지식경제부 기술표준원 지식산업표준 임차식 국장

국제표준화기구(ISO)의 재난관리기술위원회(TC223)에서 최초의 재난관리 국제표준인 ISO/PAS22399를 작년 11월에 제정 발간함에 따라 필자는 본지의 지면을 통해 국제표준의 한글화 작업본과 해설을 연재하고 있다. 이번 호에서는 조직이 실제 재난관리 시스템을 수립할 때 고려해야 하는 내용에 해당하는 4.일반사항과 5.정책 및 계획을 소개하기로 한다.

4. 일반사항(General)
IPOCM(사고 대비 및 업무 연속성 관리) 추진 및 지속적 개선을 위한 진행 프로세스는 <그림 1>과 같다. IPOCM은 변화하는 내부 및 외부 요인에 대응하여 조직의 사고 대비 및 업무 연속성 관리를 위해서 효과적인 방향을 제시하기 위한 지속적관찰과 주기적으로 검토해야 하는 조직 체제이다. 조직 내에 있는 모든 지위의 조직원들은 사고 대비 및 업무 연속성 개선을 이루기 위해 노력할 책임을 인정해야 한다. IPOCM의 고려 사항들은 조직의 모든 업무와 의사 결정에 통합될 수 있다.

	<그림1> IPOCM 프로세스

☞ 품질경영시스템 등 재난관리와는 별개의 또 다른 경영시스템을 도입하고 있는 경우 경영시스템에 혼란을 가져올 수도 있다. 그 해결방법은?
ISO/PAS 22399는 재난의 예방·대비·대응·경감·복구를 위한 경영관리시스템 구축에 필요한 선언적 규정들을 다루고 있다. 또한 ‘리더십·전원참여·프로세스 접근 방법·지속적 개선’ 등을 실행의 원칙으로 하고 있어 규격서의 구성과 내용이 ISO9000시리즈로 통칭되는 품질경영시스템 규격들과 매우 흡사하다. ISO9001(품질경영시스템-요구사항)에서는 「이 규격은 환경경영, 보건안전경영, 재정경영 또는 위험경영 등과 같은 다른 경영시스템에 해당하는 요구사항을 포함하지 않는다. 그러나 이 규격은 조직이 조직 자체의 품질경영시스템과 관련된 경영시스템 요구사항과 배열을 맞추거나 통합하는 것을 가능하게 한다. 조직이 이 규격의 요구사항에 적합한 품질경영시스템을 수립하기 위하여 기존 경영시스템을 수정하여 활용할 수 있다.」고 규정함으로써 다른 경영시스템과의 통합이 가능함을 언급하고 있다. 품질경영시스템(또는 이와 유사한 경영시스템)은 IPOCM의 고려사항들과 통합함으로써 경영의 혼란을 방지하고 효율성을 제고할 수 있을 것이라는 판단이다.

☞ 프로세스 접근방법(‘ISO 9000 기본사항 및 용어’ 참고)
입력을 출력으로 전환하기 위해 자원을 사용하는 모든 활동 또는 활동의 조합은 프로세스로 간주할 수 있다. 조직이 효과적으로 기능을 발휘하기 위해서는 조직은 서로 연관되고 상호작용하는 수많은 프로세스를 파악하고 관리해야 한다. 하나의 프로세스 출력은 대부분 다음 프로세스의 입력이 된다. 조직 내에서 적용된 프로세스, 특히 그러한 프로세스 간의 상호작용에 대한 체계적인 파악 및 관리를 ‘프로세스 접근방법’이라고 한다. ISO 9000에서는 품질경영시스템을 개발하고 실행하기 위해 다음과 같은 단계의 프로세스 구성을 제시하고 있는 바, 이를 연상하면서 ISO/PAS22399를 독해하는 것은 전체 규격서의 흐름을 이해하는데 도움이 될 것이라 생각한다.
 - 고객 및 기타 이해관계자의 요구 및 기대 사항을 결정
 - 조직의 품질방침 및 품질목표를 수립
 - 품질목표를 달성하는 데 필요한 프로세스 및 책임을 결정
 - 품질목표를 달성하는 데 필요한 자원의 결정 및 제공
 - 각 프로세스의 효과성 및 효율성을 측정하는 방법을 수립
 - 각 프로세스의 효과성 및 효율성을 결정하기 위한 방법의 적용
 - 부적합을 예방하고 그 원인을 제거하는 수단을 결정
 - 품질경영시스템의 지속적인 개선을 위한 프로세스를 수립하고 적용

