최근 제약산업에서 데이터 완전성(Data integrity) 문제의 심각성과 중요성이 대두되면서 국제적인 규제기관들이 중심이 되어 데이터 완전성에 대한 더욱 명확하고 상세한 지침들을 발행하고 있다. 이러한 배경에는 지난 수년간 국내외 규제 당국의 Good Manufacturing Practice (GMP) 감사 중 데이터 완전성과 관련된 위반사항들이 여전히 다수 확인되고 있기 때문이다. 이에 제약 업계에서는 연구 개발 단계에서부터 전임상시험, 임상시험, 생산 및 품질관리, 마케팅에 이르는 제품의 전주기(Lifecycle)에 걸쳐 데이터와 기록의 정확성 및 완전성을 확보하기 위한 업무 환경을 마련하기 위해 많은 투자와 노력을 해오고 있다.¹⁾

Table 1은 2008년부터 2018년 동안 데이터 완전성 문제와 관련하여 발행된 국가별 warning letter들의 연도별 숫자를 나타낸다.²⁾ 데이터 완전성 관련 w arning l etter의 수는 2008년부터 2013년까지 매년 4~6건 수준이었으나, 2014년도 10건 및 2015년 15건으로 늘어난 이후 2016년 41건, 2017년 56건으로 대폭 늘어나는 경향을 나타내었다. 2008년에서 2018년까지 11년 동안 발행된 데이터 완전성 관련 warning letter의 약 80%는 2015년 이후 4년 기간 동안 발생했다. Warning letter 발행 국가의 수도 계속해서 증가하고 있는 추세이다.^2-4)

Table 1

Number of data integrity-associated warning letters by country during 2008-20182)

	2008	2009	2010	2011	2012	2013	2014	2015	2016	2017	2018	Total
China	1	1	3	1			2	2	14	19	15	58
United States	1	2	1	1	1				7	15	8	36
India	1	1		2		6	7	10	9	12	6	54
Europe		1					1	2	6	3	1	14
Brazil									3			3
Japan	1								2	1	3	7
Thailand								1				1
Canada			1		1					2	1	5
Mexico					2					1	1	4
UAE					1							1
Jamaica					1							1
South Korea										2	4	6
Singapore										1		1
Australia											1	1
Taiwan											1	1
Dominican Rep.											1	1
Total	4	5	5	4	6	6	10	15	41	56	42	194

미국 Food and Drug Administration (FDA) 보고에 따르면 2014년부터 2018년 사이에 발행된 의약품 생산 warning letter의 연평균 79%가 데이터 완전성과 관련되었으며, 2018년에도 전체 91건 중 69건이 데이터 완전성과 관련한 것으로 나타났다(Fig. 1).⁵⁾ European Directorate for the Quality of Medicines & HealthCare (EDQM)이 2015년과 2018년 기간 동안 실시한 감사에서도 중대한(Critical) 결함의 44%와 주요(Major) 결함의 25%가 데이터 완전성 문제와 관련되었다.⁶⁾

Fig. 1. Global drug manufacturing warning letters by data integrity.⁵⁾

Parenteral Drug Association (PDA)에서 수집한 자료에 따르면 2012년과 2017년 사이에 규제기관이 제약회사를 대상으로 시행한 실사 과정에서 중요한 데이터의 위조 및 삭제를 비롯하여 데이터 소급 작성, 임의 반복 시험과 같은 상당수의 데이터 완전성 위반 사례들이 확인되었다(Table 2).¹⁾

Table 2

Data integrity issues identified in regulatory observations between 2012 and 20171)

Data Integrity Issues*	Description
Failure to perform required testing	Sterility testing of finished product, in-process, active pharmaceutical ingredient (API), environmental monitoring, water, and media fills where the required sampling, incubation, and/or testing were not performed, while records were generated as if the sampling or testing had been performed.
Falsification of critical data	Citations have been issued for falsification of sampling information or test result data in worksheets/logbooks/test reports, including fabricated results for samples not attained and/or incubated, and for reporting failing results as passing.
Deletion of data	Citations have been issued for deletion or overwriting of electronic data generated in the laboratory.
Deficiencies in deviation reports and investigations of data integrity issues	Deficiencies such as inadequate root cause (e.g., did not address data manipulation and falsification), failure to expand the scope of the investigation to assess potential impact of poor data integrity practices on other functional areas.
Falsification of CGMP records	Falsification of CGMP records, including modification of records, omissions, or reporting inaccurate results.
Failure to configure computerized systems to meet the requirements for the security and control of data	Permitting unauthorized system access, allowing for the deletion of electronic and printed raw data (including information related to undesirable or failing results, and/or audit trails).
Failure to document laboratory records contemporaneously and/ or deliberate falsification of manual records	Inconsistencies when comparing laboratory documentation records against the electronic data files (e.g., dates recorded on sample receiving records are inconsistent with the date stamped on the HPLC chromatograms).
Performing unreported sample test injections	Trial analyses and deletion of data were found to be closely related; specifically, the deletion of data or the failure to configure systems to detect the deletion of data.

*These examples are not all-inclusive but are representative of issues uncovered by regulatory agencies during recent inspections.

이와 같이 실사를 통해 최근 데이터 완전성 문제의 발생 빈도 및 심각성이 현저히 증가하고 있음이 확인되면서 데이터 완전성 및 데이터 관리 체계는 글로벌 보건 당국의 주요 실행계획에 반영되고 있다. 영국 의약품 및 보건의료제품규제청(MHRA)이 2015년 지침과 2018년 개정판에 관련된 내용을 반영하였고, 2016년에는 세계보건기구(WHO)를 비롯하여 European Medicines Agency (EMA), Pharmaceutical Inspection Cooperation Scheme(PIC/S), 호주, 캐나다 및 중국 등이 그 뒤를 이었다.

