ISO 인증심사와 영업비밀, 심사원이 보는 범위와 비밀유지 의무

심사 일정이 확정되면 품질 담당자에게 두 가지 질문이 거의 동시에 들어옵니다. 설계팀은 도면까지 심사원에게 보여줘야 하느냐고 묻고, 영업팀은 거래처별 원가표를 보여줬다가 밖으로 나가면 누가 책임지느냐고 묻습니다. 담당자는 보여 주면 새어 나갈까 걱정하고, 보여 주지 않으면 부적합이 될까 걱정하는데, 이 두 걱정을 한 사람이 혼자 판단해야 합니다.

ISO/IEC 17021-1은 이 질문에 양방향으로 답합니다. 인증기관이 심사의 목적·범위·기준에 필요한 정보를 볼 수 있어야 한다는 쪽과, 그렇게 얻은 정보를 법적 구속력이 있는 약정으로 관리해야 한다는 쪽이 같은 규격 안에 짝으로 있습니다. 어느 한쪽만 알고 심사에 들어가면 필요한 자료까지 막거나, 반대로 걱정해야 할 지점을 놓치게 됩니다.

심사원이 보는 정보의 범위는 무엇이 정하나요

심사원이 어떤 자료를 요청할 수 있는지는 심사의 목적·범위·기준 세 가지에서 정해집니다. 규격은 이 세 가지를 다음과 같이 나눕니다(9.2.1).

• 심사 목적은 인증기관이 정합니다.
• 심사 범위와 기준은 고객과 협의한 뒤 인증기관이 확정합니다. 범위는 심사할 사업장, 조직 단위, 활동, 프로세스로 서술합니다.
• 심사 기준에는 규격의 요구사항과 함께 고객이 스스로 정해 문서화한 프로세스가 들어갑니다.

세 번째 항목이 실무에서 자주 놓칩니다. 회사가 절차서에 “설계 변경은 책임자 승인 후 반영한다”고 적었다면, 그 절차대로 운영됐는지가 심사 기준이 됩니다. 절차서에 쓴 내용은 심사원이 확인하는 대상이라는 뜻입니다.

한편 인증기관은 고객에게 요구하는 사항으로 문서 검토를 위한 준비와, 심사 범위 안의 모든 프로세스·구역·기록·인원에 대한 접근 제공을 규격에 따라 안내해야 합니다(8.5.1 d) 2)). 접근 제공 의무는 범위 안의 것에 걸리고, 범위는 협의로 정해집니다.

증거를 얻는 방식도 열람 범위를 가늠하는 단서가 됩니다. 규격은 심사 중 정보를 적절한 표본추출로 얻어 검증하라고 하고(9.4.4.1), 방법으로 면담, 프로세스와 활동의 관찰, 문서와 기록의 검토를 듭니다(9.4.4.2). 아래 표는 이 조항들을 바탕으로 한 해석이며, 어떤 건을 표본으로 고르는지는 심사팀이 정합니다.

담당자가 걱정하는 자료	심사에서 확인하려는 것(해석)	전체를 통째로 봐야 하는가
제품 도면	설계 변경이 승인 절차대로 관리되는지	표본으로 고른 변경 건의 이력을 봅니다
거래처별 원가표	견적과 계약 조건을 검토하는 절차가 운영되는지	금액 자체보다 검토 기록이 남아 있는지를 봅니다
거래처 계약서	요구사항이 확인되고 이행되는지	표본으로 고른 계약 건의 검토 기록으로 확인합니다

인증기관의 비밀유지 의무는 규격에서 어떻게 정해져 있나요

규격은 비밀유지를 원칙(4.6)으로 먼저 세웁니다. 인증기관이 고객 정보에 특별한 접근을 얻으려면 기밀 정보를 공개하지 않는 것이 필수라는 취지입니다. 구체적인 요구는 8.4와 9.9.3에 있습니다.

