맨위로가기

최고 위기 관리자

"오늘의AI위키"는 AI 기술로 일관성 있고 체계적인 최신 지식을 제공하는 혁신 플랫폼입니다.
"오늘의AI위키"의 AI를 통해 더욱 풍부하고 폭넓은 지식 경험을 누리세요.
목차

1. 개요

최고 위기 관리자(CRO)는 회사의 잠재적 위험을 식별, 평가, 관리, 모니터링 및 보고하는 역할을 수행하며, 전사적 위험 관리(ERM) 개념을 이해하는 것이 중요하다. CRO는 새로운 구현과 관련된 위험 기능을 관리하고, 관리 보고를 개선하며, 직원 교육을 담당한다. CRO는 기업의 위험 프로파일을 주요 이해 관계자에게 전달하고, 규제 및 위험 이전 전략을 사용한다. CRO의 역할은 조직의 규제 및 법적 요구 사항 증가에 따라 중요성이 커졌으며, CEO, CFO, 위험 관리자 등과 협력한다. CRO 도입은 체계적인 위험 관리, 수익 변동성 감소 등의 장점이 있지만, 데이터, 분석 시스템, 인적 자원 확보에 많은 투자가 필요하다는 단점도 있다. CRO는 회계, 경제, 내부 감사 등 관련 분야의 경험과 지식을 갖춰야 하며, 2002년 사베인스-옥슬리법(SOX) 준수를 통해 기업의 재무 보고서의 무결성을 강화하는 데 기여한다.

더 읽어볼만한 페이지

  • 기업 임원 - 이사회
    이사회는 주주의 이익을 위해 경영진을 감독하고 주요 의사 결정을 내리는 회사의 핵심 의사 결정 기구이다.
  • 기업 임원 - 최고 제품 책임자
    최고 제품 책임자(CPO)는 기업 내 제품 관련 사항을 총괄하며 제품 전략, 비전, 혁신, 신제품 개발 등을 담당하는 직책이다.
  • 경영직 - 교장
    교장은 학교 교육 활동을 총괄하고 교직원을 감독하며 학교 운영 전반을 책임지는 교육직 공무원의 최고 직위로, 국가와 학교 규모에 따라 역할과 임용 방식, 자격 요건이 다르다.
  • 경영직 - 최고경영자
    최고경영자는 이사회에서 권한을 위임받아 전략 경영, 주요 정책 결정, 조직 운영을 총괄하는 최고 경영 책임자로서, 역할은 조직 구조와 법률에 따라 다르며, 임명과 해임은 이사회의 권한이다.
최고 위기 관리자

2. CRO의 역할과 책임

최고 위기 관리자(CRO)의 역할은 기업 환경의 변화와 함께 계속해서 발전하고 있다. 특히 조직에 대한 규제 및 법적 요구 사항이 증가하면서, CRO는 경영진의 핵심 구성원으로 자리매김하고 있다.[8] 기업 전체의 관점에서 다양한 위험을 식별하고, 조직 내 여러 부서와 협력하여 위험 관리 기능과 업무를 효과적으로 조율하는 것은 기업의 성공적인 운영에 필수적이다.[8] CRO는 기업이 직면한 복잡한 위험 환경 속에서 전략적인 의사결정을 지원하고 지속 가능한 성장을 도모하는 데 중요한 책임을 맡는다.

2. 1. 주요 역할

최고 위기 관리자(CRO)는 이사회에서 비교적 새로운 직책으로 여겨진다. CRO의 기능은 다른 임원들과 밀접하게 연관되어 있으며, 회사의 모든 부서에서 프로세스를 완료하기 전에 잠재적 위험을 제거하기 위해 CRO와 논의해야 한다. 일반적으로 CRO는 조직의 요구를 충족하고 위험을 완화하기 위해 다음과 같은 중요한 업무를 수행한다.

  • 위험관리에 대한 기업의 리더십 강화
  • 위험관리 정책 개발
  • 전사적 위험관리의 프레임워크 구성
  • 위험관리 조직 구성 및 인력 배치


기업 위험 관리 이니셔티브에 따르면, CRO는 이해 관계자에게 최적의 수준을 제공하고 회사의 긍정적인 평판을 유지하기 위해 위험과 재고 결정을 균형 있게 조정해야 한다.[6] CRO의 직무는 매우 상세하며, 모든 CRO는 전사적 위험 관리(ERM) 개념을 이해하는 등 몇 가지 일반적인 업무에 익숙해야 한다.

최고 위기 관리자는 회사의 새로운 사업이나 시스템 구현과 관련된 위험 기능의 모든 측면을 식별, 평가, 측정, 관리, 모니터링하고 보고해야 한다. 이 업무는 회사의 비즈니스 요구 사항을 실제 비즈니스, 보고 및 시스템 사양으로 변환할 때 특히 중요하다. 또한, 새로운 개발과 관련하여 CRO의 지원이 필요하다. CRO는 관리 보고를 개발하고 개선하며, 사내 개발 시스템에 대한 사용자 교육을 제공하는 데 주도적인 역할을 해야 한다. 정책 및 프레임워크 개발 외에도 직원의 교육 및 감독을 담당하며, 새로운 위험 정책 및 절차 개발을 관리하고 보안 프로세스 및 표준을 향상시키기 위해 국내외 논의에 참여하는 것도 중요한 업무이다.[7]

CRO의 역할은 업무 범위가 끊임없이 변화함에 따라 계속 발전하고 있다. 조직에 대한 규제 및 법적 요구 사항이 증가하면서 CRO는 경영진의 가장 중요한 구성원 중 하나가 되었다. 회사 전체의 맥락에서 위험을 파악하고 조직 내 다양한 주체를 통해 여러 위험 관련 기능과 업무를 조율하는 것은 모든 구조 계획의 성공에 필수적이다.[8]

2. 2. CRO와 다른 직책과의 관계

최고 위기 관리자(CRO)는 이사회에서 비교적 새로운 직책으로 여겨진다.[9] CRO의 기능은 다른 임원들과 비교하여 모든 역할과의 관계를 파악할 수 있게 한다. 즉, 회사의 모든 부서에서 프로세스가 완료되려면 잠재적 위험을 제거하기 위해 CRO와 논의해야 한다.[6]

CRO의 책임은 최고경영자(CEO) 또는 최고재무책임자(CFO)가 맡을 수도 있다. 그러나 경영진 가까이에서 위험 완화를 전담하는 독립적인 직책은 회사에 중요한 자산이 될 수 있다. CRO라는 직책이 비교적 새롭기 때문에, CFO나 CEO가 CRO의 역할을 겸하는 경우도 있다. CRO와 관련된 직책으로는 CEO, CFO, 최고 위험 관리 책임자,[10] 위험 관리자, 자본 관리자 등이 있다. 이러한 직책들이 반드시 CRO를 대체하는 것은 아니지만, CRO와 유사한 업무를 수행한다.

