|
리스크에 대응하기 위한 팀: 전사적위험관리를 통해 우주항공 공급업체인 록웰 콜린스의 존-폴 베송(왼쪽)과 수석 리스크 분석가인 아트 젬머는 더 효과적으로 기술과 관련된 결정을 내리고 있다.
|
만약 회사를 공개한 후 2달이 지난 후 2개의 주요 시장 가운데 한 곳이 갑자기 사라졌다면? 그리고 7일이란 짧은 기간 동안 3억5천만 달러의 매출이 그냥 사라졌다면?
두 손을 들고는 “어느 누구도 9.11과 같은 사태를 예견할 수는 없어!”라고 말한 다음 회사의 분기 수익이 곤두박질치는 모습을 그저 지켜만 보고 있을 것인가? 그리고 어느 누구도 그 같은 재앙에 대비할 수 없었다는 이유만으로 예산과 인력이 축소되는 상황을 그대로 수용하고 회사의 성장을 돕기 위해 준비한 모든 전략과 계획을 취소할 것인가?
아니면 앞에서 묘사한 바로 그런 사태를 당한 록웰 콜린스(미 군용 및 상용 항공기 부품 납품업체)와 같이 단 10일만에 비상대응계획(contingency plan)을 실행에 옮길 것인가? 9.11 사태로 비즈니스 가운데 20%를 차지하는 상용시장이 갑자기 사라졌지만, 록웰은 IT 부서의 도움으로 그 위기를 넘길 수 있었다.
록웰 콜린스와 같은 회사가 되기를 꿈꾸지 않는 곳은 없을 것이다. 그렇다면 CIO들은 “그들은 어떻게 그렇게 멋지게 해냈는가?”라고 물어봐야 한다. “그것은 우리가 세상에서 가장 운이 좋은 회사이거나, 전사적위험관리를 통해 우리가 일을 더 잘할 수 있게 해 주는 통찰력을 얻게 된 결과일 것이다.”라고 록웰 콜린스의 수석 리스크 분석가 아트 젬마는 단정한다.
물론 젬마는 운 때문이 아니라 전사적위험관리(ERM: Enterprise Risk Management, 회사 전체에 걸쳐 리스크를 관리하는 시스템) 때문이란 것을 잘 알고 있다. 젬마는 ERM를 통해 기업이 9.11 같은 규모의 사태에 대비할 수 있다고 말한다. 그리고 이보다 더 중요한 것은 ERM을 통해 기업이 매일 마주치게 되는 더 예측이 가능한 리스크들을 다루는 방법을 개선할 수 있다는 것이라고 그는 말한다. 기업은 ERM을 통해 잘못된 투자를 피하고, 반대로 직관적으로 보기에는 너무 위험해 보이는 투자를 좀더 안심하고 실행에 옮길 수 있다. CIO들은 이미 더 탄탄한 지배구조를 통해 IT 의사결정과정을 개선하려고 노력중일 것이다. 여기에 ERM을 도입하면 그 지배구조는 훨씬 더 탄탄해 질 것이다.
리스크 관리 방법론을 도입한 기업들은 투자 실패율이 더 낮아지고, 예상하지 못한 사태에서 받는 피해도 더 적어진다고 말한다. 록웰 콜린스의 경우, ERM의 가치는 시간이 지나면서 거듭 증명되고 있다. 몇 년 전 프로젝트 매니저 가운데 한 사람인 존-폴 베송은 회사의 운을 걸고 SAP 시스템을 구현했는데, 이때 당연히 ERM 원칙을 적용했다. “모든 결정이 리스크 결정이 되었다.”고 그는 말한다. 그 프로젝트는 부드럽게 진행되어 베송은 얼마 후 록웰 콜린스의 CIO가 되었다. 록웰 콜린스에서 다음의 사실보다 ERM의 효과성을 더 확실하고 설득적 있게 보여주는 것도 없다. 그것은 록웰 콜린스가 9.11 이후 매분기 수익을 내고 있다는 것이다. 그리고 2004년 1월, 포브스 지는 록웰 콜린스를 미국의 우주항공 업계에서 가장 잘 관리되고 있는 곳으로 선정했다.
그러나 오해하지는 마라. ERM은 어렵다. ERM은 모든 사람의 업무 수행방식을 바꾼다. 록웰이 리스크에 의해 지배되는 조직이 되는 데는 거의 10년이나 걸렸다. 물론 다른 회사의 사례를 참조하면 그 시간이 단축되기는 하겠지만, 그렇다고 그것이 6개월이면 끝낼 수 있는 그런 일은 절대 아니다.
우리가 인터뷰한 모든 리스크 전문가들은 CIO들이 ERM에 반대할 것이라고 예상했다. “몇 가지 이유로 인해 CIO들은 ERM에 시큰둥한 반응을 보일 것이다.”라고 로버트 프란시스 그룹의 리스크 전문가 아드리안 보울스는 말한다. 그러나 보울스는 CIO들에게 그런 태도를 보이지 말라고 조언한다. “리스크가 CIO들을 찾을 것이다. 그러면 CIO는 위험에 처하게 된다. 유일한 방어책은 리스크를 관리하기 위한 노력에 참여하는 것이다.”
