GRCbusiness

이사회는 기업 거버넌스의 중심적인 기관이다. 주주가 기업의 기본 구조와 이사회 구성에 참여한다면, 이사회는 기업의 목적과 장기적인 가치를 기준으로 주요 방향을 설정하고 중요한 의사결정을 내리며 경영진을 감독한다. 이사회를 단순히 주주와 경영진 사이에 위치한 중간기관으로 이해해서는 충분하지 않다. 이사회는 기업 전체를 바라보면서 중요한 판단을 내리고, 경영진에게 위임된 권한이 적절하게 사용되고 있는지를 확인하는 집합적인 의사결정기관이다. 이사회의 지위와 집합적 의사결정 이사회는 여러 명의 이사로 구성된다. 개별 이사는 서로 다른 경험과 전문지식, 판단을 가지고 이사회에 참여한다. 그러나 이사회의 결정은 개별 이사의 독자적인 판단이 아니라 토론과 의결을 통해 집합적으로 이루어진다. 이사회가 여러 사람으로 구성되는 이유는 기업의 중요한 판단을 한 사람에게만 맡기지 않기 위해서이다. 서로 다른 관점과 전문성을 가진 이사가 정보를 검토하고 의견을 교환함으로써 의사결정의 질을 높일 수 있다. 그러나 이사회가 집합적 기관이라는 사실과 개별 이사의 책임은 구분해야 한다. 이사회는 하나의 기관으로서 중요한 결정을 내린다. 개별 이사는 그 안에서 안건을 충분히 검토하고 질문하며 자신의 판단을 제시해야 한다. 따라서 개별 이사는 이사회 전체를 대신하여 독자적으로 기업을 지휘할 수 없지만, 집합적인 결정이라는 이유로 자신의 판단 책임에서 벗어날 수도 없다. 기업의 방향과 전략에 대한 책임 기업의 전략을 구체적으로 수립하고 실행하는 것은 주로 경영진의 역할이다. 그러나 이사회는 경영진이 제시하는 전략이 기업의 목적과 장기적 가치에 부합하는지를 검토해야 한다. 이사회가 전략을 검토할 때에는 예상되는 수익만 보는 것으로 충분하지 않다. 전략이 어떤 가정에 기초하고 있는지, 그 가정이 현실적인지, 필요한 자원과 역량을 갖추고 있는지, 어떤 중요한 리스크가 수반되는지 살펴볼 필요가 있다. 이사회는 다음과 같은 문제를 검토해야 한다. 기업이 추구하는 방향은 명확한가. 전략의 핵심 가정은 무엇...

기업 거버넌스에서 주주는 중요한 위치를 차지한다. 그러나 주주를 단순히 ‘회사의 주인’이라고 표현하는 것만으로는 주주의 지위와 역할을 충분히 설명하기 어렵다. 주주는 기업이 발행한 주식을 보유하고, 그에 따라 일정한 경제적 권리와 의사결정 참여권을 가진다. 그러나 회사의 자산을 직접 소유하거나 일상적인 경영을 직접 수행하는 주체는 아니다. 회사는 주주와 구별되는 독립된 조직이며, 일상적인 운영은 이사회와 경영진의 권한에 속한다. 따라서 주주의 권리는 기업을 직접 경영하기 위한 권한이 아니라 기업의 기본 구조에 참여하고 이사회와 경영진의 책임을 확인하기 위한 거버넌스 장치로 이해하는 것이 적절하다. 주주의 지위와 권리 주주는 기업에 자본을 제공하고 그 대가로 주식을 보유한다. 주식은 경제적 이익에 참여할 수 있는 권리의 기초가 된다. 기업이 이익을 창출하고 배당을 결정하면 주주는 보유한 주식에 따라 배당을 받을 수 있다. 기업가치가 상승하면 주식가치도 높아질 수 있다. 동시에 주주는 기업의 중요한 의사결정에 참여할 수 있다. 이사의 선임과 해임, 정관 변경과 같은 기본적인 거버넌스 사항에 의결권을 행사할 수 있다. 주주의 권리는 크게 세 가지로 정리할 수 있다. 첫째, 기업의 경제적 성과에 참여할 권리이다. 둘째, 기업의 기본적인 의사결정에 참여할 권리이다. 셋째, 기업과 이사회가 자신의 책임을 제대로 수행하고 있는지를 확인할 권리이다. 그런데 주주가 이러한 권리를 가진다고 해서 기업의 일상적인 의사결정까지 직접 수행할 수 있는 것은 아니다. 기업이 성장하고 복잡해질수록 수많은 사업판단을 전문적인 경영진에게 맡길 필요가 있다. 따라서 주주권은 기업경영 전반을 직접 통제하는 권한이라기보다 기업의 기본적인 책임구조에 참여하는 권한으로 이해하는 것이 적절하다. 주주총회의 역할과 의사결정 범위 주주총회는 주주가 자신의 의사를 공식적으로 표시하는 기관이다. 주주총회에서는 이사의 선임과 정관의 변경 등 기업의 기본 구조와 관련된 중요한 사항을 결정한다. 구체적인 권한은 기...

