이 카테고리는 ISO심사원과 ISO심사 실무에 관한 포스팅 모음입니다.
국제심사원, 내부심사원, 통합심사, Audit Thinking, 리스크 기반 사고, 객관적 증거 확인 방법 등 심사원이 알아야 할 내용을 정리합니다.
2차 협력사 공장에서 장시간 노동과 임금 체불이 있다는 제보가 들어왔습니다. 우리 회사와는 직접 계약도 없는 곳입니다. 이것은 우리 책임일까요? 결론부터 말하면, “우리 책임이다” 또는 “우리와 무관하다” 중 하나로 바로 답할 수 있는 질문이 아닙니다. 먼저 사실을 확인해야 하고, 그다음 우리 회사가 그 문제와 어떻게 연결되어 있는지를 봐야 합니다. 직접 일으켰는지, 문제에 기여했는지, 거래 관계로 연결되어 […]
협력사에서 인권 문제가 생기면 우리 책임일까? 더 읽기"
제품 포장에 “친환경”이라고 적었습니다. 이 표현은 그린워싱일까요? 결론부터 말하면, 단어만 보고는 판단할 수 없습니다. 같은 “친환경”이라도 근거가 무엇이고, 그 근거가 제품의 어디까지를 뒷받침하는지에 따라 정당한 주장이 되기도 하고 과장이 되기도 합니다. 물어야 할 것은 “이 단어를 써도 되는가”가 아니라 “지금 가진 근거로 어디까지 말할 수 있는가”입니다. “친환경”은 결론이 아니라, 근거를 요구하는 주장입니다. 왜 지금 이
ESG 대시보드의 KPI가 모두 초록색입니다. 그러면 ESG 목표에 다가가고 있는 걸까요? 결론부터 말하면, KPI가 무엇을 재고 있는지 확인하기 전에는 알 수 없습니다. 목표는 방향이고, KPI는 그 방향으로 가고 있는지를 재는 도구입니다. 그런데 KPI가 목표가 아니라 활동만 재고 있으면, KPI를 100% 달성해도 목표에는 한 걸음도 다가가지 못할 수 있습니다. KPI가 모두 초록색이어도, 목표에 다가갔는지는 따로 확인해야
ESG 보고서에 “협력사 ESG 평가 100% 완료”라고 적혀 있습니다. 이 문장은 실제 운영의 증거일까요? 결론부터 말하면, 문장만으로는 증거가 아닙니다. 보고서는 조직이 “이렇게 운영했다”고 말하는 주장입니다. 그 주장을 원래의 기록까지 따라갈 수 있을 때 비로소 증거가 됩니다. 보고서의 모든 문장이 기록으로 이어지는 것은 아닙니다. 왜 이 질문이 중요할까 ESG 보고서는 거래처 평가, 투자 검토, 입찰 서류에서
온실가스 배출량이 18% 줄었습니다. 환경성과가 개선된 걸까요? 결론부터 말하면, 원인을 확인하기 전에는 알 수 없습니다. 배출량은 생산이 줄어도, 사업을 매각하거나 외주로 돌려도, 계산 방식만 바뀌어도 줄어듭니다. 숫자는 결론이 아니라 질문의 시작입니다. 배출량이 줄었다는 숫자는 결론이 아니라, 원인을 확인해야 할 질문입니다. 왜 이 질문이 중요할까 지속가능경영보고서, 거래처 설문, 공급망 평가에서 가장 먼저 확인하는 숫자가 온실가스 배출량입니다.
온실가스 배출량이 줄었다면 환경성과가 개선된 걸까? 더 읽기"
ESG 보고서는 이미 작성하고 있는데, ISO/UNDP 53001은 왜 또 필요할까요? 결론부터 말하면 둘은 같은 일을 두 번 하는 것이 아닙니다. ESG 보고(GRI, CSRD 등)는 “무엇을 했는지 외부에 알리는” 공시(公示) 활동이고, ISO/UNDP 53001은 “그것을 어떤 관리체계로 실행했는지”를 제3자가 확인하고 인증하는 경영시스템입니다. 질문 자체가 다릅니다. ESG 보고서(공시)와 ISO/UNDP 53001 인증(경영시스템)은 서로 다른 축의 활동입니다. 왜 이 질문이
ISO/UNDP 53001은 기존 ESG와 무엇이 다른가 더 읽기"
ISO/IEC 27001·27701 통합심사 사례 09 · 백업 성공과 복구 검증 백업 작업의 성공 표시와 복구 후 실제 사용 가능성을 구분해 확인합니다. AI로 제작한 가상 교육 장면입니다. “매일 백업합니다. 최근 작업은 모두 성공이고, 복구 시험도 했습니다.” 백업 결과 화면에는 성공 표시가 이어집니다. 그렇다면 장애가 나도 고객정보와 첨부자료를 복구해 업무를 재개할 수 있다고 판단해도 될까요? 이번 ISO
백업은 성공했다는데, 고객정보도 복구될까요? 더 읽기"
ISO/IEC 27001·27701 통합심사 사례 08 · 개인정보 열람 요청과 본인 확인 고객정보를 제공하기 전에 요청자의 권한과 제공 범위, 전달 경로를 확인합니다. AI로 제작한 가상 교육 장면입니다. “예전에 이용한 주문·상담 내역을 보내 주세요. 등록한 이메일은 지금 사용할 수 없으니 이 주소로 부탁드립니다.” 이름과 주문번호는 실제 고객정보와 일치합니다. 담당자는 자료를 준비했습니다. 이 정도면 요청한 주소로 보내도 될까요?
ISO/IEC 27001·27701 통합심사 사례 07 · 접속기록과 이상 조회 점검 접속기록의 특정 구간을 업무 일정과 대조하며 실제 점검의 근거를 확인합니다. AI로 제작한 가상 교육 장면입니다. “접속기록은 자동으로 남습니다. 매월 점검하고 있고, 이번 달도 이상 없음입니다.” 담당자가 점검표와 로그 화면을 보여줍니다. 기록도 있고 점검 결과도 있습니다. 그런데 표본을 살펴보니 한 계정의 고객정보 조회가 짧은 시간에 집중돼
접속기록이 남으면 이상 조회도 확인되고 있을까요? 더 읽기"
ISO/IEC 27001·27701 통합심사 사례 06 · 테스트 데이터와 마스킹 화면에 이름이 가려져 있어도 저장 데이터의 변환 결과와 보호 상태는 따로 확인합니다. AI로 제작한 가상 교육 장면입니다. “이름과 전화번호는 마스킹했습니다. 내부 개발자만 쓰는 테스트 환경이라 괜찮습니다.” 화면에는 별표가 보입니다. 고객 이름을 그대로 읽을 수는 없습니다. 그렇다면 테스트에 사용하는 데이터가 적절하게 보호되고 있다고 판단해도 될까요? 이번 ISO
이름을 가렸다면 고객정보를 테스트에 써도 될까요? 더 읽기"