ERM, BCP, 위기관리는 어떻게 다른가

정용민 스트래티지샐러드 대표

이 글은 스트래티지샐러드 「위기관리 용어 사전」에 실린 글입니다. 원문 보기

ERM은 회사의 목표 달성을 흔들 수 있는 불확실성을 전사 차원에서 다루는 체계이고, BCP는 업무가 중단되었을 때 핵심 기능을 정해진 시간 안에 되살리기 위한 체계이며, 위기관리는 발생 가능한 위기를 미리 예상해 마땅히 해야 할 일을 적시에 해 두는 활동입니다. 세 가지가 모두 위기관리라는 이름으로 불리면서 실무의 혼선이 시작됩니다. 셋은 대체 관계가 아니라 근거로 삼는 표준부터 서로 다른 별개의 체계입니다.

세 개념은 각각 다른 표준 위에 서 있습니다

ERM의 근거는 리스크관리 표준인 ISO 31000과 COSO의 전사적 리스크관리 프레임워크입니다. 여기에서 리스크는 「목표에 대한 불확실성의 영향」으로 정의됩니다. 손실만이 아니라 목표를 흔드는 모든 불확실성이 대상이며, COSO는 2017년 개정에서 이를 전략 수립과 성과 관리에 통합되어야 하는 것으로 규정했습니다.

BCP의 근거는 사업연속성 관리 표준인 ISO 22301입니다. 여기에서 사업연속성은 「중단 상황에서도 사전에 정해 둔 허용 시간과 수준으로 제품과 서비스의 제공을 계속할 수 있는 조직의 역량」으로 정의됩니다. 업무영향분석으로 복구 우선순위를 정하고, 목표복구시간과 목표복구시점으로 허용 한계를 수치화합니다.

위기관리의 근거는 위기관리 표준인 ISO 22361입니다. 여기에서 위기는 「조직을 위협하며, 존립과 온전함을 지키기 위해 전략적이고 적응적이며 시의적인 대응을 요구하는 비정상적이고 이례적인 사건 또는 상황」으로 정의됩니다. 주목할 것은 이 표준의 목적입니다. 대응 절차의 제공이 아니라 「전략적 위기관리 역량을 계획하고 수립하고 유지하고 검토하고 개선하는 것」입니다. 위기관리를 사후 절차가 아니라 평시에 쌓는 역량으로 본다는 뜻입니다.

한 단어를 더 볼 필요가 있습니다. 리스크관리를 규정해 온 표준 계열은 리스크관리를 「조직을 지휘하고 통제하는 조정된 활동」으로 정의합니다. 위기관리 표준은 위기관리를 「조직을 이끌고, 지휘하고, 통제하는 조정된 활동」으로 정의합니다. 앞에 이끈다가 하나 더 붙어 있습니다. 통제 위에 판단이 얹혀야 한다는 뜻이며, 두 영역의 성격 차이가 이 한 단어에 담겨 있습니다.

세 체계는 다루는 대상이 다릅니다

구분	ERM	BCP·BCM	위기관리
근거 표준	ISO 31000, COSO ERM	ISO 22301	ISO 22361
다루는 대상	목표를 흔드는 불확실성	업무의 중단	이해관계자의 판단을 흔들 소지
핵심 질문	무엇이 얼마나 흔들 수 있는가	멈추면 언제까지 되살리는가	지금 무엇을 해 두어야 하는가
주관 부서	재무, 감사, 전략	운영, 생산, 정보기술	최고경영진, 커뮤니케이션
주 산출물	리스크 목록과 한도, 보고 체계	복구 우선순위와 절차	선행 조치, 포지션, 창구 체계
성공의 모습	손실이 한도 안에 머무름	정해진 시간 안에 복구됨	아무 일도 일어나지 않음
성공의 판정자	회사 자신	회사 자신	회사 밖의 이해관계자

성공의 모습과 성공의 판정자, 이 두 항목이 실무에서 가장 큰 차이를 만듭니다. ERM은 손실이 한도 안에 있었는지를, BCP는 몇 시간 만에 복구했는지를 회사가 스스로 판정할 수 있습니다. 위기관리에는 그런 내부 지표가 없습니다. 판정은 회사 밖에서 이루어지고, 판정의 기준도 회사가 정하지 않습니다.

주관 부서가 서로 다르다는 점도 뒤에서 다시 짚을 필요가 있습니다. 세 체계가 위기 상황에서 충돌하는 원인이 여기에 있기 때문입니다.

세 체계 모두 본령은 평시에 있습니다

세 가지 모두 사고가 난 뒤에 꺼내 드는 대응책이 아닙니다. ERM은 평시에 무엇이 회사를 흔들 수 있는지 목록으로 만들어 두는 일이고, BCP는 멈췄을 때 무엇부터 되살릴지 미리 정해 두는 일입니다.

위기관리도 같습니다. 진짜 위기관리는 발생 가능한 위기를 미리 예상하고, 그에 대해 지금 해야 할 일을 그때 해 두는 것입니다. 대부분의 위기는 이 단계에서 소멸합니다. 수면 위로 떠오르지 않고, 알려지지 않고, 평가받지도 않은 채 사라집니다.

위기관리에는 두 개의 국면이 있습니다

평시의 준비에도 불구하고 위기가 발생하는 경우가 있습니다. 그 이후의 활동은 성격이 다르며, 실무에서는 데미지 컨트롤이라고 부르는 편이 정확합니다.

