빙혼경 4689 기업 862 예측관리와 예방관리2 예측관리

[빙혼서생]

빙혼경 4689 기업 862 예측관리와 예방관리2 예측관리

<예측관리>

관리대상파악=>이슈파악=>리스크관리(분석=>평가=>선정=>조치(방법,자원-인력,장비,비용 등))

*조치는 <대비>로 볼 수 있다.

*조치는 선정된 리스크에 따라 비상사태시나리오를 만들어 지속적인/정기적인 훈련/연습 필요

1. 관리대상파악

예측관리에 대한 관리 대상을 파악해야 한다.

신규 및 변경(사업, 제품, 공정, 장비, 유틸리티, 건물 등)은 모두 예측관리 대상이다.

2. 이슈 파악

이슈는 신규 및 변경되는 사업, 제품, 공정, 장비, 유틸리티, 건물 등에 대하여

잠재적으로 예상, 예측되는 문제점 즉 사건 및 사고, 재난 등을 의미한다.

상기 위험요인은 빙혼이 ISO 22301 인증 지도를 할 때 정리한 것으로

각 조직의 규모 및 위치, 제품/공정의 특성 등에 따라 수많은 위험요인이 존재할 수 있다.

유념해야 할 것은 어떤 사건 1개에서도 수십 가지 이슈 즉 위험요인이 파악될 수가 있어

이슈를 파악할 때는 리스크 평가 시 심각도, 발생도를 고려하여 상위 5개 이내로 국한시켜

파악하는 것이 바람직하다.

ISO 22301 인증은 갑자기 전체적인 업무, 제품, 공정, 장비 및 시설 등에 대하여

한꺼번에 진행을 해야하므로 어쩔 수 없이 가짜로 샘플을 만들어 진행할 수 밖에 없다.

진짜로 한다면 담당팀을 만들어 진행을 해도 3년 이상을 준비해도 부족할지도 모른다.

그러나 실제 업무애서는 한꺼번에 하는 것이 아니고 신규 또는 변경된 것에 국한되므로

각 팀과 관련된 위험요인을 파악할 수가 있는데 이 짓도 관리자들의 적극성이 없으면

불가능하고 특히 누군가 약간 잘못된 위험요인을 이야기할 때도 무시하는 사람이 없어야 한다.

3. 리스크관리

3.1 리스크 분석

예상, 예측되는 리스크(위험)요인에 대하여 얼마나 리스크가 발생되는 지를 분석해야 한다.

분석은 가능한 정량화/숫자로 분석되어야 한다. 물론 정성적으로 분석될 수도 있지만

정성적인 분석도 숫자로 표현해야만 평가가 가능하다.

예)

손실발생 우려 => 최소 4500만원 손실 예상

인명사상 우려 => 최소 경미, 최대 중상(전치 4주 이상) 3명 이상 발생 예상

벌금발생 우려 =>000법 미준수시 500만원 발생 우려

사회적 이미지 하락 => 이미지가 하락 시 리스크가 무엇인지 분석 : 시장퇴출, 매출감소, 폐업

경영악화 우려 => 경영이 악화되면 조직에 어떤 리스크가 있는지를 분석하라는 것임

즉 좌측은 리스크요인일 뿐이지 리스크가 아닌데도

한국에서 자칭 전문가이고 심사. 지도, 교육 경력이 엄청난 사람들도

리스크 요인과 리스크 분석을 구분도 못하는데도 목에 힘주는 것을 보면 정말 존경스럽다.

분석을 구체적으로 하지 않으면 평가가 엉터리로 할 수밖에 없는 것이다.

많은 이들이 99.98% 이상이 리스크 분석을 할 때 착각도 아닌 전혀 모르고 분석을 하고 있다.

분석은 반드시 리스크 평가 요인을 고려하여 분석을 해야만 한다.

즉 심각도와 발생도를 가지고 평가를 할 때 분석 내용은 반드시 심각성과 발생도가 필요하다.

