ISO 13485 위탁 제조사, 검증하는 방법

ISO 13485 인증이 실제로 보장하는 것

위탁 제조사가 ISO 13485 인증을 갖고 있다고 하면, 의료기기용으로 구축된 품질경영시스템을 운영하고 있고 인증기관이 그 시스템을 표준에 맞춰 심사했다는 뜻입니다. 거기까지입니다. 그 인증서가 귀사 제품까지 포함하는지, 그 시스템이 귀사가 필요로 하는 방식으로 돌아가는지는 인증서가 말해 주지 않습니다. 이 글은 그 간극, 그리고 대만에서 소싱할 때 이를 확인하는 방법을 다룹니다.

ISO 13485:2016은 의료기기의 설계, 생산, 설치, 서비스에 관여하는 조직을 위한 국제 품질경영 표준입니다. 다른 품질 표준과 달리 규제 요건을 축으로 짜여 있습니다. 개선을 위한 개선이 목적이 아니라, 고객 요구사항과 규제 요건을 모두 충족하는 기기를 일관되게 만들어 낼 수 있음을 입증하는 것이 목적입니다. 소싱 담당자 입장에서는 인증을 보는 눈이 달라지는 대목입니다. 귀사가 사는 것은 벽에 걸어 둘 명패가 아니라 문서화되고 심사 가능하며 추적 가능한 프로세스입니다.

ISO 13485 vs ISO 9001: 소싱에서 이 구분이 중요한 이유

둘 다 품질경영 표준이고, 한 공장이 둘 다 보유할 수 있습니다. 그렇다고 서로를 대신하지는 못합니다.

ISO 9001:2015는 산업을 가리지 않는 일반 품질 표준으로 지속적 개선과 고객 만족에 무게를 둡니다. ISO 13485:2016은 의료기기 전용이며, 효과적이고 문서화되고 규제에 부합하는 시스템을 유지하는 데 무게를 둡니다. 공급업체에게 무엇을 기대할 수 있는지가 갈리는 지점은 다음과 같습니다.

• 의료기기에 적용되는 규제 범위. 기기, 시장, 공급업체의 활동에 적용되는 요건을 파악하십시오. FDA의 QMSR 개요는 ISO 13485가 적용 가능한 FDA 조항과 함께 미국 의료기기 품질 시스템 요건에 어떻게 반영되는지 설명합니다. 일반적인 ISO 9001 인증서만으로 이러한 의료기기 요건의 충족을 입증할 수는 없습니다.
• 문서화가 더 무겁고, 선택 사항이 아닙니다. ISO 13485는 문서화된 절차를 요구하는 반면 ISO 9001은 상당 부분을 조직 재량에 맡깁니다. 규제 대상 기기에서 제품을 방어해 주는 것은 결국 그 문서입니다.
• 위험이 안전성·유효성과 직결됩니다. ISO 13485의 위험 기반 사고는 제품의 안전과 성능을 향하고, 의료기기 위험 관리 표준인 ISO 14971과 맞물려 돌아갑니다. ISO 9001의 위험 개념은 더 넓고 사업 쪽에 가깝습니다.
• 구조가 다릅니다. ISO 13485:2016은 ISO 9001:2015가 채택한 공통 “Annex SL” 구조 대신 기존의 상위 조항 구조를 유지했습니다. 그래서 두 표준은 조항끼리 나란히 대응되지 않습니다. ISO 13485는 독립적인 표준이며, 조항 구조가 다르다고 해서 두 인증을 모두 보유해야 한다는 보편적 요건이 생기는 것은 아닙니다. 귀사의 시장과 계약에 적용되는 표준 및 인증 조건을 확인하십시오.

소싱할 때는 공급업체의 문서화된 활동, 인증 범위, 실제 기록을 귀사가 맡기려는 업무와 대조하십시오. 인증 요건은 시장과 계약에 따라 달라질 수 있습니다. FDA의 QMSR FAQ는 FDA가 ISO 13485 인증서를 요구하지 않으며, 인증서가 있어도 FDA 실사를 면제받지 않는다고 설명합니다. 인증서가 하나든 두 개든, 그것만으로 귀사 기기의 규정 준수가 입증되거나 특정 사업장이 무엇을 제조하는지 확인되는 것은 아닙니다.

추적성: 귀사가 실제로 값을 치르는 대상

추적성은 기기와 수행 업무에 대해 정한 범위 안에서 관련 제품, 생산 및 검사 기록을 연결합니다. 어떤 부품·자재 로트, 공정 기록, 유통 정보를 연결해야 하는지 합의하고 그 연결을 어떻게 유지하는지 확인하십시오.

필요한 추적성의 범위는 기기, 적용되는 규제 요건, 합의된 프로젝트 관리 기준에 따라 정하십시오. 시장에서 발생한 문제의 조사 범위는 실제 기록과 결함 증거를 사용해 결정하십시오. 추적성은 영향을 받는 제품을 파악하는 데 도움이 되지만, 결함이 한 로트에만 국한된다거나 모든 관련 기록에 동일한 상세 수준이 요구된다는 보장은 아닙니다.

