식별된 리스크와 제거된 리스크 사이에는 경영 의사결정이 있다
리스크를 식별한다는 것은 문제를 인정한다는 뜻입니다. 대책을 지정한다는 것은 업무의 방향을 잡는 일입니다. 하지만 이러한 조치와 실질적인 리스크 감소 사이에는 가장 어려운 과제가 놓여 있습니다. 바로 기술적 해결책을 선택하고, 책임자를 지정하며, 재원을 확보해 끝까지 결과를 만들어 내는 일입니다.
바로 이 구간에서 리스크 관리 시스템의 진정한 역량이 시험대에 오릅니다.
리스크 관리 시스템을 고도화하는 동안 우리는 300 건 이상의 레드 리스크를 식별했고, 그중 270 건 이상을 종결했습니다. 그러나 경영진에게 중요한 것은 전체 통계만이 아닙니다. 미종결 상태로 남아 있는 모든 레드 리스크 이면에는 구체적인 질문이 자리 잡고 있습니다. 지금 어떤 의사결정이 필요하며, 누가 그 결정을 내려야 하는가?
리스크가 등록부에 오랫동안 남아 있는 이유
리스크가 종결되지 않을 때, 그 원인이 항상 실무자의 무대응에 있는 것은 아닙니다.
부서에서 문제를 인식하고도 근본 원인을 제거하지 못하는 대책을 제안할 때가 있습니다. 기술적 해결책은 있지만 생산, 기술, 재무 부서 간에 합의가 이루어지지 않는 경우도 있습니다. 해결책이 승인되었으나 부서 예산이 부족할 때도 있고, 재원은 확보했지만 기한 내에 작업이 완료되지 않는 경우도 있습니다.
등록부 상으로는 이 모든 상황이 똑같이 ‘미종결 리스크’로 보입니다. 하지만 관리 관점에서는 각각 전혀 다른 조치가 필요합니다.
그래서 우리는 상태를 다음 네 가지로 구분하기 시작했습니다.
- 리스크가 식별되었으나 해결책이 아직 구체화되지 않음
- 해결책이 제안되었으나 승인되지 않음
- 해결책이 승인되었으나 자원이 확보되지 않음
- 자원이 배정되었으나 대책이 이행되지 않았거나 그 결과가 검증되지 않음
이렇게 세분화하면 ‘관리 강화’ 같은 추상적인 지시 대신, 진행이 멈춰 선 구체적인 정체 지점을 논의할 수 있습니다.
리스크 명세서: 위험 기술에서 해결 방안 도출까지
레드 리스크를 식별한 후 첫 번째 단계는 대응 대책을 수립하고 리스크 명세서를 작성하는 것입니다.
본질적으로 이 문서는 막연한 우려의 언어로 표현된 문제를 경영 의사결정의 언어로 전환해야 합니다. 단순히 ‘작업자 부상 우려’나 ‘설비 안전성 강화 필요’라고 적는 것만으로는 충분하지 않습니다. 정확히 어떤 위험원을 제거하려는지, 현재 어떤 방호벽이 존재하며 왜 그것만으로는 부족한지, 그리고 새로운 대책이 어떤 결과를 가져와야 하는지 명확히 파악해야 합니다.
여기서 특히 중요한 점은 추가 안전교육, 주지 철저, 경고 표지판 부착, 감독 강화와 같은 관행적인 조치로 리스크 제거를 대체하지 않는 것입니다. 이러한 조치도 필요할 수 있지만, 기술적 해결책을 대신할 수는 없는 경우가 많습니다.
대책을 선정할 때는 관리 대책의 우선순위를 지켜야 합니다. 먼저 위험원을 원천적으로 제거하거나 공정 및 설비를 변경할 수 있는지 검토하고, 그다음으로 공학적 방호 대책을 적용하며, 오직 그 이후에 관리적 대책과 개인보호구를 고려해야 합니다.
기술위원회 또는 안전문화위원회: 리스크, 해결책, 자원이 만나는 곳
레드 리스크에 대한 의사결정을 HSE 부서나 생산 부서 어느 한쪽에만 맡겨 두어서는 안 됩니다.
기술위원회 및 안전문화위원회는 실효성 있는 방안을 선택하는 데 필요한 역량을 한자리에 모을 수 있게 해 줍니다. 여기에는 리스크 오너를 비롯해 생산 및 기술 전문가, 재무 담당자, 그리고 HSE 부문 담당자가 함께 참여합니다.
위원회의 역할은 리스크가 높다는 사실을 재확인하는 것이 아닙니다. 그것은 이미 알려진 사실입니다. 기술위원회는 다음과 같은 다른 질문에 답하기 위해 존재합니다.
