기업재난관리표준

[시행 2016. 6. 30.] [국민안전처고시 제2016-82호, 2016. 6. 30., 일부개정.]

기업재난관리표준

법제처	- / -	국가법령정보센터

행정안전부(예방안전과), 044-205-4518, 4519

1. 기업재난관리표준 개요

1.1 정의

「재해경감을 위한 기업의 자율활동 지원에 관한 법률」 제5조에 따라 기업의 재해경감활동계획 수립을 위한 재해경감활동관리체계 구축, 운영 및 실행, 교육과 훈련, 감시 및 검토, 유지관리 및 지속적 개선 등의 표준화된 절차와 원칙을 규정한다.

1.2 재해경감활동관리체계 모델 및 구성체계

1.2.1 재해경감활동관리체계 모델

기업재난관리표준은 재해경감활동관리체계의 수립, 운영 및 실행, 교육과 훈련, 감시 및 검토, 유지관리 및 지속적 개선 등을 위한 프로세스 접근방법으로 P(Plan)-D(Do)-C(Check)-A(Act) 모델을 적용한다.

[그림 1. 재해경감활동관리체계 적용 모델]

[표 1. PDCA 모델의 주요내용]

1.2.2 구성체계

재해경감활동관리체계를 확립하기 위한 기업재난관리표준의 주요 구성체계는 다음과 같다.

[표 2. 기업재난관리표준 구성체계]

[그림 2. 기업재난관리표준 구성체계도]

1.3 적용범위

기업재난관리표준은 재난의 예방, 대비, 대응 및 복구 각 활동에 있어, 계획 수립, 운영 및 실행, 감시 및 검토, 유지관리 및 지속적 개선을 수행하는데 필요한 요구사항들에 대하여 문서화된 관리체계를 규정한다.

다만, 기업의 특성에 따라 재난의 범주에 포함되지 아니하는 업무중단 사고의 경우에도 준용할 수 있다.

본 표준은「재해경감을 위한 기업의 자율활동 지원에 관한 법률」제2조 제1항에서 규정하는 모든 기업에 적용된다.

1.4. 다른 규정과의 관계

재해경감활동계획을 수립하는 경우 이 표준은 기업 재해경감활동계획 수립기준에 우선하여 적용한다.

1.5 참고규범

기업재난관리표준은 기업 재해경감활동계획 수립, 운영 및 실행, 감시 및 검토, 유지관리 및 지속적 개선에 관한 국내외 규범과 방향을 같이한다.

참고규범은 아래와 같다.

- ISO 22301:2012, Societal Security Business Continuity Management Systems-Requirements

- ISO 22313:2013 Societal Security Business Continuity Management Systems-Guidance

- BS 25999-1:2006 Business Continuity Management Part1: Code of Practice

- BS 25999-2:2007 Business Continuity Management Part2 : Specification

- NFPA 1600:2010 Standard on Disaster/ Emergency Management and Business Continuity Programs

- Business Continuity Management Systems: Requirements with Guidance for Use, ASIS/BSI BCM.01-2010 American National Standard

- SS 540:2008 Singapore Standard for Business Continuity Management

- 일본 내각부 BCP 가이드라인:2009

2. 용어 및 정의

2.1 감시

시스템, 프로세스 또는 활동의 상태를 판단하기 위한 행위

2.2 관리체계(management system)

정책과 목적을 설정하고 이를 달성하기 위한 조직 일련의 상호관계 또는 상호작용 요소

2.3 내부감사

관리자 검토 및 기타 내부 목적을 위해 조직 자신 또는 조직을 대신하여 수행하는 감사로서, 적합성에 대한 자기선언 근거가 될 수 있음.

2.4 리스크(Risk)

기업의 위해요소, 또는 불확실성에 기인하여 조직 목적에 미치는 악영향의 영향과 발생 확률

2.5 리스크 성향(risk appetite)

수용 가능한 전체 리스크 한도(risk capacity) 내에서 각 사업 부문에 허용된 리스크 수준을 의미

2.6 리스크 평가(RA-Risk Assessment)

리스크를 식별, 분석 및 평가하고 처리 방법을 도출하는 활동

2.7 목표

달성되어야 하는 결과

2.8 문서

정보와 이를 지원하는 매체

2.9 문서화된 정보

조직이 통제관리 및 유지관리 해야 하는 정보와 이를 수록한 매체를 총칭

2.10 복구목표시간(RTO-Recovery Time Objective)

재난(또는 업무중단 사고) 발생 이후 제품 및 서비스 또는 활동 제공을 재개하기 위해 설정하는 목표 시간

2.11 부적합

요구사항에 대한 불일치 또는 불합치

2.12 사고(incident)

일상적이지 않은 이상 현상으로 활동 저하, 중단, 손실, 비상상황 또는 위기를 일으키거나 이를 유발할 수 있는 상황

2.13 사업연속성확보계획(BCP-Business Continuity Plan)

재난(또는 업무중단 사고) 발생 시 사전 합의되고 수용 가능한 수준으로 핵심 업무를 재개하기 위해 개발, 편집 및 유지관리 되어야 하는 즉시 사용 가능한 문서화된 절차와 정보의 집합

2.14 사업연속성 전략(Business Continuity Strategy)

업무 중단으로부터 업무를 임시적으로 재개 또는 복구하기 위해 필수 자원을 조달하여 기능을 회복하기 위한 방안

2.15 수행능력

조직이 추구하는 결과를 달성하기 위하여 지식과 기술을 적용할 수 있는 능력

2.16 시정

파악된 부적합을 제거하기 위한 조치

2.17 시정조치

부적합의 원인을 제거하고 재발을 방지하기 조치

2.18 업무영향분석(BIA-Business Impact Analysis)

