2022년 08월

액센츄어(Accenture)는 컴플라이언스 책임자 860명을 대상으로 2021년 8월부터 9월까지 설문조사를 시행하여 컴플라이언스 리스크 보고서(Compliance Risk Study 2022 Report)를 2022년도에 발표하였다. 설문조사에 참여한 기업은 전세계에 10개 섹터(은행, 에너지, 보건 서비스, 보험, 생명과학, 소프트웨어 및 플랫폼, 통신, 유틸리티, 여행, 호텔)로 구성되었다. 보고서의 주요 내용을 아래와 같이 소개한다.

사전 예방적 접근성 향상

컴플라이언스 기능은 기존에 대응 및 자문 역할로만 사용되었다면 이제는 사전 예방적 도구로 전환되고 있다. 컴플라이언스 기능은 기업의 타 기능과 긴밀하게 협력하며 비즈니스, 시장 및 규제 개발 대응에 원활하게 적용되고있다. 많은 기업이 데이터 기반 통찰력을 활용하여 새롭고 업데이트된 규정을 해결함으로써 규제 관행을 상향 조정하고 있다.

비용 압박에 대응

기술에 투자하고 컴플라이언스 리스크 관리를 지원하는 데 필요한 인프라와 도구를 업그레이드해야 함에도 불구하고 컴플라이언스 담당자들은 비용절감 조치가 시행되는 환경에서 지속적으로 증가되는 컴플라이언스 비용에 대처해야 하는 과제를 안고 있다.

컴플라이언스 담당자는 기업이 이러한 리스크 영역을 관리하고 소통하는 데 핵심적인 역할을 수행한다. 이를 위해서는 투자자, 고객 및 기타 내부 및 외부 이해관계자에게 데이터 보호, 기후변화 및 사회적 책임이 핵심 기업 가치임을 입증해야 한다.

사이버 보안

모든 분야의 연구 응답자들은 근무 환경이 온/오프라인 하이브리드 형태로 전환됨에 따라 사이버 보안 리스크 관리에 대한 과제를 강조했다. 직원 및 제3사 공급업체가 현재 전 세계 어디에서든 원격 네트워크를 통해 회사의 시스템에 액세스하고 있기 때문에 기업 데이터의 보안은 CCO(Chief Compliance Officer)뿐만 아니라 CISO(Chief Information Security Officer)의 관심사가 되어 지속적인 모니터링 및 업데이트가 요구되고 있다.

ESG

컴플라이언스 담당자들은 ESG에 점점 더 초점을 맞추고 있다. 기후변화에서 온실가스 배출, 작업장 안전에서 인권, 이사회 다양성에서 경영진 보상 등에 이르기까지 글로벌 규제가 증가하고 있다. 예를 들어, 많은 사람들은 증권거래위원회(Securities and Exchange Commission), 노동부(Department of Labor), 환경보호청(Environmental Protection Agency), 연방에너지규제위원회(Federal Energy Regulatory Commission)를 비롯한 미국 규제기관이 미국 경제의 모든 부문에 영향을 미칠 수 있는 ESG 규정을 발표할 것으로 기대하고 있다.

유럽에서도 정부와 국제회계기준(International Financial Reporting Standards)을 포함한 표준 제정 단체가 새로운 국제지속가능성기준위원회(International Sustainability Standards Board)를 설립하였다. 그들은 지속가능성 공개에 대한 글로벌 표준을 만들고 상장기업의 정보공개 의무화을 위해 노력하고 있다. ESG 분야에 있어 기업은 다른 어떤 영역보다 지속적으로 관련성이 있고, 적응력이 뛰어나며, 기술 중심적인 컴플라이언스 기능이 필요하다.

기업 간 협업 구축 및 컴플라이언스 문화 육성

컴플라이언스 부서는 전사적인 리스크 관리 활동과 조직 전체의 리스크 프로세스를 조정하기 위한 노력을 점점 더 적극적으로 수행하고 있다. 전사적인 데이터 기반 리스크 평가는 기업이 비즈니스의 컴플라이언스 노출 및 취약성을 평가하는 데 필요한 투명성과 신뢰성을 제공할 수 있다.

액센츄어 연구에 따르면 기업들이 전사적으로 컴플라이언스 책임을 공유하는 문화를 구축하는 노력이 증가하고 있다는 것으로 나타났다. 이를 위해 응답자 중 절반 가까이가 컴플라이언스 인력을 훈련시켜 기업 전체에 컴플라이언스 문화를 조성할 계획인 것으로 나타났다. 그리고 약 40%가 이 목표를 달성하기 위해 새로운 기술에 투자할 계획이다.

