COBIT 2019 프레임워크

핵심 인사이트 (3줄 요약)

본질: COBIT 2019는 COBIT 5의 후속 버전으로, '모두에게 맞는 하나의 정답(One-size-fits-all)'을 버리고, 기업 고유의 환경에 맞춰 거버넌스 시스템을 재단할 수 있는 '설계 요인(Design Factors)'을 최초로 도입한 맞춤형 통제 프레임워크이다.

가치: 40개의 거버넌스 및 관리 목표(Governance and Management Objectives)를 EDM, APO, BAI, DSS, MEA의 5대 도메인으로 체계화하여, 클라우드, 애자일, DevOps 등 현대적 IT 환경에서도 유연하게 리스크를 통제하고 가치를 창출한다.

융합: 성능 관리 체계를 CMMI(Capability Maturity Model Integration) 2.0 기반으로 업그레이드하여, 단순한 프로세스 존재 여부가 아닌 조직의 실질적 역량(Capability) 수준을 정량적으로 평가하고 개선할 수 있도록 융합되었다.

Ⅰ. 개요 및 필요성 (Context & Necessity)

COBIT 2019는 ISACA가 2018년 말에 발표한 전사적 IT 거버넌스 및 정보 기술 관리 프레임워크의 최신 버전이다. 이전 버전인 COBIT 5(2012년 출시)는 전사적 관점에서 비즈니스와 IT를 통합하는 훌륭한 뼈대를 제공했으나, 이후 급격하게 변화한 IT 환경(클라우드 마이그레이션, 마이크로서비스 아키텍처, AI 도입, 강화된 프라이버시 규제 등)을 완벽히 담아내기에는 한계가 있었다.

특히 COBIT 5의 가장 큰 문제점은 "지나치게 방대하고 획일적"이라는 현장의 불만이었다. 수만 명의 직원을 둔 글로벌 은행과 수백 명 규모의 혁신적인 핀테크 스타트업이 동일한 무게의 거버넌스 체계를 강요받는 것은 비효율적이었다. 애자일(Agile) 조직에서는 무거운 승인 절차가 혁신의 발목을 잡았고, 이는 곧 거버넌스 프레임워크의 사장(Dead System)으로 이어지는 '거버넌스의 역설'을 낳았다.

이러한 한계를 극복하기 위해 COBIT 2019는 **'맞춤화(Tailoring)'**라는 혁신적인 패러다임을 도입했다. 기업의 위협 환경, 소싱 모델(아웃소싱 여부), IT 역할(보조적 vs 혁신 주도적) 등의 '설계 요인(Design Factors)'을 평가하여, 조직에 꼭 필요한 통제 프로세스만 선택적으로 강조하고 생략할 수 있게 만든 것이다. 이는 COBIT이 단순한 '감사 체크리스트'에서 벗어나, 살아 움직이는 '비즈니스 민첩성 지원 도구'로 진화했음을 의미한다.

이 도식은 COBIT 5의 획일적인 접근 방식이 COBIT 2019의 '설계 요인(Design Factors)'을 거쳐 맞춤형 거버넌스 시스템으로 변환되는 패러다임의 변화를 보여준다.

[기존: COBIT 5 (One-size-fits-all)]
[ 동일한 37개 프로세스 세트 ] ──(강제 적용)──> A기업(대형은행) / B기업(스타트업) 모두 무겁게 적용

         ↓↓↓ (COBIT 2019 혁신 패러다임) ↓↓↓

[현재: COBIT 2019 (Tailored System)]
[ COBIT 2019 코어 모델 (40개 목표) ]
         │
         ▼ (필터링 및 가중치 부여)
    [ 11가지 설계 요인 (Design Factors) ]
    ├─ 1. 기업 전략 (혁신 vs 원가 절감)
    ├─ 2. 리스크 프로파일 (사이버 위협 수준)
    └─ 3. IT 소싱 모델 (클라우드/아웃소싱 의존도) ...
         │
         ▼ (맞춤화 테일러링)
[ A기업 맞춤 거버넌스 ]           [ B기업 맞춤 거버넌스 ]
- 보안/컴플라이언스 프로세스 강화  - 애자일/혁신 프로세스 강화
- 프로세스 성숙도 레벨 4 요구      - 프로세스 성숙도 레벨 2 요구

