최근 몇 주 사이에 어느 LP가 리스크 관리 정책을 요청했습니다. 보내드리겠다고 답했지만, 정작 작성된 정책은 없습니다.
대개 이렇게 시작합니다. 같은 이유로 이 글을 읽게 되었다면 드문 경우가 아닙니다. 운용 규모가 수억 미만인 펀드는 대부분 외부에서 누군가 요청하기 전까지 리스크 정책을 문서로 작성하지 않습니다.
이런 요청은 거의 언제나 운용 실사 과정에서 나오며, 대개 특정 펀드를 문제 삼는 것은 아닙니다. 기관 자금을 배분하는 투자자들은 모든 펀드에 이를 요청합니다. ILPA의 실사 체계를 바탕으로 만든 질문서에서도 펀드가 입증해야 하는 사항이 꾸준히 늘어나고 있습니다.
실제로 작성해야 할 문서는 생각보다 짧고 부담도 적습니다. 다만 검색해서 찾은 템플릿은 오히려 잘못된 방향으로 이끌기 쉽습니다. 더 골치 아픈 문제는 바로 이것이며, 이 가이드를 쓰게 된 주된 이유이기도 합니다.
리스크 정책의 실제 의미
복잡한 체계 설명을 걷어 내면 이 문서는 네 가지 질문에 답합니다.
어떤 문제가 생길 수 있는가. 그중 어디까지 감수할 것인가. 누가 결정하고 누가 행동하는가. 그리고 실제로 문제가 생기면 어떻게 하는가.
이것이 전부입니다. 대부분 8~15쪽이면 됩니다. 30쪽을 넘기고 있다면 다른 종류의 문서와 혼동했을 가능성이 큽니다.
자주 혼동하는 세 가지 문서와의 차이도 짚어 보겠습니다.
리스크 등록부와는 다릅니다. 등록부는 개별 리스크 노출에 담당자와 처리 상태를 붙여 계속 갱신하는 목록입니다. 정책은 그 등록부를 어떻게 운영할지 정하는 규칙입니다. 결국 둘 다 필요하지만, 정책을 먼저 마련해야 합니다.
컴플라이언스 매뉴얼과도 다릅니다. 컴플라이언스는 외부에서 부과된 규칙을 다룹니다. 리스크 관리는 스스로 감수하기로 선택한 리스크 노출을 다룹니다. 문제가 다르므로 문서의 구성도 달라집니다.
누군가에게 좋은 인상을 주려고 쓰는 문서도 아닙니다. 가능하다면 이 말에 밑줄을 긋고 싶습니다. 제가 읽은 가장 좋은 리스크 정책들은 밋밋하고 구체적이며, 군데군데 다소 매끄럽지 않았습니다. 회의에서 방어하기 좋은 표현보다 회사가 실제로 무엇을 할지 설명하려고 쓴 문서였기 때문입니다.
생각보다 중요한 작성 계기
작성 계기는 문서에 담길 내용을 좌우하므로 잠시 짚어 볼 필요가 있습니다.
펀드가 정책을 작성하게 되는 계기는 대체로 네 가지입니다. 가장 흔한 경우는 운용 실사(ODD) 중 LP가 요청하는 것입니다. 은행이나 펀드 사무관리회사가 업무를 진행하기 전에 요구하기도 합니다. 규제 적용 대상이라면 규제 당국이 요구할 수도 있습니다. 다만 대부분의 VC와 암호화폐 펀드는 그 대상에 들어가지 않으며, 이 부분은 뒤에서 다시 다루겠습니다. 마지막으로, 문제가 생긴 뒤에야 정책을 마련하는 경우가 있습니다.
마지막 경우가 가장 좋지 않은 계기이며, 안타깝게도 드물지 않습니다. 사고 직후 작성한 정책은 거의 언제나 방금 발생한 문제에 지나치게 맞춰져 있고, 아직 일어나지 않은 문제는 놓칩니다. 실적이 나빴던 분기 이후에 이 문서를 쓰고 있다면, 실제로 발생한 리스크보다 발생하지 않은 리스크에 의도적으로 더 많은 시간을 할애하는 것이 도움이 됩니다.
검색으로 찾는 모든 템플릿의 문제
이 부분을 이해하면 2주를 아낄 수 있습니다.
