리스크 발생 가능성과 영향

리스크를 식별한 뒤에는 그 리스크가 얼마나 중요한지를 판단해야 한다. 모든 리스크를 같은 수준으로 관리할 수는 없으며, 기업의 자원도 제한되어 있기 때문에 어떤 리스크에 더 많은 관심과 자원을 투입할 것인지 결정해야 한다.

리스크의 중요도를 판단할 때 가장 기본적으로 사용하는 두 요소는 발생 가능성과 영향이다. 발생 가능성은 특정한 사건이나 상황이 실제로 나타날 가능성을 의미하고, 영향은 그 사건이 발생했을 때 기업의 목표에 어느 정도의 결과를 가져오는지를 의미한다. 그러나 실제 리스크 판단을 이 두 요소의 단순한 계산으로만 이해해서는 안 된다. 리스크가 언제, 얼마나 빠르게 발생하는지와 그 영향이 얼마나 지속되는지, 기업이 얼마나 빨리 회복할 수 있는지도 함께 살펴볼 필요가 있다.

리스크 발생 가능성이란 무엇인가

리스크 발생 가능성은 특정 사건이 일정한 기간 안에 발생할 가능성을 의미한다. 어떤 사건은 과거 데이터가 충분하여 비교적 정량적으로 판단할 수 있다. 반복적으로 발생하는 장비고장이나 고객 연체율과 같은 리스크는 과거의 발생빈도를 참고하여 그 가능성을 평가할 수 있다.

반면 새로운 기술이나 규제, 지정학적 변화처럼 과거 데이터가 충분하지 않은 리스크도 있다. 이러한 경우에는 전문가의 판단과 외부 정보, 시나리오 등을 활용해야 한다. 따라서 발생 가능성을 항상 정확한 확률로 표현할 수 있는 것은 아니며, 상황에 따라 ‘높음’, ‘중간’, ‘낮음’과 같은 정성적인 기준을 사용할 수도 있다. 중요한 것은 수치를 얼마나 정밀하게 표현하는가보다 그 판단의 근거가 무엇인지 분명하게 하는 것이다.

리스크 발생 가능성을 판단할 때는 시간범위도 명확해야 한다. 향후 1년 안에 발생할 가능성과 향후 10년 안에 발생할 가능성은 의미가 다르다. 장기적인 전략 리스크와 단기적인 운영 리스크에 동일한 시간범위를 적용하면 판단이 왜곡될 수도 있다.

리스크 발생 가능성은 여러 리스크를 비교하는 데 유용한 기준이지만 미래를 정확하게 예측하는 수치는 아니다. 발생 가능성을 평가할 때는 수치 자체보다 어떤 기간과 정보, 가정을 바탕으로 판단했는지를 함께 살펴보아야 한다.

리스크 영향은 무엇을 의미하는가

리스크가 현실화되면 기업에는 여러 종류의 영향이 발생할 수 있다. 가장 쉽게 생각할 수 있는 것은 재무적 영향이다. 매출이 감소하거나 비용이 증가할 수 있고, 자산에 손실이 발생하거나 벌금과 손해배상을 부담할 수도 있다.

그러나 리스크의 영향은 재무적 손실에만 머물지 않는다. 생산과 서비스가 중단될 수 있으며 고객과 임직원의 안전에 영향을 줄 수도 있다. 법률과 규제를 위반하거나 중요한 데이터가 손실·유출될 수 있고, 기업의 평판과 신뢰가 훼손될 수도 있다. 나아가 장기적인 전략과 경쟁력에도 영향을 미칠 수 있다. 따라서 리스크의 영향은 어느 하나의 차원이 아니라 여러 측면에서 살펴보아야 한다.

특히 하나의 리스크 영향이 다른 영향으로 확대될 수 있다는 점이 중요하다. 작은 제품 결함은 처음에는 교환비용 정도의 문제로 보일 수 있다. 그러나 그 결함이 고객의 안전과 관련되어 있고 기업이 이를 적절하게 처리하지 않았다면 규제와 소송으로 이어지고, 평판과 매출에까지 더 큰 영향을 줄 수 있다.

따라서 리스크 영향은 사건이 발생한 직후 나타나는 직접적인 손실만으로 판단하기보다 기업의 목표와 이해관계자에게 미치는 전체적인 결과를 중심으로 살펴보아야 한다.