업무 중단이 발생하였을 때 조직에 미치는 시간에 따른 파급 영향과 허용 한계를 분석하기 위한 활동

2.19 연습(exercise)

지식, 기술 및 능력의 학습과 개발을 촉진하고 특정 역량 또는 역할의 성과를 개선하기 위해 실제 상황을 모의적으로 수행하는 활동

2.20 요구사항

목적을 위한 의미를 내포하거나 명시된 요건 또는 기대사항

2.21 이해관계자(Stakeholder)

조직에 영향을 주거나 받을 수 있는 주체로서, 조직이 그들의 결정사항 또는 활동 영향 범위 하에 있음을 인지할 수 있는 개인, 조직 및 단체

예) 내외부 고객(임직원/소비자), 주주 및 투자자(채권, 채무), 사업파트너(협력업체/공급업체), 정부 및 규제기관, 언론, NGO 등

2.22 자원

조직 운영의 목표에 부응하기 위해 필요에 따라 조직이 이용 가능하도록 해야 하는 모든 자산, 사람, 기술, 정보, 전문기술(플랜트와 장비 포함), 부지, 공급품 및 정보

2.23 재난

재해경감을 위한 기업의 자율활동 지원에 관한 법률 제2조제1호의2에 따른 재난

2.24 재해

재난으로 인하여 발생하는 피해

2.25 재해경감활동

재해경감활동관리체계를 통해 재해경감활동계획을 수립하고 이행하는 총체적인 관리 프로세스

2.26 재해경감활동계획

기업의 잠재적 위협 및 위협 발생 시(재난 등) 업무 운영에 미치는 영향을 식별하고, 주요 이해관계자의 이익, 명성, 브랜드(brand)와 가치창조 활동 보호를 위해 효과적인 조직의 탄력성 구축 체제를 제공하기 위해 수립하는 전략계획, 경감계획, 사업연속성확보계획, 대응계획 및 복구계획 등

2.27 재해경감활동관리체계

재해경감활동계획을 수립, 실행, 운영, 감시, 검토, 유지관리 및 개선하는 전반적인 경영시스템.

※ 기업재난관리표준에서의 기업 재해경감활동관리체계는 관련 국제표준에서 정의하고 있는 업무연속성관리체계(Business Continuity Management System)와 위상이 동일함

2.28 절차

활동이나 프로세스를 수행하기 위한 세분화된 방법과 순서

2.29 정책

조직 활동에 대한 의도와 방향을 조직의 최고관리자가 공식 표명하기 위해 기술한 문서화된 정보

2.30 제품 및 서비스

조직 생산 활동을 통해 고객, 소비자 및 이해관계자들에게 제공되는 유용한 산출물

2.31 조직

목적 달성을 위한 책임, 권한 및 관계와 더불어 자체적 기능을 보유하고 있는 개인 또는 집단

2.32 중단(disruption)

예정되었거나(예, 노동자 파업 또는 허리케인) 또는, 예정되지 않은(예, 정전 또는 지진) 사고로 인해 제품 및 서비스의 공급 활동 중에 발생하는 계획되지 않은 성능 저하 또는 마비 등 부정적인 변동

2.33 지속적 개선

부적합성 제거, 성과와 효율 향상을 위한 반복적 수정 활동

2.34 최고관리자(top management)

조직의 가장 높은 수준에서 의사결정을 수행하고, 지휘, 통제하는 개인 또는 집단

2.35 최대허용중단기간(MTPD-Maximum Tolerable Period of Disruption)

제품 및 서비스를 제공하지 않거나 또는 활동을 수행하지 아니하는 결과로 발생할 수 있는 악영향이 조직으로 하여금 수용 불가한 상태가 되기까지 소요되는 시간

2.36 최저업무연속성목표(MBCO-Minimum Business Continuity Objective)

조직 활동 중단 이후 업무 목표를 달성함에 있어 조직과 이해관계자에게 허용된 제품과 서비스에 대한 정량화된 최저 수준

2.37 측정

평가 대상에 대하여 가치를 결정하는 행동

2.38 프로세스(process)

투입으로부터 결과 산출 과정의 상호관련 또는 상호작용 활동들의 집합

2.39 핵심 업무(critical activity)

주요 제품 및 서비스 제공을 위해 필수적으로 수행되는 활동 가운데 중단 시간에 민감한 정도를 기준으로 가장 시급한 업무

3. 재해경감활동관리체계 기획

3.1 기업 경영현황 이해

3.1.1 기업 경영현황 분석

기업 내·외부의 경영현황에 대한 이해를 기초로 기업이 추구하는 목적과 재해경감활동관리체계의 성과에 영향을 주는 조직 내외의 문제점들(issues)을 결정하고 체계의 구축, 이행과 유지관리에 반영해야 한다.

기업의 경영현황 분석을 위해 다음을 확인하고 문서화해야 한다.

(1) 기업 운영 목표 및 정책

(2) 이해관계자, 기업 활동, 제품 및 서비스, 공급망 및 협력관계, 재난(또는 업무중단 사고) 시의 잠재 영향

(3) 기업의 리스크 성향(risk appetite)

기업현황 분석 시 다음 사항을 수행해야 한다.

