내부 위험 관리
위험 관리는 관리자가 자신의 회사(또는 사업 부문)를 조직하여 문제가 발생할 경우를 대비하고 이를 예방하려고 하는 것입니다. 위험 관리는 관리자가 알 수 없는 상황을 평가하고 모든 것에 대비할 수 있어야 하므로 관리의 가장 복잡한 분야 중 하나입니다. 본질적으로 위험 관리는 재무 전문가나 자산 관리자가 특정 상황에서 손실 가능성을 분석하고 이를 최소화하기 위한 적절한 조치를 취할 때 발생합니다.
내부 통제 대 외부 통제
위험 관리 도구는 일반적으로 내부 통제와 외부 통제로 나뉩니다. 내부 통제는 조직 내부에서 발생하는 문제를 예방하기 위한 도구를 의미하고, 외부 통제는 외부에서 발생하는 위협과 문제에 대비하는 것을 의미합니다.
내부 통제
내부 통제는 조직 내에서 모든 것이 원활하게 운영되고 실수가 드물게 발생하도록 보장하기 위해 마련된 절차와 프로세스입니다. 여기에는 표준 운영 절차(SOP), 품질 보증(QA), 감사와 같은 것들이 포함됩니다. 또한 이러한 SOP와 QA 프로세스가 제대로 준수되고 있는지 확인하기 위한 점검 및 조사가 포함됩니다. 이 기사에서 다루는 대부분의 예는 내부 위험 관리에 초점을 맞출 것입니다.
외부 통제
외부 통제는 외부의 어떤 힘으로부터 조직을 보호하기 위해 마련되어 있습니다. 여기에는 새로운 제품이 판매에 실패할 가능성을 평가하거나, 사고 발생 시 얼마나 많은 피해가 발생할지를 평가하고, 재난 발생 시 조직이 적절하게 보험에 가입되어 있는지 확인하는 것이 포함됩니다. 외부 통제에는 산업 비밀을 안전하게 유지하기 위한 보안 구축부터 환율 변동 시 조직이 과도한 피해를 입지 않도록 하기 위한 통화 헤지와 같은 비교적 사소한 것들이 포함됩니다.
내부 위험 통제의 본질
내부 위험 통제는 관리자가 조직 내에서 발생하는 위험을 최소화하기 위해 마련하는 것입니다. 이러한 통제는 4가지 광범위한 범주로 나눌 수 있습니다:
- 모니터링: 운영을 주시하고 문제가 확대되기 전에 식별하기 위해 마련된 통제입니다.
- 통제 환경: 위험을 최소화하기 위해 작업 공간을 조직하는 것을 의미합니다. 이는 공장이 안전 장비를 설치하는 것부터 IT 부서가 바이러스로부터 보호하기 위해 방화벽을 설치하는 것까지 다양합니다.
- 정보 및 커뮤니케이션: 부서, 직원 및 관리자 간의 정기적인 보고 및 커뮤니케이션 채널을 구축하는 것입니다. 때때로 직원과 관리자는 문제가 “통제되고 있다”고 생각하지만, 이는 재앙으로 이어질 수 있는 상황일 수 있습니다. 좋은 커뮤니케이션과 보고는 이러한 일이 발생하는 것을 방지하는 데 도움이 됩니다.
- 위험 평가: 이는 조직이 운영의 각 측면이 전체에 얼마나 많은 위험을 추가하는지에 대한 금액을 책정하는 방법입니다.
위험 평가는 가장 까다롭지만 가장 중요합니다. 각 조직은 전체적으로 위험을 최소화하기 위해 분배해야 하는 한정된 자원을 가지고 있으며, 이 평가 과정은 이러한 노력을 안내하는 데 도움이 됩니다. 동시에, 회사가 직원에게 더 많은 모니터링, 통제 및 보고 의무를 부여할 때마다 직원은 위험 관리에 더 많은 시간을 할애하고 수익을 창출하는 데는 덜 집중하게 됩니다. 새로운 내부 통제가 부과될 때마다, 그것이 보호하려는 팀에 부과하는 비용과 균형을 이루어야 합니다.
