So your newly promoted CTO walks into their first executive meeting, armed with deep technical expertise and genuine enthusiasm for transformation. Six months later, they’re frustrated, your digital initiatives have stalled and your board is questioning the technology leadership strategy.

This isn’t a story about hiring the wrong person. It’s a story about building the wrong environment.

Here’s the truth your consultants won’t share: When technical leaders fail, it’s rarely a failure of intelligence. It’s a failure of integration.

Charles Sims notes this in his analysis of C-suite dynamics, “If you’re seated in the ‘big chair,’ you can’t expect people to intuit where they need to go. You need to build the bridge.”

The organizations winning the transformation race aren’t just hiring better CTOs; they’re creating fundamentally different conditions for technology leadership to thrive.

The hidden architecture of failure

Before we dive into solutions, let’s diagnose what’s actually broken.

The problem isn’t individual competence, it’s institutional design.

Most C-suite structures were established when technology was viewed as a cost center, rather than a competitive weapon. The processes, meeting rhythms and decision-making frameworks assume technology comes after strategy, not during it.

This creates what I call the integration gap, the space between where technology leaders sit and where they need to be to drive real transformation.

Deloitte research on resilient technology functions reveals a telling insight: High-performing “tech vanguard” businesses fundamentally differ in how they structure technology leadership.

As Khalid Kark and Anh Nguyen Phillips point out, these organizations embrace “joint accountability” and “establish sensing mechanisms that help anticipate business change.”

Translation: They don’t just include technology in business strategy, they integrate it.

The strategic exclusion problem

Here’s the most expensive mistake organizations make: bringing technology leaders into strategy validation, not strategy formation.

I’ve watched this pattern across dozens of transformations. The business leadership team spends months crafting the digital strategy. They debate market positioning, customer experience and competitive responses. Then, in the final act, they bring in the CTO to confirm technical feasibility.

This isn’t collaboration, it’s a recipe for execution failure.

CIO advisor Isaac Sacolick sums it up nicely, “What the risk here for CIOs is to get something out there on paper and start communicating. Letting your business partners know that you’re going to be the center point of putting a strategy together.

“Being able to do blue sky planning with business leaders, with technologists and data scientists on a very frequent basis to say, ‘is our strategy aligned or do we need a pivot’ or do we need to add I think that’s really the goal for a CIO now is to continually do that over the course of how this technology is changing.”

When technologists inherit fully formed strategies, they inherit the constraints, assumptions and blind spots of non-technical decision-making. The result? Strategies that sound compelling in PowerPoint but break down in reality.

The integration solution: As Sims emphasizes, successful businesses bring technology leaders in “when the goals are still being shaped.” Technology leaders become co-architects of strategy, not just implementers of it.

The translation challenge

Every business talks about wanting CTOs who can “translate technical complexity into business value.”

But most create conditions that make effective translation impossible.

The problem isn’t that technology leaders can’t communicate. It’s that business leaders structure every interaction to discourage strategic thinking. Fifteen-minute slots for infrastructure decisions. “High-level only” constraints on technical briefings. Interruptions when discussions get into architectural details.

Sims captures the real need perfectly: “Ask them to explain how tech can enable outcomes, not just avoid outages.” But enabling outcomes requires time, context and genuine dialogue — not rapid-fire status updates.

The integration solution: Create forums for substantive technical dialogue. Allocate time for technology leaders to educate business counterparts on possibilities, constraints and trade-offs.

The four pillars of technology leadership integration

The rebel leaders I’ve studied don’t just talk about integration, they systematically engineer it. Here are the four pillars that separate transformation winners from digital theater performers.

Pillar one: Strategic co-creation

Instead of: Bringing technology leaders in for feasibility validation.

Rebels: Include them in strategic formation from day one.

The breakthrough insight is simple: Technology constraints and possibilities should shape strategy, not just constrain it. When technologists participate in strategic formation, they help identify opportunities that pure business thinking might miss.

Actionable implementation:

• Include your CTO in quarterly business reviews, not just technology reviews
• Require technology input before major strategic initiatives get funded
• Create joint business-technology planning sessions for all transformation efforts
• Give technology leaders access to the same market intelligence and customer feedback as other executives

Pillar two: Outcome-driven accountability

Instead of: Asking for deliverables and timelines.

Rebels: Define success in business outcomes and measure accordingly.

This shift eliminates the translation problem entirely. When success is defined in business terms from the beginning, technology leaders naturally think about impact, not just implementation.

The Deloitte study talks about “value-based investments” aligned with “iterative Agile sprints.” But the real innovation isn’t methodological, it’s definitional. Success gets measured by business value delivered, not features completed.

Actionable implementation:

• Replace project status meetings with outcome review sessions
• Tie technology leader compensation to business metrics, not just technical ones
• Create shared dashboards that track business impact of technology initiatives
• Require business case updates, not just project updates

Pillar three: Information symmetry

Instead of: Functional hierarchy with information silos.

Rebels: Ensure technology leaders have the same strategic context as business leaders.

Sims makes a crucial point: “Technology touches every department. The org chart should reflect that.” But organizational design goes beyond reporting structures; it’s about information flow and decision rights.

The Deloitte research highlights the need for “sensing mechanisms that help anticipate business change.” But sensing requires access to information, not just responsibility for reaction.

Actionable implementation:

• Include technology leaders in customer advisory boards and market research reviews
• Share competitive intelligence and industry analysis with the entire C-suite, not just business functions
• Create cross-functional intelligence-sharing sessions where every leader contributes market insights
• Ensure technology leaders participate in customer meetings and strategic partnerships

Pillar four: Translation excellence

Instead of: Expecting natural translation ability.

Rebels: Systematically develop two-way translation competence.

Here’s where most organizations get it backwards. They expect CTOs to be great translators but provide no development, feedback or support for this critical skill.

As Sims notes, “The best CTOs turn complexity into clarity. They make everyone around them smarter. That’s the leadership skill we should be measuring.”

But translation is a two-way street. Business leaders also need to develop competence in asking strategic questions that unlock technological insight.

Actionable implementation:

• Create monthly translation labs where technology leaders practice explaining complex concepts to different audiences
• Train business leaders to ask better questions: “What are the trade-offs?” instead of “Is this feasible?”
• Establish technology education sessions for non-technical executives
• Reward and recognize technology leaders who effectively educate their peers

Better leadership means faster business

When you get technology leadership integration right, the impact extends far beyond individual performance. You create what the Deloitte research calls enterprise agility: the ability to “nimbly strategize and operate” in response to constant change.

The data reveals so much: businesses with integrated technology leadership outperform peers across every meaningful metric. Revenue growth, profit margins, customer satisfaction, employee engagement and market share all improve when business and technology leadership truly collaborate.

But the most significant impact might be speed. Integrated organizations move faster because they eliminate the handoff delays, translation loops and rework cycles that plague siloed structures.

The competitive reality

While you’re optimizing technology leadership integration, your competitors are making a choice. Some will continue the old patterns: hiring smart technologists, giving them business requirements and wondering why transformation is hard.

Others will join the integration revolution. They’ll create conditions where technology leaders thrive. They’ll build strategic collaboration into their organizational DNA. They’ll accelerate past competitors while others struggle with digital theater.

The study reveals that tech vanguard organizations are already pulling away from baseline performers. The gap isn’t just technical: it’s structural, cultural and strategic.

Ready to ramp up?

The path forward isn’t about your next technology hire, it’s about the environment you create for technology leadership to succeed.

Week one: Audit your current integration points. Where does your CTO participate in strategic decision-making? Where are they excluded? Map the information flows and decision rights.

Month one: Redesign your leadership meeting rhythms. Include technology leaders in strategic formation, not just implementation planning. Create forums for substantive business-technology dialogue.

Month two: Implement outcome-based accountability. Replace deliverable tracking with business impact measurement. Align technology leader success metrics with business results.

Month three: Launch translation competence development. Create systematic programs for both business-to-technology and technology-to-business communication improvement.

Month six: Measure integration velocity. How quickly do business insights flow into technology decisions? How rapidly do technological possibilities inform business strategy?

The businesses that systematically build technology leadership integration won’t just transform their trajectory; they’ll transform their markets. They’ll set the pace while competitors struggle to keep up.

The choice is yours: Continue with traditional technology leadership models or build the integration capabilities that drive real transformation.

The rebels are already deciding. What about you?

This article is published as part of the Foundry Expert Contributor Network.
Want to join?

For CIOs, the conversation around AI has moved from innovation to orchestration, and project management, long a domain of human coordination and control, is rapidly becoming the proving ground for how intelligent systems can reshape enterprise delivery and accelerate transformation.

In boardrooms across industries, CIOs face the same challenge of how to quantify AI’s promise in operational terms: shorter delivery cycles, reduced overhead, and greater portfolio transparency. A 2025 Georgia Institute of Technology-sponsored study of 217 project management professionals and C-level tech leaders revealed that 73% of organizations have adopted AI in some form of project management.

Yet amid the excitement, the question of how AI will redefine the role of the project manager (PM) remains, as does how will the future framework for the business transformation program be defined.

A shift in the PM’s role, not relevance

Across industries, project professionals are already seeing change. Early adopters in the study report project efficiency gains of up to 30%, but success depends less on tech and more on how leadership governs its use. The overwhelming majority found it highly effective in improving efficiency, predictive planning, and decision-making. But what does that mean for the associates running these projects?

Roughly one-third of respondents believed AI would allow PMs to focus more on strategic oversight, shifting from day-to-day coordination to guiding long-term outcomes. Another third predicted enhanced collaboration roles, where managers act as facilitators who interpret and integrate AI insights across teams. The rest envisioned PMs evolving into supervisors of AI systems themselves, ensuring that algorithms are ethical, accurate, and aligned with business goals.

These perspectives converge on a single point: AI will not replace PMs, but it will redefine their value. The PM of the next decade won’t simply manage tasks, they’ll manage intelligence and translate AI-driven insights into business outcomes.

Why PMOs can’t wait

For project management offices (PMOs), the challenge is no longer whether to adopt AI but how. AI adoption is accelerating, with most large enterprises experimenting with predictive scheduling, automated risk reporting, and gen AI for documentation. But the integration is uneven.

Many PMOs still treat AI as an add-on, a set of tools rather than its strategic capability. This misses the point since AI is about augmenting judgment and automation. The organizations gaining a real competitive advantage are those embedding AI into their project methodologies, governance frameworks, and performance metrics with this five-point approach in mind.

1. Begin with pilot projects

Think small, scale fast. The most successful AI integrations begin with targeted use cases that automate project status reports, predict schedule slippage, or identify resource bottlenecks. These pilot projects create proof points, generate enthusiasm, and expose integration challenges early.

2. Measure value, not just activity

One common pitfall is adopting AI without clear performance metrics. PMOs should set tangible KPIs such as reduction in manual reporting time, improved accuracy in risk forecasts, shorter project cycle times, and higher stakeholder satisfaction. Communicating these outcomes across the organization is just as important as achieving them. Success stories build momentum, foster buy-in, and demystify AI for skeptical teams.

3. Upskill PMs

AI will only be as valuable as the people who use it. Nearly half of the surveyed professionals cited lack of a skilled workforce as a barrier to AI integration. Project managers don’t need to become data scientists, but they must understand AI fundamentals, how algorithms work, where biases emerge, and what data quality means. In this evolving landscape, the most effective PMs will combine data literacy with human-centered leadership, including critical thinking, emotional intelligence, and communication.

4. Strengthen governance and ethics

Increasing AI raises pressing ethical questions, especially when algorithms influence project decisions. PMOs must take the lead in establishing AI governance frameworks that emphasize transparency, fairness, and human oversight. Embedding these principles into the PMO’s charter doesn’t just mitigate risk, it builds trust.

5. Evolve from PMO to BTO

The traditional PMO focuses on execution through scope, schedule, and cost. But AI-driven organizations are shifting toward business transformation offices (BTOs), which align projects directly with strategic value creation through process improvement in parallel. A PMO ensures projects are done right. A BTO ensures the right projects are done. A crucial element of this framework is the transition from a Waterfall to an Agile mindset. The evolution of project management has shifted from rigid plans to iterative, customer-centric, and collaborative methods, with hybrid methodologies becoming increasingly common. This Agile approach is vital for adapting to the rapid changes brought by AI and digital disruption.

The new PM career path

By 2030, AI could manage most routine project tasks, such as status updates, scheduling, and risk flagging, while human leaders focus on vision, collaboration, and ethics. This shift mirrors past revolutions in project management from the rise of Agile to digital transformation, but at an even faster pace. But as organizations adopt AI, the risk of losing the human element persists. Project management has always been about people and aligning interests, resolving conflicts, and inspiring teams. However, while AI can predict a delay, it can’t motivate a team to overcome it. The PM’s human ability to interpret nuance, build trust, and foster collaboration remains irreplaceable.

A call to action

AI represents the next frontier in enterprise project delivery, and the next decade will test how well PMOs, executives, and policymakers can navigate the evolution of transformation. To thrive, organizations must invest in people as much as in platforms, adopt ethical, transparent governance, foster continuous learning and experimentation, and measure success by outcomes rather than hype.

For CIOs, the mandate is clear: lead with vision, govern with integrity, and empower teams with intelligent tools. AI, after all, isn’t a threat to the project management profession. It’s a catalyst for its reinvention, and when executed responsibly, AI-driven project management will not only deliver operational gains but also build more adaptive, human-centered organizations ready for the challenges ahead. By embracing it thoughtfully, PMs can elevate their roles from administrators to architects of change.

All’inizio di quest’anno, il MIT ha fatto notizia perché, in un rapporto [in inglese], ha rilevato che il 95% delle aziende non sta ottenendo alcun ritorno dall’intelligenza artificiale, nonostante investimenti sostanziosi. Ma perché così tante iniziative di intelligenza artificiale non riescono a garantire un ROI positivo? Perché spesso mancano di un chiaro collegamento al valore aziendale, afferma Neal Ramasamy, CIO globale di Cognizant, una società di consulenza IT.

“Questo porta a progetti tecnicamente impressionanti, ma che non risolvono un’esigenza reale né creano un vantaggio tangibile”, aggiunge. I tecnologi spesso seguono l’entusiasmo del momento, immergendosi a capofitto nei test sull’intelligenza artificiale senza considerare i risultati aziendali. “Molti iniziano con modelli e progetti pilota piuttosto che partire da ciò che vogliono ottenere”, osserva Saket Srivastava, CIO di Asana, un’applicazione per il project management. 

“I team eseguono demo in modo isolato, senza riprogettare il flusso di lavoro sottostante o assegnare un responsabile dei profitti e delle perdite”.

La combinazione di una mancanza di pensiero iniziale sul prodotto, pratiche di dati sottostanti inadeguate, governance inesistente e incentivi culturali minimi all’adozione dell’AI può produrre risultati negativi. Quindi, per evitare esiti scadenti, molte delle tecniche si riducono a una migliore gestione del cambiamento. “Senza una revisione dei processi, l’intelligenza artificiale accelera le inefficienze odierne”, aggiunge spiega.

Qui di seguito esaminiamo cinque modi per il change management all’interno di un’azienda che i CIO possono mettere in pratica oggi stesso. Seguendo questa checklist, le imprese dovrebbero iniziare a invertire la tendenza del ROI negativo dell’AI, imparare dagli anti-modelli e scoprire quali tipi di metriche convalidano le iniziative di intelligenza artificiale di successo a livello aziendale.

1. Allineare la leadership in anticipo comunicando gli obiettivi aziendali e guidando l’iniziativa di AI

Le iniziative di intelligenza artificiale richiedono il sostegno dei dirigenti e una visione chiara di come possono migliorare il business. “Una leadership forte è essenziale per tradurre gli investimenti nell’AI in risultati”, dichiara Adam Lopez, presidente e leadvCIO del managed IT support provider CMIT Solutions. “Il sostegno dei dirigenti e la supervisione dei programmi di intelligenza artificiale, idealmente a livello di CEO o di consiglio di amministrazione, sono correlati a un ROI più elevato”.

Per esempio, nella società di servizi IT e consulenza Xebia, un sottogruppo di dirigenti guida le attività interne di AI. Presieduto dal CIO globale Smit Shanker, il team comprende il CFO globale e i responsabili dell’intelligenza artificiale, dell’automazione, dell’infrastruttura IT, della sicurezza e delle operation aziendali.

Una volta costituita la leadership di livello più alto, la responsabilità diventa fondamentale. “Iniziate assegnando la titolarità dell’attività”, consiglia Srivastava. 

“Ogni caso d’uso dell’AI necessita di un leader responsabile con un obiettivo legato a traguardi e risultati chiave”. Raccomanda, poi, di istituire un PMO [in inglese] interfunzionale per definire casi d’uso di riferimento, fissare obiettivi di successo, applicare misure di sicurezza e comunicare regolarmente i progressi compiuti.

Tuttavia, anche con una leadership in atto, molti dipendenti avranno bisogno di una guida pratica per applicare l’intelligenza artificiale nel loro lavoro quotidiano. “Per la maggior parte delle persone, anche se si forniscono loro gli strumenti, non sanno da dove iniziare”, commenta Orla Daly, CIO di Skillsoft, un sistema di gestione dell’apprendimento. Il manager raccomanda di identificare chi, in azienda, può far emergere casi d’uso significativi e condividere consigli pratici, come ottenere il massimo da strumenti come Copilot. Coloro che hanno curiosità e volontà di imparare faranno i progressi maggiori, sostiene.

Infine, i dirigenti devono investire in infrastrutture, talenti e formazione. “I leader devono promuovere una cultura basata sui dati e una visione chiara di come l’AI risolverà i problemi aziendali”, afferma Ramasamy di Cognizant. Ciò richiede una stretta collaborazione tra la prima linea del management, i data scientist e l’IT per eseguire e misurare i progetti pilota prima di passare alla fase di scalabilità.

2. Evolversi modificando il quadro dei talenti e investendo nell’aggiornamento delle competenze

Le imprese devono essere aperte a modificare il loro quadro dei talenti e a riprogettare i ruoli. “I CIO dovrebbero adattare le loro strategie di gestione dei talenti per garantire il successo dell’adozione dell’AI e del ROI”, afferma Ramasamy. “Ciò potrebbe comportare la creazione di nuove figure e percorsi di carriera per i professionisti che si occupano di AI, come i data scientist e i prompt engineer, aggiornando, al contempo, le competenze dei dipendenti esistenti”.

