R&D 단계에서 협력사를 고르는 일은 견적을 비교하는 구매 업무처럼 보이지만, 실제로는 제품 요구사항을 외부 조직에 맡겨도 되는지 판단하는 품질 결정이다. 외주 시험소가 낸 성적서가 나중에 규제 제출 자료나 고객 승인 자료로 쓰일 수 있고, 시제품 부품 공급사가 바꾼 원재료 하나가 내구 시험 실패로 이어질 수 있다. 더 위험한 지점은 변경 통보다. 협력사는 작은 공정 개선이나 장비 교체라고 생각했지만, 개발사는 그 변경 때문에 시험 결과의 연속성이나 부품 동등성을 다시 입증해야 할 수 있다.

이 글은 R&D 협력사 품질감사 체크리스트를 외주 시험, 부품 공급, 변경 통보 기준으로 나눠 정리한다. 특정 산업 인증을 대신하거나 법률 자문을 제공하는 글이 아니다. 다만 의료기기, 의약품, 정부 조달, 사이버 공급망, 시험소 인정처럼 규제와 품질 문서가 비교적 엄격한 영역의 공식 자료를 참고해, 일반 R&D 팀도 계약 전 감사와 정기 감사에 바로 옮길 수 있는 질문으로 바꿨다. 결론부터 말하면 협력사 감사는 "좋은 회사인가"가 아니라 "이 업무에 필요한 능력, 기록, 변경 통제, 책임 경계가 문서로 잠겨 있는가"를 확인하는 절차여야 한다.

핵심 판단

R&D 협력사 품질감사는 세 칸으로 나누면 빠르게 정리된다. 외주 시험은 시험소의 인정 범위, 시험 방법, 원자료, 장비 교정, 재시험 기준을 본다. 부품 공급은 도면과 사양, LOT 추적, 입고 판정, 부적합 처리, 대체 자재 사용 기준을 본다. 변경 통보는 모든 변경을 한 줄로 묶지 말고 사전 승인, 사전 통보, 사후 보고, 통보 제외로 등급화해야 한다.

R&D 협력사 품질감사는 계약 전 능력과 계약 후 통제를 따로 본다

협력사 감사에서 자주 생기는 실수는 "방문해서 시설을 둘러봤다"는 사실을 품질 확인으로 착각하는 것이다. 시설 투어는 출발점일 뿐이다. ICH Q10은 외주 활동과 구매 자재의 품질을 관리할 책임이 최종 제품을 가진 회사에 남아 있으며, 외주 전 상대방의 적합성과 역량을 평가하고 책임과 의사소통 절차를 서면 합의로 정의하라고 설명한다. 이 논리를 R&D에 적용하면 개발사는 "협력사가 알아서 잘하겠지"가 아니라 "우리가 요구한 사양을 협력사가 반복해서 만족시킬 수 있음을 어떤 기록으로 볼 것인가"를 먼저 정해야 한다.

계약 전 감사의 질문은 능력에 집중한다. 해당 시험이나 부품을 해본 경험이 있는가, 담당자의 자격과 교육 기록이 있는가, 장비와 소프트웨어가 관리되는가, 외부 재위탁을 하는가, 이전 고객의 불만이나 부적합을 어떻게 처리했는가를 본다. 계약 후 감사의 질문은 통제에 집중한다. 실제 납품 LOT가 승인된 공정에서 나왔는가, 성적서와 원자료가 연결되는가, 변경이 승인 없이 들어오지 않았는가, 부적합품이 격리되고 재발 방지까지 닫혔는가를 확인한다.

따라서 감사표 첫 장에는 협력사 이름보다 "맡길 업무의 품질 영향도"가 먼저 들어가야 한다. 단순 카탈로그 부품, 도면 지정 가공품, 핵심 성능을 좌우하는 맞춤 부품, 규제 제출에 쓰일 시험, 안전성 주장을 뒷받침하는 시험은 감사 깊이가 달라야 한다. FAR Part 46도 계약 품질 요구사항의 수준이 획득 대상과 필요한 품질보증 범위에 따라 달라진다는 구조를 둔다. R&D 팀도 같은 방식으로, 위험도가 낮은 업무에는 문서 검토 중심 감사를 쓰고 핵심 성능을 맡기는 업무에는 현장 감사와 변경 승인 조건을 붙여야 한다.

