개념
공고문 앞에서 막히는 그 순간
공공 소프트웨어 사업 공고문을 처음 펼쳐 든 담당자는 대개 같은 지점에서 멈춘다. 자격요건 칸에 이런 단어들이 나란히 적혀 있다.
- 제출서류: 시험성적서 사본 1부
- 우대사항: GS인증 보유 제품
- 성능 증빙: 공인시험기관 발행 성적서
시험성적서, 공인시험기관, GS인증. 세 단어가 비슷하게 생겼는데 어느 것부터 손에 쥐어야 할지 알 수 없다. 그래서 흔히 벌어지는 일이 있다. 가장 빨리 받을 수 있는 서류를 먼저 받아두고 나중에 "이건 요구 조건과 다릅니다"라는 답을 듣는 것이다. 몇 주와 수백만 원이 그 한 번의 오판에 사라진다.
레슨 3에서 ISO/IEC 25023의 측정량과 GS인증의 관계를 봤다. 이 레슨은 그 바깥으로 한 걸음 더 나간다. "품질을 잰다"와 "그 측정 결과에 제3자가 효력을 부여한다"는 서로 다른 일 이고, 그 효력에는 층위가 있다는 이야기다.
같은 '성적서'라는 이름 안의 두 세계
먼저 짚어야 할 것은 시험성적서라는 단어 자체가 두 갈래로 나뉜다는 사실이다. 발급하는 기관이 같아도, 심지어 시험 장비가 같아도, 성적서 표지에 특정 마크가 있느냐 없느냐로 문서의 무게가 달라진다.
일반시험성적서 는 고객이 직접 제시한 요구사항이나, 정부 R&D 과제 계획서에 적힌 정량적 목표치를 기준으로 시험을 진행한 뒤 그 결과만 담아 발급하는 문서다. 예를 들어 과제계획서에 "동시접속자 500명 이상, 평균 응답시간 2초 이내"라고 써 두었다면, 시험기관은 그 숫자를 그대로 검증 기준으로 삼고 결과를 성적서에 적는다.
발급 절차가 비교적 간단하고 비용·기간 부담이 적어서, 정부 R&D 과제 종료 시 성능지표 달성 여부를 증빙하는 용도로 가장 많이 쓰인다. 과제 최종보고서의 "정량적 목표 달성 여부" 칸을 채우는 데는 이 성적서로 충분한 경우가 많다.
문제는 이 성적서가 시험기관이 스스로 정한 방식으로 검증했다 는 점이다. 국제적으로 통용되는 표준 절차를 거쳤다는 보증이 붙지 않으므로, 과제 보고서 제출 같은 특정 목적 바깥으로 나가면 효력이 급격히 약해진다. 해외 바이어가 "이 결과를 어떤 절차로 얻었습니까"라고 물으면 답할 근거가 성적서 안에 없다.
KOLAS 마크가 붙는 순간 신뢰도가 국경을 넘는다
반면 KOLAS 공인시험성적서 는 완전히 다른 층위의 신뢰를 담보한다. KOLAS(Korea Laboratory Accreditation Scheme)는 국가표준기본법에 근거해 운영되는 한국인정기구로, ISO/IEC 17025 라는 국제표준에 따라 시험기관의 기술 역량과 경영시스템을 심사한 뒤 특정 시험 항목에 한해 공인 자격을 부여한다.
여기서 초심자가 가장 자주 놓치는 것이 '항목 단위 인정'이라는 구조다.
KOLAS 인정은 "이 시험소는 훌륭합니다"라는 포괄적 도장이 아니다. "이 시험소는 이 항목을 이 방법으로 시험할 때 공인 성적서를 낼 수 있습니다"라는, 범위가 명시된 인정이다.
그래서 시험을 의뢰하기 전에 확인해야 할 것은 기관의 명성이 아니라 내가 필요로 하는 항목이 그 기관의 인정 범위(scope) 안에 들어 있는가 다. 인정 범위 밖의 시험을 의뢰하면 그 기관도 KOLAS 마크가 없는 일반 성적서밖에 발급하지 못한다. 이 사실을 모르고 "공인기관에 맡겼으니 공인성적서가 나오겠지"라고 생각했다가 마지막에 어긋나는 사례가 흔하다.
