ISO 13485:2016 의료기기 품질경영시스템 총정리 — FDA QMSR(2026.2.2 시행, 21 CFR 820에 편입) + EU MDR 조화표준(EN ISO 13485:2016/A11:2021, 시행결정 2026/1231) + MDSAP 단일심사가 한국 의료기기 제조사에게 의미하는 것

ISO 13485:2016 품질경영시스템이 미국 FDA QMSR, EU MDR 조화표준, MDSAP 5개국 단일심사, 한국 KGMP와 어떻게 맞물리는지 분석한다. 인증서 한 장의 효력 범위와 규제기관별 차이점을 알아본다.

ISO 13485:2016은 전 세계 의료기기 품질경영시스템(QMS)의 공통 기준이지만, 동일한 인증서라도 국가 및 지역별로 규제 채택 방식과 실제 효력 범위는 크게 다릅니다.

핵심 요약 (Direct Answer):

미국: 2026년 2월 2일부터 본격 시행된 FDA QMSR(Quality Management System Regulation)은 ISO 13485:2016을 21 CFR Part 820에 참조편입(by reference)하였습니다. 이에 따라 FDA 심사관은 이제 ISO 13485 용어를 기반으로 한국 제조사를 심사하므로, 기존 QSR 언어로 작성된 품질 문서를 갱신해야 합니다.
유럽(EU): EN ISO 13485:2016/A11:2021이 MDR 조화표준(Harmonised Standard)으로 지정되어 규제 적합성 추정(Presumption of Conformity)을 제공하지만, 이는 MDR 본문(제10조 및 GSPR)의 모든 법적 요건을 완전히 대체하지 못하므로 추가적인 대응이 필수적입니다.
MDSAP: 단일 심사 프로그램을 통해 미국, 캐나다, 브라질, 일본, 호주의 5개국 QMS 요건을 동시에 충족할 수 있으며, 이 심사의 기반이 바로 ISO 13485:2016입니다.
한국: 식약처가 감독하는 KGMP(Korea Good Manufacturing Practice) 인증은 ISO 13485와 밀접하게 정렬되어 있으나, 인증서 자체로는 대체될 수 없어 별도의 KGMP 심사 및 인증 취득이 반드시 요구됩니다.

본 고에서는 ISO 13485:2016 표준의 핵심 요구사항을 분석하고, 주요 4대 규제 관할권(미국, 유럽, MDSAP, 한국)에서의 채택 방식과 차이점을 조명하여 한국 의료기기 제조사가 구축해야 할 통합 QMS 전략을 제시합니다.

ISO 13485:2016은 정확히 무엇을 규정하는가 (3판 구조·4.1.6 소프트웨어 밸리데이션·설계개발·시판후)

ISO 13485:2016은 의료기기 설계, 개발, 생산, 설치 및 서비스와 관련된 품질경영시스템에 대한 국제 표준(현재 제3판)입니다. 일반 제조업에 적용되는 ISO 9001 표준과 달리, 지속적인 품질 개선이나 고객 만족보다는 규제 요구사항의 준수(Regulatory Compliance)와 제품의 안전성 및 유효성 유지를 최우선 목표로 둡니다.

본 표준은 목차 구성에서부터 엄격한 문서화 및 추적성을 요구합니다. 특히 실무적으로 한국 제조사들이 가장 누락하기 쉽고 글로벌 심사에서 빈번하게 부적합(Non-conformity)을 지적받는 핵심 조항들은 다음과 같습니다.

1. 4.1.6 조항: QMS에 사용되는 소프트웨어의 밸리데이션

ISO 13485:2016은 제품 자체에 탑재되는 소프트웨어뿐만 아니라, 품질경영시스템에 사용되는 소프트웨어 응용 분야에 대해서도 최초 사용 전 밸리데이션을 요구합니다.

해당 도구: ERP(전사적 자원 관리), LIMS(실험실 정보 관리 시스템), CAPA 관리 소프트웨어, 문서 제어 시스템, 도면 관리 CAD 등.
요구사항: 컴퓨터 소프트웨어 밸리데이션(CSV) 절차를 수립하고, 소프트웨어 변경 시 미치는 영향을 위험 기반(Risk-based approach)으로 평가하여 밸리데이션 상태를 지속적으로 유지해야 합니다.