I CIO dovrebbero anche considerare il talento come una pietra miliare di qualsiasi strategia di AI, aggiunge Lopez di CMIT. “Investendo nelle persone attraverso la formazione, la comunicazione e nuovi ruoli specialistici, i CIO possono essere certi che i dipendenti adotteranno gli strumenti di intelligenza artificiale e ne determineranno il successo”. Aggiunge che gli hackathon interni e le sessioni di formazione spesso producono notevoli miglioramenti nelle competenze e nella fiducia.

L’aggiornamento delle competenze, per esempio, dovrebbe soddisfare le esigenze dei dipendenti, quindi Srivastava di Asana raccomanda percorsi a più livelli: tutto il personale ha bisogno di una formazione di base sulla prompt literacy e sulla sicurezza, mentre gli utenti esperti richiedono una conoscenza più approfondita della progettazione del flusso di lavoro e della creazione di agenti. “Abbiamo adottato l’approccio di sondare la forza lavoro, puntare sull’abilitazione e rimisurare per confermare che la maturità si muovesse nella giusta direzione”, sottolinea.

Tuttavia, la valutazione dell’attuale struttura dei talenti va oltre le competenze umane. Significa anche rivalutare il lavoro da svolgere e i compiti di ciascuno al suo interno. “È essenziale rivedere i processi aziendali per individuare opportunità di rifattorizzazione, date le nuove capacità offerte dall’AI”, dichiara Scott Wheeler, responsabile delle attività cloud della società di consulenza Asperitas Consulting.

Per Daly di Skillsoft, l’era dell’AI odierna richiede un quadro di gestione dei talenti moderno che bilanci abilmente le quattro B: build, buy, borrow e bots [in inglese]. In altre parole, i leader dovrebbero considerare la loro azienda come un insieme di competenze e applicare il giusto mix di personale interno, software, partner o automazione in base alle necessità. “Ciò richiede di suddividere le attività in lavori o compiti da svolgere e di considerare l’attività di tutti in modo più frammentato”, rileva Daly.

Per esempio, il suo team ha utilizzato GitHub Copilot per codificare rapidamente un portale di apprendimento per un determinato cliente. Il progetto ha evidenziato come l’abbinamento di sviluppatori umani con assistenti AI possa accelerare notevolmente la consegna, sollevando nuove domande sulle competenze necessarie agli altri sviluppatori per essere altrettanto produttivi ed efficienti.

Tuttavia, poiché gli agenti AI assumono sempre più compiti di routine, i leader devono dissipare i timori che l’intelligenza artificiale sostituisca completamente i posti di lavoro. “Comunicare il motivo alla base delle iniziative di AI può alleviare i timori e dimostrare come questi strumenti possano potenziare i ruoli umani”, fa notare Ramasamy. Srivastava è d’accordo. “Il filo conduttore è la fiducia”, afferma, “Mostrate alle persone come l’AI elimina la fatica e aumenta l’impatto; mantenete gli esseri umani nel ciclo decisionale e l’adozione seguirà”.

3. Adattare i processi organizzativi per sfruttare appieno i vantaggi dell’intelligenza artificiale

Cambiare l’organico è solo l’inizio: le aziende devono anche riprogettare i processi fondamentali. “Sfruttare appieno il valore dell’intelligenza artificiale richiede, spesso, una riprogettazione del funzionamento dell’azienda”, dichiara Lopez di CMIT, che esorta a integrare l’AI nelle operazioni quotidiane e a supportarla con una sperimentazione continua, piuttosto che trattarla come un’aggiunta statica.

A tal fine, un adattamento necessario è quello che consiste nel trattare i flussi di lavoro interni basati sull’intelligenza artificiale come prodotti e codificare i modelli in tutta l’azienda, afferma Srivastava. “Stabilire un rigoroso sistema di gestione dei prodotti per l’acquisizione, la definizione delle priorità e la pianificazione dei casi d’uso dell’AI, con responsabili chiari, descrizioni dei problemi e ipotesi di valore”, sottolinea.

In Xebia, un comitato di governance supervisiona questo rigore attraverso un processo in tre fasi che consiste nell’identificare e misurare il valore, garantire l’accettazione da parte dell’azienda e poi passare all’IT per il monitoraggio e il supporto. “Un gruppo centrale è responsabile della semplificazione organizzativa e funzionale di ogni caso d’uso”, spiega Shanker. “Ciò incoraggia i processi interfunzionali e aiuta ad abbattere i silos”.

Allo stesso modo, per Ramasamy, l’ostacolo più grande è la resistenza organizzativa. “Molte aziende sottovalutano la gestione del cambiamento necessaria per un’adozione di successo”, dice. “Il cambiamento più critico è il passaggio da un processo decisionale compartimentato a un approccio incentrato sui dati. I processi aziendali dovrebbero integrare perfettamente i risultati dell’AI, automatizzando le attività e fornendo ai dipendenti informazioni basate sui dati”.

Identificare le aree giuste da automatizzare dipende anche dalla visibilità. “È qui che la maggior parte delle aziende fallisce perché non dispone di processi validi e documentati”, afferma Daly di Skillsoft, che raccomanda di coinvolgere esperti in materia di tutte le linee di business per esaminare i flussi di lavoro e ottimizzarli. “È importante nominare persone all’interno dell’azienda che si occupino di capire come integrare l’intelligenza artificiale nel flusso di lavoro”, precisa.

Una volta identificate le unità di lavoro comuni a tutte le funzioni che l’AI può semplificare, il passo successivo è renderle visibili e standardizzarne l’applicazione. Skillsoft sta facendo questo attraverso un registro degli agenti che documenta le loro capacità, le misure di sicurezza e i processi di gestione dei dati. “Stiamo formalizzando un framework di AI aziendale in cui l’etica e la governance fanno parte del modo in cui gestiamo il portafoglio di casi d’uso”, aggiunge.

Le imprese dovrebbero quindi anticipare gli ostacoli e creare strutture di supporto per aiutare gli utenti. “Una strategia per raggiungere questo obiettivo è quella di disporre di team SWAT di intelligenza artificiale, il cui scopo è facilitare l’adozione e rimuovere gli ostacoli”, osserva Wheeler di Asperitas.

4. Misurare i progressi per convalidare il ritorno sull’investimento

Per valutare il ROI, i CIO devono stabilire una linea di base pre-AI e fissare in anticipo dei parametri di riferimento. I leader raccomandano di assegnare la responsabilità di metriche quali il time-to-value, i risparmi sui costi, i risparmi di tempo, il lavoro gestito dagli agenti umani e le nuove opportunità di guadagno generate.

“Le misurazioni di riferimento dovrebbero essere stabilite prima di avviare i progetti di intelligenza artificiale”, argomenta Wheeler, che consiglia di integrare gli indicatori predittivi delle singole unità aziendali nelle regolari revisioni delle prestazioni da parte della leadership. Un errore comune, afferma, è quello di misurare solo i KPI tecnici come l’accuratezza del modello, la latenza o la precisione, senza collegarli ai risultati aziendali, come i risparmi, i ricavi o la riduzione dei rischi.

Pertanto, il passo successivo è definire obiettivi chiari e misurabili che dimostrino un valore tangibile. “Incorporare la misurazione nei progetti fin dal primo giorno”, dichiara Lopez di CMIT. “I CIO dovrebbero definire una serie di KPI rilevanti per ogni iniziativa di intelligenza artificiale. Per esempio, un tempo di elaborazione più veloce del 20% o un aumento del 15% della soddisfazione dei clienti”. Iniziare con piccoli progetti pilota che producono risultati rapidi e quantificabili, aggiunge.

Una misura chiara è il risparmio di tempo.

Per esempio, Eamonn O’Neill, CTO di Lemongrass, un fornitore di servizi basati su software, racconta di aver visto clienti documentare manualmente lo sviluppo SAP, un processo che può richiedere molto tempo. “L’utilizzo dell’IA generativa per creare questa documentazione comporta una chiara riduzione dello sforzo umano, che può essere misurato e tradotto in un ROI in modo abbastanza semplice”, commenta. La riduzione del lavoro umano per attività è un altro segnale chiave. 

“Se l’obiettivo è ridurre il numero di chiamate al servizio di assistenza gestite da operatori umani, i leader dovrebbero stabilire una metrica chiara e monitorarla in tempo reale”, illustra Ram Palaniappan, CTO di TEKsystems, fornitore di servizi tecnologici full-stack. Aggiunge, inoltre, che l’adozione dell’AI può anche far emergere nuove opportunità di guadagno.

Alcuni CIO monitorano più KPI granulari nei singoli casi d’uso e adeguano le strategie in base ai risultati. Srivastava di Asana, per esempio, monitora l’efficienza ingegneristica controllando i tempi di ciclo, la produttività, la qualità, il costo per transazione e gli eventi di rischio. Misura anche la percentuale di esecuzioni assistite da agenti, gli utenti attivi, l’accettazione da parte degli esseri umani e le escalation delle eccezioni. L’analisi di questi dati, spiega, aiuta a mettere a punto i prompt e le misure di sicurezza in tempo reale.

Il punto fondamentale è stabilire le metriche fin dall’inizio e non cadere nell’errore di non monitorare i segnali o il valore ottenuto. “Spesso la misurazione viene aggiunta in un secondo momento, quindi i leader non sono in grado di dimostrare il valore o decidere cosa scalare”, dichiara Srivastava. “La soluzione è iniziare con una metrica di missione specifica, stabilirne la linea di base e integrare l’AI direttamente nel flusso di lavoro, in modo che le persone possano concentrarsi su giudizi di valore più elevato”.

5. Governare la cultura dell’AI per evitare violazioni e instabilità

Gli strumenti di AI generativa sono ormai comuni, ma molti dipendenti non hanno ancora ricevuto una formazione adeguata per utilizzarli in modo sicuro. Per esempio, secondo uno studio del 2025 di SmallPDF [in inglese], quasi un dipendente su cinque negli Stati Uniti ha inserito le proprie credenziali di accesso in strumenti di AI. “Una buona leadership implica la creazione di governance e guardrail”, afferma Lopez. Ciò include la definizione di politiche per impedire che dati sensibili e riservati vengano inseriti in strumenti come ChatGPT.

Un uso intensivo dell’intelligenza artificiale amplia anche la superficie di attacco dell’azienda. La leadership deve ora considerare seriamente aspetti quali le vulnerabilità di sicurezza nei browser basati sull’AI, l’AI shadow e le hallucination [in inglese] LLM. Man mano che l’AI agentica diventa sempre più coinvolta nei processi critici per il business [in inglese], un’adeguata autorizzazione e controlli di accesso sono essenziali per prevenire l’esposizione di dati sensibili o l’ingresso dannoso nei sistemi IT.

Dal punto di vista dello sviluppo software, il rischio di fuga di password, chiavi e token attraverso gli agenti di codifica AI è molto reale. Gli ingegneri hanno adottato i server MCP [in inglese] per consentire agli agenti di codifica AI di accedere a dati, strumenti e API esterni, ma una ricerca di Wallarm [in inglese] ha rilevato un aumento del 270% delle vulnerabilità legate agli MCP dal secondo al terzo trimestre del 2025, insieme a un aumento delle vulnerabilità delle API.

Trascurare l’identità degli agenti, le autorizzazioni e le tracce di audit è una trappola comune in cui spesso cadono i CIO con l’AI aziendale, afferma Srivastava. “Introdurre la gestione dell’identità e dell’accesso degli agenti in modo che questi ultimi ereditino le stesse autorizzazioni e la stessa verificabilità degli esseri umani, compresi la registrazione e le approvazioni”, dice.

Nonostante i rischi, la supervisione rimane debole. Un rapporto di AuditBoard ha rilevato che, mentre l’82% delle imprese sta implementando l’intelligenza artificiale, solo il 25% ha implementato programmi di governance completi. Con violazioni dei dati che ora costano in media quasi 4,5 milioni di dollari ciascuna, secondo IBM, e IDC che riferisce [in inglese] che le organizzazioni che sviluppano un’intelligenza artificiale affidabile hanno il 60% di probabilità in più di raddoppiare il ROI dei progetti basati su di essa, i vantaggi commerciali della governance dell’intelligenza artificiale [in inglese] sono evidenti. “Abbinate l’ambizione a solide misure di protezione: ciclo di vita dei dati e controlli di accesso chiari, valutazione e red teaming, e checkpoint con intervento umano nei casi in cui la posta in gioco è alta”, afferma Srivastava. 

“Integrate la sicurezza, la privacy e la governance dei dati nell’SDLC in modo che la distribuzione e la sicurezza procedano di pari passo, senza scatole nere per la provenienza dei dati o il comportamento dei modelli”.

Non è magia

Secondo BCG [in inglese], solo il 22% delle aziende ha portato la propria AI oltre la fase di POC e solo il 4% sta creando un valore sostanziale. Tenendo presenti queste statistiche che fanno riflettere, i CIO non dovrebbero nutrire aspettative irrealistiche in termini di ritorno sull’investimento.

Ottenere un ROI dall’intelligenza artificiale richiederà uno sforzo iniziale significativo e necessiterà di cambiamenti fondamentali nei processi organizzativi. Come ha affermato George Maddaloni, CTO delle operazioni di Mastercard, in una recente intervista con Runtime, l’adozione delle app di GenAI riguarda, in gran parte, la gestione del cambiamento e l’adozione.

Le insidie dell’AI sono pressoché infinite ed è comune che le imprese inseguano l’hype piuttosto che il valore, lancino prodotti senza una chiara strategia sui dati, scalino troppo rapidamente e implementino la sicurezza come un ripensamento. Molti programmi di intelligenza artificiale semplicemente non dispongono del sostegno esecutivo o della governance necessari per raggiungere gli obiettivi prefissati. In alternativa, è facile credere all’hype dei fornitori sui guadagni in termini di produttività e spendere troppo, oppure sottovalutare la difficoltà di integrare le piattaforme di intelligenza artificiale con l’infrastruttura IT legacy.

Guardando al futuro, per massimizzare l’impatto dell’AI sul business, i leader raccomandano di investire nell’infrastruttura dati e nelle capacità della piattaforma necessarie per scalare, e di concentrarsi su uno o due casi d’uso ad alto impatto che possano eliminare il lavoro umano e aumentare chiaramente i ricavi o l’efficienza.

È necessario fondare l’entusiasmo per l’intelligenza artificiale su principi fondamentali e comprendere la strategia aziendale che si intende perseguire per avvicinarsi al ROI. 

Senza una leadership solida e obiettivi chiari, infatti, l’AI è solo una tecnologia affascinante con un ritorno economico che rimane sempre fuori portata.

キャリアの羅針盤を変えた場所：水島からシリコンバレー、そして経営の最前線へ

1989年、私は三菱化成（現・三菱ケミカル）に生産技術のエンジニアとして新卒入社しました。配属先は岡山県倉敷市の水島事業所──石油コンビナートの現場で、フィールドエンジニアリングに従事する日々が始まりました。

転機が訪れたのは1996年。アメリカ東海岸のボストンおよび西海岸のサンフランシスコに新たな拠点を立ち上げるという話があり、私はその西海岸の立ち上げメンバーとしてシリコンバレーに駐在することになりました。当時はWindows 95の登場、インターネットの民主化、そしてeビジネスの黎明期。全米の投資の約3分の1が集まるという、世界最先端の技術と資本が交差する場所に身を置くことになったのです。

3年間の駐在を終えて水島に戻り、再び生産技術の業務に従事しましたが、私は「いけないものを見てしまった」という感覚に襲われました。シリコンバレーで体験したスピード感、革新性、そして未来への挑戦──それらを知ってしまった今、従来の仕事に戻ることはできませんでした。

そこで私は自ら志願し、情報システム部門へ転属しました。以降、DXを含む多くのプロジェクトに関わり、技術と経営の橋渡しを担うようになりました。そして2021年、三菱マテリアルの執行役員CIOとして転職。現在は、企業のデジタル戦略を牽引する立場で、未来を見据えた挑戦を続けています。

「ERP再建請負人」：3度の逆転劇が教えてくれた、逃げずに向き合う力

私のキャリアの中で最も大きな挑戦だったのは、やはりERPの実装プロジェクトです。実はこれまでに3回、ERPプロジェクトの再建を経験してきました。

いずれも、前任者が行き詰まり、プロジェクトが頓挫した状態から引き継ぎ、立て直してゴールへ導くというものでした。金額的にも規模的にも非常に大きなプロジェクトであり、私のCIOとしての考え方や行動の軸を形成する極めて重要な経験となりました。

私のオリジナリティがあるとすれば、それは生産技術からITへとキャリアを転換したこと、そしてシリコンバレーのど真ん中で働いた経験にあると考えています。さらに、帰国後は企業内の業務に留まらず、業界横断の活動にも積極的に関わってきました。

例えば、石油化学工業協会でのIT活動や、企業間取引の電子化（EDI）、国内外の大手同業他社22社が集まったグローバルな化学品イーコマースサイトの立ち上げなど、業界全体を巻き込んだプロジェクトにも携わりました。

現場とオフィス、国内と海外、業務とIT──この様な境界を越えて仕事をしてきた経験が、現在のCIOとしての視野と判断力につながっています。

私が大切にしているのは、「目の前のことに集中して、全力を尽くす」という姿勢です。自分自身の目標を立てすぎることで、将来の可能性を狭めてしまうのではないかという考えから、あえて明確な目標を定めず、今この瞬間に全力を注ぐことを心がけています。

ERPのような大規模プロジェクトでは、困難や予期せぬ課題が次々と現れます。そういった状況でも「逃げない」、「責任を持って最後までやり遂げる」という姿勢を貫いてきました。経験を積み重ね、自分で考え、自分の軸を持って施策を打つ──それが、私のリーダーシップの根幹です。

そして何より、「海外を知ることで日本を知る」、「他社を知ることで自社を知る」、「人を知ることで自分を知る」──この気づきこそが、私にとって最大の財産であり、CIOとしての原動力になっています。

トップダウンだけでは動かない：現場が主役になるガバナンスの再定義

57歳での転職──それは決して早いタイミングではありませんでした。しかし、転職して初めて見えてきたことが数多くありました。特に印象的だったのは、IT戦略における「ガバナンス」と「シナジー」という2つのキーワードです。

