“임상시험 품질은 사후에 점검하는 것이 아니라 사전에 계획하고 설계 단계에서 만들어야 합니다.”

임상시험이 다지역·분산형으로 복잡해지고, 데이터 소스도 다양해지면서 모든 절차와 데이터를 동일한 수준으로 점검하는 기존 품질관리 방식의 한계가 커지고 있다.

임상시험 결과와 시험대상자 안전에 영향을 미치는 핵심 위험을 사전에 식별하고, 위험 수준에 따라 관리 자원을 차등 투입하는 위험기반 품질관리(Risk-Based Quality Management, RBQM)의 중요성이 커지는 이유다.

특히 임상시험수탁기관(CRO)이 의뢰자의 전략을 현장에서 수행하는 데 그치지 않고, 임상시험 과정에서 위험 신호를 조기에 포착해 의사결정과 위험관리에 연결해야 한다는 제언이 나왔다.

큐앤비스(QVIS) 현수미 대표는 최근 그랜드 인터컨티넨탈 서울 파르나스에서 열린 ‘글로벌 바이오 콘퍼런스(Global Bio Conference, GBC) 2026’의 ‘임상시험 품질 확보를 위한 규제혁신 포럼’에서 ‘임상시험의 위험 기반 품질관리(Risk-Based Quality Management in Clinical Trials): CRO 관점’을 주제로 발표했다.

현 대표는 ICH E8(R1)과 E6(R3)가 강조하는 임상시험 품질관리의 변화를 설계기반 품질(Quality by Design, QbD)을 중심으로 설명했다. 핵심은 임상시험 설계 단계에서 시험대상자의 권리·안전·복지와 시험 결과의 신뢰성에 의미 있는 영향을 미치는 품질 핵심 요소(Critical to Quality, CTQ)를 정의하고, 이를 위협할 위험을 사전에 식별·관리하는 것이다.

ICH E8(R1)은 모든 데이터 항목과 임상 절차를 동일한 수준으로 관리하는 획일적 접근보다 시험 목적과 위험에 맞춰 CTQ를 선별하고 자원을 집중하는 방식을 강조한다. E6(R3)은 의뢰자가 임상시험 전 과정에서 위험의 중요도에 비례한 품질관리 접근을 적용하도록 요구한다.

SDV·모니터링 지적 증가…기존 점검 방식 한계

현 대표는 큐앤비스의 국내 임상시험 GCP 점검 데이터 분석 결과를 통해 QbD와 RBQM의 필요성을 설명했다. 2013년부터 2022년까지 식약처가 승인한 임상시험 가운데 238건을 대상으로 수행한 570회 점검 데이터를 분석한 결과, 해당 유형의 지적이 확인된 비율은 기본문서 84.4%, 동의서 66.3%, 프로토콜 준수 62.3%, 임상시험용의약품 관리 49.3%, 안전성 관리 48.6% 순이었다.

2016년 ICH GCP(R2)의 도입과 국내 식약처의 임상시험종사자 교육 관련 규정의 도입으로 임상시험 관련 규제강화가 이뤄진 이후에도 근거자료 확인(Source Data Verification, SDV)과 모니터링 관련 지적은 증가했다고 설명했다. SDV 관련 지적 비율은 28.6%, 모니터링은 22.3%로 제시됐다.

현 대표는 “임상시험의 복잡성과 데이터 규모가 커지는 상황에서 일률적인 점검 방식만으로는 품질 위험을 충분히 관리하기 어렵다”고 설명했다. 특히 프로토콜 미준수는 높은 비율로 반복됐고, 항암제·전신 작용 항감염제 등 고위험 치료영역과 대규모 임상 3상에서 지적 빈도가 상대적으로 높았다.

그는 “누적된 감사 데이터와 치료영역별 리스크 패턴을 기반으로 임상시험 프로토콜과 치료영역, 위험 프로파일에 따라 모니터링 강도와 전략을 차등화하는 것이 CRO의 핵심 역할”이라고 말했다.

CRO, 단순 실행자 넘어 ‘위험 신호 탐지자’로

현 대표는 RBQM 환경에서 CRO의 역할을 실행자(Executor)이자 위험 신호 탐지자(Signal Detector)라고 강조했다.

CRO는 의뢰자의 QbD 전략과 CTQ를 프로토콜과 치료영역에 맞는 현장 운영으로 전환하고 위험기반 모니터링을 수행하는 동시에, 다기관·다국가 운영 과정에서 축적되는 데이터에서 위험 신호를 포착해야 한다.

CTQ에는 시험대상자의 권리·안전·복지에 직접 영향을 미치는 요소와 주요·보조 평가변수 등 데이터 신뢰성에 영향을 미치는 항목, 허가 결과와 적응증 판단에 영향을 줄 수 있는 요소 등이 포함된다.

현 대표는 CTQ 도출이 “임상시험을 망가뜨릴 수 있는 잘못된 위험은 무엇인가”라는 근본적인 질문에서 출발할 수 있다고 설명했다. 대표적인 위험 신호는 중대한 이상사례(SAE) 보고 지연, 시험대상자 적격성 기준 위반, 프로토콜 일탈, 비정상적인 데이터 패턴 등이다.

