목차
규제 적용 여부는 제품명이 아니라 실제 업무와 기록으로 판단합니다. 미국은 근거 규정에 따라 유지·제출하는 전자기록인지, EU는 GMP 업무에 사용하는 컴퓨터화 시스템인지부터 확인합니다. 공통 통제는 함께 설계할 수 있지만 적용 근거와 운영 증거는 따로 관리해야 합니다.
먼저, 제품명이 아니라 기록과 업무가 적용 범위를 정합니다
전자연구노트(ELN, Electronic Laboratory Notebook)와 실험실정보관리시스템(LIMS, Laboratory Information Management System)을 사용한다고 해서 곧바로 규제 대상이 되는 것은 아닙니다. 미국에서는 미국 연방규정집 제21편(21 CFR, Title 21 of the Code of Federal Regulations) Part 11과 미국 식품의약국(FDA, U.S. Food and Drug Administration)의 근거 규정을 함께 봐야 합니다. 규정상 유지하거나 제출해야 하는 기록을 전자형태로 만들고, 보관하고, 검색하거나 전송하는지가 핵심입니다.
유럽연합(EU, European Union)은 출발점이 조금 다릅니다. 우수 의약품 제조 및 품질관리 기준(GMP, Good Manufacturing Practice) Annex 11은 해당 시스템이 GMP 업무의 일부로 쓰이는지를 먼저 봅니다. 따라서 같은 ELN이라도 초기 탐색 연구의 아이디어 기록과 GMP 품질시험 결과는 적용 범위가 다를 수 있습니다. LIMS에서도 단순 연구 샘플 관리와 출하 판정에 쓰는 시험 기록은 같은 수준으로 다룰 수 없습니다.
두 규정에는 밸리데이션, 접근통제, 감사 추적 기록(audit trail), 기록 보존, 전자서명처럼 겹치는 요구가 많습니다. 그렇다고 모든 요구를 한 기능표에 합치면 적용 근거가 흐려집니다. 먼저 업무 흐름, 기록, 사용 목적, 실제 의존 방식을 나눈 뒤 공통 통제와 미국·EU의 추가 요구를 연결하는 편이 더 명확합니다.
적용 범위는 세 가지 질문에서 시작합니다
기능 목록부터 만들기 전에 아래 세 질문에 답해 보십시오. 이 순서를 지키면 필요 이상으로 통제하거나, 반대로 중요한 기록을 빠뜨릴 가능성을 줄일 수 있습니다. 특히 ‘전자적으로 저장돼 있다’는 사실과 ‘규제 업무에서 그 기록에 의존한다’는 사실은 다릅니다.
- 이 업무 흐름은 어떤 규제 영역에 속합니까?
탐색 연구, 비임상시험관리기준(GLP, Good Laboratory Practice), 임상, GMP 제조·품질시험처럼 단계를 구체적으로 적습니다. - 어떤 기록을 관련 규정에 따라 유지하거나 제출해야 합니까?
미국에서는 기록마다 근거 규정(predicate rule)을 확인합니다. - 조직은 종이와 전자기록 중 무엇을 실제 업무와 의사결정에 사용합니까?
생성·수정·승인·보존·검색 과정을 현실 그대로 문서화합니다.
21 CFR Part 11과 EU GMP Annex 11은 어디가 다른가?
가장 큰 차이는 출발점입니다. Part 11은 FDA 규정상 전자기록과 전자서명을 다루고, Annex 11은 GMP 업무에 사용하는 컴퓨터화 시스템을 다룹니다. 어느 쪽이 더 엄격한지를 따지기보다 적용 범위와 운영 초점을 나눠 보는 것이 실무에 도움이 됩니다.
