위험 평가 — 회사 위험 식별·분석·대응

위험 평가란?

COSO 내부통제 5요소 중 두 번째. 회사 목표 달성을 위협하는 위험을 식별·분석·대응하는 활동.

위험 평가 없는 통제는 무작위. 위험 식별 → 통제 활동 설계 (집중). 신입 회계 담당자는 위험 평가 절차를 알아야 해요.

---

위험 종류 5가지

---

단계별 위험 평가 절차

[1] 위험 식별 → [2] 위험 분석 → [3] 위험 매트릭스
→ [4] 대응 전략 → [5] 모니터링

---

1단계: 위험 식별

위험 식별 방법

• 브레인스토밍: 부서별 워크숍
• 체크리스트: 산업 표준
• 과거 데이터: 사건·사고 분석
• 외부 자료: 산업 보고서·뉴스
• 인터뷰: 임직원·외부 자문

예시 — ㈜예시상사 위험 식별 (50+개)

재무:

• 매출 감소
• 환율 변동
• 금리 상승
• 대형 거래처 부도

운영:

• 핵심 인력 이직
• 시스템 장애
• 공급사 부도
• 원자재 가격 급변

법규:

• 세무 조사
• 노동법 위반
• 개인정보 유출

전략:

• 경쟁사 신제품
• 시장 축소
• 신규 진입자

IT:

• 해킹·랜섬웨어
• ERP 장애
• 데이터 손실

---

2단계: 위험 분석

분석 요소

• 발생 가능성 (Probability): 0~100%
• 영향도 (Impact): 1~5
• 속도 (Velocity): 빠름·보통·느림

평가 척도 예시

발생 가능성:

• 매우 낮음 (1): 5% 이하
• 낮음 (2): 5~20%
• 보통 (3): 20~50%
• 높음 (4): 50~80%
• 매우 높음 (5): 80%+

영향도:

• 매우 낮음 (1): 손실 1억 이하
• 낮음 (2): 1~5억
• 보통 (3): 5~20억
• 큼 (4): 20~100억
• 매우 큼 (5): 100억+ (회사 존속 위협)

---

3단계: 위험 매트릭스

[위험 매트릭스 (5×5)]

영향도 ↑
5 │            X          X
4 │      X          X
3 │   X       X       X
2 │ X    X       X
1 │ X X X
  └─────────────────────
     1  2  3  4  5  발생 가능성 →

X = 위험 항목 배치

우선순위 영역

---

4단계: 대응 전략 (4가지)

(1) 회피 (Avoid)

• 위험 활동 자체 중단
• 예: 위험 거래처 거래 중단
• 적용: 고위험·통제 불가

(2) 이전 (Transfer)

• 제3자에 위험 이전
• 예: 보험·헤지·아웃소싱
• 적용: 보험 가능 위험

(3) 완화 (Mitigate)

• 통제 활동으로 위험 ↓
• 예: 권한 분리·감사·시스템
• 적용: 대부분 위험

(4) 수용 (Accept)

• 위험 그대로 수용
• 예: 작은 위험·통제 비용 ↑
• 적용: 저위험

---

위험 종류별 대응 사례

사례 1: 환율 위험 (재무)

• 식별: USD 매출 60% → 환율 변동 시 수익 영향
• 분석: 발생 가능성 90%(5등급), 영향도 4 → 점수 20 (고위험)
• 대응: 이전 (선물환·통화옵션) + 완화 (자연 헤지)
• → 환율 위험 헤지 — 선물환·옵션·스왑 참고

사례 2: 핵심 인력 이직 (운영)

• 식별: CFO 이직 가능성
• 분석: 발생 60%(4등급), 영향 5 → 점수 20 (고위험)
• 대응: 완화 (후계자 양성·보상 강화)

사례 3: 세무 조사 (법규)

• 식별: 대형 거래·매출 ↑ → 조사 위험
• 분석: 발생 30%, 영향 4 → 점수 12 (중위험)
• 대응: 완화 (세무 자문·정합성 강화)

사례 4: 해킹 (IT)

• 식별: 랜섬웨어 위협
• 분석: 발생 40%(3등급), 영향 5 → 점수 15 (중위험)
• 대응: 완화 (방화벽·백업·교육) + 이전 (사이버 보험)

---

5단계: 모니터링

정기 검토

• 분기: 신규 위험·기존 위험 변동
• 반기: 위험 매트릭스 재작성
• 연: 위험 평가 종합 검토

위험 등록부 (Risk Register)

• 위험 ID·종류·내용
• 발생 가능성·영향도·점수
• 대응 전략·책임자
• 진행 상황·일정

---

위험 평가 보고

보고 대상

• 위험 관리 위원회
• CEO·CFO
• 이사회 (고위험)

보고 주기

• 월: 운영 위험
• 분기: 종합 위험
• 연: 전사 위험 평가

---

자주 묻는 질문 (FAQ)

Q1. 위험 평가가 너무 복잡?

핵심 10~30개 위험에 집중. 너무 많으면 관리 ↓.

Q2. 위험 점수 객관적?

일부 주관. 단 경험·데이터 기반 ↑.

Q3. 새 위험 자주 발생?

환경 변화. 정기 갱신 필수.

Q4. 위험 평가 비용?

소규모: 내부 자체. 중대형: 외부 컨설팅 (수천만).

Q5. 위험 0 가능?

❌. 위험 완전 제거 불가. 수용 가능 수준까지.

---

자주 하는 실수

• 위험 식별 누락: 발견 못 한 위험이 가장 큰 위험.
• 모든 위험 동일 대응: 우선순위 ❌.
• 위험 평가 1회만: 환경 변화 미반영.
• 대응 미실행: 평가만 하고 행동 ❌.
• 고위험 무시: 큰 손실 위험.

---

실무 체크리스트

• 위험 종류 (재무·운영·법규·전략·IT)를 균형 있게 식별했나요?
• 발생 가능성·영향도를 평가했나요?
• 위험 매트릭스로 우선순위를 정했나요?
• 위험별 대응 전략 (회피·이전·완화·수용)을 결정했나요?
• 위험 등록부를 관리하나요?
• 분기·연 정기 위험 평가 갱신하나요?
• 위험 평가를 통제 활동 설계에 반영하나요?

---