최근 BS 25999에 대한 뜨거운 관심을 몸소 체험하고 있다. 표준을 만드는 기관에서 목격한 BS 25999의 탄생 과정과 그 전개과정을 지켜보고 있노라면 표준의 위력을 다시금 실감하게 한다. BS 25999에서 제시하는 비즈니스 연속성 표준은 향후 10여년 국내를 포함한 전세계의 많은 기관과 기업들의 비즈니스에 많은 이슈와 변화를 주게 될 것으로 확신한다. BS 25999가 탄생한지 1년 반 정도가 지난 지금 아직도 BS 25999의 태동기라고 할 수 있다. 이러한 시기에 BS 25999 표준에 대한 배경과 정확한 의도 그리고 기업과 기관이 가져야 하는 실무적인 관점을 제대로 전달하지 못한다면 국내의 기관과 기업이 글로벌과는 다른 길을 갈 수도 있다는 걱정(?)을 벌써 하고 있다. 이번 연재를 통해 BS 25999에 대한 실질적인 정보를 제공하고 BS 25999를 통한 순방향의 가치를 기업과 기관 그리고 독자들에게 전달했으면 하는 바람이다.
< 재난포커스 - www.di-focus.com >

	글 | 최영석 BSI매니지먼트시스템즈코리아 선임심사원

BS 25999에 대한 도입을 검토하는 담당자들이 맨 먼저 부닥치는 난관이 윗사람을 설득시키는 일이다. 특히 최근의 경제 위기 상황에서 비용절감의 화두를 뚫고 새로운 시도를 관철시키기란 쉽지 않은 일이다. 기관이나 조직에서는 경영진이 최종 의사결정을 하게 마련이고 경영진 스스로 의사결정을 하지 않는 한 실무담당자나 중간관리자의 끈질긴 설득 노력이 긍정적인 경영진의 의사결정을 이끌어 낼 수밖에 없다. BS 25999의 도입이 필요한 이유를 정리해 알리는 것은 경영진의 직접적인 의사결정으로 이끌어내기 위한 목적과 실무담당자나 중간관리자의 노력을 도와주려는 목적을 동시에 가지고 있다. BS 25999의 도입 필요성을 말하기 전에 BS 25999의 표준이 기관과 기업, 그리고 고객이 공존하는 ‘시장’에 어떠한 의미를 가지는 지를 먼저 설명할 필요가 있다.

BS 25999 표준의 의의
BS 25999와 같은 종류의 표준은 글로벌 선도 기관이나 기업에서 행해지던 베스트 프랙티스(Best practice)를 바탕으로 개발된 실용적인 표준이다. 특히 BS 25999는 지난 2000년 이후부터 비즈니스 연속성 관리 분야의 제대로 된 표준을 기다려왔던 수많은 국내외 기관 및 기업의 기대에 대해 경영시스템(management system)에 대한 전세계 표준을 주도해온 영국표준협회(BSI, British Standards institution)가 화답한 결과물이다. 표준은 특허와는 달리 배타적이지 않다. BS 25999와 같은 실용적인 표준은 ‘공유’를 통해 모든 기관과 기업들의 자체적인 노력과 시행착오를 줄여준다.

BS 25999는 비즈니스 연속성 분야에 대한 최고의 방법론을 담고 있으므로, BS 25999에 정의된 내용으로 비즈니스 연속성 체계를 구축하기만 한다면 기관이나 기업이 글로벌 베스트 프랙티스를 갖출 수 있다는 것을 보장한다. 글로벌 선도 기업의 노하우가 담긴 비즈니스 연속성 분야의 최고 실행 방법을 굳이 비싼 비용이 드는 벤치마킹 방문을 하지 않고도 얻을 수 있다면 기관이나 기업은 비용대비 최고의 효과를 얻을 수 있는 셈이다. 그러나 BS 25999는 법에 의해 요구되는 표준(de jure)이 아니라 자발적인 표준(de fecto)이다. 외부의 어느 누구도 도입에 대한 ‘강제적인 압력’을 가하지 않는다. 기관과 기업의 경영 문화에 따라 취사선택될 수 밖에 없다.

