세부 가이드라인 공표의 법적 근거: 사람용 의약품에 관한 공동체 규약에 관한 Directive 2001/83/EC 제47조 및 동물용 의약품에 관한 공동체 규약에 관한 Directive 2001/82/EC 제51조. 이 문서는 사람용 의약품에 대해서는 Directive 2003/94/EC, 동물용 의약품에 대해서는 Directive 91/412/EEC에 규정된 의약품 GMP(의약품 제조 및 품질관리기준)의 원칙과 가이드라인을 해석하기 위한 지침을 제공한다.

Legal basis for publishing the detailed guidelines: Article 47 of Directive 2001/83/EC on the Community code relating to medicinal products for human use and Article 51 of Directive 2001/82/EC on the Community code relating to veterinary medicinal products. This document provides guidance for the interpretation of the principles and guidelines of good manufacturing practice (GMP) for medicinal products as laid down in Directive 2003/94/EC for medicinal products for human use and Directive 91/412/EEC for veterinary use.

문서의 상태: 개정 1판

Status of the document: revision 1

개정 사유: 컴퓨터화 시스템의 사용이 늘고 그 복잡성이 커짐에 따라 이 Annex를 개정하였다. 이에 따른 GMP 가이드 제4장의 개정도 함께 제안된다.

Reasons for changes: the Annex has been revised in response to the increased use of computerised systems and the increased complexity of these systems. Consequential amendments are also proposed for Chapter 4 of the GMP Guide.

시행일: 2011년 6월 30일

Deadline for coming into operation: 30 June 2011

이 Annex는 GMP 규제 대상 활동의 일부로 사용되는 모든 형태의 컴퓨터화 시스템에 적용한다. 컴퓨터화 시스템은 함께 특정 기능을 수행하는 소프트웨어 및 하드웨어 구성 요소의 집합이다.

This annex applies to all forms of computerised systems used as part of a GMP regulated activities. A computerised system is a set of software and hardware components which together fulfill certain functionalities.

애플리케이션은 밸리데이션하여야 하고, IT 인프라는 적격성 평가를 하여야 한다.

The application should be validated; IT infrastructure should be qualified.

컴퓨터화 시스템이 수작업을 대체하는 경우, 그 결과로 제품 품질, 공정 관리 또는 품질보증이 저하되어서는 안 된다. 공정의 전체 위험이 증가하여서는 안 된다.

Where a computerised system replaces a manual operation, there should be no resultant decrease in product quality, process control or quality assurance. There should be no increase in the overall risk of the process.

위험관리는 환자 안전, 데이터 완전성 및 제품 품질을 고려하여 컴퓨터화 시스템의 수명주기 전반에 걸쳐 적용하여야 한다. 위험관리 체계의 일부로서, 밸리데이션 및 데이터 완전성 관리의 범위에 관한 결정은 컴퓨터화 시스템에 대한 타당하고 문서화된 위해성 평가에 근거하여야 한다.

Risk management should be applied throughout the lifecycle of the computerised system taking into account patient safety, data integrity and product quality. As part of a risk management system, decisions on the extent of validation and data integrity controls should be based on a justified and documented risk assessment of the computerised system.

공정 책임자(Process Owner), 시스템 책임자(System Owner), QP(Qualified Person), IT 부서 등 관련된 모든 인원 사이에 긴밀한 협력이 있어야 한다. 모든 인원은 부여된 업무를 수행하기 위한 적절한 자격, 접근 권한 수준 및 정해진 책임을 갖추어야 한다.

There should be close cooperation between all relevant personnel such as Process Owner, System Owner, Qualified Persons and IT. All personnel should have appropriate qualifications, level of access and defined responsibilities to carry out their assigned duties.

3.1 컴퓨터화 시스템 또는 관련 서비스를 제공, 설치, 구성, 통합, 밸리데이션, 유지(예: 원격 접속을 통한 유지), 변경 또는 보유하거나 데이터를 처리하기 위해 제3자(예: 공급업체, 서비스 제공업체)를 이용하는 경우, 제조업자와 해당 제3자 사이에 공식 계약이 있어야 하며, 이 계약에는 제3자의 책임에 관한 명확한 기술이 포함되어야 한다. IT 부서도 이와 같은 것으로 간주하여야 한다.

