R&D 리스크 등록부 검토 체크리스트: 위험원, 완화조치, 잔여위험 확인

R&D 리스크 등록부는 위험을 많이 적어 두는 파일이 아니라, 다음 실험과 설계 변경과 예산 판단을 움직이는 의사결정 장부입니다. 그런데 실제 검토 회의에서는 “계속 모니터링”, “추가 확인 필요”, “담당자 검토 중” 같은 문장만 남고, 무엇이 위험원인지, 어떤 완화조치가 실제로 작동했는지, 남은 잔여위험을 누가 어떤 기준으로 받아들였는지가 흐려지는 일이 많습니다. 이런 등록부는 겉보기에는 최신 파일이지만, 감사나 게이트 리뷰에서 다시 읽으면 판단의 근거가 빠져 있습니다.

이 글은 새 리스크 등록부 양식을 만드는 법보다 이미 작성된 리스크 등록부를 검토하는 방법에 집중합니다. 같은 사이트의 R&D 프로젝트 리스크 레지스터와 컨틴전시 체크리스트가 리스크 항목과 대응 시나리오를 설계하는 글이라면, 이 글은 각 행을 다시 읽으면서 위험원, 원인, 현재 통제, 완화조치, 잔여위험, 승인 근거가 서로 연결되어 있는지 확인하는 검토 절차입니다. 또 R&D 리스크 등록부 운영회의 체크리스트가 회의 운영과 due date 추적에 초점을 둔다면, 여기서는 회의 전에 행 단위로 확인해야 할 내용 품질을 다룹니다.

ISO 31000은 리스크 관리를 식별, 분석, 평가, 처리, 모니터링과 의사소통이 이어지는 과정으로 설명합니다. ICH Q9(R1)은 품질 리스크 관리에서 평가, 통제, 커뮤니케이션, 검토가 반복되어야 하며 형식성은 리스크 수준에 비례해야 한다고 봅니다. NIST SP 800-30은 리스크 평가가 적절한 대응 방향을 결정하는 정보를 제공해야 한다고 설명합니다. NASA의 기술 리스크 관리 지침도 리스크 식별, 평가, 완화 준비, 추적이 프로젝트 수명주기와 연결되어야 한다는 점을 강조합니다[S1][S2][S3][S4]. 따라서 R&D 리스크 등록부 검토의 핵심은 “빈칸이 채워졌는가”가 아니라 “이 행을 보고 다음 행동을 결정할 수 있는가”입니다.

빠른 결론

R&D 리스크 등록부를 검토할 때는 각 리스크 행마다 다섯 가지를 확인합니다. 첫째, 위험원이 사건명이나 걱정 문장이 아니라 실제 불확실성의 출처로 적혀 있는가. 둘째, 완화조치가 “검토”가 아니라 담당자, 산출물, 완료 조건을 가진 실행 항목인가. 셋째, 기존 통제와 새 완화조치가 구분되어 있는가. 넷째, 조치 후에도 남는 잔여위험을 수용, 추가 조치, 상위 승인, 이슈 전환 중 하나로 판단했는가. 다섯째, 판단 근거가 시험 결과, 공급사 회신, 변경영향평가, 요구사항 추적, 회의록 같은 증거와 연결되어 있는가.

위험원은 리스크 제목보다 구체적이어야 합니다

리스크 등록부 검토에서 가장 먼저 볼 항목은 리스크 제목이 아닙니다. 제목은 “시제품 시험 지연 위험”처럼 넓어도 되지만, 위험원은 더 구체적이어야 합니다. 위험원은 리스크가 생기는 출처입니다. 시험 지연이라는 결과 뒤에는 장비 예약 불확실성, 시험 조건 미확정, 시험 샘플 부족, 외주기관 대기기간, 프로토콜 변경, 규제 해석 지연 같은 서로 다른 원인이 있을 수 있습니다. 위험원이 모호하면 완화조치도 모호해집니다.

좋은 검토 질문은 “이 리스크가 현실화된다면 무엇이 직접 흔들리는가”입니다. 예를 들어 “검증 시험 지연”이라는 행이 있다면 위험원을 시험실 일정으로만 볼지, 시험 샘플 제작 지연으로 볼지, acceptance criteria 미확정으로 볼지 구분해야 합니다. 시험실 일정이 위험원이라면 외주기관 슬롯 확보와 대체기관 확인이 조치가 됩니다. 샘플 제작 지연이 위험원이라면 부품 조달, 조립 공정, 생산 기록이 조치의 중심이 됩니다. 기준 미확정이 위험원이라면 R&D 사용자의 요구사항 명세서 체크리스트나 R&D acceptance criteria 테스트 계획 체크리스트로 돌아가야 합니다.

