ISO 9001 실험실 데이터 컴플라이언스
다음 감사 전에 QC 관리자가 알아야 할 사항

ISO 9001:2015 조항 7.5가 실험실 데이터에 실제로 요구하는 사항

감사자가 QC 실험실의 기록을 열 때 가장 먼저 찾는 조항은 7.5.3 — 문서화된 정보의 관리입니다. 교정 인증서에 버전 번호가 필요한 이유이자, 차트 기록계 출력물 옆에 손으로 수정한 메모지가 붙어 있으면 외부 감사에서 지적받는 이유이기도 합니다. 하지만 그 범위는 버전 관리보다 훨씬 넓습니다.

ISO 9001:2015는 기존의 "문서"와 "기록"을 하나의 범주인 문서화된 정보로 통합했으며, 조항 7.5는 세 가지 하위 요구사항으로 나뉘며, 모두 QC 실험실의 워크플로우에 적용됩니다:

7.5.1 — 일반. 조직은 표준에서 요구하는 문서화된 정보와 QMS 효과성에 필요하다고 판단되는 추가 정보를 유지해야 합니다. QC 실험실에서 두 번째 부분이 사람들을 놀라게 하는 부분입니다. 표준 자체는 품질 방침, 범위, 목표를 규정합니다. 그러나 조직이 결정하거나 감사자가 대신 결정하여 원시 기기 데이터에서 최종 CoA까지의 추적성이 "효과성에 필요하다"고 판단하면 감사 대상이 됩니다. 선택 사항이라고 주장할 수 없습니다.

7.5.2 — 작성 및 갱신. 모든 문서화된 정보는 적절히 식별되고, 대상 독자에 맞게 형식화되며, 사용 전에 검토 및 승인되어야 합니다. 종이 실험실 노트가 까다로워지는 부분입니다. 날짜도, 서명도 없고, 한 줄 긋기와 이니셜 없이 낙서처럼 수정한 QC 분석가의 로그북 항목? 작성 단계에서 이미 부적합입니다.

7.5.3 — 관리. 감사자가 가장 좋아하는 섹션입니다. 문서화된 정보는 필요할 때 필요한 곳에서 이용 가능해야 하며, 기밀성 또는 무결성 손실로부터 적절히 보호되고, 배포, 접근, 검색, 보존, 그리고 결정적으로 변경 관리를 통해 통제되어야 합니다. 전자 기록의 경우 "이 Excel 파일을 누가 편집할 수 있는가?"라는 질문이 규정 준수 문제가 되는 부분입니다. DNV GL이 집계한 ISO 9001 감사 데이터에서 조항 7.5.3은 전 세계적으로 상위 10대 부적합 사항에 지속적으로 포함됩니다. 승인되지 않은 변경, 구버전 식별 실패, 적절한 문서 관리 절차 부재가 반복되는 주요 지적 사항입니다.

수동 전사 공백: 데이터 무결성이 무너지는 지점

직원 200명 미만의 대부분의 제조업체는 1990년대 이후 근본적으로 변하지 않은 워크플로우로 QC 데이터를 운영합니다. 그 과정은 다음과 같습니다:

1. 기기가 결과를 생성합니다
2. 분석자가 결과를 종이 기록부나 Excel 시트에 직접 전사합니다
3. 해당 Excel 시트는 다른 통합 문서의 주간 SPC 차트에 입력됩니다
4. 배치 출시 시, 담당자가 관련 시험 결과를 분석 증명서(CoA) 또는 배치 기록으로 정리합니다
5. 배치 기록은 검토 후 서명됩니다

다섯 번의 인계가 이루어집니다. 각 인계는 데이터 무결성 이벤트입니다. 그리고 ISO 17025 감사관과 FDA 검사관이 데이터 무결성을 평가하는 데 사용하는 프레임워크인 ALCOA+에 따르면, 이 모든 단계는 감사 가능한 공백을 만듭니다.

문제는 특정 단계가 반드시 실패한다는 것이 아닙니다. 수동 인계 체인이 5개일 때, 최소 하나의 연결 고리가 누락될 확률 — 분실된 기기 출력물, 서명되지 않은 항목, 감사 추적 없이 편집된 Excel 셀 — 은 충분한 감사가 누적되면 확실성에 가까워진다는 점입니다.

