GRC와 윤리, 그리고 비즈니스

기업이 지속적으로 성장하기 위해서는 전략과 성과만으로는 충분하지 않다. 조직이 어떤 원칙에 따라 의사결정을 내리는지, 어떤 위험을 관리하는지, 법과 규정 및 내부 기준을 어떻게 준수하는지가 함께 중요하다. 이러한 문제를 통합적으로 이해하는 개념이 GRC이다.

GRC는 거버넌스(Governance), 리스크 관리(Risk Management), 컴플라이언스(Compliance)를 의미한다. 세 영역은 각각 다른 역할을 수행하지만 실제 기업 경영에서는 서로 긴밀하게 연결되어 있다.

그리고 GRC가 효과적으로 작동하기 위해서는 제도와 절차뿐 아니라 인테그리티(Integrity), 윤리적 가치, 기업문화가 함께 뒷받침되어야 한다.

GRC란 무엇인가

거버넌스(Governance)

GRC의 G는 거버넌스를 의미한다. 거버넌스는 전통적으로 이사회와 경영진, 주주 사이에서 권한이 어떻게 배분되는지를 설명하는 개념으로 사용되어 왔다.

그러나 오늘날 거버넌스는 보다 넓은 의미로 이해된다. 기업의 중요한 의사결정을 누가 내리는지, 어떤 권한과 책임을 가지고 판단하는지, 의사결정의 결과에 대해 누가 책임을 부담하는지가 모두 거버넌스의 문제와 연결된다.

따라서 거버넌스는 단순히 이사회의 구조에 관한 문제가 아니다. 최고경영진에서 각 조직의 관리자에 이르기까지 기업의 의사결정과 권한, 책임의 구조를 어떻게 설계하고 운영할 것인가를 다루는 개념이라고 할 수 있다.

리스크 관리(Risk Management)

GRC의 R은 리스크 관리를 의미한다. 기업은 불확실성 속에서 경영활동을 수행한다. 시장의 변화, 경쟁, 기술, 법과 규제, 재무, 인력, 공급망을 비롯한 다양한 요인이 기업의 목표 달성에 영향을 미칠 수 있다.

리스크 관리는 이러한 불확실성을 파악하고 평가하며 적절하게 대응하는 활동이다. 리스크 관리의 범위는 단순한 위험 평가에서부터 기업 전체의 위험을 통합적으로 관리하는 전사적 리스크 관리에 이르기까지 다양하다.

중요한 것은 리스크 관리가 모든 위험을 제거하는 활동은 아니라는 점이다. 기업은 사업을 수행하는 과정에서 일정한 위험을 감수할 수밖에 없다.

따라서 어떤 위험을 받아들이고, 어떤 위험을 줄이며, 어떤 위험에 보다 적극적으로 대응할 것인지를 판단하는 것이 리스크 관리의 중요한 역할이다.

컴플라이언스(Compliance)

GRC의 C는 컴플라이언스를 의미한다. 컴플라이언스는 원래 기업에 적용되는 법률과 규제를 준수하는 것을 의미했다. 그러나 오늘날에는 기업 내부의 정책과 규정, 행동기준을 준수하는 것까지 포함하는 의미로 넓게 사용되고 있다.

따라서 컴플라이언스는 단순히 법을 위반하지 않는 문제에 그치지 않는다. 기업에 적용되는 외부의 법과 규정뿐 아니라 기업이 스스로 정한 정책과 기준이 실제 업무 과정에서 지켜지도록 하는 활동과 체계를 포함한다.

GRC에서 기업문화가 중요한 이유

GRC를 제도와 절차만으로 이해하는 것은 충분하지 않다. 기업은 정책을 만들고, 규정을 정비하며, 책임체계를 수립할 수 있다. 그러나 조직 구성원이 그러한 원칙을 중요하게 받아들이지 않거나 실제 경영진의 행동이 규정과 다르다면 제도는 형식적으로만 존재할 수 있다.

여기에서 기업문화와 인테그리티의 문제가 중요해진다. 기업문화는 구성원들이 조직에서 실제로 경험하는 가치와 행동의 방식이다. 조직 안에서 무엇이 중요하게 평가되는지, 어떤 행동이 허용되고 어떤 행동이 허용되지 않는지, 성과와 윤리가 충돌할 때 무엇을 우선하는지 등이 기업문화를 형성한다.

특히 경영진의 행동은 기업문화에 큰 영향을 미친다. 이를 흔히 상부의 기조(Tone at the Top)라고 한다. 최고경영진이 윤리와 인테그리티를 강조한다고 하더라도 실제 의사결정과 행동이 그 원칙과 일치하지 않는다면 구성원은 공식적인 선언보다 경영진의 행동을 통해 조직의 진짜 기준을 판단하게 된다.

따라서 GRC에서 중요한 것은 기업이 무엇을 선언하는가뿐 아니라 실제로 어떻게 행동하는가이다.

기업의 정책과 실제 행동은 일치하는가

대부분의 기업은 정책과 행동규범을 통해 법을 준수하고, 임직원을 존중하며, 사회적 책임을 다하겠다고 밝힌다. 그러나 기업의 공식적인 약속과 실제 조직에서 일어나는 행동 사이에는 차이가 존재할 수 있다.

기업은 임직원의 존엄과 공정한 대우를 약속할 수 있지만 실제 조직에서는 부당한 차별이나 불공정한 처우가 발생할 수 있다. 환경 보호를 중요한 가치로 제시하면서도 실제 사업 활동에서는 그 가치와 충돌하는 결정을 내릴 수도 있다.

