정도관리 감사추적성은 측정값이 생성된 순간부터 성적서 확정까지의 모든 변경을 원본과 함께 재구성할 수 있는 상태를 말한다. 구축은 추적 대상 범위 확정, 변경 이력 필드 설계, 승인자 권한과 근거 기록 체계, 정기 감사추적 검토의 4단계로 진행한다. 각 단계에서 무엇을 남기고 누가 승인하며 어떤 주기로 검토하는지를 문서로 고정해야 심사에서 방어 가능한 기록이 된다.
목차
정도관리 감사추적성의 정의와 규격상 요구
정도관리 감사추적성은 측정값이 생성된 시점부터 최종 성적서에 반영되기까지의 모든 변경 흔적을 시간 순으로 재구성할 수 있는 상태를 뜻한다. 로그 파일이 존재한다는 사실만으로는 부족하다. 누가, 언제, 무엇을, 왜 바꿨는지가 원본값과 함께 보존되어야 비로소 추적성이 성립한다.
ISO/IEC 17025:2017의 기술기록 요구는 기록의 수정 사항이 이전 버전 또는 최초 관찰값까지 연결되도록 관리할 것을 요구한다. 데이터 및 정보 관리 조항은 여기에 더해 데이터 처리에 사용하는 소프트웨어의 적정성과 접근 통제를 함께 본다. 출처 맥락에 따르면 이 요구는 수기 대장과 LIMS 어느 쪽에도 동일하게 적용된다.
MHRA의 GxP 데이터 무결성 가이던스는 ALCOA+ 원칙, 즉 귀속성·판독성·동시성·원본성·정확성에 완전성·일관성·영속성·이용가능성을 더한 축으로 위험 기반 접근을 제시한다. 종이기록과 전자기록을 모두 대상으로 하므로 엑셀 관리도를 쓰는 소규모 시험실도 예외가 되지 않는다.
따라서 감사추적성 구축은 시스템 도입 과제가 아니라 기록 설계 과제로 접근해야 한다. 도구는 나중 문제이고, 무엇을 남길지 먼저 정의하는 것이 순서다.
감사추적 요구 근거 비교
| 구분 | 핵심 요구 | 기록 초점 |
|---|---|---|
| ISO/IEC 17025 기술기록 | 수정 사항을 이전 버전·원본까지 추적 | 원본 관찰값 보존 |
| ISO/IEC 17025 데이터 관리 | 소프트웨어 적정성·접근 통제 | LIMS 권한 관리 |
| MHRA ALCOA+ | 위험 기반, 종이·전자 동일 적용 | 귀속성·동시성 |
1단계 — 추적 대상 데이터와 변경 유형 확정
첫 단계는 추적 범위를 좁히는 일이다. 시험실이 생산하는 모든 전자 흔적을 동일한 강도로 관리하려 들면 운영이 무너진다. 정도관리 데이터 중에서도 판정에 직접 영향을 주는 항목부터 등급을 나눈다.
최소 대상은 QC 측정 원시값, 기준값과 관리한계, 관리도 판정 결과, OOL 처리 이력, 검량선 계수, 그리고 성적서에 인용된 계산값이다. 이 여섯 가지는 값이 바뀌면 적합·부적합 판정이 뒤집힐 수 있으므로 변경 이력을 필수로 남긴다.
변경 유형도 함께 정의한다. 단순 오탈자 교정, 단위·유효자리 조정, 재측정에 따른 값 대체, 이상점 제외, 계산식 변경, 기록 삭제는 위험도가 서로 다르며 요구되는 근거의 깊이도 다르다.
반대로 추적 대상에서 제외할 항목도 명시한다. 초안 메모, 임시 작업 파일처럼 원본이 아닌 산출물은 범위 밖임을 문서로 밝혀 두어야 심사에서 누락으로 오해받지 않는다.
2단계 — 변경 이력 필드 설계: 정도관리 감사추적성의 최소 단위
정도관리 감사추적성의 실제 단위는 한 건의 변경 레코드다. 이 레코드가 갖춰야 할 필드를 표준화하지 않으면 담당자마다 남기는 정보의 밀도가 달라진다.
권장 필드는 변경 전 값, 변경 후 값, 변경 일시, 변경자 식별자, 변경 사유 코드, 사유 상세 서술, 승인자 식별자, 승인 일시, 연결된 원본 기록 번호다. 특히 변경 전 값은 덮어쓰기가 아니라 별도 보존이어야 한다. 원본이 사라지면 추적성 자체가 성립하지 않는다.
사유는 자유 서술만으로 받지 말고 코드화한다. 전사 오류, 계산 오류, 기기 오작동, 재측정 반영, 이상점 제외처럼 미리 정한 코드에서 고르게 하면 추후 빈도 분석과 개선 활동이 가능해진다.
시각은 시스템 시각과 동기화하고 사용자가 임의로 바꿀 수 없도록 잠근다. 동시성 요건은 사후 일괄 입력으로는 충족되지 않으므로, 변경 시점과 기록 시점의 간격을 관리 지표로 두는 편이 안전하다.