2025년 FDA 경고 서한 분석에 따르면, 470건 중 469건의 서한이 문서화 또는 기록 관리 실패를 지적했습니다. 100건은 검증 실패를 지적했으며, 특히 중요한 QC 계산에 사용된 검증되지 않은 Excel 스프레드시트가 포함되었습니다. 여러 사례에서 FDA는 "분석가가 스프레드시트 파일을 수정하거나 삭제할 수 있는 무제한 액세스 권한을 가졌다"는 사실을 발견했습니다. 모든 분석가가 동일한 Excel 통합 문서를 편집할 수 있고 버전 기록이나 변경 로그가 없다면, 이는 문서 관리가 아닙니다. 배치 출시 데이터를 저장하는 공유 스크래치패드일 뿐입니다.

이것이 21 CFR 211.22(d) — 품질 단위 절차 미준수 — 가 4년 연속 FDA 483 관찰 사항 1위인 이유입니다. 위반 사항은 제품이 불량하다는 것이 아닙니다. 품질 단위가 제품이 양호하다는 것을 증명할 수 없다는 것입니다.

ISO 9001 너머: 21 CFR Part 11, ISO 17025, ISO 13485가 기준을 높일 때

ISO 9001은 최소 기준이지 최대 기준이 아닙니다. 실험실이 테스트하는 항목과 판매 시장에 따라 7.5절 위에 전자 기록 및 데이터 무결성에 대한 더 엄격한 요구 사항을 가진 추가 표준이 적용됩니다. QC 관리자는 감사자가 지적하기 전에 어떤 표준이 적용되는지 알아야 합니다.

세 가지 모두의 공통점은 ALCOA+입니다: 출처 명확성(Attributable)(누가 했는가), 판독 가능성(Legible)(읽을 수 있는가), 동시성(Contemporaneous)(나중에 재구성하는 것이 아니라 당시에 기록되었는가), 원본성(Original)(정리된 사본이 아닌 원시 데이터인가), 정확성(Accurate)(오류가 없고 진실한가)입니다. "+"는 완전성(Complete), 일관성(Consistent), 지속성(Enduring), 가용성(Available)을 추가합니다. 이 프레임워크는 FDA의 2018년 데이터 무결성 및 의약품 CGMP 준수 지침에 나타나 있으며, ISO 및 FDA 감사관이 실험실 기록을 평가하는 방식을 뒷받침합니다.

특히 21 CFR Part 11은 QC 실험실을 놀라게 하는 엄격한 요구사항을 만듭니다: 검증된 시스템. "Excel 파일을 확인합니다"라는 절차가 있다고 해서 충분하지 않습니다. 시스템 자체가 안정적이고 일관되게 작동하도록 검증되어야 하며, 무단 변경을 방지하는 통제 장치가 있어야 합니다. 버전 이력이나 액세스 제어 없이 QC 팀 전체가 공유하는 검증되지 않은 Excel 통합 문서는 Part 11의 요구사항을 전혀 충족하지 못하며, FDA 조사관은 바로 이러한 패턴을 찾아내도록 훈련되어 있습니다.

감사관이 실제로 지적하는 사항: 지적 사항의 배후에 있는 데이터 포인트

감사 지적 사항은 무작위적이지 않습니다. 이는 수동 QC 데이터 워크플로우에서 예측 가능한 실패 유형을 중심으로 발생합니다. 무엇이 지적되는지, 그리고 얼마나 자주 지적되는지 이해하는 것이 준비된 실험실과 종료 회의에서 허둥대는 실험실을 구분 짓는 요소입니다.

