왜 ISO 22301인가
한국 제조사가 최근 5년간 직면한 사업 중단 사건들:
- 2020 코로나: 라인 가동 중단·자재 결품·인력 부족
- 2021 차량용 반도체 결품: 자동차 부품 6개월 라인 정지
- 2022 우크라이나 전쟁: 원자재 가격 폭등·공급망 마비
- 2023 사이버 랜섬웨어: ERP·MES 마비 평균 2주
- 2024 자연재해: 폭우·산불·정전
- 2025 협력사 화재·파산: 단일 협력사 의존도 위험
대부분 한국 제조사의 대응:
- 사고 발생 후 부랴부랴 대응 시작
- BCP(Business Continuity Plan) 문서가 없거나 형식적
- 핵심 인력 부재 시 대체 인력·절차 미정
- 자재·설비 백업 부족
- 사이버 침해 복구 능력 미흡
**ISO 22301(Business Continuity Management System·사업연속성관리시스템)**은 이 모든 위기를 사전에 예측하고 대응하는 국제 표준이다. 2012년 ISO 발간, 2019년 개정. 영국 BCM의 표준이었던 BS 25999가 모태.
핵심 원리:
- BIA (Business Impact Analysis): 어떤 비즈니스가 중단되면 얼마나 손실인가
- 위험 평가: 어떤 위협이 비즈니스를 중단시킬 수 있는가
- BCP 수립: 중단 시 어떻게 빠르게 복구할 것인가
- 시험·훈련: BCP가 실제로 작동하는지 검증
- 지속 개선: 사건·환경 변화 반영
대상:
- 모든 제조사 (단일 라인 의존도 높을수록 필수)
- 자동차·전자·반도체 (글로벌 공급망 의존)
- 식품·의약품 (인명·법규 영향)
- 의료기기·금융 (규제 산업)
자동차 OEM·글로벌 고객이 협력사 평가에 BCM 포함 추세. ISO 22301 인증이 향후 5년 내 자동차 부품 협력사 필수가 될 가능성.
이 블로그는 한국 중소·중견 제조 환경에서 ISO 22301 5단계 로드맵을 정리한다.
BCM 성숙도 5단계
| 단계 | 상태 | BCP 운영 |
|---|---|---|
| L0 | BCM 미인지 | 없음 |
| L1 | 비상연락망·기초 매뉴얼 | 형식적 |
| L2 | BIA·위험 평가 완료 | 부분적 BCP |
| L3 | ISO 22301 인증 획득 | 통합 BCP·정기 시험 |
| L4 | 협력사·고객 통합·디지털 | 글로벌 통합 |
대부분 한국 중소·중견 제조사는 L0~L1. L3가 글로벌 고객 요구 충족 수준.
Stage 1 — BIA·위험 평가 (8~12주)
1.1 BIA (Business Impact Analysis) 개념
BIA는 사업이 중단되면 어떤 영향이 있는지 정량화하는 분석.
각 핵심 비즈니스 프로세스에 대해:
- 재무 영향: 시간당·일당 매출 손실
- 고객 영향: 클레임·신뢰 손실
- 법규 영향: 위약금·벌금
- 인적 영향: 안전·고용
핵심 지표:
- MTPD (Maximum Tolerable Period of Disruption): 최대 허용 중단 기간
- RTO (Recovery Time Objective): 복구 목표 시간
- RPO (Recovery Point Objective): 데이터 복구 시점 기준
- MBCO (Minimum Business Continuity Objective): 최소 유지 수준
예시 (자동차 부품 라인):
- 가동 중단 시 시간당 손실: 2,000만원
- 클레임: 일당 5천만원 (납기 위약금)
- MTPD: 72시간 (이를 넘으면 고객 거래 끊김)
- RTO: 24시간 (라인 1개 복구)
- MBCO: 핵심 제품 40% 생산 유지
1.2 위험 평가 (Risk Assessment)
각 비즈니스 프로세스에 위협을 식별·평가:
위협 분류:
- 자연재해: 지진·태풍·홍수·화재·정전
- 인적재해: 핵심 인력 부재·노사 분규·사고
- 기술재해: 시스템 다운·사이버 침해·랜섬웨어
- 공급망 재해: 협력사 파산·자재 결품·운송 중단
- 사회재해: 전염병·전쟁·테러·법규 변경
평가:
- 발생 가능성 (낮음·보통·높음)
- 영향도 (재무·고객·법규·인적)
- 위험 점수 = 가능성 × 영향도
Top 10~20 위험 식별 후 대응 우선순위.
