위기관리 관점에서 컴플라이언스란 무엇인가

정용민 스트래티지샐러드 대표

이 글은 스트래티지샐러드 「위기관리 용어 사전」에 실린 글입니다. 원문 보기

컴플라이언스는 법령과 규제, 내부 규정과 윤리 기준을 조직이 지키도록 관리하는 체계입니다. 위기관리 관점에서 이 체계를 다시 보아야 하는 이유는 두 가지가 겹치지 않기 때문입니다. 컴플라이언스는 회사가 선을 넘었는가를 다루고, 위기관리는 회사가 마땅히 해야 할 일을 적시에 했는가를 다룹니다. 대부분의 기업 위기는 이 두 기준 사이의 간격에서 발생합니다.

두 체계는 서로 다른 질문에 답합니다

컴플라이언스의 기준은 외부에서 주어집니다. 법령, 규제, 산업 규약, 내부 규정처럼 문언으로 확정된 것들입니다. ISO 37301은 이를 조직이 반드시 지켜야 하는 의무와 자발적으로 지키기로 선택한 요구사항 전체를 포괄하는 관리 체계로 규정합니다. 국내에서는 「상법」 제542조의13이 일정 규모 이상의 상장회사에 준법통제기준을 두고 준법지원인을 선임하도록 하고 있습니다.

위기관리의 기준은 다릅니다. 위기관리의 전제에서 말하는 조건은 법령이 정한 의무를 지켰다는 뜻이 아니라 마땅히 해야 할 일을 적시에 해 왔다는 뜻입니다. 이 기준은 문언으로 확정되어 있지 않고, 사안이 발생한 뒤에 이해관계자가 소급해서 적용합니다.

구분	컴플라이언스	위기관리
묻는 것	규범을 위반했는가	마땅히 해야 할 일을 했는가
기준의 출처	법령·규제·내부 규정	이해관계자의 기대
기준의 확정 시점	사전에 문언으로 존재	사후에 소급 적용
판정 주체	규제기관과 법원	이해관계자와 공중
실패의 결과	제재, 과징금, 형사책임	신뢰의 상실
방어의 언어	준수했음의 입증	조치했음의 설명

이 표에서 실무적으로 중요한 것은 세 번째 줄입니다. 컴플라이언스는 지켜야 할 선이 미리 정해져 있어 준비가 가능합니다. 위기관리의 기준은 사안이 터진 뒤에 확정됩니다. 그래서 컴플라이언스를 충실히 이행한 회사도 위기를 피하지 못합니다.

준법과 위기 회피는 같은 말이 아닙니다

위법이 아닌데 위기가 되는 경우가 있습니다. 협력사 사업장에서 발생한 사고, 규정을 지킨 인력 감축, 법적 요건을 모두 충족한 가격 인상이 그렇습니다. 회사는 선을 넘지 않았지만 공중은 회사가 그 상황을 어떻게 다루었는지를 묻습니다.

반대의 경우도 있습니다. 명백한 규정 위반이 확인되었는데도 논란이 짧게 끝나는 경우입니다. 회사가 스스로 밝히고, 조사하고, 조치한 사실이 함께 알려질 때 그렇게 됩니다.

두 경우가 알려 주는 것은 하나입니다. 위기의 크기를 결정하는 것은 위반 여부가 아니라 회사가 그 사안을 다룬 방식이라는 점입니다.

그래서 위기 국면에서 회사가 내놓는 첫 문장이 법적으로 문제가 없다는 것일 때 상황은 대개 나빠집니다. 법적 책임에 대한 답을 결과책임에 대한 답으로 내놓은 것이기 때문입니다. 컴플라이언스가 준비해 준 언어를 위기관리의 자리에 그대로 가져다 쓴 결과입니다.

컴플라이언스는 위기 이후에 심판대에 오릅니다

컴플라이언스의 진짜 시험은 위기가 발생한 다음에 시작됩니다. 사안이 발생하면 조사와 취재의 대상은 사건 자체에 머무르지 않고 곧바로 체계로 옮겨 갑니다. 이런 일이 가능했다면 그 회사의 내부 통제는 무엇을 하고 있었는가라는 질문입니다.

미국 법무부의 기업 컴플라이언스 프로그램 평가 지침은 이 질문을 세 가지로 정리하고 있습니다. 그 프로그램이 잘 설계되어 있는가, 충분한 자원과 권한을 갖추고 진지하게 운용되고 있는가, 그리고 실제로 작동하는가입니다. 지침은 문서로만 존재하는 프로그램을 별도로 지목하면서, 잘 설계된 체계도 운용이 부실하면 실패한다는 점을 명시하고 있습니다.

