기업의 목표와 위험을 하나의 체계에서 관리하는 법

잘나가던 기업이 심각한 위기에 빠지면 비슷한 질문이 반복된다.

경영진은 왜 위험을 미리 발견하지 못했을까. 이사회는 무엇을 감독하고 있었을까. 내부통제와 컴플라이언스 제도가 있었는데 왜 문제를 막지 못했을까.

연암사 출판사에서 출간한 리처드 M. 스타인버그의 [거버넌스 리스크관리 컴플라이언스]는 이러한 질문을 위기가 발생하기 전에 생각해야 한다고 말한다.

기업에는 전략을 수립하는 기능이 있고 리스크를 관리하는 기능이 있다. 법규 준수를 담당하는 조직과 내부통제 시스템도 있으며 경영진을 감독하는 이사회도 있다. 그러나 각각의 기능이 존재한다는 사실만으로 기업의 실패를 예방할 수 있는 것은 아니다.

전략과 리스크 관리가 분리되고, 컴플라이언스가 실제 사업에서 떨어져 있으며, 중요한 위험 정보가 이사회에 전달되지 않는다면 기업은 여러 제도를 갖추고도 심각한 문제에 직면할 수 있다. 이 책이 다루는 GRC는 이러한 단절의 문제에서 출발한다.

GRC는 무엇을 연결하는가

GRC는 Governance, Risk Management, Compliance를 결합한 개념이다. 거버넌스는 조직의 의사결정과 감독, 권한과 책임의 구조를 다룬다. 리스크 관리는 목표 달성을 방해할 수 있는 불확실성과 위험을 파악하고 대응하는 활동이다. 컴플라이언스는 기업이 법률과 규정, 조직의 행동기준을 준수하도록 관리하는 과정이다. 각각은 독립적으로도 중요한 경영 기능이다.

그러나 스타인버그가 주목하는 것은 세 기능의 존재보다 이들이 실제 경영에서 어떻게 함께 작동하는가이다. 이 책은 기업의 전략적 목표를 달성하도록 프로세스와 조직, 기술을 정렬하고 재무 및 평판 리스크, 소송과 정부 개입으로부터 회사를 보호하는 방법을 다룬다.

따라서 GRC를 단순히 위험을 줄이고 규제를 준수하기 위한 관리체계로 이해하는 것만으로는 충분하지 않다. 기업이 어디로 갈 것인지 정하는 전략과 그 과정에서 감수해야 할 위험, 지켜야 할 기준, 이를 감독하는 구조를 함께 바라보는 것이 중요하다.

제도보다 먼저 조직문화를 살펴보다

책은 GRC의 개념을 설명한 직후 조직문화로 논의를 옮긴다. 제2장의 제목은 ‘문화, 결정적 동인’이다. 문화적 실패 사례를 살펴보고 합법성과 정직성, 솔직함과 고결성, 조직 안에서 같은 언어로 소통하는 문제를 다룬다.

이 순서는 GRC를 이해하는 데 중요하다. 기업에 정교한 제도와 절차가 있어도 실제 구성원의 행동은 조직문화의 영향을 받는다. 성과를 달성하기 위해 잘못된 행동을 용인하는 조직에서는 컴플라이언스가 형식적인 절차가 되기 쉽다. 문제가 발생해도 나쁜 소식이 경영진에게 전달되지 않는다면 리스크 관리도 제 역할을 하기 어렵다.

이사회 역시 필요한 정보를 받지 못하면 적절한 감독을 수행하기 어렵다. GRC가 제대로 작동하려면 조직의 구성원이 위험과 문제를 숨기지 않고 중요한 정보를 공유할 수 있는 문화가 먼저 뒷받침되어야 한다.

컴플라이언스와 윤리가 행동의 기준을 만든다

조문화에 이어 책은 컴플라이언스와 윤리를 다룬다. 제3장에서는 효과적인 컴플라이언스 프로그램의 조건과 컴플라이언스 부서의 역할을 살펴보고, 제4장에서는 윤리 프로그램과 ‘상부의 기조(Tone at the Top)’를 다룬다.

기업이 법과 규정을 지키는 것은 기본적인 요구다. 그러나 규정을 만들어놓는 것만으로 구성원의 행동을 관리하기는 어렵다. 경영진이 어떤 기준을 보여주는지, 조직이 잘못된 행동에 어떻게 대응하는지, 구성원이 실제 업무에서 어떤 판단기준을 사용하는지가 함께 중요하다.

윤리와 컴플라이언스는 사업 활동과 분리된 부수적인 기능이 아니다. 기업이 성과를 추구하는 과정에서 어떤 행동을 허용하고 어떤 행동을 받아들이지 않을 것인지 정하는 경영의 기준이 된다.

리스크 관리는 전략을 실행하는 과정에 들어가야 한다

책의 중반부에서는 리스크 관리와 전사 리스크 관리(ERM)를 본격적으로 다룬다. 금융시스템의 위기와 기업 사례를 통해 리스크 관리가 실패한 원인을 살펴보고, 리스크와 리스크 관리, ERM의 개념과 실행방법으로 논의를 확장한다. 핵심 리스크 지표와 ERM 실행 과정에서 발생하는 함정, 역할과 책임도 검토한다.