1.3 자산·자원 식별
비즈니스 연속성에 필요한 자원 인벤토리:
- 인적 자원: 핵심 인력·예비 인력
- 물적 자원: 설비·자재·재고
- 정보 자원: 시스템·데이터·문서
- 공급망 자원: 협력사·물류
- 인프라: 전력·통신·물·교통
- 재무: 현금·보험·신용
각 자원에 대체·백업 가능성 평가.
1.4 임원·전사 합의
BCM은 IT나 안전만의 프로젝트가 아니다.
- CEO·임원: BCM 우선순위·예산 합의
- COO·생산: 라인 백업·MBCO 합의
- CIO·IT: 데이터·시스템 복구
- CFO: 보험·예비비
- HR: 인력 대체
- 구매: 협력사 다변화
Stage 1 산출물: BIA 보고서, 위험 평가 매트릭스, 자원 인벤토리, 임원 합의문.
Stage 2 — BCP 수립 (12~16주)
2.1 BCP 구조 정의
BCP는 다음 시나리오별로 별도 작성:
| 시나리오 | 발생 가능성 | 우선순위 |
|---|---|---|
| 핵심 라인 정지 | 중 | 최고 |
| 핵심 인력 부재 | 중 | 높음 |
| 사이버 침해·랜섬웨어 | 증가 | 최고 |
| 단일 협력사 파산 | 중 | 높음 |
| 화재·자연재해 | 낮음 | 높음 |
| 전염병·도시 봉쇄 | 낮음 | 높음 |
| 정전·통신 마비 | 보통 | 중 |
| 핵심 자재 결품 | 높음 | 최고 |
각 시나리오마다 별도 BCP.
2.2 BCP 구성 요소
각 BCP는 다음 7요소 포함:
- 트리거 조건: BCP 발동 기준
- 초기 대응 (1시간 이내): 인명·안전·확산 방지
- 사고 대응팀 (1~6시간): 책임자·연락망
- 상황 평가 (6~24시간): 영향 파악·전략 결정
- 복구 작업 (24~72시간): MBCO 회복
- 정상화 (3~30일): 완전 복구
- 사후 회고 (Hansei): 학습·개선
2.3 핵심 라인 정지 BCP 예시
시나리오: A라인 화재로 1주 가동 중단
초기 대응 (1시간):
- 대피·인명 확인·소화
- 119·경찰 신고
- 사장·임원 보고
사고 대응 (6시간):
- 사고 대응팀 가동 (CEO·생산·품질·구매·영업)
- 화재 원인 조사 시작
- 다른 라인 영향 점검
상황 평가 (24시간):
- 복구 기간 산정 (1주·2주·1개월)
- 대체 생산 옵션 평가
- 고객 통보 계획
복구 작업 (72시간):
- B라인에 핵심 제품 일부 이관 (MBCO 40%)
- 협력사 외주 옵션 가동
- 고객별 우선순위·일정 협의
- 추가 인력·교대 운영
정상화 (2~4주):
- A라인 복구
- 외주·이관 정리
- 손실 정산·보험
사후 회고:
- 화재 원인·재발 방지
- BCP 효과·미흡 점 평가
- BCP 갱신·재훈련
2.4 사이버 침해 BCP
가장 중요한 신규 BCP. 한국 제조사가 가장 자주 당하는 사건.