前職では、複数の上場子会社を含む大規模グループの情報システムを統括するというミッションを担いました。独立性の強い各社を束ねるには、単なるガバナンスの押し付けではなく、「その施策が現場にとってどんなメリットをもたらすのか」を丁寧に伝える必要がありました。

ガバナンスの先にシナジーが生まれ、従業員一人ひとりが納得して動き出す──その仕組みづくりこそが、持続可能なIT戦略の鍵だと実感しました。

また、DXの推進においても、トップダウンとボトムアップの両方が重要であることを学びました。トップダウンでは全社的なインパクトを生み出す一方、ボトムアップでは現場の若手が自分ごととして挑戦し、育成にもつながる。両者が連動することで、DXは組織全体に広がっていくのです。

CIOは「経営者」になれるか？──37年のキャリアが導いた2つのタイプ論

そして今、CIOとしての役割を振り返ると、2つのタイプがあると感じています。一つは「情報システムを統括するCIO」、もう一つは「経営の一翼を担うCIO」です。

私は後者を目指してきました。ITの専門性にとどまらず、外の世界を知り、業界を越え、現場と経営をつなぐ──そんな視点が、CIOの可能性を広げると信じています。

そのために私が重視しているのが、「リベラルアーツ＝人類が蓄積した叡智」です。

新しいものはゼロから生まれるのではなく、様々な叡智の組み合わせから創発されるものです。生成AIの登場によって、私たちはこれまで以上に創造的な価値を生み出すチャンスを手にしています。

情報システム部門の皆さんには、ぜひこの視点を持っていただきたいと思います。時には専門領域から越境し、現場に寄り添い、経営と対話する──その先に、CIOとしての新しい可能性が広がっていると、私は確信しています。

より具体的なCIOの仕事観、やりがいや魅力に焦点を当て、リーダーシップやITリーダーへの効果的なアドバイスなど、板野氏に話を聞きました。詳細については、こちらのビデオをご覧ください。

経営の軸を持つCIOへ：運用・保守の価値と人を動かす力

57歳での転職から4年──私は現在、三菱マテリアルのCIOとして、経営視点でITとDXを捉え、社業にどう貢献するかを日々考え、実行しています。

CIOの役割は、新しい技術を導入することだけではありません。

むしろ、導入した仕組みが安定して運用され、保守され、セキュリティが確保された状態で初めて価値が生まれる。全体が「完結」してこそ、経営に貢献できるのです。

この4年間で、私たちは「MMCグループ IT WAY」という全社・グループ横断のIT戦略を掲げ、ガバナンスとシナジーを軸に、組織・人材・予算の最適化を進めてきました。情報システム部門は、ユーザーに寄り添いながらも、核となる機能を集約し、全体最適を目指す体制へと進化しています。

ERP導入、集中購買、セキュリティの統合、そしてレガシーシステムのモダナイゼーション──これらの施策は、単なる技術更新ではなく、経営の意思と現場の実行力をつなぐ仕組みとして設計されています。過度な刷新ではなく、必要な部分を見極めて適切に選び、変える。それが、私たちのモダナイゼーションの基本姿勢です。

このような責任の重さは、同時に大きなモチベーションとやりがいにもつながっています。ITが経営の一翼を担う時代において、CIOは単なる技術統括者ではなく、経営者としての視座を持ち、全体を完結させる存在であるべきだと、私は強く感じています。

グローバルを知り、日本を知る：CIOが語る「本質的なリーダー像」

37年にわたるビジネス人生の中で、私が最も強く感じているのは、「人をどう動かすか」ということの重要性です。プロジェクト、部下、同僚、関係者、そして上司──あらゆる人との関係の中で、最も難しく、最も価値があるのは、「経営をどう動かすか」ということです。

そのためにはまず、自分自身が何をしたいのか、何を伝えたいのかという軸を持つことが不可欠です。軸がぶれてしまえば、人はついてきません。そして、その軸を言語化する力が必要です。言葉にしなければ、思いは伝わりません。

言葉が伝わるためには、信頼関係が前提となります。信頼があれば、相手は共感し、行動変容が起こります。この一連のプロセス──軸を持ち、言語化し、信頼を築き、共感を得て、行動を促す──これをいかに美しく回すかが、リーダーとしての最大の課題だと感じています。

そのためには、自分を知ることが重要です。自分を知るとは、哲学的であり、簡単ではありません。しかし、「海外を知ることで日本を知り、日本を知ることで自社を知り、自社を知ることで自分を知る」──この循環が、リーダーとしての視座を高めてくれます。

また、日本のIT業界の構造的な特徴として、SEの約7割が外部パートナーに所属しているという現実があります。内製化が叫ばれる中で、限界もある。だからこそ、ベンダーやコンサルタントと「戦友」として共に戦う関係性を築くことが必要です。

発注者として指示するだけではなく、謙虚に学び合い、知恵を出し合う関係性を築くこと。それが、これからのIT・DXの世界で、真に価値ある成果を生み出すための鍵だと考えています。

ITは人を幸せにするためにある：CIOが見つけた「人間中心」の経営哲学

個人的なモットーとして、21世紀の人類が絶対に大事にしないといけないと思う2つのキーワードがあります。

「アウェアネス（気づき・意識）」と「コンパッション（利他・思いやり）」です。

人類がこれからの時代において大切にすべき価値観として、私は「アウェアネス」と「コンパッション」の2つを強く意識しています。

この考え方は、私が三菱マテリアルにCIOとして迎えられた際、会社に対して果たすべき責務と、日本の製造業全体を強くしたいという想いの両面において、常に軸となってきました。

三菱マテリアルでは「三菱マテリアルグループ IT Way」という指針を確立し、これを基盤にIT施策を推進しています。

現在、生成AIは避けて通れないテーマとなっており、いかに人がそれを使いこなすかが問われています。重要なのは、生成AIが何かを生み出すのではなく、「人が生成AIを使って何かを生み出す」という関係性です。

生成AIはあくまでITツールの一つであり、使う主体は人間です。私は常に「人を中心にする」という考え方を社内外に伝え続けており、この思想をもとに様々な施策を展開しています。

日本の製造業を強くするには、企業の枠を超えた連携と対話が不可欠です。私は転職前から現在までの約5年間で、約70社・6,000人以上の方々と勉強会や講演会を通じて対話を重ねてきました。

その中で、自分の考えに共感してくださる方々との出会いがあり、そこから得られる学びによって、私自身も成長していると感じています。こうした知の集積が、新しい施策や取り組みを生み出す原動力になると信じています。

私が皆さんに最も伝えたいメッセージは、「すべてのテクノロジーは人を幸せにするものでなければならない」ということです。100年後、200年後の未来において、私たちの子孫が「あの時代から何かが変わった」と認識するとすれば、それはインターネットのような大きな変革であり、今まさに進行している生成AIもその一つです。

そしてもう一つ、私たちが今チャレンジすべきことは、「地球環境を守りながらビジネスができるようになった」と未来に語られることです。三菱マテリアルは資源循環を推進する企業であり、その姿勢はまさにこの未来像を具現化しようとしています。

ビジネスの世界では「甘いことを言ってはいけない」とされがちですが、地球環境を守るという視点においては、コンパッション（利他・思いやり）が不可欠です。これは人類全体がもっと意識すべきキーワードだと考えています。

CIOには専門領域に強い方が多く、経営層と同等のレベルで議論できることが求められます。

しかし、ITの領域だけでは足りません。海外の知見、業界の動向、そしてリベラルアーツなど、IT以外の分野にも目を向けることが重要です。それぞれの企業や業種によって状況は異なりますが、ITだけを考えていては本質的な課題解決には至りません。だからこそ、自分の得意領域を活かしながら、複合的に取り組むことが、これからのCIOに求められる姿勢だと私は考えています。

여러 디지털 전환 프로젝트를 이끌고 재무 성과를 만들어냈다. 경영진은 고객과 직원 경험을 모두 개선한 변화 리더십 역량을 높게 평가하고 있다. 주도적으로 구현한 아키텍처는 이제 플랫폼 표준이 됐고, 조직의 데이터와 AI 전략을 떠받치는 기반이 됐다.

이 단계에서 많은 IT 책임자가 이제 CIO나 데이터, 디지털, 보안 분야의 다른 C 레벨 자리에 도전할 자격이 있는지 자문한다.

CIO.com의 연례 CIO 현황(State of the CIO) 보고서에 따르면, CIO의 80% 이상이 역할이 점점 더 디지털과 혁신 중심으로 바뀌고 있고 디지털 전환을 이끄는 데 더 깊이 관여하고 있으며, CIO가 변화의 촉매 역할을 맡고 있다고 답했다. 이 조건을 충족하고 있다면, C 레벨 자리에 어떻게 올라설 수 있을지 고민해야 한다.

디지털 혁신 책임자는 훌륭한 C 레벨 후보

디지털 트랜스포메이션 프로젝트를 이끄는 경험은 C 레벨 자리에 오르기 위한 중요한 전제 조건이다. 하지만 C 레벨 임원이 되면, 모든 IT 프로젝트는 물론, 운영 전반의 성과와 리스크에 대해 책임을 지면서 역할과 책임이 크게 확대된다. C 레벨 기술 임원은 CEO와 CFO가 공감할 수 있는 전략을 수립해야 하고, 끊임없이 진화하는 디지털 운영 모델을 총괄해야 한다.

워크데이(Workday)의 CIO 라니 존슨은 “리더로 성장하고자 하는 기술 책임자는 프로젝트 기반 변화 실행을 관리하는 수준을 넘어, 기업 전체의 기술, 아키텍처, IT 전략에 대해 완전한 소유권과 책임을 져야 한다”라고 강조했다.

존슨은 “IT 인프라, 사이버 보안, AI 플랫폼, 핵심 시스템 운영, 데이터 거버넌스에 대해 깊이 있고 실무적인 전문성을 쌓아야 한다. 기술 전략을 안정적으로 운영하면서도 지속적인 비즈니스 가치로 연결할 수 있는 역량을 보여줘야 한다”라고 설명했다.

C 레벨 역할을 준비하려는 IT 리더는 평생 학습 프로그램을 설계해 전문성을 키우고 자신감을 쌓아야 한다. 70-20-10 학습 모델은 업무 경험 70%, 동료와의 소셜 러닝 20%, 정규 교육 10%에 초점을 맞추는 접근법이다. 디지털 혁신을 이끄는 리더는 이 모델을 C 레벨 기회를 향한 여정에 어떻게 적용하는지 알아보자.

전문가에서 ‘비전문 영역’의 인플루언서로 전환하는 경험

많은 디지털 혁신 리더가 여러 해에 걸친 전사 차원의 전략 프로젝트까지 포함해 자신이 맡은 프로그램 전반에 대한 전문성을 확보하려고 노력한다. 우선순위를 조정하고 리스크를 낮추기 위해 애자일 프로그램의 모든 상황을 들여다보려는 리더도 많다.

하지만 C 레벨 기술 책임자는 모든 전략 프로젝트의 세부 사항까지 관여할 시간도 없고, 기술 구현의 세부 사항에 대해 최고의 전문가도 아니다. C 레벨 임원이 되고자 하는 IT 리더가 채워야 할 70%의 업무 경험은 전문성과 책임 범위를 넘어서는 영역에 과감하게 발을 들여놓는 데서 나온다.

프린시펄(Principal)의 CIO 캐시 케이는 “C 레벨 기술 임원 역할로 올라서는 데 중요한 것은 모든 답을 알고 있는 것이 아니라, 모호함과 복잡성 속에서 리더십을 발휘하는 법을 배우는 것이다”라고 말했다. 케이는 “가장 값진 성장은 스트레치 과제를 맡고, 임팩트가 큰 비즈니스 문제를 해결하면서, IT 조직 내부에만 머물지 않고 전사 차원에서 영향력을 발휘하는 과정을 통해 이뤄진다. 이런 경험이 강력한 멘토와 동료의 조언과 결합되면 오래 가는 리더십 기반이 만들어진다”라고 설명했다.

다음은 업무 현장에서 찾아야 할 경험에 대한 몇 가지 조언이다.

• 영업 및 마케팅 책임자와 함께 고객을 방문하고 비즈니스 감각을 기르고 구매자의 니즈를 이해하고, 고객의 엔드 투 엔드 워크플로우를 직접 검토한다.
• 다른 프로젝트를 이끄는 리더를 멘토링해, 전문 영역 밖에 있는 사안에 대해서도 조언을 제공할 수 있는 자신감을 키운다.
• 워크숍을 직접 주관한다. 특히 중간에 갈등이나 논쟁이 터지는 상황을 잘 수습해낸다면, 경영진 위원회나 이사회 앞에서 발표하는 훌륭한 실전 경험을 쌓을 수 있다.
• 새로운 기술 도입에 부정적인 부서 리더를 찾아 현 상태에 안주하는 사고를 깨뜨릴 수 있는 방법을 모색한다.
• 의사결정에 데이터를 충분히 활용하지 못하고 효율성을 높이기 위한 AI 도입에서 뒤처진 운영 조직을 골라 협력하면서 변화의 촉매 역할을 수행한다.

두 번째로 키워야 할 역량은 경청하고 도전하고 적응하고, 방향을 전환하는 능력이다. 성공적인 C 레벨 리더는 비전을 제시하고 지속적으로 계획을 세워야 하지만, 시장과 고객, 투자자, 이해관계자의 요구가 바뀌어 목표를 재조정해야 할 때를 감지할 줄도 알아야 한다.

메가포트(Megaport)의 CTO 카메론 다니엘은 “새로운 기술, 비즈니스 우선순위 변화, 예상치 못한 변수는 잘 설계된 계획도 단숨에 무력화할 수 있다”라고 지적했다. 다니엘은 “성공적인 리더는 변화가 벌어졌을 때 그때그때 대응하는 수준에 머물지 않는다. 변화를 미리 예측하고, 조직이 변화에 대비해 준비되고 무장돼 있도록 만든다. CTO는 이런 적응력의 총 설계자로서, 솔루션이 혁신의 속도를 따라 발전하면서도 비즈니스 영향과 전략적 목표를 계속 달성하도록 책임져야 한다”라고 강조했다.

AI와 신기술에 대한 소셜 러닝에 집중

생성형 AI와 인공 일반 지능이 언제 등장할 것인지에 대한 과대광고가 넘쳐나는 상황이다. 이사회와 경영진은 C 레벨 기술 리더가 이런 소음을 걸러내고 AI 전략을 이끌고, 데이터와 AI 거버넌스를 확립해 주기를 기대한다.

보도자료와 소규모 PoC만으로는 현실적인 AI 비전과 단기적인 투자 수익을 만들 수 없다. C 레벨 기술 리더는 동료와 네트워크를 넓히고 커뮤니티에 참여해 다른 조직이 어디에 투자하고 AI 기반 비즈니스 성과를 어떻게 만들고 있는지 배우면서 지식을 확장한다.

최근 열린 ‘커피 위드 디지털 트레일블레이저(Coffee With Digital Trailblazers)’에서는 변화 리더가 C 레벨 리더십의 바통을 어떻게 이어받을 수 있는지, 그리고 소셜 러닝을 사내에서 어떻게 구현할 수 있는지 논의했다.

예를 들어, 컨티뉴엄 스트래티지(Continuums Strategies)의 설립자이자 vCISO인 데릭 버츠는 AI 기반 위협 탐지와 다양한 유형의 AI 기반 자동화 공격을 분류하는 팀에 합류할 것을 제안했다. 성장 전략가이자 프랙셔널 CIO인 조 푸글리시는 AI를 기회로 삼는 열쇠로 호기심과 끊임없는 질문을 꼽았다.

푸글리시는 “호기심이 없고 일이 왜 그렇게 진행되는지 뿌리까지 파고들지 않으면, 고객 만족도를 새로운 수준으로 끌어올리고, 새로운 제품을 만들고, 새로운 매출원을 열고, 비용을 줄이는 더 새롭고, 더 빠르고, 더 똑똑하고, 더 저렴한 방법을 절대 발명하지 못한다”라고 강조했다.

소셜 러닝에서 또 하나 집중해야 할 영역은 비즈니스 운영을 뒷받침하는 데이터를 끝까지 설명할 수 있는 현업 전문가와의 만남이다. 퀀텍사(Quantexa)의 CTO 제이미 허튼은 “에이전틱 AI가 현실로 다가오면서 데이터 리터러시는 핵심 리더십 역량이 되고 있다. 데이터가 어디에서 왔는지 설명할 수 없다면, 그 위에 AI를 책임감 있게 올릴 수 없다. 사람과 AI 에이전트가 나란히 일하는 시대는 많은 사람이 생각하는 것보다 훨씬 빨리 온다”라고 지적했다.

‘왜’라는 질문을 던지는 소셜 러닝, AI 보안 이슈에 대응하는 보안팀과의 미팅, 비즈니스 운영 데이터 검토는 AI가 큰 가치를 만들 수 있는 영역에 대한 아이디어를 정리하는 데 도움을 준다. 인사이트(Insight) 계열사 SADA의 CTO 마일스 워드는 “C 레벨에 가장 빨리 다가가는 길은 회사의 명운이 걸린 문제를 직접 찾아 나서는 것이다”라고 말했다.

정규 교육을 버리지 말라

많은 C 레벨 리더는 업무가 너무 벅차고 시간이 부족하다는 이유로 정식 학습 활동을 ‘있으면 좋은 것’ 정도로 취급한다. 평생 학습자는 독서, 청취, 시청, 온라인 강의, 기타 학습 경험에 10% 정도 시간을 투자하면 사고의 폭이 넓어지고 새로운 개념을 접할 수 있다는 사실을 이해하고 있다. 학습은 단순한 기술 역량 개발에 그치지 않는다.

쏘트스팟(ThoughtSpot)의 최고 데이터·AI 전략 책임자인 신디 하우슨은 “혁신 속도가 빠른 지금은 70-20-10 규칙이 충분하지 않으며, 정식 학습 활동에 해당하는 10%는 더 늘려야 한다”라고 제안했다. 또, “집중적인 핸즈온 미니 클래스와 최신 AI 혁신 최전선에 있는 리더와의 피어 네트워크가 결합된 시의적절한 서밋을 활용하는 ‘바이브 러닝(Vibe Learning)’ 방식이 효과적이다”라고 덧붙였다.

