리스크관리

이 기사는 검증을 위해 추가 인용이 필요합니다. 신뢰할 수 있는 출처에 인용문을 추가하여 이 기사를 개선하는 데 도움을 주시기 바랍니다. 미가공 재료는 도전하여 제거할 수 있습니다. 출처: "리스크 관리" – 뉴스·신문·도서·학자·JSTOR (2014년 1월) (이 템플릿 메시지를 제거하는 방법과 시기에 대해 알아보십시오.)

위험 관리는 위험을 식별, 평가 및 우선순위를 매기고(ISO 31000에서 목표에 대한 불확실성의 영향으로 정의됨), 그리고 불행한 사건의^[1] 확률이나 영향을 최소화, 모니터링 및 통제하거나 기회의 실현을 극대화하기 위해 자원을 조정되고 경제적으로 적용하는 것입니다.

위험은 국제 시장의 불확실성, 정치적 불안정성, 프로젝트 실패로 인한 위협(설계, 개발, 생산 또는 수명 주기 유지의 모든 단계), 법적 책임, 신용 위험, 사고, 자연적 원인 및 재해, 상대국의 의도적 공격 등 다양한 출처에서 발생할 수 있습니다. 또는 불확실하거나 예측할 수 없는 근본 원인의 사건.

두 가지 유형의 이벤트가 있습니다. 즉, 부정적인 이벤트는 위험으로 분류될 수 있고 긍정적인 이벤트는 기회로 분류됩니다. 리스크 관리 표준은 프로젝트 관리원, 국가표준기술원, 보험계리학회, ISO 표준(제품의 고장을 줄이고 보다 효율적으로 작업할 수 있도록 지원하는 품질 관리 표준) 등 다양한 기관에서 개발되었습니다.^[2][3][4] 위험 관리 방법이 프로젝트 관리, 보안, 엔지니어링, 산업 프로세스, 재무 포트폴리오, 보험 회계 평가 또는 공중 보건 및 안전의 맥락에 있는지에 따라 방법, 정의 및 목표가 매우 다양합니다. 특정 리스크 관리 기준은 리스크에 대한 측정 가능한 개선이 없다는 비판을 받아온 반면, 추정 및 결정에 대한 신뢰도는 높아지는 것으로 보입니다.^[1]

위협(부정적인 결과를 초래하는 불확실성)을 관리하기 위한 전략에는 일반적으로 위협 회피, 위협의 부정적인 영향 또는 확률 감소, 위협의 전부 또는 일부를 다른 당사자에게 이전하는 것, 특정 위협의 잠재적 또는 실제 결과의 일부 또는 전부를 유지하는 것 등이 포함됩니다. 이러한 전략의 반대는 기회(혜택이 있는 불확실한 미래 상태)에 대응하는 데 사용될 수 있습니다.

전문적인 역할로서 리스크 관리자는^[5] "조직의 종합적인 보험 및 리스크 관리 프로그램을 감독하고, 조직의 평판, 안전, 보안 또는 재정적 성공을 저해할 수 있는 리스크를 평가 및 식별"한 다음, 부정적인 (재정적) 결과를 최소화 및/또는 완화하기 위한 계획을 수립합니다. 리스크 분석가는 조직의 리스크 관리 접근 방식의 기술적 측면을 지지합니다. 리스크 데이터가 집계되고 평가되면 분석가는 이러한 통찰력을 활용하여 가능한 해결책을 결정하는 관리자와 결과를 공유합니다. 최고 위험 책임자, 내부 감사 및 재무 위험 관리 § 기업 재무도 참조하십시오.

소개

위험 관리는 1920년대 이후 과학 및 관리 문헌에 등장합니다. 1950년대에 도서관 검색에서도 제목에 '위험 관리'가 있는 글과 책이 등장하면서 정식 과학이 되었습니다.^[7] 대부분의 연구는 초기에 금융 및 보험과 관련이 있었습니다.

위험 관리를 위해 널리 사용되는 어휘는 ISO 가이드 73:2009, "위험 관리"에 의해 정의됩니다. 어휘."^[2]

이상적인 위험 관리에서는 손실(또는 영향)이 가장 크고 발생 가능성이 가장 높은 위험을 우선적으로 처리하는 우선순위 지정 프로세스가 뒤따릅니다. 발생 확률이 낮고 손실이 적은 위험은 내림차순으로 처리합니다. 실제로 전체 위험을 평가하는 과정은 어려울 수 있으며, 발생 가능성이 높지만 손실이 적은 위험과 손실이 크지만 발생 가능성이 낮은 위험 간의 균형을 맞추는 데 사용되는 리소스는 종종 잘못 처리될 수 있습니다.

무형 위험 관리는 발생 확률이 100%이지만 식별 능력이 부족하여 조직에서 무시되는 새로운 유형의 위험을 식별합니다. 예를 들어, 부족한 지식이 상황에 적용되면 지식 위험이 구체화됩니다. 관계 위험은 비효율적인 협업이 발생할 때 나타납니다. 비효율적인 운영 절차가 적용되는 경우 프로세스 참여 위험이 문제가 될 수 있습니다. 이러한 위험은 지식 근로자의 생산성을 직접적으로 감소시키고, 비용 효율성, 수익성, 서비스, 품질, 평판, 브랜드 가치 및 수익 품질을 저하시킵니다. 무형의 위험 관리를 통해 위험 관리는 생산성을 감소시키는 위험의 식별 및 감소로부터 즉각적인 가치를 창출할 수 있습니다.

기회 비용은 리스크 관리자에게 고유한 과제를 나타냅니다. 리스크 관리를 위해 언제 리소스를 투입해야 하는지, 언제 해당 리소스를 다른 곳에 사용해야 하는지 판단하기 어려울 수 있습니다. 다시 말하지만, 이상적인 위험 관리는 지출(또는 인력 또는 기타 리소스)을 최소화하고 위험의 부정적인 영향을 최소화합니다.

