▲ 박영식 한국SR평가원장

CCO의 요건
① 전사를 통괄할 수 있는 위치의 고위 임원
② 최고경영자 및 이사회에 직접적으로 접근 가능한 지위에 있는 자
③ 최고경영자 및 이사회에서 신뢰와 존경을 받고 있는 자
④ 사내 규정 및 절차의 변경 혹은 조사를 실시하는데 있어 자원 활용 능력이 있는 자
⑤ 모니터링, 평가, 조기경고, 위반을 발견하는 정보에의 접근이 용이한 자
⑥ 언론 매체 및 일반 대중의 대응 및 법적 절차를 수행하는데 역량이 있는 자

CCO의 의무
CCO를 고위 임원으로 임명토록 한 양형가이드라인은 고위 임원은 일반적으로 조직전체에 대해 중요한 지배력을 확보하고 있으며, 조직 내부의 방침을 결정함에 있어 중요한 역할을 담당하고 있기 때문으로 설명하고 있다. CCO는 위반행위의 발생가능성이 합리적으로 감소되도록 기준 및 절차를 조직이 결정하도록 하며, 이들 기준 및 절차가 사내에서 제도화되어 실시되는 것을 확실하게 하며, 조직 스스로 결정한 기준 및 절차에 대한 이행을 평가하고 보고하는 의무를 부과하고 있다.

CCO의 권한
CCO의 권한은 의무를 이행하기 위해 필요한 조치로서 컴플라이언스 프로그램의 결정, 시행, 평가에 필요한 인적, 물적 자원을 활용할 필요가 있고, 컴플라이언스 위반에 대응하기 위해서도 자원의 활용은 수용되어야 한다. 또 CCO의 의무인 보고는 정기적으로 이사회 및 각 경영회의에서 이루어져야 하며, 이사회는 CCO의 권고를 이행하지 않은 안건이나 경영진의 위반 등에 대해서는 CCO에게 보고하도록 함으로써 CCO의 권한을 인정하여야 한다.

3. Risk Assessment

인간의 사회생활을 규율하기 위해 많은 규범이 있듯이 기업도 사업 활동을 하는 과정에서 다양한 이해관계자와 연관된 법령, 제도 등과 부딪히게 된다. 더구나 기업 구성원인 직원이 이 모든 것을 알 수 있는 방법은 없으며 그로 인해 예기치 못한 불법행위가 일어나기도 하고, 행위 자체가 위반인지도 모르고 일상의 업무로 착오를 일으키기도 한다.

이 모든 사항을 컴플라이언스 프로그램을 통해 예방하고자 하는 것이 현실적으로 가능하지도 않다. 또 설사 가능하다 하더라도 막대한 시간과 비용이 소모되며 자칫 프로그램의 초점이 흐려질 수 있다는 한계가 있다.

따라서 기업 입장에서는 기업범죄 예방의 현실적 대안으로 우선 사업 활동과 관련되어 리스크를 평가하고 평가 결과에 따라 발생가능성이 높은 리스크, 파급효과가 큰 리스크를 추려내어 이에 맞는 법과 제도를 검토하여 컴플라이언스 프로그램으로 특정해 나가는 접근법이 바람직하다. Risk Assessment는 기업에서 발생한 또는 발생할 수 있는 리스크를 예견하고 추출하여 리스크의 규모를 측정하고 이를 평가하는 일련의 risk management의 중심이고 이 리스크를 제거 혹은 감소하기 위한 종합 프로세스를 risk management라고 정의하기로 한다. 여기서는 리스크를 발견하고 이를 평가하는 risk assessment까지만 소개하기로 하고 리스크 대책에 대해서는 기업이 독자적으로 강구해야 할 사항이기도 하며 지면의 한계도 있기에 일반적 대책만 검토해 놓기로 하겠다.

리스크 발견
왜 리스크 발견이 중요한지는 양형가이드라인의 기준인 ‘기준과 절차’를 작성하기 위해 필요하다. 발생가능성이 있는 위법 행위가 과연 무엇인지에 대한 인식에서 출발한다.

또 조직이 프로그램을 유효하게 활용하기 위해서는 위법행위의 과거의 前歷을 살펴볼 필요가 있다. 전력은 자사가 경험한 것도 중요하며 타사가 겪은 사례도 他山之石이 될 수 있다. 양형가이드라인은 프로그램의 유효성을 위해서는 업무의 성질에 따라 기인하는 조직이 직면하고 있는 불법 리스크의 파악에 있다.

그러나 현재와 같은 급변하는 법규제환경과 사업범위의 다각화는 위반행위의 조속한 발견이 어렵고 일정 피해가 노출되어 사회문제가 되고 나서 인지하는 ‘예방’과 ‘발생’의 선후가 뒤바뀐 경우가 비일비재하다. 따라서 과거의 경험만을 기준으로 리스크를 파악해 내는 것이 아니라 사회적 변화에 따른 사회규범의 변화까지 감안한 리스크를 예견하여 이에 대한 예방책을 프로그램에 녹아낼 수 있도록 리스크에 대한 변별력이 요구된다.