그런데 리스크 내용을 보면 심각성도 없거나 두루뭉술하게 있음에도 심각도를 평가하고

특히 발생도는 거의 분석되지 않았음에도 발생도도 AI처럼 자동적으로 모두 평가를 하고 있다.

리스크를 분석할 때 가장 중요하 것이 극단적인 것은 배제하는 것이 좋다.

합리적으로 예상, 예측 가능하고 실질적으로 발생될 수 있는 상황을 고려해야 바람직하다.

그래서 이전에 발생된 유사한 사건 및 사고, 재난 상황을 근간으로 분석하는 것이 좋고

동종업체, 기타 유사한 사례를 참고하여 객관적으로 누구나 이해할 수 있도록 분석해야 좋다.

<SWOT 분석>

SWOT는 경영전략을 수립하는 도구로서

강점(strength), 약점(weakness), 기회(opportunity), 위협(threat)의 약자이다.

SO 전략: 강점을 살려 기회를 잡는 전략.

ST 전략: 강점을 살려 위기를 극복하는 전략.

WO 전략: 약점을 보완하여 기회를 잡는 전략.

WT 전략: 약점을 보완하여 위기를 돌파하는 전략

어떤 모지리들은 이슈 파악과 리스크 분석을 SWOT로 대체한다고 한다.

*내부적 요인 : 강점(strength), 약점(weakness)

*외부적 요인 : 기회(opportunity), 위협(threat)

이 중에서 이슈는 무엇인가? 강점과 약점이 이슈인가?

이슈를 파악하여 기회와 리스크로 분석 및 평가를 해야 하는데

이슈도 없이 기회와 위협은 어떻게 만들어졌는가?

또한 위험(risk)와 위협(threat)이 같은 것인가?

위험은 내부 및 외부 요인에 의하여 내 스스로가 느끼는 상황이라면

위협은 외부 요인에 의하여 어쩔 수 없이 처한 위험한 상황인데 같을 수가 있나?

아직도 이슈와 리스크를 SWOT로 한다는 분들은 어디 가서 ISO 한다는 이야기를 하지 말라.

ISO를 쉽고 편하게 인증만 받으면 된다는 사기꾼 같은 소리는 안 하기를 바랄 뿐이다.

ISO는 각 조항이 하나의 학문이고 이것을 요구사항으로 만들어 놓았다는 것만 잊지 말라!!!

3.2 리스크 평가

리스크를 평가하기 위해서는 평가항목이 필요하다.

FMEA에서는 심각도, 발생도, 검출도 3개의 평가항목이 있지만

일반적으로 리스크 평가항목은 심각도, 발생도 2개만을 설정하는 경우도 있고

어떤 조직은 단순하게 심각도 1개만으로 평가를 진행하기도 한다.

심각도 1개만으로 리스크를 평가하면 잘못된 것인가?

그럼 검출도가 없는 리스크 평가는 잘못된 것일까?

ISO 인증 관련 요구사항은 리스크를 평가하라고 하였지 평가항목은 지정되지 않았지만

ISO 31000(리스크경영)에서 사례를 만들어 놓았기에 이왕이면 관련 규격을 인용할 뿐이다.

리스크 평가는 이슈에 대하여 예상, 예측되는 분석된 내용을 평가하는 것이기에

리스크 분석과 리스크 평가는 일관성, 연계성이 있어야 하는데 대부분 따로 국밥이다.

왜? 지도위원이 샘플로 준 것을 베끼니까 본인들이 만들어 놓고도 무슨 말인지를 모른다.

하기야 지도위원이나 심사원들도 이슈, 리스크 분석, 리스크 평가에 대하여 개념없기는 똑같다.

리스크 평가는 평가항목이 설정되면 평가기준이 따라야 한다.

문제는 평가항목을 설정하는 것이다.

평가항목은 크게 심각도와 발생도로 구분하지만

평가항목은 리스크 분석 내용에 따라 수없이 늘어날 수가 있다.

