감사의 질문이 달라졌다

"이 결정은 누가 내렸습니까?"

과거에는 이 질문의 답이 명확했습니다. 담당자 이름, 결재 라인, 품의서. 하지만 AI가 업무에 투입되면서 이 질문의 답이 복잡해졌습니다. AI가 초안을 작성하고 담당자가 "확인" 버튼을 눌렀다면, 결정의 주체는 AI인가 담당자인가? 감사관은 이제 이런 질문을 합니다.

  • "AI 자동 승인 건의 판단 근거를 제시하십시오"
  • "이 AI 분석 결과가 사후에 수정되지 않았음을 증명하십시오"
  • "당시 적용된 정책 기준과 현재 기준이 다른데, 당시 기준의 근거는 무엇입니까"
  • "AI가 관여한 범위와 인간이 검토한 범위를 구분하여 설명하십시오"

이 질문들에 즉시 답할 수 있는 조직과, 수 주간 로그를 뒤져야 하는 조직 사이의 차이는 감사 결과에 직접적으로 반영됩니다.

AI 감사 대응의 4가지 영역

AI 감사 대응은 "자료를 제출하는 것"이 아니라 체계를 갖추는 것입니다. 감사가 시작된 후에 준비하는 것은 이미 늦습니다. AI 감사 대응은 4가지 영역으로 구성됩니다.

영역 1: AI 활용 현황 파악

감사 대응의 출발점은 "우리 조직에서 AI가 어디에 쓰이고 있는가"를 정확히 파악하는 것입니다. 많은 조직이 AI를 사용하면서도 그것을 인지하지 못합니다. SaaS 도구에 내장된 AI, 자동화 스크립트에 포함된 ML 모델, 외부 API로 호출하는 LLM — 이 모든 것이 감사 대상입니다.

AI 활용 현황 점검표:

점검 항목 확인 사항 담당
내부 시스템 AI 기능 자동 승인, 자동 분류, 자동 생성 기능 목록 IT팀
외부 SaaS AI 기능 사용 중인 SaaS에 내장된 AI 기능 파악 각 부서
AI API 호출 ChatGPT, Claude 등 외부 AI API 사용 현황 IT팀
자동화 스크립트 RPA, 배치 처리에 포함된 ML 모델 IT팀
AI 영향 범위 각 AI가 영향을 미치는 대상·범위·빈도 각 부서

영역 2: 판단 근거 기록 체계

AI가 판단을 내리는 순간, 그 근거가 구조화된 형태로 기록되어야 합니다. 여기서 핵심은 **"사후 조합"이 아니라 "동시 기록"**입니다.

기록해야 할 항목:

  • 입력 데이터 스냅샷: AI가 참조한 데이터의 당시 상태
  • 적용 정책 버전: 해당 시점에 유효했던 규칙·기준
  • AI 모드: 자율 판단(AUTONOMOUS) / 추천(RECOMMENDATION) / 보조(ASSIST)
  • 판단 결과: AI가 도출한 결론
  • 인간 검토 이력: 누가, 언제, 어떤 조치를 취했는지
  • 6W 구조: Who(행위자) / What(행위) / When(시점) / Where(도메인) / Why(목적) / How(방법)

영역 3: 무결성 보장

기록이 있어도 "이 기록이 사후에 수정되지 않았는가?"를 증명하지 못하면 감사 증빙으로서의 가치가 없습니다. 무결성 보장의 핵심 요소는 다음과 같습니다.

요소 설명 구현 방법
위변조 탐지 기록 수정 시 즉시 감지 SHA-256 해시 체인
순서 보장 기록의 시간 순서 증명 이전 기록의 해시를 다음 기록에 포함
삭제 방지 기록 삭제 불가 append-only 저장소
제3자 검증 외부에서 독립적으로 검증 가능 공개 검증 API

영역 4: 즉시 추출 및 제출

감사관이 자료를 요청했을 때, 수일~수주가 아니라 수분 내에 관련 증빙을 추출하여 제출할 수 있어야 합니다.

필요한 역량:

  • 특정 기간·도메인·행위 유형별 증빙 필터링
  • 표준 형식(JSON-LD 등)으로 일괄 내보내기
  • 해시 체인 무결성 검증 리포트 자동 첨부
  • 감사 요청 항목과 증빙 매핑 문서 자동 생성

AI 감사 대응 체크리스트

조직의 AI 감사 대응 준비 수준을 점검할 수 있는 체크리스트입니다. 각 항목에 대해 현재 상태를 확인하시기 바랍니다.

기본 체계 (없으면 감사 대응 불가)

  • AI 활용 업무·시스템 전체 목록이 존재하는가
  • 각 AI 시스템의 판단 유형과 영향 범위가 문서화되어 있는가
  • AI 판단의 입력 데이터와 결과가 구조화된 형태로 기록되는가
  • 기록의 위변조 방지 체계가 있는가

중급 체계 (감사 지적 최소화)

  • AI 판단 시점의 정책 버전이 함께 기록되는가
  • AI 관여도(자율/추천/보조)가 구분되어 기록되는가
  • 인간 검토자의 검토 시점과 조치가 기록되는가
  • 감사 요청 시 관련 증빙을 1일 이내에 추출할 수 있는가

고급 체계 (감사를 경쟁력으로)

  • 해시 체인으로 기록의 무결성이 암호학적으로 보장되는가
  • 제3자가 독립적으로 기록을 검증할 수 있는가
  • JSON-LD 등 표준 형식으로 증빙을 내보낼 수 있는가
  • 감사 대응 리포트가 자동으로 생성되는가
  • 고위험 판단에 대해 이중 승인 등 거버넌스 가드가 작동하는가

감사 유형별 대응 전략

정기 감사 (연 1~3회)

정기 감사는 예측 가능하므로 사전 준비가 가능합니다.

