Audit trail 검토는 최근의 DI 트렌드 및 규정의 중요성을 고려할 때, 매우 중요한 요소 중 하나입니다. 전자데이터가 Original data 로 정의됨에 따라, 전자 데이터의 검토에 반드시 포함되어야 하는 Meta data 요소 중 하나가 Audit trail 입니다. Audit trail 검토 방법과 검토 주기 수립은 DI 규정 준수에 필요한 최소 요건 입니다. ISPE 에서 언급하는 Audit trail 정의를 바탕으로 아래와 같이 정리합니다.
[목차]
- Audit trail review ?
- Audit trail의 사용
- Audit trail 기능
- Audit trail의 확장
- Audit trail review 절차
- Audit trail 수준 차이 문제
Audit trail reveiw ?
제약 회사는 Audit trail review 에 대한 절차를 수립하고 문서화 해야 합니다. 이는 2nd person verification 의 일환으로 수행되고, Audit trail review 는 Routine (매 분석 결과 마다) review 및 approval 되어야 합니다.
Audit trail review 절차 수립 시에 검토 주기와 검토 주체와 책임을 명시해야 합니다. 주기는 Risk assessment 방법을 통해 검토 데이터의 중요도와 프로세스 절차의 중요도에 따라 위험이 달라 집니다. (중간 단계는 이후 검출 및 risk 발생에 따른 위험이 낮은 반면, 마지막 단계에서의 문제 발생은 제품/공정과 환자의 영향에 Critical 한 영향을 줍니다)
Audit trail review 는 데이터를 생성하는 부서와 이해관계가 없는 제 3의 인원을 통해 검토되어야 합니다. 이는 데이터의 변경 및 데이터 완전성 이슈를 확인할 때 효과적으로 작용할 수 있습니다. (문제를 눈감아 주거나, 처리해주는 일이 불가능 합니다.)
Audit trail의 사용
Audit trail 은 Routine 검토(전자 데이터 검토)를 통해 개별 분석/공정 Step 에 대한 데이터 완전성 위반 여부를 확인합니다. 추가로, 제 3의 부서 (예:QA 부서)의 Periodic 분석을 통해 1차로 검토된 개별 데이터를 포함하여, 해당 검토 기간 내에 데이터 완전성 측면의 문제를 일으긴 내용(데이터 변경 및 삭제, 시스템 설정 변경 등) 이 있는지 추가 확인합니다.
▼Audit trail 에 포함되는 변경 이력 내용
1. Processing Method change
2. Instrument setting
3. Processed result 변경
4. 데이터의 생성, 변경 삭제
GMP 영역에서 Audit trail review 를 수행하는 경우는 아래와 같습니다.
1. Routine data review 의 일부로 수행되는 Audit trail review
2. DI 관련 위험 평가 또는 DI 관련 문제 발생에 따른 조사 목적으로 수행되는 Audit trail review
3. Audit trail 기능의 활성화 및 정상적인 기능으로 사용하기 위해 수행되는 기능 검증 시
Technical system log 의 형태로 기기의 historical 기록이 남는 경우가 있으며, 시스템 이벤트, 설정, 작동 이력등의 기록됩니다. 해당 이력은 data audit trail 로써 (Routine review 경우) 검토해야하는 Scope 은 아닙니다. (Periodic review 를 통해서는 DI 기준을 벗어나는 행위. e.g., 시스템 설정 변경, 데이터 삭제 등, 는 검토 항목으로 포함해야 합니다)
Audit trail 기능이 없거나 기록되는 정보가 미미한 경우, 데이터의 정확성(유효성)을 검증할 수 있는 대체 수단이 요구됩니다. (예: 감독 절차, 이중 확인(2nd verification), 이중 관리 절차 등) 이때, 대체 수단의 적절성(위험 발생 가능성)은 위험 평가 (Risk assessment) 를 통해 적정 수준의 위험으로 관리됨을 증명(문서화) 해야 합니다.
Audit trail 기능
Audit trail 기능은 기록과 데이터의 생성, 변경, 삭제의 추적성 확보을 위해 필요합니다.
전자 데이터가 아닌 종이 기록의 경우에도 기록에 대한 생성 (언제/누가 기록했는지) 정보와 변경/삭제 (언제/누가/왜 변경, 삭제 했는지) 에 대한 사유 기록을 요구 합니다. (e.g., 변경 사유에 대한 코멘트 작성 및 작업자/해당 날짜 기록)
이와 같이, 전자 데이터를 생성하는 컴퓨터화 시스템의 경우에도 데이터의 생성/변경/삭제에 대한 추적성 확보를 위한 최소한의 기능을 하도록 디자인 되어야 합니다.
