전형적으로 감사인들은 연간 감사 계획을 수립하는데 도움을 주는 형식적인 위험 평가를 실시한다. 많은 위험 평가의 약점은 단순화한 모델 혹은 편협한 관점에 대한 감사인들의 신뢰이다. 예를 들면, 브리태니커 백과사전의 수익성에 대한 1985년 위험 분석은 위키피디아에 의해 만들어진 사용자-작성 아띠클(articles)의 부정적인 판매 영향을 고려하지 못하였던 것 같다. 위험 억제에 대한 열쇠는 특정 위험을 예측하는 능력이 아니라, 물리적 재해, 기술 변화 혹은 단순한 고객 취향의 갑작스런 이동 등 (전혀) 예측하지 못했던 위험에 대응하는 능력인 것이다.

자신들의 위험 평가에 민첩성을 포함한 보다 많은 전략적인 관심사들을 포함시키려 노력하는 감사 그룹에게는 특정한 프로젝트에서 출발하는 것이 한가지 방법이 될 수 있다. 한번에 전사적인 IT 민첩성 위험을 모두 처리하기 보다는, 개발에 있어서 새로운 시스템을 위한 민첩성 죽이기(agility killing) 실무에 주위를 기울이는 것이 보다 쉬운 출발점이 될 수 있다. 예를 들면, 솔루션으로 비표준 패키지가 제안된다면, 감사인은 다음과 같은 질문을 할 수 있다:

• 그 데이터가 조직의 다른 데이터와 어떻게 통합될 수 있는가?
• 비즈니스 모델이 변할 경우 이 패키지는 쉽게 수정될 수 있는가?
• 보안이 현재의 보안 시스템과 통합될 수 있는가, 아니면 유지보수를 위해 분리된 보안 디렉토리를 필요로 하는가? 예를 들면, 해당 패키지가 윈도우 액티브 디렉토리를 이용할 수 있는지 아니면 중복된 사용자 디렉토리를 유지할 필요가 있는가?

결론

커다란 조직의 생존에 있어서 많은 중요한 요소들은 수치화할 수 없거나 단순히 “예/아니오” 혹은 “대/중/소” 정도로만 정량화할 수 있다. 그것은 그러한 요소들이 중요치 않다는 것을 뜻하지 않는다. 예를 들어, 도덕, 개인의 일에 대한 열망 그리고 업무 유연성은 기업의 성과에 매우 강한 영향을 끼치지만 측정하기가 어렵다. 민첩성도 같은 입장에 놓여 있다. 그것은 모호하지만 중요한 것이다. 감사인들은 그것을 자신들의 진단 도구에 포함시켜야 한다.

기업이나 사회의 변화 속도는 조직들이 민첩성 있는 IT 시스템들을 유지하도록 요구한다. 제품이나 서비스를 빠르게 변화시키는, 많은 노력 없이도 자회사를 없애거나 합병하는, 시스템들을 확대하거나 축소시키는, 데이터 전송에 대한 낮은 결합(loose couling)을 구현하는, 그리고 새로운 사회적 컴퓨팅 요소들과 연결시키는 능력은 매우 중요하다. 감사인은 IT 위험의 전략적 검토의 일부로써 민첩성 평가를 포함시켜야 한다. 편집증적이고 민첩한 조직만이 살아 남는다.

Endnotes

¹ Use of the term “agile” in this article is conceptual and applies generally across the enterprise. It is not referring to the specific development life cycle technique referred to as “agile development.”
² Westerman, George; Richard Hunter; IT Risk, Harvard Business School Press, USA, 2007
³ Folding@home, http://folding.stanford.edu, accessed 27 July 2009
⁴ Fingar, Peter; Dot Cloud: The 21st Century Business Platform Built on Cloud Computing, Meghan-Kiffer Press, USA, 2009
⁵ Peter Weill and Jeanne W. Ross, IT Savvy, Harvard Business Press, USA, 2009, p. 73-74
⁶ “Web services is a standards-based suite of technologies (XML, SOAP, WSDL, UDDI) designed to support interoperable applications to application interactions over a network.” Project Maui Glossary, University of Iowa, USA, http://provost.uiowa.edu/maui/Glossary.html, accessed 23 November 2009
⁷ According to Wikipedia News (http://en.wikinews.org/w/index.php?title=Encyclop%C3%A6dia_Britannica_fights_back_against_Wikipedia,_soon_to_let_users_edit_contents&oldid=780255, accessed 29 November 2009), “Encyclopedia Britannica, the authoritative reference book first published in 1768, is planning to let readers edit its entries, Jorge Cauz, its president said Friday, as it battles to keep pace with online Internet encyclopedia projects like Wikipedia.”
⁸ Loose coupling refers to the ability of systems to communicate with each other without rigid adherence to data layouts, sequencing of transactions and other highly idiosyncratic configurations. For example, the use of XML helps enable loose coupling because that protocol carries its own instructions on how the data are to be used. Minor program changes do not automatically result in changes to the interface structure.
⁹ A slight variation on the quote from Andy Grove, former chairman of Intel, “only the paranoid survive.”

Eric J. Brown
is currently the executive vice president and chief information officer (CIO) of NCI Building Systems Inc., the largest manufacturer and marketer of metal building components and preengineered metal building systems worldwide. Brown brings more than 25 years of experience implementing global IT solutions throughout Asia-Pacific, Europe and the Middle East. Brown specializes in linking business vision and strategy to IT’s key objectives. His publications include The Effective CIO, Achieving Success as a CIO and numerous professional articles.

William A. Yarberry Jr., CISA, CPA
is president of ICCM Consulting LLC. His practice focuses on IT governance, Sarbanes-Oxley compliance, security consulting and business analytics. He was previously a senior manager with PricewaterhouseCoopers. Yarberry has more than 30 years of experience in a variety of IT-related services, including application development, internal audit management, outsourcing administration and Sarbanes-Oxley consulting. His publications include The Effective CIO, Computer Telephony Integration and Telecommunications Cost Management, as well as more than 25 professional articles covering a broad range of control, governance and security topics.

ISACA Journal, formerly Information Systems Control Journal, is published by ISACA, a nonprofit organization created for the public in 1969. Membership in the association, a voluntary organization serving IT governance professionals, entitles one to receive an annual subscript-xion to the ISACA Journal.

Opinions expressed in the ISACA Journal represent the views of the authors and advertisers. They may differ from policies and official statements of ISACA and/or the IT Governance Institute and their committees, and from opinions endorsed by authors, employers or the editors of this Journal. ISACA Journal does not attest to the originality of authors’ content.

Instructors are permitted to photocopy isolated articles for noncommercial classroom use without fee. For other copying, reprint or republication, permission must be obtained in writing from the association. Where necessary, permission is granted by the copyright owners for those registered with the Copyright Clearance Center (CCC), 27 Congress St., Salem, Mass. 01970, to photocopy articles owned by ISACA, for a flat fee of US $2.50 per article plus 25¢ per page. Send payment to the CCC stating the ISSN (1526-7407), date, volume, and first and last page number of each article. Copying for other than personal use or internal reference, or of articles or columns not owned by the association without express permission of the association or the copyright owner is expressly prohibited.

Subscript-xion Rates:
US: one year (6 issues) $75.00
All international orders: one year (6 issues) $90.00
Remittance must be made in US funds.