이런 태도가 필요한 것은 리스크 관리가 이사회에서 유행하는 단어이기 때문이 아니라(물론 곧 그렇게 될 것이지만), 리스크들을 균형잡는 일이 복잡한 세상에서 회사를 관리하는 유일하고 효과적인 방법이 되고 있기 때문이다. “우리는 리스크에 대한 적극적인 태도 때문에 이 복잡한 환경에 대응할 수 있다.”고 베송은 말한다. “우리에게 어떤 일이 일어났을 때, 우리는 민첩하게 그에 대응했다. 그리고 우리는 그 행동을 관리하는 리스크 방법론을 갖추고 있었다.”
그렇다면 ERM이란 무엇인가?
IT의 법칙 가운데 하나는 어떤 개념이 유행을 하면 그에 맞춰 수많은 정의가 나온다는 것이다. ERM의 경우도 마찬가지여서 이미 수십개의 정의가 나온 상태다. 그래서 우리는 그 가운데 제임스 램의 정의를 사용하려 한다.
램은 자신이 최초의 최고리스크중역(chief risk officer)이었다고 말하는 저술가 겸 컨설턴트로, 그는 그 직함을 GE 캐피탈에서 선구적으로 사용했다고 한다. ERM은 ‘회사의 주주가치를 극대화하기 위해 비즈니스 리스크, 재무 리스크, 운영 리스크, 리스크 이전 등을 통합적으로 관리하는 일”이라고 그는 말한다. 다시 말해 회사 내외부의 모든 리스크에 대한 단일화된 시각, 즉 그 리스크들을 다루기 위한 중역 차원의 관리전략을 창출함으로써 회사의 수익을 높인다는 것이다.<‘리스크 평가의 3단계’ 박스 참조>
|
 맥켄 월드그룹의 CIO 빌 샤론은 회사의 리스크들을 관리하는 일이 결국에는 제 2의 천성이 되고 있다고 말한다.
|
램의(그리고 다른 사람의) ERM 정의에는 몇 가지 기본원칙이 내재하고 있다.
1. 리스크에 대한 통합된 시각: IT, 인사, 재무 그리고 모든 다른 ‘사일로(silo)’는 표준화된 언어, 평가방법, 도구를 사용한다. 대부분의 재무부서는 이미 리스크를 관리하는 프로세스를 갖고 있으며, 따라서 그 같은 표준은 재무부서의 것을 토대로 비교적 쉽게 만들 수 있을 것이다. 한편 광고 대행사인 맥캔 월드그룹 사의 CIO 빌 샤론은 노벨상 수상 심리학자인 피터 번스테인의 저서 ‘신들에 대한 대항: 리스크에 관한 놀라운 이야기(Against the Gods: The Remarkable Story of Risk)’에 나온 리스크 시스템을 기본으로 이용하고 있다.
2. 리스크에 대한 전사 차원의 시각: ERM은 각 사일로가 자기 사일로의 리스크들을 수집하는 일에 관한 것이 아니다. ERM은 각 사일로가 서로의 리스크 및 회사의 리스크를 수집하는 일에 관한 것이다. 쉘리 히긴스가 FBI의 IT 현대화 프로젝트(Trilogy)의 책임자가 되었을 때, 그녀가 처음으로 한 조치 가운데 하나는 전사적 리스크 기본틀을 설치한 것이었다. 그 책임자가 되었을 때, 그녀는 즉각 그녀의 첫 번째 데드라인이 4개월밖에 남지 않은 진짜 비현실적인 사실을 알게 됐다. “그 프로젝트에 대한 리스크는 분명했다.”고 그녀는 말한다. “그러나 한편으로 나는 FBI의 정보 분석가들이 그 시스템을 제시간에 갖지 못하게 될 때 발생하는 FBI에 대한 리스크를 따져봤다. 다시 말해 의회에 가서 그 소식을 전할 때, 그것이 FBI 전체 예산 책정에 미치는 영향을 생각한 것이다. ERM의 목표는 전체 연통 시스템(stove system, 다시 말해 조직 전체)의 리스크 또는 각 사일로 사이의 리스크들까지 관리하는 것이다.”
3. 리스크에 대한 최종적인 손익계산 시각: 리스크는 항상 특정 사일로에 대해서가 아니라 회사 전체에 대한 잠재적 영향의 형태로 나타난다. 트릴로지를 위해 전문 프로젝트 매니저들을 고용해야겠다고 결정했을 때, 그녀는 FBI 국장 로버트 멀러에게 그 필요성을 납득시켜야만 했다. 그때 그녀는 프로젝트의 실패 가능성에 초점을 맞추지 않았다. 그녀는 멀러에게 FBI가 그 본연의 임무를 수행할 수 없을 지도 모른다는 리스크가 있다는 것을 설명함으로써 그를 납득시켰다.
4. 리스크에 대한 리스크 사무국의 시각: 갈수록 기업들은 CIO가 획득하기에는 시간과 돈이 부족한 전문지식과 자원을 제공할 수 있는 중역급 리스크 담당사무국을 만들어 ERM을 관장하도록 하고 있다.
CIO의 역할은 다른 모든 사일로 리더의 역할과 같다. 다시 말해 IT 부서 내의 리스크들을 파악한 후, 다른 부서의 리더들과 협력함으로써, 회사 전체의 리스크들을 파악하는 것이다. 이처럼 CIO의 역할은 리스크 사무국에 대한 지원 역할이지만 아주 중요한 것이다. 대부분의 리스크 사무국이 재무 리스크는 잘 알지만, IT와 관련된 운영 리스크들에 대해서는 CIO에 의지하고 있기 때문이다.
