ISO 31030 해설: 출장 위험 관리 팀에 그 어느 때보다 중요해진 이유

오랫동안 출장 위험 관리는 조직 내부에 쌓인 경험과 여기저기서 빌려온 모범 사례로 굴러갔습니다. 보안 책임자들은 이전 회사에서 통했던 방식, 동료들에게 배운 것, 눈앞의 위협을 보고 옳다고 느낀 판단을 바탕으로 프로그램을 만들었습니다. 공식 표준도 없었고, 완전한 프로그램에 무엇이 들어가야 하는지에 대한 공통된 정의도 없었습니다. 두 회사가 모두 출장 위험 프로그램이 있다고 말하면서 실제로는 완전히 다른 것을 의미할 수 있었습니다.

2021년 9월, 국제표준화기구가 ISO 31030을 발표하면서 상황이 바뀌었습니다. 공식 명칭은 Travel risk management: Guidance for organizations입니다. 이 표준은 업계의 수십 년 경험을 하나의 문서로 성문화해, 출장하는 직원에 대한 안전 배려 의무(duty of care)가 실제로 무엇을 요구하는지 정의했습니다. 누구든 자기 프로그램을 대조해 볼 수 있는, 문서로 남은 명세입니다.

도입은 더디게 진행되고 있습니다. Everbridge 조사에 따르면 설문에 응한 최고경영진의 76%가 ISO 31030이 정의하는 수준의 탄탄한 출장 위험 관리 프로그램을 갖추지 못했습니다. 같은 시기 International SOS의 Risk Outlook 보고서는 위험 등급이 상향되거나 고위험으로 분류되는 지역이 전년 대비 크게 늘었다고 지적합니다. 위험 환경은 계속 나빠지는데 대부분의 조직은 여전히 표준에 미치지 못하는 프로그램으로 운영하고 있습니다. 이 격차는 진지하게 살펴볼 가치가 있고, 이 글이 존재하는 이유이기도 합니다.

이 표준은 어디서 왔고, 무엇인가

ISO는 168개 국가 표준화 기구의 연합체로, 품질 경영의 ISO 9001과 정보 보안의 ISO 27001을 만든 바로 그 조직입니다. ISO 31030은 일반 위험 관리 표준인 ISO 31000에서 파생되어 조직의 출장에 맞게 특화되었습니다. 초안을 만든 사람들은 현장 출신입니다. 보안 실무자, 의료 지원 서비스 제공자, 출장 관리자, 그리고 프로그램의 성공과 실패를 오랫동안 지켜본 학자들이었습니다.

처음부터 분명히 해둘 것이 하나 있습니다. ISO 31030은 지침 표준이지 인증 표준이 아닙니다. 심사도 없고, 벽에 걸어둘 인증서도 없으며, 준수를 강제하는 법도 없습니다. 사용법은 자기 조직의 프로그램을 지침에 비추어 평가한 뒤, 출장 규모와 위험 프로필에 비추어 중요한 격차부터 메워가는 것입니다.

"자율 지침"이라는 말을 듣고 마음을 놓는 경영진도 있습니다. 그것은 실수이며, 이 글 뒷부분에서 다루는 판례가 그 이유를 보여줍니다. 법원과 규제 기관이 따지는 것은 합리적인 조직이라면 무엇을 했을 것인가이고, 국제 표준이 존재하는 지금 "합리적"이라는 말에는 문서화된 정의가 생겼습니다.

ISO 31030이 실제로 다루는 범위

이 표준은 출장 결정부터 귀임 후 검토까지, 출장 위험 관리의 전체 수명주기를 규정합니다. 다루는 범위도 대부분의 예상보다 넓습니다. 대상 위험은 교통사고와 일상적인 건강 문제부터 감염병 유행, 자연재해, 분쟁, 범죄, 보안 위협까지 이어지며, 신체 안전과 함께 출장자의 정신 건강도 명시적으로 포함합니다. 프로그램 책임자에게는 극적인 시나리오 너머를 보고 도로 상태, 현지 통신망의 신뢰성, 인근 의료 수준 같은 수수한 요소까지 고려하라고 요구합니다. 대부분의 출장 프로그램에서 공항에서 이동하다 겪는 교통사고는 납치보다 훨씬 일어나기 쉬운 사건입니다.

