ISO 13485 해설

공인 인증 기관인 DQS가 제공하는 객관적인 개요.

ISO 13485는 의료기기 분야의 품질 경영 시스템에 대한 국제 표준입니다. 이 표준은 조직이 고객 및 관련 규제 요건을 지속적으로 충족하는 의료기기 및 관련 서비스를 제공하기 위해 입증해야 하는 품질 경영 시스템의 요구 사항을 규정합니다. 현재 버전은 ISO 13485:2016이며, 유럽연합(EU)에서는 EN ISO 13485:2016/A11:2021이 이를 보완하고 있습니다. 이 유럽 개정안은 ISO 13485:2016과 EU 의료기기 규정(MDR 2017/745) 및 체외진단 의료기기 규정(IVDR 2017/746)의 요구사항 간의 관계를 정립함으로써, 이를 통해 제조업체가 해당 규제 요건에 대한 적합성을 입증할 수 있도록 지원합니다. 미국에서는 FDA의 품질경영시스템 규정(QMSR)이 2026년 2월 2일에 발효되었으며, 이 규정은 21 CFR Part 820에 ISO 13485:2016을 참조로 포함하고 있습니다. 현재 ISO 13485에 대한 공식적인 개정 일정은 예정되어 있지 않으나, 신기술 및 규제 기대치가 발전함에 따라 검토 활동이 이루어질 것으로 예상됩니다(2026년 5월 기준). 

주요 사실 한눈에 보기 

규제 환경에서 ISO 13485가 왜 그토록 중요한가? 

주요 시장의 규제 압력 

의료기기 부문은 세계 경제에서 규제가 가장 엄격한 분야 중 하나이며, 규제 환경은 계속해서 강화되고 있습니다. 유럽연합(EU)에서는 의료기기 규정(MDR, 규정 (EU) 2017/745) 및 체외진단기기 규정(IVDR, 규정 (EU) 2017/746)에 따라 제조업체와 지정 대리인이 품질 경영 시스템을 운영해야 합니다. EN ISO 13485:2016/A11:2021은 대부분의 제조업체가 MDR 및 IVDR 적합성 평가를 위한 품질경영시스템(QMS)의 근간으로 사용하는 조화 표준입니다. 미국에서는 FDA의 품질경영시스템 규정(QMSR)이 2026년 2월 2일에 발효되어, ISO 13485:2016을 참조로 포함하고 라벨링, 불만 처리 및 기록 보관에 관한 FDA 고유 조항을 추가한 기존 21 CFR Part 820 (품질 시스템 규정)을 대체하며, 라벨링, 불만 처리 및 기록 보관에 관한 FDA 고유의 추가 조항을 포함하여 ISO 13485:2016을 참조로 채택했습니다. 캐나다 보건부(Health Canada)는 의료기기 단일 감사 프로그램(MDSAP)에 따라 오랫동안 ISO 13485 인증을 요구해 왔으며, 기타 주요 규제 기관(브라질의 ANVISA, 호주의 TGA, 일본의 PMDA, 남아프리카공화국의 SAHPRA) 역시 ISO 13485를 기반으로 한 MDSAP 감사를 인정하거나 요구하고 있습니다. 

공급망에 대한 기대치 및 지정기관(Notified Body)의 면밀한 심사 

이러한 규제 환경은 의료기기 가치 사슬 전반에 걸쳐 구체적인 기대치를 만들어 냈습니다. EU의 지정기관 및 기타 지역의 인증 기관들은 공급업체 관리, 설계 및 개발 기록, 시판 후 감시, 위험 관리를 점점 더 엄격하게 심사하고 있습니다. 부품, 멸균 서비스, 포장 및 수탁 제조 분야의 Tier-N 공급업체들은 OEM(주문자 상표 부착 생산자)과 협력하기 위한 조건으로 ISO 13485를 준수하는 품질 관리 시스템을 운영해야 합니다. 의료기기용 소프트웨어(SaMD) 개발사, 유통사, 수입사 및 서비스 제공업체 역시 의료기기 수명 주기 내에서의 역할에 상응하는 수준의 기대치를 충족해야 합니다. 

환자 안전, 위험 관리 및 시판 후 관리 

이 표준의 기본 논리는 환자 안전입니다. ISO 13485는 ISO 14971(의료 기기 위험 관리에 가장 일반적으로 사용되는 표준)에 따라 제품 실현 전반에 걸쳐 위험 관리를 적용할 것을 요구하며, 조직이 현장에서 안전 문제를 식별하고 해결할 수 있는 불만 처리, 시판 후 감시, 경계 및 시정 및 예방 조치 프로세스를 운영할 것을 요구합니다. 시판 전 설계 체계와 시판 후 피드백 루프의 결합이야말로 의료기기 품질경영시스템(QMS)을 일반적인 품질 관리와 구별 짓는 요소입니다. 

