위험관리
"오늘의AI위키"의 AI를 통해 더욱 풍부하고 폭넓은 지식 경험을 누리세요.
1. 개요
위험 관리는 목표 달성에 부정적인 영향을 미칠 수 있는 사건의 발생 가능성을 줄이기 위한 일련의 과정이다. 1920년대부터 과학 및 경영 분야에서 연구되었으며, ISO 31000 규격을 중심으로 다양한 표준이 존재한다. 위험 관리는 가치 창출, 조직 프로세스 통합, 의사 결정 지원 등을 포함하는 원칙을 따르며, 위험 식별, 분석, 평가, 대응, 모니터링 및 검토, 기록 작성 및 보고의 단계를 거쳐 진행된다. 금융, 의료 기기, IT, 프로젝트 관리 등 다양한 분야에서 적용되며, 자연재해 및 공급망 관리에도 중요한 역할을 한다.
위험 관리는 불확실성 속에서 목표 달성을 위협하는 요인을 관리하는 과정이다. 금융 기관은 시장 위험, 신용 위험, 운영 위험 등 다양한 위험에 직면하며, 이를 최소화하기 위해 위험 관리를 수행한다.[10] [64][65]
위험 관리는 1920년대부터 학문적으로 연구되기 시작했다.[11] 1950년대에는 "위험 관리"라는 제목의 논문과 서적이 도서관 검색에서 나타나면서 공식적인 과학으로 발전하였다.[12] 초기 연구는 대부분 금융 및 보험과 관련되어 있었다.[13][14]
2. 위험 관리의 정의 및 기본 원칙
위험 관리는 1920년대부터 과학 및 경영 문헌에 등장하기 시작했으며,[11] 1950년대에는 "위험 관리"라는 용어가 널리 사용되면서 공식적인 과학 분야로 자리 잡았다.[12] 초기 연구는 주로 금융 및 보험 분야에 집중되었다.[13][14] 위험 관리 용어의 표준은 ''ISO 가이드 31073:2022''에서 확인할 수 있다.[4]
이상적인 위험 관리는 우선순위에 따라 가장 큰 손실과 높은 발생 확률을 가진 위험부터 처리한다.[15] 그러나 실제로는 위험 평가가 복잡하여, 발생 확률과 손실 크기 사이에서 자원 배분의 균형을 맞추는 것이 중요하다.
위험 관리는 광범위한 분야와 관련되며, 분야별로 내용, 정의, 목적이 다를 수 있다. 다음은 위험 관리 관련 규격을 만든 기관의 예시이다.기관 ISO/JIS/IEC 프로젝트 관리 협회(PMI) 미국 국립 표준 기술 연구소(NIST) 보험계리사 협회
기관마다 용어의 의미가 다를 수 있으므로 주의해야 한다.
최근 경영 환경에서 리스크 매니지먼트의 중요성이 커지면서 "컴플라이언스에서 리스크 매니지먼트의 시대"라는 말도 나온다. 이는 2006년 회사법 시행으로 인한 손실 위험 관리 체제 정비 필요성과 2008년 일본판 SOX법 시행으로 인한 재무 분야 리스크 관리 체제 정비 요구 등의 요인 때문이다.
과거에는 기업들이 의사 결정 과정에서 암묵적으로 리스크 매니지먼트를 수행했지만, 최근에는 리스크 매니지먼트에 대한 의식이 높아져 명시적으로 수행하는 추세다. 민간 기업에서는 환경, 부정 등 특정 분야에 특화된 리스크 매니지먼트를 도입하거나 전문 부서를 신설하기도 한다.
금융 분야 등에서는 보험계리사회 규격 용어를 사용하기도 하며, 이는 ISO 규격과 차이가 있어 별도 항목으로 다룬다.