외주 시험 감사 체크리스트는 시험소 인정 범위와 원자료 연결성을 먼저 본다

외주 시험은 "시험을 해준다"는 말보다 "그 시험 결과를 어떤 의사결정에 쓸 수 있는가"가 중요하다. ISO/IEC 17025는 시험 및 교정 시험소의 역량, 공정성, 일관된 운영을 다루는 국제 표준이며, 시험 결과에 대한 신뢰를 높이는 기준으로 쓰인다. 그렇다고 모든 시험이 무조건 ISO/IEC 17025 인정 시험소에서만 가능하다는 뜻은 아니다. 하지만 규제 제출, 고객 승인, 안전성 주장, 분쟁 가능성이 있는 시험이라면 인정 범위에 해당 시험 방법이 실제로 포함되는지 확인해야 한다.

외주 시험 감사에서는 인정서의 유효기간만 보지 말고 부속 인정 범위를 본다. 같은 시험소라도 금속 성분 분석은 인정 범위에 있고 가속 수명 시험은 범위 밖일 수 있다. 같은 온습도 시험이라도 시험 방법, 시료 크기, 측정 범위, 불확도 산정 방식이 다르면 결과 해석이 달라진다. 감사 질문은 "인정 시험소인가요"에서 멈추지 말고 "이번 시료의 시험 방법과 측정 범위가 인정 범위 안에 있나요", "성적서에 인정 마크를 쓸 수 있나요", "범위 밖 시험이라면 내부 검증 자료를 제공할 수 있나요"로 내려가야 한다.

원자료 연결성도 핵심이다. 성적서 PDF만 받으면 결과값은 보이지만, 시험 중 장비 로그, 원시 데이터, 시료 식별, 재시험 사유, 계산 시트가 분리된다. FDA의 품질 계약 가이던스는 계약 시험 및 실험실 관리에서 샘플링과 시험 관리 절차, 장비의 적격성·교정·유지 상태, 규격 외 결과나 편차 조사 책임을 합의서에 정하라고 제안한다. R&D 팀은 이를 바탕으로 성적서 번호, 시료 ID, 시험일, 장비 ID, 담당자, 원자료 위치가 서로 이어지는지 확인해야 한다.

외주 시험 감사 질문확인할 증빙판정 기준
이번 시험 방법이 시험소 인정 범위에 들어가는가인정서, 인정 범위 부속 문서, 시험 방법서인정 범위 안이면 통과, 범위 밖이면 내부 검증 자료와 사용 제한 문구 필요
시료 식별이 개발사 의뢰서와 성적서까지 유지되는가의뢰서, 접수 기록, 성적서, 보관 기록시료명, LOT, 수량, 상태가 끊기지 않아야 함
장비와 소프트웨어가 관리되는가교정 기록, 유지보수 기록, 소프트웨어 버전 기록시험일 기준 유효한 교정 상태와 변경 이력 필요
재시험과 규격 외 결과 처리 기준이 있는가OOS 절차, 편차 보고서, 재시험 승인 기록재시험이 결과 선택 수단으로 쓰이지 않아야 함

외주 시험의 마지막 질문은 "결과를 그대로 쓸 수 있는가"이다. 시험소가 낸 결과라도 개발사가 요구사항을 모호하게 줬다면 책임은 개발사에 남는다. 의뢰서에는 시험 목적, 적용 규격, 시료 조건, 전처리 조건, 합격 기준, 성적서 필수 기재 항목, 원자료 제공 범위를 써야 한다. 특히 개발 중 시험은 탐색용 시험과 검증용 시험을 구분해야 한다. 탐색용 시험 결과를 나중에 승인 자료처럼 쓰려면 시료 준비, 장비, 방법, 편차 관리가 그 수준을 견딜 수 있는지 다시 봐야 한다.

