로 무엇을 기록해야 하는가?
감사 추적을 읽는 조사관은 네 가지 질문을 던진다. 누가, 언제, 무엇을 했고, 이전에는 어땠는가. 새 기록에는 항목이 생긴다. 변경된 알람 임계값에는 변경 전 값과 변경 후 값을 모두 보존한 항목이 생긴다. 삭제된 기록에는 항목이 생긴다. 그리고 추적은 행위자로부터 독립적이어야 한다. 작업자는 이를 끌 수도, 편집할 수도, 삭제할 수도 없다. 타임스탬프에는 시간대가 필요하고, 각 기기의 시계 드리프트에 맡기지 말고 신뢰할 수 있는 시간원에 동기화해야 한다.
여기가 식품 창고가 가장 크게 맞는 부분이며, 실패 사례는 놀라울 정도로 평범하다. 나는 감사 추적 기능이 기술적으로 있는 온도 시스템을 쓰는 냉동 창고를 본 적이 있다. 단 도입 과정에서 꺼진 채로 2년간 아무도 몰랐다. 단골 메뉴는 전원 관리자 접근이다. 냉동고 알람 임계값이 섭씨 영하 18도에서 영하 15도로 바뀌었는데, 열두 명이 admin으로 로그인해서 누가 바꿨는지 아무도 말하지 못했다. 다음은 타임스탬프다. 서버는 UTC, 운영은 태평양 시간이라서, 내보낸 기록마다 설명할 수 없는 새벽 3시 항목이 나온다. 그리고 최악의 범인은 스프레드시트다. 누구나 편집할 수 있고 누가 무엇을 바꿨는지 기록이 없는 공유 Excel 온도 기록은 실사에서는 처음부터 탈락이다. 변명의 여지가 없다.
전자서명은 정말 '승인' 클릭에 불과한가?
아니다. 체크박스는 아무것도 증명하지 못하며, Part 11은 서명을 법적 무게가 있는 신원 진술로 다룬다. 세 가지 조건이 충족되어야 한다. 첫째, 고유성: 서명은 정확히 한 사람에게 속한다. 전 교대조가 출고 승인에 쓰는 공유 'supervisor' 로그인은 서명 시스템이 아니다. 연극이다. 조사관이 "이 로트를 누가 출고했나요?"라고 물었고 답이 "그때 교대조에 있던 사람"이라고 나오면, 실사는 망하고 있는 것이다.
둘째, 서명 시점의 신원 확인—비밀번호, 배지 태핑, 생체인식. 클릭하는 사람이 지명된 본인임을 증명하는 것이 핵심이다. 셋째, 서명의 의미는 명확하고 기록되어야 한다. 검토, 승인, 실행은 세 가지 다른 행위다. 같은 사람이 같은 로트를 검토하고 승인하면 직무 분리 문제에 대한 질문이 나온다.
공유 계정은 식품 창고 업계의 전염병이다. 내가 캘리포니아 온타리오에서 관리하던 8만 제곱피트(약 7,430㎡) 규모의 냉장 체인 시설에서는 현장의 모든 핸드헬드가 "warehouse"로 로그인했다. 모두에게 편리했지만 감사에서는 변명 불가능하다. Part 11 갭 평가에서 처음 한 일은 그 관행을 없애는 것이었다. 1인 1계정, 퇴사 당일 비활성화, 비밀번호는 분기마다 변경. 일주일 정도는 불만이 많았다. 그러나 다음에 조사관이 입고 검사에 누가 서명했냐고 물었을 때, 시스템은 이름, 타임스탬프, 의미를 보여줬다. 그걸로 대화는 끝난다.
종이나 스프레드시트에서 시작한다면, 실제로 통하는 순서는 이렇다. 1단계, 갭 평가: 유지하는 기록을 모두 나열한다—온습도, 입고 검사, 해충 관리, 교육훈련, 출고 승인—그리고 종이인지, 스프레드시트인지, 시스템인지를 표시한다. 하나라도 빠뜨리면 나중에 그것이 너를 찾아낼 것이다. 2단계, 시스템 선정: 모든 벤더에게 세 가지 질문을 한다. 감사 추적을 끌 수 있는가? 꺼지면 그것을 알 수 있는가? 밸리데이션 문서를 제공하는가? 세 가지에 모두 답하지 못하는 벤더는 탈락이다.
3단계, SOP 재작성: "어떻게 기록하는가"를 "시스템에서 어떻게 기록하는가"로 바꾸고, 접근 권한 매트릭스를 문서화한다—누가 데이터를 입력할 수 있는지, 누가 검토할 수 있는지, 누가 임계값을 변경할 수 있는지, 누가 기록을 삭제할 수 있는지. 표 하나로, 모호함 없이. 4단계, 교육훈련: 서명이 무엇을 의미하는지 교육하고, 서명에는 책임이 따른다는 것을 명시한다. 5단계, 최소 한 사이클 전체—한 달이라고 하자—종이와 전자를 병행 운영하고, 양쪽이 일치할 때만 종이를 폐지한다. 종이를 일찍 폐지하면 시스템 장애 시 아무것도 남지 않는다.
조사관 입장에서 잠시 생각해보라. 그들은 시스템 가격에 관심이 없다. 관심은 세 가지다. 기록이 변경되었는지, 누가 변경했는지, 타임스탬프가 말이 되는지. 그들은 현장에서, 눈앞에서, 시스템에서 기록을 뽑아달라고 요청할 것이다. 내보낼 수 없다고? 문제다. 내보낸 파일이 깨졌다고? 문제다. 내보낸 내용이 화면과 다르다고? 더 큰 문제다. 기록 무결성은 FDA 483 관찰 사항 목록에 해마다 오른다. 규정이 특이해서가 아니라, 너무 많은 창고가 "기록하는 것"과 "변호할 수 있는 것"을 혼동하기 때문이다.
내일 당장 할 수 있는 다섯 가지. 첫째, 온도 스프레드시트를 복사해 숫자 하나를 바꾸고 자문하라. 누가 알까, 그리고 그게 나라는 걸 누가 알까. 둘째, 시스템 관리자 패널에 로그인해 감사 추적이 실제로 켜져 있는지 확인한다. 셋째, 공유 계정을 세어 적는다. 넷째, 서버와 단말의 시간대 설정을 확인한다—전부. 다섯째, 접근 권한 매트릭스를 그린다. 알람 임계값을 변경할 수 있는 사람은 누구인지, 기록을 삭제할 수 있는 사람은 누구인지, 출고를 서명할 수 있는 사람은 누구인지. 이 다섯 가지가 끝나면, 창고가 Part 11 준수에서 얼마나 먼지, 그리고 그 갭을 메우는 데 비용이 얼마나 드는지 정확히 알게 된다.
영어판 번역본입니다. 내용이 다를 경우 영어판을 우선합니다.