5. 정책(Policy)

☞ 이규격의 서론에서는 이 규격이 제삼자 기관의 인증/등록을 위해 사용하기 위한 것은 아니라고 밝히고 있으나, 현재 ISO/TC223에서는 이 규격을 인증(또는 제3자 평가)에 활용할 수 있도록 개정 중에 있다. ‘5. 정책’ 이후의 내용들은 이 규격의 본론에 해당하는 부분이며, 향후 도입될 인증/등록을 위한 평가항목이다.
☞ 품질경영시스템에서는 모든 평가 대상 프로세스와 관련하여 확인해야 하는 다음 4가지 기본 질문을 제시하고 있다.
 - 프로세스가 파악되고 적절히 정해져 있는가?
 - 책임이 부여되어 있는가?
 - 절차는 실행되고 유지되고 있는가?
 - 프로세스는 요구된 결과를 달성하기에 효과적인가?

☞ 평가의 종류
 - 제1자 평가 : 내부 목적을 위하여 조직 자체에 의해 또는 조직의 대리인에 의해 수행되는 평가. 강제성이 없는 임의표준에 대한 자기적합성 선언에 활용
 - 제2자 평가 : 조직의 고객이나 고객의 대리인에 의해 수행
 - 제3자 평가 : 외부의 독립적인(일반적으로 별도의 제도에 의해 공인된) 기관에 의해 수행. 규격의 요구사항과의 적합성에 대한 인증 또는 등록을 제공

5.1 프로그램 확립(Establishing the program)
사고 대비/업무 연속성 프로그램을 정착시키는 목적은 모든 리스크관리 및 연속성 활동들이 조직 내에서 협의되고 관리된 방법대로 지휘되고 실행되도록 하기 위함이다. 조직은 사고 대비/업무 연속성 프로그램을 정착시킴으로써 변화하는 업무의 요구에 부응할 수 있는, 그리고 조직의 크기, 복잡성 및 성격에 적합한 능력을 얻게 된다.

사고 대비/업무 연속성 프로그램은 업무 연속성 능력의 진행 관리를 위한 명확하게 규정된 체제를 수립한다. 보통 프로젝트의 형식을 갖는 셋업(setup) 활동은 업무 연속성 능력을 설계·수립·시행하고 초기 테스트(initial testing)하고 연습(exerci sing)하는 것들을 모두 포함한다. 조직상 또는 사업상 프로세스의 설계, 계획, 운영, 교육 그리고 재정적이거나 경제적인 정책과 절차에서 IPOCM 기술과 절차의 빠른 통합이 고려되어야 한다.

지속적인 유지관리 활동은 업무 연속성이 조직 내에 정착이 되고, 정기적으로 테스트되고 업데이트되며, 뚜렷한 변화(예를 들어 환경, 직원, 프로세스 또는 기술)가 있을 때 마다 고려되는 것 등을 보장하기 위한 활동들을 포함한다. IPOCM은 또한 조직의 업무와 기능의 중단(disruption)으로 인해 발생 가능한 충격으로부터 이해관계자를 보호할 수 있음을 보장하여야 한다. 요약하면, 이 관리 프로그램은 업무 연속성 능력의 셋업, 조직 및 지속적인 관리를 말한다.

☞ 재난관리 측면에서 조직(기업의 경우)이 고려해야 하는 이해관계자는 다음과 같다. 그들과 공유해야 하는 더 자세한 이해관계에 대해서는 숙제로 남겨놓는다.
 - 모기업(수익성, 경영성과 등 목표달성 등), 주주, 이사, 간부사원, 종업원, 고객, 지역사회, 정부(규제기관, 방재기관), 금융기관, 납품업체, 판매자, NGO, 경쟁기업, 언론, 노동조합, 유관 단체 등

5.2 프로그램 범위의 정의(Defining program scope)
조직은 조직의 사고 대비 및 업무 연속성 프로그램(incident preparedness and operational continuity programs)을 확립, 문서화, 시행, 유지, 평가하고 지속적으로 개선하여야 한다.