리스크의 중요도와 우선순위를 판단했다면 다음에는 무엇을 할 것인지 결정해야 한다. 어떤 리스크는 피해야 하고, 어떤 리스크는 발생 가능성이나 영향을 낮춰야 한다. 다른 주체와 일부 위험을 나눌 수도 있으며, 현재의 리스크를 그대로 감수하는 것이 합리적인 경우도 있다. 이처럼 리스크 대응의 목적은 모든 위험을 가능한 한 낮추는 데 있지 않다. 기업의 목표와 위험수준, 대응에 필요한 비용과 효과를 고려하여 적절한 대응방안을 선택하고 실제로 실행하는 데 있다. 리스크 대응의 기본 선택 기업은 리스크에 여러 방식으로 대응할 수 있다. 첫째, 리스크를 회피할 수 있다. 특정 사업이나 활동을 하지 않거나 중단함으로써 위험의 원인을 없애는 방법이다. 기업이 감당하기 어려운 수준의 위험이 존재한다면 합리적인 선택이 될 수 있다. 둘째, 리스크를 감소시킬 수 있다. 통제를 강화하여 발생 가능성을 낮추거나, 사고가 발생하더라도 피해가 확대되지 않도록 영향의 크기를 줄이는 방식이다. 셋째, 리스크를 다른 주체와 공유할 수 있다. 보험을 활용하거나 계약을 통해 일부 책임을 배분할 수 있으며, 다른 기업이나 전문업체와 위험을 나눌 수도 있다. 그러나 위험을 공유한다고 해서 기업에 미치는 사업상의 영향과 모든 책임까지 사라지는 것은 아니다. 넷째, 리스크를 수용할 수 있다. 현재의 위험수준이 기업이 감당할 수 있는 범위 안에 있고 추가 대응에 필요한 비용과 부담이 지나치게 크다면 현재의 위험을 받아들이는 것이 합리적일 수 있다. 어느 하나의 대응이 항상 옳은 것은 아니다. 리스크의 성격과 기업의 목표, 감수 가능한 수준을 고려하여 적절한 대응방안을 선택해야 한다. 대응방안의 비용과 효과를 비교한다 리스크를 줄이는 데에도 자원이 필요하다. 추가 인력을 배치하거나 새로운 시스템과 설비에 투자해야 할 수 있으며, 승인과 검토절차를 강화할 수도 있다. 보험료와 외부 전문서비스 비용이 발생하는 경우도 있다. 따라서 모든 리스크를 가능한 한 낮추려고 하면 기업의 비용과 업무부담이 지나치게 커질 ...

