동원대 e-비즈니스과 장덕성 교수

BCP(Business Continuity Planning)는 모든 조직 내외의 각종 환경(자연, 기술, 사회, 경영, 환경 등)으로 인한 위험발생으로 업무를 지속적으로 운영하는데 문제가 발생할 때, 업무를 연속적으로 유지하기 위한 관리 체계이다.

이 체계는 조직에 발생하는 재난 관리 체계를 개발, 수행, 개선, 유지와 업무연속성 확보 체계를 위한 책임 의무사항 제공과 함께 도한, 재난예방, 재난대비, 재난대응, 재난복구를 위한 현재의 재난관리체계를 평가할 수 있다.

이러한 체계를 확보한 조직은 첫째, 높은 수준의 조직운영을 할 수 있으며 둘째, 대내외에 대한 고품질의 서비스 체계를 확보하기 위한 기반을 형성 할 수 있으며 셋째, 조직내의 구성원은 제품 및 서비스를 대내외에 중단 없이 연속적으로 제공하기 위한 업무수행의 개별 역할과 책임을 이행할 수 있기 때문에 조직의 가치를 향상시킬 수 있는 핵심요소 이다. 본 고에서는 BCP 구축을 위해 전체 흐름을 이해하기 위한 측면에서 접근하고자 한다.

예방, 대비, 대응, 복구 관계
조직내외에는 위험요소들이 산재하고 있으며, 이들 위험요소들로 인하여 위험이 발생된다. 위험이 발생되면 각종 사건이나 재난으로 이어져 업무가 중단되거나 조직이 와해될 수도 있다는 위기감이 오게 된다. 조직의 업무 연속 여부나 생존여부는 조직을 이러한 위험 속으로 빠뜨리는 각종 위험발생에 어떻게 대처하느냐에 달려 있다고 볼 수 있다.

따라서 각 조직은 위험요소들로부터 취약원인을 분석한 후, 위험요소를 제거하여 사전에 위험 발생을 차단함으로써 사건·사고 그리고 재난으로부터 자유로워지게 되어 중단 및 이음새 없는 업무가 가능하게 된다. 우리나라도 매달 4일을 안전의 날로 정한 후, 각종 캠페인 등을 통하여 적극적인 자세로 위험요소들을 제거하기 위한 예방 활동을 하고 있다.

우리는 종종 예방, 대비, 대응 그리고 복구 용어를 혼동하여 사용하고 있는 데, 이들 용어들은 위험 발생 전(예방, 대비)과 사건, 재난 발생 후(대응, 복구)로 구분되어 정의될 수 있다. 예방은 위험요소를 사전에 제거하거나 발생할 수도 있는 위험을 사전에 방지하는 활동으로서 위험분석 활동과 업무영향 분석 활동이 이에 해당된다.

대비는 재난에 대응할 수 있는 능력 향상 활동과 대비태세를 강화하기 위한 활동으로서 전략수립, 계획수립, EOP 수립, SOP수립, 교육, 훈련, 환류, 위험별 시나리오 개발 및 훈련, 훈련결과 평가 및 운영체계보완, 환류에 따른 업무개선과 매뉴얼 개정 그리고 유지관리 및 보수 등이 이에 해당된다.

대응은 사고나 재난이 발생되었을 때, 피해를 최소화 시키고 2차 또는 3차적으로 발생될 수 있는 재난을 감소시키기 위한 활동, 대비에서 세운 체제에 따라 수행(상황인지, 전파, 지휘체계에 따라 대응 수행)하는 활동, 자원(정보, 재무, 물적, 운영, 인적) 확보 및 관리 활동, 상황관리 활동, 미디어 관리 활동 등이 포함된다. 복구는 사고나 재난 발생 이전상태로 업무를 회복하기 위한 활동들로서 손상된 업무기능 정상화 활동, 운영체계 보완 활동, 유지관리 및 보수 활동, 환류에 따른 업무개선, 매뉴얼 개정 활동 등이 포함된다.

BCP 구축
BCP는 모든 조직이 생존을 위하여 끊임 없는 업무연속을 갖추기 위한 체계이기 때문에 조직 최상위 층에서부터 우선적으로 관심을 갖고 있어야 한다. 즉, 최상위 층의 의사결정자의 적극적인 참여, 강력한 지원, 리더십 발휘, 전략적 의사결정 등을 필요로 하는데, 이는 발생될 수도 있는 잠재적 피해의 최소화 및 조직 생존을 위하여 최고 경영층이 다양한 위험에 의한 업무 중단 가능성을 예측하고 복구 우선순위를 최종적으로 결정하기 위한 것이다.

BCP는 조직 내에서만 국한되는 것은 아니고 이해관계자는 물론, 업무 연속성을 위한 외부의 조직과도 깊은 연관성이 있기 때문에, BCP를 구축할 때는 업무 연속성 확보 측면에서 조직 외적(제3의 공급 등)인 부분도 고려하여야 한다. <그림 3>은 BCP를 구축 시 수행할 일반적인 단계로서 각 조직 별로 업무의 특성에 따라 이 흐름에 추가 또는 수정하여 활용하면 조직에 적합한 BCP를 구축할 것으로 본다.

1단계는 조직 현황 분석, 업무연속성관리 프로그램 관리, 정책 그리고 승인을 하는 단계로서, 업무기능 및 업무 프로세스 영역 분석, 조직 업무에 프로그램을 반영하기 위한 정책수립, 그리고 최상의 층으로부터의 검토 및 승인을 거치는 과정이다.

2단계는 조직이해와 함께 재무, 전략, 운영, 위험요소 등에 대한 취약성 분석을 한다. 3단계는 업무활동 분석 및 평가로 업무 및 프로세스를 식별하고 내외 선후 의존도를 분석하는 단계로서, BIA 설문으로 업무영향 분석을 하고, 사건과 재난발생 시 우선 복구할 핵심업무 선정과 복구 시 필요한 자원을 도출한다. 4단계는 우선관리 대상을 도출하기 위한 위험분석을 한다.

5, 6단계에서는 위험경감, 비상대응, 복구, 업무연속성에 대한 전략수립과 계획수립을 한 후 이들 계획간의 선후 관계를 조정하여 수립한다. 이때, 최악의 상황에 대한 시나리오를 포함하여 준비한다. 7단계는 테스트 및 유지보수 단계로서 구축한 프로그램에 대한 가동여부를 점검 및 보완한다.

8단계는 교육, 훈련 그리고 내부감사 단계로서 구축된 체계에 대하여 관련조직과 일반 임직원에 대한 수시교육을 하며, 시나리오별 훈련으로 사전에 대비 및 대응능력을 강화한다. 그리고 이러한 과정은 내부감사를 통하여 자체적으로 점검한다.

9단계는 BCP가 조직의 문화로서 정착하기 위하여 관련 정책 및 전략을 검토 수정하고 위험 발생 시 보호할 주요자산에 대한 정책수립과 변경관리를 하는 단계이다. 다음 호부터는 BCP 구축을 위한 방법론에 대한 전반적인 부분을 시리즈로 다루고자 한다.