5. 리스크에 대한 장기적인 시각: 리스크는 정기적으로 스케줄화된 프로세스가 아니라 지속적이고 끊임없는 행위이다.
이것은 새로운 것이 아니다. 리스크 관리는 관련이 있고 검증된 유사 개념들로부터 나오는 것이기 때문이다. ERM의 삼촌은 1970년대의 품질관리 운동으로, 당시 제조회사들은 품질표준들을 도입했으며 그로 인해 제품의 품질이 높아졌다. ERM의 할아버지는 노벨상을 수상한 게임이론으로, 이것은 경쟁적인 환경 속에서 결정들을 최적화하기 위한 수학적 시스템이다. 그리고 그 원칙들이 오늘날의 리스크 방법론들을 지배하고 있다.
CIO들은 아마도 프로젝트 수준에서 어느 정도의 리스크 관리를 수행하고 있을 것이다. 어느 면에서 ERM은 그것과 똑같은 것이다. 다만 이 경우, 그 프로젝트가 회사라는 것이 다를 뿐이다. ERM이 다른 것은 그 비전의 규모다. ERM의 이상적인 목표(회사 전체에 걸쳐 리스크 관리를 통합한다는 것)는 정말 큰 작업이다.(그리고 지금까지 그 사례가 많지 않은 것은 바로 이 때문이다.)
MIT에서 IT와 관련해 ERM을 연구중인 과학자 조지 웨스터만은 현 시점에서 ERM을 보면 1990년대의 어떤 사람이 전자상거래에 대해 했던 말이 생각난다고 한다. 그것은 10대의 섹스와 같다는 것이다. “모두가 그것을 하고 싶어한다. 모두가 다른 모든 사람은 그것을 하고 있다고 생각한다. 하지만 많은 사람이 그것을 하고 있지 않으며, 어느 누구도 그것을 특별히 잘 하고 있지 않다.”
“그 주제는 너무 크고 두려운 것이다.”라고 웨스터만은 말한다. 따라서 사람들은 그것을 시도조차 해보려 하지 않는다. 그러나 “그것은 너무나 중요하기 때문에 무조건 시작해야만 한다.”고 그는 덧붙인다.
그렇다면 왜 지금?
그렇다면 왜 지금 ERM이 중요해졌는가는 복잡한 문제이지만, 그 원인 가운데는 기업 운영의 기본적인 리스크가 되어 버린 IT가 있다.
|
 맥IT 리스크들의 발생가능성에 대해 근거있는 추측을 함으로써, 바클레이즈 사의 CIO 데이비드 웨이마우스는 그 영향력을 최소화하는 계획을 먼저 세울 수 있었다.
|
첫째, 몇 가지 거시적인 흐름으로 인해 과거에는 기분좋게 무시할 수 있었던 IT와 관련해 비즈니스의 운영과 관련된 몇 가지 리스크들이 자연스럽게 발생하게 됐다. 맨 처음 Y2K가 있었다. 그것은 우리가 의존하고 있는 IT 시스템들이 취약하다는 것에 대한 첫 번째 자각이었다. 그리고 9.11이 있었고 이후 (문자 그대로) 비즈니스는 수 천 개의 리스크에 노출되어 있다는 공감대가 형성되었다. 컴퓨터 바이러스는 끊임없이 업무를 방해하면서 나쁜 소프트웨어를 사용하는데 따른 리스크를 증명하고 있다. 최근에는 개인 데이터의 대규모 도난만으로도 기업의 명성이 크게 침해받을 수 있다는 리스크도 입증되었다. 물론 이밖에도 테러, 정치적 불안정, 전쟁, 기후 등 고려해야 할 글로벌 리스크는 수도 없다.
이런 리스크들이 갑자기 고려의 대상이 된 이유는 IT 시스템들이 갈수록 비즈니스에 중요한 역할을 하고 있기 때문이다. 오늘날 잘못된 IT 결정 하나가 심각한 피해를 줄 수 있으며, 심할 경우에는 회사 자체를 무너뜨릴 수 있다.
ERM을 밀어붙이고 있는 두 번째 요인은 각종 규제 환경 및 변덕스런 글로벌 비즈니스 환경 속에서 자사를 보호하고자 하는 몇몇 업계의 노력이다.
예를 들면, 바젤 II 협약(10개국의 유수 금융서비스 기관들이 주도하고 있는 협약)에 따라 금융 서비스 회사들은 자사에서 발견된 리스크의 수준을 상쇄할 수 있을 자본을 사전에 정의된 만큼 유지해야만 한다.(그에 대한 지침은 협약에서 정해짐.) 1988년에 나온 바젤 I과 달리 바젤 II는 자본 리스크뿐 아니라 운영 리스크(IT 시스템들이 회사에서 만들어내는 리스크들을 포함)까지 다루고 있다. 다시 말해 바젤 II는 전사적 리스크 관리 가운데 일정 부분을 관장하고 있다.
이와 마찬가지로 트레드웨이 위원회의 COSO(Treadway Commission’s Committee on Sponsoring Organizations, 사기성 있는 재무 보고서와 싸우기 위해 1985년에 자발적으로 설립된 민간기구)는 전사적위험관리의 기본틀을 만들었다. 그리고 정보시스템감사통제협회(Issca)는 코빗(Cobit: Control Objective for Information and related Technology)을 만들었는데, 이것은 전사적위험관리의 기본틀에 대한 구현 방법을 설명해 주는 문서다. 2개 문서 모두 기업이 ERM을 시작하는데 도움을 얻을 수 있도록 설계되어 있다.
