컴플라이언스란 무엇인가

기업에서 컴플라이언스(Compliance)는 흔히 법규 준수라는 의미로 이해된다. 이러한 설명은 틀리지 않지만 기업이 실제로 수행해야 하는 컴플라이언스 활동을 충분히 보여주지는 못한다.

기업이 법률을 준수하려면 먼저 자신의 사업에 어떤 법률과 규제가 적용되는지를 알아야 한다. 그 내용을 실제 업무에서 사용할 수 있는 정책과 절차로 바꾸어야 하며, 구성원이 이를 이해하고 따르도록 해야 한다. 위반 가능성을 발견하고 대응하며, 문제가 반복되지 않도록 관리체계를 개선하는 과정도 필요하다.

컴플라이언스를 이해하려면 법규를 지키는 결과뿐 아니라 그 결과를 만들어내는 조직의 체계를 함께 살펴보아야 한다.

컴플라이언스는 법규 준수에서 시작한다

컴플라이언스의 가장 기본적인 의미는 기업에 적용되는 법률과 규제를 준수하는 것이다. 기업은 사업을 영위하는 국가와 지역의 법률을 따라야 하며, 산업에 따라 별도의 감독규정이나 인허가 조건을 준수해야 할 수도 있다.

법규 준수는 선택할 수 있는 경영방침이 아니다. 기업은 자신의 사업에 적용되는 법적 의무를 파악하고 이를 지켜야 한다. 위반이 발생하면 벌금이나 과징금, 손해배상과 같은 재무적 손실이 발생할 수 있으며, 경우에 따라 사업허가나 거래관계에도 영향을 받을 수 있다.

그러나 실제 기업활동에서는 법률의 내용을 알고 있다는 사실만으로 준수가 이루어지지 않는다. 법률은 기업에 일정한 의무와 금지를 부과하지만, 개별 구성원이 매일 수행하는 업무를 모두 구체적으로 설명하지는 않는다.

예를 들어 법률이 부당한 이익 제공을 금지한다고 하더라도 영업담당자가 고객이나 거래상대방에게 어느 정도의 선물이나 접대를 제공할 수 있는지 실제 업무에서 판단하기는 쉽지 않을 수 있다. 기업은 외부의 법적 기준을 자신의 사업환경에 맞게 해석하고, 구성원이 사용할 수 있는 내부 기준과 절차로 구체화해야 한다.

따라서 법규 준수가 컴플라이언스의 출발점이지만 그 자체가 컴플라이언스의 전부는 아니다. 기업에는 외부의 법률을 조직 내부의 판단과 행동으로 연결하는 과정이 필요하다.

외부의 기준을 내부의 행동으로 바꾼다

기업에 적용되는 법률과 규제가 확인되면 이를 실제 업무에서 작동할 수 있는 기준으로 전환해야 한다. 이 과정에서 기업은 행동기준과 정책을 만들고, 필요한 승인과 검토 절차를 마련하며, 구성원이 업무에서 따라야 할 구체적인 원칙을 정한다.

이러한 내부 기준은 외부의 법규를 단순히 옮겨 적는 문서가 아니다. 기업의 사업모델과 거래방식, 조직구조와 업무환경을 고려하여 구성원이 실제 상황에서 무엇을 해야 하는지를 판단할 수 있도록 만들어야 한다.

같은 법률의 적용을 받는 기업이라도 사업환경에 따라 필요한 관리방식은 달라질 수 있다. 정부기관과 거래가 많은 기업, 대리점과 중개인을 광범위하게 활용하는 기업, 고객의 개인정보를 대규모로 처리하는 기업은 각각 주의해야 할 준수문제가 다르다. 따라서 외부 기준을 내부의 행동기준으로 전환할 때에는 기업이 실제로 어떤 활동을 하고 어디에서 위반 가능성이 발생하는지를 함께 고려해야 한다.

정책과 절차를 만드는 것만으로 이러한 전환이 완성되는 것도 아니다. 구성원이 기준을 이해하고 실제 상황에서 적용할 수 있어야 한다. 필요한 경우 질문하거나 도움을 받을 수 있어야 하며, 중요한 업무에는 적절한 승인과 통제가 작동해야 한다. 컴플라이언스는 이처럼 외부의 기준과 실제 조직행동 사이를 연결한다.

