기업 경영에서 매출과 수익성은 무엇보다 중요한 목표다. 다만 매출이 늘어나는 과정에서 법규 위반이나 내부 통제 실패가 발생하면, 그 성과는 과징금과 손해배상, 거래 중단, 입찰·인허가 제한, 소송 비용, 핵심 거래처 이탈 등으로 빠르게 훼손될 수 있다. 위반으로 인한 손실은 제재금에 그치지 않는다. 조사와 소송에 투입되는 인력과 시간, 경영진 의사결정 지연, 투자자와 금융기관 신뢰 저하까지 고려하면 기업이 부담해야 하는 비용은 당초 예상보다 커질 수 있다.

이 때문에 컴플라이언스를 단순한 관리 비용이나 규정 준수 활동으로만 볼 수 없다는 지적이 나온다. 

컴플라이언스는 영업을 위축시키기 위한 장치가 아니라, 매출을 만드는 과정에서 발생할 수 있는 법률·규제 위험을 사전에 통제하고 문제가 커지기 전에 발견해 기업의 사업 지속성을 지키는 경영관리 체계다. 핵심은 규정집을 갖췄는지가 아니라, 고위험 거래를 누가 승인하고 어떤 기준으로 점검하며, 위반 징후가 발견됐을 때 누가 어떤 조치를 취했는지를 실제 기록으로 설명할 수 있는 가에 있다.

사건이 발생한 뒤 만든 규정 만으로는 충분하지 않다

횡령·배임, 부정 회계, 불법 리베이트, 담합, 정보 유출과 같은 사법·규제 위험은 특정 직원 일탈 만으로 발생하는 것이 아니다. 

이번엔 좋은평가를 받아야지(과도한 실적에 대한 욕심), 누군가 하겠지 (불명확한 권한과 책임), 이건은 문제 없을거야(예외 승인 반복),나만 잘하면 되지(협력사 관리 공백), 별문제 없겠지(이상 거래에 대한 무대응), 나중에 해결한 뒤 보고해야지(경영진 보고 지연) 등이 겹치면 개인 행위가 조직 전체 리스크로 확대될 수 있다. 따라서 기업은 사고가 난 뒤 규정을 만들거나 교육을 실시하는 데 그치지 않고, 위험이 발생하는 업무와 의사결정 지점을 사전에 찾아 통제해야 한다.

사건 이후 새로 마련한 규정과 일회성 교육은 개선 의지를 보여주는 자료가 될 수 있지만, 사건 이전에 기업이 위험을 어떻게 관리 했는지를 대신 입증해 주지는 못한다. 반면 정기적 위험평가, 거래 전 승인, 비용과 자금 흐름 점검, 내부제보 접수 및 보호, 독립적인 사실조사, 위반에 대한 일관된 조치, 재발 방지 효과 확인이 평소 운영되고 기록돼 있다면 기업은 위험을 줄이는 동시에 문제가 발생한 경위와 후속 대응을 객관적으로 설명할 수 있다.

경영진의 책임은 ‘체계가 있는가’보다 ‘실제로 작동했는가’에 달려 있다

기업에 준법 규정이나 담당 부서가 있다는 사실 만으로 경영진 법적 책임이 자동으로 면제되는 것은 아니다. 실제 쟁점은 위험을 인식할 수 있었는지, 필요한 보고와 감독이 이뤄졌는지, 경고 신호를 받고도 방치했는지, 위반을 발견한 뒤 적절한 조치를 취했는지 등 구체적인 사실관계에 따라 달라진다. 

경영진이 승인 기준과 보고 경로를 정하고, 중대한 위험을 정기적으로 보고받으며, 미해결 사항에 책임자와 기한을 부여하고, 조치 결과를 확인하는 절차는 실질적인 관리·감독 활동을 설명하는 자료가 될 수 있다.

특히 수사나 행정조사가 시작된 기업은 자료 보존과 사실관계 확인을 우선해야 한다. 계약서, 비용 증빙, 승인 이력, 회계 자료, 내부제보 및 조사 기록을 적법하게 보존하고, 법률대리인과 협의해 대응 책임자와 보고체계를 명확히 할 필요가 있다. 관련 자료를 임의로 삭제하거나 사후에 기록을 맞추는 행위는 오히려 기업의 신뢰와 대응 능력을 훼손할 수 있다. 컴플라이언스 기록은 사후에 급조하는 문서가 아니라 평소의 업무 과정에서 정확하게 생성·관리돼야 한다.