시나리오: ERP·MES 랜섬웨어 감염, 시스템 1주 마비
초기 대응 (1시간):
- 네트워크 격리 (확산 방지)
- IT팀·외부 보안 업체 가동
- 백업 데이터 확보
복구 작업 (24~72시간):
- 백업 데이터에서 시스템 복구
- 수기 운영 일시 전환 (핵심 라인만)
- 협력사·고객 보고 (법적 의무 점검)
- 경찰 신고·정부 신고 (개인정보보호위원회)
핵심 자원:
- 오프라인 백업 (랜섬웨어 격리)
- IT 복구팀 (사내 + 외부 계약)
- 수기 운영 매뉴얼 (OPL)
- 사이버 보험
2.5 협력사 BCP
협력사 위기 시 대응:
- 핵심 협력사 (Supplier Risk Matrix)
- 협력사 다변화 (단일 의존도 80% → 60% 이하)
- 대체 협력사 후보 사전 평가·승인
- 핵심 자재 안전재고 (RTO 기간)
- SCRM 통합
Stage 2 산출물: 시나리오별 BCP, 핵심 BCP 7개 이상, 협력사 BCP, 사이버 BCP.
Stage 3 — 시험·훈련·인식 (지속·12~16주)
3.1 BCP 시험 종류
BCP는 종이만으로 의미 없음. 실제 시험·훈련 필수.
| 종류 | 빈도 | 내용 |
|---|---|---|
| 데스크 시험 (Walkthrough) | 분기 1회 | BCP 문서 검토·시나리오 토론 |
| 시뮬레이션 (Tabletop) | 반기 1회 | 가상 시나리오 모의 훈련 |
| 기능 시험 (Functional) | 연 1회 | 일부 기능 실제 시험 |
| 종합 시험 (Full-scale) | 2~3년 1회 | 실제 가동 중단·복구 시험 |
3.2 시뮬레이션 시험
표준 진행 (반나절):
0:00 - 시나리오 발표 (예: "오전 9시 A라인 화재")
0:30 - 초기 대응 시뮬레이션
1:00 - 사고 대응팀 가동
2:00 - 상황 평가·전략 결정
3:00 - 고객 통보 시뮬레이션
4:00 - 종합 평가·미흡 점 식별미흡 점:
- BCP에 명시되지 않은 상황
- 책임자·연락처 누락
- 의사결정 지연
- 자원·예산 부족
이 모든 것을 BCP에 반영해 갱신.
3.3 기능 시험
실제 일부 기능을 시험:
- 백업 데이터 복원 (실제 시스템)
- 대체 협력사 자재 가동
- 핵심 인력 부재 시 대체 운영
- 통신·전력 차단 시 수기 운영
연 1회 이상 실시. 결과를 BCP 갱신에 반영.
3.4 전사 인식·훈련
전 직원이 BCP를 알아야 한다.
- 신입 입사 시 BCM 교육 (1시간)
- 분기 1회 부서 회의에서 BCP 점검
- 비상 연락망·역할 확인
- Asaichi에서 위험 신호 공유
3.5 핵심 인력 백업
각 핵심 인력에 백업 인력 사전 양성:
- 1순위 백업 (긴급 대체)
- 2순위 백업 (장기 대체)
- 인계 매뉴얼·문서
Skill Matrix·TWI 활용.
Stage 3 산출물: BCP 시험 일정·결과, 시뮬레이션·기능 시험 보고서, 전사 인식 교육 자료, 핵심 인력 백업 매트릭스.
Stage 4 — 인증·외부 심사 (8~12주)
4.1 인증 기관 선정
ISO 22301 인증 기관:
- BSI (영국 모태, 표준)
- TÜV Süd·Nord·Rheinland
- DNV
- SGS
- BV (Bureau Veritas)
- 한국 인증원 일부
선정 기준:
- 글로벌 인지도
- 한국어·한국 지원
- 비용·일정
- 자동차·제조 산업 경험
4.2 내부 심사 (Mock Audit)
외부 인증 6~8주 전 내부 심사:
- 외부 컨설팅 또는 ISO 22301 인증 컨설턴트
- 전 BCP·BIA·위험 평가 점검
- 시험·훈련 기록 확인
- 부적합 시정
4.3 외부 심사 — 2단계
1단계 심사 (문서 검토):
- BIA·위험 평가·BCP 문서
- 시험·훈련 기록
- 경영검토 회의록
- 기간: 2~3일
2단계 심사 (현장):
- 임원 인터뷰
- 핵심 인력 인터뷰
- BCP 실증 (시뮬레이션 일부)
- 시스템 복구 시험 (선택)
- 기간: 3~5일
4.4 부적합 시정·인증서 발급
- Major (대형): 60일 내 시정
- Minor (소형): 90일 내 시정
- 관찰 사항: 다음 심사까지
시정 완료 후 인증서 발급. 유효기간 3년, 매년 사후 심사.
