평가 프로세스의 시작 단계에서는 평가 범위를 명확하게 규정하여야 한다. 이 범위는 <표 4>와 같이 여러 평가 유발 요인(trigger events)과 평가 참여자의 역할 및 책임에 영향을 받는다(ISO/TR 21946, 5.2조). 또한 평가 범위 설정과 함께 평가 참여자를 결정하여야 한다. 기록전문가 그룹의 계획과 주관하에 조직 내·외부의 여러 그룹이 평가 과정에 반드시 참여하여야 한다. ISO/TR 21946에서는 평가 참여자 사례를 <표 5>와 같이 제시하고 있다. 평가 프로세스에 다양한 내·외부 관계자의 참여를 정의한 것은 평가 프로세스가 조직의 업무와 위험관리 전반에 영향을 미친다고 보기 때문이다.

평가 관련 내·외부 관계자 예시를 보면, 조직 내에서는 조직 대표 및 업무별 전문가(정보, 법률, 전산 등)가 포함되며, 조직 외에서는 고객 및 외부 감시 기구와 분야별 전문가(개인정보, 정보보안), 조직 활동의 영향을 받는 개인 이나 집단 등이 포함된다. 특히 외부 관계자 중 정보공개 및 알 권리 옹호 단체도 참여할 수 있는데, 만약 기록관리에 대한 사회적 기대 변화에 따라 평가가 실시되었다면 이들 집단의 참여를 통해 평가의 실효성을 높일 수 있을 것이다. 한편 기록의 대상, 즉 기록주체(the subjects of records)¹⁾가 되는 개인도 평가에 참여할 수 있다. 이렇게 다양한 외부 관계자의 참여 필요성을 명시한 것은 조직의 사회적 책임을 기록 평가프로세스에 반영해야 한다는 것으로 이해할 수 있다.

기록 평가 초기 단계에서는 조직의 이해관계자 파악을 포함하여 조직과 관련한 정보를 수집하여 기록 평가 프로세스 전반에 걸친 다양한 유형의 분석에 활용하여야 한다. ISO/TR 21946에서는 크게 문서 자료와 인물 관련 자료로 나뉜다. 문서 자료로는 조직도, EA(Enterprise Architecture) 문서, 위험 등록부(risk registers), 정부 보고서, 감사보고서, 기록관리용 기존 시스템 목록 및 시스템 설명서, 언론 보도자료 등이 있으며, 인물 관련 자료로는 업무 담당자 및 이해관계자와의 인터뷰 기록 등 다양한 출처의 정보들을 예시로 들고 있다(ISO/TR 21946, 5.4조). 이 단계에서는 기록 평가프로세스에서 파악해야 할 광범위한 기록 요건과 위험들을 포괄하기 위해 조직 내·외의 인물은 물론 다양한 출처의 정보원을 조사·분석하도록 하였다.

업무 분석은 앞 단계에서 확인한 정보 출처와 관련 인물과의 인터뷰에 기초하여 이루어진다. 구체적으로는 업무 맥락 분석 및 기술 맥락(technological context) 분석, 기능 분석, 순차 분석, 행위자 식별, 주요 업무 영역 확인이 있다(ISO/TR 21946, 5.5조, 5.6조, 5.7조, 5.8조, 5.9조, 5.10조). 각 단계의 분석 과정과 결과는 환경의 변화에 대응하여 주기적으로 문서화되고 검토되어야 한다. 또한 이렇게 업무 분석의 결과로 기록된 문서들은 평가와 관련한 조직의 의사결정을 지원하고 타당성을 뒷받침해 준다. ISO/TR 21946에서 제시한 업무 분석 단계별 설명과 고려해야 할 사항들의 예시를 정리하면 <표 6>과 같다.

업무 맥락 분석에서는 조직의 업무 활동에 영향을 미치는 여러 요인들을 파악한다. 기술맥락 분석은 조직이 사용 중인 기술과 표준, 시스템 등을 확인하여 향후 기록 생산과 관리를 위한 기술적 대응 방향을 제안하고, 평가 결과의 활용 단계에서 기술설계 및 실행을 지원해 준다. 기능 분석과 순차 분석의 기본 수행 단계는 기록을 위한 업무과정 분석 표준인 ISO/TR 26122를 참조하도록 안내하고 있다. 특히 주요업무 영역 확인 단계에서는 평가 프로세스 내 모든 업무 중 다른 영역보다 중요한 업무 분야를 확인하여 평가 프로세스 실행에 우선순위를 부여한다. 주요 업무 영역은 조직마다 또는 조직이 처한 환경에 따라 다를 수 있으며, 조직의 대표자나 고위 경영진의 합의나 승인을 필요로 한다.