업계 분석가가 수집한 2025년 FDA 경고 서한 데이터에 따르면:

• 검증 공백은 470건의 경고 서한 중 100건에서 지적되었으며, 이는 가장 흔한 특정 지적 범주입니다. 여기에는 중요한 계산에 사용되는 검증되지 않은 스프레드시트, 검증되지 않은 분석 방법, 장비 적격성 공백이 포함됩니다.
• 불완전하거나 누락된 문서화된 절차는 62건의 서한에 나타났습니다. QC 실험실에서 이는 종종 "실험실에는 시험 방법에 대한 SOP가 있지만, 시험 데이터가 기기에서 배치 기록으로 이동하는 방법에 대한 문서화된 절차는 없다"는 형태로 나타납니다.
• 불일치 조사 실패 — 48건. 분석자가 규격 이탈 결과를 Excel에 입력하고 SPC 차트가 이를 표시할 때, 문서화된 조사가 있습니까? 아니면 분석자가 단순히 재시험하고 값을 덮어씁니까?
• 데이터 무결성 위반 — 14건의 서한에서 변경, 삭제 또는 통제되지 않은 기록의 특정 행위가 지적되었습니다. SV Labs Corporation 경고 서한에서 FDA의 표현은 이러한 우려를 잘 보여줍니다: "관찰된 부실은 실험실 관리, 문서화 관행 및 데이터 무결성 통제를 포함하되 이에 국한되지 않으며, QU의 감독 기능에 근본적인 약점이 있음을 나타냅니다."

Journal of Pharmaceutical Innovation에 게재된 2010–2020년 FDA 경고 서한에 대한 회고적 연구에 따르면, 문서화 관행은 모든 CGMP 관련 경고 서한의 21%를 차지했으며, 이는 26%를 차지한 공정 검증에 이어 두 번째로 높은 비율입니다(PMC 9377664). 이는 새로운 추세가 아닙니다. 이는 FDA 집행 역사상 가장 지속적인 패턴입니다.

구체적으로 ISO 9001의 경우, 문서 관리 지적 사항은 절차의 부재가 아니라 서류상으로만 존재하고 실험실 현장에 도달하지 못하는 절차에 관한 것입니다. 감사관은 다음 사항을 확인합니다:

• 승인 서명이나 날짜가 없는 문서
• 작업장에 여전히 게시된 구버전 SOP
• 원본 항목이 표시되지 않는 기록 수정
• 문서 관리 시스템에 포함되지 않은 외부 문서 — 기기 매뉴얼, 공급업체 CoA, 규제 표준
• 변경 이력이 없고 배치 릴리스 결정의 마스터 데이터 저장소로 사용되는 Excel 파일

LIMS 대 AI 추출: 적정 비용으로 감사 추적 구축하기

QC 관리자가 수동 전사가 감사 위험이라고 결론을 내리면, 전통적인 다음 단계는 실험실 정보 관리 시스템(LIMS) 평가입니다. 그 제안은 설득력 있습니다: LIMS는 기기 데이터를 직접 캡처하고, 데이터 입력 통제를 시행하며, 타임스탬프가 있는 감사 추적을 유지하고, 21 CFR Part 11을 준수하는 환경에서 전자 서명을 관리합니다. LabWare, STARLIMS, LabVantage는 합산하여 엔터프라이즈 LIMS 시장의 약 80%를 차지합니다.

문제는 가격입니다. 엔터프라이즈 LIMS 구축은 설정에 $250,000 이상, 연간 라이선스에 $100,000 이상이 소요됩니다. 중소 제조업체에 필요한 중간 규모 구축도 설정에 $50,000–250,000, 연간 $25,000–100,000이 여전히 듭니다. 구현 기간은 수개월로 늘어납니다. 그리고 G2 리뷰는 시사하는 바가 큽니다: LabWare 사용자는 이를 "전혀 직관적이지 않다"고 "OOTB 기능이 거의 없다"고 설명하며, STARLIMS는 "상당한 구현 노력"이 필요하다고 언급됩니다. 이는 전담 IT 직원이 있는 실험실을 위해 구축된 도구입니다.

하루 20건의 QC 테스트를 수행하는 50인 규모 제조업체에게 $75,000 LIMS 구축은 현실적인 선택지가 아닙니다. 대안인 수동 전사 유지는 규정 준수 관점에서 equally 지속 불가능합니다. 이것이 AI 기반 추출 도구가 5년 전에는 존재하지 않았던 중간 지대를 차지하는 이유입니다.