2. 1. 위험의 정의
위험은 어떤 사건이 발생하여 목표 달성에 부정적인 영향을 미칠 가능성으로 정의된다. 따라서 불확실성은 위험의 핵심 측면이다.[10] 현대 위험 관리 이론은 긍정적 및 부정적 유형의 모든 외부 사건을 다룬다. 긍정적 위험은 ''기회''라고 불린다.[16] 기회는 위험과 마찬가지로 활용, 공유, 강화, 무시와 같은 구체적인 완화 전략을 가지고 있다. 그러나 실제로는 위험을 "대개 부정적"으로 간주하며, 위험 관련 연구 및 실무는 기회보다 위협에 훨씬 더 집중하는 경향이 있다. 이는 목표 고착과 같은 부정적인 현상으로 이어질 수 있다.[17]
브누아 망델브로는 "온순한" 위험과 "거친" 위험을 구분하고, 위험 평가 및 관리는 이 두 가지 유형의 위험에 대해 근본적으로 달라야 한다고 주장했다.[19] 온순한 위험은 정규 분포 또는 거의 정규적인 확률 분포를 따르며, 평균 회귀 및 대수의 법칙을 따르므로 상대적으로 예측 가능하다. 반면, 거친 위험은 꼬리가 두꺼운 분포, 예를 들어 파레토 분포 또는 멱함수 분포를 따르며, 꼬리 회귀(무한 평균 또는 분산으로 인해 대수의 법칙이 무효화되거나 비효율적임)를 따르므로 예측하기 어렵거나 불가능하다. 일반적인 위험 관리 오류는 위험의 거친 정도를 과소평가하여, 실제로는 거친 위험임에도 불구하고 온순한 위험으로 가정하는 것이다. 망델브로는 이러한 오류를 피해야 위험 평가 및 관리의 유효성과 신뢰성을 확보할 수 있다고 강조했다.
2. 2. 위험 관리의 기본 원칙 (ISO 31000)
국제 표준화 기구(ISO)는 위험 관리가 다음 원칙을 따라야 한다고 제시한다.[5]3. 위험 관리의 역사와 발전
최근에는 경영상 리스크 매니지먼트(Risk Management)가 중요해지면서, "컴플라이언스에서 리스크 매니지먼트의 시대"라고도 불린다. 이는 2006년 회사법 시행으로 주식회사에서 "손실 위험 관리에 관한 체제"를 정비할 필요가 생긴 것과, 2008년부터 일본판 SOX법이 시행되어 재무 분야에서 리스크 관리 체제 정비가 요구되는 등 사회적 요인에 의해 뒷받침된다.
이러한 사회적 요구에 따라, 많은 기업에서 리스크 매니지먼트를 명시적으로 수행하게 되었다. 민간 기업에서는 환경 리스크나 부정 리스크 등 다양한 리스크 요인에 특화된 리스크 매니지먼트를 도입하고, 전문 부서를 설치하는 경우도 늘어나고 있다.
3. 1. 한국의 위험 관리 발전 과정
1995년 일본에서 발생한 한신·아와지 대지진을 계기로, 1996년 8월에 위기 관리 시스템 표준 정보(기술 보고서) TRZ0001-1996(1998년에 TRQ0001로 개정)이 공표되었고,[66] 이를 바탕으로 2001년 리스크 매니지먼트 시스템 구축 지침(JIS Q 2001:2001)이 제정되었다.[67] 이 규격은 세계 최초의 리스크 매니지먼트 규격으로, 위기 관리(크라이시스 매니지먼트)와 리스크 관리를 모두 포함했다.[68] 2009년 일본, 호주, 뉴질랜드 주도로 ISO 31000:2009가 개발되었고, 2010년 JIS Q 31000:2010(ISO 31000 번역)이 제정되었다. JIS Q 2001은 폐지되었지만, 위기 관리 부분은 JIS Q 31000 부속서 JB(참고) 비상시 대응 사전 대비로 계승되었다. 2018년 ISO 31000:2018(JIS Q 31000:2019)로 개정되었다. 리스크 평가 기법은 IEC/ISO 31010:2009(JIS Q 31010:2012)가 규정하고 있다.
4. 위험 관리 프로세스 (ISO 31000)
ISO 31000 표준에 따른 위험 관리 프로세스는 다음과 같은 단계로 구성된다.[5]
| 소통 및 협의 | 적용 범위, 상황 및 기준 | 위험 평가 | 위험 대응 | 기록 작성 및 보고 |
|---|---|---|---|---|
| colspan="2" | | (위험 식별) | |||
| colspan="2" | | (위험 분석) | |||
| colspan="2" | | (위험 평가) | |||
| colspan="4"| |
각 단계는 상위 섹션에서 간략하게 설명되어 있으며, 하위 섹션에서 자세하게 다룬다.