위험은 목적 달성에 악영향을 미치는 사건이 발생할 가능성으로 정의됩니다. 따라서 불확실성은 위험의 핵심 요소입니다. Troadway Commission Enterprise Risk Management(COSO ERM)의 후원 기관 위원회와 같은 시스템은 위험 요소를 완화하는 데 관리자를 도울 수 있습니다. 각 회사마다 내부 제어 구성 요소가 다를 수 있으며, 이로 인해 다른 결과가 발생할 수 있습니다. 예를 들어 ERM 구성 요소의 프레임워크에는 내부 환경, 목표 설정, 이벤트 식별, 위험 평가, 위험 대응, 제어 활동, 정보 및 통신 및 모니터링이 포함됩니다.

위험 대 기회

기회는 1990년대에 학술연구나 경영서적에 처음 등장합니다. 1987년 최초의 PMBoK 프로젝트 관리 기관 초안에는 기회가 전혀 언급되어 있지 않습니다.

현대 프로젝트 관리 학교는 기회의 중요성을 인식하고 있습니다. 기회는 1990년대부터 프로젝트 관리 문헌에 포함되어 왔으며,^[8] 2000년대에 "기회 관리"라는 제목의 기사가 라이브러리 검색에도 나타나기 시작하면서 프로젝트 위험 관리의 중요한 부분이 되었습니다. 따라서 기회 관리는 위험 관리의 중요한 부분이 되었습니다.

현대의 위험 관리 이론은 긍정적이고 부정적인 모든 유형의 외부 사건을 다룹니다. 긍정적인 위험을 기회라고 합니다. 위험과 마찬가지로 기회에는 구체적인 완화 전략(이용, 공유, 강화, 무시)이 있습니다.

실제로 위험은 "보통 부정적"으로 간주됩니다. 위험 관련 연구와 실습은 기회보다는 위협에 훨씬 더 중점을 둡니다. 이로 인해 표적 고정과^[9] 같은 부정적인 현상이 발생할 수 있습니다.

방법

대부분의 경우 이러한 방법은 다음과 같은 요소로 구성되며, 어느 정도 수행됩니다.

1. 위협 요소 식별
2. 특정 위협에 대한 중요 자산의 취약성 평가
3. 위험(예: 특정 유형의 공격이 특정 자산에 미치는 예상 가능성 및 결과) 파악
4. 이러한 위험을 줄이는 방법을 파악합니다.
5. 리스크 저감 대책의 우선순위 설정

Project Management Body of Knowledge PMBoK에서 정의한 Risk Management 지식 영역은 다음 프로세스로 구성됩니다.

1. Plan Risk Management – 위험 관리 활동을 수행하는 방법을 정의합니다.
2. 리스크 식별 – 개별 프로젝트 리스크와 소스를 식별합니다.
3. 정성적 위험 분석 수행 – 확률과 영향을 평가하여 개별 프로젝트 위험의 우선순위를 지정합니다.
4. 정량적 위험 분석 – 효과에 대한 수치 분석을 수행합니다.
5. 위험 대응 계획 – 옵션 개발, 전략 및 조치 선택
6. 위험 대응 구현 – 합의된 위험 대응 계획 구현 PMBoK 제4판에서는 이 과정이 Monitor and Control 과정의 하나의 활동으로 포함되었으나, 이후 PMBoK 제6판에서는 별개의 과정으로 분리되었습니다.^[10]
7. 리스크 모니터링 – 구현 모니터링. 이 프로세스는 이전 PMBoK 4th Ed.에서 "위험 대응 구현" 프로세스를 포함하는 Monitor and Control로 알려졌습니다.

원칙

국제 표준화 기구(ISO)는 다음과 같은 위험 관리 원칙을 식별합니다.^[11]

리스크 관리는 다음과 같이 해야 합니다.

• 가치 창출 – 위험을 완화하기 위해 지출되는 리소스가 무활동으로 인한 결과보다 적어야 함
• 조직 프로세스의 필수적인 부분이 됨
• 의사 결정 과정에 참여합니다.
• 불확실성과 가정을 명시적으로 해결합니다.
• 체계적이고 구조화된 프로세스가 될 것
• 사용 가능한 최상의 정보를 기반으로 합니다.
• 맞춤형
• 인적 요소를 고려합니다.
• 투명하고 포괄적입니다.
• 역동적이고 반복적이며 변화에 대응할 수 있어야 함
• 지속적인 개선 및 개선이 가능합니다.
• 지속적 또는 주기적으로 재평가

경미한 위험 대비 야생 위험

Benoit Mandelbrot는 "경미한" 위험과 "야생적인" 위험을 구분하고 두 가지 유형의 위험에 대해 위험 평가와 관리가 근본적으로 달라야 한다고 주장했습니다.^[12] 경미한 위험은 정규 분포 또는 거의 정규 확률 분포를 따르고 평균과 큰 수의 법칙에 따라 회귀하므로 상대적으로 예측 가능합니다. 야생 위험은 지방 꼬리 분포(예: 파레토 또는 거듭제곱 법칙 분포)를 따르며, 꼬리에 대한 회귀(무한 평균 또는 분산, 큰 수의 법칙을 무효 또는 무효로 만드는 것)가 적용되므로 예측하기 어렵거나 불가능합니다. Mandelbrot에 따르면 위험 평가 및 관리의 일반적인 오류는 위험이 실제로 야생일 때 경미하다고 가정하고 위험의 야생성을 과소평가하는 것이며, 위험 평가 및 관리가 유효하고 신뢰할 수 있으려면 피해야 합니다.

과정

표준 ISO 31000 – "리스크 관리 – 구현에 관한 원칙 및 지침"^[3]에 따라 리스크 관리 프로세스는 다음과 같이 여러 단계로 구성됩니다.

콘텍스트 설정

여기에는 다음이 포함됩니다.

1. 문맥을 관찰하기
   • 리스크 관리의 사회적 범위
   • 이해관계자의 신원과 목적
   • 위험을 평가할 기준, 제약 조건
2. 활동에 대한 프레임워크와 식별을 위한 의제 정의
3. 프로세스에 관련된 위험 분석 개발
4. 이용 가능한 기술, 인적, 조직 자원을 이용한 위험의 완화 또는 해결

신분증

컨텍스트를 구축한 후 위험 관리 프로세스의 다음 단계는 잠재적인 위험을 식별하는 것입니다. 위험은 트리거될 때 문제나 이익을 유발하는 이벤트에 관한 것입니다. 따라서 위험 식별은 문제의 근원과 경쟁사의 문제(이익) 또는 문제의 결과에서 시작할 수 있습니다.

