발생가능성 5%... 리스크전문가가 필요하다

본문

불산 누출사고, 대기업의 법정관리, 그룹 총수의 구속…. 많은 CEO와 경영자들은 자신들의 기업에 이런 이벤트가 발생하지 않은 것에 대해 가슴을 쓸어 내릴 것이다. 그러나 명심해야 할 점은 이와 같은 최악의 리스크 이벤트가 언제 어느 기업에도 발생할 수 있다는 사실이다. 경영자는 사고의 발생 가능성과 영향력을 회사가 감당할 수 있는 수준으로 낮추기 위해 노력할 뿐이다. 그 노력의 시작은 지금 당장 기업리스크관리체계를 실행하고 CRO(Chief Risk Officer·최고리스크담당자)를 선임하는 것이다.

경북 구미 불산 누출사고는 작업자가 안전규정을 지키지 않은 것이 원인이었다. CCTV 영상에 의하면 작업자 2명이 불산이 든 20톤 탱크로리 위에서 호스를 연결하다 사고를 당했다. 작업자들이 원료 밸브를 열어 둔 채 에어 호스를 연결하다 원료를 차단하는 손잡이를 발로 밟으면서 불산이 분출된 것이다. 리스크관리에서 이런 것을 운영리스크라고 한다. 운영리스크는 부적절한 기업 내부의 인력, 시스템, 프로세스 등 내부요인과 나아가 외부 인력, 재해 등 외부요인에 의해 발생한 사건으로 인해 손실을 입을 가능성이다. 불산 누출사고는 내부인력인 작업자가 안전규정을 준수하지 않는 실수를 저질러 발생한 사고인 기업운영리스크 이벤트인 것이다. 작은 기업에서 일하는 한 작업자의 실수가 엄청난 재앙을 불러왔다. 이런 리스크 상황이 언제든 발생할 수 있는 현대사회를 독일의 사회학자 울리히 벡은 위험사회(risk society)라고 규정했다.

지난해 웅진그룹의 법정관리사태는 이른바 자본리스크 상황의 발생이다. 자본리스크는 손실을 감내할 여력, 즉 경제적 자본이 고갈되는 리스크다. 웅진그룹은 웅진코웨이라는 훌륭한 수익모델을 가진 그룹의 핵심기업이 존재함에도 불구하고 그룹의 신수익 모델로 편입한 건설과 태양광발전 사업의 손실을 감당하지 못해 자본리스크가 발생했다. 이를 유동성리스크라고 오인하기도 한다. 유동성리스크는 일시적인 현금유동성 경색에서 발생하는 리스크인데 웅진그룹은 이미 수차례 유동성리스크를 가까스로 극복하다가 결국 자본리스크라는 수순을 밟게 된 것이다. 신사업 추진에 따른 손실 가능성이 이를 감당해 줄 경제적 자본을 훨씬 상회한 것이다.

일반적으로 기업리스크는 ‘기업경영에 부정적인 영향을 줄 수 있는 5% 이하의 발생가능성을 가진 모든 사건’을 말한다. 일반적인 상황에서 흔히 발생할 (5% 이상) 가능성이 있는 사건은 일상적인 경영활동으로 관리되므로 리스크라고 하지 않는다. 현대의 기업활동은 리스크를 받아들이고 그 대가로 수익을 얻는 것이라고 할 수 있다. 리스크는 현대 기업의 숙명인 동시에 수익모델인 셈이다. 그러나 리스크를 소홀히 생각하고 있다가 막상 리스크 이벤트를 만나면 후회하는 경우가 많다. 소 잃고 외양간 고치기를 되풀이하지 않는 방법이 바로 전사적 기업리스크관리(ERM·Enterprise Risk Management)다. ERM은 다섯 가지 기본체계인 조직, 전문인력, 규정, 프로세스, 시스템을 구축하는 것이다. 이를 위해 CRO, 즉 임원급 최고리스크관리자를 선임해 CEO를 보좌하며 ERM 체계를 도입하고 현업부서를 컨설팅하도록 해야 한다.

미국에서는 1990년대에 ERM이 주목받기 시작했다. 기업뿐 아니라 미국 의회의 위원회인 COSO(Committee of Sponsoring Organizations of the Treadway Commission)에서도 2001년 리스크관리 프레임워크에 관해 연구한 바가 있다. 반면 국내 기업에는 아직 ERM이 널리 도입되지 못하고 있다. 위기관리(Crisis Management), 환리스크관리 등 부분적인 리스크관리는 하고 있는 기업들이 있지만 기업의 ‘모든’ 리스크를 빈틈없이 관리하고자 하는 ERM을 구축한 기업은 보기 힘들다.