AI 추출 도구는 LIMS를 대체하지 않습니다. 시료 추적, 재고, 기기 교정 일정을 관리하지 않습니다. 이 도구가 하는 일 — 그리고 Clause 7.5 및 Part 11 준수에 중요한 점 — 은 데이터 입력 지점에서 수동 전사 단계를 제거하는 것입니다. 분석가가 분광광도계 출력물을 읽고 Excel에 숫자를 입력하는 대신, 기기 출력물이 AI에 입력됩니다. 도구는 인장 강도, 신장률, 경도 등 테스트에서 생성된 값을 읽고 구조화된 데이터로 출력합니다. 모든 추출은 어떤 원본 문서에서 무엇이 추출되었는지에 대한 기록이 있는 타임스탬프 이벤트입니다.

규정 준수 차이는 세 가지입니다:

1. 출처 및 동시성: 추출 타임스탬프와 분석가의 로그인 정보는 누가 언제 어떤 데이터를 처리했는지에 대한 기록을 생성하여, 수동 기록부가 어려움을 겪는 ALCOA+의 "동시성" 및 "출처" 테스트를 충족합니다.
2. 원본 보존: 원본 파일은 추출된 데이터와 함께 계속 사용할 수 있습니다. 감사자는 원본 기기 출력을 불러와 추출된 값과 비교할 수 있습니다 — "원시 데이터를 보여주세요"라는 테스트에 답할 수 있게 됩니다.
3. 수동 재입력 없음: 규정 준수 위험은 "분석가가 올바른 숫자를 입력했는가?"에서 "추출 출력이 검증되었는가?"로 전환됩니다. 후자는 검토 단계로, 자체 감사 추적을 생성하는 통제된 활동이며, 본질적으로 기록이 없는 전사 행위가 아닙니다.

개별 QC 실험실 보고서를 Excel로 추출한 다음 SPC 대시보드로 일괄 처리하는 실험실의 경우, 데이터 흐름은 다음과 같습니다: 기기 출력 → AI 추출 → 구조화된 데이터 → SPC 분석 → 배치 기록. 추출 단계는 자동화되고 추적 가능합니다. 해당 단계의 감사 추적은 기계 생성이므로, 분석가가 로그북 항목에 서명하고 날짜를 기재하는 것을 기억하는 데 의존하지 않습니다.

비용 차이는 뚜렷합니다. 중간 수준의 LIMS 구축 비용이 $50,000 이상인 반면, 이 범주의 AI 추출 도구는 문서당 또는 구독 가격으로 운영되며, 소규모 QC 실험실이 처리하는 물량에 대해 일반적으로 월 $50 미만입니다. 절충점은 범위입니다: 데이터 수집과 진입점에서의 감사 추적을 제공하지만, 전체 LIMS가 제공하는 포괄적인 샘플 관리, 재고 추적 및 기기 통합은 제공하지 않습니다. 주요 규정 준수 노출이 수동 전사 단계인 소규모 제조업체에게는 이러한 절충이 종종 올바른 선택입니다.

기기 출력물에서 감사 대비 기록까지: 실용적 프레임워크

규정 준수는 도구 구매가 아니라 워크플로우 설계 작업입니다. 도구는 워크플로우를 가능하게 하지만, 감사관이 평가하는 것은 바로 워크플로우 자체입니다. 대부분의 QC 실험실이 현재 위치에서 방어 가능한 데이터 무결성 체계를 갖추기 위한 6단계 프레임워크를 소개합니다.

1단계: 현재 데이터 체인 파악

기기 출력에서 최종 배치 기록까지의 흐름도를 문자 그대로 그려 보십시오. 기기에서 분석자, 분석자에서 기록부, 기록부에서 Excel, Excel에서 CoA로 이어지는 모든 인계 지점에서 질문하십시오: 이 작업이 언제 발생했는지, 누가 수행했는지, 숫자가 변경되지 않았음을 증명할 수 있습니까? "아니요"에 해당하는 모든 지점을 빨간색으로 표시하십시오. 그것이 바로 규정 준수 격차입니다.

