EU QPPV·PSMF 위탁 관리: 한국 제약사가 첫 MAA 제출 전에 풀어야 할 과제
EMA 중앙허가 절차에서 QPPV 선임과 PSMF 구축은 MAA 제출 전에 완료해야 하는 선행 조건이다. 한국 제약사가 EU 내 거점 없이 PV 벤더에 QPPV·PSMF를 위탁할 때 발생하는 감독 체계, 계약 요건, 2025/1466 개정 영향, 그리고 내부 핸드오프 리스크를 정리했다.
MAA 제출 전에 반드시 갖춰야 하는 PV 시스템
EMA 중앙허가 절차에서 마케팅승인신청(MAA)을 제출하려면, 신청자는 EU 역내에 거점이 있든 없든 EU QPPV 선임·PSMF 구축·EudraVigilance 등록을 완료해야 한다. 이 세 가지는 MAA Module 1.8.2(약물감시 시스템 요약)의 핵심 기재 사항이며, 미비 시 MAA 자체가 적격성 심사(validity check)에서 반려된다.
한국 제약사가 EU 역내에 자체 법인이나 PV 부서를 보유한 경우는 드물다. 대부분 EU 소재 PV 서비스 제공자에 QPPV 기능과 PSMF 관리를 위탁(outsourcing)하는데, 이 위탁 관계에서 생기는 감독 공백·계약 누락·정보 전달 지연이 심사나 출하 후 실사(GPvP inspection)에서 불량(deficiency)으로 지적되는 경우가 많다.
2025년 7월 공포된 Commission Implementing Regulation (EU) 2025/1466은 PV 하도급 계약 요건과 PSMF 편차 관리 기준을 대폭 강화했고, 2026년 2월 12일부터 전면 적용된다. 한국 제약사가 첫 MAA를 준비 중이라면, 이 개정이 QPPV·PSMF 위탁 구조에 미치는 영향을 지금 파악해야 한다.
QPPV가 실제로 하는 일 — 그리고 왜 위탁이 불가피한가
법적 요건
EU Directive 2010/84/EU와 Regulation (EC) No 726/2004는 MAH(마케팅승인권자)가 EU/EEA 역내에 상주하며 PV 업무를 수행하는 QPPV를 영구적·지속적으로(permanently and continuously) 배치할 것을 요구한다. QPPV의 주요 책임은 다음과 같다(GVP Module I, I.C.1):
| 책임 영역 | 세부 내용 |
|---|---|
| PV 시스템 구축·유지 | ICSR 처리, 신호 탐지, PSUR/PBRER 작성, RMP 갱신을 포괄하는 시스템 운영 |
| PSMF 관리 | PV 시스템 마스터 파일의 정확성과 최신성 보장, 당국 요청 시 14일 이내 제공 |
| 당국 접점 | EMA 및 각 회원국 당국에 24시간 연락 가능한 단일 창구 역할 |
| 실사 대응 | GPvP 실사 시 PV 시스템 책임자로 출석 및 설명 |
| 안전성 프로파일 모니터링 | 전 제품의 이익-위험 균형 변화를 지속 추적 |
QPPV는 EU/EEA 역내에 거주해야 하며, 부재 시 업무를 수행할 Deputy QPPV도 선임해야 한다(24시간 가용성 확보). PSMF 역시 EU/EEA 내에 위치해야 한다(GVP Module II, II.B.2.1).
한국 제약사가 위탁할 수밖에 없는 이유
한국 제약사가 EU 역내에 자체 PV 팀을 구성하는 것은 현실적으로 어렵다. 언어 장벽, 규제 전문성, EudraVigilance 운영 경험, 24시간 대응 체계 등을 갖춘 EU 거주 PV 전문가를 채용·유지하는 비용이 상당하기 때문이다. 특히 첫 MAA 제출 단계에서는 제품이 1~2개뿐이어서 자체 QPPV 고용의 경제적 타당성이 낮다.
