CRO 재위탁 통보를 받으면 스폰서는 무엇을 확인해야 하나

재위탁 통보에서 확인할 것은 실제 업무와 감독의 연결

다국가 의약품 임상을 맡긴 한국 제약·바이오 기업이 수탁 CRO로부터 중앙검사실이나 데이터관리 업무를 제3의 전문 기관에 재위탁했다는 통보(또는 사후 보고)를 받았다고 하자. 임상운영 담당자는 비용 승인이나 단순 서류 수령보다 먼저 누가 언제부터 어떤 일을 실제로 수행했는지 확인해야 한다. 계약서에 적힌 주계약 CRO의 이름, 검사 결과지에 찍힌 실제 검사실, 데이터가 저장된 시스템의 운영사가 서로 다를 수 있기 때문이다. 이 글의 판단 대상은 재위탁 통보 이후 업무와 증거의 연결을 복구하고 스폰서의 감독 책임을 온전히 확보하는 일이다.

우선 네 칸으로 된 업무 지도를 만든다. 실제 수행기관과 시설 위치, 해당 기관에 맡긴 구체적 기능, 주계약 CRO가 검토하는 산출물, 스폰서가 판단해야 하는 품질 이슈를 나란히 적는다. 사전에 구두나 이메일로 알렸다는 사실만으로 적격성 평가나 자료 직접접근이 확인되는 것은 아니다. 반대로 사전 서면 승인 절차가 누락되었다는 사정만으로 수행된 시험 데이터 전체를 무효로 단정할 수도 없다. 적용되는 관할 규정의 요구와 당사자 간 체결한 계약의 절차를 분리해서 점검해야 한다.

재위탁 감독 원칙은 E6(R3)에서 처음 등장한 내용이 아니다. 2016년 ICH E6(R2) 5.2.2의 추가 문구는 스폰서가 계약한 CRO의 재위탁 활동을 포함하여 스폰서를 대신해 수행되는 시험 관련 업무의 감독을 확보하도록 했다. 5.2.3은 구체적으로 이관되고 인수되지 않은 업무가 스폰서에게 남는다고 설명한다. 오래된 계약을 검토할 때도 해당 시험에 적용된 기준과 당시의 감독 기록을 함께 대조할 이유다.

ICH가 저작권을 보유한 가이드라인의 다음 조항들은 한국어로 풀어 설명한 것이다. E6(R3) 2025년판은 2025년 1월 6일 채택되고 10월 24일 오류가 수정됐다. 2026년 6월 16일 통합 최종본에도 재위탁 감독 원칙이 유지된다. Annex 1의 3.6.4는 서비스프로바이더에게 이관되고 인수된 활동을 합의서에 기록하도록 하며, 구체적으로 이관·인수되지 않은 활동은 스폰서에게 남긴다. 3.6.6은 참여자의 권리·안전·복지와 시험 자료의 신뢰성을 포함한 스폰서 활동의 궁극적 책임이 스폰서에게 있음을 설명한다. 서비스프로바이더는 적절한 품질관리를 하고 참여자 안전이나 시험 결과에 영향을 줄 수 있는 사고를 스폰서에게 보고해야 한다. 3.6.9의 감독 범위는 서비스프로바이더가 다시 위탁한 활동을 포함한 중요한 시험 관련 활동이다.

3.6.7과 3.6.8은 서비스프로바이더의 적합성 평가·선정과 감독에 필요한 표준작업지침서(SOP)·성과지표 등 관련 정보 접근을 다룬다. 3.6.3(d)는 모니터링·감사·규제기관 실태조사 등을 허용하는 합의를 확보하도록 하며, 여기에는 서비스프로바이더의 근거자료와 시설에 대한 직접접근도 포함된다. Appendix C의 필수기록 표에는 중요한 시험 관련 활동을 수행하는 서비스프로바이더의 선정·평가·감독 문서가 포함된다. 따라서 통보를 받은 스폰서는 계약의 존재뿐 아니라 맡긴 업무에 맞는 평가와 실제 자료 접근 경로를 함께 확인해야 한다.

