도입: 자율의 시대에서 ‘강제와 투명’의 시대로

세계 화장품 시장은 2022년 말 미국 화장품 규제 현대화법(MoCRA)의 제정을 기점으로 전례 없는 규제 강화의 시대로 접어들었습니다. 이는 1938년 연방 식품·의약품·화장품법(FD&C Act)이 제정된 이후 약 85년 만에 이루어진 가장 광범위하고 근본적인 변화로 평가됩니다.

과거의 미국 화장품법이 기업의 자율적인 보고와 사후 관리에 의존해 왔다면, MoCRA는 미 식품의약국(FDA)에 시설 등록, 제품 리스팅, 안전성 입증, 강제 회수 권한을 부여하며 법적 근거를 새롭게 구축했습니다.

- 시설 등록 의무: 과거에는 기업이 자율적으로 시설 정보를 제공했으나, 이제는 미국 내 유통되는 모든 화장품 제조 및 가공 시설의 FDA 등록이 법적 의무가 되었습니다.

- 제품 리스팅과 안전성 기록: 책임자(Responsible Person)는 제품 성분 정보를 담은 제품 리스팅을 매년 업데이트해야 하며, 제품의 안전성을 뒷받침할 수 있는 과학적으로 견고한 기록을 상시 유지해야 합니다.

- 규제 현대화: 이러한 변화는 제품 기획 단계부터 시장 퇴출에 이르기까지 전 과정에 국가가 개입하는 규제 현대화의 시대로 진입했음을 의미합니다.

- 수입 차단 리스크: 시설 등록을 완료하지 않은 채 제품을 수출하면 수입 경보(Import Alert)에 따라 제품이 압류되거나 차단될 수 있습니다.

- 플랫폼 리스크: 아마존 등 주요 유통 플랫폼에서도 MoCRA 미준수 제품에 대한 리스팅 삭제가 이루어질 수 있어, 규제 준수는 사실상 영업권 확보의 필수 조건이 되었습니다.

- 소규모 브랜드의 과제: 매출 규모가 작은 인디 브랜드라도 고위험군 제품을 생산하는 경우에는 예외 없는 등록 의무가 부과될 수 있으므로, 선제적인 리스크 관리 없이는 미국 시장에서 경쟁력을 유지하기 어렵습니다.

시설 등록 및 제품 리스팅: 2024년 초기 등록, 그 이후의 관리

MoCRA의 핵심은 미국 내에서 유통되는 모든 화장품의 제조 및 가공 시설에 대한 FDA 등록을 의무화한 데 있습니다. 과거의 자율적 보고 시스템(VCRP)은 대체되었고, 등록 의무를 위반한 제품은 변조·표시위반 제품으로 취급되어 미국 내 유통이 차단될 수 있습니다.

- 소규모 기업 면제: 직전 3년간 미국 내 연평균 총매출액이 100만 달러(물가 연동) 미만인 기업은 시설 등록 및 제품 리스팅 의무에서 면제될 수 있습니다. 다만 안전성 입증, 심각한 유해 사례 보고, 라벨링 의무까지 면제되는 것은 아닙니다.

- 면제 제외 대상: 눈 점막에 통상적으로 접촉하는 제품, 주사제 제품, 체내 사용을 목적으로 하는 제품, 통상적 사용 조건에서 24시간을 초과하여 외관을 변화시키고 소비자에 의한 제거가 통상적 사용에 포함되지 않는 제품은 매출 규모와 관계없이 등록 의무가 적용될 수 있습니다.

- 미준수 리스크: 시설 등록을 완료하지 않은 채 제품을 수출할 경우 수입 경보에 따라 제품 압류 및 차단 조치가 내려질 수 있으며, 실제 국내 기업이 수입 거부 처분을 받은 사례도 보고되고 있습니다.

2024년 7월 1일까지 초기 등록을 마친 한국 제조사들의 첫 격년 갱신 기한은 2026년 7월 1일이었습니다. 등록은 일회성 절차가 아니라 2년마다 되풀이되는 유지 업무이며, 기한을 넘긴 기업은 즉시 등록 상태를 확인해야 합니다.

- 갱신 주기: 등록된 시설은 초기 등록일로부터 매 2년마다 정보를 갱신해야 합니다. 식품(FSMA)처럼 고정된 달력 주기가 아니라 최초 등록일을 기준으로 산정된다는 점에 유의해야 합니다.