4.5 인증 활용
- 자동차 OEM·글로벌 고객 요구 응답
- 입찰·계약 시 가점
- 사이버 보험·기타 보험 할인
- 협력사 평가 대응
- 투자자·이해관계자 보고
Stage 4 산출물: 내부 심사 결과, 외부 심사 보고서, 부적합 시정 보고서, ISO 22301 인증서.
Stage 5 — 지속 개선·확장 (지속)
5.1 분기·반기 자체 평가
- 위험 환경 변화 (새로운 위협)
- BCP 갱신 사항
- 시험·훈련 결과
- 실제 사고·아차 사고 사례
- KPI 추이
5.2 사고·아차 사고 학습
실제 발생한 사고를 BCP 개선:
5.3 SCRM·OT 사이버보안 통합
- 공급망 위험 통합
- 사이버 위협 통합
- 통합 위험 대시보드
5.4 협력사·고객 통합
핵심 협력사·고객과 BCM 정합:
- 협력사 BCP 공유·검토
- 고객 BCP 요구 응답
- 상호 사고 알람·지원
5.5 디지털 BCM 시스템
BI 등 통합 BCM 대시보드:
- 실시간 위험 모니터링
- 자재·인력·시스템 상태
- BCP 자동 트리거 알람
- 사고 대응 협업 도구
5.6 AI 위험 예측
- 협력사 파산 위험 (재무·뉴스 분석)
- 자연재해 사전 알람
- 사이버 위협 자동 감지
- 인력 이직 위험 예측
5.7 KPI
BCM 운영 KPI:
- BIA 갱신 빈도 (연 1회 이상)
- 위험 평가 갱신 빈도 (분기 1회)
- BCP 시험 횟수·결과
- 사고 발생 시 RTO 달성률
- 작업자 BCM 인식 점수
- 외부 심사 결과
Stage 5 산출물: 분기 자체 평가, 사고·아차 사고 학습 사례집, SCRM·사이버보안 통합, 디지털 BCM 시스템, AI 위험 예측 모델.
비용·일정 가이드
| 항목 | 소규모(매출 100억) | 중규모(500억) | 중견(2,000억) |
|---|---|---|---|
| 컨설팅 | 3~7천만원 | 7천~2억원 | 2~5억원 |
| BCP 수립·문서화 | 1~3천만원 | 3~7천만원 | 1~3억원 |
| 시험·훈련 | 1~3천만원 | 3~7천만원 | 1~3억원 |
| 백업 시스템·인프라 | 2~5천만원 | 5천만~2억원 | 2~10억원 |
| 외부 인증 심사 | 1~3천만원 | 3~7천만원 | 1~3억원 |
| 사후 심사 (연) | 5백~1천만원 | 1~3천만원 | 3~7천만원 |
| 합계 (인증까지) | 8천만~2억원 | 2.5~6억원 | 7~25억원 |
| 1차 인증 기간 | 12~18개월 | 18~24개월 | 24~30개월 |
ROI는 보통 12~36개월. 단일 사고 회피만으로도 인증 비용 회수 가능. 코로나·랜섬웨어 사례에서 BCM 보유사의 손실은 미보유사의 1/5 수준.
