산업자원부 기술표준원 김현일 신산업기술표준부장

국제표준이라는 말이 널리 쓰이고 있지만 이를 제대로 깊숙이 이해하지 못하고 있다. 이러한 국제표준에 대한 이해를 넓히기 위해 ISO22399 국제표준의 소개를 시작으로 관련 내용을 연재한다. ISO/TC223(Societal Security)은 2006년 5월 스웨덴에서 제1차 총회를 개최한 이후 약 2년간의 국제표준화 활동을 통해 기반규격서인「ISO/PAS 22399:2007 Societal Security - Guideline for incident preparedness and operational continuity management(IPOCM)」을 국제표준으로 제정했다. 또한 ‘관련용어 표준’ 개발의 완료를 비롯해 3종의 ‘규격 제안서(New work item proposal, NWIP)’ 작성을 완료했으며, 2종 표준에 대한 ‘규격제안서’는 현재 작성 중이다.

ISO/PAS 22399 보완 정식표준 작업 중
「ISO/PAS 22399」는 재난관리 표준의 기반표준이기는 하지만 3년(최장 6년) 동안만 유효한 일종의 한시표준이라 할 수 있다. TC223에서는 현재 「ISO/PAS 22399」의 내용을 보완하여 정식표준으로 제정하기 위한 작업을 진행 중이다.

개정작업에서는 본 표준을 제3자 평가(인증) 용도로 사용하기 적합하도록 보완이 이루어질 것이며, 그 밖의 내용에는 큰 변화가 없을 것으로 예상한다. (국제표준은 회원국 간의 협의에 의해 제정이 결정되므로 예상치 못한 변화가 발생할 가능성도 배제할 수 없다) 「ISO/PAS 22399」는 40page(표지와 서론을 제외한 본문은 31page) 분량의 영문규격서이다. 전체 내용은 서론, 적용범위, 참고규격, 용어의 정의, 일반사항 그리고 ‘사고대비 및 업무 연속성 관리(IPOCM) 프로세스’의 주요 사항인 정책, 계획, 시행 및 운영, 성과 평가, 경영진 검토 등의 단계별 요구사항으로 구성되어 있다.

또한 본 표준 실행(활용)에 도움이 될 수 있도록 영향분석 절차(Impact analysis), 비상대응관리프로그램(Emergency response management program), 연속성관리 프로그램(Continuity management program), IPOCM 문화의 정착 방안(Building an incident preparedness and operational continuity culture)에 대한 소개를 부속서로 포함하고 있다. 국제규격서는 저작권이 있는 저작물의 일종이다. ISO는 「ISO/PAS 22399」를 비롯해서 모든 규격서에 다음과 같은 저작권 선언문을 기재하고 있다.

<ISO 국제규격서의 저작권 선언 : 특별히 허용하지 않는 한 이 출판물의 어느 부분도 편집, 가공, 재생산(복사 포함)되는 것을 허용하지 않음. 이 규격서의 저작권은 ISO 본부와 각국의 회원기관(Member Body)에 있음>

국제규격 한글화 작업 진행
ISO의 한국 측 회원기관인 산업자원부 기술표준원은 ISO 국제규격서의 저작권자 및 국가표준기관으로서 재난관리 국제표준의 보급·활용을 확대하기 위해 「ISO/PAS 22399」를 시작으로 앞으로 제정될 20여종의 국제규격서를 모두 한글화하여 국가표준(KS)로 제정할 예정이다.

이번 호에는「ISO/PAS 22399」을 국가표준으로 제정하기에 앞서 국제규격서의 내용을 소개할 목적으로 규격서 원문을 한글로 번역하여 다뤘다. 국제표준을 국가표준으로 도입할 때 가장 어려운 점은 영어로 표기된 용어를 한글화하는 것이다. 따라서 「ISO/PAS 22399」를 국가표준으로 도입할 때에는 용어표준의 한글화작업이 선행될 예정이며, 본 기사에 사용하는 한글 어휘는 표준화된 용어가 아님을 먼저 밝힌다.

