한국 제약사의 미국 DSCSA 직렬화·EPCIS 데이터 연동: 3PL·수입업체와 무엇을 맞춰야 하는가

먼저 결론: DSCSA는 "시스템 구축"이 아니라 "매일 돌아가는 운영"이다

한국 제약사가 미국에 처방약을 수출하려면 DSCSA(Drug Supply Chain Security Act) 요건을 충족해야 한다. 2025년 5월 27일 기준, 미국 제조사·재포장사는 이미 완전한 단위 직렬화(unit-level serialization)와 전자적 상호운용(electronic interoperability) 의무가 시행되었다. 2025년 8월 27일 도매유통사, 2025년 11월 27일 대형 조제약국(약사·약무보조원 26인 이상)까지 순차적으로 시행되었고, 2026년 11월 27일 소형 조제약국(25인 이하)까지 전면 시행된다.

Supply Chain Wizard의 2026년 DSCSA 현황 분석이 정확히 지적하듯, "2026년 DSCSA의 진짜 과제는 'EPCIS를 보낼 수 있는가'가 아니라, 화요일 오후 3시 17분에 물리적 제품은 도착했는데 데이터가 안 왔을 때 어떻게 하느냐"이다. 한국 제약사가 미국 3PL(third-party logistics provider)이나 수입업체(importer of record)와 EPCIS 데이터를 교환하는 것은 기술적 연동(integration)을 끝냈다고 끝나는 게 아니다 — 매 출하마다 데이터가 정확히 맞아야 하고, 안 맞으면 제품이 검역(quarantine)에 걸린다.

이 글은 한국 제약사가 미국 3PL·수입업체와 DSCSA 직렬화 데이터를 어떻게 연동하는지, 어떤 데이터를 누가 책임지는지, 예외가 발생하면 어떻게 처리하는지를 실무 관점에서 정리한다.

DSCSA 직렬화 요건: 한국 제조사가 이미 해야 하는 것

DSCSA는 미국 처방약의 공급망 전체에 패키지 수준(package-level) 추적을 요구한다. 한국 제조사는 "제조사(manufacturer)"로 분류되므로, 2025년 5월 27일부터 다음을 의무적으로 수행해야 한다.

요건	내용	한국 제약사가 확인할 것
단위 직렬화	각 판매단위(each)에 고유 일련번호(serial number) 부여	2D DataMatrix 바코드(GTIN + Serial + Lot + Expiry)
제품 식별자 검증	거래 상대방이 요청 시 직렬화된 제품 식별자를 검증	verification response capability
전자적 거래 정보 교환	TI(Transaction Information)·TS(Transaction Statement)를 전자적·상호운용 가능한 방식으로 교환	EPCIS 파일 송수신
인증 거래 상대방(ATP) 확인	ATP(Authorized Trading Partner)와만 거래	ATP lookup integration
의심 제품 조사·통보	의심·위조 제품 발견 시 조사·통보 의무	suspect product investigation SOP

직렬화 바코드에 포함되어야 할 4가지 정보

Koerber Supply Chain의 2025년 5월 시행 분석에 따르면, 2D DataMatrix 바코드에는 다음이 포함되어야 한다:

1. GTIN (Global Trade Item Number): GS1 표준 제품 식별 번호
2. Serial Number: 판매단위별 고유 번호
3. Lot Number: 제조 로트 번호
4. Expiration Date: 유통기한

이 네 가지가 바코드에 정확히 인코드되어 있어야 하며, EPCIS 데이터와 정확히 일치해야 한다. 하나라도 불일치하면 도매유통사의 수령 검증에서 거부된다.

EPCIS 데이터 흐름: 한국 제조사→미국 3PL→도매유통사→약국

EPCIS(Electronic Product Code Information Services)는 GS1이 개발한 표준으로, FDA가 DSCSA 데이터 교환 방식으로 권장하는 표준이다. 법적으로 EPCIS만 허용된 건 아니지만, 실무적으로는 EPCIS가 사실상의 표준(de facto standard)이다. FDA의 DSCSA 최종 가이던스("DSCSA Standards for the Interoperable Exchange of Information for Tracing of Certain Human, Finished, Prescription Drugs: How to Exchange Product Tracing Information")가 EPCIS를 명시적으로 식별했기 때문이다.

