신 외감법의 기준에 따라 많은 상장사가 2023년부터 순차적으로 내부회계관리제도의 적용대상이 된다.
“내부회계관리제도” 내 IT부문의 통제영역에 해당하는 IT General Control(이하ITGC) 영역은 IT에 대한 일반통제로 IT와 관련한 업무에서의 전체적인 프로세스 상의 통제 수립을 의미한다. 정보기술 일반통제 영역으로는 프로그램 개발, 프로그램 변경, 프로그램과 데이터에 대한 접근 보안, 컴퓨터 운영의 활동이 포함 된다.

[그림1. 정보기술 일반통제 영역]

이러한 시장환경적 요건에 의해 정보기술 내부통제의 요구조건에 대한 대응력을 강화하기 위해 ITSM전문기업인 에스티이지의 ITSM 솔루션(EGENE)을 도입하는 고객사가 더욱 많아지고 있는 상황이다.
E-GENE ITSM은 IT서비스관리에 대한 표준인 ITIL의 사상을 충족하고 있는 시스템이기에 IT서비스 영역에 대한 통제활동과 절차에 따른 대응 증적의 관리가 가능하다.

본 기고에서는 그 중 필자가 담당했던 콜마BNH ITSM 시스템 구축에서 ITGC 대응기반을 마련한 사례에 대해 설명하고자 한다.
콜마BNH ITSM 시스템의 주요 업무 프로세스는 다음과 같다.

[그림2. ITSM 시스템 프로세스 체인]

서비스요청은 다양한 IT업무 절차를 담고 있으며 업무 처리를 위한 창구 역할을 한다. 요청이 들어온 IT 업무에 따라 서비스요청에서 처리가 불가한 건 들은 변경관리 프로세스로 이관되어 업무가 처리되기도 한다. 모든 변경작업은 서비스요청에서 이관 되거나, 각 변경관리 프로세스에서 직접 등록 할 수 있다. 콜마BNH에 구현된 변경관리 프로세스는 크게 세 개 유형으로 나누어지며, 가장 대표적인 정보시스템 변경관리 프로세스의 상세 흐름은 다음과 같다.

[그림3. 정보시스템변경관리 흐름도]

상기 프로세스 흐름에서 정보기술 일반통제에 대응하는 여러 단계를 볼 수 있다. 정보시스템 변경은 서비스요청, 장애, 문제에서 변경에 대한 요청이 발생한다. 각 시스템 담당자는 해당 변경에 대한 계획을 수립하며, 개발부터 테스트 ~ 배포에 이르기 까지 업무 절차에 따라 각 역할 별로 담당자를 분리하여 업무를 처리하고 있으며, 각 업무 담당자는 본인들의 업무를 진행하기 전 반드시 소속 팀장의 승인을 득한 후 업무를 처리하도록 구축되어있다. E-GENE ITSM 시스템의 히스토리맵 기능을 통해 각 단계 별 처리 이력을 한 눈에 확인 가능하며, 결재모듈을 통하여 내부승인에 대한 증적을 남기고 있다.

몇가지 구현된 기능을 찾아보면 시스템 내

– 데이터 생성 변경 이력 메뉴를 통해 서비스요청인 SR건 부터 실제 변경이 진행된 정보시스템 변경 건에 이르기까지 등록된 모든 데이터 생성/변경과 요청 데이터 조회 및 목록 추출이 가능하며, 변경 대상과 연계된 서비스 요청과 관련 대상 정보시스템 조회가 가능하도록 구성이 되었다.

[그림4. 데이터 생성 변경 이력 메뉴]

– 오류 모니터링 레포트 메뉴를 통해서는 정보시스템 변경 프로세스 수행 중 테스트 단계에서 실패가 발생한 정보시스템 변경 및 연관 서비스 요청 및 목록 추출정보를 제공한다.

[그림5. 오류모니터링 레포트 메뉴]

– SR레포트관리 메뉴를 통해 다양한 IT업무 프로세스에 대한 서비스요청 각 데이터를 원하는 기준에 맞게 조회 및 추출 가능하도록 구현되어 있으며, 업무가 올바른 절차에 맞게 처리되었는지에 대한 증적으로도 활용 할 수 있다.

[그림6. SR레포트관리 메뉴]

상기 설명한 프로세스적 대응 흐름과 구현 기능 예시를 통해 ITGC에 대한 실제적 대응방법과 사례를 살펴보았다. IT운영의 위험성을 줄이고 ITGC와 내부감사에 효율적으로 대응 하기 위해 자사의 E-GENE 솔루션의 활용도가 매우 높아지고 있으며 지금도 많은 고객사에서 당사 시스템을 도입하고 있다. 다음 기고에서는 당사 솔루션을 통한 실제 운영 상황에서의 ITGC 대응 및 보완 사례를 좀더 다루어보고자 한다.

㈜에스티이지 PS1팀 유다형 프로