잘못된 소프트웨어 구매는 대부분 첫 데모를 보기 전에 결정됩니다. 리스크 관리 분야에서는 이런 경향이 다른 분야보다 더 심합니다.
흔히 다음과 같은 순서로 진행됩니다. 창업자가 콘퍼런스에서 공급업체를 보거나, 동료가 자신이 쓰는 도구를 언급합니다. 데모를 예약합니다. 데모는 훌륭합니다. 원래 훌륭하게 보이도록 만들어지기 때문입니다. 이어서 경쟁 제품 두 개와 기능을 비교하고, 가격을 협상하고, 구매 주문서를 발행합니다. 그 과정에서 정작 유일하게 중요한 질문은 한 번도 입 밖으로 나오지 않습니다. 우리는 무엇으로부터 회사를 보호하려는 것일까요?
결과는 특정한 유형의 실패입니다. 도구가 나쁜 것이 아닙니다. 좋은 도구가 설계된 대로 정확히 작동하지만, 우리에게 없던 문제를 해결합니다.
이 가이드는 이 제품군이 실제로 무엇인지, 무엇을 살펴봐야 하는지, 비용과 효과는 어떤지 다룬 뒤 다섯 단계의 선택 절차를 제시합니다. 그중 세 단계는 공급업체를 하나라도 살펴보기 전에 진행합니다. 기능 체크리스트부터 시작한다면 네 번째 단계부터 시작하는 셈이며, 후회는 대체로 여기서 비롯됩니다.
미리 말씀드립니다. 이 글을 읽는 상당수에게 솔직한 결론은 저희 제품이 필요하지 않거나, 아무것도 구매할 필요가 없다는 것일 수 있습니다. 해당하는 경우에는 그렇게 말하겠습니다. 구매를 말릴 수 없는 구매 가이드는 가이드가 아니라 홍보 책자입니다.
전사적 리스크 관리란 실제로 무엇인가
용어부터 살펴보겠습니다. 이 소프트웨어 대부분이 이 이름으로 판매되므로 의미를 분명히 할 필요가 있습니다.
전사적 리스크 관리, 즉 ERM은 각 부서가 자기 리스크만 따로 다루게 두는 대신, 조직이 직면한 모든 리스크를 통합된 관점에서 식별하고 평가하고 관리하는 활동입니다.
마지막 부분이 핵심입니다. ERM 이전에는 재무팀이 재무 리스크를, IT 부서가 사이버 리스크를, 법무팀이 소송을, 운영팀이 운영 리스크를 관리했지만 전체를 파악하는 사람은 없었습니다. ERM은 이를 하나의 지도에 담기 위해 등장했습니다. 경영진과 이사회가 조직의 전체 리스크 노출을 파악하고, 부서 안에 갇히지 않고 전사적으로 우선순위를 정할 수 있게 하려는 것입니다.
실무에서 ERM 소프트웨어는 이러한 조정을 대규모로 가능하게 하는 도구입니다. 식별한 모든 리스크를 담는 리스크 등록부, 점수를 매기고 순위를 정하는 방식, 각 리스크와 연결된 통제 수단, 담당자를 지정하고 완화 조치를 추적하는 워크플로가 있습니다. 여기에 이사회 리스크 위원회에 제출할 수 있을 만큼 정리된 보고 기능이 더해집니다.
실제로 중요한 관리 분야이며, 원래 대상으로 삼은 규모에서는 필수적입니다. 수백 개의 통제 수단과 11개 프레임워크를 다루는 규제 대상 기관은 스프레드시트로 리스크를 관리할 수 없습니다. ERM 플랫폼은 그 문제가 실제로 존재하기 때문에 만들어졌습니다.
다만 초반에 짚고 넘어갈 특징이 하나 있습니다. 이 가이드의 이후 내용을 모두 좌우하기 때문입니다. ERM은 조직이 내부에서 파악할 수 있는 리스크를 통합 관리하도록 설계되었습니다. 본래 중심 대상은 내부 리스크 등록부입니다. 조직 밖의 세상을 대신 감시하도록 만들어진 적은 없습니다. 그런데 어떤 기업은 리스크 대부분이 실제로 그 외부 세계에 있습니다. 이 점을 기억해 두시기 바랍니다.