2. 7.3 조항: 설계 및 개발 (Design and Development)

의료기기 설계 단계에서 위험관리가 어떻게 유기적으로 연동되는지 입증해야 합니다. 이 과정에서 ISO 14971 위험관리 파일과의 완벽한 정렬이 요구됩니다.

설계 입력 및 출력: 입력 단계에서 사용자 요구사항 외에 규제 요구사항 및 안전 기준(IEC 60601-1 의료용 전기안전 표준 등)이 명확히 정의되어야 하며, 출력은 입력 요건을 충족함을 검증(Verification)할 수 있는 형태로 문서화되어야 합니다.
설계 이관(Design Transfer): 개발 단계에서 양산 단계로 이관되는 프로세스가 공식화되어 있어야 하며, 양산 규격서(Specifications) 및 작업표준서(SOP)가 설계 출력물과 일치함을 입증해야 합니다.

3. 8.2.1 및 8.5.1 조항: 시판 후 감시(PMS) 및 피드백 루프

단순히 불만(Complaint)을 수집하는 차원을 넘어, 제품의 안전성 데이터를 선제적으로 모니터링하고 분석하는 피드백 루프가 구축되어야 합니다. 수집된 피드백 데이터는 즉시 위험 관리 프로세스로 유입되어 위험 요소를 재평가하고, 필요한 경우 CAPA(시정조치 및 예방조치)로 연결되어야 합니다.

FDA QMSR이 ISO 13485:2016을 21 CFR 820에 편입한다는 것의 실무적 의미는 무엇인가

미국 FDA는 2024년 2월 2일 최종 규칙(Final Rule, FR Doc 2024-01653)을 발표하고, 기존의 품질시스템규정(QSR, Quality System Regulation)을 **품질경영시스템규정(QMSR, Quality Management System Regulation)**으로 전면 개편했습니다. 이 개정안은 2026년 2월 2일부로 공식 발효되었습니다.

[구 QSR (21 CFR Part 820)] 
       ↓ (2026년 2월 2일 개정 발효)
[신 QMSR (ISO 13485:2016 참조편입 + FDA 단독 요건)]

한국 의료기기 제조사들이 주의해야 할 실무적 변화점은 다음과 같습니다.

1. 용어의 전환과 문서 정비

기존 QSR의 독자적인 용어들이 ISO 13485 표준의 용어로 완전히 대체되었습니다.

Design History File (DHF), Device Master Record (DMR), Device History Record (DHR) 등 FDA 고유의 용어들이 공식 법령 텍스트에서는 사라지고, ISO 13485의 설계 및 개발 파일(Design and Development File), 의료기기 파일(Medical Device File - Clause 4.2.3) 등의 개념으로 통합됩니다. (단, 레코드 자체를 보관해야 하는 규제적 의무는 사라지지 않으므로, 기존 DHF/DMR/DHR 문서를 ISO 13485의 'Medical Device File' 및 '설계개발 파일' 구조로 재매핑하는 작업이 필요합니다.)
대응 방향: 한국 제조사는 자사의 품질 매뉴얼(Quality Manual)과 SOP에서 사용하던 구 QSR 용어들을 ISO 13485 용어 체계로 대조식 맵핑하고 개정해야 합니다. 자세한 전환 타임라인 및 액션 플랜은 FDA QMSR 전환(ISO 13485 편입) 가이드에서 심층 확인하실 수 있습니다.

2. 참조편입(Incorporation by Reference)의 한계와 FDA 단독 추가 요건

FDA가 ISO 13485:2016 표준을 그대로 채택했다고 해서, 일반적인 ISO 13485 제3자 인증서만으로 FDA 심사가 완전히 면제되거나 대체되는 것은 아닙니다. FDA는 연방 식품의약품화장품법(FD&C Act)에 기반한 독자적인 감독 권한을 유지하며, QMSR 규정 내에 ISO 13485 표준에 없는 추가 요건을 명시했습니다.

21 CFR 820.35 (기록 요건): 서명 및 날인 요건, 불만 처리 기록에 제품 코드(UDI 등) 및 관련 데이터의 명시적 포함 의무.
21 CFR 820.45 (장치 라벨링 및 포장 제어): 라벨 승인자 서명 및 날인, 라벨 검사 기록 보관 등 오라벨링 사고를 예방하기 위한 강도 높은 통제 수단 요구.
미국 현지 대리인(US Agent): 해외 제조사에 대한 규제적 연락 채널 유지 요건.

