CISA 위상의 진실

요즈음, CISA의 위상에 대하여 국내 IT 관련 기사 수준과 비교되는 얘기들을 가끔 들어 왔으며, 한국정보시스템감사통제협회 홈페이지의 자유게시판에서도 비슷한 내용의 글을 목격할 수 있다.

한편으로, 나는 내가 준비하던 시절에 들었던 “기술사 중에도 3번 떨어져 포기하는 사람이 있다.” 는 얘기를 듣고 CISA 시험 합격을 조금은 뿌듯해 하였던 기억을 갖고 있다.

그렇다면, 10 여 년 전과 지금의 상황이 달라진 것이 있느냐고 묻는다면, 내가 보기에는 아무것도 달라진 것이 없다고 생각한다. 그 이유는 2 가지 모두 보편적 상황을 표현하지 못한 것이라고 믿기 때문이다. 후자는 단순한 언어의 장벽으로 인한 것으로 보며, 전자는 CISA 시험의 오해가 발단이라고 생각되는 것이다. 구체적으로 말하자면, 오래 전에 모 기관에서 CISA 시험 문제를 분석해 본 결과, 우리의 정보처리기사 수준에 불과하다는 결론을 내린 것이 크게 작용하였으며, 게다가 주위에 IT를 전공하지 않은 사람, 학생, 자신의 부하 등 별볼 일 없다고 생각하던 사람(?)이 합격하는 현실이 반증으로 작용하여 더욱 고착화시켰다고 판단하는 것이다. 사실 이런 왜곡된 시각을 지닌 사람들에게는 언어의 장벽이 허물어진 지금에도 떨어진 사람 중에 대단한(?) 사람들도 있다는 사실은 왜 간과하는가 지적하지 않을 수 없다.

사실, 이번 컬럼의 본질은 언어의 장벽에 관해서라기 보다는, CISA 시험의 오해를 해소시키는데 있음을 먼저 밝히는 바이다. 그렇더라도, 시험 문제 그 자체보다는 CISA의 자격 요건을 살펴보는 것에서 시작하는 것이 보다 도움이 되리라 생각한다. CISA 자격 취득의 필요 조건으로 전체 5년 간의 실질적인 IT 통제 또는 감사 경력을 요구하고 있는데, 이 가운데 3년은 대학 학점 취득을 통해 최대 2년의 경력 면제와 일반 IT 경력을 통해 최대 1년까지 대체 경력으로 인정하는 정책을 시행하고 있습니다. 그렇기 때문에 CISA 인증에 필요한 실질적인 IT 통제 및 감사 경력을 최소 2년이라고 할 수 있는 것입니다.

그렇다면, 일반 IT 경력이란 무엇인가? 예를 들면, 프로그래밍 언어의 문법이라는 틀을 뛰어 넘지 못하는 프로그래머, 네트워크 솔루션이 제공하는 규칙으로 업무 활동의 제한을 받는 네트워크 담당자, 보안 솔루션이 제공하는 파라미터 설정 규칙이 운신 폭의 전부인 보안 담당자, DBMS에 내재된 DDL 및 관리 함수(function)가 전부인 DBA, 사전에 정해진 품질 원칙을 제대로 지키고 있는가를 검토하는 품질보증담당자 등 대부분의 엔지니어 활동을 담당하는 사람들이 여기에 해당된다. (ISACA의 CISA 프로그램 정책은 이러한 단순 엔지니어 경력은 10년이 됐든 20년이 됐든지 최대 1년까지만 IT 통제 또는 감사 경력으로 밖에 대체 인정하고 있지 않음)

반면, IT 통제 경력이라 함은 IT 직원은 엔지니어링 경력을 거쳐서 책임자(manager, 부장 또는 과장)가 되면, 일반 엔지니어들이 보다 효율적이며 효과적으로 일할 수 있는 환경 조성을 고민하고, 또한 경영진의 경영 방침 또는 회사의 정책, 그리고 조직의 목적을 달성하기 위한 책임과 역할을 수행하는 통제 주체가 되는데, 이들은 엔지니어들이 따라야 하는 기술적인 규칙 이외에 경영진의 경영 방침을 뒷받침하는 세부 정책 및 절차를 수립하여 전파하고 시행토록 하며, 그리고 이를 모니터하는데 이러한 활동을 영위하는 것을 통틀어 통제 경력이라 지칭한다.

그렇다면, IT 통제 경력에 비해서 IT 감사 경력은 무엇인가? 이에 대한 간단한 대답은 “IT 감사 대상은 IT 통제이며, IT 통제가 존재하지 않으면 감사할 수 없고, 하지도 않는다.” 라는 말로 대신 할 수 있다. 부연하면, 통제 설계가 효과적인지 (위험을 적절히 다루고 있는지), 그리고 이들이 제대로 지켜지는지에 대한 검토 및 시험을 통해서 그 결과는 이사회 및 고위 경영진에 보고하고 그리고/또는 IT 조직에 권고하는 것이다. 그리고 지금은 IT 거버넌스(최고 경영진)에 대한 감사까지도 감사 영역이 확대되고 있는 중이다.