(1) 재해경감활동관리체계 목적 정의

(2) 재해경감활동과 관계된 목표를 포함하여 조직의 목표를 명확화 및 문서화

(3) 리스크를 일으키는 불확실성을 만들어 내는 외부 및 내부의 요인들 정의

(4) 리스크 성향(risk appetite)을 고려하여 리스크 판단기준(risk criteria) 설정

(5) 기업의 재해경감활동 준비상태(성숙도) 파악

(6) 기업의 재해경감활동 도입 수준 결정

3.1.2 이해관계자 및 법적, 제도적 요구사항

재해경감활동관리체계를 수립할 때 기업 활동에 관련된 이해관계자를 파악하고, 평상시와 재난(또는 업무중단 사고) 시 요구사항을 확인하여 문서화된 정보로 보유한다.

또한, 기업 활동에 관련된 법률 및 규정이 요구하는 사항을 식별, 문서화하고 재해경감활동관리체계의 구축, 이행 및 관리 시 적용해야 하며, 최신의 상태로 임직원 및 이해관계자에게 공유하고 유지하여야 한다.

3.1.3 리스크와 기회의 식별

기업은 경영현황분석 결과(3.1.1)와 이해관계자 및 법적, 제도적 요구사항(3.1.2)에 근거하여 아래 목표를 달성하기 위한 리스크와 기회를 식별해야 한다.

(1) 재해경감활동관리체계가 의도하는 성과를 창출

(2) 의도하지 않은 상황을 예방

(3) 개선의 기회를 실현

기업은 리스크와 기회에 대처하기 위해 아래 사항을 수행해야 한다.

(1) 리스크와 기회에 대한 제어활동 필요성 평가

(2) 재해경감활동관리체계 내에서 제어활동 통합 이행

(3) 제어활동 효과 평가를 위한 정보가용성 확인

3.2 재해경감활동관리체계의 범위설정

기업은 경영현황 분석결과와 이해관계자 요구사항, 법률 및 규정사항을 고려하여 재해경감활동관리체계의 범위를 설정하여야 한다.

범위 내에 해당되는 조직 영역, 조직 목표와 내·외부 의무사항에 대한 요구조건, 제품 및 서비스와 관련된 모든 활동, 이해관계자의 요구를 파악하고 조직 크기와 특성 및 복잡성에 따라 범위를 규정해야 한다. 범위에서 제외되는 사항에 대한 사유를 명시하여 문서화한 후, 공개하여야 한다.

3.3 재해경감활동관리체계

기업은 기업재난관리표준의 요구사항에 따라 재해경감활동관리체계를 구축, 실행, 운용, 감시, 검토, 유지 및 개선해야 한다.

3.4 리더십

3.4.1 최고관리자의 책무

기업의 최고관리자는 재해경감활동관리체계에 대한 아래 사항을 문서화하고, 이행 및 확인 사항을 공개해야 한다.

(1) 재해경감활동관리체계가 기업의 전략적 방향에 부합함을 확인

(2) 기업 활동에 대한 재해경감활동관리체계 요구사항을 수집하고 이를 구축, 실행, 운영, 감시, 검토 및 개선

(3) 재해경감활동관리체계의 중요성을 설명하고 목표 성과 달성을 확인하며 지속적인 개선을 위한 지휘 및 지원

기업의 최고관리자는 상기 활동에 대한 근거로 아래 사항을 이행해야 한다.

(1) 재해경감활동관리체계 정책 수립

(2) 재해경감활동관리체계의 목표와 계획수립 확인

(3) 조직의 역할과 책임, 수행역량 파악

(4) 재해경감활동관리체계에 대한 담당자 지정 및 권한, 수행역량 부여

3.4.2 정책

기업의 최고관리자는 재해경감활동관리체계에 대해 아래 사항을 만족하는 정책을 수립하고 문서화하여 공유해야 한다.

(1) 조직의 목표에 부합

(2) 재해경감활동 목표를 달성하기 위한 체계(framework) 제공

(3) 가용자원의 활용과 활동에 대한 지속적인 개선 약속

(4) 재해경감활동관리체계 범위 내의 모든 요원에게 공개

(5) 정기적 또는 기업 활동 내 변화 발생 시 지속적인 적합성 검토

(6) 이해관계자 요구에 부합함을 최고관리자가 승인

3.4.3 최고관리자의 역할, 책임 및 권한

기업의 최고관리자는 아래 사항을 수행하기에 적합한 책임과 권한이 부여되어 공유되고 있음을 확인해야 한다.

(1) 기업재난관리표준이 규정하는 관리체계 구축 및 이행

(2) 재해경감활동관리체계의 성과를 최고관리자에게 보고

3.4.4 재해경감활동 조직체계 구성

기업의 최고관리자는 재해경감활동관리체계에 필요한 적절한 지위와 권한을 가진 조직체계를 구성하여야 한다.

재해경감활동의 추진이나 재해 발생 시 재해경감활동 조직의 체계 구축과 그 역할 및 지휘명령 계통을 명확하게 해야 한다. 또한, 이러한 재해경감활동 지원조직의 책임자는 경영진 중에서 임명해야 한다.

조직은 기업 내 각 부문에 재난관리를 위한 횡단(수평)조직을 구성하여야 하며, 책임의 소재를 명확하게 하여 조직체계를 구성하여야 한다.

이사회와 경영진은 재해경감활동관리체계의 수립과 효과적인 실행을 위하여 아래 역할을 수행해야 한다.