아래의 정보들이 의무적으로 기록되도록 디자인된 시스템 사용을 통해 데이터 완전성을 보증할 수 있습니다.
데이터의 생성 정보 / 데이터의 변경, 삭제 정보 / 변경, 삭제 시 근거 정보
또한, Audit trail 기능 자체는 타 User 에 의해 기능을 활성화/비활성화 할 수 없도록 디자인되어야 합니다.
Audit trail 의 확장
프로세스 작업 중 생성된 Audit trail은 전자데이터 검토 시 데이터의 일부로 검토 되고 승인 되어야 합니다. 따라서, audit trail 기록의 추가적인 검토는 요구되지 않을 수 있습니다. (단, 시스템 audit trail 검토가 별도로 필요한 경우에는 예외가 됩니다.)
▼ 검토하는 Audit trail 에 포함되어야 하는 정보
1. 활동을 수행하는 작업자 정보
2. 데이터 변경/삭제 시, 세부 변경/삭제 정보와 이전 value(초기 결과 값)
3. 변경/삭제에 대한 사유 기록
4. 활동이 언제(날짜/시간) 되었는지 기록
Audit trail 자체에 대한 절차/정의 외에 audit trail 관리를 위한 관리도 함께 수립되어야 합니다.
- Audit trail 기능에 대한 초기 검증(밸리데이션) 과 변경 관리를 통한 후속 검증
- Audit trail 설정에 대한 관리/모니터링 및 주기적인 확인
- 권한 부여가 안된 인원에 의한 audit trail 설정 접근 제한
- Audit trail 기능 off 의 제한
- 시스템 시간(네트워킹 시간) 의 정확성 및 보완 보증
- 효과적인 SOD(Segregation of duties) 의 설정 (System admininstrator 권한을 제3의 부서 (예: IT) 로 지정)
- 주기적인 audit trail 활성화 여부 확인
- System 의 사용, 관리자 절차, 변경 관리 등에 대한 절차 수립 (적절한 system operation procedure 구축)
Audit trail reveiw 절차
일반적인 Routine data review 절차에 따라 Audit trail 은 검토 됩니다. 검토 시 잠재적인 DI 문제 발생 여부를 확인하며, 세부 사항은 아래 내용이 포함됩니다.
- 잘못된 데이터 입력
- 권한이 없는 인원으로 부터의 변경 사항
- 실시간 기록되지 않은 데이터
- 데이터 조작
Audit trail 수준 차이 문제
Audit trail 은 데이터 완전성 수준을 높이고, DI 잠재력 위험을 관리하기 위한 유용한 Tool 이지만, 시스템의 규모나 수준에 따라 기능이나 기록 요소 수준에 차이가 있습니다. 특히 아래와 같은 사항들이 audit trail 기능 도입에 어려움을 발생 기킬 수 있습니다.
- Audit trail 기록이 user 친화적이지 않음. 별도의 tool 이나 프로그램을 이용해야만 audit trail 을 읽을 수 있는 경우
- System log 의 형태가 기술적인 데이터 형태에서 가독성 있는 정보 형태로 변환 시켜야 하는 경우
- Audit trail 의 기록들이 너무 광범위 하고, 구체적 기록을 구별하기 어려운 형태로 기록되는 경우
- Audit trail 기록에 주요하지 않은 event 들이 너무 많이 포함하는 경우
위와 같은 어려움을 개선하기 위해 event 기록의 sorting / Filter 가 지원되면 좋으나, 실질적으로 지원하지 않는 경우가 많습니다. 따라서, 시스템 구축 및 교체 시에는 audit trail 기능을 포함한 DI 요구 사항을 만족시킬 수 있는 시스템을 사전 평가하여 도입하는 것이 필요합니다.
'데이터 완전성 (Data Integrity)' 카테고리의 다른 글
| DI 에서 요구하는 데이터 백업/복구/보관/폐기 (0) | 2022.04.29 |
|---|---|
| Data Retention and Retrieval (0) | 2022.04.28 |
| GMP 데이터 검토 (DI 규정에 따른 위험 고려 방법) (0) | 2022.04.19 |
| Data processing (데이터 가공) 이해 (DI Data life cycle 단계) (2) | 2022.04.18 |
| Data life cycle(데이터 라이프 사이클;데이터 수명 주기) 이해 하기 (0) | 2022.03.31 |
댓글