수기 기록에서는 원본값에 한 줄을 긋고 옆에 수정값·서명·일자·사유를 병기하는 방식이 동일한 역할을 한다. 수정액이나 덧칠은 어떤 경우에도 허용하지 않는다.
변경 이력 필드 설계 순서
- 원본 보존 확정
변경 전 값을 덮어쓰지 않고 별도 보존 - 필수 필드 고정
변경 전후 값, 일시, 변경자, 승인자, 원본 번호 - 사유 코드화
전사·계산 오류, 기기 오작동, 재측정, 이상점 제외 - 시각 동기화
시스템 시각 잠금, 변경-기록 간격 지표화
3단계 — 승인자 권한 등급과 근거 기록 체계
세 번째 단계는 변경 권한을 사람 단위가 아니라 역할 단위로 배분하는 일이다. 작성자가 스스로 값을 바꾸고 스스로 승인하는 구조는 감사에서 가장 먼저 지적된다.
최소한 작성자, 검토자, 품질책임자의 3단계를 두고 변경 유형별로 필요한 승인 수준을 달리한다. 오탈자 교정은 검토자 승인으로 충분하지만, 이상점 제외나 기준값 변경처럼 판정을 바꾸는 변경은 품질책임자 승인을 요구하는 식이다.
근거 기록은 사유 문장 한 줄로 끝내지 않는다. 재측정 성적, 기기 점검 기록, 시약 로트 번호, 환경 모니터링 값처럼 주장을 뒷받침하는 객관 자료의 식별번호를 변경 레코드에 연결한다. 이 연결이 있어야 정도관리 감사추적성이 서술에서 증거로 올라선다.
계정 관리도 같은 층위의 통제다. 공용 계정, 퇴사자 계정 잔존, 관리자 권한의 무제한 부여는 귀속성을 무너뜨린다. 권한 부여·회수 이력 자체도 기록 대상에 포함한다.
변경 유형별 승인 등급
| 변경 유형 | 작성자 단독 | 검토자 승인 | 품질책임자 |
|---|---|---|---|
| 오탈자 교정 | 불가 | 필요 | 불요 |
| 재측정 값 대체 | 불가 | 필요 | 필요 |
| 이상점 제외 | 불가 | 필요 | 필요 |
| 기준값·한계 변경 | 불가 | 필요 | 필요 |
| 기록 삭제 | 불가 | 필요 | 필요 |
※ 판정을 바꾸는 변경은 품질책임자 승인을 요구한다.
4단계 — 정도관리 감사추적성 검토 주기 운영
마지막 단계는 남긴 기록을 실제로 읽는 절차를 만드는 것이다. 감사추적 기능을 켜 두기만 하고 아무도 검토하지 않는 상태는 데이터 무결성 관점에서 사실상 미운영으로 평가된다.
검토는 위험 기반으로 차등한다. 판정을 바꾸는 변경은 발생 즉시 또는 해당 배치 승인 전에 확인하고, 나머지 변경은 월 단위로 표본 검토한다. 검토자는 변경을 수행하지 않은 제3자여야 한다.
검토 항목은 사유의 타당성, 근거 자료 첨부 여부, 승인 단계 준수, 반복 패턴 세 가지에 집중한다. 특정 분석자나 특정 항목에서 변경이 몰린다면 기록 문제가 아니라 공정 문제일 가능성이 크므로 근본원인 조사로 넘긴다.
검토 결과는 그 자체로 기록물이며 보존 기간과 접근 권한을 원기록과 동일하게 관리한다. 정도관리 감사추적성은 이 검토 기록까지 포함해야 완결된다.
백업과 복원 시험도 같이 묶는다. 영속성과 이용가능성 요건은 보관 매체가 살아 있다는 확인 없이는 충족되었다고 말하기 어렵다.
관련해서 정도관리 데이터 수정·삭제 정당성 4단계 — 근거·기록·승인·추적 글도 참고할 만하다.
정리와 실무 체크포인트
정도관리 감사추적성 구축은 범위 확정, 필드 설계, 승인·근거 체계, 검토 운영의 순서를 지킬 때 가장 적은 비용으로 정착한다. 순서를 건너뛰고 시스템부터 도입하면 기록 항목이 계속 바뀌면서 이력 자체의 일관성이 깨진다.
실무에서 가장 자주 발견되는 결함은 세 가지다. 원본값 덮어쓰기, 사유의 형식적 기재, 그리고 검토 절차 부재다. 이 세 가지만 막아도 지적 건수는 크게 줄어든다.
마지막으로 정도관리 감사추적성은 완성되는 상태가 아니라 유지되는 상태임을 전제로 한다. 인력·기기·시스템이 바뀔 때마다 권한과 필드 정의를 재확인하고, 변경 사유 코드의 분포를 정기적으로 되짚는 운영이 뒤따라야 한다.
감사추적성 최종 점검
- ✓변경 전 원본값이 별도로 남아 있는가
- ✓변경 사유가 코드와 상세 서술로 함께 기재되는가
- ✓근거 자료의 식별번호가 변경 레코드에 연결되는가
- ✓변경자와 검토자가 분리되어 있는가
- ✓감사추적 검토 기록이 원기록과 동일하게 보존되는가
- ✓백업 복원 시험이 주기적으로 수행되는가