ISO/IEC 17025가 심사하는 것은 크게 두 축이다.
- 기술적 요구사항 — 시험원의 자격과 훈련, 장비의 교정 상태와 소급성 (traceability), 시험 방법의 유효성 확인, 측정 불확도의 추정, 시험 환경의 관리
- 경영시스템 요구사항 — 문서·기록 관리, 부적합 업무의 처리, 시정 조치, 내부 심사와 경영 검토, 고객 불만 처리
QA 관점에서 이 목록을 보면 낯이 익을 것이다. 모듈 8의 ISO/IEC/IEEE 29119가 테스트 프로세스에 요구하는 것과 구조가 같다. "결과를 냈다"가 아니라 "그 결과가 재현 가능한 절차에서 나왔음을 문서로 보일 수 있다"를 요구한다는 점에서 그렇다.
이렇게 발급된 성적서는 ILAC 상호인정협정(ILAC-MRA) 체계 아래 다른 국가 공인기관의 성적서와 동등한 효력을 인정받는다. 국내에서 받은 보안성 시험 결과 하나로 해외 바이어에게 별도 재시험 요구 없이 신뢰를 줄 수 있다는 뜻이다. 실무적으로는 개별 기능이나 특정 품질 특성 하나를 객관적으로 입증하고 싶을 때, 그리고 그 입증이 국내를 넘어 통용되어야 할 때 KOLAS 성적서를 택한다.
시험소도 시험을 받는다 — 숙련도 시험과 KS Q ISO 13528
여기서 한 겹 더 들어가면 흥미로운 구조가 보인다. 시험소가 "우리는 정확하게 잽니다"라고 주장하는 것을 누가 검증하는가?
숙련도 시험(Proficiency Testing) 이 그 답이다. 여러 시험소에 같은 시료·같은 대상을 보내 각자 측정하게 한 뒤, 결과가 서로 얼마나 일치하는지 통계적으로 판정한다. 이때 쓰이는 통계 방법을 규정한 것이 KS Q ISO 13528(시험소 간 비교에 의한 숙련도 시험에서의 통계적 방법) 이다.
핵심 지표는 두 가지다.
| 지표 | 무엇을 보는가 | 판정 기준(일반적 관행) |
|---|---|---|
| z 점수 | 내 측정값이 기준값에서 표준편차의 몇 배만큼 떨어져 있는가 | |z| ≤ 2 만족, 2 < |z| < 3 경고, |z| ≥ 3 부적합 |
| En 수 | 측정 불확도까지 감안했을 때 기준값과 겹치는가 | |En| ≤ 1 만족, |En| > 1 부적합 |
z 점수가 "값이 얼마나 멀리 있나"를 보는 지표라면, En 수는 "내가 스스로 선언한 불확도 범위 안에서 설명되는 차이인가" 를 본다. 불확도를 크게 잡으면 En은 통과하기 쉬워지지만, 그만큼 "우리 측정은 정밀하지 않습니다"라고 선언하는 셈이 된다. 느슨하게 잡아도 손해가 돌아오는 구조다.
QA 엔지니어가 이 개념을 알아둘 가치는 분명하다. 모듈 18b(레슨 5)에서 다루는 비결정적 출력의 통계적 검증과 발상이 같기 때문이다. 한 번의 측정을 절대적 진실로 보지 않고, 분포와 불확실성을 함께 보고하는 태도. 성적서 세계에서는 그것이 수십 년 전에 이미 제도로 굳어져 있다.
표준에 없는 항목을 재야 할 때 — KS X ISO/IEC 25021
레슨 3에서 ISO/IEC 25023이 측정량을 제공한다고 배웠다. 그런데 실무에서는 규격이 제시한 측정량으로 커버되지 않는 것을 재야 하는 순간이 온다. AI 모델의 응답 적절성, 특정 산업 도메인의 처리 정확도 같은 것들이다.
이때 근거가 되는 것이 KS X ISO/IEC 25021 — 품질 측정 요소(QME, Quality Measure Element) 다. 이 규격은 완성된 측정량이 아니라 측정량을 조립할 때 쓰는 부품 을 정의한다. "명세된 기능의 수", "실패한 실행의 수", "경과 시간" 같은 원소들이 QME이고, 측정량은 이 원소들을 조합한 결과다.
