BCP 컬럼
21세기로 접어들면서 기상이변의 영향이 건물과 조직의 자원 활용과 같은 고정자산은 물론 전반적인 비즈니스 프로세스에 심각한 영향을 준다는 인식이 점점 더 확대되고 있다. 그럼에도 불구하고 상대적으로 아주 극소수의 비즈니스 커뮤니티만이 이러한 자연재난에 대비하고 있는 실정이다. 그런 상황에서 기상이변과 밀접한 관련이 있는 대부분의 국내비즈니스커뮤니티는 기상이변의 영향에 대해 크게 주의를 기울이지 않고 있다. 본고에서는 경영의 연속적인 계획방안인 BCP를 활용하여 기업이 기상이변의 위험에 노출되었을 경우, 그 위험에 대응하고 적응할 수 있는 방안을 제시해준다. 이 연구는 특히, 기상이변이 발생하였을 경우, 기업에 심각한 영향을 줄 수 있는 잠재적인 위험들과 그러한 위험들을 경감시키기 위해 기업이 실행해야 할 중요한 액션들에 대해 초점을 맞추고 있다. 이 논문은 비즈니스 전반의 업무프로세스에서 발생 가능한 위기에 대하여 예방과 대비 및 대응과 복구단계별로 기본적인 재난관리의 Frame work를 제시하였다.
<위기관리경영 - 김영이: 서울디지털대학교 경영학부 교수 (제1저자), 신언명: 서울디지털대학교 경영학부 교수 (교신저자)>

지난호에 이어

Risk Management
Risk Management란 조직에 존재하는 여러 가지 위험 요소를 사전에 관리하고 위험이 발생할 확률을 최소화하는 예방적인 정책과 행동, 평가, 선정 및 구현하는 프로세스로 상시적인 위험 요소를 관리하는 것을 의미하고 위기요소에 취약한 업무에 대해 할 수 있는 관리에 초점을 둔다. 위기관리는 순차적인 순서에 의해 수행하는데 첫째, 위험평가와 비즈니스 영향력 분석에서 위기도출하며 둘째, 이 위기에 대하여 가능한 대안과 대안들 사이에 비용/이익의 상쇄작용을 분석하고 셋째, 최적 대안의 선택과 넷째, 최적 대안의 잠재적인 영향력을 분석한다. 이러한 위험관리의 목적은 위험발생확률을 낮추고 또한 피해도 감소시키며, 위험민감성이 저하될 때까지 관리하기 위한 것이다.

1) 위험관리 프로세스 단계
1단계: 조직에 관련된 위험을 발견, 지정하는 작업이다. 위험발견(위험요인:Hazards)이란 위기유형인 자연, 인간, 기술 혹은 기업의 관점에서 보는 위험에 대한 재해들을 참고로 위험이 조직에 어떤 결과를 발생하는가를 자연재해, 인적 재난, 기술재해 등에 따라 정리한다. 위험지정은 위험발견에서 나온 위험목록 중 조직에 중대한 영향을 미치는 가능성이 있는 위험과 중대한 영향을 미칠지 아닐지 판별할 수 없는 위험을 선별하는 것을 의미한다.
2단계: 지정된 위험들이 조직에 어느 정도 의미가 있는지 명확히 규명하는 작업으로 위험평가에서 위험매트릭스와 BIA에서 다룬 비즈니스 프로세스에 영향을 미치는 위기분류를 참조하여 위험의 우선순위가 도출되어 관리대상이 되는 위험을 분류한다.

3단계: 선택할 수 있는 대안을 개발하는 작업으로 위험평가에서 위험지정과 사고의 경과분석을 바탕으로 예방대책, 위험완화대책, 위험발생 후 긴급 대응대책에 대한 대안을 전문가의 도움이나 위기관리 팀의 브레인스토밍 방식을 통하여 개발한다.
4단계: 개발된 대안들 중 최적의 대안을 선택하는 작업으로 대안을 평가하여 등급을 부여하는 의사결정모델을 이용하여 최적의 대안을 선택하고 이 대안을 실현하기 위한 예산계획을 하며 의사결정모델로는 비용이익분석(cost-benefit analysis)모델과 분석계층과정(analytical hierarchy process)모델이 있다.
비용이익분석(CBA: cost-benefit analysis)모델은 일정기간에 수행하는 활동 혹은 프로젝트 비용과 화폐로 표현되는 이익을 비교하며 평가하는 기법이다

