21 CFR Part 11 준수: 실제로 요구되는 사항

핵심 요약

• 21 CFR Part 11 준수는 기술 자체가 아니라 시스템을 둘러싼 통제(검증, 접근 통제, 감사 추적)에서 비롯됩니다. 어떤 제품도 "본질적으로" 규정을 준수하는 것은 아닙니다.
• 이 규정은 하나의 원칙으로 요약됩니다. 종이가 없더라도 기록에 대한 모든 작업에는 이름, 타임스탬프, 사유가 있어야 합니다.
• Part 11은 HIPAA가 아닙니다. HIPAA는 건강 데이터의 개인정보 보호와 보안을 규정하고, Part 11은 FDA 규제 대상 기록과 서명의 무결성 및 추적 가능성을 규정합니다. 기업이 둘 중 하나만 충족하는 경우도 있을 수 있습니다.
• Part 11은 1997년부터 시행되고 있으며, 제약, 바이오텍, 의료기기, 임상 기관에 여전히 핵심 요건입니다.

‍

21 CFR Part 11 준수는 어느 한 가지 기술의 속성이 아닙니다. 이는 전자 기록을 신뢰할 수 있음을 입증하는 일련의 통제 체계입니다. 즉, 검증된 시스템, 접근 통제, 그리고 모든 작업을 특정인의 이름, 타임스탬프, 사유와 연결하는 감사 추적으로 이루어집니다. FDA(미국 식품의약국)는 제품이 Part 11을 준수한다고 인증하지 않습니다. 시스템을 사용하는 조직이 그 주변의 보호 장치에 대한 책임을 지기 때문에, 두 회사가 같은 소프트웨어를 사용해도 그중 한 곳만 규정을 준수할 수 있습니다.

‍

21 CFR Part 11이란?

21 CFR Part 11은 전자 기록과 전자 서명을 어떻게 관리해야 하는지 정의한 FDA 규정으로, 제약, 바이오텍, 의료기기, 임상 연구 등 FDA 규제 산업에 적용됩니다. 전자 기록은 전자 형태로 생성, 수정, 유지, 보관, 검색 또는 전송되는 모든 데이터를 말하며, 전자 서명은 수기 서명에 상응하는 전자적 서명입니다. 목표는 간단히 말해 전자 기록과 서명을 종이와 잉크만큼 신뢰할 수 있고 추적 가능하게 만드는 것입니다. 이 규정은 1997년 3월 20일에 공표되어 1997년 8월 20일에 발효되었으며, 거의 30년이 지난 지금도 여전히 유효합니다. eCFR에서 21 CFR Part 11 전문을 확인할 수 있습니다.

‍

21 CFR Part 11 준수에는 실제로 무엇이 필요한가요?

이 규정은 세 개의 하위 파트로 구성되어 있지만, 실무에서 21 CFR Part 11 요건은 간단한 체크리스트로 정리됩니다. 가장 쉽게 기억하는 방법은 종이가 없더라도 모든 작업에는 이름, 타임스탬프, 사유가 있어야 한다는 것입니다. 감사 추적은 이를 가능하게 하는, 모든 생성, 편집, 삭제에 대해 타임스탬프와 사용자 정보를 남기는 기록입니다.

‍

‍

21 CFR Part 11은 누구에게 적용되나요?

Part 11은 필수 기록을 전자적으로 보관하거나 수기 서명 대신 전자 서명을 사용하는 FDA 규제 대상 조직에 적용됩니다. 적용 범위는 부서가 아니라 기록을 따릅니다. 규제 대상 조직이 FDA 규제 대상 전자 문서를 생성, 저장 또는 전송하는 순간, 이를 처리하는 시스템은 적용 범위에 들어갑니다. 여기에는 전송 시스템도 포함되므로, Fax.Plus와 같은 보안 온라인 팩스 서비스도 규제 대상 문서를 전달할 때는 감사 추적 및 접근 통제를 갖추어 운영해야 합니다. FDA는 적용 범위 및 적용에 관한 지침에서 이 규정이 얼마나 폭넓게 적용되는지 설명합니다.