보건 당국의 실행계획은 GMP 분야에 국한되지 않고 생체이용률 및 생물학적동등성시험, 임상시험관리기준 (GCP)에도 적용되며, 관련된 회사의 경우 수많은 제품에 대한 데이터가 영향을 받게 되었다. 이에 데이터 관리체계 및 데이터 완전성과 관련된 GMP 시행이 최근 주요 현안으로 떠오르며 전세계적으로 확대되고 있는 추세이다.²⁾

국내 식품의약품안전처에서도 2020년 10월에 의약품 제조 및 품질관리 신뢰성 강화를 위해 ‘의약품 제조업체 데이터 완전성 평가지침’을 마련하여 배포하였고, 2023년부터는 모든 의약품(완제 및 원료의약품 포함)에 해당 지침이 적용되도록 행정지시를 한 상태이다.^7,8)

본 논문에서는 제약산업에서 발생하는 데이터 완전성 위반의 요인과 위험요소를 분석하고 이를 개선하기 위해 글로벌 규제기관에서 제시하고 있는 데이터 완전성을 위한 요구사항과 제반사항에 대해 다루고자 하였다.

제약산업에서 GxP 활동(GMP, GDP, GLP 등) 중에 생성되고 기록된 데이터는 GxP 활동을 전체적으로 평가할 수 있는 소스 데이터, 메타 데이터 및 후속 변환 형태를 포함한 모든 원본 기록 및 원본 기록의 검증된 복사본을 포함하는 것으로 정의할 수 있다. 데이터 완전성이란 제약 품질 운영을 보증하는 중요한 요소로서 데이터가 충분한 가독성을 가지고 실시간으로 기록되어 의약품 전주기 전반에 걸쳐 완전하고, 일관되며, 정확하고, 신뢰할 수 있도록 데이터가 유지되는 것을 의미한다. 데이터 완전성의 결함은 환자의 생명 및 안전에 직접적인 영향을 미칠 뿐만 아니라 다양한 이해 관계자(환자, 규제기관, 고객)에게 영향을 미치게 된다. 이는 제조업체나 제품에 대한 신뢰를 악화시키게 만들어 궁극적으로 기업의 재정적 손실 및 운영에 막대한 영향을 미칠 수 있게 된다. 이러한 점에서 데이터 완전성 확보를 바탕으로 품질이 최우선인 환경을 조성하는 것이 무엇보다 중요하다. 이러한 데이터 완전성 확립을 위해 갖추어야 할 요구사항은 다음과 같다.

데이터 완전성 구성요소

• 원본 데이터(Raw data): 종이 혹은 전자적으로 기록된 최초의 정보로 설명될 수 있는 원본 기록으로 정의된다. 동적 상태의 원래 정보는 그 상태에서 계속 사용할 수 있어야 한다.

• 메타 데이터(Metadata): 메타 데이터는 다른 데이터의 속성을 설명하고 내용과 의미를 제공하는 데이터이다. 일반적으로 메타 데이터는 구조, 데이터 요소, 상호관계 및 데이터의 기타 특성을 설명한다.

• 고정 데이터(Static data): 고정되어 있으며 사용자와 기록 간의 상호작용이 거의 또는 전혀 없는 기록 형식을 의미한다(예: 종이나 PDF 형식의 기록).

• 동적 데이터(Dynamic data): 사용자와 기록 간의 상호작용을 허용하는 기록을 말한다(예: 전자 형식의 원본 기록).

• 데이터 관리 시스템(Data governance): 데이터가 생성, 기록, 처리, 유지 및 사용되는 형식과 관계없이 데이터 전주기 전반에 걸쳐 완전하고 일관되며 정확한 기록을 보장하는 정책과 프로세스를 포함하는 전반적인 시스템을 의미한다.

• 데이터 전주기(Data lifecycle): 데이터가 생성 단계부터 폐기에 이르기까지 기록, 처리, 검토, 분석, 보고, 전송, 저장, 검색 및 모니터링되는 모든 단계를 포함한 것을 의미한다.

• 데이터 전송(Data transfer): 컴퓨터 시스템 또는 다른 유형의 저장 매체 간 데이터를 전송하는 프로세스를 말한다.

• 데이터 이관(Data migration): 저장된 데이터를 기존의 보관장소에서 다른 보관 장소로 이동하는 프로세스를 말하며, 여기에서 데이터 형식은 변경될 수 있지만 내용이나 의미는 변경되지 않아야 한다.

• 원본 기록(Original record): 기록의 무결성(내용 및 의미, 정확성, 완전성)이 보존되는 파일 혹은 본래 생성된 형식의 데이터로서 원본 기록은 정적 혹은 동적 데이터일 수 있다(예: 원본 종이 기록 또는 컴퓨터 시스템의 원본 전자 파일).

• 실제 사본(True copy): 의미, 내용 및 구조를 설명하는 데이터를 포함하여 원본과 동일한 정보를 갖는(검증된 프로세스를 통한) 원본 기록의 복사본을 말한다.

• 감사 추적(Audit trail): 전자 기록의 생성, 수정 및 삭제와 관련된 사건의 과정을 재구성할 수 있는 시간이 표시된 전자 기록을 말한다.

