왜 ISO 31000인가
한국 중소·중견 제조사의 위험관리 풍경:
- 안전: EHS·ISO 45001 부서
- 정보 보안: ISO 27001 IT 부서
- 재해·BCM: ISO 22301 일부
- 부패·컴플라이언스: ISO 37001 법무·감사
- 환경: ISO 14001 EHS
- 품질: ISO 9001·IATF
- 공급망: SCRM 구매
- 재무: 재무·회계
각 부서가 따로 위험을 본다. 통합 관점이 없다.
문제:
- 같은 위험을 여러 부서가 다르게 평가
- 위험들의 상호 작용·연쇄 효과 무시
- 임원이 회사 전체 위험을 못 봄
- ESG·투자자가 통합 위험 평가 요구
**ISO 31000(Risk Management·위험관리)**은 이 모든 위험을 통합 프레임으로 보는 국제 표준. 2009년 ISO 발간·2018년 개정. 인증이 아니라 지침 표준 (Guideline)이지만 ERM(Enterprise Risk Management) 글로벌 베스트 프랙티스.
핵심 원칙 8가지:
- 통합: 회사 거버넌스의 일부
- 구조화·포괄적: 체계적 접근
- 맞춤: 회사 상황에 맞춤
- 포용: 이해관계자 참여
- 동적: 변화에 대응
- 최선의 가용 정보: 데이터 기반
- 인적·문화적 요인: 사람 고려
- 지속 개선: 학습·개선
위험관리 프레임 7단계:
- 의사소통·협의
- 범위·맥락·기준
- 위험 평가 (식별·분석·평가)
- 위험 대응
- 모니터링·검토
- 기록·보고
- 통합 (조직 활동에 포함)
이 블로그는 한국 중소·중견 제조 환경에서 ISO 31000 5단계 도입 로드맵을 정리한다.
위험관리 성숙도 5단계
| 단계 | 상태 | 위험관리 운영 |
|---|---|---|
| L0 | 부서별 분절 | 통합 없음 |
| L1 | 위험 등록부 일부 | 형식적 |
| L2 | 전사 위험 평가 | 정기 검토 |
| L3 | ISO 31000 정착·ERM | 통합 운영 |
| L4 | 디지털·예측·생태계 | AI 보조 |
대부분 한국 중소·중견 제조사는 L0~L1. L2 이상이 글로벌·ESG 시대 표준.
Stage 1 — 진단·정책·범위 (4~6주)
1.1 현행 위험관리 진단
다음 8개 위험 영역의 현황 점검:
| 영역 | 책임 부서 | 표준·인증 |
|---|---|---|
| 안전·보건 | EHS | ISO 45001·KOSHA |
| 환경 | EHS | ISO 14001 |
| 정보 보안 | IT | ISO 27001 |
| 개인정보 | CPO·IT | ISO 27701·개보법 |
| 부패·컴플라이언스 | 법무 | ISO 37001 |
| 사업연속성 | EHS·BCM | ISO 22301 |
| 공급망 | 구매 | SCRM |
| 재무 | 재무 | 일반 |
| 품질 | 품질 | ISO 9001·IATF |
| 평판 | 영업·PR | 자율 |
각 영역의 위험관리 수준 평가. 통합 부재 영역 식별.
1.2 ISO 31000 원칙·프레임 학습
8개 원칙·7단계 프레임 학습:
- 임원 8시간
- 부서장 4시간
- 위험관리 전담자 16~24시간
1.3 위험관리 정책 수립
CEO 서명 정책:
- 위험관리가 회사 전략의 일부
- 리스크 식별·평가·대응이 모든 의사결정에 통합
- CEO 직속 CRO (Chief Risk Officer) 또는 ERM Committee 운영
- 정기 (분기·반기) 임원 리뷰
- 위험관리 예산·자원
1.4 위험 평가 기준
평가 기준 합의:
가능성 (Likelihood):
- 1 (매우 낮음·5년 1회 미만)
- 2 (낮음·5년 1회)
- 3 (보통·연 1회)
- 4 (높음·월 1회)
- 5 (매우 높음·주 1회)
영향도 (Impact):
- 1 (경미·1억원 미만)
- 2 (낮음·1~10억원)
- 3 (보통·10~50억원)
- 4 (큼·50~100억원)
- 5 (매우 큼·100억원 이상)
위험 점수 = 가능성 × 영향도 (1~25점)
회사·산업에 따라 기준 조정.