인정 인증 대 비인정 인증: 그 중요성 

인증 파트너를 선정할 때는 인증 기관의 인증 여부에 따라 구분하는 것이 중요합니다. 인증 기관의 인증이란, 해당 인증 기관 자체가 독립적인 인증 기관에 의해 공식적으로 평가, 승인 및 지속적으로 모니터링되고 있음을 의미합니다. 이는 역량, 공정성, 감사 방법론 및 국제적 수용성에 대한 추가적인 보증을 제공합니다. 비인정 인증서는 평가가 수행되었음을 확인해 줄 수는 있지만, 일반적으로 동일한 수준의 외부 감독, 규제 기관의 신뢰도 또는 시장 인정을 제공하지는 않습니다. 

따라서 공인된 인증 기관과 협력하면 분명한 이점이 있습니다. 인증서는 규제 기관, 고객, 조달 기관 및 비즈니스 파트너로부터 더 폭넓은 신뢰를 얻으며, 규제 대상 시장 및 공급업체 자격 심사 절차에 더 적합하고, 인정된 규칙과 통제된 인증 요건에 따라 감사가 수행되었음을 입증하는 더 강력한 근거를 제공합니다. DQS는 독일의 DAkkS, 미국의 ANAB, 캐나다 표준 위원회(Standards Council of Canada) 등 국제적으로 인정받는 인증 기관으로부터 ISO 13485 인증을 보유하고 있어, 인증서의 국제적 수용성과 신뢰성을 뒷받침하고 있습니다. 

ISO 13485의 핵심 요구사항

ISO 13485:2016은 8개의 조항으로 구성되어 있습니다. 제1조부터 제3조까지는 적용 범위, 규범적 참조, 용어 및 정의를 다룹니다. 조직에 대한 감사의 기준이 되는 요구사항 조항은 제4조부터 제8조까지입니다. 

제4조 — 품질 경영 시스템 

조직은 품질 경영 시스템을 문서화하고, 구현하며, 유지 관리해야 합니다. 요구사항은 일반적인 QMS 요구사항(QMS에 사용되는 외주 프로세스 및 소프트웨어에 대한 통제 포함), 품질 매뉴얼, 문서 관리, 기록 관리를 다룹니다. 문서화 요구사항은 본 표준의 규제적 목적을 반영하여 의도적으로 명확하고 상세하게 규정되어 있습니다. 

제5조 — 경영진의 책임 

최고 경영진은 품질 방침과 품질 목표를 수립하고, 경영 검토를 수행하며, 자원의 가용성을 보장해야 합니다. 이 조항은 경영 대표자의 역할, 내부 의사소통, 그리고 품질 경영 시스템을 운영하기 위해 필요한 책임과 권한을 명시하고 있습니다. 

제6조 — 자원 관리 

이 요구사항은 인적 자원(역량, 교육, 인식), 인프라 및 작업 환경을 포함한 자원의 제공을 다룹니다. 무균 의료기기 및 능동형 이식형 의료기기의 경우, 오염 관리 및 작업 환경 요구사항이 구체적으로 명시되어 있습니다. 

제7조 — 제품 실현 

가장 방대한 이 조항은 의료기기의 수명 주기를 포괄합니다: 제품 실현 계획, 고객 관련 프로세스, 설계 및 개발, 구매(공급업체 평가 및 재평가 포함), 생산 및 서비스 제공, 식별 및 추적성, 모니터링 및 측정 장비의 관리, 그리고 전 과정에 걸쳐 적용되는 위험 관리 활동 등이 포함됩니다. 멸균 의료기기, 이식형 의료기기, 설치 또는 유지보수가 필요한 의료기기에 대해서는 구체적인 요구 사항이 적용됩니다. 

제8조 — 측정, 분석 및 개선 

조직은 피드백(시판 후 감시), 불만 처리, 규제 당국에 대한 보고, 내부 감사, 공정 및 제품의 모니터링 및 측정, 부적합 제품의 관리, 데이터 분석, 시정 및 예방 조치(CAPA)를 포함한 모니터링, 측정, 분석 및 개선 프로세스를 계획하고 이행합니다. 이 조항은 본 표준이 시판 후 감시와 가장 명확하게 연결되는 부분입니다.

ISO 13485의 대상 그룹 및 적용 분야

ISO 13485는 의료기기 수명 주기의 어느 단계에서든 운영되는 조직을 위한 사실상 전 세계적인 기준입니다. 대표적인 사용자 그룹은 다음과 같습니다. 

• 소규모 SaMD 개발사 및 신생 기업부터 대규모 다국적 OEM에 이르는 의료기기 제조업체. 
• 체외진단(IVD) 기기 제조업체: EU IVDR로의 병행 전환으로 인해 ISO 13485 기반 품질경영시스템(QMS) 도입이 크게 증가했습니다. 
• 고객사의 QMS 감사에 원활하게 통합될 수 있어야 하는 수탁 제조업체 및 설계 대행업체. 
• 부품 공급업체, 멸균 서비스 업체, 포장 업체 및 소프트웨어 개발 서비스 제공업체. 이들은 공급 조건으로 인증 또는 적합성 평가를 받는 경우가 점점 더 늘고 있습니다. 
• MDR, IVDR 또는 이에 상응하는 국가 규정에 따라 규제 의무를 지는 유통업체, 수입업체 및 지정 대리인. 
• 전문적인 설치나 유지보수가 필요한 의료기기의 설치업체 및 서비스 제공업체. 