3. CRO 도입의 장단점

CRO 도입은 기업의 전사적인 위험 관리 체계를 구축하고 역량을 강화하는 데 중요한 역할을 한다. 이를 통해 영업손실 감소, 수익 안정화, 주주 가치 제고 등 긍정적인 효과를 기대할 수 있으며, 경영의 투명성을 높이고 조직 전체의 위험 관리 인식을 개선하는 데도 기여한다.[1][2] 하지만 위험 관리 시스템 구축과 전문 인력 확보에는 상당한 초기 투자 비용과 노력이 필요하다는 현실적인 어려움도 고려해야 한다.[1][2]

3. 1. 장점


  • 체계적인 위험 관리를 통해 영업손실을 줄일 수 있다.[1][2]
  • 장기적 및 단기적 위험의 허용 한계를 설정하고 관리하여 수익의 변동성을 줄이는 데 기여한다.[1][2]
  • 위험 관리 활동은 궁극적으로 주주의 가치를 극대화하는 것을 목표로 한다.[1][2]
  • 위험 관리에 대한 교육을 통해 조직 구성원 전체의 위험 관리 의식을 높은 수준으로 끌어올릴 수 있다.[1][2]
  • 기업 경영의 안정성을 확보하고 대내외적인 경영 투명성을 강화하는 효과를 가져온다.[1][2]
  • 다른 부서로부터 독립성을 가지며 강화된 위험 관리 조직과 기능을 확립하는 기반이 된다.[1][2]

3. 2. 단점


  • 위험관리 관련 데이터 및 분석 시스템, 그리고 관련 기술 개발에 상당한 투자가 필요하다는 점이 단점으로 꼽힌다.
  • 또한, 위험관리 전문가와 같은 필요한 인적자원을 기업 내부에서 확보하기 어려운 경우가 많다.

4. CRO의 자격 요건 및 배경

최고 위험 관리자(CRO)는 기업 내에서 비교적 새로운 직책에 해당한다.[9] 때로는 CEO나 CFO가 CRO의 역할을 겸하기도 하지만, 경영진 가까이에서 독립적으로 위험 관리를 전담하는 CRO를 두는 것이 기업에게는 중요한 자산이 될 수 있다. CRO와 유사한 직무를 수행하는 직책으로는 최고 위험 관리 책임자,[10] 위험 관리자, 자본 관리자 등이 있다.

CRO에게 요구되는 자질과 자격 요건은 해당 산업 분야와 기업의 특성에 따라 다양하다. 일반적으로 관련 분야에서의 깊이 있는 전문 지식과 풍부한 경험, 그리고 금융 관련 법규 및 규제에 대한 이해가 필수적으로 요구된다. 특히 금융 산업의 경우, 회계, 경제, 내부감사, 위험 관리, 전략기획, 보험계리 등 관련 분야에서의 오랜 경력과 높은 수준의 학력이 요구되는 경우가 많다.[19][20] 과거 중간 관리자나 최고 경영진으로서의 경험 역시 중요한 자격 요건으로 간주되기도 한다.[21]

CRO 직책의 중요성은 기업 환경이 복잡해지고 예측 불가능성이 커지면서 더욱 부각되었다. 특히 2002년 제정된 사베인스-옥슬리법과 같은 기업 투명성 및 책임 강화를 위한 규제 도입과 2008년 세계 금융 위기는 기업들이 위험 관리의 중요성을 인식하고 CRO를 적극적으로 도입하는 결정적인 계기가 되었다. 이처럼 CRO는 조직이 직면할 수 있는 다양한 위험을 식별, 평가, 완화하는 핵심적인 역할을 수행하며, 폭넓은 지식과 경험, 리더십을 갖춘 인재에게 적합한 중요한 직책으로 인식되고 있다.

4. 1. 자격 요건

최고 위기 관리자(CRO)의 자질과 자격 요건은 종사하는 산업과 사업 유형에 따라 달라진다. 예를 들어, 금융 산업에 종사하는 최고 위기 관리자는 일반적으로 대학원 수준의 교육을 받고 회계, 경제, 내부 감사, 위험 관리, 전략 계획 또는 보험 계리 분야에서 최소 10년 이상의 경력을 갖추는 것이 일반적이며, 은행 부문에서의 다년간 경력도 중요하다.[19][20]

금융 관련 규칙 및 규정에 대한 폭넓은 지식이 필요하며, 과거에 중간 관리자나 최고 경영자 직책을 역임한 경험이 요구되기도 한다.[21] 2002년 사베인스-옥슬리법과 같은 정부 규정을 이해해야 하므로, 최고 위기 관리자가 되기 전에 최고 재무 책임자(CFO) 직책을 맡았던 경우도 흔하다. 수학, 금융, 회계 분야의 정량적 배경은 위험 관리 업무로 전환하는 데 도움이 될 수 있다.[22] 기술, 소매, 의료, 금융 등 어떤 산업 분야에서든 최고 위기 관리자의 자질은 대체로 유사하다. 이러한 재무 전문성은 조직이 직면할 수 있는 중요한 위험을 감시하기 위한 보고 절차를 수립하는 데 도움이 된다.

4. 2. 산업 배경

최고 위험 관리자(CRO)는 비교적 최근에 등장한 직책이다.[9] CRO의 책임은 CEO나 CFO가 일부 수행할 수도 있지만, 경영진 가까이에서 독립적으로 위험 관리를 전담하는 CRO를 두는 것이 회사에 더 유리하다. CRO 직책이 생기기 전에는 CEO나 CFO 등이 위험 관리 기능을 함께 수행했다. 최고 위험 관리 책임자,[10] 위험 관리자, 자본 관리자 등도 CRO와 유사한 역할을 한다.