리스크를 분석하면 원인과 발생 가능성, 영향, 현재의 통제상태에 관한 정보를 얻을 수 있다. 그러나 이러한 분석 결과만으로 대응의 우선순위가 자동으로 결정되는 것은 아니다. 기업의 자원은 제한되어 있기 때문에 모든 리스크에 같은 수준의 비용과 인력, 경영진의 시간을 투입할 수 없다. 따라서 분석한 리스크를 기업의 기준과 비교하고 어떤 리스크에 우선적으로 대응할 것인지 판단해야 한다. 이를 리스크 평가라고 한다. 분석이 리스크를 이해하는 과정이라면 평가는 그 리스크를 어떻게 다룰 것인지 경영적으로 판단하는 과정이다. 리스크 평가는 무엇을 결정하는 과정인가 리스크 평가에서는 분석 결과를 바탕으로 이후의 행동을 결정한다. 어떤 리스크에는 즉시 대응해야 할 수 있고, 어떤 리스크는 현재의 통제만으로도 충분히 관리되고 있을 수 있다. 추가적인 분석이 필요한 경우도 있으며, 현재 수준의 리스크를 그대로 수용하는 것이 합리적일 수도 있다. 이처럼 리스크 평가에서는 해당 리스크가 기업이 받아들일 수 있는 수준인지, 추가적인 대응이 필요한지를 판단해야 한다. 다른 리스크보다 더 많은 자원을 배분할 필요가 있는지, 누가 해당 리스크를 관리하고 보고해야 하는지도 결정해야 한다. 경영진이나 이사회의 관심이 필요한 수준인지도 중요한 판단 대상이다. 리스크 평가가 필요한 이유는 모든 리스크를 동일하게 관리할 수 없기 때문이다. 모든 위험을 최대한 낮추려고 하면 지나치게 많은 비용과 업무부담이 발생할 수 있다. 반대로 우선순위를 잘못 정하면 중요한 위험에 필요한 자원을 투입하지 못할 수 있다. 리스크 평가는 단순히 등급을 정하는 과정이 아니라, 제한된 자원을 어디에 우선적으로 배분할 것인지 결정하는 경영판단의 과정이다. 리스크 기준과 비교한다 리스크가 수용 가능한 수준인지 판단하려면 비교할 기준이 필요하다. 이전 글에서 다룬 발생 가능성과 영향의 기준을 활용할 수 있으며, 기업이 특별히 낮은 수준으로 관리해야 하는 위험을 별도로 정할 수도 있다. 예를 들어 고객의 생명과 안전을 중대하게...

리스크를 식별했다고 해서 그 중요성을 충분히 이해한 것은 아니다. 어떤 리스크는 자주 발생하지만 영향이 제한적일 수 있고, 어떤 리스크는 발생 가능성이 낮더라도 현실화될 경우 기업에 매우 큰 영향을 줄 수 있다. 현재 기업이 운영하고 있는 통제와 대응에 따라서도 실제 위험수준은 달라진다. 식별된 리스크의 원인과 발생 가능성, 영향, 현재의 관리상태를 보다 구체적으로 살펴보아야 한다. 이를 리스크 분석이라고 한다. 리스크 분석의 목적은 리스크가 왜 발생할 수 있으며, 현실화될 경우 기업에 어떤 결과를 만들고, 현재 어느 정도 관리되고 있는지를 이해하는 데 있다. 리스크의 원인과 결과를 분석한다 리스크의 사건 자체만 바라보면 대응이 피상적으로 이루어질 수 있다. 어떤 사건이 왜 발생할 수 있는지를 함께 살펴보아야 하는 이유이다. 예를 들어 제품의 품질문제가 발생할 위험이 있다고 하자. 그 원인은 하나가 아닐 수 있다. 원자재의 품질이 일정하지 않거나 생산설비가 노후되었을 수 있고, 검사절차가 충분하지 않거나 업무 담당자의 숙련도가 낮을 수도 있다. 생산일정을 맞추기 위한 과도한 압력이 품질문제를 높이는 원인으로 작용할 가능성도 있다. 같은 품질사고라도 원인이 다르면 적절한 대응 역시 달라진다. 하나의 사건이 여러 결과로 이어질 수도 있다. 제품 회수비용이 발생하고 고객이 피해를 입을 수 있으며, 규제기관의 조사나 기업의 브랜드와 신뢰 훼손으로 이어질 수도 있다. 따라서 리스크 분석에서는 원인과 사건, 영향의 관계를 함께 살펴보아야 한다. 어떤 원인이 가장 중요한지와 여러 원인이 서로 어떻게 연결되어 있는지, 하나의 사건이 어떤 2차적 영향을 만들 수 있는지를 확인해야 한다. 이러한 분석을 통해 보다 효과적으로 대응해야 할 지점을 찾을 수 있다. 발생 가능성을 분석한다 리스크의 발생 가능성을 판단할 때에는 가능한 근거를 활용해야 한다. 과거의 발생횟수를 참고할 수 있으며, 산업의 사고 데이터와 외부 통계를 활용할 수도 있다. 기업 내부에서 나타나는 이상징후와 변화 ...