이 세 가지 질문이 쓰이는 자리는 형사 절차에 한정되지 않습니다. 위기가 발생했을 때 언론과 규제기관, 투자자가 회사에 묻는 질문의 구조가 이와 거의 같습니다. 그리고 세 번째 질문에 답하지 못하는 회사가 대부분입니다. 규정집과 교육 이수율은 첫 번째와 두 번째 질문에 대한 답이 되지만, 세 번째 질문에 대한 답은 되지 못하기 때문입니다.

작동 여부는 보고가 올라왔는가로 확인됩니다

체계가 실제로 작동하는지를 확인하는 지표는 단순합니다. 문제가 발생했을 때 그 사실이 위로 올라왔는가입니다.

컴플라이언스 실패의 전형적인 형태는 규정이 없는 것이 아닙니다. 규정도 있고 신고 채널도 있는데 아무도 쓰지 않는 상태입니다. 그리고 이런 조직에서 경영진은 신고 건수가 적은 것을 위험이 낮다는 신호로 읽습니다. 보고가 적은 조직은 안전한 조직이 아니라 보이지 않는 조직입니다.

이 지점에서 컴플라이언스와 위기관리는 하나의 관문을 공유합니다. 위험 신호가 불이익 없이 위로 올라오는 경로가 열려 있는가입니다. 이 경로가 막히면 컴플라이언스는 위반을 탐지하지 못하고, 위기관리는 감지 단계에서부터 실패합니다. 두 체계가 같은 이유로 동시에 무너집니다.

살아 있는 매뉴얼과 문서로만 있는 매뉴얼의 차이가 여기에서도 똑같이 적용됩니다.

두 체계를 어떻게 붙일 것인가

실무에서 확인할 것은 네 가지입니다.

첫째, 컴플라이언스가 위반을 인지한 시점이 위기관리의 감지 시점으로 연결되는지 확인합니다. 많은 조직에서 이 두 정보는 서로 다른 라인을 타고 흐르며 만나지 않습니다. 컴플라이언스 부서가 조사를 시작한 지 몇 주가 지난 뒤에 홍보부문이 언론 문의를 통해 처음 알게 되는 구조가 드물지 않습니다.

둘째, 컴플라이언스의 리스크 목록과 위기관리의 위기요소 목록을 대조합니다. 두 목록은 겹치지만 같지 않습니다. 컴플라이언스 목록에 없는데 위기요소 목록에는 있어야 하는 항목이 어디인지가 회사의 취약 지점입니다.

셋째, 위기 시 공식 메시지의 법무 검토 기준을 정해 둡니다. 법적 노출을 줄이는 것과 답해야 할 질문에 답하는 것이 충돌할 때 어느 쪽을 우선할지, 그 판단을 누가 하는지를 사안이 발생하기 전에 합의해 두어야 합니다. 리콜 커뮤니케이션에서 법적 방어를 위해 다듬은 문장이 회수율이라는 숫자로 되돌아오는 구조가 이 충돌의 전형입니다.

넷째, 컴플라이언스 담당 임원이 위기관리위원회의 구성원인지 확인합니다. 그렇지 않다면 위기 국면에서 회사는 자기 체계의 작동 여부를 설명할 수 있는 사람 없이 대응하게 됩니다.

컴플라이언스는 회사가 선을 넘지 않았음을 증명하는 체계입니다. 위기관리는 선 안에 있었더라도 회사가 무엇을 했는지에 답하는 활동입니다. 위기는 대개 두 번째 질문에서 시작됩니다.

더 읽어 보실 자료
위기관리의 전제란 무엇인가: 규범 준수가 놓인 기업의 전제에 관한 것입니다.
ERM, BCP, 위기관리는 어떻게 다른가: 인접 관리 체계와의 구분에 관한 것입니다.
살아 있는 위기관리 매뉴얼이란 무엇인가: 규정을 살아 있는 문서로 유지하는 방법에 관한 것입니다.

근거로 삼은 표준과 자료
ISO 37301:2021, Compliance management systems — Requirements with guidance for use — 규범준수 경영시스템의 요구사항, ISO 19600을 인증 가능한 표준으로 대체
상법 제542조의13 — 상장회사의 준법통제기준과 준법지원인
U.S. Department of Justice, Evaluation of Corporate Compliance Programs — 컴플라이언스 프로그램 평가의 세 가지 기본 질문
Amy C. Edmondson, Learning from Mistakes Is Easier Said Than Done, Journal of Applied Behavioral Science (1996) — 오류 보고 건수와 심리적 안전의 관계
위 표준과 지침을 기업 위기관리 관점에서 두 체계의 기준 비교, 위기 이후의 심판 구조, 두 체계를 연결하는 실무 항목으로 정리한 부분은 스트래티지샐러드의 정리입니다.