개념
QA가 쓰는 도구도 규제 대상이 된다
레슨 1~3은 제품 소프트웨어의 검증이었다. 의료기기 회사에는 밸리데이션 대상 소프트웨어가 하나 더 있다. 품질 기록을 만들고 보관하는 소프트웨어 다.
| 소프트웨어 | 왜 대상인가 |
|---|---|
| 결함 추적 도구 (Jira 등) | 레슨 1의 문제 해결 기록과 잔존 이상 평가가 여기 있다 |
| 테스트 관리 도구 (TestRail·Xray 등) | 시스템 시험 기록이 여기 있다 |
| 요구사항·추적성 관리 도구 | 위험 추적표가 여기 있다 |
| 문서 관리·전자 서명 시스템 | 설계 검토·출시 승인 서명이 여기 있다 |
| CI 파이프라인과 판정 레코드 저장소 | 자동화 시험 결과가 여기 있다 (모듈 38 레슨 4) |
| 제조·검사 설비 소프트웨어 | 제품 품질에 직접 영향 |
| 불만 처리·CAPA 시스템 | 출시 후 정보가 여기 있다 (레슨 2) |
이 도구들이 잘못 동작하면 — 시험 결과가 다른 버전에 붙거나, 서명이 기록 변경 후에도 유효하게 남거나, 결함 상태 변경 이력이 사라지면 — 품질 기록 자체를 믿을 수 없다. 그래서 의료기기 품질경영시스템은 이 소프트웨어의 밸리데이션을 요구한다. 전통적으로 CSV(Computer System Validation) 라 불렀고, FDA는 새 접근을 CSA(Computer Software Assurance) 라 부른다.
QA에게 이 영역이 특별한 이유는 자기가 쓰는 도구를 검증하는 사람 이 되기 때문이다. 모듈 22에서 배운 테스트·결함 관리 도구가 의료기기 회사에서는 밸리데이션 대상이다.
CSV에서 CSA로 — 무엇이 바뀌었나
전통적 CSV는 문서가 많았다. 도구의 모든 기능에 대해 스크립트 시험을 쓰고, 단계마다 스크린샷을 찍고, 서명을 받았다. 결과는 두 가지였다. 밸리데이션이 몇 달 걸려 좋은 도구를 늦게 도입하거나, 도구를 업그레이드하지 못해 오래된 버전에 묶였다. 그리고 문서의 대부분은 위험이 낮은 기능 에 쓰였다.
FDA는 2022년 초안을 거쳐 2025년 9월 24일 CSA 가이던스를 최종화 했다. 이 가이던스는 2002년 "소프트웨어 밸리데이션 일반 원칙" 가이던스의 6장(생산·품질 시스템 소프트웨어 밸리데이션 부분)을 대체한다. 핵심 발상은 보증 노력을 위험에 비례시키는 것 이다.
| 전통적 CSV의 관행 | CSA | |
|---|---|---|
| 초점 | 문서 산출 | 소프트웨어가 의도된 용도에 적합하다는 확신 |
| 시험 방식 | 거의 모두 스크립트 시험 | 위험에 따라 스크립트 시험과 비스크립트 시험(탐색적·시나리오·오류 추정) 선택 |
| 증거 | 단계별 스크린샷 | 필요한 만큼의 기록 |
| 공급사 증거 | 다시 시험 | 공급사 평가·인증·감사 보고서 활용 |
| 범위 | 도구 전체 | 기능·특성별 위험 판정 |
모듈 5에서 배운 탐색적 테스팅이 규제 가이던스에서 정식 보증 활동 으로 인정받은 것이다.
CSA의 판단 흐름
가이던스의 구조를 QA가 실행할 순서로 정리하면 이렇다.
1. 의도된 용도를 식별한다. 소프트웨어가 생산·품질 시스템의 일부로 쓰이는지 판단한다. 공정을 자동화하거나 품질 데이터를 기록하는 직접 사용, 시험 도구처럼 공정을 지원 하는 사용이 대상이고, 이메일·회계 같은 일반 업무 도구는 대상이 아니다. 클라우드(IaaS·PaaS·SaaS)로 쓰는 도구도 포함된다.
2. 위험 기반 접근을 정한다. 기능·특성마다 고위험 공정(high process risk) 인지 판정한다. 고위험 공정은 그 기능이 실패하면 안전을 예측 가능하게 해치는 품질 문제 를 만들 수 있는 경우다.