부품 공급 감사 체크리스트는 도면, LOT, 입고 판정을 하나로 묶는다

부품 공급사는 시험소보다 더 자주 "작은 변경"을 일으킨다. 소재 공급처가 바뀌고, 표면처리 배치가 달라지고, 금형 캐비티가 추가되고, 검사 장비가 바뀌고, 포장재가 교체된다. 개발 단계에서는 이런 변경이 빠른 개선처럼 보이지만, 성능 시험과 신뢰성 시험을 이미 진행한 뒤라면 이전 데이터와 새 부품의 동등성을 다시 설명해야 한다. 그래서 부품 공급 감사는 생산 능력보다 먼저 사양 잠금 상태를 확인해야 한다.

사양 잠금은 도면만 의미하지 않는다. 도면, BOM, 원재료 등급, 핵심 치수, 표면처리, 열처리, 세척, 포장, 보관 조건, 검사 기준, 샘플링 기준, 성적서 양식이 같은 요구사항 묶음 안에 있어야 한다. FAR Part 46의 계약자 책임에는 공급품과 서비스가 계약 요구사항에 맞는지 품질을 통제하고, 원자재·부품·구성품 공급자의 품질관리 시스템이 수용 가능한지 보장하며, 필요한 경우 적합성 증빙을 유지하는 내용이 포함된다. R&D 팀의 부품 감사도 결국 같은 질문으로 돌아간다. "우리가 산 부품이 우리가 승인한 정의와 같은가"를 증명할 수 있어야 한다.

입고 판정 기준은 협력사 감사와 연결되어야 한다. 개발사가 치수 몇 개만 입고 검사하면서 협력사에는 소재, 공정, 세척, 포장까지 맡긴다면 중요한 위험이 입고 검사 밖에 남는다. 핵심 부품이라면 협력사 공정에서 관리해야 할 CTQ 항목을 정하고, 개발사 입고 검사에서는 그중 일부를 확인하거나 공급사 성적서를 검토하는 식으로 역할을 나눠야 한다. 공급사 성적서도 "합격" 한 단어가 아니라 측정값, 규격, 측정 장비, LOT, 검사자, 판정일이 있어야 나중에 추적할 수 있다.

부품 공급 감사의 실무 체크는 네 묶음으로 충분하다. 첫째, 승인된 사양이 하나인지 본다. 도면과 발주서와 이메일 요구사항이 서로 다르면 감사 전부터 부적합 상태다. 둘째, LOT 추적이 되는지 본다. 원재료 LOT, 생산 LOT, 검사 LOT, 납품 LOT가 이어져야 한다. 셋째, 부적합 처리 절차를 본다. 재작업, 특채, 폐기, 원인 분석, 재발 방지의 권한이 정해져 있어야 한다. 넷째, 대체품 사용 기준을 본다. 같은 규격이라고 주장하는 대체 소재나 호환 부품도 사전 승인 없이 들어오면 개발 데이터의 전제가 바뀐다.

변경 통보 기준은 사전 승인, 사전 통보, 사후 보고로 등급화한다

협력사 품질 계약에서 가장 약한 문장은 "변경 시 통보한다"이다. 무엇을 변경이라고 보는지, 언제 알려야 하는지, 누가 승인하는지, 승인 전 생산품은 어떻게 격리하는지가 없으면 감사 때마다 해석이 달라진다. FDA의 품질 계약 가이던스는 공정, 장비, 시험 방법, 규격, 계약 요구사항 변경을 양측이 논의하고 품질 계약에 반영해야 하며, 어떤 변경은 시행 전 소유자가 검토·승인해야 하고 어떤 변경은 통보 없이 시행될 수 있다고 구분한다. 이 구조를 R&D 협력사 계약에도 그대로 가져올 수 있다.

변경 통보는 네 등급으로 나누면 명확하다. 1등급은 사전 승인이다. 원재료, 공급처, 제조 장소, 핵심 공정 조건, 시험 방법, 주요 장비, 멸균·세척·포장 조건, 소프트웨어 또는 펌웨어 버전처럼 제품 성능과 시험 결과의 해석에 영향을 줄 수 있는 변경이다. 협력사는 변경 전 영향 평가 자료를 제출하고, 개발사는 재시험·샘플 승인·문서 개정 필요성을 판단한 뒤 승인해야 한다. 2등급은 사전 통보다. 생산 일정, 담당자, 보조 장비, 검사 양식 개정처럼 즉시 성능을 바꾸지는 않지만 추적성과 운영에 영향을 주는 항목이다.