☞ ISO 9000과 14000에서는 「확립, 유지, 평가, 개선」의 절차로서 「계획-실시-체크-조치」(또는, 그의 영문 약자인 PDCA)로 알려져 있는 방법론을 제시하고 있다.
 - 계획(plan) : 조직의 경영방침에 관련된 결과를 도출하기 위한 목표 및 프로세스의 수립
 - 실시(do) : 프로세스의 실행
 - 체크(check) : 경영방침, 목표, 세부목표, 법규 및 그 밖의 요구사항 그리고 결과보고에 대한 프로세스의 모니터링 및 측정
 - 조치(act) : 경영시스템의 성과를 지속적으로 개선하기 위한 활동

조직은 전략, 사업 계획, 정책과 목표 선언(policy and miss ion statements), 리스크관리계획(risk management plans) 및 SWOT 분석 (Strengths, Weakness, Opportun ities and Threats; 강점, 약점, 기회, 위협)이나 균형 성과표(Balanced Scorecard, BSC)와 같은 관리 도구에서 확인된 조직의 주요 업무 목표와 활동들을 결정해야 한다. 업무상 주요 절차들은 확인되고 문서화되어야 한다. 이러한 작업은 조직의 경제적인 제약조건 하에서 조직이 필요한 자원을 조직의 중요 활동과 기능에 집중하도록 도와줄 것이다.

☞ 균형 성과표(BSC: Balanced Scorecard)란 조직의 비전과 전략으로부터 재무, 고객, 프로세스, 학습과 성장의 네 가지 관점 외에 다양한 측면에서 균형적으로 도출된 성과지표 체계를 의미

조직은 조직의 전사적인 접근 방법을 택할 할 경우의 이점을 확인하기 위해 IPOCM 프로그램의 정당성을 확립해야 한다. 이는 다음을 기초로 할 수 있다.
 - 조직 내의 역사적 리스크 사건
 - 현재 그리고 부상하고 있는 리스크 노출
 - 업무 중단(operational disruption)의 경향(trend)과 이전의 사고들
 - 잠재적 중단(potential disruption)에 기인하는 비용 증가와 수입 손실
 - 리스크 자금 비용(risk financing costs)
 - 부채(liabilities)
 - 사회적 책임(social responsibilities)
 - 다른 IPOCM 프로젝트와 프로그램의 성공과 실패

☞ 사회적책임
 - 「정부, 기업, 노동계, 소비자, NGO 」 등 사회를 구성하는 모든 조직은 사회와 환경에 영향을 미치는 의사결정과 활동을 함에 있어서 7개 핵심 이슈(지배구조 개선, 인권, 노동, 환경, 공정한 조직 운영, 소비자 보호, 지역사회 공헌)에 대해 이해관계자와 소속된 사회에 이익이 되도록 7원칙(사회 및 환경에 미치는 영향에 대해 설명, 타인에게 영향을 미치는 의사결정 및 행위에 있어서 투명, 윤리적 행동, 이해관계자의 관심사항을 고려하고 존중, 준법, 세계인권선언에 제시된 인권 존중, 관련 국제규범이 국가법률 및 사례보다 우수할 경우 이를 존중)에 따라 투명하고 윤리적으로 수행하여야 하는 책임
 - 사회적책임은 인류사회의 지속가능발전을 위해 필수적이라는 국제적 공감대 형성에 따라 ‘92 리우세계정상회의, ‘02 지속가능발전에 관한 세계정상회의 등에서 거론, 각국의 상이한 CSR(기업의 사회적 책임) 표준이 무역장벽으로 작용 하는 것을 방지하기 위해 2005년부터 ISO에서 국제표준(ISO 26000)으로 개발 중
 * ISO의 SR작업반(ISO/WG/SR)에는 78개 회원국 및 37개 국제기구가 참여

