기업의 업무환경이 빠르게 변화하고 있다. 사람이 직접 처리하던 업무를 정보시스템이 수행하고, 종이 서류로 관리하던 자료는 디지털 데이터로 저장된다. 인공지능 AI는 정보를 분석하고 의사결정을 지원하며, 클라우드와 블록체인 같은 기술도 다양한 사업 영역에서 활용되고 있다. 이처럼 디지털 전환은 기업에 새로운 기회를 제공한다. 업무를 더 빠르고 효율적으로 처리할 수 있고, 데이터를 활용해 고객의 요구를 파악하거나 새로운 서비스를 개발할 수도 있다.
그러나 기술의 활용이 늘어날수록 기업이 관리해야 할 위험도 달라진다. 정보시스템이 중단되면 업무에 차질이 생기고, 고객정보가 유출되면 기업의 신뢰가 훼손될 수 있다. AI가 부정확하거나 편향된 결과를 만들어내는 문제도 발생할 수 있다. 이러한 위험은 기술적인 문제에만 머물지 않는다. 기업의 경영활동과 법적 책임, 시장의 신뢰에까지 영향을 미칠 수 있다. 그렇다면 새로운 기술을 도입하는 기업은 이러한 위험을 어떻게 관리해야 할까.
이 문제를 다루는 반도헌 저자의 [디지털 내부감사, 신기술 리스크와 거버넌스 시스템]은 디지털 전환으로 달라진 기업의 위험을 살펴보고, 새로운 기술 환경에서 내부통제와 내부감사가 어떤 역할을 해야 하는지 생각하게 하는 책이다.
디지털 전환은 기업의 위험도 바꾼다
디지털 전환은 단순히 새로운 프로그램을 도입하는 일이 아니다. 기업이 정보를 관리하고 업무를 수행하며 의사결정을 내리는 방식 자체가 달라지는 과정이다. 예를 들어 기업이 고객정보를 클라우드에 저장하고 AI로 분석한다면, 정보가 어디에 저장되고 누가 접근할 수 있는지 관리해야 한다. 외부 서비스와 시스템을 연결하는 과정에서도 보안 문제가 발생할 수 있다.
과거에는 업무 담당자가 작성한 서류와 승인 절차를 확인하는 방식으로 많은 문제를 점검할 수 있었다. 그러나 디지털 환경에서는 중요한 업무가 시스템 안에서 자동으로 처리되기도 한다. 이 경우 내부감사는 최종 결과만 확인하는 데 그쳐서는 안 된다. 시스템이 어떤 기준에 따라 업무를 처리하는지, 접근권한은 적절하게 관리되는지, 오류가 발생했을 때 이를 발견하고 수정할 수 있는 절차가 마련되어 있는지도 살펴봐야 한다.
기업의 업무 방식이 달라지면 위험을 점검하는 방법도 함께 달라져야 한다. 이것이 디지털 시대에 내부감사의 역할을 새롭게 생각해야 하는 이유다.
AI의 판단은 누가 검증하고 책임지는가
디지털 전환에서 특히 주목해야 할 기술은 AI다. AI는 많은 데이터를 빠르게 분석하고 사람이 수행하던 업무의 일부를 자동화할 수 있다. 기업은 이를 활용해 고객의 요구를 예측하고 업무 효율성을 높이며, 의사결정에 필요한 정보를 얻는다.
그러나 AI의 결과가 언제나 정확하거나 공정한 것은 아니다. AI가 학습한 데이터에 편향이 있으면 특정 집단에 불리한 결과가 나타날 수 있다. 분석 과정이 복잡해 결과가 도출된 이유를 이해하기 어려운 경우도 있다. 잘못된 결과를 충분히 검토하지 않고 업무에 활용하면 고객이나 기업에 피해가 발생할 가능성도 있다.
