리스크 식별

경영환경과 리스크 관리의 범위를 정했다면 다음 단계는 기업의 목표에 영향을 줄 수 있는 리스크를 찾아내는 것이다. 이를 리스크 식별이라고 한다.

리스크 식별의 목적은 가능한 많은 위험을 나열하는 데 있지 않다. 기업이 중요하게 관리해야 할 불확실성을 발견하고, 이후의 분석과 평가가 가능하도록 이를 명확하게 표현하는 데 있다. 중요한 리스크를 식별하지 못하면 이후의 분석과 대응이 아무리 정교해도 그 위험을 제대로 관리할 수 없다. 따라서 리스크 식별은 리스크 관리 과정에서 가장 기본적인 출발점 가운데 하나이다.

무엇을 리스크로 식별할 것인가

기업 주변에는 수많은 사건과 변화가 존재하지만 그 모든 것을 리스크로 관리할 필요는 없다. 먼저 해당 사건이나 변화가 기업의 목표에 의미 있는 영향을 줄 수 있는지를 살펴보아야 한다.

새로운 규제가 도입되더라도 기업의 사업과 거의 관련이 없다면 중요한 리스크가 아닐 수 있다. 반대로 작은 기술 변화처럼 보여도 기업의 핵심 사업모델을 바꿀 가능성이 있다면 중요한 리스크가 될 수 있다. 결국 사건이나 변화 자체보다 그것이 기업의 목표에 어떤 영향을 줄 수 있는지가 중요하다.

이처럼 리스크를 식별할 때는 어떤 목표가 영향을 받을 수 있는지, 어떤 사건이나 변화가 그 목표에 영향을 줄 수 있는지를 살펴보아야 한다. 그 영향이 기업이 관리해야 할 정도로 중요한지, 기업의 선택이나 대응에 따라 위험의 수준이 달라질 수 있는지도 함께 고려할 필요가 있다.

리스크를 지나치게 넓게 정의하면 관리하기 어려운 목록이 만들어진다. 반대로 눈앞의 문제만을 대상으로 하면 장기적인 전략 변화와 새로운 위험을 놓칠 수 있다. 좋은 리스크 식별을 단순히 리스크의 수가 많고 적음으로 판단하기 어려운 이유이다. 핵심은 기업의 중요한 목표를 흔들 수 있는 불확실성을 빠뜨리지 않고 발견하는 데 있다.

목표와 실제 업무에서 리스크를 찾는다

리스크 식별의 가장 좋은 출발점 가운데 하나는 기업의 목표와 실제 업무이다. 먼저 기업의 중요한 목표를 확인하고, 무엇 때문에 그 목표가 예상대로 달성되지 않을 수 있는지를 살펴본다.

예를 들어 기업이 해외 매출 확대를 목표로 한다면 현지 고객의 수요가 예상보다 낮거나 규제가 강화될 수 있다. 적절한 현지 파트너를 확보하지 못하거나 환율이 크게 변하는 상황도 목표 달성에 영향을 줄 수 있다. 이처럼 목표에서 출발하면 어떤 불확실성을 중요하게 살펴보아야 하는지가 보다 분명해진다.

실제 업무의 흐름을 따라가면서 리스크를 찾을 수도 있다. 고객 주문에서 제품 생산과 배송, 대금 회수에 이르는 업무의 흐름을 살펴보면서 어느 단계에서 문제가 발생할 수 있는지를 확인하는 방식이다.

기업이 의존하는 핵심 자산과 자원도 살펴보아야 한다. 특정 시스템이 중단되었을 때 사업을 계속할 수 있는지, 중요한 데이터가 손상되었을 때 의사결정에 어떤 문제가 발생하는지를 확인할 필요가 있다. 특정 핵심인력이 빠지거나 주요 공급자의 공급이 중단되었을 때 업무를 지속하거나 대체할 수 있는지도 중요한 판단 대상이다.

리스크 식별은 이미 만들어진 일반적인 위험 목록을 가져와 기업에 적용하는 활동이 아니다. 기업이 실제로 무엇을 하고 있으며 무엇에 의존하고 있는지를 따라가면서 그 과정에 존재하는 불확실성을 찾는 활동이다.

과거 사건과 미래 변화를 함께 본다

과거의 경험은 리스크를 식별하는 중요한 자료이다. 과거에 발생한 사고와 손실, 장애 기록을 살펴볼 수 있으며 고객 불만과 품질문제도 참고할 수 있다. 법규 위반과 내부신고 사례, 내부감사와 외부평가에서 반복적으로 제기된 문제도 중요한 정보를 제공한다. 과거에 실제로 문제가 발생했다면 같은 문제가 다시 발생할 가능성을 살펴볼 필요가 있다.