• 백업(Back up): 재해시 복구를 비롯하여 데이터의 복원 이 필요한 경우를 대비하여 기록 및 데이터를 안전한 위치에 복사하는 프로세스를 말한다.

• 보관(Archival): 변경 또는 삭제될 가능성으로부터 기록을 보호하기 위해 기록 및 데이터를 지정된 보관 장소에 장기간 보관하는 프로세스를 말한다.

• 전자 서명(Electronic signature): 전자 기록은 시간과 날짜 포함하며 전자적으로 서명될 수 있어야 하고, 손으로 쓴 서명과 동일한 효과를 갖는다.^1,9-14)

일반적 요구사항

① Good Documentation Practice (GDP)

데이터의 전주기 전반에 걸쳐 기록 작성 및 데이터 관리를 위해 요구되는 속성은 ALCOA(+)라는 약어로 표현되며, 기본적으로 기인성(Attributable), 가독성(Legible), 동시성(Contemporaneous), 원본성(Original), 정확성(Accur ate)을 의미하고, (+)는 완전성(Complete), 일관성(Consistent), 지속성(Enduring) 및 가용성(Available)을 의미한다. 즉, 데이터는 작업을 수행한 개인 또는 시스템에서 누가, 언제, 왜, 무엇을 수행하였는지 확인할 수 있어야 하고 육안 또는 전자적으로 읽고 이해할 수 있어야 하며 일련의 행동, 사건들에 대해 발생하는 즉시 기록되어야 한다. 데이터의 생성 및 처리를 위한 프로세스는 수행하는 사람에 상관 없이 일관된 방식과 순서로 데이터가 생성되고 처리되어야 하며 보관기간 동안 유지되도록 손상되지 않고, 지워지지 않는 방식으로 기록되어야 한다. 데이터는 보관기간 동안 제품 출하 결정, 조사, 경향 확인, 정기 검토, 감사 등 필요한 경우 언제든지 검토를 위해 읽을 수 있고 쉽게 얻을 수 있는 형식으로 접근할 수 있어야 한다.^11,15)

② 데이터 중요도와 데이터 위험도 관리(Data Criticality and Data Risk)

모든 데이터가 제품 품질 및 환자 안전에 동일하게 중요성이 있는 것은 아니다. 데이터가 제품 품질 및 환자에게 미치는 영향이나 중요도는 다를 수 있으며 데이터가 결정 사항에 미치는 영향도 다를 수 있다. 이에 위험관리를 활용하여 데이터 처리과정의 중요성을 결정해야 하며, 데이터 관리체계에 대한 효과적인 위험관리를 위해 데이터 중요도와 데이터 위험도를 고려해야 한다. 데이터 중요도 평가는 데이터 관리시스템 구축 및 관리를 위한 우선순위를 정하는데 도움이 될 수 있으며, 이러한 우선순위에 대한 이론적 근거는 품질 위험관리 원칙에 따라 문서화되어야 한다. 데이터 위험 평가에서는 변경, 삭제, 손실(우발적 또는 보안 실패로 인한), 재생성, 고의적 위조에 대한 데이터의 취약성과 그러한 행위들에 대해 확인할 수 있는 능력을 고려해야 한다. 가령 데이터의 위험도는 무단으로 삭제, 변경, 훼손될 수 있는 가능성과 이를 감지할 수 있는 정도에 따라 결정될 수 있으며, 단순 작업과 비교할 때 그 복잡성에 따라 증가할 수 있다. 또한, 재해 발생 시 완전하고 시기적절하게 데이터 복구를 보장하는 것도 고려해야 한다.

Table 3은 제품 품질 및 안전에 미치는 영향 등을 고려한 데이터의 특성에 따라 데이터의 중요도를 세 단계(Critical, Major, Minor)로 분류하였고, Table 4는 데이터의 변경 및 삭제 가능성과 같이 시스템의 위험 정도가 데이터에 미치는 영향에 따라 세단계(Critical, Major, Minor)로 분류한 데이터 위험도의 예시이다. 예를 들어, 배치 출하 결정 시 potency나 impurity와 같은 중요품질 항목의 데이터는 일반적으로 창고의 청소 기록보다 중요하다고 할 수 있다. 반면, 수기로 작성한 기록은 검증된 컴퓨터 시스템에서 작성한 기록에 비해 손실이나 훼손의 위험도가 높다고 할 수 있다. Fig. 2는 앞서 분류한 데이터 중요도와 데이터 위험도의 메트릭스를 사용하여 계산한 데이터 관리시스템의 위험 수준(risk level)을 결정하는 방법의 예시이다. 이와 같은 방법으로 결정된 데이터 위험 수준에 따라 데이터 관리체계의 우선순위나 시스템별 관리 수준을 정할 수 있다.^1,9,15,16)

Table 3

Data criticality for product quality and safety

Rating	Description	Score
Critical	▪ The intended use of the data directly impacts product quality and/or product safety ▪ Decision on batch release (e.g. results of release test) ▪ Critical quality attribute (CQA), critical process parameter (CPP), and key parameters	10
Major	▪ Quality attributes or process parameters that may not be directly linked to CQA/CPP/key parameters ▪ Decisions on pass or fail of cleaned, sanitized or sterilized operational condition ▪ Monitoring, maintaining and controlling environment conditions of GMP area including microbial and clean utility monitoring	5
Minor	▪ The intended use of the data is to provide evidence of GMP compliance relating to monitoring and control of processes that not falling within“Critical”or“Major”	1

Table 4

Data risk for systems and equipment.