3.1 When third parties (e.g. suppliers, service providers) are used e.g. to provide, install, configure, integrate, validate, maintain (e.g. via remote access), modify or retain a computerised system or related service or for data processing, formal agreements must exist between the manufacturer and any third parties, and these agreements should include clear statements of the responsibilities of the third party. IT-departments should be considered analogous.

3.2 공급업체의 역량과 신뢰성은 제품 또는 서비스 제공업체를 선정할 때 핵심 요소이다. 점검(audit)의 필요성은 위해성 평가에 근거하여야 한다.

3.2 The competence and reliability of a supplier are key factors when selecting a product or service provider. The need for an audit should be based on a risk assessment.

3.3 상용 기성품(commercial off-the-shelf products)과 함께 제공되는 문서는 사용자 요구사항이 충족되는지 확인하기 위해 규제 대상 사용자가 검토하여야 한다.

3.3 Documentation supplied with commercial off-the-shelf products should be reviewed by regulated users to check that user requirements are fulfilled.

3.4 소프트웨어 및 구축된 시스템의 공급업체 또는 개발업체에 관한 품질시스템 및 점검 정보는 실태조사관이 요청하면 제공할 수 있어야 한다.

3.4 Quality system and audit information relating to suppliers or developers of software and implemented systems should be made available to inspectors on request.

4.1 밸리데이션 문서와 보고서는 수명주기의 관련 단계를 포괄하여야 한다. 제조업자는 위해성 평가에 근거하여 자사의 표준, 계획서, 허용기준, 절차 및 기록의 타당성을 입증할 수 있어야 한다.

4.1 The validation documentation and reports should cover the relevant steps of the life cycle. Manufacturers should be able to justify their standards, protocols, acceptance criteria, procedures and records based on their risk assessment.

4.2 밸리데이션 문서에는 변경관리 기록(해당되는 경우)과 밸리데이션 과정에서 관찰된 모든 일탈에 관한 보고서가 포함되어야 한다.

4.2 Validation documentation should include change control records (if applicable) and reports on any deviations observed during the validation process.

4.3 관련된 모든 시스템과 그 GMP 기능의 최신 목록(인벤토리)을 갖추고 있어야 한다.

4.3 An up to date listing of all relevant systems and their GMP functionality (inventory) should be available.

핵심 시스템에 대해서는 물리적·논리적 배치, 데이터 흐름, 다른 시스템 또는 공정과의 인터페이스, 하드웨어 및 소프트웨어 전제 조건, 보안 조치를 상세히 기술한 최신 시스템 설명서를 갖추고 있어야 한다.

For critical systems an up to date system description detailing the physical and logical arrangements, data flows and interfaces with other systems or processes, any hardware and software pre-requisites, and security measures should be available.

4.4 사용자 요구사항 규격(URS)은 컴퓨터화 시스템에 요구되는 기능을 기술하여야 하며, 문서화된 위해성 평가와 GMP 영향에 근거하여야 한다. 사용자 요구사항은 수명주기 전반에 걸쳐 추적 가능하여야 한다.

4.4 User Requirements Specifications should describe the required functions of the computerised system and be based on documented risk assessment and GMP impact. User requirements should be traceable throughout the life-cycle.

4.5 규제 대상 사용자는 시스템이 적절한 품질경영시스템에 따라 개발되었음을 보장하기 위해 합리적인 모든 조치를 취하여야 한다. 공급업체는 적절하게 평가하여야 한다.

4.5 The regulated user should take all reasonable steps, to ensure that the system has been developed in accordance with an appropriate quality management system. The supplier should be assessed appropriately.

4.6 맞춤형(bespoke) 또는 사용자 맞춤(customised) 컴퓨터화 시스템을 밸리데이션하기 위해, 시스템의 모든 수명주기 단계에 대한 품질 및 성능 지표의 공식 평가와 보고를 보장하는 절차를 갖추어야 한다.

4.6 For the validation of bespoke or customised computerised systems there should be a process in place that ensures the formal assessment and reporting of quality and performance measures for all the life-cycle stages of the system.

4.7 적절한 시험 방법과 시험 시나리오의 근거를 제시하여야 한다. 특히 시스템(공정) 변수 한계, 데이터 한계 및 오류 처리를 고려하여야 한다. 자동화 시험 도구와 시험 환경은 그 적절성에 대한 문서화된 평가가 있어야 한다.

