이 수련서 사용법
주의
법률 자문이나 감사 의견이 아닙니다. 이 책은 AIDAN 특기 과정을 준비하는 학습 교재입니다. 감사 기준과 법령을 이해하도록 요약하고 해설했을 뿐, 특정 조직이나 사건에 대한 법률 의견이나 감사 결론이 아닙니다. 실제 감사에서는 소속 조직이 따르는 기준의 원문과 그날 시행 중인 법령을 확인하고, 필요하면 변호사와 해당 분야 전문가의 검토를 받으세요.
확인일: 2026년 10월 22일. 이 책이 인용한 기준과 법령은 모두 이날 각 기관의 공식 페이지에서 원문을 읽고 정리했습니다.
- 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(약칭 인공지능기본법) [시행 2026. 7. 21.] [법률 제21311호, 2026. 1. 20., 일부개정]
- 같은 법 시행령 [시행 2026. 8. 20.] [대통령령 제36580호, 2026. 8. 18., 타법개정]
- 「개인정보 보호법」 [시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]
- The IIA 「Global Internal Audit Standards」 2024년판, 미국 GAO 「Government Auditing Standards」 2024년 개정판(Yellow Book), PCAOB 감사기준 AS 1105·2201·2315·2601
- NIST AI RMF 1.0과 생성형 AI 프로파일(NIST AI 600-1), GAO 「AI 책임성 프레임워크」(GAO-21-519SP), ISO/IEC 42001:2023 안내 페이지
PCAOB 기준은 상장회사 재무제표 감사를 위한 것이고 Yellow Book은 미국 정부 감사를 위한 것입니다. 이 책은 두 기준이 정리한 증거·표본·통제 평가의 원리를 AI 감사에 빌려 씁니다. 여러분의 조직이 따라야 하는 기준이 따로 있다면 그 기준이 우선합니다.
이 책은 누구를 위한 책인가
이 책은 세 부류의 독자를 위해 썼습니다. 첫째는 조직의 AI 사용을 처음으로 감사 계획에 넣어야 하는 내부감사인과 외부 감사인입니다. 둘째는 AI 관련 통제를 설계하고 점검하는 리스크·컴플라이언스 담당자입니다. 셋째는 AI 거버넌스 보고를 받는 감사위원회와 그 지원 조직입니다. 세 독자의 질문은 서로 다르지만 결국 같은 다섯 가지 일로 모입니다. 무엇이 있는지 파악하는 일, 통제가 제대로 만들어졌고 실제로 돌아가는지 보는 일, 그 판단을 뒷받침할 증거를 모으는 일, 모델과 데이터가 주장만큼 믿을 만한지 확인하는 일, 그리고 발견한 것을 고칠 수 있게 보고하고 끝까지 확인하는 일입니다.
흰띠(AI 기본기) 수준의 AI 이해와 감사·내부통제 업무를 조금이라도 해 본 경험이 있으면 충분합니다. 감사를 처음 하는 사람도 따라올 수 있도록 용어는 처음 나올 때마다 풀어서 설명했고, 통계는 사칙연산 수준에서 다룹니다. 반대로 AI를 잘 알지만 감사는 처음인 데이터 과학자도 이 책으로 감사인이 무엇을 왜 묻는지 이해할 수 있습니다.
이 책을 마치면 다음 산출물을 직접 만들 수 있어야 합니다. 독립된 증거로 완전성을 확인한 AI 목록, 위험에 따라 깊이를 정한 감사 계획, 사람 검토 통제의 테스트 계획, 감사 목적에 맞춘 표본 설계서, 모델 성능 주장 검증표, 그리고 기준·현황·원인·영향을 갖춘 발견 사항과 후속 확인 계획입니다. 각 장의 실습 과제 두 개가 이 산출물을 단계적으로 만들게 합니다.
이 과정은 재무제표 감사 전반과 감사 의견 작성, 모델을 직접 개발하거나 튜닝하는 일은 다루지 않습니다. 법령은 감사 기준으로 쓰는 범위에서만 다루며, 어떤 시스템이 법적 의무 대상인지에 대한 결론은 법무 판단의 몫으로 남깁니다.