이 구조도의 핵심은 중간에 위치한 '설계 요인(Design Factors)'이다. 과거에는 무조건 37개(COBIT 5 기준)의 프로세스를 다 하려고 노력했다면, 2019 버전에서는 조직의 특성을 입력값으로 넣고 렌즈(설계 요인)를 통과시켜, "우리 회사는 혁신보다 원가 절감이 중요하고 클라우드 의존도가 높으니, 40개 목표 중 APO(계획)의 벤더 관리와 DSS(지원)의 비용 관리 쪽에 가중치를 둔다"는 식의 동적 모델링이 가능해진 것이다. 실무에서는 이 맞춤화 과정 자체가 거버넌스 컨설팅의 핵심 산출물이 된다.

📢 섹션 요약 비유: COBIT 5가 모든 사람에게 같은 치수의 '기성복 정장'을 제공했다면, COBIT 2019는 고객의 체형, 직업, 라이프스타일(설계 요인)을 측정한 뒤 몸에 딱 맞게 재단해 주는 '맞춤형 테일러 숍(Tailoring)'과 같습니다.

Ⅱ. 아키텍처 및 핵심 원리 (Deep Dive)

COBIT 2019의 핵심 아키텍처는 거버넌스와 관리 영역을 명확히 분리한 **'40개의 거버넌스 및 관리 목표(Governance and Management Objectives)'**로 구성된다. 이들은 5개의 큰 도메인으로 묶여 작동한다.

도메인 명칭	구분	영역의 핵심 역할	소속 프로세스 예시 (총 40개 중 일부)	비유
EDM (Evaluate, Direct and Monitor)	거버넌스	이사회의 역할. 가치, 리스크, 자원의 방향을 평가/지시/모니터링	EDM03 (위험 최적화 보장), EDM04 (자원 최적화 보장)	조타실
APO (Align, Plan and Organize)	관리	IT 전략 수립, 예산, 엔터프라이즈 아키텍처, 벤더 관리	APO03 (엔터프라이즈 아키텍처 관리), APO10 (공급업체 관리)	작전 참모부
BAI (Build, Acquire and Implement)	관리	솔루션 식별, 구매(Acquire), 개발, 프로젝트 실행 및 변경 관리	BAI03 (솔루션 식별 및 구축), BAI06 (IT 변경 관리)	무기 제조창
DSS (Deliver, Service and Support)	관리	실제 IT 서비스의 운영, 보안 인시던트 대응, 데이터 백업	DSS02 (서비스 요청 및 인시던트 관리), DSS05 (보안 서비스 관리)	야전 부대
MEA (Monitor, Evaluate and Assess)	관리	내부 통제 및 규제 준수 여부를 모니터링하고 감사	MEA02 (내부 통제 시스템 관리), MEA03 (외부 규제 준수 관리)	헌병/감사관

COBIT 2019의 내부 동작 메커니즘 중 가장 심층적인 부분은 특정 목표(Objective)를 달성하기 위해 **7가지 구성 요소(Components)**를 입체적으로 가동한다는 점이다. 과거에는 단순히 '프로세스'만 중요시했다면, 2019에서는 조직, 정보, 인프라가 함께 움직여야 거버넌스가 작동한다고 본다.

이 다이어그램은 COBIT 2019에서 단일 목표(예: APO12 리스크 관리)를 달성하기 위해 '7가지 구성 요소'가 어떻게 상호 결합(Interlocking)하여 작동하는지 보여주는 아키텍처이다.