또한 응답자의 90%가 이전에는 컴플라이언스 부서에서만 수행해왔던 일부 업무가 다른 부서에도 이전되고 있다는 데 동의하거나 강하게 동의했다. 컴플라이언스 담당자 절반 이상이 2년 안에 리스크 평가 프로세스가 3차 방어선 및/또는 통제 수준에 걸쳐 기업 전체에 완전히 조정될 것으로 기대한다고 말했다. 현재 19%만 리스크 평가 프로세스가 기업 전체에 통합되었다고 응답했다.

의사 결정을 위한 데이터 기반 통찰력 활용

조사 응답자의 절반 이상(52%)은 제3자 리스크를 적절히 식별하고 평가할 수 있는 데이터와 정보가 부족하다고 응답했다.

액센츄어의 연구는 이러한 데이터와 정보 격차를 해결하기 위해 다음과 같은 관행을 제시한다.

• 컴플라이언스 및 내부감사 부서가 동일한 데이터를 사용하여 리스크 관리, 모니터링 및 테스트를 통해 효율성 향상
• 데이터를 모니터링하고 문제를 해결하기 위한 일관된 프로세스 구축
• 규제 의무를 정책, 표준, 리스크 등으로 매핑하여 컴플라이언스의 격차와 약점을 포괄적으로 파악

디지털 기술을 보다 효과적으로 활용

AI, 머신러닝(ML) 등과 같은 신기술은 컴플라이언스 분야에서 효율성을 창출할 수 있다. 컴플라이언스 리스크 연구 응답자 10명 중 9명 이상(93%)은 AI, 클라우드 등 신기술이 만약 인간의 작업을 자동화하고, 인간의 실수를 제거하며, 프로세스를 보다 효과적이고 효율적으로 만들어 준다면 컴플라이언스 업무를 더욱 쉽게 할 수 있다고 동의하거나 강하게 동의했다. 클라우드 기반 플랫폼에 대한 투자는 비즈니스 전반의 리스크 프로세스 조정을 촉진할 수 있고, AI는 반복 가능한 작업을 자동화하여 리스크를 줄일 수 있다.

그러나 기업들은 컴플라이언스 업무에 신기술을 도입하는 데 어려움을 겪고 있다. 데이터 품질 및 관리 저하, 데이터 개인 정보 보호 요구사항 증가, 기술 및 인재 부족 등으로 인해 컴플라이언스 업무를 클라우드로 전환하는 데 어려움을 겪고 있다.

응답자 중 3분의 1(37%)은 기술 투자의 부족으로 문제가 악화되고 있다고 응답했다. 이로 인해 컴플라이언스 기능은 비즈니스 모델, 사이버 범죄, 비즈니스 및 규제의 급속한 진화에 대응하고 리스크를 파악하는데 점점 더 어려워 질 수 있다. 놀랍게도 61%의 컴플라이언스 담당자들만 향후 2년 안에 컴플라이언스 기능에 대한 투자를 늘릴 것으로 예상하고 있다.

데이터 기반 기술의 발전은 컴플라이언스 프로세스와 조직 통찰력을 개선하는 데 강력한 결과를 낳는다.

예를 들어, 모든 업계에서 사용되는 주요 관행은 다음과 같다.

• 컴플라이언스 매핑을 위한 AI 및 ML 활용, 엔드 투 엔드(end-to-end) 규정 변경 관리, 자동화된 컴플라이언스 테스트 및 모니터링
• 이러한 기술을 전사적으로 조정하여 효율성 및 투명성 향상

리스크가 더욱 복잡해지고 상호 관련성이 높아짐에 따라 거버넌스, 리스크 및 컴플라이언스(Governance Risk Compliance, GRC)의 필요성이 더욱 중요해지고 있다. GRC 분야의 기술과 프로세스 발전에도 불구하고 규제, 비즈니스 및 리스크 환경이 끊임없이 진화하는 상황속에서 기업이 컴플라이언스 요구사항의 규모와 복잡성을 처리하는 데 있어 여전히 어려움을 겪고 있다.

이에 대응하기 위해 기업은 AI와 ML을 활용하는 차세대 GRC 및 규제 감시 툴 및 솔루션을 활용하여 컴플라이언스 리스크 관리에 대한 부담을 줄이는 동시에 향상된 분석 기능을 제공하는 것이 중요하다. 이러한 도구와 솔루션은 지난 몇 년 동안 더욱 널리 보급되고 수용되어 GRC 이니셔티브에서 효율성, 효과성 및 민첩성을 촉진하는 데 사용할 수 있는 문을 열었다.

최근 여러 국내 기업에서 횡령 등의 사건사고가 빈번히 밝혀지면서, 내부 통제 시스템에 대한 지적이 잇따르고 있습니다. 이에 BIS 팀은 바젤거버넌스연구소가 발간한 <내부 통제와 반부패(Internal controls and anti-corruption)> 퀵가이드의 내용을 발췌 번역하여 소개합니다.