1.5 임원·CRO·부서 합의
- 임원: 18~24개월 통합 위험관리·예산
- CRO·ERM Committee: 통합 운영
- 부서장: 자기 영역 책임
- 직원: 일상 위험 식별·신고
Stage 1 산출물: 현행 위험관리 진단, ISO 31000 학습 자료, CEO 서명 정책, 평가 기준, CRO·합의문.
Stage 2 — 위험 식별·평가 (12~16주)
2.1 전사 위험 인벤토리
회사가 직면한 모든 위험 식별:
전략 위험:
- 시장 변화·신기술
- 경쟁사·신규 진입
- 고객·수요 변동
- M&A·신사업
운영 위험:
- 라인 정지·설비 고장
- 자재 결품·공급망
- 인력 부족·이직
- 품질 사고·클레임
재무 위험:
- 매출 변동·미수금
- 환율·금리
- 자금 유동성
- 투자 손실
법규·컴플라이언스 위험:
- 법규 변경·위반
- 청탁금지·공정거래
- 환경·안전 법규
- 개인정보·보안
평판 위험:
- 사회적 비판·SNS
- ESG 평가
- 고객·시장 신뢰
- 직원 만족
자연·기술 위험:
- 자연재해·기후변화
- 사이버 침해
- IT 시스템 다운
- 신기술 변화
회사당 100~300개 위험 식별 일반적.
2.2 위험 평가
각 위험에 가능성·영향도 평가:
| 위험 | 가능성 | 영향도 | 점수 | 우선순위 |
|---|---|---|---|---|
| 사이버 침해 | 4 | 5 | 20 | 최고 |
| 협력사 화재 | 3 | 5 | 15 | 높음 |
| 핵심 인력 이직 | 4 | 3 | 12 | 높음 |
| 환율 변동 | 4 | 3 | 12 | 높음 |
| … |
점수 15 이상 = 즉시 대응. 1014 = 우선 대응. 59 = 모니터링.
2.3 위험 상호 작용·연쇄
위험들의 상호 작용:
- 협력사 화재 → 자재 결품 → 라인 정지 → 클레임 → 평판 → 매출
- 사이버 침해 → 개인정보 유출 → 평판·법규 → 매출
- 핵심 인력 이직 → 노하우 손실 → 품질 → 클레임
연쇄 효과를 시각화하면 단일 위험 평가보다 정확.
2.4 위험 등록부 (Risk Register)
전사 위험 등록부 구축:
| 위험 ID | 분류 | 설명 | 가능성 | 영향 | 점수 | 책임자 | 대응 |
|---|---|---|---|---|---|---|---|
| R-001 | 사이버 | 랜섬웨어 | 4 | 5 | 20 | CIO | ISO 27001 |
| R-002 | 공급망 | 협력사 화재 | 3 | 5 | 15 | 구매장 | SCRM |
| … |
각 위험에 책임자·대응 방안·검토 주기.
2.5 분기·반기 갱신
위험은 정적이지 않다. 정기 갱신:
- 분기: 점수·우선순위 재평가
- 반기: 신규 위험 추가
- 연 1회: 전체 재검토
- 중대 변경 시: 즉시 (M&A·신사업·법규 변경)
Stage 2 산출물: 전사 위험 인벤토리, 위험 평가 매트릭스, 위험 상호작용·연쇄 다이어그램, 위험 등록부.
