ISO 37301의 리더십 실효성은 경영진 메시지나 회의 참석 여부만으로 판단하기 어렵습니다. 규범준수 방침과 목표가 실제 전략·업무프로세스·자원배분에 반영되는지, 중요한 불이행 정보가 적시에 경영진에게 보고되는지, 규범준수 기능이 독립적으로 문제를 제기할 수 있는지, 규범준수 문화가 실제 행동과 의사결정에 나타나는지를 함께 확인해야 합니다.
리더십 실효성
규범준수 문화
규범준수 거버넌스
규범준수 기능
개선 증빙
1. ‘리더십 실효성 평가’는 ISO 37301의 별도 조항인가
아닙니다. ISO 37301에 “리더십 실효성 평가”라는 별도 조항이 있는 것은 아닙니다. 이 글에서 사용하는 리더십 실효성 평가는 5.1.1~5.1.3의 리더십·문화·거버넌스 요구사항과 5.2 방침, 5.3 역할·책임, 9.1 성과평가, 9.3 경영검토를 연결하여 운영상 효과성을 확인하는 Greystone Insights의 실무적 평가 프레임입니다.
ISO 37301은 리더십·문화·거버넌스·성과평가·경영검토에 대한 요구사항을 각각 제시합니다. 이를 하나의 리더십 실효성 평가표로 통합하는 것은 실무 운영방법이며, 특정 평가표 자체가 표준의 필수 요구사항은 아닙니다.
2. 리더십 실효성은 무엇을 중심으로 확인해야 하는가
| 평가영역 | 핵심 질문 | 주요 증빙 |
|---|---|---|
| 전략·목표 | 규범준수 방침과 목표가 조직의 전략방향과 실제 경영계획에 연결되어 있는가? | 방침, 목표, 사업계획, 경영회의 자료 |
| 업무통합 | 규범준수 요구사항이 현업 프로세스와 의사결정에 반영되어 있는가? | 절차, 승인체계, 통제기록 |
| 자원 | 인력·예산·정보·시스템이 리스크 수준에 맞게 제공되는가? | 예산, 인력계획, 시스템 투자자료 |
| 정보·의사결정 | 중요한 규범준수 이슈와 불이행을 적시에 보고받고 조치하는가? | 보고자료, 의사결정, 후속조치 |
| 문화 | 경영진의 메시지와 실제 행동이 일치하는가? | 위반대응, 승인거절, 포상·징계, 인터뷰 |
| 독립성 | 규범준수 기능이 부당한 간섭 없이 판단하고 직접 보고할 수 있는가? | 조직도, 보고라인, 직접보고 사례 |
| 개선 | 문제 발견 후 책임자·기한·조치·효과확인이 이루어지는가? | 시정조치, 개선계획, 경영검토 기록 |
3. 첫 번째 평가축: 경영진의 ‘말’과 ‘의사결정’이 일치하는가
ISO 37301은 지배기구와 최고경영자가 규범준수 방침과 목표를 수립하고 전략방향과 양립하도록 하며, 규범준수경영시스템 요구사항을 업무프로세스에 통합하도록 요구합니다. 따라서 리더십 실효성을 확인할 때는 선언보다 실제 의사결정 자료를 확인하는 것이 중요합니다.
| 상황 | 형식적 운영 | 실효적 운영 |
|---|---|---|
| 매출목표와 규범준수 충돌 | 성과를 이유로 예외를 반복 허용 | 위험을 검토하고 필요 시 거래조건 변경·중단 |
| 중대한 불이행 발생 | 보고만 받고 종결 | 원인·영향·책임·재발방지까지 결정 |
| 규범준수 기능의 개선요구 | 현업 반대 시 보류 | 리스크 근거로 검토하고 결정·기록 |
4. 두 번째 평가축: 규범준수 문화가 실제 행동으로 나타나는가
5.1.2는 조직이 모든 수준에서 규범준수 문화를 개발·유지·촉진하도록 요구합니다. 지배기구·최고경영자·관리자는 공통 행동기준에 대한 적극적이고 가시적이며 일관되고 지속적인 의지를 보여야 합니다.
문화의 효과성을 확인할 때는 다음과 같은 실무자료를 조합할 수 있습니다. 문화 설문이나 인터뷰는 Annex A.5.1.2에서 제시하는 권고방법이며 직접 요구사항은 아닙니다.
| 확인자료 | 확인 목적 |
|---|---|
| 불이행·징계 사례 | 직급·성과와 관계없이 일관된 기준이 적용되는지 확인 |
| 신고·상담 데이터 | 문제 제기가 가능하고 실제 대응되는지 확인 |
| 성과평가·인센티브 | 과도한 실적압박이 규범준수 행동과 충돌하지 않는지 확인 |
| 설문·인터뷰 | 경영진 의지가 현업에서 실제로 체감되는지 확인 |
| 예외승인 기록 | 정책 우회가 특정 조직·관리자에게 집중되는지 확인 |
5. 세 번째 평가축: 규범준수 기능의 독립성과 직접 접근이 실제로 작동하는가
5.1.3은 규범준수 기능의 지배기구 직접 접근, 독립성, 적절한 권한과 적격성을 규범준수 거버넌스 원칙으로 직접 요구합니다.