등록부의 위험원 칸에는 “개발 난이도 높음” 같은 평가어보다 관찰 가능한 조건이 들어가야 합니다. “센서 출력 편차가 반복 시험에서 허용범위 근처에 모여 있어 온도 조건 변화 시 성능 기준 미달 가능성이 있음”처럼 적으면 다음 검토자가 무엇을 확인해야 하는지 알 수 있습니다. 반대로 “성능 위험 있음”은 너무 넓습니다. ISO 31000식으로 보면 리스크 식별은 목적에 영향을 줄 수 있는 불확실성을 드러내는 단계입니다[S1]. 드러난 불확실성이 구체적이지 않으면 이후 분석과 처리가 모두 추정에 기대게 됩니다.

위험원을 검토할 때는 원인과 결과도 분리합니다. “공급사 납기 지연으로 통합 시험 일정이 2주 밀릴 수 있음”에서 위험원은 공급사 납기 불확실성이고 결과는 통합 시험 일정 지연입니다. 원인과 결과를 한 문장에 섞어 쓰는 것은 괜찮지만, 등록부 필드에서는 분리되어야 합니다. 그래야 완화조치가 결과를 설명하는 데 머무르지 않고 원인을 낮추는 쪽으로 설계됩니다.

기존 통제와 완화조치는 같은 칸에 두지 않습니다

두 번째 검토 포인트는 기존 통제와 완화조치의 구분입니다. 기존 통제는 이미 운영 중인 예방 또는 탐지 장치입니다. 정기 설계 리뷰, 시험 전 체크리스트, 샘플 입고 검사, 전자기록 승인 절차, 공급사 변경 통보 조건 등이 여기에 들어갑니다. 완화조치는 현재 리스크 수준이 허용 기준보다 높기 때문에 추가로 실행하는 조치입니다. 기존 통제와 완화조치를 한 칸에 섞으면 현재 리스크가 왜 여전히 높은지 보이지 않습니다.

예를 들어 “시험 전 장비 점검 실시”가 기존 통제인지 새 조치인지부터 확인해야 합니다. 이미 모든 시험 전에 하던 점검이라면 그것은 현재 리스크 평가에 반영되어 있어야 합니다. 새로 추가하는 조치라면 누가, 언제, 어떤 산출물을 남기고, 그 결과가 리스크 점수를 어떻게 바꿀지 적어야 합니다. “추가 검토”는 완화조치가 아닙니다. “7월 12일까지 fixture 고정 토크 재현성 3회 반복 결과를 시험 원자료 폴더에 저장하고, 편차가 기준 이상이면 시험 프로토콜을 개정한다”처럼 완료 조건이 있어야 합니다.

OSHA의 hierarchy of controls 자료는 위험을 줄이는 통제 수단을 효과 순서로 생각하게 해 줍니다[S5]. R&D에서는 이를 그대로 작업안전 규정처럼 적용하기보다, 제거, 대체, 공학적 통제, 절차적 통제, 보호 장치라는 사고방식을 빌려올 수 있습니다. 예를 들어 시험 실패 위험을 낮춘다고 할 때 단순히 “주의”를 강화하는 것보다 시험 조건을 자동 기록하게 만들거나, 샘플 혼입 가능성을 물리적으로 줄이거나, 입력 데이터 검증 규칙을 추가하는 편이 더 강한 완화조치일 수 있습니다. 이 구분이 없으면 등록부는 행동보다 의지의 목록이 됩니다.

완화조치 검토는 세 문장으로 끝낼 수 있어야 합니다. “무엇을 바꾸는가”, “그 변화가 어떤 위험원을 낮추는가”, “완료되면 어떤 증거로 확인하는가”입니다. 이 세 문장 중 하나가 비어 있으면 조치가 약합니다. 특히 R&D 프로젝트에서는 조치가 실험, 설계 변경, 공급사 확인, 문서 개정, 데이터 재분석으로 나뉘므로 산출물 이름을 붙이는 것이 중요합니다. 산출물이 없으면 다음 회의에서 같은 문장이 반복됩니다.

잔여위험은 점수보다 수용 근거가 중요합니다

완화조치를 적었다고 리스크가 사라지는 것은 아닙니다. 잔여위험은 기존 통제와 추가 완화조치를 고려한 뒤에도 남는 불확실성입니다. 검토 회의에서는 잔여위험 점수가 낮아졌는지만 보지 말고, 그 점수를 받아들일 수 있는 근거가 무엇인지 확인해야 합니다. 잔여위험 수용은 “괜찮을 것 같음”이 아니라 기준과 권한이 있는 판단입니다.