4. 1. 소통 및 협의
위험 관리 과정에서 모든 관계자가 위험, 결정의 근거 및 행동 이유를 이해하도록 해야 한다.[20] 여기서 협의는 피드백 및 정보 획득을 포함한다.[20]4. 2. 적용 범위, 상황 및 기준 설정
위험 관리 활동의 범위를 정하고, 외부 및 내부 상황을 파악하며, 위험 기준을 결정한다.[1]여기에는 다음과 같은 사항이 포함된다.[1]
- 위험 관리의 사회적 범위
- 이해 관계자의 정체성 및 목표
- 위험 평가 기준, 제약 조건
- 활동 프레임워크 정의 및 식별 의제 설정
- 프로세스에 관련된 위험 분석 개발
- 사용 가능한 기술, 인적 및 조직 자원을 활용한 위험 완화 또는 해결
리스크 매니지먼트 작업을 효율적으로 진행하기 위해 적용 범위, 상황 및 기준 파악 등을 수행하며, 간단히 말하면 다음과 같다.[1]
- 적용 범위 결정 - 리스크 매니지먼트 활동의 적용 범위를 정한다.
- 외부 및 내부 상황 파악
- 리스크 기준 결정
4. 3. 위험 평가
위험 평가는 식별된 위험의 잠재적인 심각성과 발생 가능성을 평가하여, 위험 관리 계획의 우선순위를 정하는 과정이다. ISO 31000에 따르면, 위험 관리는 위험 평가를 포함한 여러 단계로 구성된다.[5]위험 평가는 일반적으로 다음 세 단계로 구성된다.[18]
# 위험 식별
# 위험 분석
# 위험 평가
각 단계는 하위 섹션에서 자세히 설명한다.
단기적인 긍정적 개선 조치가 장기적인 부정적 영향을 미칠 수 있다는 점에 유의해야 한다. 예를 들어, 유료 도로를 확장하여 교통량을 늘리면, 주변 지역의 개발을 유도하고 결국 더 많은 교통량을 유발하여 다시 도로를 확장해야 하는 상황이 반복될 수 있다. 이러한 성장은 예측 및 관리가 없으면 지속 불가능해질 수 있다.
위험 평가의 어려움 중 하나는 발생률을 결정하는 것인데, 특히 발생 빈도가 낮은 대규모 재앙 사건의 경우 과거 통계 정보가 부족하기 때문이다. 또한 무형 자산의 경우 결과의 심각성을 평가하기 어렵다. 그럼에도 불구하고 위험 평가는 조직의 최고 경영진이 주요 위험을 이해하고 위험 관리 결정을 우선시할 수 있도록 정보를 제공해야 한다.
일반적으로 "발생률(또는 확률)에 사건의 영향을 곱한 것이 위험 규모와 같다"는 공식이 위험 정량화를 위해 널리 사용된다.
1995년 한신·아와지 대지진의 교훈을 바탕으로, 일본에서는 위기 관리 시스템에 대한 표준 정보(기술 보고서)가 공표되었고,[66] 이를 기초로 리스크 매니지먼트 시스템 구축 지침이 제정되었다.[67] 이후 일본, 호주, 뉴질랜드 주도로 ISO 31000이 개발되었고, 2018년에 개정되었다.
4. 3. 1. 위험 식별
목표 달성을 저해할 수 있는 잠재적 위험 요인을 찾아내는 과정이다. 목표 기반, 시나리오 기반, 분류 기반 등 다양한 방법론이 활용된다.[18]4. 3. 2. 위험 분석
위험 분석은 식별된 위험이 얼마나 자주 발생하는지(1~5)와 한 번 발생했을 때 얼마나 위험한지(A~E)를 평가하여 오른쪽 표에 기록하는 방식으로 이루어진다. 이 위험이 초록색 영역에 해당하면 추가적인 위험 관리가 필요 없지만, 노란색/붉은색 영역에 해당하면 위험을 초록색 범위로 낮추기 위한 조치가 필요하다.