심사 중에 확인하는 방법은 간단합니다. 완성품 하나나 최근 로트 번호 하나를 골라 거꾸로 되짚어 달라고 하십시오. 부품 로트 번호, 그 배치의 생산 기록, 사용 장비의 교정 상태, 검사 결과가 허둥대는 기색 없이 나와야 합니다. 귀사가 보는 앞에서 해내는 공급업체는 시스템이 실제로 돌아가는 곳입니다. “정리해서 나중에 보내드리겠다”고 한다면, 아직 존재하지 않는 시스템을 설명하고 있을 가능성을 염두에 두십시오.

기기 이력 기록(DHR)과 의료기기 파일

심사에 들어가기 전에 알아 둘 문서 개념이 두 가지 있습니다. 13485가 프로세스를 증거로 바꾸는 자리입니다.

기기 이력 기록(DHR)은 FDA의 과거 품질 시스템 규정에서 사용하던 용어입니다. 2026년 2월 2일부터는 품질경영시스템 규정(QMSR)이 시행되고 있습니다. 최종 규칙의 답변 31에서 FDA는 DHR, DMR, DHF의 개별 용어와 기록 유형 요건을 삭제했습니다. 그 기반 요소의 상당 부분이 ISO 13485의 4.2절과 7절에 포함되기 때문입니다. 과거 DHR의 많은 요소는 7.5.1절에 따른 기기 또는 배치 기록에 요구됩니다. 기록 보관 의무가 사라진 것은 아닙니다. 미국 관련 업무에서는 현재 절차와 기록이 적용되는 QMSR 요건을 어떻게 충족하고 이전 기록이 그 요건에 어떻게 대응하는지 물어보십시오. 과거의 폴더 이름만으로는 규정 준수가 입증되지 않으며, 이번 변경 자체가 모든 이전 기록의 이름을 바꾸도록 요구하는 것도 아닙니다.

의료기기 파일(ISO 13485 4.2.3항)은 기기 유형별 마스터 참조 문서입니다. 제품 사양, 제조 및 검사 절차, 해당되는 경우 설치와 서비스 요건까지 담깁니다. “이 기기는 이렇게 만들어져야 한다”가 여기에 있고, 생산 기록은 “이 배치는 실제로 이렇게 만들어졌다”는 증거입니다. 심사 때는 같은 제품에 대해 비식별 처리한 의료기기 파일 하나와 완료된 배치 기록 하나를 함께 요청해, 뒤쪽이 앞쪽을 따르고 있는지 맞춰 보십시오. 품질 문제는 대개 그 둘 사이의 간극에 숨어 있습니다.

설계 관리: 설계를 귀사가 소유하더라도

설계 관리는 기기를 요구사항에서 출발시켜 검증과 유효성 확인을 거쳐 양산 준비가 끝난 설계까지 끌고 가는 체계적 프로세스입니다. 설계 입력, 출력, 검토, 검증, 유효성 확인, 이관, 변경 관리가 전부 문서로 남습니다.

설계를 소유하는 것과 제조 변경을 관리하는 것은 서로 다른 책임입니다. 생산을 시작하기 전에 설계 이관, 승인된 개정본, 변경 평가와 릴리스를 누가 관리하는지 합의하십시오. 공급업체에는 맡은 업무가 설계 소유자의 관리된 정보와 어떻게 연결되는지 보여 달라고 요청하십시오. 검토할 활동과 증거는 단순히 설계의 소유자가 누구인지가 아니라 실제 업무 분담과 적용 요건에 따라 달라집니다.

공급업체가 설계·개발을 수행한다면 품질 시스템의 범위와 기록이 그 담당 활동을 포함하는지 확인하고, 주장하는 적용 제외나 비적용 항목도 검토하십시오. FDA 최종 규칙의 답변 45는 QMSR의 설계·개발 요건이 기기별로 어떻게 적용되는지 설명하며 규제 당국이 허용하는 문서화된 적용 제외를 인정합니다. 귀사의 규제 담당팀과 요건을 확인하십시오. 인증서의 특정 문구가 범위, 책임, 기록의 확인을 대신할 수는 없습니다.

CAPA와 불만 처리: 공장이 배우는 방식

품질 시스템의 수준은 실패를 다루는 수준을 넘지 못합니다. ISO 13485는 시정 및 예방 조치(CAPA)와 불만 처리 프로세스를 요구하는데, 제조사가 문제를 그저 닫아야 할 사건으로 보는지 배워야 할 데이터로 보는지가 여기서 드러납니다.