예를 들어 성능 시험에서 한 조건의 편차가 줄었지만 장기 안정성 데이터가 아직 부족하다면 잔여위험은 남아 있습니다. 이때 선택지는 네 가지입니다. 첫째, 현재 기준 안에서 수용합니다. 둘째, 추가 완화조치를 지정합니다. 셋째, 상위 의사결정자에게 승인 또는 범위 조정을 요청합니다. 넷째, 이미 발생한 문제로 보아 이슈, 부적합, CAPA, 변경관리로 전환합니다. UK Government Project Delivery의 리스크 관리 자료도 리스크 소유자, 현재 등급, 목표 등급, 대응 조치, 잔여위험 같은 필드가 리스크 관리에 필요하다는 구조를 제시합니다[S7].

잔여위험 검토에서 흔한 오류는 점수만 낮추는 것입니다. “가능성 4에서 2로 낮춤”이라고 적혀 있다면 왜 낮아졌는지 묻습니다. 추가 시험 결과가 있었는지, 공급사 납기 확약이 왔는지, 설계 변경이 승인되었는지, 외부 조건이 바뀌었는지 확인합니다. 근거가 없다면 점수 변경은 판단이 아니라 희망입니다. NIST SP 800-30이 리스크 평가를 대응 방향을 정하기 위한 정보로 보는 이유도 여기에 있습니다[S3]. 점수는 결론을 압축한 값일 뿐, 대응 방향을 설명하는 근거를 대신하지 못합니다.

<table>

<thead>

<tr>

</tr>

</thead>

<tbody>

<tr>

<td>불확실성의 직접 출처가 관찰 가능한 조건으로 적혔는가?</td>

</tr>

<tr>

<td>이미 운영 중인 예방·탐지 장치가 현재 평가에 반영됐는가?</td>

</tr>

<tr>

<td>action owner, due date, 완료 증거</td>

</tr>

<tr>

<td>조치 후에도 남는 위험을 누가 어떤 기준으로 받아들이는가?</td>

</tr>

</tbody>

</table>

승인권한과 action owner를 분리해야 추적이 됩니다

리스크 등록부 검토에서 사람 이름이 있다고 책임이 명확한 것은 아닙니다. 리스크 owner, action owner, 승인권자, 기록 담당자는 역할이 다릅니다. 리스크 owner는 해당 리스크의 판단 품질을 책임집니다. action owner는 특정 완화조치를 실행합니다. 승인권자는 잔여위험 수용, 일정 변경, 비용 사용, 범위 조정처럼 프로젝트 기준에 영향을 주는 결정을 승인합니다. 기록 담당자는 판단 근거와 증거 위치를 남깁니다.

한 사람에게 모든 역할이 모일 수는 있지만, 등록부에는 역할을 구분해 적어야 합니다. “PM 확인”이라고만 쓰면 PM이 조치를 실행하는지, 승인하는지, 기록만 남기는지 알 수 없습니다. “시험리더: 반복 시험 실행, QA: 원자료 검토, PM: 잔여위험 수용 여부 결정, 문서담당: 회의록과 등록부 갱신”처럼 나누면 다음 회의에서 추적이 됩니다. NASA의 기술 리스크 관리 지침은 기술 팀이 위험을 식별하고 완화 계획을 준비하며 진행 상황을 모니터링해야 한다는 흐름을 보여 줍니다[S4]. R&D 등록부에서도 역할 분리가 있어야 그 흐름이 실제 작업으로 내려옵니다.

승인권한은 특히 잔여위험과 연결됩니다. 낮은 잔여위험은 리스크 owner가 수용할 수 있지만, 목표 성능, 규제 제출, 환자 안전, 개인정보, 예산 한도, 마일스톤 변경에 영향을 주는 잔여위험은 상위 승인 또는 별도 프로세스가 필요할 수 있습니다. 모든 조직의 승인 기준은 다르므로 이 글이 특정 승인선을 정하지는 않습니다. 대신 등록부 검토 시 “이 잔여위험을 이 사람이 받아들일 권한이 있는가”를 반드시 묻습니다.

근거 링크가 없으면 등록부는 회의 기억에 의존합니다

리스크 등록부의 근거 칸은 파일을 많이 붙이는 곳이 아닙니다. 판단을 다시 재현할 수 있게 만드는 색인입니다. 시험 원자료, 변경영향평가, 공급사 회신, 회의록, 요구사항 추적표, 데이터 관리 계획, 설계 검토 결과, 부적합 조사 결과 중 어떤 자료가 어떤 판단을 뒷받침하는지 연결해야 합니다. 이 연결이 없으면 다음 검토자는 과거 회의 참석자의 기억에 의존하게 됩니다.