기능부터 비교하는 구매 방식의 문제
“리스크 관리 소프트웨어”는 하나의 제품을 가리키지 않습니다. 서로 대체할 수 없는 여러 제품군에 붙은 이름입니다. 이 시장에서 가장 비싼 실수는 한 제품군을 구매하면서 다른 제품군의 기능을 기대하는 것입니다.
그래서 기능 체크리스트부터 시작하면 안 됩니다. 체크리스트는 필요한 제품군을 이미 알고 있다는 전제에 서 있습니다. 대부분의 구매자는 이를 모릅니다. 데모도 알려주지 않습니다. 모든 공급업체의 데모는 자기 제품군이 시장 전체인 것처럼 보이도록 설계되기 때문입니다.
따라서 아래 절차는 의도적으로 순서를 정했습니다. 첫째는 리스크가 발생하는 영역, 둘째는 제품군, 셋째는 자체 개발 또는 구매 여부입니다. 그다음에야 기능과 공급업체를 봅니다. 하나씩 살펴보겠습니다.
1단계: 공급업체 사이트를 열기 전에 리스크 영역 파악
실제 리스크가 무엇인지 적어보기 전에는 이를 관리할 도구를 선택할 수 없습니다. 당연한 말처럼 들립니다. 하지만 구매 전에 이를 실행하는 경우는 거의 없으므로 첫 단계로 두었습니다.
추상적으로 생각하지 말고 구체적으로 다뤄야 합니다. 시간을 내어 세 가지 질문에 솔직히 답해 보시기 바랍니다.
무엇이 실제로 금전적 손실이나 신뢰도 하락을 초래할 수 있습니까? 문서에서 철저해 보이는 항목이 아니라, 회의실에서 직접 설명해야 할 실제 리스크를 생각해야 합니다.
각 리스크는 어디에 있습니까? 회사 내부입니까, 외부입니까? 다른 어떤 구분보다 중요한 기준입니다.
현재 방식으로는 리스크가 현실화되었다는 사실을 어떻게, 얼마나 빨리 알 수 있습니까? 불편할 정도로 솔직해야 합니다. 어떤 리스크에 대한 진실한 답이 “누군가 알려주면 듣게 됩니다”라면 그대로 적으시기 바랍니다.
내부와 외부의 구분이 이후의 모든 것을 결정합니다. 리스크가 주로 내부의 통제 수단, 직원, 시스템에 있는 기업은 통제할 수 없는 외부 주체에 리스크가 있는 기업과 근본적으로 다른 도구가 필요합니다. 두 기업이 같은 공급업체를 검토한다면 둘 중 하나는 잘못된 선택을 하고 있습니다.
체계적으로 접근하는 방법이 필요하다면, 저희가 작성한 올바른 리스크 매핑과 대부분의 리스크 지도에서 빠지는 축에 관한 글을 참고하시기 바랍니다. 먼저 리스크를 정리하면 이후의 모든 과정이 쉬워집니다.
2단계: 실제로 필요한 제품군 파악
이 이름을 공유하는 제품군은 다섯 가지입니다. 각각을 공정하고 간략하게 소개하겠습니다.
ERM 및 GRC 플랫폼. 앞서 설명한 기록 관리 시스템입니다. 리스크 등록부, 정책 관리, 이사회 보고, 워크플로를 제공합니다. Archer, LogicGate, OneTrust, Resolver가 여기에 해당합니다. 수백 개의 통제 수단과 이사회 리스크 위원회가 있다면 필요합니다. 직원이 11명이라면 거의 확실히 필요하지 않습니다.