이제, 통제 및 감사 경력에 이어서 CISA 시험 이슈에 대해 설명하기로 한다. 왜 주위의 별볼 일 없는 사람이 합격할 수 있는가 하는 문제는 IT 통제 및 감사에 대한 이해가 부족하면 대단한 사람들도 떨어진다는 사실과 같은 맥락에서 찾을 수 있다. 다시 말하면, 엔지니어 기술은 부족할지 모르나, IT 감사 및 통제를 제대로 이해하였기 때문에 합격한 것이며, 따라서 그들의 합격과 노력을 함께 인정해야 할 것이다. 그렇다고 해서 그들이 바로 CISA가 되는 것은 아니며, 반대로 엔지니어 기술이 전혀 없다고 할 수 없다. 왜냐하면 CISA 시험 레벨 1에 해당하는 문제는 단편적인 정보기술에 관한 지식을 묻는 문제가 상당수 출제되고 있기 때문이다. 이들을 상당수 맞히지 못하면 합격할 수 없기에 단정하여 말할 수 있는 것이다.

또한, 우리의 사법고시, 회계사, 변리사 시험에서도 전공자들만 합격하는 것이 아닌 것처럼, CISA 시험도 비슷한 차원에서 받아들여야 한다. 즉, 이들 모두가 시험 합격과 동시에 유능한 IT 감사 및 통제 전문가 칭호를 얻는 것이 아니고, 동종 전문가 그룹 내에서는 최말단부터 시작한다는 것으로 이해하면 합격자 수준에 비춰 평가된 CISA의 위상 문제는 이해될 수 있으리라고 생각된다.

이에 때라서, CISA를 꿈꾸는 분들에게 권하는 커리어 패스는 기술엔지니어 -> IT통제주체 -> IT감사인의 정상적인 궤도이며, 이러한 궤도를 벗어나면, 감사인일지라도 숙련된 통제 전문가보다 실력이 부족할 수 있음은 당연한 일일 것이다.

진정한 위기는 어떤 것인가?

CISA의 국내 위상과 관련된 인식이 소수자에 의한 편견 및 인식부족에서 출발하였으며, 이러한 편견이 현실적으로도 널리 받아들여지고 있지만 (ITA 감리인 자격 인정 기준에서 파악할 수 있듯이), 이러한 인식의 문제는 해결 방안이 있을 수 있다는 희망이 있기에, 더욱이 여러분들의 고용주 인식이 그러한 것은 더욱 아니므로 커다란 문제는 아니라고 생각된다. 이보다 본질적인 문제는 외부인의 인식보다는 내부적인 현상에서 엿볼 수 있다.

그렇다면, 과연 중차대한 위기의 내용 및 원인은 무엇인가? 결론부터 말하면, 위기는 (예비) CISA 또는 조직의 통제 주체들이 아직도 엔지니어 기질 또는 향수에서 벗어나지 못하고 있다는 점이며, 이는 정말 시급한 문제로써 한시바삐 해결하지 못하면, 90년대 초/중반 글로벌 환경에서 겪었던 IT 감사 분야의 침체 현상을 우리도 답습할 수밖에 없을 것으로 우려된다.

(사실, 우리의 경우는 IT 감사 문화도 정착되지 못하고 있는데, 무슨 쓸데없는 걱정이냐고 하시는 분이 계신다면, 입이 열 개라도 할 말은 없습니다만 …)

중대한 위기의 발단은 국내 CISA 들의 경우는 감사인의 커리어 패스에서 통제 경력 요건을 스킵(skip)하는 데서 찾을 수 있습니다. 즉, 일반 엔지니어 경력을 감사 또는 통제 경력으로 믿고 신청하여 자격증을 취득하는 일이 일반화되고 있는 점이다.

사실, 앞에서 밝혔듯이, IT 감사 대상도 IT 통제인데, 엔지니어 단계에서 통제 주체로서의 경험을 생략하고 IT 감사를 한다는 것은 정말 위험한 일이 아닐 수 없다. 이로 인해 IT 보증 및 통제 커뮤니티에는 자칭 태권도 3단의 이론가는 수두룩한데 이 가운데 많은 분들이 실기는 아직 1장 수준에 머물러 있다고 할 수 있습니다. 사실은 만연되어 있는 문제 풀이식의 공부 방법과 경험이 뒷받침되지 않아 비전을 제시하지 못하는 시험 전문가들에 의한 CISA 시험 강의도 크게 한몫 하였다고 믿지 않을 수 없다.

문제 해결 방안은 원인에서 밝힌 것처럼 현실적으로 성숙되지 않아서 직접적인 IT 감사 경험은 어렵더라도, 조직 내에서 내부 IT 통제의 올바른 이해와 실전 경험을 통해 보다 향상된 IT 거버넌스, 통제 그리고 보증 기술(skills, process ability, competence, core competence)을 습득하는 길밖에 없다고 확신한다. 만약, 통제 경험이 부족한 경우에는 체크리스트에만 의존하고, 적절한 권고 방안을 제시하지도 못하면서 지적 사항만 남발하는 IT 감사를 할 것을 확신할 수 있기 때문이다. 정보시스템감사통제협회 (ISACA)의 자격 인증 정책에서도, IT 감사 및 통제 부문에 대한 대학 교수 경력도 2년을 실무 경력 1 년으로 밖에 인정하지 않을 만큼 실전 경험을 중요시 하고 있는 것도 같은 맥락으로 이해할 수 있다.

향후, 나는 개인적으로 국내 CISA 가운데 ISACA 회원수의 비율 변화 추이로 간접적으로 나마 이러한 긍정적인 변화의 조짐을 읽을 수 있다고 생각한다. 또한, COBIT과 ISACA 발행 저널의 인지 및 이해 정도도 가늠자로써 가능할 것이다. (참고로 2007년 초 국내 CISA의 수는 2,382 명, 이 가운데 회원 수는 767명임, 시험 합격자 총 수는 5,500 여 명임)

신인철

© IT거버넌스인터내셔널