4.7 Evidence of appropriate test methods and test scenarios should be demonstrated. Particularly, system (process) parameter limits, data limits and error handling should be considered. Automated testing tools and test environments should have documented assessments for their adequacy.

4.8 데이터를 다른 데이터 형식이나 시스템으로 이전하는 경우, 밸리데이션에는 이 이전(migration) 과정에서 데이터의 값 및/또는 의미가 바뀌지 않았는지 확인하는 점검이 포함되어야 한다.

4.8 If data are transferred to another data format or system, validation should include checks that data are not altered in value and/or meaning during this migration process.

다른 시스템과 데이터를 전자적으로 주고받는 컴퓨터화 시스템은 위험을 최소화하기 위해 데이터의 정확하고 안전한 입력 및 처리를 위한 적절한 내장 점검 기능을 갖추어야 한다.

Computerised systems exchanging data electronically with other systems should include appropriate built-in checks for the correct and secure entry and processing of data, in order to minimize the risks.

수동으로 입력하는 핵심 데이터에 대해서는 데이터의 정확성을 추가로 점검하여야 한다. 이 점검은 제2의 작업자가 하거나 밸리데이션된 전자적 수단으로 할 수 있다. 시스템에 잘못되거나 부정확하게 입력된 데이터의 중요도와 그로 인한 잠재적 결과는 위험관리에서 다루어야 한다.

For critical data entered manually, there should be an additional check on the accuracy of the data. This check may be done by a second operator or by validated electronic means. The criticality and the potential consequences of erroneous or incorrectly entered data to a system should be covered by risk management.

7.1 데이터는 물리적 수단과 전자적 수단 모두로 손상으로부터 보호하여야 한다. 저장된 데이터는 접근성, 가독성 및 정확성을 점검하여야 한다. 보존 기간 내내 데이터에 접근할 수 있도록 보장하여야 한다.

7.1 Data should be secured by both physical and electronic means against damage. Stored data should be checked for accessibility, readability and accuracy. Access to data should be ensured throughout the retention period.

7.2 관련된 모든 데이터는 정기적으로 백업하여야 한다. 백업 데이터의 완전성과 정확성, 그리고 데이터 복원 능력은 밸리데이션 중에 점검하고 주기적으로 모니터링하여야 한다.

7.2 Regular back-ups of all relevant data should be done. Integrity and accuracy of back-up data and the ability to restore the data should be checked during validation and monitored periodically.

8.1 전자적으로 저장된 데이터의 명확한 인쇄본을 얻을 수 있어야 한다.

8.1 It should be possible to obtain clear printed copies of electronically stored data.

8.2 배치 출하를 뒷받침하는 기록에 대해서는 최초 입력 이후 데이터가 변경되었는지를 표시하는 출력물을 생성할 수 있어야 한다.

8.2 For records supporting batch release it should be possible to generate printouts indicating if any of the data has been changed since the original entry.

위해성 평가에 근거하여, GMP와 관련된 모든 변경 및 삭제의 기록(시스템이 생성하는 “감사 추적”)을 생성하는 기능을 시스템에 내장하는 것을 고려하여야 한다. GMP 관련 데이터를 변경하거나 삭제하는 경우 그 사유를 문서화하여야 한다. 감사 추적은 열람할 수 있고 일반적으로 이해할 수 있는 형태로 변환할 수 있어야 하며, 정기적으로 검토하여야 한다.

Consideration should be given, based on a risk assessment, to building into the system the creation of a record of all GMP-relevant changes and deletions (a system generated "audit trail"). For change or deletion of GMP-relevant data the reason should be documented. Audit trails need to be available and convertible to a generally intelligible form and regularly reviewed.

시스템 구성을 포함하여 컴퓨터화 시스템의 모든 변경은 정해진 절차에 따라 관리된 방식으로만 하여야 한다.

Any changes to a computerised system including system configurations should only be made in a controlled manner in accordance with a defined procedure.

컴퓨터화 시스템은 밸리데이션된 상태를 유지하고 GMP에 적합한지 확인하기 위해 주기적으로 평가하여야 한다. 이러한 평가에는 해당되는 경우 현재의 기능 범위, 일탈 기록, 사고, 문제점, 업그레이드 이력, 성능, 신뢰성, 보안 및 밸리데이션 상태 보고서가 포함되어야 한다.