기록 요건(records requirements)은 업무 활동의 증거 또는 정보 자산으로서 기록을 생산 및 획득, 관리를 할 때 충족시켜야 할 조건을 말한다. 이는 앞 단계에서 진행한 업무 활동 분석 및 맥락에 근거하여 추출해야 한다(ISO/TR 21946, 5.11조). 기록 요건에는 업무상 요건, 법규상 요건, 사회적 기대 요건이 있으며, 각 요건별 결정을 위한 자료 출처 정보와 사례를 정리하면 <표7>과 같다.

기록과 관련한 업무상의 요건 결정은 기록을 조직의 업무 자산으로 활용할 수 있도록 하며, 조직의 업무성과 향상에 도움이 된다. 이 요건 들은 어떤 기록이 생산되어야 하며, 얼마 간 보관되어야 하는지와 같은 처분지침에 대한 의견이나 접근 권한 등의 승인 요건과 시스템 설계 요건 식별에 활용될 수 있다. 법규상 요건은 조직 내외의 규제 환경에 따른 기록 접근과 보유에 대한 의사결정에 영향을 줄 수 있다. 따라서 기록 평가프로세스에서는 기록과 관련한 개인정보보호, 정보보안, 상업적 이익, 정보 접근권 등에 대한 구체적인 법규상 요건들을 검토하여야 한다. 그 외에도 조직은 사회에 대한 책임과 기대에 따른 다양한 요구사항들을 파악하고 기록 요건으로 포함시켜야 한다. 이렇게 도출된 기록 요건의 실행은 조직의 위험 평가 및 처리와도 연계될 수 있다.

기록 요건은 업무 관련 위험 평가와 업무 프로세스나 업무 기능, 활동 또는 트랜잭션과 연계되어야 한다. 업무 기능과 기록 요건 연계 시에는 다음과 같이 몇 가지 유의사항이 있다(ISO/TR 21946, 6.2조).

(1) 기록 요건은 기록 생산, 획득, 관리의 모든 측면과 관련된다.

(2) 기능이 아웃소싱될 경우, 기록 요건은 IT서비스 제공자 등 제3자의 활동과 연계되며 제3자도 기록 요건 실행에 대한 계약상 의무를 진다.

(3) 조직은 평가 과정에서 확인된 기록 요건에 따라 기존 기록의 생산 여부를 확인 할 수 있으며, 그 결과에 따라 업무 분석에서 재작업을 수행할 수도 있다.

(4) 평가 프로세스의 범위에 따라 평가 행위자의 관점이나 목적에 영향을 받을 수 있다.

평가 프로세스의 범위와 목적에 따라 기록 요건은 복수의 또는 단일의 업무 프로세스 및 순차 분석의 결과나 여러 기능 간 다중 계층 분석의 결과와 같은 업무 활동 분석 결과와 연계할 수 있다. 또한 이용 가능한 도구와 자원, 정보 포맷에 따라 기록 요건과 업무 프로세스 간 연계 방식도 다양하다. 예를 들면 스프레드시트나 데이터베이스, 기록 통제 도구 설계 전문소프트웨어 등이 있다.

선행 단계에서 확인된 기록 요건의 충족 여부 결정은 위험 평가에 근거해야 한다. 위험은 요건으로 확인된 기록을 생산, 획득, 관리하지 않거나 생산된 기록을 요건에 맞게 획득, 관리하지 않는 것과 관련된다. 위험을 분석하고 평가할 때 사건의 발생 가능성과 그 결과, 위험 처리에 따른 비용 등을 함께 검토해야 한다(ISO/TR 21946, 6.3조).