내부 통제란 무엇인가?

일반적으로 내부 통제(internal controls)는 문제, 오류, 부정을 감지하고 대응하기 위한 정책, 절차, 관행 등의 시스템을 의미한다. 내부 통제 시스템은 부패 행위를 해결하는 데 매우 효과적일 수 있으며, 또한 직원들의 낮은 성과나 조직의 중요목표의 달성 실패와 같이 조직 내 효율성과 효과성에 영향을 미치는 다른 문제도 해결할 수 있다.

종종 내부 통제는 재무제표 및 정부나 시장의 활동과 관련하여 생각된다. 그러나 공동의 목표 달성을 위해 함께 일하는 거의 모든 회사나 조직에는 일종의 내부 통제 시스템이 존재한다. 범죄 기업조차도 불법 제품이나 부당하게 획득한 이익이 원치 않는 방향으로 흘러가는 것을 방지하기 위해 내부 통제 시스템을 일반적으로 가지고 있다.

강력한 내부 통제 시스템은 단지 문제를 발견하고 수정하는 데에 그치지 않고, 조직이 잘 작동하고 있다는 것을 보여주는 좋은 수단이 된다. 심각한 부정행위가 나타나지 않는다는 것은 직원, 외부 이해관계자, 투자자에게 좋은 소식이 된다. 최상의 경우, 효과적인 내부 통제는 조직이 잘 작동하는 지점을 정확히 찾아내는 데 도움이 되기도 한다.

내부통제는 서류 작업에 국한되는 것인가?

그렇지 않다. 규정, 행동강령과 같이 문서화된 정책 및 절차는 일반 대중을 포함한 이해관계자에게 조직의 가치를 전달하고 규칙을 설정하는 데 중요한 역할을 한다. 전반적인 내부통제 시스템에는 이렇게 공식적이고 의도적으로 설계된 규칙과 절차가 포함되지만, 중요한 비공식적 관행도 포함된다. 예를 들어 신규 우려사항에 대한 경고를 알리는 것이나 모범사례를 공유하는 비공식적인 멘토링 및 교육 활동과 같은 정보 공유 네트워킹 활동이 있다.

부패 리스크 완화에 중점을 둔 최선의 내부 통제 시스템은 공식 및 비공식 관행 모두에 의존한다. 부패는 아주 현실에 기반을 둔 현상으로, 공식적인 규칙만으로 해결되지 않기 때문이다.

조직의 운영 맥락과 달성하고자 하는 목표에 따라 ‘올바른’ 통제와 대응은 크게 상이하다. 예를 들어 야생동물 범죄 수사를 담당하는 법 집행기관의 내부 통제는 무역업무를 하는 조직과 매우 다른 규칙과 관행을 갖는다. 즉 효과적인 통제 시스템을 개발함에 있어서 절대적인 규칙이나 ‘복사-붙여넣기’ 식의 템플릿이 존재하지 않는다.

예방, 탐지, 대응을 위한 내부 통제의 예

검찰과 같은 법 집행기구를 예를 들어 가정할 경우, 내부 통제 시스템에는 다음과 같은 사항이 포함될 수 있다.

• 예방: 증거가 변조되는 것을 방지하기 위한 내부 통제로는 예를 들어 증거보관실 문을 잠그는 것과 같이 간단한 것이 있을 수 있다. 혹은 정기적인 증거대장 관리나 증거 보관실에서 법정으로 안전하게 이송되는 것을 보장하는 추적 시스템과 같이, 보다 복잡한 책임 메커니즘이 포함될 수 있다.
• 탐지: 정보를 수집하고 전달하게 하는 내부통제는 잠재적인 부패를 감지하는 데 도움이 될 수 있다. 내부고발 및 보고 시스템을 통해, 법의 주목을 끌지 못했을 사안에 대해 조사나 데이터의 단서가 제공될 수 있다. 내부통제 시스템의 일환으로 정보가 축적된다면 데이터 분석적인 접근이 가능해진다. 예를 들어, 검찰은 사건의 진행상황에 대한 정보 분석을 통해 특정 유형의 사건을 절대 진행시키지 않는 특정 검사를 식별하는 데 도움을 받을 수 있다. 이를 더 깊이 파고든다면 무슨 일이 일어나고 있는지 알아낼 수 있는 잠재적 방아쇠 역할을 하게 된다.
• 대응: 부정행위에 대한 처벌은 대응의 한 종류이다. 그러나 성공 또는 실패 사례에 따라 교훈을 도출하는 토의를 가질 수도 있다. 잘 된 것과 잘못되었을 수도 있는 것을 분석하는 것은 조직과 직원의 목표 달성을 돕는 효과적이고 긍정적인 내부통제로 작용할 수 있다.

