두 사람이 컴플라이언스 소프트웨어 도입을 검토 중이라고 말합니다.
첫 번째 사람이 말하는 것은 감사인이 SOC 2 보고서에 서명할 수 있도록 클라우드 설정의 스크린샷을 수집하는 도구입니다. 두 번째 사람이 말하는 것은 지난봄 $800만을 송금한 회사가 조용히 법적 소재지를 BVI로 옮기고, 펀드 내 누구도 들어 본 적 없는 이사를 선임했는지 알려 주는 시스템입니다.
같은 표현이지만 기능은 전혀 겹치지 않습니다. 어느 쪽도 용어를 잘못 쓰고 있지 않다는 사실은 이 용어 자체에 상당한 문제가 있음을 보여 줍니다.
당사는 같은 3가지 실수가 반복되는 것을 봅니다. 어떤 기업은 GRC 플랫폼을 구매하고 4개월이 지나서야 아무것도 들어 있지 않은 매우 비싼 서류함을 샀다는 사실을 깨닫습니다. 또 어떤 기업은 신원 확인 제품을 구매하고, 그 제품이 설계상 거래 관계의 둘째 날부터는 역할을 하지 않는다는 사실을 발견합니다. 그리고 암호화폐 펀드는 온체인 분석을 구매한 뒤 기업·개인 리스크까지 관리된다고 생각하지만, 나중에야 그 판단이 틀렸다는 것이 분명해집니다.
이 3가지 실수는 모두 신중하고 똑똑한 사람들이 저지릅니다. 바로 그것이 핵심입니다. 구매자가 아니라 유형의 명칭이 오해를 일으키고 있습니다.
따라서 이 글은 하나의 지도입니다. 컴플라이언스 소프트웨어의 실제 의미, 컴플라이언스 관리 체계와의 차이, 같은 이름을 공유하는 6가지 제품 유형, 각각이 실제로 잘하는 일과 그 한계, 필요한 제품을 판단하는 방법을 다룹니다. 당사가 속하지 않은 영역도 포함하며, 당사와 바로 인접해 거의 매주 혼동되는 영역도 살펴봅니다.
컴플라이언스 소프트웨어의 실제 의미
마케팅을 걷어 내면 컴플라이언스 소프트웨어는 두 가지 중 하나를 수행합니다. 일련의 의무를 이행하고 있음을 입증하도록 돕거나, 그렇지 않으면 놓칠 리스크를 볼 수 있게 합니다.
비슷하게 들리지만 서로 다릅니다. 무엇을 구매해야 하는지에 관한 거의 모든 판단이 이 차이에 달려 있습니다.
의무 이행의 입증은 문서화의 문제입니다. 증빙, 통제, 정책, 감사 추적 기록, 그리고 점검표를 들고 찾아오는 검사관이나 감사인이 납득할 자료가 필요합니다. 결과물은 근거를 제시할 수 있는 기록입니다.
리스크 파악은 인텔리전스의 문제입니다. 조직 외부의 데이터, 중요한 정보와 그렇지 않은 정보를 구분할 방법, 신호를 의사결정으로 연결할 경로가 필요합니다. 결과물은 조치를 취할 수 있을 만큼 이른 경고입니다.
많은 제품이 두 가지를 모두 한다고 주장합니다. 실제로 그런 제품은 극히 드뭅니다. 가장 큰 목소리로 주장하는 제품일수록 첫 번째에는 강하고 두 번째에는 약한 경향이 있습니다. 문서화는 해결 가능한 엔지니어링 문제지만 인텔리전스는 사실상 끝이 없는 데이터 문제이기 때문입니다.
컴플라이언스 관리와 컴플라이언스 관리 체계의 차이
이 둘은 혼용되지만 구분해야 합니다.
컴플라이언스 관리는 하나의 업무 분야입니다. 적용되는 규칙을 파악하고, 사람들이 따를 수 있는 정책으로 구체화하고, 직원을 교육하고, 정책을 실제로 준수하는지 점검하고, 그렇지 않을 때 바로잡는 일입니다. 소프트웨어를 보유했는지와 관계없이 존재합니다. 비싼 도구를 쓰면서도 제대로 관리하지 못하는 조직은 많고, 스프레드시트와 성실한 담당자 한 명만으로 잘하는 조직도 있습니다.
컴플라이언스 관리 체계, 즉 CMS는 이 업무가 인력 교체, 성장, 외부 검증 속에서도 유지되도록 뒷받침하는 구조입니다. 앱이 아니라 프레임워크입니다.
규제 금융 분야에서 이 용어는 비교적 정확한 의미를 갖습니다. CFPB의 컴플라이언스 관리 검토 절차는 CMS를 몇 가지 요소로 구성합니다. 이사회와 고위 경영진의 감독, 정책·교육·모니터링·시정 조치를 포함하는 공식 컴플라이언스 프로그램, 서비스 제공업체와 제3자 감독, 소비자 불만 처리, 독립적인 컴플라이언스 감사입니다. 검사관은 각각을 별도로 평가합니다. 정책이 탄탄해도 이사회가 관여하지 않으면 여전히 지적 사항이 됩니다.
여기서 용어가 혼란스러워지며, 이 점은 중요합니다. “컴플라이언스 관리 시스템을 구매한다”고 말하는 대부분의 사람은 소프트웨어를 구매하고 있습니다. 하지만 규제상 의미에서 소프트웨어는 관리 체계 자체가 아닙니다. 체계의 한 구성 요소이며, 대개 그 비중도 상당히 작습니다.
