컴퓨터화 시스템 밸리데이션 (CSV, Computer System Validation)이라는 말, 취업 준비나 실무에서 한 번쯤 들어보셨을 텐데요. LIMS나 HPLC 소프트웨어처럼 품질 데이터를 다루는 시스템이 “의도한 대로 정확히 작동한다”는 것을 어떻게 증명할까요? 바로 이 활동이 컴퓨터화 시스템 밸리데이션입니다. 최근 EU GMP Annex 11 개정과 미국 FDA의 CSA 가이던스 최종 확정으로 이 분야가 다시 주목받고 있는데요. 본 포스팅에서는 CSV의 정의, GAMP 5 기반 접근, 적격성평가 (Qualification) 흐름, 그리고 CSV에서 CSA로의 전환이 QC/QA 실무와 면접에 어떤 의미인지까지 차근차근 알아보겠습니다.
컴퓨터화 시스템 밸리데이션 (CSV)이란 무엇인가
컴퓨터화 시스템 밸리데이션은 컴퓨터화 시스템 (Computerised System)이 정해진 용도대로 일관되게 작동하고, 그 결과 생성되는 데이터가 신뢰할 수 있음을 문서로 입증하는 활동입니다. 여기서 “문서로 입증한다”는 부분이 핵심입니다. 실무에서 GMP의 대원칙은 “기록하지 않으면 하지 않은 것 (Not documented, not done)”이기 때문입니다.
규제 근거는 명확합니다. 유럽은 EU GMP Annex 11 (컴퓨터화 시스템), 미국은 21 CFR Part 11 (전자기록·전자서명), 국내는 식약처의 의약품 제조 및 품질관리 기준 (GMP) 밸리데이션 관련 조항이 컴퓨터화 시스템의 밸리데이션을 요구합니다. 즉, 제조·시험·품질 판정에 쓰이는 시스템이라면 밸리데이션은 선택이 아니라 의무입니다.
왜 이렇게까지 할까요? 품질관리 (QC) 실험실을 떠올려 보시면 됩니다. 함량시험 (Assay) 결과를 계산하는 소프트웨어에 오류가 있다면, 규격 (Specification)을 벗어난 제품이 적합 판정을 받고 시장에 나갈 수 있습니다. 반대로 정상 제품이 부적합으로 폐기될 수도 있습니다. 시스템의 신뢰성이 곧 환자 안전과 직결되는 것입니다.
GAMP 5로 이해하는 CSV: 소프트웨어 분류와 리스크
CSV를 이야기할 때 빠지지 않는 것이 GAMP 5 (Good Automated Manufacturing Practice 5)입니다. 국제제약기술협회 (ISPE)가 발간한 사실상의 업계 표준 가이드로, 2022년 2판 (2nd Edition)이 나오면서 “리스크 기반 접근”과 “비판적 사고 (Critical Thinking)”가 한층 강조되었습니다.
GAMP 5의 출발점은 소프트웨어를 위험도에 따라 분류하는 것입니다. 모든 시스템에 똑같은 노력을 쏟지 말고, 위험이 큰 곳에 검증 자원을 집중하자는 취지입니다.
- 카테고리 1 — 기반 소프트웨어 (Infrastructure): 운영체제, 데이터베이스 엔진 등. 자체 밸리데이션보다 적격성평가 대상.
- 카테고리 3 — 비설정 제품 (Non-configured): 설정 없이 그대로 쓰는 상용 소프트웨어 (COTS).
- 카테고리 4 — 설정 제품 (Configured): 사용자가 파라미터를 설정해 쓰는 시스템 (예: LIMS, 크로마토그래피 데이터 시스템).
- 카테고리 5 — 맞춤형 (Custom/Bespoke): 자사 요구에 맞춰 개발한 프로그램. 위험이 가장 크므로 검증 강도도 최고 수준.
▶ 그렇다면 엑셀 (Excel) 스프레드시트도 밸리데이션 대상인가요? 네, 그렇습니다. 시험 결과를 계산하거나 판정에 사용하는 수식이 들어간 스프레드시트라면 GxP 데이터를 생성하는 시스템으로 보아 밸리데이션 대상이 됩니다. “단순 계산기니까 괜찮다”는 생각은 실사 (Inspection)에서 지적으로 이어지기 쉽습니다.
V-모델과 적격성평가 (IQ/OQ/PQ) 실무 흐름
CSV의 뼈대는 V-모델 (V-Model)입니다. 왼쪽에서 요구사항을 정의하고, 오른쪽에서 그 요구사항이 충족되는지를 단계별로 확인하는 구조입니다. 실무 흐름을 간단히 정리하면 다음과 같습니다.
- URS (사용자 요구사항 명세): 이 시스템으로 무엇을 하고 싶은지 정의.
- FS/DS (기능·설계 명세): 요구를 만족하는 기능과 설계를 규정.
- DQ (설계적격성평가): 설계가 URS에 부합하는지 확인.
- IQ (설치적격성평가): 시스템이 규격대로 올바르게 설치되었는지 확인.
- OQ (운전적격성평가): 정해진 운영 범위에서 기능이 제대로 작동하는지 확인.
- PQ (성능적격성평가): 실제 운영 환경에서 일관되게 성능을 내는지 확인.
