Audit Trail 검토, 무엇을 얼마나 자주 봐야 합니까 — 위험 기반 감사추적 검토 실무

감사추적이 켜져 있는 것만으로는 부족하고, 누가·언제·무엇을 기준으로 검토했는지가 남아야 합니다. 21 CFR Part 11 §11.10(e), EU GMP Annex 11 §9와 개정 초안, MHRA(2018), FDA 데이터 완전성 Q&A(2018), PIC/S PI 041-1, 식약처 데이터 완전성 평가지침을 바탕으로 검토 대상 이벤트, 결과 승인 전 검토와 주기적 검토, 독립 검토자, 검토 기록 방법, 자주 지적되는 사례, 검토를 가능하게 하는 시스템 설계를 정리합니다.

감사추적(Audit Trail)이 켜져 있다는 것만으로 실사를 통과하던 시기는 지났습니다. 요즘 실사관은 "감사추적이 있습니까"보다 "감사추적을 누가, 언제, 무엇을 기준으로 봤습니까. 그 검토 기록을 보여 주십시오"를 묻습니다.
그런데 현장에서는 막막합니다. 하루에도 수천 줄씩 쌓이는 로그를 전부 볼 수는 없고, 규정은 "정기적으로", "위험 기반으로"라고만 말합니다. 이 글은 그 사이를 메우는 실무 이야기입니다.

1. 결론부터: 주기는 숫자가 아니라 근거로 정합니다

2. 규정은 무엇을 요구합니까

한 가지 짚어 둘 점이 있습니다. 위 문서들은 주로 GMP 환경의 기록을 다룹니다. 연구소의 전자연구노트라도 그 기록이 허가 자료, GMP 시험, 품질 판단의 근거로 쓰인다면 같은 기대가 적용된다고 보시는 편이 안전합니다. 어떤 기록이 규제 대상인지는 각 사가 먼저 정해야 합니다(21 CFR Part 11 참고).

3. 검토는 "남아 있는 것"까지만 할 수 있습니다

검토 절차를 아무리 잘 짜도 애초에 기록되지 않은 정보는 볼 수 없습니다. PIC/S PI 041-1은 감사추적에 다음이 포함되어야 한다고 정리합니다.

• 누가: 행위를 한 사용자. 개정 초안은 한 사람이 여러 역할을 가질 수 있다면 그 역할까지 남기라고 합니다.
• 무엇을: 어떤 행위가 일어났고 무엇이 바뀌었는지, 이전 값과 새 값을 함께.
• 언제: 날짜와 시각. 여러 나라에 걸친 시스템이라면 시간대까지.
• 왜: 변경 사유.
• 데이터 변경을 승인한 사람이 있다면 그 이름.

PIC/S는 여기에 "실제 시각에" 기록되어야 한다는 점을 덧붙입니다. 여러 입력을 모아 두었다가 마지막에 한꺼번에 같은 시각으로 남기는 시스템은 기대에 맞지 않을 수 있다고 봅니다. 검토자가 순서를 재구성할 수 없기 때문입니다.

4. 무엇을 봅니까 — 위험 신호부터

개정 초안 §12.7은 "감사추적의 모든 항목을 보는 것은 효과적이지 않을 수 있다"며, 반복된 작업, 오류, 누락, 승인되지 않은 일탈, 데이터 무결성 손상을 찾는 표적 검토를 권하고, 핵심은 변경 사유를 확인하는 것이라고 합니다. 이를 실무 언어로 옮기면 대략 아래와 같습니다. 회사마다 시스템과 공정이 다르므로 예시로 보시기 바랍니다.

반대로 MHRA는 로그온·로그오프나 키 입력 같은 모든 시스템 활동까지 검토할 필요는 없다고 말합니다. "다 보겠다"는 절차서는 결국 아무것도 제대로 보지 못하는 절차서가 되기 쉽습니다.

