작성자: Nicole Ogonowska, IT Growth Manager, Digital Colliers

만약 귀사의 컴플라이언스(Compliance) 분석가들이 감사를 앞두고 밤 11시에 CSV 파일을 추출하고 있다면, 벌금은 귀사가 지불하고 있는 첫 번째 비용이 아닙니다. 그것은 두 번째 비용입니다. 첫 번째 비용은 이미 손익계산서(P&L)에 반영되어 있으며, 계속해서 증가하고 있습니다.

함께 계산해 봅시다. 대부분의 운영사는 이를 계산해 본 적이 없기 때문입니다.

아무도 슬라이드에 담지 않는 분석가 시간 계산법

20명의 컴플라이언스 팀을 보유한 영국의 중견 라이선스 운영사를 상상해 보십시오. Kindred는 2023년에 1,400만 파운드의 컴플라이언스 팀 비용을 공개적으로 보고했습니다. 귀사가 실제로 운영하는 인원수에 맞춰 그 규모를 조정해 보십시오. 이제 그 업무 시간 중 얼마만큼이 판단(Judgment)에 쓰이고, 얼마만큼이 데이터 추출(Fetching data)에 쓰이는지 질문해 보십시오.

제가 본 대부분의 운영사에서 그 비율은 정말 끔찍합니다:

• 분석가들이 3~4개의 서로 다른 데이터베이스(Database)를 대상으로 임시 SQL(Ad-hoc SQL)을 작성합니다.
• 플랫폼 엔지니어링 팀이 새로운 테이블(Table)에 대한 접근 권한을 부여할 때까지 기다립니다.
• 결제 시스템의 입금 데이터와 게임 서버의 세션 데이터를 수동으로 대조(Reconcile)합니다.
• 아무도 이를 프로덕션화(Productionised)하지 않았기 때문에 매달 동일한 지불 능력(Affordability) 보고서를 다시 만듭니다.

영국의 지불 능력 트리거(Affordability trigger)가 30일 이동 평균 기준 순 입금액 150파운드로 설정되어 있는 상황에서, 이러한 대조 작업은 선택 사항이 아닙니다. 이 기준을 넘어서는 모든 플레이어를 반드시 포착해야 합니다. 만약 분석가들이 화요일 아침에 쿼리(Query)를 실행하여 그들을 찾아내고 있다면, 월요일 밤에 기준을 넘긴 플레이어들은 이미 놓친 것입니다.

이것은 컴플라이언스 문제가 아닙니다. 컴플라이언스라는 모자를 쓰고 있는 데이터 통합(Data Integration) 문제입니다.

업스택(Up-stack) 작업 대 다운스택(Down-stack) 작업

도움이 될 만한 프레임워크를 소개합니다. 컴플라이언스 업무는 두 가지 계층으로 나뉩니다.

다운스택(Down-stack) 작업은 배관(Plumbing) 작업입니다. 테이블 조인(Joining tables), 로그 추출(Pulling logs), 시스템 간 식별자 대조(Reconciling identifiers), 통화 정규화(Normalising currency), 플레이어 기록 중복 제거(Deduping player records), 정해진 일정에 따른 동일 쿼리 실행 등이 이에 해당합니다. 이 작업에는 정답이 있습니다. 기계가 수행해야 하는 작업입니다.

**Up-stack work (상위 계층 작업)**은 판단의 영역입니다. 플래그(flag)가 지정된 플레이어를 보고 이 패턴이 문제성 도박(problem gambling)인지 아니면 단순한 총각 파티(stag do)인지 결정하는 일입니다. 자금 출처(source-of-funds) 문서를 읽고 그 내용이 타당한지 결정하는 일입니다. 새로운 UKGC(영국 도박 위원회) 가이드라인을 해석하고 그것이 귀사의 제품에 무엇을 의미하는지 결정하는 일입니다. 이 작업에는 정답이 없습니다. 사람이 수행해야 하며, 귀사의 가장 뛰어난 인재들이 이 일을 수행하기를 원할 것입니다.

영국 라이선스를 보유한 운영사 중 대략 4곳 중 1곳은 첫 평가에서 만족스러운 AML(자금세탁방지) 등급을 받지 못합니다. 그들에게 실패 원인이 무엇인지 물어보면, 거의 예외 없이 판단(judgment) 계층의 문제가 아닙니다. 바로 플러밍(plumbing, 배관/기초 인프라) 계층의 문제입니다. 데이터가 여섯 군데에 흩어져 있었기 때문에 분석가가 패턴을 식별할 수 없었던 것입니다.