아래 도식은 이 원칙을 재위탁 통보 후의 점검에 적용한 업무·증거 흐름이다. 실제 역할 분담은 체결 계약과 수행 기록으로 확인한다. 하위 계약으로 전달하는 의무와 권리(flow-down), 수행 결과의 보고 경로, 미결 항목의 판단 주체를 연결해 두면 어느 단계에서 증거가 부족한지 찾기 쉽다. 도식 자체가 특정 계약 방식이나 하위 기관의 규제상 지위를 정하지는 않는다.

flowchart TD
  subgraph Sponsor["스폰서 (궁극적 책임 보유)"]
    S1["위탁 업무 범위 확정"]
    S2["감독 계획 및 품질 검토"]
    S3["미결 항목 종료 판단"]
  end
  subgraph MainCRO["주계약 CRO (의무 인수)"]
    C1["하위 기관 적격성 평가"]
    C2["하위 계약 체결 및 조항 전달"]
    C3["일상 모니터링 및 성과 보고"]
  end
  subgraph SubVendor["하위 수행기관 (실제 수행)"]
    V1["검사·데이터 등 실무 수행"]
    V2["원자료 보관 및 시설 접근 제공"]
    V3["일탈·사고 통보"]
  end
  S1 -->|"서면 위탁 합의"| C1
  C1 -->|"flow-down 계약"| V1
  V1 -->|"실행 결과·원자료"| C3
  C3 -->|"보고서·성과지표"| S2
  V2 -.->|"직접접근·실태조사"| S2
  V3 -->|"긴급 이슈 보고"| C2
  C2 -->|"에스컬레이션"| S3

미국 IND에서는 서면 이관의 범위부터 확인한다

미국 FDA에 IND를 제출하고 진행하는 다국가 임상시험이라면 21 CFR 312.52의 서면 이관 요건이 기본 출발점이다. 312.52(a)는 스폰서 의무의 CRO 이관을 서면으로 명확히 기술하도록 요구하며, 모든 의무를 일괄 이관한다는 일반적 진술(general statement)이 있는 경우를 제외하고는 서면에 구체적으로 기술되지 않은 모든 의무는 스폰서에게 그대로 유보된다고 본다. 312.52(b)는 의무를 인수한 CRO에 대해 해당 규정을 준수할 의무를 지우며, 스폰서와 동일한 규제 조치 및 제재 대상이 된다고 명시한다.

여기서 21 CFR 312.3은 CRO를 스폰서와의 독립 계약자로서 스폰서 의무 하나 이상을 인수하는 자로 정의한다. 예로 시험계획서 설계, 시험의 선정·모니터링, 보고서 평가, FDA 제출 자료 준비를 든다. 하위 벤더의 명칭만으로 이 정의에 해당한다고 결론 내릴 수는 없다. 스폰서와의 계약 관계, 실제 인수한 의무, 312.52에 따른 서면의 범위를 함께 검토해야 한다.

예를 들어 기기 대여나 시약 공급을 맡았다는 사실만으로 스폰서의 규제 의무까지 인수했다고 볼 수는 없다. 반대로 계약 명칭이 단순 용역이라고 해도 실제로 어떤 의무를 맡았는지 확인해야 한다. 하위 기관이 주계약 CRO와만 계약한 경우의 법적 지위와 책임 연결은 이 두 조문만으로 자동 확정하지 말고 규제·법무 담당자가 구체적 계약 구조를 검토한다. 스폰서의 중요한 하위 위탁 활동 감독이라는 ICH 원칙은 별도로 점검한다.

FDA의 리스크 기반 모니터링 가이던스 Section VI.C는 IND 시험의 모니터링 의무를 CRO에 이관할 때 312.52에 따른 서면이 필요하다고 설명한다. 동시에 해당 모니터링 업무에 대한 스폰서의 감독 책임을 밝히고, CRO의 규정·계약 준수 여부를 지속적으로 평가하도록 권고한다. 그 방법의 예는 모니터링 보고서와 성과·품질지표의 주기적 검토, 모니터링 진행과 발견 사항에 대한 문서화된 의사소통이다. 이는 모니터링 위임에 관한 설명이며 모든 하위 용역의 승인 절차나 고정 검토 주기를 정한 규정은 아니다.

한편 FDA는 2025년 9월 ICH E6(R3)를 최종 가이던스로 채택했다(FDA E6(R3) 최종 가이던스, Docket FDA-2023-D-1955). FDA 가이던스는 규제기관의 현재 관점을 제시하는 권고적 성격이며 법적 구속력을 갖는 21 CFR 규정과 그 지위가 구분된다. 미국 임상에서 스폰서의 법적 준수 기준은 Part 312의 조문이며, E6(R3)와 모니터링 가이던스는 그 규제 요건을 충족하기 위한 우수 실무 지침으로 기능한다.

