[논문 리뷰] Controlling End User Computing Applications - a case study

Jamie Chambers, John Hamill|ArXiv.org|2008. 09. 21.

Spreadsheets and End-User Computing참고 문헌 5인용 수 8

한 줄 요약

이 사례 연구는 은행 환경에서 엔드유저 컴퓨팅(EUC) 응용 프로그램—주로 스프레드시트—를 통제하기 위한 종합적인 프레임워크를 제시한다. 정책 수립, 교육, 재고 모니터링, 라이선싱, 리스크 지표 등 다양한 작업 흐름을 조율함으로써, 연구는 기관 차원에서 EUC 도구에 대한 통제가 가능하다는 것을 입증하며, 거버넌스 개선, 리스크 감소, 공식 IT 관행과의 문화적 일치를 이룬다.

ABSTRACT

We report the results of a project to control the use of end user computing tools for business critical applications in a banking environment. Several workstreams were employed in order to bring about a cultural change within the bank towards the use of spreadsheets and other end-user tools, covering policy development, awareness and skills training, inventory monitoring, user licensing, key risk metrics and mitigation approaches. The outcomes of these activities are discussed, and conclusions are drawn as to the need for appropriate organisational models to guide the use of these tools.

연구 동기 및 목표

• 금융 기관에서 점점 증가하는 통제되지 않은 엔드유저 컴퓨팅(EUC) 응용 프로그램, 특히 비즈니스 핵심 프로세스에 사용되는 스프레드시트의 리스크를 다루기.
• 기존에 분산된 은행 환경에서 공식적인 EUC 도구 거버넌스에 대한 문화적 및 운영적 저항을 극복하기.
• 조직적 통제 하에 EUC 관행을 끌어올리고 체계적 리스크를 줄이기 위한 다각적 접근법을 개발하고 구현하기.
• EUC 거버넌스 향상을 위한 시간에 따라 측정 가능한 리스크 지표와 보완 전략 수립하기.
• 규제된 금융 환경에서 EUC 통제를 위한 기관 모델이 실제로 구현 가능하다는 것을 입증하기.

제안 방법

• 비즈니스 핵심 스프레드시트에 대한 허용 사용, 소유권, 승인 절차를 정의하기 위한 공식적인 EUC 정책 프레임워크 수립.
• 사용자 역량 향상과 거버넌스 기준 준수를 위한 인식 제고 및 기술 교육 프로그램 시행.
• 기존 EUC 응용 프로그램의 재고를 확보하여 핵심 시스템을 식별하고 리스크 노출도를 평가.
• 책임성과 사용 추적 가능성을 확보하기 위해 사용자 라이선싱 및 액세스 제어 도입.
• EUC 응용 프로그램 전반의 준수 상태, 오류 비율, 데이터 무결성 등을 모니터링하기 위해 핵심 리스크 지표(KRIs) 설정.
• 동료 검토, 버전 제어, 감사 트레일 등 보완 전략을 적용하여 오류 및 사기 리스크 감소.

실험 결과

연구 질문

• RQ1 어떻게 조직은 은행과 같은 고위험 환경에서 엔드유저 컴퓨팅 응용 프로그램을 효과적으로 거버넌스할 수 있는가?
• RQ2 정책, 교육, 기술적 통제의 조합 중에서 EUC 관련 리스크를 줄이는데 가장 효과적인 조합은 무엇인가?
• RQ3 분산된 조직에서 공식적인 EUC 거버넌스를 뒷받침하기 위해 문화적 전환이 어느 정도 달성될 수 있는가?
• RQ4 EUC 응용 프로그램의 품질과 준수 상태를 모니터링하고 향상시키기 위해 사용할 수 있는 측정 가능한 리스크 지표는 무엇인가?
• RQ5 규제 산업에서 장기적인 EUC 도구 통제를 유지하기 위해 필요한 기관 모델은 무엇인가?

주요 결과

• 구조화된 거버넌스 프레임워크의 도입으로 은행 전반에서 통제되지 않은 EUC 사용이 명백하게 감소했다.
• 교육 및 인식 제고 프로그램이 사용자의 EUC 리스크와 준수 요구사항 이해도를 크게 향상시켰다.
• 재고 모니터링을 통해 IT가 이전에 알지 못했던 핵심 비즈니스 스프레드시트가 다수 존재하는 것으로 드러나, 가시성 확보의 필요성을 입증했다.
• 핵심 리스크 지표의 활용으로 고위험 EUC 응용 프로그램을 사전에 식별하고 시정할 수 있었다.
• 라이선싱 및 액세스 제어 도입으로 책임성 향상과 비승인 또는 무단 EUC 도구 사용 감소를 달성했다.
• 지속적인 정책 집행과 리더십 참여를 통해 책임감 있는 EUC 사용에 대한 문화적 전환이 이뤄졌다.