리스크 관리란 무엇인가

기업의 경영에는 언제나 리스크가 존재한다. 사업을 시작하거나 확장하는 과정에도 리스크가 있으며, 투자를 하지 않는 선택에도 그에 따른 리스크가 존재한다. 따라서 기업이 모든 리스크를 피하면서 사업을 하는 것은 사실상 불가능하다.

리스크 관리는 기업에서 발생할 수 있는 모든 위험을 찾아 없애는 활동이 아니다. 기업의 목표와 관련된 불확실성을 이해하고, 어떤 리스크를 감수하며 어떤 리스크에는 대응할 것인지 판단하는 활동이다. 이러한 관점에서 보면 리스크 관리는 사고가 발생한 뒤 문제를 해결하는 사후적인 관리업무에 머물지 않는다. 기업의 전략과 투자, 자원 배분과 의사결정 전반에 포함되는 경영활동이다.

기업은 왜 리스크를 관리해야 하는가

기업은 미래의 결과를 확실하게 알 수 없는 상태에서 끊임없이 결정을 내려야 한다. 새로운 제품을 출시할 때에는 고객이 이를 받아들일지 판단해야 하고, 새로운 시장에 진출할 때에는 예상한 수요가 실제로 나타날지를 고려해야 한다. 공장을 증설할 경우에는 향후 수요와 가격이 충분한 수익을 만들어낼지를 살펴보아야 하며, 새로운 정보시스템을 도입할 때에는 생산성 향상과 함께 예상하지 못한 장애나 보안 문제의 가능성도 고려해야 한다.

이처럼 기업의 중요한 결정에는 대부분 불확실성이 존재한다. 그러나 불확실성이 존재한다는 사실 자체가 문제는 아니다. 중요한 것은 기업이 그 불확실성을 어느 정도 이해한 상태에서 결정을 내리는가이다.

경영진이 기대되는 성과에만 주목하면 실패 가능성을 충분히 검토하지 못할 수 있다. 낙관적인 시장 전망에 지나치게 의존하면 과도한 투자를 결정할 수도 있으며, 하나의 공급업체에 크게 의존하면서도 공급중단 가능성을 충분히 고려하지 못할 수 있다. 반대로 위험이 존재한다는 이유만으로 성장 가능성이 높은 사업을 지나치게 일찍 포기하는 것도 좋은 판단이라고 보기 어렵다.

리스크 관리는 이러한 판단을 보다 현실적으로 만드는 역할을 한다. 기업이 무엇이 예상과 다르게 진행될 수 있는지를 살펴보고, 현재의 판단이 어떤 가정에 기초하고 있는지를 확인하도록 한다. 또한 예상과 다른 결과가 나타날 경우 기업이 그 영향을 어느 정도까지 감당할 수 있는지도 생각하게 한다.

이를 통해 기업은 미래를 정확하게 예측할 수 없더라도 불확실성 속에서 보다 책임 있는 결정을 내릴 수 있다. 결국 리스크 관리가 필요한 이유는 미래의 모든 위험을 피하기 위해서가 아니라, 미래를 완전히 알 수 없는 상황에서도 더 나은 판단을 하기 위해서이다.

리스크란 무엇인가

리스크는 흔히 위험이나 손실 가능성과 같은 의미로 사용된다. 그러나 기업의 리스크를 손실 가능성으로만 이해하면 실제 경영에서 다루어야 할 불확실성을 충분히 설명하기 어렵다.

기업은 일정한 목표를 가지고 활동한다. 매출을 높이거나 새로운 시장에 진입하려 할 수 있으며, 제품의 품질을 높이고 고객의 신뢰를 유지하는 것도 중요한 목표가 될 수 있다. 따라서 무엇이 중요한 리스크인지를 판단하려면 먼저 이러한 목표와의 관계를 살펴보아야 한다.

예를 들어 환율이 크게 변했다고 하자. 해외 거래가 거의 없는 기업이라면 환율 변동이 중요한 리스크가 아닐 수 있다. 반면 수출과 수입의 비중이 높은 기업이라면 같은 환율 변동이 수익성과 현금흐름을 크게 흔드는 중요한 리스크가 될 수 있다. 같은 외부 변화라도 기업의 목표와 사업구조에 따라 그 의미가 달라지는 것이다.

따라서 리스크는 기업의 목표에 영향을 줄 수 있는 불확실성으로 이해하는 것이 적절하다. 이 정의에는 두 가지 요소가 포함된다. 먼저 결과가 아직 확정되지 않은 불확실성이 존재해야 한다. 동시에 그 불확실성이 기업의 목표에 영향을 줄 가능성이 있어야 한다.

세상에는 수많은 불확실성이 존재하지만 그 모든 것이 한 기업의 중요한 리스크가 되는 것은 아니다. 기업이 무엇을 달성하려 하는지에 따라 중요하게 보아야 할 리스크도 달라진다. 따라서 기업은 리스크를 묻기 전에 먼저 자신이 무엇을 달성하려 하는지를 분명하게 해야 한다.

리스크 관리는 위험을 없애는 일이 아니다

어떤 리스크는 가능한 한 줄여야 한다. 안전사고와 법규 위반의 가능성은 낮출 필요가 있으며, 중대한 정보 유출과 부정행위도 예방해야 한다.

