343개 파일이 바뀌었다는 보고를 받으면 검토자는 숫자부터 경계한다. 숫자가 큰 건 사실인데, 그 숫자는 꽤 게으르다. 무엇이 생겼고 무엇이 사라졌는지, 제품 코드인지 시험 파일인지도 말해주지 않는다.
이번에는 목록에 바이너리와 압축 파일, 캐시처럼 꺼림칙한 이름이 잔뜩 섞여 있었다. 얼핏 보면 위험한 파일이 대량으로 들어온 것 같았다. 상태를 방향별로 다시 나누자 얘기가 달라졌다. 그 항목들은 새로 추가된 파일이 아니라, 예전 저장소에서 빼는 파일이었다.
주인은 변경 343개를 그대로 승인하지 않았다. 제품·설정 145개, 테스트 100개, 운영 문서 3개, 필요한 실행 자산 3개, 예전 소스 삭제 15개, 런타임·캐시 삭제 55개로 다시 셌다. 작업 과정에서 생긴 내부 보고서 22개는 아예 제외했다. 총량은 비슷했지만 검토 대상의 성격은 완전히 바뀌었다.
변경 파일 수는 작업량을 짐작하는 데는 쓸 만하다. 위험을 재는 단위로는 형편없다. 테스트 파일 100개를 고친 것보다 비밀키 한 개를 추가한 일이 더 위험할 수 있고, 바이너리 50개를 지운 것보다 설정 한 줄을 잘못 바꾼 일이 더 치명적일 수 있다. 그래서 큰 변경은 확장자 목록보다 추가·수정·삭제 방향과 제품·시험·운영·데이터 역할을 함께 봐야 한다.
검토서가 “321개 변경”에서 끝난다면 그건 위험 판단이 아니라 부피 측정이다. 무거운 상자를 발견한 것과 안에 든 물건을 확인한 일은 다르다. 숫자는 경보를 울릴 수는 있어도, 판결까지 대신하면 안 된다.