BCM에 대한 블로그 연재를 시작하며… 

최근 국내에서 BCM에 대한 관심이 부쩍 높아지고 있습니다. 2007년부터 BCM 확산을 위해 들여온 노력을 생각하면, 보람을 느끼게 되는 부분도 있으나, 한 편으로는 BCM이 행여 잘못된 방향으로 흘러가거나, 그저 한 시기의 트렌드로만 이해하게 되지는 않을까 걱정을 하고 있습니다.

글로벌 기업의 상당수는 이미 오래전부터 BCM을 도입해서 적용해 오고 있으며, 최근의 많은 사건 사고들로 인해, 여타 글로벌 기업들의 BCM 도입 속도도 점차 빨라지고 있습니다.   

 글로벌 BCM 사례를 통해서, 글로벌 기업들이나 공공기관이 BCM을 도입하는 과정에서 겪게 된 경험들을 공유하고, 여러가지 사건 사고들의 사례와 BCM 중요 개념들의 연관관계를 소개하고자 합니다.

이를 통해, 블로그를 접하게 되는 분들이 BCM의 올바른 방향과 가치를 이해하고, 회사의 제품 공급과 서비스 제공에 있어서의 위험을 견뎌내고, 회복 능력을 강화하는 BCM 체계를 구축하는 데 도움이 되었으면 합니다.  

글로벌 BCM 사례의 첫 번째로 보다폰의 BCM 구축 사례에 대해서 얘기해 보겠습니다.

보다폰(Vodafone)은 어떤 회사인가?

 

보다폰은 1985년 1월1일 부터 모바일 통신서비스를 시작해서, 현재 전 세계 26개 국가의 4억4천4백만명의 가입자들에게 통신서비스를 제공하고 있는 글로벌 통신 회사로, 본사인 보다폰 UK에서는 1천9백만명의 가입자를 보유하고 있습니다. 2012년 기준으로 전체 매출이 9조원을 상회하고 있습니다.

 

---

보다폰의 BCM 도입과 인증 획득 

보다폰은 2008년에 글로벌 통신회사로서는 전 세계 최초로 BCM 인증을 획득했습니다. 당시 BSI는 2007년 말에 BCM 분야의 최초 국제 표준인 BS 25999-2(ISO 22301의 전신)을 전 세계에 발표하였습니다. 2008년도는 전 세계 BCM 전문가들과 글로벌 기업들이 BS 25999 시리즈 내용을 공부하고, 표준에 기반한 BCM 구축 필요성을 검토하던 시기였습니다.

보다폰은 2007년 BS 25999 표준이 발표되자 마자, 즉각적으로 BCM 구축 프로젝트를 시작하였고, 그 이듬해인 2008년도에 보다폰 모바일 통신서비스 제공 분야를 위한 BCM 체계에 대해서, BSI로부터 BS 25999-1 표준의 적합성을 인정받게 되었습니다. 

---

 

보다폰이 BCM을 도입한 이유

당시 보다폰의 BCM매니저였던 로저 맥로린(Roger McLoughlin)씨에 따르면, BCM도입 필요성을 경영진에게 설득하는 것이 제일 힘든 과정이었다고 합니다. 

공공기관 및 기업 BCM을 보장하기 위한 보다폰 모바일 서비스의 연속성 

로저 맥로린씨가 경영진 설득을 위해 고민한 내용은, 내부의 BCM 필요성 보다는 사회 인프라로서의 보다폰의 역할 및 기능에 관한 것이라고 합니다.  

보다폰은 평상 시 공공기관, 기업 및 시민들의 일상에 큰 영향을 주고 있고, 특히 비상 상황에서, 영국의 공공기관과 기업들의 성공적인 비즈니스 복구 목표 달성을 위해서는 보다폰 모바일 서비스의 생존 능력이 중요한 역할을 한다는 것을 알고 있었으며, 이점에 대해서는 경영진도 공감할 수 밖에 없을 것이라고 로저 맥로린씨는 생각했습니다. 