- 전자 포털 업데이트: FDA는 2026년 2월 11일 전자 제출 포털인 Cosmetics Direct와 이용 안내서를 업데이트했습니다. 변경 사항이 있으면 정식 갱신(Biennial Renewal), 변경 사항이 없으면 약식 갱신(Abbreviated Renewal)을 이용하며, 등록 시설에는 갱신 안내 이메일이 자동 발송됩니다.

- 포털 확인 사항: 포털 메인 화면에서 등록 상태(REGISTRATION STATUS)와 갱신 날짜(RENEWAL DATE)를 상시 확인해야 합니다. 갱신을 놓쳐 등록이 유효하지 않게 되면 해외 시설의 경우 수입 보류로 직결될 수 있습니다.

- 수시 변경 보고: 시설 명칭, 주소 또는 책임 대리인 정보 등에 변경 사항이 발생한 경우 반드시 60일 이내에 신고해야 합니다.

- 책임자의 정의: 제품 라벨에 표시된 제조사, 포장업자 또는 유통업자를 의미합니다.

- 제품 리스팅: 책임자는 각 제품별 성분 리스트와 제조 시설 정보 등을 매년 업데이트하여 FDA에 제출해야 합니다.

- 유해 사례 보고: 심각한 유해 사례를 인지한 날로부터 영업일 기준 15일 이내에 FDA에 보고해야 할 직접적인 의무를 집니다.

- 미국 대리인: 해외 제조 시설의 경우 FDA와의 소통을 담당할 현지 대리인을 반드시 지정하여 등록 시 기재해야 합니다.

심각한 유해 사례 보고(SAER): ‘15일’의 골든타임

MoCRA 체제에서 기업의 가장 막중한 책임 중 하나는 소비자 안전 사고에 대한 투명하고 신속한 보고입니다. 제품 사용으로 인해 발생한 심각한 유해 사례(Serious Adverse Event)를 인지한 책임자(Responsible Person)는 인지한 날로부터 영업일 기준 15일 이내에 FDA에 보고해야 합니다.

- 보고 대상: 사망 또는 생명을 위협하는 상황, 입원 치료가 필요한 상황, 지속적이고 중대한 장애, 선천적 결함 또는 기형, 감염이나 통상적 사용 조건에서 의도되지 않은 중대한 손상 등이 포함됩니다.

- 추가 정보 업데이트: 최초 보고 후 1년 이내에 새로운 의료 정보나 추가 데이터를 인지한 경우에도 다시 15일 이내에 FDA에 업데이트해야 합니다. 따라서 고객 불만을 단순 접수하는 수준을 넘어 의학적·법적 관점에서 즉각 분류할 수 있는 내부 시스템이 필요합니다.

유해 사례 대응은 일회성 보고로 끝나지 않습니다. 모든 소비자 불만, 유해 사례 관련 통신 내용, 평가 기록은 일정 기간 보존되어야 하며, 이는 FDA가 기업의 안전성 관리 실태를 점검할 수 있는 법적 근거가 됩니다.

- 일반 기업: 모든 건강 관련 유해 사례 기록을 최소 6년간 보관해야 합니다.

- 소규모 기업: 상대적 부담을 고려하여 최소 3년간의 보관 의무가 부여됩니다.

- 검사 대비 상태: 기록 제공 거부는 연방법 위반으로 간주되어 민·형사상 처벌이나 수입 거부 조치로 이어질 수 있으므로 평상시 Inspection-Ready 상태를 유지해야 합니다.

MoCRA는 과거의 자발적 보고 시스템이었던 VCRP(Voluntary Cosmetic Registration Program)를 대체했고, FDA는 2023년 3월 27일자로 VCRP 신규 접수를 중단했습니다. 자율 신고 체계가 강제적 의무 시스템으로 전환된 것입니다.

- 강제 회수 권한: FDA는 해당 화장품이 변조·표시위반 상태이고 그 사용 또는 노출이 중대한 건강상 위해나 사망을 초래할 상당한 개연성이 있다고 판단하면 강제 회수 명령을 내릴 수 있습니다.

- 행정 제재의 실질화: 보고 의무 위반 시 경고장 발송, 등록 정지, 해당 시설 제품의 미국 내 유통 금지 등으로 이어질 수 있습니다. 이는 대한민국 수출 기업의 제조물 책임(PL) 관리에서도 핵심적인 기준이 될 수 있습니다.

구체화되는 FDA의 권한: 기록 접근권 가이던스와 실사

2026년 1월 21일 FDA는 「FDA Records Access Authority for Cosmetics Products」 초안 가이던스를 공개했습니다. 이는 기록 접근 권한이 새로 생겼다는 의미가 아니라, MoCRA가 신설·개정한 FD&C Act 관련 조항에 따라 이미 존재하던 권한의 행사 요건과 범위를 문서화한 것입니다.

