공급자 데이터 완전성은 서류로 끝나지 않습니다 — PI 041-1 #7.8.4

지난 11월 10일 FDA가 게시한 경고장(11월 3일 발행) 하나는 실사 없이 기록 요청(FD&C Act #704(a)(4))만으로 발행됐는데, 지적의 중심은 시험 데이터가 아니라 공급자 관리였습니다. 중국의 한 원료의약품 제조소에 대해 FDA는 품질부서가 주요 원료 공급자를 적절히 평가하지 못했다("failed to adequately qualify your suppliers of critical raw materials")고 적었고, "Your oversight of your suppliers is deficient"라고 못 박았습니다.

이 지적을 읽는 기준은 PIC/S PI 041-1(2021-07-01 시행)에 이미 있습니다. #7.8.4는 요약 데이터를 받아들이기 전에 공급자의 품질시스템과 데이터 완전성 원칙 준수를 평가해 두어야 한다고 하면서 한 문장을 덧붙입니다. "It is not normally acceptable nor possible to determine compliance with data integrity principles through the use of a desk-top or similar assessment." 책상 위 서류 검토만으로 데이터 완전성 준수를 판단하는 것은 통상 허용되지도, 가능하지도 않다는 뜻입니다. #7.8.4.1은 외부 공급자라면 품질위험관리 관점에서 중요하다고 판단될 때 현장 감사로 확인하되, 감사는 데이터의 진위와 함께 요약 데이터·보고서가 만들어지고 배포되는 방식까지 검토해야 한다고 합니다. #5.3.1은 위탁자(Contract Giver)가 수탁자의 데이터 관리 정책과 통제 전략을 검토하고, 그 주기를 서비스의 중요도에 따라 정하라고 합니다. 컴퓨터화 시스템을 외부에 맡겨도 책임은 규제 대상 업체에 남습니다(#9.1.10).

성적서(CoA)는 공급자가 만든 요약 데이터입니다. 그 숫자를 믿을 근거는 성적서 자체가 아니라, 그 숫자를 만든 공급자의 체계를 우리가 확인했다는 기록입니다.

오늘 확인할 것

• 공급자 평가 기록에 데이터 완전성 항목이 있는지 — 점검기록(감사추적), 접근 권한, 기초 자료(Raw Data) 보관처럼 요약 데이터가 만들어지는 과정을 봤는지, 인증서와 설문지로 끝났는지.
• 원료·위탁시험·유틸리티 공급자 가운데 서류 평가만으로 승인된 곳이 어디인지, 그중 현장 감사가 필요한 곳을 품질위험관리로 가려냈는지.
• 품질 계약에 데이터 완전성 통제와 정본(true copy) 전달 책임이 있는지(#7.7.6), 재평가 주기가 중요도에 따라 정해져 있는지.

공급자 평가는 서류를 모으는 일이 아니라, 숫자가 만들어진 자리를 확인하는 일입니다.