활용할 수 있는 다른 학습 기회는 다음과 같다.

• 디지털 트랜스포메이션 필독서 목록, CIO 추천 도서, CIO를 위한 필독서 40선 같은 책을 읽는다.
• CIO 리더십 라이브(CIO Leadership Live), CXO토크(CXOTalk), 피터 하이의 테크노베이션(Technovation with Peter High), CIO 인 더 노우(CIO in the Know) 같은 인기 CIO 팟캐스트를 자주 청취한다.
• 링크드인의 이그제큐티브 리더십 과정과 CIO 대상 유데미(Udemy) 강의 같은 온라인 학습 기회를 검토한다.
• 더 큰 투자를 한다면 버클리나 카네기 멜런 대학교, 와튼 등 교육기관에서 제공하는 CTO 대상 학위 프로그램을 고려할 수 있다.

마지막으로, C 레벨 역할이 모든 사람에게 맞는 것은 아니다. CIO 현황 조사에 따르면, CIO의 43%는 스트레스 수준을 1~10점으로 평가할 때 8점 이상이라고 답했다. 따라서 C 레벨 자리를 오르고자 한다면, 경력 목표를 세우기 전에 역할을 충분히 이해해야 한다.
dl-ciokorea@foundryco.com

You’ve led several digital transformation initiatives and delivered financial impacts. Executives recognize your change leadership competencies, having improved both customer and employee experiences. The architectures you helped roll out are now platform standards and are foundational to your organization’s data and AI strategies.

Now, you’re asking whether you’re ready for a CIO role, or another C-level role in data, digital, or security. 

CIO.com’s 24th annual State of the CIO reports that over 80% of CIOs say their role is becoming more digital- and innovation-focused, that they are more involved in leading digital transformation, and that the CIO is becoming a changemaker. If you’re checking these boxes, you should be asking how you can step up into a C-level job.

Transformation leaders are excellent C-level candidates

Leading transformation initiatives is an important prerequisite for C-level roles, but it’s not sufficient. There’s a significant step up in responsibilities when you become accountable for outcomes and managing risks across all IT initiatives and operations. C-level technology leaders must define a strategy that the CEO and CFO buy into and they must oversee an evolving digital operating model.

“Aspiring leaders need to shift from managing project-based change execution to taking full ownership and accountability for enterprise technology, architecture, and IT strategy,” says Rani Johnson, CIO of Workday. “They should develop deep, hands-on expertise in IT infrastructure, cybersecurity, AI platforms, core system operations, and data governance. They must demonstrate the ability to translate technical strategy into sustained business value whilst ensuring operational stability.”

To prepare for C-level roles, leaders should develop a lifelong learning program to develop expertise and build confidence. The 70-20-10 learning model is one approach that focuses 70% of efforts on on-the-job experiences, 20% on social learning from peers, and 10% on formal education. Here’s how digital trailblazers can apply the model in their quest for C-level opportunities.

Experience transitioning to the non-expert influencer

Many transformation leaders try to develop expertise across the full scope of their programs, even multi-year enterprise-wide strategic initiatives. Some leaders aim for full visibility into their agile programs to help steer priorities and mitigate risks.

But C-level leaders don’t have the time to get into the weeds on every strategic initiative and are generally not experts on the technology implementation details. The 70% of job experiences that transformation leaders should target require stepping into areas outside their expertise and responsibilities.

“Stepping into a C-level technology role is less about having all the answers and more about learning to lead through ambiguity and complexity,” says Kathy Kay, CIO of Principal. “Some of the most valuable growth comes from taking on stretch assignments, solving high-impact business problems, and building the ability to influence across the enterprise, not just within IT. When that experience is paired with the guidance of strong mentors and peers, it creates a lasting foundation for leadership.”

Here are some tips for on-the-job experiences to seek out.

• Visit customers with leaders from sales and marketing to develop business acumen, understand buyer needs, and review customers’ end-to-end workflows.
• Mentor leaders on other initiatives to build confidence in providing advice in areas outside of your expertise.
• Facilitate a workshop because it’s a great experience for presenting to executive committees and boards, especially if you successfully navigate a blow-up moment.
• Identify department leaders who are detractors to adopting new technologies and find ways to break through their status-quo thinking.
• Become a change agent by partnering with select operations teams that lag in using data for decision-making and in adopting AI to drive efficiencies.

A second area to develop is the skills to listen, challenge, adapt, and pivot. Successful C-level leaders have to sell a vision and continuously plan, but also sense when market, customer, investor, and stakeholder needs require a reset of objectives.

“New technologies, shifting business priorities, and unexpected challenges can render even the best-laid plans obsolete overnight,” says Cameron Daniel, CTO of Megaport. “Successful leaders don’t just respond to change as it happens; they anticipate it and make sure their teams are prepared and equipped to handle it. As CTO, you serve as the chief architect of this adaptability, ensuring that your solution evolves alongside innovation while continuing to drive business impact and strategic goals.”

Focus social learning on AI and emerging technologies

There’s a lot of hype around generative AI and when artificial generative intelligence will emerge. Boards and executive leaders expect C-level leaders to filter the noise, lead the AI strategy, and establish data and AI governance.

C-level technical leaders can’t rely on press releases and small POCs to develop realistic AI visions that can deliver near-term ROI. Top C-level leaders expand their knowledge by networking with peers and joining communities to learn where others are investing and how they are delivering AI business outcomes. 

Communities to consider joining include:

• CIO Association of Canada
• Digital Trailblazer Community
• Gartner Peer Community
• Global CIO Forum
• HotTopics CIO Community
• IDC CIO Executive Council
• Inspire Leadership Network 
• MIT Sloan CIO Community
• Society of Information Management (SIM)
• Women Tech Network

Many of these communities are open to tech leaders aspiring to C-level roles.

At a recent Coffee With Digital Trailblazers, we discussed how transformation leaders prepare to take the C-level leadership baton and how social learning can happen inside the company as well. For example, Derrick Butts, founder and vCISO at Continuums Strategies, suggested joining the team working on AI threat detection and triaging different types of AI-enabled automated attacks.

Joe Puglisi, growth strategist and fractional CIO, added that being curious and asking many “why” questions is key to unlocking AI opportunities: “If you’re not curious and don’t get to the root of the reason things are done the way they’re done, you’ll never invent that new, better, faster, smarter, cheaper way that’s going to bring new customer satisfaction levels, new products to your customers, new revenue sources, or cost reductions.”

One more area to focus on for social learning about AI opportunities is meeting with subject-matter experts who can fully explain the data underlying a business operation. Jamie Hutton, CTO of Quantexa, says, “As agentic AI becomes a reality, data literacy becomes a core leadership skill. If you can’t explain where your data comes from, you can’t responsibly deploy AI on top of it. Humans and AI agents will be working side by side much sooner than most realize.”

Social learning by asking “why” questions, meeting security teams that respond to AI security issues, and reviewing data from business operations can help formulate ideas on where AI can deliver sizable benefits. “The fastest path to C-level is by seeking out ‘bet-the-company’ problems,” says Miles Ward, CTO of SADA, an Insight company.

Don’t eliminate formal learning

Many C-level leaders find the job too demanding and time-consuming, and leave formal learning activities as a nice-to-have. Lifelong learners recognize that a 10% commitment to reading, listening, viewing, coursework, and other learning experiences can expand their mindsets and expose them to new concepts. Learning is not just about skill development.

“In a time of rapid innovation, the 70-20-10 rule is inadequate, and that 10% formal education needs to increase,” suggests Cindi Howson, chief data and AI strategy officer at  ThoughtSpot. “However, it’s critical to look for the right formal education as executive training is rapidly out of date.”

Howson recommends “vibe learning” with hands-on mini classes and timely summits featuring peer-to-peer network from leaders at the cutting edge of AI innovation.

Other learning opportunities include:

• Reading books from these lists of must-read digital transformation books, recommended reading from CIOs, and the top 40 books for CIOs.
• Listening to frequent top-listed CIO podcasts, including CIO Leadership Live,  CXOTalk, Technovation with Peter High, and CIO in the Know.
• Reviewing online learning opportunities such as LinkedIn’s Executive Leadership and CIO courses on Udemy.

A bigger commitment is to consider CTO degree programs from academic institutions such as Berkeley, Carnegie Mellon University, Wharton, and others.

C-level roles are not for everyone. On a scale of 1-10, 43% of CIOs rated the job 8 or higher on a stress level scale in CIO.com’s State of the CIO. So, for those aspiring to C-level roles, make sure to thoroughly understand the role before making it a career objective.

보안과 IT 간 협업이 필요하다는 점은 분명하지만, CISO와 CIO의 관계는 그리 순탄하지 않다. 이는 새로 임명된 CISO들이 역할을 잡아가는 과정에서 겪는 적응 문제만도 아니다.

가트너 조사에 따르면 재직 기간이 2년 미만인 CISO의 약 3분의 1이 주요 보안 관련 사안에서 CIO와 갈등을 겪는 것으로 나타났다. 특히 5년 이상 경력을 가진 CISO의 절반이 조직의 사이버 회복력 강화나 기업 전체의 사이버 리스크 허용 범위 조율 등과 같은 핵심 분야에서 동일한 갈등을 경험하고 있다고 답한 점은 더욱 눈에 띈다.

가트너 사이버보안 리서치팀의 연구 및 콘텐츠 총괄 부사장 크리스틴 리는 갈등이 CISO와 CIO의 관계 이상을 보여주는 신호가 될 수 있다고 설명하면서도, 갈등 그 자체가 항상 문제를 의미하는 것은 아니라고 지적했다.

연구진과 경험 많은 임원, 그리고 여러 경영 자문가들은 실제로 CIO와 CISO가 조율되지 않은 채 따로 움직이고 있음을 드러내는 더 뚜렷한 징후들이 존재한다고 말했다.

문제의 징후

보안 책임자와 자문가들은 CISO가 CIO와의 관계에서 점검해야 할 위험 신호로 다음과 같은 사례들을 제시했다.

1. CIO가 CISO의 권고나 결정을 무시하거나 번번이 뒤집는다.
테크 기업 트랜센드의 상주 CISO이자 유나이티드헬스그룹의 전 CISO인 에이미 카드웰은 이런 상황에서 CIO가 “의견 고맙지만, 우리는 우리가 하려는 대로 진행하겠다”라고 말하는 식으로 전개되는 경우가 많다고 설명했다.

2. CIO와 CISO가 갈등을 해결하지 못한다.
조직이 발전하려면 일정 수준의 갈등은 필요하다. 다양한 시각과 의견은 최고경영진에게 새로운 선택지를 제공하고 조직 전체에 이익이 되는 절충점을 찾도록 돕는다.

그러나 CIO와 CISO가 갈등을 상급 경영진까지 끌어올리지 않고는 해결하지 못한다면 근본적인 문제가 자리 잡고 있다는 신호일 수 있다. 카드웰은 “어깨를 나란히 하고 있는가, 아니면 코를 맞대고 있는가를 봐야 한다. 만약 코를 맞대고 있다면 그건 정렬되지 않았다는 뜻”이라고 말했다.

가트너 조사에 따르면 경험 많은 CISO의 87%가 CIO와의 갈등 해결 수준을 ‘좋다’ 또는 ‘매우 좋다’라고 평가했다. 가트너의 크리스틴 리는 이 수치가 갈등 그 자체가 관계 이상을 의미하지 않는다는 점을 보여준다고 설명했다. 오히려 “진전을 이루거나 합의에 도달하지 못하는 상황이 CIO-CISO 관계가 깨졌다는 신호”라고 전했다.

3. CIO가 정보를 공유하지 않는다.
트랜센드의 카드웰은 “이건 매우 큰 경고 신호”라고 지적했다.

4. CIO가 CISO의 이사회 보고 내용을 수정하거나 막는다.
CISO가 이사회에 정기적으로 직접 보고하지 않는 것도 문제지만, 카드웰은 CIO가 CISO가 이사회에 반드시 전달해야 한다고 판단한 내용을 바꾸는 것은 더욱 심각한 상황이라고 말했다.

그는 “이는 ‘좀 더 표현을 다듬자’거나 ‘스토리를 더 잘 전달할 수 있다’는 조언 수준을 넘어선다. 사실을 삭제하거나, 윤리적 문제를 야기할 수 있는 방식으로 내용을 바꾸는 것은 단순한 코칭이 아니다”라고 설명했다.

5. CIO가 이사회나 다른 임원 앞에서 CISO의 의제를 훼손한다.
리 역시 “CIO가 CISO의 신뢰도나 의견을 적극적으로 깎아내리거나, CISO와 이사회·임원진 간의 모든 대화를 중재하려 든다면 이는 분명 좋지 않은 신호”라고 말했다.
여기에는 중요한 회의나 조직의 IT 전략 논의에서 CISO의 우선순위를 대변하지 않는 행동도 포함된다.

6. IT가 관련된 비즈니스 이니셔티브에서 CISO가 배제된다.
올바른 파트너십이라면 모든 IT 프로젝트의 초기 단계부터 CIO와 CISO가 함께 움직이는 것이 자연스럽다. 그러나 CISO가 중요한 기술 프로젝트를 진행 후반부에 와서야 알게 되거나, 집요하게 질문해야만 정보를 얻을 수 있다면 관계를 재정비해야 한다는 뜻이다.

소프트웨어 기업 레그스케일의 CISO 데일 호크는 “새 프로젝트나 벤더, 마이그레이션 이야기가 나오는데 CISO가 아무것도 모른다면 이는 근본적인 문제다. 이런 경우 보안은 결국 ‘사후 부착’되는 수준에 그친다”라고 지적했다.

그는 이어 “좋은 관계에서는 놀랄 일이 없으며, 지속적인 소통과 대시보드 공유가 자연스럽게 이루어진다”라고 말했다.

7. 일대일 대화가 없다.
레벨블루의 CIO 마리아 카도우는 CIO와 CISO가 이메일, 그룹 회의, 양측의 팀원을 통한 간접 전달(정보가 자연스럽게 위로 올라올 것이라는 기대)에만 의존한다면 이는 건강한 관계라고 보기 어렵다고 말했다.

카도우는 “우리는 서로 직접 대화하지 않기에는 다뤄야 할 정보가 너무 많다. 정기적이든 필요에 따른 즉석 대화든, 이를 대체할 수 있는 방식은 없다”라고 설명했다.

8. CIO와 CISO가 서로의 우선순위·과제·전략 등을 알지 못한다.
카도우는 “CIO라면 CISO가 무엇을 우려하는지 잘 알고 있어야 하고, CISO 역시 CIO의 세계에서 어떤 일이 벌어지고 있는지 파악하고 있어야 한다”라고 말했다.

9. CISO와 CIO가 역할 분담을 두고 충돌한다.
또 다른 문제의 신호는 공동 책임이 있는 영역에서 어느 한쪽이 발생한 부족함을 상대방 탓으로 돌리는 경우다.

10. 한쪽이 이미 상대방이 보유한 역량을 가진 기술을 중복 구매한다.
이 문제는 어느 쪽에서든 생길 수 있다. 그러나 관련해 더 큰 문제는 CIO가 CISO에게 구매해야 할 제품이나 사용해야 할 벤더·서비스 제공업체를 일방적으로 지시하는 상황이다.

EY 미주지역 사이버보안 역량 총괄 아얀 로이는 “일부 경우에는 CIO의 선택이 보안 관점에서 맞는 답일 수도 있다. 하지만 그렇지 않은 경우도 있다. 중요한 건 일방적인 지시는 충분한 분석이 이루어지지 않았다는 뜻”이라고 설명했다. 이어 “CIO는 CISO가 적절한 솔루션을 선택할 수 있도록 재량을 부여해야 한다. CISO는 평가를 수행하고 최적의 선택을 할 수 있어야 한다”라고 설명했다.

11. CIO가 사이버 위생(cyber hygiene)을 우선순위로 두지 않는다.
대표적인 사례는 보안팀이 시급한 조치가 필요하다고 판단해 우선순위를 매긴 취약점을 패치하지 않거나, 패치를 미루는 경우다.

12. 기술 제품이 보안 결함이나 통제 공백을 안은 채 출시된다.
글로벌 결제·환전 기업 컨베라의 CISO 사라 매든은 “이 경우 가장 먼저 던져야 하는 질문은 ‘왜 제품 설계 단계에서 이를 발견하지 못했는가’이며, 그 답은 대체로 IT와 보안의 협업 부족에 있다”라고 지적했다.

CIO-CISO 관계의 중요성

컨설팅 기관 아포지 글로벌 RMS(Apogee Global RMS)의 설립자이자 구글 클라우드 CISO 오피스의 전 임원인 MK 팔모어는 CIO와 CISO가 성공하려면 두 역할 간 관계가 강하게 구축돼 있어야 한다고 강조했다.

팔모어는 “두 직책에 있는 사람들이 서로 원만할 뿐 아니라 협력적이어야 한다. 각자 맡은 영역과 목표가 있지만, 실제로는 서로 없이는 일을 완수할 수 없다”라며 “따라서 서로를 의지해야 하고, 서로를 의지해야 한다는 사실을 인지해야 한다”라고 설명했다.

협력적 관계가 부족하면 피해를 보는 것은 CIO와 CISO만이 아니다. 팔모어를 비롯한 여러 전문가는 CIO-CISO 관계가 틀어지면 양쪽 조직과 기업 전체에도 부정적 영향을 미친다고 지적했다.
부킹닷컴의 CSO 마니 윌킹은 “갈등이 심한 CIO-CISO 관계는 목표·우선순위·커뮤니케이션에서 불일치로 나타난다”라며 “기술·보안 리더가 같은 방향을 보지 못하면 운영과 성과 모두에서 문제가 드러난다. 프로젝트 마감이 지연되거나 취약점이 증가하는 식”이라고 설명했다.

관계를 악화시키는 요인은 다양하다. 우선 카드웰은 여전히 보안 부서가 ‘안 된다’고 말하는 부서로 인식되거나 실제로 그렇게 행동하는 경우가 있다고 말했다. 그는 “CIO는 ‘안 된다’고 말할 여유가 없다. CIO의 역할은 비즈니스가 하려는 일을 가능하게 하는 데 있다”라며 “따라서 CISO 역시 ‘비즈니스가 원하는 바를 어떻게 실현할 수 있을까’를 중심에 둬야 한다”라고 설명했다.

