ESG 리스크의 ‘블랙박스’: 왜 조직은 내부의 경고음을 듣지 못하는가

경영진과 이사회는 매 분기 자문해야 한다. “우리가 설정한 초격차 목표가 직원들에게 윤리적 선을 넘도록 강요하고 있지는 않은가?” 리스크 관리의 시작은 시스템 도입이 아니라, 불가능한 목표를 현실화하는 과정에서 필연적으로 발생하는 ‘무리수’를 감지하는 데 있다.

2. 무기화된 내부고발 채널과 ‘3선 방어선’의 형해화: 웰스파고의 역설

많은 글로벌 기업이 “우리는 익명 핫라인(Hotline)을 운영하고 윤리 강령을 준수하므로 안전하다”고 항변한다. 그러나 미국의 대형 은행 웰스파고(Wells Fargo)의 사례는 시스템이 존재하더라도 운영 방식이 잘못되면 그 시스템이 오히려 독이 됨을 적나라하게 보여주었다.

웰스파고 직원들은 과도한 교차 판매(Cross-selling) 실적 압박으로 인해 고객 동의 없이 수백만 개에 이르는 비인가 계좌를 개설한 것으로 드러났다(초기 조사 기준 약 200만 개, 이후 조사에서 더 많은 계좌가 확인됨).

이 과정에서 리스크 관리의 핵심인 ‘3선 방어선(Three Lines of Defense)’ 모델(현업 부서-리스크 관리 부서-내부 감사)이 존재했음에도, 과도한 판매 압박과 조직 문화 탓에 실질적으로 작동하지 못한 것으로 평가된다.

당시 일부 내부고발자는 윤리 핫라인에 문제를 제기한 뒤 단기간 내 해고·징계를 당했다고 주장했으며, 실제로 보복 의혹과 관련된 소송과 노동부 제소 사례가 보고되었다.

내부 감사 부서와 HR(인사팀)이 독립성을 잃고 경영진의 단기 이익을 대변하는 ‘방패’로 전락하면서, 내부고발 채널은 자정 작용을 하는 도구가 아니라 ‘불만 세력 색출 도구’로 변질(Weaponized)되었다는 비판을 받았다.

이는 거버넌스 체계에서 ‘독립성(Independence)’이 얼마나 중요한지를 시사한다. 신고 접수와 조사 권한이 경영진의 영향력 아래에 있는 한, 그 시스템은 유명무실하다.

최근 국제표준화기구(ISO)가 제정한 내부고발 경영시스템 표준인 ‘ISO 37002’는 신고 채널의 ‘신뢰성, 공정성, 보호’를 강조하며, 조직의 규모·상황에 따라 내부 또는 외부 주체가 운영할 수 있으나, 이해상충을 줄이기 위한 독립성 확보 방안을 제시한다. 실무에서는 법무법인·전문 플랫폼 등 제3자에게 운영을 위탁하는 사례가 늘고 있다.

3. 정보 비대칭과 이사회의 형해화: 보잉 737 맥스의 비극

보잉 737 맥스 추락 사고 조사 과정에서 드러난 내부 이메일과 메신저 기록은 충격적이었다.

엔지니어들은 사내 메신저를 통해 해당 기종의 설계 결함을 "원숭이들이 감독하는 광대들에 의해 설계된 비행기"라고 조롱하며 심각한 안전 우려를 표했다. 그러나 내부 이메일·메신저 기록에 드러난 현장의 우려와 문제 제기 상당수는 이사회까지 체계적으로 보고되지 않은 것으로 드러났다.

당시 보잉 경영진은 경쟁사인 에어버스(Airbus)의 A320neo에 대항하기 위해 개발 일정을 무리하게 단축하는 데만 몰두했다.

이 과정에서 이사회는 경영진이 제공한 정제된 성과 중심 보고에 주로 의존했고, 심각한 안전 리스크에 대한 별도의 데이터나 내부 제보를 직접 접할 수 있는 구조를 갖추지 못했다는 비판을 받았다. 안전 관련 우려는 중간 관리자 선에서 묵살되거나 축소되었다. 이는 주인-대리인 이론(Principal-Agent Theory)에서 말하는 ‘정보 비대칭(Information Asymmetry)’의 전형적인 폐해다.

이사회가 현장의 날 것 그대로의 리스크 데이터(Raw Data)에 접근하지 못하고, 경영진이 필터링한 ‘요약 보고서’에만 의존할 때, 이사회는 리스크 감독 기능을 상실하고 단순한 거수기로 전락한다.