EU MDR에서 EN ISO 13485:2016/A11:2021 조화표준 지위는 '완전 면제'인가 아니면 'presumption'인가

유럽 시장에서 ISO 13485 인증의 지위는 유럽 표준화 위원회(CEN)가 발행하고 유럽연합 관보(OJEU)에 게재한 EN ISO 13485:2016/A11:2021 조화표준(Harmonised Standard)에 근거합니다.

EN ISO 13485:2016/A11:2021은 Commission Implementing Decision (EU) 2022/757에 의해 MDR 조화표준으로 지정된 이래 현재까지 그 지위가 유지되고 있습니다. 유럽집행위원회는 이후에도 MDR 조화표준 목록을 지속 갱신하고 있는데, 예컨대 2026년 6월 11일자 Decision (EU) 2026/1231은 생물학적평가(ISO 10993-1 등)·비능동형 수술임플란트·세척소독기 관련 표준을 추가·교체하지만 EN ISO 13485의 조화표준 지위 자체에는 변함이 없습니다. 그러나 실무에서 흔히 저지르는 심각한 오해는 **"ISO 13485 인증이 있으면 EU MDR의 품질시스템 심사는 형식적 통과일 것"**이라는 생각입니다.

조화표준의 법적 지위: 적합성 추정(Presumption of Conformity)

유럽 규제 하에서 조화표준 준수는 **'적합성 추정'**만을 부여합니다. 이는 제조사가 EN ISO 13485 표준을 준수하고 인증을 획득했을 때, '유럽 의료기기 규정(EU MDR 2017/745)의 품질경영시스템 관련 일반 요구사항을 충족한 것으로 추정(가정)해 준다'는 의미입니다.

'조화표준'과 'MDR 본문 요구사항' 간의 격차(Gaps)

EN ISO 13485의 부속서 Z(Annex ZA 및 ZB)를 정밀 분석하면, 표준의 개별 조항이 MDR 본문(MDR Annex IX 등)의 구체적인 법적 의무를 100% 만족하지 못한다는 점이 명확히 기술되어 있습니다. 대표적인 갭 요약은 다음과 같습니다.

구분	ISO 13485:2016 표준 요건	EU MDR 추가 요구사항
규제 준수 책임자	요구하지 않음 (품질경영대리인 수준)	PRRC(Article 15) 임명 및 업무 권한 명시 의무
임상 평가 프로세스	설계 검증/타당성확인의 일부로 간주	임상평가계획서(CEP) 및 보고서(CER)의 지속적 갱신 관리
시판 후 감시(PMS)	일반적인 피드백 루프 및 불만 처리	PMCF(시판후임상추적조사) 계획 수립 및 PSUR(정기안전성업데이트보고서) 의무 제출
이해당사자 등록	고객 통보 시스템 구축	EUDAMED(유럽의료기기데이터베이스)에 Actor 및 UDI-DI 등록

결론적으로, 유럽 인증기관(Notified Body)은 ISO 13485 심사 시 MDR 추가 요구사항인 PRRC 지정 상태, 임상평가 연계성, EUDAMED 등록 및 UDI 추적 관리 절차를 현장 심사 항목으로 매우 깊이 있게 들여다봅니다.

MDSAP 단일심사로 5개국 시장 접근이 가능한가 — 범위와 한계

**MDSAP(Medical Device Single Audit Program, 의료기기 단일심사 프로그램)**은 인증된 독립 심사기관(AO, Auditing Organization)의 단일 심사를 통해 참여 규제기관들의 QMS 요구사항을 일괄적으로 충족시키는 제도입니다.