보안 부서가 ‘안 된다’고만 하지 않더라도, 카드웰은 CISO가 ‘된다’는 답에 도달하기까지 지나치게 오래 걸리는 것도 문제라고 지적했다.

그는 “문제 유형에 따라 빠르게 해결할 수 있는 방법은 수십 가지가 있다”라며 “CISO라면 다양한 가격대·일정·장단점·보안 점수를 갖춘 여러 옵션을 CIO와 비즈니스에 제시해 상황에 맞는 선택이 가능하도록 해야 한다”라고 말했다.

관계를 악화시키는 또 다른 이유로 팔모어는 CIO가 보안을 충분히 우선순위에 두지 않는 경우를 들었다.
그는 “때로는 CISO가 보안에만 집중해 비즈니스 지원 관점이 부족하거나, 반대로 CIO가 보안에는 관심이 없고 비즈니스 추진에만 집중하는 경우도 있다”라고 설명했다.

이 밖에도 CIO가 IT 전반에 대한 통제 권한을 강하게 유지하려 하면서 보안을 배제하거나, 그 반대의 상황도 발생한다.

레벨블루의 최고보안책임자이자 신뢰 책임자인 코리 다니엘스는 “일부 보안 리더는 자신만이 보안을 책임진다고 생각해 고립된 섬처럼 행동하고, 돌아갈 배도 없는 상태에 스스로 놓이기도 한다”라고 말했다.

전문가들은 관계 악화의 배경에는 구조적 요인도 존재한다고 분석했다. 윌킹은 “역할과 책임이 명확하지 않으면 책임 공백이나 중복이 생겨 불필요한 위험을 초래할 수 있다”라고 지적했다.

카도우는 여기에 더해 “조직의 예산 배분 방식이 CIO와 CISO를 같은 예산을 두고 경쟁하는 관계로 만들 수 있다”라고 설명했다.

이러한 문제의 상당수는 윌킹이 말하는 “엔터프라이즈 리스크에 대한 공유된 맥락과 정렬 부족”에서 비롯된다.

그는 “CIO는 가동 시간, 확장성, 민첩성으로 평가받고, CISO는 데이터 보호, 컴플라이언스 준수, 위협 완화를 중심으로 평가받는다. 이 두 우선순위가 어떻게 교차하는지에 대한 공통된 관점이 없다면 두 역할은 충돌하는 것처럼 보일 수 있다”라고 말했다.

이어 “보안은 너무 자주 ‘문을 지키는 역할’로 취급되지만 실제로는 전략적 파트너여야 한다. 협업이 거래적 관계로 느껴지는 이유도 여기에 있다”라고 설명했다. 또한 “부킹닷컴에서는 사이버보안을 비즈니스 전략의 출발점부터 통합해 제품 설계, 데이터, 고객 신뢰를 논의하는 모든 과정에 포함시키고 있다”라고 덧붙였다.

관계가 악화됐을 때 개선 방법

CIO와 CISO 모두 관계가 나빠졌을 때 이를 개선해야 할 분명한 동기가 있다. 리는 “CIO-CISO 관계는 매우 중요하다. 두 역할 모두 조직의 기술·사이버보안 목표를 달성하기 위해 효과적으로 협력해야 한다”라며 “모든 기술에는 사이버보안 노출이 따르며, 이는 기술 도입과 비즈니스 성과에 직접적인 영향을 준다. 그래서 CIO는 보안에 관심을 가져야 하고, CISO는 보안이 비즈니스 성과를 위한 것임을 이해해야 한다. 두 역할은 서로의 우선순위를 달성하기 위해 함께 움직여야 한다”라고 설명했다.

CISO는 CIO와의 관계를 개선하기 위해 다양한 노력을 기울일 수 있다. 인공지능 확산, 경제적 불확실성 등 변화가 큰 현재 환경을 관계를 점검하고 초기화하며, 협업을 막아온 문제를 해결할 기회로 활용해야 한다.

CISO가 취할 수 있는 주요 단계는 다음과 같다.

• 조직의 리스크 관점에 대해 CIO는 물론 C-레벨 경영진과 이사회와도 명확한 공감대를 형성하기

• 보안 전략이 조직의 전체 전략과 IT 로드맵과 일치하도록 조정하기
트랜센드의 카드웰은 “CISO는 ‘CIO가 훌륭한 방향을 잡았다. 이를 어떻게 안전하게 구현할 수 있을까’를 고민해야 한다”라고 설명했다.

• CIO와 CISO 각각의 책임 범위를 명확히 하기
레벨블루의 다니엘스는 “역할의 경계가 어디에 있는지 분명해야 한다”라고 말했다.

• 정기적·비정기적으로 CIO와 직접 소통하는 일을 최우선 과제로 두기

• 관계 관리에 집중하기
다니엘스는 “대화하고, 만날 준비를 하고, 양측 팀이 함께 협업하도록 만들고, 신뢰를 쌓아야 한다”라고 설명했다.

• CIO의 우선순위, 동기, 과제 등을 이해하고 자신의 것도 공유하기
다니엘스는 “상대의 입장에서 한 걸음 걸어보는 방식이 필요하다”라고 조언했다.

• 비즈니스 지원 중심의 사고방식으로 전환하기
레그스케일의 CISO 데일 호크는 “처음부터 ‘안 된다’가 아니라 ‘어떻게 하면 안전하게 이 목표에 도달할 수 있을까’라는 질문으로 접근해야 한다”라고 강조했다.
dl-ciokorea@foundryco.com

이전 기사에서는 CIO가 조직 내에서 ‘보이지 않는 존재’로 전락할 위험에 대해 다뤘다. 이번 글에서는 동맹이 있을 때와 없을 때의 차이, 실무자로 구성된 조직 하부에서 업무를 추진하는 일명 바텀업(bottom-up) 접근을 활용할 때 열리는 다양한 기회, 그리고 동맹을 무력화할 수 있는 보이지 않는 실수를 어떻게 피할 수 있는지 살펴본다.

1. 지원이 부족할 때: CIO에게 돌아오는 비용과 위험

2020년, 다임러는 미래 차량과 모빌리티 기술을 개발하던 혁신 인큐베이터 ‘Lab1886’을 분사하기로 결정했다. 인재는 충분했지만, 프로젝트를 책임지고 끌어갈 사내 동맹이 부족했다. 조직 내부 연결고리가 명확하지 않자 프로젝트는 제대로 이관되거나 실행되지 못했고, 결국 이 조직은 고립되고 말았다.

CIO도 마찬가지 상황에 놓인다. 내부 지원이 부족하면 인재와 노력만으로는 충분하지 않다. 실제로 대기업 CIO들조차 제안서를 처음부터 다시 방어해야 했다거나, 또는 IT가 문제를 사전에 파악할 기회조차 없는 상태에서 다른 부서의 프로젝트가 ‘필터링 없이’ 넘어온 적이 있다고 말한다.

이런 흐름이 반복되면 CIO가 조직의 속도를 늦추는 존재라는 인식이 만들어진다. CIO의 영향력 확대에도 전혀 도움이 되지 않고, 오히려 디지털 전략을 이끄는 자리에서 벗어나 끊임없이 발생하는 문제를 진화하는 역할로 떠밀리게 된다.

CIO들은 이러한 악순환이 지속될 수 없다는 사실을 점점 인식하고 있다. 보석 기업 팬도라의 CDO 겸 CTO 데이비드 왈름슬리는 마크 새뮤얼스와의 인터뷰에서 “디지털 전환 첫날부터 강조한 것은, 우리는 지시를 받기 위해 존재하는 조직이 아니라 견고한 협업을 제공하기 위해 존재한다는 점”이라고 설명했다.

2. 동맹: CIO의 입지를 강화하는 힘

CIO는 끊임없이 프로젝트를 정당화하거나 다른 부서의 과제를 떠안는 구조에서 벗어나야 한다. 이를 위해 필요한 것은 권위가 아니라 ‘공감대를 기반으로 한 협력’이며, 결국 조직 내부에 동맹을 구축하는 일이다.

동맹의 가장 큰 강점은 이미 확보된 지지 기반이라는 점이다. 이는 승인 과정을 앞당기고, 반복되는 정당화 과정에서 발생하는 소모를 줄여준다.

동맹이 제공하는 이점은 이뿐만이 아니다. 동맹은 자신의 신뢰를 바탕으로 완충 역할을 하므로 조직 내 마찰이 줄어들고, 조직 내 연결망을 확장해 CIO가 직접 참석하지 않은 자리에서도 새로운 논의나 기회가 열릴 수 있게 한다. 또한 CIO가 부재한 상황에서도 동맹이 해당 이니셔티브를 대신 옹호하며 자신만의 신뢰도를 보태는 역할을 한다.

결국 동맹은 CIO의 입지를 강화하고 영향력을 배가시키며 과도한 소모를 막아주는 핵심 자산이다.

3. 바텀업 방식의 동맹 구축: 확장되는 신뢰

동맹의 가치가 분명하지만, 그렇다면 어떻게 확보할 수 있을까. 항상 이해관계가 일치하거나 협력을 쉽게 만드는 조건이 주어지는 것은 아니다. 그러나 조직에는 예산과 시간을 갉아먹는 다양한 문제들이 존재한다. CIO가 이 문제를 해결하는 데 기여할 수 있다면, 그것이 곧 동맹의 출발점이 된다.

흔히 조직의 최상위에서 접근하는 것이 합리적으로 보이지만, 실제로는 가장 어렵고 멀리 돌아가는 길일 수 있다. 당장 해결해야 할 문제를 안고 있는 잠재적 동맹은 조직 곳곳에 존재한다. 예컨대 재무통제 담당자는 느린 마감 일정과 부정확한 예측으로 인한 압박에 시달리고, 구매 담당자는 중복 계약이나 오류가 많은 수기 인보이스 처리 문제와 매일 맞서야 한다.

기회는 이미 조직 안에 있다. 필요한 것은 이 문제들이 남기는 흔적을 찾아내는 일이다. 중복 송장, 매달 말 통제 없이 공유되는 스프레드시트 등은 아직 관리되지 않은 프로세스의 전형적인 징표이며, IT가 빠르게 개선 효과를 낼 수 있는 지점이다.

CIO가 이러한 실무자들의 문제를 해결하면, 그 영향력은 예상보다 훨씬 빠르게 조직 전체로 확산된다. 구매 부서의 병목을 해소한 작은 성과가 부서 회의에서 언급되고, 그 이야기가 CFO까지 전달되는 식이다.

4. 동맹을 깨뜨리는 보이지 않는 실수를 피하는 법

관계를 시작할 기회를 찾는 것은 첫 단계일 뿐이다. 실제로 동맹의 성패를 가르는 것은 이니셔티브를 어떻게 운영하느냐에 달려 있다. 협업의 지속성을 위협해 CIO를 다시 원점으로 돌릴 수 있는 ‘조용한 위험 요소’에 주의를 기울여야 한다.

첫 번째 위험은 이니셔티브가 ‘비즈니스 언어’로 번역되지 않을 때 발생한다. 이 주제만으로도 별도의 논의가 필요하지만 요지는 간단하다. 잠재적 동맹이 해당 활동을 온전히 이해하지 못하거나, 동료에게 자기 언어로 설명할 수 없다면 그 프로젝트는 절대 확산되지 못한다.

또 다른 위험은 CIO가 ‘완성된’ 이상적인 솔루션을 그대로 제시할 때다. 동맹 후보가 직접 참여해 의견을 보태고 흔적을 남길 공간이 없다면, 프로젝트가 아무리 유익해도 자기 일처럼 느끼지 못해 적극적으로 관여하지 않는다.

또 하나의 덜 보이는 장애물은 ‘주의력(Attention)’이라는 자원이다. 시간은 모든 조직에서 가장 희소한 자원이다. 프로젝트나 관계 자체가 지나치게 많은 시간과 집중을 요구하면 그 자체로 조직에 부담이 되고 지속되기 어렵다.

여기에 정치적이지만 매우 중요한 또 다른 위험이 있다. IT를 막을 수 있는 권한을 가진 이해관계자를 간과하는 경우다. 준법감시 담당자, 법무 담당자, 각종 위원회 참석자 등이 그 대상이다. 이들을 초기에 파악해 의견을 수렴하지 않으면, 반대 의견이 늦게 등장해 대응할 여지가 거의 없어지게 된다.

이러한 위험은 대부분 눈에 잘 띄지 않기 때문에 더 위험하다. 이들이 보여주는 메시지는 분명하다. 기술적 완성도만으로는 충분하지 않으며, 함께 일하는 과정 자체가 신뢰를 만든다는 점이다. 이렇게 형성된 관계와 소통 방식이 향후 협력의 기준점으로 자리 잡는다.

5. 공고해진 미션과 미래를 위한 정치적 자본

CIO에게 동맹이 있다는 것은 더 이상 혼자서 변화를 추진하지 않아도 된다는 의미다. 이미 형성된 지지 기반과 축적된 정치적 자본 덕분에 IT 이니셔티브를 지속적으로 방어할 필요도 사라진다.

또한 이러한 지원 네트워크는 CIO 전략의 회복탄력성까지 높여준다. 전략이 특정 조직도에 영향을 크게 받지 않으며, 조직이 공유하는 비즈니스 우선순위 위에서 움직이기 때문이다.

궁극적으로 CIO는 더 넓은 전략적 여지를 확보하게 된다. 끊임없이 발생하는 문제를 진화하는 데 에너지를 소모하는 대신, 전술적 과제를 넘어 디지털 전략을 설계하는 본연의 역할에 집중할 수 있게 된다.

이 글은 파운드리(Foundry) 수석 애널리스트 알베르토 벨레가 작성했다.
dl-ciokorea@foundryco.com

As employees experiment with gen AI tools on their own, CIOs are facing a familiar challenge with shadow AI. Although it’s often well-intentioned innovation, it can create serious risks around data privacy, compliance, and security.

According to 1Password’s 2025 annual report, The Access-Trust Gap, shadow AI increases an organization’s risk as 43% of employees use AI apps to do work on personal devices, while 25% use unapproved AI apps at work.

Despite these risks, experts say shadow AI isn’t something to do away with completely. Rather, it’s something to understand, guide, and manage. Here are six strategies that can help CIOs encourage responsible experimentation while keeping sensitive data safe.

1. Establish clear guardrails with room to experiment

Managing shadow AI begins with getting clear on what’s allowed and what isn’t. Danny Fisher, chief technology officer at West Shore Home, recommends that CIOs classify AI tools into three simple categories: approved, restricted, and forbidden.

“Approved tools are vetted and supported,” he says. “Restricted tools can be used in a controlled space with clear limits, like only using dummy data. Forbidden tools, which are typically public or unencrypted AI systems, should be blocked at the network or API level.”

Matching each type of AI use with a safe testing space, such as an internal OpenAI workspace or a secure API proxy, lets teams experiment freely without risking company data, he adds.

Jason Taylor, principal enterprise architect at LeanIX, an SAP company, says clear rules are essential in today’s fast-moving AI world.

“Be clear which tools and platforms are approved and which ones aren’t,” he says. “Also be clear which scenarios and use cases are approved versus not, and how employees are allowed to work with company data and information when using AI like, for example, one-time upload as opposed to cut-and-paste or deeper integration.”

Taylor adds that companies should also create a clear list that explains which types of data are or aren’t safe to use, and in what situations. A modern data loss prevention tool can help by automatically finding and labeling data, and enforcing least-privilege or zero-trust rules on who can access what.

Patty Patria, CIO at Babson College, notes it’s also important for CIOs to establish specific guardrails for no-code/low-code AI tools and vibe-coding platforms.

“These tools empower employees to quickly prototype ideas and experiment with AI-driven solutions, but they also introduce unique risks when connecting to proprietary or sensitive data,” she says.

To deal with this, Patria says companies should set up security layers that let people experiment safely on their own but require extra review and approval whenever someone wants to connect an AI tool to sensitive systems.

“For example, we’ve recently developed clear internal guidance for employees outlining when to involve the security team for application review and when these tools can be used autonomously, ensuring both innovation and data protection are prioritized,” she says. “We also maintain a list of AI tools we support, and which we don’t recommend if they’re too risky.”

2. Maintain continuous visibility and inventory tracking

CIOs can’t manage what they can’t see. Experts say maintaining an accurate, up-to-date inventory of AI tools is one of the most important defenses against shadow AI.

“The most important thing is creating a culture where employees feel comfortable sharing what they use rather than hiding it,” says Fisher. His team combines quarterly surveys with a self-service registry where employees log the AI tools they use. IT then validates those entries through network scans and API monitoring.

Ari Harrison, VP of IT at branding manufacturer Bamko, says his team takes a layered approach to maintaining visibility.

“We maintain a living registry of connected applications by pulling from Google Workspace’s connected-apps view and piping those events into our SIEM [security information and event management system],” he says. “Microsoft 365 offers similar telemetry, and cloud access security broker tools can supplement visibility where needed.”

That layered approach gives Bamko a clear map of which AI tools are touching corporate data, who authorized them, and what permissions they have.

Mani Gill, SVP of product at cloud-based iPaaS Boomi, argues that manual audits are no longer enough.

“Effective inventory management requires moving beyond periodic audits to continuous, automated visibility across the entire data ecosystem,” he says, adding that good governance policies ensure all AI agents, whether approved or built into other tools, send their data in and out through one central platform. This gives organizations instant, real-time visibility into what each agent is doing, how much data it’s using, and whether it’s following the rules.

Tanium chief security advisor Tim Morris agrees that continuous discovery across every device and application is key. “AI tools can pop up overnight,” he says. “If a new AI app or browser plugin appears in your environment, you should know about it immediately.”

3. Strengthen data protection and access controls

When it comes to securing data from shadow AI exposure, experts point to the same foundation: data loss prevention (DLP), encryption, and least privilege.

“Use DLP rules to block uploads of personal information, contracts, or source code to unapproved domains,” Fisher says. He also recommends masking sensitive data before it leaves the organization, and turning on logging and audit trails to track every prompt and response in approved AI tools.

Harrison echoes that approach, noting that Bamko focuses on the security controls that matter most in practice: Outbound DLP and content inspection to prevent sensitive data from leaving; OAuth governance to keep third-party permissions to least privilege; and access limits that restrict uploads of confidential data to only approved AI connectors within its productivity suite.