[테스트 관리 도구 기능별 위험 판정 — 예시]
기능 고위험 공정? 근거
시험 결과(합격/불합격) 기록·수정 이력 예 결과가 조용히 바뀌면 불합격 시험이 합격으로 출시 판단에 들어감
시험 실행을 요구사항 ID 에 연결 예 추적성이 틀리면 미시험 요구사항이 시험된 것으로 보임
시험 대상 빌드 버전 기록 예 다른 버전의 결과가 출시 버전 증거가 됨
대시보드 차트 색상·레이아웃 아니오 표시일 뿐 기록 자체는 영향 없음
시험 케이스 검색·필터 아니오 실패해도 사용자가 알아채고 기록에 영향 없음
알림 메일 아니오 누락돼도 기록은 남음3. 보증 활동을 정한다. 위험에 맞춰 고른다.
| 위험 | 보증 활동 예 |
|---|---|
| 고위험 공정 | 스크립트 시험 — 반복 가능한 단계와 기대 결과를 기록. 경계·오류 조건 포함 |
| 고위험 아님 | 비스크립트 시험 — 탐색적 시험(목표·결과·발견만 기록), 시나리오 시험, 오류 추정. 공급사 증거 활용 |
| 공통 | 공급사 평가(인증·감사 보고서·개발 프로세스), 운영 중 모니터링, 설정 검증 |
4. 적절한 기록을 남긴다. 가이던스가 기대하는 기록은 필요한 만큼 이다. 의도된 용도, 위험 판정, 수행한 보증 활동과 결과 요약, 수용 가능하다는 결론, 승인. 단계별 스크린샷을 요구하지 않는다.
[보증 기록 — 테스트 관리 도구 v8.2 업그레이드]
의도된 용도: 소프트웨어 시스템 시험 기록의 작성·보관·검토 (직접 사용)
위험 판정: 위 표 참조. 고위험 공정 기능 3 / 고위험 아님 12
보증 활동:
고위험 — 스크립트 시험 SC-TM-01~09
결과 기록 후 수정 시 이력 보존·수정자·시각 기록 (SC-TM-01~03)
요구사항 링크 변경 이력 (SC-TM-04~05)
빌드 버전 필드 필수·잠금 동작 (SC-TM-06~09)
→ 9/9 통과, 기록 첨부
고위험 아님 — 탐색적 시험 1세션 60분, 목표: 업그레이드 후 검색·필터·대시보드 회귀
→ 발견 1건(필터 저장 실패), 기록 영향 없음 판단, 공급사 신고
공급사 증거 — 공급사 SOC 2 Type II 보고서(기간 확인), 릴리스 노트 변경 기능 검토
결론: 의도된 용도에 적합, 운영 반영 승인
승인: QA 리드, 품질책임자 (전자 서명)21 CFR Part 11 — 전자 기록과 전자 서명
미국 규제 기록을 전자적으로 만들고 서명하면 21 CFR Part 11이 적용된다. 요건 중 QA가 시험 기준으로 옮길 핵심 조항은 다음과 같다.
| 조항 | 요지 | 시험 기준 예 |
|---|---|---|
| 11.10(a) | 시스템 밸리데이션 — 정확성·신뢰성·일관된 의도 성능, 무효·변경 기록 식별 능력 | 위 CSA 보증 기록 |
| 11.10(b) | 검사·검토용으로 정확하고 완전한 사본 생성 | 기록 내보내기가 이력·서명을 포함하는가 |
| 11.10(c) | 보존 기간 동안 기록 보호와 검색 | 백업·복원 후 기록·이력 일치 |
| 11.10(d) | 인가된 사람으로 시스템 접근 제한 | 역할별 권한 시험 |
| 11.10(e) | 보안이 확보된, 컴퓨터가 생성하는, 시각이 찍힌 감사 추적 — 기록 생성·수정·삭제의 일시와 행위, 이전 값이 가려지지 않음, 보존 | 수정 전 값 보존, 사용자가 감사 추적을 수정·삭제할 수 없음 |
| 11.10(f)·(g) | 순서 강제 점검, 권한 점검 | 승인 없이 다음 단계로 못 감, 권한 없는 서명 불가 |
| 11.50 | 서명 표시 — 서명자 이름, 서명 일시, 서명의 의미(검토·승인·작성 등) | 서명된 기록 화면·사본에 세 요소 표시 |
| 11.70 | 서명과 기록의 연결 — 서명을 떼어 다른 기록에 붙일 수 없음 | 서명 후 기록 수정 시 서명 무효화 또는 재서명 요구 |
| 11.300 | 아이디·비밀번호 통제 — 고유성, 주기적 점검, 분실 관리, 무단 사용 시도 감지 | 계정 공유 불가, 연속 실패 잠금·보고 |
11.10(e)와 11.70이 가장 자주 결함이 나오는 곳이다. 이런 시험을 설계한다.
