성적서 뒤에 숨은 세 가지 얼굴, 일반성적서와 KOLAS 그리고 GS인증이 갈리는 지점
공공 소프트웨어 사업 공고문을 처음 펼쳐 든 담당자라면 누구나 비슷한 순간을 맞는다. 자격 요건 칸에 나란히 적힌 일반시험성적서, KOLAS 공인시험성적서, GS인증이라는 세 단어 앞에서 어떤 서류부터 손에 쥐어야 할지 막막해지는 순간이다. 이 글은 그 막막함을 실제로 겪어본 사람의 시선으로, 세 서류가 각각 어떤 무게를 갖는지 풀어 쓴 기록이다.
같은 '성적서'라는 이름 안에 전혀 다른 두 세계가 있다
먼저 짚어야 할 것은 시험성적서라는 단어 자체가 두 갈래로 나뉜다는 사실이다.
일반시험성적서는 고객이 직접 제시한 요구사항이나, 정부 R&D 과제 계획서에 적힌 정량적 목표치를 기준으로 시험을 진행한 뒤 그 결과만을 담아 발급하는 문서다. 예를 들어 과제계획서에 '동시접속자 500명 이상, 응답속도 2초 이내'라고 써 두었다면, 시험기관은 그 숫자를 그대로 검증 기준으로 삼아 결과를 성적서에 담는다. 발급 절차가 비교적 간단하고 비용과 기간 부담이 적어서, 정부 R&D 과제 종료 시 성능지표 달성 여부를 증빙하는 용도로 가장 많이 쓰인다.
문제는 이 성적서가 시험기관 스스로 정한 방식으로 검증했다는 점이다. 국제적으로 통용되는 표준 절차를 거쳤다는 보증이 없다 보니, 과제 보고서 제출 같은 특정 목적 바깥으로 나가면 효력이 급격히 약해진다.
KOLAS 마크가 붙는 순간 성적서의 신뢰도가 국경을 넘는다
반면 KOLAS 공인시험성적서는 완전히 다른 층위의 신뢰를 담보한다. KOLAS는 국가표준기본법에 근거해 운영되는 한국인정기구로, ISO/IEC 17025라는 국제표준에 따라 시험기관의 기술 역량과 경영시스템을 심사한 뒤 특정 시험 항목에 한해 공인 자격을 부여한다.
여기서 핵심은 '항목 단위 인정'이라는 구조다. 어떤 시험기관이 KOLAS로부터 인정받은 항목은 정해져 있고, 그 범위 안에서 시험을 수행했을 때만 KOLAS 마크가 찍힌 공인성적서를 발급할 수 있다. 그래서 시험을 의뢰하기 전에는 내가 필요로 하는 항목이 실제로 그 기관의 인정 범위 안에 들어 있는지부터 확인해야 한다.
이렇게 발급된 성적서는 ILAC 상호인정협정 체계 아래 다른 국가의 공인기관 성적서와 동등한 효력을 인정받는다. 국내에서 받은 보안성 시험 결과 하나로 해외 바이어에게 별도의 재시험 요구 없이 신뢰를 줄 수 있다는 뜻이다. 실무적으로는 개별 기능이나 특정 품질 특성 하나를 객관적으로 입증하고 싶을 때, 그리고 그 입증이 국내를 넘어 통용되어야 할 때 KOLAS 성적서를 택하게 된다.
GS인증은 성적서가 아니라 제품 전체에 매기는 등급이다
여기까지 오면 자연스럽게 궁금해진다. 그렇다면 GS인증은 KOLAS 성적서보다 상위 개념인 걸까. 정확히는 카테고리 자체가 다르다.
일반성적서와 KOLAS성적서가 특정 시험 항목에 대한 결과지라면, GS인증은 소프트웨어 제품 전체를 놓고 기능적합성, 성능효율성, 호환성, 사용성, 신뢰성, 보안성, 유지보수성, 이식성이라는 여덟 가지 품질 특성을 종합 평가해 등급을 부여하는 제도다. 평가 근거는 ISO/IEC 25023과 ISO/IEC 25051이라는 국제표준이며, 시험원은 신청 기업이 제출한 제품설명서를 사양서 삼아 실제 소프트웨어가 그 사양대로 동작하는지를 하나하나 대조한다.