BS 25999를 언제 도입할 것인가?
BS 25999의 장점을 십 분 이해하고 도입해야 한다는 데는 동의할 수 있으나 그 시기에 대해서는 기관이나 기업의 입장이 극명하게 갈린다. 항상 최고의 조직이 되고 싶어 하는 경영문화를 가진 기관이나 기업(경험에 의하면 국내는 대체로 100대 기업 내에 속하는 대기업들이 해당된다)과 항상 기본 수준을 지키고자 하는 경영문화를 가진 기관이나 기업의 선택은 다를 수밖에 없다. 전자의 경우 BS 25999의 필요성에 공감한다면 즉각적으로 도입을 결정하게 될 것이고 후자의 경우는 전자에 해당하는 기관이나 기업이 안정적으로 도입한 이후에 또는 BS 25999의 영향이 강제화된 법규로 요구되거나 기업간 거래의 필수항목으로 정착될 시점에서나 도입을 시도하게 될 것이다.

BS 25999의 담당자는 본인이 속한 조직의 성향을 누구보다도 잘 알고 있으므로 이러한 점을 감안하여 설득에 나설 필요가 있다. 이제 본격적으로 BS 25999를 도입해야 하는 이유를 설명한다. 설명에 앞서 BS 25999를 도입한다는 것의 의미는 기관이나 기업의 비즈니스 운영에 있어 BS 25999를 표준이나 경영 시스템으로 도입한다는 의미이다. 이번 글에서는 반드시 인증 획득을 포함해 지칭하는 것은 아니라는 점을 분명히 해둔다.

고객사의 직접적인 비즈니스연속성 요구
이미 수 년 전부터 글로벌 기업들(보다폰, 노키아, HP 등)은 자신의 파트너 회사들, 즉 협력업체들의 비즈니스 연속성의 준비상태 또는 수준을 확인(그림1 참조)해 왔다. 이유는 간단하다. 협력업체의 제품이나 서비스가 중단되면 자신들의 제품이나 서비스도 타격을 받게 된다는 것을 다양한 사고 사례를 통해 이미 알고 있기 때문이다. 글로벌 기업과 협력관계에 있는 국내 기업들도 비즈니스 연속성 현황에 대한 질의를 수년째 받아오고 있으나 글로벌 기업들이 요구하는 비즈니스 연속성의 관점보다는 비상계획이나 임기응변식의 내용으로 대응해 왔다.

이들 국내 기업이 여전히 답답해하는 것은 글로벌 기업들이 요구 또는 기대하는 비즈니스 연속성의 내용이나 수준이다. 비즈니스 연속성을 어떻게 또는 어느 수준까지 갖춰야 하는지를 알 수 없다고 하소연하고 있다. 대답은 간단하다. BS 25999를 적용하면 된다. 이미 글로벌 기업들은 자신들 스스로도 BS 25999를 바탕으로 비즈니스연속성 체계를 보완하고 있다. 또 협력관계에 있는 협력회사들이 BS 25999를 기반으로 한 비즈니스연속성 체계를 갖췄다는 것을 확인한다면 신뢰를 바탕으로 한 파트너 관계를 유지할 수 있다는 확신을 가지게 된다.

	보다폰의 협력업체 가이드라인 중에서

공급망(Supply chain)의 탄력성 확보 요구
최근의 경제 위기로 기업들마다 경영난을 호소하고 있다. 만약 우리 회사에 부품을 공급하고 있는 협력업체가 부도가 난다면 어떻게 될까? 표준부품을 공급하는 협력업체인 경우는 다른 협력업체를 통해 표준부품을 급하게나마 조달할 수 있지만, 비(非) 표준부품(특정회사에서만 사용되는 특성화돼 있는 부품)을 제작해서 납품하는 협력업체가 부도나는 경우에는 어떤 결과가 빚어질까? 우리 회사의 제품 생산에 차질이 생긴다는 것을 쉽게 예측할 수 있다. 심지어는 장기간의 생산 중단으로 이어질 수 있다.