한국 제약사→미국 3PL 간 EPCIS 이벤트 흐름

[한국 제조사]
   │
   │ 1. Commission (직렬번호 부여·바코드 인쇄)
   │ 2. Aggregate (each→case→pallet)
   │ 3. Ship (EPCIS 이벤트 생성: WHAT/WHERE/WHEN/WHY)
   │
   ▼
[미국 3PL / 수입업체]
   │
   │ 4. Receive (EPCIS 데이터 수신, 물리적 제품과 비교)
   │ 5. Store
   │ 6. Ship to Wholesaler/Distributor
   │
   ▼
[도매유통사]
   │
   │ 7. Receive (직렬화 수령 검증)
   │ 8. Ship to Dispenser
   │
   ▼
[약국/병원]

EPCIS 이벤트가 담아야 할 정보

GS1 US DSCSA Implementation Suite에 따르면, 각 EPCIS 이벤트는 다음을 포함한다:

필드	설명	예시
WHAT	어떤 제품이 어떤 일련번호인가	GTIN + Serial Number
WHEN	언제 이벤트가 발생했는가	ISO 8601 타임스탬프
WHERE	어디서 발생했는가	GLN(Global Location Number)
WHY	어떤 비즈니스 이벤트인가	CBV(Business Step): ship, receive, commission
WHO	누가 관여했는가	거래 상대방 GLN

한국 제약사가 3PL·수입업체와 맞춰야 할 7가지

1. GTIN·GLN 마스터 데이터 정합

GS1 US DSCSA 가이드라인이 반복해서 강조하는 건 "마스터 데이터 품질"이다. 한국 제약사의 GTIN(제품 식별 번호)과 GLN(위치 식별 번호)이 미국 3PL 시스템에 정확히 등록되어 있어야 한다. GTIN 하나가 틀려도 수령 검증에서 거부된다.

실행 체크리스트:

• 모든 수출 SKU의 GTIN이 GS1 US DataHub에 등록·활성화되어 있는지 확인
• 한국 제조 시설, 미국 3PL 창고의 GLN이 정확한지 확인
• 제품 코드 변경(예: NDC 변경)이 GTIN에 반영되었는지 확인
• GS1 GEPIR에서 거래 상대방 GLN을 조회·검증

2. 직렬화 솔루션(serialization solution) 선정과 연동

한국 제약사는 포장 라인에 직렬화 장비(2D DataMatrix 프린터·비전 검사기)를 설치하고, 직렬화 소프트웨어를 통해 일련번호를 생성·관리해야 한다. Covectra의 EPCIS/DSCSA 가이드에서 설명하듯, 직렬화 소프트웨어는 다음을 수행해야 한다:

• 일련번호 생성·관리(commissioning)
• 부모-자식 관계(aggregation: each→case→pallet) 관리
• EPCIS 이벤트 파일 생성
• 거래 상대방과의 안전한 데이터 교환

한국 제약사가 선택해야 할 직렬화 솔루션 유형:

유형	장점	단점	적합한 경우
독자 구축(on-premise)	데이터 통제권 최대	초기 비용·유지보수 부담	대량 수출, 다수 3PL 연동
클라우드 SaaS	빠른 도입, 자동 업데이트	월 과금, 데이터 주권 이슈	중소 규모 수출
3PL 위탁	인프라 부담 최소	데이터 가시성 제한, 벤더 종속	소량 수출, 단일 3PL

3. EPCIS 통신 프로토콜 및 엔드포인트 설정

GS1 US는 거래 상대방 간 EPCIS 통신 프로토콜 설정을 다음 순서로 안내한다:

1. 거래 상대방의 serialization solution provider 연락처 교환
2. 통신 프로토콜 확인(AS2, SFTP, API 등)
3. 판매자·구매자 EPCIS 엔드포인트(endpoint) 지정
4. 테스트 EPCIS 파일 교환
5. 본거래(go-live) 전환

한국 제약사 실무 포인트: 미국 3PL은 대개 TraceLink, Axway, Supply Chain Wizard 등의 플랫폼을 사용한다. 한국 제약사의 직렬화 솔루션이 이 플랫폼들과 연동 가능한지가 1차 관문이다. 연동이 안 되면 중간 브로커(messaging broker)를 거쳐야 하고, 이건 비용과 지연을 추가한다.