Rating	Description	Score
Critical	▪ Systems and equipment with a high probability of data loss or deletion due to improper use of the right to delete or alter data ▪ Systems and equipment with a high possibility of data modification or mission such as data reprocessing	10
Major	▪ Systems and equipment with a mode rate probability of data loss or deletion due to an accident or security failure ▪ Systems and equipment with a mode rate probability of data correction, omission including data reprocessing ▪ In some areas, such as QA, production, and QC, bad practices and poorly designed systems that do not directly affect product quality by themselves, but can lead to data integrity problems or tracebility failures	5
Minor	▪ Systems and equipment with little possibility of data modification or omission, such as data reprocessing ▪ Systems and equipment that are unlikely to lose or erase data ▪ Poorly designed systems with no product impact or limited data integrity issues	1

Fig. 2. Determination of data risk level based on data criticality and data risk.

데이터 완전성을 위한 시스템별 요구사항

데이터 완전성을 위한 물리적 환경을 구축하기 위해서는 종이 문서 시스템을 사용하는 경우와 컴퓨터 시스템을 사용하는 경우로 구분할 수 있으며 각 경우에 대한 요구사항 및 제반사항에 대해 살펴보았다.

(1) 종이 문서 시스템(Paper-based system)

종이 문서의 효과적인 관리는 GMP, GDP의 핵심 요소이다. 따라서 의약품 품질시스템 내에 문서관리를 위한 문서화된 규정 및 절차가 있어야 하며, 이러한 규정 및 절차는 다음 사항들을 포함하고 위험요소들을 잘 관리하여 데이터 전주기 동안 데이터 완전성이 유지되는 방법을 명시해야 한다.

① 문서 생성 및 배포

모든 문서에는 고유 식별표시가 있어야 하며 확인, 승인, 서명 및 날짜가 있어야 한다. 임시적인 기록 방식을 사용하면 데이터를 옮겨 적는 과정에서 데이터가 누락되거나 변경될 수 있으므로 메모와 같은 임시적인 기록 방식은 금지되어야 한다. 또한, 데이터를 기록하기 위한 공간이 충분하지 않으면 수기로 쓴 데이터가 명확하지 않고 읽기 어려운 수준일 수도 있다. 따라서 문서는 기입을 위해 충분한 공간을 갖도록 설계되어야 한다. 문서 기입 후에 남은 여백은 나중에 누군가가 데이터를 기입하거나 변경할 수 있으므로 마감 처리를 해야 한다. 문서는 중요한 데이터를 실수로 생략하는 위험을 최소화하기 위해 작업 절차 및 SOP에 명시된 순서에 따라 기록되도록 구성되어야 한다. 이전 버전의 문서가 적절히 관리되지 않은 상태로 이용되는 것을 방지하기 위해 적기에 개정된 문서가 배포되고 이전 문서는 회수되어야 한다. 문서 발행 시에는 사본을 누가, 언제 발행하였는지에 대한 정보와 문서 버전을 비롯하여 발행된 각 문서에 고유 식별 표시를 등록부에 기록해야 한다. 중요한 빈 양식(예: 시험일지, 연구노트, 제조기록서 등)은 사용 후 기록의 정확성과 완전성을 보장하기 위해 회수되어야 한다. 문서 사본이 참조용으로 사용되는 경우, 문서 사본에 생성 날짜, 유효기간 및 공식사본이 아닌 참조용이라는 명확한 표시가 있어야 한다.^{9,11,13,15,16)}

② 기록 작성

작업과 관련된 기록은 작업 시에 실시간으로 실제 작업을 수행한 사람에 의해 작성되어야 한다. 소급해서 적거나 미리 적는 것은 엄격히 금지되어야 한다. 소급해서 기재해야 하는 경우 충분한 설명과 함께 실제 작업일과 기재일에 대한 날짜를 모두 기록하여야 한다. 기입은 보존기간 동안 지워지거나 번지지 않는 잉크로 작성해야 한다. 시간이 연속적으로 이뤄지는 공정이나 작업의 경우 페이지의 끝에만 서명하는 것이 아니라 모든 주요 항목에 서명과 날짜를 기입한다. 변경될 부분에는 한 줄로 선을 긋는다. 수정 이유를 명확하게 기록하고 중요한 경우 확인되어야 하며 변경 부분에 이니셜과 날짜를 남긴다.^9,11,15,16)

③ 기록 검토

작업 단계의 각 기록들은 지정된 다른 검토자에 의해 검토되어야 한다. 검토자는 모든 기입란이 현재 유효한 양식을 사용하여 작업 내용과 기록이 정확하고, 일관되며, 완전하게 작성되었는지를 확인해야 한다. 중요한 작업 결과의 해석이 개인에 의해 정해지는 경우 부가적인 확인 작업이 고려되어야 한다(예: 한천 평판배지에서의 미생물 콜로니 기록). 2차 확인의 필요 여부는 위험관리 원칙을 따르며 경우에 따라서는 실시간으로 수행되어야 한다.^11,12,18,19)

④ 문서 보관

기록을 보관하기 위한 단계(보관함 식별, 상자별 기록 목록, 보존기간, 보관위치 등)을 설명하는 시스템이 있어야 하며, 손상이나 훼손으로부터 문서가 보호되도록 기록의 저장, 접근 및 복구에 대한 지침이 마련되어야 한다. 보관된 문서에 대한 접근은 저장된 기록의 완전성을 보장하는 권한이 있는 직원으로 제한되어야 한다. 기록의 분실, 훼손 등을 방지하기 위해 열람 및 반납 기록 절차가 있어야 한다. 기록의 손상을 방지하도록 해충방제나 소화기를 설치한다. 외부 업체에 문서보관을 위탁할 경우 품질 계약이 체결되고 보관 장소에 대한 감사가 실시되어야 한다. 영구적이지 않은 인쇄물(예: 감열지 사용)의 경우 검증된 실제 사본(True copy)를 보관해야 하며 종이 기록을 PDF 파일과 같은 전자 파일로 전환하는 스캔 프로세스는 사본이 실제 사본임을 입증하는 검증된 절차에 의해 처리되어야 한다.^9,15)

