운영연속성경영시스템이 왜 필요한가?
영국의 사회학자 아놀드 토인비(Arnold Toynbee)의 역사연구에서 문명의 흥망성쇠를 ‘도전과 응전’이라고 하였다. 이는 기업으로 보면 도전과 응전이 없이는 영원한 기업은 없다는 뜻이기도 하다. 기업이 영원하기 위해서는 필연적으로 도전과 응전을 하여야 한다. 응전은 다름 아닌 위험을 파악하고 지속적으로 존속하기 위한 방법을 구축하는 것이다. 기업은 공공분야와 다르게 이윤의 극대화가 목표다. 기업이 이처럼 명확한 영리목적을 위해 설립하는 이유는 이익이라는 기업목적일원설을 추구하기 위함이다.

그러나 지금의 사회는 디지털화를 기반으로 융합화 되면서 다문화, 다종교 등 모든 것이 함께하는 다사회가 되었으며 세계경제는 이미 국경이 없어진지 오래다. 이러한 다양성은 복잡성뿐 아니라 동시에 리스크라는 문제점도 공존하고 있다. 그래서 21세기는 글로벌사회이면서 위험사회라고 한다. 기업이 이윤극대화를 위해서 취했던 고전적인 기업목적일원설만으로는 변화하는 현대사회에서 도태하기 쉽기에 준비운영연속성 경영 시스템(PCMS, Preparedness and Continuity Management System)이 필요하다.

미국의 금융위기, 두바이 사건 등 세계 곳곳에서 재난이 일어나고 있음은 주지의 사실이다. 이러한 위기가 한 국가에서 끝나는 문제가 아님을 이미 여러 가지 사건을 통하여 알고 있다. 때문에 모든 나라가 이러한 위기를 극복하기 위해서 공동의 대응이 필요하며 재난을 미연에 예방하기 위한 공통의 분모가 형성되어 지금의 ISO/TC223(사회안전, Societal Security)이 탄생하게 되었다. 기업의 위기는 기업 하나의 문제가 아니라 이해관계자에서부터 연결성이 있다.

개인, 가정, 사회, 국가, 국제적으로 영향을 미치기 때문에 문제해결을 하기 위해 표준화 된 방법이 바로 국제기구 ISO/TC223의 개발이고, 이에 따른 우리 기업의 노력이 필요한 시점이다. 왜냐면 우리에게는 97년도 IMF의 교훈으로 다시 이러한 국가적 위기가 없어야 하며 건강한 기업을 스스로 만들어야 한다. 그러기 위해서 기업의 준비 및 운영연속성경영시스템 구축이 대안이라고 할 수 있다.

ISO의 기업의 운영연속성경영시스템이란?
기업은 경영활동을 통하여 소유자에게는 부를 제공하고, 소비자에게 필요로 하는 재화나 서비스를 제공한다. 이미 우리에게도 글로벌경영을 위해 필수적인 품질경영(ISO 9001), 환경경영(ISO14001) 정보보호(ISO27001), IT서비스관리(ISO/IEC20000) 등 성문기술표준의 관리시스템이 국제표준으로 도입되었다. 이러한 표준 인증을 통하여 기업은 국제적으로 신뢰를 가질 수 있으며 내부적으로도 표준화 된 관리시스템을 갖출 수 있다.

기업이 운영연속성을 확보하기 위해서는 환경변화에 적응을 하여야 한다. 따라서 기업이 이러한 사회적 요구를 받아들여 기업의 연속성이 필요하기 때문에 국제표준이 이 역할을 하는 도구이다. 대부분의 국제성문표준의 관리시스템과정은 정책, 계획, 실행, 성과에 대한 평가, 관리검토, 지속적 개선으로 구성되어 있다. 따라서 기업에서의 업무영향분석(BIA, Business Impact Analysis)을 통한 준비 및 운영연속성경영시스템(PCMS) 구축이 매우 중요하다. 특히 문서의 중요성은 PCMS에서도 마찬가지로 의무사항으로 문서화되어 있어야 하며, PCMS에 대하여 간략하게 살펴보기로 한다.

우선 의사결정권자의 관리 책임부분은 관리의무, 정책선언, 책임과 권한 및 의사소통으로 구분된다. 의사결정권자는 PCMS의 실행을 위한 의지와 재원확보 등 강력한 추진력이 있어야 한다. 첫째 의사결정권자는 PCMS의 시행과 개발에 대한 의무의 필요성을 제시하여야 하며 지속적으로 효율성 있는 개선을 위해 관리책임 중 의무를 가져야 한다. 이는 조직에서 이의 필요성을 충분한 설명을 통하여 구성원의 합의가 있어야 한다는 것이다.