조항	요구하는 내용
8.4.1	위원회와 외부 기관·개인을 포함해 구조의 모든 단계에서, 심사 활동 중 얻거나 만든 모든 정보의 관리를 법적 구속력이 있는 약정으로 책임진다
8.4.2	공개하려는 정보는 미리 고객에게 알린다. 그 밖의 정보는 고객이 스스로 공개한 것을 제외하고 기밀로 본다
8.4.3	규격이 요구하는 경우를 제외하고, 특정 인증고객의 정보는 고객의 서면 동의 없이 제3자에게 공개하지 않는다
8.4.4	법이 요구하거나 계약상 허용되어(예: 인정기관과의 계약) 공개해야 하면, 법이 금지하지 않는 한 고객에게 제공한 정보를 알린다
8.4.5	불만 제기자나 규제기관처럼 고객이 아닌 출처에서 얻은 고객 정보도 인증기관의 방침에 따라 기밀로 다룬다
8.4.6	위원회 위원, 계약자, 외부 기관 인력을 포함한 모든 인원이 법이 요구하는 경우를 제외하고 정보를 비밀로 유지한다
8.4.7	기밀 정보를 안전하게 다루는 프로세스와, 해당되는 경우 장비와 시설을 갖춘다
9.9.3	신청자와 고객의 기록을 기밀이 유지되도록 안전하게 보관하고, 이동·전송할 때도 기밀을 유지한다

8.4.1과 8.4.6은 비밀유지 의무가 심사원 개인에게서 끝나지 않는다는 점을 보여 줍니다. 인증 결정에 참여하는 위원회, 계약으로 일하는 심사원, 외부 기관 인력까지 같은 의무 아래에 있습니다. 외부 심사원과 일하는 인증기관이라면 그 약정이 외부 인력에게도 미치는지가 확인할 지점입니다.

KAI인증원의 기밀유지 정책은 인증 활동 중 취득하거나 생성한 정보를 기밀로 취급하고 고객의 사전 동의 없이 제3자에게 공개하지 않으며, 법률로 공개가 요구되면 해당 조직에 사전 통보한 뒤 이행하되 법적으로 통보가 금지된 경우는 예외라고 안내합니다. 기밀로 취급하는 대상으로는 경영·기술·인사 정보, 심사 보고서와 부적합 보고서 같은 심사 기록, 인증 신청 시 제출된 정보, 불만과 이의제기 관련 정보를 듭니다.

인증서에 나오는 정보와 심사 기록은 같은 취급이 아닙니다

모든 정보가 기밀인 것은 아닙니다. 공개되는 정보와 기밀로 남는 정보의 경계는 두 곳에서 정해집니다.

• 규격은 인증기관이 요청에 응해 제공할 정보로 활동 지역, 특정 인증의 상태, 인증고객의 이름·관련 규범 문서·범위·소재지(도시와 국가)를 듭니다(8.1.2). 같은 조항의 주석은 고객이 요청하면 일부 정보의 열람을 제한하는 경우가 있을 수 있다고 하며, 그 예로 보안 사유를 듭니다.
• KAI인증원은 인증받은 조직의 명칭과 소재지, 인증 범위, 유효기간, 인증 상태를 공개 디렉토리에 게시할 수 있다고 안내하고, 심사 보고서와 부적합 보고서 같은 심사 기록은 기밀 취급 대상으로 열거합니다.

8.4.2에 따라 인증기관은 공개할 정보를 미리 고객에게 알려야 하므로, 심사를 받기 전에 어디까지 공개되는지 묻는 것은 정당한 요청입니다. 공개 정보가 실제로 어떻게 조회되는지는 ISO 인증서 진위 확인 경로에서, 공개 문서의 목록은 공개정보 페이지에서 볼 수 있습니다.

법이나 인정기관, 참관인이 들어오면 어떻게 되나요

비밀유지에는 규격이 직접 허용하는 예외가 있고, 독자가 잘 모르는 부분이 여기에 있습니다.

