CSV란 무엇인가
DEFINITION컴퓨터 시스템 밸리데이션(CSV)은 제약·바이오 기업이 GxP 업무에 쓰는 컴퓨터 시스템이 의도한 대로 일관되게 동작한다는 것을 문서화된 증거로 입증하는 활동입니다.
CSV는 소프트웨어 품질 테스트와 다릅니다. 테스트는 결함을 찾는 일이지만, CSV는 규제기관(FDA, EMA 등)의 요구사항에 따라 문서화된 증거(Documented Evidence)를 남기는 것이 핵심입니다. 요구사항 정의, 위험 평가, 설치·운영·성능 적격성 평가(IQ·OQ·PQ), 종결 보고까지 시스템 수명주기 전체에 걸쳐 수행합니다.
왜 필요한가
제조실행시스템(MES)이 배치 기록을 잘못 승인하거나, 실험실정보관리시스템(LIMS)이 시험 결과를 틀리게 계산하면 그 영향은 의약품을 복용하는 환자에게 돌아갑니다. CSV는 환자의 안전과 의약품의 품질을 지키기 위해, 시스템이 맞게 동작한다는 사실을 미리 증명해 두는 절차입니다.
규제 실사에서는 "시스템이 잘 돌아간다"는 설명이 아니라 그 사실을 보여 주는 기록을 요구합니다. 검증 기록이 없거나 추적되지 않으면 경고장(Warning Letter), 승인 지연, 제조 중단으로 이어질 수 있습니다.
주요 규제와 가이드라인
21 CFR Part 11
전자 기록과 전자 서명에 관한 규정입니다. 감사 추적(Audit Trail), 접근 통제, 전자 서명의 구속력이 핵심입니다.
Annex 11
컴퓨터화 시스템(Computerised Systems)에 관한 EU GMP 가이드라인 부속서입니다. 위험 관리, 공급자 관리, 데이터 무결성 요구사항을 다룹니다.
GAMP 5 (2nd Edition)
위험 기반 검증의 사실상 표준 가이드입니다. 소프트웨어 카테고리, 수명주기, 공급자 활용 개념을 제시하며 2022년 2판이 나왔습니다.
Computer Software Assurance
생산·품질 시스템 소프트웨어에 대한 위험 기반 보증 가이던스입니다. 2022년 9월 초안, 2025년 9월 24일 최종본이 발표되었습니다.
ALCOA+ 원칙
데이터 무결성(Data Integrity)을 판단하는 9가지 기준입니다. 검증된 시스템이라도 기록이 이 기준을 만족하지 못하면 실사에서 지적됩니다.
GAMP 5 소프트웨어 카테고리
카테고리가 올라갈수록 시스템이 업무에 맞춰 바뀌는 정도가 커지고, 검증 범위와 테스트 깊이도 늘어납니다. 카테고리 2(펌웨어)는 GAMP 5에서 폐지되었습니다.
| 카테고리 | 설명 | 예시 | 검증 초점 |
|---|---|---|---|
| Cat. 1 | 인프라 소프트웨어 | 운영체제, 데이터베이스, 미들웨어 | 설치 확인과 구성 관리 |
| Cat. 3 | 비구성 제품 | 설정 변경 없이 쓰는 표준 소프트웨어 | 의도한 용도에 맞는지 확인 |
| Cat. 4 | 구성 제품 | LIMS, ERP, QMS처럼 설정으로 업무에 맞추는 제품 | 설정 내용과 업무 프로세스 검증 |
| Cat. 5 | 맞춤형 소프트웨어 | 자체 개발 코드, 맞춤 인터페이스 | 설계·코드 검토를 포함한 전체 수명주기 |
검증 수명주기 (V-모델)
왼쪽에서 요구사항을 정의하고 내려가며 설계하고, 오른쪽에서 올라가며 각 단계를 짝지어 검증합니다. 사용자 요구사항은 성능 적격성 평가(PQ)로, 기능 명세는 운영 적격성 평가(OQ)로, 설계 명세는 설치 적격성 평가(IQ)로 확인합니다.
핵심 산출물
| 문서 | 이름 | 역할 |
|---|---|---|
| VMP · VP | 밸리데이션 마스터 플랜 · 계획서 | 범위, 책임, 접근 방식, 승인 기준을 정의 |
| URS | 사용자 요구사항 명세 | 업무와 규제 관점에서 시스템이 해야 할 일을 기술 |
| FS · DS | 기능 명세 · 설계(구성) 명세 | 요구사항을 시스템 기능과 설정으로 구체화 |
| RA · FRA | 위험 평가 · 기능 위험 평가 | GxP 영향과 위험도에 따라 테스트 강도를 결정 |
| IQ · OQ · PQ | 설치 · 운영 · 성능 적격성 평가 | 프로토콜과 보고서로 시스템이 요구사항을 충족함을 입증 |
| RTM | 추적성 매트릭스 | 요구사항부터 테스트 결과까지 양방향으로 연결 |
| VSR | 밸리데이션 종결 보고서 | 모든 활동과 일탈을 종합하고 운영 사용을 승인 |
CSV와 CSA 비교
| 구분 | CSV (전통 검증) | CSA (위험 기반 보증) |
|---|---|---|
| 중심 질문 | 모든 요구사항이 문서로 증명되었는가 | 위험이 높은 기능에 충분한 확신이 있는가 |
| 테스트 방식 | 스크립트 테스트 중심 | 위험에 따라 스크립트·비스크립트·탐색적 테스트 혼합 |
| 문서 | 상세 프로토콜과 단계별 증적 | 위험 판단 근거와 결과 요약 중심, 공급사 기록 활용 |
| 적합한 대상 | ERP, MES, LIMS 같은 GxP 핵심 시스템 | 중·저위험 기능, 생산·품질 지원 소프트웨어 |
두 방식은 대립하지 않습니다. HQ-Tech는 시스템과 기능별 위험에 따라 두 방식을 섞어 검증을 설계합니다. 더 궁금한 점은 자주 묻는 질문에서 확인하세요.
