외부 협력사 업무협약서 작성 체크리스트를 열고, 먼저 협력사가 받는 정보와 시스템 접근 권한을 한 장에 적어라. 지금 시작한다. 업무협약서는 관계를 시작하는 문서이지만 실제 현장에서는 누가 어떤 파일을 받고, 어느 계정으로 접속하며, 문제가 생기면 누가 멈추고 알리는지까지 정리돼야 혼선이 줄어든다.
문서 양식부터 채우면 빈칸은 빨리 사라진다. 하지만 위험도 남는다. 협력 범위가 넓은 표현으로 남으면 담당자가 바뀐 뒤 요청의 한계도 흐려지기 마련이다. 영업, 개발, 운영 부서가 각각 이해한 업무가 같은지 먼저 맞춘 다음 문장을 다듬는 순서가 안전하다.
외부 협력사 업무협약서 작성 체크리스트의 출발점
가장 먼저 협력 목적을 한 문장으로 쓴다. 짧게 쓴다. 예를 들어 “고객 문의 대응 시스템 운영 지원”처럼 결과와 업무 대상을 함께 적고, “상호 협력”처럼 범위가 보이지 않는 표현은 뒤에 세부 업무 목록을 붙여 보완한다. 일정, 산출물, 검수 기준, 각 조직의 담당 창구도 분리해 적어야 요청이 추가될 때 비용과 책임을 다시 논의할 근거가 생긴다.
- 목적과 범위: 수행 업무, 제외 업무, 산출물 형식, 변경 요청 승인 절차를 적는다.
- 역할과 권한: 발주·승인·검수·장애 대응 담당자와 대체 연락처를 둔다.
- 기간과 종료: 시작일, 종료일, 갱신 방식, 중도 종료 시 인수인계 기간을 정한다.
- 비용과 정산: 견적 기준, 추가 작업 단가, 비용 승인 주체와 증빙 방식을 확인한다.
- 분쟁 대응: 실무 협의 단계와 공식 통지 방법을 문서 안에서 정한다.
업무 범위는 기능명만 적지 않는다. 예컨대 “데이터 분석 지원”이라면 원본 데이터를 받는지, 비식별 또는 집계 자료만 쓰는지, 분석 결과를 어디에 저장하는지까지 적어야 한다. 여기서 빠진 한 줄이 나중에 가장 긴 회의가 되기도 한다.
보안 조항 포함 전 확인할 데이터 흐름
보안 조항 포함은 비밀유지 문구를 넣는 일로 끝나지 않는다. 핵심은 데이터 흐름이다. 협력사에 전달하는 정보의 종류, 전달 경로, 보관 위치, 접근 인원, 파기 시점을 순서대로 그려 보면 문서에 넣을 항목이 훨씬 선명해진다. 도식이 거창할 필요는 없다. 스프레드시트 한 장이면 된다.
- 협력사가 업무에 꼭 필요한 정보만 골라 목록화한다. 고객 정보, 계정 정보, 소스코드, 운영 로그처럼 유형을 나눈다.
- 정보마다 민감도와 소유 부서를 표시한다. 내부 분류 기준이 있으면 그대로 따른다.
- 전달·저장·처리·반환 또는 파기 경로를 화살표로 연결한다. 개인 메일이나 승인되지 않은 저장소를 경유하지 않는지도 살핀다.
- 각 단계의 책임자와 승인자를 넣는다. 담당자가 휴가여도 멈추지 않도록 대체자를 정한다.
- 계약 종료, 인력 교체, 사고 발생 때 접근을 끊고 자료를 회수하는 절차를 별도로 적는다.