리스크 관리 정책 템플릿을 검색하면 수많은 결과가 나옵니다. ISO 31000, COSO, 평소 선호하는 GRC 솔루션 업체가 이번 달에 무료로 배포하는 자료 등이 있습니다. 공정하게 말하면 잘 만든 문서이며, 작성자들도 자신이 하는 일을 잘 알고 있었습니다.
그러나 모두 같은 전제를 바탕으로 하며, 그 전제는 펀드에 맞지 않습니다.
리스크가 조직 내부에 존재한다고 가정하기 때문입니다.
일반 기업을 위해 작성한 문서이므로 이는 지극히 합리적인 전제입니다. 제조기업의 리스크는 공급망, 공장, 직원, 데이터에 있습니다. 기업이 소유하고 지휘하는 대상들입니다. 이 체계들은 리스크를 운영, 재무, 전략, 컴플라이언스, 평판으로 나눕니다. 직원 3,000명인 기업에는 충분히 합리적인 분류입니다.
이제 펀드 운용사를 살펴보겠습니다.
직원은 11명이라고 가정해 보겠습니다. 38개 포트폴리오 기업에 2억을 투자했습니다. 내부 운영 리스크는 분명 존재하지만 규모는 크지 않습니다. 작은 팀, 몇 가지 시스템, 일부 송금 업무, 관리해야 할 소수의 이해상충이 전부입니다.
실제 리스크 노출은 38개 기업 안에 있습니다. 이 기업들을 통제하거나 지휘할 수 없으며, 대부분은 누군가에게 요청하지 않고서는 내부 상황을 들여다볼 수도 없습니다.
표준 템플릿을 채우면 꼼꼼하고 체계적인 문서가 완성되지만, 실제로 다루는 리스크는 전체의 15% 정도에 그칠 수 있습니다. 그런데도 완전한 문서처럼 보인다는 점이 위험합니다.
| 운용사 내부 | 운용사 외부 | |
| 예시 | 사이버 리스크. 핵심 인력 리스크. 가치평가 오류. 송금 사기. 임직원 행위. 이해상충. | 포트폴리오 기업의 실패. 창업자의 부정행위. 제재 노출. 거래 상대방의 파산. 사칭. 규제상 분류 변경. |
| 통제 주체 | 운용사. | 운용사에 통제권 없음. |
| 일반적인 정책의 포괄 범위 | 상세하게 다룸. | 거의 다루지 않음. |
| 실제 리스크 노출에서 차지하는 비중 | 작음. | 대부분. |
내부 리스크 부분 작성
이제 눈에 띄지는 않지만 반드시 해야 하는 작업입니다. LP가 가장 꼼꼼하게 읽는 부분이므로 공들일 가치가 있습니다.
핵심 인력. GP가 퇴사하거나 사망하거나 해임되면 어떻게 할 것인지 정합니다. 기관 투자자들은 끊임없이 묻지만, 이를 문서로 정리해 둔 곳은 거의 없습니다. 두 문단이면 충분합니다. 누가 대신 업무를 맡는지, LPA상 핵심 인력 관련 사유에 무엇이 해당하는지, 그동안 펀드는 어떻게 운영할지 적습니다.
송금 사기 및 지급 통제. 이 부분은 다른 항목보다 훨씬 자세히 다룹니다. 이 정도 규모의 펀드가 실제로 돈을 잃는 경로 중 가능성이 단연 가장 높기 때문입니다.
수법은 단순하지만 잘 통합니다. 공격자는 창업자나 변호사, 때로는 운용사 담당자의 이메일 계정을 탈취하거나 사칭한 뒤, 이미 예정되어 있던 송금의 변경된 지시사항을 보냅니다. 지시사항은 정상으로 보입니다. 맥락도 맞습니다. 공격자가 이메일 대화를 읽고 있었기 때문에 시점도 그럴듯합니다. 그렇게 돈이 빠져나가며, 그 속도도 빠릅니다.
기업 이메일 침해 사기는 FBI의 연례 인터넷 범죄 통계에서 신고 손실액이 가장 큰 범주에 꾸준히 속합니다. 전형적인 피해자는 은행이 아닙니다. 금요일 오후, 운용사와 비슷한 규모에 비슷한 통제 체계를 갖춘 조직입니다.
이와 관련해 정책에는 비용이 들지 않는 세 가지가 필요합니다. 자체적으로 정한 금액 기준을 넘는 송금에는 2인의 승인을 받습니다. 송금 지시사항이 변경되면 별도 경로로 확인합니다. 즉, 이메일에 적힌 번호가 아니라 기존에 알고 있던 번호로 전화합니다. 그리고 긴급하다는 이유로 어느 절차도 생략할 수 없다는 규칙을 명문화합니다.