• 소스 분석^[13] – 리스크 소스는 리스크 관리의 대상이 되는 시스템의 내부 또는 외부에 있을 수 있습니다(자체 정의에 따르면 리스크는 관리할 수 없는 의사 결정 요소를 다루기 때문에 관리 대신 완화를 사용합니다).

위험원의 예로는 프로젝트의 이해관계자, 회사의 직원 또는 공항의 날씨가 있습니다.

• 문제 분석^{[citation needed]} – 위험은 확인된 위협과 관련이 있습니다. 예를 들어, 손실 위협, 기밀 정보 남용 위협 또는 인적 오류, 사고 및 인명 피해 위협 등이 있습니다. 위협은 주주, 고객 및 정부와 같은 입법 기관과 가장 중요한 다양한 기관에 존재할 수 있습니다.

소스 또는 문제가 알려진 경우 소스가 트리거할 수 있는 이벤트 또는 문제를 유발할 수 있는 이벤트를 조사할 수 있습니다. 예를 들어, 프로젝트 중에 철수하는 이해관계자는 프로젝트의 자금을 위험에 빠뜨릴 수 있습니다. 기밀 정보는 폐쇄된 네트워크 내에서도 직원에 의해 도난당할 수 있습니다. 이륙 중에 항공기에 부딪히는 번개는 탑승한 모든 사람들을 즉각적인 사상자로 만들 수 있습니다.

위험을 식별하는 선택된 방법은 문화, 업계 관행 및 규정 준수에 따라 달라질 수 있습니다. 식별 방법은 템플릿 또는 소스, 문제 또는 이벤트를 식별하기 위한 템플릿 개발에 의해 형성됩니다. 일반적인 위험 식별 방법은 다음과 같습니다.

• 목표 기반 위험 식별^{[citation needed]} – 조직과 프로젝트 팀은 목표를 가지고 있습니다. 목표 달성을 방해할 수 있는 모든 이벤트는 위험으로 식별됩니다.
• 시나리오 기반 위험 식별 – 시나리오 분석에서는 다양한 시나리오가 생성됩니다. 시나리오는 목표를 달성하기 위한 대안적인 방법일 수도 있고, 예를 들어 시장이나 전투에서 힘의 상호 작용을 분석할 수도 있습니다. 원치 않는 시나리오 대안을 유발하는 모든 이벤트는 위험으로 식별됩니다. 미래학자들이 사용하는 방법론은 미래학 연구를 참조하십시오.
• 분류법 기반 위험 식별 – 분류법 기반 위험 식별의 분류법은 가능한 위험원을 분류한 것입니다. 모범 사례 분류 및 지식을 바탕으로 설문지를 작성합니다. 질문에 대한 답변은 위험을 나타냅니다.^[14]
• 공통 위험 점검^[15] – 여러 산업에서 알려진 위험이 있는 목록을 사용할 수 있습니다. 목록의 각 위험은 특정 상황에 적용하기 위해 확인할 수 있습니다.^[16]
• 리스크 차트^[17] – 이 방법은 위험에 처한 리소스, 해당 리소스에 대한 위협, 회피하고자 하는 위험 및 결과를 증가 또는 감소시킬 수 있는 수정 요소를 나열하여 위의 접근 방식을 결합합니다. 이러한 제목 아래에 행렬을 만들면 다양한 접근 방식이 가능합니다. 리소스부터 시작하여 리소스가 노출되는 위협과 각각의 결과를 고려할 수 있습니다. 또는 위협으로부터 시작하여 위협이 어떤 리소스에 영향을 미칠지 검토할 수도 있고, 결과로부터 시작하여 위협과 리소스의 조합이 어떤 위협을 가져올지 결정할 수도 있습니다.

평가

위험이 확인되면 잠재적인 영향의 심각성(일반적으로 손상 또는 손실과 같은 부정적인 영향)과 발생 가능성을 평가해야 합니다. 이러한 수량은 분실된 건물의 가치의 경우 측정이 간단하거나 발생 가능성이 알려지지 않은 경우 확실하게 알 수 없습니다. 따라서 평가 프로세스에서는 리스크 관리 계획의 실행을 우선시하기 위해 교육을 받은 최선의 결정을 내리는 것이 중요합니다.

단기적으로 긍정적인 개선을 하더라도 장기적으로 부정적인 영향을 미칠 수 있습니다. "턴파이크"의 예를 들어 보겠습니다. 고속도로는 더 많은 교통량을 허용하기 위해 확장됩니다. 더 많은 트래픽 용량은 향상된 트래픽 용량을 둘러싼 지역에서 더 큰 발전으로 이어집니다. 시간이 지남에 따라 가용 용량을 채우기 위해 트래픽이 증가합니다. 따라서 턴피크는 겉보기에는 끝이 없어 보이는 주기로 확장해야 합니다. 확장된 용량(어떤 기능이든 수행할 수 있는)이 곧 수요 증가로 채워지는 다른 많은 엔지니어링 사례가 있습니다. 확장에는 비용이 들기 때문에 예측 및 관리 없이는 결과적인 성장이 지속 불가능해질 수 있습니다.

위험 평가의 근본적인 어려움은 모든 종류의 과거 사고에 대한 통계 정보를 얻을 수 없고, 재난적인 사건의 경우 단지 발생 빈도가 적기 때문에 특히 부족하기 때문에 발생률을 결정하는 것입니다. 또한 무형 자산의 경우 결과(영향)의 심각성을 평가하는 것이 상당히 어려운 경우가 많습니다. 자산 가치 평가는 해결해야 할 또 다른 문제입니다. 따라서 가장 잘 교육된 의견과 이용 가능한 통계가 주요 정보원입니다. 그럼에도 불구하고 리스크 평가는 조직의 고위 경영진을 대상으로 주요 리스크를 이해하기 쉽고 전체 회사 목표 내에서 리스크 관리 결정이 우선시될 수 있는 정보를 제공해야 합니다. 따라서 위험을 정량화하기 위한 몇 가지 이론과 시도가 있었습니다. 수많은 다양한 위험 공식이 존재하지만, 위험 정량화를 위해 가장 널리 사용되는 공식은 "발생 속도(또는 확률)에 사건의 영향을 곱하면 위험 크기와 같다"입니다.^[vague]

위험옵션

위험 완화 조치는 일반적으로 다음과 같은 주요 위험 옵션 중 하나 이상에 따라 공식화됩니다.

