[매경경영지원본부 칼럼] 중대재해처벌법 이후의 내부 통제

‘작동하는 안전관리’가 기업을 지키는 유일한 방패

얼마 전, 한 건설현장에서 또 한 번 안타까운 추락사고가 발생했다. 현장에는 각종 안전교육 서류와 점검표가 빠짐없이 비치되어 있었고, 관리감독자의 서명도 정갈히 적혀 있었다. 서류상으로는 완벽했다. 그러나 CCTV를 돌려보니, 정작 작업자는 추락 방지용 안전대를 착용하지 않았다. 서류는 있었지만, 시스템은 작동하지 않았던 것이다.

사법당국은 “문서상의 체계는 존재했지만 실제 관리행위가 이루어졌다고 보기 어렵다”며 경영책임자를 기소했다. 이 사건은 중대재해처벌법 시행 이후 기업 내부통제의 기준이 ‘보유’에서 ‘작동’으로 바뀌었음을 상징적으로 보여준다. 이제는 문서가 아니라, 그 문서가 어떻게 현장에서 작동했는가가 모든 판단의 기준이 되고 있다.

‘보유’가 아닌 ‘작동’이 내부통제의 본질이다. 법 시행 초기, 수많은 기업이 법적 리스크에 대비하기 위해 매뉴얼과 점검표, 교육자료를 쌓았다. ‘보유’ 중심의 대응이었다. 그러나 실제 사고가 발생하면, 검찰과 법원은 서류더미보다 현장의 움직임과 시스템의 기록을 본다.

“중요한 것은 점검표에 적힌 날짜가 아니라 위험이 감지되었을 때 경보가 울렸는가?”라는 질문과 “그 경보는 누가, 언제, 어떻게 처리했는가?”와 같은 질문들이 바로 법적 판단의 새로운 기준이 되었다. 이제 단순한 문서 보유는 면책의 근거가 아니라, 시스템이 작동하지 않았다는 반증이 될 수도 있다. “법을 지켰다”는 말이 더 이상 방패가 되지 않는다.

형식적 통제가 오히려 리스크를 키운다. 많은 기업이 여전히 “법만 지키면 된다”는 접근으로, ‘보여주기식 통제’를 반복한다. 하지만 이런 형식적 대응은 오히려 리스크를 키운다. 서류는 완벽하지만 현장은 방치되고, 시스템은 움직이지 않는다. 결과적으로 안전은 문서상의 절차로만 남고, 조직 내에서는 ‘서류만 있으면 된다’는 잘못된 문화가 뿌리내린다. 이는 단순한 행정 실패가 아니라 안전문화의 붕괴를 의미한다. ‘점검표 작성’이라는 행정이 ‘실제 안전관리’로 이어지지 않는다면, 그 조직의 내부통제는 이미 실패한 것이다.

작동하는 내부통제의 세 가지 핵심 조건

첫째, 실시간 감시(Auto Monitoring)이다. 센서, CCTV, 접근제어 등 IoT 기술을 통해 위험을 자동 감시하고, 이상이 발생하면 즉시 관리자에게 알림이 가야 한다. 현장 점검표보다 중요한 것은 시간축에서 증명되는 통제다. 사고 발생 이후에 작성된 보고서보다, 사고 직전의 경보 로그 한 줄이 훨씬 강력한 증거가 된다.

둘째, 이력 추적(Traceability)이다. 위험 발견 → 조치 요청 → 완료 확인의 일련의 과정이 시스템에서 자동으로 기록되어야 한다. 조치 완료 보고서가 아니라, 조치가 이루어진 시점의 로그가 안전을 담보한다. 누가, 언제, 어떤 위험에 대응했는지를 기록하는 ‘행동의 데이터’가 곧 통제의 근거다.

셋째, 통합 리포팅(Integrated Dashboard)이다. 본사, 협력사, 현장의 데이터를 실시간으로 통합하고, 위험도를 시각화하여 경영진이 즉시 파악할 수 있어야 한다. 단순히 보고를 받는 구조가 아니라, 시스템이 스스로 경보하고, 경영진이 실시간으로 개입할 수 있는 구조로 바뀌어야 한다.

‘보고’가 아닌 ‘경보’가 먼저 움직이는 시스템, 그것이 진정한 내부통제다. 중대재해처벌법은 ‘경영 시스템의 작동성’을 묻는다. 중대재해처벌법은 산업안전규제에 머무르지 않는다. 이 법은 기업의 경영체계가 실제로 작동하는가를 검증하는 법이다. 경영책임자는 “지시했다”는 말만으로 책임을 벗을 수 없다. 이제 중요한 것은 “그 지시가 시스템에서 어떻게 실행되고, 그 결과가 어떻게 기록되었는가”이다. 즉, 말이 아니라 데이터로 지시의 이행을 증명해야 한다.

따라서 기업의 통제체계는 인적 보고나 종이 문서가 아닌, 실행 로그 기반의 증거 구조로 재편되어야 한다.

이제 컴플라이언스의 기준은 ‘완성된 문서’가 아니라 ‘살아 있는 데이터’이다. 데이터가 새로운 ‘면책의 언어’가 된다. 앞으로 법적 방어의 언어는 ‘문서’가 아니라 ‘데이터’가 대신한다. 점검일지 대신 로그(Log), 안전관리자 보고 대신 알람(Alarm), 교육 증빙 대신 운영이력(Operation Record)이 그 자리를 대체할 것이다.

이 세 가지가 유기적으로 결합될 때 비로소 기업은 “시스템이 실제로 작동했다”고 증명할 수 있다. 더 나아가, 이러한 데이터 기반 통제는 단순한 법적 방어를 넘어 기업 신뢰의 지표로 기능할 것이다. 안전관리의 실시간 로그는 투자자와 파트너, 고객에게 ‘이 회사는 시스템으로 움직인다’는 신뢰를 준다.

살아 있는 시스템만이 기업을 지킨다. 중대재해처벌법은 우리에게 단 하나의 질문을 던진다. “당신의 시스템은 살아 움직이고 있는가?” 더 이상 안전은 ‘서류 업무’가 아니다. 이제 내부통제의 진정한 기준은 문서함 속이 아니라 서버의 로그 속, 데이터의 흐름 속에 있다. ‘보유의 증거’가 아니라 ‘작동의 증명’이 기업을 지키는 유일한 방패다. 그리고 그 방패는 서류가 아니라, 실시간으로 작동하는 안전관리 시스템이 되어야 한다.

[임정훈 매경경영지원본부 산업안전 칼럼니스트, 안전공학 박사]