한국 KGCP: 위탁 문서와 관리책임을 대조한다

한국에서 약사법 제34조에 따라 수행되는 의약품 임상시험에 적용되는 기준은 「의약품 등의 안전에 관한 규칙」 [별표 4] 「의약품 임상시험 관리기준」(KGCP)이다. 국가법령정보센터에서 확인되는 현행 KGCP 전문은 2022년 12월 7일 개정 별표 4이며, 이를 위임하는 모규칙은 2026년 3월 5일 시행 총리령 제2100호로 부분 개정되어 유효하게 시행 중이다.

현행 KGCP 제8호 나목은 네 가지 내용을 구분한다. 1)은 의뢰자 업무의 전부 또는 일부를 수탁기관에 위탁할 수 있지만 자료 품질과 정확성에 대한 관리책임은 의뢰자가 진다고 정한다. 2)는 수탁기관의 품질보증·자료 품질관리 의무, 3)은 위탁할 구체적 업무를 적은 문서 요건, 4)는 수탁기관이 이 기준에 따라 인수 업무를 수행할 의무다. 이는 현행 별표 4 제8호 나목을 요약한 것으로, ICH의 궁극적 책임이라는 표현을 한국 조문의 직접 인용으로 바꿔 쓰지 않아야 한다.

제2호 조목의 CRO 정의는 임상시험과 관련된 의뢰자의 임무·역할 일부 또는 전부를 대행하기 위해 의뢰자로부터 계약에 의해 위임받은 개인이나 기관을 가리킨다. 제10호 가목은 식약처장이 진행 중이거나 종료된 임상시험에서 의뢰자·수탁기관·실시기관의 기준 준수 여부를 실태조사할 수 있도록 한다. 제2호 무목의 실태조사 정의에는 시험기관·의뢰자·수탁기관 등의 시설·문서·기록을 현장에서 공식적으로 조사하는 행위가 포함된다.

대조한 2019년판과 현행 별표 4의 제8호 나목은 CRO 위탁의 문서화와 책임을 정하지만, CRO가 하위 기관을 쓰는 모든 경우에 적용할 사전 승인 절차를 별도로 제시하지는 않는다. 이 범위의 확인을 한국 약사법령·고시 전체에 재위탁 관련 요건이 없다는 결론으로 확대할 수는 없다. 통보를 받은 담당자는 해당 시험의 승인 조건과 적용 규정, 체결 계약을 함께 확인하고 사전 통보·승인, 업무범위 변경, 자료 접근의 구체적 절차를 문서로 연결한다.

2022년 개정: SMO 관련 삭제 조항과 남아 있는 감독 의무

2019년 12월 6일 개정 별표 4 구판의 제8의2호 가목은 지원기관이 코디네이터를 배치할 때 실시기관의 장과 문서 계약을 체결하도록 했다. 다목은 지원기관의 의뢰자로부터의 재정 등 지원 수령과 수탁기관의 지원기관 역할 수행을 제한했다. 제5호 나목 11)·12)는 실시기관의 장에게 지원기관·배치인력 평가와 문서 계약을 요구했다. 이는 과거 문언의 설명이며 현재의 금지 조항으로 인용하면 안 된다.

2022년 12월 7일 개정 현행 별표 4의 제8의2호에는 소속 인력의 교육·훈련 프로그램 등을 운영해 위임 업무를 적절히 수행하도록 관리한다는 내용이 남아 있다. 구 가목의 문서 계약 요건과 다목의 재정 지원·역할 제한 문구는 이 호에 없다. 제5호 나목 11)·12)는 삭제로 표시되고, 제2호 쿠목의 지원기관 정의에서도 실시기관의 장과의 계약이라는 한정이 빠졌다. 이 문언 변화만으로 모든 계약·자금 구조가 허용된다고 판단해서는 안 된다.

시험책임자의 감독 의무는 현행 문서에도 남아 있다. 제7호 가목 5)·7)와 나목 5)·6)는 지원기관 배치인력에 대한 위임, 명단 유지, 수행 업무 감독, 능력과 교육 이수 확인을 다룬다. 특히 나목 5)·6)의 감독·능력 확인은 2019년판에도 있어 모두 2022년에 신설된 의무라고 설명하면 부정확하다. 스폰서는 CRO를 통한 위탁과 시험책임자가 현장 인력에게 하는 위임을 구분하고, 현장의 위임·감독 기록이 실제 업무와 맞는지 확인한다.