(1) 이사회는 경영진이 수립한 재해경감활동관리체계의 정책 및 절차를 검토하고 승인

(2) 경영진은 재해경감활동을 효율적으로 수행할 수 있는 조직체계를 마련

(3) 경영진은 핵심 업무 중단 시 사업연속성 전략의 유효성, 재해경감활동 절차 및 계획에 대한 시범시행(테스트)의 적절성 및 유지·보수 여부 등 이사회에 보고되는 내용을 검토하고 승인

지원조직은 재해경감활동관리체계 업무를 담당하고 책임지기 위한 전담조직으로서 아래 역할을 수행해야 한다.

(1) 이사회와 경영진의 재해경감활동관리체계 책임 수행을 보조하고 관련 정책 및 절차 등을 문서화

(2) 조직 내 각 부서의 재해경감활동관리체계 수행·관리 및 관련업무 지원

(3) 재해경감활동관리체계 프로그램의 개발 및 운영

(4) 모니터링 및 통제

(5) 이사회와 경영진에 대한 보고 및 조치 이행

3.5 운영 지원

3.5.1 자원

기업은 재해경감활동관리체계에 필요한 자원을 결정하고 제공해야 한다.

3.5.2 수행능력

기업은 재해경감활동관리체계 구현에 역할 및 책임을 부여받은 모든 인력이 해당 업무를 수행하기 위해 필요한 적격성을 확보하도록 아래 활동을 수행하여야 한다.

(1) 관리 성능 제어 하에서 인력에 적격 필요성 결정

(2) 적합한 교육, 훈련 및 경험에 기초한 인력의 적격성 확인

(3) 인력에 필요한 적격성 취득을 위한 활동과 그에 대한 효과 평가

(4) 적격성 확보를 위한 활동 증거물을 문서화된 정보로 확보

3.5.3 인지

재해경감활동관리체계 참여인력은 아래 사항을 인지해야 한다.

(1) 재해경감활동 정책

(2) 효과적인 재해경감활동관리체계의 이행 및 개선을 위해 수행해야 하는 업무

(3) 재해경감활동관리체계 요구에 부적합한 사항

(4) 재난(또는 업무중단 사고) 발생 시 개인의 역할

3.5.4 의사소통

기업은 재해경감활동관리체계와 관련한 조직구성원 및 내·외부 이해관계자들과의 의사소통 내용, 시기, 대상을 결정해야 한다.

기업은 아래 사항들을 수립, 시행 및 유지관리 해야 한다.

(1) 조직 이해관계자와 임직원간의 내부 소통

(2) 고객, 협력업체, 지역사회 및 그 외 미디어를 포함한 이해관계자와의 외부 소통

(3) 이해관계자들로부터의 정보 수신, 문서화 및 대응

(4) 정부부처로부터의 국가 또는 지역적 위협 정보 또는 그에 상응하는 정보 내용을 계획에 적용 및 통합

(5) 재난(또는 업무중단 사고) 시 소통수단에 대한 가용성 확인

(6) 적합한 권한을 바탕으로 구조화된 소통 체제 확립 및 다중 대응이 가능한 조직, 또는 개인의 공용 가능성 확인

(7) 일상의 소통 수단이 마비되었을 때에 대비한 소통능력의 운영 및 시험

3.5.5 문서화된 정보

재해경감활동관리체계는 본 기업재난관리표준이 요구하거나, 효과적인 관리를 위해 기업이 필요하다고 결정한 문서화된 정보를 포함해야 한다.

문서화된 정보를 작성 또는 개정하는 절차는 아래 사항을 포함해야 한다.

(1) 식별정보 및 상세(제목, 날짜, 작성자, 문서번호 등)

(2) 형식(사용언어, 소프트웨어 버전, 그림 형식) 및 미디어(종이, 전자)

(3) 적합한 검토 및 승인

재해경감활동관리체계가 요구하는 문서화된 정보는 아래 사항에 대해 관리해야 한다.

(1) 배포범위

(2) 접근권한 및 범위

(3) 저장 및 보관

(4) 검색과 사용

(5) 변경 관리

(6) 가독성(可讀性, 명확하게 인지 가능)

(7) 폐기된 정보의 허가되지 않은 사용 방지

(8) 보유 및 폐기

기업은 재해경감활동관리체계 수립과 운영을 위해 필요하다고 결정한 외부의 문서화된 정보를 식별하고 관리해야 한다.

문서화된 정보를 관리함에 있어서 기업은 그에 대한 적합한 보호방안(타협, 부정 복사, 삭제로부터의 보호)을 마련해야 한다.

4. 목표달성계획 수립

4.1 목표설정

최고관리자는 다음 사항에 부합하는 재해경감활동관리체계의 목표를 수립하고 재해경감활동관리체계 범위에 속한 모든 조직원들에게 전달하여야 한다.

(1) 재해경감활동관리체계 정책과 일관성 유지

(2) 조직의 목표 달성을 위해 조직이 수용 가능한 제품 및 서비스의 최소수준 고려

(3) 목표는 측정 가능하고 지속적 검토 및 개선유지가 가능하도록 설정

4.2 목표달성 계획

기업은 수립된 재해경감활동관리체계의 목표를 달성하기 위해 아래사항을 지정하여야 한다.

(1) 책임자

(2) 수행내용

(3) 필요 자원

(4) 완료 시기

(5) 결과 평가방법

5. 운영 및 실행

5.1 운영계획 및 통제관리

기업은 3.1.3에 따른 리스크와 기회에 대처하고 이해관계자 요구사항을 충족할 필요가 있는 프로세스를 아래의 방법을 통해 결정, 계획, 이행하고 제어해야 한다.

