전사 리스크 관리 · ERM

전사 리스크 관리란?

ERM을 도입하면 가장 먼저 달라지는 것은 회의 풍경입니다. 그전에는 구매팀장이 공급처 위험을, 정보보안팀장이 유출 위험을 각자 감당할 만한 선에서 알아서 판단했고, 사고가 터진 뒤에야 경영진 테이블에 올라왔습니다. ERM은 '우리 회사가 1년에 감당할 수 있는 손실이 얼마인가'를 경영진이 먼저 숫자로 못 박고, 현업은 그 범위 안에서 움직이게 만듭니다. 위험 판단 기준의 주인이 부서장에서 경영진으로 옮겨가는 것이 실질이어서, 도입 과정에서 진짜로 다투게 되는 건 양식이 아니라 어디까지 현업이 스스로 결정할 수 있는가라는 권한 문제입니다.

실무에서 가장 많이 걸리는 지점은 리스크 선호(Appetite)와 리스크 허용한도(Tolerance)의 구분입니다. 선호는 '신흥국 진출에 따르는 환율·정치 위험은 감수한다' 같은 방향 진술이고, 허용한도는 '단일 거래처 매출 비중 20% 초과 금지', '연간 위험 손실 영업이익의 3% 이내'처럼 선을 긋는 숫자입니다. 방향만 있고 숫자가 없는 ERM은 승인 회의에서 아무 힘을 쓰지 못합니다. 평가도 마찬가지여서 영향도를 '상·중·하'로만 두면 부서마다 기준이 달라지므로, 금액이나 라인 중단 일수 같은 공통 자를 먼저 만들어 두는 편이 낫습니다.

역할 구분도 새로 짜야 합니다. 흔히 쓰는 3선 체계에서 1선인 현업이 위험을 실제로 지고, 2선인 리스크·컴플라이언스 부서는 기준과 모니터링 틀을 대며, 3선인 내부감사가 그 틀이 작동하는지 검증합니다. 컴플라이언스가 법규 위반이라는 한 범주를, BCP가 사고 이후의 복구를 다룬다면 ERM은 그 위에서 자원을 어디에 먼저 쓸지 정하는 층입니다. 이 셋을 뭉뚱그려 리스크 부서에 떠넘기면 현업은 설문지에 답만 하고 빠지고, 목록은 관리되는데 위험은 그대로 남습니다.

현장에서 가장 자주 어긋나는 건 등급이 높게 나온 위험을 무조건 피하려는 태도입니다. 신사업 검토서에 '리스크 상' 하나가 붙었다고 안건이 접히기 시작하면, 다음 회의부터는 아무도 위험을 솔직히 써내지 않고 평가표가 온통 '중'으로 채워집니다. 보험과 계약서 면책 조항으로 넘겨 두면 끝났다고 보는 것도 흔한 오해인데, 평판 손상과 규제 제재는 전가되지 않는 위험입니다. 작동 여부를 가리는 기준은 단순합니다. 예산 배분과 신규 투자 승인 회의에서 작년에 매긴 리스크 등급이 실제로 인용되는지 보면 됩니다.