보안 및 컴플라이언스 자동화. 내부 통제와 프레임워크 인증을 다룹니다. SOC 2, ISO 27001이 해당합니다. Vanta, Drata, Sprinto, Hyperproof가 이 제품군에 속합니다. 대기업을 대상으로 판매하며 자사의 보안 수준을 입증해야 한다면 필요한 제품군이고, 좋은 선택입니다.
신원 확인 및 AML. 온보딩 시점과 그 이후에 고객을 확인하고 스크리닝합니다. Sumsub, Persona, Onfido가 여기에 해당합니다. 이용자나 기업을 온보딩하고 이들의 금융 범죄 리스크에 책임을 진다면 필요합니다.
리스크 데이터 제공업체. 제재, 부정적 언론 보도, 기업 등기 정보 등의 원시 데이터 피드를 제공합니다. LexisNexis Risk Solutions, Moody’s, OpenCorporates가 여기에 해당합니다. 완성된 제품이 아니라 입력 데이터입니다. 그 위에 기업이나 솔루션 공급업체가 인텔리전스 계층을 구축합니다.
외부 주체에 대한 지속적 리스크 인텔리전스. 포트폴리오 기업, 거래 상대방, 창업자처럼 직접 거래하지는 않지만 리스크가 연결된 외부 주체를 모니터링합니다. 저희가 속한 제품군입니다. 이 글을 읽는 대부분에게는 정답이 아닐 것이므로, 질문에 대한 유일한 답으로 제시하지 않고 다섯 가지 중 하나로 소개합니다.
중요한 점은 이 제품군들이 서로 경쟁 관계가 아니라는 것입니다. 핀테크 기업에는 세 가지가 필요할 수도 있습니다. 실제로 필요한 것이 외부 주체 모니터링인데 ERM 플랫폼을 구매하면 성능이 떨어지는 모니터링을 얻는 것이 아닙니다. 서류 보관함을, 그것도 비싼 보관함을 얻는 셈입니다.
가장 흔히 막히는 지점인 2단계에서 진도가 나가지 않는다면, 다섯 가지 제품군을 자세히 정리한 이 글을 참고하시기 바랍니다.
3단계: 자체 개발 또는 구매 여부 결정
신중한 구매자가 실제로 고민하는 질문입니다. 답이 때로는 “아무것도 구매하지 마세요”이기 때문에 대부분의 가이드는 건너뜁니다. 그래도 다루겠습니다.
리스크가 명확히 정의되어 있고, 엔지니어와 데이터 팀이 있으며, 요구사항이 안정적이라면 기초 데이터 피드의 이용권을 구매해 직접 도구를 만들 수도 있습니다. 일부 대규모 조직은 실제로 이렇게 하며, 이들에게는 올바른 선택입니다.
시도한 기업 대부분이 후회하는 이유는 데이터 때문이 아닙니다. 데이터는 쉬운 부분이고 구매할 수 있습니다. 어려운 부분은 관련성을 가려내는 계층입니다. 매주 들어오는 원시 신호 1만 개를 중요한 네 개로 추린 뒤, 출처와 형식이 바뀌고 커버리지에 공백이 생길 때마다 이를 유지해야 합니다. 이 계층이 실제 업무의 대부분을 차지하고, 작업은 끝나지 않으며, 계획 단계에서는 거의 항상 과소평가됩니다.
솔직하게 판단하는 기준은 이렇습니다. 리스크 영역 전반에서 유의미한 신호와 노이즈를 구분하는 능력을 핵심 역량으로 내재화하고 상시 인력을 배치하고 싶다면 직접 개발하시기 바랍니다. 작동은 해야 하지만 이를 위해 팀을 운영하고 싶지는 않다면 구매하시기 바랍니다. 대부분의 기업은 두 번째에 속하면서 스스로 첫 번째라고 설득합니다.
전사적 리스크 관리 소프트웨어의 평가 기준
2단계의 결론이 ERM 또는 GRC 플랫폼이라면, 즉 리스크가 대부분 내부에 있고 기록 관리 시스템이 필요한 규모라면, 좋은 제품과 그저 비싼 제품을 실제로 구분하는 기준은 다음과 같습니다.