최초의 CRO는 1993년 8월 GE 캐피탈에 임명된 제임스 램으로 알려져 있으며, 그는 전사적 위험 관리(ERM) 모델의 창시자로도 불린다. 램은 CRO로서 신용 위험, 시장 위험, 위험 이전 및 헤지 위험 등을 관리하며 회사의 전반적인 위험을 완화하는 책임을 맡았다. 1995년부터 일부 기업들이 CRO를 고용하기 시작했지만, 당시에는 수요가 많지 않았다.

CRO 직책의 확산에 중요한 계기가 된 것은 2002년 미국에서 제정되어 2004년부터 본격적으로 영향을 미치기 시작한 사베인스-옥슬리법이다. 이 법은 기업의 재무 정보 투명성을 강화하고 경영진의 책임을 무겁게 규정했으며, 이에 따라 기업들은 위험 관리 및 내부 통제의 중요성을 인식하고 CRO를 적극적으로 고용하기 시작했다. 이는 경영진을 보호하는 효과도 가져왔다. 2005년경에는 매출 10억달러 이상의 대기업 대부분이 CRO를 고용하게 되었는데, 이는 어려운 경영 환경 속에서 위험 관리의 중요성이 부각되었기 때문이다.

2008년 세계 금융 위기는 CRO 역할의 중요성을 더욱 부각시키는 계기가 되었다. 금융 위기로 인해 많은 기업이 파산하고 대규모 실직 사태가 발생하면서, 위기 예방 및 관리 전문가인 CRO에 대한 수요가 크게 증가했다. 이후 경제 규제가 강화되고 세계화가 심화되면서 기업이 직면하는 위험이 더욱 복잡해짐에 따라 CRO의 중요성은 계속해서 커지고 있다. 2017년 기준으로 전 세계적으로 1,000명 이상의 CRO가 활동하고 있으며, 주로 금융 서비스, 에너지, 상품 관련 산업에 집중되어 있다. 앞으로 CRO의 중요성은 점점 더 복잡해지는 규제 환경에 대한 대응 능력에 따라 더욱 커질 것으로 예상된다.

CRO에게 요구되는 자질과 자격 요건은 산업 및 사업 유형에 따라 다르다. 예를 들어 금융 산업의 CRO는 일반적으로 회계, 경제, 내부감사, 위험 관리, 전략기획, 보험계리 분야에서 최소 10년 이상의 경력과 대학원 수준의 학력을 갖추고, 은행 부문에서 다년간의 경험을 쌓은 경우가 많다.[19][20] 금융 관련 규정에 대한 깊은 이해와 함께, 중간 관리자나 최고 경영진 경험 역시 중요한 자격 요건으로 간주된다.[21] 사베인스-옥슬리법과 같은 정부 규제를 이해하는 것이 중요하기 때문에, CFO 경력을 가진 사람이 CRO로 전환하는 경우도 흔하다. 수학, 금융, 회계 등 계량적 분석 능력이 뛰어난 배경은 위험 관리 업무에 도움이 된다.[22] 기술, 소매, 의료 등 다른 산업에서도 CRO의 핵심 자질은 유사하며, 재무 전문성을 바탕으로 조직의 주요 위험을 감시하고 보고하는 체계를 구축하는 능력이 요구된다.

위험 관리와 재무 관리를 통합하면 더 나은 재무 성과를 달성하고 전략적 목표를 효과적으로 달성하는 데 도움이 된다. CRO와 CFO가 협력하면 CFO는 새로운 성장 기회 모색에 더 집중할 수 있다. 실제로 복잡한 운영 구조를 가진 금융 기관의 93%가 CRO를 두고 있으며, 많은 기관에서는 최고 준법 감시인 직책도 별도로 운영하고 있다.

자이언스 뱅코퍼레이션의 CEO인 해리스 시몬스는 대형 은행에서 독립적인 위험 관리 기능의 필요성을 강조하면서도, 구체적인 조직 구성 방식은 각 회사의 상황에 맞게 유연하게 결정해야 한다고 언급했다. 금융 위기 전문가인 토마스 스탠튼은 금융 위기 당시 성공과 실패를 가른 요인 중 하나로 '건설적인 대화'를 꼽았다. 즉, 수익 창출을 담당하는 부서와 위험 관리를 담당하는 부서 간의 원활한 소통과 견제가 중요했다는 의미이다.

은행 규제 당국이 오랫동안 은행들에게 전사적 위험 관리(ERM) 도입을 권고해 온 것도 조직 전체의 위험을 총괄하는 CRO의 필요성을 높이는 요인이 되었다. 위험 관리 모델 개발 과정에서도 금융 부서와의 긴밀한 협력이 필수적이다. 위험 모델에 사용되는 데이터는 주로 금융 부서에서 생성되고, 모델 결과는 다시 재무 보고에 영향을 미치므로, 두 기능은 서로 밀접하게 연관되어 있다(세 개의 방어선 참조). 따라서 금융과 위험 관리를 완전히 분리하여 생각하기는 어렵다.[36] 데이터 통합 등을 통해 금융과 위험 관리 플랫폼 간의 연계를 강화하는 추세이다.

5. 전사적 위험 관리(ERM)

최고 위기 관리자(CRO)의 주요 책임 중 하나는 전사적 위험 관리(Enterprise Risk Management, ERM) 체계를 구축하고 운영하는 것이다. ERM은 기업이 직면하는 모든 종류의 위험을 개별적으로 관리하는 대신, 전사적인 관점에서 통합적으로 식별, 평가, 관리, 모니터링하는 포괄적인 프로세스이다.[6] CRO는 이 ERM 프레임워크를 통해 기업의 목표 달성에 영향을 미칠 수 있는 잠재적 위험 요인을 관리하고, 이를 통해 기업 가치를 보호하고 증대시키는 역할을 수행한다.