근거 링크는 “폴더 위치”보다 “판단과의 관계”를 보여 주어야 합니다. 예를 들어 “supplier_email.pdf”라고만 쓰는 것보다 “공급사 B가 7월 10일 신규 납기와 대체 lot 제공 가능성을 회신했으므로 공급 리스크 가능성 점수를 4에서 3으로 조정”이라고 적는 편이 낫습니다. 시험 결과도 마찬가지입니다. “test_result.xlsx”가 아니라 “조건 C 반복시험 3회 중 3회 통과, 단 장기 안정성 데이터 없음. 성능 리스크는 낮추되 안정성 잔여위험은 유지”처럼 해석을 남깁니다.

근거가 요구사항, 시험, 산출물 사이에서 흩어져 있다면 R&D 증거 추적 매트릭스 체크리스트로 분리해 관리하는 것이 좋습니다. 원자료 보관 위치와 접근권한이 문제라면 R&D 데이터 관리 계획 체크리스트를 함께 봐야 합니다. 리스크 등록부는 모든 증거를 보관하는 저장소가 아니라, 어떤 증거가 어떤 판단을 지지하는지 알려 주는 지도에 가깝습니다.

변경, 부적합, CAPA로 넘겨야 하는 리스크를 붙잡지 않습니다

리스크는 아직 발생하지 않은 불확실성입니다. 이미 발생한 실패, 기준 미달, 승인되지 않은 변경, 데이터 무결성 문제는 리스크 등록부에만 남겨 두면 안 됩니다. 그런 항목은 이슈, 부적합, CAPA, 변경관리, 프로토콜 개정, 추가 검증 같은 별도 흐름으로 전환해야 합니다. 등록부 검토에서 중요한 질문은 “아직 리스크인가, 이미 문제인가”입니다.

예를 들어 외주 시험기관 일정이 불확실하다는 것은 리스크입니다. 하지만 시험 예약이 실제로 취소되어 마일스톤을 지킬 수 없게 되었다면 그것은 이슈입니다. 측정 fixture가 틀어질 가능성은 리스크입니다. 이미 틀어진 fixture로 시험한 결과가 발견되었다면 부적합 또는 조사 대상입니다. 사용 요구사항이 모호해 향후 검증 범위가 흔들릴 가능성은 리스크입니다. 이미 모호한 요구사항 때문에 시험 기준이 잘못 설정되었다면 요구사항 수정과 변경영향평가가 필요합니다.

ICH Q9(R1)은 품질 리스크 관리가 제품 수명주기 전반에서 활용될 수 있고, 리스크 관리의 형식성과 문서화 수준은 리스크 수준에 비례해야 한다는 방향을 제시합니다[S2]. 이 원칙은 R&D 검토에도 유용합니다. 낮은 리스크는 등록부에서 추적해도 되지만, 안전성, 규제 제출, 데이터 신뢰성, 제품 성능에 직접 영향을 주는 발생 문제는 더 강한 문서 흐름으로 옮겨야 합니다. 이때 R&D 변경영향평가 체크리스트, R&D 부적합 CAPA 체크리스트, R&D 시험방법 변경 영향 체크리스트를 내부 링크 경로로 준비해 두면 검토 회의가 막히지 않습니다.

R&D 리스크 등록부 검토 회의 전 20분 점검표

회의 전에 등록부 전체를 다 다시 쓰려고 하면 시간이 부족합니다. 대신 20분 점검으로 위험한 행을 먼저 골라냅니다. 첫 5분은 최근 변경이 있는 행을 표시합니다. 시험 결과가 새로 나왔거나, 공급사 회신이 바뀌었거나, 일정이 밀렸거나, 요구사항이 변경된 행입니다. 다음 5분은 완화조치가 약한 행을 표시합니다. “검토”, “확인”, “논의 예정”, “추가 분석”처럼 산출물이 없는 문장이 있는 행입니다. 다음 5분은 잔여위험 판단이 없는 행을 표시합니다. 마지막 5분은 근거 링크가 없거나 오래된 행을 표시합니다.

이 네 종류의 행만 회의 안건으로 올려도 등록부 품질은 크게 나아집니다. 모든 행을 똑같이 읽으면 회의가 길어지고 중요한 리스크가 묻힙니다. 반대로 변경 행, 약한 조치 행, 잔여위험 미판단 행, 근거 누락 행을 먼저 보면 실제 의사결정이 필요한 부분이 보입니다. 이 방식은 리스크를 숨기지 않고 다루기 위한 우선순위 도구이지, 낮은 리스크를 무시하라는 뜻은 아닙니다.

