컴플라이언스 리스크가 숨어 있는 데는 두 가지 이유가 있습니다. 아무도 살펴보지 않거나, 살펴봐야 한다는 사실 자체를 모르기 때문입니다.
첫 번째 유형은 번거롭지만 해결할 수 있습니다. 오래된 정책, 접근 권한이 그대로 남는 퇴사자 처리 절차, 누군가 3년 전 개인 카드로 결제했는데 이제는 고객 데이터를 보유하고 있는 서비스 업체가 여기에 해당합니다. 의지만 있다면 스프레드시트와 일주일의 여유 시간으로 모두 찾아낼 수 있습니다. 꾸준히 관리하지 않은 것이 문제이므로, 노력을 기울이면 해결됩니다.
두 번째 유형은 노력만으로 해결되지 않습니다. 노력의 방향이 잘못되어 있기 때문입니다. 아무도 조직 밖을 보고 있지 않습니다.
이 글에서는 두 유형과 함께 리스크를 평가하고 지도로 정리하는 방법을 다룹니다. 먼저 내부 리스크부터 살펴보겠습니다. 이번 달 안에 실제로 해결할 수 있는 영역이기도 하고, 유료 해결책을 소개하려고 무료로 고칠 수 있는 문제를 대충 넘기는 공급업체가 되고 싶지는 않기 때문입니다.
컴플라이언스 리스크의 정의
컴플라이언스 리스크란 조직이 자신에게 적용되는 법률상, 규제상 또는 계약상 의무를 이행하지 못하거나 이행하지 못할 가능성으로 인해 감수하는 위험입니다.
이 문장에서는 세 가지 표현이 핵심입니다.
사람들이 잘못 이해하는 표현은 “조직”입니다. 이 글의 상당 부분은 그 이유를 설명합니다. 조직의 범위는 급여를 지급하는 직원에서 끝나지 않습니다.
“가능성”이 중요한 이유는 문제가 발생하기 전부터 컴플라이언스 리스크가 존재하기 때문입니다. 허점이 실제로 악용되었는지와 관계없이 허점 자체가 리스크입니다. 사고가 한 번도 없었던 기업이라고 해서 컴플라이언스 체계가 제대로 작동한다고 단정할 수는 없습니다. 단지 운이 좋았을 수도 있으며, 외부에서는 이 둘을 구분할 수 없습니다.
“자신에게 적용되는”이 중요한 이유는 대부분의 기업에서 컴플라이언스에 대한 불안의 절반이 실제로는 준수할 필요가 없는 의무를 향하는 반면, 정작 지켜야 할 의무는 방치되기 때문입니다. 어떤 의무가 실제로 적용되는지 파악하는 것이 첫 번째 과제입니다. 그 목록은 대개 예상보다 짧고, 의외의 항목을 담고 있습니다.
비슷한 개념과도 구분할 필요가 있습니다. 법률 리스크는 소송에 노출될 위험입니다. 운영 리스크는 자체 업무 절차가 제대로 작동하지 않을 위험입니다. 평판 리스크는 이 중 어떤 문제든 외부에 알려진 뒤 발생하는 위험입니다. 컴플라이언스 리스크는 이 세 가지와 모두 겹치지만, 어느 것과도 같지는 않습니다.
의무 위반의 실제 비용
컴플라이언스 위반은 의무를 어긴 상태를 뜻합니다. 주목할 질문은 그 뜻보다 비용입니다. 실제 비용은 여러 층으로 쌓이는데, 대부분의 계산은 이를 놓칩니다.
벌금은 눈에 보이는 부분이며, 가장 작은 비용인 경우도 많습니다. 그 아래에는 규제 당국이 요구하는 시정 프로그램이 있습니다. 인력을 투입해 여러 분기에 걸쳐 진행해야 하는 프로젝트입니다. 다음은 제재금 부과 여부와 관계없이 누적되는 법률 비용입니다. 이어서 고객, LP, 공동 투자자, 거래 은행에 대한 공시 및 통지 의무가 따릅니다.
그리고 누구도 제대로 계산하지 않는 비용이 있습니다. 고위 인력이 사업 운영 대신 사고 대응에 3개월을 쓰는 것입니다. 소규모 기업에서는 이것이 가장 큰 비용인 경우가 많지만, 누구의 스프레드시트에도 나타나지 않습니다.