| 확인요소 | 실효성 확인 질문 |
|---|---|
| 직접 접근 | 중대한 이슈를 중간관리자 승인 없이 지배기구 또는 최고경영자에게 전달할 수 있는가? |
| 독립성 | 사업부 또는 경영진의 부당한 압력 없이 판단·보고할 수 있는가? |
| 권한 | 필요한 정보에 접근하고 개선을 요청할 수 있는가? |
| 적격성 | 복잡한 규범준수 의무·리스크를 분석할 전문성을 갖추었는가? |
| 자원 | 업무량과 리스크에 맞는 인력·예산·시스템이 제공되는가? |
조직은 자신의 거버넌스 구조에 맞는 방법을 선택할 수 있지만, 직접 접근·독립성·권한·적격성이라는 원칙 자체는 직접 요구사항입니다.
6. 네 번째 평가축: 경영진이 중요한 규범준수 정보를 적시에 받고 있는가
ISO 37301 5.1.1은 지배기구와 최고경영자가 규범준수 사항, 특히 불이행에 대해 적시에 정보를 받고 적절한 조치가 이루어지도록 요구합니다.
| 보고정보 | 경영진이 확인할 내용 |
|---|---|
| 중요 규범준수 리스크 | 신규 법규·사업·국가·제품·외주 변화가 위험에 미치는 영향 |
| 불이행 | 사실, 원인, 영향, 재발 가능성, 조치 필요성 |
| 통제 미작동 | 반복되는 승인우회·점검누락·절차 미준수 |
| 신고·조사 | 중대한 사건, 반복유형, 조사 결과 |
| 시정조치 | 책임자, 기한, 지연, 조치 효과 |
| 자원·독립성 | 규범준수 기능이 수행에 제약을 받고 있는지 여부 |
7. 다섯 번째 평가축: 자원배분이 리스크 수준과 연결되어 있는가
5.1.1은 규범준수경영시스템에 필요한 자원의 가용성을 보장하도록 요구합니다. 리더십 실효성을 확인할 때는 예산의 절대금액보다 조직의 규범준수 의무와 리스크 수준에 비례한 자원이 실제로 제공되는지가 중요합니다.
| 자원 | 확인사항 |
|---|---|
| 인력 | 업무량과 리스크 범위를 감당할 인력이 있는가? |
| 전문성 | 필요한 법률·규제·데이터·조사 역량을 확보할 수 있는가? |
| 정보 | 규범준수 기능이 필요한 시스템·거래·인사정보에 접근할 수 있는가? |
| 시스템 | 의무·리스크·신고·통제·조치를 관리할 적절한 도구가 있는가? |
| 시간 | 겸직 또는 업무과부하 때문에 핵심 업무가 지연되지 않는가? |
8. 여섯 번째 평가축: 책임체계가 실제로 작동하는가
5.3은 규범준수 책임을 조직 전체에 배정하도록 합니다. 규범준수 기능만 활동하고 관리자와 현업이 수동적으로 참여한다면 리더십의 실행력이 약한 것으로 볼 수 있습니다.
| 역할 | 실효성 확인 |
|---|---|
| 지배기구·최고경영자 | 의사결정·자원·중대 이슈 조치의 흔적이 있는가? |
| 규범준수 기능 | 리스크·성과·불이행을 분석하고 독립적으로 보고하는가? |
| 관리자 | 자신의 부서 통제를 관리하고 문제를 적시에 올리는가? |
| 임직원 | 정책·절차·승인·기록 요구사항을 실제 업무에서 준수하는가? |
9. 일곱 번째 평가축: 문제 발견 후 실제 개선이 이루어지는가
리더십 실효성은 문제를 보고받는 데서 끝나지 않습니다. 경영진 판단이 책임자·기한·자원·시정조치로 전환되고, 이후 조치가 실제 효과를 냈는지 확인되어야 합니다.
| 단계 | 확인할 내용 |
|---|---|
| 문제 인지 | 불이행·신고·모니터링·내부심사 결과가 적시에 올라오는가? |
| 의사결정 | 경영진이 조치의 우선순위와 책임자를 정하는가? |
| 실행 | 절차·통제·교육·인력·시스템 개선이 실제 수행되는가? |
| 효과 확인 | 동일 문제가 재발하는지, 통제가 개선되었는지 확인하는가? |
10. 리더십 실효성 평가표는 어떻게 구성하면 좋은가
ISO 37301은 특정 리더십 평가표를 요구하지 않습니다. 실무에서는 다음과 같은 구조로 간단하게 운영할 수 있습니다.