법과 계약에 따른 공개. 8.4.4는 법이 요구하거나 인정기관과의 계약처럼 계약상 허용되어 인증기관이 기밀 정보를 공개해야 하는 경우를 인정합니다. 이때 인증기관은 법이 금지하지 않는 한 고객에게 제공한 정보를 알려야 합니다. 인정기관이 인증기관의 업무를 확인하는 구조에서 나오는 예외입니다.

참관인. 인정기관의 평가자나 수습 심사원이 심사에 동석할 수 있도록 고객이 준비하는 것은 인증기관이 고객에게 요구하는 사항에 들어 있습니다(8.5.1 d) 3)). 참관인의 출석과 사유는 심사 전에 인증기관과 고객이 합의해야 하고(9.2.2.2.1), 규격 주석은 참관인의 예로 고객 조직 구성원, 컨설턴트, 인정기관 직원, 규제기관 등을 듭니다. 기술전문가의 역할도 심사 전에 합의 대상입니다(9.2.2.2.2).

누가 오는지 미리 알 수 있습니다. 심사 계획서는 심사 목적, 기준, 범위, 일정과 장소, 예상 소요 시간에 더해 참관인이나 통역사 같은 동행자의 역할과 책임을 담아야 하고(9.2.3.2), 심사 전에 고객에게 전달해 일정을 합의해야 합니다(9.2.3.4). 인증기관은 심사팀 구성원의 이름을 제공하고, 요청이 있으면 배경 정보도 제공해야 합니다. 고객이 특정 구성원의 배정에 이의를 제기하고 인증기관이 팀을 다시 꾸릴 수 있을 만큼의 시간을 두어야 합니다(9.2.3.5). 예를 들어 심사팀원이 경쟁 관계에 있는 회사 출신이라면 이 시점이 이의를 제기하는 자리입니다. 정당한 이의인지는 인증기관이 판단합니다.

심사 전에 합의해 둘 수 있는 것은 무엇인가요

아래 항목 중 첫째부터 넷째까지는 규격 조항이 근거이고, 다섯째는 규격에 문장이 없어 실무 권고로 구분합니다.

1. 범위 협의 때 접근이 제한되는 구역과 자료를 알립니다. 심사 범위는 고객과 협의한 뒤 확정되고(9.2.1.1), 조직 단위·활동·프로세스로 서술됩니다(9.2.1.3). 보안 구역이나 출입 제한 자료가 있으면 범위를 협의하는 단계에서 알려야 이후 계획에 반영됩니다.
2. 심사 계획서에서 동행자와 심사팀을 확인합니다. 앞에서 본 9.2.3.2와 9.2.3.5가 근거입니다.
3. 개회 회의 안건에 기밀 사항을 올립니다. 개회 회의에는 기밀과 관련된 사항의 확인, 작업 안전·비상·보안 절차의 확인, 안내자와 참관인의 확인, 표본추출에 근거한 심사 방법, 심사가 도중에 종료될 수 있는 조건의 설명이 들어갑니다(9.4.2). 질문할 기회도 규격이 보장합니다. 개회 회의의 흐름은 최초 인증심사 1단계와 2단계에서 함께 볼 수 있습니다.
4. 안내자 동행을 활용합니다. 심사팀장과 고객이 달리 합의하지 않는 한 심사원마다 안내자가 동행하고(9.2.2.2.3), 규격 주석은 안내자의 역할로 보안 규칙이 지켜지는지 확인하는 일과 고객을 대신해 심사에 입회하는 일을 듭니다. 보안 구역은 안내자 입회를 조건으로 확인하는 방식으로 협의할 수 있습니다.
5. 사본 반출, 촬영, 가림 처리, 열람 장소는 서면으로 확인합니다(실무 권고). 이 항목들을 정한 문장은 확인한 조항에 없습니다. 인증기관의 규정과 계약이 기준이므로, 해당 인증기관에 비밀유지 약정의 범위를 문의할 때 함께 묻는 것이 좋습니다.