검토 회의에서 멈춰야 하는 표현

“계속 확인”이라고 적혀 있지만 다음 확인일과 확인 산출물이 없다.

“담당자 검토”라고 적혀 있지만 action owner와 승인권자가 구분되어 있지 않다.

리스크 점수는 낮아졌지만 어떤 근거로 낮아졌는지 설명이 없다.

잔여위험을 수용했다고 적었지만 수용 기준과 승인자가 없다.

이미 발생한 문제인데도 이슈나 부적합 흐름으로 전환되지 않았다.

내부 링크 계획은 검토 범위를 나누기 위해 필요합니다

R&D 리스크 등록부 검토 글은 모든 리스크 관리 주제를 한 번에 해결하지 않습니다. 내부 링크 계획은 독자를 같은 사이트의 더 좁은 문서로 보내 검토 범위를 나누는 역할을 해야 합니다. 리스크 행을 새로 설계해야 한다면 R&D 프로젝트 리스크 레지스터와 컨틴전시 체크리스트로 이동합니다. 회의 운영, due date, 참석자 역할이 문제라면 R&D 리스크 등록부 운영회의 체크리스트가 맞습니다. 조치가 실제 변경을 만들면 R&D 변경영향평가 체크리스트로 넘깁니다.

시험 조건이나 fixture가 위험원이라면 R&D 테스트 픽스처 교정 체크리스트와 연결합니다. 요구사항이 위험원의 출처라면 R&D 사용자의 요구사항 명세서 체크리스트를 봅니다. 근거가 흩어져 있다면 R&D 증거 추적 매트릭스 체크리스트로 확장합니다. 데이터 보관과 원자료 신뢰성이 문제라면 R&D 데이터 관리 계획 체크리스트가 다음 경로입니다. 이렇게 나누면 리스크 등록부가 모든 문서의 대체물이 되지 않고, 필요한 판단을 필요한 문서로 보내는 관문이 됩니다.

최종 검토 문장은 “다음 행동”으로 끝나야 합니다

좋은 리스크 등록부 행은 마지막 문장을 읽었을 때 다음 행동이 보입니다. “위험원은 외주 시험기관 슬롯 불확실성이고, 기존 통제는 월간 일정 확인이며, 새 완화조치는 7월 10일까지 대체기관 견적과 가능 일정을 확보하는 것이다. 이 조치 후에도 통합 시험 시작일이 2주 이상 밀리면 PM 승인으로 시험 범위를 조정하거나 마일스톤 변경영향평가를 시작한다.” 이런 문장은 길지만 판단이 가능합니다.

반대로 “시험 지연 리스크 지속, 담당자 확인 예정”은 짧지만 아무도 움직이지 않습니다. R&D 리스크 등록부 검토의 목적은 문장을 예쁘게 만드는 것이 아니라 다음 판단을 가능하게 만드는 것입니다. 위험원이 구체적이고, 완화조치가 실행 가능하며, 잔여위험이 수용 기준과 연결되고, 근거 링크가 남아 있으면 등록부는 프로젝트를 괴롭히는 행정 문서가 아니라 불확실성을 다루는 운영 도구가 됩니다.

리스크를 모두 없애겠다는 약속은 현실적이지 않습니다. R&D는 본질적으로 불확실성을 다룹니다. 다만 어떤 불확실성이 남아 있는지, 그것을 줄이기 위해 무엇을 했는지, 그래도 남는 잔여위험을 누가 어떤 기준으로 받아들였는지 기록할 수는 있습니다. 그 정도의 등록부라면 다음 게이트 리뷰, 설계 변경, 시험 실패, 공급사 지연 앞에서도 같은 설명을 반복하지 않고 바로 다음 결정을 시작할 수 있습니다.

참고 출처

[S1] ISO 31000:2018 Risk management - Guidelines, International Organization for Standardization.
[S2] ICH Q9(R1) Quality Risk Management, International Council for Harmonisation.
[S3] NIST SP 800-30 Rev. 1 Guide for Conducting Risk Assessments, National Institute of Standards and Technology.
[S4] NASA 6.4 Technical Risk Management, NASA Systems Engineering Handbook.
[S5] Identifying Hazard Control Options: The Hierarchy of Controls, OSHA.
[S6] Design Control Guidance for Medical Device Manufacturers, FDA.
[S7] Chapter 20: Risk Management, Government Project Delivery, UK Government.
[S8] ISO 14971:2019 Medical devices - Application of risk management to medical devices, International Organization for Standardization.