조직은 IPOCM 시스템의 범위를 규정하고 문서화해야 한다. 조직은 그 범위를 규정할 자유와 유연성을 가지고 있으며, 조직의 전 부분에 또는 조직의 특정한 업무 파트나 활동에만 본 가이드라인을 적용하도록 선택할 수 있다. 그러나 조직은 프로세스/활동(processes/activities)의 아웃소싱과 공급사슬에 기인하는 영향을 포함하여 조직의 운영에 기여하거나 영향을 주는 다른 조직(파트너 조직) 및 이해관계자들과의 관계를 고려하여야 한다. 그 범위는 중요도와 사고(incident)의 잠재적 발생 가능성 및 결과(consequences)에 기초한 리스크 평가(risk assessment)와 프로그램 개발의 요소를 정의하는 조직의 주요 활동, 기능, 제품 그리고 서비스에 직접적으로 관련이 있어야 한다.

☞ 이 장과 관련된 다음의 항목들이 평가대상 항목이다. 일반적으로 평가의 범위는 조직에서 정한 ‘③ IPOCM’의 범위에 한정한다.
① 조직의 주요 업무 목표와 활동들은 결정하였는가?
② 업무상 주요 절차들은 확인되고 문서화하였는가?
③ IPOCM 시스템의 범위를 규정하고 문서화하였는가?
 - 조직의 운영에 기여하거나 영향을 주는 다른 조직(파트너 조직) 및 이해관계자들과의 관계를 고려
 - 조직의 주요 활동, 기능, 제품 그리고 서비스에 직접적으로 관련

☞ 재난관리 시스템에서 갖추어야 할 문서의 형태는 ISO/TC223의 표준 프레임웍이 어떻게 구성되는지, 그 표준에서 어떤 문서들을 요구하는지에 따라 달라질 것이다. 품질경영시스템에서 사용하는(문서화를 요구하는) 문서들은 다음과 같다.
 - 조직의 품질경영시스템에 대하여 내부 및 외부적으로 일관성 있는 정보를 제공하는 문서(품질매뉴얼이라 한다)
 - 품질경영시스템이 어떻게 특정 제품, 특정 프로젝트 또는 특정 계약에 적용되는지를 기술한 문서(품질계획서라 한다)
 - 요구사항을 명시한 문서(시방서라 한다) - 권고 또는 제안을 명시하는 문서(지침(guidelines)이라 한다)
 - 활동과 프로세스를 일관되게 수행하기 위한 방법에 대한 정보를 제공하는 문서(절차서, 업무지침서, 도면 등을 포함할 수 있다)
 - 수행된 활동 또는 달성된 결과에 대한 객관적 증거를 제공하는 문서(기록이라 한다)

5.3 관리 리더쉽과 책임(Management leadership and commitment)
IPOCM 프로그램은 최고 경영진이 주창하는 통합 관리 프로세스여야 하며 주요 관리자와 임원들이 승인하고 장려하여야 효과적이다. 이 프로그램은 운영 레벨과 조직 레벨 등 모든 곳에서 관리되어야 한다. IPOCM 프로그램을 지원하고 운영하기 위해서는 다수의 사고 대비 전문가와 OCM 전문가를 다른 관리 분야와 부서에서 동원할 필요가 있을 수 있다. 필요한 자원의 수는 조직의 크기와 다양성에 따라 다르다.

5.4 정책 개발(Policy development)

☞ KS A ISO 9001과 14001에서는 대응 ISO 표준에서 사용하는 'Policy'를 ‘방침’으로 번역하여 사용하고 있다. ‘정책’과 ‘방침’중 적절한 한글 용어는 추후 검토가 필요하다.