그래서 위협적인 통계만 한 페이지 더 늘어놓는 대신 이를 실제로 계산하는 모델을 만들었습니다. 파트너 회의에서 예산 항목의 타당성을 설명하려면 세부적으로 따져 봐도 설득력을 잃지 않는 수치가 필요하기 때문입니다.
컴플라이언스가 지원 부서만의 문제를 벗어난 이유
지난 몇 년 사이 변화가 생겼습니다. 이 문제에 관심을 가져야 하는 사람이 달라졌다는 점에서 짚고 넘어갈 필요가 있습니다.
과거 컴플라이언스는 분기에 한 번 상부에 보고하고 나면 별다른 간섭 없이 운영되는 비용 부서였습니다. 이제는 대기업과의 계약, 투자 유치, 은행 거래의 성사 여부를 좌우하는 조건이 되었습니다. 겉으로는 지배구조의 변화처럼 보이지만, 실상은 영업 환경의 변화입니다.
작동 방식은 비교적 단순합니다. 대기업 구매자는 이제 계약 전에 보안과 컴플라이언스를 검토합니다. LP는 운영 실사를 특별 요청이 아닌 통상 절차로 확인합니다. 은행은 감독 당국이 자신에게 묻는 질문을 거래 파트너에게 묻습니다. 그 결과 같은 요구가 거래 관계를 따라 내려가, 감독 당국과 직접적인 관계가 없는 기업에까지 전달됩니다.
따라서 컴플라이언스의 허점은 더 이상 언젠가 처벌받을 수도 있는 문제에 그치지 않습니다. 다음 달 거래를 지연시키는 문제가 됩니다. 이런 인식의 변화로 컴플라이언스가 이사회 의제에 올랐습니다. 업무는 더 어려워졌는데도 예산 논의는 더 수월해진 이유이기도 합니다.
발견되지 않는 기간으로 순위를 매긴 주요 컴플라이언스 리스크 10가지
대부분의 “상위 10가지” 목록은 심각도를 기준으로 순위를 매깁니다. 하지만 심각도는 업종과 규모에 따라 전적으로 달라지므로, 그다지 유용하지 않습니다.
더 유용한 기준은 미탐지 기간입니다.
보안팀은 침입자가 네트워크에 들어온 뒤 발견될 때까지 머무는 시간을 설명하기 위해 이 용어를 차용했습니다. 컴플라이언스에도 거의 그대로 적용할 수 있습니다. 심각도 순위만으로는 알 수 없는 것도 보여 줍니다. 리스크의 종류가 아니라, 발견되기 전까지 얼마나 오래 누적되고 커질 수 있는지를 알려 줍니다.
가장 오래 숨어 있는 리스크부터 순서대로 정리했습니다. 앞의 다섯 가지가 위험한 항목이며, 이들 사이에는 공통점이 있습니다.
1. 사칭 및 브랜드 공격
가짜 고객 지원 채널, 복제된 소셜 미디어 계정, 창업자를 사칭하는 프로필이 있습니다. 사칭 프로필은 투자자 소유의 포트폴리오 기업과 거래한다고 믿는 사람들에게 투자를 권유합니다.
이 리스크는 구조적으로 온보딩 단계에서 발견할 수 없습니다. 과장이 아니라 문자 그대로 그렇습니다. 투자를 마무리한 시점에는 제품이 출시되지 않았습니다. 사칭할 대상 자체가 없었습니다. 존재하지 않았으므로 데이터룸에 들어 있을 수도 없었습니다.
기업들은 보통 창업자가 당황해서 전화를 걸어 왔을 때 이 사실을 알게 됩니다. 이미 돈을 잃은 사용자가 올린 스크린샷으로 알게 되는 경우도 있는데, 이는 훨씬 더 나쁜 상황입니다.
2. 창업자 및 임원의 신상·이력 변화
투자 완료 시점에 이들을 스크리닝했습니다. 당시 실제로 문제가 없었으므로 검사 결과도 깨끗했습니다. 그 뒤로는 아무런 스크리닝도 하지 않았습니다.
18개월 뒤, 창업자가 현재 기업을 맡기 전에 운영했던 기업과 관련된 사안으로 창업자 개인을 피고로 지목한 소송이 제기됩니다. 공개된 정보입니다. 법원 제출 서류에 나옵니다. 찾아볼 생각만 했다면 누구나 약 4분 만에 확인할 수 있습니다.