내부 위험 통제는 모든 관리 수준에서 이루어집니다. 최하위 관리자는 목표를 달성하는 데 내재된 위험을 최소화하려고 하고, 더 높은 수준의 관리자는 조직 전체에 걸쳐 발생하는 위험을 검토합니다. 효과적인 통제는 또한 하향식뿐만 아니라 상향식으로 이루어지며, 일반 직원이 내부 통제가 무시되고 있다고 생각할 때 이를 보고할 수 있는 직접적인 커뮤니케이션 경로를 추가합니다.
외부 위험 통제와의 대조
외부 위험 통제는 조직 외부의 위험을 정량화하기가 쉽지 않기 때문에 더 자유로운 형식입니다. 이는 일반적으로 SWOT 분석(강점, 약점, 기회 및 위협)으로 시작되며, 식별된 위협을 해결하는 데 초점을 맞춥니다. 외부 위험 통제는 일반적으로 더 높은 수준의 관리자가 다루며, 이후 이러한 위험을 해결하기 위해 하위 관리층에 지시를 내립니다.
내부 통제가 조직이 원활하게 운영되도록 보장하기 위해 마련된 반면, 외부 위험 통제는 비즈니스 자체에 대한 위협을 해결하려고 합니다. 예를 들어, 항공사는 항상 유가 상승의 위험에 처해 있으며, 이는 운영 비용의 급증을 초래합니다. 그들이 사용하는 주요 외부 위험 통제 형태 중 하나는 유가 선물을 구매하는 것으로, 이는 향후 몇 개월 동안 고정된 가격을 잠그어 불확실성을 제거합니다. 외부 위험 통제는 입력 가격 변화부터 새로운 법률 및 규정의 통과까지 모든 것을 살펴보려고 합니다.
위험 평가 방법
위험 평가는 어떻게 수행되어야 하는지에 대한 정해진 지침이 없습니다. 그러나 일반적으로 따르는 몇 가지 규칙이 있습니다. 위험 평가를 정확하게 완료하기 위해 보장할 수 있는 다섯 가지 단계가 있습니다. 이 다섯 단계는 다음과 같습니다:
1단계: 위험 식별
위험을 평가하기 전에 첫 번째 단계는 그 위험이 정확히 무엇인지 식별하는 것입니다. 1단계의 목표는 잠재적인 문제와 어떤 종류의 피해가 발생할 수 있는지에 대한 명확하고 간결한 정의를 갖는 것입니다. 예를 들어, 작업장에서의 위험한 기계는 근로자에게 해를 끼칠 위험이 정의되어 있으며, 이는 생산성 손실과 소송으로 이어집니다.
많은 위험 요소는 처음에는 매우 모호하지만, 관리자가 무엇을 통제하려고 하는지 정확히 파악하기 전까지는 효과적인 통제를 시행할 수 없습니다. 위험 요소는 다양한 절차를 활용하여 인식할 수 있으며, 예를 들어 작업 환경을 돌아다니거나 근로자에게 질문하는 것입니다. 일부 위험 요소는 쉽게 식별할 수 있지만, 다른 위험 요소는 자신의 사업 외부의 다른 전문가의 도움이 필요할 수 있습니다.
2단계: 이해관계자 식별
이 단계는 1단계에서 발견된 위험 요소와 위험을 기반으로 합니다. 작업장에서의 문제는 여러 수준의 이해관계자가 있습니다. 예를 들어, 위험한 기계와 관련하여 부상을 입을 위험이 있는 근로자는 명백한 이해관계자입니다. 추가적인 이해관계자는 생산 체인에서 사고가 발생할 경우 일정이 지연될 다른 사업 부서입니다. 또한 부상을 입을 수 있는 사람들의 가족과 부상 이후 나쁜 언론 보도로 인해 투자를 철회할 수 있는 회사의 주주에게도 영향을 미칠 것입니다.
