R&D 외주를 시작할 때 가장 위험한 문장은 “예전에 거래해 봤으니 괜찮다”입니다. 개발 단계의 외주업체와 공급업체는 단순 구매처가 아니라 시험 결과, 시제품 품질, 원재료 일관성, 데이터 보존, 변경 통보, 지식재산 경계에 영향을 주는 운영 파트너입니다. 가격이 낮고 일정이 빠른 업체라도 필요한 기록을 남기지 못하면 나중에 실패 원인을 되짚기 어렵습니다. 반대로 인증서가 많고 시설이 좋아 보여도 이번 과제의 시험 방법, 샘플 취급, 하위 외주, 변경 통제, 성과 보고 방식과 맞지 않으면 승인 뒤에 리스크가 커집니다.

이 글은 공급업체 감사를 어떻게 진행할지보다, 외주 또는 공급업체를 “적격”으로 인정하기 전에 어떤 문서를 요구하고 어떤 조건을 계약에 넣으며 승인 이후 어떤 성과 기록으로 재평가할지를 정리합니다. 기존 감사 글이 현장 확인 질문에 가깝다면, 이 글은 승인 파일을 만드는 기준표입니다. 평가 단계에서는 업체 능력과 과제 영향도를 나누어 보고, 계약 단계에서는 책임과 기록 경계를 고정하며, 운영 단계에서는 성과 모니터링과 변경 이력을 다음 승인 판단의 근거로 남깁니다. 특정 산업 인증 취득이나 규제 적합을 보장하는 글이 아니며, 공식 출처의 원칙을 R&D 일반 업무에 맞게 해석한 초안입니다.

빠른 결론

R&D 공급업체 적격성은 “회사 소개서가 충분한가”가 아니라 “이번 외주가 실패했을 때 어떤 제품·데이터·일정·규제·IP 리스크가 생기며, 그 리스크를 줄일 문서와 계약 조항이 있는가”로 판단해야 합니다. 승인 파일에는 업무 범위, 과제 영향도, 기술 능력, 품질시스템 수준, 데이터·기록 보존, 변경 통보 기준, 하위 외주 사용, 성과 지표, 재평가 주기가 함께 들어가야 합니다. 승인 결론도 승인, 조건부 승인, 보류, 대체 업체 탐색으로 나누어야 나중에 같은 업체를 무조건 반복 승인하지 않습니다.

R&D 외주 공급업체 적격성 평가는 구매 평가가 아니라 개발 리스크 평가입니다

일반 구매 평가는 가격, 납기, 결제 조건, 기본 품질 이력을 중심으로 움직입니다. R&D 외주 평가는 다릅니다. 아직 요구사항이 확정되지 않았고, 시험 방법이 바뀔 수 있으며, 작은 변경이 시제품 성능과 규제 제출 자료에 영향을 줄 수 있습니다. 그래서 공급업체 적격성 평가는 먼저 “이 업체가 무엇을 제공하는가”가 아니라 “이 업체가 실패하면 우리가 무엇을 잃는가”를 묻습니다. 위탁시험기관이면 시험 결과의 신뢰성, 원자료 접근권, 장비 교정, 샘플 보관, 재시험 기준이 중요합니다. 개발 외주업체라면 설계 산출물, 코드·도면·모델의 소유권, 검토 회의록, 변경 승인, 보안과 하위 외주 사용이 중요합니다. 부품·원재료 공급업체라면 사양 고정, 로트 추적, 대체품 제안, 성적서 진위, 납기 변동, 불일치 처리 기록이 핵심입니다.

ICH Q10은 외주 활동과 구매 자재 품질이 품질시스템 안에서 관리되어야 하며, 공급자 적합성과 능력 평가, 책임과 의사소통 절차, 계약 상대의 성과와 자재 품질에 대한 모니터링이 필요하다는 방향을 제시합니다[S1]. 이 원칙을 R&D에 적용하면 “적격성”은 한 번 받은 인증서가 아니라 외주 범위와 리스크에 비례해 정한 통제 수준입니다. NIST SP 800-161도 공급망 리스크를 조직 전체의 리스크 관리 안에 통합해 식별, 평가, 완화하도록 설명합니다[S5]. 소프트웨어, 데이터, 클라우드 분석, 시험장비 펌웨어처럼 디지털 요소가 섞인 R&D 외주라면 보안·접근권·구성 변경도 품질 기록의 일부로 봐야 합니다.