Stage 3 — 위험 대응·통제 (지속)
3.1 위험 대응 4전략
각 위험에 4전략 중 선택:
| 전략 | 내용 | 적합 시점 |
|---|---|---|
| 회피 (Avoid) | 위험 활동 중단 | 영향 매우 크고 회피 가능 |
| 감소 (Reduce) | 가능성·영향 감소 | 가장 일반적 |
| 이전 (Transfer) | 보험·아웃소싱 | 재무 영향 큰 위험 |
| 수용 (Accept) | 위험 인지·감수 | 영향 작거나 통제 불가 |
각 위험에 어느 전략이 적합한지 평가·결정.
3.2 위험별 통제 설계
전략별 구체 통제:
감소 통제 예시:
- 사이버: ISO 27001·방화벽·교육
- 공급망: SCRM·다변화·안전재고
- 인력: Skill Matrix·다능공·승계 계획
- 법규: 컴플라이언스 시스템·교육
- 품질: SPC·6시그마·FMEA
이전 통제 예시:
- 보험 (재해·사이버·임원 책임)
- 아웃소싱
- 협력사 책임 계약
- 헤징 (환율·원자재)
수용 통제 예시:
- 외부 환경 변화 (대응 어려움)
- 자연재해 (BCM으로 보조)
- 일부 시장 변동
3.3 위험 모니터링 지표 (KRI)
각 핵심 위험에 KRI (Key Risk Indicator):
| 위험 | KRI |
|---|---|
| 사이버 | 침해 시도·취약점·교육 이수율 |
| 공급망 | 협력사 평가·재고·결품 빈도 |
| 인력 | 이직률·만족도·다능공률 |
| 품질 | Cpk·클레임·재작업 |
| 재무 | 미수금·유동성·환율 |
KRI 임계치 초과 시 자동 알람.
3.4 기존 인증·시스템 통합
ISO 31000은 통합 프레임:
- ISO 9001 (품질)
- ISO 14001 (환경)
- ISO 45001 (안전)
- ISO 22301 (BCM)
- ISO 27001 (정보보안)
- ISO 27701 (개인정보)
- ISO 37001 (부패방지)
- SCRM (공급망)
각 인증의 위험 평가가 ISO 31000 등록부에 통합.
3.5 의사소통·협의
위험관리는 의사소통이 핵심:
- 분기 ERM Committee 회의
- 부서장·위험 책임자 정기 회의
- 직원 위험 신고 채널
- 외부 이해관계자 (협력사·고객·투자자)
- 이사회 보고
Stage 3 산출물: 위험별 대응 전략, 통제 설계, KRI 시스템, 기존 인증 통합, 의사소통 계획.
Stage 4 — 외부 통합·인증 연계 (지속)
4.1 ISO 31000 인증?
ISO 31000은 인증 표준이 아니라 지침 표준이다. 별도 인증서 발급 안 됨.
대신 활용:
- ERM (Enterprise Risk Management) 체계 구축의 표준
- 다른 인증 (ISO 22301·37001·27001 등)에 통합
- ESG 평가 응답
- 투자자·이사회 보고
4.2 ESG 통합
ESG의 G(거버넌스) 핵심 요소:
- E (환경) 위험 → ISO 31000 환경 영역
- S (사회) 위험 → 사회 영역
- G (거버넌스) 위험 → 거버넌스 영역
ESG 보고서·평가 기관 (MSCI·DJSI·KCGS)에 ISO 31000 기반 위험관리 제시.
4.3 이사회 보고
분기 이사회 보고:
- Top 10 위험·점수
- 위험 트렌드 (개선·악화)
- 대응 진척
- 신규·이슈 위험
- 위험 예산·자원
이사회가 회사 전체 위험을 한눈에 봄.