2.1 이슈 파악할 때 위험요인들을 고려하여 어떤 리스크가 발생될 것인지 예상, 예측함으로서

각 평가항목에 따라 평가등급과 평가기준을 만들어야만 하는 것이 고달프다.

예)심각도 : 인명, 손실(매출액, 영업이익, 순이익, 손실비용 등), 벌금, 위법사항, 기업이미지 등

예)발생도 : 가능성, 발생주기/빈도, 발생회수, 발생량 등

평가등급은 FMEA처럼 위험도를 10등급으로 나눌 수도 있고

매우 심각, 심각, 보통, 약간 심각, 거의 없음 등 위험도를 5등급으로 나눌 수도 있고

높음, 중간, 낮음 등 3등급으로 나눌 수도 있고 각 조직의 특성에 따라 결정하면 된다.

평가기준은 평가등급에 따라 리스크 분석 내용을 보고 결정하는 것이 바람직하다.

그런데 실제 해 보면 쉽지 않은 것이 평가항목이 다양하기 때문에 하면서 계속 개정해야 한다.

예) 손실금액 - 매출액

높음 : 10억 이상, 중간 : 10억 미만 1억 이상, 낮음 : 1억 미만

예) 손실금액 - 자재 클레임

높음 : 1000만원 이상, 중간 : 1000만원 미만 100만원 이상, 낮음 : 100만원 미만

손실금액에 대한 평가기준을 만들 때도

평가항목에 따라 다르고, 조직의 규모에 따라 다를 수밖에 없이

평가기준은 반드시 조직이 리스크 분석 내용에 따라 직접 개발하는 것이 가장 바람직하다.

지도위원이 던져주는 샘플은 대부분 상기와 같은 개념(개같은 생각)도 없다는 것만 알자.

리스크 평가가 끝나면 리스크/위험도를 산출하는 것이다.

리스크/위험도 : 심각도 * 발생도 또는 심각도 + 발생도

평가등급을 3등급으로 하면

높음 : 16 이상 또는 8이상 => 최우선적으로 조치

중간 : 7~15 또는 4~7 => 시급하거나 높음이 없는 경우 조치

낮음 : 6이하 또는 3이하 => 필요한 경우 조치

3.3 리스크 선정

리스크 평가가 끝나면 리스크를 처리하기 위한 선택/선정을 해야 하는데

이 또한 여러가지가 있을 수 있으나 빙혼은 4가지로 분류한다.

(1) 리스크 제거 : 리스크를 완전하게 제거할 수 있는 방안이 있는 경우

(2) 리스크 완화/감소 : 리스크를 제거할 수 없으나 완화할 수 있는 방안이 있는 경우

(3) 리스크 회피 : 리스크를 제거, 완화할 수가 없어 회피할 수 있는 방안이 있는 경우

예) 외주처리, 추진 프로젝트 취소 등

(4) 리스크 유지/수용 : 리스크를 제거, 완화, 회피할 수 없는 경우 리스크를 유지할 때

리스크/위험도에 대하여 산출을 한 후에 마지막으로 상기 4가지를 고려하여

리스크 처리를 위한 방안을 마련해야 한다.

즉 리스크가 아무리 높아도 지금 당장 인력, 기술, 비용, 시간 등으로 인하여

리스크를 제거 또는 완화하지 못하고 리스크를 수용하는 경우가 매우 많다는 것이 현실이다.

3.4 리스크 조치

리스크 관리 마지막 단계이다.

리스크 조치는 리스크 처리이자 리스크 대비와 같다.

ISO에서 주로 조치라는 용어를 사용하기 때문에 조치라고 할 뿐이다.

ISO 인증을 받을 때는 모든 팀에서 모든 업무, 제품, 공정, 장비, 시설 등을 고려하여

그것도 짧은 시간 내에 하기 때문에 대부분 리스크 평가등급을 “중간, 낮음”으로 해 놓고

게다가 이 마저도 귀찮으니 리스크를 수용/유지한다고 바꾸어 조치를 하지 않는다.