조직은 IPOCM 정책을 개발하여야 한다. 초기에 그 정책은 조직의 역량이 발달함에 따라 점차 수정되고 강화되면서 높은 수준에 도달하게 될 것이다. 이 정책은 운영상의 필요에 따라 정기적으로 검토되고 갱신되어야 한다. IPOCM 정책은 조직이 바라는, 그리고 IPOCM 능력을 평가할 수 있는 문서화된 원칙들을 제공하여야 한다. 조직의 정책 프로세스는 다음의 요소들로 구성되어야 한다. 
 - 최고 경영진은 IPOCM 프로그램을 개발할 것을 결정해야 하고 이 결정을 조직 전체에 전달하여야 한다.
 - 최고 경영진은 IPOCM 기본 정책을 수립하여야 한다.
 - 최고 경영진은 조직의 IPOCM 활동들을 해당 내부 및 외부 이해 관계자들에게 전달하여야 한다.
 - 최고 경영진은 IPOCM 기본 정책에 따르는 활동을 수행하는데 필요한 예산과 인원과 같은 자원이 활용 가능하도록 보장하여야 한다.
 - 최고 경영진은 IPOCM 프로그램 개발에 참여해야 한다.

5.5 정책 검토(Policy review)
조직은 다음의 사항들을 고려하여 IPOCM 정책을 정기적으로 검토해야 한다.
 - IPOCM 시스템 검토 결과
 - 물리적 환경의 변화
 - 리스크 프로파일(risk profile)의 변화
 - 주요 직원, 업무, 서비스, 프로세스, 제품, 공급자(suppliers), 판매자(distributors), 아웃소싱 계약 및 시장의 요소들(market forces)의 변화
 - 인수 합병(mergers and acquisitions)
 - 법률 및 규제의 주요 변화
IPOCM 정책의 검토는 최고 경영진이 승인한 전사적인 사업 및 업무 계획 프로세스의 한 부분으로 통합되어야 한다. 전사적인 IPOCM 정책은 각 기능별 IPOCM 정책 단위로 단계적으로 전달되어야 한다.

5.6 실행을 위한 조직 구조(Organizational structure for implementation)
프로그램 정책 및 전략은 프로젝트 팀에서 개발하고 시행한다. 다음 사항에 의거하여 공식적이거나 비공식적 프로젝트 관리 구조에 대한 요구를 결정한다.
 - 최고 경영진의 지속적인 참여의 필요성
 - 기술적 요구사항
 - 프로젝트를 위한 자원, 예산, 자금 요구사항
 - 조직의 전문가의 지식
 - 프로젝트에 관계된 조직의 부문
조직은 IPOCM 프로그램 수립을 책임지는 IPOCM 프로그램 코디네이터를 지정할 수 있다. IPOCM 프로그램 코디네이터는 사고 대비 및 업무 연속성 프로젝트를 조정하고, 사고 대비 및 업무 연속성 조직을 관리하며, 최고 경영진의 지원을 확보하고, IPOCM 프로그램을 개발 시행하고, 훈련을 시키고, 정기적으로 사고 대비 및 업무 연속성 프로그램을 검토할 책임이 있다. 조직 내에서 궁극적인 책임이 어디에 있는가를 명백히 하기 위해 최고 경영진의 책임과 권한은 규정되어야 한다. 또한 연계업무 IPOCM 프로그램(cross-functional IPOCM program) 위원회를 구성할 수 있다. 위원회는 다양한 전사적 문제(issues)들의 제기가 가능하도록 IPOCM 프로그램과 관련하여 주요 직무를 담당하고 있는 사람들로 구성해야 한다.

☞ ISO 9001에서는 최고경영자가 품질경영시스템의 개발 및 실행, 그리고 품질경영시스템의 효과성을 지속적으로 개선하기 위한 의지의 실행 증거를 다음을 통하여 제시토록 하고 있으며, 이는 최고경영자의 책임으로 간주한다. 여기에서 최고경영자는 조직 내에서 방침을 제정하거나 승인하는 책임과 권한을 가지고 있는 개인 또는 그룹으로 구성될 수 있다고 규정하고 있다.
 - 법적 및 규제 요구사항 뿐 아니라 고객 요구사항 충족의 중요성을 조직과 의사소통
 - 품질목표 수립의 보장
 - 품질방침의 수립
 - 경영검토의 수행
 - 자원의 가용성 보장