| 구분 | 21 CFR Part 11 | EU GMP Annex 11 |
|---|---|---|
| 적용 출발점 | FDA 근거 규정에 따라 유지·제출하는 전자기록과 전자서명 | GMP 규제 업무의 일부로 사용하는 컴퓨터화 시스템 |
| 문서 성격 | 미국 연방규정. FDA 가이드는 적용 범위와 집행방침을 설명 | EudraLex Volume 4에 수록된 GMP 가이드 |
| 핵심 관점 | 전자기록의 신뢰성·진정성·무결성, 전자서명의 동등성과 연결 | 환자 안전·제품 품질·데이터 무결성을 고려한 시스템 수명주기와 위험관리 |
| 밸리데이션 | 정확성, 신뢰성, 일관된 의도 성능과 변조 기록 식별을 위한 시스템 밸리데이션 | 애플리케이션 밸리데이션, IT 인프라 적격성, URS 추적성과 위험기반 수명주기 증거 |
| 감사 추적 기록 | 안전하고 컴퓨터가 생성한 시간기록으로 생성·수정·삭제 활동을 독립 기록 | GMP 관련 변경·삭제를 위험기반으로 기록하고 사유 문서화, 이해 가능한 형태와 정기 검토 |
| 전자서명 | 서명자 이름, 일시, 의미 표시; 기록과 영구 연결; 고유성·신원·인증요소 통제 | 회사 범위에서 자필서명과 같은 영향, 기록과 영구 연결, 적용 일시 포함 |
| 운영 수명주기 | 기록 보호·검색·복사, 접근·권한·장치·운영 순서와 시스템 문서 통제 | 공급자, 데이터 이관, 백업·복구, 변경·구성, 정기평가, 사고, 업무연속성, 보관까지 명시 |
| 적용 판단 기록 | 근거 규정, 전자기록 의존 여부와 적용 결정을 문서화 | GMP 영향, 시스템 중요도와 위험평가에 따라 통제·밸리데이션 범위를 문서화 |
글로벌 공통 기반으로 묶을 수 있는 통제는 무엇인가?
두 규정을 위해 시스템을 따로 만들 필요는 없습니다. 신뢰할 수 있는 전자기록을 만들고 컴퓨터화 시스템을 통제하는 기본 원칙은 상당 부분 겹칩니다. 다만 기능이 있다는 확인만으로는 부족합니다. 실제 업무 흐름에서 설정, 절차, 책임, 검토 기록이 함께 작동한다는 증거가 필요합니다.
- 의도한 사용과 요구사항: 시스템이 지원할 업무, 규제 기록, 사용자 역할과 허용 행위를 정합니다.
- 위험기반 밸리데이션: 중요 기능과 데이터 흐름, 인터페이스, 오류·경계조건을 시험하고 요구사항과 결과를 추적합니다.
- 접근·권한 관리: 사용자 고유 계정, 최소권한, 권한 생성·변경·회수와 정기 검토를 운영합니다.
- 감사 추적 기록: 누가 언제 무엇을 생성·변경·삭제했는지 남기고, 필요한 사유와 검토 절차를 연결합니다.
- 전자서명: 서명자의 신원, 서명 시점과 의미를 기록에 연결하고 재사용·이전·부인을 방지합니다.
- 기록 보존과 복사: 보존기간 동안 정확하고 읽을 수 있게 검색하며, 사람과 시스템이 검토 가능한 완전한 사본을 제공합니다.
- 변경·사고·복구: 구성과 변경을 통제하고, 장애·데이터 오류·보안사고를 평가하며, 백업과 복구 능력을 시험합니다.
실무 설계에서는 무엇을 따로 봐야 하는가?
Part 11에서는 먼저 기록의 근거 규정과 전자형태 사용 여부를 분명히 해야 합니다. FDA의 Scope and Application Guidance는 적용 범위를 좁게 해석하고 일부 조항에 대한 집행재량을 설명합니다. 그렇다고 Part 11이 폐지된 것은 아닙니다. 근거 규정의 기록·보존 요구는 계속 지켜야 하고, 접근제한과 전자서명 같은 조항도 여전히 중요합니다.
Annex 11은 시스템의 도입부터 운영과 폐기까지 전체 수명주기를 봅니다. 공급자와 서비스 제공자의 책임, 최신 시스템 목록, 사용자 요구사항 명세서(URS, User Requirements Specification) 추적, 데이터 이관, 백업·복구, 정기평가, 사고관리, 업무연속성, 보관을 운영 체계에 포함합니다. 밸리데이션 문서만 완성하고 이후의 운영 증거가 끊기면 이 관점을 충족하기 어렵습니다.
실무에서는 공통 열에 의도한 사용, 데이터 무결성, 접근, 밸리데이션, 감사 추적 기록, 전자서명, 보존, 변경관리를 둡니다. 미국 열에는 근거 규정과 Part 11의 전자서명 세부 통제를, EU 열에는 GMP 영향, 공급자, 정기평가, 사고, 업무연속성, 보관을 추가하면 요구사항의 출처가 한눈에 보입니다.
