AI 의사결정 감사, 검증 난항

2026년 감사인과 최고정보책임자(CIO)는 AI 의사결정을 검증하는 데 어려움을 겪고 있습니다. 기존 감사 방식은 예측 가능한 절차와 사람의 승인을 전제로 하지만, 대규모 언어 모델(LLM)은 같은 질문에도 다른 답을 낼 수 있습니다. AI 에이전트는 대출 신청을 평가하고 재고를 점검하며 재무제표 수치에 영향을 미치고 IT·운영 시스템과 상호작용하지만, 기존 감사 모델은 이런 변동성을 반영하지 못합니다. 가트너 애널리스트 로런 코르누틱은 반복성을 전제로 한 감사 체계보다 AI 발전 속도가 빠르다고 말했습니다.

기존 감사 기록은 활동과 사건을 남기지만, 프롬프트 기록과 모델 출력만으로는 시스템에 무엇이 입력되고 어떤 결과가 나왔는지만 알 수 있습니다. 그 사이의 처리 과정이나 결과의 신뢰성은 확인하기 어렵습니다. PwC 미국 AI 보증 책임자 제니퍼 코사르는 나중에 기록을 재구성하기보다 시스템이 작동하는 동안 기록을 만들고 보관해야 한다고 말했습니다. KPMG 감사 파트너 마이크 소여는 AI 감사에서 업무 절차에 AI가 어떻게 쓰이는지, 모델에 어떤 정보가 들어가고 출력이 어떻게 생성·사용되는지, 조직이 결과에 얼마나 의존하는지를 살펴야 한다고 말했습니다.

기술팀과 재무팀이 시스템의 서로 다른 부분을 이해하면서도 이를 연결하는 기록이 없으면 감독에 공백이 생길 수 있습니다. 가트너의 2026년 AI 거버넌스 설문조사에서 AI 리더 697명은 편향·공정성 모니터링이 매우 또는 다소 어렵다고 67% 응답했습니다. 출력 정확도 관리 방안은 66%, 책임 있는 AI 정책은 64%가 어렵다고 답했습니다. 코르누틱은 모델 드리프트(시간이 지나며 모델 성능이 변하는 현상), 편향 모니터링, 출력 정확도처럼 AI에 특화된 통제를 위한 확립된 지침이 없다고 말했습니다. 생성형 AI는 프롬프트에서 응답까지 단계별 경로를 보여주지 않으며, 입력을 모두 통제해도 출력의 예측 가능성을 보장할 수 없다고 덧붙였습니다.

조직은 어떤 정보를 얼마나 수집하고 보관할지 결정해야 합니다. 실시간 추론 로그(모델 사용 중 생성된 응답 기록)는 비용이 많이 들기 때문에 일부 조직은 위험도가 가장 높은 시스템만 계속 모니터링하고 다른 시스템은 특정 시점에 감사해 가시성을 낮추고 외부 규정 위반 상태에 놓일 가능성도 있습니다. 코르누틱은 추적 가능성과 데이터 보관이 주로 법적 요인에 뿌리를 둔다고 말하며, 실사와 위험 완화 통제를 권고했습니다. 소여는 방어 가능한 AI 감사라면 사용 데이터, 출력 평가 방식, 검토자, 최종 결정에 미친 영향을 확인해야 한다고 말했습니다.

코사르는 책임성을 위한 세 단계를 제시했습니다. 시스템 설계와 위험, 통제를 평가하고, 위험 변화에 따라 해당 결정을 정기적으로 검토한 뒤, 앞선 두 단계가 제대로 작동했는지 독립적으로 점검하는 방식입니다. 결정·시험·승인·예외·변경 기록은 가시성을 높이고 비용이 많이 드는 포렌식 감사를 줄일 수 있습니다. 관련 업체로는 옵트로(옛 오딧보드), 팀메이트, 워크iva, 아처와 함께 크레도 AI, IBM 왓슨엑스 거버넌스, 홀리스틱 AI가 있으며, 이들은 편향·정확도·드리프트를 추적합니다. 코사르는 기업 실무팀이 이미 사용하는 소프트웨어에도 AI 기능이 들어가 기존 통제가 더는 작동하지 않을 수 있다고 말했습니다. 그는 CIO가 감사를 지속적인 업무로 봐야 한다고 촉구했고, 소여는 AI 감사 준비가 기업 역량이라고 말했으며, 코르누틱은 CIO가 책임을 맡아야 한다고 강조했습니다.