따라서 대부분의 한국 제약사는 EU 소재 PV 서비스 제공자(예: IQVIA, Pharmalex, Insuvia, QbD Group 등)와 QPPV·PSMF 위탁 계약을 체결한다. IQVIA 역시 2025년 7월 blog에서 "non-EU 기업이나 소규모 제약사가 EU QPPV 기능을 outsourcing하는 사례가 급증하고 있다"고 분석한 바 있다.
PSMF가 실사에서 받는 첫 번째 질문들
PSMF는 PV 시스템의 전체 구조와 운영 현황을 담은 마스터 문서다. GPvP 실사관(inspector)은 PSMF를 **"PV 시스템에 대한 로드맵"**으로 활용한다. Zamann-Pharma의 2026년 분석에 따르면, 실사관이 PSMF에서 가장 먼저 확인하는 영역은 다음 네 가지다:
- QPPV 감독 및 의사결정 권한 — QPPV가 실제로 PV 시스템에 대한 결정 권한을 행사하는지, 아니면 명목상 역할인지
- 변경관리와 버전 관리 — PSMF가 PV 시스템의 변화를 실시간으로 반영하는지
- 벤더 감독과 제3자 거버넌스 — 하도급 계약, audit 일정, SDEA(안전 데이터 교환 계약)가 문서화되어 있는지
- 추적성(traceability) — ICSR 처리·신호 관리·PSUR 작성의 전 과정이 추적 가능한지
PSMF가 실제 운영과 동떨어져 있거나, 하도급 계약 내용이 누락되어 있으면, 실사관은 "시스템 제어력 상실"로 판단한다.
2025/1466 개정이 바꾸는 위탁 계약 요건
Commission Implementing Regulation (EU) 2025/1466은 2012년 이후 첫 번째 실질적인 PV 규제 개정이다. QPPV·PSMF 위탁 구조에 직접적으로 영향을 미치는 주요 변경점은 다음과 같다(2026년 2월 12일 전면 적용):
하도급 계약의 필수 기재 사항
모든 PV 하도급 계약에 다음 항목이 포함되어야 한다(Art. 3a):
| 필수 항목 | 설명 |
|---|---|
| 역할·책임 명시 | 위탁받은 제3자의 구체적인 PV 활동 범위 |
| 안전 데이터 교환 방법 | MAH와 제3자 간 ICSR·신호 정보 전달 절차와 의무 |
| 실사·audit 접근 권한 | 제3자가 MAH의 audit과 당국의 실사에 동의한다는 조항 |
| 하위 위탁(sub-subcontracting) 통제 | 제3자가 추가로 위탁할 경우 MAH의 사전 승인 요건 |
기존에 체결한 계약이 이 기준을 충족하지 않으면, 2026년 2월 12일까지 보완해야 한다.
PSMF 편차 관리 기준 변경
기존에는 모든 편차(deviation)를 PSMF에 기록해야 했으나, 2025/1466 이후로는 중대(major) 또는 임계(critical) 편차만 기록하면 된다. 행정 부담은 줄었지만, 기록된 편차의 중요성이 올라간 만큼, 실사관의 검증 강도는 오히려 높아질 수 있다.
PSUR 내용 확대
2026년 2월부터 PSUR에는 위해성 최소화 조치(RMM) 이행 상태에 대한 업데이트가 포함되어야 한다. 이는 안전감시·의무부서·상업화 팀 간 교차 기능 협업이 필요하며, 위탁 QPPV가 이를 조율할 수 있어야 한다.