물론 미국의 회계개혁법(Sarbanes-Oxley)도 있다. ERM을 촉진하는 엔진은 아니지만, 이 법도 ERM의 보급에 일조를 할 지 모른다. 감옥에 가고 싶어하는 CEO는 없기 때문이다. “우리는 법규준수 프로그램에 2억5100만 달러에 달하는 돈을 썼다. 법규를 준수하는 문제는 우리가 관리할 필요가 있는 아주 큰 리스크다.”라고 영국의 금융서비스 회사인 바클레이즈 사의 CIO 데이비드 웨이마우스는 말한다.
맥캔의 CIO 샤론은 회계개혁법이 자신에게는 무섭지만 친숙하게 들리는 것이며, 지금이 리스크 관리를 시작해야 할 적절한 시점이란 것에 대한 좋은 증거가 되고 있다고 말한다. 엔론 등의 회계 스캔들이 일어났을 때, 그는 금융서비스 업계에서 일하고 있었다. 재무 분야를 깨끗하게 하기 위한 어떤 법률을 준수하기 위해, “우리는 리스크 관리 프로세스를 도입하고 리스크를 제대로 평가하기 위해 이미 2년의 시간을 보낸 상태였다. 그리고 한참 후 사람들은 ‘이제야 제대로 비즈니스를 할 수 있게 됐군.’이라고 말했다.”고 그는 말한다. 그러나 그 같은 법률준수는 더 큰 리스크 평가 프로젝트의 부산물일 뿐이다. 그와 비슷하게 ERM을 통한 회계개혁법의 준수는 그것이 목표가 아니라 리스크 관리의 부산물이 될 것이라고 샤론은 예상한다.
마지막 세 번째로 ERM를 촉진하는 요인은 그것이 실제로 효과가 있다는 증거가 갈수록 늘어나고 있다는 사실에 있다:
■ MIT의 웨스터만은 현업-IT 제휴 및 리스크 자신감 사이에는 상관관계가 있다는 사실을 알아냈다. 다시 말해 CIO가 자신의 운영 리스크를 관리하는 능력에 자신감을 가지고 있으면 있을수록, 그 CIO는 현업과 더 잘 제휴하고 있다고 말했다는 것이다.
■ UMT(University of Management and Technology)의 학장인 데이비슨 프레임은 어떤 회사와 협력해 그 회사에 리스크 관리를 구현했으며, 이후 사업부문 책임자들로 하여금 IT 프로젝트들과 관련해 각자의 비즈니스에 미치는 리스크들에 대해 확인하도록 했다. 그러자 프로젝트 성공률이 즉시 상승했다. 그리고 아마도 이보다 더 중요한 점은 그 회사가 시작하는 프로젝트의 수가 3개월만에 25%나 줄었다는 점일 것이다.
이 같은 연구결과는 CIO들과 리스크 전문가들이 수없이 말해왔던 ERM의 핵심 매력을 다시 한번 입증해 준다. 다시 말해 ERM을 통해 기업은 너무 위험한 것으로 증명된 투자나 운영으로 인한 값비싼 실패를 피할 수 있도록 의사결정 능력을 개선할 수 있다는 것이다.
“현재 우리는 부동산을 이동시키고 있다.”고 웨이마우스는 말한다. 전사적위험관리의 경우, 현업부서들은 그런 이동에 따라 발생하는 사항들을 각자의 계획 및 보고서에 고려할 수 있다. “예를 들어, 전화 관련 프로젝트를 수행중인 어떤 그룹이 우리에게 그 같은 이동으로 인해 그 프로젝트를 성공적으로 완료할 수 없을지도 모른다고 말할 경우, 우리는 이제 그것을 고려해 자원을 움직이거나 그 프로젝트를 보류함으로써 그 리스크가 회사에 미치는 영향을 최소화할 수 있다. 어떤 조치를 취하든, 우리는 그런 요소들을 고려하지 않았을 때보다 훨씬 나은 결정을 내릴 수 있다.”
|
리스크에 대한 오해
개념으로서의 리스크는 잘 이해되지 못하고 있다. 그 잘못을 바로잡아보자.
1. 리스크(risk)는 불확실성(uncertainty)과 같은 것이다. 그렇지 않다. 경제학자 프랭크 나이트는 불확실성이란 어떤 사건의 확률을 알지 못할 때를 말하며, 리스크란 그 확률을 알고 있지만 불완전한 정보로 관리하고 있을 때를 말한다면서 그 차이점을 지적한다.
2. 리스크 관리는 도박이란 말을 좋게 표현한 것뿐이다. 그렇지 않다. 록웰 콜린스의 수석 리스크 분석가 아트 젬머는 이렇게 그 차이점을 구분한다. 다시 말해 도박사들은 자신들이 취해야 할 리스크를 잘 따져본 후 적당하다고 생각하는 것을 선택할 수 있는 반면, 비즈니스의 경우에는 리스크들이 이미 존재하고 있으며 그것들을 관리해야만 한다는 것이다.