구판을 걸러내는 기준은 자료실 게시일보다 첨부 문서의 개정 일자다. 전북대학교병원 임상약리센터의 2021년 9월 2일 자료실 게시물에는 2019년 12월 6일 개정판의 머리글이 보인다. 이는 구판이 공개 자료실에 남아 있는 한 사례이며 병원 전체의 계약 관행을 뜻하지 않는다. 현재 검토에서는 국가법령정보센터의 모규칙 버전과 별표 머리글을 함께 대조한다. 오래된 계약 당시의 적법성이나 개정 시행일·경과규정을 판단하려면 당시 법령과 부칙을 별도로 확인해야 한다.

이대목동병원 임상시험센터의 공개 계약 확인 문서는 신규 계약 검토 서류에 CRO와의 업무합의서를 해당 시 제출하도록 안내한다. CRO 업무범위를 기재하거나 의뢰자-CRO 업무협약서를 첨부하라는 내용과 의뢰자의 CRO 계약 모니터링 항목도 있다. 발행일이 명확하지 않은 단일 기관 자료이므로 현재 모든 병원의 필수 접수 요건으로 일반화하지 않는다. 해당 실시기관의 최신 안내를 확인하면서 스폰서-CRO 위탁 문서와 병원 계약의 업무범위가 맞는지 점검하는 참고 사례로 쓸 수 있다.

계약서에서 가를 것: 규제 의무·계약 조건·상업적 가정

계약 검토에서는 적용 법령의 의무와 가이드라인의 권고, 당사자 간 합의한 통제, 아직 확인하지 않은 운영 가정을 나누어 적는다. 같은 접근권이라는 말도 규제기관의 조사 권한, 스폰서가 확보할 합의, 실제 자료 제공 방식에서 의미가 다르다. 아래 구분은 검토를 돕는 방법이며 어느 시장의 법적 지위를 통일하는 분류는 아니다.

• 법령·가이드라인 근거: 미국 312.52의 서면 이관, 한국 KGCP 제8호 나목의 구체적 위탁 문서와 자료 관리책임, ICH E6(R3)의 합의·중요 활동 감독·직접접근 권고를 각각의 관할과 법적 지위에 맞추어 대조한다.

• 계약에서 구체화할 통제: 재위탁 통보·승인 절차, 필요한 평가 자료의 제공 범위, 하위 계약의 관련 조항 전달, 기록 접근과 보관·이관 방법. 귀책과 배상 범위는 협상·법무 검토 사안이며 정해진 비율을 보편 기준으로 삼지 않는다.

• 상업적 가정(Commercial Assumptions): 주계약 CRO가 유명 글로벌 기업이므로 하위 벤더 관리도 완벽할 것이라는 기대, 벤더 평가를 마쳤을 것이라는 추정, 통보 이메일 한 통으로 규제적 승인이 완성되었다는 실무적 착각.

한국 식약처의 임상시험계획 승인 대상 시험에서는 규칙 제24조 제1항 제7호도 확인한다. 신청 자료에는 임상시험실시기관·임상시험검체분석기관, 시험자 및 수탁기관 등에 관한 자료가 포함된다. 실제 수행기관이 달라졌다면 제출 자료와 승인 조건을 대조하는 것이 검토의 출발점이다. 모든 하위 용역 변경이 곧 승인 위반이거나 변경승인 대상이라고 단정하지 말고, 기관의 법령상 역할과 변경 내용에 따라 승인·보고 요건을 규제팀이 확인한다.

계약 대조표에는 조항의 존재와 실행 여부를 따로 적는 것이 좋다. 예를 들어 사전 서면 승인을 정한 조항이 있더라도 실제 승인 기록이 없을 수 있고, 자료 직접접근 조항이 있어도 하위 보유기관의 담당 창구가 정해지지 않았을 수 있다. 이 경우 조항 확인, 누락 경위 조사, 필요한 보완조치, 이미 수행된 업무의 품질 판단을 서로 다른 미결 항목으로 관리한다. 법률 실무 블로그의 계약 팁을 법령상 의무의 근거로 쓰지 않는다.