          ┌──────────────────────────────────────────────┐
          │ [ 목표 달성을 위한 7가지 거버넌스 구성 요소 ]     │
          │                                              │
          │  1. 프로세스 (Process)  ───┐                 │
          │  2. 조직 구조 (Org Structures) │             │
(목표)    │  3. 정보 (Information)   ──┼──> [ 시너지 ] ──> (가치 창출 및 리스크 통제)
APO12 ──> │  4. 원칙/정책 (Policies)   │                 │
리스크 관리│  5. 문화/윤리 (Culture)  ──┤                 │
          │  6. 인력/스킬 (People)     │                 │
          │  7. 서비스/인프라 (Service/App)               │
          └──────────────────────────────────────────────┘

이 그림의 핵심은 통제의 '다차원성'이다. 예를 들어 '보안 통제(DSS05)'라는 목표를 달성하려 할 때, 방화벽을 도입하고 프로세스 매뉴얼(1번)을 만드는 것만으로는 부족하다. 정보보호최고책임자(CISO)라는 명확한 조직 구조(2번)가 있어야 하고, 보안 정책 문서(4번)가 선언되어야 하며, 임직원들이 패스워드를 공유하지 않는 문화/윤리(5번)가 반드시 동반되어야 한다. 이 7가지 톱니바퀴 중 하나라도 빠지면(예: 문화가 엉망이면) 아무리 시스템(7번)이 좋아도 거버넌스는 실패한다. 실무 감사에서는 이 7가지 컴포넌트가 모두 구비되었는지 입체적으로 점검한다.

📢 섹션 요약 비유: 40개의 목표가 '요리 레시피'라면, 7가지 구성 요소는 식재료, 주방장, 가스레인지, 주방의 청결한 문화 등을 모두 포함하는 '완벽한 식당 운영 시스템'과 같습니다.

Ⅲ. 융합 비교 및 다각도 분석 (Comparison & Synergy)

COBIT 2019가 왜 과거 버전이나 다른 프레임워크에 비해 우수한지 파악하려면, COBIT 5와의 차이점 및 성과 평가 메커니즘의 진화를 비교 분석해야 한다.

1. COBIT 5 vs COBIT 2019 심층 비교

비교 항목	COBIT 5 (2012)	COBIT 2019 (현재)	실무적 함의 (판단 포인트)
프로세스 수	총 37개 프로세스	총 40개 거버넌스 및 관리 목표	데이터 관리, 프로젝트 수행 등 세분화된 신규 목표 추가
적용 방식	단일 모델 획일적 적용 (One-size-fits-all)	설계 요인(Design Factors) 기반 맞춤화	기업 규모, 리스크 프로파일에 따른 유연한 통제 수준 조정 가능
핵심 구성요소	7가지 인에이블러 (Enablers)	7가지 구성 요소 (Components)	용어 직관성 개선 및 컴포넌트 간 상호작용 강조
성과/역량 평가	ISO/IEC 33000 기반 평가 (0~5레벨)	CMMI 2.0 성능 관리 모델 (CPM) 기반 통합	형식적인 문서 위주 평가에서 실질적 역량(Capability) 평가로 진화
최신 기술 반영	전통적 인프라 및 워터폴 중심	클라우드, 애자일(Agile), DevOps, 아웃소싱 반영	현대 디지털 비즈니스 환경의 민첩성(Agility) 리스크 통제망 제공

2. 과목 융합 관점: COBIT 2019 성과 관리 (CPM)와 CMMI의 결합

COBIT 2019 성능 관리(CPM, COBIT Performance Management) 모델은 조직이 통제 목표를 얼마나 잘 수행하고 있는지를 0부터 5까지의 성숙도 레벨로 평가한다. 이 부분은 소프트웨어 공학의 CMMI 2.0 사상과 완벽히 융합된다.

프로세스 역량 레벨 (Capability Level):
- Level 0 (불완전): 프로세스가 아예 없거나 목적을 달성하지 못함.
- Level 1 (초기): 임시방편적이나마 목적은 달성함 (개인의 영웅적 역량에 의존).
- Level 2 (관리됨): 기본 프로세스가 계획되고 실행되며(RACI 존재), 산출물이 나옴.
- Level 3 (정의됨): 전사적 표준 프로세스로 정의되어 일관되게 수행됨.
- Level 4 (정량적 관리): 성과가 정량적 데이터(통계)로 측정되고 제어됨.
- Level 5 (최적화): 정량적 피드백을 기반으로 지속적인 혁신과 자동화가 이루어짐.