그러나 과거의 경험에만 의존하면 새로운 리스크를 놓칠 수 있다. 과거에 일어나지 않았다는 사실이 앞으로도 일어나지 않는다는 의미는 아니기 때문이다. 새로운 기술이 등장하거나 규제가 달라질 수 있고, 고객의 행동과 경쟁구조가 변화할 수도 있다. 기업 자체가 새로운 사업모델을 선택하면서 이전에는 존재하지 않았던 불확실성에 직면할 수도 있다.

따라서 리스크 식별에서는 과거와 미래라는 두 방향을 함께 살펴보아야 한다. 과거에 무엇이 잘못되었는지를 확인하는 동시에 앞으로 무엇이 달라질 수 있는지를 탐색해야 한다. 과거의 정보가 기업이 실제로 경험한 위험을 보여준다면, 미래 변화에 대한 탐색은 기존 경험만으로 발견하기 어려운 새로운 위험을 보여준다. 좋은 리스크 식별은 이 두 관점을 함께 사용한다.

리스크를 원인·사건·영향으로 표현한다

리스크를 발견한 뒤에는 그것이 무엇을 의미하는지 명확하게 표현해야 한다. 리스크 목록에는 ‘인력 리스크’, ‘IT 리스크’, ‘시장 리스크’와 같이 넓고 추상적인 표현이 사용되는 경우가 많다. 그러나 이러한 표현만으로는 구체적으로 무엇이 발생할 수 있으며 기업에 어떤 영향을 줄 수 있는지가 분명하지 않다.

예를 들어 ‘사이버 리스크’라고만 표현하면 외부 공격의 위험을 의미하는지, 개인정보 유출을 의미하는지, 핵심 시스템의 중단을 의미하는지 알기 어렵다. 리스크를 보다 명확하게 표현하려면 원인 → 사건 → 영향의 관계를 생각할 수 있다.

보안 취약점 관리가 충분하지 않은 상태가 원인이 되고, 그 결과 외부 공격으로 고객정보가 유출되는 사건이 발생할 수 있다. 이 사건은 다시 규제 제재와 고객 피해, 기업 신뢰 훼손으로 이어질 수 있다.

이처럼 원인과 사건, 영향을 구분하여 표현하면 이후의 분석과 대응 방향도 분명해진다. 원인을 줄이기 위해 무엇을 해야 하는지, 사건의 발생 가능성을 낮추기 위한 통제가 필요한지 판단할 수 있다. 사건이 실제로 발생했을 때 그 영향을 줄이기 위해 어떤 대비가 필요한지도 살펴볼 수 있다.

리스크를 정확하게 표현하는 것은 단순히 문장을 작성하는 일이 아니다. 무엇을 분석하고 어디에 대응할 것인지를 정하는 과정이다.

리스크 목록은 지속적으로 갱신한다

리스크 식별은 한 번 실시하고 끝나는 활동이 아니다. 기업의 목표가 변하고 새로운 사업과 프로젝트가 시작되며 기술과 시장, 규제도 계속 달라지기 때문이다. 이러한 변화에 따라 리스크 목록도 함께 달라져야 한다.

새로운 리스크가 발견되면 목록에 추가하고, 기존 리스크의 정의가 지나치게 넓거나 모호하다면 수정해야 한다. 서로 중복되는 리스크는 통합할 수 있으며 중요성이 크게 낮아진 리스크는 우선순위를 조정할 수도 있다.

중요한 것은 일정한 리스크 목록을 그대로 유지하는 데 있지 않다. 현재 기업이 실제로 직면하고 있는 중요한 불확실성을 목록에 제대로 반영하는 것이 중요하다.

정기적인 리스크 평가뿐 아니라 기업에 중요한 변화가 발생했을 때에도 리스크를 다시 식별해야 한다. 신규 사업을 시작하거나 대규모 투자와 기업 인수를 검토할 때 새로운 리스크가 발생할 수 있다. 중대한 사고나 실패가 발생했다면 기존의 리스크 식별 과정에서 무엇을 놓쳤는지도 살펴보아야 한다.

리스크 식별은 목록을 한 번 완성하는 일이 아니다. 기업과 경영환경의 변화에 따라 무엇이 중요한 리스크인지를 지속적으로 다시 살펴보는 과정이다. © grcbusiness