- 유해 사례 기록: FDA는 실사 과정에서 유해 사례 관련 기록을 열람할 수 있습니다.

- 중대한 위해 우려 시 접근 범위: 해당 제품이 변조되었고 그 사용 또는 노출이 중대한 건강상 위해나 사망을 초래할 우려가 있다고 믿을 합리적 근거가 있는 경우, 제조 기록, 원료 입고 기록, 유통·재고 기록, 원료 및 완제품 분석 결과, 회수 기록, 거래처 목록, 불만 및 유해 사례 기록, 안전성 입증 자료까지 접근하고 복사할 수 있습니다.

- 접근 권한의 한계: 배합비·제조 레시피, 재무 및 가격 정보, 기술 인력의 자격을 제외한 인사 기록, 안전성 입증 목적 외의 연구 데이터, 출하 정보를 제외한 판매 데이터는 접근 대상에서 제외됩니다. 다만 아직 초안 단계이므로 최종본에서 내용이 달라질 수 있습니다.

MoCRA는 FDA가 화장품 GMP 규칙을 마련하도록 정하고 있었으나, 2026년 7월 현재 제안 규칙조차 발표되지 않았고 해당 규칙 제정은 FDA 통합 규제 어젠다에서 장기 과제로 분류되어 있습니다.

그러나 규칙이 늦어진다고 해서 리스크가 사라지는 것은 아닙니다. 실사를 거부하거나 지연시키는 행위는 그 자체로 금지행위이며, FDA가 해당 시설 제품에 중대한 건강상 위해의 개연성이 있다고 판단하면 등록 정지 명령을 통해 미국 내 유통을 차단할 수 있습니다.

한국 제조업체들은 국내 CGMP 충족에 머물지 않고, 향후 기준점으로 거론되어 온 ISO 22716 수준의 공정 관리 체계를 미리 갖춰둘 필요가 있습니다. 최종 규칙의 공백기는 유예 기간이 아니라 준비 기간으로 보아야 합니다.

- 과학적 입증 데이터: 성분 분석 결과, 원료 공급사의 시험성적서(COA), 미생물 및 안정성 테스트 결과, GMP 준수 여부를 확인할 수 있는 배치 생산 기록을 체계적으로 보관해야 합니다.

- 원료 공급사 협력: 원료 공급사는 성분 안전성 데이터를 즉각 제공할 준비가 되어 있어야 하며, 제조업체는 이를 책임자가 지체 없이 확인할 수 있도록 정리해야 합니다.

- 디지털 컴플라이언스: FDA의 기록 접근 및 실사 권한에 대응하기 위해서는 수기 관리를 넘어선 디지털 컴플라이언스 체계가 필요합니다. 이는 실사 상황에서 기업의 상당한 주의 의무를 입증하는 강력한 법적 방패가 될 수 있습니다.

환경 규제의 공습: PFAS와 라벨링 현대화

2026년은 화장품 성분의 안전성과 환경 유해성에 대한 규제가 정점에 달하는 시기입니다. 특히 ‘영원한 화학물질(Forever Chemicals)’로 불리는 과불화화합물(PFAS)에 대한 제재와 소비자 알 권리를 위한 라벨링 현대화는 미국 시장 진출의 필수 관문이 되고 있습니다.

- 주별 규제: 미국은 연방 차원에서 PFAS를 직접 규율하는 화장품 규정이 아직 없는 반면, 주 정부들은 개별 입법으로 이미 금지에 나서고 있습니다.

- 단계적 발효: 의도적으로 첨가된 PFAS를 함유한 화장품의 판매·유통 금지는 2025년 1월 1일 캘리포니아, 콜로라도, 메릴랜드, 미네소타, 워싱턴에서 먼저 시행되었고, 2026년 1월 1일부터 메인, 버몬트, 코네티컷이 합류했습니다.

- 규제 배경: PFAS는 발림성과 지속력을 높이기 위해 사용되어 왔으나, 자연 분해되지 않고 인체 내 내분비계 교란 및 생물 농축 위험이 지적되어 왔습니다.

- 연방 정부의 움직임: FDA는 MoCRA에 따라 PFAS 사용 현황과 관련 리스크에 관한 보고서를 발간했으나, 이는 연방 차원의 금지를 예고한 규정은 아닙니다. 당분간은 주별 규제에 개별 대응해야 합니다.