상위 계약의 필요한 조건을 하위 계약에 연결하는 flow-down은 상위 계약 전문을 토씨 하나 틀리지 않고 복사하라는 뜻이 아니다. 위탁된 기능에 해당하는 GCP 요구사항, 기록 보존 기간, 비밀유지, 그리고 규제기관 실태조사나 스폰서 점검 시 필요한 접근 권한이 하위 계약에 실질적으로 반영되어 있어야 한다.

주계약 CRO가 영업비밀을 이유로 하위 계약 전문의 제공을 거절한다면, 비용 등 민감한 부분을 가린 사본이나 필요한 GCP·접근 조항의 발췌본으로 확인할 수 있는지 협의한다. 그러나 준수 확약서 한 장이 실제 자료 접근의 대체물이 되는 것은 아니다. 누가 어느 자료를 언제 어떤 방식으로 제공하는지, 해당 기관이 그 방식을 받아들이는지까지 확인하고 남은 접근 제한을 기록한다. 필요한 정보나 접근이 끝내 확보되지 않으면 중요도에 맞춰 QA·규제 담당자에게 올려 판단한다.

이미 재위탁이 시작됐다면 증거와 보완조치를 연결한다

사후 통보를 받았다면 기능별 자료 요청 목록을 만든다. 아래 항목은 ICH의 적합성 평가, 중요한 활동 감독, 필수기록 원칙을 실무에 적용한 예다. 모든 기관에 같은 인증서나 현장 감사를 요구하는 법정 서식은 아니다. 우선 참여자 안전이나 중요 자료의 신뢰성에 영향을 줄 수 있는 미확인 항목을 식별하고 업무에 필요한 증거부터 요청한다.

• 수행기관 식별·적합성: 실제 법인명과 시설 위치, 맡긴 업무를 수행할 인력·시설 역량, 해당 업무와 관할에서 필요한 인허가·인증 또는 다른 적합성 증거, CRO의 평가 범위와 선정 기록.

• 업무범위 및 프로토콜: 하위 기관이 인수한 구체적 검사 항목·시스템 모듈, 사용된 표준작업지침서(SOP), 분석법 밸리데이션 보고서, 버전 관리 현황.

• 자료 흐름 및 접근성: 검체 수령부터 결과 보고까지의 데이터 경로, 원자료 보관 위치, 스폰서 감사 및 규제 실태조사 시 현장 방문 및 원자료 직접열람 보장 확인.

• 이슈 에스컬레이션: 시험 진행 중 발생한 일탈, 장비 오류, 데이터 쿼리에 대한 주계약 CRO의 검토 및 스폰서 보고 이력, 조치 완료 증빙.

2025년 8월 18일 메디게이트뉴스의 LSK 이영작 대표 인터뷰는 국내 제약사가 ADC 전문 미국 CRO에 맡긴 과제가 다시 국내 CRO에 위탁되는 형태를 언급한다. 이는 한 인터뷰에서 제시한 사례 설명이며 재위탁의 빈도나 국내 업계 전체의 관행을 입증하는 통계가 아니다. 특정 시험에서 역위탁이 있었다고 가정할 때도 실제 업무와 보고 경로는 해당 계약·수행 기록으로 확인해야 한다.

이러한 역위탁 구조에서는 기관의 명성보다 실제 의사결정과 보고 경로의 연결이 핵심이다. 국내 실시기관에서 발생한 안전성 문제나 프로토콜 일탈이 국내 하위 CRO를 거쳐 미국의 주계약 CRO로, 다시 한국 스폰서로 돌아오는 과정에서 보고 지연이나 병목이 없는지 점검해야 한다. 특히 국내 식약처 실태조사가 실시기관과 국내 수탁기관에 나올 때 관련 기록과 업무합의서가 현장에 준비되어 있는지 확인해야 한다.

감독 기록에서는 보고서 수령과 그에 대한 판단을 구분한다. 업무에 맞는 성과·품질지표와 모니터링 결과를 검토하고, 이상 징후가 있다면 질문·조치 요청·후속 확인을 연결해 남기는 방식이다. 이는 E6(R3) 3.6.9의 적절한 감독과 FDA 모니터링 가이던스 VI.C를 적용한 실무 예다. 검토 간격과 깊이는 시험의 위험과 발견 사항에 따라 정하며, 동일한 회의 주기나 서명 양식 자체가 충분한 감독을 증명하는 것은 아니다.