위험 분석 방법은 대부분 다음 순서로 수행된다.[18]
# 위협 식별
# 특정 위협에 대한 중요 자산의 취약성 평가
# 위험 결정 (특정 자산에 대한 특정 공격의 예상 가능성과 결과)
# 위험 감소 방법 식별
# 위험 감소 조치 우선순위 결정
브누아 망델브로는 "온순한" 위험과 "거친" 위험을 구분하고, 위험 평가 및 관리는 이 두 가지 유형의 위험에 대해 근본적으로 달라야 한다고 주장했다.[19] 온순한 위험은 정규 분포 또는 거의 정규적인 확률 분포를 따르며, 평균 회귀 및 대수의 법칙을 따르므로 상대적으로 예측 가능하다. 반면, 거친 위험은 꼬리가 두꺼운 분포(예: 파레토 분포 또는 멱함수 분포)를 따르며, 꼬리 회귀(무한 평균 또는 분산으로 인해 대수의 법칙이 무효화되거나 비효율적임)를 따르므로 예측하기 어렵거나 불가능하다. 일반적인 위험 평가 및 관리의 오류는 위험의 거친 정도를 과소평가하여, 실제로는 거친 위험임에도 불구하고 온순한 위험으로 가정하는 것이다.
위험 평가는 잠재적인 심각성(일반적으로 피해 또는 손실)과 발생 확률을 평가해야 한다. 이러한 수량은 손실된 건물의 가치와 같이 측정하기 쉬울 수도 있지만, 발생 확률을 알 수 없는 발생 가능성이 낮은 사건의 경우 확실히 알 수 없을 수도 있다. 따라서 평가 과정에서 위험 관리 계획의 적절한 구현 우선 순위를 정하기 위해 최선의 판단을 내리는 것이 중요하다.
위험 평가의 근본적인 어려움은 발생률을 결정하는 것인데, 모든 종류의 과거 사건에 대한 통계 정보가 없으며, 특히 발생 빈도가 낮기 때문에 대규모 재앙 사건의 경우 정보가 부족하기 때문이다. 또한 결과(영향)의 심각성을 평가하는 것은 무형 자산의 경우 종종 매우 어렵다. 그럼에도 불구하고 위험 평가는 조직의 최고 경영진이 주요 위험을 쉽게 이해하고 전반적인 회사 목표 내에서 위험 관리 결정을 우선시할 수 있도록 정보를 제공해야 한다. 위험을 정량화하려는 시도 중 가장 널리 받아들여지는 공식은 "발생률(또는 확률)에 사건의 영향을 곱한 것이 위험 규모와 같다"이다.
1995년 일본에서 발생한 한신·아와지 대지진의 교훈을 바탕으로, 1996년 8월에 표준 정보(기술 보고서) 위기 관리 시스템(TRZ0001-1996, 1998년에 TRQ0001로 개정)이 공표되었고,[66] 이를 기초로 2001년에 리스크 매니지먼트 시스템 구축을 위한 지침(JIS Q 2001:2001)이 제정되었다.[67] 해당 규격은 세계 최초의 리스크 매니지먼트 규격으로서, 위기 관리(크라이시스 매니지먼트)와 리스크 관리(리스크 매니지먼트)를 포괄했다.[68] 2009년에 일본, 호주 및 뉴질랜드 주도로 리스크 매니지먼트에 주안점을 둔 ISO 31000:2009가 개발되었고, 2010년에 ISO 31000을 번역한 JIS Q 31000:2010이 제정되었다. JIS Q 2001은 폐지되었지만, 위기 관리 부분은 JIS Q 31000 부속서 JB(참고) 비상시 대응에 대한 사전 대비로 계승되었다. 2018년에는 ISO 31000:2018(JIS Q 31000:2019)으로 개정되었다. 리스크 매니지먼트 프로세스 중 리스크 평가에 사용되는 기법에 대해 IEC/ISO 31010:2009(JIS Q 31010:2012)가 정해져 있다.
4. 3. 3. 위험 평가
위험 평가는 식별된 위험의 잠재적 심각성(피해 또는 손실과 같은 부정적인 영향)과 발생 확률을 평가하는 과정이다. 이러한 수량은 손실된 건물의 가치와 같이 측정하기 쉬울 수도 있지만, 발생 확률을 알 수 없는 사건의 경우 확실히 알 수 없는 경우도 있다. 따라서 평가 과정에서 최선의 판단을 내리는 것이 중요하다.[18]
위험은 얼마나 자주 발생하는지(1~5)와 한 번 발생할 때 얼마나 위험한지(A~E)에 따라 나누어 평가한다. 오른쪽 표에서 위험이 초록색 영역에 해당하면 더 이상 위험 관리할 필요가 없고, 노란색/붉은색 영역에 해당하면 위험 관리를 통해 초록색 범위로 위험도를 낮추도록 조치를 취해야 한다.
