글 | 유종기 영국 BCI(Business Continuity Institute) 한국대표 Deloitte 안진회계법인 기업리스크자문본부 Manager

세계 금융시장을 이끌었던 역사와 전통의 리먼브러더스와 메릴린치, 베어스턴스 등 거대 투자은행(IB, Investment Bank)들이 맥없이 무너졌다. 큰 리스크를 감수하면서 고수익을 추구하는 것이 투자은행의 속성이지만 지난해 상반기부터 예상치 못했던 서브프라임 모기지(비우량 주택담보대출) 부실이 커지면서 연관 파생상품의 잠재적 위험에 대한 대비가 부족했다는 평가를 받고 있다.

보다 근본적으로는 두 가지 이유. 첫째로 감독기관의 허술한 규제와 감시, 그리고 둘째로 금융회사의 내부 통제시스템 부재를 이번 사태를 몰고 온 가장 중요한 이유로 전문가들은 분석하고 있다. 철저하고 강력한 감독기관의 규제와 모니터링이 근본적으로 작동되지 않았다. 미국의 중앙은행인 연방준비제도이사회(FRB)는 상업은행이 아닌 금융기관들에는 규제 및 감독 권한을 갖고 있지 않았고, 증권거래위원회(SEC)도 투자은행의 부도사태를 예방하기보다는 투자자 보호에 더 관심을 기울여왔다는 것이다.

체계적이고 기업전반에 융합돼야 하는 리스크관리문화 정착의 부재이다. 영국의 시사주간지 ‘이코노미스트’가 지난 4월 소개한 스위스의 금융기업 UBS의 보고서에서는 안정적 자산운용으로 유명한 UBS는 미국의 주택저당증권(MBS)에 투자했다가 올 초 무려 380억 달러의 손실을 냈으며 주요 원인을 허술한 내부 통제시스템으로 분석하고 있다.

철저한 내부통제와 리스크관리 대신 문제가 불거지기 전까지 “상황이 괜찮다”고 하는 직원들의 말을 경영진과 조직 전체가 너무 믿었고 이러한 즉 내부 직원 사이의 근거 없는 신뢰 중시 기업문화가 재앙의 한 축이 된 것이다. 지금까지 3회에 걸쳐 전사적리스크관리의 이해와 과제, 동향, 사례, 그리고 이를 구성하는 구성요소와 방법론, 체계를 알아보았다. 이를 정리하는 관점에서 미국 리스크관리협회인 RIMS(Risk & Insurance Management Society)의 ERM 성숙모델(Maturity Model)을 소개한다.

7가지 영역에 대한 평가로 구성돼 있으며, 해당 영역의 주요 사항에 대해서 관련이 없거나 아예 준비가 돼 있지 않는(nonexistent) 수준이 있고, 레벨(Level) 1: Ad hoc(임시방편수준)에서 시작해 레벨 2: Initial(도입초기 - 프로세스 식별/역할 정의 정도 수준), 레벨 3: Repeatable(반복 - 책임부여, 부분적으로 활동이 진행), 레벨 4: Managed(관리 - 개선과 고도화가 진행, 관련 프로세스, 업무와 연계도 이루어짐), 레벨 5: Leadership(모든 구성요소와 체계가 역할과 책임에 맞게 수행, 성숙도의 최고단계)까지 5가지 수준에 대한 기준을 가지고 평가한다.

ERM 성숙도(maturity) 평가 영역 및 영역별 주요동인(key drivers)
1) ERM 도입(Adoption of ERM-based approach): 최고경영진과 CRO(Chief Risk Officer )의 지원, 대상 리스크에 대한 오너십(ownership)을 확실히 하는 비즈니스프로세스의 정의, 현업과 지원조직의 융화(assimilation into support area and front-office activities), 리스크문화의 확산, 리스크 커뮤니케이션 및 책임소재 명확

2) ERM 프로세스 관리(ERM process management): ERM 프로세스(식별(identify) > 평가(assess) > 분석(evaluate) > 경감(mitigate) > 모니터링/개선(monitor)) 표준화, 평가 가능성 확보(ERM Process repeatability and scalability), 프로세스 모니터링(process oversight including roles and responsibilities), 리스크관리 리포팅(reporting), 정량적/정성적 평가