경영환경과 리스크 관리의 범위를 정했다면 다음 단계는 기업의 목표에 영향을 줄 수 있는 리스크를 찾아내는 것이다. 이를 리스크 식별이라고 한다. 리스크 식별의 목적은 가능한 많은 위험을 나열하는 데 있지 않다. 기업이 중요하게 관리해야 할 불확실성을 발견하고, 이후의 분석과 평가가 가능하도록 이를 명확하게 표현하는 데 있다. 중요한 리스크를 식별하지 못하면 이후의 분석과 대응이 아무리 정교해도 그 위험을 제대로 관리할 수 없다. 따라서 리스크 식별은 리스크 관리 과정에서 가장 기본적인 출발점 가운데 하나이다. 무엇을 리스크로 식별할 것인가 기업 주변에는 수많은 사건과 변화가 존재하지만 그 모든 것을 리스크로 관리할 필요는 없다. 먼저 해당 사건이나 변화가 기업의 목표에 의미 있는 영향을 줄 수 있는지를 살펴보아야 한다. 새로운 규제가 도입되더라도 기업의 사업과 거의 관련이 없다면 중요한 리스크가 아닐 수 있다. 반대로 작은 기술 변화처럼 보여도 기업의 핵심 사업모델을 바꿀 가능성이 있다면 중요한 리스크가 될 수 있다. 결국 사건이나 변화 자체보다 그것이 기업의 목표에 어떤 영향을 줄 수 있는지가 중요하다. 이처럼 리스크를 식별할 때는 어떤 목표가 영향을 받을 수 있는지, 어떤 사건이나 변화가 그 목표에 영향을 줄 수 있는지를 살펴보아야 한다. 그 영향이 기업이 관리해야 할 정도로 중요한지, 기업의 선택이나 대응에 따라 위험의 수준이 달라질 수 있는지도 함께 고려할 필요가 있다. 리스크를 지나치게 넓게 정의하면 관리하기 어려운 목록이 만들어진다. 반대로 눈앞의 문제만을 대상으로 하면 장기적인 전략 변화와 새로운 위험을 놓칠 수 있다. 좋은 리스크 식별을 단순히 리스크의 수가 많고 적음으로 판단하기 어려운 이유이다. 핵심은 기업의 중요한 목표를 흔들 수 있는 불확실성을 빠뜨리지 않고 발견하는 데 있다. 목표와 실제 업무에서 리스크를 찾는다 리스크 식별의 가장 좋은 출발점 가운데 하나는 기업의 목표와 실제 업무이다. 먼저 기업의 중요한 목표를 확인하고, 무엇 때문에...

리스크 관리는 위험을 찾는 데서 시작한다고 생각하기 쉽다. 그러나 무엇이 중요한 리스크인지 판단하려면 먼저 기업이 어떤 환경에서 어떤 목표를 추구하고 있는지를 이해해야 한다. 같은 사건이라도 기업의 전략과 사업모델, 자원과 역량에 따라 그 영향은 달라진다. 새로운 규제가 모든 기업에 동일하게 적용되더라도 이를 준비한 기업과 그렇지 않은 기업이 받는 영향은 다를 수 있다. 같은 공급중단도 여러 대체 공급자를 확보한 기업과 하나의 공급자에 의존하는 기업에는 서로 다른 리스크가 된다. 리스크를 식별하고 평가하기 전에 기업이 어떤 환경에 놓여 있으며 무엇을 대상으로 어느 범위까지 살펴볼 것인지 먼저 정해야 한다. 리스크 관리는 경영환경 이해에서 시작한다 기업은 외부환경과 내부환경의 영향을 동시에 받는다. 외부에서는 시장과 경쟁구조가 변하고 기술이 발전하며 규제가 달라진다. 경제상황과 금리, 환율도 변할 수 있고 고객의 요구와 사회적 기대 역시 계속 변화한다. 기업이 이러한 변화를 직접 통제하기는 어렵다. 