펀드 운용책임자(GP)라면 긴장할 만한 수치부터 살펴보겠습니다. 펀드의 포트폴리오 기업에서 환경·사회 관련 사건이 누적되면 후속 펀드 조성 능력이 급격히 떨어집니다. HEC Paris, World Bank, Singapore Management University의 연구에 따르면, 사건 수가 중앙값을 웃도는 운용사 중 약 40%가 후속 펀드를 조성하지 못했습니다. 통상적인 비율인 약 25%와 대비됩니다. 놀라운 점은 타격을 받은 부분입니다. 대체로 유지된 투자 성과가 아니라 자금 모집이었습니다. 수익률이 아니라 평판이 문제였습니다.
이 수치가 어떤 상황에서 나오는지 보겠습니다. 펀드는 수개월에 걸친 실사와 투자위원회 승인을 마치고 투자금을 송금한 뒤 다음 거래로 넘어갑니다. 2년 뒤, 투자한 기업이 뇌물 수사나 사기 혐의로 언론에 등장합니다. 모든 기사에 펀드의 이름이 따라붙습니다. 기존 출자자(LP)는 불안해집니다. 무난할 것으로 여겼던 다음 자금 모집 마감은 두 분기나 밀립니다.
더 뼈아픈 대목이 있습니다. 같은 운용사에서 운영팀은 경비 정산 소프트웨어에 대해 설문지 작성과 연례 재평가까지 포함한 정식 공급업체 리스크 심사를 진행합니다. 반면 펀드가 지분 3분의 1을 보유하고 있고 언론 보도의 중심에 선 기업은 분기별 이사회 보고 자료와 현황 확인 통화로 관리합니다.
실제로 펀드의 존속을 위협할 수 있는 리스크를 사용자 수에 따라 이용료를 내는 도구보다 소홀히 살피는 셈입니다. 이 글에서는 그 격차를 메우는 방법을 다룹니다. 다행히 해법은 특별하지 않습니다. 필요한 관리 체계는 이미 조직의 다른 부문에서 운영하고 있습니다.
포트폴리오 기업도 제3자라는 출발점
제3자 리스크의 정의는 간단합니다. 완전히 통제할 수 없는 상대의 행동으로 인해 피해를 볼 수 있을 때 떠안는 위험입니다. 클라우드 공급업체, 급여 업무 수탁업체, 거래 로펌이 여기에 해당합니다. 이들의 업무를 직접 운영하지는 않지만, 이들의 실패는 결국 자사의 문제가 됩니다. 그래서 이들을 스크리닝하고, 등급을 나누고, 계속 살펴봅니다.
포트폴리오 기업을 떠올리며 이 정의를 다시 읽어 보세요. 펀드는 자본을 투입합니다. 이사회 의석과 일부 정보권을 확보할 수도 있습니다. 하지만 실제 운영에 대한 통제권을 갖는 경우는 거의 없습니다. 소수 지분으로는 분명 그런 권한을 얻을 수 없고, 과반 지분을 갖더라도 리스크를 만드는 일상적인 결정을 직접 내리는 경우는 드뭅니다. 채용은 여전히 창업자가 합니다. 계약을 체결하고, 거래 상대방을 선택하고, 언론과 소통하는 주체도 여전히 경영진입니다. 위험은 펀드가 부담하지만, 운영의 주도권은 다른 사람이 쥐고 있습니다.
이것이야말로 전형적인 제3자 리스크 노출입니다. 이를 간과하는 이유는 “소유에 따른 면제”라는 사고방식에 있습니다. 자본을 투자했다는 이유만으로 다른 외부 상대에게 요구하는 관리 원칙을 적용하지 않아도 된다고 은연중에 믿는 것입니다. 하지만 그렇지 않습니다. 실제로 포트폴리오 리스크는 공급업체 리스크보다 훨씬 위험한 경우가 많습니다. 자본과 평판이 직접 걸려 있기 때문입니다.
이미 갖추고 있는 관리 방법
이 격차가 단순히 안타까운 일을 넘어 답답하게 느껴지는 이유가 있습니다. 바로 이런 유형의 리스크 노출을 관리하는 체계가 이미 존재하고, 충분히 성숙해 있으며, 운용사도 아마 그와 유사한 체계를 운영하고 있기 때문입니다.