1. 처음부터 적절한 위험 관리 및 억제 조치를 내장하여 새로운 비즈니스 프로세스를 설계합니다.
2. 진행 중인 프로세스에서 받아들여지는 위험을 비즈니스 운영의 정상적인 특징으로 주기적으로 재평가하고 완화 조치를 수정합니다.
3. 외부기관(예: 보험회사)에 대한 위험이전
4. 위험을 완전히 방지합니다(예: 특정 고위험 사업 영역을 폐쇄함).

이후 연구에^[18] 따르면 위험 관리의 재정적 이점은 사용된 공식에 덜 의존적이지만 위험 평가를 수행하는 빈도와 방법에 더 의존적인 것으로 나타났습니다.

비즈니스에서는 위험 평가 결과를 재무, 시장 또는 일정 조건으로 제시할 수 있어야 합니다. Robert Courtney Jr.(IBM, 1970)는 재무적인 측면에서 위험을 나타내는 공식을 제안했습니다. 코트니 공식은 미국 정부기관의 공식적인 리스크 분석 방법으로 받아들여졌습니다. 이 공식은 ALE(연간 손실 기대치) 계산을 제안하고 예상 손실 값을 보안 제어 구현 비용(비용-편익 분석)과 비교합니다.

잠재적 위험 치료법

리스크가 확인되고 평가되면 리스크를 관리하기 위한 모든 기법은 다음의 4가지 주요 범주 중 하나 또는 그 이상에 해당합니다.^[19]

• 회피(제거, 탈퇴 또는 관여하지 않음)
• 절감(최적화 – 완화)
• 공유(이전 – 아웃소싱 또는 보험)
• 보존(수용 및 예산)

이러한 위험 통제 전략을 이상적으로 사용하는 것은 불가능할 수 있습니다. 그 중 일부는 위험 관리 결정을 내리는 조직이나 담당자가 받아들일 수 없는 절충안을 포함할 수 있습니다. 미국 국방부(링크 참조)의 또 다른 소식통은 이러한 범주를 회피, 통제, 수락 또는 전송을 위한 ACAT라고 부릅니다. 이러한 ACAT 약자의 사용은 리스크 관리가 의사 결정 및 계획에서 두드러지게 나타나는 미국 방위 산업 조달에 사용되는 또 다른 ACAT(획득 범주용)을 연상시킵니다.

위험과 마찬가지로 기회에는 구체적인 완화 전략(이용, 공유, 강화, 무시)이 있습니다.

위험회피

여기에는 위험을 나타낼 수 있는 활동을 수행하지 않는 것이 포함됩니다. 법적 책임을 피하기 위해 부동산이나 사업 구매를 거부하는 것이 그러한 예 중 하나입니다. 납치를 우려하여 비행기 비행을 피하는 것. 회피는 모든 위험에 대한 답처럼 보일 수 있지만, 위험을 회피하는 것은 위험을 수용(유지)할 수 있는 잠재적 이득을 잃는 것을 의미하기도 합니다. 손실 위험을 피하기 위해 사업에 진출하지 않는 것도 이익을 얻을 수 있는 가능성을 피합니다. 병원에서 위험 규제가 증가함에 따라 더 높은 위험 조건을 치료하는 것을 피하고 환자가 더 낮은 위험을 제시하는 것을 선호하게 되었습니다.^[20]

위험감소

위험 감소 또는 "최적화"는 손실의 심각성 또는 손실 발생 가능성을 줄이는 것을 포함합니다. 예를 들어, 스프링클러는 화재로 인한 손실 위험을 줄이기 위해 화재를 진압하도록 설계되었습니다. 이 방법은 물 손상으로 인해 더 큰 손실을 초래할 수 있으므로 적합하지 않을 수 있습니다. 할론 화재 억제 시스템은 이러한 위험을 완화할 수 있지만 전략적으로는 비용이 엄청날 수 있습니다.

위험이 긍정적일 수도 부정적일 수도 있음을 인정하고, 위험을 최적화한다는 것은 부정적인 위험과 운영 또는 활동의 이익, 그리고 위험 감소와 노력 사이의 균형을 찾는 것을 의미합니다. HSE(Health, Safety and Environment) 관리 표준을 효과적으로 적용함으로써 조직은 견딜 수 있는 수준의 잔여 위험을 달성할 수 있습니다.^[21]

최신 소프트웨어 개발 방법론은 소프트웨어를 점진적으로 개발하고 제공함으로써 위험을 줄입니다. 초기 방법론은 개발의 마지막 단계에서만 소프트웨어를 제공한다는 사실로 어려움을 겪었습니다. 초기 단계에서 발생하는 모든 문제는 비용이 많이 드는 재작업을 의미하며 종종 전체 프로젝트를 위태롭게 했습니다. 소프트웨어 프로젝트는 반복 개발을 통해 낭비되는 노력을 단일 반복으로 제한할 수 있습니다.

아웃소싱은 아웃소싱업체가 리스크를 관리하거나 줄이는 데 있어 더 높은 역량을 발휘할 수 있는 경우 리스크 공유 전략의 한 예가 될 수 있습니다.^[22] 예를 들어, 회사는 비즈니스 관리 자체를 처리하면서 소프트웨어 개발, 하드 제품 제조 또는 고객 지원 요구 사항만 다른 회사에 아웃소싱할 수 있습니다. 이렇게 하면 제조 과정이나 개발팀 관리, 센터의 물리적 위치를 찾지 않아도 회사가 비즈니스 개발에 더 집중할 수 있습니다. 또한, 이식 컨트롤은 위험을 줄이는 옵션이 될 수 있습니다. 제품 사용 중에 발생하는 결과 이전에 원치 않는 이벤트의 원인을 탐지하거나 팀이 피할 수 있는 원치 않는 실패의 근본 원인을 탐지하는 컨트롤입니다. 통제는 관리 또는 의사 결정 과정에 초점을 맞출 수 있습니다. 이 모든 것이 위험에 관한 더 나은 결정을 내리는 데 도움이 될 수 있습니다.^[23]

위험분담

"손실 부담 또는 이득, 위험으로부터 얻는 이익, 위험을 줄이기 위한 조치를 다른 당사자와 공유하는 것"으로 간략하게 정의됩니다.