| 평가항목 | 평가방법 | 근거 | 조치 |
|---|---|---|---|
| 전략·목표 연계 | 문서·의사결정 검토 | 사업계획, 목표, 회의자료 | 목표·통제 수정 |
| 문화 | 사례·데이터·인터뷰 | 신고, 징계, 설문, 예외승인 | 관리자 행동·인센티브 개선 |
| 독립성 | 보고구조·사례 검토 | 조직도, 직접보고 기록 | 보고라인·권한 보완 |
| 자원 | 업무량·리스크 대비 검토 | 인력·예산·시스템 자료 | 자원 재배정 |
| 개선 | 조치 진행·효과 확인 | 시정조치·경영검토 기록 | 추가조치·재설계 |
점수제, 등급제, 특정 주기 등은 ISO 37301의 직접 요구사항이 아닙니다. 조직은 리스크 수준과 관리체계에 맞는 방법을 선택할 수 있습니다.
11. 자주 발생하는 미흡사항과 개선방법
| 미흡사항 | 문제점 | 개선방법 |
|---|---|---|
| 리더십을 CEO 메시지로만 평가 | 실제 의사결정과 자원배분을 확인할 수 없습니다. | 경영진 결정·예외승인·후속조치 자료를 함께 봅니다. |
| 문화평가를 교육 이수율로만 판단 | 행동과 조직의 실제 인식을 확인하기 어렵습니다. | 신고·징계·인센티브·예외승인·설문 등을 조합합니다. |
| 독립성을 조직도상 위치로만 평가 | 실제 간섭·압력·보고제약을 놓칠 수 있습니다. | 직접보고 사례와 정보접근·개선요구 권한을 확인합니다. |
| 경영진 보고는 있으나 조치가 없음 | 리더십과 개선이 연결되지 않습니다. | 책임자·기한·조치결과·효과확인을 관리합니다. |
| 연 1회 평가를 ISO 의무로 오해 | Annex 가이드와 직접 요구사항이 혼동됩니다. | 평가주기는 조직이 정하고, 9.3의 계획된 주기 요구와 연결합니다. |
12. 실무 체크포인트
- 규범준수 방침과 목표가 실제 경영전략·사업계획과 연결되어 있습니까?
- 중요 규범준수 이슈와 불이행을 경영진이 적시에 보고받습니까?
- 보고 후 구체적인 의사결정과 후속조치가 남아 있습니까?
- 경영진과 관리자의 메시지와 실제 행동이 일치합니까?
- 규범준수 기능이 지배기구에 직접 접근할 수 있습니까?
- 규범준수 기능이 부당한 압력 없이 판단·보고할 수 있습니까?
- 인력·예산·정보·시스템이 실제 리스크 수준에 적절합니까?
- 관리자와 현업이 자신의 규범준수 책임을 실제로 수행합니까?
- 문제 발견 후 조치의 효과까지 확인하고 있습니까?
- 직접 요구사항과 Annex의 권고방법을 구분하여 운영하고 있습니까?
Greystone Insights 관점
규범준수 리더십은 문서의 완성도보다 어려운 의사결정에서 어떤 선택을 하는지로 확인하는 것이 중요합니다. 실적·납기·비용과 규범준수가 충돌할 때 통제를 우회하지 않고, 규범준수 기능의 불편한 의견을 경영진이 받아들이며, 문제 발견 후 실제 자원과 책임을 배정하는지가 실효성의 핵심입니다.
실무적으로는 의사결정 → 문화 → 독립성 → 자원 → 책임체계 → 정보보고 → 개선을 하나의 흐름으로 연결해 확인하는 것이 효과적입니다. 리더십 실효성 평가를 별도 행사로 만들기보다 성과평가와 경영검토에 필요한 근거를 평상시 운영기록에서 축적하는 방식이 지속가능합니다.
공식자료
관련 Greystone Insights 글
- ISO 37301 규범준수경영시스템 가이드
- ISO 37301 리더십 5.1.1 — 지배기구·최고경영자의 실행 책임과 증빙
- ISO 37301 규범준수 문화·거버넌스 5.1.2·5.1.3·5.2 — 방침·독립성·직접 접근
- ISO 37301 역할과 책임 5.3 — 지배기구·규범준수 기능·관리자·임직원 책임
- ISO 37301 경영검토 9.3 — 규범준수 성과와 리스크를 경영에 반영하는 방법
최종 수정: 2026.08.28 | 수정: Alistair
본 콘텐츠는 Alistair (JoongRyeol Jun)의 전문적 분석·검토·편집을 바탕으로 Greystone Insights에서 제작한 콘텐츠입니다. 저작권법상 허용되는 인용을 제외하고 사전 동의 없는 복제, 전재, 재배포, 수정 및 상업적 이용을 금합니다. 인용 시 “Alistair · Greystone Insights”와 해당 콘텐츠의 원문 링크를 명확히 표시해 주시기 바랍니다.
원문: https://greystoneinsights.com/iso-37301-leadership-assessment/