따라서 의미 전달이 애매한 경우에는 원문에 기재되어 있는 영어를 병기했으며, 규격서 내용의 이해를 돕고자 필요한 곳에는 간단한 해설을 첨부했다. 아울러 본 내용은 (사)재난관리표준학회에서 2007년도에 수행한 ‘재난관리시스템 표준화 및 표준의 활용방안 연구’와 동국대학교 이영재 교수의 국제규격서 번역문 초안을 참고했다.

재해에 대비해 생존력 지속성 확보
사고 대비 및 업무 연속성을 위한 가이드라인은 사회 보호라는 관점에서 사고 대비 및 업무 (사업) 연속성 관리(IPOCM)의 절차와 원칙 및 용어를 규정한다. 가이드라인의 목적은 조직 내에서 사고 대비 및 업무 연속성을 이해·발전·실행하기 위한 기초를 제공하며 조직과 지역사회 간, 사업체와 사업체간 그리고 조직과 고객 및 하부조직간의 관계에 신뢰를 주기 위함이다.

가이드라인은 공조직 또는 사조직이 의도적·비의도적 또는 자연적인 원인으로 발생하는 사고(중단, 비상, 위기, 재해)에 대비하기 위해 필요한 요소와 절차를 고려할 수 있도록 하고, 사고를 적절히 처리하고 살아남는 조직의 지속된 생존력을 확보하기 위해 필요한 조치를 취할 수 있게 하기 위한 도구이다. 또한 조직은 일관되고 인정받은 방법으로 조직의 IPOCM 능력을 평가할 수 있다.

이 가이드라인은 다양한 지리적, 문화적, 경제적, 국가적, 정치적, 사회적 조건에 대한 고려가 가능하여 모든 형태와 규모의 조직에 적용 가능한 일반적인 프레임워크를 제공한다. 관계자(stakeholders)와 이해 관계자(Interes ted parties)1) 조직은 주요 업무와 서비스가 중단되는 것을 막을 수 있도록, 또는 만약 업무와 서비스가 중단되었다면 가능한 빨리 다시 재가동 될 수 있도록 능동적으로 잠재 사고 및 중단에 대비하기를 요구한다<그림1>.

IPOCM은 조직을 위협하는 잠재적 영향을 확인하고 그 영향을 최소화하기 위한 프레임워크를 제공하는 전반적인 관리 프로세스이다. 본 가이드라인은 IPOCM의 실제 사례를 기반으로 하여 포괄적인 통제수단을 제공하며 IPOCM 전 과정을 다룬다.

이사 및 임원들을 비롯하여 그 조직이 전 세계 기업이던 한 지역 기업이던, 중소기업이거나 또는 수천 명의 직원이 있는 기업이던 관계없이 공공 또는 사조직의 운영에 책임이 있는 사람은 누구나 사용할 수 있도록 만들어졌다. 따라서 어떤 업무이던 간에 그 업무에 책임이 있는 사람이면 누구에게나 적용할 수 있고 그 업무의 연속성을 위해 적용할 수 있다.

업무 연속성(operational continuity)은 사업 연속성(business continuity) 보다 일반적인 용어이며 공공과 사기업 등 모든 유형의 조직에 관련이 있음을 강조하기 위해 사용한다. 가이드라인은 조직이 다음 사항들을 조치할 때 필요한 통합 계획 및 관리 프로세스에 대해 상세히 설명하고 있다.

△ 심각한 운영 중단(significant disruption)을 가져올 수 있는 조직에 대한 위협(threats), 조직이 운영되고 있는 환경, 제약 조건(constraints)의 존재 등에 대한 이해
△ 중요 업무 (사업) 기능 및 프로세스에 대한 이러한 위협들로 인하여 업무가 중단되는 영향을 정량화
△ 단기 그리고 장기적 성공을 위해 중요한 업무와 사업 부분들의 결정
△ 조직이 최소 수용 가능한 수준(acceptable level)에서 업무를 지속하기 위해 필요한 인프라와 자원의 확인
△ 업무가 중단되는 사건이 발생할 경우 주요 업무 기능을 유지하기 위해 필요한 주요 자원, 인프라, 임무와 책임의 문서화
△ 변화하는 위험과 업무 환경에 시의적절한 정보가 유지되도록 하는 프로세스의 정착
△ ‘대비 및 연속성(preparedness and continuity) 관리 준비’에 대한 관련 직원, 고객, 협력업체, 그리고 다른 관계자(stakeholders)들의 이해도 제고 및 해당되는 경우 이들의 활동에 대한 자신감 부여
△ 해결책의 시행과 지속적인 개선

