내부 점검(감사) 독립성 확보 및 결함 이행 재검증 쟁점

핵심 판단

관리체계 점검(내부감사)이 피점검 조직으로부터 독립적으로 수행되고, 발견된 결함의 재발방지·근본원인 조치와 이행 결과 재검증(폐쇄 확인)이 이루어지는지가 핵심이다.

배경

자기 부서를 자기가 점검하거나, 결함을 '조치완료'로만 표기하고 실제 이행·유효성 검증이 없는 경우가 결함으로 지적된다.

주요 쟁점 및 심사 포인트

• 점검 주체의 피점검 조직 대비 독립성 확보 여부
• 결함 근본원인 분석·재발방지 대책 수립 여부
• 조치 완료의 실효성 재검증(폐쇄 확인) 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 1.4.2 관리체계 점검
• 1.4.3 관리체계 개선
• 2.2.2 직무 분리

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보의 안전성 확보조치 기준」 제4조(내부 관리계획의 수립·시행 및 점검)
  • 연 1회 이상 점검·개선 의무 → 점검의 실효성·독립성 요구.
• (참고) 관리체계 점검·개선은 ISMS-P 인증기준 직접 요건
  • 1.4.2/1.4.3이 직접 근거.

참고 가이드

• ISMS-P 인증제도 안내서(KISA) 사후관리 부분
• 「금융권 ISMS-P 점검항목 안내서」 1.4

심사 시 확인사항 (증적)

• 점검 계획·수행 조직도(독립성) 및 점검 결과보고서
• 결함 관리대장(원인·대책·기한·이행증적)
• 이행 재검증 결과 및 폐쇄 승인

주요 결함 사례

운영부서가 자체 시스템을 스스로 점검하고, 다수 결함을 이행 증적 없이 '조치완료'로 종결 처리함.

보완 대책

1. 점검 수행 주체를 피점검 조직과 분리하고 외부 검증 병행
2. 결함 근본원인 분석·재발방지 및 이행 재검증(폐쇄) 절차 도입

연관 쟁점

• [ISSUE-005] CISO/CPO 법정 지정·겸직 제한 및 직무 상충 통제 쟁점
• [ISSUE-042] CISO·경영진 정기 보고 및 이사회 의결 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)