이를 거꾸로 이해하면 이 시장에서 가장 흔한 실패에 이릅니다. 실제로 작동하는 컴플라이언스 업무가 없는 조직 안에 훌륭하게 구축된 플랫폼이 놓이고, 아무도 운영하지 않는 프로그램을 설명하는 깔끔한 보고서만 만들어집니다.
컴플라이언스 관리 체계가 중요한 이유와 모두가 건너뛰는 부분
먼저 당연한 답부터 살펴보겠습니다. 실제로 맞는 말이기 때문입니다.
CMS는 컴플라이언스가 지속되도록 합니다. 지식이 한 사람의 머릿속에만 남지 않으므로, 9개월째에 그 사람이 퇴사해도 프로그램이 함께 사라지지 않습니다. 규제기관, 감사인, LP, 대기업 고객이 리스크 관리 방법을 물을 때 근거를 갖고 설명할 수 있습니다. 또한 하겠다고 한 일과 실제로 한 일 사이에 피드백 순환을 만듭니다. 이것이 컴플라이언스 프로그램이 방향을 잃지 않고 개선되는 유일한 메커니즘입니다.
이제 사람들이 건너뛰는 부분을 보겠습니다. 이 글 전체가 존재하는 이유입니다.
규제 관점에서 CMS의 구성 요소를 다시 살펴보겠습니다. 이사회의 감독, 컴플라이언스 프로그램, 불만 처리, 감사가 있습니다. 그리고 제3자 및 서비스 제공업체에 대한 지속적인 실사와 감독이 있습니다.
마지막 항목에는 엄청난 의미가 담겨 있지만, 거의 아무도 주목하지 않습니다.
이 항목은 외부를 향합니다. 자사 이외의 대상을 다룹니다. 핵심은 지속적이라는 점입니다. 계약 체결 시 한 번 수행하는 확인이 아닙니다. 규제기관은 업무를 위탁해도 그 책임까지 위탁되는 것은 아니라고 명시합니다.
따라서 외부 대상을 지속적으로 모니터링해야 한다는 요구는 이미 컴플라이언스 관리 체계의 정의에 포함되어 있습니다. 수년 전부터 그랬습니다. 빠진 것은 의무가 아닙니다. 그 의무를 수행하는 소프트웨어가 부족합니다. 이렇게 경쟁이 치열한 시장에서는 이상한 공백이며, 이 글의 나머지는 주로 그 공백이 생긴 이유를 다룹니다.
모든 제품을 분류하는 두 축
홈페이지에서 그렇게 설명하는지와 관계없이, 이 시장의 모든 제품은 두 가지 질문에 답합니다.
첫째: 어디를 살펴보는가?
일부 도구는 내부를 봅니다. 자사의 통제, 정책, 증빙, 설정을 살펴봅니다. 조사 대상은 자사입니다.
다른 도구는 외부를 봅니다. 위험에 노출된 대상을 살펴봅니다. 거래 상대방, 포트폴리오 기업, 고객, 공급업체, 이미 투자해 되돌릴 수 없는 창업자입니다. 조사 대상은 다른 누군가입니다.
둘째: 언제 살펴보는가?
일부는 한 시점에 확인합니다. 온보딩, 감사, 거래 종결 시점입니다. 통과한 뒤 지나치는 관문입니다.
다른 도구는 기한 없이 계속 살펴보며 변화가 생기면 알려 줍니다.
이렇게 4개의 사분면이 만들어집니다. 후보 목록의 모든 공급업체는 그중 하나에 속합니다. 4개 모두에 속한다고 주장하는 업체는 대개 정확히 한 영역에만 강하고 나머지에는 약합니다.
| 내부 지향(자사의 통제) | 외부 지향(다른 대상) | |
| 특정 시점 | 수작업 감사 준비. 스프레드시트 기반 통제 테스트. 매년 되풀이되는 준비 소동. | 온보딩 시 신원 확인. 거래 종결 시 실사 보고서. 계약 체결 시 스크리닝. |
| 지속적 | 지속적인 통제 모니터링: Vanta, Drata, Sprinto, Scrut. | 온체인 분석(지갑, 거래). 기업·개인 리스크 인텔리전스(사람, 기업). 지도에서 가장 빈약한 영역. |
오른쪽 아래 영역을 기억해 두세요. 흥미로운 영역이며, 처음 보이는 것보다 더 많은 제품이 모여 있습니다. 이 시장의 혼란은 거의 모두 그 안에서 발생합니다.
컴플라이언스 소프트웨어의 6가지 유형
6가지 제품 유형이 같은 명칭을 공유합니다. 서로 대체할 수 없지만, 구매자는 다른 유형의 기능을 기대하며 한 유형을 구매하곤 합니다.
1. 신원 확인(KYC 및 KYB)
가입 시 서류 검증, 생체 인증, 라이브니스 탐지, 법인 확인, 제재 및 PEP 스크리닝을 수행합니다. 가장 잘 알려진 이름은 Sumsub입니다. 대부분의 도입 평가에서 Persona와 Onfido도 거론됩니다.
구매자가 약어를 느슨하게 사용하고 제품도 서로 다르므로, 두 약어를 구분할 필요가 있습니다. KYC는 개인을 확인합니다. KYB는 기업을 확인하며, 이는 훨씬 더 어려운 문제입니다. 기업에는 소유구조가 있고, 때로는 그 구조가 이해되지 않기를 바라는 사람들이 소유구조를 설계하기 때문입니다.
