공급망 심사 시간이 54% 줄었다…AI가 위험 판단까지 맡은 것은 아니다
제3자 위험관리(TPRM) 업체 ProcessUnity는 2026년 9월 1일 공급업체 접수·실사·모니터링의 반복 업무를 처리하는 ‘ProcessUnity AI Agents for TPRM’을 출시했다. ProcessUnity의 출시 발표 는 익명의 대형 기술·컨설팅 기업에서 초기 접수 주기가 54% 단축되고 평가 처리량이 43% 개선됐다고 밝혔다. 제품은 현재 제공되지만, 위험 수용이나 증거의 적정성처럼 판단이 필요한 결정은 인간 전문가에게 넘기는 구조다.
같은 9월 1일 공개된 성과가 보여주는 것은 특정 고객의 처리 속도와 업무 흐름 개선이다. 제목의 ‘심사 시간 54% 단축’도 전체 실사 기간이나 판단 시간을 뜻하지 않고 초기 접수 주기에 한정된다. 심사 정확도, 중대한 위험 탐지율 또는 실제 사고 감소가 54% 개선됐다는 의미는 아니다.
접수·실사·모니터링을 작업별 에이전트로 나눴다
새 제품군은 범용 챗봇 하나가 공급업체 심사를 처음부터 끝까지 대신하는 방식이 아니다. ProcessUnity는 제3자 위험관리 업무를 접수, 실사, 모니터링·개선의 세 묶음으로 구분하고, 각 에이전트가 한정된 작업을 수행한 뒤 구조화된 결과를 기존 업무 흐름에 돌려주도록 설계했다.
접수 단계의 IRQ Responder는 외부 공급업체 정보를 토대로 고유위험 설문의 사전 답변 초안을 만든다. Duplicate Third Party Inspector와 Duplicate Service Inspector는 기존 업체나 서비스와 겹치는 요청을 찾는다. 이 단계의 직접적인 효과는 중복 등록과 미완성 설문을 다시 주고받는 데 쓰이는 시간을 줄이는 것이다.
실사 단계에서는 SOC 2 Analyzer가 SOC 2 보고서의 범위, 예외 사항과 이용 기업이 맡아야 할 보완 통제를 추린다. Trust Center Finder는 공급업체의 트러스트 센터와 이용 가능한 증빙을 찾고, Entity Verifier는 법인식별기호를 확인한다. Contract Scanner는 계약서에서 날짜, 소유자, 금액과 주요 조건 등의 메타데이터를 추출한다.
모니터링·개선 단계의 Executive Risk Reporter는 여러 공급업체 기록을 의사결정용 요약으로 정리한다. Issue Remediator는 공급업체에 보낼 개선 요청안을 작성하고, Insurance Guardian은 보험증명서가 정해진 기준을 충족하는지 확인한다. 자료 검색·추출·정리·초안 작성은 자동화 대상이지만, 발견된 예외를 허용하거나 거래를 계속할지는 별도의 판단이다.
54%는 위험 탐지율이 아니라 운영 속도다
공개된 네 가지 수치는 모두 한 고객의 운영 지표다. 초기 접수 주기 54% 단축, 평가 처리량 43% 개선, 미완성 고유위험 설문 75% 감소, 에이전트를 사용한 평가 비중 45%가 제시됐다. 그러나 고객명, 표본 규모, 측정 기간, 도입 전 절대 시간과 평가 난도는 공개되지 않았다.
따라서 54%라는 상대값만으로는 접수가 며칠에서 몇 시간으로 줄었는지 알 수 없다. 43% 개선 역시 같은 인력과 같은 난도의 평가를 비교했는지 확인할 자료가 없다. 대형 기술·컨설팅 기업에서 관찰된 결과를 한국 기업이나 다른 산업·규제 환경에 그대로 적용할 근거도 아직 제시되지 않았다.