ERM의 개념은 비교적 새로운 것이지만, 기업 경영 환경의 복잡성이 증가하고 예상치 못한 위기 발생 가능성이 커지면서 그 중요성이 점차 부각되었다. 특히 1993년 제임스 람(James Lam)이 GE 캐피탈에서 최초의 전사적 CRO로 임명되어 ERM 모델을 도입한 이후,[8] 여러 기업에서 ERM 도입을 검토하기 시작했다. 2002년 미국에서 제정된 사베인스-옥슬리법은 기업 재무 정보의 투명성과 경영진의 책임을 강화하면서 CRO 및 ERM 도입의 필요성을 더욱 높이는 계기가 되었다. 또한 2008년 세계 금융 위기는 개별 위험 관리의 한계를 드러내고 통합적인 위험 관리 시스템, 즉 ERM의 중요성을 전 세계적으로 인식시키는 결정적인 사건이었다. 이러한 배경 속에서 CRO의 역할은 단순한 위험 통제를 넘어 기업의 전략적 의사결정을 지원하고 지속 가능한 성장을 도모하는 핵심적인 위치로 발전하게 되었다.[8]

ERM은 단순히 위험을 회피하거나 최소화하는 것을 넘어, 위험을 기업의 전략 및 성과와 연계하여 관리하는 것을 목표로 한다. 이를 위해 CRO는 위험 관리 정책 및 프레임워크를 개발하고, 위험 관리 문화를 조직 전체에 전파하며, 식별된 위험에 대한 대응 전략을 수립하고 실행한다.[7] 효과적인 ERM 시스템은 기업이 잠재적 위협에 선제적으로 대응하고, 예상치 못한 손실을 줄이며, 자원을 효율적으로 배분하여 궁극적으로 기업의 경쟁력을 강화하는 데 기여한다. 위험 관리 노력이 부족하거나 실패할 경우, 위기 발생 후 사후 대응에 급급하게 되지만, ERM은 '위험 챔피언'(Risk Champion)과 같은 역할을 통해 위험 관리 문화를 정착시키고 지속적인 개선을 추구한다. 이 위험 챔피언은 점차 공식적인 고위 경영진 직위인 CRO로 발전하는 경우가 많다. ERM의 구체적인 정의와 이점, 주요 접근 방식 및 프레임워크에 대한 상세 내용은 관련 하위 항목에서 확인할 수 있다.

5. 1. ERM의 정의

전사적 위험 관리(Enterprise Risk Management, ERM)는 기업 내 위험을 관리하는 비교적 새로운 과정이다. ERM의 정확한 정의는 다양하며 아직 업계 표준으로 널리 받아들여지지는 않았지만, 그 중요성에 대한 인식과 수용은 점차 늘어나고 있다. ERM 과정을 설명하고 적용 사례를 소개하며 관련 분야의 발전을 논의하는 세미나가 열리고 있으며,[26] ERM에 관한 논문 역시 학술지와 서적을 통해 발표되기 시작했다. 일부 대학에서는 ERM 및 관련 과정에 대한 강의를 개설하기 시작했다.

여러 기관과 전문가들이 ERM에 대한 정의를 제시하고 있다.

  • COSO: 2004년 COSO는 ERM을 '조직의 이사회, 경영진 및 기타 인력이 수행하는 과정'으로 정의했다. 이는 전략 수립 단계부터 전사적으로 적용되며, 조직에 영향을 줄 수 있는 잠재적 사건을 미리 파악하고 조직이 감수할 수 있는 위험 수준 내에서 이를 관리하여, 궁극적으로 조직 목표 달성에 대한 합리적인 확신을 제공하기 위해 설계된 것이다.[27]
  • ISO (ISO 31000): ISO는 ERM을 '위험과 관련하여 조직을 지휘하고 통제하기 위한 조정된 활동'으로 정의한다.[28]
  • 제임스 람: 제임스 람은 ERM을 '사업 목표 달성, 예상치 못한 수익 변동성 완화, 기업 가치 증대를 위해 핵심 위험을 관리하는 포괄적이고 일관된 체계'로 보았다. 이는 예상 결과에서 벗어날 수 있는 변수인 위험을 줄여 부가가치를 창출하는 기능으로 설명될 수 있다.

5. 2. ERM의 이점

전사적 위험 관리(ERM)를 도입함으로써 기업은 다양한 이점을 얻을 수 있다. 체계적인 위험 관리를 통해 영업 손실을 줄이고, 장기적 및 단기적 위험 허용 한도를 설정하고 관리하여 수익의 변동성을 완화할 수 있다. 또한, 위험 관리에 대한 교육을 통해 조직 구성원 전체의 위험 관리 의식을 높이고, 경영의 안정성과 대내외적 투명성을 강화하며, 독립적이고 강화된 위험 관리 조직 및 기능을 확립하는 데 기여한다. 궁극적으로 이러한 활동은 주주 가치를 극대화하는 것을 목표로 한다.

제임스 람(James Lam)은 그의 저서 "전사적 위험 관리(Enterprise Risk Management)"에서 ERM 도입의 주요 이점을 다음과 같이 세 가지로 제시했다.[29]

1. 조직 효율성 향상: ERM은 개별 위험뿐만 아니라 위험 간의 상호 의존성까지 고려하는 통합된 접근 방식을 가능하게 한다. 이를 위해 최고 위기 관리자(CRO)를 임명하고 전사적 위험 관리 기능을 구축하며[29], 상향식 조정을 통해 통합된 팀을 구성하여 특정 위험과 복합적인 위험 요소를 효과적으로 관리할 수 있다.[29] 또한, 조직 전체의 위험 관리 인식을 높여 더욱 효율적인 운영 및 전략적 의사 결정을 지원한다.[30]

2. 위험 보고 효율성 증대: ERM은 최고 위험 관리자와 이사회가 현재와 미래에 기업에 해를 끼칠 수 있는 주요 위험 요소를 식별하는 데 도움을 준다.[29] 이를 통해 고위 경영진은 기업이 직면한 순 노출(net exposure)을 정확히 식별하고 측정하여 허용 가능한 수준으로 관리할 수 있게 된다.[31] 위험에 대한 투명성이 확보되면 기업은 특정 위험에 대해 더 효과적으로 대비(헤지)하거나 회피할 수 있다.[29]

3. 비즈니스 성과 개선: ERM 접근 방식을 채택한 기업들은 자본 배분, 제품 개발 및 가격 책정, 인수 합병(M&A) 등 주요 경영 의사 결정 분야에서 개선을 경험하는 것으로 나타났다. 결과적으로 ERM은 영업 손실 감소, 주주 가치 향상, 수익 변동성 감소, 그리고 궁극적으로 기업의 수익 증대에 기여할 수 있다.[29]

5. 3. ERM과 사일로(Silo) 접근 방식 비교

'''전사적 위험 관리(ERM)''' 방식은 통합된 위험 관리 조직을 필요로 한다. 이는 일반적으로 CEO와 이사회에 직접 보고하는 중앙 집중식 위험 관리 부서를 의미한다. ERM의 CRO는 조직 내 모든 다양한 측면에 대한 정보를 파악하고 수집할 책임이 있으며, 회사 내 모든 유형의 위험에 대해 포트폴리오 관점을 가진다. ERM 접근 방식에서는 위험이 경영진에게 바람직하지 않거나 원치 않는 것으로 판단될 경우에만 보험이나 대체 위험 이전 상품 사용을 고려한다. 위험 관리를 전체 회사의 비즈니스 프로세스에 통합하는 것이 필수적이며, 이는 가격 책정 및 자원 할당과 같은 다양한 측면에 영향을 미쳐 비즈니스 성과를 최적화하는 데 기여한다.