UKGC의 RCI 가이드라인은 2022년 8월에 시행되었으며 2024년에 다시 확장되었습니다. 확장이 거듭될수록 더 많은 down-stack work(하위 계층 작업)가 추가됩니다. 플러밍(plumbing)을 자동화하지 않으면, 분석가를 더 많이 고용하거나 아니면 무언가를 놓치게 됩니다.

데이터 엔지니어링이 뒷받침될 때 컴플라이언스의 실제 모습

이 문제를 해결한 운영사들은 컴플라이언스 팀의 규모가 더 큰 것이 아닙니다. 그들은 컴플라이언스 팀이 하루 종일 판단(judgment) 업무에 집중할 수 있는 환경을 갖추고 있습니다.

실제로는 다음과 같은 구성 형태를 띠는 경향이 있습니다:

• 입금, 세션, KYC(고객 확인 제도) 상태, 자기 배제(self-exclusion) 이력, 상호작용 로그를 한곳으로 모으는 단일한 플레이어-360(player-360) 뷰
• 쿼리(query)를 날리는 방식이 아닌, 지속적으로 모니터링되는 지불 능력(affordability) 임계값
• 스트림(stream) 상에서 계산되는 RCI 마커, 덕분에 분석가는 증거가 이미 첨부된 상태로 케이스를 열 수 있음
• 감사 추적(audit trail)이 나중에 덧붙여진 것이 아니라 파이프라인(pipeline) 자체에 내장되어 있어, 모든 규제 기관의 질의에 오후 한나절 만에 답변 가능

이러한 환경에서 분석가의 역할은 검토하고, 결정하고, 기록하는 것입니다. 데이터를 가져오는(fetch) 것이 아닙니다.

ROI(투자 대비 효과), 그리고 기다림의 비용

기업용 AI 프로젝트의 약 95%는 프로덕션(production) 단계에 도달하지 못합니다. 컴플라이언스 분야에서 프로덕션에 도달하는 프로젝트들은 한 가지 지루한 공통점을 공유하는 경향이 있습니다. 바로 누군가가 먼저 데이터 플러밍(data plumbing)을 해결했다는 점입니다. 여섯 개의 단절된 데이터베이스 위에 머신러닝(machine learning) 리스크 모델을 얹어놓고는, 규제 기관과의 회의에서 그 모델이 버텨줄 것이라고 기대할 수는 없습니다.

이제 아무것도 하지 않았을 때 발생하는 비용(cost-of-inaction) 측면을 살펴보겠습니다. 가장 심각한 자금세탁방지(AML) 위반에 대한 영국의 벌금은 총 게임 수익(gross gaming yield)의 최대 15%에 달합니다. GDPR(일반 데이터 보호 규정) 벌금은 최대 2,000만 유로 또는 전 세계 매출액의 4%에 달합니다. 그리고 EU AI Act(EU 인공지능법)는 새로운 계층을 추가합니다. 2026년 8월 2일부터는 투명성 의무(transparency obligations)가, 2027년 12월 2일부터는 고위험(high-risk) 의무가 적용되며, 고위험 위반 시 벌금은 최대 1,500만 유로 또는 전 세계 매출액의 3%에 달합니다.

만약 귀하의 플레이어 리스크 스택(player-risk stack) 중 어떤 부분이 법안 시행 시 고위험군에 해당하게 된다면, 규제 기관이 수용할 수 있는 수준으로 데이터 계보(data lineage)를 구축하는 데 약 2년 정도의 시간이 있습니다. CSV 파일로부터 시작해야 하는 상황이라면 이는 결코 긴 준비 기간이 아닙니다.

2027년에 문제없이 운영될 운영사들은 2025년에 이 문제를 데이터 엔지니어링(data engineering) 문제로 취급하는 곳들입니다. 감사 시점에 여전히 수동으로 SQL을 실행하고 있는 곳들은 이미 조용히 벌금을 지불하고 있는 것이나 다름없습니다. 단지 아직 고지서를 받지 않았을 뿐입니다.

출처

• European Commission

• European Commission

이 기사는 원래 Digital Colliers Blog에 게시되었습니다. Digital Colliers는 DACH 및 영국 기업들이 AI를 구현하도록 지원합니다 — 저희의 AI 컨설팅 서비스를 확인하거나 문의하기를 이용해 주세요.