⑤ 문서 폐기

시스템은 문서가 우발적으로 손상되거나 삭제되지 않고, 실수로 과거 기록이 현재 기록과 섞이거나 혼동되지 않도록 적절한 조치를 해야 한다. 기록을 시기 적절하게 보관하거나 폐기했음을 입증할 수 있는 기록이나 등록부가 있어야 하고, 기록 폐기는 권한을 가지고 있는 소수의 사람으로 제한되어야 한다.^15,16)

(2) 컴퓨터 시스템(Computerised system)

① 밸리데이션(Validation)

컴퓨터 시스템의 적격성 평가 및 밸리데이션은 관련 GMP, GDP 지침에 따라 수행되어야 하며 데이터의 완전성을 포함하는 밸리데이션 마스터플랜이 마련되어야 한다. 시스템 구성 및 제어에 대한 평가와 데이터에 위험을 주는 요인에 대해 분석하고 이를 예방하고 완화시키기 위한 항목들을 평가해야 한다(예: 시스템 구성 사양, 시스템 관리자에 의한 보안 관리, 접근 관리, 감사 추적, 데이터 생성 및 전송 등). 컴퓨터시스템을 사용하는 사용자의 목적에 따라 시스템 구성요소가 달라질 수 있으므로 공급업체에서 제공하는 검증 자료는 제한적일 수 밖에 없다. 따라서 공급업체에서 수행하는 시험은 기능 확인(Functional verification)으로만 한정될 가능성이 높으며, 성능 적격성 평가(Performance qualification) 요건을 충족하지 못할 수 있으므로 의도된 목적에 맞는지를 검증하는 작업이 수반되어야 한다. 또한, 검증만으로는 생성된 기록이 반드시 적절하게 보호된다는 것을 보장할 수 없으며 검증된 시스템은 우발적이거나 악의적인 수단에 의한 손실 및 변경될 가능성이 있으므로 밸리데이션은 적절한 관리 및 물리적인 통제와 사용자 교육으로 보완되어야 한다.^9,11-13,15)

② 데이터 전송 및 이관

데이터 전송은 컴퓨터 시스템 또는 다른 유형의 저장 매체 간에 데이터를 전송하는 프로세스를 의미한다. 반면, 데이터 이관은 저장된 데이터를 내용이나 의미의 변경 없이 기존의 보관장소에서 다른 보관 장소로 이동하는 프로세스를 말한다. 데이터 생성, 전송 및 저장의 각 단계에 데이터 형식과 변경 가능성에 대해서도 주의를 기울여야 한다. 필요한 경우 데이터 이관은 대체 가능한 컴퓨터 시스템에서 사용하거나 확인할 수 있도록 데이터 형식을 변경할 수 있다. 각 프로세스에 대한 감사 추적이 되어야 하며, 작업 중 데이터 전송이 올바르게 이루어지지 않은 경우 적절한 품질 절차를 따라야 한다. 더 이상 지원되지 않는 시스템을 보유하고 있는 경우 해당 시스템을 다른 네트워크로부터 최대한 격리시켜야 하며, 시스템이 공존함으로 인한 문제가 발생하지 않도록 해야 한다.^9,15)

③ 보안 관리

사용자가 자신의 직무에 필요한 기능에만 접속할 수 있도록 접근관리를 해야 한다. 회사는 개별 직원에게 부여된 접근권한 범위를 정하고, 접근에 관한 이력을 확인할 수 있어야 한다. 시스템이 데이터를 수집할 수 없는 경우 시스템 외부에서 기록을 유지해야 한다. 접근관리는 운영 체제 및 어플리케이션 모두에 적용되어야 하며, 관리 수준은 컴퓨터 시스템의 중요도에 따라 달라질 수 있다. 데이터 및 문서관리 시스템은 접근권한 및 데이터의 생성, 변경, 확인 또는 삭제한 날짜 및 시간과 운영자의 신원이 기록되도록 설계되어야 한다. 무단 접속을 방지하는 적절한 방법에는 열쇠, 패스 카드, 암호가 포함된 개인 코드, 생체인식, 컴퓨터 장비 및 데이터 저장 공간에 대한 제한된 액세스 등이 있다. GxP 데이터를 생성, 수정 또는 저장하는 시스템의 경우 모든 사용자에게 개별 로그인 아이디와 암호를 설정하고 할당해야 하며 공유 로그인 계정을 사용해서는 안 된다. 컴퓨터 시스템이 개별 사용자 접속을 지원하는 경우 이 기능을 사용해야 하며, 이를 위해서 추가적인 라이선스를 구매해야 한다. 전체가 GxP 목적으로 사용되지는 않지만 GxP와 관련된 요소가 있는 시스템은 적절한 평가 및 관리가 필요하다.^9,12,15) 시스템관리자 계정은 조직의 규모와 특성을 고려하여 가능한 최소 인원으로 제한되어야 하며, 일상적인 용도로 사용할 수 없다. 시스템관리자 계정이 있는 직원은 감사 추적이 되고 기밀로 유지되는 고유한 계정으로 로그인해 야 한다. 일반적으로 품질 및 생산 조직 외부 인원(예: 정보기술(IT) 관리자, 설비 관리자)가 시스템관리자 역할을 해야 하며 높은 수준의 권한을 가져야 한다. 이는 이해관계가 있는 사용자에게 접속 권한을 부여하여 감사 추적이 안되는 상태로 데이터를 무단 변경하거나 삭제, 수정되는 것을 방지하기 위함이다. 네트워크 시스템 보안에는 데이터에 대한 잠재적인 위협을 감지하고 방지하는 적절한 방법이 포함되어야 한다. 방화벽은 승인되지 않은 접근을 방지하기 위해 사용되어야 하며 필요한 경우에만 제한적으로 허용하도록 설정하고 주기적인 검토를 받고 이를 문서화해야 한다. 또한, 방화벽은 외부 공격이나 악성 소프트웨어로부터 데이터 및 컴퓨터 시스템을 보호하기 위해 적절한 바이러스 침입 방지 및 탐지 시스템에 의해 보완되어야 한다. GMP 및 GDP 중요 데이터가 저장된 클라이언트 PC 및 서버에서 USB 메모리 및 기타 이동식 저장 장치 사용으로 인한 시스템 보안의 취약성을 방지하도록 시스템을 구성해야 한다. 필요한 경우 승인된 목적으로만 포트를 열어야 한다.9-^11,15)