ERM 접근 방식과 CRO를 중심으로 한 통합 운영은 다음과 같은 세 가지 주요 이점을 제공한다.[26]

  • 효율성 향상: CRO와 통합된 팀은 개별 위험과 이들 간의 상호 의존성을 더 효과적으로 관리할 수 있다.
  • 보고 개선 및 투명성 확보: 고위 경영진이나 이사회 등 다양한 이해관계자에게 전달될 위험 보고서 내용의 우선순위를 정함으로써 더 나은 보고 체계를 구축하고, 결과적으로 조직 전체의 투명성을 높일 수 있다.
  • 비즈니스 성과 향상: 위험 관리 팀이 ERM 접근 방식을 사용하여 가격 책정, 제품 개발, 인수 합병과 같은 주요 경영 의사 결정을 지원할 때, 수익 증대 및 주주 가치 향상과 같은 긍정적인 결과를 가져올 수 있다. ERM은 여러 위험 사일로를 통합하여 회사 전체의 위험 포트폴리오를 구성하고, 모든 위험 노출의 변동성 및 상관관계를 고려함으로써 분산 효과를 극대화할 수 있다.


반면, '''사일로 접근 방식'''에서는 위험 이전 전략이 거래 또는 개별 위험 수준에서 실행된다. 예를 들어, 운영 위험을 이전하기 위해 보험에 가입하는 식이다. 위험 평가 및 정량화 프로세스는 통합되지 않는다. VaR(Value at Risk) 모델은 시장 위험을 정량화하는 데, 신용 부도 모델은 신용 위험을 추정하는 데 각각 독립적으로 사용될 수 있지만, 사일로 접근 방식에서는 이들을 통합적으로 활용하지 않는다. 이러한 낮은 통합성은 과도한 헤지(위험 회피)나 과도한 보험 가입으로 이어질 수 있다.[26]

사일로 접근 방식의 또 다른 특징은 통합된 개념이나 책임자가 부재하여 위기 발생 시 임시방편적으로 대응하는 경향이 있다는 점이다. 전반적인 위험 보고나 관련 부서 간의 조율을 책임지는 특정 주체가 없다. 또한, 회사의 특정 위험들을 해결하기 위해 다양한 조직 부서를 두는 것은 비효율적인 방식으로 평가된다. 예를 들어, 사일로 접근 방식에서는 서로 다른 사업부가 각기 다른 방법론을 사용하여 거래 상대방 위험을 추적하는데, 이는 전체 거래 상대방 위험 노출 규모가 너무 커져 개별 사업부에서 관리하기 어려워지는 문제를 야기할 수 있다.[26]

구분전사적 위험 관리 (ERM)사일로 접근 방식
조직 구조통합된 중앙 집중식 위험 관리 부서 (CRO 중심)분산된 부서별 위험 관리 (통합 책임자 부재)
위험 관리 범위전사적 포트폴리오 관점 (위험 간 상호의존성 고려)개별 위험 또는 거래 수준 관리
평가/정량화통합된 방법론 사용비통합적, 개별 모델 사용 (VaR, 신용 부도 모델 등)
위험 이전경영진 판단 하에 전략적으로 고려개별 위험 수준에서 실행 (보험 등)
보고/투명성통합 보고, 우선순위화, 높은 투명성분산 보고, 책임 불명확, 낮은 투명성
효율성높음 (분산 효과 극대화, 의사 결정 지원)낮음 (과도한 헤지/보험 가능성, 비효율적 부서 운영)
주요 목표기업 가치 증대, 예상치 못한 변동성 완화, 목표 달성 지원개별 위험 통제 및 이전


5. 4. ERM의 구성 요소 (COSO 프레임워크)

COSO(Committee of Sponsoring Organizations of the Treadway Commission)는 전사적 위험 관리(ERM) 개념을 처음으로 사용한 조직이다. 이러한 맥락에서 2004년 '전사적 위험 관리—통합 프레임워크'(Enterprise Risk Management—Integrated Framework)를 발표했다.[37] 시간이 지나면서 위험의 복잡성이 변화하고 새로운 위험이 등장함에 따라, COSO는 2017년에 업데이트된 ERM 프레임워크를 발표했다.[38] 이 프레임워크는 대부분의 ERM 프레임워크에서 공통적으로 발견되는 5가지 상호 관련된 구성 요소를 포함한다.

  • '''지배 구조 및 문화''': 조직의 프로세스를 구축하고 회사 전체에서 위험을 측정하고 관리하기 위한 바람직한 문화를 정의한다. 이는 하향식 위험 관리로 이어진다.
  • '''전략 및 목표 설정''': 전략을 실행 가능한 사업 목표로 전환한다. 이 사업 목표는 위험을 식별하고, 평가하며, 대응하기 위한 기초가 된다. 또한, 비즈니스 환경을 분석하고 위험 감수 수준을 정의하며, 대체 전략을 평가하는 과정을 포함한다.
  • '''성과''': 전략 및 사업 목표 달성에 영향을 미칠 수 있는 위험을 식별하고, 그 심각성을 평가하여 우선순위를 정한다. 이후, 회사는 위험에 대한 대응 방안을 선택하고 포트폴리오 관점을 개발한다. 마지막 단계에서는 주요 위험 관련 이해관계자에게 결과를 보고한다.
  • '''검토 및 수정''': 시간이 지남에 따라 전사적 위험 관리 구성 요소들이 얼마나 효과적으로 작동하는지 평가한다. 또한, 위험과 성과를 검토하고 필요한 경우 회사 운영과 위험 관리를 개선한다.
  • '''정보, 의사 소통 및 보고''': 위험 정보를 효과적으로 전달하고, 회사의 주요 이해관계자에게 위험, 문화, 성과에 대한 보고서를 작성한다.[39][40]

