Home
정보안내
보도자료
<연재>_CobiT4.0 ME와 실무활용_경영과컴퓨터(2006년 10월호)
2013.11.27
HIT:43358
<연재>CobiT4.0 ME와 실무활용
경컴 기자 kyungcom@kyungcom.co.kr - 2006년 10월호
CobiT4.0 ME와 실무활용
CobiT의 ME와 IT거버넌스의 중점영역과 비교
연·재·목·차
제1회 IT거너넌스와 CobiT 4.0
제2회 CobiT 4.0 계획수립 및 조직화(PO)
제3회 CobiT 4.0 도입 및 구축(AI)
제4회 CobiT 4.0 운영 및 지원(DS)
제5회 CobiT 4.0 모니터링 및 평가(ME)
제6회 CobiT 4.0 실무 활용
이제 네 개의 도메인 중 마지막 ‘모니터링 및 평가(ME: Monitor and Evaluate)’만 남았다. 이 도메인은 성과 관리, 내부 통제의 모니터링, 법규의 준수, 거버넌스의 제공을 테마로 네 개의 프로세스로 구성됐으며, 이 번 호에서는 그 내용을 IT거버넌스의 중점 영역(focus area)과 관련지어 살펴보고 어떻게 실무에서 활용되는지 살펴보자.
신 성_ 굿모닝신한증권 시스템지원부 과장
shinsung@goodi.com
ISACA/ITGI는 IT거버넌스는 고위경영진과 이사회의 책임이고, 이것은 조직의 IT가 조직의 전략과 목적을 지원하고 확장하도록 하기 위한 리더쉽, 조직구조 및 프로세스로 구성된다고 정의하면서 다섯 가지 IT거버넌스의 중점영역을 아래와 같이 제시하고 있다.
1. 전략적 연계(Strategic alignment)의 초점은 경영계획과 IT계획이 상호연계 되도록 하고, IT가치제안(value proposition)을 정의하고, 유지관리하고, 검증하고, IT의 운영을 조직의 운영과 연계하는 것이다.
2. 가치 제공(Value delivery)이란 제공 주기 전반에 걸쳐서 가치제안을 실행하고, IT가 전략에 대비해서 약속한 효과를 제공하도록 하고, 비용을 최적화하고, IT의 고유한 가치를 제공하는데 집중하는 것이다.
3. 자원 관리(Resource management)는 핵심적인 IT자원(응용, 정보, 인프라, 인력)에 최적의 투자를 하고, 적절하게 관리하는 것이다. 핵심적인 이슈는 지식과 인프라를 최적화 하는 것이다.
4. 위험 관리(Risk management)를 위해서는 고위 경영진이 위험을 인식하고, 조직의 위험성향 등을 명확하게 이해하고, 준수요구사항을 이해하고, 조직의 주요한 위험에 대한 투명성을 확보하고, 위험관리책임을 조직에 내재 시키는 것 등이 필요하다.
5. 성과 측정(Performance measurement)은 예를 들면, 전통적인 회계측면 뿐만 아니라 전략을 측정 가능한 목표를 달성하기 위한 행동으로 변환해주는 균형성과표(BSC)를 이용해 전략의 구현, 프로젝트완료, 자원사용, 프로세스성과, 서비스제공 등을 추적하고 모니터링 한다.
CobiT의 각 34개 프로세스들은 IT거버넌스의 중점영역 다섯 가지 중 어느 것에 해당되게 설계되어 있어서, 각 프로세스가 IT거버넌스 관점에서 어떠한 역할을 하는지 파악할 수 있다. 이런 면에서, ‘모니터링 및 평가’ 도메인에 있는 네 프로세스와 관련 IT거버넌스 중점영역을 대치시켜보면 <표1>과 같다.
특히, ‘ME4 IT거버넌스 제공’ 프로세스를 명시적으로 CobiT4.0에서 새롭게 신설함으로써 CobiT이 ITGI의 IT거버넌스를 반영하고 있는 프레임워크임을 보여주고 있다. 이 프로세스는 기업 거버넌스 목적에 IT거버넌스를 통합시키고, 법규를 준수한다는 목표로 IT거버넌스 프레임워크를 수립하고, 전략적 연계, 가치제공, 자원관리, 위험관리, 성과측정 및 독립적인 보증 활동을 내용으로 하고 있다.
