IT 거버넌스
IT Governance
IT 거버넌스란?
- 주어는 IT 부서가 아니라 경영진
- 누가 승인하는가 한 줄에서 시작
- 회의가 열리지 않으면 문서일 뿐
IT 거버넌스가 자리 잡으면 'IT 부서가 알아서 하는 일'이 '회사가 결정하는 일'로 바뀝니다. 어떤 시스템을 살지, 보안 사고가 나면 누가 책임지는지, 부서마다 따로 도구를 들여도 되는지를 기술 담당자의 재량이 아니라 정해진 회의체와 기준으로 판단하게 됩니다. 그래서 IT 거버넌스의 주어는 IT 부서가 아니라 경영진입니다. IT 관리가 '어떻게 잘 운영하는가'라면 거버넌스는 '무엇을 할지 누가 정하는가'에 관한 것입니다.
구성 요소는 다섯 가지로 정리됩니다. 첫째, IT 투자를 심의하는 의사결정 구조(IT 위원회, 결재 기준). 둘째, 사업 전략과 IT 계획의 연결. 셋째, 보안·개인정보·규제 준수 같은 리스크 관리. 넷째, 투자 대비 효과를 보는 성과 측정. 다섯째, 자원 배분 원칙입니다. 국제적으로는 ISO/IEC 38500과 ISACA의 COBIT이 이 틀을 정리해 두었고, 국내에서는 ISMS-P 인증이나 금융권 감독규정이 비슷한 요구를 담고 있습니다. 중견기업에서는 거창한 체계보다 '일정 금액 이상 IT 지출은 어느 회의에서 누가 승인하는가' 한 줄을 정하는 것이 출발점입니다.
교육·인사 부서와의 접점은 부서별 도구 도입입니다. 교육팀이 LMS나 AI 도구를 들이려 할 때 보안 검토, 개인정보 영향 검토, 기존 시스템과의 중복 확인을 어디서 받는지가 거버넌스로 정해져 있어야 합니다. 이 절차가 없으면 부서마다 비슷한 도구를 따로 사서 데이터가 흩어지고 퇴직자 계정이 어디에 남아 있는지도 모르게 됩니다. 반대로 절차가 지나치게 무거우면 현업이 검토를 피해 개인 카드로 결제하는 그림자 IT가 늘어납니다.
현장에서 가장 자주 어긋나는 지점은 거버넌스를 문서로만 만드는 것입니다. 규정집은 있는데 IT 위원회가 1년에 한 번도 열리지 않으면, 실제 결정은 여전히 복도에서 이루어지고 사고가 났을 때 책임은 IT 담당자 개인에게 돌아갑니다. 거버넌스를 보안 규제 대응과 같은 말로 쓰는 것도 흔한 오해인데, 규제 준수는 거버넌스의 한 부분일 뿐 투자 판단과 성과 측정이 빠지면 '통제'만 남아 현업의 저항을 부릅니다. 경영진이 IT 숫자를 분기마다 직접 보는 자리가 없다면 거버넌스는 아직 없는 것입니다.
1990년대 후반 기업의 IT 투자가 급증하면서 투자 판단과 책임 구조를 경영 차원에서 다루자는 논의에서 나왔습니다. ISACA가 1996년 COBIT 프레임워크를 내놓았고, 2008년 ISO/IEC 38500이 IT 거버넌스의 국제표준으로 제정되면서 용어가 정착했습니다.
가상의 사례로 살펴보겠습니다. 임직원 620명의 물류 회사 A사는 지난해 3개 부서가 각각 다른 협업툴과 AI 도구를 들였고, 그중 한 도구에 고객 주소가 올라간 사실이 보안 점검에서 드러났습니다. 대표는 내년 IT 투자 4억 원을 승인하기 전에 '누가 결정하는 구조인지부터 만들라'고 지시했습니다.
- CFO가 의장을 맡고 IT팀장·인사팀장·영업본부장이 들어가는 IT 위원회를 만들었고, 500만 원 이상 IT 지출과 외부 저장 데이터가 있는 도구는 위원회 심의를 거치도록 결재 기준 한 줄을 추가했습니다.
- 첫 회의에서 IT팀장이 작년 IT 지출 3억 2천만 원을 '유지'와 '신규'로 갈라 보고하자, 유지에 78%가 들어가고 있다는 숫자에 대표가 '그럼 내년 4억은 거의 유지에 쓰는 것 아니냐'고 되물었습니다.
- 교육팀이 올린 LMS 도입 건은 위원회에서 개인정보 영향 검토와 기존 그룹웨어 중복 확인을 거쳐 승인됐고, 교육팀장은 '검토 2주가 걸렸지만 승인 뒤에는 아무도 토를 달지 않았다'고 말했습니다.
- 분기마다 IT팀이 보안 사고 건수, 시스템 장애 시간, 투자 대비 효과 세 가지 숫자를 위원회에 보고하도록 했고, 두 번째 분기부터는 부서장들이 먼저 '우리 부서 도구도 올려 달라'고 요청했습니다.
- 1년 뒤 부서가 따로 들인 미등록 도구는 11개에서 2개로 줄었고, 중복 해지로 아낀 2,900만 원은 신규 투자로 돌려 유지 비중은 78%에서 64%로 내려갔습니다.