3등급은 사후 보고다. 내부 교육 완료, 예방 보전 완료, 비핵심 소모품 변경처럼 제품 요구사항과 직접 연결되지 않는 항목은 정기 품질 회의나 월간 보고로 충분할 수 있다. 4등급은 통보 제외다. 단, 통보 제외 항목도 협력사가 마음대로 정하면 안 된다. 개발사가 영향 없다고 동의한 항목만 제외해야 한다. NIST SP 800-161은 공급망 전반의 위험을 식별·평가·완화하는 활동을 강조하고, 제품과 서비스가 어떻게 개발·통합·배포되는지에 대한 가시성 부족을 위험으로 본다. 변경 통보 등급표는 그 가시성을 품질 언어로 만든 장치다.

변경 유형기본 등급감사 질문
원재료 등급, 공급처, 제조 장소 변경사전 승인동등성 평가와 재시험 계획을 개발사가 승인했는가
시험 방법, 장비, 소프트웨어 버전 변경사전 승인기존 데이터와 비교 가능한지 검증했는가
검사 양식, 담당자, 생산 일정 변경사전 통보추적성과 책임자가 바뀌는 지점이 기록되는가
예방 보전, 내부 교육, 비핵심 소모품 변경사후 보고정기 보고에서 이력 확인이 가능한가
제품·시험·추적성에 영향 없음으로 합의된 변경통보 제외제외 근거가 계약서나 변경 매트릭스에 남아 있는가

변경 통보 기준은 감사 때 샘플을 하나 골라 검증해야 한다. 최근 6개월 또는 최근 3개 LOT 중 실제 변경 사례를 요청하고, 변경 요청서, 영향 평가, 승인 메일, 적용 LOT, 출하 보류 여부, 재시험 여부를 따라가 본다. 문서상 절차가 좋아도 실제 변경이 생산 뒤에야 알려졌다면 그 협력사의 변경 통제는 아직 작동한다고 보기 어렵다.

주의할 문장

"동등품 사용 가능", "필요 시 통보", "중요 변경만 사전 협의" 같은 표현은 감사에서 반드시 풀어 써야 한다. 동등품의 승인 기준, 필요 시의 판단자, 중요 변경의 예시와 등급이 없으면 협력사와 개발사가 서로 다른 기준으로 같은 계약서를 읽게 된다.

품질 계약에는 업무 범위보다 책임 경계를 더 구체적으로 쓴다

품질 계약은 구매 계약서의 부속 문서가 아니라 감사 체크리스트의 기준선이다. FDA 품질 계약 가이던스는 계약 제조에서 각 당사자의 활동과 역할을 문서화해 CGMP 준수를 돕는 도구로 품질 계약을 설명하고, 계약 연구개발에도 원칙을 적용할 수 있다고 본다. R&D에서는 양산 전이라 형식이 가벼워질 수 있지만, 책임 경계는 오히려 더 선명해야 한다. 개발 중에는 도면과 시험 방법이 자주 바뀌기 때문이다.

품질 계약에는 최소한 여섯 가지가 들어가야 한다. 첫째, 업무 범위다. 외주 시험이면 시험명, 방법, 시료 조건, 성적서 항목을 쓰고, 부품 공급이면 품목, 도면, 규격, LOT 기준을 쓴다. 둘째, 승인 기준이다. 샘플 승인, 초도품 검사, 입고 검사, 재시험, 특채 권한을 정한다. 셋째, 기록과 보관이다. 원자료, 성적서, 검사 기록, 변경 기록, 교육 기록, 장비 교정 기록의 보관 기간과 열람 조건을 정한다. 넷째, 변경 통보다. 앞의 등급표를 계약서 부속으로 붙인다.

다섯째, 부적합과 CAPA다. 부적합품 발견 시 통보 시간, 격리, 원인 분석, 재발 방지 제출 기한을 정한다. 여섯째, 재위탁과 하위 공급망이다. 협력사가 다시 외부 시험소나 가공사를 쓰는 경우 개발사의 사전 승인, 하위 공급자의 기록 접근권, 변경 통보 의무가 이어져야 한다. EU MDR은 의료기기 제조사의 품질경영시스템이 공급자와 하청업체의 선택과 통제를 다루도록 요구하는 구조를 가진다. 규제 산업이 아니더라도 이 원칙은 R&D 외주에서 유효하다. 최종 제품의 품질 책임은 외주 계약으로 완전히 사라지지 않는다.