세부통제목적 ME4.2∼ME4.6을 보면 IT거버넌스의 중점 영역들이 어떤 내용을 포함하는지 다시 한 번 살펴볼 수 있다.
ME1. IT성과 모니터링 및 평가
이 프로세스에서는 IT부분의 프로세스에 초점을 맞추고 효과적인 IT성과관리를 위하여 성과지표를 정의하고, 성과를 체계적이고 적시에 보고할 수 있도록 하며, 예외 상황에 대한 즉각적인 조치 등을 할 수 있도록 한다. IT거버넌스 중점 영역에서는 모니터링을 통한 성과 관리이므로 성과 측정에 해당된다.
ME2. 내부통제 모니터링 및 평가
이 프로세스는 내부 통제에 초점을 맞춰 내부통제 프레임워크 모니터링, 정책 및 표준의 준수와 같은 관리감독, 통제 예외 사항 처리, 통제자가평가(CSA), 자기 평가 및 외부 검토의 결과 등을 다루고 있으며 IT거너번스 중점 영역에서 통제예외사항 처리 등을 하기에 위험관리에, 정보보안 및 변경통제와 같은 관리감독을 하기에 가치제공 영역에 들어간다.
ME3. 법규 준수 확보
이 프로세스는 법규 요구사항에 초점을 맞춰 IT부분에 영향을 줄 법규를 식별하고, 비준수에 따른 위험을 줄이도록 IT프로세스를 최적화한다. IT거버넌스 중점 영역에서 이 프로세스는 IT부분에 파급효과를 미칠 가능성이 있는 법규를 식별하는 과정에서 전략적 연계 활동을 하며, 비준수에 따른 위험을 줄이는 활동이 수반되기에 위험관리 활동을 하게 된다.
ME4. IT거버넌스 제공
이 프로세스는 효과적인 거버넌스 프레임워크를 수립하고 조직의 IT투자가 조직의 전략과 목적에 따라 연계되어 제공될 수 있도록 조직구조, 프로세스, 리더쉽, 역할과 책임을 정의하며, 관련된 IT거버넌스의 중점 영역은 당연히 다섯 가지 모두 포함한다.
1. CobiT의 적용가능성
신직무 프로젝트를 추진할 때 ‘과연 CobiT이 우리에게 맞는가’라는 의구심으로 많은 논쟁이 있었다. 논쟁 가운데 참여자들 스스로가 직무와 업무를, AS-IS와 TO-BE 등을 혼돈했고 이를 깨달아 가면서, 점차 CobiT이 제시하는 34개의 프로세스의 의미를 이해하게 됐다. 이런 과정에서 낯선 CobiT의 용어들과 각종 개념들이 실제 IT업무와 대칭되면서 초기에 늘어나기만 한 프로세스가 다시 원래대로 34개로 귀결되어 표준 IT업무프로세스로 선정 되기에 이르렀다.
2. 신직무 설계 로드맵
신직무 설계는 6단계로 추진됐다.
3. 직무설계 작업 프레임워크
조직의 목표, 조직인사제도의 이슈사항과 현 직무에 대한 분석, 타사의 우수 사례, 조직 및 직무에 대한 지식과 정보 등을 설계요건으로 해, IT사업목표 달성을 위한 IT조직의 인적 조직 토대를 마련하고자 TO-BE 직무 모형을 도출하고, 이를 바탕으로 개별 직무를 정의하는 순서로 일이 진행되는 직무설계 작업 프레임워크를 마련했다.
4. 신직무 구조 모델
IT조직은 통상 3개의 직무그룹, 즉 ‘성장’을 목표로 하는 ‘IT기획그룹’, ‘안정’을 목표로 하는 ‘IT운영그룹’, ‘납기’를 목표로 하는 ‘IT개발그룹’으로 나눌 수 있다. ‘안정’과 ‘납기’ 혹은 ‘안정’ 과 ‘성장’이라는 각각의 관계는 서로 이율배반적이라 ‘균형’(품질, 통제 등을 통한)이 필요해 ‘IT관리그룹’과 IT의사결정을 위한 ‘지식’을 목표로 하는 ‘아키텍처그룹’이 필요하다. 이 모델은 운영과 개발의 분리를 전제로 직무의 전문화를 실현시키며, 그룹간의 이해 갈등이 성장의 원동력으로 전환되도록 하며, IT활동을 서비스활동으로 규명하고 고객(사용자)의 만족도 향상에 주력할 수 있도록 한다는 의도로 설계하였다.