④ 전자 서명

수기 서명을 대신하여 사용하는 전자 서명에는 기록에 서명한 특정 사람에 대한 진위성과 추적성을 보장하기 위해 적절한 관리 절차가 있어야 한다. 개인의 서명이 본인에게 부여되고 시스템에 반영되는 방법을 비롯하여, 서명 또는 입력된 내용을 무효화시키거나 변경 또는 조작할 수 없도록 해야 한다. 또한 ‘서명’ 행위가 시스템에 기록되는 방식과 서명 기록이 작성된 항목과 어떻게 연결되는지와 이를 확인할 수 있는 방법, 그리고 해당 서명이 ‘본인’에게만 적용될 수 있는 전자 서명의 보안 등과 같은 사항들을 관리해야 한다. 전자 서명 시스템은 서명한 사람, 직책, 날짜 및 시간 그리고 서명의 의미를 표시해야 하며, 서명의 적합성을 입증하기 위해 서명 절차 및 시스템에 대한 적절한 검증이 수행되고 서명한 기록물에 대한 관리가 수반되어야 한다. 문서가 전자 서명되었음을 나타내는 이미지를 삽입하는 것은 적합하지 않다. ^9-12,14)

⑤ 감사 추적

감사 추적은 원본 기록을 가리거나 덮어쓰지 않고 종이나 전자 기록에 정보의 생성, 추가, 삭제 또는 변경과 같은 세부사항들을 안전하게 기록할 수 있어야 한다. 이러한 감사 추적 기능은 항상 활성화 및 보안 설정이 되어 있어야 하며, 시스템은 감사 추적 기능이 사용자에 의해 비활성화되지 않도록 해야 한다. 감사 추적 기능의 잠재적인 이상 여부를 확인하기 위해 주기적인 감사 추적 검토가 수행되어야 하고, 감사 추적 검토는 시스템의 특성(데이터의 중요성, 데이터의 위험성 등)을 기반으로 한다. 필요한 경우, 감사 추적 데이터는 검토자에 의해 열람 가능해야 한다. 감사 추적은 최소한 누구에 의해, 언제, 무엇이, 왜 변경되었는지와 같은 요소들을 반드시 포함해야 한다. 감사 추적은 전자 기록의 생성, 변경 및 삭제와 관련된 사건 과정을 재구성할 수 있어야 하며, 감사 추적 데이터는 데이터 보존기간동안 복구가 가능하고 읽을 수 있어야 한다. 시스템은 감사 추적을 인쇄하고 전자 사본을 제공할 수 있어야 한다. 감사 추적 검토가 요구되지만 감사 추적 기능이 없는 장비나 시스 템의 경우, 데이터 완전성을 보장하기 위해 로그북 사용 또는 적절한 대체 방법이 요구된다. 이에 대해 장비 및 시스템의 위험요소를 평가하고 이를 문서화해야 한다.^9,10,12,15)

⑥ 전자 데이터 검토

데이터 검토 시 전자 기록의 원래 정보에 변경(수정, 삭제 또는 덮어쓰기)이 있었는지, 보고되지 않은 데이터가 생성되었는지, 그리고 변경 작업은 정당한 승인을 받았는지 여부를 확인해야 한다. 검토자가 데이터를 확인하는 절차가 있어야 하며 이러한 절차에는 검토되는 데이터 범위, 관련 로그북, 그 밖에 기록에 대한 검토와 검토자 권한에 대해 설명이 되어야 한다. 또한, 감사 추적 검토는 승인된 절차로서 일상적인 데이터 검토에 포함되어야 한다. 데이터 검토 중에 예상된 결과와 차이가 발견되면 철저히 조사하고 기록해야 하며 의약품 품질 또는 데이터 완전성에 심각한 영향을 미칠 수 있는 문제의 경우 취해야 할 조치에 대해 설명하는 절차가 있어야 한다. 글로벌 시스템이 사용되는 경우 데이터가 실시간으로 기록되었음을 보여주기 위해 표준 시간대의 날짜와 시간이 포함되어야 한다.^11,16)