5. 언제 봅니까 — 두 겹으로 나눕니다

주기를 정할 때 FDA Q&A가 든 기준은 데이터의 중요도, 통제 수단, 제품 품질에 미치는 영향입니다. 같은 시스템이라도 결과를 수정할 수 있는 권한이 넓게 열려 있다면 더 자주, 승인 후 잠금과 권한 제한이 잘 되어 있다면 덜 자주 볼 근거가 생깁니다. 중요한 것은 그 판단 과정을 위험평가 문서로 남기는 것입니다. 실사에서 "왜 분기 1회입니까"라고 물을 때 답할 수 있어야 합니다.

6. 누가 봅니까 — 독립성과 역량

• FDA: 그 기록을 검토할 책임이 있는 사람이 나머지 기록과 함께 감사추적도 봅니다. 감사추적을 포함한 기록은 품질부서가 검토·승인해야 합니다(21 CFR 211.192 인용).
• PIC/S: 기록을 만든 부서가 검토하고, 필요하면 품질부서가 확인합니다.
• 식약처 평가지침: 해당 작업과 관련 없는 부서에서 검토하는지를 봅니다.
• 개정 초안: 검토 대상 활동에 직접 관여하지 않은 사람(동료 검토)이 하도록 합니다.
• MHRA: 검토자는 감사추적, 원자료, 메타데이터를 볼 수 있는 충분한 지식과 시스템 접근 권한이 있어야 합니다.

정리하면 "자기 데이터를 자기가 검토하지 않을 것"과 "볼 줄 아는 사람이 볼 것"입니다. 감사추적 화면을 처음 열어 보는 QA 담당자에게 검토를 맡기는 것은 형식만 갖추는 일입니다. 검토자 교육도 절차의 일부입니다.

7. 검토를 어떻게 기록합니까

PIC/S는 감사추적을 어떻게 검토하는지, 무엇을 찾는지, 검색을 어떻게 하는지를 자세히 적은 SOP를 두고, 검토 활동을 문서화하며, 예상과 크게 다른 결과는 조사해 기록하라고 합니다. 실무에서는 검토 기록에 다음이 남아 있으면 실사 대응이 수월합니다.

• 검토 범위: 시스템, 대상 기록 또는 기간
• 사용한 조회 조건이나 예외 보고서 이름(재현 가능해야 합니다)
• 확인한 이벤트와 판단(이상 없음 / 확인 필요)
• 이상이 있었다면 연결된 일탈·조사 번호와 조치
• 검토자와 검토 일시, 서명

"감사추적 검토함" 체크박스 하나는 기록이 아닙니다. 무엇을 기준으로 봤는지가 남아야 다른 사람이 그 검토를 믿을 수 있습니다.

8. 실사에서 자주 문제가 되는 모습

• 감사추적이 꺼져 있거나 끌 수 있다: MHRA와 PIC/S 모두 감사추적은 켜진 채 잠겨 있어야 하고, 관리자가 끄거나 바꾸면 그 사실이 남아야 한다고 봅니다.
• 공용 계정: FDA Q&A 5번은 공용 로그인으로는 개인을 특정할 수 없다고 설명합니다. 이 경우 감사추적의 "누가"가 무의미해집니다.
• 보고서만 검토한다: 최종 PDF나 요약표만 보고 원자료와 이력은 보지 않는 경우입니다. PIC/S는 요약본이 원자료와 대조 검증되었다는 증거를 요구합니다.
• 변경 사유가 없거나 형식적이다: "수정", "오류" 같은 사유는 검토자가 판단할 근거가 되지 못합니다.
• 검토했다는 증거가 없다: 실제로 봤더라도 기록이 없으면 하지 않은 것으로 봅니다.
• 구형 장비의 대안 통제를 검증하지 않았다: 식약처 평가지침은 점검기록이 생성되지 않는 구형 시스템의 대안이 점검기록과 동등한 효과임을 검증했는지도 봅니다.