따라서 기업의 윤리성을 정책 문서만으로 판단하기는 어렵다. 기업이 실제로 어떤 의사결정을 내리는지, 구성원을 어떻게 대하는지, 문제가 발생했을 때 어떤 기준으로 대응하는지가 기업문화의 실질적인 모습을 보여준다.

윤리강령만으로는 충분하지 않다

연암사 출판사에서 출간한 [거버넌스 리스크관리 컴플라이언스]에는 미국의 엔론(Enron) 이러한 문제를 보여주는 대표적인 사례로 언급된다. 엔론은 인간존중, 인테그리티, 의사소통, 탁월함 등을 기업의 중요한 가치로 제시하고 있었으며 상당한 분량의 윤리강령도 보유하고 있었다.

그러나 실제 경영진의 행동과 기업문화는 이러한 선언과 일치하지 않았다. 윤리와 컴플라이언스를 위한 제도가 존재했음에도 실제 조직 안에서는 부정직한 회계와 부패한 문화가 지속되었다.

이처럼 윤리강령이나 컴플라이언스 프로그램이 존재한다는 사실만으로 기업의 윤리성과 책임 있는 경영이 보장되는 것은 아니다. 제도와 규정이 실제 기업문화와 연결되지 않는다면 그것은 형식적인 장치에 머물 수 있다.

효과적인 윤리 컴플라이언스 프로그램

효과적인 윤리 컴플라이언스 프로그램은 단순히 법규 위반을 찾아내고 처벌하기 위한 체계가 아니다. 기업이 중요하게 생각하는 가치가 실제 의사결정과 행동으로 이어지도록 하고, 건강한 기업문화를 형성하고 유지하는 역할을 해야 한다.

기업의 구성원은 조직이 실제로 무엇을 중요하게 생각하는지 매우 민감하게 판단한다. 경영진이 어떻게 행동하는지, 관리자가 어떤 결정을 내리는지, 문제가 발생했을 때 조직이 어떻게 대응하는지, 성과가 높은 구성원의 비윤리적 행동을 어떻게 처리하는지 등이 모두 조직문화에 영향을 미친다.

따라서 윤리 컴플라이언스 프로그램은 윤리강령과 교육만으로 완성되지 않는다. 경영진의 행동, 내부 정책, 인사와 보상, 내부통제, 신고와 조사, 책임과 제재가 서로 일관된 방향으로 작동할 필요가 있다. 그럴 때 윤리와 컴플라이언스는 문서상의 원칙을 넘어 실제 기업문화의 일부가 될 수 있다.

윤리와 GRC는 어떻게 연결되는가

윤리와 GRC는 동일한 개념이 아니다. 윤리는 기업과 구성원이 어떤 가치와 기준에 따라 판단하고 행동해야 하는가를 묻는다.

거버넌스는 누가 어떤 권한으로 의사결정을 내리고 그 결과에 책임을 부담할 것인가를 다룬다.

리스크 관리는 기업의 목표 달성에 영향을 미치는 불확실성을 어떻게 파악하고 관리할 것인가를 다룬다.

컴플라이언스는 법과 규정, 그리고 기업이 정한 정책과 행동기준을 조직 안에서 어떻게 준수하도록 할 것인가를 다룬다.

각 영역의 역할은 서로 다르다. 그러나 실제 기업 경영에서는 윤리와 GRC를 완전히 분리하기 어렵다. 윤리적 원칙이 있어도 적절한 거버넌스와 책임체계가 없다면 실제 의사결정으로 이어지기 어렵다. 정교한 리스크 관리와 컴플라이언스 제도가 있어도 기업문화가 이를 뒷받침하지 못한다면 제도가 형식적으로 운영될 수 있다.

반대로 인테그리티와 윤리적 가치를 중요하게 생각하는 기업문화는 거버넌스와 리스크 관리, 컴플라이언스 체계가 효과적으로 작동할 수 있는 중요한 기반이 된다.

제도와 문화가 함께 작동해야 한다

기업의 지속가능성은 얼마나 많은 규정과 정책을 가지고 있는가만으로 결정되지 않는다. 기업이 어떤 가치에 따라 의사결정을 내리는지, 경영진이 그 가치와 일치하는 행동을 하는지, 구성원들이 조직의 원칙을 신뢰하는지가 중요하다.

인테그리티와 윤리적 가치를 중시하는 기업문화는 고객과 공급자, 투자자, 비즈니스 파트너, 임직원과의 신뢰를 형성하는 데 중요한 기반이 될 수 있다.

반대로 비윤리적인 행동이 반복되고 조직이 이를 묵인한다면 구성원의 신뢰와 사기는 약화될 수 있다. 아무리 정교한 제도와 규정을 갖추고 있더라도 기업문화가 이를 뒷받침하지 못한다면 GRC의 실효성 역시 떨어질 수 있다. 따라서 책임 있는 기업경영을 위해서는 GRC라는 제도적 구조와 윤리적 기업문화를 함께 이해해야 한다.

거버넌스와 리스크 관리, 컴플라이언스는 기업이 책임 있게 운영되기 위한 구조와 체계를 제공한다. 윤리와 인테그리티는 그 구조와 체계가 어떤 가치와 기준에 따라 작동해야 하는지를 보여준다.

GRC는 제도만의 문제가 아니며, 윤리는 선언만의 문제가 아니다. 기업이 실제로 어떤 판단을 내리고 어떤 행동을 반복하는지가 기업문화를 형성한다. 그리고 그 문화는 다시 거버넌스와 리스크 관리, 컴플라이언스가 실제로 어떻게 작동하는지에 영향을 미친다. 윤리와 GRC를 함께 이해해야 하는 이유가 여기에 있다. ⓒ grcbusiness