ISO 37301 내부신고와 조사 | 8.3·8.4 우려사항·조사 실무

ISO 37301 내부신고와 조사의 핵심은 임직원이 규범준수 문제를 안전하게 제기할 수 있도록 하고, 접수된 사안을 공정하고 독립적으로 조사하여 규범준수경영시스템의 개선으로 연결하는 데 있습니다. 기업과 기관의 실무담당자는 신고채널을 설치하는 데 그치지 않고, 신고·접수·평가·조사·종결·보고·개선까지 하나의 사건관리 프로세스로 운영해야 합니다.

ISO 37301 8.3ISO 37301 8.4내부신고익명신고독립조사개선

1. ISO 37301 8.3과 8.4는 무엇을 요구하는가

8.3은 합리적인 근거가 있는 경우 규범준수 방침 또는 규범준수 의무의 시도된 위반, 의심되는 위반, 실제 위반을 신고하도록 장려하고 가능하게 하는 프로세스를 요구합니다. 8.4는 이러한 신고를 평가하고 조사하여 종결하는 프로세스를 요구합니다. 두 조항은 실무상 하나의 사건관리 프로세스로 연결됩니다.

구분	직접 요구사항	실무에서 확인할 사항
8.3 우려사항 제기	신고 프로세스의 가시성·접근성, 기밀성, 익명신고 허용, 보복방지, 조언 제공, 전 인원 인식	신고채널, 신고안내, 보호정책, 익명성, 상담·문의체계, 교육
8.4 조사 프로세스	신고 평가·조사·종결, 공정하고 편견 없는 의사결정, 독립성·이해충돌 배제, 적격한 조사자, 결과 활용, 정기 보고, 기록 유지	초기평가, 조사결정, 조사계획, 독립성 확인, 결과보고, 개선조치, 경영진 보고

공식 요구사항과 Greystone Insights의 실무 해석을 구분합니다.
익명신고, 기밀성, 보복방지, 독립적 조사, 조사결과의 규범준수경영시스템 개선 활용, 지배기구 또는 최고경영자에 대한 정기 보고, 조사기록 유지 등은 ISO 37301의 직접 요구사항입니다. 아래의 초기평가 기준, 조사등급, 역할분담, 원인분석 방법은 이를 안정적으로 운영하기 위한 실무적 해석입니다.

2. 내부신고는 어떤 조건을 갖추어야 하는가

신고제도의 실효성은 채널의 숫자가 아니라 실제로 사용할 수 있는가에 달려 있습니다. 임직원이 절차를 알고 있고, 불이익을 두려워하지 않으며, 필요하면 익명으로 신고하거나 조언을 구할 수 있어야 합니다.

요구사항	실무 적용	주요 증빙
가시성·접근성	임직원이 신고방법과 채널을 쉽게 찾고 이용할 수 있도록 합니다.	인트라넷, 행동규범, 교육자료, 신고채널 안내
기밀성	신고내용과 신고자 정보의 접근권한을 제한합니다.	접근권한 기준, 사건관리 시스템 로그, 비밀유지 서약
익명신고	신원을 밝히지 않고 신고할 수 있는 수단을 운영합니다.	익명 웹채널, 외부 핫라인, 처리절차
보복방지	선의 또는 합리적 믿음에 따른 신고자에 대한 불이익을 금지하고 보호합니다.	보복금지 정책, 신고자 보호절차, 모니터링 기록
조언 제공	신고 여부가 불명확한 경우 상담·문의할 수 있도록 합니다.	상담채널, FAQ, 규범준수 기능 안내

우려사항 인지 → 신고·상담 → 접수 → 보호조치 확인 → 초기평가 → 조사 여부 결정

3. 신고 접수 후 초기평가는 어떻게 해야 하는가

모든 신고를 동일한 방식으로 조사할 필요는 없습니다. 실무에서는 접수 직후 사실관계의 긴급성, 법적·규제적 중요도, 잠재적 피해, 증거보전 필요성, 이해충돌 가능성을 검토하여 조사 여부와 조사범위를 정해야 합니다.