단기적인 긍정적 개선 조치가 장기적인 부정적 영향을 미칠 수 있다. 예를 들어, 더 많은 교통량을 허용하기 위해 고속도로를 확장하면, 주변 지역의 개발이 증가하고, 시간이 지남에 따라 교통량이 다시 증가하여 결국 고속도로를 다시 확장해야 하는 상황이 반복될 수 있다. 이처럼 확장은 비용이 들기 때문에 예측 및 관리가 없으면 지속 불가능해질 수 있다.
위험 평가의 근본적인 어려움은 발생률을 결정하는 것이다. 특히 발생 빈도가 낮은 대규모 재앙 사건의 경우 과거 통계 정보가 부족하기 때문이다. 또한 결과(영향)의 심각성을 평가하는 것은 무형 자산의 경우 매우 어렵다. 그럼에도 불구하고 위험 평가는 조직의 최고 경영진이 주요 위험을 쉽게 이해하고 위험 관리 결정을 우선시할 수 있도록 정보를 제공해야 한다.
일반적으로 "발생률(또는 확률)에 사건의 영향을 곱한 것이 위험 규모와 같다"는 공식이 위험 정량화를 위해 널리 사용된다.
1995년 한신·아와지 대지진의 교훈을 바탕으로, 1996년 8월에 표준 정보(기술 보고서) 위기 관리 시스템(TRZ0001-1996, 1998년에 TRQ0001로 개정)이 공표되었다.[66]
4. 4. 위험 대응
위험 대응은 위험 평가 결과를 바탕으로 적절한 대응 방안을 선택하고 실행하는 과정이다.[18] 위험 관리 기법은 크게 네 가지로 분류할 수 있다.[27]- 회피: 위험을 유발하는 활동을 중단하거나 시작하지 않는 것이다.
- 감소: 위험 발생 가능성이나 영향을 줄이는 조치를 취하는 것이다.
- 공유: 위험을 제3자(예: 보험 회사)와 함께 부담하거나, 이익을 나누는 것이다.
- 보유: 위험을 감수하고, 필요한 경우 예산을 확보하여 대비하는 것이다.
이러한 방법들은 상황에 따라 장단점이 있으며, 때로는 서로 상충될 수 있다. 따라서 조직이나 개인은 자신의 상황과 목표에 맞게 최적의 위험 관리 방법을 선택해야 한다. 예를 들어, 미국 국방부에서는 ACAT(Avoid, Control, Accept, Transfer)라는 용어를 사용하기도 한다.[27]
위험 대응은 위험 관리 프로세스 중 하나로, 위험이 식별되고 평가된 후에 수행된다. ISO 31000에 따르면, 위험 관리 프로세스는 다음과 같다.[69]
| 소통 및 협의 | 적용 범위, 상황 및 기준 | 모니터링 및 검토 |
|---|---|---|
| 위험 평가 | 위험 식별 | |
| 위험 분석 | ||
| 위험 평가 | ||
| 위험 대응 | ||
| 기록 작성 및 보고 | ||
4. 4. 1. 위험 대응 전략 (ISO 31000)
국제 표준화 기구(ISO) 31000에서는 위험에 대응하기 위해 다음과 같은 전략들을 제시한다.[27]- '''위험 회피''': 위험을 발생시키는 활동을 아예 시작하지 않거나 중단하는 것이다. 예를 들어, 법적 책임을 피하기 위해 특정 사업을 포기하거나, 항공기 납치 위험을 피하기 위해 비행기 탑승을 하지 않는 것이다. 그러나 위험 회피는 그 위험을 감수함으로써 얻을 수 있는 잠재적 이익(예: 사업 수익)을 포기하는 것을 의미하기도 한다.[28]
- '''위험 감수''': 어떤 기회를 얻기 위해 의도적으로 위험을 감수하거나 오히려 증가시키는 것이다. 예를 들어, 신규 사업을 시작하거나, 더 큰 수익을 기대하고 위험성이 높은 사업으로 전환하는 것이다. 물론 안전을 고려해야 하며, 안전을 무시하고 위험을 감수하라는 의미는 아니다.
