금융위기로 인한 극심한 글로벌 경제의 불확실성으로 인해, 단 며칠 만에 기업 주가가 폭락하고 신용등급이 급락하는 등 기업의 가치가 극적으로 떨어지는 상황은 예전에 비해서는 그리 놀랄만한 일도 아니다. 글로벌 회계컨설팅회사인 딜로이트 & 투시(Deloitte Research USA, Disarming the Value Killers: A Risk Management Study(New York: Deloitte Development LLC. 2005))는 1994년부터 2003년까지 엄청난 주가 폭락을 겪은 100개 회사를 대상으로 공시, 분석보고서, 신문기사 등을 분석하여 가치손실의 원인이 되는 사건을 분석하였다. 그리고 이를 COSO(Committee Of Sponsoring Organization)가 개발한 리스크관리 프레임워크를 적용하여 그것을 크게 아래와 같이 네 가지로 분류했다.

ㆍ전략리스크: 수요부족, 경쟁자 동향파악실패, 합병실행의 문제 등 
ㆍ운영리스크: 초과비용, 내부통제 실패로 인한 회계 문제, 공급망 부재 등 
ㆍ재무리스크: 높은 부채, 금리 상승관리에 부족한 예비금, 미숙한 재무운영, 무역손실 등 
ㆍ외부리스크: 산업위기, 국가 고유의 정치/경제 문제, 테러, 공중보건 위험 등

기업은 가치를 저해하는 다양한 잠재적인 요소들과 광범위하게 마주친다. 앞의 조사결과에서도 들어났지만 더욱 복잡한 문제를 야기하는 주가급락과 같은 사건은 위험요소가 두 가지 이상 결합하면서, 손해가 단계적으로 발생한 결과였다. 연구에 따르면, 심각한 피해를 입은 100개 회사 중 80% 이상이 한 가지 이상의 위험요소를 경험했다. 발생확률은 적어도, 충격이 큰 사건 역시 주요 역할을 했다고 한다. 과거가 반드시 미래를 예상할 수 있게 하는 것은 아니지만, 기업은 기업가치를 저해하는 요소를 파악함으로써 갑작스러운 충격에 최대한 버틸 수 있는 방법을 터득할 수 있다. 다음의 리스크관리에 기초가 되는 6가지 습관을 통해 리스크를 최소화 하고 비즈니스 리질리언스를 확보할 수 있는 방법을 고민해 보자.

첫번째 습관, 통합적 리스크 관리를 촉진시키기
(Fostering a Holistic and Integrated Risk Management Culture)
먼저 중대한 상호의존적인 위험들을 관리하고 식별하는 것이 필요하다. 보안(security)에서든, 물리적이든, 가치의 측면에서든 가장 심각한 손실을 경험한 기업들의 80퍼센트는 두 가지 이상의 위험요소에 노출되어 있다고 한다. 위험의 상호관계를 파악하고 관리하는 데 실패하면 대체로 새로운 문제를 야기하고, 예기치 못한 위험으로 인해 작은 사건이 급격히 커져서 기업과 업계를 위협할 수 있다. 그리고 윤리적 행동, 법규준수, 품질관리, 광범위한 리스크관리의 중요성을 강조하는 문화를 만들어야 한다.

직원관리, 정확한 규정, 산업고유 리스크관리는 올바른 리스크 문화를 계발하는 데 유용할 것이다. 여기서 리스크 문화를 계발하는 것은 두려움과 불안함으로 주목 받으라는 뜻이 아니다. 오히려, 이상적인 리스크 문화는 기업정신과 혁신을 고취시키는 균형을 유지하면서 승인된 절차에 따른 이행의무로 특징지을 수 있다. 효과적인 리스크관리 문화를 계발하고 통솔력을 적절히 키우는 결정적인 요소는 일정한 기준을 정하는 것이다. 회계, 내부통제, 보안, 인적자원 등 어떤 분야든 기준이 있어야 리스크관리를 실행하고 성과를 측정하고 조정하는 데 분명한 목표를 정할 수 있다.