하지만 아무도 찾아볼 생각을 하지 않습니다. 확인은 투자 과정에서 한 번 하는 일이었고, 그 투자는 1년 반 전에 끝났기 때문입니다.
3. 거래 상대방을 통한 제재 노출
투자 대상 기업을 스크리닝했습니다. 좋습니다. 그 기업의 거래 은행도 확인했습니까? 거래소는요? 최대 고객은요? OFAC과 각국의 유사 기관은 제재 대상 지정을 수시로 발표합니다. 주요 거래 상대방이 제재 대상으로 지정되면 해당 기업은 자신이 일으키지도, 인지하지도 못했을 수 있는 컴플라이언스 문제에 놓입니다. 따라서 투자자의 투자 자산도 영향을 받습니다.
보통 계좌가 동결되고 나서야 처음 알게 됩니다. 그때는 이미 리스크 관리가 위기관리로 바뀐 뒤이며, 대응 비용도 훨씬 커집니다.
4. 법인 구조 변경
법인 소재지 이전, 신규 이사 선임, 실사를 거치지 않은 당사자에게 지분 양도, 투자 완료 당시에는 관계없던 관할권에 자회사 설립 등이 있습니다. 암호화폐 업계에서는 예외가 아니라 일상입니다. 투자를 유치한 뒤 BVI나 UAE로 이전하고 지분 구조를 재편하면, 실사했던 기업은 더 이상 당시의 모습으로 존재하지 않습니다. OpenCorporates 같은 기업 등기 정보 서비스에서 모두 확인할 수 있습니다. 누군가 살펴보고 있다는 전제하에서 말입니다.
대개는 아무도 보지 않습니다. 다음 투자 라운드의 실사에서 다른 투자사의 분석가가 이를 찾아내고 왜 파악하지 못했는지 물을 때 드러나는 경우가 많습니다.
5. 규제상 분류 변경
기업은 아무것도 하지 않았습니다. 규칙이 바뀐 것입니다.
토큰이 증권으로 분류됩니다. 작년에는 해당하지 않았던 관할권에서 서비스가 자금 서비스업으로 분류됩니다. 투자금을 송금할 때는 합법이었던 제품이 새로 생긴 인허가 제도의 적용 대상이 됩니다.
본질적으로 어떤 온보딩 절차로도 미리 발견할 수 없습니다. 대개 규제 집행 관련 서신이 도착하거나 은행이 날카로운 질문을 하기 시작할 때 알게 됩니다.
6. 조달 절차 없이 도입된 서비스 업체
개인 카드로 구입한 도구들입니다. 누군가 가입한 AI 전사 서비스가 이제 파트너 회의를 처리하고 있습니다. 일정 관리 도구는 회사 내 모든 캘린더를 읽을 수 있습니다.
존재 자체를 모르는 것은 관리할 수 없습니다. 경비 정산 내역부터 확인하십시오. 눈에 띄는 일은 아니지만 효과가 있습니다.
7. 퇴사자 처리의 허점
퇴사 후에도 남아 있는 접근 권한입니다. 평범한 문제지만 어디에나 있습니다.
누군가 3월에 퇴사했습니다. 이메일은 당일 비활성화했습니다. 하지만 투자 거래 CRM, 공유 드라이브, 포트폴리오 기업과 연결된 Slack 워크스페이스, 2년 전에 설정한 클라우드 콘솔에 대한 접근 권한은 그대로 남았습니다. 당시 필요했던 사람이 각각 따로 권한을 부여했기 때문입니다.
문서화된 체크리스트와 분기별 접근 권한 검토면 됩니다. 한나절을 투자하면 소규모 조직에서 특히 자주 악용되는 허점 중 하나를 막을 수 있습니다.
8. 모든 업무 방식을 혼자만 아는 직원
소규모 기업에는 어디나 이런 사람이 한 명씩 있습니다. 유능하고, 입사한 지 4년이 되었습니다. 그런데 그 사람이 떠나면 컴플라이언스 기능도 함께 사라집니다. 업무에 관한 모든 내용이 그 사람의 머릿속에만 있고 어디에도 적혀 있지 않기 때문입니다.
이를 리스크 관리 대장에 기록하는 사람은 거의 없습니다. 문제로 지적하면 그 사람을 비난하는 것처럼 느껴지기 때문입니다. 그래도 기록하십시오.