제3자 리스크 관리는 새로운 개념이 아닙니다. 은행 규제 기관들은 수년간 이를 제도화해 왔습니다. Federal Reserve, FDIC, OCC가 2023년에 발표한 기관 공동 지침은 제3자 관계의 전체 수명주기에 걸친 건전한 관리 관행을 제시합니다. 그 바탕에는 은행을 넘어 폭넓게 적용할 수 있는 원칙이 있습니다. 관계를 맺기 전에 상대를 평가하고, 위험에 노출되어 있는 동안에는 계속 평가한다는 것입니다.
펀드도 이미 이 중 일부를 자연스럽게 수행합니다. 투자 전 실사 과정은 사실상 매우 높은 기준으로 수행하는 제3자 실사입니다. 또한 투자자의 기대와 EU의 지속가능성 공시 제도 같은 규정에 따라, 대부분의 펀드는 이미 포트폴리오 기업의 ESG 요소를 추적하고 보고합니다. 이를 수행할 역량은 이미 있습니다. 투자자가 보내는 ILPA 실사 설문지에는 운용사가 보유 기업 전반의 리스크를 어떻게 감독하는지 묻는 섹션이 별도로 마련되어 있습니다. 따라서 펀드가 체계적으로 감독할 수 있는지는 애초에 쟁점이 아니었습니다. 문제는 왜 그 감독이 거래 종결과 동시에 멈추는 경우가 많은지, 그리고 계속되더라도 왜 그토록 좁은 범위의 리스크만 다루는지입니다.
거의 일치하는 수명주기
제3자 리스크 관리를 도입하기 편리한 이유는 그 구조가 이미 펀드의 운영 방식과 맞아떨어지기 때문입니다. 수명주기는 명확한 단계로 이어지며, 각 단계에는 투자 활동에서 대응하는 과정이 있습니다.
계획 수립과 리스크 평가는 투자 논리 수립 및 투자 대상 발굴에 해당합니다. 실사와 선정은 투자 전 업무로, 펀드가 특히 잘하는 단계입니다. 계약 체결은 투자 조건 합의서와 주주 간 계약에 해당하며, 이 단계에서 정보권, 점검권, 보고 약정을 정합니다. 지속 모니터링은 거래 종결 후 감독입니다. 관계 종료는 투자 회수에 해당합니다.
두 과정을 나란히 놓으면 취약한 고리가 분명해집니다. 펀드는 실사에 자원을 쏟아붓는 반면, 지속 모니터링은 부차적인 업무로 취급하며 대개 이사회 의석 하나와 분기 보고서로 대신합니다. 제대로 된 제3자 리스크 관리 프로그램에서는 반대입니다. 모니터링이야말로 핵심입니다. 실사는 계약일의 실제 상황을 알려 줍니다. 모니터링은 그 이후 매일의 실제 상황을 알려 줍니다. 관리해야 할 리스크의 대부분은 바로 그 시기에 존재합니다. 계약 당시에는 아직 발생하지 않았기 때문입니다.
수명주기 관점으로 보면 협상력을 활용할 시점도 드러납니다. 펀드가 일반적으로 생각하는 것보다 이른 단계입니다. 나중에 필요한 정보와 모니터링을 확보해야 할 때는 문제가 생긴 뒤가 아니라 투자 조건 합의서를 작성할 때입니다. 실효성 있는 보고권과 감사 접근권을 처음부터 명시하는 것은 제3자 리스크 관리의 일반적인 관행입니다. 이미 투자했고 문제가 발생한 뒤에는 훨씬 어려워집니다.
리스크 목록처럼 나누는 포트폴리오 등급
이 관리 체계에서 그대로 가져올 개념이 하나 더 있습니다. 모든 제3자에게 같은 수준의 검토가 필요한 것은 아닙니다. 모두를 똑같이 취급하면 저위험 관계에 자원을 낭비하면서 고위험 관계에는 필요한 자원을 배정하지 못합니다. 제3자 리스크 관리 프로그램은 중요도에 따라 등급을 나누고, 각 등급에 맞춰 감독 수준을 정하는 방식으로 이 문제를 해결합니다.
포트폴리오에도 같은 접근이 필요합니다. 평판에 문제가 없고 잘 알려진 창업팀이 이끄는 국내 생산성 소프트웨어 시드 단계 기업과, 규제가 느슨한 시장에서 국경을 넘나들며 사업을 하고 창업자가 정치적 주요 인물과 가까운 핀테크 기업은 리스크가 같지 않습니다. 두 기업을 똑같이 취급하면 첫 번째 기업을 과도하게 모니터링하거나, 훨씬 더 위험하게는 두 번째 기업을 충분히 모니터링하지 못하게 됩니다.
