기업이 인지하든 인지하든 못하든, 대다수는 비즈니스 더 효과적이고 효율적인 프로세스를 만들기 위해 서드파티 서비스 업체에 의존하고 있다. 그러나 서드파티와의 협력은 동시에 리스크를 수반한다. 따라서 기업은 서드파티 리스크 관리(third-party risk management, TPRM) 접근 방식을 구축해야 한다.

TPRM은 서드파티 업체와의 협력에서 발생할 수 있는 리스크를 식별, 평가, 관리하기 위한 전략적 접근 방식이다. 기업은 이를 통해 서드파티와 관련된 리스크를 더욱 잘 이해하고 통제함으로써 컴플라이언스 위반을 방지할 수 있다.

TPRM이 중요한 이유

사이버보안 업체 그린페이지스(GreenPages) 관리자 파스테리스는 “예를 들어, 기업은 서드파티 업체가 SOC2 감사를 준수하는지를 확인해야 한다. 이 표준은 서드파티 업체가 고객의 민감 데이터를 무단 접근으로부터 보호하도록 설계됐다”라고 설명했다. “GDPR 같은 데이터 보호법도 이와 관련이 있다. 자사 내부적으로 컴플라이언스를 준수하더라도 서드파티 업체가 이를 지키지 않는다면 의미가 없다”라고 덧붙였다.

효과적인 TPRM 전략의 핵심 요소

TPRM 전략은 다음과 같은 요소를 포함해야 한다:

리스크 식별 및 평가 : TPRM의 첫 번째 단계는 서드파티 업체와 협력할 때 발생할 수 있는 리스크를 식별하고 평가하는 것이다. 여기에는 서드파티 업체의 보안 조치, 데이터 보호 관행, 컴플라이언스 기준 분석이 포함된다. 기업은 취약점과 리스크를 식별하기 위해 철저한 실사를 수행해야 한다.

계약 관리 : TPRM의 또 다른 핵심은 컴플라이언스 위반에 대한 서드파티 업체의 책임을 규정한 계약 조항의 도입이다. 기업은 서드파티 업체에 대한 명확한 기대치를 문서로 명시해야 한다. 그러면 서드파티 업체의 컴플라이언스 위반 시 법적 결과로부터 기업을 보호하는 데 도움이 된다.

모니터링 및 감사 : 효과적인 TPRM 전략은 서드파티 업체가 컴플라이언스를 유지하고 있는지를 지속적으로 모니터링하는 작업도 포함한다. 정기적인 감사와 검토를 통해 이를 수행할 수 있으며, 기업은 필요한 자원과 도구를 확보하여 서드파티 업체의 컴플라이언스 상태를 확인해야 한다.

교육 및 인식 제고 : 직원 교육과 TPRM의 리스크 및 요구 사항에 대한 인식 제고도 매우 중요하다. 직원은 TPRM의 중요성, 그리고 자신이 리스크를 줄이는 데 어떤 역할을 할지를 이해해야 한다. 정기적인 교육 및 워크숍은 TPRM에 대한 인식을 높이고 전사적인 컴플라이언스 준수를 촉진할 수 있다.

서드파티 위험 관리에서 성공하기 위한 모범 사례

다음 네 가지 방법을 통해 조직은 TPRM을 더욱 원활하게 도입할 수 있다.

우선, 명확한 정책 및 절차 수립: 조직은 TPRM을 위한 명확한 정책과 절차를 수립·이행해야 한다. 이는 서드파티 업체 선정, 계약, 모니터링, 보고 등 TPRM의 모든 측면을 포함해야 한다.

다음으로 기술 활용은 TPRM을 크게 수월하게 만들 수 있다. 위험을 식별, 평가, 모니터링하는 다양한 도구와 플랫폼이 존재하며, 이러한 도구는 감사 및 보고 자동화에도 도움을 줄 수 있다.

TPRM의 전사적 리스크 관리(ERM) 통합: TPRM은 독립된 활동으로 보기보다 기업의 전체적인 리스크 관리 체계(ERM)에 통합되어야 한다. 이를 통해 서드파티 업체로부터 발생할 수 있는 리스크까지 포함한 포괄적인 관리가 가능해진다.

정기적인 검토 및 갱신: TPRM 전략은 현행 위협과 컴플라이언스 요구사항에 부합하는지 확인하기 위해 정기적으로 검토하고 필요 시 갱신해야 한다. 기업은 TPRM 전략을 지속적으로 개선하기 위한 선제적 조치를 취해야 한다.

TPRM으로 비즈니스 프로세스를 안전하게

서드파티 리스크 관리는 서드파티 업체와 협력하는 모든 조직의 컴플라이언스 전략에서 필수적인 요소이다. 효과적인 TPRM 전략을 도입함으로써 기업은 서드파티 업체로 인한 컴플라이언스 위반 리스크를 최소화하고 법적 책임으로부터 스스로를 보호할 수 있다. 리스크 식별과 평가, 계약 관리, 지속적인 모니터링, 직원 교육은 성공적인 TPRM의 핵심 요소이다.
dl-itworldkorea@foundryco.com