규제 시장에서 이 유형은 성숙하고 빠르며, 솔직히 매우 뛰어납니다. 잘 설계된 KYB 절차는 1분 이내에 법인을 확인합니다. 20년 전에는 컴플라이언스 분석가 한 명과 일주일, 그리고 시차 때문에 전화를 받지 않는 등기소에 거는 전화 세 통이 필요했던 일입니다.
범위는 정해져 있으며 공급업체도 이를 솔직하게 밝힙니다. 이것은 관문입니다. 확인을 수행하고 통과하면 관계가 시작됩니다. 400일째에 그 대상이 무엇을 하는지는 원래 이 제품이 살펴보도록 설계된 일이 아닙니다. 비판이 아닙니다. 설계상의 경계입니다. 이를 무시하면 구매자는 약속한 일을 정확히 수행한 소프트웨어에 실망하게 됩니다.
2. 보안 컴플라이언스 자동화
SOC 2, ISO 27001, HIPAA, GDPR을 다룹니다. 증빙 수집, 통제 매핑, 감사 준비, 그리고 구매 담당자의 이메일이 그만 오도록 대기업 영업 페이지에 연결해 두는 트러스트 센터입니다.
Vanta와 Drata가 이 유형을 만들었습니다. Sprinto와 Scrut도 이 안에서 상당한 사업을 구축했습니다. 이제는 경쟁이 충분히 치열해 실제로 가격이 내려갔습니다. 대부분의 컴플라이언스 도구에서는 보기 어려운 일입니다.
이 유형은 기존 프로세스를 자동화하는 데 그치지 않았습니다. 근본적인 모델을 바꾸었습니다. Vanta 이전에는 감사 3주 전부터 허둥대며 통제 테스트를 했습니다. 공유 드라이브에는 스크린샷이 가득했고, 외부 인력은 시간당 비용을 청구했습니다. Vanta 이후에는 통제가 지속적으로 모니터링되고, 감사는 별도 행사가 아닌 그 과정의 부산물이 되었습니다.
이는 기능 하나가 아니라 실제 사고방식의 전환이었습니다. 시장은 그에 상응하는 보상을 했습니다. 이를 구축한 사람들은 기존 업체가 20년 동안 놓친 부분을 정확히 짚었습니다. 이 점을 기억해 두세요. 뒤에서 다시 다루겠습니다.
그 경계는 내부를 향한다는 데 있습니다. 자사의 보안 상태에 대해서는 많은 것을 알려 주지만, 투자한 회사, 포트폴리오 기업이 결제에 이용하는 거래소, 지난 투자 라운드에서 주주명부에 등장한 사람에 대해서는 아무것도 알려 주지 않습니다.
3. GRC 플랫폼
리스크 등록부, 정책 관리, 통제 라이브러리, 워크플로 엔진, 이사회 보고를 다룹니다. Archer, LogicGate, OneTrust, Hyperproof, Onspring, StandardFusion이 있습니다.
실제 대기업 규모에서는 필요하며, 좋은 제품은 인상적인 기술적 완성도를 갖췄습니다. 400개의 통제, 11개의 프레임워크, 분기별로 회의하는 이사회 리스크 위원회가 있는 규제 대상 기관이라면 기준 기록 시스템이 필요합니다. 그 규모에서는 스프레드시트가 실용적인 선택이 아니게 된 지 오래입니다.
다만 올바른 기대를 갖고 도입해야 합니다. 구축에는 수개월이 걸립니다. 수십만 달러는 일반적입니다. 실제 업무가 플랫폼 운영인 담당자도 필요하므로, 소프트웨어만큼이나 인력에 관한 논의가 됩니다.
그리고 구매자가 약 4개월째에 깨닫는 사실이 있습니다.
GRC 플랫폼은 정보를 담는 그릇입니다. 리스크 정보를 정리하고 전달하며 이사회가 이견 없이 받아들일 자료를 만드는 데 뛰어납니다. 하지만 외부로 나가 리스크 정보를 직접 찾아오지는 않습니다.
여전히 정보를 넣어 줘야 합니다. 플랫폼은 식료품이 아니라 선반입니다. 외부 인텔리전스를 기대하며 GRC를 구매한 기업은 잘 정돈된 빈 방을 산 셈이며, 그 안에 왜 아무것도 나타나지 않는지 의아해하며 거의 1년을 보냅니다. 공급업체의 잘못이 아닙니다. 제품 유형을 잘못 이해한 것이며, 값비싼 오해입니다.
4. 리스크 데이터 제공업체
제재 목록, PEP 데이터베이스, 수십 년간 축적된 부정적 언론 보도 자료, 법인 등기부, 실소유자 기록을 제공합니다. LexisNexis Risk Solutions, Moody’s, Dow Jones, OpenCorporates가 있습니다.
“소프트웨어”라는 말이 은연중에 오해를 일으키므로 이들의 정체를 정확히 짚을 필요가 있습니다. 대부분 데이터 사업자입니다. 입력 자료를 제공합니다. 일부 자료는 대체할 수 없으며, 이 시장의 제대로 된 리스크 제품은 어떤 방식으로든 이들의 데이터 피드를 사용합니다. 당사 제품도 마찬가지이며, 그렇지 않은 척하는 것은 어리석은 일입니다.
이들이 제기하는 질문은 자체 구축과 구매 중 무엇을 선택할지입니다. 엔지니어, 데이터 팀, 명확한 사양이 있다면 데이터 피드 사용권을 구매하고 인텔리전스 계층을 직접 구축할 수 있습니다. 일부 대형 기관이 실제로 그렇게 하며, 그중 몇 곳에는 올바른 선택입니다.