(1) 각각의 프로세스에 대한 기준 수립

(2) 각 프로세스를 기준에 따라 제어

(3) 계획에 따라 수행된 프로세스에 대해 설명하는 문서화된 정보의 유지

기업은 계획된 변화를 제어하고 의도되지 않은 변화로 인한 결과를 검토하며, 필요에 따라 계획에 반하는 역효과를 완화하기 위한 활동을 수행해야 한다.

또한, 기업은 계약 또는 아웃소싱(outsourcing)에 따른 활동을 제어해야 한다.

기업은 업무영향분석(business impact analysis)과 리스크 평가(risk assessment)에 관한 아래의 공식적이고 문서화된 절차를 구축, 이행 및 유지해야 한다.

(1) 평가 현황 제정, 기준 설정 및 재난(또는 업무중단 사고)의 잠재적 영향을 평가

(2) 법률과 기업이 인정하는 다른 요구사항을 고려

(3) 체계적 분석, 리스크 처리의 우선순위화 및 상대적인 비용을 포함

(4) 업무영향분석 및 리스크 평가로부터 요구되는 산출물을 정의

(5) 버전(version) 및 보안 정보에 대한 요구사항 정의

5.2 업무영향분석

기업은 연속성과 복구 우선순위, 목표를 결정하기 위한 공식적이고 문서화된 업무영향평가 절차를 구축, 이행 및 유지하기 위해 아래 활동을 수행해야 한다.

이는 조직의 제품과 서비스를 제공하는 활동이 중단되었을 때의 영향 추산에 더불어 아래 활동을 포함해야 한다.

(1) 제품 및 서비스를 공급을 지원하는 활동 식별

(2) 각 활동의 중단 이후 시간경과에 따라 발생되는 영향 평가

(3) 재해경감활동관리체계의 목표로 설정된 제품 및 서비스의 최저업무연속성목표(MBCO) 결정

(4) 업무가 재개되지 않음으로 인해 발생되는 영향을 수용할 수 없게 되는 최대허용중단기간(MTPD) 수립

(5) 제품 및 서비스의 최저허용가능수준으로 복귀됨에 있어, 일정 시점을 넘어설 경우의 영향이 허용되지 않는 시간을 고려한 우선화된 시간 구조를 확립

(6) 최대허용중단기간(MTPD)내에서 핵심 업무의 복구를 위한 복구목표시간(RTO) 결정

(7) 공급업체, 아웃소싱(outsourcing) 협력사 및 관련된 이해관계자를 포함한 각 활동들에 종속적이거나 지원에 필요한 자원들을 식별

5.3 리스크 평가

기업은 재난(또는 업무중단 사고)을 유발할 수 있는 리스크를 식별, 분석 및 평가하기 위한 공식적이고 문서화된 리스크 평가 절차를 구축, 이행 및 유지해야 하며, 아래의 활동을 수행해야 한다.

(1) 조직이 우선적으로 수행해야 하는 업무와 프로세스, 시스템, 정보, 인력, 자산, 아웃소싱(outsourcing) 협력업체와 그들을 지원하는 자원 운용에 있어 중단 리스크를 식별

(2) 체계적으로 리스크를 분석

(3) 조치를 요하는 중단 리스크를 평가

(4) 재해경감활동계획의 목표와 조직의 리스크 속성에 부합하는 조치를 식별

리스크 평가 시 고려해야할 위험요인은 아래와 같다.

(1) 사회재난 : 전산망 침투, 테러, 파업, 폭동, 방화, 폭발물 설치, 전력공급중단, 통신망 두절 등

(2) 자연재난 : 홍수, 태풍, 강풍, 폭설, 지진 등

(3) 기술적 장애 : 전산시스템 등 하드웨어의 이상, 소프트웨어의 파괴 등

5.4 사업연속성 전략 수립

5.4.1 전략결정 및 선택

전략 결정과 선택은 업무영향분석과 리스크 평가 결과를 기초로 수행해야 한다.

기업은 아래 사항에 대하여 적합한 사업연속성 전략을 결정해야 한다.

(1) 우선적으로 수행되어야 하는 활동을 보호

(2) 우선적으로 수행되어야 하는 활동과 그에 종속하고 지원하는 자원을 안정화, 계속화, 재개 및 복구

(3) 재난(또는 업무중단 사고) 영향을 완화, 대응 및 관리

전략 결정은 활동을 재개하기 위한 시간 절차 승인을 포함해야 한다.

기업은 다양한 공급업체들의 재해경감활동 능력을 평가해야 한다.

5.4.2 소요자원 파악

기업은 선택한 전략을 이행하는데 필요한 아래와 같은 소요자원을 파악해야 한다.

자원의 유형은 다음 사항을 포함할 수 있다.

(1) 인력

(2) 정보 및 데이터 통신

(3) 건물, 작업환경, 관련 유틸리티(utility)

(4) 시설, 설비, 장비 및 원재료, 소모품

(5) 정보 및 통신 기술(ICT) 시스템

(6) 운송

(7) 재무

(8) 파트너 및 공급자

5.4.3 경감계획

조치가 필요하다고 판단된 중단성 리스크에 대해서 기업은 아래와 같은 사전 대책을 강구하여 경감계획을 수립해야 한다.

(1) 재난(또는 업무중단 사고)의 발생 가능성 축소

(2) 재난(또는 업무중단 사고)으로 인한 중단 기능 단축

(3) 기업의 주요 제품 및 서비스에 미치는 중단 영향 최소화

기업은 리스크 속성에 부합하는 처리방안을 선택하고 이행해야 한다.