IPOCM 가이드라인, 위험평가 관리
효과적인 IPOCM은 불확실성과 불완전성을 시인하는 것을 포함하여 조직 내의 근본적인 문화의 변화를 요구한다는 것을 인식하는 것은 중요하다. 조직의 모든 레벨에서 모든 의사 결정과 활동에는 위험이 잠재되어 있다는 것을 인식하고, 이 위험의 크기가 업무 중단을 불러오는 잠재력이 있다는 것을 알 필요가 있다.

따라서 조직의 모든 레벨에 있는 구성원들은 자신들의 활동에서 이러한 중단을 어떻게 관리할 것인가를 고려해야 한다. IPOCM 가이드 라인은 조직의 회복력과 장기적 성과를 보장하기 위한 목적으로 공공 또는 사조직이 위험을 평가하고 관리하도록 도와준다.

가이드라인은 활용을 위해 특정 모델을 예를 들어 설명하고 있지는 않지만 조직을 보다 효과적이고 경쟁력 있게 그리고 중요한 난제에 더 잘 대응할 수 있게 하는, 조직의 전체적인 업무 및 사업 구조 속에 사고 대비 및 업무 연속성 의사 결정 방법을 짜 넣은 IPOCM 이외의 모델과 방법2)들은 존재한다. 또한 조직의 활동과 필요에 따라 어떤 조직이든 여러 가지 방법으로 시행할 수 있는 문제 확인 및 문제해결 도구들을 제공한다.

동적이며 시스템적인 위험-기반 프로세스를 사고 및 연속성 관리에 결합시킴으로써, 조직은 자신의 자원에 적합한 합리적인 의사결정을 내릴 수 있다. 선택된 모델은 지속적인 개선을 조장하는 조직 문화가 주입되어야 한다. 일반적인 관리 모형3)은 정책, 계획, 실행 및 운영, 성과 평가, 개선, 그리고 경영진 검토 등의 몇 가지 공통된 요소를 가지고 있다. IPOCM은 그 조직의 특정한 요구사항과 지역 사회에서의 위치를 포함하는 관리 모형을 개발하고 실행하려고 하는 때에 이러한 공통 요소들에 대한 가이드라인을 제공한다.

관리 모형 및 방법 선택에는 IPOCM 적용
어떠한 관리 모형 또는 방법을 선택하더라도 전체 IPOCM 활동이 적용돼야 한다. IPOCM은 조직 통제와 직접적으로 연결이 되어 있으며 조직 관리를 훌륭하게 실행한다. 또한 조직이 상품과 서비스를 제공하는데 있어서 중단, 방해 또는 손실에 대해 능동적으로 조직을 회복시키기 위한 전략적이고 언제든지 운영할 수 있도록 정비된 프레임워크를 확립한다.

이는 사고가 발생한 이후의 대응적인 방법4)이기만 해서는 안된다. IPOCM은 조직의 많은 부분들을 망라하는 계획이 필요하다. 따라서 조직의 회복력은 조직의 경영진과 직원 그리고 기술이 모두 중요하며, IPOCM 모형 또는 방법을 확립하는데 있어 이들의 전체적인 접근이 필요하다.

시스템적인 방법으로 IPOCM 테크닉을 받아들이고 시행하는 것은 모든 이해 및 관련 당사자들(interested and affected parties)에게 최적의 결과를 가져올 수 있다. 그러나 본 가이드라인의 적용 그 자체가 최적의 대비 및 연속성의 결과를 보장하지는 않는다. 대비 및 연속성이라는 목표를 달성하기 위해서는 사고 대비 및 업무 연속성 프로그램을 통하여 조직이 가능한 최선을 다해 실행과 기술(technology)과 기법(technique)을 적절하고 경제성 있게 투입하도록 해야 한다.