시도하는 대부분의 기업은 문제의 나머지 절반을 과소평가합니다. 데이터 범위를 확보하는 것은 쉬운 부분입니다. 관련성을 판단하는 것이 어려운 부분입니다.
쏟아지는 부정적 언론 보도 언급은 리스크 인텔리전스가 아닙니다. 누군가 떠넘긴 조사 과제이며, 매일 아침 다시 도착합니다. 무엇이 신호이고 잡음인지, 무엇이 제목만 바꾼 어제의 기사인지, 무엇을 금요일 전에 사람이 검토해야 하는지 여전히 누군가는 판단해야 합니다. 이 계층이 업무의 대부분을 차지하며, 데이터 제공업체가 의도적으로 고객에게 맡기는 영역입니다.
5. 온체인 분석
다른 어떤 유형보다 당사 제품과 자주 혼동되는 유형이며, 암호화폐 분야에서는 그 실수의 대가가 큽니다.
Chainalysis, TRM Labs, Elliptic이 있습니다. 지갑 스크리닝, 거래 추적, 위험 노출 점수 산정, 자금 흐름 분석을 수행합니다. 포트폴리오 기업의 자금 관리 주소가 제재 대상 믹서에서 두 단계를 거친 자금을 받았다면, 이 유형의 제품이 이를 알려 줍니다. 그것도 빠르게 알려 줍니다.
지도에서 어디에 놓이는지 보겠습니다. 다른 대상의 활동을 조사하므로 외부 지향적입니다. 체인을 실시간으로 살피므로 지속적입니다. 따라서 정확히 오른쪽 아래 영역에 놓입니다. 그 영역에 처음 보이는 것보다 더 많은 제품이 있다고 한 이유가 바로 이것입니다.
이 제품들은 뛰어납니다. 암호화폐 분야에서는 사실상 필수에 가깝습니다. 오늘날 온체인 스크리닝 없이 운영하는 펀드의 선택을 LP에게 납득시키기는 어렵습니다.
하지만 중요한 차이가 있습니다.
온체인 분석은 지갑과 거래를 살펴봅니다. 이 돈이 어디서 왔고 어디로 가는지에 답합니다.
기업·개인 리스크 인텔리전스는 사람과 기업을 살펴봅니다. 이들이 누구인지, 오프체인에서 무엇을 하는지, 지난 확인 이후 무엇이 달라졌는지에 답합니다.
이 둘은 같은 질문이 아니며 서로 대체할 수 없습니다.
온체인 플랫폼은 포트폴리오 기업의 신임 CFO가 6주 전 싱가포르의 사기 소송에 연루되었다는 사실을 알려 주지 않습니다. 회사가 3월에 법적 소재지를 UAE로 옮기고 이사 두 명을 교체했다는 사실도 알려 주지 않습니다. 지금 프로젝트 지원 창구를 사칭하는 가짜 Telegram 채널 11개가 운영되며, 팀과 대화한다고 믿는 사용자에게서 조용히 돈을 빼돌린다는 사실도 알려 주지 않습니다.
이 중 어느 것도 블록체인에 흔적을 남기지 않습니다. 어느 것도 블록체인에서 일어나는 일이 아닙니다.
반대도 마찬가지입니다. 숨기지 않고 명확히 말할 필요가 있습니다. 당사는 자금 흐름을 추적하지 않습니다. 지갑이 제재 대상에 얼마나 노출되어 있는지 알아야 한다면 온체인 분석이 필요하며, 위에 언급한 3개 기업 중 한 곳에서 구매해야 합니다.
6. 지속적인 기업·개인 리스크 인텔리전스
지도에서 가장 오랫동안 제품이 부족했던 영역입니다.
질문은 이렇습니다. 누군가 마지막으로 실제 확인한 이후, 우리가 위험에 노출된 대상에 어떤 변화가 생겼을까요?
신원 확인 업체처럼 외부를 향합니다. Vanta처럼 지속적으로 작동합니다. 데이터 제공업체가 제공하는 것과 같은 피드를 사용합니다. 온체인 분석과 인접하지만 완전히 다른 대상을 봅니다. 그리고 구조적으로는 이들 어느 유형에도 속하지 않습니다.
3가지 특성으로 정의됩니다. 내부 통제보다 외부 대상을 관찰합니다. 관문에서 한 번 작동하는 대신 기한 없이 실행됩니다. 그리고 이벤트 기반입니다. 90일마다 이미 달라진 세상을 설명하는 보고서를 만드는 대신 변화가 일어날 때 드러냅니다.
Beady AI는 여기에 속합니다. 고객이 이 영역에 관심을 갖는 것이 당사의 이익이라는 점을 분명히 밝힙니다. 하지만 당사 제품을 구매하는지와 관계없이 이 영역은 존재합니다. 그리고 이 영역이 그토록 오래 비어 있었던 이유는 어떤 공급업체의 영업 설명보다 흥미롭습니다.
아무도 공개적으로 짚지 않은 공통 논리
보안 컴플라이언스 공급업체가 실제로 어떤 주장을 했는지 돌아보겠습니다. 지난 15년간 이 시장에서 나온 가장 유용한 말이기 때문입니다.
이들의 주장은 특정 시점의 통제 테스트가 구조적으로 잘못되었다는 것이었습니다. 연례 감사는 10월의 어느 화요일에 통제가 작동했음을 알려 줍니다. 나머지 364일에 대해서는 아무것도 말해 주지 않습니다. 통제 실패는 감사 일정을 확인하고 발생하지 않으므로 통제를 지속적으로 모니터링해야 합니다.
