ITGC 운영 통제 체크리스트: 직무 분리·승인 증적 자동화 가이드

ITGC 운영 통제 체크리스트: 직무 분리·승인 증적 자동화 가이드

ITGC, 내부통제, 내부회계관리제도를 준비하는 Pre-IPO 기업과 중견기업은 처음에 문서부터 떠올립니다.

• IT 운영 정책서

• 변경관리대장

• 권한관리표

• 배포승인서

• 장애처리 이력

• 감사 대응 체크리스트

위 내용과 같이 감사인이 요구할 수 있는 산출물을 먼저 준비하려고 합니다.

하지만 실제 감사 대응에서 더 중요한 것은 문서의 양이 아닙니다. 핵심은 IT 운영 과정에서 요청, 승인, 처리, 변경, 배포, 검수, 이력이 일관되게 남는 구조를 갖추는 것입니다.

특히 100명 이상 성장기업이나 상장 준비 기업은 IT 요청이 빠르게 늘어납니다. 신규 계정 신청, 권한 변경, 시스템 개선, 오류 수정, 데이터 수정, 배포 요청, 장애 처리, 퇴사자 권한 회수, IT 자산 신청, 그룹웨어 결재 연동 요청이 여러 부서에서 동시에 발생합니다.

이때 요청이 전화, 이메일, 메신저, 구두 지시로 흩어져 있으면 나중에 다음 질문에 답하기 어려워집니다.

• 누가 요청했는가.

• 누가 승인했는가

• .누가 처리했는가.

• 누가 배포했는가.

• 배포 전 테스트는 했는가.

• 영 반영 후 검수는 했는가.

• 권한은 적절히 분리되어 있었는가.

• 감사인이 요청하면 증적을 바로 제출할 수 있는가.

GS비즈플이 주목하는 지점은 바로 여기에 있습니다. ITGC 대응은 별도의 감사용 문서를 만드는 일이 아니라, 실제 IT 운영 프로세스 안에서 통제가 작동하도록 만드는 일입니다.

K 상장사는 내부회계관리제도와 ITGC 대응을 준비하면서 IT 운영 프로세스를 재정비해야 하는 상황에 놓여 있었습니다. 기존에는 IT 관련 요청이 전화, 이메일, 메신저, 구두 요청 등 다양한 경로로 들어왔습니다. 현업 입장에서는 빠르게 요청할 수 있다는 장점이 있었지만, IT 운영팀과 내부통제 담당자 입장에서는 큰 문제가 있었습니다.

요청 이력이 남지 않는 경우가 있었습니다.처리 담당자와 승인자를 사후에 확인하기 어려웠습니다.개선 요청과 장애 요청이 명확히 구분되지 않았습니다.배포와 변경 이력이 분산되어 있었습니다. 감사 대응 시 증적을 수작업으로 찾아야 했습니다.특정 담당자에게 권한과 책임이 집중되는 문제가 있었습니다.

K 상장사가 가장 먼저 추진한 것은 IT 요청 창구의 일원화였습니다. 현업 사용자는 유스트라 신청관리(ITSM)에 요청을 등록하고, IT 운영팀은 요청 유형에 따라 담당자를 배정하며, 승인·처리·완료 이력을 하나의 흐름으로 관리하는 구조를 만들었습니다.

이 변화의 핵심은 단순히 “요청을 시스템으로 받는다”가 아닙니다. IT 요청이 내부통제 관점에서 관리 가능한 데이터가 되었다는 점입니다.

K 상장사 사례를 ITGC 관점으로 정리하면 네 가지 축으로 볼 수 있습니다.

첫 번째는 요청관리입니다.전화, 이메일, 메신저로 흩어진 IT 요청을 단일 창구로 통합해야 합니다.

위 내용이 남아야 합니다. 이것이 신청관리 솔루션, 요청관리 솔루션, SR 솔루션의 기본 역할입니다.

두 번째는 변경관리입니다. 시스템 개선, 오류 수정, 기능 변경, 데이터 수정처럼 운영 시스템에 영향을 주는 요청은 변경관리 대상으로 분류해야 합니다. 변경 사유, 영향도, 승인자, 테스트 결과, 처리 내역이 함께 관리되어야 합니다.

세 번째는 배포관리입니다.운영 시스템에 반영되는 변경은 승인된 요청과 연결되어야 합니다. 누가, 언제, 어떤 소스를, 어떤 승인 근거로 배포했는지 추적할 수 있어야 합니다. 특히 운영 배포 권한은 제한되어야 하며, 개발자와 배포자, 승인자와 검수자의 역할이 가능한 범위에서 분리되어야 합니다.

네 번째는 접근권한 관리입니다.신규 입사자, 부서 이동자, 퇴사자, 외주 인력, 관리자 권한, Super User 권한은 별도의 승인과 회수 절차가 필요합니다. 권한 부여는 빠르게 처리되어야 하지만, 감사 관점에서는 “왜 부여했는가, 누가 승인했는가, 언제 회수했는가”가 남아야 합니다.