그러나 외부환경의 변화가 자신의 사업에 어떤 의미를 가지는지는 분석할 수 있다. 내부환경도 중요하다. 기업이 어떤 전략을 가지고 있으며 어떤 사업모델을 통해 수익을 만드는지, 조직구조와 의사결정 방식은 어떻게 구성되어 있는지를 살펴보아야 한다. 어떤 인력과 기술, 자본과 시스템을 보유하고 있는지와 기업문화와 내부통제가 어떻게 작동하는지도 중요한 내부조건이다. 이러한 내부조건에 따라 같은 외부 변화도 서로 다른 리스크를 만든다. 예를 들어 디지털 기술의 급속한 발전은 기술 역량을 갖춘 기업에는 새로운 성장기회가 될 수 있지만, 오래된 시스템과 부족한 디지털 역량을 가진 기업에는 경쟁력 약화라는 중요한 리스크가 될 수 있다. 리스크 관리에서 중요한 것은 외부의 위험요인을 따로 모아 목록을 만드는 일이 아니다. 외부환경의 변화가 기업의 전략과 역량, 구조와 만나 어떤 불확실성을 만드는지를 이해하는 것이 중요하다. 내부환경과 외부환경을 함께 살펴본다 외부환경에는 기업이 직접...

리스크를 이야기하면 손실과 사고를 먼저 떠올리기 쉽고, 리스크 관리 역시 기업을 위험으로부터 보호하는 활동으로 이해하기 쉽다. 그러나 기업이 모든 위험을 피하려 한다면 새로운 기회를 추구하기 어렵다. 새로운 시장에는 성장의 가능성과 실패의 가능성이 함께 존재하고, 신기술 투자에는 혁신의 기회와 투자 실패의 위험이 동시에 존재한다. 기업 인수 역시 빠른 성장을 가능하게 할 수 있지만 예상했던 성과를 만들지 못할 가능성이 있다. 이처럼 리스크와 기회를 완전히 반대되는 개념으로 이해해서는 안 된다. 기업의 중요한 선택에는 대체로 기대되는 기회와 그 기회를 추구하면서 감수해야 하는 불확실성이 함께 존재한다. 기회에도 불확실성이 존재한다 기업은 성장하기 위해 새로운 기회를 찾는다. 신제품을 개발하고 새로운 고객을 확보하며 해외시장에 진출할 수 있다. 기업을 인수하거나 다른 기업과 전략적 제휴를 추진하는 것도 새로운 가치를 만들기 위한 선택이다. 그러나 이러한 선택의 결과는 확실하지 않다. 신제품이 성공할 수도 있고 실패할 수도 있으며, 새로운 시장의 수요가 예상보다 클 수도 있고 작을 수도 있다. 기업 인수도 높은 시너지를 만들 수 있지만 조직 통합에 실패할 가능성이 있다. 이는 기회 자체가 불확실성을 포함하고 있음을 의미한다. 따라서 기회를 추구할 때는 기대되는 성과와 실패 가능성을 함께 살펴보아야 한다. 그렇다고 실패 가능성이 있다는 이유만으로 좋은 기회를 포기해서도 안 된다. 리스크 관리의 역할은 기회를 막는 데 있는 것이 아니라, 기회를 추구하는 과정에서 감수하게 되는 불확실성을 이해하고 판단하도록 하는 데 있다. 리스크를 감수하지 않으면 기회도 줄어든다 모든 위험을 낮추는 것이 가장 좋은 전략처럼 보일 수 있다. 그러나 기업이 지나치게 위험을 피하면 그 선택 자체에서 또 다른 리스크가 발생하기도 한다. 예를 들어 신기술에 투자하지 않으면 기술투자 실패의 위험은 줄어들지만 경쟁기업이 새로운 기술을 활용하여 시장을 선점할 수 있다. 새로운 시장에 진입하지 않으면 ...

