기존 국민은행은 정보보호본부를 중심으로 데이터전략그룹, IT그룹, 디지털금융그룹 등에서 해킹, 정보보안 이슈에 대응해왔다. 그러나 최근 비대면 영업 기조로 인해 새로운 형태의 리스크들이 발현되기 시작했다. 리스크팀에서도 이를 '운영리스크'로 파악하고 별도로 디지털과 관련된 리스크를 모니터링 하기로 했다. 특히 코로나19 사태가 터지면서 이에 대한 필요성이 더욱 커졌다.

운영리스크란 직원의 고의나 과실, 업무처리 체계 미비 등으로 인해 발생할 수 있는 손실을 의미한다. 시장리스크나 신용리스크와 달리 금융회사의 전 영역에 걸친 업무와 광범위하게 연관돼 있는데 최근에는 비대면 영업이 활성화되면서 관련한 리스크도 커지고 있다.

국민은행 리스크전략그룹은 작년부터 디지털리스크 관리방향 수립 TFT운영을 통해 디지털리스크 점검 프로세스를 구축하기 시작했다. 정밀한 업무 갭 분석을 진행해왔으며 IT뿐 아니라 데이터까지 이르는 새로운 형태의 리스크를 감지하는 작업을 실시해왔다. 올해 운영리스크와 관련된 KRI(Key Risk Indicator) 관리시스템, CSA(Risk Control Self Assessment) 개선작업을 진행하고 있다.

최철수 국민은행 전무(CRO)는 "지난해부터 금융업계에선 비대면, 디지털이 화두였다"며 이로 인해 기존에는 없던 IT리스크가 발현됐고 당국에서도 이를 전담하는 부서가 생겼을 정도"라고 말했다.

다만 운영리스크는 사람이나 업무처리 프로세스와 관련돼 있어 측정하고 계량화하기 어렵다는 특징이 있다. 때문에 최 전무는 새로운 디지털리스크(운영리스크) 관리 작업을 본부 현업부서와 접목시키기로 했다. 경영진은 물론이고 본부 전 직원이 디지털리스크와 관련해 의견을 내고 피드백을 줄 수 있도록 한 것이다. 즉 디지털리스크 관리 업무를 조직 전체로 확산시킨 셈이다.

'하임리히 법칙'을 기반으로 한다. 1:29:300 법칙으로도 불리는데 대형 사고가 한 번 터지기 전에는 앞서 300번의 아주 경미한 사고, 29번의 제법 큰 사고가 일어나는 등 사전예고성 사고가 빈번하게 발생하는 현상을 의미한다.

국민은행 각 부서에서는 자가 평가를 통해 최근 새롭게 생겨난 리스크를 파악했다. 또 이를 측정할 수 있는 방법에 대해 보고했다. 리스크부서에선 이를 기반으로 계량화시킬 수 있는 여지가 있다고 판단되면 리스크점검 시스템에 반영했다. 운영리스크 지표(KRI·Key Risk Indicator)에 항목을 추가하는 방식이다.

KRI란 당발송금 취소건수, 수출환어음 하자, 매입 내역 등 업무 처리 절차에서 발생하는 실수나 오류를 점검하는 주요 지표들을 말한다. 특정 지표가 증가하면 운영리스크가 커진다.

KRI의 계량화와 전산화는 직원들의 적극적인 참여가 없으면 일정 수준을 넘기기 힘들다. 본점과 일선 영업점의 협조 없이 전 부분에 걸친 업무 프로세스를 제대로 알고 전산화하기는 불가능하기 때문이다. 때문에 타 부서 직원들의 협조적인 태도를 이끌어내는데 가장 공을 들였다는 전언이다.

최 전무는 "운영리스크는 각 부서에서 가장 잘 알 수 있는 부분이라고 판단됐다"며 "조직구성원 스스로 자발적인 리스크관리 문화를 형성했다는 점에서 의의가 있다"고 말했다"고 말했다.