지난 7월8일 서울 청담동 프리마 호텔에서 영국표준협회 한국지사(BSI Korea, 한국지사 대표 천정기)에서 주최하고 영국 비즈니스연속성협회(BCI, 한국대표 유종기)와 엘림티엔씨(대표 홍광희) 주관으로 ‘비즈니스연속성관리(BCM, Business Continuity Management) 그 현재와 미래’ 컨퍼런스가 열렸다. 작년에 이어 올해 두 번째로 개최된 이번 컨퍼런스는 우리나라, 영국, 일본의 BCM 현황과 적용 사례 등을 토대로 BCM의 필요성과 당위성에 대해 케이스 스터디 위주로 알아본 자리였다. 이외에도 우리나라 비즈니스연속성계획(BCP, Business Continuity Planning), 위기관리의 문제점과 발전과제들을 살펴본 자리이기도 했다.

< 재난포커스 - 김수한 기자  ins@di-focus.com >

최영석 영국표준협회 한국지사(BSI Korea, British Standards Institution) 선임심사원의 ‘비즈니스연속성관리 그리고 한국의 현황’에 대한 발표로 컨퍼런스는 시작됐다. 최영석 심사원은 BS25999의 역사와 국가별 BS25999 도입 현황, BSI 한국지사의 움직임, 현재 우리나라의 BCM 추세 등에 대해 발표했다. 우리나라의 BCM 추세에 대해 최영석 심사원은 “금융권(삼성생명, 기업은행, 금융결제원)이 BCM을 주도하고 있고 향후 다양한 업종으로 확대될 것”이라며 “기업·기관 내에 BCM 주관부서가 없다는 점이 우리나라의 특징”이라고 말했다. 최 심사원은 또 “제조회사의 경우 환경안전부서가 담당할 것으로 예측하고 있다”며 “글로벌기업에서 국내기업에 BCM을 요구하고 있다”고 강조했다. 그는 특히 “기업에서 BCM도입 시 투자에 대한 막연한 두려움과 관계자들에 대한 설득의 어려움이 있다”고 말했다.

“BCM 사후관리, 계속 혁신해야 한다”

	사진1. 최영석 BSI Korea 선임심사원 사진2. 존 힐(John Hele) BSI 그룹프로덕트매니저

이어 존 힐(John Hele) BSI 그룹프로덕트매니저(Group Product Manager)가 ‘영국의 BCM현황 및 사례연구’에 대해 발표했다. 존 힐 대표는 BCM과 BS25999의 정의에 대해 간략하게 설명하고 영국의 시민비상대처법(CCA, Civil Contingencies Act), 바운스필드(Buncefield) 폭발사고, BCM 기업적용 사례 등을 예로 들며 BCM 필요성에 대해 강조했다. 시민비상대처법은 크게 두 파트로 나눠져 있는데 존 힐 대표는 “첫 번째 파트는 시민보호를 위한 지방정부의 역할과 책임에 관한 기본 법령이 주 내용”이며 “두 번째 파트는 비상대응능력에 초점을 맞추고 영국 전체 범위로 비상시 전력공급이나 비상대처 계획들로 이뤄져 있다”고 말했다.

시민비상대처법에 명시된 비상사태는 인간에게 위해를 끼치는 사건 또는 상황, 환경에 심각한 위해를 끼치는 사건 또는 상황(홍수, 악천후, 가뭄, 눈사태 등), 안보에 심각한 위해를 끼치는 전쟁 및 테러로 나뉜다. 또 시민비상대처법에는 비상대응 팀도 구성하게 돼있는데 다양한 분야의 사람들을 모아서 팀을 이루는 것이 특징이다. 1차 대응 팀은 법에 의해 활동하는 전국적인 대응 팀으로 경찰, 지방정부, 출입국 건강관리당국, 보건당국, 환경부 등이 속하고 2차 대응 팀은 배전·송전기관, 가스, 수자원·하수취급업체, 통신서비스기관, 교통운영기관, 강력한 보건당국(SHA, HSE) 등이 여기에 속한다.

존 힐 대표는 “영국의 비상대응은 다양한 상황에 맞춰 다르게 대응하는 것이 특징”이라며 “재난의 정도가 약할 때는 주로 지방정부가 해결하고 재난의 정도가 심할 때는 중앙정부가 나서게 된다”고 말했다. 그는 “대응 팀도 1차, 2차 대응 팀이 각각의 상황과 성격에 맞춰 대응을 한다”고 강조했다. 이어 존 힐 대표는 바운스필드(Buncefield) 폭발사고에 대해 설명했다. 저유시설에서 일련의 폭발사고가 일어나 대규모 폭발과 화재로 번진 사건이라 설명했다. 화재진압을 위해 13개 소방서에서 180여명이 동원돼 진화작업을 펼쳤다.