4. 예외 처리(exception handling) SOP

2026년 현재, DSCSA의 진짜 과제는 예외 처리다. Supply Chain Wizard와 LSPedia의 분석이 공통으로 지적하는 예외 시나리오:

예외 시나리오	원인	결과	한국 제약사의 대응
EPCIS 데이터 누락	제조사에서 EPCIS 파일 전송 누락·지연	3PL이 제품을 수령 불가 → 검역(quarantine)	출하 전 EPCIS 송신 확인 절차 필수
GTIN 불일치	한국 마스터 데이터와 미국 시스템 GTIN 불일치	수령 검증 실패	출하 전 GTIN 매핑 교차 검증
시리얼 불일치	물리적 바코드와 EPCIS 데이터의 serial 불일치	제품 의심(suspect product) 분류	포장 라인 비전 검사 정확도 관리
Aggregation 깨짐	case-pallet 간 부모-자식 관계 손실	case 수준 추적 불가	포장·적재 시 aggregation 무결성 검증
반환 제품(reverse logistics)	유통기한 만료·파손 반품	도매유통사 판매 가능 반품 검증 필요	반품 EPCIS 이벤트 처리 절차

Pharmaceutical Outsourcing 저널의 2026년 DSCSA 분석은 "EPCIS 데이터가 전송에 실패했을 때, 그것이 포착되는가? 직렬화 상태가 불명확할 때, 제품이 그냥 출하되는가?"를 매일의 운영 질문으로 던진다. 이 질문에 "모르겠다"면 DSCSA는 아직 준비가 안 된 것이다.

5. GS1 EPCIS R1.2→R1.3 전환

GS1 US는 2026년 EPCIS Implementation Guideline을 R1.2에서 R1.3으로 업그레이드하고 있다. GS1 US 발표에 따르면 R1.3의 단계별 적용 일정은:

단계	대상	일정
Phase 1	조제약국(Dispensers)	2026년 Q3
Phase 2	도매유통사(Wholesalers)	2026년 Q4
Phase 3	제조사(Manufacturers)	2027년 Q1

한국 제약사는 Phase 3에 해당하지만, 미국 3PL·도매유통사가 R1.3으로 전환하면 같이 맞춰야 한다. R1.3은 아웃바운드 EPCIS 요건 강화, 검증 지원 개선, 예외 처리 개선, 소싱 정보 일관성 향상을 포함한다. 수출 실무와 마찬가지로, 버전 차이가 호환성 문제를 일으킬 수 있다.

6. 수입업체(Importer of Record)와의 책임 분담

한국 제약사가 자체 미국 법인 없이 미국 3PL·수입업체를 통해 유통할 때, DSCSA 책임 분담은 다음과 같다.

DSCSA 의무	한국 제조사	미국 3PL/수입업체
직렬화(직렬번호 부여·바코드 인쇄)	● 책임	—
EPCIS 이벤트 생성(commission, aggregate, ship)	● 책임	—
EPCIS 데이터 송신	● 책임	—
물리적 제품 수령·EPCIS 데이터 수신	—	● 책임
ATP 확인	● 확인(3PL이 ATP인지)	● 확인(제조사가 ATP인지)
의심 제품 조사	● 원인 분석	● 통보·검역
반환 제품 검증	—	● 판매 가능 반품 검증

한국 제약사가 DDP/DAP Incoterms로 수출하더라도, DSCSA 직렬화·EPCIS 의무는 제조사(한국 제약사)에게 있다. 이 의무를 3PL에 위탁할 수는 있지만, 법적 책임은 제조사에게 남는다.