보여줄 수 없다고 하면 심사는 어떻게 되나요

규격에서 확인한 사실은 세 가지입니다.

• 접근 제공은 인증기관이 고객에게 요구하는 사항입니다(8.5.1 d) 2)).
• 수집한 증거로 보아 심사 목적을 달성할 수 없으면, 심사팀장이 이를 고객과 인증기관에 보고하고 조치를 정합니다. 조치에는 계획의 재확인이나 수정, 심사 목적이나 범위의 변경, 심사 종료가 포함될 수 있습니다(9.4.3.2).
• 심사 중 범위를 바꿔야 할 필요가 보이면 심사팀장이 고객과 검토하고 인증기관에 보고합니다(9.4.3.3).

반대로 확인한 조항에는 “특정 자료의 열람 거부는 곧 부적합이다”, “곧 인증 정지다”라고 쓴 문장이 없습니다. 어느 선부터 심사 방해로 보는지는 규격이 정하지 않고 인증기관의 규정과 계약이 정합니다. KAI인증원의 인증 규칙 및 조건은 사후심사나 갱신심사의 거부·지연을 정지 사유로 두고 있는데, 이는 심사 자체의 거부·지연에 관한 항목이어서 특정 자료의 열람 거부를 같은 것으로 본다는 뜻인지는 공개 페이지에서 확인되지 않습니다.

여기서부터는 해석과 권고입니다. 보여줄 수 없는 이유와 함께 같은 심사 목적을 달성할 다른 확인 방법을 먼저 제안하면 거부로 읽히지 않습니다. 가림 처리한 사본, 안내자 입회 아래 현장에서만 하는 확인, 해당 기록의 요약 같은 방법이 후보입니다. 이 방법이 증거로 충분한지는 심사팀이 판단합니다. 심사 준비 전반은 ISO 인증심사 준비 체크리스트와 함께 볼 수 있습니다.

이 글이 확인하지 못한 것

• 조항은 ISO/IEC 17021-1:2015의 공개 사본으로 대조했습니다. 이후의 추록이 8.4 등에 영향을 주는지는 별도로 대조하지 않았습니다.
• KAI인증원의 인증 계약서, 약관, 심사원 비밀유지 약정의 문안은 공개 페이지에 없어 확인하지 못했습니다. 규격 8.4.3은 서면 동의를 요구하고 KAI인증원 공개 페이지는 사전 동의로 적고 있는데, 동의 형식이 실제로 어떻게 운영되는지는 계약과 절차 문서로 확인해야 합니다.
• 사본 반출, 촬영, 가림 처리의 허용 여부는 확인한 규격 조항이 정하지 않아 인증기관별 규정으로 남겼습니다.
• 영업비밀 보호에 관한 국내 법령의 조문과 책임의 범위는 다루지 않았습니다.

확인한 출처와 확인일

2026년 11월 12일 확인.

• ISO/IEC 17021-1:2015 — 4.6(비밀유지 원칙), 8.1.2(공개 정보 제공), 8.4의 8.4.1부터 8.4.7까지(비밀유지), 8.5.1(고객에게 알릴 정보와 요구사항), 9.2.1(심사 목적·범위·기준), 9.2.2.2(참관인·기술전문가·안내자), 9.2.3.2부터 9.2.3.5까지(심사 계획서와 심사팀 통지), 9.4.2(개회 회의), 9.4.3(심사 중 의사소통), 9.4.4(정보 수집과 검증), 9.9.3(고객 기록의 보안). 공개된 사본(https://law.resource.org/pub/us/cfr/ibr/inc/iec/iec.17021-1.2015.pdf)으로 조항 번호와 내용을 대조했고, 문장은 풀어 썼습니다.
• KAI인증원, 기밀유지 정책, 인증 규칙 및 조건, 공개정보.