이 네 가지가 연결되어야 ITGC 대응이 문서가 아니라 운영 체계로 작동합니다.

아래 체크리스트는 Pre-IPO 기업, 중견기업, 100명 이상 성장기업이 ITGC 대응을 준비할 때 바로 활용할 수 있도록 구성한 실무형 점검표입니다.

ITGC에서 반복적으로 확인되는 위험 중 하나는 역할과 권한이 명확히 분리되어 있지 않은 상태입니다. 예를 들어 개발자가 직접 운영 서버에 배포하거나, 요청자가 스스로 승인하고 처리하거나, 특정 관리자에게 과도한 Super User 권한이 부여된 경우 감사 관점에서는 통제 위험으로 판단될 수 있습니다.

직무 분리의 핵심은 간단합니다.

한 사람이 요청, 승인, 개발, 배포, 검수, 권한관리까지 모두 수행하지 않도록 하는 것입니다.

물론 100명 이상 성장기업이나 중견기업은 IT 인력이 제한적인 경우가 많습니다. 모든 역할을 대기업처럼 완벽히 분리하기 어려울 수 있습니다. 이때 중요한 것은 조직 규모에 맞는 현실적인 대체 통제를 설계하는 것입니다.

예를 들어 개발자와 배포 담당자를 완전히 분리하기 어렵다면, 최소한 배포 전 승인과 배포 후 검수는 다른 사람이 수행하도록 해야 합니다. 시스템 관리자 권한이 특정 담당자에게 집중되어 있다면, 정기적인 권한 점검과 관리자 작업 로그 리뷰를 통해 보완해야 합니다.

직무 분리는 사람 이름부터 나누는 방식으로 접근하면 실패하기 쉽습니다. 먼저 IT 운영 업무를 유형별로 나누고, 각 업무에 필요한 역할을 정의한 뒤, 권한을 최소화하는 방식으로 설정해야 합니다.

요청 유형별로 승인 수준도 달라져야 합니다. 모든 요청을 무겁게 만들면 현업이 시스템을 사용하지 않게 됩니다. 반대로 모든 요청을 간소화하면 감사 대응력이 떨어집니다.

GS비즈플의 유스트 신청관리(ITSM)을 활용하면 요청 유형별 승인선, 담당자 배정, 처리 권한, 배포 승인, 완료 검수 단계를 업무 흐름 안에 반영할 수 있습니다. 직무 분리를 문서로만 정의하는 것이 아니라, 실제 시스템 프로세스로 운영할 수 있다는 점이 중요합니다.

내부감사나 외부감사에서 자주 요구하는 것은 “승인했습니다”라는 설명이 아닙니다. 감사 대응에 필요한 것은 “누가, 언제, 어떤 근거로 승인했는지”에 대한 증적입니다.

Approval Evidence, 즉 승인 증적은 이메일 보관함이나 메신저 캡처, 엑셀 대장에 흩어져 있으면 안 됩니다. 요청이 등록되는 순간부터 승인, 처리, 배포, 검수까지 하나의 흐름으로 연결되어야 합니다.

감사 대응을 위한 승인 증적 자동화 시나리오는 다음과 같이 설계할 수 있습니다.

이 구조가 갖춰지면 내부통제 담당자는 감사 시즌마다 이메일, 메신저, 결재 문서, 엑셀 파일을 따로 찾지 않아도 됩니다. 승인 증적이 업무 처리 과정에서 자동으로 쌓이기 때문입니다.

ITGC 감사 대응에서 단순 요청 목록만으로는 부족합니다. 감사인이 확인하고자 하는 것은 요청의 정당성, 승인 절차의 적정성, 처리자의 권한, 변경 결과, 사후 검수 여부입니다.

따라서 주요 변경·배포 요청은 다음 항목을 하나의 증적 패키지로 관리하는 것이 좋습니다.

이 방식은 IT 운영팀의 부담도 줄입니다. 감사 대응을 위해 별도 엑셀 대장을 만드는 대신, 평소 업무 처리 과정에서 증적이 자동으로 축적되기 때문입니다.

표준 ITSM 솔루션이나 신청관리 솔루션은 빠르게 시작할 수 있다는 장점이 있습니다. 단순 문의 접수, 처리 현황 관리, 요청 이력 관리는 표준 기능만으로도 어느 정도 해결할 수 있습니다.

하지만 Pre-IPO 기업, 상장사, 중견기업은 점점 더 복잡한 요구를 갖게 됩니다.

이때 표준 SaaS만으로는 부족할 수 있습니다. 반대로 전통적인 구축형 SI는 정교하지만 비용과 기간 부담이 큽니다.