컴플라이언스는 예방만을 의미하지 않는다

좋은 컴플라이언스 체계는 위반이 발생하지 않도록 예방하는 데 많은 노력을 기울인다. 위험이 높은 업무를 파악하고 정책과 절차를 마련하며, 교육과 상담을 제공하고 필요한 통제를 운영하는 것이 대표적인 예방활동이다.

그러나 아무리 잘 설계된 체계라도 모든 위반을 사전에 막을 수는 없다. 구성원이 의도적으로 규정을 우회할 수도 있고, 기존 정책이 예상하지 못한 새로운 거래방식이나 기술이 등장할 수도 있다. 관리자가 문제를 알고도 적절하게 대응하지 않거나 조직의 성과압력이 정책보다 강하게 작용할 수도 있다.

따라서 기업에는 예방과 함께 발견과 대응의 능력이 필요하다. 구성원이 의문이나 문제를 제기할 수 있는 채널이 있어야 하고, 위반 가능성이 발견되면 사실관계를 확인하여 적절한 조치를 취해야 한다. 반복되는 문제가 있다면 개인의 잘못만 확인할 것이 아니라 정책과 통제, 관리방식에 구조적인 문제가 없는지도 살펴보아야 한다.

이러한 관점에서 컴플라이언스는 예방 → 발견 → 대응 → 개선으로 이어지는 과정으로 이해할 수 있다. 예방만 강조하면 이미 발생한 문제를 놓칠 수 있고, 적발과 제재에만 집중하면 위반이 발생하는 조직적 원인을 줄이기 어렵다.

컴플라이언스는 특정 부서만의 업무가 아니다

기업에는 컴플라이언스 전담부서나 책임자가 있을 수 있다. 이들은 준수위험을 파악하고 정책의 수립을 지원하며, 교육과 상담을 제공하고 프로그램의 운영상태를 확인하는 중요한 역할을 수행한다.

그러나 전담부서가 존재한다고 해서 다른 조직의 컴플라이언스 책임이 사라지는 것은 아니다. 실제 거래를 결정하고 고객을 상대하며 공급업체를 선정하고 직원을 관리하는 활동은 대부분 사업부서와 현업에서 이루어진다. 준수기준 역시 이러한 업무과정에서 실제로 적용되어야 한다.

경영진도 중요한 역할을 한다. 성과목표를 설정하고 자원을 배분하며 관리자를 평가하는 방식은 구성원의 행동에 영향을 준다. 공식적인 정책에서는 준수를 강조하면서 실제 평가와 보상에서는 결과만 요구한다면 구성원은 두 기준 사이에서 다른 신호를 받을 수 있다.

따라서 컴플라이언스 기능은 기업의 준수책임을 대신하는 조직이 아니라 기업이 그 책임을 제대로 수행하도록 지원하고 관리하는 전문 기능으로 이해해야 한다. 컴플라이언스는 전담부서가 혼자 수행하는 업무가 아니라 경영진과 관리자, 사업부서와 구성원이 각자의 역할에서 함께 실행하는 활동이다.

컴플라이언스는 경영활동의 일부이다

컴플라이언스를 사업과 분리된 규제 대응업무로 이해하면 기업은 중요한 의사결정을 내린 뒤에야 준수문제를 검토하게 된다. 새로운 시장에 진출하고, 거래구조를 설계하고, 제3자를 선정한 뒤 마지막 단계에서 법적 문제가 없는지만 확인하는 방식이다.

그러나 준수문제가 중요한 의사결정에 처음부터 포함되지 않으면 이미 결정된 사업방식을 나중에 변경하기 어려울 수 있다. 규제요건을 충족하기 위해 예상하지 못한 비용이 발생하거나, 거래 자체를 다시 설계해야 할 수도 있다.

컴플라이언스는 사업을 방해하기 위해 뒤에서 확인하는 절차가 아니라 기업이 책임 있게 사업을 수행하기 위한 조건 가운데 하나이다. 새로운 사업이나 거래를 추진할 때 적용되는 기준과 위반 가능성을 함께 고려하면 기업은 어떤 조건에서 사업을 수행할 수 있는지를 보다 분명하게 판단할 수 있다.