이 매트릭스는 COBIT 2019가 설계 요인(Design Factor)을 통해 프로세스의 타겟 역량(Target Capability)을 어떻게 동적으로 변경하는지 보여주는 의사결정 구조이다.

┌─────────────────────┬───────────────────────────┬───────────────────────────┐
│ 설계 요인 (환경)    │ A기업 (보수적 금융기관)   │ B기업 (혁신적 AI 스타트업)│
├─────────────────────┼───────────────────────────┼───────────────────────────┤
│ 1. 위험 프로파일    │ 매우 높음 (규제 엄격)     │ 낮음 (시장 선점 우선)     │
│ 2. 기술 채택 모델   │ Follower (안정성 최우선)  │ First Mover (최신 기술)   │
├─────────────────────┼───────────────────────────┼───────────────────────────┤
│ [ 도출된 목표 레벨 ]│                           │                           │
│ APO12 (리스크 관리) │ Target Level : 4 (엄격)   │ Target Level : 2 (기본)   │
│ BAI03 (솔루션 구축) │ Target Level : 2 (보수적) │ Target Level : 4 (민첩성) │
└─────────────────────┴───────────────────────────┴───────────────────────────┘

이 비교 구조도는 COBIT 2019의 본질적인 철학을 잘 보여준다. 과거처럼 무조건 "모든 프로세스를 레벨 5로 만들자"는 비현실적이고 낭비적인 목표를 강요하지 않는다. B기업(스타트업)의 경우 리스크 관리(APO12)를 레벨 4로 끌어올리기 위해 수억 원의 보안 솔루션을 도입하는 것은 파산으로 가는 지름길이다. COBIT 2019는 B기업에게 리스크 관리는 레벨 2(최소 방어)로 유지하고, 남는 예산을 솔루션 구축(BAI03)을 레벨 4(자동화된 DevOps 배포)로 고도화하는 데 투자하라고 합리적인 가이드를 제공한다.

📢 섹션 요약 비유: COBIT 2019의 성능 평가는 학생에게 "전 과목 만점을 받아라"라고 강요하는 것이 아니라, 미대 지망생에게는 미술 레벨 5를 요구하고 수학은 레벨 2만 넘기도록 맞춤형 '목표 등급제'를 적용하는 스마트한 입시 컨설턴트와 같습니다.

Ⅳ. 실무 적용 및 기술사적 판단 (Strategy & Decision)

실무에서 COBIT 2019를 도입할 때 가장 핵심적인 작업은 '설계 요인(Design Factors)' 워크샵을 열어 경영진의 합의를 이끌어내고, 우리 기업만의 거버넌스 맵을 그리는 것이다.

실무 시나리오 및 의사결정 과정

클라우드 및 SaaS 중심 환경으로의 전환 (섀도우 IT 통제):
- 상황: 기업이 자체 데이터센터를 폐쇄하고 퍼블릭 클라우드와 SaaS(M365, Salesforce 등)로 100% 전환했다. 현업 부서의 무분별한 SaaS 결제(섀도우 IT)로 보안 사고가 급증했다.
- 판단: COBIT 2019의 설계 요인 중 'IT 소싱 모델(아웃소싱 의존도 높음)'을 반영. 내부 인프라 관리(BAI09) 프로세스의 가중치는 낮추고, 벤더 리스크 관리(APO10)와 서비스 카탈로그 관리(APO09)의 타겟 레벨을 4로 상향 조정. 클라우드 비용 통제(FinOps) 위원회를 신설하여 거버넌스를 재정렬함.
애자일(Agile) 조직의 컴플라이언스 딜레마:
- 상황: 디지털 혁신 본부가 2주 단위의 스프린트(Sprint)로 배포를 진행 중인데, 중앙 CAB(변경통제위원회)의 보안 승인(BAI06 변경 관리)을 기다리느라 한 달씩 배포가 지연됨.
- 판단: COBIT 2019 가이드에 따라 '애자일 개발 방식' 설계 요인을 적용. 정통 워터폴 방식의 엄격한 CAB 승인을 해제하고, 코드 리뷰와 자동화된 보안 테스트(SAST/DAST)를 파이프라인에 통합한 경우(DevSecOps) 이를 '표준 변경'으로 간주하여 자동 승인(Pre-approved)하는 바이모달(Bimodal) 거버넌스 수립.
M&A 후 자회사 IT 수준 하향 평준화 위험:
- 상황: 모회사가 보안 규제가 약한 스타트업을 인수했다. 그룹 전체의 IT 거버넌스 기준을 들이대자 스타트업 핵심 인력이 반발하여 퇴사 조짐을 보임.
- 판단: 일률적 COBIT 적용의 안티패턴. 모회사와 자회사의 '기업 전략'과 '위협 프로파일' 설계 요인이 다름을 인정. 코어 재무 데이터가 연동되는 구간(인터페이스)에 대해서만 Level 3 이상의 보안 통제를 요구하고, 자회사의 자체 UI/UX 개발 영역은 Level 1~2 수준의 거버넌스 예외 지대(Sandbox)로 허용하는 타협안 결의.