핵심 요구 사항은 다음과 같이 나뉩니다.

목적지, 출장자, 활동에 연결된 위험 평가. 어디로 가는지, 누가 가는지, 가서 무엇을 할 것인지를 평가합니다. 이 세 가지 데이터가 해당 출장의 보안 프로필을 결정합니다. 코펜하겐 콘퍼런스에 참석하는 건강한 30세와 사헬 지역 광산 현장을 방문하는 심장 질환이 있는 고위 임원에게는 전혀 다른 수준의 준비가 필요하며, 표준은 이를 명문화합니다. 출장자 프로필이 중요합니다. 경험, 의료상 필요, 개인적 위험 요인이 모두 노출 수준을 바꿉니다. 위험 평가는 획일적으로 할 수도, 건너뛸 수도 없습니다.

출장 정책과 승인. 표준은 출장이 어떻게 승인되는지에 대한 명확한 규칙을 기대합니다. 조직이 직원의 위치를 실제로 파악할 수 있게 하는 필수 예약 채널, 목적지 위험 등급과 연동된 승인 기준, 필요한 경우의 목적지 제한, 예외를 처리하는 정해진 절차가 그것입니다. 출장 중 일정이 정책 범위를 벗어나는 방식으로 바뀌면, 책임자는 사후가 아니라 신속하게 알아야 합니다.

명확한 거버넌스와 책임. 프로그램에는 주인이 있습니다. 보안, 출장 관리, 인사, 법무, 의료 기능에 걸쳐 역할이 정의되고, 위험이 높은 출장에 대해서는 보고 상신과 의사 결정 절차가 존재합니다. 많은 조직이 오랫동안 누군가 지켜보고 있겠거니 하는 암묵적 분담으로 운영해 왔습니다. ISO 31030은 이를 공식화합니다.

출장자 준비와 커뮤니케이션. 직원은 출발 전에 마주하게 될 위험과 이용할 수 있는 자원에 대해 브리핑을 받습니다. 출발 전 보안 브리핑, 위험 수준에 걸맞은 안전 교육, 현지 지원 연락처, 문제가 생겼을 때의 명확한 행동 지침이 포함됩니다. 이는 출장 중에도 이어집니다. 출장자 인근에서 상황이 전개될 때의 실시간 경보, 정기 확인(체크인) 절차, 두 개 이상의 채널로 확실하게 연락할 수 있는 수단이 필요합니다.

검증된 교통과 숙박. 표준은 물류 계층도 다룹니다. 지상 교통 업체, 이동 경로, 호텔과 기타 협력업체를 출장자 안전 관점에서 평가하고, 위험이 높은 지역에서의 조달 결정은 가격만이 아니라 보안을 고려해 내립니다.

사고 대응과 안전 배려 의무 프로토콜. 사고가 발생하면 계획이 있어야 합니다. 표준은 출장 중인 직원에게 영향을 미치는 의료 응급 상황, 보안 사건, 자연재해와 기타 위기에 어떻게 대응할지, 보고 상신 경로, 지원 및 대피 체계, 사업 연속성과의 연계를 포함해 정의하라고 요구합니다.

지속적인 모니터링과 개선. 프로그램은 정기적으로 검토됩니다. 사고와 아차 사고는 분석됩니다. 조직은 성과를 측정하고, 일어난 일에서 배우고, 프로그램을 화석처럼 방치하는 대신 그에 맞게 갱신합니다.