실제로 이 검증 과정에서 흥미로운 지점이 있다. 제품설명서에 '최대 동시 사용자 수 1,000명'처럼 구체적인 성능 수치를 적어 넣으면, 그 숫자가 그대로 합격 기준이 되어 돌아온다. 낙관적으로 적은 목표치가 스스로를 겨누는 화살이 되는 셈이라, 실측 데이터 없이 사양서를 작성하는 것은 금물이다. 이 대목에서 GS인증 심사가 단순한 서류 검토가 아니라 실제 사용 환경을 재현한 실측 위주의 절차라는 사실이 드러난다.
조달 시장에서 GS인증이 가지는 무게는 성적서와 차원이 다르다
GS인증이 특별한 대접을 받는 이유는 품질 평가의 깊이 때문만은 아니다. 이 인증은 법령과 직접 연결되어 있다.
「소프트웨어사업 계약 및 관리감독에 관한 지침」에 따라 일정 규모 이상의 공공 정보화 사업에서 상용 소프트웨어를 구매할 때, 발주기관은 이를 통합 발주에 묶지 않고 직접 구매하도록 하는 대상 목록이 있는데, GS인증 제품이 그 목록의 첫 자리를 차지한다. 통합 발주 구조에서는 개발사가 주사업자의 하도급 협력사로 들어가 단가와 대금 회수를 주사업자에게 의존하게 되지만, 직접구매 대상이 되면 발주기관과 직접 계약을 맺고 제품 가격 기준으로 대금을 회수할 수 있다. 실적 인정 역시 명확한 공공 납품 실적으로 남는다.
여기에 조달청 나라장터 종합쇼핑몰 등록, 우선구매제도, 다수공급자계약 같은 제도적 장치가 더해지면서, GS인증은 단순한 품질 마크를 넘어 공공 조달 시장에 들어가는 입장권에 가까운 성격을 갖게 된다. 실제로 GS인증 1등급을 획득한 기업들이 보도자료를 낼 때 하나같이 공공·행정 정보화 사업에서의 우선 도입을 언급하는 것도 이런 배경 때문이다.
세 서류를 나란히 놓고 보면 준비해야 할 시간과 비용의 결이 다르다
실무자 입장에서 가장 체감되는 차이는 결국 시간과 비용이다. 일반성적서는 시험 항목이 명확하다면 비교적 짧은 기간 안에 받아낼 수 있다. KOLAS 공인시험성적서는 인정 범위 확인과 시험 일정 조율에 시간이 더 들지만, 개별 항목 검증이라는 점에서 범위는 제한적이다.
GS인증은 완전히 다른 스케일의 프로젝트에 가깝다. 서류와 제품이 완벽하게 준비된 이상적인 상황에서도 표준 소요 기간이 약 두 달이고, 접수 대기와 서류 보완, 시험 중 발견된 기능 오류나 문서 불일치를 수정하는 기간까지 더하면 체감 소요 기간은 서너 달을 넘기는 경우가 흔하다. 제품설명서와 사용자설명서를 국제표준이 요구하는 수준으로 다듬는 작업만으로도 상당한 내부 리소스가 들어간다.
흥미로운 점은 이 세 서류가 완전히 독립적으로만 쓰이지는 않는다는 사실이다. GS인증 심사 과정에서 보안성처럼 고도의 전문성이 필요한 항목은 KOLAS 공인시험기관이 수행한 성적서로 갈음되는 경우도 있다. 세 제도가 서로 배타적인 관계라기보다, 목적에 따라 층위를 달리해 맞물려 돌아가는 구조에 가깝다는 뜻이다.
결국 선택은 '이 서류로 무엇을 증명하고 싶은가'에서 갈린다
정부 R&D 과제 보고서 한 장을 완성하기 위한 목적이라면 일반성적서로 충분한 경우가 많다. 특정 기능이나 보안성 하나를 국제적으로 통용되는 근거로 입증해야 한다면 KOLAS 공인시험기관의 문을 두드리는 편이 맞다. 그리고 조달 시장에 정식으로 진입해 우선구매와 직접구매라는 제도적 혜택까지 가져가고 싶다면, 시간과 비용을 들여서라도 GS인증이라는 관문을 통과하는 수밖에 없다.
서류 이름이 비슷해 보인다는 이유로 아무 성적서나 준비했다가 정작 공고문이 요구하는 조건과 맞지 않아 처음부터 다시 시작하는 경우를 여러 번 지켜봤다. 지금 손에 쥔 공고문에 적힌 단어 하나하나를 다시 한번 꼼꼼히 읽어보는 일에서부터 시작하는 것이 가장 빠른 길이라는 생각이 든다.