정보화경영체제(IMS) 인증규격
0. 서문
정보화 기술의 발달로 인해 사회구조가 지식.정보화 기반사회로 점차 변화해 감에 따라 조직도 정보화를 통한 생산성과 효율성을 증진하는데 관심이 높아지고 있다.
과거 조직에서의 정보화 도입방식은 주로 부무별로 도입한 정보시스템에 대한 감리와 통제를 통해 적합성을 검토하여 왔으나, 점차 조직에서 정보화가 차지하는 비중이 증대됨에 따라 시스템 각각에 대한 감리와 통제만으로 지식.정보화를 조직의 경영목표에 적합하도록 유지하는데는 부족하다.
따라서 조직의 종합적인 경영체제 내에서 전체 경영활동과 통합되고 융화될 수 있도록 정보화 경영의 도입이 필요하며, 조직의 전략적인 측면이나 사회.경제적인 요구들을 포함하는 포괄적인 문제를 고려하여 지식.정둁보화 촉진과 경영혁신을 달성하는 것이 바람직하다.
정보화 경영체제는 정보화 경영에 필요한 요건을 정의하고 조직은 이 요건을 만족할 수 있도록 지속적으로 관리함으로써 조직의 지식.정보화 수준을 향상하고 유지할 수 있도록 지원하는 것이다.
정보화 경영체제의 규격은 이러한 정보화경영에 필요한 요건과 요건 항목별 요구사항을 정의하고 있으며, 이 규격은 기본적으로 특정한 조직의 형태나 크기, 업무처리형태, 의사결정 방법에 제약을 받지 않는다. 예를들어 유사한 성격의 활동을 행하는 두 조직이 지식.정보화 수준과 성과가 서로 차이가 있음에도 불구하고 두 조직모두가 규격의 요건을 만족할 수가 있는 것이다.
정보화경영체제의 접근을 위한 기본모형은 그림1에 도시되어 있다.
그림 1. 정보화경영체제(IMS) 접근의 기본모형
이 규격은 인증이나 자체선언의 목적으로 객관적인 심사가 가능한 요건들만을 담고 있으므로 조직은 이 규격의 성공적인 이행을 통해 적절한 정보화경영체제가 유지하고 있다는 사실을 이해관계자들에게 보증할 수 있다.
체계적인 방법으로 지식관리기술 및 정보기술을 채택하여 시행하는 경우 조직과 이해관계자에게 최대한이익을 가져다 줄 수 있으나 이 규격의 채택 그 자체가 최적의 정보화 수준과 경영혁신을 보증하지는 않는다. 따라서 조직은 정보화경영체제의 채택과 함께 정보화 목표달성을 위해 경제적으로 이용 가능한 최선의 기술을 사용하도록 고무되어야 하며 기술투자에 따른 비용측면의 효과성도 고려되어야 한다.
이 규격은 품질경영체제 규격인 ISO9000시리즈 및 환경경영체제 규격인 ISO14000시리즈와 같이 일반적인 깅업경영체제의 원칙을 준수한다. 그러나 경영체제의 다양한 요소들을 동시에 적용할 때는 상이한 규격 목적과 이핵관계자로 인해 적용이 곤란할 수도 있다는 점을 유의해야 한다.
정보화경영을 품질 및 환경경영과 동시에 추구할 때는 품질과 환경이 조직경영의 궁극적인 목적달성을 다루는 것에 비해, 정보화는 이핵관계자 요구와 경영목적 달성을 위한 퉷율적인 수단에 관한 사항이라는 점을 고려하여야 한다.
정보화경영체제를 위한 기초로서 조직 내 현존하는 경영체제의 사용을 고려할 수 있으며, 경우에 따라서는 그들을 채택함으로서 요건을 만족할 수도 있다.
1. 적용범위
이 규격은 조직에 영향을 미치는 경영환경을 고려하면서 정보화경영 방침 및 목표를 설정할 수 있도록 정보화경영체제의 요건을 규정함을 목적으로 한다.
이 규격은 조직에서 관리가 가능하고 어떤 영향을 줄 수 있다고 예측되는 정보화 요소들에 적용된다.
이 규격이 적용되는 경우는 다음과 같다.