In addition, the company treats broad permissions, such as read and write access to documents or email, as high-risk and requires explicit approval, while narrow, read-only permissions can move faster, Harrison adds.

“The goal is to allow safe day-to-day creativity while reducing the chance of a single click granting an AI tool more power than intended,” he says.

Taylor adds that security must be consistent across environments. “Encrypt all sensitive data at rest, in use, and in motion, employ least-privilege and zero-trust policies for data access permissions, and ensure DLP systems can scan for, tag, and protect sensitive data.”

He notes that companies should ensure these controls work the same on desktop, mobile, and web, and keep checking and updating them as new situations come up.

4. Clearly define and communicate risk tolerance

Defining risk tolerance is as much about communication as it is about control. Fisher advises CIOs to tie risk tolerance to data classification instead of opinion. His team uses a simple color-coded system: green for low-risk activities, such as marketing content; yellow for internal documents that must use approved tools; and red for customer or financial data that can’t be used with AI systems.

“Risk tolerance should be grounded in business value and regulatory obligation,” says Morris. Like Fisher, Morris recommends classifying AI use into clear categories, what’s permitted, what needs approval, and what’s prohibited, and communicating that framework through leadership briefings, onboarding, and internal portals.

Patria says Babson’s AI Governance Committee plays a key role in this process. “When potential risks emerge, we bring them to the committee for discussion and collaboratively develop mitigation strategies,” she says. “In some cases, we’ve decided to block tools for staff but permit them for classroom use. That balance helps manage risk without stifling innovation.”

5. Foster transparency and a culture of trust

Transparency is the key to managing shadow AI well. Employees need to know what’s being monitored and why.

“Transparency means employees always know what’s allowed, what’s being monitored, and why,” Fisher says. “Publish your governance approach on the company intranet and include real examples of both good and risky AI use. It’s not about catching people. You’re building confidence that utilizing AI is safe and fair.”

Taylor recommends publishing a list of officially sanctioned AI offerings and keeping it updated. “Be clear about the roadmap for delivering capabilities that aren’t yet available,” he says, and provide a process to request exceptions or new tools. That openness shows governance exists to support innovation, not hinder it.

Patria says in addition to technical controls and clear policies, establishing dedicated governance groups, like the AI Governance Committee, can greatly enhance an organization’s ability to manage shadow AI risks.

“When potential risks emerge, such as concerns about tools like DeepSeek and Fireflies.AI, we collaboratively develop mitigation strategies,” she says.

This governance group not only looks at and handles risks, but explains its decisions and the reasons behind them, helping create transparency and shared responsibility, Patria adds.

Morris agrees. “Transparency means there are no surprises. Employees should know which AI tools are approved, how decisions are made, and where to go with questions or new ideas,” he says.

6. Build continuous, role-based AI training

Training is one of the most effective ways to prevent accidental misuse of AI tools. The key is be succinct, relevant, and recurring.

“Keep training short, visual, and role-specific,” says Fisher. “Avoid long slide decks and use stories, quick demos, and clear examples instead.”

Patria says Babson integrates AI risk awareness into annual information security training, and sends periodic newsletters about new tools and emerging risks.

“Routine training sessions are offered to ensure employees understand approved AI tools and emerging risks, while departmental AI champions are encouraged to facilitate dialogue and share practical experiences, highlighting both the benefits and potential pitfalls of AI adoption,” she adds.

Taylor recommends embedding training in-browser, so employees learn best practices directly in the tools they’re using. “Cutting and pasting into a web browser or dragging and dropping a presentation seems innocuous until your sensitive data has left your ecosystem,” he says.

Gill notes that training should connect responsible use with performance outcomes.

“Employees need to understand that compliance and productivity work together,” he says. “Approved tools deliver faster results, better data accuracy, and fewer security incidents compared with shadow AI. Role-based, ongoing training can demonstrate how guardrails and governance protect both data and efficiency, ensuring that AI accelerates workflows rather than creating risk.”

Responsible AI use is good business

Ultimately, managing shadow AI isn’t just about reducing risk, it’s about supporting responsible innovation. CIOs who focus on trust, communication, and transparency can turn a potential problem into a competitive advantage.

“People generally don’t try and buck the system when the system is giving them what they’re looking for, especially when there’s more friction for the user in taking the shadow AI approach,” says Taylor.

Morris concurs. “The goal isn’t to scare people but to make them think before they act,” he says. “If they know the approved path is easy and safe, they’ll take it.”

That’s the future CIOs should work toward: a place where people can innovate safely, feel trusted to experiment, and keep data protected because responsible AI use isn’t just compliance, it’s good business.

Caught between change and stability, many companies find themselves hesitating on how to square the two. The pace of change is increasing in the age of AI, and the weight of making inspired choices has only become more critical. GS Caltex, one of Korea’s leading refining companies, faced the same dilemma and recently embraced a new guiding principle of good risk taking — a phrase reportedly often heard in GS Caltex meetings, and initially proposed by company CEO Hur Sae-hong. “Once the word ‘good’ was added to ‘risk-taking,’ a culture began to spread where people are willing to attempt any challenge,” says CIO, CDO, and DX Center head Lee Eunjoo.

Amid growing uncertainties around crude oil prices and product demand, intensifying competition over production scale, and demographic decline, the value of good risk taking is pushing the company to pursue new opportunities and innovation. And a changing mindset is reshaping the organization from within.

The AI platform changing the enterprise

Even without any top-down mandate, it’s common at GS Caltex to see not just IT but LOB teams in production, sales, finance, legal, PR, and HR building and using AI agents in their day-to-day work. Finance, for instance, recently built an FAQ agent and asked Lee’s team to review it. “It’s incredibly rewarding to see employees actively using the new technologies provided by the DX Center.”

So far, they’ve created more than 50 agents, including ones that support pre-job safety briefings for partner company staff, review crude oil purchase contracts, automate a complex medical expense reimbursement process, and automatically classify and analyze gas station customer feedback.

All of these agents were developed on AiU, the company’s in-house gen AI service platform launched in June this year, which combines AI with yu, the Korean word for oil, and is also a play on “AI for you,” reflecting its role as AI tailored to each employee.

Lee says AiU is the clearest expression of the company’s approach to transformation. “It’s not just about DX anymore but DAX, combining digital with AI transformation,” she says. “From our production sites to headquarters, we’re rolling out initiatives that let every employee experience it all side by side. That’s how we’re reshaping ourselves into an energy company that uses AI broadly and with confidence.”

A secret to its rapid success is because no one feels pressured to build a perfect agent. “People are much more willing to try things and experiment,” says Lee. From the DX Center’s standpoint, that mindset has made it possible to support a growing number of AI projects with a relatively small team. “Plus, the AiU playground lets employees build and test agents themselves, which makes AI feel far more approachable and familiar in their day-to-day work,” she adds.

An AI agent platform might sound like something only developers can use, but AiU is designed so non-experts can easily work with it. The experience isn’t very different from ChatGPT as GS Caltex deliberately embedded AiU into the side of core business systems that employees check every day, so they’d naturally encounter and use AI in their daily workflows. Even if they don’t build agents themselves, employees can still ask the AI questions using internal company data, and search across both external information and internal systems at once.

It’s only been a few months since AiU officially launched, and around 85% of employees are now regular users, and nearly the entire workforce has tried it at least once. “Most of our production and technical staff work in a mobile-only environment without desktops,” Lee says. “The fact 95% of them have already used AiU shows just how fast the platform is spreading.”

Sowing seeds of success

AiU drew strong interest from employees even during its pilot stage. The DX Center began discussing AI service adoption in 2023, and in 2024, the team built a pilot service on AWS in just a few days. Although it was an early version with only basic UI, more than 300 employees participated and shared the features and requirements they needed. This underscored just how many people were eager to bring AI into their work.

Through this pilot, the DX Center was able to clearly identify what kinds of problems employees wanted to solve with AI, and which capabilities they needed most. The team then considered whether to adopt an external solution or develop one in house. In the end, they chose to build on MISO, the AI transformation platform developed by the GS Group, and add GS Caltex–specific capabilities on top. The entire development took about six months.

In designing AiU’s technical architecture, Lee focused most heavily on minimizing dependence on any single LLM. The platform supports multiple models that employees can choose from, including OpenAI and Anthropic.

“AI moves incredibly fast, so we built the system in a way that lets us easily plug in better technologies as they come along,” she says. “The AI layer will keep changing, but the internal data and applications underneath it will remain our core assets, which is why we’ve focused on strengthening the underlying infrastructure. That’s where our DAX philosophy — advancing digital and AI transformation together — comes into play.”

But AiU has done more than speed up AI adoption. It’s also put new life into existing systems. GS Caltex already had an internal enterprise search platform, but over time, its accuracy and usability declined, and usage dropped. AiU stepped in to augment that system with AI. Employees can now search M365 documents, work rules, and HR information in one go, and have the results summarized for them by the AI.

“All we really did was layer AI on top of what we already had to make it a little easier to use,” Lee says. “But in the end, that AI layer ended up reviving a service that was close to being forgotten.”

The growth engines behind the projects

Rolling out and scaling new IT technologies like AI across an entire organization isn’t easy. It’s common to see transformation stall at the slogan stage, held back by resistance to new tools or the simple reality that people are too busy to change how they work.

GS Caltex, however, has avoided treating DX as a one-off initiative. Instead, the company has built three pillars to sustain company-wide change over the long term: culture, performance management, and education.

The first step was to build a bottom-up DX culture. Traditional IT projects often begin with large-scale planning, writing RFPs, and selecting external vendors — a process so long that customer needs frequently change before anything goes live.

GS Caltex chose a different path: a fast-execution model focused on solving customer needs in real time. Even a small app or a single dashboard is recognized as DX, and each attempt is treated as valuable. One example is an app that automatically collects and organizes external news, built by a frontline business team not the IT department.

As these small wins accumulated, a voluntary culture of digital innovation took root. Since the establishment of the DX Center in 2019, GS Caltex has carried out hundreds of projects this way.

Behind this transformation is a high level of organizational acceptance. No matter how well something is built, if colleagues don’t respond favorably, it doesn’t advance. That hasn’t been a problem at GS Caltex, though, largely due to the embedded good risk taking philosophy.

“DX inevitably involves a certain level of risk,” says Lee. “For good risk taking to really work, you need to understand the level of risk and have leaders actively backing it. We have that kind of culture in place.”

After joining GS Caltex, Lee learned a new approach to positive communication. Rather than focusing on fixing problems, the company emphasizes recognizing small achievements, celebrating them together, and then building on that foundation to find areas to improve. “I’ve personally experienced the value of a positive feedback culture,” she says. “A culture that openly recognizes achievements has become a natural driving force encouraging frontline employees to participate in DX.”

This philosophy has been embedded into reward and performance management systems, including a performance innovation committee, which selects outstanding DX projects initiated by business teams and presents awards. And presentations are delivered not by team leaders but by the frontline employees who actually led the work. The monthly selected cases are then published on the company’s internal website, making sure their contributions are visibly acknowledged.

These practices give other employees confidence to do the same, and thus fuels wider voluntary participation. The committee also actively shares failure cases. By openly discussing what was attempted in each project and what could be improved, the company aims to turn failure into an opportunity for learning.

Lee says that GS Caltex only recognizes outcomes that can be proven in financial terms. Common IT metrics such as conversion rates or click-through rates, often used as proxy indicators, aren’t treated as final measures of success. Instead, the company tracks more meaningful indicators such as productivity gains that drive innovation, cost reductions, and improvements in customer satisfaction. These results are all centrally managed through the company-wide performance management system.

But it’s education that the DX Center prioritizes most. Rather than relying on a small group of experts, GS Caltex has chosen a strategy of cultivating hundreds of frontline DX specialists and sees strong results. The more business-side DX experts there are who can use digital tools to directly solve on-site problems, the faster digital adoption spreads. So once technology takes hold in the field, the DX organization provides the necessary development environment and additional support.

This training initiative, called the digital academy, runs as full-day programs ranging from a single day up to three months. It focuses on reskilling and deepening professional expertise to develop DX talent. The curriculum includes low-code developer tracks and in-house DX expert courses, enabling frontline employees to learn technologies themselves and apply them directly to their work. Topics include RPA, Tableau, Python, AI, and data science. Most notably in recent months, every executive has gone through gen AI training themselves, setting the tone from the top and actively championing a culture of continuous learning.

From IT support to proactive DX engine

Two years into her tenure, Lee is now reimagining how DX governance works. Historically, the DX organization operated in reactive mode, fielding requests from business units as they came in. Now, it’s flipping the script. That means taking the lead on company-wide DX priorities, vetting technologies for maturity and feasibility, and consolidating redundant projects.

One clear target is to streamline the system portfolio. Lee also plans to retire underutilized systems and those where operating costs outweigh the value they deliver, cutting waste while boosting efficiency.

At the same time, GS Caltex is leaning into global outsourcing. The company is building a distributed operations model, partnering with offshore teams not just for IT infrastructure, but for internal systems spanning HR, procurement, legal, and beyond. The savings are being funneled back into critical areas, like bolstering disaster recovery capabilities to strengthen business continuity, and reinforcing the DX foundation to deliver more reliable support across the organization.

AI, of course, remains a top priority, and internal demand is surging. “Employees, especially senior leaders, want services that pull together even more data,” Lee says. “Down the road, I’d like AiU to evolve to the point where you can ask what’s been happening with a particular customer lately, and instantly get a unified view of what division A is working on, what division B needs, and live customer inquiries all in one snapshot.”

Secondo un recente sondaggio, i CIO ora si considerano leader aziendali e la maggior parte di loro ritiene di possedere le competenze necessarie per ricoprire la carica più alta all’interno delle aziende.

Due terzi dei Chief Information Officer aspirano [in inglese] a diventare CEO prima o poi e molti sostengono di possedere comprovate capacità di leadership e l’abilità di guidare l’innovazione necessaria per dirigere le aziende, secondo un sondaggio condotto dal CIO Program [in inglese] di Deloitte.

Inoltre, anche l’IT sembra aver raggiunto un punto di svolta, con il 52% dei CIO che ora afferma di considerare i propri team IT come una fonte di reddito piuttosto che un centro di servizi per l’azienda.

Nel complesso, i risultati del sondaggio sottolineano l’emergere del top manager IT come stratega aziendale di fiducia per alimentare la crescita e reinventare la competitività dell’impresa, dichiarano gli esperti di Deloitte.

“Non c’è mai stato un momento migliore per essere un CIO”, spiega Anjali Shaikh [in inglese], responsabile dei programmi CIO e CDAO di Deloitte negli Stati Uniti. “La tecnologia non è più una funzione consultiva e i Chief Information Officer si stanno affermando come catalizzatori strategici per le loro imprese, abbandonando il ruolo operativo che avevano in passato”.

La gestione del conto economico

Oltre ad attirare l’attenzione dei colleghi, i CIO stanno anche dimostrando di avere una visione rinnovata di sé stessi, dice Shaikh. Il 36% dei CIO riferisce di gestire ora un conto economico (P&L), il che potrebbe alimentare nuove ambizioni professionali.

Il 67% dei CIO che ha dichiarato di essere interessato a ricoprire in futuro il ruolo di CEO ha indicato tre competenze chiave che ritiene lo rendano idoneo per l’avanzamento di carriera. 

Quasi quattro su dieci hanno identificato separatamente le loro comprovate capacità di leadership e gestione, la loro capacità di promuovere l’innovazione e la crescita [in inglese] e la loro esperienza nella creazione di team ad alte prestazioni.

Al contrario, solo circa un terzo dei CTO e dei Chief Digital Officer intervistati da Deloitte si vede come CEO in futuro, e meno di un sesto dei CISO e dei Chief Data and Analytics Officer immagina questo passaggio.

Amit Shingala [in inglese], CEO e co-fondatore del fornitore di servizi IT Motadata, sottolinea come il cambiamento del ruolo del CIO, che da responsabile delle operazioni IT è diventato un motore chiave della crescita aziendale, è sempre più evidente in tutto il settore.

“La tecnologia ora influenza tutto, dall’esperienza dei clienti ai modelli di reddito, quindi ci si aspetta che i CIO contribuiscano direttamente ai risultati aziendali, non solo alla stabilità dell’infrastruttura”, osserva Shingala, che lavora a stretto contatto con diversi CIO.

Di conseguenza, Shingala non è sorpreso che molti CIO aspirino a diventare CEO e ritiene che questa posizione sia oggi più che mai un trampolino di lancio.

“I CIO hanno ora una visione d’insieme dell’intera attività: operazioni, rischi, finanza, sicurezza informatica e modalità di interazione dei clienti con i servizi digitali”, commenta. “Questa ampia comprensione, unita all’esperienza nella guida di importanti iniziative di trasformazione, li pone in una posizione di forza per il ruolo di CEO”.

L’innovazione prima dei ricavi

Shingala comprende anche perché molti CIO ora vedono il loro ruolo come un generatore di ricavi. Tuttavia, sebbene stimolare la crescita dei ricavi sia importante, l’obiettivo finale dovrebbe essere quello di fornire valore aziendale, afferma.

“Quando un Chief Information Officer introduce nuove funzionalità digitali o abilita l’automazione che migliora l’esperienza dei clienti, il risultato si traduce spesso in nuovi ricavi o in efficienza dei costi”, spiega. “L’innovazione viene prima di tutto. I ricavi sono solitamente la ricompensa per averla realizzata nel modo giusto”.

Scott Bretschneider [in inglese], vice president del reparto client delivery and operations presso Cowen Partners Executive Search, concorda sul fatto che l’innovazione dovrebbe essere la priorità assoluta per i CIO moderni, i quali dovrebbero agire sia come catalizzatori dell’innovazione che come operatori aziendali, dice.

“L’innovazione implica ripensare i processi aziendali, consentire decisioni basate sui dati e creare piattaforme per la crescita”, aggiunge Bretschneider. “I ricavi sono il risultato dell’efficace attuazione di tali innovazioni. Un ottimo CIO pone l’accento sull’innovazione che porta a risultati, trovando un equilibrio tra sperimentazione e rendimenti misurabili”.

