Summary

  • 2019 회계연도 국방수권법 Section 889는 지정된 다섯 기업 및 그 자회사·계열사와 관련된 통신·영상감시 장비와 서비스의 연방 구매를 제한한다. 해당 장비를 사용하는 사업자와의 계약에는 별도 제한이 있다.
  • GSA는 2026년 5월 기준 약 700개 자회사와 계열사를 파악했다고 설명했다. GAO는 GSA와 DOD가 그 정보와 집행 경험을 다른 기관에 폭넓게 나누지 않는다고 확인했다. 일부 임시 교환은 있었다.
  • GAO의 네 가지 권고에 두 기관 모두 동의했다. 성패는 어떤 근거의 어느 버전이 언제 구매 담당자에게 도착했고 오류를 어떻게 고쳤는지로 판단해야 한다.

법에 적힌 이름과 물건을 파는 이름은 다르다

Section 889에 따른 연방기관의 해당 장비·서비스 구매 제한은 2019년 8월 시작됐다. 해당 장비를 사용하는 업체와 계약하는 것에 관한 별도 제한은 2020년 8월 발효됐다. 앞의 질문은 정부가 무엇을 사는가다. 뒤의 질문은 계약 상대방이 무엇을 사용하는가다. 둘을 하나로 취급하면 업체의 자체 사용에 관한 신고서로 부품의 출처까지 확인한 것처럼 보이기 쉽다.

미국 회계감사원 GAO의 2026년 9월 보고서는 이미 구축된 통제도 기록했다. GSA는 다수공급자계약 목록에서 금지 물품을 자동으로 제거한다. GSA와 DOD는 계약 담당자와 정부 구매카드 사용자가 연방 등록시스템의 업체 진술을 조회할 수 있게 했다. 두 기관은 2025 회계연도 연방 계약 의무액의 거의 3분의 2를 차지했다. GSA의 계약 체계는 다른 기관의 구매에도 쓰인다.

문제는 이름표가 바뀌는 지점에서 시작된다. GSA 담당자들은 공급망 분석 도구, 검색 알고리즘, 원산지 추적과 알림을 이용해 2026년 5월까지 자회사·계열사 약 700곳의 명단을 만들었다고 GAO에 말했다. 지정 기업의 자회사로 판단한 법인과 맺은 계약을 최소 두 차례 종료했다고도 밝혔다. DOD는 비슷한 도구와 자체 정보를 사용하지만 중앙 명단은 유지하지 않는다고 했다.

이 약 700개라는 수치는 조사 성과의 크기다. 법적으로 확정된 전체 계열사 수가 아니다. 다른 상표로 판매되는 장비, 완제품 안에 묻힌 부품, 달라지는 기업 소유관계는 모두 판단을 흔든다. 구매에 쓰려면 어떤 자료로 관계를 확인했는지, 확인 날짜는 언제인지, 이의 제기가 들어오면 누가 고치는지를 붙여야 한다. 이름만 모은 표는 시간이 지날수록 공적인 확신의 외양을 가진 낡은 자료가 된다.

전달했다고 해서 구매 현장에 도착한 것은 아니다

GAO에 따르면 GSA와 DOD는 다른 연방기관에 계열사 정보나 집행 요령을 폭넓게 공유하지 않았다. 담당자들은 Section 889가 그런 광범위한 공유를 명시적으로 요구하지 않는다고 설명했다. 완전한 단절은 아니었다. 두 기관은 사안별로 정보를 주고받았다. GSA는 2022년과 2025년 Federal Acquisition Security Council에 관련 정보를 보냈다고 했다. 다만 협의회의 정보공유를 맡는 CISA가 이를 다른 기관에 배포했는지는 알지 못했다. GAO 원문 보고서는 중간 전달을 확인하지만 최종 수신 기록을 보여주지는 못한다.

그 마지막 단계가 실제 구매 판단을 좌우한다. 한 기관이 특정 공급업체의 계열관계를 찾아도 다른 기관의 계약 담당자가 모르면 사용할 수 없다. 민감한 자료라 접근을 제한할 수는 있다. 그래도 수신기관, 판본, 수정 이력과 권한을 기록하는 배포 체계는 만들 수 있다. 의심스러울 때만 전화를 거는 방식은 애초에 의심할 단서를 가진 담당자에게만 도움이 된다.

업체의 자가 신고도 다른 종류의 증거다. GAO는 2026년 3월 현재, 2025 회계연도에 활성 연방계약을 가진 업체 중 거의 90%가 해당 장비를 사용하지 않는다고 공개적으로 진술했다고 집계했다. 약 2%, 즉 약 1,800개 업체는 사용한다고 진술했다. GAO가 모든 장비를 현장 확인한 결과가 아니라 업체가 제출한 진술이다. 특정 납품업체의 모회사가 누구인지를 이 숫자만으로 알 수 없다.

GAO는 네 가지 권고를 내놓았다. GSA와 DOD가 자회사·계열사 정보와 제한 조항 집행 방법을 다른 기관에 정기적으로 공유하고, 필요한 경우 기존 연방 채널을 활용하라는 내용이다. 두 기관은 동의했다. 실제 이행을 보여주려면 관계 판단의 근거와 확인일, 배포 대상, 수신 확인, 정정 기록이 이어져야 한다. 표본 계약을 하나 뽑아 서명자가 어떤 버전의 정보를 봤는지 되짚을 수 있어야 한다. 2026년 감사에는 그 전 과정의 증명이 없다.

보고서는 2027년 12월부터 특정 중국산 반도체 구매를 제한하는 별도 규정도 언급한다. 그때도 기업 계보와 제품 안의 부품을 찾아야 한다. 금지 항목을 하나 더 적는다고 이미 조사한 사실이 다음 구매 담당자의 화면에 나타나지는 않는다.

출처: GAO 보고서 안내, GAO 원문 전체.