사고 당일이 일요일이라 사상자는 없었지만 45명이 부상입고 1만 여명의 노동자가 대피하는 상황이 벌어졌다. 저유시설과 3㎞ 떨어진 건물의 창문이 전소됐고 2000여명의 주민이 대피해 시에서 제공하는 임시숙소 기거했다. 인근 20여개 비즈니스건물이 파괴됐고 수개월 동안 60채의 건물이 추가로 사용이 불가능하게 만든 화재다. 이 건물들은 저유탱크와 전혀 관련 없는 건물이다. 단지 주변에 위치한다는 것만으로 피해를 입은 것이다. 폭발 후 인근의 파괴된 건물들에는 수일동안 회사에 접근할 수 없었다.

존 힐 대표는 “기업은 BCM을 기획할 때 주변적 요소도 빼놓지 않고 체크해야 한다”며 “피해 입은 건물 중 폭발 이전부터 BCM을 해오던 한 사무용품 회사는 곧바로 다른 곳에서 사무를 재개해 BCM을 하지 않던 기업보다 빠르게 업무를 복구할 수 있었다”며 BCM의 필요성을 강조했다. 존 힐 대표는 사례발표에서 영국의 공공기관인 ‘스코티쉬 보더즈 컨실(Scottish Borders Council)’에서 진행해왔던 BCM 프로젝트를 예로 들었다. 이 BCM의 구조와 구성을 설명하며 예상치 못한 재난이 닥쳤을 때 대외에 어떻게 설명할 것인지 ‘외부 커뮤니케이션’의 중요성을 강조했다.

또 영국의 가장 큰 이동통신사 보다폰(Vodafone) BCM 도입 사례를 설명했다. ‘2세대 음성 통신망(2G Voice Network)’ 프로젝트를 성공적으로 완수하는데 있어서 물리적이고 논리적인 네트워크를 구성키 위해 BCM을 필요에 의해 도입하게 됐다. 보다폰은 대기업이고 다양한 서비스를 제공하고 있기 때문에 명확한 범위설정의 문제가 가장 중요했다고 밝혔다. ‘이퀀스(Equens)’사와 ‘라이언스 시푸드(Lyons Seafoods)’사의 BCM 사례를 설명하면서 그는 “BCM을 만들었다고 해서 그것이 끝이라고 생각지 말고 계속해서 혁신시켜야 한다”며 “다양한 감사시스템의 문제도 신경 써야한다”고 BCM의 사후관리에 대해 강조했다. 특히 “기업은 BCP를 가지고 있다고 해서 BIA(Business Impact Analysis)를 가지고 있다고 생각해서는 안 된다”고 말했다.

늘어나는 불확실성에 대한 방편, BCM
‘일본의 BCM현황 및 사례연구’를 주제로 가즈오 우치카와(Kazuo Uchikawa) BSI 일본지사 매니저(BSI Japan Manager)의 발표가 이어졌다. 가즈오 우치카와 매니저는 일본 BSI 현황, BSI 관련행사, BCM 지역인증제도, BS25999인증 받은 5개사인 후지쯔 그룹(Fujitsu Group), 크리에이트 라보(Create Labo) 콜센터, 펜션펀드협회(Pension Fund Association), 고쿠요 가구(Kokuyo Furniture), 엔이씨 그룹(NEC Group)의 적용사례를 설명했다. 그는 400종류가 넘는 부분에 BCP를 적용중인 NEC 그룹과 실제 같은 모의훈련을 한 후지쯔 그룹의 예를 들며 “일본에서 기업들이 BCM에 관심을 보이고 있는 것은 포괄적인 BCP가 가능한 장점과 효율적인 모의훈련이 이루어지는 것에 있다”고 말했다.

	사진1. 가즈오 우치카와(Kazuo Uchikawa) BSI Japan 매니저 사진2. 유종기 딜로이트(Deloitte) 안진회계법인 매니저

이어 유종기 딜로이트(Deloitte) 안진회계법인 매니저가 ‘BCM을 위한 비즈니스 사례(The Business Case for BCM)’에 대해 발표했다. 유종기 매니저는 BCM의 중요성과 해야 하는 이유들, BCM 도입으로 기업에게 생길 수 있는 이익 등을 설명했다. ‘BCP’, ‘BCM’, ‘ 리질리언스 엔터프라이즈(The Resilient Enterprise)’, 예측모델을 통해 사전에 문제를 원천봉쇄하는 ‘프리딕티브 모델(Predictive Model)’ 순으로 업무연속성 트렌드는 진행되고 있다. 유종기 매니저는 “우리나라의 금융업은 금융감독원이라는 규제 감독기관이 있어 다른 업계보다 BCM이 강조되고 있다”며 “금융업 말고는 시장리스크, 신용리스크, 유동성리스크 관리에 대한 강조가 많고 BCM이 속하는 운영리스크관리가 전보다 강조가 되지 않아 문제”라고 말했다.