- '''위험 원천 제거''': 위험의 근본적인 원인을 없애는 것이다. 예를 들어, 사람의 실수(휴먼 에러)로 인한 위험을 줄이기 위해 자동화된 시스템을 도입하는 것이다.
- '''발생 가능성 변경''': 위험이 발생할 확률을 낮추는 것이다. 예를 들어, 지진 발생 가능성이 낮은 지역으로 사업장을 옮기는 것이다.
- '''결과 변경''': 위험이 발생했을 때 그 결과를 바꾸는 것이다. 예를 들어, 화재 위험에 대비해 스프링클러를 설치하면 화재는 발생하지만, 물로 인한 피해가 발생할 수 있다.
- '''위험 공유''': 계약이나 보험 등을 통해 위험을 다른 주체와 나누는 것이다. 예를 들어, 화재 보험에 가입하거나, 업무 일부를 아웃소싱하는 것이다. 하지만 보험 회사가 파산하면 원래 위험은 다시 돌아올 수 있으므로, 엄밀히 말하면 '위험 이전'보다는 '위험 공유'가 더 정확한 표현이다.[30][71]
- '''위험 보유''': 충분한 정보를 바탕으로 한 의사 결정에 따라 위험을 그대로 받아들이는 것이다. 예를 들어, 보험 가입이 불가능하거나 보험료가 너무 비싼 경우, 또는 전쟁이나 천재지변과 같이 보험으로 보장받기 어려운 위험은 스스로 감수해야 한다.[71]
이러한 전략들은 상황에 따라 적절하게 선택되어야 하며, 때로는 서로 상충되는 관계를 가질 수 있다. 예를 들어, 위험을 완전히 회피하면 잠재적 이익도 함께 포기해야 할 수 있다. 따라서 조직이나 개인은 자신의 상황과 목표에 맞게 최적의 위험 관리 전략을 선택해야 한다.
4. 4. 2. 전통적인 위험 대응 전략
전통적으로 위험 관리는 다음 네 가지 주요 전략을 중심으로 이루어졌다.[27]| 전략 | 설명 | 예시 | 비고 |
|---|---|---|---|
| 위험 회피 | 위험을 야기하는 활동을 아예 하지 않음. | 법적 책임 회피를 위해 부동산 구매 포기, 항공기 납치 우려로 비행기 탑승 회피. | 잠재적 이익도 함께 포기하게 됨. |
| 위험 감소 | 손실 발생 가능성 또는 심각성을 줄이는 조치. | 스프링클러 설치로 화재 피해 감소, 할로메탄 소화 시스템 설치 (비용 문제 발생 가능). | 위험을 완전히 제거할 수는 없음. |
| 위험 공유 | 위험으로 인한 손실 부담 또는 이익을 다른 당사자와 나눔. | 보험 가입, 아웃소싱 (위험 관리 능력이 더 높은 업체에 위탁). | 위험 이전이라는 용어가 자주 사용되지만, 실제로는 보험 가입자에게 위험이 남아있음. |
| 위험 보유 | 위험으로 인한 손실 또는 이익을 감수. | 자기 보험, 보험으로 보장되지 않는 위험 (예: 전쟁, 보험 가입이 불가능할 정도로 큰 위험). | 작은 위험이나 보험료가 과도하게 비싼 경우에 적합. |
이러한 전략들은 상충 관계를 가질 수 있어 이상적인 사용이 어려울 수 있다. 예를 들어, 위험 회피는 잠재적 이익을 포기하는 것을 의미하며, 위험 감소는 비용 증가를 초래할 수 있다. 따라서 조직이나 개인은 상황에 맞는 최적의 전략을 선택해야 한다.[27]
4. 5. 모니터링 및 검토
위험 관리 계획은 완벽할 수 없으므로, 실제 경험과 손실 결과를 바탕으로 계획을 변경해야 한다. 이를 통해 직면한 위험을 더 효과적으로 처리할 수 있다.[5]위험 분석 결과 및 관리 계획은 주기적으로 업데이트해야 하는데, 그 이유는 다음과 같다.[5]
- 이전에 선택된 보안 통제가 여전히 적절하고 효과적인지 평가한다.
