귀속성(Attributable) — 서명만 있으면 되는 게 아닌 이유

식약처 「첨단바이오의약품 데이터 완전성 안내서 [민원인 안내서]」는 알코아(ALCOA)++(귀속성·가독성·동시성·원본성·정확성 등 데이터 완전성 원칙을 영문 머리글자로 묶은 것)를 설명하면서 Attributable을 '귀속성'으로 표기합니다. 기록이나 데이터를 누가, 언제 만들었고 바꿨는지 특정인에게 연결할 수 있어야 한다는 뜻으로 풀어 쓸 수 있습니다.

흔히 귀속성을 '서명'과 같은 말로 섞어 씁니다. 하지만 기록 끝의 서명 한 번으로는 충분하지 않습니다. 공용 계정으로 입력한 값, 이니셜만 남긴 수정, 다른 사람이 대신 적은 기록은 서명란이 채워져 있어도 귀속성이 끊깁니다.

가까운 용어는 기초 자료(Raw Data)와 메타데이터입니다. 기초 자료의 값만 옮기고 작성자, 일시, 수정 사유 같은 메타데이터가 빠지면 값은 남아도 누구의 기록인지 알 수 없게 됩니다. 원본에서 검증된 사본으로 옮길 때도 마찬가지입니다. 값뿐 아니라 누가 언제 남겼는지를 보여 주는 정보가 함께 따라가야 합니다.

예시 (가상의 상황입니다) 한 제조소의 품질관리(QC) 시험실에서 두 명이 같은 분석 장비 계정을 함께 쓰고 있었습니다. 어느 날 시험 결과의 적분 조건이 바뀐 것이 확인되었지만, 점검기록(감사추적)에는 공용 계정 이름만 남아 있었습니다. 시험자별 계정을 만들고 공용 계정을 막은 뒤에야 변경자와 변경 시각이 각각 기록되었습니다. 이후 결과를 보고서로 옮길 때도 작성자와 일시 정보를 함께 남기도록 절차를 고쳤습니다.

오늘 확인할 것

• 시스템 계정이 한 사람에게 하나씩 부여되어 있고, 공용 계정은 막혀 있는지
• 수정한 기록에 수정자, 일시, 사유가 남는지
• 기록을 사본이나 보고서로 옮길 때 작성자와 일시 정보도 함께 옮겨지는지

서명이 있는 기록이 아니라, 누가 남겼는지 끝까지 따라갈 수 있는 기록이어야 합니다.