5.4.4 2차 피해방지

지역사회에 직·간접적으로 피해를 미칠 수 있는 재난(또는 업무중단 사고)에 대한 안전대책을 수립하고, 재난(또는 업무중단 사고) 크기에 따라 국가, 지자체 및 지역사회 비상행정기관의 조직구조(예를 들면, 경찰, 구조/구급, 소방, 의료 등)와 연계된 대응계획을 수립하고 인력 확보 및 훈련을 실시하여야 한다.

5.4.5 재무관리

기업은 평상시 및 비상시를 대비하여 재해경감활동 관리자와 협의하고, 기업재난관리표준에 따른 재해경감활동을 지원하는 재무계획 및 집행 절차를 수립하여 문서화된 정보로 보유하여야 한다.

또한, 재무계획 및 절차는 금융과 관련된 결정이 확실하게 실행될 수 있도록 설계되어야 한다.

5.5 재해경감활동 절차 및 계획 수립, 실행

기업은 업무영향분석을 통해 식별된 복구 목표에 따라 재난(또는 업무중단 사고)을 관리하고 그 활동을 계속할 수 있도록 재해경감활동 절차를 구축, 이행 및 유지해야 한다.

기업의 활동들이 연속적으로 수행되고 재난(또는 업무중단 사고)이 관리될 수 있는 절차를 문서화해야 하며 아래의 조건들을 고려해야 한다.

(1) 내·외부 의사소통을 위한 적합한 방침

(2) 재난(또는 업무중단 사고) 즉시 수행되어야 하는 조치에 대한 세부사항

(3) 예상치 못한 위협과 내·외부 변화에 대응하기 위한 유연성

(4) 운영중단을 일으킬 수 있는 잠재적인 재난(또는 업무중단 사고) 영향에 집중하기 위한 방안

(5) 상황전개 과정이 정리된 비상상황(가정)과 상호 의존성 분석 등을 기본으로 설계

(6) 적합한 리스크 완화 전략 이행을 통해 영향을 최소화

5.5.1 재난(사고)대응체계

기업은 재난(또는 업무중단 사고) 관리에 요구되는 책임, 권한과 능력을 갖춘 인력을 통해 재난(또는 업무중단 사고)에 대응하기 위한 절차와 관리 체계를 구축, 문서화하고 이행해야 한다.

대응체계는 아래 사항을 고려해야 한다.

(1) 공식적인 대응을 요구하는 영향 한계를 식별

(2) 재난(또는 업무중단 사고)의 특성과 정도, 잠재적 영향을 추산

(3) 적합한 대응활동의 개시 조건

(4) 재난(또는 업무중단 사고)의 영향을 최소화하기 위한 활동과 절차를 지원하는 가용 자원을 확보

(5) 이해관계자, 관계 기관 및 미디어와의 의사소통

기업은 인명안전을 최우선의 목표로 하는 가운데 관련된 이해관계자와 협의하여 그에 대한 중요 리스크와 영향을 대외적으로 공유할지 결정하고 이를 문서화해야 한다.

또한, 그 결정사항이 공유되면 적합한 소통, 경보를 위한 절차를 구축하고 이행해야 한다.

기업은 업무중단 발생시 시간의 경과에 따라 단계적으로 대응 가능한 위기관리조직체계를 구성해야 한다.

재난(또는 업무중단 사고) 단계에 따라 비상대응조직, 위기관리조직, 사업재개조직으로 구분하여 구성해야 한다.

(1) 비상대응조직

- 핵심 업무가 중단되거나 중대한 영향을 초래하는 재난(또는 업무중단 사고) 발생 시 긴급대응활동을 수행(예를 들면, 비상통제본부 등)

- 인명 및 자산보호를 위한 긴급대응과 필요한 조치 실행

(2) 위기관리조직

- 재난(또는 업무중단 사고)로 인한 영향을 최소화하기 위한 조직 차원에서의 전략적 의사결정 및 주요 이해관계자와의 커뮤니케이션을 통한 체계적 대응 수행(예를 들면, 위기관리위원회 등)

(3) 사업재개조직

- 각 부문별 핵심업무 담당자로 구성되며, 위기관리조직의 결정에 따라 사업연속성확보계획을 실행

5.5.2 경보 및 의사소통

기업은 경보와 의사소통을 위해 아래의 절차를 구축, 이행 및 유지해야 한다.

(1) 재난(또는 업무중단 사고) 감지

(2) 규칙적인 재난(또는 업무중단 사고) 모니터링

(3) 조직 내부 의사소통 및 이해관계자로부터의 전파사항에 대한 수신, 기록 및 대응

(4) 정부, 지역적 리스크 자문 또는 이와 동등한 체계로부터의 정보 수신, 기록 및 대응

(5) 소방, 경찰, 의료 등 위기대응기관들과의 체계적인 의사소통

(6) 재난(또는 업무중단 사고)에 대한 필수적인 정보기록, 활동 수행, 의사결정 및 아래 사항이 고려되고 이행되어야 함

① 재난(또는 업무중단 사고) 상황, 임박시기의 잠재적인 영향을 받게 되는 이해관계자에게 경보

② 다중 대응조직 또는 개인들과의 상호운영 보장

③ 의사소통 수단의 가용성

기업은 경보와 의사소통 절차에 대해 정기적으로 연습을 실시하여야 한다.

5.5.3 대응 및 사업연속성확보계획

기업은 재난(또는 업무중단 사고)에 대한 대응과 사전에 정한 시간 내에 활동을 재개 및 복구하는 방법에 대한 문서화된 절차를 수립하여야 한다.