기업은 위험을 모두 제거할 수 없다. 새로운 사업에 진출하고 투자하며 성장하려면 일정한 위험을 감수해야 한다. 리스크 관리의 역할은 기업을 모든 위험으로부터 격리하는 것이 아니라 어떤 위험을 감수할 것인지, 어느 수준까지 허용할 것인지, 어떤 위험은 통제해야 하는지를 판단하도록 돕는 데 있다.

이 판단은 기업의 전략과 분리될 수 없다. 책이 후반부에서 전략 수립과 리스크 관리 감독을 함께 다루는 이유도 여기에 있다. 기업이 무엇을 달성하려 하는지를 알아야 어떤 위험이 중요한지도 판단할 수 있다.

내부통제는 GRC를 실제 업무에서 작동하게 한다

전략과 원칙이 정해졌다면 이를 실제 업무에 반영하는 장치가 필요하다. 책은 재무보고에 대한 내부통제뿐 아니라 운영성과와 IT 통제까지 다룬다. 여러 기업 사례를 통해 통제의 실패가 조직에 어떤 결과를 가져올 수 있는지도 살펴본다.

내부통제는 조직이 정한 정책과 기준이 실제 업무에서 실행되도록 만드는 과정과 연결된다. 중요한 오류와 위반을 예방하거나 발견하고 필요한 정보가 적절한 사람에게 전달되도록 해야 한다. 이 점에서 내부통제는 GRC의 여러 요소가 현장에서 작동하도록 연결하는 중요한 기반이다.

거버넌스가 권한과 감독의 구조를 만들고 리스크 관리가 중요한 위험을 파악하며 컴플라이언스가 행동의 기준을 제시한다면, 내부통제는 이러한 원칙이 실제 업무 과정에 반영되도록 뒷받침한다.

이사회는 전략과 위험을 함께 감독해야 한다

책의 후반부에서는 이사회의 역할이 중심적인 주제로 등장한다. 이사회가 기업의 전략과 리스크 관리를 어떻게 감독해야 하는지 살펴보고 CEO 보상과 승계 계획, 위기관리, 성과측정과 보고, 감사위원회의 역할까지 논의를 확장한다.

효과적인 이사회를 만드는 방법과 이사회가 빠질 수 있는 함정, 주주와의 관계, 이사회 구조와 권한의 문제도 다룬다. 이러한 구성은 거버넌스가 단순히 이사회의 형식이나 구성에 관한 문제가 아니라는 점을 보여준다.

이사회가 어떤 정보를 받고 무엇을 논의하며 경영진의 판단을 어떻게 검토하는지가 중요하다. 전략을 승인하면서 그 전략이 가져올 위험을 검토하지 않는다면 전략과 리스크 감독은 분리된다. 성과보상 체계가 과도한 위험 감수를 유도한다면 보상정책과 리스크 관리가 충돌한다. CEO 승계와 위기대응 계획이 없다면 예상하지 못한 상황에서 기업의 경영 연속성이 흔들릴 수 있다. 전략과 위험, 성과와 보상, 승계와 위기관리 역시 하나의 거버넌스 구조 안에서 함께 살펴봐야 하는 이유다.

경영진과 이사회가 같은 정보를 보고 있는가

[거버넌스 리스크관리 컴플라이언스]의 또 하나의 특징은 경영진과 이사회를 따로 떼어놓지 않는다는 데 있다. 저자는 고위경영진만을 위한 책이나 이사회만을 위한 책을 쓰기보다 두 집단과 그 사이의 상호작용을 함께 다룬다고 설명한다. 그리고 CEO와 고위경영진의 관계, 그리고 이들과 이사회의 관계를 올바르게 만드는 것이 전략을 실행할 프로세스와 조직, 기술을 확립하는 데 중요하다고 강조한다.

경영진은 기업을 운영하고 전략을 실행한다. 이사회는 경영진을 대신해 사업을 운영하기보다 중요한 의사결정과 위험을 감독한다. 역할은 다르지만 두 집단 사이에는 충분한 정보가 오가야 한다.

경영진이 중요한 위험을 이사회에 제대로 전달하지 않거나 이사회가 경영진이 제공하는 정보에만 의존해 중요한 가정을 검토하지 않는다면 감독 기능은 약해진다. 좋은 거버넌스에는 조직도와 규정뿐 아니라 정보가 흐르는 구조가 필요하다.

GRC는 실패를 막기 위한 체계에 머물지 않는다

이 책의 원서 부제에는 ‘Avoiding Corporate Disaster While Driving Success’라는 표현이 들어 있다. 기업의 재앙을 피하는 것과 성공을 만들어가는 것을 함께 다루겠다는 의미다. 이 관점에서 조직의 하부구조를 제대로 갖추면 재앙을 피할 수 있을 뿐 아니라 지속적인 성공을 위한 기회를 더 쉽게 포착할 수 있다고 설명한다.