실행과 기술(technology)과 기법(technique)의 비용-효과적인 측면이 모두 검토돼야 한다. IPOCM은 공공 및 사조직(다양한 위치의 정부 및 공공 기관, 기업 및 산업, 비정부 조직 및 일반 국민과 같은)의 많은 다른 조직들의 협조와 협력을 필요로 한다. 이러한 각 조직들은 자신들만의 목적, 사명 및 책임, 다양한 자원과 능력, 그리고 운영 원칙 및 프로시저를 가지고 있다.

IPOCM의 주요 프로그램 요소들이 사고에 연관될 수 있는 다른 조직들의 기능과 이해(functions and interests)에 관련이 있고 서로 영향을 끼친다는 것을 인지해야 한다. 따라서 주요한 프로그램 부문들은 ‘영향을 받는 모든 조직들의 정황’ 그리고 ‘IPOCM 프로그램과 이들의 관계’ 안에서 고려돼야 한다.

위험 영향 최소화, 조직의 사회적 책임
위험의 영향을 최소화하고 사회적 손실을 줄이려는 목표를 가진 조직의 위험에 대한 대응은 조직의 사회적 책임5)으로 인식되어야 한다. 잠재적 위험이 현실화 되었을 때 조직은 인적 물적 자원을 배정하는데 있어 다른 조직과 협력하는 것이 자신의 업무 연속성을 위해서 필수적이라는 것을 이해하여야 한다. 왜냐하면, 비상 대응 및 정상 기능 회복에 필요한 자원들은 부족하거나 또는 적절히 배치되어 있지 않을 수 있기 때문이다.

조직은 시민과 지역 정부 등과 함께 협력하여 인명을 구하고 물자를 공급하는 지원 활동에 참가하여 지역에 능동적으로 공헌을 해야 한다. 또한 조직은 초기대응조직, 이해관계자 그리고 파트너들과 인적 및 물적으로 협력하고 협조하는 것이 필요하다. 조직은 특정 상품 또는 서비스, 하나 또는 그 이상의 지리적 장소에 대한 조직의 활동을 제한함으로써 가이드라인의 요소들에 대한 시행의 범위를 제한할 수 있다.

이러한 적용범위의 제한은 문서화 시켜야 한다. 본 가이드라인은 사고 대비 및 업무 연속성 성과에 대해 해당 법적 요구 사항과 조직이 동의하는 다른 요구 사항을 이행할 것과 능동적인 위험 및 사고·중단 예방, 지속적인 개선에 대한 책임을 넘어서는 절대적인 요구 사항을 규정하고 있지 않는다는 것을 주의해야 한다. 지속적인 개선을 위한 시스템을 채택하고 있지만 제삼자 기관의 인증·등록6)을 위해 사용하기 위한 것은 아니다.

ISO/PAS 22399:2007, 성격·지역·여건에 따라 달라
‘ISO/PAS 22399:2007’은 조직(민간, 정부, 비정부 조직)이 사고대비 및 업무 연속성 유지를 위한 조직특성에 적합한 성능 기준의 개발과 적절한 관리 시스템의 설계를 위한 일반적인 지침을 제공한다.

그리고 조직 내에서 업무 및 서비스의 연속성에 대한 이해와 개발 및 실행의 근거를 제공하며 비즈니스, 지역 사회, 고객, 초기대응조직(first responder) 그리고 조직간의 상호 작용에 대한 확신을 부여한다. 또한 조직이 일관성 있고 인정된 방법으로 회복력을 평가하는 것을 가능하게 한다. 「ISO/PAS 22399」은 상품, 프로세스 또는 서비스를 제공하는 모든 규모의 공적·사적 조직이 다음과 같은 사항을 의도할 때 적용 가능하다.