가. 정보화경영체제를 도입하여 유지.개선하고자 할 때
나. 조직이 정한 정보화 방침과 적합성을 스스로 확인하거나 적합성을 다른 사람에게 증명하고자 할 때
다. 외부기관이나 제3자로부터 정보화경영체제에 대한 인증둁을 획득하려고 할 때
라. 이 규격에 대한 적합?성을 자체 확인하고 선언하고자 할 때
이 규격에 규정된 모든 요건은 어떠한 정보화경영체제에도 적용할 수 있으나 적용의 정도는 조직의 방침, 활동내용 및 경영여건 등의 여러 가지 요건에 d의해 좌우된다.
따라서 본 규격의 적용을 위한 범위가 사전에 분명하게 파악되어야 한다.
이 규격의 요건적용둁[ 대한 참고지침은 부속서 A에 나타나 있다.
2. 용어의 정의
이 규격의 목적을 위해 다음과 같이 정의한다.
2.1 조직
자체기능과 행정을 가진 회사, 법인, 상사, 기업, 공공기관, 또는 이들의 연합체나 부분으로서 주식회사 형태이든 아니든, 공영체이든 사영체이든 무관하다.
비고. 한 개 이상의 운영단위를 갖는 조직에 대해 단일 운영단위가 조직으로 규정될 수 있다.
2.2 이해관계자
조직의 성과에 의해 영향을 받거나 성과와 관련된 개인과 그룹을 말한다.
2.3 정보화
정보통신기술을 활용하여 조직경영ㅗ지식ㅗ자원의 효율화를 달성하도록 전환 또는 개선하는 활동을 말한다.
2.4 정보시스템
조직이 수행하는 업무, 지식 및 관련 정보를 전산화한 체계로 소프트웨어, 하드웨어 및 통신망, 데이터베이스, 관련 인력 등 일체를 포괄한다.
2.5 정보화경영
조직의 경영방침 및 목표를 효율적으로 달성하기 위해 추진하는 정보화의 계획, 도입, 운영, 평가 및 개선을 위해 관리하는 것을 말한다.
2.6 정보화경영체제
정보화에 의한 경영관리를 위해 필요한 방침과 목표를 정하고 이의 달성을 위한 조직, 책임, 절차의 마련과 인적, 물적 자원을 배분한 후 전사적으로 체계 있게 관리하는 경영활동을 말한다.
2.7 문서
각종 보고자료, 대내외 공문서, 현황보고서 등 조직의 경영활동에서 발생되는 정보와 지식을 정형화된 형태로 양식화하여 표현한 것을 말하며, 문서의 수록매체는 일반 종이 또는 전자매체 등 다양하다.
2.8 기록
달성된 결과 또는 수행된 활동의 증거를 명시하는 문서
2.9 정보
조직의 생산 및 판매, 운영관리, 경영의사결정 등에 필요한 동향, 추세, 측정, 분석, 소식, 지식 등을 말한다.
2.10 자료
정형화 또는 비정형화된 형태로 어떤 매체에 기록된 것을 말한다.
2.11 전자자료
정보시스템에 의해 처리되어 기록된 자료나 소프트웨어 등을 말한다.
2.12 정보화책임자(CIO: Chief Information Officer)
조직의 정보화 추진을 위한 경영자 대리인을 말한다.
2.13 프로젝트
조직이 정보화경영 목표를 달성하기 위한 구체적인 단위 정보화사업을 말한다.
3. 정보화경영 방침
최고경영자는 다음 사항을 보장하는 조직의 정보화경영 방침을 설정하여야 한다.
가. 조직의 규모와 활동, 제품 및 서비스의 특성에 적합할 것
나. 정보보호를 포함하여, 정보기술의 발전방향 및 주변환경의 변화가 반영되어 있을 것
다. 지속적인 정보화경영에 대한 지원 및 개선.확장에 대한 의지가 포함될 것
라. 조직을 통해 전달되고, 이해되며, 실행될 것
마. 필요시 이해관계자에게 이용 가능하게 하고 지속적인 적합성에 대하여 검토할 것
4. 계획
4.1 정보화경영 목표
조직은 정보화경영 방침에 따른 측정 가능한 목표를 수립하고 이행하여야 하며, 이러한 목표는 정보화경영에 따른 효과 및 조직의 경영목표에 대한 기여를 평가하는 척도로 관리되어야 한다.
조직이 정보화경영 목표를 수립할 때는 조직의 경영 환경, 조직의 기술적 대안, 조직의 재정, 샹산 및 영업상의 여건과 고객의 견해를 검토하여야 한다.