3단계: 위험 평가 및 통제 조치 선택
위험을 평가한다는 것은 그 위험이 발생할 가능성을 할당하려고 시도하는 것을 의미합니다. 어떤 위험도 완전히 제거할 수는 없으며, 오직 최소화할 수 있습니다. 이는 기업이 먼저 그 위험으로 인해 문제가 발생할 가능성이 얼마나 되는지, 그리고 잠재적인 통제 조치가 그 가능성을 얼마나 낮출 수 있는지를 식별해야 함을 의미합니다.
잠재적인 통제는 이를 시행하는 데 드는 비용(금전적 가치와 통제를 시행하는 데 필요한 직원의 시간/노력)과 실제로 얼마나 많은 위험이 줄어드는지를 균형 있게 평가하여 평가됩니다. 여러 대안을 비교한 후, 새로운 통제를 도입할 수 있습니다.
4단계: 결과 기록
효과적인 통제는 시험적으로 시행됩니다. 이는 팀이 위험 요소와 이를 해결하기 위해 시행되는 새로운 통제를 개요하는 교육 세션을 갖는 것을 의미합니다. 시험이 진행되는 동안, 전체 팀(일반 근로자부터 관련 관리직까지)은 통제가 그들의 작업에 미치는 영향을 기록합니다. 이는 통제가 실제로 해결하고자 하는 위험을 다루는 것과 이를 시행하는 데 드는 비용을 모두 포함합니다.
5단계: 평가 검토 및 갱신
위험 통제는 효과성을 지속적으로 검토하고 갱신해야 하며, 관련된 모든 이해관계자에게 적절한 소통이 필요합니다. 이는 일반적으로 관리 팀에 의해 수행되며, 특정 “평가자”가 통제의 검토 또는 감사 수행을 담당합니다. 시간이 지남에 따라 새로운 위험과 변화하는 비즈니스 환경을 다루기 위해 모든 유형의 통제에 변경 사항이 적용되어야 합니다.
위험 통제 감사의 중요성
감사는 회사가 시행한 내부 위험 통제에 대한 더 큰 검토입니다. 감사는 일반적인 위험 평가 절차와는 별개이지만, 수행되는 방식에 대한 유사한 로드맵을 따릅니다.
내부 위험 통제에 대한 정기적인 감사는 조직이 원활하게 운영되도록 하는 데 필수적입니다. 이들의 두 가지 주요 이점은 내부 통제가 설계된 대로 시행되고 있는지 확인하는 것과 조직 내 전체 통제에 대한 “조감도”를 얻는 것입니다. 이 조감도는 내부 통제의 중복성을 식별하고 프로세스를 간소화하여 더 저렴하고 쉽게, 그리고 더 효과적으로 만들 수 있도록 도와줍니다.
위험 식별 및 평가
이는 일반적인 위험 평가의 1단계부터 3단계와 동일하지만, 개별 사업 부서가 아닌 전체 비즈니스 운영을 살펴봅니다. 목적은 어떤 위험이 존재하는지, 그리고 이러한 위험을 해결하기 위해 이미 어떤 통제가 존재하는지를 식별하는 것입니다. 적절한 통제가 존재하지 않는 경우, 감사 팀은 이를 수정하기 위해 관련 이해관계자에게 권장 사항을 제시합니다.
프로세스 효율성 및 효과성 향상
이는 조직 전반에 걸쳐 이미 시행된 내부 위험 통제를 조화롭게 하려는 과정입니다. 이러한 작업의 주요 목표는 비즈니스 부서가 효과적인 통제를 유지하기 쉽게 만드는 것입니다. 이는 일반적으로 서로 다른 사업 부서의 표준 운영 절차(SOP)를 통합하고, 소통 채널을 강화하며, 어떤 유형의 통제가 가장 많은 시간을 소모하는지에 대한 관리자의 의견을 더 많이 반영하는 것을 의미합니다. 효과적인 내부 통제 감사는 근로자가 준수에 드는 노력을 줄이고, 비즈니스 가치를 창출하는 데 더 많은 노력을 기울일 수 있도록 하며, 위험에 대한 보호를 희생하지 않도록 합니다.