초기평가 항목	확인 질문	조치 예시
긴급성	현재 진행 중인 위반이나 추가 피해 가능성이 있는가	거래중단, 접근권한 제한, 증거보전
중요도	법적·규제적 영향이나 경영진 관련성이 높은가	상위 보고, 외부전문가 검토
증거보전	자료 삭제·변경 위험이 있는가	전자자료·문서 보존조치
이해충돌	신고대상자와 조사담당자 사이에 이해관계가 있는가	조사자 교체, 독립위원회 또는 외부조사 검토

4. 조사 프로세스의 독립성과 공정성은 어떻게 확보하는가

8.4는 조사 프로세스가 공정하고 편견 없는 의사결정을 보장하고, 적격한 인원이 이해충돌 없이 독립적으로 수행되도록 요구합니다. 따라서 조사부서의 명칭보다 실제 독립성을 확보하는 구조가 중요합니다.

부속서 A.8.4는 필요한 경우 독립적인 위원회를 두어 조사의 완전성과 독립성을 확보하는 방안을 고려할 수 있다고 설명합니다. 이는 권고사항이며 모든 조직에 동일한 조사위원회를 요구하는 것은 아닙니다.

상황	독립성 확보방법 예시	확인할 증빙
일반 임직원 사건	규범준수·감사·법무 등 적격한 독립 담당자가 조사	조사자 지정, 이해충돌 확인
관리자·임원 관련 사건	상위 독립조직 또는 별도 조사위원회 활용	위원회 구성, 권한, 회의록
최고경영자·지배기구 관련 사건	외부전문가 또는 독립된 감독기구 활용 검토	외부위임 범위, 독립성 확인, 보고체계

5. 조사 프로세스는 어떤 순서로 운영하는가

ISO 37301은 모든 조직에 동일한 조사절차 형식을 요구하지는 않지만, 조사 프로세스는 신고를 평가하고 조사하여 종결할 수 있어야 합니다. 기업과 기관은 조직 규모와 사건 특성에 맞춰 일관된 절차를 마련해야 합니다.

신고·인지 → 접수 → 초기평가 → 조사결정 → 조사계획 → 독립적 조사 → 사실판단 → 결과보고 → 후속조치 → 종결

단계	주요 활동	주요 증빙
접수	신고내용·일시·채널을 기록하고 보호조치를 확인합니다.	접수기록, 사건번호, 접근권한
초기평가	조사 필요성·긴급성·범위·이해충돌을 검토합니다.	초기평가서, 조사결정 기록
조사	자료검토, 인터뷰, 시스템 기록 확인 등으로 사실관계를 확인합니다.	조사계획, 인터뷰 기록, 증거목록
판단·보고	사실·규범준수 의무·내부기준을 기준으로 판단하고 필요한 수준에 보고합니다.	조사보고서, 의사결정 기록
종결·개선	후속조치를 실행하고 규범준수경영시스템 개선 필요성을 검토합니다.	시정조치, 절차개정, 교육·통제 개선

6. 조사결과는 원인분석과 개선으로 어떻게 연결하는가

8.4는 조사결과를 적절한 경우 규범준수경영시스템의 개선에 활용하도록 요구합니다. 부속서 A.8.4는 효과적인 조사 메커니즘이 위법행위의 근본원인, 규범준수경영시스템의 취약점, 관리자·최고경영자·지배기구를 포함한 책임소재의 공백을 식별한다고 설명합니다.

조사결과 → 직접원인 확인 → 근본원인 분석 → 통제취약점 확인 → 시정조치 → 시스템 개선 → 효과성 확인 → 피드백

원인 유형	예시	개선조치 예시
개인행동	규정 미숙지, 고의 위반, 이해충돌 미신고	교육, 징계, 역할 재조정
프로세스	승인단계 누락, 예외처리 기준 부재	절차개정, 시스템 승인통제 추가
조직문화	성과압박, 신고기피, 관리자 묵인	리더십 조치, 성과기준 개선, 보호체계 강화
거버넌스	상위 보고 부재, 독립성 부족	보고체계 개편, 독립성·권한 강화

7. 조사결과는 누구에게 보고해야 하는가

ISO 37301 8.4는 조사 건수와 결과를 지배기구 또는 최고경영자에게 정기적으로 보고하도록 요구합니다. 개별 사건의 모든 세부사항을 동일한 수준으로 보고한다는 의미가 아니라, 조직의 거버넌스 구조에 따라 경영진이 규범준수 리스크와 조사 추세를 감독할 수 있는 보고체계를 마련해야 합니다.