- 비즈니스 환경의 가능한 위험 수준 변화를 평가한다. 예를 들어, 정보 위험은 빠르게 변화하는 비즈니스 환경의 좋은 예시이다.
위험 관리의 전체 과정에 적용되며, 관리, 감시, 분석하고 기록하며, 피드백이 이루어진다.[69]
4. 6. 기록 작성 및 보고
위험 관리 활동의 결과와 의사 결정 과정을 문서화하고, 이해관계자들에게 보고하는 과정이다.[69] 관련 조직 전체에 대한 개선 활동과 결과 보고를 통해 정보를 공유한다.5. 다양한 분야의 위험 관리
위험 관리는 다양한 분야에 적용된다.
- '''금융 분야:''' 금융 기관은 시장 위험, 신용 위험, 운영 위험 등 다양한 위험에 직면한다.
- '''의료 분야:''' 의료 기기의 경우 ISO 14971 표준에 따라 위험 관리가 이루어지며, 사람에 대한 상해 및 재산이나 환경에 대한 손상과 관련된 위험을 확인, 평가, 완화한다.
- '''IT 분야:''' IT 위험은 정보 기술과 관련된 위험으로, 사이버 보안과 밀접하게 연관되어 있다. ISACA의 ''Risk IT'' 프레임워크는 IT 위험을 전사적 위험 관리와 연결한다.
- '''프로젝트 관리 분야:''' 프로젝트 위험 관리는 프로젝트의 모든 단계에서 수행되며, 특히 메가프로젝트의 경우 재정, 안전, 사회 및 환경적 영향 측면에서 위험 관리가 중요하다.
- '''자연재해 분야:''' 센다이 재해 위험 경감 기본 계획과 같은 국제 협약을 통해 자연재해 위험을 줄이기 위한 노력이 이루어지고 있다.
- '''기타:''' 공급망 위험 관리는 공급망의 연속성을 유지하는 것을 목표로 한다.
5. 1. 금융 기관의 위험 관리
금융 기관은 시장 상황 변화, 채무 불이행, 운영상의 문제 등 다양한 요인으로 인해 손실을 볼 위험에 직면한다. 이러한 위험을 관리하기 위해 금융 기관은 여러 가지 방법을 사용하는데, 그 중 하나가 VaR(Value at Risk)이다. VaR는 특정 기간 동안 발생할 수 있는 최대 손실 금액을 추정한 값이다.[33]은행은 전통적으로 VaR를 사용하여 시장 위험과 신용 위험을 측정하고, 이를 바탕으로 위험을 헤지하거나, 순 포지션에 대한 위험 자본을 보유한다. 바젤 III 프레임워크는 운영 위험을 포함한 병렬 규제 자본 요구 사항을 관리한다. 펀드 매니저는 다양한 전략을 사용하여 펀드 가치를 보호한다.
- 시장 위험 관리: 금리 위험, 가격 위험, 환 위험 등 시장 상황의 변화로 인해 발생하는 위험을 관리한다.
- 신용 위험 관리: 돈을 빌린 사람이 돈을 갚지 못할 위험, 즉 채무자의 채무 불이행으로 인한 손실 위험을 관리한다.
- 운영 위험 관리: 금융기관 내부의 실수나 문제(직원의 실수, 시스템 오류, 사기 등)로 인해 발생하는 위험을 관리한다.