9. 한 번 작성한 뒤 다시 열어 보지 않는 정책
2023년에 고객이 요구해서 누군가 잘 정리된 정보보안 정책을 만들었습니다. 그 문서는 폴더에 들어갔습니다. 이후 회사는 클라우드 제공업체와 급여 시스템을 바꿨고, 직원의 절반도 교체되었습니다.
해결에는 비용이 들지 않습니다. 모든 정책에 담당자와 검토 날짜를 지정하고, 그 날짜를 계획서에 적어 두는 데 그치지 말고 캘린더에 등록하면 됩니다.
10. 이수했지만 체득하지 못한 교육
모두 교육 모듈을 마쳤습니다. 이수율은 100%입니다. 그런데도 누군가는 공급업체를 사칭한 계좌로 4만 달러를 송금합니다. 교육이란 오후 4시에 20분 동안 슬라이드를 넘긴 것이 전부였기 때문입니다.
이 문제에 묘책은 없습니다. 솔직히 말하면, 길고 포괄적인 연례 교육보다 짧고 구체적인 교육을 자주 하는 편이 낫습니다. 실제로 회사가 직면할 공격을 주제로 1년에 네 번, 5분씩 교육하십시오.
같은 목록을 지도로 정리한 결과
| 리스크 | 발생 영역 | 통상 발견되지 않는 기간 |
| 1. 사칭 | 외부 | 사용자가 이미 돈을 잃을 때까지 |
| 2. 창업자의 신상·이력 변화 | 외부 | 공개된 뒤 다른 사람이 알려 줄 때까지 |
| 3. 거래 상대방에 대한 제재 | 외부 | 은행이 계좌를 동결할 때까지 |
| 4. 법인 구조 변경 | 외부 | 다음 투자 라운드의 실사 때까지 |
| 5. 규제상 분류 변경 | 외부 | 규제 집행 관련 서신이 도착할 때까지 |
| 6. 관리되지 않는 서비스 업체 | 내부 | 침해 사고가 나거나 갱신 청구서가 올 때까지 |
| 7. 퇴사자 처리의 허점 | 내부 | 전 직원의 접근 권한이 문제로 지적될 때까지 |
| 8. 한 사람에게 의존하는 구조 | 내부 | 그 사람이 퇴사할 때까지 |
| 9. 오래된 정책 | 내부 | 다음 감사 때까지 |
| 10. 체득하지 못한 교육 | 내부 | 누군가 실수할 때까지 |
이 미탐지 기간은 측정값이 아니라 관찰된 양상이며, 실제 경험은 다를 수 있습니다. 하지만 전체적인 구도를 보십시오.
위쪽 절반은 모두 조직 외부에 있습니다. 아래쪽 절반은 모두 조직 내부에 있습니다.
내부 리스크는 결국 문제를 드러내는 계기가 생기므로 몇 주나 몇 달 안에 일상적인 절차를 통해 드러납니다. 감사, 갱신, 실수가 그런 계기입니다. 외부 리스크는 조직 밖의 누군가가 대신 찾아줄 때 드러납니다. 달리 말하면, 스스로 드러나는 것이 아닙니다. 어느 날 문제로 닥쳐옵니다.
조직의 경계는 어디까지인가
기업에는 법인과 조직도가 있습니다. 하지만 어느 것도 리스크에 노출된 전체 범위를 설명하지 못합니다. 이를 기준으로 컴플라이언스 체계를 만들면 내부적으로는 일관되지만 외부는 보지 못하는 체계가 됩니다.
실제로 어떤 문제가 담당자에게 넘어오는지 생각해 보십시오. 포트폴리오 기업의 창업자가 제재 대상으로 지정됩니다. 펀드 사무관리사의 재수탁 처리업체에서 침해 사고가 발생하고, 그 안에는 펀드의 데이터도 있습니다. 포트폴리오 기업이 결제에 사용하는 거래소가 주말 사이 무너지고, 해당 기업보다 Telegram 그룹을 통해 먼저 소식을 듣습니다.
이들 중 누구도 급여를 받는 직원이 아닙니다. 하지만 실질적으로는 모두 컴플라이언스 관리 범위 안에 있습니다.