6. ERM 모델의 구현

전사적 위험 관리(ERM) 모델을 효과적으로 구현하는 것은 조직의 성공에 필수적이다. 이는 단순히 특정 부서의 업무가 아니라, 조직 전체의 전략과 운영에 걸쳐 통합적으로 접근해야 하는 복잡한 과정이다.[8] 최고 위기 관리자(CRO)는 이러한 ERM 구현 과정에서 핵심적인 역할을 수행하며, 조직 전체의 위험을 식별, 평가, 관리하는 책임을 진다.[6][7]

성공적인 ERM 모델 구현을 위해서는 기업 지배 구조의 확립, 효과적인 경영 방식의 적용, 포트폴리오 관리를 통한 위험 분산, 적절한 위험 이전 전략 수립, 그리고 다양한 이해관계자와의 관계 관리 등 여러 중요한 요소들을 종합적으로 고려해야 한다. 이러한 각 요소들은 조직이 직면한 위험을 효과적으로 관리하고 조직의 목표 달성에 기여한다.

6. 1. 기업 지배 구조

기업 부정을 방지하기 위해 2002년에 제정된 사베인스-옥슬리법은 기업 지배 구조의 중요성이 커지는 계기가 되었다. 이에 따라 전사적 위험 관리(ERM)는 다음과 같은 경영 책임을 명확히 할 필요가 생겼다.

첫째, 회사의 "위험 프로파일"을 정의하는 것이다. 이는 회사가 마주할 수 있는 위험과 위협, 그리고 그 결과에 대해 어느 정도까지 감수할 의향이 있는지를 평가하는 것을 의미한다. 이는 적절한 투자 자산 배분을 결정하는 데 중요한 요소가 된다.

둘째, 회사가 필요한 위험 관리 기술을 갖추도록 하는 것이다. 위험 관리 기술에는 위험 평가, 위험 분석, 위험 처리, 위험 수용, 그리고 위험 커뮤니케이션의 5단계로 구성된 위험 관리 프로세스가 포함된다.

셋째, 모든 역할과 책임을 명확히 한 조직 구조를 확립하는 것이다. 이는 조직 전체에 다양한 전사적 위험 관리 역할을 할당하고, 명확한 보고 체계 및 의사 결정 구조를 만드는 것을 포함한다.

위험 관리의 통합 역시 기업 지배 구조에서 중요한 역할을 한다. 이는 특정 위협이나 위험으로 인해 발생할 수 있는 피해의 정도를 파악하고, 해당 위험을 제거하거나 줄이기 위한 방법들의 비용과 이점을 신중하게 비교 분석하는 것을 의미한다. 또한, 기업의 위험 관리 과정에서 발생할 수 있는 부정을 방지하기 위해, 독립적인 위험 평가 및 감사 프로세스를 수립하는 것이 필수적이다. 위험 관리자의 결정이 실행되기 전에 이를 검토하고 승인하는 감사 기능이 있어야 한다.

CEO부터 시작하여 회사 전체의 위험 문화를 정립하는 것은 기업 지배 구조에서 매우 중요한 단계이다. 회사의 위험 관리 역할에 대한 명확한 계층 구조를 설정하는 것은 ERM 프로세스 내에서 업무와 책임을 효과적으로 전달하기 위한 핵심적인 조치이다. 더불어 지속적인 직원 교육 프로그램을 마련하는 것도 중요하다. 잘 설계된 직원 교육 프로그램은 직원들의 실수를 줄여 결과적으로 회사 내 비용 낭비를 막고, 나아가 파산이나 기업 평판 하락과 같은 심각한 문제를 예방하는 데 기여할 수 있다.

6. 2. 경영

회사의 전사적 위험 관리(ERM)에서 라인(Line)과 스태프(Staff) 직위 개념을 활용하는 것은 중요하다. 이는 특정 상황에서 생산 라인을 직접 관리하는 라인 매니저가 전문적인 조언을 제공하는 스태프로부터 도움을 받아야 함을 의미한다. 이러한 라인과 스태프의 협력은 다음과 같은 긍정적인 효과를 가져온다.

  • 생산 과정을 기업의 전반적인 위험 관리 정책과 일치시킨다.
  • 예상되는 손실이나 위험 관리 비용 등을 생산 비용이나 투자 결정 기준(허들 레이트)에 반영한다.
  • 생산 관리자가 감수할 수 있는 위험 수준을 더 명확히 이해하도록 돕는 효율적이고 투명한 위험 검토 절차를 만든다.


이러한 접근 방식은 회사의 수익 변동성을 줄여 결과적으로 주주 가치를 높이는 데 기여한다. 위험에 대해 조직 전체가 체계적으로 대응함으로써, 회사는 위험과 수익을 더 효과적으로 관리할 수 있게 되며, 이는 자본 운용이나 투자 결정 시 더 많은 정보를 바탕으로 합리적인 판단을 내리는 데 도움을 준다.

6. 3. 포트폴리오 관리

전사적 위험 관리(ERM)는 경영진이 회사의 위험 프로파일을 식별하는 포트폴리오 관리자의 역할을 수행하도록 요구한다. 위험 프로파일은 특정 시점에서 조직이 전반적으로 노출된 위험의 정도를 의미한다. ERM은 또한 경영진이 일련의 위험들에 대해 위험 한도를 설정하도록 요구한다. 위험 감수가 승인된 경우, 위험 한도는 해당 위험 감수 결정에 부과되는 제한을 의미한다.

ERM은 회사에 다각화의 이점을 제공한다. 다각화 이점은 두 프로세스가 서로 완전히 의존하지 않을 때 발생한다. 즉, 한 프로세스에서 좋지 않은 결과가 발생하더라도 다른 프로세스에서 반드시 나쁜 결과가 나타나지 않을 때 다각화 효과를 얻을 수 있다. 의존성과 다각화는 밀접하게 연관되어 있으며, 의존성의 정도가 높아질수록 다각화를 통해 얻을 수 있는 이점은 감소한다.