5. 1. 1. 시장 위험 관리
시장 위험은 시장 상황의 변화에 따라 발생하는 계량적 위험으로, 금융자산의 시장 가격 변화에 따른 가치 손실 및 투자수익률 변동에 따른 현재가치의 손실 등을 의미한다. 시장 위험의 변수와 영역으로는 금리 위험, 가격 위험, 환 위험 등이 있다.[33]5. 1. 2. 신용 위험 관리
채무자의 채무 불이행으로 인한 손실 위험을 관리한다.[33] 신용 위험은 대여자의 상환 불능에 따른 원금 및 이자 손실로 인해 금융기관의 현금흐름에 손실을 발생시키거나 채권추심에 따른 비용을 발생시키는 위험 등을 포함한다.5. 1. 3. 운영 위험 관리
운영 위험은 금융기관의 영업활동에서 발생할 수 있는 비계량적인 모든 위험을 의미한다. 여기에는 금융기관의 프로세스, 시스템, 인적자원 및 기타 사건으로 인해 발생하는 직간접적인 위험이 포함된다.[33]5. 2. 의료 기기 위험 관리 (ISO 14971)
의료 기기의 위험 관리는 사람에게 해를 끼치거나 재산 또는 환경에 손상을 입히는 것과 관련된 위험을 식별, 평가 및 완화하는 과정이다. 이는 의료 기기 설계 및 개발, 생산 과정 및 현장 경험 평가의 필수적인 부분이며 모든 유형의 의료 기기에 적용된다. FDA([http://www.fda.gov])나 한국의 식품의약품안전처(MFDS)([http://www.mfds.go.kr])와 같은 대부분의 규제 기관에서 의료기기 적용 증거를 요구한다.의료 기기의 위험 관리는 국제표준화기구(ISO)의 제품 안전 표준인 ISO 14971:2019에 설명되어 있다. 이 표준은 관리 책임, 위험 분석 및 평가, 위험 통제 및 수명 주기 위험 관리에 대한 프로세스 프레임워크와 관련 요구 사항을 제공한다. 표준 적용에 대한 지침은 ISO/TR 24971:2020을 통해 제공된다.
유럽 버전의 위험 관리 표준은 2009년과 2012년에 업데이트되었으며, 2007년 개정된 의료 기기 지침(MDD) 및 능동형 이식 의료 기기 지침(AIMDD)과 체외 의료 기기 지침(IVDD)을 참조한다. EN 14971:2012의 요구 사항은 ISO 14971:2007과 거의 동일하며, 새로운 MDD, AIMDD 및 IVDD를 참조하는 세 개의 "(정보) Z 부록"이 포함되어 있다는 차이점이 있다. 이러한 부록은 "가능한 한" 위험을 줄여야 한다는 요구 사항과 의료 기기의 라벨링이 아닌 설계로 위험을 완화해야 한다는 요구 사항(예: 라벨링은 더 이상 위험을 완화하는 데 사용할 수 없음)을 포함한다.
의료 기기 산업에서 채택한 일반적인 위험 분석 및 평가 기술에는 유해성 분석, 고장 트리 분석(FTA), 고장 모드 및 영향 분석(FMEA), 유해성 및 작동성 연구(HAZOP) 및 위험 추적성 분석 등이 있다. FTA 분석에는 다이어그램 소프트웨어가 필요하며, FMEA 분석은 스프레드시트 프로그램을 사용하여 수행할 수 있다. 통합된 의료 기기 위험 관리 솔루션도 있다.
FDA는 [https://www.fda.gov/medicalDevices/DeviceRegulationandGuidance/GuidanceDocuments/ucm206153.htm 초안 지침]을 통해 의료 기기 안전 보장 분석을 위해 "안전 보장 사례"라는 또 다른 방법을 도입했다. 안전 보장 사례는 과학자와 엔지니어에게 적합한 시스템에 대한 구조화된 논증 추론으로, 주어진 환경에서 주어진 응용 분야에 시스템이 안전하다는 설득력 있고 이해할 수 있으며 유효한 사례를 제공하는 증거 모음으로 지원된다. 이 지침에 따라 안전에 중요한 장치(예: 주입 장치)에 대한 안전 보장 사례는 시판 전 승인 제출의 일부로 예상된다. 2013년에 FDA는 의료 기기 제조업체가 사이버 보안 위험 분석 정보를 제출하도록 요구하는 또 다른 초안 지침을 도입했다.
5. 2. 1. ISO 14971의 주요 내용
의도된 용도 및 오용으로 인해 발생할 수 있는 위해 상황을 파악하고, 관련된 특성을 식별한다.산정된 위험을 바탕으로 위험 감소 필요성을 판단한다.
위험 감소를 위한 여러 가지 방안 중 최적의 대안을 선정한다.
위험 통제 조치 후 잔여 위험을 평가하고, 필요시 추가 조치를 적용한다.
잔여 위험이 허용 불가하고 추가 통제가 불가능한 경우, 의료적 이득과 잔여 위험을 비교 분석한다.
모든 통제 조치 후 전체 잔여 위험의 허용 가능 여부를 결정한다.
위험 관리 프로세스를 검토하고 보고서를 작성한다.
생산 및 생산 후 단계에서 의료 기기 관련 정보를 수집하고 검토하는 시스템을 구축 및 유지한다.