2) 위험관리의 국제표준

3) ERM
ERM은 기업이 직면한 다양한 위험들을 전사적인 시각에서 통합하여 하나의 위험Portfolio로 인식하고 관리하는 새로운 위험관리방식으로 정의된다. COSO(The Committee of Sponsoring Organization of the Trade way Commission)에서는 ERM을 전사 차원에서 기업에 영향을 미칠 수 있는 잠재적인 위험 및 사건 등을 파악, 관리하며 기업의 목적을 달성하기 위해 대응방안을 강구하는 것으로 정의하고 있다.

4) COSO ERM Framework
불확실성에 따른 기회와 위험을 효과적으로 관리하고 궁극적으로 기업가치를 증대시키기 위해서 COSO는 8가지 요소들로 구성된 ERM Framework을 제시하였다.
①내부환경, 관리환경
구성원들의 위험인지 및 대응방식에 영향을 주는 조직 내의 분위기 및 제도 등을 의미한다. 위험성향을 정의하고 수용 가능한 수준을 결정하기 위해서는 다음과 같은 사항을 고려해야 한다.
리스크 관리철학
리스크 성향
리스크 문화조직문화

②목표설정
기업 비전을 추구하기 위한 고차원적인 전략 목표 및 세부 관련 목표들을 설정하는 것을 의미한다.
③위험요인 인식
위험요인을 발생시킬 수 있는 대/내외적인 요인들을 체계적으로 파악하는 것을 의미하며 위험분류의 종류는 다음과 같다.위험발견(위험요인:Hazards): 위기유형인 자연, 인간, 기술 혹은 기업의 관점에서 보는 위험에 대한 재해들을 참고로 위험이 조직에 어떤 결과를 발생하는가를 자연재해, 인적 재난, 기술재해 등으로 정리한다.
위험지정: 위험발견에서 나온 위험목록중 조직에 중대한 영향을 미칠 가능성이 있는 위험과 중대한 영향을 미칠지 아닐지 판별 할 수 없는 위험을 선별하는 것을 의미한다.

④위험평가
위험평가는 잠재적인 위험이 기업의 목표달성에 어느 정도 영향을 미치게 될 것인가를 예상하는 과정으로 기업에 항시 존재하는 고유리스크와 경영자가 리스크에 대응하여 남아있는 잔존 리스크의 두가지 평가로 이루어진다. 위험평가에 대한 기법으로는 위험산정과 평가의 절차를 걸치게 된다.
위험산정: 이는 위험평가의 단서가 되며 산정은 사태 발생확률과 사태발생 경우 영향의 크기로 나누어서 정량적 정성적으로 계산 ⇒ Event-Tree분석, 시나리오분석, 위험크기를 분석할 때 이용하는 시뮬레이션, 위험등급을 매길 때 이용하는 위험 매트릭스. ⇒ 지정된 위험에 대한 피해정도와 일어나기 쉬운 정도를 정량적 또는 정성적인 지표로 합리적으로 설명하는 것이다.

정량적 위험산정 즉, 위험발생시 정량적으로 손실액을 추정하는 모델로 활동기준원가(Activity Based Cost: ABC)계산에 의한 업무프로세스 별 손실액에 따른 손실액 추정⇒ ABC계산은 기업 내에서 수행하는 활동을 기준으로 자원과 활동, 활동과 원가의 소모관계를 상호간의 인과관계에 근거하여 자원, 활동, 원가대상의 원가(Cost)와 성과를 측정하는 기법; 자원분석→활동및 자원 동인분석→ 활동원가계산의 순서로 한다.

위험평가: 위험의 기준에 기초해서 위험들을 정성적 또는 정량적인 방법으로 평가하여 발생확률과 영향의 크기가 높은 그룹에 좌표(plot)되는 위험을 관리하기 위해 선정하는 것, 즉 위험 평가란 시스템에 존재하는 잠재적 위험을 찾아내고 위험발생확률에 영향크기 관점에서 이들에 대한 등급을 부여하는 것이다. ⇒ 위험기준을 위한 정성적인 대표적인 방법은 일본위험관리시스템표준인 JIS Q2001 즉, 리스크매트리스 접근법이 있다.