이 지점에서 Custom SaaS, 맞춤형 SaaS 방식이 현실적인 대안이 됩니다. 표준 SaaS로 빠르게 시작하고, 회사의 내부통제 기준과 업무 흐름이 복잡해질수록 필요한 부분을 유연하게 확장하는 방식입니다.

GS비즈플의 Custom SaaS 접근은 이러한 기업에 적합합니다. 유스트 신청관리(ITSM)을 중심으로 요청관리, 변경관리, 배포관리, 권한관리, 전자결재 연동, 감사 증적 관리 흐름을 구성하고, 필요에 따라 유스트라 WORKS, 유스트 HR 등과 연결해 조직·권한·결재·신청 업무를 함께 관리할 수 있습니다.

예를 들어 K 상장사의 영업 시스템에서 가격 계산 로직을 변경해야 한다고 가정해 보겠습니다.

현업 담당자는 유스트라 신청관리(ITSM)에 개선 요청을 등록합니다. 요청서에는 변경 사유, 대상 시스템, 예상 영향도, 희망 일정이 포함됩니다.

요청 유형이 “중요 시스템 변경”으로 분류되면 부서 승인자와 IT 승인자가 자동으로 지정됩니다. 승인자는 변경 필요성과 업무 영향을 검토합니다. 승인이 완료되면 IT 담당자가 개발 또는 설정 변경을 수행합니다.

운영 반영 전에는 테스트 결과를 첨부합니다. 배포가 필요한 경우 배포 승인자가 배포 계획과 일정을 확인합니다. 승인 후 배포 담당자가 운영 반영을 수행하고, 검수자가 결과를 확인합니다.

이 과정에서 요청서, 승인 로그, 처리 내역, 테스트 결과, 배포 로그, 검수 결과가 하나의 흐름으로 남습니다. 내부감사나 외부감사에서 해당 변경 건에 대한 증적을 요청하면, 시스템에서 관련 이력을 조회해 제출할 수 있습니다.

이것이 ITGC 관점의 변경관리이자 Approval Evidence 자동화입니다.

퇴사자 권한 회수는 ITGC에서 매우 중요한 항목입니다. 퇴사자가 발생했는데도 ERP, 그룹웨어, HR, 신청관리, 운영 시스템 접근 권한이 남아 있다면 접근통제 미비로 지적될 수 있습니다.

이상적인 흐름은 다음과 같습니다.

HR에서 퇴사 정보가 확정됩니다.퇴사자 계정 회수 요청이 자동 또는 반자동으로 생성됩니다.시스템별 권한 보유 내역이 확인됩니다.담당 관리자가 계정을 비활성화하거나 권한을 회수합니다.회수 결과가 시스템에 기록됩니다.내부통제 담당자는 미회수 계정을 점검합니다.

이 흐름이 유스트라 HR, 유스트라 WORKS, 유스트 신청관리(ITSM)과 연결되면 인사 정보, 조직 정보, 결재 정보, 권한 회수 요청을 하나의 업무 흐름으로 관리할 수 있습니다. 100명 이상 기업에서 입사, 이동, 퇴사가 잦아질수록 이러한 연계 구조의 중요성은 커집니다.

상장 준비 기업이 모든 통제를 한 번에 완성하기는 어렵습니다. 먼저 다음 10가지를 우선 점검하는 것이 현실적입니다.

이 10가지가 갖춰져 있지 않다면 내부회계관리제도 문서를 보유하고 있어도 실제 감사 대응 과정에서 증빙 공백이 발생할 수 있습니다.

ITGC 대응을 위한 신청관리 솔루션 도입 효과는 감사 대응에만 머물지 않습니다.

IT 운영팀은 전화와 메신저 응대 시간을 줄일 수 있습니다.현업 사용자는 요청 처리 현황을 직접 확인할 수 있습니다.관리자는 어떤 시스템에서 개선 요청과 장애가 많이 발생하는지 볼 수 있습니다.내부통제 담당자는 승인 증적과 변경 이력을 빠르게 확인할 수 있습니다.경영진은 IT 운영 리스크를 데이터 기반으로 판단할 수 있습니다.

무엇보다 중요한 변화는 IT 운영이 “개인 역량에 의존하는 방식”에서 “프로세스로 관리되는 방식”으로 전환된다는 점입니다.

상장 준비를 앞둔 기업이라면 지금 필요한 것은 거창한 내부통제 문서가 아니라, 실제 운영 현장에서 작동하는 IT 통제 구조입니다. 표준 SaaS로 빠르게 시작하고, 회사의 업무 흐름과 감사 기준에 맞게 확장해야 한다면 GS비즈플의 Custom SaaS 방식이 현실적인 대안이 될 수 있습니다.

IT 요청, 변경관리, 배포관리, 직무 분리, 승인 증적 자동화가 아직 전화와 이메일, 엑셀에 흩어져 있다면 지금이 점검할 시점입니다. GS비즈플과 함께 우리 회사의 ITGC 운영 통제 수준을 진단해 보십시오.