보험이나 아웃소싱을 통해 제3자에게 위험을 이전할 수 있다는 잘못된 믿음으로 위험 공유를 대신하여 '위험 이전'이라는 용어를 사용하는 경우가 많습니다. 실무적으로 보험회사나 계약자가 파산하거나 법정에 서게 되면 원래의 위험은 여전히 제1자에게 돌아갈 가능성이 높습니다. 이처럼 실무자와 학자 모두의 용어로 보험계약의 가입을 '위험의 이전'이라고 표현하는 경우가 많습니다. 그러나 기술적으로 말하면 계약의 구매자는 일반적으로 "이전된" 손실에 대한 법적 책임을 유지하며, 이는 보험이 사건 후 보상 메커니즘으로서 더 정확하게 설명될 수 있음을 의미합니다. 예를 들어, 개인 상해 보험은 자동차 사고의 위험을 보험 회사에 이전하지 않습니다. 위험은 여전히 보험 계약자, 즉 사고를 당한 사람에게 있습니다. 보험 약관은 보험 계약자와 관련된 사고(사건)가 발생하면 보험 계약자에게 고통/피해에 상응하는 일부 보상을 지급할 수 있다고 간단히 규정합니다.

위험을 관리하는 방법은 여러 범주로 나뉩니다. 위험 유지 풀은 기술적으로 그룹의 위험을 유지하고 있지만, 전체 그룹으로 확산시키는 것은 그룹의 개별 구성원 간의 이동을 포함합니다. 이는 그룹 구성원 간에 보험료가 미리 교환되지 않고 대신 그룹 구성원 모두에게 손실이 평가된다는 점에서 전통적인 보험과 다릅니다.

리스크 보유

위험 유지는 사고가 발생했을 때 위험으로부터 손실 또는 이득을 받아들이는 것을 포함합니다. 진정한 자기 보험이 이 범주에 속합니다. 위험 유지는 위험에 대한 보험 비용이 지속적으로 발생하는 총 손실보다 시간이 지남에 따라 더 큰 소규모 위험에 대한 실행 가능한 전략입니다. 회피되거나 양도되지 않는 모든 위험은 기본적으로 유지됩니다. 여기에는 보험에 가입할 수 없거나 보험료를 지불할 수 없을 정도로 크거나 치명적인 위험이 포함됩니다. 대부분의 재산과 위험은 전쟁 보험에 가입되어 있지 않기 때문에 전쟁으로 인한 손실은 피보험자가 유지하기 때문에 전쟁이 그 예입니다. 또한 보험 금액에 대한 잠재적 손실(위험)의 금액은 위험을 유지합니다. 또한 매우 큰 손실이 발생할 가능성이 작거나 더 많은 보장 금액을 보장하는 데 드는 비용이 너무 커서 조직의 목표를 너무 방해하는 경우에도 이를 수용할 수 있습니다.

리스크관리계획

각 위험을 완화하기 위한 적절한 제어 또는 대책을 선택합니다. 위험 완화는 적절한 수준의 관리자의 승인이 필요합니다. 예를 들어, 조직의 이미지와 관련된 리스크는 최고의 경영진 결정권을 배후에 두어야 하는 반면, IT 경영진은 컴퓨터 바이러스 리스크를 결정할 수 있는 권한을 가져야 합니다.

위험 관리 계획은 위험을 관리하기 위한 적용 가능하고 효과적인 보안 통제를 제안해야 합니다. 예를 들어, 바이러스 백신 소프트웨어를 획득하고 구현함으로써 컴퓨터 바이러스의 높은 위험을 완화할 수 있습니다. 좋은 위험 관리 계획에는 통제 이행에 대한 일정과 해당 조치에 대한 책임자가 포함되어야 합니다. 위험 관리 계획에는 위협 평가, 취약성 평가, 영향 평가 및 위험 완화 전략 개발의 네 가지 기본 단계가 있습니다.

ISO/IEC 27001에 따르면 위험 평가 단계가 완료된 직후의 단계는 위험 처리 계획(Risk Treatment Plan)을 준비하는 것으로 구성되며, 이 계획은 확인된 각 위험을 어떻게 처리해야 하는지에 대한 결정을 문서화해야 합니다. 위험의 완화는 종종 보안 통제의 선택을 의미하며, 이는 표준에서 어떤 특정 통제 목표와 통제가 선택되었는지, 그리고 그 이유가 무엇인지를 식별하는 적용 가능성 진술서에 문서화되어야 합니다.

실행

구현은 위험의 영향을 완화하기 위해 계획된 모든 방법을 따릅니다. 보험자에게 양도하기로 결정한 위험에 대한 보험에 가입하고, 기업의 목표를 희생하지 않고 피할 수 있는 모든 위험을 피하고, 다른 위험을 줄이고, 나머지를 유지합니다.

계획의 검토 및 평가

초기 위험 관리 계획은 결코 완벽하지 않을 것입니다. 실무, 경험 및 실제 손실 결과는 계획의 변경을 필요로 하며 직면한 위험을 처리하는 데 있어 가능한 다양한 결정을 내릴 수 있도록 정보를 제공합니다.

리스크 분석 결과 및 관리 계획은 주기적으로 업데이트되어야 합니다. 여기에는 크게 두 가지 이유가 있습니다.

1. 이전에 선택한 보안 컨트롤이 여전히 적용 가능하고 효과적인지 평가합니다.
2. 비즈니스 환경에서 발생할 수 있는 위험 수준 변화를 평가합니다. 예를 들어, 정보 위험은 빠르게 변화하는 비즈니스 환경의 좋은 예입니다.