리스크를 식별한 뒤에는 그 리스크가 얼마나 중요한지를 판단해야 한다. 모든 리스크를 같은 수준으로 관리할 수는 없으며, 기업의 자원도 제한되어 있기 때문에 어떤 리스크에 더 많은 관심과 자원을 투입할 것인지 결정해야 한다. 리스크의 중요도를 판단할 때 가장 기본적으로 사용하는 두 요소는 발생 가능성과 영향이다. 발생 가능성은 특정한 사건이나 상황이 실제로 나타날 가능성을 의미하고, 영향은 그 사건이 발생했을 때 기업의 목표에 어느 정도의 결과를 가져오는지를 의미한다. 그러나 실제 리스크 판단을 이 두 요소의 단순한 계산으로만 이해해서는 안 된다. 리스크가 언제, 얼마나 빠르게 발생하는지와 그 영향이 얼마나 지속되는지, 기업이 얼마나 빨리 회복할 수 있는지도 함께 살펴볼 필요가 있다. 리스크 발생 가능성이란 무엇인가 리스크 발생 가능성은 특정 사건이 일정한 기간 안에 발생할 가능성을 의미한다. 어떤 사건은 과거 데이터가 충분하여 비교적 정량적으로 판단할 수 있다. 반복적으로 발생하는 장비고장이나 고객 연체율과 같은 리스크는 과거의 발생빈도를 참고하여 그 가능성을 평가할 수 있다. 반면 새로운 기술이나 규제, 지정학적 변화처럼 과거 데이터가 충분하지 않은 리스크도 있다. 이러한 경우에는 전문가의 판단과 외부 정보, 시나리오 등을 활용해야 한다. 따라서 발생 가능성을 항상 정확한 확률로 표현할 수 있는 것은 아니며, 상황에 따라 ‘높음’, ‘중간’, ‘낮음’과 같은 정성적인 기준을 사용할 수도 있다. 중요한 것은 수치를 얼마나 정밀하게 표현하는가보다 그 판단의 근거가 무엇인지 분명하게 하는 것이다. 리스크 발생 가능성을 판단할 때는 시간범위도 명확해야 한다. 향후 1년 안에 발생할 가능성과 향후 10년 안에 발생할 가능성은 의미가 다르다. 장기적인 전략 리스크와 단기적인 운영 리스크에 동일한 시간범위를 적용하면 판단이 왜곡될 수도 있다. 리스크 발생 가능성은 여러 리스크를 비교하는 데 유용한 기준이지만 미래를 정확하게 예측하는 수치는 아니다. 발생 가능성을 평가할 ...

기업에서는 리스크, 이슈, 위기라는 표현이 혼용되는 경우가 많다. 이미 문제가 발생했는데도 리스크라고 부르거나, 일상적인 업무문제를 위기라고 표현하기도 한다. 그러나 세 개념을 구분하는 것은 단순히 용어를 정확하게 사용하기 위해서가 아니다. 상태가 달라지면 관리해야 할 대상과 필요한 대응도 달라지기 때문이다. 리스크는 아직 발생하지 않은 불확실성을 다루고, 이슈는 이미 발생하여 해결해야 하는 문제를 다룬다. 위기는 정상적인 대응범위를 넘어 기업의 핵심 기능과 존속에 중대한 영향을 줄 수 있는 상황을 다룬다. 리스크는 아직 발생하지 않은 불확실성이다 리스크는 미래와 관련된 개념으로, 어떤 사건이나 상황이 발생할 수도 있고 발생하지 않을 수도 있는 상태를 의미한다. 예를 들어 핵심 원자재 공급업체의 재무상태가 악화되고 있다고 하자. 현재는 공급이 정상적으로 이루어지고 있지만, 공급업체가 생산을 중단하면 기업의 생산에도 차질이 발생할 가능성이 있다. 이 단계에서 공급중단은 아직 현실화되지 않은 하나의 리스크이다. 기업은 이러한 상황이 실제로 발생하기 전에 대비할 수 있다. 공급업체의 재무상태를 모니터링하면서 대체 공급자를 확보하거나 안전재고를 늘릴 수 있으며, 필요한 경우 계약조건을 조정할 수도 있다. 리스크 관리가 기본적으로 사전적인 성격을 가지는 이유가 여기에 있다. 기업은 미래에 무엇이 발생할 수 있는지를 살펴보고, 목표에 영향을 줄 수 있는 중요한 불확실성에 미리 대비한다. 이슈는 이미 발생한 문제이다 앞의 사례에서 공급업체가 실제로 생산을 중단했다고 하자. 이제 공급중단은 미래의 가능성이 아니라 기업이 해결해야 하는 현실의 문제가 된다. 리스크가 현실화되어 이슈가 된 것이다. 이 단계에서는 발생 가능성을 평가하는 것보다 현재의 상황과 영향을 파악하고 대응하는 일이 중요하다. 남아 있는 재고와 영향을 받는 제품을 확인하고, 대체 공급자로 얼마나 빨리 전환할 수 있는지 파악해야 한다. 고객 주문에 미치는 영향도 확인해야 하며, 문제 해결을 누가 책임질 것인지도...

