EU GMP Annex 11 개정 초안에서 달라지는 것
EU GMP Annex 11은 GMP 활동에 쓰는 컴퓨터화 시스템의 기준이고, 현행본은 2011년 1월 개정판입니다. 2025년 7월 EC가 EMA 실사관 작업반, PIC/S와 함께 만든 19쪽짜리 전면 개정 초안을 공개했는데, 원칙 위주였던 2011년판을 구체적인 운영 요건으로 바꾸는 내용입니다. 최종본은 아직 나오지 않았습니다.
추진 일정
지금 효력이 있는 것은 2011년판
초안은 2025년 7월 7일 공개돼 10월 7일 의견수렴을 마쳤습니다. 그래도 2026년 10월 기준 EudraLex Vol.4에 올라 있는 현행본은 여전히 2011년판입니다.
| 시점 | 내용 |
|---|---|
| 2011.1 | 현행 Annex 11 개정판 |
| 2025.7.7 | EMA GMP/GDP 실사관 작업반과 PIC/S가 Chapter 4·Annex 11 개정안, 신설 Annex 22(AI) 초안 공개 |
| 2025.10.7 | 의견수렴 마감 |
| 2026.10 기준 | EudraLex Vol.4 현행본은 여전히 2011년판, 개정판 채택 공지 없음 |
개정에 나선 이유는 디지털 기술과 AI가 제조 현장에 빠르게 들어오면서 기준을 최신으로 맞춰야 했기 때문입니다. 그래서 이번에는 Chapter 4(문서화), Annex 11, Annex 22를 한 묶음으로 손봅니다.
구성
17개 절은 어떻게 짜여 있을까요?
초안은 범위·원칙·PQS를 다루는 1~3절에서 보관을 다루는 17절까지 모두 17개 절입니다. 알람(§8)과 ID·접근 관리(§11)는 각각 독립된 절로 들어 있습니다.
| 절 | 제목 | 핵심 |
|---|---|---|
| 1~3 | 범위·원칙·PQS | 컴퓨터화 시스템을 품질시스템 안에서 관리 |
| 4 | 위험관리 | 수명주기 전체에 품질위험관리 적용 |
| 5 | 인력·교육 | 공정 책임자, 시스템 책임자, IT, 공급자 협력 |
| 6 | 시스템 요구사항 | URS 수립·승인, 요구사항과 시험의 추적성 |
| 7 | 공급자·서비스 관리 | 규제 사용자 책임, 공급자 감사, 계약, 종료 전략 |
| 8 | 알람 | 알람 설정 권한, 확인 사유, 알람 로그 검토 |
| 9 | 적격성평가·밸리데이션 | 위험 기반 시험, 사용 전 완료 |
| 10 | 데이터 처리 | 입력 타당성, 검증된 인터페이스, 이관 |
| 11 | ID·접근 관리 | 개인 계정, 공유 계정 제한, 원격 MFA, 자동 로그아웃 |
| 12 | 감사추적 | 누가·무엇을·언제·왜, 항상 활성, 검토 |
| 13 | 전자서명 | 재인증, 서명 표시, 기록과 영구 연결 |
| 14 | 주기적 검토 | 유효 상태 유지 확인 |
| 15 | 보안 | 패치, USB 통제, 모의 해킹 |
| 16 | 백업 | 물리적 분리, 복원 시험 |
| 17 | 보관 | 보존기간 중 보호, 이동 시 무결성 확인 |
URS·공급자
URS와 공급자 계약(§6·§7)
§6은 자체 개발이든 상용 제품이든 서비스형(SaaS)이든, 사용자 요구사항(URS)부터 세우고 승인하라고 합니다. 요구사항은 수명주기 내내 고쳐 나가고, 설계와 시험 항목까지 따라갈 수 있어야 합니다.
외주나 클라우드를 쓴다고 책임이 넘어가지는 않습니다. §7은 이 경우에도 규제 사용자가 전적으로 책임진다고 못 박고, 공급자는 감사나 평가로 확인하도록 합니다. 계약서에는 보고 체계와 SLA·KPI, 그리고 계약이 끝날 때 데이터를 되찾아 오는 종료 전략이 들어가야 합니다.
알람·계정
알람과 계정 관리, 따로 떨어진 두 절
- §8 알람: 알람을 설정·변경·비활성화하는 일은 권한 있는 사용자만 할 수 있습니다. 중요 알람을 확인할 때는 사유를 남기고, 알람 로그는 주기적으로 검토합니다.
- §11 ID·접근 관리: 사용자마다 고유 계정을 주고, 읽기 전용이 아닌 공유 계정은 데이터 완전성 위반으로 봅니다. 사용자가 끌 수 없는 비활성 자동 로그아웃도 요건에 들어 있습니다.
감사추적
감사추적: 누가, 무엇을, 언제, 왜
§12는 감사추적에 남길 내용을 네 가지로 정리했습니다. 바꾼 사람과 역할, 바꾼 내용과 이전 값·새 값, 일시와 시간대, 그리고 사유입니다. 사유는 사용자가 알아서 적는 것이 아니라, 값을 바꾸는 순간 시스템이 자동으로 입력을 요청해야 합니다.