출장 위험 관리를 10년쯤 해온 사람에게 이 중 혁명적인 내용은 없습니다. 다만 이 요구 사항들이 업종과 지역을 가리지 않고 적용되는 하나의 표준으로 문서화된 것은 처음이며, 이는 프로그램이 비교되고, 감사받고, 법정에서 다투어질 때 벌어지는 일을 바꿉니다.

왜 도입이 여전히 저조한가

76%라는 격차에는 몇 가지 이유가 있습니다. 어떤 조직은 ISO 31030을 불필요한 관료주의, 실질 가치를 더하지 않는 또 하나의 컴플라이언스 체크박스로 봅니다. 어떤 조직은 프로그램을 처음부터 만들거나 기존 프로그램을 표준에 맞게 손볼 자원이 없습니다. 표준의 존재 자체를 모르는 조직도 많습니다.

구조도 큰 몫을 합니다. 출장 위험은 보안, 출장 관리, 인사, 법무, 의료, 지역 리더십에 걸쳐 있는데, 이 팀들이 같은 시스템이나 데이터를 공유하는 경우는 드뭅니다. Everbridge가 기업 프로그램들과 일하며 반복해서 발견하는 취약점은 같습니다. 부서 간에 쪼개진 책임, 일관성 없는 승인 절차, 출장자의 실제 위치에 대한 제한된 가시성, 중대 사건에 대한 늦은 인지, 수작업 연락과 체크인, 문제가 생겼을 때 불분명한 보고 상신 경로입니다. 표준은 이런 문제에 이름을 붙일 수 있지만, 고치는 것은 결국 조직 안의 누군가입니다.

인식의 문제도 있습니다. 출장 위험 관리는 보안 기능이 아니라 인사나 구매의 부속 업무로 취급되기 일쑤입니다. 조직의 잘못된 자리에 놓이면 필요한 관심도 예산도 받지 못합니다. ISO 31030은 이것이 실질적인 안전 배려 의무가 걸린 위험 관리 분야임을 분명히 하는 데 도움이 되지만, 그 메시지는 아직 모든 경영진에게 닿지 않았습니다.

법적 배경

안전 배려 의무는 법적 의무이며, 이를 다하지 못한 조직에 무슨 일이 생기는지 법원은 이미 보여주었습니다. 이 분야에서 가장 많이 인용되는 사건은 Dennis 대 노르웨이 난민위원회 소송입니다. 구호 활동가 Steve Dennis는 2012년 케냐 다다브에서 벌어진 습격에서 총상을 입고 납치되었습니다. 그는 고용주를 상대로 소송을 제기했고, 2015년 오슬로 지방법원은 위험이 예측 가능했는데도 조직이 이를 관리하지 못했다며 중과실을 인정했습니다. 그는 수백만 크로네의 손해배상을 받았고, 이 사건은 구호 부문 전체가 직원 안전을 바라보는 방식을 바꿔놓았습니다.

이 판례의 의미는 인도주의 영역을 훌쩍 넘어섭니다. 출장 중인 직원이 피해를 입고 소송이 이어지면, 쟁점은 조직이 직원을 보호하기 위해 합리적인 조치를 취했는가가 됩니다. 2021년 이전에는 "합리적"의 내용이 전문가 증인을 세워 사건마다 다투어졌습니다. 이제는 제대로 된 프로그램이 어떤 모습인지 기술한 국제 표준이 존재합니다. 원고 측 변호사들이 이를 잣대로 쓰지 않으리라 상상하기가 오히려 어렵습니다.

왜 지금 이 표준이 더 중요한가

위험 지형이 달라졌습니다. International SOS의 Risk Outlook은 매년 더 많은 지역이 위험 상향, 고위험 범주로 이동하고 있음을 보여줍니다. 지정학적 불안정, 소요 사태, 보건 위기, 기후 관련 혼란이 동시에 늘고 있습니다. 직원들은 더 많은 곳으로, 종종 더 짧은 준비 기간을 두고 출장을 가며, 마주하는 위협은 불과 5년 전보다 다양해졌습니다.