이러한 의미에서 컴플라이언스는 경영과 분리된 기능이 아니다. 기업이 목표를 추구하는 과정에서 지켜야 할 기준을 이해하고 이를 의사결정과 행동에 반영하는 경영활동이다. 즉, 컴플라이언스는 기업이 지켜야 할 기준을 파악하고 이를 실제 의사결정과 행동으로 구현하여 위반을 예방·발견·대응하고 지속적으로 개선하는 경영활동이다. © grcbusiness

이 블로그의 인기 게시물

비즈니스 윤리와 기업윤리를 이해하다

기업은 이익을 창출하기 위해 경제활동을 수행한다. 그러나 기업의 모든 의사결정을 이익만으로 판단할 수는 없다. 기업은 고객과 임직원, 주주와 투자자, 협력회사, 지역사회 등 다양한 이해관계자와 관계를 맺으며 활동하기 때문이다. 기업이 어떤 방법으로 이익을 추구해야 하는가, 기업의 의사결정은 누구에게 어떤 영향을 미치는가, 기업과 그 구성원은 자신의 선택과 행동에 대해 어떠한 책임을 져야 하는가. 이러한 질문은 경제적 판단만으로 답하기 어렵다. 여기에서 비즈니스 윤리(Business Ethics)와 기업윤리(Corporate Ethics)의 문제가 시작된다. 윤리란 무엇인가 윤리학은 개인이나 사회의 도덕적 가치와 기준을 검토하고, 그러한 가치와 기준이 합리적이고 올바른 이성에 의해 지지될 수 있는지를 탐구하는 학문이다. 우리에게 어떤 도덕적 가치와 기준이 존재한다는 사실과 그 가치와 기준이 옳다는 것은 서로 다른 문제이다. 사회에서 오랫동안 받아들여진 규범이라 하더라도 그것이 합리적으로 정당화될 수 있는지, 우리가 마땅히 따라야 할 기준인지는 다시 검토할 수 있다. 우리가 자신의 도덕적 기준이나 자신이 속한 사회의 가치와 기준에 의문을 제기할 때 윤리학적 탐구가 시작된다. 따라서 윤리학은 단순히 사람들이 어떤 가치관을 가지고 있는지를 설명하는 데 머물지 않는다. 무엇이 옳고 그른지, 어떠한 가치와 기준이 합리적으로 정당화될 수 있는지를 검토하고 판단하려 한다. 윤리학의 중요한 목적은 우리가 지녀야 할 합리적이고 이성적인 도덕적 가치와 기준을 탐구하고 정립하는 데 있다. 비즈니스 윤리란 무엇인가 비즈니스 윤리는 이익을 추구하는 비즈니스 활동에서 제기되는 윤리적·도덕적 문제를 다루는 학문이다. 비즈니스는 기본적으로 이익을 추구하는 활동이다. 반면 윤리는 인간의 선택과 행동에 적용되는 도덕적 가치와 기준을 검토하고 무엇이 옳고 그른지를 판단하려 한다. 비즈니스 윤리의 중요한 특징은 이처럼 서로 다른 목적과 판단 기준이 만나는 영역을 다룬다는 데 있다. 기업이나 개인이...

리스크와 리스크 관리

리스크 관리(Risk Management)는 기업 경영에서 널리 사용되는 개념이다. 그러나 실제로는 리스크 또는 관리라는 말을 지나치게 좁은 의미로 사용하면서 리스크 관리의 범위도 함께 좁아지는 경우가 있다. 리스크 관리를 제대로 이해하기 위해서는 먼저 리스크란 무엇인지, 그리고 관리란 무엇인지를 각각 살펴볼 필요가 있다. 연암사 출판사에서 출간한 [리스크 관리 펀드멘탈(The Failure of Risk Management)]의 저자 더글러스 허버드는 리스크와 리스크 관리를 비교적 명확하게 정의한다. 리스크란 무엇인가 리스크는 다음과 같이 정의할 수 있다. ‘특정 손실, 재앙 또는 기타 바람직하지 않은 사건이 발생할 확률과 그 규모.’ 보다 간단하게 표현하면, 일어날 가능성이 있는 좋지 않은 일이라고 할 수 있다. 짧은 정의는 리스크의 의미를 직관적으로 보여준다. 그러나 긴 정의에는 리스크를 보다 체계적으로 이해하는 데 중요한 두 가지 요소가 들어 있다. 하나는 바람직하지 않은 사건이 발생할 가능성, 즉 확률이다. 다른 하나는 그 사건이 발생했을 때 나타나는 손실이나 영향의 크기이다. 따라서 리스크를 이해하려면 단순히 어떤 좋지 않은 일이 발생할 수 있다는 사실만을 보는 것이 아니라, 그 일이 발생할 가능성이 얼마나 되는지와 발생했을 때 어느 정도의 손실이나 영향을 가져올지를 함께 살펴보아야 한다. 어떤 것이 리스크가 될 수 있는가 리스크의 형태는 매우 다양하다. 자연재해가 발생할 수 있고, 대규모 제품 리콜이 일어날 수도 있다. 주요 채무자가 부도에 빠질 수 있으며, 해커가 민감한 고객 정보를 공개할 수도 있다. 해외 사무소가 위치한 지역에서 정치적 불안정이 발생할 수 있고, 작업장 사고로 부상자가 생길 수도 있다. 감염병으로 공급망이 마비되는 상황도 기업이 직면할 수 있는 리스크에 해당한다. 개인의 경우에도 마찬가지이다. 출근길의 자동차 사고, 실직과 같은 예상하지 못한 사건 역시 리스크로 볼 수 있다. 이처럼 앞으로 어떤 일이 잘못될 가능성이 있고, 그...

