IT Governance Series (14) – IT 거버넌스, 위험 관리에 대한 해부

오늘도 IT 거버넌스 라이프사이클에 맞춰 IT 전략 조율-가치 제공에 이어 위험 관리(risk management)에 대하여 살펴보기로 하겠습니다.

-“一切萬物無常存者”, “만들어진 것은 모두 변하지 않는 것이 없다” 싯달다

-“만물은 영원히 흐르며 그 모습은 변한다.” 헤라클레이토스

-‘Even change is changing.’ 변화 조차도 변하고 있다.

-‘Trend are ever changing.’ 추세(유행)는 계속해서 변화한다.

-‘Change is the only constant.’ 변화 자체가 유일한 불변이다.

-‘Businesses Today Are Undergoing a Chemical Change.’ 오늘날 비즈니스는 화학적 변화를 겪고 있다.

-‘Information Ecology’ 정보 생태계

변화를 강조하고 있는 위의 인용문들을 통해 유추할 수 있듯이, 오늘날 대부분의 조직들이 내외의 급격한 환경 변화에 제대로 대처하지 못하면 살아 남지 못한다는 것을 깨닫고 생존 차원에서 몸부림치고 있는 현실 속에서, 사실상 이러한 변화에 대한 대처가 위험 관리의 핵심적 요소로 자리잡고 있다.

이러한 움직임은 IT 투자에 대해서 단순히 비즈니스 프로세스를 자동화하는 의미의 ‘IT 솔루션을 구현’하는 것이 아니라, 끊임없는 환경 변화에 대한 대처 방안으로 ‘IT를 이용하여 변화를 구현한다’는 차원으로 인식을 바꾸도록 작용하고, 결과적으로 IT 거버넌스가 부각되는 결과를 낳은 것이다. 따라서, 비즈니스 가치는 정보 기술 자체 보다는 ‘조직에서 정보 기술을 가지고 하는 무엇’으로 생산된다고 하는 관점에서, 변화의 구현이 예전에 비해 더욱 복잡해지고 위험해진 것을 의미한다. 부연해서 설명하면, ERP(전사자원계획), SCM(공급망관리), 그리고 CRM(고객관계관리) 등의 시스템 구축이 예전 시스템(인사, 재무, 등등)을 구현할 때보다 훨씬 복잡하고 위험스러운 것임을 뜻한다는 점과 구현할 때 투입된 투자비에 근거한 자동화 시스템 자체가 갖는 무형 자산 가치로의 재무제표 반영에 의한 비즈니스 가치 생산은 가능하지 않다는 의미로 파악될 수 있는 것입니다. (Val IT Framework 내용 중에서 일부 착안)

상기와 같이, 변화관리-위험관리-IT투자로 이어지는 시각 이외에, 위험 관리는 가치 보전을 위한 프로세스들을 다룬다는 의미를 갖고 있다. (상대적으로 가치 제공은 가치 창출에 초점을 맞춘 것이다. in the IT Governance Implementation Guide) 따라서, 위험 인식에서 출발하여, 확인된 위험에 대하여 대응방안(통제)을 통한 위험 완화 조치, 그리고 잔여 위험과 이의 공식적인 수용에 관한 관심 등이 지속적으로 이어지는 것이다. 물론, 위험 완화 프로세스의 성과에 대한 모니터도 반드시 필요하다.

현재, 내부 통제 요구조건과 이해관계자들에게 건전한 기업 거버넌스를 보여줄 필요성 때문에 많은 조직 내에서 위험 관리에 대한 관심이 고조되고 있는데, 조직에서 고려할 사항은 위험에 대한 통합적 및 전략적 관리의 개념이다. 우선, 통합적 관리는 전통적인 재무 위험과 요즈음 규제 기관에 의해 점차로 관심이 고조되고 있는 운영 및 시스템적 위험을 함께 관리하여야 한다는 것이다.

전략적 위험관리는 ‘가장 커다란 위험은 조금도 위험을 감수하지 않는 것이다.’ 라는 표현에서 함축적 의미를 찾을 수 있다. 그러나, 여기에서는 ‘위험이 클수록 많이 남는다’는 의미가 아니라, 가치 보존 차원의 위험 완화 조치를 위해서 불필요한 투자를 회피하여야 한다는 것이다. 그러므로, 이를 위해서는 전략에 따라 정책적으로 조직의 위험 기호(risk appetite), 즉 위험 허용 수준을 사전에 정의하는 것이 필요하다.

지금까지 살펴본 바와 같이 IT 거버넌스에서의 위험 관리를 ‘가치 보존’이라는 어휘의 직관적인 의미로써만 단순히 받아들여 IT 자산 보호를 위한 정보 보안 관리로 제한적으로 바라보는 것은 경계해야 할 문제라고 생각한다.

추가적으로 우리 나라의 개발 프로젝트 위험 관리 행태에 대하여 살펴보는 것이 제도 개선에 도움이 될 것이라고 생각하여, 한가지 의견을 밝히고자 합니다. 이 의견은 공공이나 일반 기업 모두에 공통적으로 적용될 수 있다는 생각입니다.

다름 아니라, 이제 우리도 IT 개발 프로젝트에 대하여 비즈니스 중심적인 사고로써 ‘IT를 이용한 변화 관리’ 차원에서 바라보아야 한다는 사실입니다. 이 말의 참뜻은 프로젝트 결정 과정부터 이미 새로운 비즈니스 프로세스가 시작된 것으로 간주하여, IT 프로젝트의 개발 과정도 새로운 비즈니스의 일상적 업무 차원에서 관련 비즈니스 조직에 의한 주도적인 프로젝트 위험 관리가 이루어져야 한다는 의미입니다. 그래야만, 한번 사용 조차 아니 한 시스템을 위해 몇 백억을 지불하는 불상사는 예방할 수 있지 않을까요?

다른 하나는, 위험 관리의 주체에 관한 문제로써, 서비스와 재화는 외주(outsourcing)가 가능하지만, 위험만큼은 절대 외주 대상이 아니라는 사실입니다. 그런데, 그 동안의 컨설팅 경험을 통해서, 주로 Total IT outsourcing을 하고 있는 조직의 관계자들 사이에서 서비스 제공자(Service Provider)가 위험까지도 알아서 관리해 줄 것이라는 매우 위험스러운 사고를 갖고 있음을 알게 되었습니다. 유사한 사례로써, 현재 많은 공공 프로젝트들도 개발 및 감리 모두가 외주 형태로 이루어지고 있는데 이의 개선이 필요하다고 생각하는 것입니다. 즉, 넘겨준 위험 관리의 권리(혹은 책임)를 되찾아와야 한다는 것입니다. 그것도 프로젝트 위험 관리의 통제 목적을 단지 프로젝트의 성공에서 비즈니스의 성공이라는 차원으로 승화시켜 관리 주체를 비즈니스 조직으로 넘겨주어야 (혹은 받아야) 합니다. 더불어, 내부 통제 차원에서 각 사용 기관이 직접 IT 감사를 실시하는 내부 통제의 제도적 장치 마련과 원활한 운영을 위한 환경을 조성하는 것이 우선 과제가 아닌가 생각합니다.

이러한 제안 배경에는 내부 사정은 내부인이 제일 잘 안다는 사실과 외부 감리의 본질적 한계 인식에서 비롯된 것입니다.

신인철

아이티거버넌스인터내셔널

© IT Governance International