사람들이 실제로 사용하는 리스크 등록부입니다. 등록부는 ERM 시스템의 핵심입니다. 아무도 갱신하지 않는 등록부는 지난해의 걱정거리를 담은 데이터베이스일 뿐입니다. 여기서는 기능의 깊이보다 입력의 편의성이 더 중요합니다.
실제 운영 방식을 반영한 통제 매핑입니다. ERM의 가치는 어떤 통제 수단이 어떤 리스크에 대응하며 어디에 공백이 있는지 파악하는 데 있습니다. 통제 수단 하나를 연결하는 데 20분이 걸린다면 아무도 하지 않을 것이며, 매핑은 점점 쓸모없어집니다.
이사회가 별다른 이의 없이 받아들일 보고 기능입니다. 소프트웨어를 구매하는 실제 이유가 이것인 경우가 많으므로 직접 시험해 볼 가치가 있습니다. 한 번의 클릭으로 리스크 위원회가 읽을 만한 보고서를 만들 수 있습니까?
담당자를 지정하는 워크플로입니다. 담당자가 없는 리스크에는 대응도 없습니다. 좋은 ERM 도구는 책임 소재를 명확히 하고 이행을 독촉합니다. 부실한 도구에서는 리스크가 담당자 없이 등록부에 영원히 남아 있을 수 있습니다.
필요한 경우의 프레임워크 지원입니다. ISO 31000, COSO 또는 특정 규제 체계에 따라 관리한다면, 사용자가 억지로 맞추게 하는 대신 플랫폼 자체가 해당 체계를 기본적으로 지원해야 합니다.
실질적인 확장성도 필요합니다. 일부 ERM 도구는 Fortune 500 기업을 위해 설계되고 가격이 책정되어, 중견기업에는 불필요한 복잡성으로 큰 부담을 줍니다. 반대로 일부 제품은 이름만 그럴듯한 스프레드시트에 가까울 만큼 단순합니다. 기업 규모에 맞는 수준을 선택해야 합니다.
리스크 관리 소프트웨어의 실제 ROI
모든 공급업체가 ROI 계산기를 제공하며, 대부분은 창의적인 곱셈에 불과합니다. 실제 수익이 어디서 발생하고 어디서는 발생하지 않는지 솔직하게 살펴보겠습니다.
간접적이지만 실질적인 효과는 시간입니다. 증거 수집, 담당자 독촉, 보고서 작성처럼 분석가가 며칠씩 쓰던 리스크 업무를 소프트웨어가 처리합니다. 이는 측정할 수 있으며 가장 쉽게 근거를 댈 수 있는 효과입니다. 동시에 가장 쉽게 과장되는 효과이기도 합니다.
더 크지만 측정하기 어려운 효과는 손실 방지입니다. 발생하지 않은 사건에 가격을 매겨야 하므로 정량화가 정말 어렵습니다. 같은 리스크라도 조기에 발견하면 늦게 발견했을 때보다 비용이 적게 들며, 때로는 수십 배 이상 차이가 납니다. 문제는 소프트웨어가 세 번의 재앙을 막았든, 애초에 닥칠 재앙이 없었든, 아무 일 없이 지나간 한 해는 똑같아 보인다는 점입니다. 어느 쪽인지 알려줄 계산기는 없습니다.
가정을 현실적인 계산으로 바꾸려면 한 번의 누락에 따른 비용을 산정해야 합니다. 중대한 리스크 하나를 너무 늦게 발견했을 때 직접 손실, 시정 조치, 법률 대응, 평판, 고위 임원의 시간을 합쳐 실제로 얼마의 비용이 듭니까? 그 금액과 소프트웨어 비용을 비교하면 계산의 초점은 기능에서 기대가치로 옮겨갑니다.
저희는 바로 이 계산을 위한 전체 산정 모델을 만들었습니다. 예산 회의에서 지출의 타당성을 설명하려면 공급업체가 제시한 배수가 아니라, 세세하게 검증해도 버틸 수 있는 수치가 필요하기 때문입니다.
