상세 RFP로 요구사항을 계약 가능한 수준까지 명세하는 방법

요구사항의 빈틈이 제안과 수행의 간극이 된다

상세 RFP(Request For Proposal)는 정보시스템 구축을 발주할 때 구축 범위, 기술 요건, 요구사항을 분석해 구체적으로 적는 제안요청서다. 단순히 사업을 알리는 문서가 아니라, 제안사가 무엇을 산정하고 어떤 결과물을 제시해야 하는지 결정하는 기준이다.

요구사항이 모호한 RFP는 제안사별 해석을 갈라놓는다. 그 결과 불공정 경쟁, 비용 증가, 품질 저하가 이어질 수 있다. 반대로 상세 RFP는 프로젝트 범위를 분명히 하고 예산과 기간의 산정 근거를 제공하며, 수행 과정의 분쟁을 예방하는 기반이 된다.

수집한 요구사항을 검증 가능한 명세로 바꾸는 흐름

요구사항은 인터뷰, 현행 시스템 분석, 업무 프로세스 조사, 벤치마킹과 시장조사로 수집한다. 이후 타당성을 검토하고 요구사항 사이의 충돌과 모순을 확인한 뒤 우선순위를 정한다.

분류 단계에서는 기능적 요구사항, 성능·보안·사용성 등의 비기능적 요구사항, 프로젝트 관리 요구사항, 기술 요구사항으로 나눈다. 각 항목은 세부 명세와 명확한 기준, 측정 가능한 형태로 다듬어야 한다. 이해관계자 리뷰와 전문가 검토를 통해 일관성과 완전성을 확인한 다음, 표준 템플릿과 요구사항 매트릭스를 활용해 평가 기준까지 포함한 RFP를 작성한다. 최종 단계에는 법적 검토와 승인 절차가 따른다.

⤢✕

RFP에 빠지면 안 되는 명세의 층위

사업 개요에는 사업 배경과 목적, 범위, 기대 효과, 추진 일정을 담는다. 현행 시스템 현황에는 시스템 구성도, 업무 프로세스, 데이터와 인터페이스 현황을 기록해 제안사가 출발점을 이해하도록 한다.

기능적 요구사항은 세부 기능 목록과 기능별 상세 명세를 중심으로 작성한다. 프로세스 흐름도, 화면 구성 요건, 관련 업무, 입력과 출력 정보를 함께 연결해야 한다.

⤢✕

비기능적 요구사항은 응답시간, 처리량, 동시 사용자 수 같은 성능 기준과 인증·인가, 암호화, 접근 통제 같은 보안 기준을 다룬다. 가용성, 신뢰성, 확장성 등 품질 요건도 포함하며, 법·규제 준수사항과 기술적 제약은 제약사항으로 명시한다.

기술 요구사항에는 개발 환경, 운영 환경, 네트워크, 미들웨어, 데이터베이스 요건을 적는다. 프로젝트 관리 요구사항은 프로젝트 조직, 의사소통 방법, 품질 관리와 위험 관리 방안, 산출물 관리 요건으로 구성한다. 제안 평가 기준에서는 기술 평가 항목과 배점, 가격 평가 방법, 우선협상대상자 선정 기준을 분명히 해야 한다.

모호한 문장을 측정 가능한 요구사항으로 바꾸기

명확성과 구체성이 상세 RFP의 핵심이다. “~해야 한다”는 표현만으로 끝내지 않고, 제공해야 할 기능을 명시한다. “빠른 응답속도”처럼 해석이 갈리는 표현은 “3초 이내 응답”처럼 기준을 제시한다. “대용량 처리” 역시 “시간당 10만 건 이상 처리”처럼 정량화해야 한다.

명세는 실현 가능성도 함께 검토해야 한다. 기술적으로 구현 가능한지, 사업 기간 안에 달성할 수 있는지, 예산 범위에서 감당할 수준인지를 확인한다. 요구사항 간 충돌을 방지하고 추적 매트릭스와 요구사항 ID 체계를 마련하는 일도 필요하다.