리스크를 이야기할 때 흔히 시장위험이나 사이버위험, 재무위험, 법규위반 위험과 같이 어떤 위험이 존재하는지를 먼저 찾으려 한다. 그러나 리스크는 그 자체로 독립적인 의미를 가지지 않는다. 리스크가 중요해지는 이유는 기업이 달성하려는 목표에 영향을 줄 수 있기 때문이다. 따라서 리스크 관리는 위험목록을 만드는 데서 시작하는 것이 아니라 기업이 무엇을 달성하려 하는지를 이해하는 데서 시작해야 한다. 리스크는 목표에서 시작한다 기업이 리스크를 관리하려면 먼저 목표가 있어야 한다. 목표가 없다면 무엇이 좋은 결과이고 무엇이 나쁜 결과인지 판단하기 어렵기 때문이다. 예를 들어 기업이 해외 매출을 확대한다는 목표를 세웠다면 환율 변동과 해외 규제, 국제 물류, 현지 고객의 수요 등이 중요한 리스크가 될 수 있다. 반면 해외사업이 거의 없는 기업이라면 같은 요인이라도 그 중요도는 상대적으로 낮을 수 있다. 생산설비의 안정적인 가동을 중요한 목표로 삼은 기업이라면 설비고장과 핵심인력 부족, 원자재 공급중단 등이 주요 리스크가 될 수 있다. 이처럼 같은 사건이나 조건도 기업이 어떤 목표를 추구하는지에 따라 그 의미와 중요성이 달라진다. 리스크를 식별할 때 단순히 “어떤 위험이 있는가”라고 묻기보다 “우리가 달성하려는 목표에 무엇이 영향을 줄 수 있는가”를 살펴보는 편이 더 적절하다. 리스크의 출발점은 위험 자체가 아니라 기업의 목표이다. 전략적 목표와 운영 목표 기업에는 여러 수준의 목표가 존재한다. 장기적인 방향과 관련된 전략적 목표가 있는가 하면 일상적인 사업활동과 관련된 운영 목표도 있다. 시장 점유율을 확대하거나 새로운 사업모델을 구축하고, 새로운 국가나 산업에 진출하는 것은 전략적 목표에 해당할 수 있다. 운영 목표는 제품을 일정한 품질로 생산하여 정해진 시간에 고객에게 제공하고, 시스템을 안정적으로 운영하며 고객서비스를 유지하는 것과 관련된다. 기업에는 이와 함께 수익성과 현금흐름을 유지하고 필요한 자금을 안정적으로 확보하는 재무 목표가 있으며, 신뢰할 수 있는 보...