9. 시스템 설계가 검토를 가능하게 합니다

감사추적 검토가 형식으로 흐르는 가장 큰 이유는 "볼 수 없는 형태"로 남기 때문입니다. 설계 단계에서 다음을 챙기면 검토 부담이 크게 줄어듭니다.

• 걸러 볼 수 있는 화면: 개정 초안은 사용자가 감사추적을 누가·무엇을·언제·왜로 정렬·검색할 수 있거나 도구로 내보낼 수 있어야 한다고 합니다. MHRA가 말하는 예외 보고서는 미리 정한 비정상 이벤트만 골라 주는 밸리데이션된 검색 도구입니다. 예외 보고서도 검증 대상이라는 점을 잊지 마십시오.
• 변경 사유 필수 입력: 개정 초안은 값이 바뀔 때 시스템이 자동으로 사유를 묻고 저장하도록 합니다. 사유가 남아야 검토자가 판단할 수 있습니다.
• 승인 후 잠금과 봉인: PIC/S는 권한 설정으로 변경 자체를 막는 잘 설계된 시스템이라면 관련 감사추적을 자세히 볼 필요가 줄어들 수 있다고 적습니다. 막을 수 있는 것은 막고, 남는 것만 보는 구조입니다.
• 시각의 신뢰: PIC/S는 시스템 시계에 일반 사용자가 접근하지 못하게 하고 연결된 시스템과 동기화하라고 합니다.

시스템 요건을 처음부터 정리하고 계시다면 전자연구노트 요구사항 체크리스트도 함께 보십시오. 밸리데이션 관점은 GAMP5를 참고하시면 됩니다.

이알앤에스가 도울 수 있는 부분

저희 제품 소개 기준으로, 위 내용과 연결되는 P-ELN의 기능은 다음과 같습니다.

• 감사추적: 모든 데이터 접근·변경·서명 이력이 자동 기록되고, 변경 사유 필수 입력과 접근 시도 로그까지 남깁니다.
• 전자서명: 작성자 → 검토자(PI) → 승인자(QA) 다단계 서명 체계로, 검토·승인 단계에서 감사추적을 확정합니다.
• 데이터 봉인: SHA-256 해시 기반 봉인과 승인 완료 후 구성 변경 불가 정책을 적용합니다.
• KRISS 시점인증: 한국표준과학연구원(KRISS) 시점인증 동기화로 데이터 생성 시각의 증거력을 확보합니다.

P-ELN은 패키지가 아니라 맞춤 설계·구축하는 시스템이므로, 어떤 이벤트를 검토 대상으로 볼지와 같은 귀사의 검토 기준을 설계 단계에서 함께 정리하고 IQ/OQ/PQ·CSV 문서화까지 이어 갈 수 있습니다. 문의하기로 연락 주십시오.

관련 글

[전자연구노트 3편] 데이터 완전성(ALCOA+)·CSV 밸리데이션
전자연구노트 요구사항 체크리스트
전자연구노트의 법적 효력과 증거력 — 전자서명·시점확인·특허 분쟁
제약회사 전자연구노트, 무엇이 다릅니까
R&D 용어사전 — Audit Trail(감사추적)

이 글은 각 규제기관이 공개한 원문을 바탕으로 한 일반 정보이며 규제 자문이 아닙니다.
참고: FDA 21 CFR Part 11 §11.10 · FDA 「Data Integrity and Compliance With Drug CGMP: Questions and Answers」(2018. 12.) · EU GMP Annex 11 Computerised Systems(2011) 및 개정 초안(2025. 7. 의견수렴) · MHRA 「GXP Data Integrity Guidance and Definitions」 Revision 1(2018. 3.) · PIC/S PI 041-1(2021. 7. 1.) · 식품의약품안전처 「의약품 제조업체 데이터 완전성(Data Integrity) 평가지침」(2020. 10. 29.)