6. 4. 위험 이전

리스크 이전은 전사적 위험 관리(ERM) 모델의 한 부분이다. 최고 위험 관리자(CRO)는 계약 조건에 따라 위험을 외부 당사자에게 이전할지, 아니면 내부적으로 보유할지 결정해야 한다. 위험을 이전하는 경우, 일반적으로 외부 당사자에게 넘어가지만, 자회사로 이전될 수도 있다. 기업들은 보통 다양한 종류의 보험을 구매하여 위험을 이전하며, 가장 많이 활용되는 보험 유형으로는 근로자 보상 보험, 일반 책임 보험, 그리고 재산/손해 보험 등이 있다.[41]

6. 5. 이해관계자 관리

이해관계자는 회사와 관계를 맺는 모든 개인 또는 집단을 의미한다. 정보의 중요성이 커짐에 따라, 경영진은 이해관계자 집단을 위해 더 나은 위험 가시성을 확보해야 한다. 여기에는 직원, 고객, 지지자, 제공자, 비즈니스 파트너, 채권자 및 기타 이해관계자가 포함된다. 이해관계자 관리자는 이해관계자가 올바른 투자 결정을 내릴 수 있도록 위험 상황 및 재무 상태에 대한 유용한 정보를 제공한다.[42]

7. CRO의 한계

최고 위기 관리자(CRO)는 기업의 위험을 관리하고 완화하는 데 핵심적인 역할을 수행하지만, 그 역할에는 명확한 한계가 존재한다. CRO는 위험 관리 부서를 이끌며 일상적인 위험 통제에 대한 재량권을 가지지만, 모든 위험을 완전히 통제하거나 제거할 수는 없다.[43][44] 위험이라는 요소는 본질적으로 기업 운영에서 완전히 배제될 수 없기 때문이다.[44]

특히 잠재적 위험의 규모가 크거나 회사 전체에 중대한 영향을 미칠 수 있는 경우에는 CRO 단독으로 최종 결정을 내리기 어렵다. 이러한 상황에서는 최고경영자(CEO)나 이사회에 상황을 보고하고 향후 조치에 대한 지침을 받아야 하는 등 의사결정 권한에 제약이 따른다.[44]

또한, 사베인스-옥슬리법(SOX)과 같은 외부 규제 환경의 변화 역시 CRO의 역할과 책임 범위를 규정하는 중요한 요소로 작용한다.[45] 이러한 법규 준수 의무는 CRO에게 중요한 책임을 부여하는 동시에 활동의 제약 조건이 되기도 한다.[46] 결국 CRO는 조직 내 보고 체계와 외부 규제라는 틀 안에서 위험 관리 전략을 수립하고 실행해야 하는 한계를 지닌다.

7. 1. 권한의 한계

최고 위기 관리자(CRO)는 회사의 선임 임원이지만, 그 권한에는 몇 가지 제한이 따른다.[43] CRO는 위험 관리 부서를 이끌면서 일상적인 위험 통제 및 완화에 대한 재량을 가지지만, 잠재적 위험의 규모가 클 경우 단독으로 결정하기는 어렵다. 이러한 중대한 위험에 대해서는 최고경영자(CEO)나 이사회에 보고하여 향후 조치에 대한 지침을 받아야 한다.[44] 또한, CRO의 역할은 회사의 잠재적 위험을 최소화하는 것이지만, 위험이라는 요소 자체를 회사 운영에서 완전히 제거하는 것은 본질적으로 불가능하다.[44]

미국의 사베인스-옥슬리법(SOX) 도입은 CRO 역할의 필요성을 부각시키고 그 역할을 구체화하는 계기가 되었다.[45] 이 법은 기업의 재무 보고 투명성과 책임성을 강화하기 위해 제정되었으며, 기업이 법규를 준수하지 않을 경우 경영진에게 책임을 묻도록 규정하고 있다.[46] 따라서 CRO의 주요 업무 중 하나는 회사가 사베인스-옥슬리법을 포함한 정부 규제를 철저히 준수하도록 보장하는 것이 되었다. 이는 CRO에게 법적 및 규제 준수 위험 관리라는 중요한 책임을 부여함과 동시에, 해당 규제 범위 내에서 활동해야 하는 제약을 의미하기도 한다.[46] 결과적으로 CRO는 회사의 정부 규정 준수, 투명성 확보, 전반적인 위험 완화에 핵심적인 역할을 수행하지만, 이러한 규제 환경과 조직 내 보고 체계 안에서 권한을 행사하게 된다.

7. 2. 사베인스-옥슬리법(SOX) 준수

사베인스-옥슬리 법은 2002년 미국에서 제정된 법률이다. 당시 발생했던 여러 금융 스캔들에 대응하기 위해 미국 의회가 통과시켰으며, 사르박스(Sarbox) 또는 삭스(SOX)라고도 불린다. 이 법의 주요 목적은 기업 재무 보고서의 신뢰성을 높이고 회계 분야를 더 철저히 규제하는 것이다. 증권거래위원회(SEC)에 등록된 모든 회사에 적용되므로, 다국적 기업을 포함한 국제 기업들도 이 법의 영향을 받는다.[33]

사베인스-옥슬리 법은 회사가 회계 처리 과정에서 발생할 수 있는 오류로부터 주주와 일반 대중을 보호하고, 기업 정보 공개의 투명성을 높이기 위한 기준을 마련하고 규제한다. 이를 통해 기업의 재무 보고 방식이 개선되었고 회계 분야에도 여러 변화가 이루어졌다. 특히, 이 법은 회사의 최고 경영 책임자(CEO)와 최고 재무 책임자(CFO)에게 재무 보고서의 정확성에 대한 책임을 명확히 하도록 요구한다. 또한, 보고서의 정확성을 확보하기 위해 내부통제 시스템을 갖추도록 의무화했다.[34] 이에 따라 모든 재무 보고서에는 금융 사기를 방지하기 위한 내부 통제 관련 보고 내용이 포함되어야 한다.