우리 회사의 재무상태도 좋고 고객과의 관계도 좋으며 심지어 내부 운영 체계도 견고하다고 한들 협력업체의 부도에 허무하게 우리 비즈니스가 무너질 수가 있다는 사실을 알아야 한다. 부품이 아닌 서비스의 경우도 마찬가지다. 인력공급업체를 통해 채용된 외부용역직원이 특정 프로세스에 특화된 기술을 담당하고 있는 경우 해당 인력공급업체의 부도로 인해 급여를 받지 못하게 되면 외부용역직원들이 단체로 업무를 거부할 수도 있다.

아웃소싱 콜센터간의 노사문제로 인해 금융회사의 비즈니스가 심각한 영향을 받을 수도 있는 것이다. BS 25999를 도입하게 되면 제품과 서비스 하단의 핵심 업무를 파악하게 되고 파악된 핵심 업무에서 협력업체의 의존도(Dependency)와 영향도를 확인할 수 있다. 그 결과에 따라 협력업체의 비즈니스연속성 요구 수준을 결정하게 되므로 공급망의 탄력성을 확보할 수가 있다.

경쟁 우위(Competitive edge)의 확보
새로운 고객이나 비즈니스 성사의 기회를 찾고 있는 기업들은 고객이 인정할 수 있는 차별화된 요소를 늘 갈구하게 마련이다. 경쟁사에 비해 고객에게 간택(?) 받을 수 있는 요소를 더 많이 가지기 위한 노력을 여러 가지 방법으로 시도하고 있다. 특정 고객사의 새로운 부품공급업체에 도전하는 경우 일반적인 납기 조건과 더불어 비상시에도 최소한의 부품을 정해진 시간 내에 납품할 수 있는 조건을 추가로 제시한다면 경쟁사에 비해 경쟁 우위를 가질 수 있을까?

만약 특정 고객사가 비즈니스 연속성과 공급망 탄력성의 중요성을 이해하고 있는 기업이라면 이러한 조건은 분명 비즈니스 성사 확률을 높일 수 있다. 경쟁우위를 중요시하는 기업의 경우 이와 같은 비즈니스 목적으로도 BS 25999의 도입을 결정하게 된다. 이것은 영업의 세계에서는 이미 잘 알려진 베스트 프랙티스이다.

법규가 요구하는 경우(영국)

	Civil Contingencies Act 2004와 비상 대비 가이드

고객사나 경쟁 우위의 영향을 받지 않는 공공기관에도 BS 25999의 도입이 필요할까? 필요하다면 어떤 요구들이 있을까? 비즈니스연속성과 관련된 요구사항을 법제화해 공공기관에 적용한 사례는 영국의 2004년에 발효된 ‘시민 비상사태 법(Civil Contingencies Act 2004)’을 예로 들 수 있다. 대상 공공기관을 카테고리1 ‘핵심 대응기관(core responders)’과 카테고리2 ‘협조 대응기관(co-operating responders)’으로 나누고 이들 공공기관이 해야 할 의무사항을 규정하고 있다.

특히 카테고리1의 핵심 대응기관에 대해 많은 의무사항을 부과하고 있는 데 그 중 상당부분이 비즈니스연속성관리에 대한 부분이다. 공공기관 스스로의 기능 또는 서비스가 어떠한 인시던트에도 합의된 시간 내에 작동할 수 있도록 보장하기 위해서 비즈니스연속성관리 체계의 도입을 요구하고 있다. 또 기업이나 시민들에게 적절한 정보를 제공하는 것을 법으로 규정하고 있다. 비즈니스연속성관리를 도입하고자 하는 카테고리1의 공공기관은 BS 25999의 기반이 된 BCI 가이드라인을 참조토록(당시는 BS 25999가 발표되기 이전이다!) 비상대비 가이드에서 권고하고 있다.

이미지와 명성의 관리 요구
인시던트가 발생한 경우 이를 어떻게 다루느냐에 따라 그간 쌓아왔던 이미지와 명성이 유지되거나 손상을 입을 수 있다. 인시던트가 발생한 비상 상황에서는 고객을 포함한 이해당사자들이 해당 기관과 기업의 대응 태도와 진행 과정을 매우 민감하게(평소와는 매우 다르다) 지켜보게 된다. 특별한 해명이 없이 시간을 지체하는 경우 경영층의 책임 있는 자세와 용기 있는 태도가 보여지지 않는 경우 또는 여론과는 다른 엉뚱한 곳으로 인시던트의 원인을 돌리는 경우는 엄청난 이해당사자들의 비난이 해당 기관이나 기업에 쏟아지게 된다.