                   [ MDSAP 단일 심사 (기준: ISO 13485:2016) ]
                                       │
      ┌───────────────┬────────────────┼───────────────┬───────────────┐
      ▼               ▼                ▼               ▼               ▼
   미국 FDA       캐나다 HC       브라질 ANVISA     일본 MHLW       호주 TGA
 (QMS정기실사    (MDL 필수요건,  (BGMP 심사 대체) (일부 서류제출  (TGA 실사 면제
   대체 가능)    MDSAP 인증필수)                     요건 완화)      및 신속 승인)

1. MDSAP 참여 5개 규제기관 및 혜택

미국 FDA: FDA의 정기(Routine) CGMP 실사를 면제하고 MDSAP 심사 결과로 대체합니다 (단, For-cause 실사나 PAI 실사는 별도).
캐나다 Health Canada (HC): 캐나다에서 Class II, III, IV 의료기기를 판매하기 위한 의료기기 라이선스(MDL) 취득 시 MDSAP 인증서 보유가 법적 필수 요건입니다. (자세한 진입 경로는 MDSAP 단일심사 프로그램 참조)
브라질 ANVISA: 브라질 시장 진입의 가장 큰 장벽인 ANVISA 현지 실사(BGMP)를 MDSAP 심사로 전면 대체할 수 있습니다.
일본 MHLW/PMDA: QMS 적합성 평가 심사 시 일부 서류 제출 면제 및 절차 간소화 혜택을 제공합니다.
호주 TGA: TGA 현지 실사를 면제하고 MDSAP 결과를 수용하여 제품 등록 승인 기간을 대폭 단축합니다.

2. MDSAP의 본질적 한계

MDSAP 심사 기준의 95% 이상은 ISO 13485:2016 표준이지만, 심사 시 각 참여국의 **'독자적인 법적 요건(Country-Specific Requirements)'**이 별도의 모듈(Module)로 심사 프로세스에 포함됩니다.

예시: 호주의 경우 TGA에 대한 유해사례(Adverse Event) 보고 기한 준수 여부, 브라질의 경우 현지 기술책임자(Technical Manager) 자격 요건 등이 ISO 13485 체계 안에서 함께 감사받게 됩니다.
따라서 MDSAP 심사를 신청하기 전에 자사 QMS 매뉴얼에 5개국 개별 법적 요구사항이 이식되어 있는지 갭 분석을 선행해야 합니다.

한국 KGMP 인증은 ISO 13485 인증으로 대체될 수 없는가 — 중복 비용과 통합 전략

한국의 식품의약품안전처(MFDS)가 관장하는 의료기기 제조 및 품질관리기준(KGMP)은 국제 표준인 ISO 13485를 모태로 설계되었습니다. 실제로 한국 KGMP 2026 개정 내용에서도 볼 수 있듯이, 식약처는 소프트웨어 의료기기(SaMD) 수명주기 관리 등 최신 ISO 13485 요구사항과의 조화를 가속화하고 있습니다.

1. 해외 ISO 13485 인증서로 국내 KGMP 대체 불가능

많은 국내 제조사가 비용 절감을 위해 해외 인증기관에서 발급받은 ISO 13485 인증서로 국내 KGMP 인증을 갈음하려 시도하지만, 이는 법적으로 불가능합니다.

이유: 한국 의료기기법 제10조(적합성평가) 및 동법 시행규칙에 따라, 국내 제조 및 수입 의료기기는 반드시 식약처장이 지정한 품질관리심사기관(KTR·KTL·KTC 등)의 GMP 심사를 거쳐 식약처 명의의 KGMP 적합성인정서를 획득해야 합니다.
예외적 인정: 해외 제조소가 MDSAP 인증서를 보유한 수입 의료기기의 경우, 식약처가 MDSAP 심사결과를 인정해 현장심사를 서류심사(desktop audit)로 대체하는 경로가 2023년부터 일부 품목에 대해 열려 있습니다. 다만 KGMP 적합성평가 신청·수수료 의무 자체가 면제되는 것은 아닙니다.

2. 제조사의 중복 비용 최소화를 위한 통합 QMS 설계 전략

국내외 시장을 동시에 타겟팅하는 한국 의료기기 제조사는 중복되는 품질 심사 비용과 자원 소모를 차단하기 위해 품질 문서의 단일 구조화(Unified QMS Architecture) 전략을 취해야 합니다.