위험이 초래하는 결과는 유형(예: 정식 기소 또는 처벌) 혹은 무형(예: 명예훼손)일 수 있다. 조직은 이러한 위험을 평가하고 처리함으로써 구체적인 정보에 입각하여 위험을 관리하고 위험 완화를 위하여 어느 정도의 자원을 투입할지 결정할 수 있다. 또한 조직은 기록관리 시스템 개선 등을 통한 업무 효율 증진과 같은 부가적인 이점도 기대할 수 있으며, 관련 자원의 투자를 정당화하는 근거로 활용할 수도 있다. 한편 위험 분석과 평가를 위하여 ISO/TR 18128을 참고할 수 있는데, 이 기술보고서에서는 기록 프로세스 및 시스템과 관련된 위험에 적용할 수 있는 위험관리 프로세스에 대한 지침과 예시를 제시한다.

기록 평가 프로세스 수행의 각 단계별 결과는 반드시 문서화되어야 한다. 평가 프로세스의 문서화는 조직의 의사결정에 대한 (1) 설명 책임을 보장하고, (2) 평가 실행과 관련한 결과 논의, (3) 특정 업무 활동에서 기록이 생산, 관리되는 이유에 대한 향후 연구와 같은 목적을 위해 매우 중요한 작업이다. 문서화 방법으로는 조사 결과의 공식 보고서, 기록 요건 및 위험 프로파일 등의 상세 문서, 업무 활동의 계층적/순차적 기술, 기록 요건과 업무 프로세스 연계와 같이 다양하지만 정보의 분석과 재사용이 용이하도록 가능한 구조화된 방법으로 관리하여야 한다(ISO/TR 21946, 6.4조). 이처럼 승인된 형태의 평가 프로세스 결과 문서는 추후에 발생 가능한 평가의 반복 수행에서 참고할 정보원이 될 수도 있다.

평가 프로세스의 결과는 그 목적, 범위 및 관련자들에 따라 달라지며, 기록 평가를 활용한 산출물(products of appraisal)의 실행 방법 역시 업무 환경, 가용 자원 및 기록의 성격에 따라 달라진다. 기록 평가의 결과는 업무적, 법규적, 사회적 맥락의 문서화 및 업무 이력, 기능적/순차적 업무 분석, 위험 평가 및 완화 전략, 업무 관련 기록 요건 등을 포함한다. 기록 평가결과는 <표 8>과 같이 기록 시스템이나 기록 통제도구의 설계와 실행, 기록의 식별, 기록관리와 관련한 정책 및 절차의 제/개정 목적으로 다양하게 활용될 수 있다. 이러한 기록 평가 결과를 활용한 산출물들의 실행은 조직 내 역할 부여, 훈련 및 지속적인 모니터링이 함께 수반되어야 한다(ISO/TR 21946, 6.5조).

대학의 업무 중 ‘시험 및 성적관리’ 업무는 대학마다 해당 업무를 수행하는 부서와 범위에 약간의 차이가 있을 수 있지만 대체로 대학의 학사과에서 수행하는 업무로 크게 시험관리, 성적관리, 학사경고와 같은 범위의 세부 업무를 다룬다. ‘시험 및 성적관리’ 업무도 앞의 <표 3>에서 제시한 평가 프로세스를 유발하는 요인들로 인해 평가 프로세스가 개시될 수 있다. 예를 들면 시험 및 성적처리 관련 기록의 무단 폐기 사건이 해당 업무에 대한 평가 프로세스를 개시하는 요인(trigger events)이 될 수 있다. 이러한 평가 유발 요인에 따라 평가가 개시되면 평가의 범위는 ‘시험 및 성적관리’ 업무의 기록관리 개선 목적의 처분 지침 개발 및 운용을 위한 것으로 업무 영역 전체에 걸쳐 업무 맥락과 기능, 활동, 기록 요건, 위험 평가 등을 광범위하게 포괄한다. ISO/TR 21946에 따른 대학의 ‘시험 및 성적관리’ 업무 관련 평가 프로세스 절차를 도식화하면 <그림 2>와 같다.

