ISO 13485 위탁 제조사, 검증하는 방법

ISO 13485 인증이 실제로 보장하는 것

위탁 제조사가 ISO 13485 인증을 갖고 있다고 하면, 의료기기용으로 구축된 품질경영시스템을 운영하고 있고 인증기관이 그 시스템을 표준에 맞춰 심사했다는 뜻입니다. 거기까지입니다. 그 인증서가 귀사 제품까지 포함하는지, 그 시스템이 귀사가 필요로 하는 방식으로 돌아가는지는 인증서가 말해 주지 않습니다. 이 글은 그 간극, 그리고 대만에서 소싱할 때 이를 확인하는 방법을 다룹니다.

ISO 13485:2016은 의료기기의 설계, 생산, 설치, 서비스에 관여하는 조직을 위한 국제 품질경영 표준입니다. 다른 품질 표준과 달리 규제 요건을 축으로 짜여 있습니다. 개선을 위한 개선이 목적이 아니라, 고객 요구사항과 규제 요건을 모두 충족하는 기기를 일관되게 만들어 낼 수 있음을 입증하는 것이 목적입니다. 소싱 담당자 입장에서는 인증을 보는 눈이 달라지는 대목입니다. 귀사가 사는 것은 벽에 걸어 둘 명패가 아니라 문서화되고 심사 가능하며 추적 가능한 프로세스입니다.

ISO 13485 vs ISO 9001: 소싱에서 이 구분이 중요한 이유

둘 다 품질경영 표준이고, 한 공장이 둘 다 보유할 수 있습니다. 그렇다고 서로를 대신하지는 못합니다.

ISO 9001:2015는 산업을 가리지 않는 일반 품질 표준으로 지속적 개선과 고객 만족에 무게를 둡니다. ISO 13485:2016은 의료기기 전용이며, 효과적이고 문서화되고 규제에 부합하는 시스템을 유지하는 데 무게를 둡니다. 공급업체에게 무엇을 기대할 수 있는지가 갈리는 지점은 다음과 같습니다.

• 규제 부합성이 표준 안에 들어 있습니다. ISO 13485는 프로세스 전반에 적용되는 규제 요건을 조직이 직접 파악하고 충족하도록 요구합니다. ISO 9001에는 이 요구가 없습니다.
• 문서화가 더 무겁고, 선택 사항이 아닙니다. ISO 13485는 문서화된 절차를 요구하는 반면 ISO 9001은 상당 부분을 조직 재량에 맡깁니다. 규제 대상 기기에서 제품을 방어해 주는 것은 결국 그 문서입니다.
• 위험이 안전성·유효성과 직결됩니다. ISO 13485의 위험 기반 사고는 제품의 안전과 성능을 향하고, 의료기기 위험 관리 표준인 ISO 14971과 맞물려 돌아갑니다. ISO 9001의 위험 개념은 더 넓고 사업 쪽에 가깝습니다.
• 구조가 다릅니다. ISO 13485:2016은 ISO 9001:2015가 채택한 공통 “Annex SL” 구조 대신 기존의 상위 조항 구조를 유지했습니다. 그래서 두 표준은 조항끼리 나란히 대응되지 않습니다. 9001 하나로 의료 쪽까지 커버된다고 넘겨짚지 말고 두 인증을 따로 확인해야 하는 이유입니다.

정리하면 이렇습니다. 의료기기에 ISO 9001만으로는 부족합니다. 귀사 제품에 맞는 인증 범위를 가진 ISO 13485 인증 제조사가 필요합니다. ISO 13485와 ISO 9001을 함께 보유한 이중 인증 공급업체라면, 규제 대상 기기와 일반 가전 생산을 한 지붕 아래에서 소화할 수 있는 시스템을 갖췄다고 볼 수 있습니다.

추적성: 귀사가 실제로 값을 치르는 대상

추적성은 13485 시스템의 뼈대입니다. 완성된 기기 하나를 놓고 어떤 부품이 들어갔는지, 어떤 공정을 거쳤는지, 누가 그 공정을 했는지, 검사 결과는 어땠는지를 다시 짜맞출 수 있는 능력입니다.

ISO 13485는 추적성을 보장하는 기록을 남기도록 요구하고, 위험 등급이 높은 기기일수록 요건이 빡빡해집니다. 공급업체를 심사할 때 가장 깊게 파야 하는 항목이 여기입니다. 현장에서 문제가 터지거나 리콜이 걸렸을 때 귀사를 구해 주는 것이 추적성이기 때문입니다. 어느 배치에서 결함이 나왔을 때, 지금까지 나간 물량 전부가 아니라 해당 로트로 범위를 좁혀 주는 것도 추적성입니다.