구체적인 예를 들어 보겠습니다. 품질관리 실험실에 새 크로마토그래피 데이터 시스템 (CDS)을 도입한다고 가정해 볼게요. URS 단계에서 “점검 기록 (Audit Trail) 기능이 있어야 하고, 사용자별 권한 분리가 가능해야 한다”를 요구사항으로 못 박습니다. IQ에서는 서버와 소프트웨어가 사양대로 깔렸는지, OQ에서는 권한이 없는 사용자가 결과를 수정하지 못하는지, PQ에서는 실제 시험 배치를 돌려 데이터가 정확히 산출되는지를 확인합니다. 이렇게 해야 나중에 데이터 완전성 (Data Integrity) 문제가 생겼을 때 “우리는 시스템을 신뢰할 근거를 갖추고 있다”고 말할 수 있습니다.
밸리데이션은 한 번으로 끝나지 않습니다. 소프트웨어 업그레이드, 서버 이전, 설정 변경이 생기면 변경관리 (Change Control) 절차에 따라 영향 평가를 하고 필요한 범위만큼 재밸리데이션을 수행합니다. 또한 주기적 재검토 (Periodic Review)로 시스템이 여전히 밸리데이션 상태를 유지하는지 점검합니다.
CSV에서 CSA로 — 2026년, 무엇이 달라졌나
최근 이 분야의 가장 큰 변화는 “CSV에서 CSA로”의 흐름입니다. 미국 FDA는 컴퓨터 소프트웨어 보증 (CSA, Computer Software Assurance) 가이던스를 2025년 9월 최종 확정했고, 2026년 2월 갱신본을 공개했습니다. 2022년 초안 이후 오랜 기다림 끝에 정식 가이던스가 된 것입니다.
CSA의 문제의식은 이렇습니다. 그동안 많은 회사가 CSV를 “산더미 같은 문서 작성”으로 오해해, 실제 위험 감소보다 서류 자체에 매달렸습니다. CSA는 여기에 제동을 겁니다. 위험이 낮은 기능은 가볍게(비각본 테스트, 임시 테스트 등), 위험이 높은 기능은 엄격하게 다루라는 “리스크 기반·최소 부담 (Least-burdensome)” 원칙을 강조합니다. 핵심은 문서량이 아니라 비판적 사고입니다.
다만 유의할 점이 있습니다. FDA의 CSA 가이던스는 본래 의료기기 생산·품질경영 시스템 소프트웨어 (21 CFR Part 820)를 대상으로 합니다. 그러나 “밸리데이션에서 보증(Assurance)으로”라는 철학은 제약 전반의 컴퓨터화 시스템 관리에도 빠르게 확산되고 있습니다. 앞서 다룬 EU GMP Annex 11 개정과 Annex 22 신설 흐름과 함께 보면, 규제 당국 모두가 “형식적 검증”이 아니라 “실질적 위험 관리와 데이터 완전성”으로 무게중심을 옮기고 있음을 알 수 있습니다.
▶ 그럼 이제 CSV는 안 해도 되나요? 아닙니다. CSA는 CSV를 없애는 것이 아니라, CSV를 더 똑똑하게 하는 방법입니다. 여전히 IQ/OQ/PQ와 문서는 필요하며, 다만 어디에 얼마나 힘을 줄지를 위험도로 결정하라는 것입니다.
QC/QA 취업·면접에 어떻게 쓰이나
취업을 준비하시는 분이라면 CSV는 “알아두면 좋은” 개념이 아니라 “면접에서 나올 수 있는” 개념입니다. 특히 품질 보증 (QA)이나 밸리데이션 직무 지원자라면 더욱 그렇습니다.
면접에서 자주 나오는 방향을 정리하면 이렇습니다. 첫째, “CSV가 무엇이고 왜 필요한가”라는 정의형 질문입니다. 이때는 규제 근거(Annex 11, Part 11)와 데이터 완전성 연결까지 언급하면 좋습니다. 둘째, “IQ와 OQ의 차이는?” 같은 단계 구분 질문입니다. 설치가 제대로 됐는지(IQ)와 기능이 제대로 도는지(OQ)로 명확히 구분해 답하시면 됩니다. 셋째, 최신 동향을 묻는 질문, 즉 “CSV와 CSA의 차이를 아느냐”입니다. 여기서 2025년 FDA CSA 최종 확정과 리스크 기반 접근을 언급하면 “최신 규제 흐름을 따라가는 지원자”라는 인상을 줄 수 있습니다.
실무 관점에서도 CSV는 QC/QA 신입이 가장 먼저 마주치는 업무 중 하나입니다. 새로 도입한 장비의 소프트웨어 적격성평가 문서를 검토하거나, 기존 시스템의 주기적 재검토에 참여하는 식입니다. 개념을 정확히 이해해 두면 입사 후 실무 적응이 훨씬 빨라집니다.
마지막으로 핵심을 정리하겠습니다. 컴퓨터화 시스템 밸리데이션 (CSV)은 시스템이 의도한 대로 작동함을 문서로 입증해 데이터의 신뢰성을 확보하는 활동입니다. GAMP 5의 소프트웨어 분류와 리스크 기반 접근, V-모델 기반의 IQ/OQ/PQ가 그 뼈대이며, 최근에는 FDA CSA 가이던스 최종 확정(2025~2026)으로 “문서량보다 위험 관리”라는 방향이 분명해졌습니다. QC/QA를 준비하신다면 정의·단계 구분·최신 CSA 동향 세 가지를 함께 정리해 두시기 바랍니다.
밸리데이션 개념을 더 넓게 잡고 싶으시다면 분석법 밸리데이션 (AMV) 포스팅과, 실험실 시스템 도입 배경을 다룬 LIMS 도입 이유 포스팅을 함께 참고하시면 도움이 됩니다. 규제 원문은 FDA CSA 가이던스 원문에서 확인하실 수 있습니다.