규제상 입장은 모호하지 않으며, 직접적인 감독 대상이 아니더라도 알아 둘 가치가 있습니다. 지침은 업무를 위탁할 수는 있어도 그 책임까지 위탁할 수는 없다고 명시합니다. 또한 제3자에 대한 지속적인 실사와 감독을 컴플라이언스 관리 체계의 독립적인 구성 요소로 봅니다. 지속적인 고객 실사에 관한 FATF 권고사항에도 같은 원칙이 담겨 있습니다.
대부분의 VC 및 암호화폐 펀드는 해당 감독의 대상이 아닙니다. 이 점은 신중하게 짚어야 합니다. 여기서 과장하기는 쉽지만 정직하지 않기 때문입니다. 다음 분기에 누군가 검사를 하러 오는 것은 아닙니다. 그래도 집행 여부와 관계없이 그 논리는 유효하며, LP도 규제 당국과 같은 질문을 하기 시작했습니다.
컴플라이언스 리스크 평가 방법
일반적인 방법은 네 단계로 이루어져 있지만, 다섯 번째 단계가 빠져 있습니다.
1단계: 실제로 적용되는 의무 목록 작성
그럴듯해 보이는 프레임워크가 아닙니다. 문제가 생겼을 때 관계자들 앞에서 설명해야 할 규칙, 계약, 규제 관련 약속을 정리하십시오. 이 목록은 대개 우려했던 것보다 짧고 예상과도 다릅니다. 적용된다는 사실을 아무도 몰라 방치해 온 의무가 한두 가지 들어 있을 것입니다.
2단계: 업무 절차뿐 아니라 관련 주체의 목록 작성
일반적인 방법론이 건너뛰는 단계이며, 대부분의 평가가 불완전한 이유입니다.
전통적인 리스크 평가는 온보딩, 지급, 데이터 처리, 보고 같은 업무 절차를 목록으로 만듭니다. 리스크가 내부에 있는 기업이라면 적절합니다.
외부 리스크에 노출되어 있다면 관련 주체의 목록도 필요합니다. 모든 포트폴리오 기업, 중요한 모든 거래 상대방, 사무관리사, 수탁기관, 핵심 서비스 업체를 포함하십시오. 문제가 생기면 그 여파가 조직에 미치는 모든 주체입니다.
대부분의 기업은 이런 목록을 만든 적이 없습니다. 목록은 늘 예상보다 길어집니다. 점수를 하나도 매기기 전에, 목록을 만드는 것만으로도 논의가 달라집니다.
3단계: 발생 가능성과 영향도 평가
익숙한 단계입니다. 얼마나 발생하기 쉬운지, 발생하면 얼마나 심각한지를 평가합니다. 3점 척도든 5점 척도든 원하는 기준을 사용하십시오. 사람들이 논쟁하는 것만큼 척도의 선택이 중요하지는 않습니다.
4단계: 아무도 평가하지 않는 탐지 가능성 평가
이 문제를 알게 되기까지 얼마나 걸립니까?
“찾아보면 발견할 수 있는가”가 아닙니다. 현재 실제로 운영 중인 체계를 기준으로, 사건이 발생한 뒤 사내 누군가가 알게 될 때까지 얼마나 걸리는지 묻는 것입니다.
일 단위로 평가하십시오. 솔직해야 합니다. 실제 답이 “창업자가 알려 주면 알게 된다”라면, 그 현실을 반영하는 숫자를 적으십시오.
5단계: 세 가지 기준을 모두 반영한 우선순위 설정
이제 일반적인 프레임워크에서 실제로 빠져 있다고 생각하는 부분을 살펴보겠습니다.
컴플라이언스 리스크 지도 작성법과 모두가 잊는 축
일반적인 리스크 지도는 2×2 매트릭스입니다. 한 축은 발생 가능성, 다른 축은 영향도입니다. 리스크를 표시하고 오른쪽 위에 놓이는 항목에 예산을 배정합니다. ISO 31000과 COSO도 대체로 이 방식에 기반하며, 수십 년 동안 기업 리스크 관리에 충분히 기여해 왔습니다.
하지만 그 안에는 숨은 가정이 있고, 그 가정이 큰 피해를 낳고 있습니다.
리스크가 현실화되면 이를 알게 될 것이라는 가정입니다.