그 주장은 옳았습니다. 여러 대형 기업을 탄생시켰습니다. 이제 보안 분야에서 연례 감사 모델을 진지하게 옹호하는 사람은 없습니다. 한때 옹호했던 사람들도 조용히 공개적인 주장을 멈췄습니다.
이제 같은 문장을 다른 축에 적용해 보겠습니다.
특정 시점의 대상 스크리닝은 구조적으로 잘못되었습니다. 온보딩 실사는 확인한 날에 그 대상에게 문제가 없었다는 사실을 알려 줍니다. 14개월째에 대해서는 아무것도 말해 주지 않습니다. 제재 지정, 기업 구조조정, 소송, 사칭 활동은 분기별 포트폴리오 검토 일정을 확인하고 발생하지 않으므로 외부 리스크를 지속적으로 모니터링해야 합니다.
같은 논리이며 축만 다릅니다. 하지만 아직 이 주장은 제대로 제기되지 않고 있습니다.
그리고 불편하게 받아들여야 할 사실이 있습니다. 앞서 보았듯이 규제상 CMS의 정의는 이미 지속적인 제3자 감독을 요구합니다. 그 의무는 처음부터 계속 존재했습니다. 이 주장은 온보딩을 넘어에서 자세히 다뤘습니다. 이 절에서 압축한 내용을 길게 풀어 쓴 글입니다.
알아채기 어려운 사실도 아닌데 시장이 아직 따라오지 못했다는 점은 여전히 다소 의외입니다. 하지만 하나의 유형이 명확히 인식되기까지는 시간이 걸립니다. 누군가 이름을 붙이기 전까지는 아무도 그에 대한 예산 항목을 만들지 않습니다.
컴플라이언스 소프트웨어가 기업에 실제로 가져오는 변화
유형에 관한 질문 아래에는 더 직접적인 질문이 있습니다. 이것을 구매하면 매일의 업무에서 무엇이 달라질까요?
3가지가 달라집니다. 공급업체는 실현되지 않는 네 번째 변화까지 약속하는 경향이 있으므로, 이 점을 솔직하게 짚을 필요가 있습니다.
업무를 수행하는 사람이 달라집니다. 분석가의 시간을 소모하던 컴플라이언스 업무를 소프트웨어가 처리하고, 분석가는 자료 수집에서 판단으로 역할을 옮깁니다. 이는 실제로 일어나는 변화이며, 이 제품군이 존재하는 주된 이유입니다.
인지 속도가 달라집니다. 문제가 발생한 시점과 누군가 알아차리는 시점 사이의 간격이 줄어듭니다. 때로는 수개월에서 몇 시간으로 줄어듭니다. 실제 가치의 대부분은 여기에 있으며, 가격 페이지에서 가장 표현하기 어려운 부분이기도 합니다.
입증할 수 있는 내용이 달라집니다. LP, 감사인, 대기업 구매자가 리스크 관리 방법을 물으면 말로 설명하는 대신 날짜가 명시된 답을 제시할 수 있습니다.
하지만 달라지지 않는 것도 있습니다. 공급업체가 암시하는 네 번째 변화입니다. 소프트웨어가 컴플라이언스 조직을 만들어 주지는 않습니다. 소프트웨어는 위험 수용 수준을 정하거나 의사결정을 주도하거나 그에 대한 책임을 질 수 없습니다. 조직 내에서 아무도 결과물에 책임을 지지 않는다면, 소프트웨어는 아무 일도 일어나지 않는다는 사실을 아주 잘 정리된 기록으로 만들고 있는 셈입니다.
아무도 가격 페이지에 적지 않는 과제
5가지가 있습니다. 난이도가 같지 않으며, 같다고 말하지도 않겠습니다. 따라서 다루는 분량도 다릅니다.
의무는 계속 늘어나기만 합니다. 새로운 프레임워크, 새로운 관할권, 기존 규칙에 대한 새로운 해석이 생깁니다. 없어지는 것은 없습니다. 인력 규모는 의무의 증가 속도를 따라가지 못하며, 앞으로도 그럴 것입니다.
증빙은 시스템 네 곳과 이메일 받은편지함에 흩어져 있습니다. 수작업으로 모으기는 번거롭습니다. 하지만 실제로 해결된 문제이기도 합니다. 보안 컴플라이언스 업체는 이 문제를 기반으로 제품군을 구축했습니다.
알림 피로. 프로그램을 무너뜨리는 문제입니다.
실제로는 이렇게 진행됩니다. 플랫폼을 설치합니다. 알림이 도착하기 시작합니다. 처음 2주 동안은 새 도구에 대한 기대감이 조금씩 남아 있어 모두가 읽습니다. 6주째가 되면 적중률은 낮은 수준으로 굳어집니다. 알림을 무시해서 누군가 대가를 치른 적도 아직 없습니다. 그 알림 채널은 어느새 건물 관리 이메일과 비슷한 것으로 인식됩니다.
누군가 그렇게 하기로 결정한 것이 아닙니다. 그냥 그렇게 됩니다.
고객이 팀에 주의를 줘서 해결했다고 말한다면 이 부분에는 이견을 제시하겠습니다. 업무 기강의 문제가 아닙니다. 지시로 해결할 수 없습니다. 이러한 행동은 유효한 신호가 적은 피드에 대한 전적으로 합리적인 반응입니다. 유일한 실질적 해결책은 전달되는 내용을 바꾸는 것입니다. 심각도 등급을 정하고, 담당자를 지정하며, 업무를 중단시킬 만한 알림의 수를 훨씬 줄여야 합니다.