거버넌스란 무엇인가

거버넌스라는 말을 들으면 흔히 이사회, 주주총회, 사외이사 같은 제도를 떠올린다. 이러한 제도는 모두 거버넌스를 구성하는 중요한 요소이다. 그러나 거버넌스를 특정 기구나 제도의 이름으로만 이해하면 기업이 실제로 어떻게 의사결정을 내리고 그 결과에 책임지는지를 충분히 설명하기 어렵다. 거버넌스의 핵심은 기업에서 누가 방향을 정하고, 누가 권한을 행사하며, 누가 그 과정을 감독하고 결과에 책임지는가에 있다. 따라서 거버넌스는 기업의 방향 설정과 의사결정, 권한 배분, 감독과 책임을 연결하는 구조이자 과정이라고 할 수 있다. 기업은 하나의 의사결정 체계이다 기업은 여러 사람이 공동의 목적을 위해 활동하는 조직이다. 주주는 자본을 제공하고 일정한 권리를 행사한다. 이사회는 기업의 중요한 방향과 의사결정을 담당하고 경영진을 감독한다. 경영진은 전략을 구체화하고 기업의 일상적인 업무를 운영한다. 관리자와 구성원 역시 자신의 역할과 권한 안에서 수많은 판단과 결정을 내린다. 이러한 관점에서 보면 기업은 하나의 집단적 의사결정 체계이다. 기업이 조직으로서 일관되게 움직이려면 누가 어떤 결정을 내릴 수 있는지, 그 결정은 어떤 기준에 따라 이루어져야 하는지, 누가 그 결과를 감독하고 책임지는지가 정해져 있어야 한다. 기업의 규모와 복잡성이 커질수록 모든 결정을 한 사람이 직접 내릴 수 없다. 권한은 여러 조직과 사람에게 나누어지고, 그만큼 책임과 감독의 구조도 중요해진다. 거버넌스는 여기에서 출발한다. 거버넌스의 개념과 범위 기업 거버넌스는 전통적으로 주주·이사회·경영진 사이의 관계를 중심으로 설명되어 왔다. 주주는 이사를 선임하고, 이사회는 기업의 중요한 의사결정을 내리며 경영진을 감독하고, 경영진은 기업을 운영한다. 이 관계는 오늘날에도 기업 거버넌스의 기본 구조이다. 그러나 현대 기업의 거버넌스는 여기에 머물지 않는다. 기업의 목적과 전략, 권한 위임, 정보 보고, 내부통제, 감독, 설명책임, 기업문화까지 기업의 주요 의사결정과 책임에 영향을 미치는 다양한 요소가 거버넌...

