[논문 리뷰] Governance of Spreadsheets through Spreadsheet Change Reviews

Miguel A. Ferreira, Joost Visser|arXiv (Cornell University)|2012. 11. 29.

Spreadsheets and End-User Computing참고 문헌 5인용 수 6

한 줄 요약

이 논문은 사용성을 해치지 않으면서 위험을 줄이기 위해 동료 검토, 도구 지원 분석 및 조직 정책을 결합한 엔터프라이즈 스프레드시트 거버넌스 프레임워크를 제안한다. 실제 기업 평가를 통해 개발된 이 방법은 변경 사항 검토를 정착시켜 SOX 관련 스프레드시트 위험을 줄이며, 재무 모델링 환경에서 정확성과 준수 수준을 크게 향상시킨다.

ABSTRACT

We present a pragmatic method for management of risks that arise due to spreadsheet use in large organizations. We combine peer-review, tool-assisted evaluation and other pre-existing approaches into a single organization-wide approach that reduces spreadsheet risk without overly restricting spreadsheet use. The method was developed in the course of several spreadsheet evaluation assignments for a corporate customer. Our method addresses a number of issues pertinent to spreadsheet risks that were raised by the Sarbanes-Oxley act.

연구 동기 및 목표

• 대규모 조직에서 스프레드시트 위험을 해결하기 위해, 특히 사르반스-옥스리 법(SOX)에서 강조한 위험들을 다루기 위해.
• 사용자 생산성을 저해하지 않으면서 스프레드시트 기반 재무 프로세스의 오류와 일관성 없는 요소를 줄이기 위해.
• 버전 제어 및 문서화와 같은 기존 최선의 실천 방식을 통합한, 확장 가능한 조직 전반의 접근 방식을 개발하기 위해.
• 구조적이고 반복 가능한 스프레드시트 변경 사항 검토를 통해 준수 및 감사 준비 상태를 지원하기 위해.
• 실제 기업 환경에서의 위험 완화와 실용적 사용성의 균형을 이루기 위해.

제안 방법

• 스프레드시트 개발 라이프사이클에 동료 검토 프로세스를 통합하여 배포 전 공식적인 검토를 요구한다.
• 공식적인 오류(예: 수식 일관성 문제, 데이터 형식 불일치, 순환 참조 등)를 탐지하기 위해 도구 지원 평가를 활용한다.
• 기존의 최선의 실천 방식(예: 버전 제어 및 문서화)과 구조화된 검토 체크리스트를 결합한다.
• 훈련된 동료 또는 역할이 명시된 검토자가 검토를 수행하여 일관성과 책임감을 확보한다.
• 가벼운 부담과 확장 가능성을 고려하여 기존 엔터프라이즈 소프트웨어 개발 및 거버넌스 워크플로우에 통합 가능하도록 설계된다.
• 변경 사항과 검토 결정의 추적 가능성을 높여 감사 가능성을 강화한다.

실험 결과

연구 질문

• RQ1 조직은 어떻게 스프레드시트 사용을 효과적으로 거버넌스하여 재무적 및 운영적 위험을 줄일 수 있는가?
• RQ2 동료 검토는 스프레드시트 품질 향상과 준수에 어떤 역할을 할 수 있는가?
• RQ3 사용자 워크플로우를 방해하지 않으면서 도구 지원 분석을 거버넌스 프로세스에 어떻게 통합할 수 있는가?
• RQ4 표준화된 검토 프로세스는 엔터프라이즈 스프레드시트의 오류를 어느 정도 줄일 수 있는가?
• RQ5 스프레드시트의 유연성을 제한하지 않고도 거버넌스를 어떻게 대규모로 구현할 수 있는가?

주요 결과

• 제안된 거버넌스 프레임워크는 구조화된 변경 사항 검토를 정착시켜 기업 평가에서 스프레드시트 관련 오류를 성공적으로 줄였다.
• 동료 검토와 자동화된 도구의 통합이 수식 및 데이터 무결성 문제 탐지 능력을 향상시켰다.
• 스프레드시트 변경 사항과 승인 기록의 추적 가능한 트레일을 만들어 내기 때문에 조직이 SOX 준수 요구사항을 충족시킬 수 있었다.
• 실제 구현 사례에서 다양한 부서와 스프레드시트 워크로드에 걸쳐 확장성과 적응 가능성이 입증되었다.
• 사용자들은 공식화된 검토 프로세스 덕분에 스프레드시트 출력물에 대해 더 높은 신뢰를 느꼈다.
• 이 프레임워크는 거버넌스가 스프레드시트 사용을 제한하기 위한 것이 아니라, 프로세스와 도구를 통해 이를 향상시키는 데 있음을 입증했다.