연말 연차 몰린 공공 스타트업, 프로젝트 접속 로그로 감사 틈 메우다

금요일 오후 5시 30분, 정부 연구개발 과제 정산 마감을 2주 앞둔 한 공공 스타트업 사무실에서는 자리를 비운 연구원들의 PC 모니터가 여전히 켜져 있었다. 연차 소진 기간이 겹치면서 전체 인원 25명 중 절반 이상이 휴가를 떠났지만, 정산 서류가 등록된 프로젝트 관리 보드에는 휴가자의 계정으로 파일 수정과 다운로드가 이어졌다. 남은 직원이 급한 증빙을 맞추기 위해 휴가자의 계정으로 로그인해 연구 노트를 내려받은 것이다.

공공기관이나 공공 위탁 스타트업은 회계연도 말 감사 시즌과 집중 연차 기간이 정확히 겹친다. 사업비 정산 마감 기한을 넘기면 불용 처리되거나 다음 연도 출연금 삭감으로 이어지기 때문에 업무를 멈출 수 없다. 문제는 공공 감사 규정상 비인가 대리 접속이나 공유 계정 사용이 엄격히 금지된다는 점이다. 연차 복귀 후 감사 보고서를 작성할 때 원격 접속이나 대리 결재 이력이 제대로 소명되지 않으면 기관 감사에서 지적 사항으로 남는다.

프로젝트별 접근 로그 분리와 다운로드 이력 관리

이 조직은 프로젝트 보드 내 파일 열람과 다운로드 권한을 세부 단위로 나누고 접속 로그를 전수 기록하는 방식을 택했다. 특정 연구원이 휴가 중이더라도 사전에 지정된 정산 대리인이 해당 프로젝트 탭에 접근해 필요한 연구비 영수증과 시험 성적서만 확인하도록 경로를 분리했다.

대리인이 문서를 열람하거나 내려받으면 해당 이력에 '대결 수행자'의 사번과 접속 IP, 다운로드 사유가 감사 로그에 남는다. 휴가자의 계정을 직접 공유받아 로그인하는 관행을 차단한 셈이다. 외부 반출이 제한된 원천 기술 도면이나 세부 참여 인력 인건비 명세서는 정산 담당자라 하더라도 열람 권한 승인을 별도로 거쳐야 열린다.

사업운영팀 팀장은 "연말마다 정산 증빙을 맞추려 휴가 간 연구원에게 메신저로 비밀번호를 물어보는 일이 반복됐다"며 "대결 권한과 프로젝트별 접근 로그를 연동한 뒤로는 감사관이 접속 기록을 요구해도 대리 열람 경로를 즉시 증빙서류로 제출한다"고 말했다.

예산 마감기 계정 공유 관행과 감사 소명 방식

접속 로그의 실시간 집계는 원격지 근무자나 외부 위촉 평가위원이 접속할 때도 적용된다. 공공 과제 특성상 연말 최종 평가위원회에 참여하는 외부 심사위원이 시스템에 들어와 프로젝트 산출물을 검토하는 과정이 잦다. 이들이 머문 시간과 조회한 파일의 목록이 타임스탬프와 함께 보존되면서 감사원 감사나 상급 기관 실사 시 데이터 위변조 논란을 덜 수 있다는 것이 현장의 반응이다.

기록된 로그는 수정이나 삭제가 불가능하도록 읽기 전용 저장소에 보관된다. 휴가 복귀 직후 자신이 자리를 비운 사이 어떤 문서가 정산용으로 조회되고 인쇄되었는지 본인이 직접 로그 타임라인을 확인하는 절차도 마련했다.

다만 접속 로그가 쌓이는 속도가 빨라지면서 감사 주기별 로그 보존 기한과 스토리지 용량 관리 기준을 마련해야 하는 숙제가 남았다. 정산 마감 기간 외부 망 접속 시 2차 인증 실패 이력이 급증하는 상황에 맞춰 보안 예외 처리 절차를 어디까지 둘 것인지도 내부 조율 중이다.

※ 본 기사의 사례는 도입 현장에서 반복적으로 확인되는 상황을 바탕으로 재구성한 것이다.