지역들

기업

기업 위험 관리(ERM)는 위험을 해당 기업에 부정적인 영향을 미칠 수 있는 가능한 사건 또는 상황으로 정의하며, 여기서 영향은 기업의 존재 자체, 자원(인적 및 자본), 제품 및 서비스 또는 고객뿐만 아니라 사회, 시장에 미치는 외부 영향에도 미칠 수 있습니다. 또는 환경. 여기에는 다양한 정의된 프레임워크가 있으며, 여기서 모든 가능한 위험은 가능한 결과를 처리하기 위해 미리 공식화된 계획을 가질 수 있습니다(위험이 책임이 될 경우 비상사태를 보장하기 위해). 따라서 관리자는 기업이 직면한 내부 및 외부 환경을 모두 분석하고 모니터링하여 일반적으로 비즈니스 위험을 해결하고 기업이 전략적 목표를 달성하는 데 미치는 영향을 파악합니다. 따라서 ERM은 운영 위험 관리, 재무 위험 관리 등 다양한 다른 분야와 중복되지만 전략적이고 장기적인 초점에 따라 차별화됩니다. ^[25]

자금

금융에 적용되는 리스크 관리는 기업의 대차대조표, 은행의 신용 노출, 또는 펀드 매니저의 포트폴리오 가치에 대한 시장 리스크, 신용 리스크 및 운영 리스크를 측정, 모니터링 및 통제하는 기술과 관행에 관한 것입니다. 개요는 금융 § 리스크 관리를 참조하십시오.

• 은행 업무의 전통적인 척도는 신용 및 시장의 부정적인 사건으로 인해 손실이 발생할 수 있는 VaR(Value at Risk)입니다. 은행은 이러한 위험을 헤지하려고 하며 순 포지션에서 위험 자본을 보유합니다. Basel III 프레임워크는 운영 위험을 포함한 병렬 규제 자본 요구 사항을 관리합니다.
• 펀드 매니저는 펀드 가치를 보호하기 위해 다양한 전략을 사용합니다. 이러한 전략은 권한과 벤치마크가 주어집니다.
• 비금융 기업은 일반적으로 사업 위험, 즉 현금 흐름이나 수익성에 부정적인 영향을 미쳐 사업 가치의 손실이나 주가 하락을 초래할 수 있는 사건과 사건에 중점을 둡니다.

정보기술

정보 기술에서 위험 관리에는 침입, 사이버 도난, 서비스 거부, 화재, 홍수 및 기타 보안 관련 이벤트를 처리하기 위한 액션 플랜인 "Incident Handling"이 포함됩니다. SANS Institute에 따르면 준비, 식별, 억제, 박멸, 회복 및 학습된 교훈의 6단계 과정입니다.^[26]

계약상 리스크 관리

"계약상 위험 관리"의 개념은 계약 배치에서 위험 관리 기술의 사용, 즉 계약 체결을 통해 수용되는 위험을 관리하는 것을 강조합니다. 노르웨이 학계의 페트리 케스키탈로(Petri Keskitalo)는 "계약상 위험관리"를 "계약계획과 지배구조를 이용하여 사업활동과 관련된 위험을 관리하는 실질적이고 사전적이며 체계적인 계약방식"이라고 정의하고 있습니다.^[27] 2010년에 발표된 Samuel Greengard의 기사에서 위험에 대처하는 전략을 갖는 것의 중요성을 강조하는 두 가지 미국 법적 사례가 언급됩니다.^[28]

• 방어의무의 수락을 포함한 면책조항에 서명한 전문자문인이 제3자의 청구대상인 의뢰인을 변호하는 데 소요되는 법률비용을 징수할 수 있는 위험을 다루는 UDC v. CH2M Hill,^[29]
• 책임제한조항의 효력을 다루는 Witt v. La Gorce Country Club은 특정 관할권에서 효력이 없는 것으로 판명될 수 있는 책임제한조항의 효력을 다루고 있습니다.^[30]

그린가드는 위험을 최대한 줄이기 위해 업계 표준 계약 언어를 사용할 것을 권장하며, 수년간 사용되어 왔고 법원의 해석이 확립된 조항에 의존할 것을 권장합니다.^[28]

세관

세관 위험 관리는 국제 무역의 맥락에서 발생하는 위험과 관련이 있으며 불법 약물과 위조 상품이 국경을 넘어 통과할 수 있는 위험 및 선적 및 내용이 잘못 신고될 수 있는 위험을 포함하여 안전 및 보안과 관련이 있습니다.^[31] 유럽 연합은 연합 전체와 회원국 전체에 적용 가능한 관세 위험 관리 프레임워크(CRMF)를 채택했으며, 이 프레임워크는 공통 수준의 관세 통제 보호 및 안전한 관세 통제와 합법적인 무역 촉진 간의 균형을 구축하는 것을 목표로 합니다.^[32] 2012-13년 유럽연합 집행위원회가 관세 위험 관리 정책을 검토하도록 촉발한 두 가지 사건은 2001년 9월 11일 공격과 예멘에서 미국으로 소포가 발송되는 것과 관련된 2010년 대서양 횡단 항공기 폭탄 음모로, 집행위원회는 "2010년 10월(예멘) 사건"이라고 불렀습니다.^[33]

기억기관(박물관, 도서관, 자료실)

엔터프라이즈 보안

ESRM은 위험 관리 방법을 통해 보안 활동을 기업의 미션 및 비즈니스 목표와 연결하는 보안 프로그램 관리 접근 방식입니다. ESRM에서 보안 리더의 역할은 자산이 위험에 노출된 비즈니스 리더와 협력하여 기업 자산의 손상 위험을 관리하는 것입니다. ESRM은 비즈니스 리더에게 확인된 위험의 현실적인 영향에 대해 교육하고, 그러한 영향을 완화하기 위한 잠재적인 전략을 제시한 다음 비즈니스 위험 허용^[34] 수준에 따라 비즈니스가 선택한 옵션을 제정하는 것을 포함합니다.

의료기기

의료 기기의 경우 위험 관리는 사람에 대한 피해 및 재산 또는 환경에 대한 피해와 관련된 위험을 식별, 평가 및 완화하기 위한 프로세스입니다. 위험 관리는 의료기기 설계 및 개발, 생산 과정 및 현장 경험 평가에 필수적인 부분이며 모든 유형의 의료기기에 적용 가능합니다. 미국 FDA와 같은 대부분의 규제 기관에서 적용 증거가 필요합니다. 국제표준화기구(ISO)가 ISO 14971:2019, 의료기기의 위해성 관리에 대해 기술하고 있습니다.—제품 안전기준인 의료기기에 대한 위험관리 적용 이 표준은 관리 책임, 위험 분석 및 평가, 위험 통제 및 라이프사이클 위험 관리를 위한 프로세스 프레임워크 및 관련 요구 사항을 제공합니다. 표준 적용에 대한 지침은 ISO/TR 24971:2020을 통해 확인할 수 있습니다.

