9th. 업무분장이란?

오늘은 업무분장(Segregation of Duties)에 관해서 이야기 나눠볼까 합니다. 업무분장은 말 그대로 보면 업무를 나눈다는 뜻이지만, 숨겨진 의미는 권한을 나눈다는게 맞는 듯 합니다. 권한을 나눈다는 말은 서로 서로 믿지 못하니까 감시하겠다는 얘기구요, 한마디로 요약한다면 통제시스템의 핵심으로 보시면 됩니다. 사실 믿지 못하니까 감시한다는 말보다는 믿지 못하게 감시한다는 표현이 더 맞을런지 모르겠습니다.   회사는 조직이고, 조직은 개인으로 구성되어 있습니다. 개인은 맡겨진 업무처리를 위해 권한을 가지면서 동시에 책임을 떠안게됩니다. 권한만 있고 책임이 없는 업무랑 사실상 하나도 없다고 봐야 될겁니다. 반대로 책임만 있고 권한이 없는 없무는 무지 많습니다. ^^   근데, 1인 혹은 1개 역할을 개인 혼자 처리해서 다른 사람이 모를 수 있다면, 뭔가 큰거 한탕 하고 도망갈 수 있겠죠? 예를 들어, "쇼생크 탈출"이라는 영화를 보면 주인공 팀로빈스는 교도소장 묵인하에 여러 탈세, 탈법적인 거래를 도맡아 기록합니다. 교도소장은 당연히 얘는 평생 감옥에 있어야 하니까 맘 비우고 잘 알아서 할꺼야...라고 믿어 의심치 않습니다. 근데, 믿어 의심치 않던 도끼가 발등을 찍습니다. 누구도 탈옥하지 못했던 쇼생크 교도소에서 탈옥이 발생한 겁니다. 그것도 믿고 있던 도끼가 모든 장부를 가지고 사라진거죠. 더욱 중요한 건, 팀 로빈스는 완벽한 제3의 가공 인물을 만들어 교도소장에게 불법거래로 인한 소득을 소장의 것이라고 믿게 하고서는, 탈옥이라는 방법을 동원해서 완벽하게 자신의 재산으로 만들어버리죠. 영화 말미에선 모두 백미로 느끼는 장면인 1960~70년대 물가로 수십만 달러라는 어마어마한 금액을 오전이라는 짧은 시간만으로 인출해버리고, 유유하게 멕시코로 달아나 버리는 팀 로빈스를 보게됩니다. 아울러 장부는 신문사로 보내서 교도소장이 자신을 추적하지 못하도록 쐐기를 박아버리죠.   일면 카타르시스를 느끼지만 한편으로 주제인 업무분장에 대한 중요한 사실을 배우게됩니다. 만약 교도소장이 장부를 쓰는 사람과 보관하는 사람을 별도로 분리했으면 어땠을까요? 다시 말해서 Recording과 Custody를 분리했더라면, 최소한 교도소장은 돈만 잃지 비리는 덮어졌을지도 모릅니다. 돈만 떼인게 억울해서 홧병에 걸리면 모를까, 자살이라는 극단적인 방법을 사용하진 않겠죠. 또한, 은행계좌의 소유주 서명을 본인의 것으로 했더라면, 그래서, 모든 입금시, 출금시마다 자신의 서명으로 관리했더라면 팀로빈스가 그토록 쉽사리 인출하지는 못했을 겁니다.   다시 현실로 돌아와서, 예를 들어 영업사원이 판매주문을 받고, 대금을 청구하고, 대금까지 수령한다고 해보자구요. 영업사원이 대금을 자기 통장으로 계속 받고선, 이 돈으로 주식에 투자합니다. 누가 좋은 종목을 찔러줬겠죠? 다행히 주식이 뜨면 좋지만 하락기에는 처참한 실적이 나오겠죠? 투자한 돈은 어쨌든 메꿔야 하는 거니까 다른 거래처의 돈으로 돌려 막습니다. 이렇게 돌려 막다보면 어느 순간 구멍이 눈덩이처럼 불어날껍니다. 거래처로선 입금하니 당당하고, 회사로선 받을돈을 내부사람이 떼먹고...회사가 책임이 없다는 증거력도 부족하고. 회사 손해는 불보듯 뻔합니다.   자...이제 조각조각 권한을 나누겠습니다. 먼저 영업사원이 대금을 수령하지 못하게 한다면, 대금수령하는 사람은 영업주문대로 돈을 받아 회사로 넘기기만하면 됩니다. 서류를 근거로 돈을 받아 지정된 계좌로 넣는 것이기 때문에 당근 빈 돈이 발생하지 않지요. 또, 돈을 출금할 때, 자금팀 직원과 같이 영업조직 외 인력이 출금을 수행한다면 둘이 짜고 사고치지 않는 이상 혼자한테 맡기는 것 보다 훨씬 안전할 겁니다. 그리고, 대금회수를 통해 거래처 외상기록을 없애거나, 돈을 금고에서 인출할 때도 금액별로 최종 승인권한을 단계적으로 나눈다면, 즉, 큰 금액일 수록 고위직으로 승인권한을 부여한다면, 회사에게 큰 손실이 발생하는 것을 차단할 수 있겠죠?   