일상 업무의 일부가 되게 하라

내부 통제 조직은 올바른 정책, 절차, 표준, 지침 등이 마련되어 있는지 확인하는 것 외에도, 이러한 정책이 얼마나 실제로 준수되고 있는지도 확인한다. 아무도 이를 지키지 않는다면 일류의 행동강령을 보유하고 있는 것은 의미가 없기 때문이다.

잘 운영되는 조직에서는 내부 감사 부서가 높은 수준의 독립성을 가지고 있으며, 종종 최고 경영진에게 직접 보고한다. 또한 컴플라이언스 및 인사 부서와 긴밀하게 협력한다. 조직에서 업무가 어떻게 작동하는지 자세한 개관을 가지고 있으면서도 권고사항을 개발하는 데 능숙하기 때문이다.

그러나 내부통제가 전적으로 내부통제 부서의 책임이라고 생각하는 것은 오산이다. 오히려 그 반대이다. 내부통제는 비즈니스의 모든 측면에서 필수적인 부분이 되어야 하며 조직이 매일 효과적으로 기능할 수 있도록 도와야 한다.

내부 통제의 성공 요인

내부 통제가 부패 방지에 미치는 영향을 측정하는 것은 어렵다. 감독자가 근무시간 기록카드에 서명하거나 직무 순환을 통해 기존 상황을 새로운 관점으로 바라보는 등의 활동으로 인해 얼마나 많은 사기가 예방되었는지 어떻게 측정할 수 있겠는가.

어떤 내부 통제 시스템도 효과를 절대적으로 보장할 수 없다. 소수의 ‘나쁜 직원’은 최고의 내부 통제 시스템도 우회하는 방법을 항상 찾는다. 세간의 이목을 끄는 한두 건의 문제가 있다고 해서 대다수의 직원이 청렴하지 않게 행동한다는 의미는 아니다.

그럼에도 불구하고 내부 통제 시스템의 효율성에 분명히 영향을 미치는 다음의 몇 가지 요소가 있다.

• 통제 수행 책임자의 독립성(Independence), 특히 내부통제 부서 내에서 통제를 수행하는 책임자의 독립성이 중요하다. 여기에는 외적인 독립성과 실질적인 독립성 모두가 포함된다. 또한 달갑지 않은 소식을 전달해야 하는 사람을 보호하는 시스템을 설계하는 것도 포함한다.
• 통제 실행 직원의 수용(Buy-in)이 필요하다. 즉, 내부통제가 왜 중요하며 시간과 노력을 들일 가치가 있는지 해당 직원이 이해하도록 명확하게 커뮤니케이션 하는 것이 필요하다. 비밀번호를 주기적으로 변경하는 것과 같은 간단한 통제 조차도 만약 직원들이 그 당위성을 이해한다면 준수율이 개선된다.
• 시간과 비용 측면에서 비용-편익(Cost-benefit) 검토가 필요하다. 아주 소액의 현금을 요청하기 위해 과도하게 상세한 양식을 작성해야 하는 등 통제에 비용이 많이 들거나 시간이 과도하게 소요된다면 사람들은 이를 지키지 않게 된다.
• 결과(Consequences)는 현실적이면서 일관되게 적용되어야 한다. 만약 내부 통제에서 부패 행위가 드러날 경우 합당한 처벌을 받아야 한다. 단순히 부패한 직원을 다른 부서로 이동시키는 것만으로는 대개 추가적인 부정 행위를 막을 수 없다. 한편 결과라는 것이 항상 처벌만을 의미하지는 않는다. 예를 들어 프로세스를 수정하거나 약점을 보완하기 위한 교육을 권고할 수 있다.
• 직원들이 옳지 않다고 생각하는 사항에 대해 경보를 울리거나 더 나은 방식의 개선사항을 제안할 수 있도록 하는 신뢰할 수 있는 보고 채널(Credible reporting channels)이 있어야 한다. 공식적인 보고 채널은 소박하게는 건의함에서부터 익명의 내부고발 시스템에 이르기까지 다양하다. 중요한 것은, 직원들이 반향을 두려워하지 않고 문제를 제기하거나 질문을 할 권한을 가지고 있다고 느낄 수 있는 ‘발언 문화’의 조성이다.

★이글은 바젤거버넌스연구소(Basel Institute on Governance)의 Quick Guide Series의 일환으로 Rebecca Anne Batts가 발간한 <Internal controls and anti-corruption>(2022)을 UNGC 한국협회에서 발췌 번역하여 작성하였습니다. 인용 시 원문 출처 및 Business Integrity Society를 밝혀 주시기 바랍니다.

☞ 원문 바로보기