지도를 보면 어디에도 탐지가 없습니다. 발생 가능성은 있습니다. 영향도도 있습니다. 하지만 사건이 발생한 시점과 이를 인지한 시점 사이의 시간은 아예 빠져 있습니다. 마치 그 시간이 0인 것처럼, 리스크가 스스로 발생 사실을 알려 주는 것처럼 취급합니다.
리스크는 스스로 알려 주지 않습니다. 시간은 영향도에 덧붙는 각주가 아니라, 영향도를 배가하는 요소입니다.
발생 가능성과 영향도가 모두 중간 수준인 리스크를 생각해 보십시오. 하루 안에 발견한다면 관리할 수 있습니다. 조기에 개입해 노출 범위를 제한하고, 적은 비용으로 시정할 수 있습니다. 규제 측면에서도 스스로 발견했다는 점이 매우 유리하게 작용합니다.
똑같은 리스크를 14개월 동안 발견하지 못하는 경우를 생각해 보십시오. 노출이 누적됩니다. 적은 비용으로 개입할 기회는 모두 지나갔습니다. 시정 조치는 이제 하나의 프로젝트가 됩니다. 게다가 스스로가 아닌 다른 사람이 발견했습니다. 경위를 설명해야 하는 입장도 훨씬 불리해집니다.
발생 가능성은 같습니다. 명목상 영향도도 같습니다. 하지만 현실은 크게 다릅니다.
계산식
따라서 지도에는 세 번째 차원이 필요하며, 가장 단순하게 표현하면 다음과 같습니다.
실질 위험 노출 = 발생 가능성 × 영향도 × 탐지까지 걸리는 시간.
2×2 매트릭스를 유지하고 점의 크기나 색으로 탐지 가능성을 표시하면 평면에도 나타낼 수 있습니다. 실제로는 점수에 가중치를 적용하는 팀이 대부분이며, 그것으로도 충분합니다. 형식보다 중요한 것은 세 번째 질문을 빠짐없이 묻는 습관입니다.
기존 리스크 지도에 이 조정을 적용하면 불편한 결과가 나옵니다. 중간 등급으로 평가되어 표 한가운데 무해하게 놓여 있던 리스크가 위험한 모서리 쪽으로 급격히 이동합니다. 거의 모두 외부 리스크로 드러납니다. 외부 리스크를 감시하는 체계가 전혀 없기 때문입니다.
이 우선순위의 변화가 바로 지속 모니터링이 필요한 이유입니다. 공급업체의 주장이 아니라 방법론 자체에서 도출되는 결론입니다.
리스크 지도를 작성할 때 거의 모두가 하는 실수
여섯 가지이며, 첫 번째는 치명적입니다.
통제할 수 있는 것만 지도에 담습니다. 자체 절차, 시스템, 직원만 포함하고 조직의 문턱에서 멈춥니다. 그 결과 내부적으로는 엄밀하지만 실제 위험 노출의 약 15%만 설명하는 문서가 만들어집니다.
한 번만 작성합니다. 3월에 만든 뒤 다시 열어 보지 않는 리스크 지도는 사진일 뿐입니다. 그 지도가 묘사하는 세상은 이미 달라졌습니다. 작동하지 않는 통제 장치가 있는 것처럼 문서에 남기 때문에, 지도가 아예 없는 것보다 더 위험한 상태입니다.
발생 가능성과 탐지 가능성을 혼동합니다. “이런 일이 일어난 것을 본 적이 없다”를 “발생할 가능성이 작다”로 오해하는 경우가 많습니다. 때로는 “일어나도 볼 수 없다”는 뜻입니다. 두 상황에서 관찰되는 증거는 같지만 필요한 대응은 정반대입니다.
관계가 아닌 개별 주체 단위로 작성합니다. 포트폴리오 기업은 지도에 담았지만, 그 기업의 은행, 거래소, 최대 고객은 빠뜨립니다. 이들 모두 해당 기업이 일으키지 않은 컴플라이언스 문제에 그 기업을 빠뜨릴 수 있습니다.
각자 자신의 영역을 평가하게 합니다. 사람들은 자신의 담당 영역을 저위험으로 평가합니다. 부정직해서라기보다는 너무 가까이 있기 때문입니다. 해결하려면 해당 업무 밖의 사람이 평가하거나, 적어도 평가 결과를 검토하고 이의를 제기하도록 해야 합니다.