컴플라이언스와 컴플라이언스 프로그램이란 무엇인가

기업은 다양한 법률과 규제의 적용을 받으며 활동한다. 동시에 조직 내부에는 임직원이 따라야 할 정책과 규정, 가이드라인과 행동기준이 존재한다. 이러한 법과 규정, 내부 기준을 준수하는 문제와 관련하여 사용되는 개념이 컴플라이언스(Compliance)이다. 컴플라이언스의 기본적인 의미는 비교적 단순하다. 그러나 기업이 실제로 컴플라이언스를 실현하고 유지하는 일은 단순하지 않다. 기업과 구성원이 관련 법규와 내부 규정, 각종 기준을 지속적으로 준수하도록 하려면 이를 위한 정책과 절차, 통제와 점검 체계가 필요하기 때문이다. 이러한 체계를 컴플라이언스 프로그램(Compliance Program)이라고 한다. 컴플라이언스란 무엇인가 컴플라이언스는 기본적으로 기업이나 조직에 적용되는 법률과 규정, 그리고 조직 내부에 확립된 가이드라인과 세부 규정에 부합하는 상태를 의미한다. 따라서 컴플라이언스를 단순히 법을 위반하지 않는 것으로만 이해해서는 충분하지 않다. 기업은 외부의 법률과 규제를 준수해야 할 뿐 아니라, 내부에서 정한 정책과 규정, 행동기준도 실제 업무 과정에서 지켜지도록 해야 한다. 즉 컴플라이언스는 정해진 기준에 부합하는 상태를 유지하는 것과 관련된다. 그러나 이러한 상태는 저절로 만들어지지 않는다. 조직의 구성원이 어떤 기준을 따라야 하는지 알 수 있어야 하고, 실제 업무에서 그 기준을 준수하도록 도와주는 제도와 통제가 필요하다. 컴플라이언스 프로그램이란 무엇인가 컴플라이언스 프로그램은 기업과 구성원이 관련 법규와 내부 기준을 준수하도록 하기 위해 마련하는 정책과 절차, 통제 체계를 의미한다. 미국 법무부는 컴플라이언스 프로그램을 부정행위를 예방하고 탐지하며, 기업 활동이 관련 형사법과 민사법, 규정과 규칙에 부합하도록 하기 위해 경영진이 수립하는 프로그램으로 설명한다. 이 정의에서 중요한 것은 예방과 탐지이다. 컴플라이언스 프로그램은 단순히 문제가 발생한 이후 위반자를 찾아내기 위한 체계가 아니다. 위법하거나 부적절한 행동이 발생하지 않도록 예방하고, 문제...

GRC와 윤리, 그리고 비즈니스

기업이 지속적으로 성장하기 위해서는 전략과 성과만으로는 충분하지 않다. 조직이 어떤 원칙에 따라 의사결정을 내리는지, 어떤 위험을 관리하는지, 법과 규정 및 내부 기준을 어떻게 준수하는지가 함께 중요하다. 이러한 문제를 통합적으로 이해하는 개념이 GRC이다. GRC는 거버넌스(Governance), 리스크 관리(Risk Management), 컴플라이언스(Compliance)를 의미한다. 세 영역은 각각 다른 역할을 수행하지만 실제 기업 경영에서는 서로 긴밀하게 연결되어 있다. 그리고 GRC가 효과적으로 작동하기 위해서는 제도와 절차뿐 아니라 인테그리티(Integrity), 윤리적 가치, 기업문화가 함께 뒷받침되어야 한다. GRC란 무엇인가 거버넌스(Governance) GRC의 G는 거버넌스를 의미한다. 거버넌스는 전통적으로 이사회와 경영진, 주주 사이에서 권한이 어떻게 배분되는지를 설명하는 개념으로 사용되어 왔다. 그러나 오늘날 거버넌스는 보다 넓은 의미로 이해된다. 기업의 중요한 의사결정을 누가 내리는지, 어떤 권한과 책임을 가지고 판단하는지, 의사결정의 결과에 대해 누가 책임을 부담하는지가 모두 거버넌스의 문제와 연결된다. 따라서 거버넌스는 단순히 이사회의 구조에 관한 문제가 아니다. 최고경영진에서 각 조직의 관리자에 이르기까지 기업의 의사결정과 권한, 책임의 구조를 어떻게 설계하고 운영할 것인가를 다루는 개념이라고 할 수 있다. 리스크 관리(Risk Management) GRC의 R은 리스크 관리를 의미한다. 기업은 불확실성 속에서 경영활동을 수행한다. 시장의 변화, 경쟁, 기술, 법과 규제, 재무, 인력, 공급망을 비롯한 다양한 요인이 기업의 목표 달성에 영향을 미칠 수 있다. 리스크 관리는 이러한 불확실성을 파악하고 평가하며 적절하게 대응하는 활동이다. 리스크 관리의 범위는 단순한 위험 평가에서부터 기업 전체의 위험을 통합적으로 관리하는 전사적 리스크 관리에 이르기까지 다양하다. 중요한 것은 리스크 관리가 모든 위험을 제거하는 활동은 아니라는 점이...