- 감사추적은 늘 켜 두고 잠가서, 누구도 내용을 고칠 수 없게 합니다.
- 감사추적 설정이나 시스템 시간을 바꾸면 그 자체가 감사추적에 남습니다.
- 사용자가 감사추적을 정렬·검색하거나 도구로 내보낼 수 있어야 합니다.
- 감사추적까지 포함한 전체 전자 사본을 받을 수 있어야 합니다. 잠긴 고정 파일만으로는 부족합니다.
서명·보안
전자서명 재인증, 원격 접속 MFA, 보안 패치
§13에 따르면 전자서명을 할 때는 로그인과 같거나 더 높은 수준의 보안으로 다시 인증해야 합니다. 서명 표시에는 성명, 사용자명, 역할, 서명 의미, 일시가 들어갑니다.
통제된 경계 밖에서 중요 시스템에 원격으로 접속할 때는 다중 인증(MFA)을 적용해야 합니다(§11.6). IT 보안은 §15가 GMP 언어로 정리했는데, 운영체제 보안 패치는 공급자 권고에 맞춰 제때 적용하고 치명적 취약점은 즉시 적용할 수도 있습니다. USB 같은 양방향 장치는 엄격히 통제하고, 인터넷에 노출된 중요 시스템은 정기적으로 모의 해킹을 합니다.
백업·보관
백업과 보관(§16·§17)
§16은 데이터와 메타데이터를 정기적으로 백업하되, 백업 주기와 보존기간은 위험에 따라 정하라고 합니다. 백업은 원본 서버와 물리적으로 떨어진 곳에 두어야 하고, 같은 논리 네트워크 안에 두어서도 안 됩니다. 복원이 실제로 되는지는 밸리데이션 때 위험에 따라 시험하고 기록합니다.
§17은 보관 데이터와 감사추적을 보존기간 내내 삭제·변경으로부터 지키라고 합니다. 데이터를 다른 곳으로 옮길 때는 체크섬 같은 방법으로 무결성을 확인한 다음에 원본을 지웁니다.
대비
최종본이 나오기 전에 점검해 둘 것
- 현재 시스템에 URS가 있는지, 시험 항목과 이어지는지
- 클라우드·외주 계약에 감사, 실사 지원, 종료 시 데이터 반환 조항이 있는지
- 알람 한계 변경과 알람 확인에 권한 통제와 사유 기록이 있는지
- 공유 계정이 남아 있지 않은지, 자동 로그아웃이 켜져 있는지
- 감사추적에 이전 값·새 값·사유·시간대가 남는지
- 원격 접속 MFA, 보안 패치 절차, USB 포트 정책
- 백업 보관 위치와 복원 시험 기록
최종본에서는 문구가 바뀔 수 있습니다. 그래도 위 항목은 현행 Annex 11, 21 CFR Part 11, PIC/S 데이터 완전성 지침과 겹치는 부분이 많아서, 개정 시점과 상관없이 지금 정리해 두어도 헛일이 되지 않습니다.
관련 제품
함께 볼 글
자주 묻는 질문
Annex 11 개정 초안에 맞춰 지금 시스템을 바꿔야 하나요?
지금 바꿀 의무는 없습니다. 아직 초안이라 법적 효력이 없기 때문입니다. 다만 계정, 감사추적, 백업 항목은 현행 기준과도 겹치니 차이를 미리 점검해 두세요.
개정 Annex 11이 국내에도 적용되나요?
직접 적용되지는 않습니다. 국내는 식약처 GMP 고시를 따릅니다. 다만 식약처는 PIC/S 회원이고, 이번 초안은 PIC/S가 함께 만들었습니다.
클라우드형 EMS도 Annex 11 초안의 적용 대상인가요?
그렇습니다. 초안 §6은 서비스형 시스템도 요구사항 관리 대상에 넣었고, §7은 외주나 클라우드를 쓰더라도 책임은 규제 사용자에게 있다고 밝힙니다.
시스템 시간을 바꾼 기록도 감사추적에 남아야 하나요?
남아야 합니다. 초안 §12.3은 감사추적 설정이나 시스템 시간을 바꿀 수 있다면 그 변경 자체를 감사추적에 남기라고 요구합니다.
백업을 같은 서버의 다른 폴더에 둬도 되나요?
초안 기준으로는 안 됩니다. 백업은 원본과 물리적으로 떨어진 곳에 두고, 같은 논리 네트워크에도 두지 않아야 합니다.
Annex 11 개정 초안 대비, (주)테솔 엔지니어와 현황부터 점검하세요
감사추적, 계정, 백업 구성이 초안 요건과 얼마나 차이 나는지 운영 중인 EMS를 기준으로 함께 살펴 드립니다. 대표번호 031-713-5988
현장 점검 상담참고 자료
- European Commission, Stakeholders' consultation on EudraLex Volume 4 – Chapter 4, Annex 11, Annex 22 (2025.7.7~10.7)
- EU GMP Annex 11 Computerised Systems 개정 초안 의견수렴본 (2025.7)
- EU GMP Annex 11 Computerised Systems (2011)
- EudraLex Volume 4 페이지 (2026.10 확인)
- PIC/S News (2026.10 확인)
