바른기획이 설명하는 흥신소의 기업 리스크 관리 및 내부 조사

기업이 “흥신소”라는 단어를 떠올릴 때 흔히 상상하는 은밀한 추적 이미지는 실제 조직 운영에서는 오히려 위험한 오해를 낳기 쉽고, 디지털 시대에 필요한 내부 조사는 누군가를 몰래 캐내는 일이 아니라 규정과 법의 테두리 안에서 사실을 빠르게 확인하고 손실을 최소화하며 재발을 막는 ‘리스크 관리 프로세스’에 가깝다는 관점에서, 바른기획이 말하는 내부 조사의 핵심은 감정이나 소문이 아니라 증거의 흐름을 만들고 의사결정의 책임을 분산시키는 체계를 설계하는 데 있다.

기업 리스크는 보통 한 방에 터지는 사건처럼 보이지만 실제로는 작은 균열이 반복되다가 어느 순간 비용과 신뢰가 동시에 무너지는 형태로 발생하므로, 내부 조사의 출발점은 “누가 했냐”가 아니라 “무슨 통제가 비었냐”로 두는 편이 정확하고, 예컨대 자금 집행이 이상하다는 의심이 생기면 특정 개인을 지목하기 전에 결재 라인·권한 분리·증빙 기준·정산 주기·협력사 선정 절차 같은 구조를 먼저 점검해 어디에서 누수가 생길 수 있는지 지도를 그린 뒤, 그 지도 위에서 사실 확인을 최소 범위로 진행하는 방식이 조직을 덜 흔들면서도 결과는 더 정확해진다.

이때 ‘첨단’이라는 말은 과격한 기술을 뜻하는 게 아니라 기록이 남는 디지털 환경에서 합법적으로 확보 가능한 자료를 빠짐없이 연결하는 능력을 의미하고, 사내 메신저·메일·업무 시스템 로그·접근 권한 변경 이력·협업 툴의 활동 기록·출입 기록·정산 문서의 버전 히스토리처럼 원래 업무 과정에서 생성되는 데이터는 이미 충분히 강력한 단서가 되며, 중요한 것은 그 데이터를 무작정 뒤지는 것이 아니라 목적·범위·기간·접근 권한·보관 기간을 명확히 정의해 개인정보 침해나 인사 분쟁으로 번지지 않도록 ‘조사 자체의 리스크’를 함께 관리하는 것이다.

내부 조사는 크게 신호 감지, 초동 보존, 가설 수립, 최소 확인, 결론 정리, 재발 방지의 순서로 굴러가는데, 신호 감지는 내부 제보나 외부 민원처럼 사람의 목소리로 시작되기도 하고, 매출·환불·광고비·재고·CS 같은 지표의 이상치로 시작되기도 하며, 이 단계에서 바른기획식 접근은 “크게 한 번 뒤집자”가 아니라 “증거가 사라지기 전에 안전하게 고정하자”에 무게를 두어 로그 보존과 접근 차단, 주요 문서의 스냅샷 확보 같은 초동 조치를 우선으로 삼고 이후의 판단은 충분한 근거가 쌓인 다음으로 미루는 편이 실무적으로도 비용이 적다.

가설 수립에서는 누군가를 범인으로 찍는 대신 가능한 시나리오를 여러 갈래로 세우고 각각을 빠르게 배제해 나가야 조직이 불필요한 소문으로 흔들리지 않는데, 예컨대 협력사 비용이 과다 청구된 것처럼 보일 때에도 단가 인상 합의가 문서화되지 않았는지, 기존 계약 범위를 넘어선 추가 업무가 발생했는지, 정산 담당자와 현장 담당자의 기준이 달랐는지, 시스템 입력 방식이 바뀌었는지 같은 “실수·공백·오해”의 가지를 먼저 검증하고 그 다음에야 “고의”의 가지를 다루는 순서를 가져가면, 내부 조사 결과가 징계나 법적 대응으로 이어지든 운영 개선으로 귀결되든 회사가 방어해야 할 논리와 기록이 훨씬 단단해진다.

또한 내부 조사의 가장 큰 함정은 ‘결론을 빨리 내고 싶어서’ 근거를 끼워 맞추는 것이고, 그래서 바른기획이 강조하는 리스크 관리는 조사 결과 자체보다 조사 과정의 투명성과 재현성을 중시하며, 누가 언제 어떤 자료를 어떤 목적 범위에서 확인했고 어떤 기준으로 판단했는지, 그리고 반대 증거가 있었는지 없었는지까지 기록으로 남겨 “나중에 누가 봐도 같은 결론에 도달할 수 있는 구조”를 만들고, 이 기록이 있어야만 내부적으로는 신뢰를 지키고 외부적으로는 분쟁이 생겼을 때 기업이 스스로를 방어할 수 있다.

내부 조사와 함께 돌아가야 하는 축은 예방 시스템인데, 사건이 끝난 뒤에야 규정을 만드는 방식은 늘 늦고 구성원 피로도만 올리기 쉬워서, 평소에 권한 분리(한 사람이 신청·승인·정산을 모두 하지 않게), 중요 업무의 2인 확인(dual control), 예외 승인 기록 의무화, 협력사 선정 기준 표준화, 자료 보관 규칙, 접근 로그 상시 모니터링 같은 통제 장치를 최소한으로라도 깔아두면, 내부 조사 자체가 필요할 만큼의 불확실성이 줄어들고 문제가 생기더라도 범위가 작아져 ‘조사’가 아니라 ‘점검’ 수준에서 끝나는 경우가 많아진다.

결국 기업이 내부 조사를 잘한다는 말은 누군가를 더 잘 잡아낸다는 의미가 아니라, 사건이 커지기 전에 멈출 수 있고 억울한 사람이 생기지 않게 절차를 지키며, 같은 문제가 다시 생기지 않도록 시스템을 고친다는 의미에 가까우며, 바른기획의 관점에서 “디지털 시대의 흥신소 역할”이란 사람을 뒤쫓는 기술이 아니라 회사의 신뢰가 새어 나가는 구멍을 찾아 막는 기술이라는 점에서, 리스크 관리의 본질은 언제나 단 하나—조직이 스스로를 지킬 수 있게 만드는 것이다.