따라서 기업은 AI를 어디에 사용하고 있는지, 어떤 데이터를 활용하는지, 그 결과가 실제 업무에 어떻게 반영되는지 파악해야 한다. 특히 고객의 권리나 기업의 중요한 의사결정에 영향을 미치는 업무라면 AI의 결과를 검토하는 절차와 책임을 명확하게 정할 필요가 있다.
내부감사는 이러한 관리체계가 적절하게 마련되어 있는지 평가한다. AI의 활용 목적과 위험 수준에 맞는 통제가 이루어지는지, 문제가 발생했을 때 원인을 확인하고 대응할 수 있는지 살펴보는 것이다. AI를 도입했다는 사실보다 중요한 것은 기업이 그 활용 과정에서 발생할 수 있는 위험을 얼마나 책임 있게 관리하고 있는가이다.
블록체인과 가상자산이 보여준 새로운 위험
디지털 기술이 가져온 변화는 금융시장에서도 뚜렷하게 나타난다. 블록체인과 가상자산은 기존 금융시스템과 다른 방식으로 거래와 자산관리를 가능하게 했다. 그러나 새로운 기술과 사업모델이 등장하는 과정에서 기존의 위험관리와 내부통제 체계가 충분히 작동하지 못하는 문제도 나타났다. 대표적으로 테라·루나 사태는 가상자산의 구조와 운영 방식에 대한 이해, 투자자 보호, 위험관리의 중요성을 생각하게 하는 사건이었다.
여기서 중요한 것은 새로운 기술 자체가 모든 문제의 원인이라는 뜻이 아니다. 기술의 특성과 사업구조를 충분히 이해하지 못한 채 위험을 적절하게 관리하지 못하면 피해가 커질 수 있다는 점이다. 블록체인 기반 서비스를 운영하는 기업이라면 거래가 어떤 방식으로 이루어지는지, 자산은 어떻게 관리되는지, 중요한 의사결정과 권한은 누구에게 있는지 확인해야 한다.
내부감사 역시 이러한 기술과 사업모델의 특성을 이해해야 관련 위험관리와 내부통제 체계를 적절하게 평가할 수 있다. 새로운 기술을 활용할수록 그 기술에 맞는 관리와 감독의 기준도 함께 발전해야 한다.
기술 거버넌스는 IT 부서만의 문제가 아니다
기업에서 정보기술과 관련된 문제는 일반적으로 IT 부서의 책임으로 여겨진다. 그러나 디지털 기술이 기업의 핵심 업무와 연결된 오늘날에는 기술적인 위험을 IT 부서만의 문제로 볼 수 없다.
예를 들어 고객정보가 유출되었다고 생각해 보자. 기술 담당자는 유출 원인을 조사하고 보안 조치를 취해야 한다. 동시에 기업은 고객에게 어떤 피해가 발생했는지 확인하고, 관련 법률에 따라 필요한 조치를 수행하며, 같은 문제가 반복되지 않도록 관리체계를 개선해야 한다. 이 과정에는 IT 부서뿐 아니라 경영진과 법무, 준법, 위험관리 등 여러 부서의 협력이 필요하다. 이러한 문제를 다루는 것이 기술 거버넌스다.
기술 거버넌스란 기업이 디지털 기술을 어떤 목적으로 활용하고, 그에 따른 위험과 책임을 어떻게 관리할 것인지 결정하고 감독하는 체계를 말한다. 새로운 기술을 도입할 것인지 판단하는 일에서부터 운영 과정의 위험을 관리하고 문제가 발생했을 때 대응하는 일까지 포함한다. 따라서 경영진은 기술 도입의 효과뿐 아니라 예상되는 위험과 필요한 통제체계를 함께 검토해야 한다. 이사회 역시 중요한 기술 관련 위험이 적절하게 관리되고 있는지 감독할 필요가 있다. 기술이 기업의 핵심 업무를 움직이는 환경에서는 기술 거버넌스도 기업 거버넌스의 중요한 부분이 된다.