전자연구노트와 LIMS에는 어떻게 적용되는가: 업무 흐름별 예시
아래 표는 적용 범위를 판단할 때 무엇부터 확인해야 하는지 보여주는 예시입니다. 같은 시스템이라도 업무와 기록이 달라지면 결론도 달라질 수 있으므로 실제 근거 규정과 GMP 범위를 확인해야 합니다.
| 업무 흐름 | 미국 Part 11 질문 | EU Annex 11 질문 | 설계 포인트 |
|---|---|---|---|
| 초기 탐색 연구 ELN | FDA 규정상 유지·제출할 기록인지, 규제 의사결정에 전자기록을 사용하는지 | GMP 규제 업무의 일부인지 | 자동 적용으로 단정하지 말고 연구 데이터 거버넌스와 향후 전환 가능성을 관리 |
| 비임상 GLP 원자료 ELN | 21 CFR Part 58 등 근거 규정에 따른 원자료인지 | Annex 11은 GMP 가이드이므로 별도의 GLP 체계와 혼동하지 않는지 | 원자료 정의, 변경 이력, 검토·승인, 보존과 재현성을 규정별로 확인 |
| GMP 품질관리(QC) LIMS·ELN | 21 CFR Part 211 등 규정상 필수 기록을 전자형태로 유지하고 시험·판정에 사용하는지 | GMP 품질시험을 지원하는 컴퓨터화 시스템인지 | 시험법·샘플·결과·규격일탈(OOS)·승인·인터페이스와 운영 증거를 연결 |
| 배치 출하 지원 | 전자기록과 전자서명이 근거 규정의 검토·승인 자료인지 | Annex 11의 배치 출하와 적격자(Qualified Person) 통제가 관련되는지 | 서명의 의미·권한·기록 연결, 변경 영향, 가용성과 업무연속성을 강화 |
‘Part 11 준수 기능’이라는 문구만으로 충분하지 않은 이유
소프트웨어는 감사 추적 기록, 전자서명, 역할기반 접근, 기록 보존 기능을 제공할 수 있습니다. 그러나 조직의 규제 준수는 제품 기능만으로 완성되지 않습니다. 고객이 선택한 구성, 실제 업무 흐름, 절차, 사용자 교육, 검토, 변경관리, 인프라 운영이 함께 맞아야 합니다. 공급자 자료가 고객의 의도한 사용(intended use)에 대한 판단과 밸리데이션 책임을 대신할 수는 없습니다.
전자연구노트나 LIMS를 평가할 때는 기능의 유무보다 작동 증거를 확인해야 합니다. 변경 전 정보가 남는지, 담당자가 감사 추적 기록을 읽고 정기적으로 검토할 수 있는지, 전자서명이 기록·시점·의미와 계속 연결되는지 살펴야 합니다. 권한 회수, 데이터 이관, 장애 복구, 장기 보관도 대표 업무 흐름에서 직접 시험해야 합니다.
국내외 실제 사례가 보여주는 것은 무엇인가?
국내에서도 전자기록 통제는 해외 규제만의 문제가 아닙니다. 식품의약품안전처(MFDS, Ministry of Food and Drug Safety)는 의약품 제조업체 데이터 완전성 평가지침의 적용 대상을 단계적으로 넓혀 2023년부터 모든 의약품으로 확대한다고 행정지시했습니다. Part 11이나 Annex 11의 직접 적용 여부와 별개로, 원자료의 완전성·접근권한·변경 이력·검토 책임을 설명할 수 있어야 한다는 뜻입니다.
FDA의 최근 경고서도 기능 보유보다 운영이 중요하다는 점을 보여줍니다. 2025년 한 제조업체에서는 분석자가 관리자 권한으로 전자 데이터를 변경·삭제할 수 있었고, 시스템·프로젝트 삭제 오류도 절차에 따라 평가되지 않았습니다. 2026년 다른 제조업체에서는 감사 추적 기록과 전자기록 보존 절차를 제시하지 못했고, 장비 데이터가 컴퓨터 종료 시 삭제되는 문제가 확인됐습니다. 시스템에 기능이 있어도 권한, 절차, 검토가 작동하지 않으면 기록의 신뢰성을 입증하기 어렵습니다.
2025년 EU Annex 11 개정안은 현행 규정과 분리해 봐야 합니다
2026년 9월 1일 기준 European Commission의 EudraLex Volume 4 페이지에는 ‘Annex 11: Computerised Systems (revision January 2011)’이 현행 문서로 게시돼 있습니다. 2025년 7월 7일부터 10월 7일까지 진행된 Chapter 4·Annex 11 개정안과 신규 Annex 22 인공지능 초안의 의견수렴은 ‘Closed’ 상태입니다. 공식 현행 목록에는 아직 개정 Annex 11이 올라오지 않았습니다.