조직이 수립한 정보화경영 목표는 정보화경영 방침을 충족할 수 있도록 설정하여야 하며 정보화경영을 통한 경영혁신의지를 포함하여야 한다.
4.2 정보화경영 전략계획
조직은 정보화경영 목표를 달성하기 위하여 정보화경영 전략계획을 수립하고 이행하여야 한다.
정보화경영 전략계획에는 주요 정보화 프로젝트, 목표, 일정계획, 소요자원 등의 달성수단과 책임의 지정 등이 포함되어야 한다.
정보화경영 전략계획은 문서화되어야 하며 주기적으로 검토, 보완 및 승인되어야 한다.
4.3 조직, 권한 및 책임
조직은 정보화경영을 효과적으로 추진하기 위해 정보화를 주관하는 조직 및 구성원과 과?련된 인원에 대한 역할, 권한 및 책임을 규정하고 문서화하여야 한다.
최고경영자는 정보화경영체제의 실행과 관리에 필요한 자원제공을 보장하여야 한다.
조직의 최고경영자는 부여된 다른 직무와는 무관하게 다음 사항을 이행하는 정보화 책임자를 지정하여야 한다.
가. 정보화경영체제 요건이 이 규격에 따라 수립, 실행되고 유지됨을 보장
나. 정보화경영체제의 개선을 위한 의사결정자료로 활용할 수 있도록 최고경영자에게 정보화경영체제의 성과를 보고
다. 경영자를 포함하여 조직내부 및 외부와의 의사소통
4.4 교육훈련
조직은 정보화경영 rrhksfus 교육훈련의 필요성을 파악하고 정보화경영에 영향을 미칠 수 있는 업무를 담당하는 모든 계층과 기능이 교육훈련을 받을 수 있도록 문서화된 절차를 수립하여야 한다.
정보화경영에 중대한 영향을 야기할 수 있는 업무를 수행하는 인원은 관련된 교육훈련, 경력, 학력 및 기능에 대해 기본적인 자격을 갖추어야 한다.
관련된 조직의 인원은 정보화경영체제를 운영하기 위한 역할, 이점 및 이로 인한 영향을 인식하도록 하여야 한다.
조직이 교육훈련계획을 수립할 때는 다음과 같은 사항을 포함하여야 하며, 교육훈련의 계획 및 이행결과는 기록하여야 한다.
가. 교육훈련 요구사항
나. 교육훈련의 인원, 시기 및 방법
다. 교육훈련 이행 및 성과평가
조직은 모든 계층이 자발적으로 정보화경영에 참여할 수 있도록 동기부여 하여야 한다.
4.5 정보화경영체제 문서화
조직은 문서의 형태로 다음 사항에 대한 정보를 수립하고 유지하여야 한다.
가. 정보화경영체제의 요구사항을 실행하기 위한 운영내규
나. 정보화경영체제 요구사항간 상호관계 및 관련 하부 문서화에 대한 방향 제시
비고. 문서의 매체는 어떠한 형태나 유형이 될 수 있다.
5. 도입 및 확장
5.1 프로젝트 관리
조직은 정보화경영 전략계획에 명시된 개별 프로젝트에 대한 계획 및 실행, 평가 등 추진상태를 추적하고 관리하기 위한 문서화된 절차를 수립하고 이행하여야 한다.
프로젝트의 계획에는 다음과 같은 내용이 포함되어야 한다.
가. 세부목표 및 추진일정, 소요자원, 의사소통, 구매 및 계약관리
나. 프로젝트의 수행에 대한 책임의 지정
해당되는 경우, 프로젝트의 진행에 따라 변경관리가 되어야 한다.
프로젝트의 전체 또는 일부는 외부의 구매 및 용역으로 추진할 수 있으며, 필요한 경우 외부 전문가의 기술자문을 요청할 수 있다.
5.2 업무분석
조직은 정보화 대상에 대한 업무분석을 실시하여야 하며 이때는 업무와 관련된 관계 부서의 의견이 충분히 반영될 수 있도록 고려하여야 한다.
업무분석 결과서에는 다음과 같은 내용이 포함되어야 한다.
가. 정보화를 적용하고자 하는 업무의 내용 및 범위
나. 현재 수행업무의 분석
다. 사용자 측면의 요구기능 및 업무관리체계, 업무흐름도, 입출력 양식 등의 요구사항
다. 관련 표준 및 운영환경
업무분석 결과서는 적절성을 검토하여야 한다.