위험 관리 표준의 유럽 버전은 2007년 의료기기 지침(MDD) 및 능동 이식형 의료기기 지침(AIMDD) 개정과 체외 의료기기 지침(IVDD)을 참조하기 위해 2009년과 2012년에 다시 업데이트되었습니다. EN 14971:2012의 요구사항은 ISO 14971:2007과 거의 동일합니다. 차이점은 새로운 MDD, AIMDD 및 IVDD를 참조하는 3개의 "(정보 제공)" Z 부속서를 포함합니다. 이러한 부속서는 가능한 한 위험을 줄여야 한다는 요구사항과 의료기기에 대한 라벨링이 아닌 설계에 의해 위험을 완화해야 한다는 요구사항(즉, 라벨링은 더 이상 위험을 완화하는 데 사용할 수 없음)을 포함하는 내용 편차를 나타냅니다.

의료기기 산업에서 채택하고 있는 대표적인 위험 분석 및 평가 기법에는 위험 분석, 고장 트리 분석(FTA), 고장 모드 및 효과 분석(FMEA), 위험 및 작동성 연구(HAZOP), 위험 관리가 구현되고 효과적인지 확인하기 위한 위험 추적 분석 등이 있습니다. 제품 요구사항, 설계 사양, 검증 및 검증 결과 등에 따라 식별된 위험 추적). FTA 분석에는 도식화 소프트웨어가 필요합니다. FMEA 분석은 스프레드시트 프로그램을 사용하여 수행할 수 있습니다. 통합 의료기기 위험 관리 솔루션도 있습니다.

FDA는 지침 초안을 통해 의료기기 안전 보장 분석을 위한 "Safety Assurance Case"라는 또 다른 방법을 도입했습니다. 안전 보장 사례는 과학자와 엔지니어에게 적합한 시스템에 대한 구조화된 논증 추론으로, 주어진 환경에서 시스템이 주어진 애플리케이션에 안전하다는 설득력 있고 이해하기 쉽고 유효한 사례를 제공합니다. 이 지침에 따라 안전이 중요한 장치(예: 주입 장치)에 대한 안전 보장 사례가 시판 전 제출(예: 510(k))의 일부로 예상됩니다. 2013년 FDA는 의료기기 제조업체가 사이버 보안 위험 분석 정보를 제출할 것으로 예상하는 또 다른 지침 초안을 도입했습니다.

프로젝트관리

프로젝트 리스크 관리는 여러 획득 단계에서 고려해야 합니다. 프로젝트를 시작할 때, 경쟁사의 프로젝트가 제공하는 기술 개발의 진전 또는 위협은 위험 또는 위협 평가 및 후속 대안 평가를 야기할 수 있습니다(대안 분석 참조). 결정이 내려지고 프로젝트가 시작되면 보다 친숙한 프로젝트 관리 애플리케이션을 사용할 수 있습니다.^[35][36][37]

• 특정 프로젝트에서 위험을 관리하는 방법을 계획합니다. 계획에는 위험 관리 작업, 책임, 활동 및 예산이 포함되어야 합니다.
• 위험 담당자 배정 – 잠재적인 프로젝트 문제를 예측할 책임이 있는 프로젝트 관리자 이외의 팀원 위험 담당자의 대표적인 특징은 건전한 회의론입니다.
• 실시간 프로젝트 위험 데이터베이스를 유지 관리합니다. 각 위험에는 개봉일, 제목, 짧은 설명, 확률 및 중요도와 같은 속성이 있어야 합니다. 선택적으로 위험은 그 해결에 책임이 있는 지정된 사람과 위험을 해결해야 하는 날짜를 가질 수 있습니다.
• 익명의 위험 보고 채널을 만드는 중입니다. 각 팀원은 프로젝트에서 예견하는 위험을 보고할 수 있는 가능성을 가져야 합니다.
• 완화하기로 선택된 위험에 대한 완화 계획을 준비합니다. 경감 계획의 목적은 이 특정 위험을 어떻게 처리할 것인지를 설명하는 것입니다. 즉, 이 위험이 책임이 될 경우 이를 회피하거나 결과를 최소화하기 위해 무엇을 언제, 누구에 의해 수행할 것인지를 설명하는 것입니다.
• 계획된 위험과 직면한 위험, 완화 활동의 효과, 위험 관리를 위해 투입된 노력을 요약합니다.

메가 프로젝트(인프라)

메가 프로젝트(때로는 "주요 프로그램"이라고도 함)는 대규모 투자 프로젝트로, 일반적으로 프로젝트당 10억 달러 이상의 비용이 소요됩니다. 메가 프로젝트에는 주요 교량, 터널, 고속도로, 철도, 공항, 항만, 발전소, 댐, 폐수 프로젝트, 해안 홍수 보호 계획, 석유 및 천연 가스 추출 프로젝트, 공공 건물, 정보 기술 시스템, 항공 우주 프로젝트 및 국방 시스템이 포함됩니다. 메가 프로젝트는 재정, 안전, 사회 및 환경적 영향 측면에서 특히 위험한 것으로 나타났습니다. 따라서 위험 관리는 특히 메가 프로젝트와 관련이 있으며 이러한 위험 관리를 위해 특별한 방법과 특수 교육이 개발되었습니다.^[38]

자연재해

홍수, 지진 등과 같은 자연 재해에 대한 위험을 평가하는 것이 중요합니다. 자연 재해 위험 평가 결과는 향후 수리 비용, 비즈니스 중단 손실 및 기타 다운타임, 환경에 미치는 영향, 보험 비용 및 위험 감소를 위한 제안된 비용을 고려할 때 유용합니다.^[39][40] 센다이 재해위험 경감 기본 협약은 자연재해에 대응하여 재해위험 경감의 목표와 목표를 설정한 2015년 국제협약입니다.^[41] 다보스에는 통합적인 위험 관리를 다루기 위한 정기적인 국제 재난 및 위험 회의가 있습니다.