Computerised systems should be periodically evaluated to confirm that they remain in a valid state and are compliant with GMP. Such evaluations should include, where appropriate, the current range of functionality, deviation records, incidents, problems, upgrade history, performance, reliability, security and validation status reports.

12.1 컴퓨터화 시스템에 대한 접근을 권한이 있는 사람으로 제한하기 위한 물리적 및/또는 논리적 관리 수단을 갖추어야 한다. 시스템에 대한 무단 접근을 막는 적절한 방법으로는 열쇠, 출입 카드, 비밀번호가 있는 개인 코드, 생체 인식, 컴퓨터 장비 및 데이터 저장 구역에 대한 출입 제한 등을 사용할 수 있다.

12.1 Physical and/or logical controls should be in place to restrict access to computerised system to authorised persons. Suitable methods of preventing unauthorised entry to the system may include the use of keys, pass cards, personal codes with passwords, biometrics, restricted access to computer equipment and data storage areas.

12.2 보안 관리의 범위는 컴퓨터화 시스템의 중요도에 따라 달라진다.

12.2 The extent of security controls depends on the criticality of the computerised system.

12.3 접근 권한의 생성, 변경 및 취소는 기록하여야 한다.

12.3 Creation, change, and cancellation of access authorisations should be recorded.

12.4 데이터 및 문서 관리 시스템은 데이터를 입력, 변경, 확인 또는 삭제하는 작업자의 신원을 날짜 및 시간과 함께 기록하도록 설계하여야 한다.

12.4 Management systems for data and for documents should be designed to record the identity of operators entering, changing, confirming or deleting data including date and time.

시스템 고장과 데이터 오류뿐 아니라 모든 사고(incident)를 보고하고 평가하여야 한다. 핵심 사고의 근본 원인을 규명하여야 하며, 이를 시정 및 예방 조치의 근거로 삼아야 한다.

All incidents, not only system failures and data errors, should be reported and assessed. The root cause of a critical incident should be identified and should form the basis of corrective and preventive actions.

전자 기록에는 전자적으로 서명할 수 있다. 전자서명은 다음을 충족하여야 한다.

Electronic records may be signed electronically. Electronic signatures are expected to:

인증 및 배치 출하를 기록하는 데 컴퓨터화 시스템을 사용하는 경우, 시스템은 QP만 배치 출하를 인증할 수 있도록 하여야 하며, 배치를 출하하거나 인증하는 사람을 명확히 식별하고 기록하여야 한다. 이는 전자서명을 사용하여 하여야 한다.

When a computerised system is used for recording certification and batch release, the system should allow only Qualified Persons to certify the release of the batches and it should clearly identify and record the person releasing or certifying the batches. This should be performed using an electronic signature.

핵심 공정을 지원하는 컴퓨터화 시스템의 가용성을 위해, 시스템 고장 시 해당 공정에 대한 지원의 연속성을 보장하는 대비책(예: 수동 시스템 또는 대체 시스템)을 마련하여야 한다. 대체 수단을 가동하는 데 필요한 시간은 위험에 근거하여야 하며, 해당 시스템과 그 시스템이 지원하는 업무 공정에 적절하여야 한다. 이러한 대비책은 적절히 문서화하고 시험하여야 한다.

For the availability of computerised systems supporting critical processes, provisions should be made to ensure continuity of support for those processes in the event of a system breakdown (e.g. a manual or alternative system). The time required to bring the alternative arrangements into use should be based on risk and appropriate for a particular system and the business process it supports. These arrangements should be adequately documented and tested.

데이터는 장기 보관(아카이빙)할 수 있다. 이 데이터는 접근성, 가독성 및 완전성을 점검하여야 한다. 시스템(예: 컴퓨터 장비 또는 프로그램)에 관련 변경을 하려는 경우, 데이터를 다시 불러올 수 있는 능력을 보장하고 시험하여야 한다.

Data may be archived. This data should be checked for accessibility, readability and integrity. If relevant changes are to be made to the system (e.g. computer equipment or programs), then the ability to retrieve the data should be ensured and tested.