△ 조직 운영의 총체적 상황의 이해
△ 주요 목표의 식별
△ 주요 목표를 방해할 수 있는 장벽(barriers), 위험 요소(risks), 혼란(disruptions) 상황의 이해
△ 통제(control)와 경감 전략(mitigation strategies)의 결과를 이해하기 위한 잔류 위험(residual risk)과 잔류 위험 허용 한계(risk tolerance)의 평가
△ 중단 사고가 발생할 경우 조직이 목표 달성을 지속 추진할 수 있도록 하는 방안의 수립
△ 사고 및 비상 대응(incident and emergency response), 연속성 대응(continuity response), 복구 대응(recovery response) 절차의 개발
△ 사고에 대응하기 위한 역할과 책임 및 자원의 정의
△ 관계법, 관련 규정 및 그 밖의 요구 사항의 준수
△ 상호 부조 및 지역 부조의(mutual and community assistance) 제공
△ 초기대응조직 및 언론매체와의 접촉(interface)
△ 위험(risk)은 모든 의사 결정과 활동에 내재되어 있으며 효과적으로 관리되어야 함을 인식하도록 조직 내의 문화적 변화를 촉진

‘ISO/PAS 22399:2007’은 조직의 사고 대비 및 업무 연속성을 위한 일반적인 원칙과 요소들을 제시한다. ‘ISO/PAS 22399:2007’의 적용 범위는 조직의 정책, 조직의 활동·상품·서비스의 성격, 활동 지역 및 여건 등의 요인에 따라 다르다. 그러나 관련 규정에 따라 공공 기관에서 우선적으로 수행해야 하는 재해 구제와 사회기반시설 복구와 같은 사고 후의 비상 대응 활동은 「ISO/PAS 22399」의 적용범위에서 제외7)한다.

그러나 이러한 활동에 대한 협력이 유지되고 문서화되어야 한다. 일본은 ISO/TC223의 국제표준화회의에서 적극적으로 활동하는 국가다. 앞에서 언급한 ‘Best of Five’에도 일본의 관련 규정이 포함되어 있을 정도이다. 그러나 아이러니하게도 일본의 표준화담당 정부부서는 국제표준은 인정하면서도 인증에 대해서는 부정적이다. 위의 문구 때문에 공공분야에 이 표준을 적용할 수 없으며, 민간분야는 정부가 나설 입장이 아니라는 이유 때문이다.

어떤 형태로든 인증제도가 도입되면 민간은 경제적 부담을 안게 되고, 따라서 정부가 관여할 일이 아니라는 입장이다. 세계시장은 글로벌스탠더드의 전쟁터로 변하고 있으며, 기업들이 글로벌스탠더드화의 시장 트렌드에 발 빠르게 대응해야 글로벌 기업으로 살아남을 수 있다는 한국의 표준담당부서의 인식과는 상당히 다른 시각이다.

