예고 없이 찾아오는 조사관: GSP 불시 조사에 대비하는 의약품 콜드체인 플레이북

불시 조사는 대개 예상치 못한 전화 한 통으로 시작된다——아니면 전화조차 없다. 아침 8시, 조사팀은 이미 냉장 창고 독 앞에 서 있다. "다음 주에 찾아뵙겠습니다"도 없고, 하룻밤 사이에 기록을 손볼 수 있는 3일의 여유도 없다. 그것이 바로 불시 조사의 본질이다. 예고 없이, 현장으로 직행해, 기록을 뽑고, 현장을 돌고, 담당자를 병행 조사한다.

의약품 유통사의 품질 책임자들은 이런 방문 앞에서 묘한 불안을 토로한다. 내부 감사에서는 시스템이 탄탄해 보이는데, 조사관이 오면 뭔가 나올지도 모른다는 불안이다. 이 불안에는 실증적 근거가 있다. 의약품 규제 당국이 발표하는 조사 보고서에서, 온습도 모니터링과 기록 관리는 매년 가장 많이 지적되는 미비 사항 상위권에 오른다. 이유는 기업이 온도를 신경 쓰지 않아서가 아니다——기록을 지키는 것이 물건을 차갑게 유지하는 것보다 훨씬 어렵기 때문이다. 온도 관리는 장비의 문제다. 기록 관리는 시스템의 문제다. 장비는 살 수 있다. 시스템은 매일의 행동으로 쌓아야 한다.

2024년 여름, 중국 동부 어느 성도(省都)의 유통사에서 일어난 일을 보자. 연간 유통 규모 수백억 위안, 냉장 창고 면적 1만 제곱미터 이상, 설비는 지역 최고 수준이었다. 조사팀은 값비싼 냉동기는 거들떠보지 않고 3개월치 자동 온습도 기록을 곧장 뽑았다. 데이터에는 공백이 있었다——야간 기록이 10일 이상 빠져 있었다. 회사의 설명은 "시스템 업그레이드". 조사관의 후속 질문은 이렇다. 업그레이드 기간을 커버하는 수동 모니터링 기록은 어디 있는가. 그 공백에 대한 편차 평가는 어디 있는가. 답은 없었다. 회사는 미비 지적과 시정 명령을 받았다. 자동 시스템과 병행하는 수동 백업 기록 절차, 온도 이탈 알람을 품질 책임자에게 직접 문자메시지로 푸시할 것, 그리고 데이터 공백은 모두 정식 평가를 거치는 편차로 다룰 것. 수정 비용은 수십만 위안. 하지만 품질 책임자는 나중에 이렇게 말했다. 아픈 것은 돈이 아니었다. 조사 직후 핵심 거래처가 특별 감사를 벌여, 그 거래처와의 유통 계약을 잃을 뻔했다는 것이었다.

이 사례에서 불시 조사의 논리가 보인다. 조사관은 설비가 얼마나 비싼지에는 관심이 없다. 관심은 기록 체인에 끊김이 있는지다. 온도 기록의 공백은 조사 언어로 "그 기간 동안 의약품이 어떤 과정을 거쳤는지 말할 수 없다"는 뜻이다. 말할 수 없는 것은 관리할 수 없다.

준비 체크리스트: 5개 모듈, 매일 본방 기준

쓸모 있는 준비 체크리스트의 가치는 조사 당일에 있는 것이 아니다——조사 당일에 할 수 있는 일은 거의 없다. 그 가치는 매일 그 기준으로 운영하는 데 있다. 그러면 조사는 단순한 샘플링 작업이 된다. 나는 5개 모듈로 나눈다.

모듈 1: 온습도 기록의 연속성. 프로브 교정 증명서는 유효 기간 내인가. 센서 배치도는 적격성 평가 보고서와 일치하는가. 모든 알람 기록에 문서화된 대응이 서명과 함께 남아 있는가. 전형적인 실패는 "응답 없는 알람"이다. 시스템이 울리고, 야간 근무자가 이를 끄고 휴식으로 돌아가고, 기록은 대응 흔적 없이 깨끗하게 남는다. 조사관은 알람 로그와 대응 기록을 대조한다. 10건의 알람에 0건의 대응——알람 시스템이 없는 것보다 나쁘다.