평가 시작 전에 업체를 세 등급으로 나누면 문서 요구가 선명해집니다. 1등급은 결과가 주요 의사결정이나 규제·고객 제출 자료에 직접 들어가는 업체입니다. 위탁시험, 핵심 알고리즘 개발, 중요 부품 공급, 멸균·포장 검증, 안전성 시험이 여기에 들어갑니다. 2등급은 개발 속도와 반복 실험에는 중요하지만 최종 판정 자료를 단독으로 만들지 않는 업체입니다. 시제품 가공, 보조 분석, 비핵심 모듈 개발, 임시 장비 임대가 예입니다. 3등급은 품질 영향이 낮거나 대체가 쉬운 일반 서비스입니다. 등급을 정하지 않으면 모든 업체에 과도한 문서를 요구하거나, 반대로 중요한 업체를 견적서만 보고 승인하는 실수가 생깁니다.

평가 등급대표 외주·공급 범위승인 전에 반드시 볼 문서
1등급: 핵심 품질 영향위탁시험, 중요 부품, 핵심 개발, 규제 제출 근거품질시스템 개요, 관련 인증·인정 범위, 유사 프로젝트 이력, 원자료 보존 정책, 변경 통보 기준, 하위 외주 승인 절차
2등급: 개발 운영 영향시제품 가공, 보조 시험, 개발 지원, 임시 분석작업 지시서 대응 능력, 장비·인력 이력, 납기·불일치 처리 기록, 결과물 검토 절차
3등급: 낮은 품질 영향일반 구매, 범용 서비스, 대체 가능 소모품기본 사업자 정보, 견적·납기 조건, 불만 처리 연락점, 보안 필요 시 NDA

적격성 승인 파일에는 능력, 범위, 증거, 한계를 같은 줄에 둡니다

공급업체 평가표가 약해지는 이유는 “좋음, 보통, 나쁨”처럼 감상형 점수로 끝나기 때문입니다. 적격성 승인 파일은 업체의 장점을 모으는 폴더가 아니라 이번 R&D 업무를 맡겨도 되는 이유와 아직 맡기면 안 되는 범위를 같이 기록하는 문서입니다. FDA의 quality agreement guidance는 계약 제조 활동에서 각 당사자의 활동을 정의하고 문서화해 품질 책임을 분명히 하는 목적을 설명합니다[S2]. R&D 외주에서도 같은 사고방식이 필요합니다. 업체가 잘하는 일, 이번 계약에서 맡기는 일, 맡기지 않는 일, 결과물을 검토하는 방법, 문제가 생겼을 때 통보할 기준을 나누어야 합니다.

승인 파일의 첫 장에는 업무 범위와 영향도를 둡니다. 예를 들어 “열충격 시험 수행”이라고만 쓰면 부족합니다. 샘플 수, 전처리 조건, 시험 규격 또는 내부 방법서, 원자료 제출 여부, 실패 기준, 재시험 조건, 시험편 폐기 또는 반환 기준까지 써야 합니다. 개발 외주라면 “펌웨어 개발”이 아니라 기능 목록, 인터페이스, 코드 저장소 접근, 빌드 환경, 검토 주기, 인수 기준, 보안 취급, 배포 금지 범위를 써야 합니다. 공급업체라면 품목명, 도면·규격 버전, 허용 대체재, 로트 추적, 성적서 항목, 포장·보관 조건을 고정합니다.