개정안은 수명주기 위험관리, 시스템 요구사항 유지, 공급자·외부 서비스 감독, 데이터 무결성, 감사 추적 기록, 전자서명, 보안을 강화하는 방향을 제시합니다. 다만 초안의 방향을 현재 의무처럼 표현해서는 안 됩니다. 지금은 2011년 현행본에 맞춰 통제하고, 신규 시스템과 장기 계획에서는 초안 내용을 차이 분석 항목으로 관리하는 것이 적절합니다.
우리 ELN·LIMS 규제 범위는 명확한가: 8가지 자가점검
‘아니요’가 나온 항목을 곧바로 제품 기능 요청으로 바꾸지는 마십시오. 먼저 적용 범위, 업무 책임, 운영 절차, 필요한 증거를 정한 뒤 시스템 구성과 밸리데이션 과제로 연결해야 합니다.
- 각 업무 흐름의 관할, 제품·업무 단계와 규제 맥락이 문서화돼 있습니까?
- 미국 적용 기록마다 근거 규정과 전자기록 의존 여부를 설명할 수 있습니까?
- EU 적용 시스템마다 GMP 기능, 중요도, 데이터 흐름과 인터페이스가 최신 상태입니까?
- 의도한 사용과 URS가 밸리데이션 시험·결과까지 추적됩니까?
- 접근권한, 감사 추적 기록, 전자서명이 대표 업무 흐름에서 설정뿐 아니라 운영 증거로 남습니까?
- 데이터 이관·인터페이스·백업·복구에서 값, 의미, 가독성과 무결성을 확인합니까?
- 공급자·클라우드·내부 IT의 책임과 변경·사고 대응이 계약과 SOP에 나뉘어 있습니까?
- 정기평가가 변경, 일탈·사고, 보안, 성능, 밸리데이션과 보관 상태를 함께 다룹니까?
규정의 차이를 시스템 요구사항으로 바꾸는 방법
Part 11과 Annex 11을 이해하는 목적은 규정 문구를 외우는 데 있지 않습니다. 우리 업무에서 어떤 기록을 남겨야 하고, 그 기록을 신뢰하려면 시스템과 운영이 무엇을 갖춰야 하는지 정하는 데 있습니다.
전자연구노트와 LIMS 솔루션은 역할 기반 접근, 감사 추적 기록, 전자서명, 승인 업무 흐름, 기록 보존과 데이터 연계 같은 통제를 구현하는 기반이 됩니다. 다만 같은 기능도 업무 범위와 설정, 운영 절차에 따라 필요한 증거가 달라집니다. 그래서 제품 기능을 규정 조항에 바로 대입하기보다 실제 업무와 기록을 먼저 정리해야 합니다.
BIOVIA 솔루션과 컨설팅은 이 연결 과정을 지원합니다. 적용 대상 업무와 기록을 구분하고, 사용자 요구사항 명세서(URS, User Requirements Specification)와 위험기반 밸리데이션 범위를 정리하며, 시스템 구성과 운영 절차에 필요한 통제를 구체화하는 방식입니다. 고객의 규제 책임을 대신하는 것이 아니라, 규제 요구를 실행 가능한 시스템 요구사항과 운영 과제로 바꾸는 데 초점을 둡니다.
- 업무와 기록: 탐색 연구, 비임상, GMP 품질시험 등 실제 사용 맥락과 규제 기록을 구분합니다.
- 시스템 통제: 접근권한, 감사 추적 기록, 전자서명, 승인, 보존, 인터페이스 요구를 정의합니다.
- 밸리데이션: 중요도와 데이터 무결성 위험에 따라 시험 범위와 추적성을 설계합니다.
- 운영 체계: 표준작업절차서(SOP, Standard Operating Procedure), 교육, 변경관리, 정기검토와 복구 절차를 연결합니다.
마무리: 규정 이름보다 기록과 업무를 먼저 매핑해야 합니다
21 CFR Part 11과 EU GMP Annex 11은 모두 신뢰할 수 있는 전자기록과 통제된 시스템을 요구합니다. 그러나 시작하는 질문은 다릅니다. 미국은 어떤 근거 규정의 기록을 전자형태로 유지·제출하고 실제 업무에 사용하는지 봅니다. EU는 어떤 컴퓨터화 시스템이 GMP 업무를 지원하는지부터 확인합니다.