최근엔 IT 발달로 Paperless 업무처리가 가능해지고 있죠. 심지어 Mobile Office 환경으로 변화되고 있기도 합니다. 그래서, 모든 전산 시스템마다 개인에게 너 누구냐? 네 권한은 뭐냐? 라는 정의를 내릴 필요가 생겼습니다. CISA 에서 많이 나오는 Segregation of Duty는 IT가 생겨서 태어난게 아니라, 훨씬 이전부터 조직 통제 관점에서 있었던 단어입니다.   IT관점으로 세분화한다면 프로그램 개발자가 맘대로 업무 시스템의 내용을 변경해서 나쁜 목적으로 쓰지 않도록 프로그램 개발자와 시스템운영자의 분리하는 것이 대표적이라고 하겠습니다.   하나 예를 더 들어볼까요? 1990년대 컴퓨터 그래픽으로 제작해서 공전의 히트를 친 영화가 몇편 있습니다. 그런 기념비적인 작품중에 스필버그 감독의 '쥐라기 공원'을 빼놓을 수 없죠. 외딴 무인도에 몇억년 전 유전자 복원으로 재구성된 공룡들이 극장 스크린에서 포효할 때 관객들 표정은 똑 같았습니다. 입을 반쯤 벌리고, '아~'하는 소리와 함께... 옆에 애인이 있거나 말거나 스크린만 뚫어지게 쳐다보고 있었죠. 그만큼 그래픽 기술은 충격으로 다가왔습니다. 근데, 그때 화면상 기술 이외에도 영화 내용상 첨단 과학이 여러가지 소개되었습니다. 물론 극장 관객들 수준에서 본 첨단이지요. 당시 생각지도 못했던 유전자 공학이나 Unix 시스템을 이용한 시설 중앙 제어 시스템 등 일반인이 접해 보기 힘든 장면들이 나왔지요. 쥐라기 공원하면 긴장감 넘치는 스토리와 공룡들의 박진감 넘치는 화면구성이 일품이었는데요, 스토리 전개상 주인공들에게 공룡의 위험이 직접적으로 가해지게 되는 발단은 이렇습니다. 쥐라기 공원의 설립자는 직원 중 1명에게 공원 전체의 보안 시스템에 대한 관리를 맡겼습니다. 시스템 설계부터 운영까지 모두 통째로 권한을 부여한겁니다. 그런데, 경쟁회사가 이 직원을 꼬신겁니다. 복원된 공룡알을 넘겨주면 크게 쏘겠다고... 이 직원은 좀 탐욕스럽거나, 하는 일에 비해서 급여가 적다고 생각했나보죠. 그만 유혹에 넘어갑니다. 그리고선, 정해진 시간에 주라기 공원이 있는 무인도 선착장에서 공룡알을 넘겨주기로 합니다. 정해진 시간때는 실제로 폭풍우가 몰아치던 밤이었습니다. 이 직원은 공룡들을 가두는 시스템의 보안을 잠시 해제하고 공원 밖으로 나가려는 시도를 하게 됩니다. 그러다 벨로키라톱스한테 물려 죽고 말죠. 여기서, 보안과 관련된 업무분장상 문제점을 발견하게 됩니다. 보안 시스템에 접근할 수 있는 권한과 지식이 이 직원에게만 집중되었다는 겁니다. 물론 영화 막바지에 이제 10대 초반인 공원 설립자의 손녀가 말도 안되게시리 Unix 시스템을 자유자재로 다루면서 다시 보안시스템을 복구하지만, 영화 중간에 직원중 아무도 이 시스템을 복원하지 못했습니다. 즉, 한 사람이 보안시스템의 설계(Recording), 운영(Custody)이 1인에게 집중된겁니다. 그리고, 창립자 긑은 상위자의 승인(Approval)이 전혀 분리되지 않은겁니다. 그래서, 보안 직원이 키보드와 마우스 몇번의 조작만으로 엄청난 돈이 투입된 쥐라기 공원의 보안을 무력화 할 수 있었던 겁니다.   더 간단한 예를 들어볼까요? 은행 프로그래머가 모든 고객의 인출금에서 '전'단위의 금액을  자기 계좌로 이체시킨다면, 정말 짭짤한 수입이 되겠죠?   일반 업무에서도 마찬가지입니다. 영업사원이 할 수 있는 시스템 기능과 자금팀 직원의 업무기능을 다르게 부여한다면, 영업사원이 함부로 돈을 인출하거나, 맘대로 외상기록을 삭제할 수 없겠죠?   그래서, 업무분장은 회사 조직내 운영방법의 기본중의 기본이라고 하는 것이며, 업무 대부분을 IT에 의존하는 최근 업무 환경을 볼 때 업무분장은 더욱 중요하게 다루어져야 하는 것입니다.   참 씁쓰름 하게도, 믿지 못하는 가운데 효과가 나타난다는 역설인데요... L모 그룹이 얘기하는 "인화" 뒤에도 무지막지한 업무분장과 통제시스템의 보안하에 외쳐진다는 사실... 모든 직원은 빌딩 내 출입할 수 있는 층이 제한되어 있답니다. ㅎㅎ