서로 협의된 기준이 없다면, 기업 안팎에서 오해의 여지가 생기고 리스크 문화의 실패가 늘어나게 된다. 또한 아무리 강조해도 지나치지 않는, 발생빈도는 낮아도 충격이 강한 리스크에 대비해 사전대책을 세워야 한다. 가치나 자본 면에서 발생하는 가장 큰 손실은 시스템오류, 재무위험, 테러공격 등 이례적인 사건 때문에 일어난다. 중요한 것 한가지 더, 기업은 최고 경영진과 이사회가 재무적 영향과 관련된 위험과 통제의 원인과 해결책을 정확하게 거의 실시간으로 통보 받게 하기 위해, 내부정보와 커뮤니케이션 시스템을 개선해야 한다. 이 부분은 장기 지속가능성(Sustainability)과 직결되는 다양한 비재무적 정보를 관리하고 기록하는 기업의 능력으로 귀결된다.

두번째 습관, 상상할 수 없는 것을 상상하기
(Imaging the Unimaginable)

	‘딜로이트’와 ‘이코노미스트’가 분석, 발표한 ‘인 더 다크 Ⅱ - 이사회와 임원이 ‘아직도’ 모르고 있는 기업의 건강상태를 진단한다’ (2007) 보고서

잠재적인 재앙의 충격을 가져다 줄 사건은 절대 일어날 것 같지 않지만 그럼에도 기업의 위험상태를 평가하는 관리자들은 가장 가능성 높은 리스크에 집중한다. VaR(value-at-risk) 같은 확률모형은 정해진 사건의 가능성과 충격을 기초로 한다. 이 모형은 한 쪽으로 치우치는 경향이 있는데, 발생가능성이 낮지만 치명적일 수도 있는 사건은 간과하고, 빈번한 위험에 초점을 맞추기 때문이다. 예를 들면 최근 유가상승과 9/11은 일부 준비하지 못한 사업에 큰 충격을 준 사건이었다.

이러한 사건은 확률모형 안에서 제대로 인식되지 않고, 위험을 파악할 수 있는 정보도 적절하지 않다. ‘유례없는 사건(rare events)’(쓰나미에서 테러에 이르기까지)은 예방할 방법이 없다 하더라도, 기업은 경영 및 자본구조를 그러한 상황에 맞춰서 조정해야 한다. 스트레스 테스트(stress test)와 시나리오계획은 위험모형에서 전형적으로 누락되는 사건들이 초래할 잠재적인 충격을 이해하는 데 도움이 된다. 예를 들어 ‘스트레스 테스트’는 기업이 통계모형을 개발하지 않은 상황에서 특정 시나리오나 사건에 버티는 능력을 시험한다.

스트레스 테스트는 VaR 모형의 결정적인 부가요소로 작용하는데, 이로써 경영진은 '최악의 상황'에 대한 답을 찾기 때문이다. 스트레스테스트 시나리오는 어떤 상황에서 역사적인 기초가 되기도 한다. 이 시나리오에서 기업은 과거 위험에서 찾은 시장의 흐름을 시뮬레이션한다. 역사적 분석의 시나리오는 시장간의 모든 관계를 단번에 드러나게 하여 유용하다. 하지만 과거의 시장흐름이 똑같이 반복되지는 않는다. 그래서 은행 등 금융회사들은 다각도로 시나리오를 고려하여 포트폴리오와 반응을 스트레스 테스트한다.

세번째 습관, 비즈니스연속성계획 수립하기
(Business Continuity Planning)
비즈니스연속성계획(BCP, Business Continuity Planning)이라는 개념은 9/11, 컴퓨터 바이러스의 확산, 허리케인에서 해일에 이르는 자연 재해 발생 등 여러 위험 때문에 더욱 뚜렷이 부각되었다. 엄청난 붕괴가 온 후에 계속 사업기능을 유지하는 능력은 오늘날 모든 기업들이 갖춰야 할 필수적인 요소들이다. 업무가 잠깐이라도 끊기면 곧 시장에서 뒤처지고 자칫 영원히 회복하지 못할 수도 있기 때문이다. 실제로 기업은 ERM(Enterprise Risk Management, 전사적 리스크 관리)과 BCP의 중요성을 인정한다. 하지만 이 용어에 대한 정의는 제각각 다르다. 그렇지만 ERM과 BCP 개념이 생긴 지는 적어도 십 년이 넘었으며, 9/11이후 새로운 의미, 중요성, 복합성을 얻었다는 점만은 분명하다.

네번째 습관, 리스크 통찰력을 기르기
(The Path to Risk Intelligence)
ERM을 일부라도 실시하는 기업은 많지만 실제로 리스크관리에 뛰어난 기업은 극소수에 지나지 않는다. 그런 기업에는 다음과 같은 주요 공통점이 있다.