4.4 투자자·은행 응답
- 투자자: ERM·ISO 31000 기반 위험 평가
- 은행: 재무 안정성·위험 관리
- 보험사: 보험료·범위
- 등급평가 (신용·ESG): 위험관리 평가
ISO 31000 정착 회사 = 등급평가 +10~20%.
4.5 협력사·고객 위험 공유
- 협력사 위험 평가 공유·통합
- 고객 위험 요구 응답
- 공급망 위험 통합
Stage 4 산출물: ERM Committee 운영, ESG 통합 보고서, 이사회 보고, 투자자·은행 응답, 협력사·고객 위험 공유.
Stage 5 — 디지털·AI·문화 정착 (지속·1~3년)
5.1 디지털 ERM 시스템
BI·자체 시스템:
- 위험 등록부 디지털
- KRI 실시간 모니터링
- 임계치 초과 자동 알람
- 위험 상호작용 시뮬레이션
- 이사회·임원 대시보드
5.2 AI 위험 예측
AI 활용:
- 협력사 파산 위험 예측 (재무·뉴스 분석)
- 사이버 침해 패턴 자동 감지
- 자연재해 사전 알람
- 법규 변경 자동 모니터링
- 직원 이직 위험 예측 (신중 활용)
5.3 Digital Twin 위험
가상 시뮬레이션:
- 위험 발생 시 영향 시뮬레이션
- 대응 전략 효과 검증
- What-if 시나리오 (예: “이 협력사 파산 시”)
5.4 위험 문화 (Risk Culture)
회사 전체가 위험을 일상에서 인식:
- 임원 의사결정에 위험 고려
- 직원 위험 신고·제안 일상화
- Suggestion System 위험 카테고리
- Hansei에서 위험 회고
- 신입 교육·승진 시 위험 학습
5.5 위험 관리 성숙도 평가
연 1회 자체 평가:
- 11개 축 (LNS·OECD 기반)
- 산업 평균 대비
- 개선 영역
5.6 KPI
위험관리 KPI:
- 위험 등록부 갱신 빈도
- KRI 임계치 위반 수
- 위험 실현 (사고) 발생 수
- 위험 대응 완료율
- 이사회 보고 정기성
- 직원 위험 신고 수 (증가 = 문화 정착)
- ESG·신용 평가 점수
Stage 5 산출물: 디지털 ERM 시스템, AI 위험 예측, Digital Twin 위험, 위험 문화·평가, KPI 대시보드.
비용·일정 가이드
| 항목 | 소규모(매출 100억) | 중규모(500억) | 중견(2,000억) |
|---|---|---|---|
| 외부 컨설팅 | 3~7천만원 | 1~3억원 | 3~7억원 |
| 위험 인벤토리·등록부 | 1~3천만원 | 3~7천만원 | 1~3억원 |
| KRI·통제 시스템 | 1~3천만원 | 3천만~1.5억원 | 1.5~5억원 |
| 디지털 ERM 시스템 | 5천만~2억원 | 2~5억원 | 5~15억원 |
| 교육·문화 | 1~3천만원 | 3천만~1억원 | 1~3억원 |
| 외부 컨설팅·평가 (연) | 5백~1.5천만원 | 1~3천만원 | 3천만~1억원 |
| 합계 (1차 구축) | 1~5억원 | 5~15억원 | 15~50억원 |
| 1차 정착 기간 | 12~18개월 | 18~24개월 | 24~36개월 |
ROI는 정량 측정 어려움. 단일 위험 실현 회피 + 신용·ESG 평가 향상 + 보험료 절감으로 회수.
