최근 규제 당국의 제재 기준이 단순한 법규 위반 적발을 넘어, 기업의 내부통제 시스템이 실질적으로 작동했는가를 묻는 방향으로 진화하고 있다. 이는 단순한 사고 발생 자체보다 탐지, 보고, 대응, 거버넌스의 미흡함이 제재의 핵심 근거가 되고 있다는 것을 의미한다. 특히 고도의 규제 산업인 제약·바이오 분야에서는 단편적인 'GMP(제조 및 품질관리기준) 유지'만으로는 경영 리스크를 방어할 수 없다는 지적이 나온다.

단순 보고 누락이나 변경 승인 지연도 치명적인 행정처분으로 이어지고 있다. 일례로 지난 2026년 8월 10일, 식품의약품안전처는 아주약품의 AJU-S56 임상 3상과 관련해 임상시험계획 변경 승인을 미취득하고 변경사항 보고 절차를 준수하지 않았다는 이유로 1개월(8.10~9.9)의 임상시험 업무정지 처분을 내렸다. 이에 따라 제약기업은 과거처럼 GMP 관리에만 매몰될 것이 아니라, GCP(임상시험관리기준), 약사법, 임상시험 변경관리, 규제기관 보고 절차를 하나로 통합하여 법규 준수 여부를 지속적으로 모니터링해야 한다.

컴플라이언스 리스크에서 피해 금액이나 위반 사실 자체보다 더욱 중요한 것은 사내 '발견 경로'의 투명성이다. 내부제보를 시작으로 독립적인 외부 전문가 조사와 포렌식을 거쳐 이사회 확인, 환수, 내부통제 개선으로 이어지는 자정 프로세스가 작동해야만 리스크를 최소화할 수 있다. 제약·바이오 등 규제 산업은 내부제보가 접수될 경우 감사, 관계기관 조사, 압수수색 및 자료 확보, 송치, 기소로 직결되는 '위반 확정 전 조사 단계'의 파장이 유독 크기 때문에 자체적인 모니터링 시스템 구축이 필수적이다.

기업 컴플라이언스 평가 지표인 '대표이사 보고용 핵심 위험 지도'를 보면, '제약 규제(업무정지)'와 '제3자/CSO 관리(행정·형사 처벌)'는 경영진 우선순위에서 최고 등급인 '매우 높음(Red)'으로 분류된다. 

전문가들은 사법 및 행정 리스크를 선제적으로 차단하기 위해 제약사 경영진이 당장 직접 챙겨야 할 과제로 제3자 외부 위탁 업체 관리를 꼽는다. 의약품 판촉영업자(CSO), 대리점, 판매대행사 등의 적법성을 추적하고, 의료진에 대한 불법 리베이트나 부정 청탁을 원천 차단할 사내 통제 시스템을 완비해야 한다는 것이다.

또한, 임상시험계획 등 규제기관 보고 및 변경승인 관리가 철저히 이뤄지는지 상시 점검해야 하며, 임직원 횡령·배임 위험, 대표이사 및 임원 이해상충 거래, 특수관계자 거래 승인, 법인자금 집행 등을 엄격히 감시해 기강을 확립해야 한다. 끝으로 사내 내부제보 및 조사체계가 실제로 가동되는지 확인하고, 법 위반 발생 후 재발 방지 조치의 실효성을 철저히 검증해야 한다. 특히 공정거래 분야 등에서는 단순 1회성 적발을 넘어 반복적 위반에 대해 가중처분을 내리는 추세이므로 사후 관리가 무엇보다 중요하다.

기업 컴플라이언스의 성패는 법규 식별부터 리스크 평가, 예방통제, 모니터링, 내부제보, 조사, 시정조치, 재발방지로 이어지는 모든 과정을 ISO 37301(컴플라이언스 경영시스템) 및 ISO 37001(반부패경영시스템) 전사 체계로 촘촘히 엮어 경영진이 직접 검토하는 데 달려 있다.