모듈 2: 2인 2중 잠금 관리. 냉장 창고와 냉장 차량의 열쇠·비밀번호가 정말 2인 2중 잠금 체제로 관리되는가, 아니면 열쇠 인계 기록과 재고 장부 양쪽에 같은 이름이 반복해서 나오는가. 이 모듈이 시험하는 것은 온도가 아니라 내부 통제다——하지만 이는 조사의 단골 입구다. 2중 통제의 허술함은 품질 시스템 전반의 실행 허술함을 시사하는 경우가 많기 때문이다.

모듈 3: 콜드체인 설비의 적격성 평가 상태. 냉장실, 냉장 차량, 보냉 컨테이너의 적격성 평가 보고서는 유효한가, 그리고 평가는 최악 조건——이를테면 여름 가장 더운 날——을 커버했는가. 많은 기업은 적격성 평가 보고서를 파일에 넣어 몇 년씩 방치하면서, 그사이 냉동기를 교체하고 랙 배치를 바꿔도 재평가를 하지 않는다. 조사관이 보고서를 읽을 때 진짜 질문은 이것이다. 당시 적격 판정을 받은 시설과 지금의 시설이 같은 시설임을 어떻게 증명하는가.

모듈 4: 온도 이탈 편차 처리 워크플로——본 기사의 핵심으로, 뒤에서 자세히 다룬다. 조사에 견디는 워크플로에는 최소 4가지 동작이 필요하다. 탐지, 격리, 평가, 그리고 시정·재발 방지. 하나라도 빠지면 기록 체인이 끊긴다.

모듈 5: 기록 간 추적성 체인. SOP, 기록, 교육 훈련 파일은 서로 뒷받침되어야 한다. SOP는 이탈 발생 후 2시간 이내 격리를 요구한다. 기록은 3시간 후의 격리를 보여준다. 교육 출석부는 작업자가 편차 대응 교육을 받은 적이 없음을 보여준다. 3점을 대조하면 시스템의 약점이 드러난다. 베테랑 조사관은 단일 기록을 단독으로 읽지 않는다——기록들이 어떻게 맞물리는지를 읽는다.

왜 이탈 처리 기록이 필수 확인 항목인가

논리는 3개 층위로 성립한다.

1층위: 이탈은 피할 수 없다. 정전, 냉동기 고장, 잦은 도어 개폐, 극심한 더위——모든 콜드체인에는 고장 확률이 있다. 규제 당국은 누구보다 이를 잘 안다. 그래서 GSP의 근저 논리는 "문제를 일으키지 마라"가 아니라 "문제가 생겼을 때 탐지하고, 대응하고, 재발을 막는가"이다. "3년간 이탈 제로"를 내세우는 회사는 조사관에게 모범생으로 보이지 않는다——수상하게 보인다. 센서가 아무 일도 일어나지 않는 곳에 설치됐거나, 알람 기준값이 너무 느슨하거나, 기록이 진짜가 아니거나. 셋 중 하나가 진실이다.

2층위: 편차 기록은 정직성 테스트다. 온도 곡선은 아름답게 보일 수 있지만, 정합성 있는 편차 기록을 날조하는 것은 비용이 크다. 타임라인이 맞아떨어지고, 사람이 일치하고, 평가 근거가 실제로 존재해야 한다. 조사관이 편차 기록을 읽을 때 읽는 것은 회사의 품질 문화다. 이탈을 기록에 남기고 평가를 제대로 수행하려는 회사는 조사관의 신뢰를 얻는다.

3층위: 방법론적으로, 편차 기록은 가장 효율적인 조사 입구다. 하나의 편차 파일에 알람 대응 속도, 교육 훈련의 실효성, 품질 책임자가 실제로 직무를 수행하는지가 응축돼 있다. 3건의 편차 기록으로 조사관은 전체 시스템의 성숙도를 파악한다. 고수들의 말을 빌리면——먼저 편차를 읽어라, 나머지는 그다음이다.