ISO 31000 vs 개별 ISO vs 자체 ERM 비교
| 항목 | ISO 31000 | 개별 ISO (9001·14001·45001 등) | 자체 ERM |
|---|---|---|---|
| 본질 | 위험관리 우산 표준 | 각 영역 표준 | 회사 자체 |
| 인증 | 지침 (인증 없음) | 인증 가능 | 없음 |
| 범위 | 전사·모든 위험 | 영역별 | 회사별 |
| 통합 | 다른 인증과 통합 | 단독 운영 | 부분적 |
| 글로벌 인정 | 있음 (ISO 표준) | 있음 (각 인증) | 없음 |
| 한국 적용 | 인증 없어 보유율 낮음 | 영역별 보편 | 일부 대기업 |
관계: ISO 31000은 우산 표준. 다른 ISO 인증·SCRM·ERM이 그 안에 통합.
한국 중소·중견 적용 사례
사례 1: 자동차 부품 (충남 천안)
- 매출 480억, IATF·ISO 14001·45001·22301 보유
- 도입 전: 각 인증의 위험이 분절 관리, 임원이 통합 위험 모름
- 도입: ISO 31000 우산 + 통합 ERM Committee
- 결과: 이사회 위험 보고 분기 1회, ESG 평가 +28점, 신용 +1등급, 보험료 -22%
- 기간: 18개월
사례 2: 식품 가공 (전북 익산)
- 매출 130억, HACCP·FSSC 22000·22301
- 도입 전: 위험관리 분산, 영업·재무 위험 따로
- 도입: ISO 31000 + 디지털 KRI
- 결과: 사고·클레임 -45%, 매출 변동 대응 빠름, 영업이익률 +1.8%p
- 기간: 14개월
사례 3: 전자부품 (경기 화성)
- 매출 380억, 글로벌 OEM 협력사
- 도입 전: 위험관리 형식적, ESG 평가 응답 부족
- 도입: ISO 31000 + AI 위험 예측
- 결과: 글로벌 OEM 평가 가점, ESG 평가 +35점, 사이버 사고 -75%
- 기간: 22개월
세 사례 공통점: 모두 이미 보유한 개별 인증을 ISO 31000 우산으로 통합, 이사회·임원 통합 위험 시각화가 효과 핵심.
자가 진단 체크리스트
다음 12가지 중 6개 이상 “예”라면 ISO 31000 도입 검토.
- 부서별로 위험관리가 분절되어 있는가
- 임원이 회사 전체 위험을 한눈에 보지 못하는가
- 같은 위험을 여러 부서가 다르게 평가하는가
- 위험 등록부·KRI가 없거나 형식적인가
- 위험 상호작용·연쇄 효과를 모르는가
- 분기·반기 위험 갱신이 안 되는가
- ESG·투자자 위험 평가 응답이 어려운가
- 신용 평가·등급에 영향을 받는가
- 이미 ISO 9001·14001·45001 등 인증을 보유했는가
- 사고·실패 시 이미 알았어야 할 신호를 못 잡았는가
- 협력사·고객 위험을 통합 관리 못 하는가
- 이사회·임원 위험 보고가 형식적인가
7개 이상이면 Phase 1 진단부터 즉시 착수 권장.
마무리 — 인증의 우산, ERM의 표준
한국 제조사가 ISO 9001·14001·45001·22301·27001·37001 등 인증을 따로 운영하면 중복 작업 70%·시너지 30%. 같은 회사·같은 직원이 같은 위험을 7번 평가한다.
ISO 31000은 이 모든 인증의 우산 표준. 한 번의 위험 평가가 7개 인증에 동시 사용. 임원이 통합 위험을 본다. 이사회·투자자·등급평가 응답이 일관된다.
핵심은 이미 보유한 인증의 통합. ISO 31000 별도 인증이 아니라 기존 인증의 통합 운영. 비용·기간 적고 효과 큼.
CONTIS은 한국 중소·중견 제조 현장에서 ISO 9001·14001·45001·22301·27001·27701·37001·SCRM·ESG·BI·AI와 통합한 ISO 31000 도입을 지원합니다. 진단·위험 인벤토리·통제·디지털 ERM·이사회 보고까지 단계별 동행이 필요하면 상담 요청으로 문의 바랍니다.