- 제안된 대책이 리스크의 근본 원인을 제거하는가
- 대안이 될 수 있는 다른 기술적 해결책이 있는가
- 본 작업이 완료되기 전까지 어떤 조치를 취할 것인가
- 이행 책임자는 누구인가
- 어떤 절차를 통해 얼마만큼의 예산을 확보해야 하는가
리스크 명세서가 승인되지 않더라도 그것이 기약 없는 ‘보완 지시’로 되돌아가는 것을 의미해서는 안 됩니다. 규정에는 대책을 추가로 검토하고 구체화하는 별도의 단계가 마련되어 있습니다. 즉, 미승인은 이메일 공방 속에서 리스크를 유실시키는 원인이 아니라 해결책을 더욱 정교하게 다듬는 근거가 됩니다.
규정은 어떻게 도움이 되는가
이 프로세스가 개인 간의 비공식적인 합의에 좌우되지 않도록 업무 프로세스 규정인 ‘HSE 리스크 관리 시스템’에 이를 명문화했습니다.
이 규정은 리스크 식별을 후속 대응, 계획 수립, 예산 편성 및 보고 프로세스와 유기적으로 연결합니다. 전체적인 흐름은 다음과 같습니다.
리스크 식별 → 대책 수립 → 리스크 명세서 작성 → 기술위원회 및 안전문화위원회 심의 → 승인 → 재원 확보 방안 확정 → 이행 → 결과 보고
이후 프로세스는 필요한 자원에 따라 세 갈래로 나뉩니다.
별도의 예산이 필요하지 않은 대책인 경우, 해당 부서가 자체적으로 업무를 편성해 즉시 이행 단계로 넘어갑니다.
예산이 필요하지만 부서 내 가용 예산이 있는 경우, 관련 발주나 구매 신청 절차를 통해 해결책을 이행합니다.
예산이 부족한 경우, 자원 재배정을 위한 승인 절차가 시작됩니다. 상황에 따라 의사결정은 사업장 수준이나 지주사 및 본사 차원으로 상정될 수 있습니다. 별도의 투자 검토가 필요한 대규모 대책에 대해서는 투자 심의 경로가 마련되어 있습니다.
규정의 실무적 가치는 단계의 수에 있지 않습니다. 규정은 현재 리스크가 정확히 어느 프로세스에 머물러 있으며, 다음으로 어떤 의사결정이 내려져야 하는지 한눈에 파악할 수 있게 도와줍니다.
규정이 경영진을 대신해 결정을 내려주지는 않습니다. 하지만 경영진의 의사결정이 필요한 사안을 ‘조치 중’이라는 두루뭉술한 말로 넘어가지 못하게 막아 줍니다.
보완 조치는 리스크 종결과 같지 않다
근본적인 대책이 완료되기 전까지는 작업 절차 변경, 추가 점검, 출입 통제 등 임시 제한 조치와 보완 조치가 필요할 수 있습니다.
이러한 조치는 반드시 ‘임시 조치’로 명확히 규정해야 합니다. 공사나 개선 작업 기간 동안 리스크가 현실화될 가능성을 낮추어 주지만, 그것만으로 리스크 상태가 자동으로 ‘종결’로 전환되어서는 안 됩니다.
리스크를 종결하려면 계획된 대책이 모두 이행되었고 잔여 리스크가 실제로 허용 가능한 수준까지 낮아졌다는 검증이 필요합니다.
기한 연장 역시 마찬가지입니다. 기한 변경은 등록부의 단순한 텍스트 수정이 아니라 하나의 독립된 경영 의사결정입니다. 왜 일정이 변경되는지, 그 기간 동안 어떤 리스크가 남는지, 어떤 보완 조치가 작동하고 있으며 새로운 완료 기한에 대한 책임은 누구에게 있는지를 명확히 해야 합니다.
경영진 검토 회의에서 반드시 물어야 할 질문
각 레드 리스크에 대해서는 다음 몇 가지 질문만으로도 충분합니다.
- 어떤 해결책이 선택되었으며, 그것이 근본 원인을 제거하는가?
- 이행 책임자는 누구인가?
- 어떤 재원 조달 방안이 확정되었는가?
- 작업이 완료될 때까지 작업자를 보호하는 장치는 무엇인가?
- 어떤 결과를 통해 리스크 종결을 검증할 것인가?
리스크 식별은 발굴 시스템의 성숙도를 보여 줍니다. 리스크 제거는 경영 관리의 성숙도를 보여 줍니다. 그리고 규정은 그 사이에서 책임과 자원, 실행력이 유실되지 않도록 지켜 줍니다.