감사 담당자를 위한 process mining

감사 담당자를 위한 process mining: 실제 업무 흐름 확인

완료된 케이스의 이벤트 데이터를 승인된 프로세스 모델과 비교합니다. 편차를 찾고, 관련 케이스 이력을 살펴보며, 검토용 증거를 내보낼 수 있습니다. 이 분석은 감사 업무를 지원하지만 감사 담당자의 판단을 대체하거나 규정 준수를 인증하지는 않습니다.

process mining으로 어떤 증거를 얻을 수 있나요?

적합성 검사는 기록된 프로세스 실행을 사용자가 정한 기준과 비교합니다. 결과를 통해 예상 경로를 따른 케이스와 차이가 발생한 케이스를 확인할 수 있습니다. 모든 케이스를 일일이 재구성하는 대신, 프로세스 적합성 증거를 바탕으로 예외 검토에 집중할 수 있습니다.

증거는 제공한 이벤트 데이터와 프로세스 기준에 따라 달라집니다. 기록된 활동과 정의된 통제의 차이만으로는 그 이유를 알 수 없으며 통제가 실패했다고 입증할 수도 없습니다. 결과의 의미는 감사 담당자가 판단합니다.

Process Mining이 적합성 검사에 어떻게 활용되는지 알아보기.

발견 사항을 원본 케이스까지 어떻게 추적하나요?

분석에서 편차를 찾아 관련 케이스의 프로세스 이력을 확인합니다. 요약된 발견 사항에서 해당 케이스의 기록된 이벤트로 이동한 뒤, 발생 순서와 시점을 맥락에 맞게 검토합니다.

결과를 쉽게 검토하려면 내보낸 자료에 관련 케이스 식별자와 원본 기록을 포함합니다. 실행 내역을 원본까지 추적하는 데 필요한 활동 기록, 타임스탬프, 케이스 참조 정보가 이벤트 데이터에 있어야 합니다.

무엇을 내보내고 어떤 자료를 함께 보관해야 하나요?

편차를 검토한 뒤 발견 사항과 뒷받침하는 증거를 감사 파일로 내보냅니다. 승인된 프로세스 모델, 검사 범위와 기간, 분석에 사용한 원본 데이터의 참조 정보와 함께 보관하세요.

이러한 맥락이 없으면 편차 목록을 제대로 평가하기 어렵습니다. ProcessMind는 검토에 필요한 증거를 제공하며, 감사에 충분한지는 사용자가 판단합니다.

예외를 어떻게 기록하고 평가해야 하나요?

편차는 기록된 실행 내역과 비교 대상 프로세스 모델 간의 차이입니다. 활동이 생략되거나 순서가 예상과 다르거나, 정의된 경로에서 벗어난 사례일 수 있습니다.

예외, 케이스 증거, 평가 결과를 각각 구분해 기록합니다. 분석을 통해 변형을 찾고 조사할 수 있지만, 예외가 정당한지, 통제 위반인지, 규정 준수 문제인지는 판단할 수 없습니다. 이를 평가하려면 감사 담당자의 판단과 조직의 관련 맥락이 필요합니다.

적합성 검사는 어떻게 진행하나요?

1. 프로세스와 통제 관련 질문을 정합니다. 검사하려는 항목과 대상 기간, 승인된 프로세스 기준을 정의합니다.
2. 이벤트 데이터를 준비합니다. 실행 내역을 원본 케이스까지 추적하는 데 필요한 케이스 식별자와 활동 기록을 포함합니다.
3. 실행 내역을 기준과 비교합니다. 적합성 검사를 실행하고 확인된 편차를 검토합니다.
4. 예외를 조사합니다. 관련 케이스 이력을 열고 원본 기록을 확인한 뒤 평가 결과를 문서화합니다.
5. 증거를 내보냅니다. 검토를 위해 발견 사항, 케이스 참조 정보, 프로세스 모델, 검사 범위를 함께 보관합니다.

프로세스 기준을 정의하고 유지하는 방법은 프로세스 거버넌스 가이드에서 확인하세요.

실무에서 적합성 검사는 어떻게 진행되나요?

승인된 프로세스에서 지급 전에 요청 접수, 검토, 승인이 필요하다고 가정해 보겠습니다. 이 순서를 모델링한 다음 완료된 케이스의 이벤트 데이터와 비교합니다.

분석 결과, 승인 전에 지급이 기록된 경우처럼 기록된 활동이 모델과 다른 케이스를 찾을 수 있습니다. 케이스 이력을 살펴보고 발견 사항을 원본 기록까지 추적하세요. 그런 다음 해당 순서가 통제 예외, 데이터 문제, 승인된 변형 중 무엇에 해당하는지 평가하고 검토를 위해 결론을 문서화합니다.

결과는 프로세스 적합성에 관한 증거이며, 자동으로 규정 준수 여부를 판단하지 않습니다.

process mining은 감사 준비에 어떻게 도움이 되나요?

Process mining을 사용하면 수작업으로 선정한 표본에만 의존하지 않고, 분석 가능한 여러 케이스에서 편차를 찾을 수 있습니다. 결과를 바탕으로 조사 범위를 정하고, 케이스 이력에 따라 증거를 정리하며, 다른 기간을 검토할 때 같은 검사를 반복할 수 있습니다.

분석 범위는 이벤트 데이터의 완전성과 품질에 따라 달라집니다. 이벤트 누락, 일관되지 않은 케이스 식별자, 불완전한 프로세스 모델은 결과에 영향을 줄 수 있습니다. 분석 결과를 활용하기 전에 데이터와 기준을 검증하세요.

ISO 9001 및 DORA와 어떤 관련이 있나요?

ISO 9001 프로세스 문서화에서는 정의된 프로세스 모델을 기록된 실행 내역과 비교하는 기준으로 사용할 수 있습니다. 분석을 통해 실제 케이스가 모델과 다른 지점을 찾을 수 있습니다. 하지만 분석만으로 문서나 품질경영시스템이 ISO 9001 요건을 충족한다고 입증할 수는 없습니다.

DORA 운영 복원력 증거를 검토할 때 프로세스 데이터를 활용해 ICT 프로세스 및 사고와 관련된 기록 활동을 살펴볼 수 있습니다. 증거가 의무 요건을 충족하는지는 해당 요건, 보유 기록, 평가 결과에 따라 달라집니다. process mining은 DORA 규정 준수를 인증하지 않습니다.

규제가 적용되는 환경에서 프로세스를 분석하는 또 다른 사례는 생명과학 분야의 규정 준수 활용 사례를 참고하세요.

결과를 활용하기 전에 무엇을 확인해야 하나요?

감사에 내보낸 데이터를 활용하기 전에 다음 사항을 확인하세요.

• 프로세스 모델이 검토 대상 기간에 승인된 표준을 반영하는지 확인합니다.
• 이벤트 데이터에 범위에 포함된 케이스와 활동이 모두 담겼는지 확인합니다.
• 케이스 식별자를 통해 조사 결과를 원본 기록까지 추적할 수 있는지 확인합니다.
• 테스트 범위와 데이터의 한계를 문서화했는지 확인합니다.
• 모든 편차를 통제 실패로 간주하지 않고 예외를 검토했는지 확인합니다.

프로세스 하나와 명확히 정의된 통제 질문 하나로 시작하세요. 그런 다음 케이스별 조사 결과와 증거 내보내기 기능이 감사 요구사항에 부합하는지 확인합니다.