리스크관리는 사전(事前)적, 체계적, 효율적이어야 한다. 체계적이란 기업활동에 영향을 주는 모든 리스크를 빈틈없이 관리해야 한다는 의미이며 효율적이란 리스크 대응과 관련한 비용(cost)-효익(benefit)에 대한 감안이다. 비용을 고려하지 않는다면 모든 리스크는 완벽하게 대응이 가능하다. 그러나 효율성을 무시한 리스크관리는 의미가 없다. 불산 누출사고가 발생한 휴브글로벌은 위험물질인 불산을 취급해 수익을 남기는 기업인데도 수익모델의 근간인 자신의 리스크와 리스크관리를 제대로 인식하지 못했다.

리스크 프로필을 확인하라

사람에게는 각자의 프로필이 있다. 기업은 그 기업의 수익모델 등에 의해 기업의 리스크 프로필이라는 것이 있다. 나의 기업은 어떤 리스크 프로필을 가지고 있는지 잘 알아야 한다. 위의 휴브글로벌 CEO는 과연 그 기업의 리스크 프로필을 잘 알고 있었을까 하는 의문을 가져 본다. 위험한 물질을 취급하는 기업은 작업자의 작업과정 하나하나가 곧 리스크 프로필인 셈이다. 법정관리를 신청한 웅진홀딩스의 CEO는 ‘지나친 욕심’이 화를 불렀다고 자성하는 말을 했다. 리스크 관점에서 이 ‘지나친 욕심’이란 기업확장 전략에서 스스로 감내하기 힘든 자본리스크를 떠 안은 것이라고 할 수 있다. 웅진이 극동건설 인수, 태양광 산업 진출 등 단계를 밟아가는 순간 그 이전에는 생각할 필요가 없었던 자본리스크라는 리스크 프로필을 새로이 감내하게 된 것이다.

이처럼 기업은 수익모델은 날마다의 전략적 의사결정에 따라 다양한 리스크 프로필을 갖게 된다. 따라서 내부 프로세스에 잠재해 있는 리스크를 인식하는 것은 반드시 필요한 과제다. 리스크는 리스크의 개념, 손해발생과정, 리스크관리기법 등에 따라 분류할 수 있다. 우선 ERM의 대상에 따라 재무리스크와 비재무리스크로 분류해 살펴보자.

재무리스크는 측정과 관리가 비교적 용이하다. 어느 기업이나 공통적으로 경영활동 과정에서 재무리스크를 안고 있다. 대표적인 재무리스크로는 자본리스크, 신용리스크, 유동성리스크, 금리리스크, 외환리스크, 투자리스크 등이 있다. 자본리스크의 실패를 맛본 사례는 최근 웅진그룹을 비롯해 주로 M&A 후 승자의 저주에 시달리던 기업들을 들 수 있다. 신용리스크는 대부분의 중소기업들에 매우 심각하다. 건설사의 부도로 신용리스크에 노출된 하청기업들이 좋은 예다. 유동성리스크는 만성적으로 자금부족에 시달리는 기업뿐만 아니라 세계적인 경제위기로 인한 시나리오 상황에서 건실한 기업도 안심할 수 없다. 금리리스크는 국내 기업들은 IMF 외환위기 과정에서 경험했고, 독일통일과정에서 기준금리가 3배나 상승한 사례도 있다. 이는 북한리스크를 안고 있는 한국 기업인들이 염두에 둬야 할 사항이다. 외환리스크 역시 IMF 외환위기, 2008년 금융위기에서 큰 교훈을 얻었다. 하지만 KIKO 파생상품 사태와 같은 어이없는 기업피해사례가 계속 나오고 있다.

한편 비재무리스크는 계량화가 어려운 부문이며 기업의 수익모델에 따라 매우 다양한 형태를 띠고 있다. 대표적인 비재무리스크로는 운영리스크, 전략리스크, 보안리스크, 비즈니스 연속성 리스크 등이 있다. 매일 발행되는 신문의 기업란에는 운영리스크 사례가 등장한다. 구미 불산가스누출 사건은 전형적인 운영리스크 이벤트라고 할 수 있다. 2008년 발각된 강원랜드의 환전담당 여직원 수표 절도사건, 2009년 밝혀진 전 동아건설 재경팀 P부장의 수백억 원에 달하는 횡령사건 등을 예로 들 수 있다. 전략리스크 관리실패 사례는 디지털 카메라의 출현에 대응하지 못한 코닥필름을 들 수 있다. 보안리스크는 인터넷 환경에서 모든 기업이 직면하고 있다. 비즈니스 연속성 리스크 관리의 성공사례는 9·11 테러 사태로 피해를 입는 투자금융회사들이 3일 만에 업무를 재개한 예가 있다.