외국의 기업들은 자회사의 BCM 내용을 담은 지속가능경영 보고서를 발표해 다른 경쟁회사와의 차별성을 강조하는 경우가 있다. 우리나라는 삼성SDI의 지속가능경영 보고서가 대표적인 예이다. 유 매니저는 “점점 기업의 업무들이 ‘시스템’에 대한 의존도가 커지면서 ‘시스템’이 멈출 경우 피해금액이 점점 늘어나고 있다”며 “정보보호 사이버테러, 해킹 등도 간과 할 수 없는 재난으로 여겨지며 BCM을 도입을 위한 중요한 드라이버 역할을 하고 있다”고 강조했다.

국제적으로 여러 BCM 관련 규제들이 진행 중인 사항도 BCM을 해야 하는 이유가 될 수 있다. ISO나 BS25999같은 ‘국제표준’ 뿐만 아니라 각 나라마다도 ‘국가표준’과 ‘기업재해경감법’이나 국내외 규정이나 지침이 있다. 국내에도 2006년 금융감독원 업무연속성계획에 대한 모범규준을 냈고 2007년 NSC사무처에서는 위기관리지침을 만들었다. 유 매니저는 “불경기에 기업이 조심해야 되는 것들은 대량해고, 고용의 불안전성에서 오는 인력부족, 파업, 점거, 다른 나라에서의 협력사나 공급업체가 갑자기 문제가 생겨 핵심부품을 받지 못하는 경우 등이 있다”며 “경기가 안 좋을수록 BCM에 더 신경 써야 한다”고 강조했다.

언제, 어디서, 누구나 쓸 수 있는 BCP

	사진1. 최창범 삼일회계법인 이사 사진2. 홍광위 엘림티엔씨 대표

‘BCP동향 및 적용사례’를 주제로 최창범 삼일회계법인 이사의 발표가 진행됐다. 최 이사는 BCP, BIA, BCM 적용 국내 사례에 대해 설명했다. 최근 신종플루나 A형간염의 유행, 국제 금융시장 붕괴, 자연재해로 인한 피해, 기술적 위험·IT사고발생 등의 내·외부적 요인에 의한 사고 발생 증가로 기업의 핵심 비즈니스 중단의 위협이 증대되고 있다.

가트너그룹, 월스트리트저널 등의 통계자료를 근거로 최창범 이사는 “재난·재해로 인해 기업의 업무가 5일 이상 중단됐을 경우 기업의 파산확률은 매우 높아진다”며 “기업은 발생빈도는 낮으나 업무중단에의 영향이 크며 경제 전반적으로 위협이 될 수 있는 재난·재해의 위험에 대비해 BCP체계를 구축해야한다”고 강조했다. 최근에는 지속가능경영, 전사위험관리(ERM, Enterprise Risk Management), 규제 등 다양한 목적과 연계돼 BCP를 수립하고 있다.

다우존스(Dow Jones)에서는 매년 지속가능경영관련 지수를 발표하며 경제부문의 평가에 BCP체계 구축 관련 항목이 포함돼 있으며, 지속가능경영을 위한 기업들에 의한 BCP체계 구축이 증가하고 있다. 세계적인 신용평가 기관인 S&P에서는 2009년부터 ERM체계를 기업 신용평가 시 적용키로 했으며, BCP를 평가항목에 편입시켜 향후 BCP 구축에 대한 수요가 늘어날 것으로 예측된다. 금융권에서는 바젤위원회 및 금융감독원에서 금융기관을 대상으로 BCP체계를 구축할 것을 규제화하고 있으며 최근 신종 인플루엔자에 대비한 BCP수립을 지시했다고 밝혔다. 홍광위 엘림티엔씨 대표는 ‘BCDR전개와 운용’에 대해 발표 했다.

홍광위 대표는 위기관리의 개념과 모델, 리스크 분류와 정의, BCDR의 관리, BCDR적용 사례에 대해 설명했다. 홍 대표는 “국내 기관, 회사 대부분 BCP 책자는 중역들이나 부장급 책장 속에 보관돼 있다”며 “책장 속 BCP는 안하는 것이 낫다”고 말했다. 그는 또 “오히려 혼돈을 주고 그나마 할 수 있는 것도 못하게 한다”며 “BCP는 비상시에 사용하는 것이 아니고 24시간 365일 체제로 전환해 언제어디서든 누구나 사용가능한 BCP가 되게 해야 한다”고 강조했다.

