IT Governance Series (19) - IT 거버넌스, Implementation 시 주의 사항

이전 연재 (‘구현시 고려 사항(1), (2)’) 에서 일부 내용을 다루어졌지만, 이 시점에 맞는 시각으로 IT 거버넌스를 구현하는데 도움이 될 수 있는 사항들을 재정리해보는 것도 도움이 될 것이다.

성공적 구현을 위해 무엇보다 중요한 것은 정확한 의미를 파악하는 것이다. 지금까지의 연재를 통해서 어느 정도 전체적인 의미가 전달되었으리라 짐작하지만, 다시 한번 강조한다면, ‘장님 코끼리 만지는 꼴’이 되어서는 실패하기 십상이다. 코끼리의 다리만 가지고도, 코만 가지고도 그리고 귀만 가지고도 각각 코끼리 다리, 코끼리 코, 그리고 코끼리 귀라 하지 않고 모두 똑같이 코끼리라고 부르는데 현혹되는 일이 없어야 할 것이다.

또한, 기업의 입장 차에 따라서 주장하는 바가 다를 수 있다. 예를 들면, IT 아웃소서(outsourcer) 입장과 IT 아웃소싱 서비스 제공자 (outsourcing service provider, outsourcee) 입장은 크게 다르다. 요즈음 우리의 시장 분위기가 IT 서비스 중심의 솔루션을 IT 거버넌스 솔루션이라 불리면서 일부 IT 서비스 제공자에 어필되고 있지만, 이것은 거버넌스 솔루션이라기 보다는 IT 서비스 제공업체를 위한 비즈니스 애플리케이션(applications)에 지나지 않는다는 생각이다. 한마디로 말해서, IT 거버넌스 솔루션은 있을 수 없다고 믿는다. 다만, 지원 도구 정도는 찾아 볼 수 있지 않을까 하는 생각이다.

정확한 의미를 이해하고도 성공적 구현은 용이하지 않다.

IT 거버넌스가 올바르게 구현되었을 때, IT 거버넌스는 기업의 목표를 달성시키고 동시에 위험을 관리하는 기업의 IT 활동을 지시하고 통제하는 조직 구조와 일련의 프로세스들이다.(IT 거버넌스 구현 가이드에서) 이 정의를 들여다 보면, 구현 전의 정의에 있었던 ‘리더십’이 제외된 것을 알 수 있는데, 리더십, 즉 거버닝 주체의 의지는 구현 과정에서 여러 실무 속으로 반영되었기 때문이다. 예를 들면, 조직을 구성할 때, 조직의 역할과 책임을 정의할 때, 또는 정책 및 절차에 스며들게 되는 것이다.

아무래도 단일 프로세스로 구현한다는 것은 비현실적이고 서브 프로세스들로 나누어 점차 구현하는 접근 방식이 예상되기에 대상 프로세스를 도출하기 앞서 명심해야 할 것은 해당 프로세스가 거버닝 대상으로 변화됨과 동시에 작게는 비즈니스와의 공동 책임제로 전환되고, 더욱 발전하면 이사회까지 보고가 이루어진다는 점이다. 역으로 하면 비즈니스와 공동 책임제로 될 수 있는 것과 이사회를 통해 다루어져야 할 중요 사항들이 후보가 될 수 있다는 의미가 내포되어 있다.

그렇다면, 거버닝 프로세스의 후보에는 어떤 것들이 있을까?

3회 연재(‘~ 네잎 클로버’)에서 언급한 일반적인 IT 관리 프로세스 중에서 중요성에 비추어 독자적인 거버넌스 프로세스로 전환이 가능한 것에는 정보 보안 관리와 IT 인력 관리가 우선 가능하다고 생각된다. 다만 이들은 관리에서 거버너스로 전환이 이루어지는 순간 전사적인 의미로 대상 영역이 확대되는 것이 일반적이다. 예를 들면, IT 인력 관리는 전사 인력 거버넌스로, 정보 보안 관리가 정보 보안 거버넌스로 전환되면 정보시스템으로 처리되는 데이터 및 정보의 범주를 벗어난 회사의 모든 전자 매체의 자료로까지 확대되는 것이 일반적인 시각이다.

그리고, 포트폴리오/프로젝트 관리는 독자적으로도 가능하지만 IT 투자 관리와 묶어서 가치 거버넌스로 프로세스를 개발할 수 있다고 본다. 그 밖에도 외주 거버넌스(outsourcing governance) 정도까지는 수용이 가능할지 모르나, 비즈니스 인텔리전스 거버넌스 (business intelligence governance)는 BI 구축 프로젝트 거버넌스로 보는 것이 타당하리라 생각된다.

하지만 이러한 의견은 일종의 가이드에 불과하고, 모든 결정은 각 기업의 고유한 가치 및 위험 분석 결과에 따라 결정될 사항이 분명하다. 따라서, 이외의 프로세스 가운데 자체적으로 중요하다고 판단되는 관리 프로세스 내에 거버닝 포인트를 포함시켜 거버넌스 프로세스로 전환하는 것이 가능하다. (연재 11, 구현시의 고려 사항(2), 엎어놓은 깔때기 논리 참고)

한편, 거버넌스 서브 프로세스 선정과 더불어 이사회 및 집행 임원들의 거버넌스 프로세스를 운영하면서 사용할 모니터링 및 보증을 위한 실무를 개발하는 것도 필요하다. 이를 위한 주요 실무로는 IT 균형점수표(balanced scorecard), IT 활동에 관한 내외 감사 보고서, 전사 아키텍처 등을 활용하면 의사결정의 품질 향상에 도움이 될 수 있다. 그렇지만, 이들의 역할은 해당 거버넌스 프로세스 상에서 측정 태스크(task) 수행에 이용이 가능한 메소드(methods)일 뿐이지, 이들의 개발 자체가 거버넌스 프로세스의 구현으로 간주될 수는 없다.

덧붙이다면, 기타 IT 프로세스들도 거버넌스 시대에 걸맞게 수준을 향상시키는 것이 성공적인 IT 거버넌스를 위한 필요조건이므로, 이를 위한 IT 일반 통제 실무의 개발 및 이행 작업이 동시 또는 선행되는 것이 중요하다고 말할 수 있다.

주 : 용어 정의

메소드(Method)란 태스크를 수행하여 원하는 결과에 도달하기 위한 정확하고 합리적인 방법을 수립하는 규칙(rules) 및 기준(criteria)들이 합리적으로 모두 갖춰진 세트

신인철

아이티거버넌스인터내셔널

© IT Governance International