기업의 목적과 거버넌스

거버넌스는 권한을 배분하고 감독하는 구조이다. 그러나 권한을 어떤 방향으로 사용해야 하는지 판단하려면 먼저 기업이 무엇을 위해 존재하는지를 생각해야 한다. 기업의 목적은 추상적인 경영이념만을 뜻하지 않는다. 기업이 어떤 전략을 선택할 것인지, 무엇에 자원을 투입할 것인지, 어떤 리스크를 감수할 것인지, 경영진을 어떤 기준으로 평가할 것인지에 직접 영향을 미친다. 이 관점에서 기업의 목적은 권한의 행사와 그 결과를 평가하는 거버넌스의 기준이 된다. 기업의 목적이 필요한 이유 기업은 끊임없이 선택해야 한다. 어떤 시장에 진출할 것인지, 어떤 사업을 중단할 것인지, 어느 정도의 리스크를 감수할 것인지, 단기 이익과 장기 투자 가운데 무엇을 우선할 것인지 판단해야 한다. 이러한 선택에는 하나의 자동적인 정답이 없다. 기업의 목적은 이사회와 경영진이 서로 다른 선택지 가운데 무엇을 선택할 것인지 판단하는 기준을 제공한다. 목적이 분명하지 않으면 무엇을 좋은 성과로 보아야 하는지도 불분명해진다. 매출과 이익만으로 판단할 것인지, 고객의 신뢰와 안전, 임직원과 기업의 장기적인 경쟁력도 함께 고려할 것인지가 달라질 수 있다. 따라서 기업의 목적은 기업의 운영과 떨어져 있는 선언이 아니라 의사결정을 이끄는 기준이어야 한다. 이익과 기업가치의 의미 기업은 지속적으로 경제적 가치를 만들어야 한다. 이익은 기업의 생존과 투자, 혁신과 고용을 가능하게 하는 중요한 조건이다. 지속적으로 가치를 창출하지 못하는 기업은 사업을 유지하고 이해관계자에 대한 책임을 수행하기 어렵다. 문제는 기업의 목적을 단기적인 이익 증가로만 이해할 때 발생한다. 안전 관련 투자를 줄이거나 연구개발비를 축소하면 단기 실적은 좋아질 수 있다. 고객에게 필요한 정보를 충분히 제공하지 않고 상품을 판매하면 단기적인 매출이 증가할 수도 있다. 그러나 이러한 선택이 고객의 신뢰를 훼손하고 사고와 규제 위반, 경쟁력 약화로 이어진다면 장기적인 기업가치는 낮아질 수 있다. 기업 거버넌스에서는 단기적인 재무성과와 장기적인 ...

권한·책임·설명책임

기업 거버넌스는 권한을 배분하는 구조이다. 그러나 권한이 누구에게 있는지만 정한다고 거버넌스가 완성되는 것은 아니다. 권한을 부여받은 사람에게는 자신의 역할을 수행할 책임이 있어야 하며, 그 권한을 어떻게 사용했는지를 설명하고 평가받을 책임도 있어야 한다. 거버넌스에서는 권한·책임·설명책임을 하나의 연결된 구조로 이해해야 한다. 권한은 의사결정의 범위를 정한다 권한은 특정한 문제에 대해 판단하고 결정할 수 있는 정당한 권리이다. 기업에서는 이사회, 경영진, 관리자와 구성원이 서로 다른 권한을 갖는다. 어떤 문제를 이사회가 결정하고, 어떤 권한을 경영진에게 위임하며, 어떤 판단을 현장에서 할 수 있는지가 정해져 있어야 한다. 권한의 경계가 불분명하면 여러 주체가 같은 문제에 개입하거나 아무도 최종적인 결정을 내리지 않는 상황이 발생할 수 있다. 권한을 설계할 때에도 단순히 의사결정권자를 지정하는 것만으로 충분하지 않다. 결정할 수 있는 범위와 금액, 적용기간, 필요한 사전승인과 보고조건도 함께 정할 필요가 있다. 책임은 맡은 역할의 수행과 관련된다 책임은 부여받은 역할과 업무를 적절하게 수행해야 하는 의무이다. 권한과 책임은 함께 설계되어야 한다. 책임만 부여하고 필요한 권한을 제공하지 않으면 맡은 역할을 수행하기 어렵다. 반대로 권한은 크지만 책임이 불분명하면 권한 남용과 책임 회피가 발생할 수 있다. 따라서 거버넌스는 다음과 같은 두 가지 상태를 피해야 한다. 권한 없는 책임 책임 없는 권한 책임을 부여할 때에는 필요한 권한뿐 아니라 사람과 예산, 정보와 시간 같은 자원도 함께 고려해야 한다. 결과를 요구하면서 그 결과를 만들 수 있는 조건을 제공하지 않는다면 책임체계는 형식적인 것이 될 수 있다. 설명책임은 판단과 결과를 연결한다 설명책임은 권한을 행사한 사람이 자신의 결정과 행동, 그 결과를 설명하고 평가받는 책임이다. 설명책임이 작동하려면 누가 결정을 내렸는지 확인할 수 있어야 한다. 중요한 판단의 근거가 적절하게 기록되어야 하며, 결과가 필요한 주체에...