그러나 모든 리스크를 가능한 한 낮추는 것이 항상 좋은 경영은 아니다. 새로운 시장에 진출하지 않으면 시장 진입 실패의 위험은 줄어들지만 새로운 성장기회도 줄어든다. 연구개발에 투자하지 않으면 투자 실패의 위험은 피할 수 있지만 새로운 제품과 기술을 만들 가능성도 함께 낮아진다.

이는 기업활동 자체가 어느 정도의 리스크를 감수하면서 기회를 추구하는 과정이라는 의미이다. 따라서 리스크 관리의 목적을 ‘리스크 제로’로 설정해서는 안 된다.

기업은 위험의 성격에 따라 서로 다른 대응을 선택해야 한다. 어떤 위험은 사업이나 활동을 중단함으로써 피할 수 있다. 어떤 위험은 발생 가능성이나 영향을 줄이는 방법을 선택할 수 있다. 보험이나 계약을 통해 일부 위험을 다른 주체와 공유할 수도 있다. 반대로 기업의 목표를 달성하기 위해 일정 수준의 위험을 받아들여야 하는 경우도 있다.

중요한 것은 리스크를 모르고 감수하는 것과 충분히 이해한 뒤 감수하는 것을 구분하는 것이다. 좋은 리스크 관리는 위험 자체를 없애는 것이 아니라, 기업이 감수해야 할 위험과 감수해서는 안 될 위험을 구분하도록 한다.

리스크 관리는 의사결정의 과정이다

기업에는 별도의 리스크 관리부서가 있을 수 있다. 리스크 등록부를 만들고 평가를 수행하며, 경영진과 이사회에 리스크 보고서를 제출하기도 한다.

그러나 이러한 제도 자체가 리스크 관리의 목적은 아니다. 리스크 관리가 실제로 필요한 순간은 기업이 중요한 선택을 해야 하는 순간이다.

기업은 어느 시장에 진출할 것인지 결정해야 하고, 새로운 사업에 얼마를 투자할 것인지 판단해야 한다. 어떤 공급업체와 거래할 것인지, 어떤 기술을 도입할 것인지도 선택해야 한다. 경우에 따라서는 제품 출시를 늦추더라도 안전성 검토를 추가할 것인지 판단해야 한다.

이러한 결정에는 기대되는 성과와 함께 불확실성이 존재한다. 따라서 의사결정에서는 기대성과만 볼 것이 아니라 어떤 리스크가 존재하는지, 그 리스크가 현실화될 경우 기업이 어느 정도까지 감당할 수 있는지, 대응하려면 어떤 비용과 자원이 필요한지를 함께 고려해야 한다.

리스크 관리의 기본 흐름은 다음과 같이 이해할 수 있다.

목표 → 선택 가능한 대안 → 불확실성 → 기대성과와 리스크의 판단 → 자원 배분 → 의사결정

이러한 관점에서 보면 리스크 관리의 품질을 리스크 문서의 양으로 판단하기는 어렵다. 아무리 정교한 관리체계를 갖추고 있어도 실제 중요한 경영판단에서 리스크 정보가 사용되지 않는다면 그 효과는 제한적이다. 리스크 관리가 경영과 분리되어서는 안 되는 이유가 여기에 있다.

리스크 관리에서 전사적 리스크 관리로

기업이 성장하고 사업이 복잡해질수록 리스크는 서로 더 깊이 연결된다.

예를 들어 공급망이 중단되면 문제는 생산부서에만 머물지 않는다. 생산량이 줄어들면 매출이 감소할 수 있고, 고객과의 계약을 제대로 이행하지 못할 수도 있다. 그 결과 현금흐름이 악화되고 고객의 신뢰와 기업의 평판까지 훼손될 수 있다.

사이버 사고도 마찬가지이다. 처음에는 정보기술 부서의 문제처럼 보일 수 있지만 시스템이 중단되면 고객서비스와 주요 업무가 영향을 받는다. 개인정보가 유출되면 규제기관의 제재가 발생할 수 있으며, 고객의 신뢰가 훼손되어 사업과 재무성과에도 영향을 줄 수 있다.

이처럼 하나의 리스크가 여러 사업과 기능에 연속적으로 영향을 줄 수 있기 때문에 특정 리스크를 하나의 부서에만 배정하여 관리하면 기업 전체에 미치는 영향을 충분히 파악하기 어렵다. 여러 부서가 각각 자신의 리스크를 잘 관리하고 있더라도 기업 전체가 어느 정도의 리스크를 감수하고 있는지를 파악하기 어려울 수 있다.

이 때문에 리스크 관리는 개별 위험을 각각 관리하는 방식에서 기업 전체의 목표와 전략, 성과와 리스크를 통합적으로 바라보는 방향으로 발전한다. 이를 전사적 리스크 관리라고 한다.

그러나 여기에서 서둘러 전사적 리스크 관리의 구체적인 체계까지 살펴볼 필요는 없다. 중요한 것은 전사적 리스크 관리 역시 앞에서 살펴본 기본 원리에서 출발한다는 점이다.

기업은 먼저 자신이 무엇을 달성하려 하는지를 분명하게 해야 한다. 그리고 그 목표와 관련하여 어떤 불확실성이 존재하는지를 이해하고, 어떤 리스크를 감수하며 어떤 리스크에 대응할 것인지 판단해야 한다. 개별 리스크 관리에서 전사적 리스크 관리로 확장되더라도 이 기본 원리는 달라지지 않는다.

리스크 관리는 기업의 목표와 관련된 불확실성을 이해하고, 그 안에서 어떤 리스크를 감수할 것인지 판단하는 경영활동이다. © grcbusiness