3. ERM은 TQM(Total Quality Management)과 같은 것이다. 그렇지 않다. 품질관리 운동과 전사적 리스크 관리 운동 사이에 연관성이 없는 것은 아니지만(양쪽 개념 모두 전사 차원의 관리 표준들을 확립해야 한다는 것), ERM은 기업이 생산하는 제품의 품질을 개선하는 것이 아니라 의사를 결정하는데 필요한 정보의 품질을 개선하기 위한 것이다. |
하지만 그것을 할 시간이 없다
리스크 전문가들은 CIO들이 ERM을 이해하지 못하고 있기 때문에 그에 대해 큰 거부감을 보일 것이라고 예상한다.<‘리스크에 대한 오해’ 박스 참조> 따라서 우리는 CIO들이 왜 그런 거부감을 느끼는지를 보여주는 한편, 왜 ERM을 거부해서는 안되는 가에 대해서도 알려줌으로써 CIO들이 ERM 물결에 합류할 수 있도록 도와주고자 한다.
거부감: 이미 일에 치여있는 상황이다. 그런데 당신은 내게 이 거대한 새 프로젝트를 시작하라고 요청하고 있다.
반론: 물론 몇 가지 사전 정지작업은 필요할 것이다. 그러나 대부분의 경우 ERM 중심의 회사가 되는데 참여하는 것이 더 많은 일을 의미하거나 관료주의적 시스템이 부가된다는 의미는 아니다. 오히려 그것은 CIO의 업무에 대한 새로운 접근법이 될 수 있다. 만약 CIO가 ERM을 올바르게 하고 있다면, 자신이 그것을 하고 있다는 사실조차 인식하지 못할 것이다. 베송은 그것을 “우리의 새로운 일상”이라고 부르며, 웨이마우스는 “나는 리스크를 통해 관리하고 있다.”고 말한다.
단지 어려운 부분은 CIO들이 그들의 초점을 기술 중심의 시각에서 리스크 중심의 시각으로 이동해야 한다는 것이다. 이 때문에 그 일을 도와줄 수 있는 리스크 전문가가 CIO들에게 필요할 수 있다. 다음의 거부감이 그것이다.
거부감: 나는 이 일을 할 수 있는 전문지식을 갖고 있지 않으며, 그런 전문지식을 갖고 있는 스탭도 없다. 그리고 나는 장시간의 강의를 듣거나 5권의 책을 읽을 시간이 없다.
반론: 바로 이 때문에 리스크 담당중역이 필요한 것이다. 그런 것들은 IT 부서가 시작하는데 필요한 모든 도구와 교육/훈련을 제공하는 CRO(Chief Risk Officer) 같은 전사 리스크 전문가의 일이라고 램은 말한다.
“사람들은 혼자 힘으로 이 일을 해 나갈 수 없다.”고 록웰 콜린스의 젬머는 말한다. “예전에 나는 내부적으로 리스크와 관련해 도움을 요청하는 전화를 기껏해야 1년에 15∼20통 정도 받았다. 그러나 지금은 1주일에 2통 이상을 받고 있다. 그것은 사람들이 리스크 관리가 일을 하기 위한 올바른 방법이란 것을 인식했으며, 그것을 토대로 일을 제대로 수행하고 싶어하기 때문이다.”
리스크 사무국(FBI의 히긴스처럼 1인 사무국이든 아니면 많은 직원을 가진 곳이든 상관없이)은 리스크 자원에 대한 정보센터로 역할함으로써 각종 세부사항(예를 들면 몬테카를로 시뮬레이션)을 쉽게 찾거나 배울 수 있게 해줘야 한다. 또 리스크 사무국은 리스크 평가 프로세스를 기반으로 해서 만들어진 표준들을 강제하고 각종 리스크에 대해 쉽게 이해할 수 있는 보고서(회사가 더 나은 결정을 내릴 수 있도록)를 생산하는 책임을 져야만 한다. 만약 회사에 리스크 담당중역이 없을 경우, CIO는 컨설턴트를 고용해 그 일을 시작할 수 있다. 그러나 결국 컨설턴트도 CIO에게 해당 업계에 익숙한 리스크 전문가를 고용하라고 조언할 것이다.
거부감: 나는 이미 지배구조 메커니즘을 구현하고 있다.
반론: MIT의 CISR(Center for Information Systems Research) 소장 피터 웨일은 IT 지배구조가 탄탄할수록 회사의 성공률이 높아진다는 것을 보여준다. 그리고 ERM은 탄탄한 IT 지배구조를 위한 기본틀이다. “IT 부서와 CIO가 인식해야 하는 것은 ERM이 기회라는 것이다.”라고 컨설팅 회사인 포네몬(Ponemon Institute)의 회장 겸 창업자 래리 포네몬은 말한다. “ERM은 CIO의 경쟁력을 높여준다. ERM은 CIO가 더 나은 결정을 내릴 수 있게 해 준다. ERM은 CIO를 더 똑똑하게 만들어준다.”
브리티쉬 텔레콤(지금은 BT 그룹)의 은퇴이사인 하베이 파는 어떤 고객사의 IT 프로젝트에 대한 입찰건을 아직도 기억하고 있는데, 그 프로젝트는 너무 위험이 큰 것처럼 보였다. “그러나 우리는 리스크 프로세스를 돌렸으며, 그 결과 그 리스크들이 제어될 수 있다는 것을 알게 됐다. 우리의 경쟁사들은 입찰에 참여하지 않았는데, 처음 우리가 생각한 것처럼 그것이 너무 위험하다고 봤기 때문이었다. 그래서 우리는 단독 입찰했고 그것을 수주했다.”
거부감: 통계학!