소유와 경영의 분리

기업이 성장하면 기업을 소유한 사람과 실제로 경영하는 사람이 달라질 수 있다. 소유와 경영의 분리는 현대 기업의 전문성과 효율성을 높이는 중요한 구조이다. 동시에 권한을 위임받은 사람이 그 권한을 기업의 목적에 맞게 사용하고 있는지를 확인해야 하는 문제를 만든다. 이 때문에 소유와 경영의 분리는 기업 거버넌스가 필요한 중요한 구조적 이유 가운데 하나이다. 기업의 성장과 경영의 위임 기업의 규모가 작을 때에는 소유자가 직접 주요 업무를 관리할 수 있다. 그러나 기업이 성장하고 사업이 복잡해지면 한 사람이 모든 분야를 직접 판단하기 어렵다. 제품과 기술, 재무와 인사, 법률과 해외사업 등 서로 다른 전문성이 필요해진다. 기업은 전문적인 경영능력을 가진 사람에게 권한을 맡기게 된다. 권한의 위임은 기업의 전문성과 효율성을 높인다. 현장에 가까운 사람이 더 많은 정보를 바탕으로 신속하게 판단할 수도 있다. 그러나 동시에 새로운 문제가 생긴다. 권한을 위임받은 사람이 그 권한을 기업의 목적에 맞게 사용하고 있는지를 어떻게 확인할 것인가라는 문제이다. 거버넌스는 권한 위임을 가능하게 하면서 그 권한의 행사와 결과를 확인할 수 있도록 만드는 구조이다. 주주·이사회·경영진의 위임 관계 대규모 기업의 권한은 일반적으로 다음과 같은 구조를 따라 위임된다. 주주 → 이사회 → 경영진 → 조직의 관리자와 구성원 주주는 이사를 선임한다. 이사회는 기업의 중요한 의사결정을 수행하고 경영진을 선임·감독한다. 경영진은 기업의 일상적인 운영을 담당하며 다시 조직 내부의 관리자와 구성원에게 필요한 권한을 위임한다. 따라서 기업에서는 하나의 위임만 존재하는 것이 아니라 여러 단계의 위임이 연속적으로 이루어진다. 이 구조에서 중요한 것은 각 단계의 권한과 책임이 분명해야 한다는 점이다. 누가 무엇을 결정할 수 있는지, 누구에게 보고해야 하는지, 결과에 대해 누구에게 설명해야 하는지를 확인할 수 있어야 한다. 정보 비대칭과 대리인 문제 권한을 위임하면 정보의 차이가 발생한다. 기업을 매일 운영하는...