SC-P11-03 결과 필드를 "불합격"에서 "합격"으로 수정 → 감사 추적에 이전 값·새 값·수정자·시각·사유 기록
SC-P11-04 관리자 권한으로도 감사 추적 항목을 수정·삭제하는 UI·API 경로 없음
SC-P11-05 서버 시각을 시험 환경에서 변경 → 감사 추적 시각은 신뢰할 수 있는 시각 원천 기준 (또는 변경 감지)
SC-P11-07 승인 서명 후 기록 본문 수정 → 서명 상태가 무효/재서명 필요로 바뀜
SC-P11-08 서명된 기록을 PDF로 내보내기 → 서명자·일시·의미 세 요소 표시SC-P11-04는 API 경로 까지 확인하는 것이 중요하다. 화면에는 삭제 버튼이 없지만 관리자 API나 DB 직접 접근으로 이력을 지울 수 있으면, 그 경로를 통제하는 절차와 접근 기록이 있어야 한다.
QMSR과 ISO 13485 — 규정의 틀이 바뀌었다
미국의 의료기기 품질 시스템 규정(21 CFR Part 820)은 2026년 2월 2일부터 QMSR(Quality Management System Regulation) 로 바뀌었다. ISO 13485:2016을 참조로 편입하고, ISO 13485가 충분히 다루지 않는다고 본 부분(정의·기록 관리·라벨링 등)만 FDA 추가 요건으로 남겼다. FDA 점검 방식도 새 절차로 바뀌었다. 주의할 점은 ISO 13485 인증이 있다고 QMSR 준수가 자동으로 인정되지는 않는다 는 것이다.
소프트웨어 밸리데이션 관점에서 ISO 13485:2016의 관련 조항은 세 곳이다.
| 조항 | 대상 |
|---|---|
| 4.1.6 | 품질경영시스템에 쓰는 컴퓨터 소프트웨어의 적용 밸리데이션 — 최초 사용 전과 변경 후, 위험에 비례 |
| 7.5.6 | 생산·서비스 제공에 쓰는 소프트웨어의 적용 밸리데이션 |
| 7.6 | 모니터링·측정에 쓰는 소프트웨어의 밸리데이션 |
세 조항 모두 위험에 비례한 접근 을 이미 담고 있어, CSA의 발상과 충돌하지 않는다. QMSR 시행 후 FDA 문서들도 용어를 품질경영시스템 기준으로 갱신하고 있으므로, CSA 가이던스를 인용할 때는 FDA 사이트의 현재 판본 제목과 날짜 를 확인한다.
클라우드·AI 도구를 들일 때
품질 조직이 SaaS 테스트 관리 도구나 AI 기반 결함 분류(모듈 18a 레슨 2)를 들이려 할 때 CSA 관점의 판단은 이렇다.
| 질문 | 판단 |
|---|---|
| 공급사가 기능을 자주 바꾸는가 | 업데이트마다 고위험 공정 기능의 변경 여부를 릴리스 노트로 판정, 해당 기능만 재시험 |
| 공급사 증거가 있는가 | 인증·감사 보고서의 범위와 기간 이 우리 사용 기능을 덮는지 확인 |
| 데이터 위치와 보존 | 11.10(c) 보존·검색, 계약 종료 시 기록 반환 (모듈 41 레슨 5 금융 클라우드의 출구 전략과 같은 발상) |
| AI가 기록을 만드는가 | AI 분류 결과가 품질 기록(결함 심각도 등)이 된다면 고위험 공정일 수 있음. 사람 확인 단계와 확인 기록 필요 |
| AI 결과가 흔들리는가 | 같은 입력에 다른 결과 — 모듈 38 레슨 3의 판정자 보정·표본 재검토를 보증 활동으로 |
AI 도구가 결함 초안을 쓰고 사람이 확인·등록하는 구조(모듈 38 레슨 5)는 CSA 관점에서도 유리하다. 기록을 확정하는 행위가 사람의 서명 이므로, AI 기능은 고위험 공정이 아니라 지원 기능으로 판정할 근거가 생긴다.
실무에서 왜 필요한가
의료기기 회사에 들어간 QA가 가장 먼저 부딪히는 일 중 하나가 "새 테스트 도구를 쓰고 싶은데 밸리데이션이 필요하다"는 벽이다. 전통적 CSV 방식으로 접근하면 몇 달이 걸리고, 결국 도구 도입을 포기하거나 오래된 도구에 묶인다. CSA를 이해하는 QA는 위험 판정으로 보증 범위를 줄이고, 탐색적 시험과 공급사 증거로 문서를 줄여 같은 수준의 규제 대응을 몇 주로 끝낼 수 있다.
반대로 Part 11 감사 추적과 전자 서명은 줄일 수 없는 영역이다. 결과 기록이 이력 없이 바뀌는 도구, 서명 후 수정이 가능한 도구는 FDA 점검에서 곧바로 지적된다. QA가 이 시험을 설계할 줄 알면 도구 선정 단계에서 부적합 도구를 걸러낸다.