[논문 리뷰] Applying the CobiT Control Framework to Spreadsheet Developments

Rika Butler|arXiv (Cornell University)|2008. 01. 03.

Personal Information Management and User Behavior인용 수 7

한 줄 요약

이 논문은 스프레드시트 리스크 및 통제 문제를 CobiT 프레임워크에 매핑하여 관리자들의 관심을 끌 수 있도록, 익숙하고 거버넌스 기반의 형식으로 리스크를 제시함으로써 리스크에 대한 관리의 주목을 높이려는 것을 제안한다. 스프레드시트 통제를 기존의 확립된 IT 거버넌스 구조인 CobiT에 맞추어 정렬함으로써, 기존 기업 거버넌스 프로세스 내에서 체계적인 리스크 식별 및 관리가 가능해지며, 스프레드시트 리스크에 대한 책임감과 투명도가 향상된다.

ABSTRACT

One of the problems reported by researchers and auditors in the field of spreadsheet risks is that of getting and keeping managements attention to the problem. Since 1996, the Information Systems Audit & Control Foundation and the IT Governance Institute have published CobiT which brings mainstream IT control issues into the corporate governance arena. This paper illustrates how spreadsheet risk and control issues can be mapped onto the CobiT framework and thus brought to managers attention in a familiar format.

연구 동기 및 목표

• 조직 내에서 스프레드시트 리스크에 대한 관리자의 관심을 확보하는 데 지속적인 과제를 해결하기 위해.
• CobiT 프레임워크를 활용하여 스프레드시트 리스크 관리를 메인스트림 IT 거버넌스에 통합하기 위해.
• 표준 거버넌스 모델을 사용하여 스프레드시트 관련 리스크를 체계적이고 실천 가능한 방법으로 식별하고 통제할 수 있는 구조화된 방법을 제공하기 위해.
• 스프레드시트 리스크 연구와 기업 거버넌스 관행 사이의 격차를 메우기 위해.
• 기존의 통제 프레임워크에 맞추어 정렬함으로써 스프레드시트 리스크의 가시성과 관리 가능성 향상하기 위해.

제안 방법

• CobiT 프레임워크의 네 영역인 'IT 기획 및 관리', 'IT 확보 및 구현', 'IT 제공 및 지원', '모니터링 및 평가'에 스프레드시트 리스크 요인을 매핑하기.
• 공통적인 스프레드시트 리스크인 오류, 버전 제어 부족, 부적절한 액세스 관리 등의 문제를 해결하기 위해 CobiT의 통제 목표 및 프로세스를 적응 적용하기.
• 스프레드시트 개발 및 유지보수를 거버넌스 기반의 IT 프로세스로 체계화하기 위해 CobiT의 프로세스 기반 모델 사용하기.
• 스프레드시트 전용 통제 요구사항을 기업 거버넌스에 통합하기 위해 CobiT 준수 통제 문장으로 번역하기.
• 실제 스프레드시트 개발 사례에 프레임워크를 적용하여 적용 가능성과 사용성 검증하기.
• 감사원 및 IT 거버넌스 팀이 스프레드시트 거버넌스를 평가하고 향상시키기 위한 도구로 프레임워크 제시하기.

실험 결과

연구 질문

• RQ1 스프레드시트 리스크를 기술적 오류가 아닌 기업 거버넌스 및 통제의 관점에서 이해하지 못할 수 있는 고위 경영진에게 효과적으로 전달할 수 있는 방법은 무엇인가?
• RQ2 CobiT 프레임워크는 스프레드시트 개발 및 사용의 고유한 리스크를 얼마나 잘 수용할 수 있는가?
• RQ3 스프레드시트 통제를 CobiT에 맞추면 거버넌스의 가시성과 경영진의 참여가 향상되는가?
• RQ4 CobiT 프로세스에 의미 있게 매핑되는 스프레드시트 개발의 핵심 통제 목표는 무엇인가?
• RQ5 스프레드시트 리스크 관리는 기존의 IT 거버넌스 및 감사 프레임워크 내에서 어떻게 정착될 수 있는가?

주요 결과

• CobiT 프레임워크는 조직이 기존의 IT 거버넌스 맥락 내에서 스프레드시트 리스크를 논의할 수 있도록 체계적이고 익숙한 언어를 제공한다.
• 스프레드시트 통제를 CobiT에 매핑함으로써 스프레드시트 라이프사이클 전반에 걸친 리스크 체계적 식별 및 문서화가 가능해진다.
• 리스크가 기업 거버넌스 및 통제의 관점에서 제시됨으로써 경영진의 참여가 향상되었다. 기술적 오류가 아닌 거버넌스 관점에서의 리스크로 인식되기 때문이다.
• 감사원과 IT 팀이 표준화된 통제 기준을 사용하여 스프레드시트 프로세스를 평가할 수 있다.
• 이 방법은 스프레드시트 거버넌스를 기업 리스크 관리 및 내부 감사 프로그램에 통합하는 데 기여한다.
• 논문은 스프레드시트 리스크가 고립된 문제일 뿐 아니라, 적절히 맥락화되면 보다 넓은 IT 거버넌스의 일부로 관리될 수 있음을 입증한다.