컴퓨터화 시스템 밸리데이션(CSV) 실무 적용법

컴퓨터화 시스템 밸리데이션(CSV) 실무 적용법-Audit trail & DI 중심

 

컴퓨터화 시스템 밸리데이션(CSV) 실무 적용법
– Audit Trail & DI 중심으로 –

 

GAMP 5 제2판 기반의 CSV 전략과 Audit Trail Review,
데이터 무결성 점검 절차 총정리

 

 

 

---

 

 

1️⃣ 서론 – CSV와 GMP 규정 준수

• 컴퓨터화 시스템 밸리데이션(Computerized System Validation, CSV)은
  GMP 환경에서 사용되는 전산 시스템의 신뢰성과 정확성을 검증하는 체계적 품질보증 절차입니다.

디지털화된 제조 환경에서 CSV는 단순한 IT 검증을 넘어서
데이터 무결성 or 완전성(DI)과 품질 시스템(QMS) 통합의 핵심 관리 기준입니다.

 

📌 GAMP 5 제2판(2022)의 주요 강조사항:

• 비판적 사고(Critical Thinking)
• CSA 접근법(Computer Software Assurance)
• Agile 기반 개발 대응
• 전사적 품질 시스템 통합

CSA는 기존의 문서 중심 CSV에서 벗어나 고위험 기능 중심의 실용적 검증 접근법을 제시합니다.

 

 

 

---

 

 

2️⃣ GAMP 5 기반 CSV 전략의 핵심 구조

🔹 국제표준 GAMP 프레임워크

• ISPE가 제정한 국제 지침으로, 시스템의 위험도에 기반한 검증 및 문서화를 정의
• ICH Q9 품질위험관리(QRM)와의 정합성 확보

🔹 소프트웨어 분류(Category 1~5)

카테고리	설명	예시
Cat.1	운영체제, 펌웨어	Windows, BIOS 등
Cat.3	상용 범용 소프트웨어	MS Excel 등
Cat.4	구성 가능 패키지 시스템	MES, LIMS 등
Cat.5	사용자 요구 기반 맞춤 개발	GMP 맞춤형 사내 시스템

 

GMAP5 카테고리 분류

 

 

🔹 시스템 생명주기(SDLC) 기반 접근

• 계획 → URS → 개발·설치 → 검증(IQ/OQ/PQ) → 운영 및 유지관리 → 폐기

시스템 생명주기

 

🔹 위험 기반 검증 전략

• 시스템 기능과 데이터 중요도에 따른 검증 단계(URS, DQ, IQ, OQ, PQ) 적용 범위 결정
• 위험평가(RPN: Severity × Occurrence × Detectability) 기반

📊 Risk-based CSV 절차 흐름도

 

Risk-based CSV 절차 흐름도

 

🔹 공급업체 평가 및 감사

• 공급사의 품질 시스템 확인
• 평가 기준: 품질 문서, 개발 표준, 유지보수 체계, SOP 보유 여부 등

 

 

---

 

 

3️⃣ Audit Trail Review & 데이터 무결성(DI) 점검 전략

 

Audit Trail은 시스템 내 사용자 행위(생성, 변경, 삭제, 승인 등)를 자동으로 기록하여
데이터의 신뢰성과 추적성을 확보합니다.

✅ 주요 평가 항목

• 변경 사유, 일시, 수행자, 변경 전후 내역 등의 기록 여부
• 승인자 ID의 명확한 분리 관리
• 삭제된 데이터의 복원 가능성과 이력 보존
• 로그 무결성 확보와 외부 수정 방지 구조

🔸Audit Trail 점검 항목 체크리스트

항목 구분	세부 점검 항목	확인 여부	비고
기능 구현 여부	감사 로그(Audit Trail) 기능이 시스템에 구현되어 있는가?	☐ O / ☐ X
	로그가 자동 생성되며 사용자가 임의로 수정할 수 없는가?	☐ O / ☐ X
기록 항목	변경 이력에일자, 시간, 수행자, 내용, 사유가 기록되는가?	☐ O / ☐ X
	삭제된 기록이 별도 보관되며 복원 가능한가?	☐ O / ☐ X
로그 보존성	감사 기록이지정 보존 기간동안 시스템에서 삭제되지 않는가?	☐ O / ☐ X	기본 5년 이상
	로그의 백업 또는 원본 유지 관리가 가능한가?	☐ O / ☐ X
사용자 구분	각 로그 항목별로 고유 사용자 계정 정보(ID)가 추적 가능한가?	☐ O / ☐ X	공유 계정 사용 금지
점검 관리	정기적 Audit Trail Review를 수행하는가?	☐ O / ☐ X	최소 분기 1회
	감사 로그 검토 절차(SOP)가 있으며 QA가 주관하는가?	☐ O / ☐ X
시정조치 이력	이상 로그 발생 시 Deviation 또는 CAPA 기록이 있는가?	☐ O / ☐ X

