설계도가 나오기 전부터 시작되는 서류 — ISO 14971 의료기기 위험관리

의료기기 하나가 시장에 나가려면 설계 검토보다 먼저 끝내야 하는 문서가 있다. ISO 14971(Medical devices — Application of risk management to medical devices)은 의료기기 설계 단계부터 시판 후 단계까지 위해요인을 식별하고, 발생 확률과 심각도를 근거로 위험을 평가하고 통제한 뒤 남은 위험의 수용 가능성을 판단하는 프로세스 표준이다. 고장 확률을 다루는 신뢰성 공학과 달리 위해가 발생하는 경로(Sequence of Events)와 위해 상황(Hazardous Situation)을 중심에 놓는다는 점이 이 표준의 출발점이다. 이 표준은 홀로 서지 않는다 — EU MDR/IVDR 적합성을 입증하고 ISO 13485 품질경영 시스템과 정합성을 확보하는 핵심 기반이며, 실제 적용에서는 ISO/TR 24971 가이드 문서를 병행하는 것이 권장된다. 다만 일부 규제와의 최신 연계성은 확인이 필요하다.

서류가 아니라 순환하는 프로세스다

핵심 산출물은 위험관리 계획(Risk Management Plan), 위험관리 파일(Risk Management File), 위험분석 기록, 위험통제 검증 기록, 잔여 위험 평가, 전체 위험 수용성 선언, 시판 후 정보(Production and Post-Production Information)로 이어진다. 다루는 위험의 범위는 물리적·전기적·생물학적 위해뿐 아니라 소프트웨어·사용성·사이버보안까지 포함하며, 어느 영역이든 위해 발생 확률과 심각도를 근거로 판단한다는 원칙은 동일하다.

경영진 승인에서 시작해 잔여 위험 판단으로 이어진다

최고경영자가 위험관리 정책과 수용 기준을 승인하고 조직 내 역할·책임·권한을 정의하는 데서 체계가 출발한다. 독립적 검토와 변경관리, 교육·역량 관리, 외주·공급망까지 포함하는 전사 범위 적용, 내부 감사와 경영검토를 통한 성숙도 관리가 거버넌스 층을 이룬다.

그 위에 위험관리 계획이 놓인다. 제품 범위, 의도된 사용, 사용자 프로파일, 사용 환경, 소프트웨어·네트워크를 포함한 인터페이스를 정의하고 위험 수용 기준과 우선순위 규칙을 명시한다. IEC 60601-1, IEC 62304, IEC 62366-1 같은 표준과 EU MDR Annex I 같은 규제 요구를 매핑하고, ALARP(As Low As Reasonably Practicable)와 AFAP(As Far As Possible) 해석, 이익-위해 판단 기준을 문서화하는 것도 이 단계다.

위해원을 찾고 통제 우선순위를 매긴다

위험 분석은 위해원(Hazard) 식별, 사건 연쇄(Sequence of Events) 모델링, 위해 상황과 위해(Harm) 도출로 이어지며 정성·정량 추정을 결합한다. PHA, FMEA(설계·공정·사용), FTA, HAZOP, UFA(사용성 실패 분석) 같은 방법론을 쓰지만 ISO 14971 자체는 특정 기법을 강제하지 않는다. 요구되는 것은 일관된 추적성과 합리적 근거다.

통제 옵션은 고유 안전 설계 → 보호장치 → 정보 제공 순의 위계를 적용해 분석한다. 소프트웨어의 경우 안전 아키텍처, 오류 탐지·격리, 보안통제가 통제 수단에 포함된다. 통제를 구현한 뒤에는 검증·유효성 확인을 거쳐 새로운 위험이 도입되지 않았는지 평가하고, 잔여 위험을 평가한 뒤 이익-위해 균형을 판단한다.

출시는 끝이 아니라 다음 단계의 입력이다

생산·시판 후 단계에서는 불만, 리콜, 서비스 리포트, PMS(Post-Market Surveillance)·PMCF(Post-Market Clinical Follow-up), 사이버보안 취약점 피드를 수집·분석하고 트렌드 분석을 시정·예방조치(CAPA)와 연계한다. 최신 외부 지식 데이터베이스, 표준 개정, 규제 경보를 반영해 필요하면 위험관리 파일을 갱신하고 설계 변경으로 이어간다.