특히, 개별 회사나 기관에서 이미 마련하고 있는 인시던트 관리계획(Incident management plan)과 비즈니스 연속성 계획(Business continuity plan)내의 시작과 진행에 있어서 필수 도구가 보다폰이 제공하고 있는 통신 서비스 즉, 핸드폰이라는 사실은, 결국 보다폰의 서비스 중단이 UK내의 모든 회사나 기관의 비즈니스 연속성의 정상적인 작동에 중대한 피해를 미친다는 것을 강조하였다고 합니다. 

그래서 경영진의 승인 이후에, 로저 맥로린씨는 BCM의 적용 범위를 보다폰 내부 서비스가 아닌, 실제 모바일 고객들에게 제공되는 모바일 텔레커뮤니케이션으로 결정하게 되었다고 합니다.  

시민 비상사태 법에 대한 적극적인 대응  

로저 맥로린씨가 경영진을 설득하기 위해 고민한 또 하나의 아이디어는 영국의 법규 요구사항에 관한 것입니다. 

영국은 2004년에 시민 비상사태 법(Civil Contingencies Act 2004)를 발효했습니다. 이 법에서는 각 지자체별로 비상사태에 대응하는 카테고리1, 카테고리2 기관을 지정하고, 이들 기관들은 비상사태때에도 본연의 대응 기능이 상실되지 않도록 BCM 체계를 갖추라고 요구하고 있습니다.

대규모 화재가 발생했는 데, 소방서까지 피해를 입는 경우, 화재 진압을 담당할 조직이 없을 수 있다는 것이지요.

로저 맥로린씨는 시민 비상사태법의 요구사항이 인증을 받으라고 요구하고 있지 않지만, 법규에 적극적으로 대응하는 노력을 대내외적으로 보여줄 필요가 있으며, BCM에 대한 성과를 자평하는 것보다는, BSI와 같은 전문 기관을 통해서 객관적인 평가를 받는 것이 이해관계자들에게 신뢰를 받을 수 있는 더 좋은 방법이라고 경영진을 설득했습니다.

 

---

BCM 도입 과정에서의 어려움들

보다폰은 기존 BCM 체계와 BS 25999 요구사항간의 격차를 파악하고자 갭 분석(Gap analysis) 작업에 착수했습니다. 갭 분석의 시행 결과로 다양한 문제점들이 발견되었으나, 크게 두 가지 문제점들이 부각되었다고 합니다. 

BCM 용어의 혼란 

첫 번째 문제점은 표준에서 요구하는 BCM 문서들이 없다는 점입니다. 엄밀히 말하면, 있기는 하지만 다른 이름으로 불리고 있었다는 점입니다. 예를 들면, 비즈니스영향분석(Business Impact Analysis)과 관련된 문서는, 우선순위 매트릭(Prioritization matrices)이라는 문서로 관리해왔으며, 네트워크 부문의 비즈니스 연속성 계획서(Business Continuity plan)은 트래픽 관리 전략(Traffic Management Strategies)라는 문서명으로 운영해오고 있었다는 것이지요. 

부서 간의 일관성 결여   

갭분석을 통해서 두 번째로 발견한 주요 문제점은 부서 단위별로는 비즈니스 연속성 준비가 되어 있으나, 전사 측면에서 봤을 때, 부서간의 일관성이 없다는 점이었습니다.

부서별 업무 영향 분석 방법과 결과 등이 타 부서의 결과와 비교 가능하고 우선순위를 결정하는 데 도움을 주어야 하는 데, 갭분석 과정에서 보다폰의 부서별 비즈니스 연속성 관련 기록과 문서들은 그렇지 않다는 것을 발견 했다고 합니다.  

 

---

시사점

보다폰 사례가 2008년도에 영국에서의 일이긴 하지만, 현재의 국내 BCM 상황에도 몇 가지 시사점을 제시하고 있습니다.   