데미지 컨트롤의 목표는 단순합니다. 예상되는 피해를 신속하게 계산하고, 그 피해를 최소화하며, 지속 기간을 최단으로 줄이는 것입니다. 회복이 아니라 축소가 목표입니다.

데미지 컨트롤은 표준에 등재된 용어가 아니라 실무에서 쓰는 말입니다. 다만 위기관리 표준이 사건과 위기를 나누는 방식과 짝을 이룹니다. 사건은 기존 절차로 처리할 수 있는 것이고, 위기는 준비된 절차의 범위를 넘어서는 것입니다. 절차가 감당하는 구간까지는 준비의 영역이고, 그 밖으로 넘어간 구간이 데미지 컨트롤의 영역입니다.

이 구분을 놓치면 위기관리를 사후 대응으로만 이해하게 됩니다. 위기가 발생하고 상당한 시간이 지난 뒤에야 구성되는 대책 기구가 그 결과입니다. 그런 기구는 유효한 대응 시점을 이미 지나 있으며, 위기관리 체계가 아니라 수습 기구로 보아야 합니다. 없는 것보다는 낫지만 같은 것은 아닙니다.

위기관리의 성과는 증명되지 않습니다

ERM은 손실 한도로, BCP는 목표복구시간으로 성과를 숫자로 보여 줄 수 있습니다. 위기관리는 그렇지 않습니다. 잘 된 위기관리의 결과는 아무 일도 일어나지 않은 상태이고, 그 상태에는 증명할 대상이 없습니다.

그래서 위기관리는 투자 판단이 가장 어려운 영역입니다. 다만 반대 방향의 신호는 분명합니다. 알려진 위기가 짧은 기간에 줄을 잇는 회사는 위기관리가 작동하지 않고 있는 것입니다. 부재가 곧 지표입니다.

널리 알려진 위기관리 성공 사례들도 이 관점에서 다시 볼 필요가 있습니다. 그 사례들은 대부분 이미 위기가 발생해 알려진 뒤의 대응을 평가한 것입니다. 배울 가치가 있는 기록이지만, 위기관리의 표준이 아니라 데미지 컨트롤의 표준입니다.

BCP를 갖췄다고 위기관리가 되는 것은 아닙니다

실무에서 가장 비용이 큰 오해입니다. BCP는 멈춘 공장을 다시 돌리는 계획이지, 흔들린 신뢰를 되돌리는 계획이 아닙니다. 목적도 산출물도 실행 주체도 다릅니다.

복구는 예정보다 빨리 끝났는데 시장에서의 자격은 회복되지 않은 상태가 실제로 존재합니다. 복구는 회사의 기준으로 완료되고, 신뢰는 상대의 기준으로 회복되기 때문입니다.

세 체계는 위기 상황에서 서로 다른 언어로 보고합니다

소유 부서가 다르기 때문에 같은 상황을 서로 다르게 정의합니다. 재무는 손실 규모로, 운영은 복구 시간으로, 커뮤니케이션은 이해관계자의 인식으로 보고합니다. 셋 다 맞는 보고지만 서로 번역되지 않습니다.

조율되지 않은 채 각각 올라가면 최고경영진의 판단이 지연됩니다. 그리고 그 지연이 만든 공백은 회사의 설명이 아니라 외부의 해석으로 채워집니다. 위기 초기에 컨트롤타워가 하나로 서야 하는 이유가 여기에 있습니다.

무엇을 갖추고 있는지 확인할 때

회사가 보유한 문서가 세 가지 중 무엇인지 먼저 확인해 보십시오. 표지에 위기관리라고 적혀 있어도 내용이 복구 절차라면 그것은 BCP입니다.

각 체계의 담당 부서와 최종 책임자가 각각 지정되어 있는지 보십시오. 한 부서가 셋을 모두 맡고 있다면 실제로는 하나만 작동하고 있을 가능성이 높습니다.

평시에 무엇을 하고 있는지 짚어 보십시오. 세 체계 모두 평시 활동이 본령이며, 발생 이후의 절차만 있는 문서는 준비가 아니라 예고편입니다.

위기 상황에서 세 부서의 보고가 한자리에서 합쳐지는 구조가 있는지 확인해 보십시오. 이 구조가 없으면 세 체계를 모두 갖추고도 판단이 늦어집니다.

마지막으로 외부 자문을 구할 때는 사전 체계를 세우는 일인지 발생 이후의 대응인지부터 정해 두십시오. 이 구분 없이 받은 제안들은 서로 비교되지 않습니다.

더 읽어 보실 자료

이슈관리와 위기관리는 어떻게 다른가: 위기가 되기 전 단계를 다룹니다.
상황관리란 무엇인가: 발생 이후 회사가 실제로 하는 조치입니다.
살아 있는 위기관리 매뉴얼이란 무엇인가: 평시 준비가 문서로 남는 자리입니다.
위기관리 컨설팅이란 무엇인가: 외부 자문의 범위를 정할 때 보시면 됩니다.

근거로 삼은 표준과 자료
ISO 22361:2022 Security and resilience — Crisis management — Guidelines
ISO 22301:2019 Security and resilience — Business continuity management systems — Requirements
ISO 31000:2018 Risk management — Guidelines
COSO Enterprise Risk Management — Integrating with Strategy and Performance (2017)