빙혼도 그렇게 지도를 하였다.

왜? 조직은 바쁘다고 하지를 않거나 자기들이 해야 할 조치 방법을 빙혼에게 요구하니

빙혼은 조직의 상황도 모르는 상태에서 조치를 대신 만들어 줄 수 없으니 편법을 쓰는 것이다.

그러나 실제 업무를 진행하면서 신규 사업, 개발, 공정을 진행하거나 변경을 할 때

미리 리스크를 예측하여 대비해야 하는데 리스크가 중간 또는 낮음으로 한다면 어떻게 될까?

특히 신규 사업, 개발, 공정을 진행하거나 변경할 때 관련 팀이 모여 회의를 하는데

한 마디 말도 없이 그냥 참석만 하고 가는 사람들은 직책과 직위를 박탈해야만 한다.

새로운 또는 변경되는 일에는 수많은 변수가 어떡하든 리스크를 일으키려고 준비를 하는데

자기 팀과 관련된 리스크를 크든 작든 많든 적든 발표를 하여 리스크를 선정하여 리스크가

발생되지 않도록 적극적으로 참여를 해야 하는데 아무런 말도 없이 놀러만 왔다가 나중에

리스크가 발생되면 그에 따른 리스크 관련 비용은 전부 급여, 퇴직금에서 공제를 할 수 있도록

팀장, 팀원 업무분장표나 책임과 권한을 명시한 문서, 계약서 등에 반드시 문서화해야만 한다.

그래야 월급을 받고 일하는 모든 사람들에게 책임감이 형성이 되지

리스크가 생겨나도 돈으로 책임을지지 않으니 일을 개판으로 하는 것이다.

“제가 책임을 지겠습니다.”라는 말은 리스크가 발생되면

“제 월급과 퇴직금으로 변상하겠습니다.“와 같은 것임을 반드시 교육을 해야만 하고

이것에 반대를 하면 책임은 지지 않고 월급만 타겠다는 도둑놈 심뽀인 것이다.

결재도 마찬가지로 “작성, 검토, 승인”에 이름과 일자와 서명을 하는 이유는

내가 “작성, 검토, 승인”한 문서가 잘못되면 “제 월급과 퇴직금으로 변상하겠습니다.“ 의미이다.

이런 것도 반드시 모든 결재자들애게 교육을 하고 서명을 받아 입사와 승진을 시키는 것임을

알고 있다면 그런 회사의 종업원들은 모든 문서가 돈으로 보인다는 것을 깨달을 수가 있다.

각설하고 조치에서는 먼저 방안을 마련해야 한다.

제거, 완화/감소, 회피로 선정된 리스크에 대하여 반드시 방안 2~3개 정도를 마련해야 한다.

방안을 1개만 작성하는 놈들은 승인자에게 이렇게 하라고 협박을 하는 것이며

방안을 2~3개 제시하여 승인자가 의사결정을 하는데 도움이 되도록 해야만 훌륭한 사람이다,

*방안/기획/계획안(planning) : 아직 결정되지 않은 작성자의 의견

*방법/계획(plan) : 다양한 방안 중에서 설정되어 실행되어야 할 사항

*000기획/계획안 : 아직 미 결정

*000(계획)서 : 승인을 받은 문서로 집행/실행을 하는 문서

그러므로 <작성, 검토, 승인에 대한 결재>는 000계획안에 명시되어 있고

이것을 토대로 작성된 000(계획)서는 <작성, 검토, 승인>이 없다는 것을 아는 사람이 있을까?

즉 2023년 교육훈련계획안에 작성, 검토, 승인이 있고 승인된 계획안을 근거로

2023년 교육훈련계획서를 관련 부서에 배포할 때는 작성, 검토, 승인이 없는 것이다.