⑦ 전자 데이터 보관 및 폐기

보관(Archive): 필요한 보존기간 동안 변경 또는 삭제될 가능성으로부터 기록을 보호하기 위해 기록 및 데이터를 지정된 보안 구역 또는 시설에 장기간 보관하는 프로세스를 보관(Archive)이라 한다. 보관된 기록은 원본 기록 또는 실제 사본(True copy)일 수 있으며 정당한 사유없이 변경 또는 삭제될 수 없도록 보호되어야 하며 화재 또는 해충과 같은 우발적인 손상으로부터도 보호되어야 한다. 보관기간 동안 데이터를 복구하고 읽을 수 있도록 보관 방식이 설계되어야 하며, 전자 데이터 보관의 경우 프로세스를 검증해야 한다. 기존 컴퓨터 시스템이 더 이상 지원되지 않는다면 데이터를 접속할 경우를 대비하여 소프트웨어를 유지하는 것이 고려되어야 하며, 대체 파일 형식으로 이관하거나 가상 환경에서 소프트웨어를 유지함으로써 이를 가능하게 할 수 있다.^9-11,16)

백업 및 복구: 재해 시 복구를 대비하여 데이터, 메타 데이터 및 시스템 설정값들은 정기적으로 백업되어야 한다. 백업 및 복구 프로세스는 검증되고 제대로 작동되고 있는지 주기적으로 확인되어야 한다(예: 전송된 데이터 크기가 원본 기록의 크기와 일치하는지를 확인). 점검 목적으로 백업 데이터를 원본 데이터가 저장되어 있는 운영 시스템(환경)으로 직접 복원하는 것은 복원테스트 도중 에러가 발생되면 원본 데이터의 손실이 초래될 수 있으므로 권장되지 않는다. 데이터가 백업되거나 사본이 만들어질 때, 그 데이터에 대한 허락되지 않은 접근, 변경, 삭제 및 교체를 방지하기 위해 백업 및 사본 파일에도 동일한 수준의 접근 관리가 이루어져야 한다. 동적 전자 기록은 전체 내용(모든 데이터와 메타데이터 포함)과 원래 기록의 의미를 보존하여 백업 및 보관되어야 한다. 백업 파일은 재해 발생 시를 대비하여 물리적으로 멀리 격리된 장소에 보관해야 한다. 복구를 목적으로 하는 백업은 데이터의 장기 보관을 위한 목적으로 대체하여 사용하지는 못한다. ^10,11,16,17)

폐기(Disposal): 데이터 보관기간 동안 필요한 데이터가 우발적으로 폐기되지 않도록 주의해야 하며, 데이터의 중요도와 법적인 보관 요구사항을 고려하여 데이터의 보존기간과 더 이상 필요하지 않은 데이터의 폐기에 대한 분명한 지침이 있어야 한다.^10,11,15)

의약품 제조업체는 환자와 소비자에게 정확하고 신뢰할 수 있는 완전한 데이터를 기반으로 하여 품질이 보증된 의약품을 공급할 책임이 있음에도 불구하고 국내 외 규제 당국의 GMP 감사 중 데이터 완전성과 관련된 위반사항들이 여전히 다수 확인되고 있다. 이러한 문제의 원인과 이를 해결하기 위해 갖추어야 할 제반사항들을 고려해 보면 다음과 같다.

첫째, 데이터 완전성을 지원하지 않는 절차 및 시스템이 원인이 된다. 데이터 완전성의 실패는 작업자의 실수로 인해서도 발생하지만 고의로 변경하거나 삭제 또는 재생성하려는 것일 수도 있다. 따라서 데이터 완전성 실패를 근본적으로 차단하고 실패를 최소화할 수 있는 시스템 및 절차가 마련되어야 한다. 이를 위해 검증된 전산 시스템의 도입이 중요한 역할을 할 수 있다. 가령 생산이나 실험실 현장에서 데이터 및 작업 내용을 수기로 기재하고 이에 대한 검토에서 많은 노력과 시간을 들이게 되는데 이 과정에서 의도하거나 의도하지 않은 실수들이 발생할 수 있다. 이를 Laboratory Information Management System(LIMS), Electronic Lab Notebook (ELN), Manufacturing Electronic System (MES)와 같은 전산화된 시스템으로 전환할 경우 일련의 작업 단계별 실시간 기록 및 모니터링을 통해 데이터에 대한 신뢰성 및 완전성을 확보할 수 있다. 환경 구축에 따른 단기적인 비용과 공수를 감안하더라도 장기적으로 보면 안정화된 전산 시스템에서의 업무 효율이 더 우수하다고 볼 수 있다. 전산 시스템 구축 과정에서 시스템의 권한 관리, 데이터 생성 및 저장, 적격성 평가 등 전반적인 시스템의 보안과 수행 능력 면에서 충분히 검증되어야 하며, 장비별 위험성 평가에 기반하여 장비의 관리 수준을 차등 적용하는 것이 바람직하다. 예를 들어, 단순 저울과 비교해 HPLC 장비의 경우 좀 더 높은 수준의 사용자 권한 관리 및 보안, 감사 추적, 데이터 저장 부분이 검증되고 관리되어야 한다. 한편, 모든 시스템에 대해서 전산화하기에는 현실적으로 한계가 있으므로 종이에 기반한 작업 환경을 고려해 볼 수 있으며 이러한 환경에서는 데이터의 누락 없이 정확한 데이터가 실시간으로 기록관리되는 것이 중요하며 이를 위해 정형화된 작업 양식을 마련하고 작업 시 이중점검(예: 시험자(Analyst)와 확인자 (Verifier) 혹은 시험자(Analyst)와 검토자(Reviewer) 간의 점검)이 이뤄질 수 있도록 절차를 마련해야 한다. 둘째, 불완전한 작업 방법을 데이터 완전성 실패의 원인으로 들 수 있다. 충분히 검증되지 않은 시험법이나 공정 프로세스에서는 정확하고 재현성 있는 결과를 얻기가 어려울 수 있으며 이는 근본적으로 데이터 완 전성의 결함을 야기시키는 원인이 된다. 따라서 철저한 검증을 통해 정확하고 완전한 작업 방법을 마련하는 것이 필요하다.