5.3 계약 및 구매
조직은 정보시스템의 도입 및 확장, 운영을 위한 계약 및 구매, 용역관리에 대한 문서화된 절차를 수립하고 이행하여야 한다.
조직은 업무분석의 결과를 적절하게 수행할 수 있는 적합한 공급자를 평가하고 선정하기 위한 절차와 기준을 정하여야 한다.
계약 및 구매문서는 조직 요구사항의 적절성을 보장할 수 있도록 필요한 정보를 포함하여야 한다.
5.4 정보시스템 개발
조직은 정보시스템을 개발하거나 개발을 의뢰하는 문서화된 절차를 수립하고 이행하여야 한다.
정보시스템의 개발절차에는 다음과 같은 내용이 포함되어야 한다.
가. 설계, 구현, 설치 및 시험 등 개발단계 및 이의 관리통제방법
나. 개발 단계별 검증과 개발결과에 대한 품질보증방법
5.5 운영시험
조직은 도입 및 확장에 의해 획득된 정보시스템에 대한 시험가동, 인수시험, 최종평가 등 운영시험에 대한 절차를 수립하고 이행하여야 한다.
절차를 수립하고자 할 때는 다음과 같은 내용을 고려하여야 한다.
가. 시험가동 및 운영자 교육방법
나. 시험가동기간
다. 최종 결과물의 종류
라. 인수시험 방법 및 적합성 판정기준
마, 운영 및 유지보수의 실현가능성
6. 운 영
6.1 운영관리
조직은 정보화경영 방침 및 목표와 관련된 중요한 정보시스템의 운영 및 활동을 파악하여야 한다. 조직은 규정된 조건하에서 운영과 활동이 수행된다는 것을 보증하기 위한 활동계획을 수립 및 이행하고 유지하여야 하며, 이의 보증을 위해 다음 사항을 고려하여야 한다.
가. 조직의 정보화경영 방침 및 목표에 부적합한 사태의 발생 방지를 위한 절차의 수립
나. 정보시스템의 세부운영방침 수립
조직은 정보시스템 운영에 대한 주기적인 측정 및 평가결과를 기록·유지하여야 한다.
6.2 의사소통
조직은 효율적인 정보화경영을 위하여 정보통신매체의 이용을 포함한 다음과 같은 절차를 수립하고 이행하여야 한다.
가. 조직내의 여러 기능과 계층간의 의사소통
나. 외부 이해 관계자로부터의 관련 의사소통에 의한 접수, 문서화 및 회신
조직은 정보화경영에 대한 중대한 외부의사소통 과정 및 조직의 결정 사항들을 기록해야한다.
6.3 문서 및 자료관리
조직은 내부 및 외부에서 발생되는 기술동향, 조사평가, 의사소통 등에 대한 중요한 정보를 수집, 보관, 공유를 통해 신속한 의사결정에 반영될 수 있도록 필요한 절차를 마련하여야 한다.
조직은 정보를 정형화하여 체계적으로 관리하기 위한 각종 문서의 작성, 식별, 유지, 조회를 가능하도록 하기 위한 문서화된 절차를 수립하고 이행 및 유지하여야 한다.
조직은 문서가 다음과 같은 요구사항을 만족하도록 보장하여야 한다.
가. 문서는 수시 또는 정기적으로 검토하여 항상 최신의 것으로 유지될 수 있도록 개정, 승인, 전파하여야 한다.
나. 문서는 파손, 훼손, 손실로부터 보호되어야 한다.
다. 적정 승인권자에 대한 검토·개정·승인 등의 책임 설정
조직은 컴퓨터의 보조기억장치에 저장되는 전자자료의 보관 및 활용을 위한 문서화된 절차를 수립하고 이행하여야 한다.
조직은 정보화경영과 관련된 기록의 식별 유지 및 폐기에 관한 문서화된 절차를 수립하고 유지하여야 한다. 이러한 기록에는 교육훈련기록과 정보화경영체제 감사 및 경영검토 기록이 포함되어야 한다.
6.4 유지보수
조직은 정보시스템의 안정된 운영을 위하여 다음의 내용을 포함하여 문서화된 절차를 수립하고 이행하여야 한다.
정기적인 예방점검을 실시하여야 하며, 문제 발생 시는 신속히 복구조치를 하여야 한다. 조직은 이를 위해 다음과 같은 사항을 조치하여야 한다.