그런데 만일 2023년 교육훈련계획서에 작성, 검토, 승인이 되어 배포가 되었다면

작성자가 승인자에게 딴 생각말고 무조건 싸인해! 그럼 내가 알아서 할께! 라는 의미이다.

내부심사규정(절차서, 프로세스)도 마찬가지로

내부심사규정(안)이 작성, 검토 또는 심의, 승인이 되면

(안)을 삭제하고 작성, 검토 또는 심의, 승인이 없는 내부심사규정을 관련 팀에 배포하거나

지정된 전산망에 등록하는 것이 올바른 것이다.

ISO 규격을 보아라!

어디에 작성, 검토, 승인이 있는지?

작성, 검토, 승인이 없는 ISO 규격은 사용할 수 없을까?

대한민국 법, 시행령, 시행규칙, 조례도 마찬가지이다.

국회에서 입법을 할 때 발의, 심의, 승인을 하고

집행/시행을 위하여 행정부로 보낼 때는 발의, 심의, 승인 기록이 없는 것이다.

뉴스를 보면 000(안)이라고 하며 본회의에서 최종 승인을 받으면

시행일자를 정하여 법제처에 보내고 법제처는 (안)을 떼고 법. 시행령을 등록 배포할 것이다.

방안이 결정되었다면 목표를 설정하고, 누가/(공급자 포함), 언제, 어떻게, 비용(필수)으로

진행할 것인지 계획서를 만들어라.

신규 또는 변경 사항과 관련하여 부록, 별첨으로 만들든지 독립된 문서로 만들든지

제목도 “개선활동계획서, 예측관리계획서 등” 마음대로 문서명을 만들면 된다.

그리고 매일 또는 매주, 매월 진행사항을 모니터링 및 측정하여 보고해야 한다.

개선활동보고서도 좋고 업무일지도 좋고 개선계획에 따라 진행사항을 점검하는 것이 중요하다.

진행하다 보면 목표와 계획이 변경될 수도 있는데 반드시 변경 사유는 추적되어야 한다.

물론 중지하는 경우도 있어 중지하게 된 사유를 반드시 문서화해야 한다.

완료가 되면 최종완료보고서를 작성하고 이대로 끝낼 것인지 추가로 진행할 것인지 결정하고

추가로 진행되는 경우에는 추가 계획을 문서화하고 이대로 끝나는 경우에는 반드시 해야 할

가장 중요한 것 중의 하나가 “지속적인 교육, 점검대상/항목/주기/방법/담당”을 확인한 후

교육은 교육계획에 점검은 점검표를 작성하여 개선이 끝난 후에도 지속적으로 점검해야 한다.

특히 점검표 작성은 예측관리에 있어서 매우 중요한 역할을 차지한다.

아직 발생되지도 않은 예상, 예측되는 리스크를 관리한다는 것은 어렵고 귀찮고 낭비이기에

최고경영자는 리스크 발생비용과 예측관리비용을 비교하여 리스크 관리를 결정하면 될 것이다.

실행 후에 잘했는지 잘못했는지 효과성이나 효율성을 파악하는 경우도 있고

리스크를 재평가하여 비교하는 경우도 있으나 엉터리로 할 것 같으면 하지 말라.

특히 효과성이나 효율성은 실행 전후와 정량화/숫자로 비교해야 한다는 것을 명심해야 한다.

마침내 예측관리에 대한 관리방법을 정리해 보았다.

나중에 보면 또 개정을 해야 할 것이다.

이것을 정리한다고 아픈 엉덩이를 달래가면서 간신히 마무리지었다.

QS 9000, ISO/TS 16949, IATF 16949를 하면서 예측관리와 예방관리에 대한 용어만 알았지

예측관리를 도대체 어떻게 해야 좋은 것인지 머리 속에 맴맴 돌다가 죽기 전에 정리해 보았다.

모순되고 부족한 것은 각 조직에서 변경하여 적용하면 될 것이다.

이것으로 예측관리는 마치련다.

빙혼서생