거버넌스는 문서가 아니라 운영이다 (08/08)

AI 거버넌스 구축 가이드 · Ep.08 (완결)

규정집은 완성됐다.
그리고 아무도 열지 않았다.

거버넌스는 문서가 아니라 운영이다 · HFC Consulting

---

어느 조직이 석 달을 들여 AI 거버넌스 규정집을 만들었다. 승인 목록, 데이터 기준, 게이트 절차까지 잘 갖춰진 문서였다. 공유 폴더에 올라갔고, 전체 공지가 나갔고, 그것으로 끝이었다. 1년 뒤 보안 점검에서 확인된 것은 두 가지였다. 규정집은 훌륭했다는 것, 그리고 승인 목록이 1년째 갱신되지 않아 현실과 절반쯤 어긋나 있었다는 것.

규정은 만든 날 완성되는 것이 아니라, 굴러가는 동안만 살아 있다. 앞의 일곱 편이 무엇을 정할지를 다뤘다면, 완결편은 정한 것을 누가 언제 굴리는지를 다룬다 — 역할, 주기, 그리고 점검표다.

역할 — 담당자 없는 조항은 없는 조항이다

거버넌스 전담 조직을 새로 만들 필요는 없다. 필요한 것은 기존 역할에 책임을 붙이는 것이다. 거버넌스 오너(IT 조직 책임자 또는 PMO)가 체계 전체와 개정을 맡고, 보안 담당이 승인 목록과 데이터 기준을, 각 팀 리더가 게이트 운영과 기록 문화를, 인사·평가 담당이 역량 관리를 맡는다. 넷 중 하나라도 공석이면 그 영역의 조항은 서서히 문서로 돌아간다.

주기 — 운영 캘린더

주기	점검 항목	담당
월간	신규 도구 승인 처리, Agent 미분류 작업 분류, 게이트 예외(긴급 배포) 사후 이행 확인	변경관리 회의
분기	승인 목록 전면 재검토(약관 변경 포함), 리뷰 집중도 점검, ADR 작성률 확인	거버넌스 오너 + 보안
반기	규정 전체 개정 검토, 온보딩 커리큘럼 갱신, 셀프 진단 7문항 재실시	거버넌스 오너

캘린더의 요점은 빈도가 아니라 소유다. 각 칸의 담당이 정해져 있고, 회의체의 정기 안건에 박혀 있으면 체계는 굴러간다. 새 회의를 만들 필요도 없다. 기존 변경관리 회의와 경영 회의에 안건 한 줄씩을 얹는 것으로 충분하다. "필요할 때 점검한다"는 계획은 "점검하지 않는다"의 정중한 표현이다.

종합 점검표 — 일곱 요소, 담당, 주기

구성 요소	확인 질문	근거 편
도구 표준	승인 목록·계정 정책·승인 절차(기한 포함)가 있는가	Ep.02
데이터 기준	등급×도구 매트릭스와 상위 등급 기본값 원칙이 있는가	Ep.03
검증 게이트	자동 검사·리뷰·승인 3단과 긴급 예외의 사후 기한이 있는가	Ep.04
기록 체계	기록 트리거와 ADR 양식·기한·보존 위치가 있는가	Ep.05
Agent 권한	3분류 기준표와 미분류 기본값·중지 수단이 있는가	Ep.06
역량 관리	온보딩 3단계와 검증 시간의 성과 인정이 있는가	Ep.07
운영 체계	역할 4인과 운영 캘린더가 회의체 안건에 박혀 있는가	Ep.08

작게 시작한다 — 90일 도입 로드맵

일곱 요소를 한 번에 도입하려는 계획은 석 달짜리 규정집 프로젝트로 끝나기 쉽다. 순서를 나누면 첫 달부터 효과가 나온다. 첫 30일 — 셀프 진단과 도구 실태 조사, 등록 유예 기간 운영으로 승인 목록 첫 버전 확정(2화). 60일 — 데이터 매트릭스 공지와 자동 검사 게이트의 파이프라인 편입(3~4화). 90일 — 기록 트리거와 Agent 분류표 시행, 운영 캘린더 가동(5~8화). 각 단계는 앞 단계의 산출물 위에 서기 때문에 순서를 바꾸면 비용이 커진다. 도구 목록 없이 데이터 매트릭스를 만들 수 없고, 게이트 없이 기록 문화가 서지 않는다.

3부작을 마치며 — 1기 "AI시대의 사업관리"가 현장의 문제를 진단했고, 2기 "발주자를 위한 AI 계약 가이드"가 수급인과의 계약을 다뤘으며, 3기가 조직 내부의 운영 체계를 세웠다. 진단 없이 처방이 없고, 계약 없이 바깥이 안 잡히고, 거버넌스 없이 안이 안 잡힌다. 셋은 함께 읽을 때 완성된다.

이 로드맵은 조직 규모와 무관하게 작동한다. 스무 명짜리 조직이라면 역할 네 개를 두 사람이 겸하고 회의체는 주간 회의에 안건으로 얹으면 되고, 수백 명 조직이라면 각 역할이 실제 부서가 된다. 형태는 달라도 원리는 같다 — 모든 조항에 주인이 있고, 모든 주인에게 주기가 있다.

거버넌스의 성패는 규정집의 두께가 아니라, 다음 분기 회의 안건에 "승인 목록 재검토"가 올라가 있는지로 판별된다. 문서는 시작이고, 운영이 전부다.

※ 본 연재의 규정·양식 템플릿은 일반적 참고용이며, 조직의 규모·규제 환경에 맞는 조정이 필요합니다.

📎 더 읽을거리
· NIST AI Risk Management Framework — 거버넌스 운영 기능(Govern)의 국제 참조 틀
· PMBOK Guide (PMI) — 역할·주기 기반 운영 체계의 표준 관점

HFC Consulting의 관점

1화의 셀프 진단 7문항과 이 점검표를 함께 작성해 보내 주십시오. 조직에 맞는 거버넌스 도입 순서와 첫 분기 실행 계획을 잡아 드립니다. 규정집이 아니라 운영을 설계해 드립니다.

✉ changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 연재 · AI 거버넌스 구축 가이드 (완결)
◀ 이전 편 (07/08) 활용 격차가 사람 문제가 되기 전에
⏮ 처음부터 다시 보기 (01/08) 규정 없이 도구부터 들어왔다
이전 연재 발주자를 위한 AI 계약 가이드 · AI시대의 사업관리
연재 전체 보기 →

📖 다음 연재가 시작되었습니다 · AI 시대의 프로젝트 방법론 (10부작)
진단(1기)·계약(2기)·거버넌스(3기)에 이어, 실행의 방법을 재구성합니다. 매회 AI 이전 방법론과의 비교표를 제공합니다.
▶ (01/10) 방법론은 왜 그렇게 생겼는가 — 첫 편 읽기