두 번째 장에는 증거를 둡니다. 인증서, 시험기관 인정 범위, 장비 교정성적서, 유사 프로젝트 결과, 주요 인력 이력, 표준작업절차 목차, 샘플 보고서, 보안 정책, 불일치 처리 사례, 고객 불만 대응 기록처럼 “말이 아니라 확인 가능한 자료”를 붙입니다. ISO/IEC 17025는 시험·교정기관의 역량과 일관된 운영을 다루는 표준으로, 위탁시험 평가에서는 인정서 유효기간보다 인정 범위에 이번 시험 방법과 측정 범위가 들어가는지 확인하는 것이 더 중요합니다[S6]. 인정 범위 밖 시험이면 무조건 불가라는 뜻은 아니지만, 내부 검증이나 제한 문구가 추가되어야 합니다.

세 번째 장에는 한계와 조건을 둡니다. 조건부 승인에는 반드시 조건, 기한, 책임자를 써야 합니다. “장비 교정성적서 수령 후 본시험 착수”, “첫 3로트는 전수 성적서 검토”, “하위 외주 사용 시 사전 서면 승인”, “원자료는 발행 후 5영업일 이내 제공”, “주요 변경은 적용 전 통보”처럼 다음 행동으로 연결되는 문장이어야 합니다. 조건이 없는 조건부 승인은 사실상 무제한 승인입니다. 보류도 이유가 있어야 합니다. 기술 능력이 부족한지, 기록 접근권이 부족한지, 계약 책임이 불명확한지, 일정만 맞지 않는지에 따라 대체 업체 탐색 방향이 달라집니다.

위탁시험·개발 계약은 상업 조건보다 품질 책임과 기록 권한을 먼저 고정합니다

외주 계약서에서 단가와 납기만 확정하면 개발팀은 안심하기 쉽습니다. 그러나 R&D 품질 관점에서 더 먼저 고정해야 할 것은 결과물의 신뢰성과 기록 접근권입니다. 위탁시험 계약에는 시험 방법, 샘플 식별, 장비와 소프트웨어 버전, 원자료 제공 범위, 재시험과 규격 외 결과 처리, 성적서 수정 절차, 샘플 보관·폐기, 비밀유지, 하위 외주 사용, 변경 통보를 넣어야 합니다. 개발 계약에는 산출물 목록, 검토 주기, 인수 기준, 코드·도면·모델·데이터 소유권, 오픈소스 사용 통보, 보안 기준, 결함 수정 책임, 배포 전 승인, 종료 시 자료 반환을 넣어야 합니다.

EU GMP Chapter 7과 PIC/S GMP Guide는 외주 활동이 명확히 정의되고 합의되고 관리되어야 하며, 계약 제공자가 외주 활동의 통제와 검토에 대한 최종 책임을 가진다는 원칙을 제시합니다[S7][S8]. 이 원칙은 제약 GMP에만 기계적으로 적용하라는 뜻이 아니라, R&D 외주에서도 책임을 업체에 넘겼다고 해서 내부 책임이 사라지지 않는다는 점을 보여줍니다. 계약서에는 “업체가 알아서 품질을 보증한다”가 아니라 “어떤 기준으로 작업하고, 어떤 기록을 남기며, 누가 검토하고, 어떤 변경은 사전 승인 대상인지”가 들어가야 합니다.

품질 계약 또는 기술 부속합의서는 본계약보다 더 실무적이어야 합니다. 본계약은 대금, 기간, 손해배상, 비밀유지, 일반 권리 관계를 다루고, 품질 부속합의서는 시험·개발·공급 운영을 다룹니다. 두 문서가 충돌하면 현장에서 혼란이 생기므로 문서 우선순위도 정합니다. 예를 들어 본계약에는 “하위 외주 가능”이라고 되어 있는데 품질 부속합의서에는 “하위 외주는 사전 승인”이라고 되어 있으면 어느 문장이 우선인지 분쟁이 됩니다. R&D 팀은 법무 검토 전에 품질 부속합의서의 업무 문장을 먼저 만들어야 합니다.