특히 시스템 계정은 공유 계정으로 넘기지 않는 편이 낫다. 개인별 계정을 만들고 필요한 권한만 부여한 뒤 접속 기록을 확인하는 방식이 운영과 감사 대응 모두에 유리하다. 작은 원칙이다. 협력사 인력이 바뀌면 기존 계정의 회수 시점도 명확해진다.
| 확인 항목 | 문서에 적을 내용 | 실무 확인 방법 |
|---|---|---|
| 접근 권한 | 대상 시스템, 권한 수준, 승인자, 사용 기간 | 권한 신청 목록과 계정 발급 기록을 대조 |
| 정보 보호 | 목적 외 이용 제한, 재위탁 조건, 접근 인원 제한 | 업무 투입 명단과 하위 협력사 유무 확인 |
| 저장·전송 | 허용 저장소, 암호화 또는 보호 방식, 외부 반출 절차 | 파일 공유 경로와 반출 승인 흐름 점검 |
| 사고 대응 | 통지 창구, 초기 알림 기한, 조치 협력 방식 | 비상 연락망과 훈련 또는 점검 기록 확인 |
| 종료 처리 | 계정 회수, 자료 반환·삭제, 확인서 제출 여부 | 종료 체크리스트와 삭제 확인 절차 운영 |
사고 통지 조항은 “지체 없이”만 쓰면 담당자마다 해석이 갈린다. 내부 정책과 실제 대응 체계를 확인한 뒤 초기 연락 채널, 연락해야 하는 사실, 후속 보고의 범위를 더 구체적으로 정하는 편이 좋다. 시간 기준은 조직 상황에 맞춰 정한다. 무리한 기한을 적고 지키지 못하는 문서보다 실행 가능한 절차가 낫다.
서명 전에 책임과 종료 절차를 맞춘다
문서 검토 막바지에는 문장보다 운영 가능성을 본다. 중요하다. 협력사가 보안 요구를 이행하려면 필요한 비용, 도구, 인력 배치가 가능한지 담당자에게 직접 확인해야 한다. 예를 들어 자료 삭제 확인서를 요구한다면 누가 어떤 저장소와 백업 범위까지 확인하는지 정하지 않으면 서류만 남을 위험이 있다.
재위탁도 놓치기 쉽다. 협력사가 다시 외부 인력이나 클라우드 서비스를 쓰는 구조라면 허용 조건, 사전 통지 또는 승인 방식, 동일 수준의 보호 의무 적용 여부를 검토 항목으로 둔다. 업체 이름만 확인하지 않는다. 실제 작업자가 누구인지와 정보가 어디로 이동하는지를 함께 봐야 한다.
서명 직전에는 15분 점검을 해보면 좋다. 업무 책임자, 정보보안 또는 IT 담당자, 구매·계약 담당자가 같은 문서를 보면서 “누가 접근하는가”, “무엇을 넘기는가”, “문제가 생기면 어디로 연락하는가”, “끝나면 어떻게 회수하는가” 네 질문에 같은 답을 내는지 확인한다. 답이 다르면 문구를 고치기 전에 업무 설계부터 다시 맞춘다.
업무협약서가 모든 상황을 해결하지는 않는다. 다만 실제 작업 흐름과 보안 조항을 연결해 두면 협력 초기의 오해와 종료 시점의 누락을 줄이는 기준이 된다. 개인정보, 국외 이전, 산업별 규제, 손해배상처럼 구체적인 법적 판단이 필요한 문구는 사내 법무팀과 보안·컴플라이언스 담당자, 필요하면 관련 전문가의 검토를 거쳐 확정하는 편이 안전하다.
이 글은 일반적인 정보 제공과 참고 목적으로 작성되었으며, 법률 자문·보안 컨설팅·컴플라이언스 판단을 대체하지 않습니다. 소개하는 설정과 절차는 소프트웨어 버전이나 조직 환경에 따라 다르게 동작할 수 있으며, 어떤 보안 조치도 완전한 안전을 보장하지는 않습니다. 실제 적용 전에는 반드시 소속 조직의 정책과 담당 부서(보안·IT·법무)의 확인을 거치고, 중요한 시스템에는 백업과 사전 테스트 후 적용하시기 바랍니다. 규제 해석과 합법·불법 여부는 사안과 시점마다 달라질 수 있으므로 공식 규정과 전문가 상담으로 확인이 필요합니다. 본 사이트는 내용의 정확성과 최신성을 보장하지 않으며, 이 글의 내용을 적용하여 발생하는 어떠한 결과에 대해서도 책임을 지지 않습니다.