감사 당일에는 질문보다 샘플 추적을 우선한다

감사표에 질문이 많아질수록 감사자는 "예/아니오" 답변을 모으는 데 시간을 쓰기 쉽다. 하지만 좋은 감사는 샘플 하나를 끝까지 추적한다. 외주 시험이면 최근 성적서 하나를 골라 의뢰서, 시료 접수, 시험 방법, 장비 교정, 원자료, 계산, 검토 승인, 성적서 발행까지 이어본다. 부품 공급이면 최근 납품 LOT 하나를 골라 발주서, 도면, 원재료 LOT, 생산 기록, 검사 기록, 부적합 처리, 포장, 출하, 입고 판정까지 이어본다.

샘플 추적은 협력사의 실제 운영을 드러낸다. 절차서에는 재시험 승인 절차가 있지만 실제 재시험 기록에는 승인자가 없을 수 있다. 도면 변경본이 공유되었지만 현장 검사 기준서는 이전 버전일 수 있다. LOT 번호는 붙어 있지만 원재료와 납품품을 연결하는 변환표가 없을 수 있다. 감사자는 이런 끊어진 고리를 찾고, 그 끊김이 개발사 데이터에 어떤 영향을 주는지 평가해야 한다.

R&D 단계의 감사 결과는 승인 또는 탈락만으로 끝내지 않는 편이 좋다. 협력사가 기술적으로 필요하지만 품질 체계가 약하다면 조건부 승인, 제한 승인, 개선 후 승인으로 나눌 수 있다. 예를 들어 탐색용 시제품 가공은 조건부로 허용하되 검증 시험용 부품은 개선 조치 후 승인하는 방식이다. 반대로 인증 시험 결과를 맡길 시험소라면 인정 범위와 원자료 접근이 부족한 경우 일정이 급해도 승인하면 안 된다. 감사 등급은 프로젝트 일정이 아니라 데이터 신뢰성 기준으로 결정해야 한다.

R&D 협력사 품질감사 체크리스트 10분 요약

마지막으로 실제 감사 전에 아래 10개 질문만 먼저 채워도 위험한 빈칸을 빨리 찾을 수 있다.

1. 이 협력사가 맡을 업무는 탐색용, 검증용, 고객 승인용, 규제 제출용 중 어디에 쓰이는가.

2. 외주 시험이면 시험 방법, 인정 범위, 시료 조건, 원자료 제공 범위가 의뢰서에 적혀 있는가.

3. 부품 공급이면 도면, BOM, 원재료, 핵심 치수, 검사 기준, 포장 조건이 하나의 승인 사양으로 묶였는가.

4. LOT 추적이 원재료부터 납품품까지 이어지는가.

5. 성적서나 검사 기록에 측정값, 규격, 장비, 담당자, 판정일이 남는가.

6. 규격 외 결과, 재시험, 재작업, 특채의 승인 권한이 정해져 있는가.

7. 원재료, 공급처, 제조 장소, 시험 방법, 장비, 소프트웨어 변경은 사전 승인으로 묶였는가.

8. 협력사의 재위탁 또는 하위 공급망 사용을 개발사가 알 수 있는가.

9. 부적합 발생 시 통보 시간, 격리, 원인 분석, CAPA 제출 기한이 있는가.

10. 품질 계약과 실제 현장 기록을 최근 LOT 또는 최근 성적서 하나로 연결해 검증했는가.

이 체크리스트를 더 넓은 R&D 운영 문서와 연결하려면 R&D 요구사항 명세서 작성법, 시제품 검증 시험 계획서 체크리스트, 부품 승인 기준과 입고검사 샘플링, 개발 변경관리 절차서 작성 가이드를 함께 검토하는 흐름이 자연스럽다. 이 글의 역할은 협력사를 고르는 데서 끝나지 않는다. 외주 시험 결과와 부품 납품 기록이 나중에 개발 의사결정의 근거가 될 수 있도록, 계약 전에 품질 기준을 분명히 잠그는 데 있다.

참고한 공식/1차 출처