7. 검증 요청(Verification Request) 대응

DSCSA는 거래 상대방이나 FDA가 직렬화된 제품 식별자의 검증을 요청할 수 있도록 규정한다. 제조사는 요청을 받으면 제품이 합법적인지(위조·도난·오염이 아닌지)를 확인하고 응답해야 한다.

한국 제약사의 실무 대응:

• 직렬화 데이터베이스에 모든 출하 일련번호가 보관되어야 함
• 24시간 이내 검증 응답이 가능한 체계 구축
• 미국 영업시간과 한국 시간차를 고려한 응답 프로세스
• 3PL에게 검증 응답 권한을 위임하는 경우 SOP와 IT 시스템 연동

FDA 단속 타임라인과 한국 제약사의 준비 상태 점검

단계	일정	대상	한국 제약사 준비 상태 점검
Phase 1	2025년 5월 27일	제조사·재포장사	✅ 직렬화·EPCIS 의무 시행. 한국 수출 제약사는 이미 준비되어야 함
Phase 2	2025년 8월 27일	도매유통사	✅ 도매유통사가 한국 제약사의 EPCIS 데이터를 수신·검증
Phase 3	2025년 11월 27일	대형 조제약국	3PL이 약국에 EPCIS 데이터를 전달하는 연동 필요
Phase 4	2026년 11월 27일	소형 조제약국	전 공급망 EPCIS 완료

ACHC(Accreditation Commission for Health Care)의 2026년 1월 분석에 따르면, DSCSA 비준수 시 결과는 "규제 제재, 공급망 차단, 또는 핵심 거래 상대방 접근 상실"이다. McKesson은 이미 2025년 8월 27일부터 직렬화 거래 데이터 교환을 시작했다. 대형 도매유통사와 거래하는 한국 제약사는 EPCIS 연동이 이미 완료되어 있어야 한다.

다음 90일 실행 순서

1. Day 1~15: 현재 미국 수출 제품의 직렬화 상태를 점검한다. 모든 수출 SKU에 2D DataMatrix 바코드가 있는지, EPCIS 이벤트가 생성되는지 확인.
2. Day 15~30: 미국 3PL·수입업체와 EPCIS 연동 상태를 점검한다. 테스트 파일 교환, GTIN/GLN 마스터 데이터 정합, 통신 프로토콜 확인.
3. Day 30~60: 예외 처리 SOP를 수립한다. EPCIS 데이터 누락·불일치 시나리오별 대응 절차, 검역 해제 프로세스, 검증 요청 응답 체계.
4. Day 60~90: GS1 EPCIS R1.3 전환 준비를 시작한다. 2027년 Q1 제조사 적용 전에 직렬화 솔루션 벤더와 업그레이드 계획을 확정.

DSCSA는 일회성 프로젝트가 아니다. Pharmaceutical Outsourcing의 분석대로 "go-live가 끝이 아니라 시작"이며, "EPCIS 데이터가 전송에 실패했을 때 그것이 포착되는가?"가 매일 물어야 할 질문이다. 한국 제약사는 미국 3PL·수입업체와의 지속적인 데이터 거버넌스를 운영 역량의 일부로 만들어야 한다.

참고 자료

• FDA, "Drug Supply Chain Security Act (DSCSA)" — www.fda.gov/dscsa
• FDA, "DSCSA Standards for the Interoperable Exchange of Information for Tracing of Certain Human, Finished, Prescription Drugs" (Final Guidance)
• GS1 US, "DSCSA Implementation Suite" — R1.2/R1.3
• Supply Chain Wizard, "DSCSA in 2026: Full Electronic Interoperability"
• LSPedia, "DSCSA August 2025 Deadline: Wholesaler Guide"
• Koerber Supply Chain, "DSCSA Enforcement Has Begun: What the May 27, 2025 Deadline Means"
• McKesson, "Navigating DSCSA: Ensuring Drug Supply Security"
• ACHC, "DSCSA: Safeguarding the Drug Supply Chain" (2026년 1월)
• Pharmaceutical Outsourcing, "Why DSCSA Compliance in 2026 Hinges on Execution, Not Implementation"
• Covectra, "EPCIS and DSCSA: How Serialization Software Supports Compliance"