토지 변화 과학의 핵심 구성 요소인 지리 공간 모델링을 포함하여 자연 재해 및 기타 기후 사건의 위험 및 위험 관리를 평가하는 데 여러 도구를 사용할 수 있습니다. 이 모델링에는 사람들의 지리적 분포에 대한 이해와 자연 재해 발생 가능성을 계산하는 능력이 필요합니다.

황야

야외 레크리에이션 참여가 증가하고 손실에 대한 사회적 관용이 감소함에 따라 황무지와 외딴 자연 지역의 사람과 재산에 대한 위험 관리가 발전했습니다. 상업적 야생 체험을 제공하는 기관은 이제 ANSI/NASBLA 101-2017 (보트),^[42] UIAA 152 (빙산 등반 도구),^[43] 유럽 표준 13089:2015 + A1:2015 (등산 장비)와 같은 훈련 및 장비에 대한 국내 및 국제 합의 표준과 일치할 수 있습니다.^[44][45] 체험 교육 협회는 야생 모험 프로그램에 대한 인증을 제공합니다.^[46] 야생 위험 관리 회의는 모범 사례에 대한 액세스를 제공하고 전문 기관은 야생 위험 관리 컨설팅 및 교육을 제공합니다.^[47]

뉴질랜드 산악 안전 위원회가 발간한 ^[48]"Outdoor Safety – Risk Management for Outdoor Leaders"라는 텍스트는 뉴질랜드 관점에서 야생 위험 관리에 대한 관점을 제공합니다. 국가 옥외 안전법제의 가치를 인식하고, 야생 위험 관리에서 판단과 의사 결정 과정의 역할에 상당한 주의를 기울입니다.

위험 평가를 위한 인기 있는 모델 중 하나는 백패커의 현장 매뉴얼의 저자인 릭 커티스가 개발한 RASM(Risk Assessment and Safety Management) 모델입니다.^[49] RASM 모형의 공식은 위험 = 사고 확률 × 결과 심각도입니다. RASM 모델은 마이너스 리스크(손실 가능성)와 플러스 리스크(성장 가능성)를 비교합니다.

정보기술

IT 리스크는 정보 기술과 관련된 리스크입니다. 이는 정보 보안이 IT 및 IT가 지원하는 실제 프로세스와 관련된 다양한 위험의 한 측면일 뿐이라는 인식이 높아짐에 따라 비교적 새로운 용어입니다. "사이버 보안은 기술의 발전과 밀접한 관련이 있습니다. 암시장과 같은 인센티브가 진화하고 새로운 악용이 발견될 수 있을 만큼만 지연됩니다. 기술의 발전은 끝이 보이지 않으므로 사이버 보안에서도 같은 것을 기대할 수 있습니다."^[50]

ISACA의 Risk IT 프레임워크는 IT 리스크를 엔터프라이즈 리스크 관리와 연결합니다.

DoCRA(^[51]Duty of Care Risk Analysis)는 위험과 그 안전 장치를 평가하고 위험에 영향을 받을 수 있는 모든 당사자의 이익을 고려합니다.

운영

운영 위험 관리(ORM)는 부적절하거나 실패한 내부 프로세스 및 시스템, 인적 요소 또는 외부 이벤트로 인한 손실 위험을 포함한 운영 위험을 감독하는 것입니다. 운영의 특성을 고려할 때, ORM은 일반적으로 "지속적인" 프로세스이며, 지속적인 위험 평가, 위험 의사 결정 및 위험 제어 구현을 포함합니다.

석유 및 천연가스

해양 석유 및 가스 산업의 경우 운영 위험 관리는 많은 국가에서 안전 사례 체제에 의해 규제됩니다. 위험 식별 및 위험 평가 도구와 기법은 국제 표준 ISO 17776:2000에 설명되어 있으며, IADC(국제 시추 계약자 협회)와 같은 기관은 ISO 표준에 기반한 보건, 안전 및 환경(HSE) 사례 개발 지침을 발표합니다. 또한 위험 사건의 도표적 표현은 종종 안전 사례 제출에서 위험 관리의 일환으로 정부 규제 당국에 의해 예상됩니다. 이를 나비 넥타이 도표라고 합니다(위험 평가에서 네트워크 이론 참조). 이 기술은 광업, 항공, 건강, 국방, 산업 및 금융 분야의 조직 및 규제 기관에서도 사용됩니다.

제약부문

품질 위험 관리를 위한 원칙과 도구는 의약품 품질 시스템의 다양한 측면에 점점 더 많이 적용되고 있습니다. 이러한 측면은 의약품, 의약품, 생물학적, 생명공학적 제품(의약품에 원료, 용제, 부형제, 포장 및 라벨링 물질의 사용을 포함함)의 라이프사이클 전반에 걸친 개발, 제조, 유통, 검사 및 제출/검토 과정을 포함합니다. 생물학적 및 생명공학적 제품). 의약품 및 클린룸 제조 환경과 관련하여 미생물 오염 평가에도 위험 관리가 적용됩니다.^[52]

공급망

공급망 위험 관리(SCRM)는 정상적인 비즈니스와 수익성을 방해할 수 있는 시나리오나 사고 발생 시 공급망 연속성을 유지하는 것을 목표로 합니다. 공급망에 대한 위험은 예측할 수 없는 자연 현상(예: 쓰나미 및 전염병)에서 위조 제품에 이르기까지 매일 발생하는 것부터 예외적인 것까지 다양하며 품질, 보안, 복원력 및 제품 무결성에 이르기까지 다양합니다. 이러한 위험을 완화하기 위해서는 금융 및 운영 분야뿐만 아니라 물류 및 사이버 보안을 포함한 비즈니스의 다양한 요소가 포함될 수 있습니다.

리스크 커뮤니케이션

참고 항목

참고문헌

외부 링크

• Wayback Machine에서 2017-07-04 보관된 방위사업의 DoD Risk, Issue, and Opportunity Management Guide (2017)
• 방위사업 리스크 관리 가이드 (2014)
• 위키미디어 커먼즈의 리스크 관리 관련 매체