E6(R3) Appendix C의 필수기록 표에는 중요한 시험 관련 활동을 수행하는 서비스프로바이더의 선정·평가·감독 문서가 포함된다. 기록의 보관 주체와 위치, 접근 방법을 정해 시험 수행과 의사결정을 재구성할 수 있어야 한다. 모든 하위 기관 문서의 원본을 스폰서 TMF 한곳으로 옮겨야 한다는 뜻은 아니다. 다른 시스템이나 기관에 보관한다면 필요한 기록을 찾아 열람·제출할 수 있는 연결 정보를 확보한다.

사후 통보 사례: 검사실 계약과 수행 기록이 다를 때

다음은 실제 사건이 아니라 점검 순서를 명확히 보여주기 위해 구성한 가상 사례다. 스폰서는 주계약 CRO에 중앙검사실 업무를 위탁했으나, 임상 중간 데이터 점검 중 특정 면역학적 바이오마커 분석을 제3의 전문 분석기관 B가 수행하고 있다는 사실을 뒤늦게 알게 되었다.

첫 단계는 분석기관 B를 즉시 승인 목록에 올려주는 것이 아니라 실제 수행 사실을 객관적으로 특정하는 일이다. B 기관이 맡은 구체적 분석 항목, 시작 시점, 처리된 검체 수, 적용된 분석법 SOP, 결과 데이터 전달 경로를 서면으로 요청한다.

두 번째 단계는 CRO의 B 기관 평가·선정 기록을 실제 수행 업무와 대조하는 것이다. 평가가 없거나 범위가 부족하다면 QA팀이 필요한 추가 평가와 임시 통제를 정한다. 지금 수행하는 적합성 평가는 당시 평가가 있었다는 증거로 소급할 수 없고, 이미 생성된 데이터의 신뢰성을 자동 확인해 주지도 않는다. 누락 경위와 과거 수행 자료의 영향 평가는 별도 항목으로 남긴다.

세 번째 단계는 원자료 및 시설에 대한 직접접근 경로 확인이다. 규제기관 실태조사나 스폰서 감사 시 B 기관의 분석실과 원자료에 직접 들어갈 수 있는지, 데이터 원본 및 장비 감사추적(audit trail)이 보존되어 있는지 B 기관의 서면 확약을 받는다.

네 번째 단계는 영향 평가(Impact Assessment)다. 이미 B 기관에서 처리된 검체 데이터가 주요 유효성·안전성 평가변수에 미치는 영향을 분석한다. 데이터에 오류나 편향이 없는지 확인될 때까지 해당 결과를 무조건 신뢰하지도, 반대로 과학적 검증 없이 폐기하지도 않는다.

마지막 단계는 향후 업무의 합의 보완과 규제 제출 자료의 정합성 확인이다. 필요한 변경 합의에 B 기관의 업무, 평가·보고 경로, 기록 보관과 접근 방법을 반영한다. 한국 승인 대상 시험이라면 규칙 제24조에 따른 제출 자료와 대조해 기관 변경의 승인·보고 요건을 규제팀이 확인한다. 새 계약을 체결했다는 이유만으로 이전 수행분의 영향 평가를 종료하지 않는다.

자료 접근 거절 사례: 계약 보완과 품질 판단을 나눈다

두 번째 가상 사례는 데이터관리 CRO가 전자자료수집(EDC) 시스템의 서버 호스팅 및 인프라 운영을 클라우드 전문업체 C사에 재위탁한 상황에서 발생한다. 스폰서가 시스템 보안 점검 및 데이터 감사추적 로그 전체를 요청했으나, C사가 "스폰서와의 직접 계약 관계가 없고 당사 독자 기술 및 타사 고객 정보가 섞여 있어 기밀 유지상 제공할 수 없다"며 접근을 거절했다.

이때 스폰서는 C사 전체의 서버 아키텍처나 타사 정보를 요구하는 것이 아니라, "해당 임상시험에 국한된 접속 로그, 데이터 변경 이력, 보안 패치 및 백업 기록"으로 요청 범위를 좁혀야 한다. 목적과 대상을 명확히 한 공식 요청서를 주계약 CRO를 통해 전달한다.