ISO 22301 vs ISO 27001 vs 자체 BCP 비교
| 항목 | ISO 22301 | ISO 27001 | 자체 BCP |
|---|---|---|---|
| 대상 | 사업 연속성 | 정보 보안 | 회사별 |
| 범위 | 모든 위협 | 정보 보안 위협 중심 | 일부 위협 |
| 인증 | ISO 국제 | ISO 국제 | 없음 |
| 글로벌 인정 | 있음 | 있음 | 없음 |
| 시험·훈련 의무 | 강제 | 일부 | 자율 |
| 통합 운영 | ISO 27001·31000과 통합 권장 | 22301과 통합 권장 | — |
| 한국 보유율 | 낮음 (성장 중) | 보통 (IT·금융) | 보통 |
선택 가이드:
- 사업 중단 전반 대응 → ISO 22301
- 정보 보안 중심 → ISO 27001
- 둘 다 → 22301 + 27001 통합
한국 중소·중견 적용 사례
사례 1: 자동차 부품 (충북 청주)
- 매출 410억, 정밀 가공·조립
- 도입 전: 2022 협력사 화재로 3주 라인 정지, 손실 22억원
- 도입: BIA·위험 평가·6개 BCP·연 2회 시뮬레이션
- 결과: 2024 사이버 침해 시 RTO 18시간 달성 (BCM 없었으면 1주+), ISO 22301 인증 획득
- 기간: 22개월
사례 2: 식품 가공 (전북 익산)
- 매출 130억, HACCP 김치
- 도입 전: 2023 자재 결품으로 2주 정지, 클레임 8억원
- 도입: 협력사 다변화·자재 BCP·인력 백업
- 결과: 2024 핵심 자재 결품 시 RTO 36시간, 클레임 0건
- 기간: 18개월
사례 3: 전자부품 (경기 화성)
- 매출 480억, EMS·PCB
- 도입 전: 사이버 침해 위험 인식·BCP 없음
- 도입: 사이버 BCP·오프라인 백업·연 1회 시뮬레이션
- 결과: 2025 랜섬웨어 침해 시 24시간 복구 (보험사 비교 평균 14일), 사이버 보험 할인 35%
- 기간: 24개월
세 사례 공통점: 모두 실제 사고 경험이 BCM 도입의 직접 동기, 시험·훈련 정기 실시가 RTO 단축의 핵심.
자가 진단 체크리스트
다음 12가지 중 6개 이상 “예”라면 ISO 22301 도입 검토.
- 최근 3년간 라인 정지·시스템 마비·사이버 침해 사건이 있었는가
- 핵심 협력사 의존도 80% 이상인가
- 사이버 침해·랜섬웨어 위험을 인식했는가
- BCP가 없거나 형식적인가
- 핵심 인력 부재 시 대체 인력·절차 미정인가
- 단일 라인·단일 사업장 의존도 큰가
- 자동차 OEM·글로벌 고객이 BCM 요구할 가능성 있는가
- 사이버 보험·일반 보험 비용을 줄이고 싶은가
- 비상 연락망 외에 BCP 문서가 없는가
- 데이터 백업·복구 시험이 안 되는가
- 협력사 위험을 시각적으로 관리하지 않는가
- 코로나·반도체 결품 같은 사건에 대비 부족했는가
7개 이상이면 Phase 1 BIA부터 즉시 착수 권장.
마무리 — 위기 후 대응이 아니라 위기 전 준비
한국 제조사가 BCM을 미루는 가장 흔한 이유: “지금까지 큰 사고 없었으니까”. 문제는 한 번의 큰 사고가 회사를 무너뜨릴 수 있다는 점이다. 2022년 협력사 단일 화재로 도산한 한국 제조사가 8개 이상.
ISO 22301은 비싼 보험이 아니라 회사 생존을 위한 인프라다. 인증 비용 13억원으로 단일 사고 회피 효과 10100배. 코로나·랜섬웨어 같은 거대 사건에서 BCM 보유사의 손실은 미보유사의 1/5 수준.
핵심은 BIA부터 시작하기. 시간당·일당 손실액을 정량화하면 BCM의 우선순위가 자동으로 보인다. 그 후 핵심 시나리오 7~10개 BCP, 정기 시험·훈련 순.
CONTIS은 한국 중소·중견 제조 현장에서 SCRM·OT 사이버보안·ISO 27001·Skill Matrix·Risk Assessment Matrix와 통합한 ISO 22301 인증을 지원합니다. BIA·위험 평가·BCP 수립·시험·훈련·외부 심사까지 단계별 동행이 필요하면 상담 요청으로 문의 바랍니다.