1) 관계자(stakeholders) : 위험(risk)에 의해 영향을 주거나, 영향을 받거나 또는 영향을 받을 것으로 인식되는 어떤 개인, 집단 또는 조직. 이해관계자를 포함하며, 이해관계자보다 더 넓은 의미를 갖는다. 1) 이해 관계자(Interested parties) : 어떤 조직의 업무 수행 결과나 성공에 대해 이해 관계를 가진 고객, 소유자, 조직 구성원, 공급자, 은행가, 조합, 파트너 또는 사회 등의 집단 또는 개인.
2) IPOCM은 재난관리의 일반론을 언급하는 시스템적인 접근방법이다. 위에서 언급하는 IPOCM 이외의 모델과 방법들이란 지진, 테러 등 어느 특정한 사고를 예방, 대비, 대응, 복구하는 방법들을 구체적으로 규정하는 프로그램적인 접근방법의 결과물인 재난매뉴얼을 의미한다. IPOCM은 미국, 영국, 호주, 이스라엘 및 일본 등 5개국의 관련 표준 또는 규정들을 기반으로 제정됐다. 이로 인해 제정 초기에 IPOCM은 ‘Best of Five’라는 별칭으로 불렸다. IPOCM 이외의 모델과 방법들이라는 표현이 상기의 5종 표준을 직접 의미하는 것으로 잘못 해석될 여지가 있는 문구이다.
3) 본 규격서에서는 일반적인 관리 모형이 어떤 것인지에 대해 사례를 들어 직접 언급하고 있지는 않지만 본 규격서의 개발과정에서는 품질경영시스템 표준인 ISO9000 시리즈 표준이 여러 차례 거론되고 검토됐다.
4) 결과중시의 대응방법은 환경파괴, 기업도산 등 과거로 회기하지 못하는 치명적 결과를 가져올 수 있다. 이러한 문제는 ISO/TMB/WG SR(사회적책임)에서도 언급하고 있는 사항이다. 사회적 책임에 대한 부분은 서론의 후반부에서 언급하고 있다. 재난관리는 결과뿐 만 아니라 준비과정을 중시함으로써 궁국적으로는 표준을 기반으로 하는 사회안전시스템을 구축하는 것을 목적으로 한다.
5) 조직의 사회적 책임 : 정부, 기업, 노동계, 소비자, NGO 및 기타(서비스, 서포트, 리서치 등) 사회를 구성하는 모든 조직이 사회와 환경에 영향을 미치는 의사결정과 활동을 함에 있어서 지배구조 개선, 인권, 노동, 환경, 공정한 조직 운영, 소비자, 지역사회 공헌 등 7개 이슈에 대해 이해관계자와 소속된 사회에 이익이 되도록 투명하고 윤리적으로 수행하여야 하는 책임. 조직의 사회적 책임은 「ISO/TMB/WG SR(Social Responsibility)」에서 다루고 있는 표준화 주제다. 「ISO/TMB/WG SR」에서는 'ISO 26000 Social Responsibility'를 국제표준으로 개발하고 있다. IPOCM의 본연의 목적을 감안한다면 상기의 '7개 SR 이슈'가 모두 해당되나 본 규격서의 서문에서 언급하는 조직의 사회적 책임이란 ‘지역사회 공헌’만을 의미한다. 재난관리 기술위원회인 「ISO/TC223」은 「ISO/TMB/WG SR」과 liaison committee 관계를 맺고 있다.
6) 제삼자 인증 : ISO9001인증시스템을 연상하면 이해하기 수월하다. 본 규격이 제삼자 인증을 위한 규격은 아니지만 현재 인증용도로 적합하도록 개정작업 중이다. 2009년 상반기에 개정 완료될 것으로 예상된다. 강제인증인가 임의인증인가 : 기업에서 판단한다면 인증의 강제성여부가 큰 관심사이다. 왜냐하면 인증을 받기위한 준비, 인증시스템의 유지관리 등에 시간과 인력과 예산 등의 자원이 투입되어야하기 때문이다. 법적근거로만 판단한다면 인증제도가 도입되어도 ISO900인증과 마찬가지로 강제인증이 아닌 임의인증으로 운영될 것이다. 그러나 재난관리시스템에 대한 신뢰도는 조직의 신뢰도와 직접 연관된 사항이기 때문에 조직의 이해관계자들의 요구가 크게 증가할 것으로 예상된다. 따라서 향후에는 의무화된 임의인증화 가능성이 크다는 것이 관련 전문가들의 예측이다.
7) 이 규격서의 곳곳에서 공공 및 사조직, 모든 규모의 조직, 모든 형태의 조직을 대상으로 한다는 규정을 쉽게 찾을 수 있다. 그러나 위의 마킹한 규정 때문에 「ISO/PAS 22399」을 공공기관에 적용할 수 없는 것 아닌가 하는 논란이 있다. 그러나 규격서에서는 적용범위에서 제외한다고 언급하고 있을 뿐이며, 실제로 재해 구제와 사회기반시설 복구와 같은 사고 후의 비상 대응 활동 등은 재난관리 시스템의 일부를 구성하는 특수한 목적의 프로그램일 뿐이다. 결론적으로 말하면 이 문구 때문에 「ISO/PAS 22399」가 공공부문에 적용하기 어렵다는 논란은 무의미하다는 것이다.