“기업 위기 끝났다고 고객 피해 끝난 것 아냐…소비자 보호 지속돼야”

[이데일리 윤정훈 기자]기업의 위기 대응은 사고 원인을 제거하고 시스템을 복구하는 데서 끝나서는 안 된다는 지적이 나왔다. 기업의 서비스가 정상화된 뒤에도 고객 피해가 남아 있다면 위기는 여전히 진행 중인 만큼, 소비자 피해 회복과 보호가 지속될 수 있는 대응 체계를 마련해야 한다는 것이다.

안정민 한림대 교수가 28일 ‘기업의 경영 위기와 대응 원칙’을 주제로 열린 한국미디어경영학회 세미나에서 발표하고 있다(사진=윤정훈 기자)

안정민 한림대 교수는 28일 한국미디어경영학회 세미나 ‘기업의 경영 위기와 대응 원칙’에서 해외 기업의 사이버 사고와 서비스 장애 사례를 분석하며 이같이 강조했다. 안 교수는 기업의 위기를 단일 사고가 아닌 사고 이전의 취약성부터 발생 이후의 고객 피해와 신뢰 회복까지 이어지는 과정으로 바라봐야 한다고 설명했다.

안 교수는 2024년 글로벌 보안업체 크라우드스트라이크의 소프트웨어 업데이트 결함과 2022년 미국 사우스웨스트항공의 대규모 결항 사태를 대표 사례로 들었다. 크라우드스트라이크는 업데이트 오류를 일으킨 콘텐츠를 78분 만에 롤백했지만, 고객 기업의 시스템과 업무가 정상화되기까지는 별도의 복구 작업이 필요했다. 사우스웨스트항공 역시 악천후로 시작된 운항 차질이 내부 운영 시스템과 부서 간 조정의 한계로 확대되면서 대규모 결항과 고객 피해로 이어졌다.

안 교수는 “같은 외부 충격이라도 이를 수습하는 조직의 내부 대응 역량에 따라 피해 규모는 크게 달라질 수 있다”며 “사고 원인뿐 아니라 피해를 키운 내부 취약성과 기업 간 의존 관계까지 살펴봐야 한다”고 말했다.

기업이 위기를 극복하지 못한 뒤에도 피해가 이어지는 문제 역시 짚었다. 영국 물류업체 KNP로지스틱스는 랜섬웨어 공격 이후 핵심 시스템 복구에 어려움을 겪다 2023년 도산 절차에 들어갔다. 호주 전자처방 전달업체 메디시큐어는 약 1290만명의 개인정보 유출 사고 이후 도산 절차에 들어가면서 피해자를 식별하고 개별적으로 유출 사실을 통지하는 데 한계를 드러냈다.

안 교수는 “기업이 도산하더라도 피해자 보호는 중단돼서는 안 된다”며 “기업의 대응 역량이 소진됐을 때 누가 어떤 재원과 법적 근거를 바탕으로 피해자 보호를 이어갈 것인지 고민해야 한다”고 강조했다.

기업의 신뢰 회복을 위한 대응 원칙으로는 △신속하고 투명한 설명 △고객의 안전과 필수 서비스 우선 보호 △고객 피해의 확인과 실질적 해결 △재발 방지 조치의 실행 및 효과 입증 △조직 전체의 위기 대응 역량 확보 등 다섯 가지를 제시했다.

특히 사고 원인을 해결하거나 시스템을 복구했다는 사실만으로 고객 피해가 해소됐다고 판단해서는 안 된다고 지적했다. 고객이 환불을 받지 못하거나 필요한 서비스를 이용하지 못하는 등 미해결 문제가 남아 있다면 기업의 대응은 계속돼야 한다는 설명이다. 재발 방지 역시 개선 계획을 발표하는 데 그치지 않고 실제로 무엇을 바꿨으며, 개선 조치가 효과적으로 작동하는지 확인할 수 있어야 한다고 강조했다.

기업의 책임을 평가할 때도 사고 발생 자체만으로 법적 의무 위반을 단정하거나, 반대로 사전 대응 계획을 마련했다는 이유만으로 책임을 면제해서는 안 된다고 했다. 형식적인 매뉴얼과 규정의 유무보다 관리 체계가 실제 현장에서 작동했는지, 사고 이후 피해를 줄이고 고객을 지원했는지 등을 종합적으로 평가해야 한다는 것이다.

규제 강화에 대해서도 신중한 접근을 주문했다. 기존 법적 의무의 준수 여부와 관리 체계의 실효성, 사고 이후 대응의 적절성을 먼저 점검한 뒤 확인된 문제에 맞춰 법 집행을 강화하거나 새로운 규제를 도입해야 한다는 주장이다.

부처별 규제 강화 과정에서 중복 규제와 불필요한 부담이 발생할 수 있는 만큼, 정책 성과 역시 규제를 얼마나 강화했는지가 아니라 실제 위험과 피해를 얼마나 줄였는지를 기준으로 평가해야 한다고 덧붙였다.

기업 간 공통 시스템 의존도가 높아지는 상황에서 개별 기업의 대응만으로는 한계가 있다는 점도 지적했다.

특정 공급업체의 장애가 여러 기업의 업무 중단으로 확산할 수 있는 만큼 국가와 산업 차원에서 공통 의존 관계를 파악하고, 적법한 범위에서 위험 정보를 공유하며 공동 대응 체계를 마련할 필요가 있다는 설명이다.

안 교수는 “기업의 대응이 중단되더라도 피해자 보호는 계속돼야 한다”며 “이를 위해서는 피해자 보호를 이어갈 수행 주체와 재원, 법적 권한에 대한 검토가 필요하다”고 말했다.

이어 “중요한 것은 사고의 종류가 아니라 고객의 회복과 피해자 보호의 지속성”이라고 강조했다.