이 책의 구성
본문은 시험 도메인과 같은 순서의 다섯 장입니다. 1장은 감사를 어디에 쓸지 정하는 계획, 2장은 통제가 제대로 만들어졌고 돌아가는지 보는 평가, 3장은 그 판단을 받쳐 줄 증거와 표본, 4장은 AI만의 위험인 모델과 데이터의 검증, 5장은 보고와 후속 조치를 다룹니다. 앞 장에서 만든 산출물이 뒤 장의 재료가 되도록 엮었습니다. 1장의 AI 목록이 2장의 통제 평가 대상이 되고, 2장의 테스트 계획이 3장의 표본 설계로 이어지며, 4장의 검증 결과가 5장의 발견 사항이 됩니다.
각 장은 학습 목표, 들어가며, 핵심 개념, 깊이 읽기(트레이드오프와 경계 사례), 실무 장면(버린 선택지까지 보여 주는 가상 사례), 자주 틀리는 지점, 한눈에 정리, 공식 문서로 확인하기, 셀프 체크(해설은 부록 B), 실습 과제의 열 절로 되어 있습니다.
부록에는 용어집(A), 셀프 체크 해설(B), 시험 당일 가이드(C), 이 책이 인용한 공식 문서 목록(D)이 있습니다. 처음 읽을 때는 장 순서대로 읽고, 복습할 때는 각 장의 "한눈에 정리"와 "자주 틀리는 지점"부터 보는 방법을 권합니다.
시험 한눈에 보기
AI 감사(AUD)는 특기 과정입니다. 특기심사는 35문항을 60분 안에 풀며, 만점의 75% 이상을 얻으면 합격입니다. 무료 연습 세트는 10문항, 25분입니다.
| 장 | 도메인 | 비중 |
|---|---|---|
| 1장 | 감사 계획·범위와 AI 목록 | 20% |
| 2장 | 통제 설계와 운영 효과성 | 20% |
| 3장 | 증거 수집과 테스트·표본 | 25% |
| 4장 | 모델·데이터 위험 검증 | 20% |
| 5장 | 보고와 후속 조치 | 15% |
3장의 비중이 가장 큽니다. 감사의 결론은 결국 증거의 질과 양에 달려 있고, AI 시스템은 로그와 자동 생성 자료라는 새로운 종류의 증거를 대량으로 만들기 때문입니다. 법령 문항은 시험 시점에 시행 중인 법령을, 기준 문항은 이 책의 확인일 기준 원문을 바탕으로 합니다.
문항은 이렇게 생겼다
문항은 다섯 가지 형식으로 나옵니다. 대부분 가상 조직의 상황을 먼저 제시하고, 그 상황에서 감사인이 내릴 가장 적절한 판단이나 절차를 묻습니다.
| 형식 | 모습 | 채점 | 푸는 요령 |
|---|---|---|---|
| 단일 선택 | 보기 5개 중 정답 하나 | 정확히 일치 | 상황의 조건(무엇이 남아 있나, 누가 책임지나, 무엇이 바뀌었나)을 먼저 표시하고 보기를 읽는다 |
| 복수 선택 | 보기 5~6개 중 2~3개 | 정답을 모두 고르고 오답은 하나도 고르지 않아야 정답 | 보기마다 독립적으로 참·거짓을 판정한다 |
| 진술 판정 | 진술마다 Yes/No | 판단과 이유가 모두 맞아야 Yes | 결론이 맞아도 이유가 틀리면 No다 |
| 순서 배열 | 단계 4~5개를 순서대로 | 전체 순서가 일치 | "앞 단계의 결과가 다음 단계의 재료인가"로 줄을 세운다 |
| 매칭 | 왼쪽 항목과 오른쪽 선택지 연결 | 모든 짝이 일치 | 가장 확실한 짝부터 지우고, 쓰이지 않는 선택지가 하나 있음을 기억한다 |
이 시험의 단일 선택 문항은 상당수가 같은 보기 목록을 여러 상황에 다시 쓰는 방식으로 만들어졌습니다. 같은 다섯 보기가 상황에 따라 정답이 바뀌므로, 보기만 읽고 "가장 모범적인 답"을 고르면 틀리기 쉽습니다. 예를 들어 "무작위 표본"은 모집단이 고르면 정답이지만, 위험이 다른 하위 집단이 있으면 층화 표본에 밀리고, 확인할 속성이 자동으로 판정되면 전수 분석에 밀립니다. 상황 속 사실 하나하나가 정답을 바꾼다는 생각으로 읽으세요.