지도를 도구가 아닌 문서로 남겨 둡니다. 무엇을 모니터링하고, 무엇을 상위 책임자에게 보고하며, 어디에 예산을 배정할지 결정하는 데 쓰이지 않는다면 지도가 아닙니다. 다른 누군가를 위해 만든 제출물일 뿐입니다.
조직 유형에 따라 달라지는 리스크 지도
지도의 형태는 업종마다 크게 다릅니다. 범용 템플릿을 내려받는 사람 대부분이 실망하는 이유입니다.
제조업체나 전통적인 기업의 리스크는 압도적으로 내부에 집중되어 있습니다. 공급망, 공장, 직원, 데이터처럼 직접 소유하고 관리하는 대상입니다. 일반적인 프레임워크는 이런 기업을 위해 만들어졌고, 잘 작동합니다.
SaaS 기업도 주로 내부를 살펴보며, 리스크는 데이터 처리와 보안 통제에 집중됩니다. SOC 2, ISO 27001, GDPR이 해당합니다. 보안 컴플라이언스 자동화라는 제품군이 존재하고 빠르게 성장한 이유입니다.
핀테크는 양쪽으로 나뉩니다. 자체 통제는 내부를, 온보딩 시 검증하고 이후 모니터링해야 하는 고객은 외부를 향합니다. 서로 다른 두 체계를 이미 업무가 과중한 한 사람이 운영하는 경우가 많습니다.
규제 대상 기관은 무거운 내부 의무에 더해 공식적인 제3자 감독 요건도 부담합니다. 그래서 대개 GRC 플랫폼을 구입하고 운영 인력을 채용하게 됩니다.
벤처 또는 사모펀드는 구도가 반대입니다. 내부 인원은 11명인데, 직접 통제하지 않는 38개 기업에 2억을 투자합니다. 내부 리스크도 분명 있지만 작습니다. 거의 모든 위험 노출이 외부 주체에 집중되어 있으며, 이 상황을 설명하는 일반적인 프레임워크는 없습니다.
암호화폐 펀드는 이 역전된 구도가 가장 뚜렷하며, 서로 겹치지 않는 두 가지 외부 위험 노출 영역이 있습니다. 하나는 지갑 분석이 다루는 온체인 리스크입니다. 다른 하나는 지갑 분석이 다루지 못하는 오프체인 주체 관련 리스크로, 창업자, 법인 구조, 사칭 등이 해당합니다. 첫 번째 솔루션을 구입하고 두 번째까지 관리된다고 생각하는 펀드는 이 시장에서 가장 흔하면서도 큰 비용을 초래하는 실수를 하고 있습니다. 이 구분이 낯설다면 여기에서 전체 솔루션 유형을 정리한 글을 확인하십시오.
대부분 비용 없이 실천할 수 있는 모범 사례
다섯 가지입니다. 그중 세 가지는 비용이 들지 않습니다. 이런 항목에서는 보통 공급업체가 구매 발주서만이 해결책이라고 설명하기 때문에, 이 점부터 밝힐 필요가 있습니다.
먼저 실제 경계를 그리십시오. 문제가 생기면 그 여파가 조직에 미치는 모든 주체를 나열하십시오. 포트폴리오 기업, 그 기업의 주요 거래 상대방, 사무관리사, 수탁기관, 외주 서비스 업체가 포함됩니다. 비용은 들지 않으며 한나절이면 됩니다.
탐지 지연 시간을 말이 아닌 숫자로 정하십시오. “지속적”이라는 표현 대신 숫자가 필요합니다. 실제로는 분기마다 확인한다면, 신호가 공개된 뒤 사내 누군가가 보기까지 최악의 경우 약 90일이 걸리는 것을 수용한 셈입니다. 그것으로 충분할 수도 있습니다. 다만 물려받은 허점이 아니라 직접 내린 결정이어야 합니다. 또한 누군가의 머릿속이 아닌 리스크 관리 정책에 담겨 있어야 합니다.
담당자가 필요해지기 전에 모든 리스크에 담당자를 지정하십시오. 이름이 붙어 있지 않은 리스크에는 대응도 없습니다. 알림을 받고도 조치하지 않는 가장 흔한 이유가 바로 이것입니다. 도구의 문제가 아니므로 어떤 소프트웨어도 대신 해결해 주지 못합니다. 알림 전달 체계에 관한 자세한 내용은 여기에서 확인하십시오.