가. 책임 및 권한의 지정
나. 정기적인 예방점검 및 문제에 대한 복구조치
다. 유지보수 요청에 대한 접수·처리 방법
라. 외부 위탁관리절차
마. 운영자료의 백업 관리
6.5 보안 및 비상조치
조직은 정보보호에 대한 정보화경영 방침을 근간으로 외부로부터의 정보접근에 대한 통제를 위해 보안책임자를 지명하여야 하며, 다음과 같은 보안에 대한 대책을 수립하고 이행하여야 한다.
가. 수록자료 및 업무별 접근 권한과 범위의 제한
나. 통신망 불법침입에 따른 자료유출 및 훼손
다. 시스템의 직접 접근을 통한 자료유출 및 훼손
라. 보안이 노출되었을 때의 긴급복구 및 처리대책
조직은 천재지변, 예기치 않은 사고 또는 돌발상황의 발생으로 입을 수 있는 피해를 최소화하기 위해 비상계획서를 수립하여야 하며, 비상계획서에는 다음과 같은 사항들이 포함되어야 한다.
가. 비상사태의 유형을 예측하고 조치하는 절차의 수립
나. 화재, 정전 등 정보시스템의 정상적인 운영에 지장을 주는 사고발생에 대한 대책
다. 시설, 시스템, 자료의 파괴 또는 손상시의 복구대책
라. 정보시스템이 집중 설치된 장소에 대한 필요시 통제구역 설치 및 출입자 통제
마. 비상조치 및 안전관리에 대한 주기적인 예방교육 실시
조직은 특히 사고나 비상사태가 발생한 후에 비상계획을 검토하고 필요하다면 수정하여야 한다. 조직은 이러한 절차의 실행 가능성을 주기적으로 검증하여야 한다.
7. 점검 및 시정 조치
7.1 감시와 성과측정
조직은 정보화경영체제에 중요한 영향을 미칠 수 있는 운영과 활동의 주요 특성에 대한 정기적인 감시 및 정보화경영체제 운영에 대한 성과측정을 위한 문서화된 절차를 수립하고 이행하여야 한다.
조직의 정보화 목표와 세부목표에 대한 적합성, 운영관리상태 등을 추적, 확인하고 측정결과는 기록하여야 한다.
7.2 부적합 조치 및 개선
조직은 부적합으로 인해 발생되는 모든 영향을 완화하기 위한 행동으로 부적합 사항을 조사하며, 시정하거나 시정조치하기 위한 책임과 권한을 규정하는 문서화된 절차를 수립하고 유지하여야 한다.
조직은 실제 또는 잠재적인 부적합사항의 원인을 제거하기 위해 취해지는 모든 시정조치나 예방조치는 문제의 정도에 적절해야 하고 발생한 정보화 영향에 상응하여야 한다.
조직은 시정조치 및 개선내용을 토대로 모든 절차상의 변경사항을 이행하고 기록하여야 한다.
7.3 정보화경영체제 감사
조직은 다음 사항을 명확히 하기 위하여 수행하는 정기적인 정보화경영체제 감사를 위한 추진절차와 계획을 수립하고 이행하여야 한다.
가. 정보화경영체제가 다음 사항을 만족하는지의 결정
(1) 이 규격의 요건을 포함하여 정보화경영 전략계획과의 적합성 여부
(2) 정보화경영체제의 적절한 이행 및 유지 여부
나. 최고경영자에게 감사결과에 대한 결과보고
감사일정을 포함한 감사추진계획은 관련된 활동의 중요성과 과거의 감사 결과를 바탕으로 수립되어야 한다.
감사에는 감사 실시와 결과보고에 대한 요건 및 책임, 감사의 범위와 주기, 방법을 포함하여야 한다.
7.4 정보화경영체제 경영검토
조직의 최고경영자는 정보화경영체제의 지속적인 적합성 및 효과성을 보장하기 위해 정기적으로 정보화경영체제를 검토하여 문서화하여야 한다.
경영 검토에서는 정보화경영체제 감사결과와 변화된 주변여건, 부적합 시정조치내용, 지속적인 개선에 대한 의지를 감안하여 정보화 방침, 목표 및 정보화경영체제 요소의 변경 필요성을 고려하여야 한다.
또한 경영 검토에서는 경영자가 이러한 평가를 수행하는 데 필요한 정보가 수집ㅗ전달되는지를 확인하여야 하며 이러한 검토결과는 기록되어야 한다. |
|