반론: 무서워 마라. 물론 리스크에 깊게 들어간 기업들은 그것을 평가하기 위해 통계학적 접근법을 사용할 것이다. 다시 말해 확률과 경제학적 개념들, 예를 들면 연간손실기대값(ALE) 등이 일반적으로 사용될 것이다. 그러나 리스크 전문가들은 그 수치들에 대해 충분히 알고 있으며, 그리고 어떤 면에서 수치는 정성분석(qualitative analysis)만큼 중요한 것이 아니다.
리스크 전문가들은 CIO들이 가장 크게 거부감을 느끼는 것이 바로 이 통계와 관련된 것이라고 말한다. 이것은 IT가 원래 정밀함으로 보상받는 전문직이기 때문에, 자연히 CIO들은 확률과 영향력에 대한 통계치를 아주 정밀한 수준까지 파악하려는 속성을 갖고 있기 때문일지 모른다.
그러나 리스크, 특히 전사 차원의 리스크는 정밀성(precision)에 관한 것이 아니다. 그것은 정확성(accuracy)에 관한 것이다. ERM은 빌딩을 공격하기 위해 비행기를 사용하는 테러범들과 그것이 금융분야에 미치는 영향을 과학적으로 예측하도록 설계된 것이 아니다. ERM은 그 정도 규모의 재앙이 발생할 확률과 그 영향력을 평가한 후, 그런 리스크를 완화하기 위해 취할 수 있는 조처를 미리 정해놓을 수 있도록 설계된 것이다.
“뉴욕의 세계무역센터를 봐라.”고 데이비슨 프레임은 말한다. “오래 전에 그 층계가 너무 좁다는 리스크 평가가 나왔으며, 그 리스크를 완화하기 위해 그 디자인을 바꿨었다고 가정해 보면 아마도 수천명의 사람이 살아났을 지도 모른다.” 물론 그 리스크 프로세스에는 테러 공격에 따라 층계에 사람들이 집중될 수 있다는 점이 고려되지 않았을 가능성이 높다. 하지만 그럼에도 그 프로세스는 테러 공격에 유용했음이 증명되었다. 그것은 정밀한 예측이 아니었다. 그것은 정확한 평가였다.
|
IT만이 ERM을 가능하게 해 준다
전사 차원의 ERM 프로그램이란 문화적 변화에 참여하는 것 외에, IT 부서는 리스크 관리에서 또 다른 중요한 역할을 해야 한다. 그것은 회사가 리스크들에 대해 정보를 수집하는데 사용하게 될 시스템을 만드는 것이다.
“ERM은 IT 부서가 인프라를 가지고 지원을 해 주기 전에는 작동을 하지 않을 것이다.”라고 컨설턴트인 제임스 램은 말한다.[그는 GE 캐피탈에서 비즈니스계에서는 최초로 최고리스크중역(CRO)으로 일했었다.] “IT 부서가 개발해야 하는 가장 중요한 애플리케이션은 대시보드(dashboard)로, 이것은 회사 전체에서 리스크 데이터를 수집해 현업중역이 쉽게 이해할 수 있는 형태로 보고해 준다.”고 그는 말한다. 현업부서가 특정 리스크들을 갖고 있다고 보고할 때, 그 시스템은 그 정보를 기록하게 되는데, 그와 함께 관련 데이터도 기록하게 된다.
예를 들면, 미국의 회계개혁법에 따라 미국 기업들은 영업일수로 4일 안에 물리적 사건들에 대해 보고해야만 한다고 램은 말한다. 그러나 “만약 미증권거래위원회가 4일이라고 규정했다면, 기업은 최소한 1일 안에는 그 사건을 알고 있어야만 한다.”고 그는 말한다. “그렇게 하려면 당연히 그런 IT 플랫폼을 갖추고 있어야만 한다.”
현 시점에서 그렇게 해 줄 수 있는 상용제품은 없다고 램은 말한다. 하지만 CIO는 통계 소프트웨어와 데이터베이스들을 가지고 그 일을 할 수 있을 것이다.
리스크 관련서적
- 피터 번스테인 저, “Against the Gods: The Remarkable Story of Risk”
- 스티븐 루트 저, “Beyond Coso: Internal Control to Enhance Corporate Governance”
- 제임스 램 저, “Enterprise Risk Management: From Incentives to Controls”
- 토마스 바튼/윌리엄 쉔킬/폴 워커 공저, “Making Enterprise Risk Management Pay Off: How Leading Companies Implement Risk Management”
- 더글라스 호프만 저, “Managing Operational Risk: 20 Firmwide Best Practice Strategies”
- 데이비슨 프레임 저, “Managing Risk in Organizations”
- 메리 팻 맥카시/티모시 플린 공저, “Risk: From the CEO and Board Perspective” |
좋다. 그렇다면 어떻게 시작해야 하는가?
ERM은 확실히 어려운 일이 될 것이다. 그러나 그 수고에 대한 대가는 생각보다 더 빨리 나올 것이라고 프레임은 말한다. “무조건 시작해라. 그러면 6개월 안에 결정들을 더 잘 내릴 수 있게 만들어 주는 데이터를 갖게 될 것이다.”
기업이 이용할 수 있는 방법론은 많이 있다. 그러나 어떤 방법론을 선택하느냐보다는 현재 이용중인 내부 IT 시스템들이 고객들에게 어떤 의미를 갖고 있느냐가 더욱 중요하다. 예를 들면, 웨이마우스는 바클레이즈가 코빗(Cobit)에 기반한 리스크 프로세스를 사용하고 있지만, 그렇다고 그가 그 코빗의 내용을 세세하게 알고 있는 것은 아니라고 말한다.