2단계: 적용되는 표준 확인

미국에 의료 기기를 판매하는 경우 ISO 13485 및 Part 11이 필요합니다. 제3자 시험 기관인 경우 ISO 17025가 적용 표준입니다. ISO 9001 인증을 보유한 일반 제조업체라면 7.5절이 기본 기준입니다. 운영에 적용되는 특정 조항 번호를 기록해 두십시오. 감사관은 조항 번호로 인용할 것이므로 귀하도 이를 알고 있어야 합니다.

3단계: 통제 지점 선택

가장 영향력 있는 규정 준수 결정은 수동 전사 단계를 어디에서 제거할 것인지입니다. 많은 중소 제조업체의 경우 기기 출력에서 구조화된 데이터로의 전환 단계가 가장 위험도가 높은 인계 지점이며 자동화하기도 가장 쉽습니다. 전체 LIMS 통합이 범위를 벗어난다면 바로 이 지점에 투자하십시오.

4단계: 검토 단계를 워크플로우에 통합

자동 추출이 검토 없는 추출을 의미하지는 않습니다. 두 번째 담당자 또는 QC 감독자는 데이터가 배치 기록에 입력되기 전에 추출된 값이 원본 문서와 일치하는지 확인해야 합니다. 이 검증 자체도 문서화되어야 합니다. cGMP 문서화에서 AI에 대한 FDA의 2026년 4월 입장은 이를 명확히 합니다: 자동화된 출력은 자격을 갖춘 인간이 검토할 때까지 통제된 기록이 아닙니다.

5단계: 원본 보존

ISO 17025 조항 7.5 및 FDA 데이터 무결성 지침은 모두 원본 관찰 기록의 보존을 요구합니다. 추출 소프트웨어에 입력한 기기 PDF, 차트 기록지 또는 원시 데이터 파일은 전체 보존 기간 동안 날짜, 시험 방법 참조, 장비 ID 및 분석자 식별자와 함께 보존 및 검색 가능해야 합니다.

6단계: 워크플로우 자체 문서화

"QC 시험 데이터의 생성부터 배치 기록까지의 관리"라는 제목의 SOP를 작성하십시오. 1~5단계에서 구축한 워크플로우를 설명하십시오. 사용된 도구, 검토 단계, 보존 위치 및 액세스 통제를 명시하십시오. 이 SOP는 암묵적인 프로세스를 감사 가능한 프로세스로 전환합니다. 이것이 없으면 아무리 훌륭한 추출 파이프라인을 보유하더라도 데이터 관리 방법을 문서화하지 못했다는 지적을 받을 수 있습니다.

자주 묻는 질문

ISO 9001은 전자 기록 보관을 요구합니까, 아니면 종이 기록도 허용됩니까?

종이 기록은 ISO 9001:2015에서 여전히 허용됩니다. 표준은 형식 중립적입니다. 종이 기록은 조항 7.5가 요구하는 통제 요소, 즉 모든 항목에 대한 서명과 날짜, 수정 시 이니셜을 포함한 한 줄 취소선, 분실 또는 무단 액세스를 방지하는 시스템이 부족할 때 문제가 됩니다. 현실적으로 이러한 요구 사항을 일관되게 충족하는 종이 기록은 유지 관리에 많은 인력이 필요합니다. 많은 실험실이 종이가 금지되어서가 아니라 전자 시스템이 종이가 인간의 규율에 의존하는 통제를 강제하기 때문에 전자 시스템으로 전환합니다.

21 CFR Part 11과 ISO 9001 문서 관리의 차이점은 무엇입니까?

ISO 9001 조항 7.5는 "문서를 통제하라"고 말하지만 방법을 규정하지는 않습니다. 21 CFR Part 11은 전자 기록이 법적으로 종이와 동등하게 관리되어야 하는 방법, 즉 검증된 시스템, 고유 사용자 ID, 안전한 감사 추적, 신원 확인이 포함된 전자 서명, 메타데이터가 보존된 데이터 보존을 정확히 규정합니다. 비밀번호가 있는 스프레드시트는 절차가 있으면 ISO 9001의 취지를 충족합니다. 그러나 시스템 수준의 통제를 요구하는 Part 11을 충족하지는 못합니다. 비밀번호만으로는 제공할 수 없는 통제입니다.