ㆍ기업기반과 지리적 경계를 초월하여 전체를 다루는 리스크관리 경험
ㆍ구체적인 산업, 법규준수, 경쟁, 환경, 보안, 프라이버시, 비즈니스연속성, 전략, 보고, 운영 등 위험의 전체 범위를 다루는 전략 
ㆍ취약한 부분에 중점을 둬서 평균적인 가능성을 증대시키는 과정 
ㆍ단일사건뿐 아니라 위험 시나리오 및 복합적 위험관계의 상호작용을 다루는 접근 
ㆍ사후처리보다 위험을 인식하는 과정에서 전략 및 의사결정을 기업문화에 불어넣는 방법론 
ㆍ위험을 기피대상으로뿐만 아니라 가치창조를 위한 수단으로 보는 철학

다섯번째 습관, 윤리적 행동에 뿌리를 둔 문화 형성하기
(A Culture Rooted in Ethical Behavior)
기업이 윤리적 기업문화와 효과적 통제구조를 확립하지 않으면, 이익산출이나 비용삭감을 위한 공격적인 경영전략은 직원들에게 기만적이며 부적절한 활동을 하도록 부추길 수 있다. 이런 일로 회사는 운영위험과 재무위험의 노출이 늘어날 수 있으며, 이는 브랜드에 심각한 피해를 줄 수 있다. 지난 십년 간 유력한 기업들이 시장가치를 상당하게 잃은 까닭은, 관대한 기업 문화와 느슨한 통제시스템 때문이다. 기업은 수입, 지출, 특별비축금액 등을 허위로 작성해서 기만적인 회계전략을 다양하게 활용해왔다.

최악의 경우, 기업 임원들이 회사자금을 사적인 용도로 공공연하게 횡령했으며, 내부거래로 이득을 얻거나, 잘못된 정보를 공시하여 대중을 속이기도 했다. 통제시스템과 절차를 개선하기 위한 몇몇 구조적인 변화는 이제 법으로 정해지기도 한다. 예를 들어, 미국에는 상장기업의 공시를 증가시키고, 기업의 통제환경을 개선하기 위한 사베인즈-옥슬리(SOX, Sarbanes-Oxley) 법이 제정되었다. 미국 증권거래 위원회(SEC)와, 뉴욕증권거래소(NYSE) 역시 새로운 거버넌스와 상장요건을 공표했다.

투자가와 대중매체가 리스크관리에 많은 관심을 보일수록, 기만적이고 비윤리적인 사업관행과 사기로부터 많은 기업을 보호하기 위한 리스크관리 및 모니터링시스템은 향상되었다. 잠재적인 문화위험을 인식하는 첫 단계는 현재 윤리와 문화 환경을 평가하는 것이다. 이것은 관리자와 일반 직원을 모두 대상으로 하는 비공개 조사를 통해 평가할 수 있다. 그러한 조사는 조직 내 지위와 상관없이 의견을 비교할 기회를 준다. 기업 경영진에 재무보고와 공시 외에도 사베인즈-옥슬리 법에 의해 요구되는 내부 통제에 관한 분기보고서, 연례보고서를 통해, 경영진은 사기행위를 줄이는 조치를 취해야 한다.

윤리적 행동문화를 육성하는 것을 넘어서, 기업은 품행기준, 윤리교육, 권고방침, 그리고 익명으로 사기행위를 보고할 권리 등 규범을 문서화한 윤리 프로그램을 수행해야 한다. 게다가 잠정적인 사기유형을 모델화한 사기감지 프로그램과, 문제를 식별하기 위한 현장감독은 포괄적 프로그램을 위한 필수요소다. 이런 과정은 사기 관련 보고를 증가시키며, 그들의 비용이 통제 밖으로 새나가기 전에 더욱 리스크 관리를 잘 할 수 있도록 도와준다.