사회 인프라 레질리언스의 중요성    

국내 기업들과 공공기관들이 BCM에 관심을 보이고 있고, 활발하게 구축을 준비하고 있으나, 실제 사회망에서 중요한 기능을 하는 통신인프라의 BCM은 준비되어있는 가에 관한 의문이 듭니다.

보다폰의 경우도, 자신들의 비상 대응체계가 이미 충분하다고 생각했지만, BCM을 구축하는 과정에서, 내부 운영의 비상 대응과 사회 인프라로서의 비상 대응은 바라보는 시각이 다르고, 추가적인 준비가 필요하다는 것을 깨달았습니다. 

국내 통신사들도 보다폰의 사례를 통해, 사회 지향적인 BCM 체계를 갖춰서, 통신서비스를 사용하는 기업이나 공공기관들이 자신들의 BCM을 구축할 때, BCM 자원의 핵심 요소중의 하나인 동시에 BCM 커뮤니케이션 전략의 매개체인, 모바일 및 전화 통신 인프라가 끊김없이, 또는 끊기더라도 사전에 약속한 시간 내에 재공급 될 수 있다는 것을 보장할 수 있기를 기대해 봅니다.          

BCM 용어의 중요성 

국내 금융권에서 BCM(Business Continuity Management, 비즈니스연속성 관리)보다는 BCP(Business Continuity Planning, 비즈니스연속성 기획)이라는 용어를 즐겨 쓰고 있습니다.

BCM과 BCP의 용어를 선택하는 것은 사용자의 몫이긴 하지만, 사용자가 그 용어를 사용할 때, 용어에 대한 일반화된 해석을 적용하게 되는 순간 잘못된 범위와 대상 또는 목표를 설정할 수 있다는 것입니다.

BCP를 비즈니스 연속성 기획이라고 번역하고, 일반화된 해석을 적용하게 되면, 조직 내부의 각 부서가 보유한 BCP(Business Continuity Plan 비즈니스 연속성 계획)를 계획하고, 운영하는 활동이라고 한정지어 버릴 수 있다는 것입니다.  

BCP를 BCM과 동의어로 이해한다면, BCP는 다음과 같은 해석을 가지게 됩니다.

“이해관계자들의 이해를 보호하고, 조직의 브랜드와 평판, 비즈니스와 업무를 보호하기 위해서, 조직에 발생할 수 있는 잠재적인 중단 위협이 비즈니스와 업무 중단에 미치는 영항을 식별하고 중단 위협이 실제 사고로 발생했을 때, 약속한 시간내에 약속한 수준으로 비즈니스와 업무 중단을 재개함으로써, 조직의 레질리언스를 확보하기위한 프레임워크를 제공하는 전반적인 프로세스”

보다폰의 네트워크 부문이 트래픽 관리 전략(Traffic Management Strategies)을 BCP와 유사한 것이라고 인식하는 것도 용어의 중요성을 내포하고 있습니다. 일반적으로 네트워크 부서에서는 내부 운영관점으로 트래픽 관리전략을 바라보게 되는 데 반해, 이 문서를 BCP라고 명명하는 순간, 보다폰에서 모바일 사용자에게 공급되는 네트워크 서비스의 연속성 계획으로 의미가 변하게 되고, 네트워크 부문 담당자들은 내부 엔지니어의 시각에서, 사회 인프라 서비스 공급자로의 역할 변화를 인지하게 됩니다.     

ISO 22301과 같은 국제 표준들은 해당 분야의 용어들과 그 해석을 정의하고 있습니다. 따라서, 글로벌 기업들이 국제 표준에서 제공하는 용어를 적극적으로 사용하는 이유는 잘못된 해석과 범위 결정으로 인한 혼란을 방지하기 위해, 경험적으로 내려온 내부적인 습관인 동시에 모범 규준(Best practice)이기 때문입니다.        

---

 

표준/규격에 대한 상세 내용은 BSI HOMEPAGE로, CLICK!