계약 조항넣어야 할 질문빠지면 생기는 문제
업무 범위업체가 수행하는 시험·개발·공급 범위와 제외 범위는 무엇인가결과물이 예상과 달라도 계약 위반 여부를 판단하기 어렵다
기록 접근권원자료, 로그, 코드, 도면, 성적서, 회의록을 언제 어떤 형식으로 받을 수 있는가실패 원인 분석과 고객 설명 자료가 비어 있다
변경 통보사양, 방법, 장비, 인력, 장소, 하위 외주, 소프트웨어 버전 변경은 언제 통보하는가같은 이름의 결과물이 실제로는 다른 조건에서 만들어진다
불일치 처리규격 외 결과, 결함, 지연, 샘플 손상, 보안 사고는 누가 언제 알리는가문제를 늦게 알아 일정과 증거가 동시에 무너진다
종료와 이전계약 종료 시 자료 반환, 삭제, 인수인계, 후속 지원 범위는 무엇인가업체 변경 때 개발 자산과 기록이 끊긴다

성과 모니터링은 승인 뒤에 하는 평판 관리가 아니라 다음 승인 근거입니다

공급업체 적격성 평가의 약점은 첫 승인 뒤 기록이 멈추는 것입니다. 첫 거래 때는 평가표와 계약서를 꼼꼼히 만들지만, 이후에는 익숙하다는 이유로 성과를 숫자로 남기지 않습니다. 그러면 1년 뒤 재평가에서 “대체로 괜찮았다”는 말만 남습니다. ICH Q10은 계약 상대의 성과 또는 제공 자재 품질을 모니터링·검토하고 필요한 개선을 식별·실행하는 흐름을 제시합니다[S1]. 성과 모니터링은 평가 파일의 부록이 아니라 다음 승인 여부를 결정하는 핵심 자료입니다.

성과 지표는 업체 유형마다 달라야 합니다. 위탁시험기관은 성적서 정시 발행률, 원자료 요청 대응 시간, 재시험·수정 성적서 발생률, 장비 교정 이슈, 샘플 식별 오류, 규격 외 결과 통보 시간을 봅니다. 개발 외주업체는 마일스톤 달성률, 결함 재발률, 요구사항 변경 대응, 코드·도면 리뷰 통과율, 보안 이슈, 산출물 인수 지연을 봅니다. 부품·원재료 공급업체는 납기 준수, 로트별 성적서 완전성, 입고검사 부적합, 대체품 제안 건수, 변경 사전 통보 준수, CAPA 완료율을 봅니다. 모든 업체에 같은 KPI를 붙이면 실제 리스크를 보지 못합니다.

성과 기록에는 숫자만 두지 않습니다. 숫자 옆에 판단을 남겨야 합니다. 납기 준수율이 낮아도 사전 통보와 대체 일정 관리가 좋았다면 조건부 유지가 가능할 수 있습니다. 반대로 납기는 맞았지만 성적서 수정이 잦고 원자료 접근이 느리면 핵심 시험업체로 계속 승인하기 어렵습니다. 성과표에는 “유지, 조건부 유지, 등급 하향, 신규 발주 제한, 보류” 같은 결론과 그 이유를 둡니다. 결론이 다음 발주 시스템이나 내부 승인 절차에 반영되지 않으면 모니터링은 보고서 장식이 됩니다.

업체 유형핵심 성과 기록재평가 판단 기준
위탁시험기관성적서 정시성, 원자료 제공, 재시험 사유, 장비 교정 이슈, 샘플 취급 오류핵심 시험 유지 여부, 추가 검증 필요 여부, 조건부 승인
개발 외주업체산출물 인수율, 결함 재발, 리뷰 대응, 보안 이슈, 코드·도면 인계다음 단계 개발 위임 범위, IP·자료 이전 조건
부품·원재료 공급업체납기, 로트 추적, 성적서 완전성, 입고 부적합, 변경 통보승인 공급처 유지, 대체 공급처 병행, 첫 로트 강화 검사
전문 서비스 업체보고서 품질, 일정 준수, 데이터 보존, 이해상충, 커뮤니케이션재계약, 범위 축소, 검토자 추가 배정