양형과 행정상 인센티브는 정확히 구분해야 한다

형사재판에서 고려되는 양형 요소는 범죄 유형과 적용 법률, 해당 양형기준, 사건의 구체적 경위에 따라 달라진다. 피해 회복, 진지한 반성, 재범 방지 노력 등은 관련 사건에서 고려될 수 있으며, 기업의 통제 개선과 후속 조치는 그러한 노력을 설명하는 자료가 될 수 있다. 그러나 컴플라이언스 제도를 도입하거나 교육을 실시했다는 사실만으로 자동 감형되는 것은 아니다. 제도의 실효성, 위반의 발생 경위, 피해 회복 여부, 피고인의 역할 등 개별 사정을 구분해 검토해야 한다.

공정거래 분야의 자율준수프로그램(CP) 평가에 따른 인센티브 역시 형사 양형과 별개 제도다. 우수 등급에 따른 혜택을 언급할 때에는 해당 시점 법령과 운영·평가 규정, 평가 등급 및 개별 적용 요건을 확인해야 한다. 특정 제도를 운영한다는 이유만으로 모든 법 위반에 제재 감경이 적용되는 것처럼 설명해서는 안 된다. 경영진에게는 기대효과뿐 아니라 적용 범위와 한계까지 함께 보고하는 것이 타당하다.

컴플라이언스 성과는 교육 횟수가 아니라 위험 감소로 평가해야

실효성을 확인하려면 교육 횟수나 서약서 회수율 만으로 성과를 판단하지 않아야 한다. 고위험 거래가 사전심사를 거친 비율, 이상 거래가 탐지된 뒤 조사와 조치가 완료되기까지 걸린 시간, 반복 위반 건수, 시정조치 이후 재발 여부, 미해결 고위험 지적사항 규모와 경과기간 등을 함께 살펴야 한다. 내부제보가 접수된 경우에는 처리 기간 뿐 아니라 신고자 보호와 보복 방지 조치가 적절했는지도 점검해야 한다.

이러한 지표는 컴플라이언스 부서만의 실적표가 아니라 경영진 의사결정 자료로 활용돼야 한다. 고위험 거래가 반복적으로 예외 승인되는지, 특정 부서에서 유사 위반이 재발하는지, 시정조치가 지연되는지 등을 정기적으로 보고받으면 예산과 인력을 실제 위험이 큰 영역에 배분할 수 있다. 예방 효과를 금액으로 산정할 때는 추정치와 확인된 손실을 구분하고, 산정 가정과 근거를 함께 제시해야 과장된 비용 절감 주장으로 흐르는 것을 막을 수 있다.

90일 안에 시작할 수 있는 실행 방향 제시

우선 진행 중인 수사·소송·행정조사와 관련된 자료 보존 및 대응체계를 정비해야 한다. 이후 30일 이내에는 횡령·배임, 리베이트, 담합, 회계 부정 등 기업의 주요 위험을 평가하고 통제 공백을 확인한다. 60일 이내에는 고위험 거래의 사전승인과 이상 거래 모니터링을 우선 적용하고, 90일 이내에는 내부제보, 독립 조사, 위반자 조치, 시정조치 효과 검증 절차를 정비하는 방식으로 추진할 수 있다. 

대표이사와 이사회에는 중대한 위험, 조치 지연 사항, 잔여 위험을 정기적으로 보고하고, 의사결정과 후속 조치를 기록으로 남겨야 한다.

이 일정은 정해진 기한이 아닌 실행을 위한 권고 안이다. 이미 수사나 재판이 진행 중인 경우에는 사건별 법률 자문과 적법한 자료 보존이 우선돼야 하며, 내부 조사는 관련 법령과 절차를 준수해 수행해야 한다. 또 컴플라이언스 담당 부서에 책임을 집중시키기보다 영업·재무·인사·구매·품질·IT 등 각 업무 책임자가 자신의 업무에서 위험을 통제하고, 컴플라이언스 부서가 기준·모니터링·보고·개선 검증을 지원하는 구조가 필요하다.

경영진이 바꿔야 할 질문

컴플라이언스 투자를 검토할 때 질문은 ‘얼마를 써야 하는가’에 머물러서는 안 된다. ‘우리 사업에서 가장 큰 법률·규제 위험은 무엇인가’, ‘그 위험을 누가 승인하고 감시하는가’, ‘경고 신호가 나타났을 때 얼마나 빨리 조치하는가’, ‘통제 실패로 인한 손실과 재발 가능성을 어떤 자료로 줄였다고 판단할 것인가’를 물어야 한다. 
이 질문에 객관적인 자료로 답할 수 있을 때 컴플라이언스는 형식적 규정 준수를 넘어 경영진 판단과 기업의 지속 가능한 성장을 뒷받침하는 체계가 된다.

“매출은 기업을 성장시키지만, 통제되지 않은 매출은 기업 존속을 위협할 수 있다. 중요한 것은 규정의 존재가 아니라 위험을 통제하고 필요한 조치를 했다는 사실이다”