이러한 규제 환경 변화는 최고 위기 관리자(CRO)의 역할에도 영향을 미쳤다. 2002년 사베인스-옥슬리법 제정 이후, 특히 2004년부터 기업들은 법규 준수 및 임원 보호를 위해 CRO를 적극적으로 고용하기 시작했다. CRO는 회사의 전반적인 상황을 파악하고 있어야 할 뿐만 아니라, 증권거래위원회(SEC)가 요구하는 모든 규제 사항에 대해 항상 최신 정보를 파악하고 있어야 한다. 또한 CRO는 기업이 이러한 법규를 잘 준수하도록 관리함으로써 잠재적인 위험을 줄이는 중요한 역할을 담당한다.[35]

참조

[1] 웹사이트 Credit Suisse removes senior executives after $4.7bn Archegos losses https://www.ft.com/c[...] 2021-04-06
[2] 논문 The impact of chief risk officer appointments on firm risk and operational efficiency https://onlinelibrar[...] 2022-04
[3] 뉴스 Chief Risk Officer - CRO https://www.investop[...] 2011-06-26
[4] 웹사이트 Insights: The role of the Chief Risk Officer in the spotlight https://www.towerswa[...] 2017-12-16
[5] 뉴스 Whitepaper: How to progress and be successful in a Chief Risk Officer role https://www.morganmc[...] 2017-12-16
[6] 웹사이트 Role of the Chief Risk Officer - ERM - Enterprise Risk Management Initiative {{!}} North Carolina State Poole College of Management https://erm.ncsu.edu[...] 2017-12-12
[7] 웹사이트 Managing Risks: A New Framework https://hbr.org/2012[...] 2017-12-02
[8] 논문 Part Three: The role of the chief risk officer (CRO) http://onlinelibrary[...] 2005
[9] 뉴스 Chief Risk Officer - CRO https://www.investop[...] 2011-06-26
[10] 뉴스 What is chief risk officer (CRO)? - Definition from WhatIs.com http://searchcomplia[...] 2017-12-06
[11] 웹사이트 Goldman Sachs {{!}} Management Committee - Craig W. Broderick http://www.goldmansa[...] 2017-12-12
[12] 웹사이트 Joachim Oechslin https://www.credit-s[...] 2017-12-12
[13] 뉴스 Allianz Global CRO Thomas Wilson: The CRO's Role in Value Creation and Corporate Strategy http://deloitte.wsj.[...] 2017-12-12
[14] 웹사이트 Stefano Rettore {{!}} ADM https://www.adm.com/[...] 2017-12-12
[15] 뉴스 Yamaha Expands Nationwide, Pilots Pre-owned https://powersportsf[...] 2017-12-12
[16] 문서 "“The evolving role of the CRO – Eiu” by Economist Intelligence Unit"
[17] 웹사이트 A View from the Top: The Growing Role of the Chief Risk Officer http://cf.rims.org/M[...]
[18] 웹사이트 Role of the Chief Risk Officer | ERM - Enterprise Risk Management Initiative | NC State Poole College of Management https://erm.ncsu.edu[...] 2023-03-16
[19] 웹사이트 Role of the Chief Risk Officer https://erm.ncsu.edu[...] 2005-05-01
[20] 웹사이트 Job Profile: Chief Risk Officer http://www.master-of[...]
[21] 서적 Enterprise Risk Management Wiley
[22] 웹사이트 Part Three: The role of the chief risk officer (CRO) http://onlinelibrary[...] 2009-07-23
[23] 웹사이트 Chief Risk Officer (CRO) Salary | PayScale https://www.payscale[...] 2023-03-16
[24] 웹사이트 Salary: Chief Risk Officer (March, 2023) | Glassdoor https://www.glassdoo[...] 2023-03-16
[25] 웹사이트 Job Profile: Chief Risk Officer https://www.master-o[...] 2023-03-16
[26] 웹사이트 Enterprise Risk Management – Integrated Framework https://www.coso.org[...] 2017-12-01
[27] 간행물 “Overview of Enterprise Risk Management.” Casualty Actuarial Society 2003
[28] 서적 Enterprise risk management: from incentives to controls Wiley
[29] 서적 Enterprise Risk Management John Wiley & Sons, Inc.
[30] 논문 The Determinants of Enterprise Risk Management: Evidence From the Appointment of Chief Risk Officers 2003
[31] 논문 Enterprise Risk Management: Theory and Practice 2006
[32] 문서 Enterprise Risk Management: From Incentives to Controls, by James Lam (2003)
[33] 뉴스 SEC Looking for Chief Risk Officer - Radical Compliance http://www.investing[...] 2017-11-16
[34] 웹사이트 Sarbanes Oxley Act Section 1107 http://www.sarbanes-[...] 2017-12-21
[35] 뉴스 SEC Looking for Chief Risk Officer - Radical Compliance http://www.radicalco[...] 2017-11-16
[36] 문서
[37] 웹사이트 COSO - About us. https://www.coso.org[...] 2017-11-25
[38] 웹사이트 COSO – Guidance on Enterprise Risk Management. https://www.coso.org[...] 2017-11-25
[39] 웹사이트 COSO: Enterprise Risk Management – Integrating with Strategy and Performance https://web.archive.[...] 2017-12-11
[40] 서적 Components of ERM. John Wiley & Sons, Inc.
[41] 서적 Enterprise risk management: from incentives to controls Wiley
[42] 웹사이트 Stakeholder Management https://www.cleveris[...] 2016-10-13
[43] 논문 Risk management, corporate governance, and bank performance in the financial crisis. Journal of Banking and Finance, Journal of Banking and Finance {{!}}
[44] 웹사이트 chief-risk-officer {{!}} https://www.investop[...]
[45] 웹사이트 The Chief Risk Officer as Trojan Horse {{!}} http://faculty.chica[...]
[46] 웹사이트 PUBLIC LAW 107–204—JULY 30, 2002 {{!}} https://www.sec.gov/[...]


본 사이트는 AI가 위키백과와 뉴스 기사,정부 간행물,학술 논문등을 바탕으로 정보를 가공하여 제공하는 백과사전형 서비스입니다.
모든 문서는 AI에 의해 자동 생성되며, CC BY-SA 4.0 라이선스에 따라 이용할 수 있습니다.
하지만, 위키백과나 뉴스 기사 자체에 오류, 부정확한 정보, 또는 가짜 뉴스가 포함될 수 있으며, AI는 이러한 내용을 완벽하게 걸러내지 못할 수 있습니다.
따라서 제공되는 정보에 일부 오류나 편향이 있을 수 있으므로, 중요한 정보는 반드시 다른 출처를 통해 교차 검증하시기 바랍니다.

문의하기 : help@durumis.com