세 번째 규칙이 나머지 두 가지보다 중요합니다. 긴급함을 조성하는 것이 공격의 핵심이기 때문입니다.
사이버 보안 및 데이터. 조직 규모에 맞게 정합니다. 직원 11명의 펀드에 은행 수준의 정보보안 정책은 필요하지 않습니다. 그런 정책을 작성하면 아무도 지키지 않는 문서만 생깁니다. 모든 시스템에 MFA를 적용하고, 엔드포인트 보호와 비밀번호 관리 도구를 사용하며, 펀드 데이터의 저장 위치와 접근 권한을 명시하면 됩니다.
가치평가. 누가 어떤 근거로 보유 자산을 평가하고, 누가 평가 결과를 검토하는지 정합니다. 초기 단계 기업에 투자하며 직전 투자 라운드의 가치를 유지하고 있다면, 그럴듯하게 포장하지 말고 그대로 적습니다.
이해상충. 개인 투자, 이사회 직책, 펀드와 공동투자기구 사이의 투자 배분을 다룹니다. 작성하기는 번거롭지만 LP가 한 줄씩 살펴볼 부분입니다.
중요 미공개 정보. 팀원이 이사회에 참여한다면 내부 정보를 접하게 됩니다. 그 정보를 어떻게 처리하는지 명시합니다.
템플릿이 완전히 빠뜨리는 외부 리스크 부분 작성
이제 실제 리스크의 대부분을 설명하지만 표준 문서에는 전혀 등장하지 않는 부분입니다.
외부 리스크 노출의 각 범주마다 정책에 네 가지를 명시해야 합니다. 무엇을 살펴보는지, 얼마나 자주 살펴보는지, 누가 조치하는지, 어떤 경우에 상위 책임자에게 보고하는지입니다.
두 번째 항목은 분명히 짚고 넘어가겠습니다. 대부분의 문서가 여기서 제 역할을 하지 못하기 때문입니다.
제가 읽은 거의 모든 펀드 리스크 정책에는 “포트폴리오 기업에 대한 지속 모니터링” 같은 표현이 들어 있습니다. 실제 의미는 “무슨 일이 생기면 살펴보겠다”입니다. 회의실에 있는 모두가 알지만 아무도 입 밖에 내지 않습니다.
정책에서 분기별 검토를 약속한다면, 평균 약 45일, 최악의 경우 90일의 탐지 지연을 감수하겠다는 뜻입니다. 분기 둘째 주에 내려진 제재 지정이 11주 동안 확인되지 않은 채 남습니다.
전략과 포트폴리오에 따라 충분히 수용 가능한 리스크일 수 있습니다. 다만 우연히 그렇게 되어서는 안 되며, 의도적으로 결정해야 합니다. 그 기간을 숫자로 적으세요. “지속적”이라고 쓰고 실제로는 “가끔”을 뜻하는 정책은 누군가 이행 사실을 입증하라고 요구하기 전까지는 훌륭해 보입니다.
최소한 다음 범주는 다룰 필요가 있습니다.
제재 및 감시 목록. 포트폴리오 기업, 임원, 거래 상대방 또는 관련 관할권에 대한 지정을 확인합니다. OFAC과 이에 상응하는 기관들은 운용사의 검토 일정에 맞춰 발표하지 않고 수시로 발표합니다.
부정적 언론 보도. 소송, 규제 조치, 탐사 보도를 살펴봅니다. 중요한 정보의 상당 부분이 팀에서 읽지 못하는 언어의 지역 언론에 먼저 등장한다는 점을 기억해야 합니다.
기업 등기 변경. 법적 소재지 이전, 이사 변경, 지분 양도, 신규 자회사를 확인합니다. 암호화폐 분야에서는 예외적인 일이 아니라 일상적인 일입니다. 투자금을 송금한 지 8개월 만에 기업의 모습이 실질적으로 달라질 수 있습니다.
창업자 및 임원의 배경. 새로 제기된 소송, 공개하지 않은 직책, 과거 사업이 다시 수면 위로 떠올라 펀드에까지 영향을 주는 사안을 살펴봅니다.
거래 상대방 리스크 노출. 포트폴리오 기업이 의존하는 거래소, 수탁기관, 은행 파트너를 살펴봅니다. 이들의 실패는 펀드의 문제가 되며, 대개 뒤늦게 소식을 접하게 됩니다.