디지털 시대, 내부감사는 무엇을 해야 하는가
디지털 환경에서 내부감사의 역할이 중요해지는 이유는 기업의 업무와 위험이 점점 더 복잡하게 연결되고 있기 때문이다. AI의 활용은 데이터 관리와 개인정보 보호 문제로 이어지고, 클라우드 서비스의 이용은 정보보안과 외부 서비스 제공업체의 위험관리 문제와 연결된다. 블록체인과 가상자산 역시 기술적인 위험뿐 아니라 법률과 규제, 사업 운영상의 위험을 함께 고려해야 한다.
이러한 위험을 효과적으로 관리하려면 기업 전체의 관점에서 위험을 파악하고 관련 통제체계가 적절하게 운영되고 있는지 확인해야 한다. 내부감사는 이 과정에서 독립적인 평가 기능을 수행한다. 기업이 새로운 기술을 도입할 때 위험을 충분히 검토했는지, 필요한 통제 절차를 마련했는지, 실제 운영 과정에서 그 절차가 지켜지고 있는지 살펴보는 것이다.
물론 내부감사가 모든 기술적 문제를 직접 해결하는 것은 아니다. 기술을 운영하고 위험을 관리하는 책임은 해당 업무를 수행하는 부서와 경영진에게 있다. 내부감사는 이러한 활동이 적절하게 이루어지고 있는지 평가하고, 개선이 필요한 부분을 제시함으로써 기업의 위험관리와 거버넌스를 뒷받침한다. 이를 위해 내부감사인에게도 새로운 기술에 대한 이해가 필요하다. 전통적인 회계와 업무 절차에 대한 지식뿐 아니라 데이터, 정보보안, AI와 같은 기술이 기업의 업무와 위험에 어떤 영향을 미치는지 살펴볼 수 있어야 한다.
디지털 혁신을 뒷받침하는 것은 신뢰다
기업이 디지털 전환을 추진하는 목적은 디지털 기술을 활용해 더 나은 성과를 만들고 새로운 가치를 제공하는 데 있다. 그러나 이러한 성과가 지속되려면 기술을 안전하고 책임 있게 활용할 수 있어야 한다.
고객은 자신의 정보가 적절하게 보호되기를 기대하고, 투자자는 기업이 중요한 위험을 제대로 관리하기를 원한다. 기업의 구성원 역시 새로운 기술이 명확한 기준과 책임 아래 운영되기를 바란다. 기술에 대한 신뢰는 성능만으로 만들어지지 않는다. 기술이 어떤 목적으로 사용되고, 그 과정에서 발생하는 위험을 누가 관리하며, 문제가 생겼을 때 어떻게 대응하는지가 함께 중요하다.
반도헌 저자의 [디지털 내부감사, 신기술 리스크와 거버넌스 시스템]은 이러한 문제를 내부감사와 기술 거버넌스의 관점에서 살펴보도록 이끈다. AI와 알고리즘, 블록체인과 가상자산, 개인정보 보호와 정보보안 등 새로운 기술이 제기하는 문제를 통해 기업이 어떤 위험을 이해하고 관리해야 하는지 생각하게 한다.
디지털 전환이 기업의 경쟁력을 높이는 중요한 수단이라면, 기술 거버넌스는 그 과정에서 발생할 수 있는 위험을 관리하고 책임 있는 의사결정을 가능하게 하는 기반이다. 디지털 전환의 성과는 새로운 기술을 얼마나 많이 도입했는가만으로 평가할 수 없다. 그 기술을 얼마나 안전하고 책임 있게 운영할 수 있는가도 함께 살펴봐야 한다.
[디지털 내부감사]는 이러한 변화 속에서 기업의 경영진과 이사회, 내부감사인, 위험관리와 준법경영 담당자들이 디지털 기술과 거버넌스의 관계를 이해하고, 새로운 시대에 필요한 내부감사의 역할을 생각해 보게 하는 책이다. © 연암사
댓글
댓글 쓰기