오답 보기는 대개 네 가지 방식으로 만들어집니다. 첫째, 설계와 운영을 섞습니다("절차서가 있으니 작동한다"). 둘째, 증거의 양을 질로 착각합니다("로그가 수만 건이니 충분하다"). 셋째, 피감 부서의 말을 증거로 씁니다("담당자가 이행했다고 답했다"). 넷째, 감사인이 경영진의 일을 대신합니다("감사팀이 도구를 승인해 준다"). 각 장의 "자주 틀리는 지점"은 이 네 유형을 장별로 정리한 것입니다.
6주 학습 계획
하루 40~60분, 주 5일을 기준으로 짰습니다. 감사 실무 경험이 많다면 2주차와 3주차를 합쳐도 됩니다. 매주 끝에는 손에 남는 산출물이 있어야 합니다.
| 주차 | 범위 | 할 일 | 산출물 |
|---|---|---|---|
| 1주 | 1장 | NIST AI RMF Core의 Govern과 Map을 원문으로 읽는다 | 독립 출처로 보완한 AI 목록 초안 |
| 2주 | 1장 후반과 실습 | 인공지능기본법 제2조, 제31조, 제33조~제35조와 시행령 제27조를 읽는다 | 위험 순위와 감사 깊이를 정한 계획표 |
| 3주 | 2장 | PCAOB AS 2201의 설계·운영 평가 단락과 AS 2601을 읽는다 | 사람 검토 통제 테스트 계획, 벤더 통제 확인표 |
| 4주 | 3장 | AS 1105, AS 2315, Yellow Book 8장의 증거 단락을 읽는다 | 표본 설계서와 로그 요구 목록 |
| 5주 | 4장 | NIST AI RMF의 신뢰성 특성과 GAO 프레임워크의 Data·Performance를 읽는다 | 성능 주장 검증표 |
| 6주 | 5장, 전체 복습 | Yellow Book 9장과 IIA 원칙 14·15(기준 14.1~15.2)를 읽고 셀프 체크를 다시 푼다 | 발견 사항 한 건과 후속 확인 계획, 오답 노트 |
핵심
기준은 요약본이 아니라 원문으로 한 번은 읽으세요. "should"와 "may", "generally"와 "always"의 차이가 감사인의 판단을 바꿉니다. 이 시험은 그 차이를 자주 묻습니다.
표기와 출처 원칙
기준 표기. PCAOB 기준은 "AS 2315 .41"처럼 기준 번호와 단락 번호로, Yellow Book은 "GAO 8.124"처럼 단락 번호로, IIA 기준은 "IIA 14.3"처럼 기준 번호로 씁니다. NIST AI RMF의 하위 범주는 "GOVERN 1.6", "MEASURE 2.11"처럼 기능과 번호로 씁니다.
조문 표기. 법률 조문은 "제34조제1항제4호", 시행령은 "시행령 제27조제2항"처럼 씁니다. 법 이름을 따로 밝히지 않은 조문은 인공지능기본법의 조문입니다. 개인정보 보호법을 인용할 때는 법 이름을 붙입니다.
동사의 강도. 기준 문장의 동사는 요구의 강도를 알려 줍니다. Yellow Book에서 "must"는 관련되는 모든 경우에 지켜야 하는 무조건 요구이고, "should"는 원칙적으로 지켜야 하는 요구여서 드물게 벗어날 때는 대체 절차를 수행하고, 벗어난 정당한 이유와 그 대체 절차가 요구의 취지를 어떻게 이뤘는지를 문서로 남겨야 합니다(GAO 2.02–2.04). IIA 기준은 각 기준을 "Requirements"(지켜야 할 요구)와 "Considerations for Implementation"(이행을 위한 고려 사항)으로 나눠 씁니다. 법령의 "하여야 한다"와 "노력하여야 한다"도 같은 방식으로 구분합니다.
가상 조직. 본문의 회사와 기관은 모두 지어낸 이름입니다. 숫자도 설명을 위해 만든 것입니다.
상태 표시. 공식 문서로 확인하지 못한 내용은 쓰지 않았습니다. 기준이 직접 말하지 않고 이 책이 원리를 빌려 와 적용한 부분은 "빌려 쓰면", "적용하면"처럼 밝혔습니다.
알림 상자. 참고(NOTE)는 덧붙이는 맥락, 핵심(TIP)은 꼭 기억할 점, 주의(WARNING)는 실수가 잦은 지점, 실습(EXAMPLE)은 직접 해 볼 과제입니다.