대학의 ‘시험 및 성적관리’ 업무에 대해 ISO/TR 21946의 평가 프로세스 첫 번째 단계인 정보 수집 및 분석을 수행하여 평가 범위, 평가 참여자와 관련 정보 출처들을 정리하면 <표11>과 같다. 이 단계에서는 대학 내·외부 관련 인물 그룹과 업무 관련 상위 법규 및 지침, 업무 연계 시스템과 같은 다양한 정보를 수집·분석하여야 한다. 대학의 시험과 성적관리는 대학에서 교수와 학생 간 강의 진행 후 사후 평가를 위한 업무로, 시험 출제 및 성적 평가를 주관하는 ‘교수’와 시험 응시자이면서 성적 피평가자인 ‘학생’이 주된 관련 인물이다. 또한 시험 및 성적처리 과정에서 각 학과의 조교, 학사과의 업무담당자, 성적의 전산 처리를 위한 학사관리시스템 담당자 등이 내부 관련자 그룹에 포함된다. 그 외에 성적 확인 및 통지와 관련되는 학부모, 국내 대학 행정업무 관련 법령과 기준 제시 및 감사 등을 관할하는 교육부(대학학사제도과)도 외부 관련자 그룹에 포함될 수 있다. 또한 ‘시험 및 성적관리’ 업무와 관련하여 수집해야 할 정보로는 「고등교육법」 및 그에 기초한 대학의 자체 학칙과 학사운영 규정, 시험 및 성적관리 지침 등의 법규와 성적 및 학적 사항의 전산 처리를 위한 시스템인 학사관리시스템 등이 있다.

다음으로 ‘시험 및 성적관리’ 업무 분석 결과를 정리하면 <그림 3>과 같이 도식화해 볼 수 있다. 이 단계에서는 ‘시험 및 성적관리’ 업무 담당자와의 면담 기록과 근거 규정을 토대로 업무 맥락 분석과 기술 맥락 분석, 기능 및 순차분석, 행위자 및 주요 업무 분야를 파악하였다. 이를 위해 우선 해당 업무를 순차적인 세부 업무별로 분해하여 계층적 구조를 파악하였다. 또한 업무별 관련 행위자와 주요 생산기록물, 연계 시스템 및 업무를 함께 조사하였다.

‘시험 및 성적관리’ 업무는 크게 시험실시 계획을 수립한 후, 시험 문제 출제, 시험실시, 성적 평가, 성적 열람 및 정정, 성적 확인 및 통지순으로 세부 업무가 진행된다. 이 과정에서 학사과 업무담당자와 교수, 학생, 학사관리시스템 담당자, 학적관리 담당자 등이 행위 주체 또는 협조자가 되며, 주요 기록물로 시험운영 계획, 시험지와 답안지, 성적전표, 성적 정정 신청서, 성적통지서 등이 생산된다. 또한 해당 업무가 수행되는 동안 또는 수행된 후 학사관리시스템과 증명서발급시스템, 학적관리 업무, 장학관리 업무 등이 연계 가능한 시스템과 업무인 것으로 파악하였다. 특히, 대학이 최근 투명한 성적처리와 관련한 사회적 이슈에 민감하다면 ‘출결관리’와 ‘시험 실시’ 세부 업무나 생산된 답안지의 보존이나 관리를 다른 영역보다 중요한 업무로 간주할 수도 있다.

‘시험 및 성적관리’ 업무와 관련한 기록 요건은 <표 12>와 같이 정리해 볼 수 있다. 기록의 생산, 획득, 관리를 위한 업무상 요건이나 법규상 요건, 사회적 기대 요건들을 포함한다. 세부적으로는 생산 시점, 생산 유형, 보유기간, 기록에 대한 접근권한 등으로 “성적전표가 시험 종료 후, 성적 입력 기간 내에 전자파일 형태로 작성·제출되어야 한다.”, “시험답안지는 3년 이상 보존하여야 한다.” 등으로 관련 업무 처리절차상 또는 규정상 준수해야 할 사항들을 포함한다. 또한 이 단계에서 업무 담당자와의 면담을 통해 파악 가능한 업무상 기록 요건과 관련 규정에서 필수적으로 준수해야 할 법규상 요건들을 모두 포함하여야 한다.