사칭 및 브랜드 공격. 가짜 Telegram 채널, 복제한 소셜 미디어 계정, 사칭 고객지원 창구를 살펴봅니다. 전적으로 거래 종결 후에 발생하므로 어떤 온보딩 절차로도 본질적으로 포착할 수 없습니다. 이제는 충분히 흔해졌으므로 누군가 머릿속에 걱정거리로만 담아 둘 일이 아니라 정책에 포함할 사안입니다.
이처럼 리스크의 한 축 전체가 온보딩 실사에서 구조적으로 보이지 않는 이유는 별도의 글에서 자세히 다뤘습니다. 더 자세한 설명은 해당 글을 참고하세요.
실제로 활용할 수 있는 리스크 수용 성향
대부분의 입문 가이드는 이 개념을 모호하게 만듭니다. 여기서는 명확하게 설명해 보겠습니다.
리스크 수용 성향은 간단히 말해 “우리는 실제로 어떻게 행동할 것인가?”입니다.
창업자가 과거에 규제 조치를 받은 기업에 투자할 것인가? 어떤 조건에서 투자하며, 누가 승인할 것인가?
주요 거래 상대방이 제재 대상이 된 기업의 지분을 계속 보유할 것인가? 얼마나 오래 보유할 것인가? 어떤 경우에 투자를 회수할 것인가?
단일 관할권에 대한 투자 집중도가 어느 정도에 이르면 부담스러운가?
그 상황에 놓이기 전에 답을 적으세요. 이것이 이 항목을 작성하는 이유의 전부입니다. 대부분의 가이드가 이 점을 충분히 명확하게 말하지 않는다고 생각합니다. 이미 자금을 투입했고 창업자와 통화하면서 압박 속에서 내놓는 답은, 아무것도 걸려 있지 않은 화요일에 차분하게 내놓을 답과 다릅니다.
이 문서는 지금보다 더 낙관적이고 훨씬 더 지쳐 있을 미래의 자신에게 제약을 두기 위해 쓰는 것입니다.
상위 보고 및 대응
짧고 구체적으로 작성합니다.
명칭은 자유롭게 정하되 심각도별 등급을 마련합니다. 각 등급에는 “팀”이 아니라 특정 담당 직책을 지정합니다. 등급마다 대응 기한을 정합니다. 그리고 어떤 사안을 투자위원회(IC)나 파트너에게 보고해야 하는지 명확히 적습니다.
여럿에게 보낸 알림은 누구에게도 보내지 않은 알림과 같습니다. 이 문제는 다른 글에서도 다뤘으며, 실무에 꼭 필요한 수준을 넘을 만큼 자세히 설명했습니다.
정책 자체의 검토일 지정
최소 연 1회 검토해야 합니다. 중대한 사고가 발생한 뒤에도, 전략이나 리스크 노출에 중대한 변화가 생긴 뒤에도 검토해야 합니다.
여기에는 분명히 짚어야 할 위험이 있습니다. 한 번 작성하고 다시 검토하지 않는 리스크 정책은 아예 없는 것보다 더 나쁠 수 있습니다. 작동하지 않는 통제 체계가 존재한다는 인상을 문서로 남기기 때문입니다.
나중에 LP나 검사 담당자가 포트폴리오 기업을 어떻게 모니터링하는지 물었다고 가정해 보겠습니다. 정책에는 분기별로 한다고 적혀 있는데 마지막 검토가 14개월 전이라면, 명시한 절차와 실제 절차 사이의 차이를 해명해야 합니다. 이는 정책을 작성한 적이 없는 경우보다 훨씬 곤란한 대화입니다.
따라서 이행할 생각이 없는 일은 약속하지 마세요. 덜 인상적으로 보이더라도 실제로 지킬 약속을 적으세요.
완성된 정책의 모습
분량은 12쪽 안팎입니다. 구체적이고 밋밋합니다. 누구도 즐겁게 읽지는 않겠지만, 그래도 괜찮습니다.
제가 적용할 기준은 이렇습니다. 월요일에 입사한 사람이 이 문서를 열어 보고, 목요일에 포트폴리오 기업에 관한 제재 알림이 발생했을 때 무엇을 해야 할지 알 수 있는가?
그렇다면 제 역할을 하는 문서입니다.
솔직한 답이 “누군가에게 물어볼 것이다”라면, 지금 있는 것은 정책을 갖추고 있다는 사실만 설명하는 문서입니다.
