Fraud Triangle (Data Risk Management의 필요성)

Focus

왜 Data Integrity가 중요해졌고, 강조되고 있는가 하는 부분을 이해하는 그림 하나를 소개 드립니다.

이 내용은 ISPE GAMP Guide 중 Records and Data Integrity에서 소개한 내용입니다.

Fraud Triangle은 보통 재무/회계 쪽에서 유명한 이론입니다.

1. 어떤 압박에 의해 부정이 발생할 수 있다는 Pressure

2. 적발되지 않고 계획을 실행할 수 있는 능력 또는 기회가 존재한다는 Opportunity

3. 부적절하고 비양심적인 행위에 대한 자기합리화가 존재한다는 Rationalization

이 세 가지가 Data Integrity를 준수하는데 위협이 되는 요소라는 것이죠!

이를 막기 위해 우리는 People, Process, Technology라는 Data Integrity의 3요소의 Balance를 맞춰 지속적으로 개선하고 업그레이드하고 있는 중입니다.

이 세 가지 중 Opportunity의 상황이 언제 찾아올 것 인지에 대해 정리해 놓은 글 역시 소개해드리면 다음과 같습니다.

Opportunity는 다음의 상황에서 찾아옵니다.

• 시스템 제어의 수준이 낮을 때 / 시스템 관리가 부족할 때

• 데이터 삭제에 대한 제한이 없을 때

• 하드드라이브에 접근 가능할 때

• 종이 기록에 수식이 포함된 복잡하고 많은 데이터를 작성할 때

(대부분의 데이터 또는 수식이 포함된 데이터를 충분히 검토하지 않고 생략할 수 있음)

• 효과적인 검토 프로세스가 부족할 때

• 감사추적(Audit Trail)해야 할 데이터에 대한 검토를 하지 않을 때 / Audit Trail 검토를 안 할 때

• 단순 종이 보고서 검토만으로 승인할 때

위 기회요소 중 단순 종이 보고서 만으로 검토할 경우 원본데이터를 확인하지 않기 때문에 원본데이터가 정확한지 확인할 수 없으며, 문제가 생기지 않는 이상 잠재적인 위험요소로 남아있게 된다는 맥락으로 설명하고 있습니다.

즉, 이제 검토의 수준이 달라져야 하고, 이러한 행위가 일어나지 않도록 지속적으로 교육, 프로세스 개선, 시스템 업그레이드 등의 일들이 연속적으로 필요한 상황임을 잘 알고 계실 겁니다.

CSV Trend

따라서, 저는 “Data Integrity 및 Risk Management, Critical Thinking 등을 고려한 컴퓨터시스템 밸리데이션은 시간에 지남에 따라 기준이 바뀌고 다르게 적용해야 한다”라고 생각하고 있습니다. 그렇기 때문에 지속적인 관리가 필요합니다. (서버관리, PC관리, 사람관리, 프로세스관리 등등)

운영 주체인 사람이 바뀌고 사람이 늘어나는 변화, 회사가 커지고 사업이 다변화되면서 바뀌는 프로세스, 좀 더 완전하게 관리할 수 있도록 바뀌는 소프트웨어 등 변화는 단순히 더 좋아진다는 개념보다 더 완전 해진다는 개념에서 이해되어야 그것을 수용할 수 있을 것으로 생각합니다.

"그전에도 문제없었는데" 라는 건 어쩌면, 위 Opportunity의 기회들을 악용하기엔 조직이 작았을 수도 있고, 데이터가 적었기 때문이 아닐까요?