내부통제 AX 실습 교재

SAFE-02 · AI·도구·업무 담당자의 역할과 책임

이 실습에서는 AI를 최종 승인 주체로 두지 않습니다. 시작 전에 누가 설명하고, 무엇이 실행되며, 누가 승인하고 책임지는지를 나눕니다.

세 역할을 구분하기

  • AI: 요청을 해석하고 자료를 요약하며 초안과 선택지를 제시합니다.
  • 도구: 허용된 권한 안에서 파일·시스템을 조회하거나 계산·저장·발송을 실행합니다.
  • 업무 담당자: 목표, 허용 범위와 예외를 정하고 영향이 큰 실행과 도구 결과가 업무에 적절한지 확인합니다. 조직이 최종 승인·책임 주체를 지정합니다.

예를 들어 AI가 이메일 초안을 만들고 메일 도구가 발송하더라도, 수신자·첨부 파일·본문을 확인하고 발송을 승인할 담당자를 따로 정해야 합니다.

읽기와 쓰기 권한

읽기 권한은 필요한 시스템과 자료 범위로 제한하고, 조회한 출처를 결과에 남깁니다. 쓰기 권한은 데이터 변경, 파일 삭제, 권한 변경과 외부 발송처럼 실제 상태를 바꾸므로 더 엄격하게 다룹니다.

쓰기 작업에는 가능하면 다음 순서를 둡니다.

  1. 변경 대상과 예상 결과를 미리 보여 줍니다.
  2. 승인 담당자가 대상·범위·영향을 확인합니다.
  3. 승인된 범위만 실행합니다.
  4. 실행 결과와 오류, 승인 기록을 남깁니다.
  5. 실패했을 때 중단하거나 복구할 방법을 확인합니다.

담당자의 확인이 필요한 지점

  • 외부 발송·게시·제출 전
  • 금전, 인사, 권한, 규제 준수나 내부통제 결론에 영향을 주기 전
  • 데이터 삭제·대량 수정이나 되돌리기 어려운 실행 전
  • 새 시스템·계정·폴더에 접근 권한을 부여하기 전
  • 입력 자료가 부족하거나 지시·근거가 서로 충돌할 때

기록과 중단 기준

실행 기록에는 작업자, 시각, 입력 자료의 식별자, 사용한 도구, 실행 상태, 결과와 승인자를 남깁니다. 비밀번호·토큰이나 불필요한 개인정보를 로그에 복사하지 않습니다.

다음 경우 AI와 도구는 추측해서 진행하지 않고 중단해야 합니다.

  • 필요한 권한이나 승인 여부를 확인할 수 없음
  • 원본 자료가 없거나 서로 다른 기준이 충돌함
  • 예상보다 훨씬 많은 대상이 조회·수정됨
  • 도구 오류나 일부 실패를 성공으로 판단할 수 없음
  • 개인정보, 금전, 대외 영향이 있는데 담당자가 불분명함
역할과 승인 설계
[AI가 설명·작성할 일]
-
 
[도구가 조회·실행할 일과 권한 범위]
-
 
[담당자가 확인하고 승인할 지점]
-
 
[남길 기록]
-
 
[즉시 중단할 조건과 복구 담당자]
-

공식 근거