관리 ② 품질·리스크: 검토 회의의 재구성 (03/10)

AI 시대의 프로젝트 방법론 · Ep.03

게이트는 분기마다 열렸다.
결함은 매일 태어났다.

관리 ② 품질·리스크: 검토 회의의 재구성 · HFC Consulting

---

단계말 품질 검토 회의. 두 시간 동안 산출물 목록과 표본 검토 결과가 보고되고, 지적 사항 여덟 건이 기록되고, 게이트는 조건부 통과된다. 회의실을 나서던 품질 담당자가 혼잣말을 한다. "이번 분기에 생성된 코드가 30만 줄인데, 우리가 본 것은 3천 줄이다." 표본 1%로 지키는 품질 — 그것이 이 게이트의 실체다.

품질 관리가 게을러서가 아니다. 단계말 게이트라는 장치가 설계될 때의 생산량과, 지금의 생산량이 다른 자릿수이기 때문이다.

전제 — 검토는 비싸고, 그래서 모아서 한다

단계말 게이트와 표본 검토는 하나의 전제에서 나왔다. 품질 활동은 숙련된 사람의 시간을 쓰는 비싼 일이라는 것. 비싸니까 모아서 하고(단계말), 전부 볼 수 없으니 표본으로 보고, 회의체로 권위를 부여했다. 리스크 관리도 같았다 — 리스크 대장은 월간 회의에서 갱신되는 문서였고, 그 주기는 리스크가 자라는 속도보다 빨랐다. 그때는.

균열 — 생산량이 검토 모델을 부쉈다

1기 1화의 리뷰어가 멈춰 선 장면이 이 균열의 시작이었다. AI가 생산량을 열 배로 만들면 표본율은 10분의 1이 되고, 표본 검토는 통계가 아니라 요식이 된다. 리스크 쪽은 더하다. 도구 변경, 데이터 유출, 생성 코드의 라이선스, Agent의 자율 행동 — 월간 대장에 없던 리스크 유형이 주 단위로 생겨난다. 분기의 게이트와 월간의 대장으로는 매일의 생산을 지킬 수 없다. 검토의 주기가 생산의 주기를 따라가지 못하면, 품질 관리는 통계에서 의례로 강등된다. 의례가 된 관리의 가장 큰 해악은 안심이다.

존속 — 기준과 오너십은 사람의 일로 남는다

버릴 것을 정리하면 남는 것이 선명해진다. 품질 기준을 정의하는 일 — 무엇이 결함이고 어느 수준이 합격인가 — 는 자동화되지 않는다. 리스크의 오너십 — 이 리스크를 누가 감시하고 누가 결정하는가 — 도 사람의 일이다. 화석이 된 것은 기준과 오너십이 아니라, 사람이 직접 전수를 들여다보려던 검토의 형식이다. 검토는 도구에게 넘기고, 사람은 기준과 판단으로 올라간다.

재구성 — 게이트를 분기에서 매일로

항목	AI 이전	AI 시대
검토 시점	단계말 일괄 게이트	파이프라인 상시 자동 검증 (3기 4화의 3단 게이트)
검토 범위	표본 검토 (사람의 시간 한계)	도구는 전수, 사람은 도구가 걸러낸 것만
품질 회의	결과 보고와 지적 사항 낭독	기준치 조정과 예외 승인만 다루는 판단 회의
리스크 대장	월간 갱신, 전통 항목 중심	AI 항목 신설 + 게이트 지표와 연동한 상시 감지

리스크 대장 신설 항목 5 — ① AI 도구 변경·중단(제공사 정책 변경 포함) ② 발주자 데이터의 도구 입력 사고 ③ 생성 코드의 보안·라이선스 결함 (2기 5화) ④ Agent 자율 행동의 통제 이탈 ⑤ 검증 게이트 우회율 상승(게이트 형해화)

예상 반론과 대응

반론 1. "자동 검증 도구를 갖출 예산과 인력이 없습니다."
대응. 정적 분석과 보안 스캔 두 가지는 무상·저비용 도구로 시작할 수 있고, 이 두 개만으로도 표본 검토보다 넓게 본다. 완비된 파이프라인이 아니라 첫 자동 게이트 하나가 출발선이다.

반론 2. "그러면 품질 조직의 역할이 사라지는 것 아닙니까."
대응. 역할이 사라지는 것이 아니라 이동한다. 검토자에서 기준 설계자로 — 어떤 결함 등급을 차단선으로 할지, 어떤 예외를 허용할지 정하는 일은 더 어렵고 더 높은 일이다. 사라지는 것은 조직이 아니라 낭독 회의다.

품질·리스크 체크포인트 — 자동 검증의 파이프라인 상시 편입 / 사람 검토는 도구가 걸러낸 것에 집중 / 품질 회의를 판단 회의로 전환 / 리스크 대장에 AI 항목 5종 신설 / 기준 설계의 오너십 명시

품질 관리의 역사는 검사 시점을 앞당겨 온 역사다. 완제품 검사에서 공정 검사로, 공정 검사에서 상시 검증으로. AI는 그 마지막 이동을 강제했을 뿐이다. 품질이 상시가 되면 보고도 상시가 될 수 있다. 그러면 금요일 오후를 통째로 쓰던 주간보고는 무엇을 위해 남는가 — 다음 편이다.

※ 본 연재의 비교·재구성 원칙은 일반적 참고용이며, 조직의 표준과 사업 특성에 맞는 조정이 필요합니다.

📎 더 읽을거리
· OWASP — 상시 보안 검증 도구·기준의 출발점
· DORA (DevOps Research and Assessment) — 상시 검증·배포 성과에 대한 다년간의 실증 연구

HFC Consulting의 관점

현재 품질 게이트의 운영 방식과 리스크 대장을 보내 주십시오. 표본이 놓치는 영역과 대장에 없는 AI 리스크를 항목 단위로 짚어 드립니다.

✉ changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 연재 · AI 시대의 프로젝트 방법론
◀ 이전 편 (02/10) 관리 ① 범위·일정: WBS는 살아남는가
다음 편 ▶ (04/10) 관리 ③ 의사소통·보고: 주간보고는 누구를 위한 것이었나
연재 전체 보기 →