하위 외주와 변경 통보는 적격성 파일에서 별도 위험으로 다룹니다

R&D 외주에서 실제 문제가 자주 생기는 지점은 업체 자체가 아니라 업체가 다시 맡긴 하위 외주와 조용한 변경입니다. 시험기관이 일부 분석을 다른 기관에 넘기거나, 개발 외주업체가 프리랜서에게 코드 일부를 맡기거나, 공급업체가 원재료 등급 또는 제조 장소를 바꾸면 내부 승인 당시의 전제가 흔들립니다. NIST SP 800-161은 공급망 리스크에서 조직이 제품과 서비스의 개발·통합·배포 방식에 대한 가시성이 낮아지는 문제를 중요하게 봅니다[S5]. R&D 품질에서도 가시성이 낮은 하위 외주는 결과물 신뢰성을 약하게 만듭니다.

적격성 체크리스트에는 하위 외주 사용 여부를 따로 묻습니다. “하위 외주 없음”이라는 답변만 받을 것이 아니라, 하위 외주 금지 범위, 허용 가능한 하위 외주 유형, 사전 승인 필요 여부, 하위 외주 기록 접근권, 하위 외주 변경 통보 기한을 정합니다. 위탁시험에서는 어떤 시험 항목이 외부 재위탁 가능한지, 성적서에 재위탁 사실이 표시되는지, 원자료 접근권이 유지되는지 확인합니다. 개발 외주에서는 코드 작성, 보안 테스트, 데이터 라벨링, 모델 학습, 클라우드 운영을 제3자에게 맡길 때 IP와 보안 책임이 유지되는지 봅니다.

변경 통보 기준도 “중요 변경은 통보”라고 쓰면 부족합니다. 중요한 변경이 무엇인지 예시를 붙여야 합니다. 시험 방법, 장비, 소프트웨어 버전, 시험 장소, 핵심 인력, 샘플 보관 조건, 원재료 등급, 제조소, 하위 외주, 데이터 보존 위치, 보안 도구, 성적서 양식 변경은 대부분 사전 통보 대상입니다. 일정, 연락 담당자, 내부 교육 완료처럼 품질 영향이 낮은 변경은 사후 보고로 충분할 수 있습니다. 통보 제외 항목은 업체가 임의로 정하지 않고, 내부 R&D 책임자가 영향 없음으로 승인한 항목만 허용해야 합니다.

주의할 문장

“동등품 사용 가능”, “필요 시 하위 외주 가능”, “중요 변경만 사전 통보”, “결과물은 관례에 따름” 같은 문장은 적격성 승인 파일에서 위험 신호입니다. 동등품의 기준, 하위 외주 승인권자, 중요 변경의 예시, 결과물 형식과 보존 기간을 붙이지 않으면 계약 뒤에 서로 다른 기준으로 같은 문장을 해석합니다.

승인 결론은 승인·조건부 승인·보류·대체 탐색으로 나누어 기록합니다

적격성 평가의 마지막 장은 점수가 아니라 결론입니다. 점수는 참고자료일 뿐, 실제 의사결정은 이번 외주를 맡길 수 있는지와 어떤 제한을 붙일지입니다. 승인 결론은 네 가지가 실무적으로 유용합니다. 첫째, 승인입니다. 업무 범위와 리스크에 비해 필요한 증거가 충분하고 계약 조항으로 통제 가능한 경우입니다. 둘째, 조건부 승인입니다. 업체 능력은 충분하지만 특정 문서, 첫 로트 검증, 원자료 접근, 보안 조치, 변경 통보 기준 보완이 필요한 경우입니다. 셋째, 보류입니다. 핵심 증거가 없어 즉시 발주하면 안 되는 경우입니다. 넷째, 대체 탐색입니다. 기술 능력, 기록 체계, 책임 수용, 보안 또는 IP 조건이 맞지 않아 다른 업체를 찾는 것이 합리적인 경우입니다.

