SBA 대출 결정을 위해 몇 주를 기다리거나, 인증 신청이 블랙홀에 사라진 것처럼 느껴지거나, 일상적인 데이터 불일치로 인해 사기 혐의로 신고될까 걱정한 적이 있다면, 새로운 연방 감시 기관 보고서가 많은 것을 설명해 줍니다. 2026년 6월, 정부 회계 감사원(GAO)은 중소기업청(SBA)에 대한 최신 점검 결과를 발표했으며, 그 결과는 안심할 만한 수준이 아닙니다. GAO가 2025년 5월 SBA를 위해 확인한 17개의 최우선 수정 과제 중 SBA는 단 3건만 마무리했습니다. 14개는 1년 이상이 지난 지금도 여전히 미해결 상태입니다.
이는 단순한 관료적 각주가 아닙니다. 이것들은 GAO 감사관들이 수정되지 않으면 실제 피해(낭비되는 납세자 혈세, 쉬워진 사기, 기술 실패)를 초래할 가능성이 가장 높다고 판단하는 구체적인 문제들입니다. 그리고 가장 큰 두 가지 문제는 소기업 소유주가 직접 접하는 부분, 즉 SBA가 대출 및 재난 지원 신청자를 사기 선별하는 방식과 SBA 인증 및 자금 조달을 신청하고 유지하는 데 사용되는 디지털 시스템과 직접적으로 연결됩니다.
"우선 미해결 권고사항"의 실제 의미
매년 GAO는 연방 기관에 제시한 수백 개의 권고사항을 검토하여 감사관들이 가장 시급하다고 판단하는 것, 즉 일반 감사 보고서에 결과를 남기는 대신 GAO가 기관 지도부에 직접 공식 서한을 보낼 만큼 심각한 문제를 선별합니다. SBA의 경우 2025년 우선 목록에는 17개 항목이 포함되었습니다. GAO의 2026년 6월 후속 보고서(GAO-26-108956) 기준으로, SBA의 총 60개 미해결 권고사항 중 3개가 이행되었고 14개가 여전히 미해결 상태입니다.
GAO는 미완료 작업을 가장 즉각적인 주의가 필요하다고 말하는 두 가지 범주로 분류합니다.
- COVID-19 팬데믹 프로그램의 사기 위험 관리 — SBA가 COVID-EIDL 및 PPP와 같은 프로그램에서 악의적인 행위자를 적발하기 위해 사용하는 시스템 및 프로세스, 그리고 확장하여 향후 SBA가 신청자를 선별하는 방식을 알리는 사기 통제 장치.
- 사이버보안 및 IT 관리 — 소기업이 실제로 사용하는 시스템(연방 계약 인증을 처리하는 플랫폼 포함)의 기반이 되는 기술 인프라.
두 범주 모두 추상적이지 않습니다. 둘 다 오늘 귀하가 상호 작용하는 대출 또는 인증 프로세스가 의도한 대로 작동하는지 여부를 결정합니다.
사기 통제 격차: 나쁜 데이터에 빠진 시스템
GAO의 사기 조사 결과는 특정하고 구체적인 실패에 초점을 맞춥니다. 즉, SBA가 의심되는 사기를 감찰관실(OIG)에 수사를 위해 회부하는 프로세스가 조사관이 실제로 사용할 수 없는 회부 건을 생성하고 있다는 것입니다. GAO에 따르면, SBA는 COVID-EIDL과 관련된 거의 300만 건의 사기 신고를 제출했으며, OIG 관계자는 GAO에 이 중 약 200만 건이 실행 가능하지 않다고 말했습니다. 사기가 진짜가 아니어서가 아니라, 신고에 주요 데이터 요소가 누락되었거나, 중복 항목이 포함되었거나, 처음부터 잘못된 정보가 포함되었기 때문입니다.
이러한 격차를 해소하기 위해 GAO는 SBA가 현재 제대로 수행하지 못하는 두 가지를 권고했습니다.
- 프로그램 간 데이터 분석 구축 — 기관이 각 프로그램의 신청을 개별적으로 평가하는 대신, 여러 SBA 프로그램을 동시에 사기하려는 신청자를 식별할 수 있도록 합니다.
- 외부 데이터 소스에 대한 액세스 권한 확보 — 악의적인 행위자가 통제하는 자가 보고 정보에만 의존하는 대신 신청자가 보고한 내용을 독립적으로 확인할 수 있도록 합니다.
두 권고사항 모두 여전히 미해결 상태입니다. 실제로 이는 SBA가 현재 운영 중인 사기 탐지망이 팬데믹 시기 구호 자금의 일부가 빠져나가도록 한 것과 동일한 구조적 허점을 여전히 가지고 있음을 의미합니다. 그리고 이는 미래의 비상 대출 프로그램이든 오늘날의 일반 7(a) 및 재해 대출 인수이든, 다음에 올 모든 것에 대한 사기 선별을 뒷받침하는 동일한 인프라입니다.