‍

21 CFR Part 11과 HIPAA: 차이점은 무엇인가요?

이 둘은 자주 혼동되지만 그 차이는 중요합니다. HIPAA(Health Insurance Portability and Accountability Act, 미국 건강보험 이전 및 책임에 관한 법)는 보호 대상 건강 정보(PHI)의 개인정보 보호와 보안을 다룹니다. PHI는 적용 대상 기관이 취급하는, 개인을 식별할 수 있는 건강 데이터입니다. 21 CFR Part 11은 FDA 규제 대상 전자 기록 및 서명의 무결성과 추적 가능성을 보호합니다. 대표적인 HIPAA 문서로는 Business Associate Agreement(BAA)가 있으며, 이는 공급업체가 귀하를 대신해 PHI를 취급할 수 있도록 허용하는 계약입니다. 두 규정은 서로 다른 문제를 해결하며, 시스템이 한쪽만 충족하고 다른 쪽은 충족하지 않을 수도 있습니다.

‍

‍

21 CFR Part 11 준수에 접근하는 방법

규정 준수를 구매하는 라벨이 아니라 입증할 수 있는 통제 체계로 다루세요. 실무에서는 공급업체 문서가 갖춰진 검증된 시스템, 접근 통제와 고유한 사용자 계정, 완전한 감사 추적, 고유하고 검증된 전자 서명, 그리고 명확히 정의된 기록 보존 기준을 의미합니다. 입증할 수 없는 주장은 과장하지 말고 표현을 완화하세요. 규제 기관은 주장하는 내용이 아니라 제시할 수 있는 증거를 평가하기 때문입니다.

‍

자주 묻는 질문

‍

21 CFR Part 11은 언제 발효되었나요?

최종 규정은 1997년에 발표되어 1997년 8월 20일에 발효되었습니다. 현재도 유효하며 FDA 규제 대상 전자 기록 및 서명에 계속 적용됩니다.

‍

21 CFR Part 11은 누구에게 적용되나요?

필수 기록을 전자적으로 생성, 수정, 유지, 보관, 검색 또는 전송하거나, 수기 서명 대신 전자 서명을 사용하는 FDA 규제 대상 조직(제약, 바이오텍, 의료기기, 임상 운영 등)에 적용됩니다.

‍

21 CFR Part 11의 목적은 무엇인가요?

그 목적은 전자 기록과 서명을 종이만큼 신뢰할 수 있게 만들어, FDA 규제 대상 기록이 정확하고, 작성자를 확인할 수 있으며, 변조 여부를 알 수 있는 기록으로서 신뢰받을 수 있도록 하는 것입니다.

‍

별도 설정 없이 바로 "21 CFR Part 11 준수"인 제품이 있나요?

아니요. 규정 준수는 제품 자체가 아니라 통제 체계와 시스템의 검증 및 운영 방식에서 나옵니다. 공급업체는 Part 11을 지원할 수 있지만, 규정 준수를 입증할 책임은 이를 사용하는 조직에 있습니다.

‍

전자 서명이 21 CFR Part 11을 준수할 수 있나요?

각 서명이 한 사람에게만 고유하고, 신원이 (흔히 2단계 인증으로) 확인되며, 서명에 서명자의 이름, 날짜와 시간, 서명 사유가 기록된다면 전자 서명은 Part 11을 지원할 수 있습니다. 특정 도구가 이에 해당하는지는 구성 및 검증 방식에 따라 달라집니다.

‍

21 CFR Part 11에서 cloud 소프트웨어를 사용할 수 있나요?

예. 시스템이 검증되어 있고, 접근이 통제되며, 감사 추적이 완전하고, 공급업체가 자체 검증 노력을 뒷받침하는 문서를 제공한다면 Part 11에서 cloud 소프트웨어를 사용할 수 있습니다.