QME(부품) → 측정량(조립품)
────────────────────────────────────────────────
A = 명세된 기능의 수
B = 정상 동작 확인된 기능의 수 → 기능 구현 충족도 = B / A
C = 실행한 케이스 수
D = 기대 결과와 일치한 케이스 수 → 기능 정확성 = D / C표준에 없는 측정 항목을 새로 정의해야 할 때, 25021이 규정하는 QME 정의 형식(이름, 설명, 측정 방법, 입력 데이터, 척도 유형, 측정 시점)에 맞춰 적으면 그 지표는 "우리 팀이 임의로 만든 숫자"가 아니라 정의가 명시된 측정량 이 된다. 심사에서도, 팀 내부에서도 방어 가능한 형태가 되는 것이다.
GS인증은 성적서가 아니라 제품 전체에 매기는 등급이다
여기까지 오면 자연스러운 질문이 나온다. 그렇다면 GS인증은 KOLAS 성적서보다 상위 개념인가? 정확히는 카테고리 자체가 다르다.
일반성적서와 KOLAS 성적서가 특정 시험 항목에 대한 결과지 라면, GS인증은 소프트웨어 제품 전체를 놓고 레슨 2에서 배운 여덟 가지 품질 특성 — 기능적합성·성능효율성·호환성·사용성·신뢰성·보안성·유지보수성· 이식성 — 을 종합 평가해 등급을 부여하는 제도 다.
평가 근거는 ISO/IEC 25023(품질 측정)과 ISO/IEC 25051(즉시 사용 가능한 소프트웨어 제품, RUSP의 품질 요구사항)이라는 국제표준이며, 시험원은 신청 기업이 제출한 제품설명서를 사양서 삼아 실제 소프트웨어가 그 사양대로 동작하는지를 하나하나 대조한다.
여기서 실무자가 반드시 알아야 할 함정이 하나 있다.
제품설명서에 적은 수치가 그대로 합격 기준이 되어 돌아온다.
"최대 동시 사용자 수 1,000명"이라고 낙관적으로 적어 넣으면, 시험은 1,000명을 실제로 걸어보는 것으로 진행된다. 실측 데이터 없이 사양서를 쓰는 것은 스스로를 겨누는 화살을 만드는 일이다.
이 대목에서 GS인증 심사가 단순한 서류 검토가 아니라 실제 사용 환경을 재현한 실측 위주의 절차 라는 사실이 드러난다. 그래서 사양서 작성 단계에 QA가 참여하지 않으면 나중에 반드시 문제가 된다. 마케팅이 쓴 숫자와 QA가 측정한 숫자가 다를 때, 심사에서 이기는 쪽은 언제나 측정값이다.
1등급과 2등급 — 낮은 점수가 2등급이 되는 것이 아니다
GS인증에는 1등급과 2등급이 있는데, 흔한 오해가 있다. 점수가 모자라서 2등급이 나오는 것이 아니라, 신청할 때 어느 쪽으로 갈지 정한다.
| 1등급 | 2등급 | |
|---|---|---|
| 평가 대상 | 제품 품질 8대 특성 전반 | 유지보수·운영지원·교육훈련 체계, 공공업무 적합성 중심 |
| 시험 방식 | 유형별 테스트케이스 개발·수행, 결함 리포트 발행 후 수정본에 대한 회귀시험 | 절차가 상대적으로 간단 |
| 소요·비용 | 크다 | 작다 |
1등급이 왜 무거운지는 "결함 리포트 발행 후 회귀시험"이라는 한 줄에 다 들어 있다. 한 번의 시험으로 끝나지 않는다. 시험원이 결함을 찾으면 기업이 수정하고, 수정본을 다시 시험한다. 이 왕복이 몇 회 반복되느냐가 전체 기간을 결정한다. 즉 신청 전 제품의 상태가 곧 인증 기간 이다.
조달 시장에서 GS인증이 갖는 무게
GS인증이 특별한 대접을 받는 이유는 품질 평가의 깊이 때문만은 아니다. 제도와 직접 연결되어 있기 때문이다.