C사가 일반적인 보안 검토 보고서를 제공하더라도 해당 시험의 원자료·감사추적에 접근할 수 있다는 증거와는 구분한다. E6(R3) 3.6.10은 시험에 적합한 기존 품질관리 절차를 활용할 수 있다는 내용이며 직접접근 요건을 면제하는 조항은 아니다. 필요한 시험별 기록을 제공할 방법, 권한을 가진 열람자, 접근 제한의 근거를 CRO와 C사에 확인한다. 독립 검토를 활용한다면 검토 범위와 남는 공백을 명시하고 필요한 직접접근이 확보됐는지 별도로 판단한다.

운영을 계속할지 제한할지는 계약 협상만으로 결정하지 않는다. 스폰서의 임상·의학·QA 담당자는 참여자 안전에 필요한 자료가 이용 가능한지, 자료 손실이나 변조 위험이 있는지, 임시 통제가 가능한지를 평가해야 한다. 업무 중단이나 시스템 전환 자체가 미칠 영향도 함께 검토한다. 즉각적인 보호조치가 필요한 위험은 계약 보완을 기다리지 말고 정해진 안전·품질 보고 경로로 다룬다.

향후 합의에는 시스템 운영사 교체와 자료 이전 시의 검증, 기록 보존 책임자, 보존 기간과 기산점, 계약 종료 후 접근 방법을 넣는다. E6(R3) 3.6.3(c)와 3.16.3은 적용 규정에 따른 보존과 필요한 기록 유지·접근을 다루므로 모든 국가와 기록에 같은 연수를 적용하지 않는다. 보존 의무가 끝나기 전 서비스가 종료되는 경우를 포함해 기록을 누가 유지하고 어떻게 인계할지도 확인한다.

미결 항목을 종료할 때 남길 판단 기록

미결 항목별 판단 기록은 실무적으로 유용한 산출물이다. 발견 사실과 시점, 확인한 문서의 버전, 참여자 안전·자료 품질의 영향 평가, 수행한 보완조치, 남은 제한, 결정한 담당자와 후속 확인 시점을 연결해 적을 수 있다. 이 양식이나 영문 명칭이 법정 필수 서식인 것은 아니다. 조건을 붙여 향후 업무를 진행하기로 했다면 조건의 담당자·완료 증거를 명시하고, 필수 접근이나 안전 문제를 단순한 조건부 계약 승인으로 덮지 않는다.

기관 평가를 마쳤어도 기록 접근이나 보존 합의가 남아 있다면 항목별 상태를 관리한다. 종료 판단은 자료 수령 여부뿐 아니라 해당 증거가 발견된 공백을 해소했는지에 근거해야 한다. 회의록, 평가 자료, 일탈 조사, 합의본과 후속 확인이 서로 연결될 때 스폰서가 재위탁을 인지한 뒤 어떤 판단과 조치를 했는지 재구성할 수 있다. 하나의 메모가 실태조사 결과를 보장하지는 않는다.

적용 시점과 재점검 계기를 확인한다

ICH의 국제 합의 문서와 국가별 법령·가이던스의 적용 시점 및 법적 지위는 구분해야 한다. ICH Step 4 채택이 그날 모든 국가에서 동일한 법적 의무를 만든다는 뜻은 아니다. EMA의 E6 안내는 원칙·Annex 1의 2025년 7월 23일 효력 발생과 Annex 2의 2027년 1월 15일 효력 발생 예정일을 구분한다. 기존 시험의 적용·전환 조건은 해당 관할의 안내와 시험 조건을 함께 확인한다.

임상운영팀과 QA팀은 다음 상황이 발생할 때마다 기존 위탁 사슬과 계약서를 재점검해야 한다:

• 수행기관이나 위탁 업무범위가 변경되었을 때: 하위 기관 적격성 평가서, 서면 SOW, 접근 권한이 최신 변경 사항을 모두 반영하는지 대조.

• 시스템이나 검사 플랫폼을 이전했을 때: 기존 환자 데이터와 원자료의 연속성이 유지되는지, 데이터 이전(migration) 검증 보고서가 존재하는지 확인.

• 중대 일탈이나 반복적 쿼리가 발생했을 때: 하위 기관의 역량 부족인지 소통 문제인지 원인을 파악하고 감독 빈도 및 현장 감사 강화 검토.

• 관할 규제기관의 법령 개정 시: EU Annex 2 발효(2027년 1월)나 향후 식약처의 E6(R3) 국내 도입 발표 시 국내외 표준작업지침서(SOP) 개정.