                        [ 글로벌 통합 QMS 백본 ]
                         (ISO 13485:2016 표준)
                                   │
         ┌─────────────────────────┼─────────────────────────┐
         ▼                         ▼                         ▼
   [미국 QMSR 레이어]          [유럽 MDR 레이어]         [한국 KGMP 레이어]
   (21 CFR 820 추가기록,       (PRRC 지정, EUDAMED,      (식약처 보고,
    라벨링 서명 통제)          PMCF 및 CER 연계)        국내 대리인 절차)

기반 표준(Backbone)의 단일화: 전사 품질경영시스템의 근간을 ISO 13485:2016으로 고정합니다.
국가별 추가 모듈(Specific Add-ons) 구성: 기본 매뉴얼을 공통으로 쓰되, 절차서(SOP) 단위에서 미국 FDA(라벨링 통제), 유럽 MDR(PRRC 지정 및 EUDAMED 등록), 한국 식약처(회수 및 폐기 보고 절차)의 고유 법적 의무를 별도 절로 명시합니다.
심사의 통합 준비: 내부감사(Internal Audit) 수행 시 공통 표준 요건과 각국의 법적 요건을 통합한 체크리스트를 활용하여, 한 번의 감사로 FDA 검사, ISO 3자 심사, 국내 KGMP 정기 심사를 동시에 대비할 수 있는 체계를 구축합니다.

자주 묻는 질문(FAQ)

Q1. ISO 13485:2016 인증서로 FDA QMSR 의무를 모두 충족할 수 있나요?

아닙니다. ISO 13485:2016 인증은 제3자 인증기관(TÜV, SGS 등)이 발행하는 민간 인증서인 반면, FDA QMSR은 미국의 연방 법적 규정입니다. FDA는 3자 인증서를 직접 인정하지 않으며, 자체적인 QMSR 기준에 따른 공장 실사(FDA Inspection)를 수행합니다. 또한, 라벨링 제어 및 특정 연방 기록 보관 등 FDA 단독 추가 요건(21 CFR 820.35 및 820.45 등)은 일반 ISO 13485 인증 만으로는 커버되지 않으므로 별도의 대비 절차가 필요합니다.

Q2. ISO 13485 인증과 KGMP 인증 중 먼저 받아야 하나요, 아니면 동시에 진행할 수 있나요?

수출과 내수 우선순위에 따라 다릅니다. 국내 판매가 우선이라면 식약처 지정 기관을 통해 국내 KGMP 심사를 먼저 통과해야 품목 허가가 완료됩니다. 반면 CE MDR이나 해외 허가를 타겟으로 수출 중심의 전략을 취한다면 해외 인증용 ISO 13485 심사를 먼저 진행하는 것이 유리할 수 있습니다.

품질 문서(SOP) 설계 단계부터 두 요건을 통합하여 동시에 구축(동시 진행)하는 것이 궁극적인 문서 이중화 리스크와 컨설팅 비용을 막는 가장 효율적인 경로입니다.

Q3. MDSAP 심사를 받으면 한국 KGMP도 면제되나요?

원칙적으로 면제되지 않습니다. 한국 식약처는 현재 MDSAP(의료기기 단일심사 프로그램)의 정회원국(Participating Regulatory Authority)이 아니라 옵저버 겸 제휴회원(Official Observer / Affiliate Member) 지위에 있습니다. 따라서 MDSAP 심사를 통과하여 캐나다·미국 등 정회원국에서 혜택을 받더라도, 국내 KGMP 적합성인정서 취득을 위한 식약처 적합성평가 절차는 별도로 진행해야 합니다.

다만, 수입 의료기기(해외 제조소)의 경우 식약처가 2023년부터 MDSAP 심사결과를 인정해 KGMP 현장심사를 서류심사로 대체하는 경로를 일부 품목에 대해 운영하고 있으므로, MDSAP 인증 보유 여부가 수입 KGMP 심사 부담을 실질적으로 줄여주는 효과는 있습니다.

참고 출처

U.S. FDA QMSR Final Rule: Quality Management System Regulation (21 CFR Part 820)
ISO Official Catalog: ISO 13485:2016 - Medical devices - QMS Requirements
European Commission Harmonised Standards: Harmonised standards for Medical devices under MDR
Commission Implementing Decision (EU) 2022/757: EN ISO 13485:2016/A11:2021 Amendment under MDR
Commission Implementing Decision (EU) 2026/1231: Harmonized Standards Update Decision (11 June 2026)
FDA MDSAP Home: Medical Device Single Audit Program (MDSAP)