안티패턴 (Anti-Patterns)

설계 요인(Design Factors) 워크샵 생략: COBIT 2019를 도입하면서 경영진과의 비즈니스 특성 분석 과정을 건너뛰고, 컨설턴트가 제공하는 '표준 템플릿(Default)'을 그대로 복사해서 쓰는 행위. 이는 COBIT 2019의 핵심 존재 이유를 부정하는 것이다.
RACI 붕괴 (모두가 책임자): 40개 목표에 대해 RACI 차트를 그리면서, 한 프로세스에 'A (Accountable, 최종 책임자)'를 두 명 이상 지정하는 치명적 오류. 장애 발생 시 서로 책임을 떠넘기는 '책임의 공백'을 낳는다.

이 의사결정 트리는 COBIT 2019를 기업에 안착시키기 위한 실무적인 '구현 7단계 (Implementation 7 Phases)' 흐름을 보여준다. 이 모델은 변화 관리(Change Enablement)와 지속적 개선을 통합하고 있다.

[Phase 1. 인식] "무엇이 문제인가?" ──> (이사회: IT 통제 부재 인식)
       │
       ▼
[Phase 2. 정의] "우리는 어디에 있는가?" ──> (설계 요인 분석, As-Is 성숙도 진단)
       │
       ▼
[Phase 3. 목표] "어디로 가고자 하는가?" ──> (맞춤형 40개 목표 타겟 레벨 설정)
       │
       ▼
[Phase 4. 계획] "무엇을 해야 하는가?" ──> (To-Be 달성을 위한 프로젝트/RACI 구성)
       │
       ▼
[Phase 5. 실행] "거기에 도달하는 방법은?" ──> (새로운 프로세스와 도구, 문화의 현장 도입)
       │
       ▼
[Phase 6. 실현] "도달했는가?" ──> (새로운 KPI와 대시보드 측정, MEA 영역 가동)
       │
       ▼
[Phase 7. 유지] "모멘텀을 어떻게 유지할 것인가?" ──> (지속적 개선 및 성과 보상 연계)

이 구현 플로우의 핵심은 프레임워크 도입이 단순한 '문서 작업'이 아니라, 거대한 '조직 변화 관리(Change Management)' 프로젝트라는 점을 시사한다. 특히 Phase 1과 2에서 경영진의 스폰서십(Sponsorship)을 얻지 못하면 Phase 5의 실행 단계에서 현업의 반발(저항)을 이겨낼 수 없다. 실무 컨설팅에서는 반드시 Phase 3의 '타겟 레벨' 설정 시 비즈니스 부서장들의 서명(Sign-off)을 받아내야 한다.

📢 섹션 요약 비유: 이 7단계 구현 과정은 낡은 집을 부수고 새 집을 짓는 '재건축 공사'가 아니라, 가족이 살고 있는 집의 기둥과 배관을 살면서 하나씩 교체해 나가는 고난도의 '리모델링 프로젝트'와 같습니다.