주의할 점이 하나 있습니다. 업계 역사상 가장 큰 재앙의 피해액에 예방률 100%라는 가정을 곱한 ROI 사례는 의심해야 합니다. 모든 것을 막는 도구는 없습니다. 이를 전제로 삼는 모델은 예측이 아니라 안도감을 파는 것입니다.
실제로 제값을 하는 기능
어느 제품군에서나 구매를 잘했다고 느낄지 실제로 예측해 주는 기능이 있는 반면, 데모에서만 보기 좋은 기능도 있습니다. 솔직하게 구분해 보겠습니다.
리스크 영역에 맞는 커버리지입니다. 표현에 주목해야 합니다. 보여주기식 지표인 “최다 출처”가 아닙니다. 실제로 노출된 리스크에 적합한 출처여야 합니다. 1만 1,000개 출처를 다루더라도 특정 리스크와 관련된 출처가 하나도 없다면, 기업에 중요한 것은 아무것도 다루지 않는 도구입니다.
신호 대 잡음비입니다. 오탐률을 직접 물어보고, 이에 대한 논의를 피하는 공급업체는 의심해야 합니다. 매주 아무도 읽지 않는 알림 400개를 내놓는 도구는 기능상 아무것도 내놓지 않는 도구와 같고, 비용은 더 듭니다. 필터링이 제품의 본질입니다. 커버리지는 원재료입니다.
출처 추적 가능성입니다. 저희가 특히 중요하게 여기는 항목이라는 점을 분명히 밝히니, 그 점을 감안해 판단하시기 바랍니다. 모든 결과를 직접 열어 확인할 수 있는 1차 출처까지 추적할 수 있습니까? 아니면 근거 없이 믿어야 하는 결론입니까? 요약을 생성하는 도구가 늘어날수록 더욱 중요해지는 문제이며, 저희를 포함한 시장의 모든 공급업체에 물어도 되는 정당한 질문입니다. 올바른 답은 설명 문단이 아니라 링크입니다.
가치를 얻기까지 걸리는 시간입니다. 며칠입니까, 몇 주입니까, 아니면 전문 서비스 비용까지 붙는 6개월짜리 구축입니까? 일부 제품군에서는 긴 구축 기간이 불가피합니다. 다른 제품군에서는 제품 설정을 고객에게 맡긴다는 신호일 수 있습니다.
팀이 이미 일하는 방식과의 연동입니다. 따로 로그인해야 하는 대시보드를 열어보는 일조차 잊게 된다면, 탐지 성능이 아무리 좋아도 6주째에는 외면받습니다. 팀이 이미 일하고 있는 곳으로 결과를 전달해야 합니다.
실제 담당자를 지정하는 알림과 상위 보고 기능입니다. 전달 경로가 없는 탐지는 노이즈입니다. 가장 좋은 도구는 발견한 항목에 담당자 이름과 대응 기한을 붙입니다. 부실한 도구는 항목을 보여주기만 하고 할 일을 다 했다고 여깁니다.
운영 인력까지 포함한 총비용입니다. 라이선스 비용과 운영 담당자 비용은 별개이며, 후자가 더 큰 경우가 많습니다. 전담 분석가가 필요한 저렴한 도구는 실제로 저렴한 도구가 아닙니다.
매력적이지만 판단 기준으로 삼아서는 안 되는 것도 있습니다. 세련된 인터페이스, 단순한 출처 수, 전혀 쓰지 않을 방대한 기능, 신중하게 고른 사례로 진행한 데모입니다. 평가할 때는 모두 유의미한 신호처럼 느껴지지만, 1년 뒤 구매에 만족할지에 대해서는 거의 아무것도 예측해 주지 못합니다.
실무에서 가장 가치 있는 기능
위 목록을 계속 사용할 도구와 조용히 사용을 중단할 도구를 가장 확실하게 가르는 세 가지로 압축한다면 다음과 같습니다.