종결된 CAPA 기록을 요청하고 문제, 즉시 수행한 수정이나 봉쇄 조치, 원인 분석, 선택한 조치, 문제와 위험에 적절한 효과성 증거를 살펴보십시오. 시정 조치는 실제 부적합과 그 원인을 다루고, 예방 조치는 잠재적 부적합을 다룹니다. FDA 최종 규칙의 답변 20은 이 구분을 유지합니다. 작업자 재교육만 적힌 기록은 원인과 효과성에 대한 질문을 해소하지 못하지만, 그 기록만으로 결함이 재발할 것이라고 입증할 수는 없습니다. 불만 처리에 관해서는 정보가 담당팀에 어떻게 전달되는지, 대응을 어떻게 기록하는지, 적용 가능한 보고 기준에 해당하는지를 어떻게 평가하는지 물어보십시오.

내부 심사와 경영 검토

시스템이 스스로 돌아가는지, 고객이 지켜볼 때만 돌아가는지 알려 주는 13485 요건이 두 가지 있습니다. 내부 심사는 조직이 정해진 일정에 따라 표준에 비추어 스스로를 심사하는 것이고, 경영 검토는 경영진이 품질 데이터(심사 결과, 불만, CAPA 현황, 부적합)를 공식적으로 검토하고 그에 따라 조치하는 것입니다.

공급업체 심사에서는 내부 심사 일정과 최근 내부 심사 보고서를 요청하고, 마지막 경영 검토가 언제였는지 물어보십시오. 스스로를 정기적으로 심사하고 경영 검토가 실제 조치로 이어지는 공장은 자기 교정이 되는 시스템을 운영하는 곳입니다. 이런 것들이 빈 양식으로만 남아 있다면 인증서는 있어도 작동하는 QMS는 없는 셈이고, 그 차이는 결국 귀사 제품에서 드러납니다.

대만에서 소싱할 때 ISO 13485 위탁 제조사를 검증하는 방법

대만에는 ISO 13485 인증 제조사의 저변이 두텁습니다. 저변이 두터운 만큼 로고를 믿는 대신 검증 루틴이 필요합니다.

1. 인증서가 진짜이고 유효한지 확인하십시오. 인증서 번호, 인증기관, 그 배후의 인정 체계를 받아 두십시오. 인증기관의 등록부나 인증기관 통합 데이터베이스에 대조하고, 법인명이 귀사의 계약서와 일치하는지 확인하십시오.
2. 인증 범위를 읽으십시오. 귀사의 기기 유형과 필요한 업무(제조만인지, 설계·개발 및 제조인지)가 들어 있어야 합니다.
3. 추적성을 현장에서 심사하십시오. 로트 번호 하나를 골라 그 자리에서 거꾸로 되짚게 하십시오.
4. 문서를 실물과 대조하십시오. 같은 제품의 의료기기 파일과 실제 배치 기록을 나란히 놓고 비교하십시오.
5. 변경 관리를 시험하십시오. 엔지니어링 변경 지시가 시스템 안에서 어떻게 움직이고 누가 승인하는지 물어보십시오.
6. 규제 지원이 귀사의 시장과 맞는지 확인하십시오. 미국 관련 업무에서는 공급업체의 현재 절차와 생산 기록이 적용되는 QMSR 요건을 어떻게 충족하는지, 이전 기록은 어떻게 대응시키는지 물어보십시오. 합의된 업무 범위에 포함된 제조 문서와 시험 지원을 확인하십시오.

대만 파트너를 고르는 더 넓은 이야기, 공장 견학 체크리스트와 위험 신호, IP 보호는 저희의 대만 공급업체 평가 가이드에 정리해 두었습니다.

저희는 이렇게 운영합니다

Gooten Innolife는 ISO 13485:2016과 ISO 9001:2015 인증을 보유하고 있으며, 모든 인증서는 검증 가능합니다. 요청하시면 직접 확인하실 수 있도록 번호를 드립니다. 대만 타이중에서 생산, R&D, 품질 보증을 한곳에 두고 제조하기 때문에 추적성 관련 질문과 엔지니어링 변경이 현장에서 정리됩니다.

품질 보증은 5단계 프로세스 전반에 걸쳐 이루어집니다. 생산 전·공정 중·최종 검사에 제3자 시험을 더합니다. CE, FCC, RoHS, PSE에 대한 규제 대응 경험을 갖추고 있고, FDA 제출을 위한 문서 및 시험 지원을 제공합니다. 지금까지 50개국 이상의 고객에게 1,000,000대 이상을 출하했으며, 그중에는 2008년부터 저희와 함께 4세대에 걸친 제품을 만들어 온 미국의 발모 기기 선도 브랜드가 있습니다.

저희의 품질 및 인증과 OEM/ODM 서비스 페이지에서 전체 그림을 보실 수 있습니다.

저희를 검증한 뒤 결정하십시오

ISO 13485 위탁 제조사를 검토하고 계신다면, 위 체크리스트에 저희를 한번 넣어 보십시오. 저희 엔지니어에게 문의하시고 기술적 세부 사항을 보내신 뒤, 돌아온 답변을 귀사 자체의 심사 기준에 비추어 확인해 보십시오.