컨설턴트인 램은 세부사항에 너무 얽매이지 말고 그냥 시작해 보라고 조언한다. 먼저 “그 프로세스를 마치면 최종결과보다 더 큰 가치가 나올 것이다.”라고 그는 말한다. “프로세스 그 자체를 통해 모든 숨겨진 리스크, 모든 상호의존성, 이전에는 한번도 고려해 본 적이 없는 현업부서들 전체에 걸친 리스크들이 노출되기 시작할 것이다.”
다음은 특정 방법론에 얽매일 필요없이 시작할 수 있는 몇 가지 기본적인 사항들이다.
1. 리스크 확인 이것은 기본적으로 난상토론(brainstorming)이다. “이것은 정말 너무나 간단한 것이다.”라고 히긴스는 말한다. “이것은 전적으로 ‘만약에’에 관한 것이다.” 맥캔의 샤론은 이전에 리스크 담당중역으로 일했을 때 IT 스탭과 현업의 최종사용자들에게 5가지 항목의 리스크들에 대해 등급을 매겨달라는 질문지를 나눠준 적이 있었다고 경험담을 얘기한다. 이처럼 CIO는 인사, IT, 법률, 재무 등 부서의 리더들과 미팅을 가진 후 회사의 리스크들에 대해 난상토론을 벌일 필요가 있다.
IT 부서는 IT가 회사에 미치는 환경적 리스크들에 대해 말해달라는 요청을 받게 될 것이다. 록웰 콜린스의 경우, 대형 회오리바람이 인프라를 파괴하거나 시스템의 가동중단 사태를 유발할 수 있는 리스크가 언급되었을 것이다. 하지만 록웰 콜린스의 본부가 있는 “미국 중서부의 아이오와 주에서는 태풍에 대해 생각할 필요가 없을 것이다.”라고 젬머는 말한다. 반면 플로리다 주의 CIO는 태풍을 심각하게 고려해야만 할 것이다. 이후 그 토론은 회사 차원으로 이동된다. 다시 말해 만약 시스템이 가동중단될 때, 그것이 비즈니스에 미치는 영향은? 매출 손실은? 콜센터가 고객에 대응할 수 없을 때 받게 되는 부정적 이미지는? 등등이다.
요점은 이야기를 나누는 것이며, 대화를 통해 다른 경우라면 간과될 지도 모르는 리스크들을 파악하자는 것이다.
2. 리스크 평가 전사적 리스크들을 확인했다. 그러면 이제는 그것들을 항목별로 구분할 필요가 있다. 이 일을 시작하는 가장 쉬운 방법은 그것들을 확률-영향력 도표에 그려 넣는 것이다. 확률 축 및 영향력 축 각각에 높음/중간/낮음의 3단계로 표시하는 간단한 도표를 통해 기업은 각 리스크의 확률과 영향력 정도를 쉽게 파악할 수 있다. 다음은 바클레이즈의 웨이마우스가 라이선스를 받지 않은 소프트웨어에 대한 리스크를 관리하는 방법에 대한 설명이다. “만약 9만5천대의 데스크탑을 갖고 있다면, 라이선스를 받지 않은 소프트웨어는 회사에 리스크가 될 수 있다.
우리는 총(gross) 리스크를 수치화한다. 라이선스를 사야하거나 벌금을 지불해야 하는 등 최악의 시나리오의 경우, 그 총액은 X가 될 것이다. 그러나 우리는 그 위험을 완화할 수 있다. 예를 들면, 라이선스 감사를 실시하거나, 경각심을 높인다. 따라서 이런 일을 통해 우리는 최악의 시나리오가 완화시키며, 실제로 그 총액은 .2X가 될 것이라고 생각한다. 이후 우리는 순(net) 리스크의 발생 확률을 알아본다.”
다시 한번 말하지만 여기서 핵심은 정밀성이 아니라 정확성이다. 만약 웨이마우스가 실제 수치들을 사용하게 되면, .2는 그가 실제로 경험해서 나온 수치와 비슷할 것이다. 그러나 정확성보다 훨씬 더 중요한 것은 일관성(consistency)이다. 다시 말해 회사의 모든 부서가 ‘높음/중간/낮음’을 동일한 방식으로 정의해 사용해야 한다는 것이다.
MIT의 웨스터만은 한 글로벌 화학사의 예를 드는데, 그 회사는 높은 영향력을 운영자본의 10%에 미치는 어떤 것, 중간 영향력은 5∼10% 사이, 낮은 영향력은 5% 미만으로 정의하고 있다. 높은 영향력을 가진 리스크는 연간 1회 정도 발생한다. 중간은 1∼5년 정도, 그리고 낮은 영향력은 향후 5년 안에 발생할 가능성이 없다고 보고 있다. 여기서 요점은 모든 부서가 동일한 평가기준을 사용하며, 동일한 리스크 언어로 말하고 있다는 것이다.
3. 리스크 완화 최종적으로 CIO는 회사의 모든 리스크에 대해 그릴 수 있게 될 것이다. 그리고 이를 통해 CIO는 어떻게 리스크들을 컨트롤하고 있는지, 그런 컨트롤이 얼마나 효과적인지, 취할 필요가 있는 다른 조치는 무엇이 있는지 등을 살펴볼 수 있을 것이다. 리스크를 파악하는 일과 관련해 리스크 사무국을 잘 도와주고는 있다고 해도, 실제로 리스크를 완화하는 문제에 부딪치게 되면, 이제 CIO는 주도적인 역할을 하지 않을 수 없을 것이다.