9월 2일 발표를 검토한 Kaleido Field의 분석 도 이 수치가 공급업체와 익명 고객 한 곳에서 나온 결과라고 구분했다. 독립적으로 확인되지 않은 항목에는 평가 정확도, 중대한 위험의 누락, 잘못된 상향 보고, 감사 결과, 침해사고 감소와 다른 프로그램에서의 재현 가능성이 포함된다.
처리량이 늘어도 판단 품질은 낮아질 수 있다. 접수 단계가 빨라진 대신 실사 단계에서 원문 확인과 수정이 증가했다면 업무가 사라진 것이 아니라 뒤로 이동한 셈이다. 에이전트가 만든 초안을 검토자가 대폭 고쳐야 한다면 완료 건수와 실제 절감 시간 사이에도 차이가 생긴다.
AI가 멈추고 사람이 이어받는 지점
ProcessUnity가 제시한 경계는 자료 처리와 위험 판단의 분리다. 에이전트는 고객사의 프로그램 데이터와 Global Risk Exchange의 공급업체 위험 프로필을 참고해 문서를 찾고 내용을 추출하며 결과를 정리한다. 반면 증거가 충분한지, 정책 예외가 중대한지, 특정 위험을 수용할 수 있는지는 인간 검토 대상으로 보낼 수 있다.
다만 ‘사람에게 넘긴다’는 설계만으로 통제가 유효해지는 것은 아니다. 어떤 조건에서 상향 보고가 발생하는지, 원문 증거와 추출 결과를 함께 확인할 수 있는지, 누락이나 상충된 정보가 어떻게 표시되는지가 실제 품질을 좌우한다. 고위험 업체가 낮은 등급으로 분류되거나 필수 증빙이 없는 상태에서 절차가 끝나면 빠른 처리는 잘못된 결론을 더 빨리 만들 수 있다.
회사는 각 에이전트 실행이 감사 로그에 기록된다고 설명한다. 판단 경로를 재구성하려면 원문 문서, 추출된 사실, 누락된 증거, 적용된 정책 버전, 처리 단계, 상향 보고 사유, 검토자의 수정 내용, 승인자와 최종 결정이 연결돼야 한다. 실행 여부만 남는 로그로는 오류가 어디에서 생겼는지 확인하기 어렵다.
속도와 품질은 별도의 성과표가 필요하다
현재 공개된 결과를 평가하려면 효율 지표와 품질 지표를 분리해야 한다. 초기 접수 주기, 시간당 평가 건수, 미완성 설문 비율과 평가당 비용은 업무 속도와 자원 사용을 보여준다. 추출 정확도, 중대한 위험의 재현율, 잘못된 상향 보고 비율, 재개된 평가, 감사 지적과 공급업체 이의 제기는 판단 품질을 보여주는 별도 지표다.
같은 위험 등급과 문서 난도를 가진 평가를 기준으로 자동화 전후의 전체 소요시간, 검토자 수정률과 재작업률을 함께 측정해야 초기 접수 단축이 전체 업무 절감으로 이어졌는지 확인할 수 있다. 사고 감소는 발생 빈도가 낮고 외부 변수의 영향이 커 더 긴 관찰 기간과 별도 비교 설계가 필요하다.
현재 확인된 범위는 ProcessUnity가 TPRM 전용 에이전트와 비개발자용 Agent Architect를 출시했고, 작업 단위 자동화와 인간 검토의 결합을 제시했다는 데까지다. 54% 단축과 43% 개선은 유의미한 초기 신호지만 한 익명 고객에 대한 공급업체 보고값이다. 정확성, 중대한 위험 탐지, 감사 대응력과 사고 감소를 판단하려면 측정 조건이 공개된 사례와 자동화 전후의 오류·누락 데이터, 독립 검증 결과가 더 필요하다.
함께 읽기:
뉴스레터 구독
최신 Web3, AI, 암호화폐 뉴스를 이메일로 받아보세요.