아웃소싱 위험 완화: 안전한 IT 파트너십을 위한 CIO 가이드

기업들은 점점 더 모든 또는 일부 정보 기술 기능을 외부 서비스 제공업체에 맡기고 있습니다. 이는 특정한 효율성을 창출할 수 있지만, 조직은 여전히 IT 서비스의 가용성과 기능, 회사 데이터의 적절한 접근 및 사용과 관련된 위험에 대해 궁극적인 책임을 집니다.

이는 최고정보책임자(CIO) 또는 동등한 IT 리더가 선정된 서비스 제공업체가 계약된 서비스를 일관되게 제공할 수 있는 적절한 구조, 재무 안정성, 연속성 계획을 갖추고 있는지 확인해야 함을 의미합니다.

또한 IT 리더는 서비스 제공업체의 정책과 절차의 효과성을 평가하여, 회사의 민감한 데이터와 독점 정보의 무결성과 보안을 보장해야 합니다.

연간 약 1조 달러 규모의 산업인 IT 아웃소싱은 다양한 형태를 띱니다. 조직은 IT 부서 전체를 벤더에 맡기거나, 데이터 센터 운영, 네트워크 관리 또는 기타 특정 기능을 수행하도록 고용할 수 있습니다.

일반적으로 아웃소싱되는 IT 기능에는 다음이 포함됩니다:

• 소프트웨어 애플리케이션 개발
• 소프트웨어 애플리케이션 지원
• 데이터 센터 운영
• 헬프데스크 지원
• 네트워크 관리
• 사이버보안
• 플랫폼 또는 인프라 서비스(IaaS)
• 서비스형 소프트웨어(SaaS)

과거 CIO들은 주로 물리적 제품 공급망에 집중했습니다. 그러나 오늘날 그들은 제품과 서비스 모두에 대한 공급망을 염려해야 합니다.

서비스 환경의 상당 부분이 제공업체의 통제 하에 있고 인수 조직의 관할 범위를 벗어날 가능성이 높기 때문에, 제3자 기술 서비스 공급업체의 위험 평가와 관리는 도전이 될 수 있습니다. 외부 당사자와의 계약과 관련된 위험을 평가하기 위해 실사는 선행되어야 합니다.

IT 서비스 제공업체와 계약하기 전, CIO는 다음을 이해해야 합니다:

• 무엇이 아웃소싱되는지
• 어떤 비즈니스 프로세스가 서비스로 지원될지
• 어떤 데이터가 아웃소싱된 서비스를 통해 저장, 처리, 접근 가능한지
• 아웃소싱된 서비스와 관련된 시스템, 애플리케이션, 데이터에 누가 접근할지

이 과정은 조직 내 직원으로부터 이러한 질문에 대한 답을 얻기 위해 설계된 기본 IT 서비스 위험 평가 양식으로 시작할 수 있습니다. 또한 공급업체 사전 평가 양식을 사용하여 잠재적 서비스 제공업체로부터 예비 정보를 수집할 수 있습니다. 공급업체 사전 평가 양식에 포함될 일반적인 질문은 다음과 같습니다:

• 귀사가 파산을 신청한 적이 있습니까?
• 귀사 보험 계약에 오류 및 누락(또는 일반 배상) 청구가 포함됩니까? 그렇다면 보험 한도는 얼마입니까?
• 귀사가 계류 중인 소송에 연루되어 있습니까?
• 귀사가 규제 조사의 당사자가 된 적이 있습니까?
• 귀사에 개인정보 보호 정책이 있습니까?
• 귀사에 문서화된 보안 프로그램이 있습니까?
• 귀사가 정보 보안 및 개인정보 보호 프로그램에 대한 설문지를 작성하는 데 동의합니까?
• 귀사에 서비스 조직 통제(SOC) 보고서가 있습니까?
• 정상 운영을 방해하는 사고 발생 시 운영 지속을 다루는 포괄적인 비즈니스 연속성 계획이 있습니까?

이러한 평가 양식은 추가 실사가 필요한지 판단하기에 충분한 정보를 제공해야 합니다. 잠재적 위험 수준에 따라, 이 추가 실사에는 서비스 제공업체에 더 상세한 설문지 응답 요구, 서비스 제공업체의 SOC 보고서 상세 검토, 조직의 내부 감사 기능 또는 자격을 갖춘 외부 감사 법인과의 협업을 통한 벤더 평가 수행이 포함될 수 있습니다.

이러한 평가는 새로운 제공업체와의 관계 수립 시 필수적입니다. 또한 위험에 기반하여 각 공급업체를 지속적으로 검토하는 것도 중요합니다. 해당 검토의 빈도와 범위는 제공되는 서비스와 관련된 위험을 기반으로 해야 합니다.

이 평가는 서비스 제공업체에 맞춰져 있지만, 개념은 핵심 기술 제품 제공업체에도 적용될 수 있습니다. 핵심은 CIO가 공급업체와의 계약 잠재적 위험을 이해하고, 각 공급업체가 비즈니스 위험을 어떻게 관리하는지 이해하는 것입니다.这样, CIO는 아웃소싱 위험이 조직에 미치는 영향을 더 잘 예측할 수 있습니다.

서비스 제공업체 평가는 IT, 위험 관리, 내부 감사 등 조직 내 다양한 기능에 할당될 수 있습니다. 평가는 자격을 갖춘 제3자에 의해 수행될 수도 있습니다.

그러나 평가에서 수집된 정보를 검토하고, 제안된 기술 서비스 제공업체와의 계약이 조직의 목표와 위험 감내 수준에 부합하는지 판단하는 것은 CIO 또는 동등한 IT 리더의 책임입니다. 오늘의 철저한 평가는 미래의 더 큰 문제를 예방하는 데 도움이 될 것입니다.

로버트 닐(Robert Neill)은 위버(Weaver, 전국 CPA 및 자문 기업)의 CIO 자문 서비스 디렉터입니다.