BC와 DR은 24시간 365일 BCP운영 솔루션에 적용해서 하나로 관리해야한다. BC계획 유지관리, BC문서 관리/출력, 비상상황 지휘통제/모니터링, 재난대응/업무복구/모의훈련을 하나로 융합해서 효과적으로 활용해야한다. 홍 대표는 “비상계획 내역을 출력해서 매뉴얼로 보관해야 한다”며 “문서로 돼 있지 않은 기업도 많아 문제”라고 말했다. 그는 또 “모의훈련은 연속성계획을 세우는데 있어서 가장 중요한 것”이라며 “정부나 기업들은 실질적인 모의훈련을 ‘한 것으로 하자’하고 그냥 넘어가는 경우가 많아 문제”라고 말했다.

“민간, 위기관리임원제도 적극 운영해야”
안철현 인천대학교 겸임교수(전 NSC사무처 국장)는 ‘우리나라 공공부문의 위기관리’에 대해 발표했다. 안 교수는 우리나라의 주요 위기사례와 정부와 공기업의 위기관리 체계, 발전과정, 발전과제 등을 설명했다. 이중 공공부문 위기관리의 발전과제를 발표하며 안철현 교수는 “상시 가동되는 전사관리시스템에 의한 체계적 위기관리가 필요하다”며 “BCP, BCM 개념의 적용을 강화할 필요성이 있다”고 말했다.

	사진1. 안철현 인천대학교 겸임교수(전 NSC사무처 국장) 사진2. 기용성 LIG엔설팅 선임컨설턴트

안 교수는 또 “민관위기관리 거버넌스 구조의 정착과 자발적 참여를 확대해야 한다”며 “위기관리담당관제도의 활성화와 지속적인 직무능력 향상이 필요하다”고 강조했다. 그는 특히 “실질적인 훈련을 실시하는 것도 중요하다”고 말했다. 이어 안 교수는 공공부문이 민간부문에 주는 시사점을 설명했다. 먼저 조직 관련 리스크·위기요인을 사전에 식별할 수 있는 관리 타겟의 명확화를 강조했다. 안철현 교수는 “우리 조직이 가지고 있고 관리해야할 위기유형을 위기관리 담당자뿐만 아니라 모든 직원이 알고 있어야한다”며 “관세청은 사내업무전산망에 채널을 만들어 직원들로 하여금 청이 관리해야할 위기유형과 위기징후를 쉽게 파악할 수 있게 만들어 놨다”고 말했다.

안 교수는 또 “공기업의 위기관리담당관제도처럼 위기관리임원제도(CRO, Chief Risk Officer)를 운영해 유형별 관리조직 체제의 구축해야 한다”며 “리스크·위기요인의 상시모니터링시스템 구축·운영도 필요하다”고 말했다. 그는 특히 “외부와 견고한 협력 거버넌스를 구축해 함께하는 리스크·위기관리 필요하다”며 “위기관리의 매뉴얼화와 실제훈련을 실시하는 것도 굉장히 중요하다”고 강조했다. 안철현 교수는 “긍정과 부정의 통합·균형적 시각이 필요하다”며 “기업에서 경영이나 마케팅, 프로젝트(긍정)등을 진행하는데 있어서 발생할 수 있는 리스크(부정)를 동시에 도표로 만들어놓고 관리하는 인식이 위기관리”라고 말했다.

마지막으로 기용선 LIG엔설팅 선임컨설턴트가 ‘금융결제원(이하 금결원) BS25999인증 획득 사례’를 발표했다. 재난포커스의 지난 7월호(107쪽 참고)에도 ‘케이스스터디(Case Study)’로 소개된 바 있다. 금결원의 BS25999인증을 획득하기까지 사업추진내용을 중심으로 발표했다. 기용선 선임컨설턴트는 “금결원은 폰뱅킹으로 하루에 이루어지는 거래건수가 약 700만건으로 금액이 20조원정도이고 어음은 300만건으로 19조원에 달하는 거래가 이뤄진다”며 “이런 금결원의 업무가 마비됐을 때 일어날 피해는 엄청나다”고 강조했다.

금결원에서 기존에 사용하고 있던 IT BCP에 대한 고도화를 위해 감리와 개선을 수행하고 이를 통해 BCP관련 영국표준인 BS25999에 대한 인증취득으로 연계시켰다. 기용선 선임컨설턴트는 “이 사업으로 대내적으로 BCP의 역량증진과 BCP인식환산의 계기가 마련됐다”며 “대외적으로는 타 기관들에게 모범사례로 자리매김했다”고 말했다. 그는 또 “객관적이고 공정한 현황진단과 BS심사기준에 적합한 BCM 이행 확보, 전 임직원의 BCM의 중요성과 가치에 대한 인식수준을 확보하게 됐다”고 말했다.