⤢✕

제품군마다 위험의 결이 다르다

SaMD·디지털 헬스는 IEC 62304 소프트웨어 등급과 연계하고, 위협 모델링(STRIDE/OWASP)과 AAMI TIR57/97 기반 사이버보안 위험관리를 통합한다. OTA 업데이트 시 변경 영향분석과 잔여 위험 재평가를 자동화하는 것도 이 영역의 특징이다. 능동형 전자의료기기는 IEC 60601-1의 필수 성능 요구와 링크해, 전원 이상·EMC·단일고장조건(SFC) 상황의 위해 시나리오에 FTA를 적용한다. 체외진단(IVD)은 위양성·위음성 위해, 워크플로 사용자 오류, 데이터 무결성 위험을 고려하고 샘플 취급·환경 영향에는 PHA와 UFA를 결합한다. 일회용 소모품은 생물학적 위해(ISO 10993)와 공정 변동에 따른 위험을 공정 FMEA와 통계적 공정관리(SPC)로 관리하고, 의료기기-의약품 조합제품은 경로별 위해를 격리하고 라벨링·IFU를 조화하며 공동 변경관리와 규제 제출 자료의 트레이서빌리티 매트릭스를 유지한다.

방법론 선택에는 트레이드오프가 따라온다

FMEA만 쓸지 FTA와 결합할지는 관점의 문제다. FMEA는 구성요소 중심이고 FTA는 사건 중심이라 결합하면 상보성을 확보하지만 문서화 노력이 늘어난다. 정량 모델링은 신뢰성 데이터가 있을 때 유효하고, 데이터가 희소한 환경에서는 정성 척도가 우선이며 고위험 기능·대량 사용 환경에서는 정량을 병행한다. ALARP와 규제의 AFAP 해석 사이에서도 균형이 필요한데, 합리적 실현 가능성 기준을 적용하면 성능·사용성 제약이 생길 수 있어 EU MDR 요구 해석의 일관성을 유지해야 한다.

문서·심사 대응에서는 위험 수용 기준을 제품군·표준 매핑 표로 제시하고, 잔여 위험 정당화는 임상적 이익과 사용성 데이터로 보강한다. 소프트웨어·사이버보안 리스크는 SBOM, 취약점 관리 절차, 패치 정책을 포함해야 하고 서드파티 라이브러리 갱신 기준을 명문화해야 한다. FDA QMSR, EU MDCG 가이던스, 국가별 보고 체계 변경은 상시 모니터링이 필요한 영역이다(최신 정보 확인 필요).

도구 체계와 추적성이 실무를 결정한다

템플릿 표준화(계획서, 위험 분석 워크시트, 통제 검증 체크리스트, 보고서)와 ALM/PLM 연계, 위험레지스터, 21 CFR Part 11 기반 전자서명 지원이 프로세스·시스템 구성의 축이다. 요구↔위험↔통제↔검증↔불만을 양방향으로 잇는 추적성과 변경 시 영향분석 자동화가 갖춰지면 도입 효과가 뚜렷해진다.

지표	적용 전	적용 후(ISO 14971 체계 적용)
성능	설계 의사결정 재작업 빈번, 승인 리드타임 불안정	표준화된 수용 기준·검토 체크리스트로 리드타임 단축 및 예측 가능성 향상
확장성	제품 변형·파생 모델별 문서 분산	제품군 공통 위험 라이브러리 재사용으로 규모 확장 용이
일관성	팀·프로젝트 간 평가 기준 상이	템플릿·척도·분류 코드 통일로 평가·보고 일관성 확보
안정성	시판 후 불만 급증 시 대응 지연	PMS 트렌드와 CAPA 연동으로 조기 경보 및 안정성 유지
운영 편의	산출물 중복·버전 혼재	PLM/ALM 연계 추적성 매트릭스로 단일 진실 공급원 확보

사례 기반 추정으로는 사전 정의된 수용 기준·템플릿·자동화 덕분에 설계 변경 승인 리드타임이 1530% 단축되고, 추적성 매트릭스와 일관된 증빙으로 외부 심사 부적합 건수가 3050% 감소하며, PMS 트렌드 기반 선제적 통제로 시판 후 중대 불만·리콜률이 10~25% 감소한다(조직·제품 복잡도에 따라 변동). 규제 제출 신뢰성, 크로스펑셔널 협업, 설계 의사결정의 근거 중심화 같은 정성적 이득도 함께 따라온다.