ISO 31030은 기준선을 제공합니다. 일이 잘못되어 직원을 보호하기 위해 합리적인 조치를 취했음을 입증해야 할 때, 방어 가능한 프로그램이 어떤 모습인지 정의해 주기 때문입니다. 나쁜 일이 전혀 일어나지 않으리라는 보장은 아닙니다. 위험을 줄이고 사고에 효과적으로 대응하도록 설계된 프로그램을 구축했다는 증거이며, 법정에서든 이사회에서든 그 증거는 무게를 가집니다.

이점은 법적 방어 가능성에 그치지 않습니다. 표준에 맞춘 조직들은 사업 측면의 효과를 보고합니다. 위험이 높은 시장에서도 자신 있게 사업을 운영할 수 있는 역량, 출장 위험이 통제되고 있다는 투자자, 은행, 사업 파트너에 대한 확신, 고객에 대한 공급망 신뢰도 향상, 직원의 안심과 근속 개선, 그리고 출장 관련 위험을 실효적으로 통제하고 있음을 입증해 보험료가 낮아지는 경우도 있습니다. 잘 운영되는 프로그램은 사업을 가능하게 하는 장치이며, 표준은 이를 사내에서 설득할 어휘를 제공합니다.

이미 출장 위험 프로그램이 있는 조직에는 이 표준이 감사 도구로 기능합니다. 현행 프로세스를 표준에 대응시켜 보면 격차가 금방 드러납니다. 처음 시작하는 조직에는 수십 년에 걸쳐 값비싸게 얻은 교훈을 다시 발명하지 않게 해주는 설계도입니다.

무엇을 해야 하는가

출장 위험 관리를 책임지고 있다면 ISO 31030을 구해서 읽어보십시오. 길지 않고 평이한 언어로 쓰여 있습니다. 현재 갖추고 있는 것과 비교하고, 발견한 격차를 모두 적어 두십시오.

이런 격차 분석을 수행하는 컨설팅사들의 경험에 따르면 같은 약점이 반복해서 나타납니다. 필수 예약 절차 부재, 출장 전 승인 단계 부재, 출발 전 위험 평가 부재, 위험을 한 번도 언급하지 않는 출장 정책, 보안을 무시하는 조달 절차, 어려운 지역으로 가는 출장자를 위한 안전 교육 부재입니다. 이 영역들부터 점검하십시오. 적어도 하나는 해당될 가능성이 높습니다.

그다음에는 조직의 실제 출장 패턴과 노출 수준에 따라 우선순위를 정하십시오. 임원들이 고위험 지역에 정기적으로 간다면 사고 대응과 출장자 준비에 집중하십시오. 프로그램의 주인이 누구인지 아무도 답하지 못한다면 거버넌스부터 시작하십시오. 이번 분기에 가장 큰 격차 두 개를 메우는 프로그램이 끝내 예산을 받지 못하는 5개년 계획보다 낫습니다.

마지막으로, 표준을 내부 지지를 쌓는 데 활용하십시오. 예산이나 경영진의 승인이 필요할 때 ISO 31030은 당신 개인의 의견이 아닌 참조점을 제공합니다. 안전 배려 의무가 요구하는 바에 대한 업계 합의를 반영한 국제 표준이며, 실패의 대가를 보여주는 판례가 뒷받침합니다. "저를 믿으세요, 이게 필요합니다"라고 말하는 것보다 훨씬 강한 위치에서 논의할 수 있습니다.

ISO 31030을 컴플라이언스 요식 행위가 아니라 실무 문서로 다루는 조직이야말로 시험대에 올랐을 때 버텨내는 프로그램을 갖게 될 것입니다. 위험 수치가 향하는 방향을 보면, 시험대에 오르는 조직은 앞으로 더 늘어날 것입니다.