셋째, 작업자의 부족한 전문성 및 숙련되지 못한 작업 능력에 기인한 데이터 완전성의 실패를 들 수 있다. 이를 해결하기 위해 직무의 중요도와 난이도를 고려한 직무 특성에 맞는 교육 프로그램을 마련하여 업무 수행 전 작업자에게 적절한 직무 교육을 제공해야 한다. 교육 시에는 이론교육 및 실습교육(OJT)와 같이 각 직무에 효과적인 교육 방식을 적용하여 충분한 횟수를 갖고 작업자가 업무에 숙련될 수 있도록 교육 훈련이 이뤄져야 하며, 이후 자격을 갖춘 인원만이 해당 직무를 수행할 수 있도록 관리해야 한다.

넷째, 시간 제약이다. 제약산업 특성상 의약품의 생산 및 개발에 있어 시간에 대한 압박이 상당 부분 필 연적인 것이 사실이다. 업무 현장에서 이러한 시간 압박에 기인한 작업 실수나 고의적 데이터 완전성 위반사항이 발생할 수 있다. 이러한 원인에서 데이터 완전성 실패가 발생할 경우 이를 해결하기 위해 드는 비용과 대가가 더 크다는 점을 인지하고 사전에 충분한 물적, 인적 자원을 확보하고 지원해야 할 필요성이 있다.

마지막으로 임직원들의 데이터 완전성에 대한 부족한 인식이다. 데이터 완전성 위반 요인들의 대부분은 시스템의 결함이나 오류 혹은 작업자 실수에 기인한 것보다는 사람들의 인위적인 잘못된 판단으로 인해 생기는 문제들이 더 많은 비중을 차지한다. 이는 데이터 완전성을 유지하기 위해서는 개개인의 올바른 인식 및 태도가 중요한 요소임을 시사한다. 우수한 시스템 및 환경을 구축하더라도 이를 사용하는 대상이 각 개인이므로 경영진과 작업자가 데이터 완전성의 의미를 간과해서는 데이터의 신뢰성을 확보하고 유지하는데 한계가 있을 수 밖에 없다. 따라서 경영진은 데이터 관리의 중요성과 이를 관리해야할 책임이 있음을 인지하여 임직원들에게 품질과 조직의 가치, 그리고 윤리적 행동에 대한 지침을 명확하게 정의하고 전달해야 한다. 또한, 데이터 완전성 준수를 통해 환자의 안전과 제품의 품질을 보장하게 된다는 점을 모든 임직원들에게 인식시켜야 한다. 직원들은 충분한 직무교육 외에도 Good Documentation Practices(GDP)에 대한 자세한 교육을 통해 데이터 관리의 중요성을 이해하고 문서작성 요령에 대해 충분히 숙지해야 한다.

데이터 완전성은 작업 과정 및 결과의 완전성, 일관성, 정확성 수준을 의미하며, 제약 품질 환경에서 강력한 운영을 보장하는 핵심 요소이다. 현재 전 세계 보건당국 들은 이러한 데이터 완전성의 중요성을 인식하고 강조하고 있으며, 이에 제약업계에서는 데이터 관리체계에 대한 제반사항을 구축하여 규제기관으로부터 제재를 받지 않도록 노력해야 한다. 데이터 완전성을 위한 제반사항을 구축하기 위해서는 단순한 시스템 및 복잡한 시스템에서 생성되는 다양한 유형의 데이터에 대한 위험성 평가를 통하여 이를 개선하기 위한 내부 전략을 먼저 수립해야 한다. 종이 기반 문서시스템의 경우 기록 작성 방법과 기록 검토, 문서 보관에 대한 절차를 마련하고, 컴퓨터 시스템 환경에서는 장비의 적격성 평가, 네트워크 서버 검증, 소프트웨어 밸리데이션, 계정 및 보안 관리, 데이터에 대한 정기적인 검토 및 내부감사 등을 통해 물리적인 환경을 구축함으로써 근본적으로 데이터 완전성의 위반 가능성을 차단하는 것이 필요하다. 또한, 경영진의 책임 의식과 적극적인 지원을 바탕으로 데이터 관리와 관련된 규제 사항에 대하여 작업자의 지속적인 교육을 통해 개개인들이 데이터 완전성의 중요성을 인식하고 이를 적극적으로 실천할 때 데이터 완전성이 확보되고 올바른 품질 문화가 형성된다. 본 논문에서 제시한 의약품 제조 환경 및 실험실에서의 데이터 완전성 위반의 위험요소와 이를 준수하기 위한 제반사항에 대한 내용은 제약업계가 올바른 데이터 완전성 시스템을 구축하는데 좋은 참고가 될 것으로 본다.

이 논문은 2022-2025년도 정부(식품의약품안전처)의 지원을 받아 수행된 연구임(22183규제학366).

모든 저자는 이해 상충을 가지고 있지 않음을 선언한다.