Come Shingala, anche Bretschneider vede i CIO come candidati emergenti per diventare CEO [in inglese]. Negli ultimi anni, un numero crescente di CIO [in inglese] e Chief Digital Officer è passato a ruoli di presidente, COO e CEO, rileva, in particolare nei settori in cui l’IT è in prima linea, tra cui i servizi finanziari, la vendita al dettaglio e la produzione.

“I CIO di oggi possiedono molte delle qualità che i consigli di amministrazione e gli investitori cercano nei CEO”, aggiunge. “Comprendono le operazioni a livello aziendale che, a loro volta, includono la finanza, la supply chain, la customer experience e la gestione dei rischi. Sono abituati a guidare team eterogenei e a gestire budget consistenti”.

Cambiare la narrativa

Sebbene il sondaggio mostri aspettative e responsabilità crescenti per i CIO, la cattiva notizia è che quasi la metà delle aziende rappresentate continua a considerare il ruolo più incentrato sulla manutenzione e sull’assistenza che sull’innovazione e sui ricavi, osserva Shaikh di Deloitte.

I CIO che rimangono bloccati in aziende incentrate su questa visione antiquata della posizione possono spingere per evolvere i loro ruoli [in inglese], argomenta. I CIO dovrebbero impegnarsi a fondo per stare al passo con le tecnologie emergenti, mentre spingono per rendere le loro posizioni più incentrate sull’innovazione, raccomanda.

“La parte più difficile del loro lavoro è stare al passo con tutte le tecnologie emergenti, e non ci si può permettere di rimanere indietro”, afferma Shaikh. “Come si fa a creare lo spazio nella propria agenda e a sviluppare le capacità attraverso i propri team e la propria energia?”

I CIO dovrebbero avvalersi dell’aiuto di università, colleghi e altre risorse per stare al passo, aggiunge.

“Avete tutte le responsabilità del vostro ruolo tradizionale per aiutare a guidare il vostro team e la vostra impresa attraverso le tecnologie emergenti, e questo richiede che siate sempre un passo avanti”, conclude. “Quindi: in che modo lo state facendo?”

최근 설문조사에 따르면, CIO가 스스로를 비즈니스 리더로 인식하는 흐름이 뚜렷해지고 있다. 그 중 상당수는 자신이 기업 내 최고경영자 역할을 맡을 역량을 갖췄다고 보고 있다.

딜로이트(Deloitte) CIO 프로그램이 실시한 조사에 따르면 CIO의 67%는 언젠가 CEO가 되기를 희망한다고 답했다. 이들은 조직을 이끄는 데 필요한 검증된 리더십과 혁신을 견인하는 능력을 보유하고 있다고 밝혔다.

아울러 CIO의 52%는 IT 조직이 이제 기업을 위한 서비스 부서가 아니라 매출을 창출하는 조직으로 인식되고 있다고 응답했다. 이는 IT의 위상이 전환점에 들어섰다는 의미일 수 있다. 딜로이트 분석가는 해당 조사 결과가, CIO가 기업 성장과 경쟁력 재정비를 이끄는 전략적 역할로 자리매김하고 있음을 보여준다고 설명했다.

딜로이트 미국 CIO·CDAO 프로그램 리더 안잘리 셰이크는 “지금은 CIO에게 가장 좋은 시기”라며 “기술은 더 이상 지원 기능에 머물지 않고, CIO는 과거의 운영 중심 역할에서 벗어나 조직의 전략적 핵심으로 자리 잡고 있다”라고 말했다.

손익 관리

셰이크는 CIO가 비즈니스 부서 동료들의 주목을 받을 뿐만 아니라 스스로에 대한 인식도 달라지고 있다고 설명했다. CIO의 36%는 현재 손익(P&L)까지 직접 관리한다고 답했는데, 이런 경험은 새로운 커리어 목표를 촉진하는 요소로 꼽힌다.

특히 향후 CEO 역할에 관심이 있다고 밝힌 67%의 CIO는 자신이 승진 자격을 갖췄다고 판단한 몇 가지 핵심 역량을 언급했다. 응답자의 10명 중 4명 가까이는 검증된 리더십과 조직 운영 능력, 혁신과 성장을 견인하는 역량, 그리고 고성과 조직을 구축한 경험을 중요한 자질로 꼽았다.

반면 딜로이트 조사에서 CTO와 최고디지털책임자(CDO) 중 향후 CEO가 될 수 있다고 자신한 응답자는 약 3분의 1에 불과했다. 최고정보보안책임자(CISO)와 최고데이터·분석책임자(CDAO)의 경우 그 비율이 6분의 1에도 못 미쳤다.

IT 서비스 관리 기업 모타데이터(Motadata)의 CEO 겸 설립자 아밋 신갈라는 CIO 역할이 기존 IT 운영 중심에서 비즈니스 성장을 이끄는 핵심 동력으로 전환되는 흐름이 업계 전반에서 뚜렷하게 나타난다고 설명했다. 그는 여러 CIO와 협업한 경험을 언급하며 “기술은 고객 경험부터 수익 모델까지 모든 것에 영향을 미친다. CIO는 이제 안정적인 인프라 구축을 넘어 직접적인 비즈니스 성과에 기여하는 역할을 요구받고 있다”라고 말했다.

신갈라는 이 같은 흐름을 고려했을 때 많은 CIO가 CEO를 목표로 삼는 것이 놀라운 일은 아니라고 언급했다. 그는 특히 현재 CIO라는 직책이 그 어느 때보다도 CEO로 경력을 이어나갈 수 있는 디딤돌 역할을 하고 있다고 진단했다.

신갈라는 “CIO는 이제 운영, 리스크, 재무, 사이버보안, 고객의 디지털 서비스 이용 방식까지 비즈니스 전반의 가시성을 확보하고 있다. 이처럼 폭넓은 이해와 대규모 전환 프로젝트를 이끈 경험이 결합되면서 CIO는 CEO 역할에 적합한 입지를 마련할 수 있다”라고 말했다.

수익보단 혁신이 우선

신갈라는 많은 CIO가 자신의 역할을 ‘수익 창출자’로 인식하는 이유를 충분히 이해한다고 말했다. 다만 수익 성장이 중요하더라도, CIO의 궁극적 목표는 어디까지나 비즈니스 가치 창출이어야 한다고 강조했다.

그는 “CIO가 새로운 디지털 역량을 도입하거나 자동화를 통해 고객 경험을 개선하면, 그 결과는 종종 새로운 매출 증가나 비용 효율성으로 나타난다. 혁신이 먼저이며, 수익은 혁신이 제대로 실행됐을 때 따라오는 보상”이라고 설명했다.

카우언 파트너스(Cowen Partners Executive Search)에서 고객 서비스와 운영을 담당하는 부사장 스콧 브레츠슈나이더 역시 CIO의 최우선 과제는 혁신이어야 한다고 지적했다. 그는 오늘날 CIO가 혁신의 촉매이자 동시에 비즈니스 운영자로서 역할을 수행해야 한다고 말했다.

브레츠슈나이더는 “혁신은 비즈니스 프로세스를 재구성하고, 데이터 기반 의사결정을 가능하게 하며, 성장을 위한 기반을 마련하는 과정”이라며 “수익은 이러한 혁신이 효과적으로 실행됐을 때 나타나는 결과다. 뛰어난 CIO는 실험과 측정 가능한 성과 사이에서 균형을 맞추며, 성과로 이어지는 혁신에 집중한다”라고 설명했다.

신갈라와 마찬가지로 브레츠슈나이더도 CIO가 차세대 CEO 후보로 떠오르고 있다고 분석했다. 그는 최근 몇 년 사이 금융, 유통, 제조 등 IT가 중심에 있는 산업을 중심으로 CIO와 최고디지털책임자(CDO)가 사장, COO, CEO로 이동하는 사례가 늘고 있다고 전했다.

브레츠슈나이더는 “오늘날 CIO는 이사회와 투자자가 CEO에게 기대하는 자질을 폭넓게 갖추고 있다. 재무, 공급망, 고객 경험, 리스크 관리 등 기업 전반의 운영을 이해하고, 다양한 팀을 이끌며 대규모 예산을 관리해온 경험이 풍부하다”라고 말했다.

CIO 역할에 대한 조직의 인식 격차

딜로이트의 셰이크는 이번 조사가 CIO에 대한 기대와 역할이 커지고 있음을 보여주지만, 동시에 응답 기업의 절반 가까이는 여전히 CIO를 혁신과 매출보다는 유지관리·서비스 중심 역할로 보고 있다고 지적했다.

셰이크는 이런 관점에 갇힌 조직의 CIO라면 스스로 역할을 진화시키기 위한 노력을 기울여야 한다면서, 혁신 중심 역할로 전환하기 위해서는 신기술을 꾸준히 따라잡는 노력이 핵심이라고 조언했다.

그는 “CIO 업무에서 가장 어려운 부분은 끝없이 등장하는 신기술을 앞서가는 일이며, 뒤처지는 상황을 만들어서는 안 된다. 일정을 어떻게 조율해 학습 시간을 만들고, 팀을 통해 역량과 에너지를 확보하는지가 중요하다”라고 설명했다.

셰이크는 CIO가 대학, 업계 동료, 다양한 정보원 등 외부 자원을 활용해 기술 흐름을 따라가야 한다고 덧붙였다. 그는 “CIO는 본연의 책임을 수행하면서 조직과 팀이 신기술을 헤쳐 나가도록 이끌어야 한다. 그러려면 스스로가 먼저 앞서 있어야 한다. 지금 그 준비를 어떻게 하고 있는가?”라고 말했다.
dl-ciokorea@foundryco.com

CIOs now see themselves as business leaders, with most believing they have the skills necessary to take the top job within companies, according to a recent survey.

Two-thirds of CIOs aspire to become CEOs at some point, with many saying they possess the proven leadership skills and the ability to drive the innovation that’s needed to lead organizations, according to a survey by Deloitte’s CIO Program.

Moreover, IT appears to have hit a tipping point as well, with 52% of CIOs now saying their IT teams are viewed as a revenue generator rather than a service center for the business.

Overall, the survey results underscore the CIO’s emergence as a business strategist trusted to fuel growth and reimagine enterprise competitiveness, Deloitte experts say.

“It’s never been a better time to be a CIO,” says Anjali Shaikh, leader of Deloitte’s CIO and CDAO Programs US. “Technology is no longer an advisory function, and CIOs are very much showing up as strategic catalysts for their organizations and less of the operator role of the past.”

Managing P&L

In addition to gaining the attention of business colleagues, CIOs are also showing signs of renewed views about themselves, Shaikh says. Thirty-six percent of the CIOs report they now manage a profit-and-loss (P&L) statement, which may be fueling new career ambitions.

The 67% of CIOs who said they’re interested in pursuing a CEO role in the future pointed to three key skillsets that they believe make them qualified for advancement. Nearly four in 10 separately identified their proven leadership and management skills, their ability to drive innovation and growth, and their track record of building high-performing teams.

By contrast, only about a third of CTOs and chief digital officers surveyed by Deloitte see themselves as CEOs in the future, and less than a sixth of CISOs and chief data and analytics officers envision the move.

Amit Shingala, CEO and co-founder of IT service management vendor Motadata, says the CIO role’s shift from primarily running IT operations to becoming a key driver of business growth has become increasingly more evident across the industry.

“Technology now influences everything from customer experience to revenue models, so CIOs are being expected to contribute directly to business outcomes, not just infrastructure stability,” says Shingala, who works closely with several CIOs.

As a result, Shingala isn’t surprised that many CIOs aspire to become CEOs, and he believes that the position is a steppingstone now more than ever before.

“CIOs now have visibility into the entire business — operations, risk, finance, cybersecurity, and how customers interact with digital services,” he says. “That broad understanding combined with experience leading major transformation efforts puts them in a strong position for the CEO role.”

Innovation before revenue

Shingala also understands why many CIOs now see their role as a revenue generator. But while driving revenue growth is important, delivering business value should be the ultimate goal, he says.

“When a CIO introduces new digital capabilities or enables automation that improves customer experience, the result often shows up as new revenue or cost efficiency,” he explains. “Innovation comes first. Revenue is usually the reward for getting innovation right.”

Scott Bretschneider, vice president of client delivery and operations at Cowen Partners Executive Search, agrees that innovation should be the top priority for CIOs. Modern CIOs should act as both innovation catalysts and business operators, he says.

“Innovation involves rethinking business processes, enabling data-driven decisions, and creating platforms for growth,” Bretschneider adds. “Revenue is the result of effectively executing those innovations. A great CIO emphasizes innovation that leads to results, striking a balance between experimentation and measurable returns.”

Like Shingala, Bretschneider also sees CIOs as emerging candidates to become CEOs. In recent years, a growing number of CIOs and chief digital officers have transitioned into president, COO, and CEO roles, he says, particularly in industries where IT is at the forefront, including financial services, retail, and manufacturing.

“CIOs today have many of the qualities boards and investors look for in CEOs,” he adds. “They understand enterprise-wide operations, encompassing finance, supply chain, customer experience, and risk management. They’re used to leading diverse teams and managing large budgets.”

Shifting the narrative

While the survey shows growing expectations and responsibilities for CIOs, the bad news is that nearly half of the organizations represented still see the role as more focused on maintenance and service than on innovation and revenue, notes Deloitte’s Shaikh.

CIOs stuck at enterprises focused on this older view of the position can push to evolve their roles, she says. CIOs should work hard to keep up with emerging technologies as they push to make their positions more focused on innovation, she recommends.

“The hardest part of their job is staying ahead of all the emerging technology, and you can’t find yourself on the back foot,” Shaikh says. “How are you creating the space in your in your schedule and creating the capacity through your teams and the energy?”

CIOs should lean on universities, peers, and other resources to help them keep up, she adds.

“You have all the responsibilities of your traditional role to help guide your team and your organization through the emerging technology, and that requires you to have to stay ahead of it,” she says. “So how are you doing that?”

リコーの技術を支えるCTO：専門外から始まった技術者の挑戦と選択

大学では工業化学、特にセラミックを専攻していたのですが、1986年、リコーへ入社した際に抱いていたのは、「あえて化学以外の分野に挑戦したい」という強い意志でした。その希望を配属面接で伝えた結果、化学以外の部署に配属されました。

当時、急成長していたファクシミリ事業の新規開発部門に配属。液晶を用いた新製品開発に携わり、技術者としての幅を広げていきました。その後、リコーの主力製品である複合機のコントローラシステム開発に従事。ハードウェアとソフトウェアの融合領域で、製品の中核を担う技術に深く関わっていきます。

そして、クラウド技術の重要性を見据え、リコーグループ共通のクラウドプラットフォーム「RICOH Smart Integration」の立ち上げを主導。新製品の企画・開発に数多く関わってきました。現在は、CTOとして技術の選定や評価、いわゆる技術の目利きを行っています。

また、社外活動にも積極的に取り組み、経団連での委員活動や、一般社団法人情報通信ネットワーク産業協会での理事などを通じて、日本の情報通信産業の発展にも寄与してきました。

「技術の力で社会を変える」──その信念を胸に、今もなお、リコーの技術戦略と日本のICTの未来を見据え、挑戦を続けています。

技術は国境を越える：国際標準化に挑んだ技術者の歩み

技術者として特に印象に残っている仕事のひとつが、ファクシミリ事業部で取り組んだカラー静止画像伝送技術の開発です。当時、FAXは白黒が主流であり、カラー化は技術的にも大きな挑戦でした。

「FAXにカラー画像伝送技術がなかった時代に、どうやって電話線で画像を送るか」──この課題に向き合う中で、JPEG、JPEG2000、MPEGといった画像圧縮技術の国際標準化に関与する機会を得たことは、大きな転機となりました。

もともと化学を専門にしていた私にとって、画像伝送技術は未知の領域。猛勉強の末、世界中の技術者と議論を交わす国際標準化の場に立つことができたことは、現在のCTOとしての基盤にもなっています。

特に、JPEG2000のワーキンググループでは議長を務め、各国の代表と技術的な議論を重ねながら合意形成を図る経験を積みました。この中で、「相手の技術の良さを見極め、自社の強みも理解してもらう」ためのネゴシエーション力を磨くことができました。

この経験は、技術の目利き力を鍛える機会となり、現在のCTOとしての判断力に直結していると思います。

さらに、その技術の広がりとして、ネットワークカラオケの初期モデルの開発や、デジタルカメラの画像ファイルフォーマットの設計にも関与。MPEG技術を通じてDVDやMP4などの分野にも携わり、多くの技術者とつながったことが私にとって非常に大きな功績かなと思います。

社内の壁を越えて：CTOが語る、技術革新を実現する信念と対話

ファクシミリや画像圧縮技術の国際標準化に関わる一方で、もう一つ大きな挑戦として取り組んでいたのが、リコーの主力製品である複合機のコントローラシステムの大改造です。

当時、携帯電話がスマートフォンの登場によって急速に進化していたことを受け、「複合機にもスマートフォンの技術を活かしたい」という発想から、Android採用の操作部を提供するという大胆なチャレンジに踏み切りました。これは、将来的に複合機の最新機能の追加をネットワークで実現することを見据えた構想でもありました。

しかし、新しいコントローラーは従来よりも7,000～8,000円ほど高価で、年間100万台規模の製造を考えると社内からの反発も大きかったのです。

ですから、最大の壁は社内にありました。

それでも諦めず、「将来のソフトウェアとの親和性やスピード感の重要性」を役員に語り続け、理解者を増やしていったのです。

この挑戦は、「将来を信じて諦めずにやる」ことの大切さを教えてくれた最大のチャレンジだったと思うのです。

さらに、もう一つの挑戦がクラウドサービスの立ち上げです。

コントローラーの進化と連動して、「クラウドの時代が来る」と確信し、リコー独自のクラウドシステムを構築。しかし、欧州で開催された技術展示会ではセキュリティの懸念から一度は拒否されるという壁に直面しました。

それでも、翌年に同じ展示会で再び提案したところ、クラウドの重要性が認識され、評価が一変。この経験から、「世の中のトレンドを見て、価値を訴求し続ければ必ず理解される」という信念を得ることができました。