소프트웨어 진흥법, 정보시스템 구축 관련 지침, 정보보호 관련 법규 등 법적·제도적 요건도 RFP에 반영해야 한다.

금융권 계좌 개설 요구사항을 구체화한 예

기존 RFP가 다음처럼 작성되어 있다면 구현 범위와 품질 기준을 제안사가 동일하게 해석하기 어렵다.

계좌 개설 기능을 구현해야 한다.
시스템은 안정적이어야 한다.

아래처럼 기능과 안정성 요구사항을 구체화하면 제안과 수행의 기준이 분명해진다.

[FR-001] 계좌 개설 기능
- 고객이 직접 모바일앱에서 계좌 개설을 신청할 수 있어야 함
- 계좌 유형은 입출금, 예금, 적금, 외화 총 4가지를 지원해야 함
- 실명확인은 공인인증서, 휴대폰 본인인증, 신분증 스캔 중 하나로 수행해야 함
- 계좌 개설 프로세스는 5단계 이내로 완료되어야 함
- 신청부터 완료까지 평균 소요시간이 3분 이내여야 함

[NFR-001] 시스템 안정성 요구사항
- 시스템 가용성은 99.99% 이상을 보장해야 함 (연간 중단 시간 52.56분 이내)
- 피크 타임(9:00-11:00, 16:00-18:00) 동안 초당 트랜잭션 3,000건 이상 처리
- 장애 발생 시 자동 복구 메커니즘을 통해 10분 이내 서비스 재개
- DR(재해복구) 시스템 구축 및 분기별 모의훈련 수행

민원처리시스템에서 개인정보 요건을 명세한 예

민원 접수와 개인정보 보호를 선언하는 수준의 문장은 요구사항으로 충분하지 않다.

민원 접수 및 처리 기능을 개발한다.
개인정보 보호를 강화한다.

채널, 분류, 파일 제한, 통보 방식과 개인정보 처리 기준을 다음처럼 작성할 수 있다.

[FR-101] 민원 접수 기능
- 민원인이 웹/모바일/키오스크 3가지 채널을 통해 민원을 접수할 수 있어야 함
- 민원 유형은 최소 20가지로 분류하고, 각 유형별 필수 입력 항목을 차별화함
- 첨부파일은 건당 최대 5개, 각 파일당 10MB 이내로 제한
- 접수된 민원은 실시간으로 담당 부서에 자동 배분되어야 함
- 민원인에게 접수번호와 처리 예정일을 SMS와 이메일로 자동 통보

[NFR-201] 개인정보 보호 요구사항
- 주민등록번호는 암호화하여 저장하며, 조회 시 마스킹 처리
- 개인정보 취급자의 접근 이력을 남기고, 월 1회 이상 감사 실시
- 개인정보는 보존기간(3년) 경과 후 자동 파기 프로세스 구현
- 개인정보 조회 시 2차 인증(OTP) 적용
- 정보보호 관리체계(ISMS) 인증 획득 가능한 수준의 시스템 구축

상세 RFP가 만드는 발주와 수행의 변화

상세 RFP는 모든 제안사가 같은 조건에서 제안하도록 해 기술력 중심의 경쟁을 유도하고, 불필요한 추가 개발 비용을 줄이는 데 기여한다. 명확한 요구사항은 오해와 재작업을 줄이며 일정과 비용의 산정, 품질과 사용자 만족도 개선에 영향을 준다.

산업 차원에서는 중소기업의 참여 기회를 넓히고 기술 중심의 산업 구조와 불공정 하도급 관행 개선에 연결될 수 있다. 발주기관에는 정보화 사업의 이해도, 요구사항 관리 역량, 사업 관리 효율성을 높이는 계기가 된다.

이를 확산하려면 상세 RFP 작성 가이드라인을 보급하고 공공 발주에서의 의무화, 우수사례 발굴과 전파를 검토할 수 있다. 발주기관 담당자 교육, 작성 전문가 양성, 컨설팅 지원 체계도 필요하다. 발주자와 수주자가 협력적으로 요구사항을 정의하고, 사전 시장조사(RFI)와 다양한 이해관계자 참여 프로세스를 운영하는 방식도 함께 갖춰야 한다.