위험기준은 발생의 명확성과 영향의 크기이며, 기준설정은 각 Rank에 대한 설명을 의미한다. 각 블록(A, B, C and D)은 같은 정도의 위험이고 아래도표는 위험블록의 그룹핑을 나타낸다. ⇒ 매트릭스의 블록은 Risk Level을 의미. 화살표가 있는 방향에서만 직접 비교가 가능하고, 화살표시한 방향은 위험이 증가하는 방향이고 화살표가 연결되지 않은 블록의 비교는 가능하지 않다.

평가방법론

Ⅳ기업의 BCP 활용방안
BCP적인 관점에서 기업의 기상이변을 관리하는 방안은 다음의 3단계과정을 통해 진행된다.
1단계: 계회 수립 사전단계
- 프로젝트 관리단계( PI : Project Initiation & Management )
- 위험평가와 통제단계( RA : Risk Assessment & Control )
- 업무영향분석단계 (BIA : Business Impact Analysis)
2단계: 계획수립 단계
- 업무연속성 확보전략개발
- 비상대응과 운영
- 업무연속성 확보계획의 개발 및 구현
3단계: 계획수립 사후단계
- 교육 및 훈련
- 유지보수 및 모의훈련
- 위기커뮤니케이션과 홍보
- 공공기관과의 협력
본고에서는 기업의 BCP 활용방안으로서 기상이변 발생시 대응과 복구에 해당하는 2단계와 3단계의 방안을 생략하고 예방과 대비에 초점을 맞추는 계획수립 전단계를 중심으로 설명하도록 한다.

1. 프로젝트 관리단계
이 단계에서는 기상이변 리스크를 아래와 같은 업무연속성확보계획 수립모델을 통하여 해결한다.

프로젝트 개시단계
기능적 요구사항 분석단계
설계 및 개발단계
이행단계
테스트 및 교육단계
유지관리단계
실행단계

프로젝트 개시단계는 계획수립단계에서 기상이변 리스크를 극복하기 위해 달성할 수 있는 고정된 목적 및 목표를 수립하고 그러한 목적 및 목표를 달성하기 위한 계획과 절차를 수립하며 그에 따른 책임과 임무를 할당한다. 다음으로 정의단계에서는 기상이변으로 인한 리스크를 해결하기 위해 업무영향분석과 업무연속성 계획에 대한 정의와 전제상황에 대한 정의를 설정한다.

2. 위험평가와 통제단계
기상이변의 리스크에 대한 평가는 정성적 평가와 정량적 평가를 통해 실시하는데 먼저 정성적 평가는 ▲손실을 발생시킨 사고 또는 환경의 영향과 특성을 기술하고 ▲위협과 리스크 간의 인과관계와 취약성을 규명, 설명하며 ▲주관적이고 ▲재난으로 인한 간접적 금액 손실로 연결된다.
그에 비해하여 정량적 평가는 ▲금전적 평가를 하며 ▲특별한 영향, 사고, 환경 등의 비용을 규명하고 ▲연간예상손실 평가 ALE (Annualized Loss Exposure or Expectancy)하며 ▲객관적이고 ▲재난으로 인한 직접적 금액 손실을 평가한다.정성적 평가방법 중 가장 보편적으로 널리 활용되는 접근법은 발생가능성(발생 명확성)축과 영향의 크기 축으로 리스크를 규명하는 것으로 리스크 수준 = 발생가능성(명확성)x영향의 크기로 나타내며 주로 3x3, 4x4, 5x5매트릭스를 이용, 상황에 따라 다르게 적용하는 것이 가능하다.