잘 설계된 의료기기 품질 관리 시스템은 경영진 및 운영 관리자에게 설계, 생산, 공급업체 성과, 시판 후 동향에 대한 체계적이고 추적 가능한 정보를 제공함으로써 정보에 입각한 의사 결정을 뒷받침합니다. 이는 환자 안전 및 규제 준수에 대한 증거 기반 관리의 토대를 마련해 줍니다. 시스템 자체는 직접 행동하지는 않지만, 조직 내 구성원들이 더 나은 정보를 바탕으로 의사 결정을 내릴 수 있도록 지원합니다.

ISO 13485 관련 표준

조화된 구조 및 일반적인 조합

대부분의 다른 ISO 경영 시스템 표준과 달리, ISO 13485는 상위 수준 구조(Annex SL)에 부합하지 않습니다. 이는 ISO/TC 210이 의도적으로 내린 선택으로, 이 표준을 참조로 채택한 의료기기 규제 당국을 위해 표준의 안정성을 유지하기 위함입니다. ISO 13485와 ISO 9001을 병행하여 운영하는 조직은 일반적으로 단일 통합 품질경영시스템(QMS)을 운영하며, 이 시스템에서는 ISO 9001 요소가 ISO 13485의 기본 구조 위에 중첩되어 있습니다. 이는 두 표준이 지적 유산을 공유하지만 더 이상 조항 구조를 공유하지 않는다는 점을 반영한 것입니다. 많은 의료기기 제조업체들은 ISO 14001(환경) 및 ISO 45001(직업 건강 및 안전) 시스템도 병행하여 운영하지만, 구조적 차이로 인해 ISO 13485와의 통합은 필연적으로 덜 밀접한 편입니다.

ISO 9001과의 연관성

ISO 13485는 원래 ISO 9001에서 파생되었으며, 수십 년 동안 개념적 접근 방식을 공유해 왔습니다. 그러나 2016년판 ISO 13485는 의도적으로 2015년 개정판 ISO 9001과 일치시키지 않았으며, 현재 ISO/TC 210이 ISO 9001:2026과 일치시킬 계획이라는 징후는 없습니다. 따라서 조직은 한 표준을 준수한다고 해서 다른 표준도 자동으로 준수하는 것으로 간주해서는 안 됩니다. 두 표준의 요구사항은 특히 문서화, 위험 관리, 규제 보고, 설계 및 개발, 시판 후 활동과 같은 중요한 영역에서 차이가 있습니다.

MDSAP 및 규제 래퍼

의료기기 단일 감사 프로그램(MDSAP)은 ISO 13485:2016을 핵심 표준으로 사용하며, 참여 규제 기관(호주의 TGA, 브라질의 ANVISA, 캐나다 보건부, 미국 FDA, 일본 PMDA/MHLW)에 대한 국가별 요구 사항을 추가한 감사 프로그램입니다. MDSAP 감사를 성공적으로 통과하면 참여 규제 기관마다 서로 다른 방식으로 인정받게 되며, 일부 기관에서는 필수 요건으로, 다른 기관에서는 증거로 인정됩니다. EN ISO 13485:2016/A11:2021은 이 표준의 유럽 조화 버전으로, 부록 ZA 및 ZB에서는 이 표준이 EU MDR 및 IVDR과 어떻게 연계되는지 명확히 설명하고 있습니다. 2026년 2월 2일부터 발효되는 FDA 품질경영시스템 규정(QMSR)은 ISO 13485:2016을 참조로 포함하고 있으며, 라벨링, 불만 처리 및 기록 보관에 관한 FDA 고유의 조항을 추가하고 있습니다. QMSR은 별도의 FDA 규정 제정 절차 없이는 향후 ISO 13485 개정판에 대해 자동 갱신되지 않음을 명시하고 있습니다.

위험 관리 및 관련 기술 표준

ISO 13485는 인증 가능한 경영 시스템 표준은 아니지만, ISO 13485에서 참조하거나 규제 당국이 요구하는 일련의 위험 및 제품 안전 표준과 밀접하게 연관되어 있습니다. ISO 14971(의료 기기에 대한 위험 관리 적용)은 공인된 위험 관리 기준입니다. IEC 62304(의료기기 소프트웨어 수명 주기 프로세스), IEC 62366-1(사용성 공학) 및 IEC 60601 시리즈(의료용 전기 장비의 전기적 안전성)는 ISO 13485 품질경영시스템(QMS)과 상호작용하지만, 그 자체로는 QMS 인증 대상이 아닌 기술적 제품 표준입니다. 이러한 표준들을 ISO 13485와 동등한 것으로 설명해서는 안 됩니다.