Summary

  • GAO는 12개 기관의 주요 IT 투자 53건에 대해 2025년 4월 CIO 위험 점수와 비슷한 시기의 투자 위험 자료를 대조했다. 24건은 GAO가 더 위험하다고 판단했고, 27건은 일치했으며, 두 건은 GAO의 판단이 더 낮았다. 이 결과는 선택된 사업에 관한 것이다.
  • 53건 중 21건은 기관 자체 절차가 요구한 시기에 점수를 갱신하지 않았다. Education과 Health and Human Services(HHS)의 평가 절차는 Office of Management and Budget(OMB)의 현행 분기별 최소 기준보다 느릴 수 있었다. OMB는 2026년 4월 기존 IT Dashboard의 대체 체계를 예고했지만 GAO가 확인한 발표에는 출시 일정이 없었다.

위험 기록과 공개 점수 사이

2026년 10월 7일 나온 GAO의 공식 보고서는 연방 IT 투자에 붙는 짧은 위험 등급을 해부한다. OMB는 Federal IT Dashboard의 규칙을 정하고 General Services Administration(GSA)은 사이트를 운영한다. 등급은 사업을 맡은 기관의 CIO가 매긴다. 의회와 감독기관, 시민이 보는 색깔 하나는 그 판단을 압축한 결과다. 사업팀이 일정 지연이나 인력 문제를 기록했다고 해서 화면의 색이 자동으로 바뀌지는 않는다.

GAO는 26개 기관의 2025 회계연도 예산 자료에서 개발 활동 규모가 3,500만 달러 이상인 투자를 찾아 12개 기관의 53건을 골랐다. 2025년 4월 대시보드의 CIO 등급을 같은 해 3월 무렵의 위험 등록부, 경영진 심의 자료, 사업 성과와 다른 공식 보고서에 비춰 평가했다. 내부가 이미 적어둔 위험과 외부에 낸 등급을 같은 시기의 문서로 맞대 본 것이다.

27건에서 두 판단은 같았다. 두 건은 CIO가 GAO보다 더 엄격했다. 나머지 24건은 GAO가 더 큰 위험을 읽었다. 그중 다섯 건은 기관이 중간 이하로 표시했지만 GAO는 높은 위험으로 봤다. 일곱 건은 중간 이하에서 다소 높은 위험으로, 열두 건은 낮음 또는 다소 낮음에서 중간으로 올라갔다. 이 사업 24개가 실패했다는 뜻은 아니다. 사업 문서가 드러낸 위험의 무게가 공개 등급보다 컸다는 뜻이다.

차이는 12개 기관 가운데 아홉 곳에서 적어도 한 건씩 나타났다. Veterans Affairs(VA)가 표본에 포함된 여섯 투자에서는 모두 GAO의 판단이 더 높았다. Transportation은 여덟 건 중 다섯 건, HHS는 아홉 건 중 네 건, Treasury는 네 건 중 세 건, Homeland Security는 네 건 중 두 건이었다. 기관 전체를 순위 매기는 숫자가 아니다. GAO가 고른 개별 투자와 그 파일을 대조한 숫자다.

점수의 날짜가 빠지면 오늘의 위험을 읽을 수 없다

GAO는 갱신 시간도 따졌다. 53개 등급 가운데 21개가 기관이 정한 자체 기한보다 늦었다. 이 21개를 더 큰 위험을 보인 24개와 같은 목록으로 취급하면 안 된다. 오래된 점수가 여전히 정확할 수도 있고, 오늘 새로 낸 점수가 위험을 작게 볼 수도 있다. 감독자는 등급 옆에 위험 문서의 버전과 판단 날짜를 함께 놓아야 한다.

Commerce, Transportation, GSA는 매달 평가를 새로 하도록 정했지만 2025년 4월에 살핀 투자 중 적어도 한 건씩은 그 절차를 지키지 못했다. HHS와 Homeland Security는 분기별 절차를 갖고도 비교 전 석 달 사이에 갱신하지 않은 등급이 있었다. 늦은 21건 중 아홉 건이 HHS에 있었다. Education의 절차는 반기별이었다. HHS는 부서에 따라 분기 또는 반기로 움직였다. 두 기관의 방식은 OMB가 요구하는 최소 분기별 갱신보다 길어질 수 있다. 평가 회의가 늦어진다고 투자사업의 위험도 멈춰 서지는 않는다.

CIO의 등급은 판단의 영역이다. GSA는 고가치 자산 여부와 자금 위험 같은 기준을 쓰고, 다른 기관은 다른 조합을 쓴다. GAO는 그 차이를 인정하면서 기관 스스로 만든 위험 등록부를 주요 근거로 삼았다. 오히려 CIO가 더 엄격했던 두 건도 기록했다. 어떤 색이 반드시 옳다는 단정 대신, 이미 작성된 위험이 왜 제때 공개 판단에 반영되지 않았는지를 묻는 접근이다.

화면 교체보다 기록 이사가 먼저다

OMB는 2026년 4월 기존 Dashboard를 종료하고 간소화한 체계로 옮길 준비를 한다고 밝혔다. GAO가 본 발표에는 새 체계의 가동 시점이나 자세한 이전 계획이 없었다. GSA는 같은 해 5월 기존 사이트가 계속 열려 있다고 설명했다. CIO 등급에서 문제 투자사업을 발견했을 때 OMB의 감독을 강화하라는 GAO의 과거 권고도 보고서 발행 시점까지 이행되지 않았다. 새 화면이 기존 기록을 넘겨받을 때 위험이 등록된 날, 등급을 바꾼 날, 감독자가 움직인 날을 함께 옮겨야 하는 이유다.

GAO는 이번 보고서에서 아홉 기관에 17개 새 권고를 냈다. 다섯 기관은 권고에 동의했다. Homeland Security는 하나에 동의하고 하나에 반대했으며 Commerce와 Defense는 반대했다. Treasury는 입장을 밝히지 않았다. 응답서보다 더 설득력 있는 결과는 다음 분기의 작업이다. 위험 등록부가 바뀌고 CIO 등급이 제때 따라가며 감독 회의가 조치를 기록하면 점수표가 비로소 경보 역할을 한다.

헝루가 거버넌스의 대리인 문제를 다룬 글은 공개 신호를 누가 정하고 늦은 신호의 비용을 누가 치르는지 묻는 관점을 준다. 연방 투자에 관한 사실은 GAO 자료에 근거한다. 사업팀이 위험을 쓰고 CIO가 점수를 매기며 OMB가 주기를 정하고 GSA가 보여 준다. 이 사슬의 연결 날짜가 보이지 않으면 감독자는 색만 보고도 일이 진행된 줄 믿게 된다.

Sources