제3자는 모두의 사각지대입니다. 업무는 위탁할 수 있습니다. 그 책임까지 위탁할 수는 없습니다. 규제기관은 이를 명시하지만, 대부분의 기업은 여전히 계약 체결 시 마지막으로 갱신한 스프레드시트로 제3자를 감독합니다.
문제가 없었다는 사실의 원인을 입증할 수는 없습니다. 프로그램이 훌륭해서든 운이 좋아서든, 사고 없이 보낸 한 해는 외부에서 똑같이 보입니다. CFO는 둘을 구분할 수 없습니다. 솔직히 담당자도 마찬가지입니다.
마지막 문제가 바로 당사가 불안을 조성하는 통계 페이지를 하나 더 만드는 대신 ROI 모델을 구축한 이유입니다. 파트너들 앞에 수치를 제시한다면 그 수치를 하나씩 따져 보아도 타당해야 합니다.
좋은 컴플라이언스 소프트웨어의 실제 효과
흔한 과장 없이 설명하면 다음과 같습니다.
- 시간 확보. 증빙 수집, 스크리닝, 보고서 작성이 더 이상 분석가의 시간을 몇 주씩 소모하지 않습니다. 가장 측정하기 쉬우면서 가장 자주 과장되는 효과입니다.
- 인지 속도. 사건 발생 시점과 조직 내 누군가가 인지하는 시점 사이의 지연이 크게 줄어듭니다. 탐지 지연은 결과를 실제로 예측하는 지표인데도 거의 아무도 추적하지 않습니다.
- 일관성. 같은 확인 절차를 매번 같은 방식으로 실행합니다. 수작업으로 수행하던 사람이 퇴사했을 때 특히 중요합니다.
- 입증 가능성. 무엇을 언제 알았는지에 대한 날짜와 출처가 명시된 기록입니다. 분쟁에서는 다른 모든 효과를 합친 것보다 가치가 큽니다.
- 예상치 못한 문제의 감소와 비용 절감. 일찍 발견한 문제는 규모가 작습니다. 뻔한 말이지만 경제적 논거의 전부이기도 합니다.
- 기관의 요구에 대한 준비. LP, 대기업 구매자, 은행 파트너는 이 문제를 어떻게 관리하는지 점점 더 자주 묻습니다. 답을 갖추면 영업 주기와 펀드 자금 모집 기간이 줄어듭니다. 컴플라이언스 효과로 포장된 사업상 효과입니다.
목록에 없는 것에도 주목해야 합니다. 컴플라이언스 소프트웨어가 규정 준수를 완성해 주지는 않습니다. 제대로 운영되는 컴플라이언스 프로그램을 더 저렴하고 빠르고 일관되게 만듭니다. 바탕이 되는 프로그램이 없다면 아무것도 없는 상태를 자동화한 셈입니다.
잘못된 사분면에서 구매하면 실제로 벌어지는 일
추상적인 설명은 쉽게 지나치게 됩니다. 당사가 가장 자주 보는 4가지 실패 유형을 소개합니다. 모두 회복할 수 있고 예방할 수 있지만, 어느 것도 비용이 적게 들지는 않습니다.
빈 그릇. 외부 리스크를 드러내 줄 것이라 기대하며 GRC를 구매합니다. 9개월과 상당한 구축 작업을 거친 뒤에도 리스크 등록부에는 누군가 입력한 내용만 담겨 있습니다. 플랫폼은 완벽하게 작동하고 있습니다. 애초에 인텔리전스의 출처가 아니었을 뿐입니다.
온보딩만 하는 펀드. 거래 종결 시에는 훌륭한 실사를 하지만 그 이후에는 아무것도 하지 않습니다. 송금한 날 존재했던 리스크에서는 보호받지만, 그 뒤에 생긴 모든 리스크는 보지 못합니다. 보유 기간이 7~8년에 이른다는 점을 고려하면 대부분의 리스크를 놓치는 셈입니다.
온체인만 보는 암호화폐 펀드. 지갑의 위험 노출은 훌륭하게 모니터링합니다. 창업자 배경, 기업 구조, 사칭 활동은 전혀 모니터링하지 않습니다. 한쪽을 집중적으로 보는 동안 그 뒤에서 다른 쪽이 바뀌는 상황입니다.
쏟아지는 알림. 데이터 피드 사용권을 직접 구매하고 스크리닝 계층을 구축한 기업이 이제 매주 400개의 알림을 받지만 아무도 읽지 않습니다. 기술적으로는 모니터링 범위를 확보했습니다. 실제 기능 면에서는 아무것도 없는 상태와 다를 바 없고 비용은 더 많이 들었습니다.
컴플라이언스 관리 체계 구축 방법과 4가지 실패 지점
대부분의 안내서는 실제로 아무도 그대로 따라 본 적 없는 깔끔한 직선형 절차를 설명합니다. 어디서 무너지는지 아는 편이 더 유용합니다. 실패 지점은 예측 가능하며 대략 4가지이기 때문입니다.
첫 번째 실패 지점: 소프트웨어부터 구매했습니다.
단연 가장 흔한 경우입니다. 누군가 데모를 봅니다. 데모는 실제로 인상적입니다. 구매 부서가 관여하고, 6주 뒤 플랫폼은 있지만 프로그램은 없는 상태가 됩니다.
