이종기 영국 BCI 한국대표

기업 경영자에게 리스크관리가 무엇이냐고 물어보면 저마다 다양하게 대답한다. 그 까닭은 리스크관리, RM, ERM과 같은 말이 일상에서 폭넓게 쓰이고 있지만 뚜렷한 기준이나 정의가 없어서이다. 미국에서는 기업의 필수적인 기능으로 리스크관리, ERM(전사적리스크관리, Enterprise Risk Management)의 개념이 논의된 지 십여 년이 훨씬 넘었다.

일부 산업, 특히 금융서비스와 에너지와 같은 장치산업 분야에서는, 업계 특성상 대부분 위험을 확률과 통계에 기초한 정교한 모델을 활용하여 관리하고 있지만 서비스업이나 소비자 사업 분야(customer business sector) 등에서는 사실 리스크관리에 대한 경험도 낮고 인식도 떨어진다. 하지만 어떤 회사나 조직이든 리스크관리에 대해서 보다 완전하고 확실한 인식을 가져야 한다라는 필요성이 대두되고 있는 것만큼은 사실이다.

실제로 신용평가기관인 Standard & Poor’s 사의 경우, 빠르면 2008년 상반기부터 비 금융회사(non-financial company) 신용등급 평가 시 ERM체계를 평가기준과 범주에 포함할 예정이고 리스크관리의 문화와 지배구조(조직), 리스크관리 절차(인식, 측정, 모니터링 등), 비상대응 방안(대응절차, BCP, 사후보완 등), 그리고 전략적 위험 관리(실질적인 의사결정)를 중요 요소로 강조하고 있다.

기업 리스크 총체적 관리 못해
필요성이 대두되고 있다는 것은 대부분의 기업이 리스크를 총체적(full spectrum)으로 관리하지도, 적절한 종합 평가를 거쳐 지혜롭게 대처하지 못하고 있다는 것을 방증한다. 금융회사에서는 금리, 통화, 신용 리스크를 완벽히 파악한다고 하는데도 자연재해라든가 테러공격, 사이버해킹과 같은 갑작스럽게 일어나면서 큰 영향과 충격을 주는 여러 위협에 대한 BCP와 같은 사전, 사후대책을 세우지 못한 탓에 얼마나 많은 곳에서 막대한 손해를 보고 있는가?

예컨대 많은 기업이 전자상거래(e-commerce)가 대세라고 생각하고 너도나도 뛰어들었다가 최근 옥션 등 충격적인 고객정보유출사건과 같이 온라인 고객 정보를 제대로 보호하지 못해 평판은 물론 고객까지 잃은 회사가 지금까지 전 세계에 걸쳐 얼마나 많았는가? 리스크관리를 잘하는 기업은 사업의 난관을 피하지 않고 헤쳐 나갈 자격과 역량을 갖춘다는 면에서 경쟁업체보다 한참 앞서나갈 수 있다.

현재의 자산(existing assets)과 미래 성장(future growth) 양쪽 모두의 측면에서 리스크 관리에 가장 효과적이며 능률적인 조직은 장기적으로 볼 때 그렇지 못한 기업에 비해 훨씬 빨리 발전한다. 간단히 말해서 기업은 리스크를 헤쳐 나가면 이익을 보고 이를 제대로 관리하지 못하면 손해를 본다는 말이다.

기업붕괴 대비, BCP 구축 고삐 당겨야
리스크를 어떻게 정의할 수 있을까? 여러 정의가 있지만 리스크는 기업의 목표를 달성하는데 불리하게 작용하는 사건(혹은 일련의 사건들)으로 야기되는 손실 가능성(potential for loss)이라고 말할 수 있다. 좀 더 넓게는 현재자산을 보호하고 미래 성장 목표를 성취하는 것까지 포함된다. 결국 효과적인 리스크관리는 부정적인 것을 피하는(예를 들어 고객정보에 해커가 접근하지 못하게 하는) 것과 동시에 긍정적인 것(예를 들어 M&A를 통해 인수한 기업을 성공적으로 통합하는)을 이루는 것을 모두 포함하는 포괄적인 것이다.

현명한 리스크관리자는 리스크를 취약점(vulnerability)으로 보기도 하지만 상승세를 타기 위한 발판, 기회, 그리고 준비(preparedness)로 본다. 그 차이는 대단히 중요하다. 효과적인 리스크 관리는 시장기회를 예측하고 활용하는 한편 재해재난, 위기발생으로 인한 끔찍한 기업의 붕괴에 처하지 않도록 BCP를 구축하는 등 준비를 게을리 하지 않는 것이다.

최고 경영진들의 고민

	출처 : Deloitte Research USA, Disarming the Value Killers: A Risk Management Study(New York: Deloitte Development LLC.2005) p.4

한 조직 또는 회사의 최고경영진의 입장에서 자연재해, 테러와 같은 대형 사건이 아니더라도 일상에서 가장 끔찍하게 여기는 악몽을 생각해 보자. 단 며칠 만에 기업 주가가 폭락하고 신용등급이 급락하고 확장계획이 지체된다. 기업가치 회복에 몇 년이 걸리고 기업의 최고경영진이 결국 교체된다. 불행히도 이러한 악몽은 몇몇 세계 유수의 기업에서 상당히 빈번하게 일어나고 있는 것이 현실이다.