「君子は義に喩り、小人は利に喩る」：CTOが語る、人間力と仕事の本質

技術者として数々の挑戦を重ねてきましたが、今も心に深く刻んでいる言葉があります。それは、部長になりたての頃、退任された大先輩から贈られた一言でした。

「リコーの看板がなくても信頼される人間になれ」。

この言葉は、「会社の肩書きではなく、あなた自身の人間性や信頼で人が集まるようになれ」という意味であり、私の仕事観を大きく変えるきっかけとなりました。

以来、「仕事とは人と人との信頼関係がすべて」という信念のもと、技術開発だけでなく、社内外の人々との関係構築にも力を注いできました。

私が今でも心に残る座右の銘として、孔子の言葉があります。

「君子は義に喩り、小人は利に喩る」。

これは、「正しさを基準に判断し、損得では動かない」という価値観を表しており、技術者としての判断軸にもなっています。どんなに困難な状況でも、「正しいことを貫く」という姿勢が信頼を築いてきたのです。

その結果、退任された先輩とも今なお交流が続き、「人と人とのつながりが、肩書きを超えて生き続ける」ことを実感しています。

この言葉には、私が技術者としてだけでなく、人としてどうありたいかという深い思いが込められています。

より具体的なCTOの仕事観、やりがいや魅力に焦点を当て、リーダーシップやITリーダーへの効果的なアドバイスなど、野水氏に話を聞きました。詳細については、こちらのビデオをご覧ください。

CTO・CDO・CIOを一人で担う：技術・データ・経営をつなぐ三位一体の挑戦

リコーではCTO以外のCIO、CDOといった役職設けていないものの、実質的にCTOがCDO、CIOの役割を兼任し、デジタル技術の推進を牽引しています。

それぞれの役割には明確なミッションがあります。

CTOは「技術の先読み」をし、未来の技術を見極めます。

CDOは「データドリブンの経営システムの構築と運用」を担います。

CIOは「デジタルを活用した経営の効率化」を推進します。

この3つのベクトルを揃えて動かすことで、スピーディーな意思決定と実行が可能になるというのが大きなメリットだと思っています。

また、CTOとしてのビジョンも明確に打ち出しています。

「リコー独自のテクノロジーを活かして、お客様と共にイノベーションを創出する」という言葉には、リコーならではの技術力と顧客との共創への強い思いが込められています。

このビジョンには、リコーが掲げる「7つのリコーウェイ」の中でも特に重要な、

• CUSTOMER-CENTRIC（お客様の立場で考え、行動する）
• INNOVATION（制約を設けず、柔軟に発想し、価値を生み出す）
• PASSION（何事も前向きに、情熱を持って取り組む）
• WINNING SPIRIT（失敗をおそれず、まずチャレンジし、成功を勝ち取る）

という4つの価値観が反映されており、社員にも積極的に共有されています。

「技術だけでなく、人や組織の成長もCTOの役割」と位置づけ、リコーが掲げる「“はたらく”に歓びを」という使命と目指す姿のもと、社員一人ひとりが実感できる文化や環境づくり、エンジニアを元気にすることを大切にしています。

「技術・人・組織をつなぎ、未来を創る」──CTOとしての挑戦は、リコーの技術戦略だけでなく、企業文化そのものを支える力となっています。

未来への種を蒔く：CTOが描く技術と経営の架け橋

CTOとしては、「明日の種を蒔く」ことが大事です。

経営の視点ではどうしても短期的な成果が重視されがちですが、技術の世界では中長期的な視点での育成が不可欠です。将来の発展のために、今から種を蒔いておく──その考え方こそが、CTOの本質だと思います。

そのためには、経営陣に中長期視点の重要性を理解してもらうことがCTOの最大の責任であり、現場との密な連携、そして迅速な意思決定が成功の鍵となります。

特にデジタルの世界では、変化のスピードが格段に速くなっています。

私は技術者になり、部長時代から一貫してミクロではなくマクロの視点で技術を見つめてきました。

「世の中のマクロトレンドを常にウォッチし、必要な技術をすぐに取り込める体制を整えること」が重要と思っています。

マネジメントにおいても「信頼できる右腕・左腕に任せる勇気」を持ち、情報を受け取ってスピーディーに判断を下す体制を築いています。このような役割分担が、大きな組織を動かす上で不可欠な要素だと考えています。

そして何よりも大切にしているのが、「現場の声を素直に吸い上げられる組織」です。

「コミュニケーションが良い組織が勝つ」という信念のもと、現場との信頼関係を重視し、組織全体の活力を引き出すことに力を注いでいます。

唯一無二の存在を目指して：CTOが語る、技術と組織を育てる中長期視点

これからのITリーダーや技術者に求められる資質とは何か──その問いに対し、「唯一無二の存在になってほしい」と思っています。

「世界一になるのは難しい。でも世界初はアイデアとスピードで勝負できる」。

この考え方は、オリンピックの金メダルではなく、ギネスブックに名を刻むような発想の転換を促すものです。

「真似できない強みを持つこと」こそが、これからの時代に必要な価値だと思うのです。

私自身、化学を専攻してリコーに入社しながら、現在はソフトウェアやデジタル分野で色々な経験をしてきました。「同じ土俵で勝てないなら、勝てる土俵を探す」という発想で、国際標準化という新たなフィールドを切り拓き、自分の尖った強みを築いてきたのです。

また、技術者としての視点だけでなく、「顧客価値」ではなく「体感価値」を重視する姿勢も必要です。

「お客様がどう感じているかを大切にする」──これは、論理や機能だけではなく、右脳や感性を使って判断することの重要性を示しています。エンジニアにも、「感覚を大事にしてほしい」と常に伝えています。

そして、何よりも大切なのは、「高いモチベーションを持ち、現状に満足せずに改善を続けるマインド」。この姿勢が、個人の成長だけでなく、企業全体の進化にもつながります。

「自分だけの価値を見つけて、挑戦し続けてほしい」。私は全力で応援したいと思っています。

三愛精神から始まる未来：CTOが語る、技術と人材で創る“はたらく”歓び

リコーの原点には、創業者・市村清が掲げた「三愛精神」があります。

「人を愛し、国を愛し、勤めを愛す」──この3つの愛を社員一人ひとりが心に刻み、創造力を発揮してお客様に価値を届けることが、リコーの基本理念です。

社会や働き方が大きく変化する中、リコーもまた変革を続けています。

2020年には働く人の創造力を支える「デジタルサービスの会社への変革」を宣言し、複合機を中心とした製品販売から、ITサービスや各種デバイスを組み合わせ、企業が取り組むDXを支援するデジタルサービスのビジネスモデルへとシフト（リコーのDX）。AIの進化やリモートワークの普及に対応し、単純作業を減らし生産性を向上するとともに、創造力の発揮を支援することへと私たちの役割も変化しています。

この変化を支えるのが、「デジタル人材の育成」です。

リコーでは、「リコーデジタルアカデミー」や独自の教育プログラムを通じて、人材育成を推進。現在、約200の国と地域でビジネスを展開しており、技術やサービスとしてお客様に還元する体制を整えています。

CTOとしては、「技術の目利き」を重視しています。

特にAI分野では、シリコンバレーなどの最先端技術を現地で直接キャッチし、日本やグローバルに展開する組織を2025年4月に新設。「現地の技術をすぐに取り入れ、グループ全体で発信する」というスピード感が、今後の競争力の鍵になります。

また、「AIを使いこなす人材」の育成が重要です。

「AIは日々進化している。だからこそ、自分たちが使って、経験とノウハウ、事実データを蓄積し、それをお客様に提供する」という考え方が核となっています。

私たちは「“はたらく”に歓びを」という使命と目指す姿を掲げ、それを社員一人ひとりが心に抱きながら、お客様にどう届けるかを常に考えています。

AIの分野では、私たちは早くから技術者の育成に取り組み、画像認識や自然言語処理技術を活かして研究開発を進めてきました。

AIは日々進化しており、現在は世界中で膨大な投資が行われ、技術の進化スピードは加速しています。その中で私たちは、最先端の技術をいち早く取り入れ、実践を通じて知見を深め、お客様の課題解決に最適なソリューションを提供してまいります。 この取り組みを支えるのが、先ほど申し上げた「デジタル人材の育成」です。私たちは、AIを含めた技術を使いこなす人材を社内で育て、共に成長することを大切にしています。

사이버보안 시장이 정상적 판단을 잃었다고 진단할 수 있는 상황이 이어지고 있다.

매주 새로운 업체가 등장하고, 투자자는 완성되지 않은 아이디어에 자금을 투입하며, CISO는 실제 침해 사고를 막지 못할 제품 제안에 파묻히는 현상이 반복되고 있다. 업계의 소음은 점점 더 커지지만, 정작 보안의 핵심 원칙은 철저히 외면되고 있다.

대다수 보안 제품이 데모 단계에서도 인상적인 모습을 보여주지 못하는 상황이 반복되고 있다. 공식 발표를 확인해도 존재 이유가 의문인 경우가 많다. 보안 업체는 ‘보안을 재정의하겠다’고 강조하지만, 정작 어떤 문제를 해결하는지조차 명확하게 제시하지 못한다. 제품이 실제 운영 환경을 위해 만들어진 것이 아니라 투자 유치를 위한 형태로 구성돼 있으며, 현장 요구가 아닌 존재하지도 않는 질문에 대한 답변 같은 기능이 중심이 되는 경우가 흔하다. 그와 동시에 기업을 무너뜨리는 핵심 취약점은 매년 반복적으로 동일한 형태로 기업을 공격하고 있다.

보안 업체 다수는 기술을 판매한다고 생각하지만 실제로는 그렇지 않다. 업체가 판매하려는 것은 기술이 아니라, 현실적으로 해결 불가능한 위험을 관리해야 하는 보안 책임자에게 ‘신뢰’라는 감정적 자산을 제공하는 행위에 가깝다. CISO의 구매 결정은 재직 기간 동안 대형 사고를 줄이기 위한 확률 게임이며, 모든 선택은 위험을 동반한다. 이 분야에는 절대적인 ‘안전 옵션’이 없다. 완벽한 보호가 존재하지 않는다는 사실을 알고 있음에도, 개인적·기업적 리스크를 줄이기 위해 선택을 이어갈 수밖에 없다.

사이버보안은 완결형 퍼즐이 아니라 영원히 끝나지 않는 게임에 가깝다. 어떤 선택을 하더라도 완전한 승리는 존재하지 않는다. 모든 시스템의 패치를 완료하고 모든 취약 지점을 제거할 수 있다고 가정해도, 그 완전성 유지 비용은 기업 경영을 불가능하게 만들 수준이다. 이론적으로 보안을 강화하기 위해 제품 출시, 고객 서비스, 매출 활동을 모두 중단한다면 완전한 보안은 가능하다. 그러나 그러한 상태는 더 이상 보안의 목적과 부합하지 않는다.

보안 책임자의 역할은 기업을 멈추게 하지 않으면서 기업이 타격을 입지 않도록 관리하는 일이다. 따라서 단순한 가용성뿐 아니라, 앞으로 1년을 좌우할만한 대형 침해 사고를 피하는 것이 중요하다. 핵심은 균형이다. 위험이 과도하면 언론의 헤드라인에 오르게 되고, 통제가 과도하면 혁신이 중단된다. 보안 책임자의 일상은 이 두 요소 사이에서 끊임없이 균형점을 찾는 협상 과정으로 구성된다.

보안 책임자가 제품을 선택할 때는 매우 제한적인 기준을 적용한다. 우선 보안 로드맵과의 부합성, 실제 환경에서 확인 가능한 위험 감소 효과, 기존 시스템과의 무리 없는 통합성, 그리고 보안팀이 장기간 운영할 수 있는 지속 가능성이 핵심 판단 요소다. 또한 보이지 않으면 방어할 수 없기 때문에 가시성 확보가 우선순위이며, 접근 권한이 통제의 중심이기 때문에 아이덴티티 기반 접근 통제에 대한 투자가 필수적이다. 인력을 둔화시키지 않고 속도를 높여주는 자동화 기술, 그리고 선언적 구호가 아니라 실제로 설계 단계에서부터 안전성을 구현하는 방식(설계 기반 보안)을 실현하는 도구를 우선적으로 도입한다.

반면, 선택하지 않는 제품의 기준도 분명하다. 과도한 유행성 마케팅에 의존하는 기술, 이미 보유한 도구와 기능이 중복되는 보안 제품, 발표 자료에서는 그럴듯하지만 실제 운영 환경에서 효과를 검증하지 못한 기술, 보안팀의 부담만 늘리고 운영 복잡성을 증가시키는 시스템, 그리고 해결하려는 문제가 무엇인지, 위험을 어떻게 줄이는지 명확한 한국어로 설명하지 못하는 업체의 제품은 구매 대상에서 제외된다.

보안의 본질은 결국 기초 체계에 있다. 대다수 기업은 더 많은 도구가 필요한 것이 아니라, 기본을 제대로 수행해야 한다. 패치를 꾸준히 적용하고, 접근 권한을 적절하게 설정하며, 네트워크를 단일 구역이 아닌 분리 구조로 유지한다면, 대다수 기업보다 앞서 있는 상태다. 새로운 보안 도구가 없어도 충분한 수준이다. 체계적인 패치만으로도 다수의 공격 표면을 제거할 수 있고, 네트워크 분리는 침입자가 내부에서 이동하는 것을 막으며, 접근 통제는 침해 발생 시 피해 범위를 최소화한다. 이 개념은 눈에 띄는 신기술이 아니라, 오래전부터 검증된 방식이지만 투자자에게 매력적으로 보이지 않는다는 이유로 외면받고 있다.

문제의 근본은 여기에 있다. 업계는 효과가 있는 것이 아니라 잘 팔리는 것에 보상을 제공하기 시작했다. 투자 자본은 모든 것을 인공지능 기반, 자동화 기반으로 포장한 제품에 자금을 쏟아붓고, 그 사이에 기본 체계는 계속 방치된다. 업체는 유행을 좇고, 유행은 투자를 끌어오며, 보안 책임자는 반복되는 고통을 끝내줄 무언가를 찾아 과도한 기대에 의존하는 소비를 하게 된다. 겉보기에 모두 합리적으로 행동하고 있지만, 시장 전체는 점점 비정상적인 방향으로 움직이고 있다.

보안 업체만 탓할 수 있는 문제도 아니다. 보안 책임자 역시 이 시장 구조를 만든 존재다. 혁신이라는 이름에만 집중하며, 기본 체계를 외면했고, 충분히 활용하지 못하는 도구를 잔뜩 쌓아두고 그 상태를 성숙도라고 착각했다. 복잡성을 전략이라고 오해했고, 그 결과 해마다 동일한 근본 원인에 무너지는 상황이 반복되고 있다.

견고한 보안은 언제나 견고한 정보기술 운영 체계에서 시작된다. 과거에도 그랬고 앞으로도 변하지 않는다. 어떤 자산을 보유하고 있는지 파악하지 못하면 보호할 수 없다. 패치를 적용하지 않으면 이미 침해된 것이나 다름없다. 과도한 접근 권한을 부여하거나 네트워크를 분리하지 않고 운영하면, 단 하나의 자격 증명 탈취만으로도 기업 전체가 위험해진다. 필요한 해결책은 이미 존재한다. 단지 화려하지 않을 뿐이다. 꾸준함·절차·지속성처럼 투자자에게 매력적으로 보이지 않는 요소가 필요하기 때문이며, 이러한 요소는 보안 업계가 기피하는 영역이다. 보안 행사는 사진으로 남기기에 적합한 모습이 아니기 때문이다.

필자는 기술을 반대하는 입장이 아니다. 오히려 기술에 의존한다. 그러나 목적 없이 구매하지 않는다. 기본 체계를 강화하고, 절차적 규율을 유지하도록 돕고, 사람의 실수를 줄여주는 기술에 투자한다. 복잡성을 더하지 않고 운영 환경을 단순화하는 보안 기술, 그리고 불편하더라도 사실을 있는 그대로 전달하는 업체의 제품을 선택한다.

제대로 된 업체는 이러한 현실을 이해하고 있다. 혁신을 판매하는 것이 아니라 신뢰와 안정성을 제시한다. 준비된 상태로 기업을 찾아오고, 고객사의 비즈니스를 이해하며, 자사 기술이 어느 위치에 가장 적합한지 파악하고, 가능한 것과 불가능한 것을 명확히 설명한다. 보안 책임자가 찾는 것은 마법이 아니라, 끝없이 반복되는 문제를 함께 관리해줄 파트너라는 사실을 인지하고 있다.

투자자 역시 책임을 져야 한다. 실체 없는 기술에 자금을 지원하는 관행을 멈추고, 새로운 약어를 좇는 투자를 중단해야 한다. 기업 운영을 실제로 안전하게 만드는 분야—가시성 확보, 아이덴티티 기반 통제, 안전한 구성, 개발자 지원, 그리고 정보기술 위생 관리—에 자금을 투입해야 한다. 이러한 영역이야말로 기업을 위기에서 구해내는 실제적인 기반이다.

보안 책임자 역시 스스로를 피해자로만 묘사해서는 안 된다. 보안 책임자 집단이 바로 현재의 시장 구조를 만든 주체다. 성숙도와 무관한 혁신을 좇았고, 기본 체계를 외면했으며, 제대로 활용하지 못하는 보안 제품을 과도하게 도입하면서 그 상태를 성숙한 구조라고 착각했다. 만약 업계 변화가 필요하다면, 구매 방식부터 변화해야 한다. 더 적게 사고, 더 현명하게 선택해야 한다. 사람·절차·설계 구조에 대한 투자가 우선이며, 이후에 필요한 기술을 선택하는 순서가 되어야 한다. 패치가 불가능하고, 접근 권한을 통제하지 못하며, 네트워크가 여전히 단일 구조라면, 새로운 보안 제품은 필요하지 않다. 필요한 것은 기초 체계를 강화하는 규율과 절차다.

보안은 기술 문제가 아니다. 실행의 문제다. 이 부분이 해결되지 않는다면 아무리 많은 자금과 인공지능 기반 기술이 등장하더라도 근본적인 문제는 해결되지 않는다.

필자는 앞으로도 필요한 기술은 구매할 것이다. 실제 위험을 줄이고 기초 체계를 강화하며, 침해 사고 발생 가능성을 낮추고 복구를 용이하게 만드는 기술에는 투자를 지속할 것이다. 그러나 근본 문제를 해결하지 못한 채 시장을 어지럽히는 소음과 유행성 주장은 모두 선반에 남겨둘 것이다.
dl-itworldkorea@foundryco.com