규제 위험

법이 바뀌면 바뀐 날부터 지키면 된다고 여기던 시절이 있었습니다. 규정은 법무가 보는 영역이고, 새 규정이 생기면 문서 몇 장을 고치면 되는 일로 취급됐습니다. 그런데 실제로 걸리는 규정들은 문서가 아니라 구조를 바꾸라고 요구했습니다. 자료를 어느 나라 서버에 둘 것인지, 결제 정보를 직접 보관할 것인지 같은 조건은 한 달 안에 고칠 수 있는 종류가 아닙니다.

그래서 이런 장면이 반복됐습니다. 반년 뒤 시행되는 규정을 시행 2주 전에 알게 되고, 급하게 견적을 받아 보니 서버를 옮기는 데만 석 달이 걸린다는 답이 옵니다. 그 자리에서 결정할 수 있는 것은 두 가지뿐입니다. 로드맵에 있던 것을 전부 미루거나, 규정을 지키지 못한 상태로 영업을 계속하거나.

규제 위험은 이 문제를 미리 줄에 세워 두려고 붙인 이름입니다. 지금 위반하고 있는 상태가 아니라, 앞으로 막힐 가능성이 있는 항목에 이름을 달아 리스크 목록에 올려 둡니다. 개정이 통과된 날이 아니라 논의가 시작된 날부터 지켜보게 만든 것이 이 이름이 하는 일입니다.

바뀔 조짐을 논의 단계에서 잡고, 우리 제품의 어느 부분에 닿는지 짚고, 가능성과 크기로 순서를 매긴 다음 준비 기간을 역산해 착수 시점을 정하는 방식으로 다룹니다.

1. 논의 단계에서 봅니다. 개정안이 발의되고 시행되기까지는 보통 1년 이상 걸리고, 시행 뒤에도 유예 기간이 붙습니다. 그 기간이 준비할 시간을 주지만, 통과 소식을 뉴스로 처음 듣는 회사에는 남은 기간이 절반뿐입니다.
2. 우리 제품의 어느 부분에 닿는지 적습니다. 규정 문장이 아니라 우리 쪽 항목으로 옮겨 적는 것이 요점입니다. 개정안 하나가 "가입 시 받는 정보 중 생년월일", "자료가 저장된 해외 지역", "동의 화면의 문구 세 줄" 로 번역되면 그다음 판단이 가능해집니다.
3. 가능성과 크기에 점수를 매깁니다. 각각 1점에서 5점을 주고 곱하는 방식이 흔합니다. 통과가 거의 확실하고 제품 구조를 바꿔야 하는 항목은 4에 5를 곱해 20이 되고, 논의만 있는 상태에 문구만 고치면 되는 항목은 2에 1을 곱해 2가 됩니다.
4. 준비 기간을 역산해 착수 시점을 정합니다. 시행일에서 준비에 걸리는 기간을 빼면 착수해야 하는 달이 나옵니다. 내년 7월 시행에 준비가 두 분기라면 올해 안에 시작해야 합니다. 이 계산을 하지 않으면 항목은 목록에 계속 남아 있으면서도 아무 달에도 착수되지 않습니다.
5. 발동 조건을 숫자나 사건으로 적습니다. 비상 계획을 붙이는 항목이라면 "개정안이 본회의를 통과한 날" 처럼 켜지는 시점을 미리 써 둡니다. 특정한 일이 잘못됐을 때 쓸 대안 계획인데, 조건이 없으면 회의를 거쳐야 켜지고 그만큼 늦어집니다.

가장 기본은 리스크 목록의 한 행입니다. 회사를 흔들 수 있는 위험을 모아 둔 표에서 규제 위험은 다른 유형과 나란히 놓여 점수로 순서가 매겨집니다. 분기마다 다시 읽으면서 점수가 올라간 항목에만 사람을 붙입니다.

새 시장이나 새 산업에 들어갈지 판단할 때도 쓰입니다. 의료나 금융처럼 규정이 촘촘한 영역에서는 이 항목 하나가 진입 여부를 가릅니다. 들어가기로 정했다면 어떤 자격이나 신고가 필요한지는 사업 규제 쪽에서 확인합니다. 사업을 하려면 지켜야 하는 법과 신고 의무를 모아 둔 영역입니다.

제품을 설계하는 자리에서도 앞당겨 씁니다. 자료를 어디에 저장하고 어떤 항목을 수집할지는 만든 뒤에 바꾸기 어려운 결정입니다. 개인정보보호법이 요구하는 조건을 설계 단계에서 한 번 훑어 두면, 나중에 규정이 바뀌어도 고칠 자리가 좁습니다.

기업 고객을 상대하는 회사에서는 계약 심사에서 마주칩니다. 고객사의 법무가 우리가 규정을 어떻게 지키는지를 묻고, 답이 정리되어 있지 않으면 계약이 몇 주 밀립니다. 대응이 늦어 계약을 놓친 사실이 알려지면 평판 위험으로 번지기도 합니다.

"이건 규제 위험으로 올려 두겠습니다. 시행은 내년이지만 준비에 두 분기가 필요해요."

지금 할 일은 아니지만 착수 시점을 지금 정해야 한다는 뜻입니다.

"지금은 위반이 아닙니다. 개정안이 통과되면 위반이 됩니다."

현재 상태와 앞으로의 위험을 구분해 달라는 말입니다.

"규제 위험 점수가 20으로 표에서 가장 높습니다. 다음 분기에 담당을 붙이죠."

여러 위험 가운데 순서가 제일 앞으로 왔다는 판단입니다.

페이지덱은 분기 리스크 점검에서 개인정보 국외 이전 조건이 강화되는 개정 논의를 한 행으로 올렸습니다. 페이지덱의 문서 자료는 해외 클라우드 지역에 저장돼 있었고, 개정안이 통과되면 국내에 저장하는 선택지를 제공해야 하는 상황이었습니다.

규원이 태오에게 기간을 물었고 답은 두 분기였습니다. 시행 예정일에서 두 분기를 뺀 시점이 그해 4분기였으므로, 항목은 그대로 두는 대신 4분기 착수 항목으로 적혔습니다. 실제로 개정안은 이듬해에 통과했고, 그때 이미 준비가 절반 넘게 진행된 상태였습니다.

법이 바뀌면 그때 대응하면 된다고 생각하는 경우가 가장 많습니다. 유예 기간이 붙어 있으니 그 안에 하면 된다는 계산이라 자연스럽습니다. 하지만 유예 기간과 준비 기간은 같지 않습니다. 계약을 다시 맺고 저장 구조를 바꾸는 일에는 몇 달이 들고, 그 몇 달은 유예 기간 안에 들어가야 합니다. 시행일에 준비가 안 된 회사는 그날부터 새 계약을 팔 수 없는 상태가 됩니다.

지금 법을 어기고 있는 상태를 가리키는 말로 읽는 오해도 흔합니다. 위험이라는 단어가 잘못을 뜻하는 것처럼 들리기 때문입니다. 그런데 이 항목이 다루는 것은 지금은 합법인데 앞으로 막히거나 비용이 늘어날 가능성입니다. 두 가지를 섞어 두면 법무가 "현재 위반 사항 없습니다" 라고 답한 시점에 항목이 표에서 지워지고, 준비는 시행 직전까지 시작되지 않습니다.