심사 중에 확인하는 방법은 간단합니다. 완성품 하나나 최근 로트 번호 하나를 골라 거꾸로 되짚어 달라고 하십시오. 부품 로트 번호, 그 배치의 생산 기록, 사용 장비의 교정 상태, 검사 결과가 허둥대는 기색 없이 나와야 합니다. 귀사가 보는 앞에서 해내는 공급업체는 시스템이 실제로 돌아가는 곳입니다. “정리해서 나중에 보내드리겠다”고 한다면, 아직 존재하지 않는 시스템을 설명하고 있을 가능성을 염두에 두십시오.

기기 이력 기록(DHR)과 의료기기 파일

심사에 들어가기 전에 알아 둘 문서 개념이 두 가지 있습니다. 13485가 프로세스를 증거로 바꾸는 자리입니다.

**기기 이력 기록(DHR)**은 FDA의 오랜 품질 규정(21 CFR 820, 현재는 QMSR 아래에서 ISO 13485와 정합됨)에서 온 용어입니다. 완성 기기나 배치의 생산 기록을 가리키고, 그 기기가 마스터 기록에 따라 제조되었음을 입증하는 문서입니다. ISO 13485는 생산 기록과 의료기기 파일 요건을 통해 같은 지점에 도달합니다. 기기 유형이나 제품군마다 조직은 적합성을 입증하는 문서를 담거나 참조하는 파일을 유지합니다. 제조사가 미국 시장용 제품을 만든다면, ISO 용어를 쓰지 않더라도 그 생산 기록이 DHR 기대 수준에 닿는지 확인해 두는 편이 좋습니다.

의료기기 파일(ISO 13485 4.2.3항)은 기기 유형별 마스터 참조 문서입니다. 제품 사양, 제조 및 검사 절차, 해당되는 경우 설치와 서비스 요건까지 담깁니다. “이 기기는 이렇게 만들어져야 한다”가 여기에 있고, 생산 기록은 “이 배치는 실제로 이렇게 만들어졌다”는 증거입니다. 심사 때는 같은 제품에 대해 비식별 처리한 의료기기 파일 하나와 완료된 배치 기록 하나를 함께 요청해, 뒤쪽이 앞쪽을 따르고 있는지 맞춰 보십시오. 품질 문제는 대개 그 둘 사이의 간극에 숨어 있습니다.

설계 관리: 설계를 귀사가 소유하더라도

설계 관리는 기기를 요구사항에서 출발시켜 검증과 유효성 확인을 거쳐 양산 준비가 끝난 설계까지 끌고 가는 체계적 프로세스입니다. 설계 입력, 출력, 검토, 검증, 유효성 확인, 이관, 변경 관리가 전부 문서로 남습니다.

브랜드가 설계를 소유하고 공장은 만들기만 하니 설계 관리는 덜 중요하다고 보는 소싱 담당자가 많습니다. 그렇지 않습니다. 이유는 두 가지입니다. 첫째, 설계를 생산으로 옮기는 설계 이관 자체가 관리 대상 단계입니다. 이관을 서투르게 다루는 공장은 들어온 설계에는 없던 결함을 새로 만들어 냅니다. 둘째, 양산이 시작된 뒤 귀사가 요청하는 모든 엔지니어링 변경이 변경 관리를 통과합니다. 설계 관리가 성숙한 제조사는 개정 관리와 영향 평가를 붙여 변경 지시를 처리합니다. 그렇지 못한 곳은 임시방편으로 반영하고, 그 과정에서 추적성이 소리 없이 무너집니다.

위탁 제조사가 귀사를 위한 설계·개발 업무까지 맡는다면 전체 설계 관리 프로세스가 인증 범위에 들어와야 합니다. ISO 13485 인증서의 범위란에 “제조”만이 아니라 “설계 및 개발”이 적혀 있어야 한다는 뜻입니다.

CAPA와 불만 처리: 공장이 배우는 방식

품질 시스템의 수준은 실패를 다루는 수준을 넘지 못합니다. ISO 13485는 시정 및 예방 조치(CAPA)와 불만 처리 프로세스를 요구하는데, 제조사가 문제를 그저 닫아야 할 사건으로 보는지 배워야 할 데이터로 보는지가 여기서 드러납니다.

종결된 CAPA 기록을 하나 요청해 보십시오. 제대로 된 기록에는 문제, 근본 원인 분석, 시정 조치, 재발을 막는 예방 조치, 그리고 그 조치가 효과가 있었음을 누군가 검증했다는 증거가 들어 있습니다. 부실한 기록은 “문제” 다음 칸이 바로 “작업자 재교육”이고 중간이 비어 있습니다. 이 패턴이면 같은 결함이 다시 돌아옵니다. 불만 처리는 이렇게 물어보십시오. 귀사 시장에서 올라온 현장 불만이 어떤 경로로 공장 현장까지 내려오고, 그 대응이 어떻게 문서로 남는지. 규제 시장에서 판매되는 기기라면 이 연결 고리가 보고 의무와도 이어지므로 형식만 갖춰서는 안 됩니다.