CRO는 이를 조기에 포착해 의뢰자와 공유하고, 축적된 다기관 운영 데이터를 바탕으로 품질 허용 한계(Quality Tolerance Limit, QTL)와 핵심 위험 지표(Key Risk Indicator, KRI)를 지속적으로 정교화해야 한다.

RBQM, CTQ→위험평가·통제→소통·검토 ‘순환’ 운영

RBQM은 CTQ 식별을 토대로 위험 식별·평가·통제·소통·검토·보고를 반복하는 순환형 프로세스다. 위험의 발생 가능성과 발견 가능성, 시험대상자 보호와 결과 신뢰성에 미칠 영향을 종합해 우선순위를 정하고, 검토·보고 결과를 다시 위험 식별 단계에 반영한다.

RBQM과 위험기반 모니터링(Risk-Based Monitoring, RBM)은 구분된다. RBQM이 임상시험 설계부터 수행·검토·보고까지 아우르는 품질관리 체계라면, RBM은 위험에 따라 모니터링 대상과 빈도·강도를 조정하는 실행 수단이다.

QTL은 CTQ 관련 위험을 관리하기 위해 시험 전체 수준에서 사전에 설정하는 허용 범위 또는 한계다. 전체 중도탈락률이나 주요 평가변수 결측률 등이 대표적이다. KRI는 SAE 보고 지연률, 적격성 기준 위반 건수, 전자증례기록서(eCRF) 상 Query 비율 등 위험을 조기에 탐지하는 정량적 지표다.

QTL이 시험 전체 품질이 허용 범위를 벗어나는지 평가한다면, KRI는 기관이나 프로세스에서 나타나는 이상 신호를 조기에 포착하는 데 활용된다.

현 대표가 제시한 위험등급별 모니터링 전략 예시에서는 고위험 영역에 100% SDV와 월별·트리거 기반 방문, 실시간 KRI 경보를 활용한 중앙 모니터링 등 집중 관리를 적용했다. 중위험 영역은 표적 모니터링과 위험기반 샘플링 SDV를, 저위험 영역은 제한적 모니터링과 샘플링 기반 SDV를 적용한다.

‘고위험이면 반드시 100% SDV’라는 획일적 기준이 아니라 임상시험과 데이터의 중요도, CTQ별 위험에 맞춰 모니터링 방식을 설계하는 것이다. 점검 강도를 낮출 때도 위험평가와 의사결정 근거를 남겨야 한다.

실제 CRO 운영에서는 중앙 모니터링을 통해 SAE 보고 지연, 적격성 위반, 검사실 수치 이상, EDC 내 비정상 데이터 패턴 등을 분석하고 위험 수준에 따라 현장 방문 주기와 모니터링 범위를 조정한다. 감지한 위험 신호는 의뢰자와 공유하고 리스크 레지스터(Risk Register)에 반영한다.

SDV 축소도 근거 필수…CRO, RBQM 역량 선제 구축

현 대표는 위험기반 모니터링이 감독을 회피하거나 단순히 비용을 줄이는 수단이 아니라고 강조했다. SDV나 모니터링 강도를 낮추더라도 위험평가에 따른 전략적 판단이었다는 점을 입증할 근거와 문서가 필요하다.

개정된 ICH GCP(R3)에 따라 의뢰자의 관리 감독 권한은 더욱 강화돼야 하며, 의뢰자는 CRO 선정 단계에서 GCP 이력과 품질관리 체계, 표준작업절차(SOP), 수행 역량을 평가하고 계약에서 역할과 책임, 감사 권한, 재위탁 조건을 명확히 해야 한다. 업무를 CRO에 위탁해도 시험대상자 보호와 임상시험 결과 신뢰성에 대한 최종 감독 책임은 유지된다.

CRO 역시 위탁 범위에서 확인된 위험을 신속히 보고하고 의사결정 과정을 문서화해야 한다. 재위탁 시에도 업무 범위와 책임, 의뢰자의 감사권과 감독·추적 가능성을 확보해야 한다는 것이다.

현 대표는 “국내 CRO가 규제 변화를 기다리기보다 자체적인 RBQM 역량을 선제적으로 구축할 필요가 있다”며 “치료영역별 QTL·KRI 벤치마크 라이브러리를 구축하고 RBQM 모니터링 계획을 표준화해야 한다”고 밝혔다. 이어 “CRO가 모니터링 실행 단계에만 머무르지 않고 CTQ 식별과 프로젝트 기획 단계부터 참여할 수 있도록 역할과 책임을 사전에 명확히 해야 한다”고 강조했다.

또 치료영역별 QbD 적용 사례를 축적하고, SDV 축소나 모니터링 강도 조정에 적용한 위험기반 판단 근거를 문서화하는 것도 주요 과제로 제시했다. 현 대표는 “위험 우선순위를 설정할 때는 발생 시 영향도와 발생 가능성, 위험의 발견 가능성 등을 종합적으로 고려해야 한다”고 설명했다.