실제 리스크 노출을 기준으로 등급을 나누세요. 업종과 규제 강도, 관할권의 법치 수준과 제재 관련 특성, 고객과 거래 상대방의 집중도, 핵심 인력 의존도가 기준입니다. 그런 다음 최상위 위험 등급에는 지속 모니터링을, 나머지에는 부담이 적은 정기 점검을 적용해 모니터링 강도를 맞추세요. 목표는 모든 것을 똑같이 감시하는 것이 아닙니다. 피해를 줄 수 있는 대상을 그 피해 규모에 비례해 살피는 것입니다.
투자금 납입 이후에 나타나는 리스크
지속 모니터링을 도입하면 실제로 무엇을 찾아야 할까요? 투자한 뒤에 나타나기 때문에 실사가 구조적으로 포착할 수 없는 신호입니다.
창업자나 새로 영입한 임원에 대한 부정적 언론 보도, 특정 인물의 제재 대상 또는 정치적 주요 인물 해당 여부 변화, 회사를 당사자로 지목한 새로운 소송, 규제 조치나 조사 등이 해당합니다. 실소유 관계가 조용히 바뀌어 실제로 누구와 사업을 하고 있는지가 달라질 수도 있습니다. 주요 고객이나 공급업체의 문제가 투자한 기업의 매출이나 평판에 영향을 줄 수도 있습니다. 이 중 어느 것도 계약 당시 데이터룸에는 없습니다. 하지만 분기 보고 자료나 기자의 전화를 기다리는 대신 적절한 공개 출처를 살피는 사람이 있다면, 모두 거의 실시간으로 파악할 수 있습니다.
서두에서 언급한 평판의 전이도 이 지점에서 구체적으로 드러납니다. 펀드에 오명을 씌우는 스캔들은 거의 언제나 갑자기 나타나는 것이 아닙니다. 먼저 공시, 지역 언론, 감시 목록, 법원 기록 등 공개된 영역에서 조짐이 쌓입니다. 대개 펀드의 이름이 제목에 오르는 전국적인 보도가 나오기 훨씬 전의 일입니다. 이를 관리하느냐, 갑작스러운 타격을 받느냐의 차이는 그 사이에 누군가 살펴보고 있었는지에 달려 있습니다.
집중 리스크와 제4자 리스크
도입할 만한 개념이 두 가지 더 있습니다. 펀드가 두 개념 모두의 관련 구조를 파악하는 경우는 드물지만, 둘 다 피해를 줄 수 있습니다.
먼저 집중 리스크입니다. 체계적인 제3자 리스크 관리 프로그램은 특정 공급업체 하나에 지나치게 의존하는 상황을 경계합니다. 포트폴리오에서는 서로 연관된 리스크 노출에 해당합니다. 같은 업종이나 같은 국가에 기업들이 몰려 있거나, 동일한 소수의 거래 상대방에 의존해 하나의 충격이 여러 보유 기업에 동시에 영향을 주는 상황입니다. 포트폴리오를 서로 분리된 투자 건의 목록으로만 보고 공동의 리스크 노출 구조로 살펴본 적이 없다면, 그 빈틈을 메울 필요가 있습니다.
다음은 제4자 리스크입니다. 간단히 말하면 제3자의 제3자에게서 오는 리스크입니다. 공급업체의 하도급업체는 제4자에 해당하며, 제대로 된 관리 프로그램은 그 연결까지 추적합니다. 모든 포트폴리오 기업은 저마다 공급업체, 고객, 파트너로 구성된 관계망 위에서 사업을 합니다. 두 단계 떨어진 곳의 제재 대상 거래 상대방이나 보안 침해를 당한 공급업체의 문제도 결국 펀드에 영향을 줄 수 있습니다. 모든 연결 대상을 파악하는 것은 현실적이지 않습니다. 하지만 고위험 등급 기업이 누구에게 의존하는지 아는 것은 펀드 자신의 리스크 노출을 이해하는 데 필요한 부분입니다.
선택 사항이 아닌 펀드 차원의 컴플라이언스 과제
이 모든 것을 운영상 기본 관리 정도로 분류하기는 쉽습니다. 하지만 그렇게 보면 중요성을 과소평가하게 됩니다. 이는 운용사의 사업 기반과 수탁자 책임에 관한 리스크이며, 외부에서도 점점 그렇게 받아들이고 있습니다.