보잉 사태는 이사회가 경영진을 견제하지 못하고 그들의 논리에 포획(Capture)되었을 때 어떤 비극이 발생하는지를 보여주는 교과서적인 사례다.

4. 국내 기업을 위한 실행 인사이트: ‘침묵의 카르텔’을 깨는 3단계 전략

한국 기업의 조직 문화는 서구 기업에 비해 위계질서가 강하고 상명하복의 전통이 남아 있어, 내부 경고음이 차단될 가능성이 구조적으로 더 높다.

중대재해처벌법 시행 이후 안전 관련 보고가 양적으로 늘어난 것 같지만, 실상은 법적 면책을 위한 ‘서류 작업(Paper Compliance)’만 폭증했을 뿐, 실질적인 위험 신고는 여전히 기피되는 경향이 강하다. 실무자와 경영진은 다음의 3단계 거버넌스 재설계 전략을 즉시 검토해야 한다.

① KPI의 재설계: ‘결과 지표’에서 ‘과정 지표’로의 전환

현장에서 ‘무재해 달성’이나 ‘영업이익 목표’ 등 ‘결과’만으로 평가받는 구조에서는 필연적으로 부정이 싹튼다.

ESG 관점에서는 전체 KPI 중 일정 비중(예: 30% 안팎)을 ‘과정 지표(Process Indicator)’로 구성해 윤리·컴플라이언스 준수 여부를 평가에 반영하는 설계가 국제적 권고·베스트 프랙티스와도 부합한다는 논의가 늘고 있다. 또한, 잠재 위험 요소를 사전에 발굴하여 보고한 경우, 사고가 발생하지 않았더라도 이를 ‘예방 성과’로 인정하고 인센티브를 제공하는 역발상이 필요하다.

② 핫라인의 ‘완전한’ 외부화 (Third-Party Management)

많은 국내 기업이 감사팀 내부에서 핫라인을 운영하지만, 이는 신고자에게 신뢰를 주기 어렵다. 신고자가 ‘IP 추적’이나 ‘인사 보복’을 두려워하지 않도록, 신고 채널의 접수 및 1차 검토를 외부 전문 기관(법무법인 또는 전문 윤리경영 플랫폼)에 위탁하는 방안을 적극 고려해야 한다.

더불어 EU 내부고발자 보호 지침(EU Whistleblower Directive)은 신고 접수 후 7일 이내 접수 확인, 3개월 이내 후속 조치에 대한 정보를 제공할 것을 요구한다. 이에 맞춰 국내 기업도 유사한 응답 기한을 내부 규정으로 명문화하는 것이 바람직하다.

③ 이사회 직보 채널(Direct Access) 및 현장 경영의 제도화

CEO나 경영진을 거치지 않고 이사회 산하 감사위원회나 ESG 위원회로 직접 연결되는 ‘핫라인’을 개설해야 한다. 경영진이 정보를 통제할 수 없도록 우회로를 만드는 것이다.

더불어 사외이사를 포함한 이사회 멤버가 정기적으로 공장, 물류 센터, 연구소 등 현장을 ‘예고 없이’ 방문하여 중간 관리자의 필터링 없는 목소리를 듣는 ‘현장 경영(Gemba Walk)’을 제도화해야 한다. 현장의 직원들과 직접 소통하며 리스크를 청취하는 과정은 경영진에 의한 정보 왜곡을 차단하는 가장 강력하고 직접적인 수단이 된다.

결론: 침묵의 비용은 수습의 비용보다 압도적으로 크다

ESG 경영에서 거버넌스의 실패는 단순히 이미지 실추에 그치지 않는다. 이는 자본의 이탈, 법적 제재, 그리고 기업의 존폐를 위협하는 생존의 문제로 직결된다.

폭스바겐이 치른 수십조 원의 벌금, 웰스파고가 잃어버린 고객의 신뢰, 보잉이 겪은 경영 위기의 비용은, 초기에 내부 경고를 듣고 문제를 수정하는 데 들었을 비용의 수천 배에 달했다.

학계와 실무에서는 건강한 거버넌스를, “가장 불편한 소식이 가장 빨리, 그리고 왜곡 없이 의사결정권자에게 도달하는 구조를 가진 조직”으로 설명하기도 한다. 이제 기업은 스스로에게 물어야 한다.

우리 조직의 조용함은 평화인가, 아니면 폭풍전야의 침묵인가. 리더가 껄끄러운 진실에 귀를 여는 그 순간, 비로소 진정한 ESG 리스크 관리는 시작된다.

© 코리아비즈니스리뷰(Korea Business Review) All Rights Reserved.