AI 추출 도구를 사용하면서도 Part 11 감사를 통과할 수 있나요?

AI 추출 도구는 (a) 추출된 출력물이 배치 기록에 입력되기 전에 자격을 갖춘 담당자의 검토와 승인을 받고, (b) 검토 단계가 문서화되며, (c) 원본 소스 문서가 공식 기록으로 보존되는 경우 Part 11 검증 시스템일 필요가 없습니다. cGMP 문서화에서 AI 사용에 대한 FDA의 새로운 입장은 인간 검토를 핵심 요건으로 만듭니다. 도구의 역할은 초안을 생성하는 것이며, 인간 검토가 이를 통제된 기록으로 전환합니다. 워크플로우가 이 검토 단계를 문서화한다면 문제없습니다.

비밀번호 보호가 된 Excel 스프레드시트로 ISO 9001을 충족할 수 있나요?

ISO 9001만 놓고 보면 — 접근 제어, 버전 관리, 변경 추적에 대한 문서화된 절차가 있다면 기술적으로는 가능합니다. 그러나 실제로는 비밀번호로 보호된 Excel 파일은 감사인의 후속 질문 때문에 감사 심사를 통과하기 어렵습니다. "그 수준의 세부 사항은 추적할 수 없습니다"라는 답변이 나온다면 문서 관리 공백이 있는 것입니다. Part 11 또는 ISO 17025를 적용받는 실험실의 경우 비밀번호로 보호된 Excel은 확실히 불충분합니다. 두 표준 모두 비밀번호 보호만으로는 제공할 수 없는 감사 추적을 요구하기 때문입니다.

제 실험실이 ISO 9001에 더해 ISO 17025 인증이 필요한지 어떻게 알 수 있나요?

실험실이 자체 품질 결정을 위해 해당 결과에 의존하는 외부 고객에게 시험 또는 교정 결과를 제공하거나, 고객의 계약 또는 규제 제출 요건이 인증된 실험실의 시험을 요구하는 경우 ISO 17025가 필요합니다. 자사 제품을 출시 전에 자체적으로 시험하는 제조업체의 내부 QC 실험실은 일반적으로 ISO 17025가 필요하지 않습니다. CoA가 제약 회사의 FDA 제출 자료에 포함되는 제3자 계약 시험 실험실은 거의 확실히 필요합니다. 고객이 "ISO 17025 인증 실험실 결과"를 요구한다면 결정은 이미 내려진 것입니다.

ISO 9001 실험실 감사에서 가장 흔한 문서 관리 지적 사항은 무엇인가요?

DNV GL의 집계된 감사 데이터와 여러 인증 기관의 확인에 따르면, 실험실별 문서 관리에서 가장 빈번한 지적 사항은 다음과 같습니다: (1) 원본 항목을 보존하지 않는 기록 수정 — 초기 서명과 날짜가 포함된 한 줄 취소선 대신 숫자를 완전히 지워버리는 경우; (2) 변경 이력이 없고 접근 통제 없이 공유되는 스프레드시트에 시험 결과를 입력하는 경우; (3) 기기 출력물을 "메모지"로 취급하여 값을 옮겨 적은 후 폐기하는 경우. 세 번째 사항은 사후에 해결하기 가장 비용이 많이 듭니다 — 6개월 전에 버려진 열전사 프린터 출력물은 재현할 수 없기 때문입니다.

QC 실험실의 데이터 추출 접근 방식에 대한 자세한 내용은 제조 QC 실험실 보고서를 Excel로 추출하는 방법 가이드와 SPC 대시보드용 일괄 처리 워크플로를 참조하세요. 이 분야의 도구에 대한 더 넓은 평가는 제조 문서 추출 도구 비교를 확인하세요.

감사 준비가 된 QC 데이터 워크플로로 가는 가장 빠른 경로: 실험실 보고서를 데모 도구에 업로드하고, 추출할 열을 정의한 다음, 추적 가능하고 기계 생성된 데이터 기록이 어떤 모습인지 확인하세요. 감사관이 원본 기기 데이터와 비교하는 것은 프로세스가 아닌 출력물입니다.