대응 및 사업연속성확보계획은 총괄적으로 아래 내용을 포함하여야 한다.

(1) 재난(또는 업무중단 사고) 기간 및 이후 권한을 갖는 인력 또는 대응조직들의 역할 및 책임 정의

(2) 대응활동에 대한 가동 프로세스

(3) 개인의 복지와 안전, 재난(또는 업무중단 사고)대응을 위한 전략, 전술 및 운영적 방안, 추가적인 손실 또는 주요 활동들에 대한 가동 단절 예방 등 재난(또는 업무중단 사고)의 즉각적 결과를 관리하기 위한 상세사항

(4) 재난(또는 업무중단 사고) 발생 시 직원 및 친족, 주요 이해관계자 및 긴급 연락처와의 의사소통방법에 대한 세부사항

(5) 사전 합의한 시간 내에 우선순위 활동들을 지속 또는 복구하는 방법

(6) 재난(또는 업무중단 사고) 직후 기업의 언론대응에 대한 세부사항

① 의사소통 전략

② 언론과의 정보전달 수단

③ 언론 성명서 작성 지침 또는 양식

④ 대변인 지정

(7) 재난(또는 업무중단 사고) 종료 시 대응 활동의 종료 절차

각 사업연속성확보계획은 아래 사항을 정의하여야 한다.

(1) 목적 및 범위

(2) 목표

(3) 가동 기준 및 절차

(4) 이행 절차

(5) 역할, 책임 및 권한

(6) 의사소통 요구사항 및 절차

(7) 내·외부 상호연관 및 상호작용

(8) 자원 요구사항

(9) 정보 흐름 및 문서화 프로세스

5.5.4 복구계획

기업은 재난(또는 업무중단 사고) 직후 업무 요구사항을 만족시키기 위한 한시적 조치로부터 일상 업무활동으로 회복하고 복귀하기 위한 시간흐름에 따른 조치사항에 대한 문서화된 절차를 보유하여야 한다.

6. 교육 및 훈련

6.1 교육 프로그램 개발 및 운영

기업은 재해경감활동관리체계의 효과적인 실행과 직원들의 기업재난관리 수행역량을 높이기 위한 목적으로 교육 프로그램을 개발 및 운영하여야 한다.

교육 프로그램은 기업재난관리표준에 따라 재해경감활동관리체계에 필요한 사항을 충분히 반영하고 문서화된 정보로 보유하여야 한다.

6.2 연습 및 훈련 평가

기업은 재해경감활동 절차 및 계획이 그 목표와 일치함을 검증하고 효과적으로 실행할 수 있도록 하기 위하여 연습 및 훈련을 정기적으로 실시하고 평가해야 한다.

기업은 최고관리자와 조직구성원이 재해경감활동 목표와 중요성을 기업의 문화로 정착하고 인식할 수 있도록 지속적으로 연습 및 훈련을 실시하여야 한다.

6.2.1 연습과 시험

기업은 재해경감활동관리체계 목적에 부합함을 확인하기 위해 그 절차에 대한 연습과 시험을 아래에 준하여 수행해야 한다.

(1) 재해경감활동관리체계 범위와 목적에 부합

(2) 명확히 정의된 목적과 목표를 바탕으로 계획된 시나리오에 근거

(3) 관계된 이해관계자를 포함한 재해경감활동관리체계의 모든 사항을 시간 경과에 따라 조합하여 검증

(4) 연습과 시험 운영의 중단리스크를 최소화

(5) 연습 후 개선 이행을 위한 산출물, 권고 및 활동을 위한 공식 리포트 작성

(6) 지속적인 개선 환경을 조성한 가운데 검토

(7) 정기적, 조직과 환경 내 중대 변화 발생 시 수행

7. 수행평가

7.1 모니터링, 측정, 분석 및 평가

기업은 재해경감활동관리체계에 있어서 무엇을, 언제, 어떤 방법으로 모니터링하고 측정할지 결정해야 한다. 또한, 모니터링 측정된 결과를 어떤 방법과 시기에 분석 및 평가할지 결정해야 한다.

기업은 재해경감활동관리체계의 성능과 효율성을 평가해야 하며, 부적합 사항이 발생하기 이전 역효과 또는, 결과가 우려될 시에는 조치를 취하고 그 근거로서 이를 문서화해야 한다.

성능에 대한 모니터링 절차를 통해 아래 사항을 달성토록 한다.

(1) 기업 요구수준에 적합한 성능 지표

(2) 재해경감활동 정책, 목적 및 목표가 부합하는지 모니터링

(3) 핵심 업무를 보호하는 프로세스와 절차, 기능 수행

(4) 재해경감활동 목적과 표준과 부합하는지 모니터링

(5) 재해경감활동관리체계 수행에 있어 과거의 결함근거에 대한 모니터링

(6) 충분한 개선활동을 위한 모니터링, 측정 데이터와 결과의 기록

7.2 재해경감활동 평가

기업은 재해경감활동관리체계에 대한 지속적 적합성, 정합성과 효율성을 확인하기 위해 절차와 수행능력에 대한 평가를 시행해야 한다.

평가는 주기적 검토, 연습, 시험 및 재난(또는 업무중단 사고) 후 결과보고, 수행평가를 통해 수행되어야 하며, 기업 내 중대한 변화 또한 반영될 수 있어야 한다.

기업은 법적, 제도적 요구사항과 업계 모범사례, 재해경감활동 정책과 목적에 부합하는지에 대해 주기적으로 평가해야 한다.

재난(또는 업무중단 사고)이 발생하여 재해경감활동 절차가 가동되면 기업은 사후 검토와 결과의 기록을 실시해야 한다.