3. 업무영향분석단계 BIA
기상이변으로 인한 위험평가에서 도출된 가장 위험한 요소(Hazard)가 현재 운영업무에 얼마만큼의 영향을 주는가를 의미하며 업무중지가 비즈니스에 어떻게 영향을 미치는 가를 이해한다는 것은 조직의 자산보호와 위험관리를 하는데 핵심이면서 비즈니스상시운영을 위한 전략을 개발하고 계획을 세우는 기초가 된다.
1) BIA 기능
기상이변으로 인한 비즈니스위기를 관리하기 위해 해결책을 제시하고, 전략을 도출해 내며 업무의 우선순위를 도출한다.
●전사적 BCP 또는 위험완화를 위한 전략(예방)수립.
●경영층에 잠재적인 영향력에 대한 자료제공.
●비즈니스의 초점이 되는 이슈분석. 기상이변 시 업무우선순위 등급
●비즈니스상시운영계획을 위한 시나리오개발을 위한 기초

2) BIA 수행단계
1단계: 기상이변으로 인한 비즈니스위기에 따른 영향력을 측정할 대상이 되는 비즈니스 프로세스를 찾는다.
●프로세스는 기능으로부터 분해하면서 발견됨으로 먼저 최상위 Level의 업무기능을 정의한다. ⇒ 최상위 Level의 업무기능은 조직 내에 주요한 관심분야를 다루는 Activity들을 크게 그룹핑한 것이고 프로세스도 Activity들을 그룹핑한 것이지만, 기능보다 하위 Level에서 나타난다. 따라서 기능을 계속 분해하면 마침내 프로세스가된다. ⇒ 기능이란 영업, 제조, 판매, 운송 등을 뜻하며, 프로세스란 제품추가, 잔고계산, 고객전화 등을 의미한다. 이는 다시 상세한 Lowest Level function으로 분해 그리고 이 기능은 다시 Top Level process로 나누어지고 이 프로세스는 Lowest Level process로 세분화된다.
●프로세스를 어디까지 분해할 것인가는 의사결정사항인데 비즈니스 상시운영을 위한 프로세스분석 목적은 중요프로세스를 발견하는데 있다.
2단계: 비즈니스와 관련이 있는 위기를 발견하고 지정한다.
이때 위기유형에 대한 정의가 필요하며 조직환경에 따른 잠재적인 위기들을 세분화하고 표명한다.
3단계: 비즈니스 프로세스 중단 확률을 산정한다.
●이 단계의 실행을 위해서 실무자에 대한 설문이 중요하다.
●설문의 목적: 비즈니스프로세스 중단확률을 밝혀내는 것이고 이를 통하여 비즈니스 중단에 대한 정보를 수집한다 ⇒ Likert 형태의 크기에 따라서 각 비즈니스 프로세스 운영에 관한 위기영향력을 체크한다.
4단계: 프로세스 중단에 의한 비즈니스 영향력을 측정한다.
●이 단계 역시 설문이 필요한데 설문은 첫 번째 설문조사 결과를 이용하여 작성한다.
●이 설문의 목적: 업무운영을 정지시키는 위기로 인하여 비즈니스 프로세스들의 재무적인 측면에서 영향력을 측정하는 것이다. ⇒ 재무적 영향력의 유형
●직접적인 재무영향: 고용력상실과 함께 직접적으로지속적인 피해를 유발하는비즈니스 프로세스 상실
●간접적인 재무영향: 다른 프로세스와 상호관련성으로 인하여 야기된 손실
●외부 이해관계자에 따른재무영향: 이해관계자와 관련된 프로세스중단으로 야기된 손실

3) 전략적 계획

Ⅴ 결론
대부분의 국가들이 개발도상국가에서 산업국가로 탈바꿈 하는 과정을 거치면서 발생한 경제발전은 물질적 생활수준 향상이라는 꿀물만을 가져다준 것이 아니라 부의편중과 자연훼손이라는 심각한 부작용도 함께 제공하였다. 그런 부작용 중의 하나가 바로 지구온난화가 촉발시킨 기상이변이라 할 수 있다. 지구온난화는 산업화를 통해 얻게 된 발전과 성장의 부산물이라 할 수 있는 공해를 통해 일어났는데 현재 이런 공해는 전 세계의 대륙과 바다의 온도를 상승시키는 주범이 되고 있다. 지구온난화로 발생된 이러한 기상이변은 라니뇨와 엘리뇨 현상 등을 유발시키며 현재 지구상 곳곳에 식량난을 가중시키는 등 커다란 피해를 주고 있는데 특이한 현상은 홍수와 가뭄이라는 양극화의 피해가 발생한다는 점이다.

김영이 교수
	서울디지털대학교 경영학부 교수