글로벌 전자연구노트·LIMS 프로젝트에서 먼저 할 일은 두 규정의 문장을 한 기능표에 합치는 것이 아닙니다. 업무 흐름과 기록을 나누고 공통 통제를 만든 뒤, 미국의 전자기록·전자서명 요구와 EU의 수명주기 운영 요구를 각각 증거에 연결해야 합니다. 그래야 제품이 지원하는 범위와 고객이 운영해야 할 책임도 분명해집니다.
자주 묻는 질문(FAQ)
Q: 모든 전자연구노트가 21 CFR Part 11 대상인가요?
A: 아닙니다. FDA 근거 규정에 따라 유지하거나 제출해야 하는 기록을 전자형태로 사용하고, 실제 규제 업무에서 그 기록에 의존하는지 확인해야 합니다. 탐색 연구 기록이나 전자시스템이라는 이유만으로 자동 적용되지는 않습니다.
Q: 연구개발용 ELN에도 EU GMP Annex 11이 적용되나요?
A: 해당 ELN이 GMP 규제 업무의 일부로 사용되는지가 기준입니다. 초기 탐색 연구와 GMP QC·제조 지원을 같은 범주로 보면 안 됩니다. 한 시스템이 두 업무를 함께 지원한다면 기능·데이터·권한·운영 경계를 업무 흐름별로 평가해야 합니다.
Q: Part 11 기능이 있는 제품을 구매하면 별도 밸리데이션이 필요 없나요?
A: 그렇지 않습니다. 공급자는 기능과 개발·시험 자료를 제공할 수 있지만, 고객은 자신의 의도한 사용, 구성, 인터페이스, 절차, 위험에 맞는 적합성과 통제 효과를 확인해야 합니다. 공급자와 고객의 책임도 문서로 나눠야 합니다.
Q: Part 11과 Annex 11 중 어느 쪽이 더 엄격한가요?
A: 단순히 순위를 매기기는 어렵습니다. Part 11은 전자기록·전자서명의 신뢰성과 세부 통제를 직접 다루고, Annex 11은 GMP 컴퓨터화 시스템의 위험관리와 수명주기 운영을 폭넓게 다룹니다. 적용 범위와 업무 흐름에 따라 필요한 증거가 달라집니다.
Q: 2025년 EU Annex 11 개정안은 지금 바로 적용해야 하나요?
A: 2026년 9월 1일 기준 공식 EudraLex에는 2011년 Annex 11이 현행으로 게시돼 있습니다. 2025년 문서는 종료된 의견수렴의 개정안입니다. 현행과 초안을 구분하되, 장기 시스템 설계에서는 강화 방향을 미리 살펴볼 수 있습니다.
규제 요구를 실제 시스템 과제로 연결하려면?
전자연구노트·LIMS 규제 대응 및 도입 상담
Part 11과 Annex 11의 적용 범위를 실제 업무와 기록 기준으로 정리하고, 전자연구노트·LIMS 도입 및 운영 과제를 구체화해 보십시오.
출처
- S1. Electronic Code of Federal Regulations — 21 CFR Part 11: Electronic Records; Electronic Signatures (확인: 2026-09-01)
- S2. U.S. FDA — Part 11, Electronic Records; Electronic Signatures: Scope and Application (확인: 2026-09-01)
- S3. European Commission — EudraLex Volume 4: Good Manufacturing Practice Guidelines (확인: 2026-09-01)
- S4. European Commission — EU GMP Annex 11: Computerised Systems, revision 1 (확인: 2026-09-01)
- S5. European Commission — EU GMP Annex 15: Qualification and Validation (확인: 2026-09-01)
- S6. European Commission — Stakeholders’ Consultation on EudraLex Volume 4: Chapter 4, Annex 11 and New Annex 22 (확인: 2026-09-01)
- S7. European Commission — EU GMP Chapter 4: Documentation (확인: 2026-09-01)
- S8. 식품의약품안전처 — ‘의약품 제조업체 데이터 완전성 평가지침’ 관련 행정지시 (확인: 2026-09-01)
- S9. U.S. FDA — Unipack LLC, Warning Letter 716621 (확인: 2026-09-01)
- S10. U.S. FDA — GC America, Inc., Warning Letter 727602 (확인: 2026-09-01)