자주 묻는 질문
어떤 문제가 생길 수 있는지, 어디까지 감수할 것인지, 누가 결정하는지, 실제로 문제가 생기면 어떻게 하는지라는 네 가지 질문에 답하는 문서입니다. 표준 체계의 나머지 내용은 모두 이 네 가지를 구체화한 것입니다.
예상보다 많이 달라집니다. 실사 중 LP가 요청해서 작성한 정책은 사고 이후 작성한 정책과 다릅니다. 펀드가 비공식적 판단만으로 운영하기에는 너무 커져서 작성한 정책은 또 다릅니다. 작성 계기를 솔직하게 인정해야 어디에나 적용되는 일반적인 문서에 그치지 않습니다.
템플릿은 내부 리스크인 운영, 재무, 핵심 인력, 사이버 리스크는 잘 다루지만 외부 리스크는 거의 전부 빠뜨립니다. 펀드의 실제 리스크 대부분은 이 외부 영역에 있습니다. 누구에게 투자하는지, 누구와 거래하는지, 송금이 완료된 뒤 그들에게 무슨 일이 생기는지에 관한 리스크입니다.
자금을 투입하기 전에 무엇을 확인하는지, 이후에도 무엇을 계속 확인하는지, 어떤 출처와 대조하는지, 얼마나 자주 하는지, 누가 결과를 검토하는지, 어떤 경우에 상위 책임자에게 보고하는지를 적습니다. 신입 직원이 아무에게도 묻지 않고 따를 수 있을 만큼 명확하게 작성해야 합니다.
무엇을 수용하고 무엇을 수용하지 않는지, 그 경계는 어디인지 실제 행동으로 옮길 수 있는 말로 적습니다. “우리는 중간 수준의 리스크 수용 성향을 갖고 있다”는 모호한 표현입니다. “실소유자가 제재 목록에 있으면 투자하지 않으며, 사기에 관한 부정적 언론 보도는 다음 투자위원회 회의 전에 파트너 그룹에 보고한다”는 정책입니다.
12쪽 안팎으로 구체적이고 밋밋하게 작성합니다. 누구도 즐겁게 읽지는 않겠지만, 그래도 괜찮습니다. 검토는 최소 연 1회, 그리고 중대한 사고가 발생하거나 전략 또는 리스크 노출에 중대한 변화가 생긴 뒤에 해야 합니다. 검토일은 문서 자체에 명시해야 합니다. 그렇지 않으면 정책은 어느새 현실과 동떨어진 이야기가 됩니다.
내부 리스크 부분은 대신 작성할 수 없습니다. 눈에 띄지 않는 작업이지만 직접 해야 하며, 대신할 수 있다고 주장하는 곳은 조금 의심해 볼 필요가 있습니다. 외부 리스크 부분은 정책을 작성한 뒤 도구로 실행할 수 있습니다. 점검과 재점검, 그 근거 기록을 도구가 처리할 수 있습니다.
결론
리스크 정책 작성의 대부분은 눈에 띄지 않는 작업이며, 어떤 공급업체도 대신해 줄 수 없습니다. 대신할 수 있다고 주장하는 곳은 조금 의심해 볼 필요가 있습니다. 내부 리스크 항목은 직접 작성해야 합니다. 리스크 수용 성향에 관한 기준도 직접 정해야 합니다. 판단 역시 전적으로 운용사의 몫입니다.
하지만 문서 전체에서 외부 리스크 부분이 실제로 작동할지, 형식에 그칠지를 결정하는 문구가 하나 있습니다. 바로 점검 주기에 관한 약속입니다. 솔직하게 적을 수 있는 주기가 “분기별”뿐이라면, 그 정책은 1년에 네 번 살펴보는 포트폴리오를 설명하고 있는 것입니다.
Beady가 존재하는 이유는 그 문구를 다르게 쓸 수 있도록 하기 위해서입니다. Beady AI는 포트폴리오 기업, 창업자, 거래 상대방을 대상으로 제재, 부정적 언론 보도, 기업 등기, 사칭 관련 정보를 지속적으로 모니터링하며, 모든 신호를 원래 출처까지 추적할 수 있습니다. 상담을 예약하시면 실제 보유 자산을 대상으로 실행해 드립니다. 이는 지금 작성하려는 정책이 실제로 지킬 수 있는 정책인지 효율적으로 확인하는 방법이기도 합니다.