규제 기관들은 책임 사슬의 상위 단계까지 추적할 의지가 있음을 보여 왔습니다. 포트폴리오 기업이 법을 위반할 때마다 감독 기구와 법 집행 기관은 해당 기업에서 멈추지 않고 투자 주체인 운용사까지 책임을 물어 왔습니다. 투자자 역시 보유 기업을 어떻게 감독하는지에 대해 점점 더 날카로운 질문을 던지고 있으며, 이제 실사 설문지에서도 포트폴리오 리스크 관리를 직접적으로 묻습니다. 또한 평판 전이에 관한 연구는 운용사가 이를 고려하든 그렇지 않든 시장은 이미 반영하고 있다는 점을 일깨웁니다. 포트폴리오 내 기업의 몰락으로 생기는 평판 비용은 다음 펀드의 자금 모집 능력에 영향을 미치고, 결국 운용사의 근본적인 수익 구조에도 영향을 줍니다.
포트폴리오에 제3자 관리 원칙을 적용하는 것은 신중함 자체를 위한 일이 아닙니다. 펀드를 실제로 지탱하는 두 가지, 수익률과 평판을 보호하는 일입니다. 또한 투자자나 규제 기관에 지속적으로 살피고 있었다는 사실을 보여 줄 수 있습니다.
제3자 관리 체계의 실제 적용 방법
실제로 제3자 리스크 관리를 포트폴리오에 도입하는 일은 몇 가지 조치로 정리됩니다.
- 투자금 규모나 창업자에 대한 호감이 아니라 실제 리스크 노출을 기준으로 모든 포트폴리오 기업의 등급을 나누세요.
- 등급에 따라 모니터링 주기를 정하고, 고위험 보유 기업에는 지속 모니터링을, 나머지에는 부담이 적은 정기 검토를 적용하세요.
- 아직 협상력이 있는 투자 조건 합의서 작성 단계에서 정보권, 보고권, 감사권을 협상하세요.
- 창업자, 임원, 핵심 거래 상대방의 부정적 언론 보도, 제재, 소송, 규제 조치를 실사 중 한 번만 확인하지 말고 지속적으로 스크리닝하세요.
- 포트폴리오 전반의 집중 리스크와 최고위험 기업의 제4자 리스크 노출 구조를 파악하세요.
- 무엇을 언제 확인했는지 출처와 연결된 감사 가능한 기록을 남겨, 투자자의 검토나 규제 기관의 질문에 대응할 수 있도록 하세요.
- 상위 보고 및 대응 경로를 정하고, 리스크 수준에 따라 더 엄중한 논의나 조기 투자 회수를 시작할 조건을 명확히 하세요.
이 관리 체계를 도입한다고 해서 투자회사가 경직된 컴플라이언스 관료 조직으로 바뀌는 것은 아닙니다. 실제 리스크 노출에 맞춰 검토 수준을 조정하므로 성장을 늦추지 않으면서 손실 위험을 줄일 수 있습니다.
보유 기업에도 적용할 관리 원칙
이미 이런 유형의 리스크 노출을 신중하게 관리하고 있습니다. 포트폴리오에 적용하지 않았을 뿐입니다. 포트폴리오 기업은 지분을 보유하고 있는 제3자입니다. 지분 때문에 그 사실을 보지 못하는 동안에만 소유에 따른 면제가 존재합니다. 그 착각을 걷어 내면 해야 할 일은 분명합니다. 통제할 수 없는 다른 모든 상대에게 적용하는 관리 원칙을, 문제가 생겼을 때 펀드의 이름까지 함께 거론될 기업에도 적용하는 것입니다. 이것이 온보딩을 넘어에서 필요성을 설명한 모델입니다.
이 모델을 실제로 운영하는 것이 Beady의 역할입니다. Beady는 10만 개 이상의 공개 출처에서 기업과 관련 인물을 모니터링합니다. 부정적 언론 보도, 제재 및 PEP 상태 변화, 소송, 규제 조치를 발생 즉시 포착하며, 리스크 노출에 맞춰 관리 자원을 투입하도록 등급별로 모니터링합니다. 모든 신호가 원본 출처와 연결되므로, 수치를 무작정 믿는 대신 확인된 내용을 검증하고 투자자나 규제 기관에 제시할 수 있습니다. 포트폴리오 모니터링은 분기 보고 자료를 확인하는 방식에서 현재 상황을 실시간으로 파악하는 방식으로 바뀝니다.
이러한 감독을 통해 보유 기업에서 무엇을 발견할 수 있을지 확인하고 싶다면 데모를 예약하세요. 실제 보유 기업을 대상으로 실행해 드리겠습니다.