공공 정보화 사업에서 상용 소프트웨어를 구매할 때, 발주기관이 이를 통합 발주에 묶지 않고 직접 구매(분리발주) 하도록 하는 대상 목록이 있는데, GS인증 제품이 그 목록의 대표적 자리를 차지한다. 이 차이가 개발사에게 어떤 의미인지 표로 보면 명확하다.
| 통합 발주에 묶일 때 | 직접구매 대상일 때 | |
|---|---|---|
| 계약 상대 | 주사업자(SI)의 하도급 협력사 | 발주기관과 직접 계약 |
| 대금 결정 | 주사업자가 정한 단가 | 제품 가격 기준 |
| 대금 회수 | 주사업자를 거침 | 발주기관에서 직접 |
| 실적 인정 | 하도급 참여 실적 | 명확한 공공 납품 실적 |
여기에 조달청 나라장터 종합쇼핑몰 등록, 우선구매 제도, 다수공급자계약 (MAS) 같은 장치가 더해지면서, GS인증은 단순한 품질 마크를 넘어 공공 조달 시장의 입장권 에 가까운 성격을 갖게 된다. GS인증 1등급을 획득한 기업들의 보도자료가 하나같이 공공·행정 정보화 사업에서의 우선 도입을 언급하는 것도 이 배경 때문이다.
⚠️ 가점·계약 방식·분리발주 대상 고시는 개정된다. 이 레슨의 표는 구조를 이해하기 위한 것이고, 실제 사업에서는 그 시점의 공고문과 관련 고시를 반드시 다시 확인해야 한다.
세 서류를 나란히 놓고 보기
이제 전체를 한 장에 정리할 수 있다.
| 일반시험성적서 | KOLAS 공인시험성적서 | GS인증 | |
|---|---|---|---|
| 성격 | 시험 결과지 | 공인 시험 결과지 | 제품 인증(등급 부여) |
| 평가 범위 | 의뢰인이 지정한 항목 | 인정 범위 내의 특정 항목 | 제품 전체(8대 품질 특성) |
| 기준의 출처 | 고객 요구사항, R&D 과제 목표치 | 규정된 시험 방법 | 제품설명서 + ISO/IEC 25023·25051 |
| 근거 규격 | (기관 자체 절차) | ISO/IEC 17025 | ISO/IEC 25023, 25051 |
| 국제 통용 | 사실상 없음 | ILAC-MRA로 상호 인정 | 국내 제도 중심 |
| 전형적 용도 | 정부 R&D 과제 성능지표 증빙 | 특정 기능·보안성의 객관적 입증, 수출 대응 | 공공 조달 진입, 직접구매·우대 |
| 기간 감각 | 항목이 명확하면 짧다 | 인정범위 확인·일정 조율로 중간 | 표준 2개월, 체감 3~4개월+ |
| QA의 주 업무 | 목표치와 시험 조건 정의 | 항목 정의, 인정범위 사전 확인 | 사양서-제품 정합성, 결함 이력 관리 |
가장 실감나는 차이는 결국 시간 이다. GS인증은 서류와 제품이 완벽하게 준비된 이상적인 상황에서도 표준 소요가 약 두 달이고, 접수 대기·서류 보완·시험 중 발견된 기능 오류나 문서 불일치를 고치는 기간까지 더하면 체감 서너 달을 넘기는 경우가 흔하다. 제품설명서와 사용자설명서를 국제표준이 요구하는 수준으로 다듬는 작업만으로도 상당한 내부 리소스가 들어간다.
세 제도는 배타적이지 않다 — 서로 맞물린다
흥미로운 점은 이 세 서류가 완전히 독립적으로만 쓰이지 않는다는 사실이다. GS인증 심사 과정에서 보안성처럼 고도의 전문성이 필요한 항목은 KOLAS 공인시험기관이 수행한 성적서로 갈음되는 경우 가 있다.
┌─────────────────────────────────────────┐
│ GS인증 (제품 전체 8대 특성 종합 평가) │
│ │
│ 기능적합성 성능효율성 호환성 사용성 │
│ 신뢰성 [ 보안성 ] 유지보수성 이식성 │
│ ↑ │
│ KOLAS 공인성적서로 갈음 가능 │
└─────────────────────────────────────────┘
↑
ISO/IEC 17025 인정 시험소
↑
KS Q ISO 13528 숙련도 시험세 제도가 서로 배타적인 관계라기보다, 목적에 따라 층위를 달리해 맞물려 돌아가는 구조 라는 뜻이다. 아래로 갈수록 "누가 그 측정을 믿을 수 있게 하는가"라는 질문에 답하고, 위로 갈수록 "그래서 이 제품을 시장에서 어떻게 취급할 것인가"라는 질문에 답한다.
