[허완 한국산업기술평가관리원 상임감사] 2021년 12월 일본경제 연구센터(JCER)가 발표한 ‘디지털 잠재력 지수’에서 한국이 세계 5위를 기록하며, 높은 디지털 역량을 보유하고 있는 것으로 나타났다.
그렇다면 우리나라, 특히 공공기관에서 정보보안 위협, 개인정보 유출, 프로그램 오류․조작 등 IT 관련 위험을 예방하고 내부통제를 강화할 수 있는 IT감사 체계는 제대로 수립되어 있을까?
IT감사란, IT시스템 관련 통제장치에 대해 합법성․효율성․경제성․효과성의 원칙이 준수되는지 확인하기 위하여 IT시스템 관련 통제를 검토 및 검사하는 것을 의미한다.
공공기관의 업무 시스템은 대부분 IT시스템 의존도가 큰 프로그램으로 구현되어 있기 때문에, 감사의 내부통제 차원에서 IT감사를 통한 점검은 필수적이다.
과학기술정보통신부가 매년 발표하는 ‘2021 정보화통계집’에 따르면 직원의 업무상 컴퓨터 이용률은 평균 66.3%다. 업종별로는 ▲금융 및 보험업 98.0% ▲정보통신업 97.6% ▲전문·과학 및 기술 서비스업 94.1% 순이며, 대부분의 공공기관도 업무상 컴퓨터 이용률이 매우 높은 편이다.
반면 개인정보보호위원회가 공공기관을 대상으로 실시한 ‘2021년 개인정보관리 수준 진단결과’에 따르면 공공기관의 평균 점수는 보통 수준인 87.4점으로 나타났다.
개인정보관리 수준이 매년 점진적으로 향상되고 있지만, 공공기관은 공공서비스 제공을 위해 민감한 개인정보를 대량 수집․처리하는 만큼 높은 수준의 개인정보보호 의식을 보유해야 한다.
공공기관이 디지털 대전환(DX) 시대에 걸맞게, 감사의 내부통제 점검 차원에서 IT감사를 통한 점검을 필수적으로 수행해야 하는 이유다.
2022년 우리나라 공공기관은 경영정보 공개시스템(ALIO) 기준 총 350개다. 업무 대부분이 IT화 되었거나 IT가 지원하고 있으므로 IT감사를 할 줄 알아야 적절한 감사를 수행했다고 볼 수 있다.
산업통상자원부 산하 공공기관인 한국산업기술평가관리원(KEIT)은 산업기술R&D 기획․평가․관리, 경영지원 등 업무 전반에서 IT 지원을 받고 있다.
특히, 연구비통합관리시스템(RCMS)과 전자평가시스템(STELLA) 등 다수의 IT 정보시스템을 운영하고 있으며, 이러한 시스템의 업무처리절차와 운영방식이 편의성, 효율성, 적법성 등에 미치는 영향은 매우 크다.
KEIT는 IT의 중요성을 인식하여 IT감사를 체계적으로 추진하기 위해, IT 내부통제 점검 강화, IT 감사인 양성, IT감사 체계 구축 측면에서 전략과제와 연도별 이행 로드맵을 담은 「중장기 IT감사 전략(’22년∼’24년)」과 IT 감사의 정의, 수행범위, 방법 등을 구체화 시킨 「IT 감사 표준 매뉴얼」을 자체 마련하여 적용 중에 있다.
또한, IT감사를 통해 리스크가 높거나 내부통제가 필요한 프로그램 변경과 시스템 접근 보안 등 IT 일반통제, 평가위원 자동선정의 적정성 검토 등 IT 응용 통제 및 개인정보파일 관리, 개인정보수집 및 보유와 같은 개인정보 통제 등의 개선사항을 발굴 및 조치했다.
이처럼 IT감사 전략 기반의 체계화된 IT감사를 통해, 적재적소에 감사역량을 투입하여 리스크가 높고 중요한 부분에 집중하는 효율적이고 효과적인 감사가 가능하다.
긴밀한 연결성을 통해 비대면 상황 등 온라인 감사 또한 가능하며, 표본 추출 방식에 의존하는 과거 방식과 달리 새로운 시각은 물론 전문적이면서도 깊이 있는 인사이트를 확보할 수 있을 것이다.
무엇보다 공공기관의 역할이 보편적 서비스 공급이라고 할 때, 아직 IT감사를 실현한 기관은 많지 않다. 공공기관에서 먼저 IT감사 체계 수립과 이에 걸맞은 IT 감사인 육성이 요구되는 시점이다.