5. 개별 신직무 도출
제반 여건을 검토한 후 다섯 개 그룹이 원활히 운영될 수 있도록 필요한 개별 신직무, 즉 전략기획, R&D, 규정절차, 재무, 자산, 행정, 보안, 비상재해, IT감사, RM, PMO, QA, 구매계약, IT서비스관리, 서비스 데스크, 업무운영, DB운영, 시스템운영, 통신운영, 전산설비, PM, 업무분석, 업무개발, 개발표준개선, BA, TA, DA,등 28개 TO-BE 신직무를 도출했다.
6. 신직무-프로세스 매트릭스
이제 도출된 28개의 신직무는 직무 활동체로서 IT업무를 수행하게 되는데, 이를 CobiT이 제시하는 34개의 프로세스와 관계를 매트릭스로 정리해봄으로써 명확한 직무의 범위와 역할, 직무의 업무비중, 프로세스간의 관계 조율 등을 할 수 있어, 프로세스 흐름도를 그려내는데 밑그림이 된다. 또, 이 과정에서 도출된 신직무에 대한 수정사항이 제기되는데, 이를 다각도로 검토 논의하여 조율하여 반영한다. (예, PM직무 삭제와 UIA, 즉 User Interface Ar-chitecture 직무 추가)
7. 신프로세스 정립
CobiT이 제시하는 프로세스간 관계를UML기호(주로 Use case)를 이용해 정의했다.
UML 액터(actor)로 표시된 것은 직무자를 나타내며, 이 경우 AI2 프로세스에서 업무분석 직무자와 업무개발 직무자가 이 프로세스를 맡아 처리하며, 이 프로세스 밖에 있는 업무운영 직무자 등은 이 프로세스가 활동되는데 있어 협력관계를 가지게 된다. 신직무에서는 직무간의 협력과 전문성이 우선시 된다.
이렇게 UML로 표시된 ‘프로세스 흐름도’에 대해 ‘프로세스 기술서’를 상세히 작성함으로써 신직무를 이행 할 직원들이 해당 직무 내용과 역할을 충분히 이해할 수 있도록 돕고, 직무에 대한 CDP, 역량, 평가, 보상 등을 정하는데 기초자료로 활용한다.
8. 개발과 운영 분리
개발과 운영의 분리는 기본적으로 IT조직인사관리의 시작이며 IT감사의 필수 사항이라는 인식하고, 원시코드(Source Co-de) 수정 권한을 기준으로 개발과 운영으로 구분한다는 원칙을 수립했다. 개발과 운영의 분리를 통해 다른 신직무들이 파생되며, 각 모든 직무들이 전문성을 확보하게 된다는 이해가 선행돼야 한다.
신직무 수립을 통한 IT조직인사제도 정비, 조직활성화 장치 마련, 효과적인 사업목표 달성, 변화 선도를 위한 조직역량 확충이라는 목표 아래 시행한 IT직무설계는 IT조직인사관리 청사진을 구체적으로 제시하였다.
CobiT을 IT감사나 통제를 위한 수단이라는 인식에서 탈피해 오히려 적극적으로 조직 차원에서 수용해, 단기적으로는 IT감사에 대비하고 글로벌 스탠다드를 수용하며 궁극적으로 선진 IT경영기법을 IT조직 내 정착시키는데 밑거름으로 삼을 수 있었다.
또한, CobiT 각 프로세스마다 제시된 CSF, KPI, KGI, 성숙도 등은 프로세스 성과 평가뿐 아니라 직무성과 평가기준에도 활용이 가능하여 직무설계 작업 생산성에 기여하였으며, 산출물에 대한 객관성을 부여할 수 있었다는 장점이 있다. 국내는 아직 실무적인 차원에서 CobiT의 보급과 활용이 다양하지 못한 듯싶다. 본 글이 CobiT의 유용성을 알리는데 일조할 수 있기를 기대해 본다.
<연재>_CobiT 4.0 운영 및 지원_경영과컴퓨터(2006년 9월호)
ISACAㆍitSMF 신임 회장에 황경태ㆍ남기찬 교수 선임 - 디지털타임즈(2007.1.29)