보고 내용	실무 활용	주의할 점
신고·조사 건수	발생 추세와 신고제도 활용도를 확인합니다.	단순 건수 증감을 곧바로 문화 수준으로 단정하지 않습니다.
주요 유형	반복되는 규범준수 이슈를 식별합니다.	개인식별정보와 기밀성을 보호합니다.
조사결과·조치	통제·절차 개선 필요성을 판단합니다.	법적 특권·개인정보·노무 이슈를 고려합니다.
반복 원인	조직문화·프로세스·거버넌스의 취약점을 확인합니다.	개별 사건보다 시스템적 원인에 집중합니다.

8. 신고자 보호는 조사 종료 후에도 관리해야 하는가

보복방지는 신고 접수 시점의 선언으로 끝나지 않습니다. 실무에서는 조사 진행 중과 종결 후에도 인사평가, 배치, 승진, 업무배제 등에서 불리한 변화가 발생하지 않는지 확인할 필요가 있습니다.

특히 신고자 보호는 신고내용의 사실확정 여부와 별개로, 선의 또는 합리적인 믿음에 따라 신고한 인원을 보호하는 취지로 운영해야 합니다. 이는 신고제도의 신뢰와 향후 신고 활성화에 직접적인 영향을 줍니다.

9. 실무담당자가 확보해야 할 증빙은 무엇인가

내부신고·우려사항 제기 절차와 채널 안내자료
익명성·기밀성·보복방지 정책과 보호조치 기록
신고 접수·초기평가·조사결정 기록
조사자 적격성·독립성·이해충돌 확인자료
조사계획, 인터뷰, 증거목록, 조사보고서
징계·시정조치·통제개선 기록
근본원인 분석과 재발방지 조치
지배기구 또는 최고경영자 정기 보고자료
조사 관련 문서화된 정보의 보존기록

10. 자주 발생하는 미흡사항과 개선방법

미흡사항	문제점	개선방법
신고채널만 설치	접수 이후 처리기준·보호·조사 절차가 불명확합니다.	8.3 신고체계와 8.4 조사·개선 프로세스를 하나로 연결합니다.
조사부서가 사건 당사자와 동일 조직	조사의 공정성과 독립성에 의문이 발생할 수 있습니다.	이해충돌 확인과 조사자 교체·외부조사 기준을 마련합니다.
사실확인 후 바로 종결	근본원인과 통제취약점이 반복될 수 있습니다.	원인분석과 규범준수경영시스템 개선까지 연결합니다.
경영진 보고가 사건별 비정기 방식	신고·조사의 추세와 시스템 취약점을 감독하기 어렵습니다.	건수·유형·결과·개선현황을 정기적으로 보고합니다.

11. 실무 체크포인트

임직원이 신고절차와 권리·보호조치를 알고 있습니까?
익명신고와 기밀유지가 실제로 가능한가요?
신고자에 대한 보복방지 조치가 운영되고 있습니까?
접수 후 초기평가와 조사결정 기준이 정해져 있습니까?
조사자가 적격하고 독립적이며 이해충돌이 없습니까?
조사결과가 원인분석과 규범준수경영시스템 개선으로 연결됩니까?
조사 건수와 결과를 지배기구 또는 최고경영자에게 정기 보고합니까?
조사 관련 기록을 적절히 보존하고 있습니까?

통합운영으로 확장해서 보기

이 주제를 ISO 37001:2025와 ISO 37301의 공통체계·고유통제로 연결하는 방법은 ISO 37001·37301 통합 신고·조사체계 실무에서 확인할 수 있습니다.

Greystone Insights 관점

ISO 37301의 내부신고와 조사는 신고채널 구축 프로젝트가 아니라 규범준수 문제를 조기에 발견하고 조직의 취약점을 학습하는 사건관리 체계로 보아야 합니다. 신고가 접수되어도 초기평가, 독립조사, 원인분석, 개선이 연결되지 않으면 신고제도는 형식적으로 운영될 가능성이 높습니다.

기업과 기관은 신고·인지 → 접수 → 초기평가 → 독립적 조사 → 결과보고 → 후속조치 → 원인분석 → 규범준수경영시스템 개선 → 피드백의 흐름을 하나의 프로세스로 관리해야 합니다. 이 구조가 정착되면 내부신고는 단순한 문제접수 채널을 넘어 규범준수 리스크와 내부통제 취약점을 조기에 발견하는 핵심 관리수단으로 기능합니다.

공식자료

ISO 37301:2021 — Compliance management systems — Requirements with guidance for use