리스크 발생 가능성과 영향

리스크를 식별한 뒤에는 그 리스크가 얼마나 중요한지를 판단해야 한다. 모든 리스크를 같은 수준으로 관리할 수는 없으며, 기업의 자원도 제한되어 있기 때문에 어떤 리스크에 더 많은 관심과 자원을 투입할 것인지 결정해야 한다. 리스크의 중요도를 판단할 때 가장 기본적으로 사용하는 두 요소는 발생 가능성과 영향이다. 발생 가능성은 특정한 사건이나 상황이 실제로 나타날 가능성을 의미하고, 영향은 그 사건이 발생했을 때 기업의 목표에 어느 정도의 결과를 가져오는지를 의미한다. 그러나 실제 리스크 판단을 이 두 요소의 단순한 계산으로만 이해해서는 안 된다. 리스크가 언제, 얼마나 빠르게 발생하는지와 그 영향이 얼마나 지속되는지, 기업이 얼마나 빨리 회복할 수 있는지도 함께 살펴볼 필요가 있다. 리스크 발생 가능성이란 무엇인가 리스크 발생 가능성은 특정 사건이 일정한 기간 안에 발생할 가능성을 의미한다. 어떤 사건은 과거 데이터가 충분하여 비교적 정량적으로 판단할 수 있다. 반복적으로 발생하는 장비고장이나 고객 연체율과 같은 리스크는 과거의 발생빈도를 참고하여 그 가능성을 평가할 수 있다. 반면 새로운 기술이나 규제, 지정학적 변화처럼 과거 데이터가 충분하지 않은 리스크도 있다. 이러한 경우에는 전문가의 판단과 외부 정보, 시나리오 등을 활용해야 한다. 따라서 발생 가능성을 항상 정확한 확률로 표현할 수 있는 것은 아니며, 상황에 따라 ‘높음’, ‘중간’, ‘낮음’과 같은 정성적인 기준을 사용할 수도 있다. 중요한 것은 수치를 얼마나 정밀하게 표현하는가보다 그 판단의 근거가 무엇인지 분명하게 하는 것이다. 리스크 발생 가능성을 판단할 때는 시간범위도 명확해야 한다. 향후 1년 안에 발생할 가능성과 향후 10년 안에 발생할 가능성은 의미가 다르다. 장기적인 전략 리스크와 단기적인 운영 리스크에 동일한 시간범위를 적용하면 판단이 왜곡될 수도 있다. 리스크 발생 가능성은 여러 리스크를 비교하는 데 유용한 기준이지만 미래를 정확하게 예측하는 수치는 아니다. 발생 가능성을 평가할 ...

리스크·이슈·위기의 구분

기업에서는 리스크, 이슈, 위기라는 표현이 혼용되는 경우가 많다. 이미 문제가 발생했는데도 리스크라고 부르거나, 일상적인 업무문제를 위기라고 표현하기도 한다. 그러나 세 개념을 구분하는 것은 단순히 용어를 정확하게 사용하기 위해서가 아니다. 상태가 달라지면 관리해야 할 대상과 필요한 대응도 달라지기 때문이다. 리스크는 아직 발생하지 않은 불확실성을 다루고, 이슈는 이미 발생하여 해결해야 하는 문제를 다룬다. 위기는 정상적인 대응범위를 넘어 기업의 핵심 기능과 존속에 중대한 영향을 줄 수 있는 상황을 다룬다. 리스크는 아직 발생하지 않은 불확실성이다 리스크는 미래와 관련된 개념으로, 어떤 사건이나 상황이 발생할 수도 있고 발생하지 않을 수도 있는 상태를 의미한다. 예를 들어 핵심 원자재 공급업체의 재무상태가 악화되고 있다고 하자. 현재는 공급이 정상적으로 이루어지고 있지만, 공급업체가 생산을 중단하면 기업의 생산에도 차질이 발생할 가능성이 있다. 이 단계에서 공급중단은 아직 현실화되지 않은 하나의 리스크이다. 기업은 이러한 상황이 실제로 발생하기 전에 대비할 수 있다. 공급업체의 재무상태를 모니터링하면서 대체 공급자를 확보하거나 안전재고를 늘릴 수 있으며, 필요한 경우 계약조건을 조정할 수도 있다. 리스크 관리가 기본적으로 사전적인 성격을 가지는 이유가 여기에 있다. 기업은 미래에 무엇이 발생할 수 있는지를 살펴보고, 목표에 영향을 줄 수 있는 중요한 불확실성에 미리 대비한다. 이슈는 이미 발생한 문제이다 앞의 사례에서 공급업체가 실제로 생산을 중단했다고 하자. 이제 공급중단은 미래의 가능성이 아니라 기업이 해결해야 하는 현실의 문제가 된다. 리스크가 현실화되어 이슈가 된 것이다. 이 단계에서는 발생 가능성을 평가하는 것보다 현재의 상황과 영향을 파악하고 대응하는 일이 중요하다. 남아 있는 재고와 영향을 받는 제품을 확인하고, 대체 공급자로 얼마나 빨리 전환할 수 있는지 파악해야 한다. 고객 주문에 미치는 영향도 확인해야 하며, 문제 해결을 누가 책임질 것인지도...

GRCbusiness

이 블로그 검색