감시는 자동화하십시오. 판단은 자동화하지 마십시오. 기계는 하룻밤에 6개 언어로 된 기사 1만 건을 읽고, 관심 대상과 관련된 기사 네 건을 골라낼 수 있습니다. 사람으로 구성된 팀은 그렇게 하지 못합니다. 하지만 기계는 다음에 무엇을 해야 할지 결정할 수 없습니다. 출처가 있는 신호 대신 결론을 주는 시스템은 부담이 됩니다. 검증할 수 없는 결정에 권위 있어 보이는 문서가 붙게 되기 때문입니다. 반드시 원출처 링크를 요구하십시오. 저희에게도 요구하십시오.
그런 다음 구축한 체계를 시험하십시오. 이것이 마지막 항목으로 이어집니다.
1시간 점검
오늘 오후에 현재 수준을 확인할 수 있습니다.
포트폴리오 기업 세 곳을 무작위로 고르십시오. 문제가 있는 기업만 고르지 마십시오. 무작위로 선택하되, 가능하면 전혀 걱정하지 않는 기업도 한 곳 포함하십시오.
각 기업에 대해 네 가지 질문에 답하십시오. 투자를 완료한 뒤 이사가 바뀌었습니까? 관할권이나 법인 구조가 바뀌었습니까? 현재 주요 거래 상대방은 누구이며, 그중 투자 완료 당시에도 거래 상대방이었던 곳이 있습니까? 지금 소셜 미디어에서 이 기업을 사칭하는 사람이 있습니까?
걸리는 시간을 재십시오. 그런 다음 그 시간에 포트폴리오 기업 수를 곱하십시오.
그 결과가 실제로 쓸 수 있는 시간을 초과한다면, 모니터링 절차가 있는 것이 아닙니다. 하려는 의도만 있는 것입니다. 이 둘 사이에는 상당한 차이가 있으며, 대개 가장 나쁜 순간에 그 차이가 드러납니다.
한 가지 더 있습니다. 단 한 기업에 대해서도 창업자에게 이메일을 보내지 않고는 이 네 가지 질문에 답할 수 없다면, 그것이 바로 점검 결과입니다. 나머지 37개 기업까지 확인할 필요는 없습니다.
자주 묻는 질문
해결할 가치가 있는 문제들이지만, 상대적으로 쉬운 절반에 불과합니다. 실제로 비용을 초래하는 리스크는 조직 밖에 있습니다. 창업자의 신상·이력 변화, 거래 상대방의 제재 대상 지정, 기업의 조용한 소재지 이전 등이 해당합니다. 대부분의 기업에는 이런 변화를 감시하는 체계가 전혀 없습니다.
내부 통제 지도는 1년 정도 유효할 수 있습니다. 하지만 38개 포트폴리오 기업을 다루는 지도는 그렇지 않습니다. 그 기업들은 투자자의 일정이 아니라 각자의 일정에 따라 이사, 관할권, 거래 상대방을 바꾸기 때문입니다. 내부 영역은 반기마다 검토하십시오. 외부 영역은 지속적으로 검토하거나, 실제로 검토하고 있지 않다는 점을 인정하십시오.
결론
조직 내부의 리스크는 찾을 수 있습니다. 번거롭지만 찾을 수 있으며, 이 글에서 대략 어디를 봐야 하는지 설명했습니다. 담당자와 기한을 지정하면 대부분은 더 이상 리스크가 되지 않습니다.
조직 외부의 리스크는 더 열심히 살펴본다고 발견되지 않습니다. 애초에 아무도 살펴보고 있지 않기 때문입니다. 이는 꾸준히 관리하지 않아서 생긴 문제가 아니며, 노력만으로는 메울 수 없습니다.
Beady AI는 바로 그 공백을 메우기 위해 존재합니다. 포트폴리오 기업, 창업자, 거래 상대방 등 리스크에 노출된 관련 주체를 제재 목록, 부정적 언론 보도, 기업 등기 정보, 소셜 미디어 사칭 전반에서 지속적으로 모니터링하며, 모든 신호를 원출처에 연결합니다. 상담을 예약하시면 데모용 데이터 대신 실제 보유 투자 자산을 대상으로 실행해 드립니다. 대부분의 펀드는 첫 확인에서 무언가를 발견합니다. 이를 안심할 일로 볼지 그렇지 않을지는 성향에 따라 다를 것입니다.