즉 (1) 품질경영(ISO 9001)에서처럼 품질목표와 품질방침을 수립하는 것과 마찬가지로 PCMS 정책과 목표를 수립하여야 한다. (2) 법적 필수 사항 및 다른 조직 등과 계약한 필수 사항을 검토하여 적용 여부 판단을 하여야 한다. (3) PCMS의 역할과 책임을 명확하게 수립해야 한다. (4) 품질경영에서처럼 PCMS도 마찬가지로 책임감이 강하고 효율적인 운영과 추진을 위해서 책임을 질 수 있는 관계자를 한명 이상 지정하여야 한다. (5) PCMS의 목표 충족과 PCMS 정책 실행을 위한 전사적 실행이 필요하다. (6) 충분한 자원의 가용성이 있어야 한다. (7) 위험인자를 수용하고 받아들일 수 있는 수준을 정의하기 위한 항목리스트 작성이 필요하다. (8) PCMS를 내부 감사 할 수 있도록 보장을 하여야 한다. (9) 마지막으로 PCMS의 관리와 검토를 실행하는 것으로 한다. 두 번째는 정책선언이다.

정책선언은 조직의 PCMS정책을 개발하여 문서화 하고 이를 시행하기 위한 선포를 하여야 한다. 이러한 정책을 운영하기 위해서는 다음과 같이 하여야 한다. (1) 정책을 전사적으로 실행하기 위해서는 조직의 의사결정권자가 수립하고 승인을 하여야 한다. (2) 정책은 조직 및 조직을 위해서 구성된 모든 구성원들이 사용할 수 있어야 한다. (3) 문서화된 정책은 정기적인 검토와 승인(결재)의 대상이며 항상 컨트롤이 되어야 한다.(4) PCMS의 정책은 목표와 범위 그리고 구조에 대한 방향을 제시하여야 한다. (5) PCMS의 정책은 사용하는 모든 이해관계자와 의사결정권자가 확인할 수 있어야 한다. (6) PCMS의 정책은 의무적으로 실행하는 필수사항으로 구성되어야 한다. (7) 또한 PCMS의 효율성을 지속적으로 개선하기 위하여 의사결정권자는 PCMS정책 실행을 위해 다음 사항을 검토하고 보장하여야 한다.

① 조직의 규모와 구성 등에 적절한지여부를 검토하여야 한다. ② 조직의 PCMS 목적의 검토와 실행을 위한 체제를 제공하였는지를 검토하여야 한다. ③ 조직 및 이해관계자와의 이해와 소통이 되었는지를 검토하여야 한다. 마지막으로 PCMS정책이 지속적으로 변화하는 환경에 적용되도록 그 타당성이 검토되어야 한다. 셋째는 책임과 권한 및 의사소통 부분으로 의사결정권자는 PCMS가 조직의 경영진과 관리자 등 조직 내부에서 확인되어야 하며, 이를 실행하기 위한 의사소통이 조직내에서 충분히 되었는지를 검토하고 보증하여야 한다.

PCMS의 범위
PCMS의 범위는 조직의 규모, 조직의 문화 등을 고려하여 PCMS의 범위를 정의하고 반드시 문서화 하여야 하며 다음과 같이 실행한다. 조직의 주요 이해관계자를 포함한 모든 관계자, 아웃소싱 조직 및 이와 관련된 조직, 소비자 등 관련된 사람들을 보호하여야 한다. 또한 PCMS 범위 내의 주요 재화와 서비스를 조직은 확인하여야 하며 조직일부가 제외될 때는 문서화해야 한다.

이를 실행하기 위해서는 첫째 조직규모 등 조직의 상태에 따라서 전체 또는 일부 등으로 PCMS에 포함되도록 하여야 한다. 둘째 조직의 비전, 목표, 조직내·외부 의무사항(이해관계자와의 계약 등) 과 법적책임을 고려한 필수사항 들을 고려하여야 한다. 셋째 조직의 운영목표, 자산, 기능, 서비스, 재화가 포함되어야 한다. 마지막으로는 조직의 기능과 실행에 악영향을 미칠 수 있는 위험 시나리오와 외부사례 등을 포함하여야 한다.