7.3 내부감사

기업은 재해경감활동관리체계가 요구와 표준에 부합하는지 확인하고 이를 효과적으로 이행, 유지하는지 확인하기 위해 계획된 주기에 따라 내부감사를 실시해야 한다.

기업은 관련된 프로세스의 중요성과 이전 감사결과를 고려하여 감사 주기, 방법, 책임, 요구사항과 보고를 포함하는 감사 프로그램을 계획, 수립, 이행 및 관리를 수행해야 한다.

감사 기준과 범위를 결정하고 감사자를 선정하여 감사 프로세스의 객관성과 공명성을 확인해야 한다.

또한, 감사 결과가 각 해당 경영진에 보고되어야 하고 그 근거는 문서화되어야 한다.

감사 프로그램은 조직 활동에 대한 리스크 평가와 이전 감사결과에 준해야 하며, 감사 절차에는 범위, 주기, 방법 및 능력을 비롯하여 감사수행과 보고에 대한 책임과 요구사항을 포함해야 한다.

감사 책임자는 발견된 부적합사항과 원인 제거를 지체 없이 수행하기 위해 필요에 따라 시정 및 개정을 시행해야 하고, 그 결과를 확인하는 절차가 수반되어야 한다.

7.4 경영진 검토

최고관리자는 기업의 재해경감활동관리체계의 지속적 적합성, 정합성과 효율성을 확인하기 위해 계획된 주기 하에 검토를 수행해야 한다.

경영진 검토에는 아래 사항들이 고려되어야 한다.

(1) 이전 경영진 검토로부터 필요한 조치

(2) 재해경감활동관리체계에 대한 내·외부 이슈들의 변화

(3) 부적합 및 시정조치, 모니터링, 측정 평가결과, 감사결과, 지속적 개선 기회 등 재해경감활동에 대한 정보

경영진 검토는 아래 사항들에 대한 수행을 고려해야 한다.

(1) 이전 경영진 검토를 고려한 후속조치

(2) 정책, 목적 등 재해경감활동관리체계 변화에 대한 요구

(3) 개선의 기회

(4) 적합한 주요 공급업자와 협력사 등에 대한 재해경감활동관리체계 감사와 검토

(5) 기업의 재해경감활동관리체계 수행과 효율에 대한 개선에 활용될 수 있는 기술, 제품 및 서비스

(6) 시정조치 상황

(7) 연습과 시험 결과

(8) 이전 리스크 평가에서 부적합한 것으로 지적된 리스크 또는 이슈

(9) 재해경감활동관리체계 범위 내외부로부터 활동에 영향을 줄 수 있는 변화

(10) 정책의 적합성

(11) 개선될 추천사항

(12) 재난(또는 업무중단 사고)로부터 도출된 교훈

(13) 새로운 모범사례 및 안내서

경영진검토 결과는 지속적인 개선기회와 재해경감활동관리체계 변화에 필요한 요구와 관련된 결정과 조치를 위해 아래의 활동을 포함해야 한다.

(1) 재해경감활동관리체계 범위에 대한 변화

(2) 재해경감활동관리체계 효과 개선

(3) 리스크 평가, 업무영향분석, 업무연속성 계획 및 관련 절차에 대한 개정사항

(4) 재해경감활동관리체계에 영향을 주는 아래와 같은 내·외부 이벤트에 대응하기 위한 절차 및 제어방안의 개정

① 비즈니스와 운영의 요구사항

② 리스크 저감 및 안전(security)을 위한 요구사항

③ 운영 조건과 프로세스

④ 법률, 규제 요구사항

⑤ 계약상 의무조항

⑥ 수용 가능한 리스크 수준 또는 기준

⑦ 소요자원

⑧ 소요 자금 및 예산

(5) 효율성과 제어방법에 대한 측정방법

기업은 경영진의 검토결과를 문서화된 정보로 관리해야 하며, 이해관계자에게 공개해야 한다.

8. 개선

8.1 부적합사항 및 시정조치

기업은 재해경감활동관리체계에 있어서 부적합사항을 발견하고 제어, 수용 또는 개선하여 그 결과를 파악하는 조치를 취해야 한다.

기업은 부적합사항의 원인을 제거하기 위해 아래 사항을 평가해야 한다.

(1) 부적합사항의 검토

(2) 부적합사항의 원인 검토

(3) 잠재적으로 유사한 부적합사항 존재 여부 확인

(4) 부적합사항이 재현되거나 일어나지 않음을 확인하기 위한 활동의 필요성 평가

(5) 필요한 후속 활동의 결정과 이행

(6) 개선사항에 대한 효율성 검토

(7) 필요에 따라 재해경감활동관리체계 변경

기업은 부적합의 재발을 방지하기 위하여 재해경감활동관리체계의 실행과 운영에 관련된 부적합 원인을 제거하기 위한 시정조치를 실시하여야 한다.

8.2 지속적 개선

기업은 재해경감활동의 정책 및 목표, 감사결과, 개선 및 시정조치, 경영진 검토 등을 통하여 재해경감활동관리체계의 적합성, 적절성 및 유효성을 지속적으로 개선해야 하며 연 1회 이상 시행해야 한다.

9. 행정사항(재검토 기한)

국민안전처장관은「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2016년 7월 1일을 기준으로 매3년이 되는 시점(매3년째의 6월 30일까지를 말한다.)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.

부칙  <제2016-82호, 2016. 6. 30.>

이 고시는 발령한 날부터 시행한다.