Hacker News에 SOC 2 준비가 어디서 아직도 깨지는지 묻는 글이 올라왔는데, 읽으면서 제일 눈에 들어온 건 “툴을 써도 결국 스프레드시트, 공유 폴더, 막판 리포트 조립으로 돌아간다”는 대목이었어요. Vanta나 Drata 같은 이름이 이미 익숙한 팀들도, 증거가 감사용으로 정리되는 순간에는 사람이 다시 일정표를 보고 담당자를 쫓아다니고 파일명을 맞추는 느낌이 남아 있더라고요. 이런 일은 보통 처음엔 별것 아닌 임시방편으로 시작하죠. 컨트롤별 체크리스트 하나 만들고, Google Drive 폴더를 나누고, Slack으로 “이 증거 오늘까지 부탁드려요”를 보내고, 마지막 주에 캡처와 PDF를 긁어모읍니다. 그런데 매년 반복되는 감사라면 얘기가 달라져요. 담당자가 바뀌면 맥락이 사라지고, 증거가 최신인지 확인하려고 같은 질문을 다시 하고, 비싼 컴플라이언스 툴 옆에 또 하나의 운영 엑셀이 붙습니다. 작게 만든다면 거창한 GRC 플랫폼보다 “컨트롤-증거-담당자-만료일” 사이의 헐거운 연결만 잡아주는 제품이 먼저일 것 같아요. 공유 폴더 안의 파일을 읽고, 지난 감사 때 쓴 증거와 달라진 점을 표시하고, 누가 언제 무엇을 다시 제출해야 하는지만 자동으로 밀어주는 얇은 레이어. 감사 준비가 프로젝트가 아니라 평소 운영의 부산물이 되게 만드는 쪽에 돈을 낼 팀이 꽤 있어 보입니다.