이 점은 GRC의 성격을 이해하는 데 중요하다. GRC를 규제 위반과 손실을 막는 방어체계로만 바라보면 리스크 관리와 컴플라이언스는 사업을 제약하는 기능처럼 보일 수 있다. 그러나 기업이 자신의 위험을 제대로 이해한다면 어떤 위험을 감수할 수 있는지도 더 분명하게 판단할 수 있다.

이사회와 경영진이 전략과 위험에 관한 정보를 함께 보고, 성과와 보상체계가 적절하게 정렬되어 있으며, 내부통제와 컴플라이언스가 제대로 작동한다면 기업은 위험을 무조건 피하기보다 관리하면서 목표를 추구할 수 있다. GRC가 기업의 전략과 성과에 연결되는 지점이다.

기업의 여러 관리체계를 하나의 방향으로 정렬하다

[거버넌스 리스크관리 컴플라이언스]의 목차를 처음부터 끝까지 따라가면 책의 논리가 선명하게 드러난다. GRC의 개념에서 출발해 문화와 컴플라이언스, 윤리를 살펴본다. 이어 리스크 관리와 ERM, 내부통제와 운영성과 통제로 이동한다.

후반부에서는 이사회가 전략과 리스크 관리, CEO 보상과 승계, 위기관리, 성과측정과 보고를 어떻게 감독할 것인지 살펴본 뒤 이사회 자체의 구성과 권한 문제까지 논의를 확장한다. 각각은 서로 다른 전문영역처럼 보인다.

그러나 기업에서는 하나의 의사결정이 여러 영역에 동시에 영향을 미친다. 잘못된 조직문화는 컴플라이언스를 약화시킬 수 있다. 잘못 설계된 보상체계는 과도한 위험 감수를 유도할 수 있다. 중요한 리스크 정보가 이사회에 전달되지 않으면 감독이 약화된다. 내부통제가 제대로 작동하지 않으면 경영진과 이사회가 잘못된 정보를 바탕으로 판단할 수도 있다.

GRC에서 중요한 것은 기업의 목표를 중심으로 전략과 문화, 위험관리와 준법, 내부통제와 감독, 성과와 보상의 방향을 서로 맞추는 일이다.

기업의 목표와 위험을 함께 관리한다는 것

기업은 성과를 만들어야 한다. 동시에 그 성과를 만들어가는 과정에서 발생하는 위험을 이해하고 법과 규정을 지키며 잘못된 의사결정을 통제해야 한다.

이 두 가지를 서로 다른 문제로 다루면 기업은 한쪽에서는 성장을 추구하고 다른 한쪽에서는 그 과정에서 만들어지는 위험을 뒤늦게 통제하는 구조에 빠질 수 있다. [거버넌스 리스크관리 컴플라이언스]가 보여주는 GRC의 의미는 이러한 분리를 줄이는 데 있다.

전략을 세울 때 위험을 함께 생각하고, 성과를 평가할 때 어떤 행동을 통해 그 성과가 만들어졌는지 살펴봐야 한다. 경영진이 사업을 실행하는 동안 이사회는 중요한 정보에 접근하면서 전략과 위험을 함께 감독해야 한다. 컴플라이언스와 내부통제 역시 사업과 떨어진 별도의 절차가 아니라 기업이 목표를 달성하는 과정에 들어가 있어야 한다.

이렇게 보면 GRC는 세 개의 경영 용어를 하나로 묶은 개념에 머물지 않는다. 조직이 무엇을 달성하려 하는지, 그 과정에서 어떤 위험을 감수하는지, 어떤 원칙을 지켜야 하는지, 누가 이를 실행하고 누가 감독할 것인지를 하나의 경영체계 안에서 바라보는 방식이다.

[거버넌스 리스크관리 컴플라이언스]가 읽을 가치가 있는 이유도 여기에 있다. 기업을 둘러싼 구체적인 위험과 규제는 계속 달라질 수 있다. 그러나 전략과 위험이 분리되지 않아야 하고, 권한에는 책임과 감독이 따라야 하며, 중요한 정보가 의사결정자에게 전달되어야 하고, 조직이 추구하는 성과와 구성원의 행동기준이 서로 충돌하지 않아야 한다는 원칙은 쉽게 달라지지 않는다.

[거버넌스 리스크관리 컴플라이언스]에서 리처드 M. 스타인버그는 거버넌스, 리스크 관리, 컴플라이언스를 각각 설명하는 것을 넘어, 문화와 윤리에서 출발해 컴플라이언스와 ERM, 내부통제, 전략과 성과, 보상과 승계, 이사회와 경영진의 관계까지 기업을 움직이는 여러 요소를 하나의 체계에서 바라본다.

GRC의 핵심은 기업이 달성하려는 목표를 중심으로 전략과 위험, 준법과 통제, 경영과 감독이 서로 같은 방향으로 움직이도록 만드는 데 있다. 기업의 실패를 예방하는 것과 지속적인 성과를 만들어가는 것은 이 구조 안에서 서로 연결된다. © 연암사