Ⅴ. 기대효과 및 결론 (Future & Standard)

COBIT 2019는 IT가 비즈니스를 지원하던 시대를 넘어, IT 자체가 비즈니스 모델이 되는 디지털 트랜스포메이션 환경에 최적화된 거버넌스의 결정체이다.

정량적/정성적 기대효과

구분	기대효과 내용	측정 지표 예시
정량적 (맞춤형 최적화)	불필요한 과잉 통제 제거로 인한 프로세스 운영 비용 절감, IT 감사 통과율 상승	거버넌스 유지비용(TCO) 감소율, 중대 컴플라이언스 위반 제로화
정성적 (민첩성/적응력)	기업 환경 변화(예: 애자일 전환)에 맞춰 거버넌스 규칙을 유연하게 변경할 수 있는 탄력성(Resilience) 확보	현업의 변경 관리 승인 대기 시간 단축, 이사회 IT 신뢰도 상승

미래 전망 및 표준

데이터 및 AI 거버넌스와의 융합: COBIT 2019 구조 위에서 기업들은 점차 데이터 스튜어드십(Data Stewardship) 및 AI 윤리(편향성 통제) 목표를 새로운 구성 요소로 편입시키고 있다. 향후 도메인 업데이트 시 '데이터/AI 거버넌스' 관련 목표가 더욱 강화될 것으로 전망된다.
자동화된 GRC (Governance, Risk, Compliance): COBIT 2019의 40개 목표와 지표들은 ServiceNow, Archer 같은 엔터프라이즈 GRC 플랫폼 내에 데이터베이스화되어, 수동 엑셀 관리가 아닌 대시보드 형태의 '실시간(Real-time) 자동화 거버넌스 모니터링' 체계로 진화하고 있다.

📢 섹션 요약 비유: COBIT 2019는 고정된 '종이 지도'에서 진화한 '스마트폰 내비게이션'입니다. 도로 사정(비즈니스 환경)이 바뀌거나 운전자의 선호도(설계 요인)가 달라지면, 즉각적으로 가장 안전하고 빠른 새로운 경로(맞춤형 거버넌스)를 다시 탐색해 줍니다.

📌 관련 개념 맵 (Knowledge Graph)

설계 요인 (Design Factors) | COBIT 2019의 핵심 차별화 요소로, 기업의 전략, 위협, IT 역할 등을 분석해 통제 프로세스의 가중치를 결정하는 필터.
40개 거버넌스 및 관리 목표 (40 Objectives) | EDM, APO, BAI, DSS, MEA 도메인 하위에 위치하며, 기업이 달성해야 할 구체적인 IT 지향점(예: 공급업체 관리, 변경 관리 등).
성능 관리 (CPM, COBIT Performance Mgmt) | CMMI 기반으로 프로세스의 성숙도를 0~5레벨로 정량 평가하여, 목표 달성 수준을 가시화하는 체계.
거버넌스 구성 요소 (7 Components) | 특정 목표 달성을 위해 프로세스뿐만 아니라 조직 구조, 정보, 원칙, 문화, 인력, 인프라를 입체적으로 결합하는 요소.
바이모달 IT (Bimodal IT) | COBIT 2019가 수용하는 개념으로, 안정성 중심의 전통적 방식(모드 1)과 민첩성 중심의 애자일 방식(모드 2)을 동시에 지원하는 거버넌스 전략.

👶 어린이를 위한 3줄 비유 설명

개념: 옛날 코빗 5는 모든 아이들에게 똑같은 크기의 교복을 입혔다면, '코빗 2019'는 키와 몸무게를 재서 딱 맞는 옷을 만들어주는 마법의 재봉사예요.
원리: 40가지의 멋진 디자인(목표) 중에서, "나는 운동을 좋아해(설계 요인)"라고 말하면 튼튼한 체육복 위주로 레벨을 올려서 맞춤형 옷을 만들어 줘요.
효과: 덕분에 아이들은 불편한 옷을 입고 억지로 걷지 않아도 되고, 각자 자기가 잘하는 방식(애자일, 클라우드)으로 신나게 뛰어놀 수 있답니다!