 

✅ 감사 지적 사례

• 변경 사유 공란 처리
• 승인자가 관리자 계정과 동일
• 관리자 계정의 다중 사용자 사용 → 책임 추적 불가

✅ 대응 전략

• 감사 로그 점검 SOP 수립과 분기별 정기 점검 실시
• 데이터 분석 툴 도입을 통한 로그 이상 탐지
• 사용자 계정별 권한 구분과 접근제어 정책 강화
• Audit Trail Review는 QA 부서 책임하에 수행되도록 명문화

 

 

---

 

 

4️⃣ 실무 체크리스트 및 식약처 기준 대응

CSV 운영 기준은 식약처 고시 제2024-87호 별표9 및
「데이터 완전성 평가지침」을 기반으로 설정되어야 합니다.

항목	점검 내용	확인 여부
시스템 분류	GAMP 5 기준에 따른 적절한 분류 여부	☐ O / ☐ X
URS 작성	사용자 요구사항 문서화 여부	☐ O / ☐ X
Audit Trail 기능	시스템 내 감사 로그 기능 구현 여부	☐ O / ☐ X
정기점검 SOP	Audit Trail Review를 위한 절차서 존재 여부	☐ O / ☐ X
DI 교육이력 관리	사용자 대상 교육 수행 및 기록 보관 여부	☐ O / ☐ X
사용자 계정 구분	관리자 계정 공유 여부, 접근권한 체계 수립 여부	☐ O / ☐ X

 

CSV 체크리스트 예시

 

 

---

 

 

5️⃣ 추가 고려사항 – ER/ES & 전자서명

• FDA 21 CFR Part 11 및 PIC/S Chapter 4 기준의 전자기록(ER)과 전자서명(ES) 요구사항:
  • 전자서명의 사용자 고유성 확보
  • 전자기록 보존 기한 설정
  • 로그인/로그아웃, 수정기록 등 감사 기능 내장
• CSV는 이러한 ER/ES 관리 요건과 반드시 연계되어야 함

 

---

 

 

6️⃣ 결론 – CSV 운영의 핵심 요건 요약

CSV는 단순 IT 검증이 아닌, 품질 보증(QA)과 데이터 무결성(DI)의 핵심 시스템 운영 기반입니다.

• GAMP 5 제2판은 문서 중심 접근에서 벗어난 위험 기반 검증 전략(CSA 포함)을 제시
• 감사 대응을 위해서는 Audit Trail Review의 주기적 관리, 계정권한 분리, 로그 분석체계 구축이 핵심
• SOP, 교육, 공급업체 관리까지 포함한 전사적 품질관리 프레임워크 구축이 요구됨

 

---

 

 

📚 주요 용어 정리

용어	정의	주요 기능 또는 특징
CSV	Computerized System Validation	시스템 생명주기 기반 품질 검증
GAMP 5	국제 컴퓨터화 시스템 검증 지침	위험 기반 접근, 2022 개정판 기준
CSA	Computer Software Assurance	중요 기능 중심 효율적 검증 전략
Audit Trail	전자적 기록 추적 시스템	변경기록, 승인로그, 삭제 방지 기능 포함
URS	User Requirement Specification	사용자 요구사항 정리 문서
DI	Data Integrity (데이터 무결성)	ALCOA+ 원칙 기반 데이터 신뢰성 확보

 

 

 

---

 

 

📕 참고문헌

• GAMP 5 Second Edition (ISPE, 2022)
• PIC/S PE009-17, Chapter 4, 11
• FDA 21 CFR Part 11: Electronic Records; Electronic Signatures
• 식약처 고시 제2024-87호 별표9: 컴퓨터화 시스템 관리 기준
• WHO TRS 1019 Annex 3: Good Data and Record Management Practices

 

 

---

 

 

🔗 관련 포스팅 링크

• GMP 기초편 카테고리
• GMP 심화편 카테고리
• DI 개론 카테고리
• DI 기초편 카테고리
• DI 심화편 카테고리