해결책은 화려하지 않습니다. 공급업체를 한 곳이라도 살펴보기 전에 실제로 구속력이 있는 모든 규칙, 프레임워크, 계약상 약속을 적어 보세요. 그럴듯해 보이는 항목을 적는 것이 아닙니다. 그 목록은 대개 예상보다 짧고 내용도 의외입니다. 당사가 목록을 만들었을 때는 회사 내 누구도 1년 넘게 생각하지 않았던 의무 두 가지가 포함되어 있었습니다. 이 작업만으로도 통화 한 번 하기 전에 후보 공급업체를 대략 절반으로 줄일 수 있습니다. 오후 한나절의 작업으로는 괜찮은 성과입니다.
두 번째 실패 지점: 실제로 책임지는 고위 담당자가 없습니다.
규제 업종 경험이 없다면 알아 둘 필요가 있습니다. 검사관은 컴플라이언스 관리 체계를 평가할 때 이사회와 경영진의 감독을 정책 및 도구와 별개의 요소로 평가합니다. 문서가 훌륭하고 플랫폼 설정이 잘되어 있으며 직원 교육을 마쳤어도 평가를 통과하지 못할 수 있습니다. 명목상 책임자가 구축 회의 이후 아무것도 살펴보지 않았기 때문입니다.
고위 담당자에게 권한과 예산, 조직의 의사결정권자에게 보고할 경로가 필요합니다. 단순히 자원자 한 명을 지명해서는 안 됩니다.
세 번째 실패 지점: 아직 내리지 않은 결정을 자동화합니다.
소프트웨어는 이미 내린 결정을 구현합니다. 정책이 없다면 자동화하는 것은 조직 자체의 불확실성이며, 그것도 대규모로 자동화하는 셈입니다.
정책을 먼저 작성하세요. 절차, 책임 주체, 문제가 생겼을 때의 처리 방침을 명시해야 합니다. 이 글에서 가장 재미없는 문단이며, 저라도 건너뛰고 싶을 것입니다. 바로 그래서 많은 프로그램의 핵심이 비어 있습니다.
네 번째 실패 지점, 그리고 비용이 많이 드는 지점: 제3자입니다.
실패했을 때 자사의 문제가 되는 모든 대상을 파악하세요. 공급업체, 서비스 제공업체, 포트폴리오 기업, 거래 상대방입니다.
대부분의 기업은 계약 체결이나 실사 시 한 번만 수행하고 다시는 하지 않습니다. 규제 관점에서는 이것이 충분하지 않다는 점이 매우 명확합니다. 제3자에 대한 지속적인 감독이 요구되며, 업무를 위탁해도 그 책임까지 위탁되는 것은 아닙니다. 계약 체결 시 만든 뒤 갱신하지 않은 현황도는 감독이 아닙니다. 보관 기록입니다.
그러므로 의식적으로 결정하세요. 정기적으로 할 것인가, 지속적으로 할 것인가? 정기적이라면 그 비용을 구체적으로 파악해야 합니다. 분기별 점검에서는 3주째에 내려진 제재 지정을 11주 동안 알아차리지 못하기 때문입니다.
이 모든 작업을 마친 뒤에야 구매를 시작합니다.
의무를 파악하고 제3자 목록을 작성했다면 도구 선택은 거의 기계적으로 진행됩니다. 증빙 자동화, 기준 기록 시스템, 진입 시 스크리닝, 지속 모니터링 중 무엇이 필요한지, 또는 그중 두 가지가 필요한지 알 수 있습니다.
심각도 등급과 대응 기한을 정해 결과물을 지정된 담당자에게 전달하세요. 팀이 이미 열어 두고 사용하는 도구로 전달해야 합니다. 그리고 아직 약속을 지킬 의지가 충분할 때, 지금 6개월 뒤 검토 일정을 잡아 두세요. 아무도 점검하지 않는 프로그램은 조용히 방향을 잃으며, 그 사실을 스스로 알려 주지 않기 때문입니다.
실제로 필요한 유형의 선택
솔직하게 답해야 합니다. 잘못된 사분면에서 구매하면 비용이 많이 들고, 이를 깨닫기까지도 오래 걸립니다.
대기업에 판매하며 SOC 2 또는 ISO 27001이 필요하다면 Vanta, Drata, Sprinto를 찾아가세요. 진심으로 권합니다. 이 글도 당사도 그 요구를 위한 대상은 아닙니다.
리스크 기준 기록 시스템, 정책 관리, 이사회 보고가 필요한 대규모 조직이라면 GRC가 맞습니다. LogicGate, Archer, OneTrust가 있습니다. 저렴하지 않고 구축도 빠르지 않으므로 그에 맞게 예산을 잡으세요.
규제 대상 절차 안에서 가입 시 사용자나 기업을 확인한다면 신원 확인이 맞습니다. Sumsub와 유사 업체가 해당하며, 예상보다 빠르게 운영을 시작할 수 있도록 해 줄 것입니다.
암호화폐 자금이 어디서 왔고 어디로 갔는지 알아야 한다면 온체인 분석이 맞습니다. Chainalysis, TRM, Elliptic이 있습니다. 대체재는 없으며, 다른 것으로 대체하려고 해서는 안 됩니다.
자체 스크리닝 계층을 구축하고 원천 데이터 피드가 필요하다면 중간 단계를 건너뛰고 데이터 제공업체를 직접 찾아가세요. 직접 구축해야 할 관련성 판단 계층의 비용도 현실적으로 예산에 반영하세요.
관계가 시작된 이후 리스크가 발생하는 외부 대상에 노출되어 있습니까? 포트폴리오 기업, 거래 상대방, 이미 투자한 창업자입니다. 여섯 번째 유형에 해당합니다. 아무도 제안하지 않았던 유형이기도 합니다. 비교적 최근까지는 아무도 판매하지 않았기 때문입니다.