업무영향분석과 위험평가
조직은 업무영향분석(BIA)과 위험평가를 위해서는 문서화된 프로세스를 수립하고 시행 및 이를 유지하기 위해 다음과 같이 하여야 한다. 첫째 매우 위협적인 요인상황의 잠재적 영향평가를 위한 체계적으로 정의된 항목 리스트를 구축하여야 한다. 둘째 조직이 계약한 모든 법적인 것과 필수적인 사항 등을 고려하여야 한다. 셋째 위험요인을 체계적인 분석과 제어할 수 있는 관련비용의 우선순위를 정해야 한다. 넷째 업무영향분석과 위험평가로부터 요구된 산출물의 정의가 되어 있어야 한다.

다섯째 항상 최신의 정보로 필수사항을 구체화 하여야 한다. 이러한 기본적인 업무영향분석과 위험평가는 다양한 방법의 툴이 있으며 다음 기회에 소개하기로 하겠다. 업무영향분석은 조직의 운영목표를 충족시키기 위해서는 법적, 계약적 사항들을 정기적으로 위험적인 부분을 관련된 영향을 측정하여 복구 우선사항과 목표를 결정하기 위해 평가 과정을 수립하고 실행 및 유지하기 위해 문서화해야 한다. 이를 위해서는 조직의 주요 산출물 즉 재화와 서비스를 지원하는 활동을 확인해야 한다. 각 활동이 중지 또는 정지로 인한 영향을 시간단위로 평가해야 한다.

다음은 이러한 영향평가를 바탕으로 각 활동의 최대허용가능시간을 수립하여야 한다. 복구우선순위와 복구우선 활동을 하는 것을 순서대로 정의하여 복구활동을 분류하여야 한다. 또한 복구 활동에 있어 모든 이해관계자들과의 협의 및 지원 등도 확인해야 한다. 즉 우선 활동이 이해관계자들을 위해 어떠한 준비성과 연속성의 조합이 이해관계자들에게 어떠한 영향을 미치는 지를 검토하여야 한다. 다음은 최대허용가능한 복구 목표시간의 우선 활동 재개를 위한 복구 목표시간을 지정하여야 한다. 마지막으로 활동재개를 위해 필요로 하는 자원을 예측하여야 한다.

위험평가
위험평가(Risk Assessment)는 조직의 우선시 되는 활동을 위해 잠재적인 위험의 확인과 분석을 위한 문서화된 과정을 수립하여야 한다. 이를 위해서는 체계적으로 조직의 시스템, 정보, 인적자원, 자산, 이해관계자 등 우선시 되는 활동을 지원하는 다른 자원들 및 위험인자의 출처를 확인해야 한다. 또한 체계적으로 위험, 취약성, 중요성 및 영향을 분석해야 한다. 이러한 분석을 통하여 위험요인을 제어하는 방법과 제어를 위한 비용 산정을 분석하고 우선순위를 정할 수 있기 때문이다.

	글 | 정종수 사회안전학회 사무국장

그리고 조직의 위험허용과 확인된 위험 처리를 위한 필요성을 결정하여야 한다. 이상과 같이 간략하게 기업에 있어 현 시점에 가장 필요로 하는 운영연속성경영시스템을 살펴보았다. 기업에 있어서 경영시스템은 새로운 방법과 이론 등으로 계속하여 공급하여 왔으나 이처럼 광범위하게 다루는 부분은 처음이라고 할 수 있다. 운영연속성경영시스템의 필요성에 대한 하나의 예가 우리가 익히 잘 알고 있는 미국의 다우코닝사가 전 세계 피해 여성 38만명에게 32억달러(한화 약 3조8400억원)의 배상금을 지급하도록 판결한 사건이 주는 교훈이다.

만약 이러한 활동을 하였다면 아마도 이러한 사태를 막을 수 있었을 것이다. 이제 우리나라도 PL(제조물책임)법, 집단소송제가 도입되었으며 사회적책임(ISO26000)에 대한 마지막 투표가 진행중에 있어 내년이면 아마도 국제표준이 개발된다. 따라서 우리에 기업들도 이러한 국제적 환경변화에 적응을 하려면 남보다 빨리 도입하려는 노력이 필요한 시점이다. 추후에 자세한 내용으로 설명하도록 하겠다. (위 내용의 일부는 ISO/TC223의 개발 내용을 인용하였다.)