국내의 유사한 사례들을 관찰해보면 해당 기관이나 기업은 이러한 비난에 대해 지나치다며 억울해하거나 시간이 지나면 해결될 것이라는 자세를 보이는 경우가 대부분이다. 이해당사자들이 해당 기관이나 기업에 어떤 태도를 요구하는지를 아직도 이해하고 있지 못하고 있는 현실이다. BS 25999와 같은 비즈니스연속성관리 체계를 잘 갖춘 글로벌 기업들은 이러한 인시던트에 대해 어떻게 행동하고 일관성 있게 대응태도를 어떻게 이해당사자에게 알릴 수 있을 지의 자체 방법론을 이미 보유하고 있다.

비즈니스 프로세스의 개선 효과
BCM의 구축과정에서 비즈니스 프로세스들을 재분석하게 된다. 재분석을 통해 비즈니스 프로세스가 불분명하거나 특정 자원에 의존하는 부분이 발견되는 경우 비즈니스 프로세스를 개선하게 된다. 비즈니스 프로세스가 불분명한 경우는 해당 프로세스에 대한 비즈니스 연속성 계획을 수립하는 것이 불가능하다. 왜냐하면 본래 근무지가 아닌 장소에서도 똑같이 비즈니스 프로세스를 실행할 수 있도록 복제된 비즈니스 프로세스를 비즈니스연속성 계획서에 기술해야 하기 때문이다.

고객 중심의 문화 정착
BS 25999의 첫 번째 라이프 사이클 단계인 ‘조직의 이해’에서는 제품이나 서비스의 핵심업무 활동을 찾아내게 된다. 기관이나 기업에서 핵심이 되는 업무활동은 무엇일까? 제조업체의 경우 생산인가? 아니면 배송인가? 또는 주문 접수인가? ‘조직의 이해’ 단계를 정상적으로 수행하게 되면 기관과 기업의 모든 업무활동 중에서 가장 중요한 이해당사자인 고객에게 가장 큰 영향을 미치거나 고객 입장에서 관심을 가지는 업무활동들을 뽑아낼 수가 있다. 이것들이 일반적으로 우선순위가 높은 핵심업무 활동에 선정된다. BS 25999를 구축하는 과정에서 고객과 밀접한 핵심업무 활동들을 새롭게 이해하게 된다. 또 이들 핵심업무 활동에 비즈니스 연속성의 노력을 집중하게 되므로 기관이나 기업 내부에서는 자연스럽게 고객 중심의 문화를 정착할 수 있게 된다.

BS 25999의 도입, 선택은 자유
지인에게 들은 일화가 하나 있다. 한 유명한 일본 기업의 사장은 직원들에게 업무를 지시하고 추진이 어렵다는 반응을 보이는 직원들에게 녹음기를 틀어준다고 한다. 그 녹음기에는 사장이 수 십 년 들어왔던 변명들을 음성으로 저장하고 있다. 사장은 그 변명들에 해당되지 않는 것이 있으면 업무를 하지 않아도 된다고 직원들에게 얘기한다고 한다.

BS 25999를 왜 해야 하는지를 설득하는 것이 전적으로 담당자의 몫이라는 데는 동의할 수가 없다. 상위 경영층은 본인의 경영책임에 영향을 주는 사안들에 대해 적극적으로 대응해야 한다. 관심이 애당초 없거나 실천의지가 없는 경영층에게는 전세계 최고의 컨설턴트가 와도 설득에 실패하기 마련이다. BS 25999의 도입 이유 대신에 도입하지 않으려는 분들의 일반적인 변명들을 소개하면서 글을 맺겠다.

요즘의 경제 위기에는 “회사 경영이 어려워서”, 매출이 늘어날 땐 “업무가 바빠서”, 사고가 생기기 전엔 “언제 생길지도 모르는 사고에 돈 쓴다는 게”, 사고가 생기고 난 이후엔 “정말 다시 발생할까”.  

 참조사이트
http://www.ukresilience.gov.uk/preparedness/ccact.aspx http://www.ukresilience.gov.uk/media/ukresilience/assets/emergprepfinal.pd