- 미국 규칙의 진행 상황: MoCRA는 FDA가 향료 알레르기 유발 물질 공개에 관한 제안 규칙을 마련하도록 정했으나, 아직 시행 단계는 아닙니다.

- EU 기준의 선제 대응: EU는 개별 표시 대상 향료 알레르기 유발 물질을 약 80종으로 확대했습니다. 미국 규칙을 기다리기보다 EU 기준에 맞춰 미리 성분 표시와 원료 정보를 정비해 두는 것이 현실적입니다.

- 유해 사례 보고 정보: 모든 화장품 라벨에는 소비자가 유해 사례를 즉각 보고할 수 있도록 미국 내 주소, 전화번호 또는 전자적 연락처 정보가 포함되어야 합니다.

- 전문가용 제품 표시: 전문가 전용 제품(Professional Use Only)은 이를 명확히 라벨링해야 하며, 이는 일반 소비자에게 오용될 리스크를 차단하기 위한 장치입니다.

- 포뮬러 재설계: 이미 상당수 주에서 PFAS 금지가 발효된 만큼, 공급망 전반을 점검하여 원료 내 PFAS 포함 여부를 확인하고 대체 성분 개발 및 포뮬러 재설계에 착수해야 합니다.

- Safe-by-Design: 제품을 완성한 뒤 규제에 맞추는 것이 아니라, 배합 설계 단계부터 주요 국가의 금지 성분과 제한 농도를 실시간으로 체크하는 프로세스를 내재화해야 합니다.

- 데이터 투명성: 향료 제조사와 협력하여 알레르기 유발 물질 포함 여부를 수치로 증명하고, 이를 디지털 컴플라이언스 시스템에 기록하여 문제 발생 시 상당한 주의를 입증할 증거로 활용해야 합니다.

결론: 규제는 장벽이 아니라 ‘글로벌 스탠다드’로의 통로다

미국 시장의 새로운 법적 질서인 MoCRA는 단기적으로는 우리 기업들에게 비용과 행정적 부담을 안겨주는 것처럼 보이지만, 장기적으로는 품질과 안전성을 갖춘 K-뷰티 기업들이 글로벌 시장에서 차별화될 수 있는 기회이기도 합니다.

규제 준수는 이제 단순한 행정 비용이 아니라, 글로벌 시장에서 영업권을 확보하고 제조물 책임(PL) 리스크를 방어하기 위한 필수적인 법적 자산으로 보아야 합니다.

- 상당한 주의의 증거: 고도화된 전산 시스템은 제품 안전성 이슈나 소비자 유해 사례가 발생했을 때 기업이 상당한 주의를 다했음을 증명하는 강력한 증거 자료가 됩니다.

- 데이터 신뢰성 확보: 원료 공급사로부터 받은 독성 데이터와 GMP 준수 기록을 전산 시스템에 기록하여 위변조 가능성을 차단하고, 실시간 업데이트 이력을 남기는 것은 FDA 실사 시 기업의 투명성을 입증하는 핵심 요소입니다.

- 운영 효율성: 수천 개의 SKU를 관리하면서 국가별 갱신 일정과 라벨링 규정을 수동으로 관리하는 것은 현실적으로 어렵습니다. 규제 변화를 자동으로 감지하고 필수 서류 생성을 지원하는 시스템 투자는 장기적으로 리스크 관리 비용을 줄이는 수단이 됩니다.

2026년 1월 FDA가 기록 접근 권한에 관한 초안 가이던스를 내놓으면서, 어떤 서류가 어떤 상황에서 열람 대상이 되는지가 처음으로 분명해졌습니다. 실사 중에는 유해 사례 관련 기록이, 중대한 건강상 위해나 사망이 우려되는 상황에서는 제조·유통 기록과 안전성 입증 자료까지 열람·복사 대상이 됩니다.

배합비와 재무 자료는 제외되지만, 그 밖의 안전성 관련 서류는 사실상 전부 갖추어져 있어야 한다는 뜻입니다. 지금 즉시 공급망 전반을 점검하고 기록의 투명성을 확보해야 합니다.

원료 공급사와 긴밀히 협력하여 성분 안전성 데이터를 상시 비치하고, 언제든 FDA의 실사에 대응할 수 있는 검사 대비 상태(Inspection-Ready)를 갖추어야 합니다. 준비된 기업에게 이번 규제 현대화는 전 세계 시장을 하나로 연결하는 투명한 통로가 될 것이며, K-뷰티가 글로벌 소비자에게 안전하고 신뢰받는 브랜드로 도약하는 기반이 될 것입니다.