대응 전략:

  1. 감사 2주 전: 전체 해시 체인 무결성 검증 실행
  2. 감사 1주 전: 감사 대상 기간의 AI 판단 요약 리포트 생성
  3. 감사 당일: 요청 항목에 대한 증빙 즉시 추출·제출
  4. 감사 후: 지적 사항 분석, 증빙 체계 개선

핵심은 감사 당일에 자료를 만드는 것이 아니라, 감사 전에 이미 증빙이 완성되어 있는 것입니다.

수시 감사 (비정기)

수시 감사는 예고 없이 진행되므로 상시 대비가 필요합니다.

대응 전략:

  • AI 판단과 동시에 증빙이 자동 생성되는 체계 운영
  • 해시 체인 무결성을 자동으로 정기 검증 (일 1회 이상)
  • "감사 모드"로 전환하면 관련 증빙이 즉시 추출되는 기능

외부 인증 심사 (ISO 42001, EU AI Act 등)

인증 심사는 시스템 자체의 체계를 평가합니다.

대응 전략:

  • AI 관리 체계 문서화 (정책, 절차, 역할)
  • 증빙 생성·보관·검증 프로세스 문서화
  • 실제 운영 데이터로 증빙 체계의 작동을 시연

감사 대응 자동화: 수동 vs 자동

감사 대응 업무의 대부분은 자동화할 수 있습니다. 수동 대응과 자동화된 대응의 차이를 비교합니다.

업무 수동 대응 자동화 대응
AI 판단 기록 담당자가 별도 문서에 기록 AI 판단과 동시에 DPU 자동 생성
정책 변경 관리 변경 시 수동으로 공지 정책 버전 자동 생성, 판단 시 자동 봉인
증빙 수집 엑셀·메일·시스템을 건별 검색 도메인·기간·유형별 일괄 추출
무결성 검증 검증 방법 없음 해시 체인 자동 검증 리포트
감사 리포트 수일간 수동 작성 원클릭 감사 패키지 생성
소요 시간 감사 1회당 1~2주 감사 1회당 1~2일

차이는 소요 시간만이 아닙니다. 수동 대응은 "기록이 있다"고 주장하는 것이고, 자동화 대응은 "기록이 변조되지 않았다"를 증명하는 것입니다.

감사 대응 시나리오: Before vs After

시나리오: "AI 자동 승인 건의 근거를 제시하라"

Before (증빙 체계 없음):

  1. 감사 요청 접수 (월요일)
  2. 시스템 로그에서 해당 건 검색 — "승인됨"만 기록 (1일)
  3. 당시 담당자에게 확인 — 퇴사자이므로 연락 불가 (1일)
  4. DB에서 관련 데이터 추출 시도 — 정책이 이미 변경되어 당시 기준 확인 불가 (2일)
  5. 추정 근거로 소명서 작성 (2일)
  6. 감사관: "이것은 추정이지 증빙이 아닙니다" → 감사 지적
  7. 총 소요: 6일, 결과: 지적

After (AI 실행 증빙 체계 운영):

  1. 감사 요청 접수 (월요일)
  2. 해당 DPU 조회 — 입력 데이터, 적용 정책(v2.3), AI 모드(RECOMMENDATION), 담당자 승인 이력 확인 (5분)
  3. JSON-LD 증빙 문서 + 해시 체인 검증 리포트 추출 (2분)
  4. 감사관에게 제출: "이 판단은 2025-08-15에 정책 v2.3 기준으로 AI가 추천하고 김OO 담당자가 승인한 건이며, 해시 검증으로 사후 변조가 없음을 확인합니다"
  5. 총 소요: 30분, 결과: 통과

감사 대응 로드맵

1단계: 현황 파악 (1~2주)

  • 조직 내 AI 활용 목록 작성
  • 현재 기록 체계의 공백 분석
  • 고위험 AI 판단 영역 식별

2단계: 기본 체계 구축 (2~4주)

  • AI 판단의 구조화된 기록 체계 도입
  • 정책 버전 관리 시작
  • AI-인간 역할 분리 기록 적용

3단계: 무결성 확보 (4~6주)

  • 해시 체인 기반 무결성 보장 체계 구축
  • append-only 저장소 적용
  • 자동 무결성 검증 스케줄링

4단계: 자동화 (6~8주)

  • 감사 리포트 자동 생성
  • JSON-LD 표준 증빙 내보내기
  • 제3자 공개 검증 기능 활성화

크로노젠의 Proof Layer는 이 4단계를 하나의 통합 인프라로 제공합니다. DPU가 AI 판단과 동시에 생성되고, 해시 체인이 무결성을 보장하며, 감사 리포트가 원클릭으로 추출됩니다.

다음 단계

감사 대응은 감사일에 시작하는 것이 아니라, AI가 판단을 내리는 그 순간에 시작됩니다.

  1. AI 실행 증빙이란? 에서 증빙 인프라의 개념을 이해하세요
  2. AI 거버넌스 프레임워크 비교 에서 국제 표준 대응 전략을 살펴보세요
  3. 도입 상담 신청 에서 조직의 감사 대응 체계를 진단받으세요

감사관의 질문은 "기록이 있는가?"에서 "기록이 진짜인가?"로 바뀌었습니다. 크로노젠은 그 질문에 답할 수 있는 인프라를 만듭니다.