이 역설적 판단이 본 기사의 중심에 있다. 조사관이 가장 두려워하지 않는 것은 이탈 기록이 있는 회사이고, 가장 두려워하는 것은 기록이 없는 회사다. 전자는 작동하는 모니터링 시스템과 대응하는 사람들을 보여준다. 후자는 시스템이 실제로 가동되고 있지 않을 가능성을 시사한다. 조사 준비의 전략적 함의는 직접적이다. 기록을 완벽해 보이게 만드는 데 힘을 쓰지 마라——모든 이탈에 완전한 대응이 이뤄지는 데 힘을 써라. 완벽해 보이는 기록은 부채이고, 완전한 대응이야말로 자산이다.

긍정 사례: 이탈 기록이 플러스가 된 경우

2025년 초, 중국 북부 의약품 물류 회사가 운행하는 냉장 차량이 운행 중 냉동기 고장을 겪고 화물 온도 알람이 울렸다. 운전자는 SOP를 따랐다. 가장 가까운 휴게소에 정차해 차량에 실은 예비 보냉 컨테이너로 화물을 옮기고, 휴대용 온도계로 전 과정을 기록했다. 사후 검토에서는 화물칸 온도가 약 30분간 9°C를 살짝 웃도는 피크에 달한 반면, 보냉 컨테이너는 내내 2–8°C를 유지한 것으로 나타났다. 회사는 편차 조사를 개시했다. 해당 배치를 격리하고, 제품 안정성 데이터를 뽑고, 제조사에 품질 영향 평가를 요청하고, 3일 안에 편차 보고서를 종결했다. 결론은 이랬다. 짧은 이탈은 안정성 데이터가 뒷받침하는 범위 안에 머물렀다. 정당한 사유와 함께 출하 승인——그리고 "모든 차량에 예비 보냉 컨테이너 탑재"가 SOP에 추가되고 훈련 빈도도 높아졌다. 몇 달 뒤 불시 조사에서 팀은 우연히도 바로 이 편차 파일을 뽑아 한 줄 한 줄 훑었다——알람 타임라인, 이송 기록, 평가 근거, 시정 조치——그리고 미비 제로로 조사를 마쳤다. 품질 책임자는 조사관이 가장 오래 들여다본 문서이자 가장 높게 평가한 문서였다고 말했다.

단계별 대응: 알람이 울렸을 때 현장 직원이 해야 할 일

이탈 대응은 그 단계에 따라 다르다. 기업은 3단계 대응 매트릭스를 구축해야 하며, 기준값은 자사의 적격성 평가 데이터에서 설정한다(규제 당국의 최신 요건과의 대조는 필수).

단계화의 진짜 가치는 이것이다. 알람이 울린 순간, 현장 직원은 이것이 몇 단계이고 무엇을 해야 하는지 안다——지시를 구하러 전화하거나 SOP를 뒤적이지 않아도 된다. 조사관은 현장 작업자에게 일상적으로 묻는다. "알람이 울렸다——첫 조치는?" 답이 나오지 않으면, 바인더 속 가장 멋진 SOP도 구해주지 못한다.

한 가지 트레이드오프는 분명히 밝혀둘 만하다. 센서는 많다고 좋은 게 아니다. "풀 커버리지"를 쫓아 하나의 냉장실에 수십 개의 프로브를 다는 회사가 있는데, 알람이 너무 많아 야간 근무는 "전부 확인"에서 "골라서 무시"로, 끝내 완전한 알람 피로로 미끄러진다——진짜 이탈이 오경보에 묻혀 아무도 대응하지 않는다. 더 나은 설계는 이렇다. 센서는 핵심 지점(도어 근처, 팬 토출구, 검증된 최악 조건 지점)에 집중시키고, 알람 기준값은 적격성 평가 데이터에서 설정하고, 대응 없는 다점보다 신속히 대응할 수 있는 소수점을 택한다. "10건의 알람에 0건의 대응"에 조사관은 관용이 없다.

숫자로 본다: 일상 투자와 실패 비용

마지막으로 열린 질문을 남긴다. 내일 아침 8시 조사팀이 당신의 냉장 창고에 들어와 3년치 이탈 처리 기록 추적을 요구한다면, 당신의 첫 본능은 파일을 가지러 가는 것인가——아니면 파일에 공백이 있지 않을까 의심하는 것인가. 이 질문에 대한 솔직한 답이 당신의 진짜 준비 수준이다.

Dr. Chen, 공급망 연구원 지음

영어판 번역본입니다. 내용이 다를 경우 영어판을 우선합니다.