IT 격차: 인증 뒤에 숨은 플랫폼
두 번째 클러스터는 더 기술적이지만 일상적으로는 더 파괴적일 수 있습니다. SBA의 통합 인증 플랫폼(Unified Certification Platform)은 소기업이 별도의 레거시 시스템을 관리하는 대신 한 곳에서 8(a), HUBZone, WOSB 및 VOSB와 같은 연방 계약 프로그램에 대한 인증을 신청하고 유지할 수 있도록 구축된 시스템입니다.
해당 플랫폼에 대한 GAO의 전용 검토(GAO-25-106963)에서는 SBA가 주요 IT 프로젝트가 탈선하는 것을 방지하는 기본 작업을 수행하지 않았음을 발견했습니다.
- 프로젝트 수준의 위험 관리 전략 및 위험 완화 계획 없음.
- 위험이 완전히 식별되거나 문서화되지 않음.
- 플랫폼 특정 사이버보안 위험 관리를 위한 문서화된 계획 없음.
- 시스템의 보안 요구 사항이 실제로 충족되었는지 확인하는 추적성 분석(traceability analysis) 없음 — GAO는 이러한 격차가 성공적인 사이버 공격 가능성을 높인다고 말합니다.
GAO는 해당 검토만으로 14개의 권고사항을 발행했습니다. SBA의 대응은 엇갈렸습니다. 3개에 동의하고, 3개에 부분적으로 동의했으며, 8개에 대해 완전히 반대했습니다. 이는 확인된 위험의 상당 부분이 전혀 수정되지 않을 가능성이 있는 경로에 있다는 것을 의미합니다. 인증 플랫폼 외에도 GAO는 SBA의 개인정보 보호 인력 계획의 미해결된 격차와 연방 정보 보안 현대화법(FISMA)에 따른 지속적인 약점을 지적했으며, 이는 SBA 자체 감찰관 및 외부 재정 감사관에 의해 독립적으로 확인되었습니다.
신청하는 입장에서 이것이 의미하는 바
이것이 SBA 프로그램(7(a) 대출, 504 대출, 재난 지원 및 계약 인증)을 사용하지 말라는 의미는 아닙니다. 이는 민간 시장이 제공하지 못하는 조건으로 제공되는 가장 가치 있는 자금 조달 및 성장 도구 중 일부로 남아 있습니다. 그러나 이와 같은 보고서는 기대치와 자신의 습관을 조정하는 데 유용한 신호입니다.
- 인증 플랫폼에서 마찰을 예상하십시오. 8(a), HUBZone, WOSB 또는 VOSB 인증을 신청하거나 갱신하는 경우 추가 시간을 확보하고 중단되거나 오작동하는 신청이 귀하가 잘못했다는 의미라고 가정하지 마십시오. 모든 단계에서 확인 스크린샷과 서신을 저장하십시오. GAO가 기본 위험 문서가 부족하다고 말하는 시스템에서는 귀하의 문서 기록이 최선의 방어책입니다.
- 자신의 기록을 완벽하게 유지하십시오. GAO가 발견한 사기 신고 분석 실패는 실제로 사기에 관한 것이 아니라 데이터 품질에 관한 것이었습니다. 중복 항목, 누락된 필드 및 일관되지 않은 정보는 나쁜 행위자를 잡기 위한 시스템을 막았습니다. 적법한 신청자로서 재무 기록이 명확하고 내부적으로 일관될수록 데이터 불일치로 인해 신청이 지연되거나 불필요한 검토가 촉발될 가능성이 줄어듭니다.
- "승인"이 "최종"을 의미한다고 가정하지 마십시오. 외부 데이터 확인이 여전히 강점이 아닌 격차로 남아 있는 상황에서, SBA가 현재 액면 그대로 수용하는 일부 내용은 기관이 (결국) 더 나은 교차 확인을 구축함에 따라 나중에 재검토될 수 있습니다. 요청 시 제시할 수 있는 문서는 어떤 경우에도 귀하를 보호합니다.
깨끗한 장부는 수리 중인 시스템에 대한 최선의 방어책입니다
연방 기관의 IT 및 사기 통제 백로그는 소기업 소유주가 고칠 수 있는 것이 아닙니다. 그러나 자신의 재무 현황이 얼마나 잘 문서화되고 내부적으로 일관성 있는지는 통제할 수 있으며, 이것이 바로 GAO가 SBA 시스템이 자체적으로 교차 확인하는 데 어려움을 겪는 종류의 깨끗하고 검증 가능한 기록입니다. Beancount.io는 투명하고 버전 관리가 가능하며 대출 기관, 프로그램 관리자 또는 자신의 마음의 평안이 필요할 때마다 쉽게 제출하거나 감사할 수 있는 일반 텍스트 회계를 제공합니다. 블랙 박스도, 벤더 종속도 없습니다. 무료로 시작하여 프로세스가 어떤 어려움을 던지든 대비할 수 있는 기록을 유지하십시오.