2026년 감사인과 최고정보책임자(CIO)는 AI 의사결정을 검증하는 데 어려움을 겪고 있습니다. 기존 감사 방식은 예측 가능한 절차와 사람의 승인을 전제로 하지만, 대규모 언어 모델(LLM)은 같은 질문에도 다른 답을 낼 수 있습니다. AI 에이전트는 대출 신청을 평가하고 재고를 점검하며 재무제표 수치에 영향을 미치고 IT·운영 시스템과 상호작용하지만, 기존 감사 모델은 이런 변동성을 반영하지 못합니다. 가트너 애널리스트 로런 코르누틱은 반복성을 전제로 한 감사 체계보다 AI 발전 속도가 빠르다고 말했습니다.

기존 감사 기록은 활동과 사건을 남기지만, 프롬프트 기록과 모델 출력만으로는 시스템에 무엇이 입력되고 어떤 결과가 나왔는지만 알 수 있습니다. 그 사이의 처리 과정이나 결과의 신뢰성은 확인하기 어렵습니다. PwC 미국 AI 보증 책임자 제니퍼 코사르는 나중에 기록을 재구성하기보다 시스템이 작동하는 동안 기록을 만들고 보관해야 한다고 말했습니다. KPMG 감사 파트너 마이크 소여는 AI 감사에서 업무 절차에 AI가 어떻게 쓰이는지, 모델에 어떤 정보가 들어가고 출력이 어떻게 생성·사용되는지, 조직이 결과에 얼마나 의존하는지를 살펴야 한다고 말했습니다.

기술팀과 재무팀이 시스템의 서로 다른 부분을 이해하면서도 이를 연결하는 기록이 없으면 감독에 공백이 생길 수 있습니다. 가트너의 2026년 AI 거버넌스 설문조사에서 AI 리더 697명은 편향·공정성 모니터링이 매우 또는 다소 어렵다고 67% 응답했습니다. 출력 정확도 관리 방안은 66%, 책임 있는 AI 정책은 64%가 어렵다고 답했습니다. 코르누틱은 모델 드리프트(시간이 지나며 모델 성능이 변하는 현상), 편향 모니터링, 출력 정확도처럼 AI에 특화된 통제를 위한 확립된 지침이 없다고 말했습니다. 생성형 AI는 프롬프트에서 응답까지 단계별 경로를 보여주지 않으며, 입력을 모두 통제해도 출력의 예측 가능성을 보장할 수 없다고 덧붙였습니다.

조직은 어떤 정보를 얼마나 수집하고 보관할지 결정해야 합니다. 실시간 추론 로그(모델 사용 중 생성된 응답 기록)는 비용이 많이 들기 때문에 일부 조직은 위험도가 가장 높은 시스템만 계속 모니터링하고 다른 시스템은 특정 시점에 감사해 가시성을 낮추고 외부 규정 위반 상태에 놓일 가능성도 있습니다. 코르누틱은 추적 가능성과 데이터 보관이 주로 법적 요인에 뿌리를 둔다고 말하며, 실사와 위험 완화 통제를 권고했습니다. 소여는 방어 가능한 AI 감사라면 사용 데이터, 출력 평가 방식, 검토자, 최종 결정에 미친 영향을 확인해야 한다고 말했습니다.

코사르는 책임성을 위한 세 단계를 제시했습니다. 시스템 설계와 위험, 통제를 평가하고, 위험 변화에 따라 해당 결정을 정기적으로 검토한 뒤, 앞선 두 단계가 제대로 작동했는지 독립적으로 점검하는 방식입니다. 결정·시험·승인·예외·변경 기록은 가시성을 높이고 비용이 많이 드는 포렌식 감사를 줄일 수 있습니다. 관련 업체로는 옵트로(옛 오딧보드), 팀메이트, 워크iva, 아처와 함께 크레도 AI, IBM 왓슨엑스 거버넌스, 홀리스틱 AI가 있으며, 이들은 편향·정확도·드리프트를 추적합니다. 코사르는 기업 실무팀이 이미 사용하는 소프트웨어에도 AI 기능이 들어가 기존 통제가 더는 작동하지 않을 수 있다고 말했습니다. 그는 CIO가 감사를 지속적인 업무로 봐야 한다고 촉구했고, 소여는 AI 감사 준비가 기업 역량이라고 말했으며, 코르누틱은 CIO가 책임을 맡아야 한다고 강조했습니다.