한국 제약사가 벤더 선정 시 확인해야 할 것
1. QPPV의 실제 권한과 가용성
위탁 QPPV가 명목상 역할에 그치지 않는지 확인해야 한다. MHRA GPvP Inspectorate는 2018년 가이드에서 "QPPV는 PV 시스템에 대한 권한을 가져야 하며, MAH는 QPPV가 PV 시스템에 영향을 미칠 수 있는 충분한 권한을 보장해야 한다"고 명시했다. 실사에서 자주 지적되는 불량 사례는:
- QPPV가 안전성 의사결정에 참여하지 못하고 MAH 본사에서 단독 결정하는 구조
- QPPV가 안전 데이터에 대한 접근 권한을 제한받는 경우
- Deputy QPPV가 실제로 지정되지 않은 상태에서 QPPV 부재 시 대응 체계가 없는 경우
2. PSMF 관리 체계
PSMF는 위탁받은 벤더가 작성·유지할 수 있지만, 최종 책임은 MAH에게 있다. GVP Module II는 "PSMF의 요건과 관리는 조직 구조(하도급·위탁 포함)나 활동 위치에 관계없이 적용된다"고 규정한다. 따라서 한국 MAH는 다음을 확보해야 한다:
- PSMF 전체에 대한 읽기 권한과 변경 승인 권한
- 분기별 PSMF 리뷰 미팅(최소 분기 1회 권장)
- 벤더의 audit 결과 및 CAPA 이행에 대한 접근 권한
3. EudraVigilance 등록과 IRIS 시스템
MAA 제출 전에 Article 57 데이터베이스에 QPPV 정보를 등록해야 한다. 2026년부터는 IRIS 플랫폼을 통해 MAA 절차가 관리되며, 모든 MAH 관련 담당자가 OMS(Organisation Management System)에 등록되어야 한다. EMA는 MAH 담당자가 "적절한 Industry 역할이 부여된 활성 EMA 계정"을 보유해야 한다고 요구한다.
4. 회원국별 PV 담당자 요건
EU QPPV 외에도 일부 회원국은 국가별 PV 담당자(Local PV Contact Person) 선임을 요구한다. EMA/INS/PhV/129721/2024 Rev.5(2025년 8월)에 따르면 벨기에, 독일, 프랑스, 스페인, 네덜란드 등 13개국에서 국가별 PV 담당자 선임이 의무다. 위탁 벤더가 이 요건을 충족하는지 확인해야 한다.
위탁 계약에 반드시 넣어야 할 조항
| 조항 | 이유 | 누락 시 리스크 |
|---|---|---|
| QPPV 권한 명시(PV 시스템 개선 지시권) | 실사에서 QPPV 권한 부족 지적 방지 | GPvP 실사 불량 |
| SDEA(안전 데이터 교환 계약) | MAH↔QPPV↔CRO 간 ICSR 전달 기한과 형식 규정 | 보고 기한 초과 |
| Audit 권한과 일정 | 연간 최소 1회 MAH 주도 audit 권한 보장 | 벤더 품질 저하 미감지 |
| 하위 위탁 제한 | 제3자의 추가 위탁 시 MAH 사전 승인 | PSMF 불일치 |
| 계약 해지 시 이전 절차 | QPPV 교체 시 PSMF·안전 데이터 이전 방법 | 데이터 유실 |
| KPI와 SLA | ICSR 처리 시간, PSUR 작성 기한 등 정량 지표 | 성과 관리 불가 |
한국 본사 RA팀과 QPPV 벤더 사이의 핸드오프 리스크
한국 제약사 RA팀과 EU QPPV 벤더 사이의 협업에서 가장 빈번하게 발생하는 문제는 정보 전달 지연과 안전성 평가 기준 차이다.
시차·언어 문제
한국과 EU 사이의 시차(한국이 78시간 빠름)는 긴급 안전 이슈 대응에 치명적이다. 예를 들어, 독일에서 발생한 중대 이상사례가 한국 본사 RA팀에 도달하기까지 12일이 소요될 수 있고, 그 사이 QPPV가 당국에 보고해야 하는 15일 기한이 이미 절반 이상 경과할 수 있다.