기업의 경영에는 언제나 리스크가 존재한다. 사업을 시작하거나 확장하는 과정에도 리스크가 있으며, 투자를 하지 않는 선택에도 그에 따른 리스크가 존재한다. 따라서 기업이 모든 리스크를 피하면서 사업을 하는 것은 사실상 불가능하다. 리스크 관리는 기업에서 발생할 수 있는 모든 위험을 찾아 없애는 활동이 아니다. 기업의 목표와 관련된 불확실성을 이해하고, 어떤 리스크를 감수하며 어떤 리스크에는 대응할 것인지 판단하는 활동이다. 이러한 관점에서 보면 리스크 관리는 사고가 발생한 뒤 문제를 해결하는 사후적인 관리업무에 머물지 않는다. 기업의 전략과 투자, 자원 배분과 의사결정 전반에 포함되는 경영활동이다. 기업은 왜 리스크를 관리해야 하는가 기업은 미래의 결과를 확실하게 알 수 없는 상태에서 끊임없이 결정을 내려야 한다. 새로운 제품을 출시할 때에는 고객이 이를 받아들일지 판단해야 하고, 새로운 시장에 진출할 때에는 예상한 수요가 실제로 나타날지를 고려해야 한다. 공장을 증설할 경우에는 향후 수요와 가격이 충분한 수익을 만들어낼지를 살펴보아야 하며, 새로운 정보시스템을 도입할 때에는 생산성 향상과 함께 예상하지 못한 장애나 보안 문제의 가능성도 고려해야 한다. 이처럼 기업의 중요한 결정에는 대부분 불확실성이 존재한다. 그러나 불확실성이 존재한다는 사실 자체가 문제는 아니다. 중요한 것은 기업이 그 불확실성을 어느 정도 이해한 상태에서 결정을 내리는가이다. 경영진이 기대되는 성과에만 주목하면 실패 가능성을 충분히 검토하지 못할 수 있다. 낙관적인 시장 전망에 지나치게 의존하면 과도한 투자를 결정할 수도 있으며, 하나의 공급업체에 크게 의존하면서도 공급중단 가능성을 충분히 고려하지 못할 수 있다. 반대로 위험이 존재한다는 이유만으로 성장 가능성이 높은 사업을 지나치게 일찍 포기하는 것도 좋은 판단이라고 보기 어렵다. 리스크 관리는 이러한 판단을 보다 현실적으로 만드는 역할을 한다. 기업이 무엇이 예상과 다르게 진행될 수 있는지를 살펴보고, 현재의 판단이 어떤 가정에 기초하...

좋은 거버넌스를 특정한 제도의 목록으로 정의하기는 어렵다. 기업의 규모와 소유구조, 산업과 규제환경, 사업의 복잡성이 서로 다르기 때문이다. 따라서 좋은 거버넌스를 판단할 때에는 이사회와 위원회를 몇 개 설치했는가보다 기업의 목적에 맞게 권한과 책임이 연결되고 필요한 정보와 감독이 실제로 작동하는가를 살펴보아야 한다. 좋은 거버넌스는 형식적인 구조보다 그 구조가 실제로 만들어내는 결과와 행동을 통해 평가해야 한다. 좋은 거버넌스는 형식보다 실효성의 문제이다 기업은 이사회와 위원회, 정책과 규정을 갖추고도 거버넌스 실패를 경험할 수 있다. 이사회가 정기적으로 열려도 경영진이 준비한 안건을 형식적으로 승인하기만 한다면 감독기능이 제대로 작동한다고 보기 어렵다. 또한 내부통제 규정이 잘 정리되어 있어도 현장에서 지속적으로 우회된다면 통제의 목적을 달성하기 어렵다. 거버넌스에서는 제도의 존재와 실효성을 구분해야 한다. 실효성이란 제도가 문서에 존재하는 데 그치지 않고 실제로 의도한 목적을 달성하는 정도이다. 이사회의 목적이 경영진을 감독하는 데 있다면 이사회가 실제로 필요한 정보를 받고 중요한 질문을 제기하는지를 살펴보아야 한다. 설명책임을 강조한다면 의사결정의 근거가 기록되고 결과가 평가되며 필요한 개선이 이루어지는지를 확인해야 한다. 좋은 거버넌스는 무엇을 갖추었는가보다 그것이 실제로 어떻게 작동하는가를 묻는다. 목적 정합성과 책임성 기업의 목적과 실제 운영은 일치해야 한다. 기업이 장기적인 가치를 강조하면서 경영진을 단기 실적만으로 평가한다면 목적과 보상체계가 충돌한다. 고객의 신뢰를 강조하면서 판매량만을 기준으로 현장을 평가한다면 역시 같은 문제가 발생한다. 좋은 거버넌스는 다음과 같은 일관성을 요구한다. 목적 → 전략 → 자원 배분 → 성과 → 책임 기업이 중요하다고 선언한 가치가 전략과 투자, 인사와 보상에서 확인되어야 한다. 이러한 일관성이 유지될 때 권한을 행사하는 사람도 어떤 판단이 기업의 목적에 부합하는지 이해할 수 있다. 책임성 역시 결과만을 평가...