무엇보다 먼저 필터링입니다. 리스크 소프트웨어의 가치는 방대한 정보를 실제로 주의를 기울일 만한 짧은 목록으로 바꾸는 데 있습니다. 이를 잘하는 도구는 다른 부분이 부족해도 계속 쓸 가치가 있습니다. 이를 못하는 도구는 다른 모든 부분이 뛰어나도 가치가 없습니다. 정보에 파묻히게 되기 때문입니다.
다음은 검증 가능성입니다. 언젠가는 소프트웨어가 알려준 내용을 바탕으로 행동해야 하며, 그 행동을 규제기관, LP 또는 이사회에 설명해야 할 수도 있습니다. 주장의 출처를 추적할 수 없다면 믿음에 기대어 행동하는 것입니다. 리스크 업무에서 믿음만으로는 판단의 타당성을 입증할 수 없습니다.
그다음은 워크플로와의 적합성입니다. 세계 최고의 탐지 도구도 팀이 전혀 보지 않는 곳에 있다면 실패합니다. 실용적 가치는 실제로 사용되는지에 따라서도 달라지며, 사용 여부는 주로 결과가 어디에 나타나느냐에 달려 있습니다.
5단계: 네 가지 실패 유형으로 검증
계약하기 전에 구매하려는 제품을 이 분야에서 대부분의 후회를 초래하는 네 가지 실패 유형에 대입해 보시기 바랍니다. 각 항목은 공급업체에 직접 물어보고 답변 방식을 살펴봐야 하는 질문입니다.
| 실패 유형 | 물어볼 질문 |
| 빈 그릇 | 리스크를 직접 찾아내나요, 아니면 제가 입력한 리스크만 정리하나요? |
| 알림의 홍수 | 보통 일주일 동안 어떤 알림이 얼마나 발생하며, 그중 조치가 필요한 것은 몇 개인가요? |
| 잘못된 감시 범위 | 우리 회사를 감시하나요, 아니면 우리와 리스크가 연결된 외부 주체를 감시하나요? |
| 검증 불가능한 결과 | 무언가를 알려줄 때 출처와 대조해 확인할 수 있나요? |
빈 그릇은 ERM 특유의 함정이므로 자세히 살펴볼 필요가 있습니다. 기록 관리 시스템은 인텔리전스 출처가 아닙니다. 입력한 내용을 정리하며, 스스로는 아무것도 찾아내지 않습니다. 기업은 외부 리스크를 발견해 줄 것이라 기대하며 ERM을 구매하지만, 몇 달 뒤 등록부에는 누군가 입력한 내용만 그대로 담겨 있다는 사실을 깨닫습니다. 직접 나가서 무언가를 찾아오는 도구가 필요하다면 ERM 플랫폼은 그 도구가 아닙니다. 계약 전에 이를 확인하면 큰 실망을 피할 수 있습니다.
모든 공급업체가 내세우는 AI에 관해
이제 이 시장의 모든 제품이 홈페이지에서 AI를 내세웁니다. 저희도 마찬가지이므로, AI가 있다는 사실 자체는 아무것도 말해주지 않습니다. 유용한 질문은 더 구체적이어야 합니다.
AI가 실제로 획기적인 변화를 가져오는 영역이 하나 있습니다. 어떤 인력 팀도 다룰 수 없을 만큼 다양한 언어와 출처의 방대한 비정형 정보를 읽고, 그중 중요한 일부를 찾아내는 일입니다. 이 역량은 실제로 존재하며, 비용을 지불할 가치가 있는 부분입니다.
AI가 실제로 위험한 영역도 하나 있습니다. 근거를 추적할 수 없는 결론을 단정하는 일입니다. 자신감 있게 작성된 잘못된 요약이 문서 안에서 권위 있는 정보처럼 보이는 것은 요약이 아예 없는 것보다 나쁩니다. 그 내용을 바탕으로 행동하면서도 틀렸다는 사실을 끝내 모를 수 있기 때문입니다.