결국 선택은 "무엇을 증명하고 싶은가"에서 갈린다
정리하면 판단 기준은 하나다.
- 정부 R&D 과제 보고서를 완성하는 것이 목적 → 일반시험성적서로 충분한 경우가 많다. 과제계획서의 정량 목표를 그대로 시험 조건으로 옮기면 된다.
- 특정 기능이나 보안성 하나를 국제적으로 통용되는 근거로 입증 → KOLAS 공인시험기관의 문을 두드린다. 단, 의뢰 전에 인정 범위부터 확인한다.
- 조달 시장에 정식 진입해 우선구매·직접구매 혜택까지 → 시간과 비용을 들여 GS인증이라는 관문을 통과하는 수밖에 없다.
서류 이름이 비슷해 보인다는 이유로 아무 성적서나 준비했다가, 정작 공고문이 요구하는 조건과 맞지 않아 처음부터 다시 시작하는 경우는 드물지 않다. 지금 손에 쥔 공고문의 단어 하나하나를 다시 읽는 일 에서 시작하는 것이 가장 빠른 길이다.
실무에서 왜 필요한가
인증과 성적서는 흔히 "인증팀 일" 또는 "영업 일"로 분류되지만, 실제로 일이 떨어지는 곳은 QA다. 이유는 단순하다. 인증이 요구하는 것 대부분이 QA가 평소에 만드는 산출물 이기 때문이다.
기능 목록, 테스트 케이스, 실행 결과, 결함 이력, 수정 후 회귀 결과, 사용자 매뉴얼과 실제 동작의 일치 여부. 이 목록은 GS인증 제출물 목록이자 QA의 일상 산출물 목록이다. 평소에 이것들을 굴려두면 인증 준비는 정리 작업 으로 끝나고, 그렇지 않으면 창작 작업 이 된다. 그리고 결함 수정 이력은 소급 창작이 사실상 불가능하다.
성능 목표치를 다루는 방식도 달라진다. 레슨 3에서 "목표치의 출처를 적어라"고 배웠는데, 인증 맥락에서 그 습관은 곧바로 돈이 된다. 사양서에 적힌 수치가 실측에서 나온 것이면 시험은 확인 절차 이고, 희망에서 나온 것이면 시험은 실패 후 재시험 루프 가 된다. 제품설명서 초안이 돌 때 QA가 "이 숫자는 어디서 나왔습니까"라고 묻는 것만으로 몇 주를 아낄 수 있다.
수출을 겨냥하는 조직이라면 KOLAS와 ILAC-MRA의 구조를 아는 것 자체가 협상 카드다. 바이어가 자국 시험을 요구할 때 "이 성적서는 ILAC 상호인정 체계 아래 발행됐습니다"라고 말할 수 있는 것과, 재시험 비용과 일정을 그대로 떠안는 것 사이의 차이는 크다.
채용시장에서의 위치
국내 SI·솔루션·임베디드 업계 공고에서 "GS인증 대응 경험", "공인시험성적서 발급 경험", "조달 등록 경험" 같은 문구는 꾸준히 등장한다. 이 문구가 실제로 요구하는 능력은 규격 번호 암기가 아니라 제품설명서–기능 목록–테스트 케이스–결함 이력을 서로 어긋나지 않게 유지해본 경험 이다.
면접에서 특히 힘을 갖는 답변은 이런 형태다. "사양서에 적힌 동시접속 1,000명이 실측 근거가 없다는 것을 확인하고, 인증 신청 전에 부하 테스트로 실측치 620명을 확보해 사양서를 조정했습니다. 그 결과 재시험 없이 통과했고 일정이 6주 단축됐습니다." 규격을 아는 사람은 많지만, 규격이 요구하는 숫자를 미리 실측해 위험을 제거해본 사람 은 드물다.
시험인증기관(TTA·KTL 등) 자체도 QA 경력자의 채용 시장이다. 시험원 직무는 "남의 제품을 규격에 대조해 검증하는 일"이라, 테스트 설계와 문서화 능력이 그대로 직무 역량이 된다.