안전성 평가의 주도권
ICSR의 인과성(causality) 평가는 최종적으로 MAH의 책임이다. 그러나 한국 본사 의학팀과 EU QPPV 의학팀이 동일 사례에 대해 서로 다른 인과성 판정을 내리면, PSUR와 RMP에 일관성이 깨진다. 이를 방지하기 위해:
- 인과성 평정 알고리즘(WHO-UMC 또는 Naranjo)을 계약 부속서에 명시
- 의견 불일치 시 최종 결정권자(MAH 내 의학책임자 또는 QPPV)를 사전 합의
- 분기별 의학 안전성 리뷰(medical safety review) 미팅을 정기화
첫 MAA 제출 12개월 전 실행 체크리스트
| 시점 | 실행 항목 | 담당 |
|---|---|---|
| MAA 12개월 전 | PV 벤더 후보 3~5사 평가, RFP 발송 | RA팀 + 구매 |
| MAA 10개월 전 | 벤더 선정, QPPV·PSMF 위탁 계약 체결(2025/1466 기준 충족) | 법무 + RA |
| MAA 9개월 전 | QPPV 선임, Deputy QPPV 지정, Article 57 등록 | 벤더 + RA |
| MAA 8개월 전 | PSMF 초안 작성, EudraVigilance 접속 권한 확보 | 벤더 |
| MAA 7개월 전 | SDEA 체결(CRO·DM 공급자·현지 파트너 포함) | 벤더 + RA |
| MAA 6개월 전 | PSMF 리뷰, 첫 audit 실시, 누락 항목 보완 | RA + 품질 |
| MAA 4개월 전 | Module 1.8.2(PV 시스템 요약) 초안 작성 | 벤더 + RA |
| MAA 2개월 전 | PSMF 최종 확정, 회원국별 LPPV 선임 여부 확인 | 벤더 |
| MAA 제출 | MAA Module 1.8.2에 PSMF 위치·QPPV 정보 기재 | RA |
실무에서 간과하는 것
한국 제약사가 자주 놓치는 세부 사항을 정리하면:
PSMF 위치 변경은 당국 통지 사항 — PSMF를 다른 EU 국가로 이전하려면 Article 57 데이터베이스를 통해 통지해야 한다. 자체 국가 법원에도 추가 통지가 필요할 수 있다.
QPPV 교체는 변형(variation) 절차가 아니다 — QPPV 교체는 Article 57 데이터베이스를 통해 업데이트하면 되며, 별도의 변형 신청이 필요하지 않다. 단, 교체 과정에서 PSMF 업데이트와 EudraVigilance 접점 변경은 즉시 이루어져야 한다.
CRO와 PV 벤더를 동일 업체에 맡기는 리스크 — CRO가 안전 데이터 수집과 PV 보고를 동시에 담당하면 독립성이 훼손될 수 있다. Insuvia(2026)는 "PV를 담당 CRO에 맡기는 것이 위험할 수 있다"고 경고한 바 있다. 가능하면 CRO와 PV 벤더를 분리하는 것이 실사 관점에서 유리하다.
한국 MFDS PV 체계와 EU GVP의 차이 — 한국의 약물이상반응 보고 기준과 EU의 ICSR 보고 기준이 다르다(예: 보고 기한, 예상/비예상 판정 기준). 이중 보고 체계를 명확히 정의하지 않으면, 한국 당국에는 보고되었으나 EudraVigilance에는 누락되는 사례가 발생할 수 있다.
참고 자료:
- GVP Module I: Pharmacovigilance — QPPV 요건(EMA/838713/2011)
- GVP Module II: PSMF 관리(EMA/838713/2011 Rev.2)
- Commission Implementing Regulation (EU) 2025/1466
- MHRA GPvP Inspectorate, Guide to MAH Considerations for Agreements with PV System Service Providers(2018)
- EMA/INS/PhV/129721/2024 Rev.5, 회원국별 PV 담당자 요건(2025년 8월)
- FDA/EMA/PMDA 공식 가이던스