3) 리스크선호도(성향)관리(Risk appetite management): 리스크선호수준과 임계치(tolerance)와의 갭(gap)을 식별하고 조직 내에서 감내 가능한(acceptable) 리스크 수준 역시 파악하고 이해

4) 근본원인 파악(Root cause discipline): 리스크로 인한 영향, 충격뿐 아니라 문제의 근본원인까지 식별, 분석(classification to manage risk and performance indicators)하는 등 리스크 관련 정보에 대한 수집을 집중화 함-조직/임직원(people), 외부환경(external environment), 전산시스템(systems), 업무프로세스(proces ses), 내외부 연계(relations hips) 관점

5) 리스크 모니터링(Uncovering risks): 비즈니스영역에서의 주요리스크 파악과 주기적인 모니터링을 위해 리스크지표를 설정하고 정형화(formalization of risk indicators and measures) 함, 리스크 경감을 하기 위해 주요/핵심 리스크 우선순위화 등 활동 포함

6) 성과관리(Performance management): ERM 프로세스가 조직의 전략과 운영계획수립에 기여할 수 있도록 측정 가능한 목표(goals)와 성과(performance)를 설정하고 연결함(예: 균형성과표(Balanced Scorecard, BSC)와 유사)

7) 비즈니스 탄력성과 지속가능성 확보(Business resilien cy and sustainability): ERM을 비즈니스운영계획(조직, 외부기관/서비스와 연계, 시스템, 프로세스 관점)과 통합하고 업무중단의 결과와 영향을 이해, 파악하여 시나리오분석을 기반으로 한 계획 수립(예: 벤더와 유통업체 의존도(vendor and distribution dependencies), 공급망 중단(충격, supply chain disruptions), 급진적인 시장가격 변동(dramatic market pricing changes), 현금흐름이슈(cash flow volatility), 유동성 문제(business liquidity) 등

올해 상반기에 세계적인 신용평가기관인 S&P(Standard & Poor's)사가 ERM을 비금융회사(non-financial company)에 대한 기업신용등급 평가기준의 한 요소로 포함시키기 위한 분석과 리뷰를 진행 중이라고 밝혔다. ‘보다 체계적인 프레임워크(more systematic framework)’ 수립을 목표로 리스크관리문화(risk management culture)와 전략적 리스크관리(strategic risk management) 두 가지 영역을 중점적으로 평가에 반영하겠다는 주장이다.

글로벌 기업 중 하나인 킴벌리 클라크(Kimberly Clark) 다우존스 지속가능경영지수(DJSI World, Dow Jones Sustain ability World Index)가 개인용 제품(personal product) 분야에서 1위를 차지했다. 다우존스지수는 전세계 57개 산업부문의 2500개 글로벌 기업, 즉 대형 상장사들 중 상위 10%만이 이에 속할 수 있으며, 단순히 재무정보로 파악하는 데 그치지 않고 경제, 사회, 환경이라는 TBL(Triple Bottom Line) 가치들을 종합적으로 판단하며 우리나라 기업으로는 삼성SDI와 포스코, SK텔레콤이 포함돼 있다.

킴벌리 클라크(Kimberly Clark)가 1위를 차지한 이유 중에 특히 주목할 것은 리스크 분야(공급업체 표준과 리스크와 위기관리(Risk & Crisis Management))에서 높은 점수를 받았다. 리스크와 위기관리 분야에서는 재무적, 전략적, 이행 리스크 전략을 감시하는 전사위험관리(Enterprise Risk Manag ement) 프로세스와 글로벌 리스크 감독위원회 조직에 대해서 인정을 받았고, 주요 공급업체에 대한 리스크평가와 표준 가이드 제정 등의 활동에도 좋은 평가를 받은 것이다.

지금까지 4회에 걸쳐 ERM의 중요성과 여러 방법론과 모범사례, 표준 등을 소개했다. ERM의 도입과 구현에는 많은 고민과 노력뿐 아니라 시간과 자원의 투자, 끊임없는 지속적인 평가와 개선을 통한 성숙화와 고도화, 그리고 기업전사차원에서의 리스크관리문화 확산과 융화가 필요하다는 것을 다시 한번 강조한다.