리스크 사무국은 라이선스를 받지 않은 소프트웨어 같은 리스크들의 확인작업을 조율할 수 있다. 그러나 정기적인 소프트웨어 재고조사나 데스크탑 구성에 대한 통제 등 그런 리스크를 완화할 수 있는 대책을 실제로 구현할 수 있는 사람은 CIO밖에 없다.
히긴스가 FBI에서 리스크 관리 기본틀을 구현했을 때, 그녀는 자기 프로젝트의 데스크탑 현대화 부분을 구현하는 동안 발생할 수 있는 리스크 가운데 하나가 사용자들을 위한 변화관리라는 것을 알게 됐다. 만약 제대로 변화관리를 하지 않을 경우, 사용자 생산성은 크게 떨어질 것이었다. 이것은 범죄와 싸우는 정보 분석가들의 역량에 큰 영향을 미칠 수 있었으며, 현재의 정치적 환경에서 민감한 문제가 될 가능성이 높았다.(리스크가 IT에서 분석가로, 그리고 다시 정치로 연결되는 상황을 주목하기 바란다. 이것은 리스크의 영향력이 단순히 IT에 국한되지 않는다는 것을 잘 보여주는 증거다.) 히긴스는 소규모로 배포작업을 시험했으며, 그 시험 프로젝트를 통해 나온 데이터를 사용해 그 프로젝트의 리스크 상황을 조정했다.
이 단계에 오면, CIO는 리스크 데이터가 말해주는 사항을 토대로 결정을 내리고 있을 것이다. 이제 CIO는 리스크의 원칙들에 의해 관리하기 시작한 것이다.
르네상스 CIO
일단 ERM이 시작되면, 그것을 멈출 수는 없다. ERM의 진정한 가치는 그것이 일상 비즈니스의 연속적인 일부분이 될 때 나오기 때문이다. 6개월마다 대규모의 리스크 평가를 수행하면, 6개월마다 찬장을 살펴보고는 식료품 쇼핑 목록을 관리하는 것처럼, 회사 차원의 리스크를 관리할 수 있게 될 것이다.
이와는 또 다른 비유법도 있다. 록웰 콜린시의 젬머는 연속적인 전사적 리스크 관리를 기묘한 겨울 스포츠인 컬링(curling)에 비유한다. 컬링의 경우, 참가자들은 무거운 돌을 빙판에 던지며, 그러면 팀원들은 그 돌이 움직이는 길 앞을 열심히 닦음으로써 그 돌의 진행에 미치는 영향을 최소화하려고 한다. 컬링의 목표는 가능한 고득점 원 안에 그 돌을 집어넣는 것이다.
그 돌은 기업이다. 돌을 던지는 것은 최초의 리스크 전략이다. 빙판을 닦는 일은 연속적인 리스크 관리다. 젬머는 그 목표가 회사를 ERM이란 원 안에 집어넣는 것이라고 말한다.
다시 말해 그 돌이 목표 영역(기업의 경우 이것은 전반적인 확률과 주주 가치에 대한 것)에 다가가는 동안, “불확실성(결과물에 대한)은 줄어들지만, 기업의 선택폭 또한 더 제한된다.” 이것은 창조적인 비유법으로, 젬머가 IT 분야 이외의 세상에도 관심을 갖고 있기 때문에 나올 수 있는 것이다. 사실 리스크 관리와 관련해 얘기를 나눠본 거의 모든 전문가에 따르면, 가장 성공적으로 ERM를 구현한 사람들은 그 경력과 개인적 삶에서 아주 다양한 경험을 한 사람이라고 한다.
만약 당신이 르네상스 CIO라면, 다시 말해 만약 IT 이외의 분야에도 관심이 있고, 다양한 경험과 지식을 갖고 있으며, IT란 사일로 밖에서 생각할 수 있는 능력이 있고, 회사의 역사와 문화를 잘 이해하고 있다면, 당신이 성공적인 ERM 중심의 회사를 만들 가능성은 훨씬 높아질 것이다. “내 전임자는 기술 측면에 관해서는 나보다 10배는 더 똑똑한 사람이었다.”고 샤론은 말한다. “그러나 그는 나만큼 리스크에 대해 현업과 의사소통을 잘 하지 못했다.”
베송도 CIO들이 다재다능해야만 한다는 점에 동의한다. “우리는 항공기에 TCAS(Traffic Alert and Collision Avoidance System)란 시스템을 설치한다. 그 시스템은 항공기 주변의 25마일 반경 영공에 대해 끊임없이 모니터해 물체를 포착한다. 그 시스템은 각 물체의 방향과 속도를 계산한 후 그 코스를 예상한다. 만약 항공기가 가고 있는 코스로 어떤 물체가 오고 있다면, 그 시스템은 조종사에게 경보를 발하고 가능한 대응책들을 알려준다.”
“이제 CIO의 역할은, TCAS가 3만5천 피트 상공에서 조종사들에게 해 주는 것과 똑같은 일을, 지상의 비즈니스 매니저들에게 해 주는 것이다. 그 일은 내가 지금껏 한 것 가운데 가장 도전적이고 기분좋은 일이었다.”  | 