대부분의 기업에 필요한 두세 가지 유형
공급업체가 말하기 꺼리는 부분이므로 여기서 분명히 하겠습니다.
이 유형들은 대체재가 아니라 보완재입니다. 제대로 된 리스크 관리는 대개 한 번에 둘 이상의 유형을 사용합니다.
현실적으로 어느 규모의 암호화폐 펀드든 온체인 분석과 기업·개인 리스크 인텔리전스가 모두 필요합니다. 두 유형은 다른 영역을 살피며 서로의 영역을 보지 못하기 때문입니다. 핀테크 기업은 진입 단계에서 신원 확인을, 그 이후에는 지속 모니터링을 해야 합니다. 고객을 한 번 확인해도 이후 어떤 상태가 되었는지는 알 수 없기 때문입니다. 규제 대상 기관에는 GRC 기준 기록 시스템과 그 안에 실제로 정보를 넣어 주는 도구가 필요합니다.
단일 제품으로 지도 전체를 다룬다고 말하는 업체는 지도를 잘못 이해하고 있거나, 구매자가 잘못 이해하기를 바라는 것입니다.
컴플라이언스 소프트웨어의 미래: AI, 예측, 출처 추적 문제
이제 당사를 포함해 이 시장의 모든 공급업체가 홈페이지에 AI를 내세웁니다. 따라서 실제 기능과 장식에 불과한 것을 구분할 필요가 있습니다.
실제 기능은 관련성 판단 계층입니다. 컴플라이언스의 진짜 병목은 데이터를 확보하는 일이 아니라 그중 무엇이 중요한지 판단하는 일이었습니다. 언어 모델은 뉴스 기사 1만 건을 읽고 실제 관심 대상과 관련된 네 건을 찾아내는 데 매우 뛰어납니다. 팀이 읽지 못하는 언어로, 아무도 들어 본 적 없는 지역 매체에 실린 기사도 찾아냅니다. 5년 전에는 없던 능력이며, 모니터링의 경제성을 완전히 바꿉니다.
실제 기능이지만 과장되는 것은 예측 분석입니다. 제안의 요지는 AI가 어느 거래 상대방이 문제가 될지 사전에 알려 준다는 것입니다. 일부는 효과가 있으며, 특히 대상 간 패턴 탐지가 그렇습니다. 하지만 상당수는 확신에 찬 말투로 결과를 내놓는 상관관계 엔진입니다. 위험한 부분은 그 확신에 찬 말투입니다.
이제 업계가 머지않아 반드시 직면해야 한다고 생각하는 문제로 이어집니다.
출처를 보여 주지 못하는 AI 생성 리스크 보고서는 자산이 아니라 부담입니다. 모델이 부정적 언론 보도 검색 결과를 요약했는데 미묘하게 틀렸다면, 환각에 근거해 결정을 내렸으면서도 이를 알아낼 방법이 없습니다. 더 나쁜 점은 권위 있어 보이는 문서가 내부 파일에 남는다는 것입니다.
근거를 제시할 수 있는 유일한 방식은 모든 신호를 사람이 열고 읽고 검증할 수 있는 1차 출처로 추적할 수 있게 하는 것입니다. 모델의 역할은 필터링과 우선순위 설정이지, 믿음의 대상이 되는 것이 아닙니다. 검사관이 결론의 출처를 물었을 때 “AI가 그렇게 말했습니다”라고 솔직히 답해야 하는 순간이 오기 전까지는 이 구분이 지나치게 세세하게 들릴 수도 있습니다.
당사는 출처를 추적할 수 있는 방식으로 구축합니다. 이는 윤리적 입장인 동시에 사업적 입장입니다. 하지만 당사를 포함해 이 시장의 모든 공급업체에 이 기능을 요구해야 합니다. 답은 설명 문단이 아니라 링크여야 합니다.
자주 묻는 질문
컴플라이언스 관리 체계는 그 업무를 만든 사람이 퇴사해도 계속 운영되도록 하는 구조입니다. 노력 자체가 아니라 구조입니다.
소프트웨어는 체계 안에 있습니다. 체계 자체는 아닙니다. 소프트웨어를 체계 자체인 것처럼 구매하는 기업은 대개 약 6개월 뒤, 보통 감사 중에 그 차이를 알게 됩니다.
결론
“컴플라이언스 소프트웨어”라는 표현이 살아남는 이유는 정확해서가 아니라 편리해서입니다. 아마 같은 이유로 앞으로 10년은 더 살아남을 것입니다. 분석가들은 서로 관련 없는 6가지 사업을 하나의 차트에 넣는 사분면을 계속 그릴 것입니다.
하지만 처음부터 유용한 질문은 아니었습니다. 무엇을 구매해야 하는지 실제로 결정하는 유용한 질문은 더 작고, 조금 더 답하기 불편합니다.
우리는 무엇을 보려고 하며, 얼마나 자주 보아야 합니까?
솔직하게 답하면 구매가 훨씬 쉬워집니다. 잘못 답하면 처음부터 어느 사분면에 있었는지 알아내는 데 수십만 달러를 쓰게 됩니다.
답이 오른쪽 아래 영역에 해당한다면 그곳이 당사가 다루는 영역입니다. 제재 목록, 부정적 언론 보도, 법인 등기부, 소셜 미디어 사칭 전반에서 포트폴리오 기업, 창업자, 거래 상대방을 지속적으로 모니터링하며, 모든 신호를 원래 출처로 추적할 수 있습니다. 상담을 예약하면 데모용 데이터 대신 실제 보유 자산을 대상으로 실행해 드립니다.