내부 심사와 경영 검토

시스템이 스스로 돌아가는지, 고객이 지켜볼 때만 돌아가는지 알려 주는 13485 요건이 두 가지 있습니다. 내부 심사는 조직이 정해진 일정에 따라 표준에 비추어 스스로를 심사하는 것이고, 경영 검토는 경영진이 품질 데이터(심사 결과, 불만, CAPA 현황, 부적합)를 공식적으로 검토하고 그에 따라 조치하는 것입니다.

공급업체 심사에서는 내부 심사 일정과 최근 내부 심사 보고서를 요청하고, 마지막 경영 검토가 언제였는지 물어보십시오. 스스로를 정기적으로 심사하고 경영 검토가 실제 조치로 이어지는 공장은 자기 교정이 되는 시스템을 운영하는 곳입니다. 이런 것들이 빈 양식으로만 남아 있다면 인증서는 있어도 작동하는 QMS는 없는 셈이고, 그 차이는 결국 귀사 제품에서 드러납니다.

대만에서 소싱할 때 ISO 13485 위탁 제조사를 검증하는 방법

대만에는 ISO 13485 인증 제조사의 저변이 두텁습니다. 저변이 두터운 만큼 로고를 믿는 대신 검증 루틴이 필요합니다.

1. 인증서가 진짜이고 유효한지 확인하십시오. 인증서 번호, 인증기관, 그 배후의 인정 체계를 받아 두십시오. 인증기관의 등록부나 인증기관 통합 데이터베이스에 대조하고, 법인명이 귀사의 계약서와 일치하는지 확인하십시오.
2. 인증 범위를 읽으십시오. 귀사의 기기 유형과 필요한 업무(제조만인지, 설계·개발 및 제조인지)가 들어 있어야 합니다.
3. 추적성을 현장에서 심사하십시오. 로트 번호 하나를 골라 그 자리에서 거꾸로 되짚게 하십시오.
4. 문서를 실물과 대조하십시오. 같은 제품의 의료기기 파일과 실제 배치 기록을 나란히 놓고 비교하십시오.
5. 변경 관리를 시험하십시오. 엔지니어링 변경 지시가 시스템 안에서 어떻게 움직이고 누가 승인하는지 물어보십시오.
6. 규제 지원이 귀사의 시장과 맞는지 확인하십시오. 미국에 판매한다면 생산 기록이 DHR 기대 수준을 충족하는지 검증하고, 제출을 위해 어떤 문서 및 시험 지원을 제공하는지 물어보십시오.

대만 파트너를 고르는 더 넓은 이야기, 공장 견학 체크리스트와 위험 신호, IP 보호는 저희의 대만 의료기기 위탁 제조사 구매 가이드에 정리해 두었습니다.

저희는 이렇게 운영합니다

Gooten Innolife는 ISO 13485:2016과 ISO 9001:2015 인증을 보유하고 있으며, 모든 인증서는 검증 가능합니다. 요청하시면 직접 확인하실 수 있도록 번호를 드립니다. 대만 타이중에서 생산, R&D, 품질 보증을 한곳에 두고 제조하기 때문에 추적성 관련 질문과 엔지니어링 변경이 현장에서 정리됩니다.

품질 보증은 5단계 프로세스 전반에 걸쳐 이루어집니다. 생산 전·공정 중·최종 검사에 제3자 시험을 더합니다. CE, FCC, RoHS, PSE에 대한 규제 대응 경험을 갖추고 있고, FDA 제출을 위한 문서 및 시험 지원을 제공합니다. 지금까지 50개국 이상의 고객에게 1,000,000대 이상을 출하했으며, 그중에는 2008년부터 저희와 함께 4세대에 걸친 제품을 만들어 온 미국의 발모 기기 선도 브랜드가 있습니다.

저희의 품질 및 인증과 OEM/ODM 서비스 페이지에서 전체 그림을 보실 수 있습니다.

저희를 검증한 뒤 결정하십시오

ISO 13485 위탁 제조사를 검토하고 계신다면, 위 체크리스트에 저희를 한번 넣어 보십시오. 저희 엔지니어에게 문의하시고 기술적 세부 사항을 보내신 뒤, 돌아온 답변을 귀사 자체의 심사 기준에 비추어 확인해 보십시오.