주가가 떨어지는 주된 원인은 무엇일까? 그리고 그 위험을 최소화하려면 최고경영진은 어떤 과정을 거쳐야 할까? CSOC(Committee of Sponsoring Organizations of Treadway Commission)주1)가 개발한 리스크관리체계를 적용하여 이러한 최고경영진의 고민들을 크게 네 가지로 분류해 보았다.

1. 전략리스크: 수요부족, 경쟁자 동향파악실패, 합병실행의 문제 등
2. 운영리스크: 초과비용, 내부통제 실패로 인한 회계 문제, 공급망 부재 등
3. 재무리스크: 높은 부채, 금리 상승관리에 부족한 예비금, 미숙한 재무운영, 무역 손실 등
4. 외부리스크: 산업위기, 국가 고유의 정치/경제 문제, 테러, 공중보건 위험 등

기업, 한 가지 이상 위험 경험
기업은 가치를 저해하는 다양한 잠재적인 요소들과 광범위하게 마주친다. 더욱 복잡한 문제를 야기하는 주가급락은 위험요소가 두 가지 이상 결합하면서 손해가 단계적으로 발생한 결과였다. ERM연구에 따르면 심각한 피해를 입은 100개 회사 중 80% 이상이 한 가지 이상의 위험요소를 경험했다고 한다.

발생확률은 적어도 충격이 큰 사건 역시 주요 역할을 했다. 많은 회사가 이미 ERM시스템을 보유하고는 있으나 여전히 경험은 떨어진다. 이러한 실질적인 피해는 어떻게 예방할 수 있을까? 이를 위해 전문가들은 리스크관리에 기초가 되는 습관들이 기업 문화에 체화되어야 한다는 것을 강조한다.

첫째로는 통합적 리스크관리문화의 양성, 둘째로는 상상할 수 없는 것을 상상하여 비즈니스연속성계획(BCP)을 수립하고, 셋째는 통찰력 있는 리스크 정보 수집, 분석 방법의 운영, 그리고 넷째로는 시의적 정보의 감지, 모니터링 및 수집 등이 세부적으로 논의할 수 있다.

세계 유수 기업 상당한 손실
많은 세계 유수의 기업이 지난 십년 이상 시장가치에서 엄청난 손해를 보았다. 이런 피해는 대부분 정확히 예견하지 못하고 대비책을 만들지 못하고 다양한 리스크를 관리하지 못해서 생긴 것이다. 오늘날 리스크 관리는 CEO와 규제권한을 가진 이사회에게 매우 중요한 문제이다. 새로운 공시는 기업의 리스크 관리에 대한 더욱 명백한 정보를 요구하는 상장요건으로 바뀌게 된다.

가치를 보존하고 통합적이고 조직적인 리스크 관리를 하기 위해서는 기존의 리스크관리보다 한 차원 높아야 한다. 포괄적인 리스크 관리법을 채택하는 기업은 총체적 위험을 측정하려 할 것이다.다양한 위험들 중에 상호의존적인 위험모형을 만들어 낼 것이다. 또한 스트레스테스트를 적용하고 발생 가능성은 낮지만 충격이 큰 위험을 버티는 데 필요한 능력을 쌓기 위해 투자할 것이다.

사베인즈-옥슬리 법과 기타 유사한 법률 상 규제변화로 통제 및 정보처리시스템이 개선되었지만 기업들은 그것을 넘어 직원들이 기업가치의 청지기로서 책임감 있게 행동하는 문화를 창출하는데 투자를 해야 한다. 마지막으로 사업과정과 정보처리시스템에는 최고 경영진과 이사회에게 위험파악, 문제예측, 대처방안을 실시간으로 알리는 것이 필요하다. 위험이 절대 사라지지 않아도 전통적 리스크 관리를 넘어서 더욱 포괄적으로 접근하는 기업은 주가손실을 예방하고 최소화하며 회복하는 데 더욱 유리할 것이다.

생각지 못한 취약부분 ‘구멍’
리스크관리를 논의할 때 잘 인용하는 문구가 있다. “가장 취약한 부분이 시스템 전체의 리스크관리 수준인 셈이다. (We're only as strong as the weakest of us).”이는 아무리 철통 보안과 재해재난과 위기상황에서도 예방, 대비, 대응, 복구를 위한 시설과 자원 확보를 하고 있다고 하더라도 생각지도 못한 취약 부분에서 구멍이 난다면 그 조직의 모든 것을 잃어버릴 수 있다는 것이다.

다양한 기업이 쉴 새 없이 움직이는 세계화된 환경에서 리스크는 언제나 기업의 주요 관심사항이다. 오늘날 정보는 과거보다 훨씬 멀리 빠르게 퍼져나간다. 따라서 기업은 10~15년 전만 해도 전혀 알 수 없었던 새로운 리스크와 위협에 노출되어 있다. 그래서 리스크관리를 다루는 기존 방법을 상당부분 재검토해야 하고 새로운 접근법을 찾아야 한다.