조건부 승인과 보류는 특히 명확해야 합니다. “보완 후 승인”이 아니라 “교정성적서와 인정 범위 확인 후 시험 착수”, “품질 부속합의서 서명 전 샘플 발송 금지”, “첫 2회 성적서 원자료 전수 검토 후 정규 승인 전환”, “하위 외주 목록 제출 전 개발 데이터 접근 금지”처럼 행동과 기한을 써야 합니다. 조건이 닫히면 누가 확인했는지도 기록합니다. 확인자가 없으면 조건은 회의록에만 남고 실제 발주에서는 사라집니다.

재평가 주기도 결론에 붙입니다. 1등급 업체는 프로젝트 마일스톤 또는 6~12개월 단위로 재평가하고, 큰 변경이나 부적합이 있으면 즉시 재평가합니다. 2등급 업체는 주요 발주 전 또는 연 1회가 적절할 수 있습니다. 3등급 업체는 불만이나 품질 영향이 생길 때만 재평가해도 충분할 수 있습니다. 중요한 것은 주기를 업체 평판이 아니라 과제 영향도와 성과 기록에 맞추는 것입니다. 좋은 업체라도 새 업무 범위가 핵심 품질에 영향을 주면 다시 평가해야 합니다.

R&D 외주 적격성 체크리스트 12문항

실무에서는 아래 12문항만 먼저 채워도 승인 파일의 빈틈을 빠르게 찾을 수 있습니다.

1. 이번 외주 또는 공급 품목이 R&D 의사결정, 규제·고객 제출, 시제품 성능, 데이터 신뢰성 중 어디에 영향을 주는가.

2. 업체가 맡는 업무 범위와 맡지 않는 범위가 작업지시서 또는 계약 부속문서에 분리되어 있는가.

3. 인증서나 인정서가 이번 시험 방법, 측정 범위, 개발 범위, 공급 품목과 실제로 연결되는가.

4. 유사 프로젝트, 샘플 보고서, 성적서, 코드·도면 예시처럼 능력을 확인할 증거가 있는가.

5. 원자료, 로그, 시험 데이터, 코드, 도면, 회의록, 성적서 수정 이력에 접근할 권한이 계약에 들어가는가.

6. 하위 외주 사용 여부와 사전 승인 기준이 문서로 정해져 있는가.

7. 시험 방법, 장비, 소프트웨어, 원재료 등급, 제조소, 핵심 인력, 데이터 보존 위치 변경은 언제 통보되는가.

8. 규격 외 결과, 결함, 납기 지연, 샘플 손상, 보안 사고, IP 이슈의 통보 기한과 책임자가 있는가.

9. 승인 뒤 모니터링할 KPI가 업체 유형별로 정해져 있는가.

10. 조건부 승인이라면 조건, 기한, 확인자, 조건 미충족 시 조치가 명확한가.

11. 재평가 주기가 과제 영향도와 성과 기록에 따라 정해져 있는가.

12. 적격성 승인 파일이 다음 발주, 시험 의뢰, 개발 계약, 성과 재평가에서 다시 열릴 수 있는 구조인가.

이 체크리스트의 목적은 업체를 까다롭게 괴롭히는 것이 아닙니다. 개발팀이 맡긴 일을 나중에 설명할 수 있게 만드는 것입니다. R&D는 불확실성을 줄이는 활동이므로 외주 관리도 같은 방향이어야 합니다. 좋은 공급업체는 “가능합니다”라고만 말하지 않고, 어떤 조건에서 가능하며 어떤 기록을 남기고 어떤 변경을 미리 알려야 하는지 함께 합의할 수 있는 업체입니다.

다음 문서 흐름은 이렇게 잡으면 됩니다. 공급업체 현장 확인 질문이 필요하면 R&D 협력사 품질감사 체크리스트를 봅니다. 구매 사양과 인수 기준이 먼저 비어 있다면 R&D 구매 사양서 검수 기준 체크리스트로 이동합니다. 외주 개발에서 결과물 소유권이 얽히면 R&D 지식재산권 소유권 계약 체크리스트를 별도로 검토합니다. 품질시스템 전체 문서 체계를 잡아야 한다면 R&D 품질관리 QMS 체크리스트와 연결해 승인 파일, 계약, 성과 기록이 한 번에 추적되도록 정리합니다.

참고 출처