여섯번째 습관, 시의적 정보 확보하기
(Timely Information)
리스크관리 실패는 경영진 및 이사회가 원인, 재무적 충격, 문제해결책에 대한 시의 적절한 정보를 충분히 갖추지 못해서 나타난다. 이는 조직의 지배구조(governance)와 경영진들에게 좋기 않게 반영되고, 사퇴하는 등 좋지 못한 결과로 이어진다. 이런 상황에서 투자자들이 이전에는 미처 몰랐던 문제의 심각성에 대해 갑자기 충격을 받으면서 주가는 폭락한다. 미국의 공공기업의 CEO, CFO들은 사베인즈-옥슬리 법에 따르는 재무정보의 정확성을 입증했고, 일부 기업은 경영에 오늘날 투명성을 더욱 눈에 띄게 하기 위해서 정보시스템을 개선했다.

하지만 이렇게 늘어난 정보를 이사회에 반드시 유용한 정보로 바꿔서 보여주지 않는다. 이사회는 회의 직전에 관리자들이 올리는 정보를 한꺼번에 받는다. 이사회의 업무가 불확실하고, 요구가 지나친 환경에서 복잡한 거버넌스 업무에 직면할 때, 기업은 이사회와 경영진들의 부담을 덜어 줄 수 있는 방식으로 새롭게 정보를 모으고 분석하고 제시해야 할 것이다. 이사회는 경영진의 결단(management initiatives), 성과, 기업운영을 독립적으로 감독하고 평가할 수 있는 정보시스템과 담당직원에 대해 투자하라는 요구를 할 수 있다.

CEO와 이사회는 다음과 같은 점에 주의해야 한다. 기업을 성공적으로 이끌어가기 위한 이러한 책임은 기업의 재무제표에 직접적인 영향을 미치는 요소뿐 아니라, 기업성공과 위험에 관련한 모든 지표에 의지해야 한다. 하지만 ‘딜로이트’와 ‘이코노미스트’가 분석, 발표한 ‘인 더 다크 II - 이사회와 임원이 ‘아직도’ 모르고 있는 기업의 건강상태를 진단한다’(In the Dark II: What Boards and Executives STILL Don't Know about the Health of Their Business(2007)) 보고서에서는 현실적인 괴리가 있음을 보여준다.

(http://www.deloitte.com/dtt/research/0,1015,cid%253D152250,00.html 참고) 위의 보고서 조사에 따르면, 이사회는 기업이 공시해야 할 단기재무결과에 예민한 반면 성공과 리스크관리를 다룬 주요지표에 대한 정보에는 이상할 정도로 둔감한 것처럼 심각한 단절이 있다고 한다. 보고서에 따르면 응답자의 86%는 자사가 일반적으로 지난 성과에 대한 후행지표를 나타내는 재무적 결과에 좋은 평점을 주었다고 말했다. 그런데 고객만족, 상품과 서비스의 질, 경영업무, 직원임무 등 미래성과에 대한 선행지표인 비재무적 요소를 감독하는 능력과 리스크관리에 대해서는 단 34%만이 좋은 평점을 주었다고 답했다.

위험을 예측하고 관리하는 것은 지속가능성을 보증하는 것과 밀접한 관계를 가지고 있다. 성공과 위험지표들을 효과적으로 예측하고 관리하기 위해서는 위원회, 관리자, 주주의 통솔력 필요하다. 그러므로 조직은 전략, 경영, 가버넌스, 의사 결정 방법 등을 지속적으로, 효과적으로 적응하고 조정해야 한다. 그래야 변화하는 위험을 미리 찾아내고 재빨리 대처할 수 있으며 사업유지에 중요한 부분을 보호할 수 있다. 위원회와 CEO가 기업전반에 걸친 위험 단계에서 시기를 놓치지 않고 적절히 대처할 수 있는 어느 정도 투명한 통제절차를 가진 새로운 구조가 필요하다.

많은 세계 유수의 기업이 지난 십 년 이상 시장 가치에서 엄청난 손해를 보았다. 이런 피해는 대부분 정확히 예견하지 못하고, 대비책을 만들지 못하고, 다양한 위험을 관리하지 못해서 생긴 것이다. 오늘날 리스크 관리는 CEO와 규제권한을 가진 이사회에게 매우 중요한 문제이며, 새로운 공시는 기업의 리스크 관리에 대한 더욱 명백한 정보를 요구하는 상장요건으로 바뀌게 된다. 가치를 보존하고 통합적이고 조직적인 리스크 관리를 하기 위해서는 기존의 리스크관리보다 한 차원 높아야 할 것이며, 경영진은 습관처럼 앞에서 강조한 여섯가지 내용을 기업운영에 접목해야 할 것이다.