이 단계에서는 앞서 정보 수집 및 분석 단계에서 파악한 ‘시험 및 성적관리’ 업무의 기록 요건을 업무 맥락과 연계하고, 업무 처리 시 발생할 수 있는 위험 평가를 수행한다. 먼저 <표 13>과 같이 기록 요건과 업무 프로세스, 영향 관계에 있는 시스템 및 규정 등을 묶어서 정리해 볼 수 있다. 이 단계에서는 업무 프로세스별 기록 요건과 관계되는 시스템이나 규정들을 확인한다. 예를 들면, 학생의 성적은 학적관리를 위한 학사관리시스템과 성적 증명을 위한 제증명 발급시스템과 연계되어야 하며, 경우에 따라 학사경고자에 대한 학적관리, 성적우수자에 대한 장학관리 등의 업무와도 영향을 주고받게 된다. 또한 ○○대학교가 운영 중인 학사관리시스템이 유지 보수를 위해 외주업체와의 업무 협약을 체결하고 있다면 해당 외주업체도 <표 13>에 포함된 시스템 관련 기록 요건 실행에 관한 계약상 의무를 지며, 기관 간 상호 계약 조건에 포함시켜야 한다.

‘시험 및 성적관리’ 업무 처리 중 기록 요건과 관련한 위험 평가 및 처리 사례는 <표 14>와 같이 정리해 볼 수 있다. 성적 확인 시 발생할 수 있는 학생의 성적 정보 접근 권한 부여 오류로 인한 학생 민원 발생 위험이나, 시험답안지의 3년 이상 보유 의무사항에 대한 상위 규정의 준수 여부와 관련한 법률상 처벌 등 업무 수행에서 발생할 수 있는 위험 요소들을 확인한다. 또한 이와 관련한 위험 수준, 미충족 시 발생 가능한 유·무형적 비용과 처리 방법 등을 상세하게 파악한다. 이러한 위험 분석을 통해 대학은 위험 처리와 관련한 기록 요건 충족을 위한 의사결정을 뒷받침하고, 해당 분석 결과를 위험에 대비한 적정 수준의 자원 투자와 인력배분의 근거로 활용할 수 있다.

기록 평가 프로세스의 전 단계별 결과는 반드시 문서화되어야 하며, 조직 구성원의 합의나 관리자의 승인을 얻어야 한다. 이렇게 문서화된 기록 평가 결과는 조직의 의사결정에 대한 근거가 될 뿐만 아니라 향후 평가 프로세스의 반복 실행 시 참고할 수 있는 정보원으로 재사용될 수 있다. 또한 ‘시험 및 성적관리’ 업무의 평가 결과로 문서화된 업무 분석 결과와 기록 요건 목록, 위험 평가 및 처리 사항들은 시스템 설계 및 기록 식별, 정책 개발 등의 목적으로 활용될 수 있다. 예를 들면 평가 결과에서 도출한 기록 요건과 위험 평가 결과는 대학의 학사관리시스템 개발 시 학생 접근 및 사용 권한 부여 규칙의 수립과 적용에 활용할 수 있다. 또한 업무 처리 시 생산된 기록 중 주요 기록을 이관 대상으로 선별하고, 학생정보 등이 포함된 기록에 대해 공개/비공개 구분사항을 결정할 수도 있다. 업무 처리 시 발생하는 학생의 개인정보 관리 및 정보보안 정책을 강화하기 위한 근거 자료로 기록 요건을 연계하여 활용할 수도 있다. 이렇게 새로운 평가 프로세스에 따른 결과는 기존 기록 처분 개념의 평가와 달리 기록의 이관·폐기에 국한되지 않고, 조직의 운영을 비롯한 정책 결정, 시스템 설계, 기록 식별 등 다방면에서 활용이 가능하다.

조직은 이전의 기록 평가가 완료되더라도 기록 평가 결과를 활용한 산출물들이 적절하게 실행되고 있는지 혹은 상위법 개정이나 사회적 요구사항 등 조직 내·외 환경의 변화에 따라 조정이 필요한 지 등을 지속적으로 모니터링 해야 한다. 모니터링 결과에 따라 평가가 재실시될 수 있다.

그리고 조정이 필요한 영역에 대한 검토와 시정조치가 실행될 수도 있다. 예를 들면 현재 ○○대학교에서는 ‘시험 답안지의 3년 보유 의무’와 같은 기록 요건에 따른 처분지침이 운용 되고 있으나, 최근 대학 재학생의 졸업 유예 신청률이 급증하면서 시험 및 성적 관련 기록에 대한 증명 및 공개 요구가 함께 증가하게 되어 이에 대한 대응으로 평가 프로세스를 재개하여 처분지침에 해당 기록의 보유 기한 상향을 검토하여 반영할 수도 있다