리스크 매트릭스 · 리스크 관리

리스크 매트릭스란?

리스크 관리가 실제로 바꾸는 것은 회의에서 쓰는 말입니다. "그거 좀 위험한데요"라는 발언은 반박도 검증도 되지 않고 기록도 남지 않지만, "가능성 중, 영향도 상, 담당은 구매팀, 기한은 3월 말"이라고 적히는 순간 그 위험은 관리 대상이 됩니다. 리스크 매트릭스가 하는 일은 막연한 불안을 담당자가 붙은 항목으로 바꾸는 것입니다. 도입 첫해에 먼저 달라지는 것은 사고 건수가 아니라 터졌을 때 누가 무엇을 맡기로 했었는지가 남아 있다는 사실입니다.

실무에서는 3×3보다 5×5를 씁니다. 가능성과 영향도에 각각 1~5점을 매겨 곱하면 1~25점이 나오고, 보통 15점 이상은 경영진 보고, 8~12점은 부서장 관리, 그 아래는 대장 기록만 하는 식으로 선을 긋습니다. 이때 고유 리스크와 잔여 리스크를 나눠 적어야 합니다. 아무 조치가 없을 때의 점수와 대응책을 적용한 뒤 남는 점수가 따로 있어야 그 대책이 효과가 있었는지 검증됩니다. 점수는 대응 전후로 두 번 매깁니다.

대응 방식 선택에도 조건이 있습니다. 가능성은 낮아도 영향이 치명적인 항목(공장 화재, 핵심 인력 이탈)은 감소보다 전가와 대비 계획 쪽이고, 가능성이 높아도 영향이 작은 항목(자재 단가 등락)은 예비비를 잡아 수용하는 편이 쌉니다. 다만 전가로 넘어가는 것은 금전적 손실뿐입니다. 보험금으로 배상은 해도 떠난 고객과 깎인 평판은 돌아오지 않고, 계약서로 벤더에 넘긴 뒤에도 최종 책임은 발주사에 남습니다.

현장에서 가장 흔히 어긋나는 지점은 점수가 전부 '중'으로 몰리는 것입니다. '상'을 매기면 대책을 내놓으라는 숙제가 돌아오고 '하'를 매기면 나중에 터졌을 때 책임을 지니, 담당자는 가운데를 고릅니다. 그러면 25칸짜리 매트릭스에 항목 30개가 한가운데 뭉쳐 우선순위가 사라집니다. 평가자와 대응 담당자를 분리하거나 부서당 '상' 등급을 3건으로 제한하는 강제 배분이 필요합니다. 또 하나는 만든 날 이후 손대지 않는 대장입니다. 분기에 한 번 여는 리스크 회의는 감시가 아니라 문서 보관입니다.