따라서 구매 기준은 도구에 AI가 있느냐가 아닙니다. AI가 알려주는 내용을 검증할 수 있느냐입니다. 모든 공급업체에 출처 링크를 요청하고, 링크가 없다면 그 자체를 더 중요한 질문에 대한 답으로 받아들이시기 바랍니다.
흔한 후회를 피하는 도입 방법
구매는 쉬운 부분입니다. 좋은 도구도 실제 배포 과정에서 버려집니다. 제대로 해야 할 여섯 가지를 의도적으로 짧게 정리하겠습니다.
리스크 30개가 아니라 한두 개부터 활성화하시기 바랍니다. 첫날부터 알림이 쏟아지면 사람들은 그 채널을 무시하는 법부터 배웁니다. 읽기를 중단한 뒤에는 다른 어떤 조치도 소용이 없습니다.
활성화하기 전에 각 알림에 누가 대응할지 정하시기 바랍니다. 그렇지 않으면 모두에게 전달되고, 결국 아무도 맡지 않습니다.
처음 설정한 임계값은 틀릴 것으로 예상하시기 바랍니다. 누구나 그렇습니다. 한 번만 조정하지 말고 한동안 매월 다시 조정해야 합니다.
팀이 이미 일하고 있는 곳으로 알림을 옮기시기 바랍니다. 아무도 기억하지 못하는 대시보드 뒤에 있다면 없는 것과 같습니다.
지금 검토 일정을 잡으시기 바랍니다. 리스크 도구도 정책처럼 시간이 지나면 낡습니다. 이를 확실히 점검하게 만드는 것은 달력에 잡힌 일정뿐입니다.
이것이 전부입니다. 가장 중요한 세부 사항인 도구가 발견한 항목의 전달 경로와 우선순위 설정은 알림 전달 경로에 관한 별도 글에서 다뤘습니다.
자주 묻는 질문
결론
좋은 선택을 위한 작업 대부분은 공급업체를 살펴보기 전에 이루어집니다. 리스크 영역을 정리하고, 제품군을 식별하고, 자체 개발 여부를 결정해야 합니다. 이 세 가지를 제대로 하면 마지막 공급업체 비교는 거의 기계적인 절차가 됩니다. 무엇을 찾는지 이미 알고 있으며, 그만큼 유용하게도 무엇을 찾지 않는지도 알고 있기 때문입니다.
이를 잘못하면 어떤 기능 비교표도 도움이 되지 않습니다. 잘못된 제품군 안에서 엉뚱한 항목들을 정밀하게 비교하게 되기 때문입니다.
이 가이드에서 내부와 외부의 구분을 강조했으므로, 특정 독자에게 한 가지 더 말씀드리겠습니다. 1단계를 수행한 결과 리스크가 주로 회사 밖에 있었다면, 즉 포트폴리오 기업, 거래 상대방, 창업자처럼 통제할 수는 없지만 리스크가 연결된 외부 주체에 있었다면, ERM 플랫폼은 이미 알고 있는 모든 정보를 훌륭하게 정리해 주겠지만 외부 세계에 관한 새로운 사실은 알려주지 않습니다. ERM의 결함은 아닙니다. 그저 ERM의 목적이 아닐 뿐입니다.
Beady AI는 리스크가 연결된 외부 주체를 대상으로 제재, 부정적 언론 보도, 기업 등기 정보, 사칭을 모니터링하며 모든 신호의 출처를 추적할 수 있게 합니다. 시연을 예약하면 실제 보유 자산을 대상으로 실행해 드립니다. 저희 데모가 아니라 실제 리스크를 기준으로 평가할 수 있습니다.
그리고 1단계의 결론이 Vanta, ERM 플랫폼, 자체 개발 등 다른 방향이었거나, 지금은 스프레드시트와 검토 일정만으로 충분하다는 결론이었다면 이 가이드는 제 역할을 한 것입니다. 그것도 좋은 결과이며, 솔직한 결과입니다.