리스크 가능성과 영향을 함께 평가한다

발생 가능성과 영향은 리스크의 상대적인 중요도를 판단하는 기본적인 틀을 제공한다. 발생 가능성이 높고 영향도 큰 리스크는 일반적으로 높은 우선순위를 가질 수 있으며, 발생 가능성과 영향이 모두 낮은 리스크에는 상대적으로 적은 자원을 투입할 수 있다.

그러나 두 요소의 관계가 항상 단순한 것은 아니다. 발생 가능성이 낮더라도 기업의 존속을 위협할 정도로 영향이 큰 리스크가 있을 수 있다. 반대로 발생 가능성은 높지만 개별 사건의 영향이 작은 경우도 있으며, 이러한 사건은 반복적으로 발생하면서 누적손실을 만들 수 있다.

따라서 발생 가능성과 영향을 함께 평가하는 목적은 하나의 정확한 숫자를 얻는 데 있지 않다. 어떤 리스크가 더 많은 경영진의 관심과 자원을 필요로 하는지 판단하기 위한 것이다. 리스크 매트릭스와 같은 도구를 사용할 수 있지만, 이러한 도구 역시 리스크 판단을 구조화하고 서로 비교하기 위한 수단으로 이해해야 한다.

시간과 속도도 중요하다

같은 발생 가능성과 영향을 가진 리스크라도 실제로 발생하는 속도에 따라 기업의 대응능력은 달라질 수 있다.

어떤 위험은 수년에 걸쳐 서서히 나타난다. 시장구조의 변화나 인구구조의 변화가 이에 해당할 수 있으며, 기업은 변화의 신호를 관찰하면서 전략을 수정할 시간을 가질 수 있다. 반면 사이버공격이나 대규모 시스템 장애는 짧은 시간 안에 기업의 핵심 기능을 멈출 수 있다. 발생 가능성과 영향만으로는 이러한 차이를 충분히 설명하기 어렵기 때문에 발생속도와 사전 경고시간도 함께 살펴볼 필요가 있다.

리스크 영향이 얼마나 지속되는지도 중요하다. 몇 시간 안에 복구할 수 있는 시스템 장애와 수개월 동안 지속되는 공급중단은 기업에 미치는 의미가 다르다. 기업이 얼마나 빨리 회복할 수 있는지도 리스크의 실제 영향을 좌우한다. 대체 공급자나 백업 시스템이 준비되어 있다면 같은 사건이 발생하더라도 기업이 받는 영향은 줄어들 수 있다.

이 때문에 리스크를 판단할 때는 발생 가능성과 영향뿐 아니라 발생속도와 지속기간, 회복 가능성까지 함께 살펴보아야 한다. 특정 리스크가 얼마나 자주 발생할 수 있는지뿐 아니라 얼마나 빠르게 현실화되고, 그 영향이 얼마나 오래 지속되며, 기업이 어느 정도의 시간 안에 정상적인 상태로 회복할 수 있는지를 함께 판단해야 한다.

리스크 점수의 한계

기업은 여러 리스크를 비교하기 위해 점수를 사용할 수 있다. 발생 가능성과 영향을 일정한 등급으로 평가하고 이를 결합하여 전체적인 리스크 수준을 표현하는 방식이다. 이러한 방법은 많은 리스크를 일정한 기준으로 정리하고 비교하는 데 유용하다.

그러나 숫자가 객관성을 보장하는 것은 아니다. 발생 가능성을 3이라고 평가하더라도 그 근거가 평가자마다 다를 수 있으며, 영향 4가 의미하는 수준 역시 사업이나 리스크의 유형에 따라 달라질 수 있다. 또한 발생 가능성이 3이고 영향이 4인 리스크와 발생 가능성이 4이고 영향이 3인 리스크는 같은 점수를 가질 수 있지만 두 리스크의 성격은 서로 다르다.

매우 자주 발생하지만 개별 영향이 제한적인 리스크와 발생 가능성은 낮지만 기업에 치명적인 영향을 줄 수 있는 리스크를 같은 숫자로 취급해서는 안 된다. 재무손실과 안전사고, 법규 위반과 평판 훼손처럼 성격이 다른 영향을 하나의 숫자로 완전히 비교하기 어려운 경우도 있다.

따라서 리스크 점수는 경영판단을 대신할 수 없다. 리스크 점수는 복잡한 불확실성을 일정한 기준으로 구조화하여 논의하기 위한 도구이며, 리스크의 객관적인 진실을 보여주는 숫자는 아니다. 좋은 리스크 관리는 점수 자체에 머물지 않고 그 점수 뒤에 있는 원인과 가정, 영향과 맥락을 함께 살펴본다. © grcbusiness