모두가 위험 관리 분야에 AI를 원하지만, 이를 실제로 적용할 준비가 된 사람은 드뭅니다.

모두가 인공지능(AI) 도입 경쟁에 뛰어들고 있습니다. 하지만 제3자 위험 관리(TPRM) 분야에서는 이러한 경쟁 자체가 가장 큰 위험이 될 수 있습니다.

AI는 구조에 의존합니다. 즉, 깨끗한 데이터, 표준화된 프로세스, 그리고 일관된 결과가 필요합니다. 그러나 대부분의 TPRM 프로그램은 이러한 기반을 갖추지 못하고 있습니다. 어떤 조직은 전담 위험 관리 책임자, 명확하게 정의된 프로그램, 그리고 디지털화된 데이터를 보유하고 있습니다. 반면, 어떤 조직은 스프레드시트와 공유 드라이브를 통해 임시방편으로 위험을 관리합니다. 어떤 조직은 엄격한 규제 감독 하에 운영되는 반면, 어떤 조직은 훨씬 더 큰 위험을 감수합니다. 모든 프로그램이 똑같지는 않으며, 15년이라는 시간이 흘렀음에도 불구하고 성숙도는 여전히 천차만별입니다.

이러한 가변성 때문에 TPRM에서 AI 도입은 속도나 획일성을 통해 이루어지지 않을 것입니다. AI 도입은 체계적인 접근을 통해 이루어지며, 그 체계는 프로그램의 현재 상태, 목표 및 위험 감수 능력에 대해 현실적으로 접근하는 것에서 시작됩니다.

내 프로그램이 AI를 지원할 준비가 되었는지 확인하는 방법

모든 조직이 AI를 도입할 준비가 되어 있는 것은 아니며, 그것은 괜찮습니다. 최근 MIT 연구에 따르면 GenAI 프로젝트의 95%가 실패하고 있습니다.가트너에 따르면, 기술 구매자의 79% 그들은 프로젝트 계획이 제대로 세워지지 않았기 때문에 최근 구매를 후회한다고 말합니다.

TPRM에서 AI 준비 상태는 스위치를 켜고 끄는 것처럼 간단하게 결정되는 것이 아닙니다. 이는 점진적인 발전 과정이며, 프로그램의 구조, 연계성, 관리 체계를 반영하는 지표입니다. 대부분의 조직은 임시방편적인 방식부터 민첩한 방식까지 다양한 성숙도 곡선 어딘가에 위치하며, 현재 위치를 파악하는 것이 AI를 효과적이고 책임감 있게 활용하는 첫걸음입니다.

초기 단계의 위험 관리 프로그램은 대부분 수작업으로 이루어지며, 스프레드시트, 내부 기억, 그리고 분산된 소유권에 의존합니다. 공식적인 방법론이나 제3자 위험에 대한 일관된 감독 체계는 미흡합니다. 공급업체 정보는 이메일 스레드나 몇몇 핵심 인물의 머릿속에만 존재하며, 이러한 방식은 문제가 발생하기 전까지는 어느 정도 작동합니다. 이러한 환경에서 AI는 잡음과 통찰력을 구분하는 데 어려움을 겪을 것이며, 기술은 불일치를 제거하기보다는 오히려 증폭시킬 것입니다.

프로그램이 성숙해짐에 따라 구조가 형성되기 시작합니다. 워크플로가 표준화되고, 데이터가 디지털화되며, 부서 간 책임 범위가 확대됩니다. 이때부터 AI가 진정한 가치를 더하기 시작합니다. 그러나 잘 정의된 프로그램조차도 종종 부서 간에 고립되어 가시성과 통찰력을 제한하는 경우가 많습니다.

진정한 준비 태세는 부서 간 장벽이 허물어지고 거버넌스가 공유될 때 비로소 나타납니다. 통합적이고 민첩한 프로그램은 기업 전반에 걸쳐 데이터, 자동화 및 책임성을 연결하여 AI가 기반을 다질 수 있도록 지원합니다. 이를 통해 단절된 정보를 지능으로 전환하고 더욱 빠르고 투명한 의사 결정을 지원할 수 있습니다.

현재 위치와 목표를 이해함으로써, 인공지능을 단순한 희망사항에서 진정한 시너지 효과를 내는 도구로 전환하는 토대를 구축할 수 있습니다.

프로그램이 성숙했더라도 모든 경우에 단일 솔루션이 적합하지 않은 이유

두 회사 모두 민첩한 위험 관리 프로그램을 갖추고 있더라도 AI 구현을 위한 동일한 방향을 설정하거나 동일한 결과를 얻지는 못할 것입니다. 모든 회사는 서로 다른 제3자 네트워크를 관리하고, 고유한 규정 하에서 운영되며, 감수하는 위험 수준이 다르기 때문입니다.

예를 들어 은행은 제3자 아웃소싱 업체가 제공하는 서비스 내 데이터 개인정보 보호 및 보안과 관련하여 엄격한 규제 요건을 준수해야 합니다. 따라서 오류, 시스템 장애 또는 데이터 유출에 대한 위험 허용치는 거의 0에 가깝습니다. 반면 소비재 제조업체는 유연성이나 속도를 확보하기 위해 더 큰 운영 위험을 감수할 수 있지만, 중요한 납품 일정에 영향을 미치는 차질은 절대 용납할 수 없습니다.

각 조직의 위험 감수 수준은 목표 달성을 위해 감수할 수 있는 불확실성의 정도를 정의하며, TPRM(기술 기반 위험 관리)에서는 그 경계선이 끊임없이 변화합니다. 바로 이러한 이유 때문에 기성 AI 모델은 제대로 작동하지 않는 경우가 많습니다. 이처럼 변수가 많은 영역에 일반적인 모델을 적용하면 명확성을 확보하기보다는 사각지대가 발생하게 되므로, 목적에 맞게 설계되고 구성 가능한 솔루션이 더욱 필요합니다.

AI를 활용하는 더 스마트한 접근 방식은 모듈식입니다. 데이터가 풍부하고 목표가 명확한 곳에 AI를 배포한 다음, 거기서부터 확장해 나가세요. 일반적인 사용 사례는 다음과 같습니다.

• 공급업체 조사: AI를 활용하여 수천 개의 잠재적 공급업체를 선별하고, 향후 프로젝트에 가장 위험도가 낮고, 역량이 뛰어나며, 지속 가능한 파트너를 찾아내세요.
• 평가: 인공지능(AI)을 활용하여 공급업체 문서, 인증서 및 감사 증거를 평가하세요. 모델은 위험을 나타낼 수 있는 불일치 또는 이상 징후를 표시하여 분석가가 가장 중요한 사항에 집중할 수 있도록 지원합니다.
• 회복력 계획 수립: 인공지능(AI)을 활용하여 공급망 교란의 파급 효과를 시뮬레이션해 보세요. 특정 지역에 대한 제재나 특정 물질에 대한 규제 금지가 공급망에 어떤 영향을 미칠까요? AI는 복잡한 무역, 지리, 의존성 데이터를 처리하여 결과를 모델링하고 비상 계획을 강화할 수 있습니다.

이러한 사용 사례들은 의도적으로 배포되고 거버넌스의 지원을 받을 때 각각 가치를 창출합니다. 위험 관리 및 공급망 관리에서 AI를 통해 진정한 성공을 거두는 조직은 자동화를 가장 많이 도입한 조직이 아닙니다. 오히려 소규모로 시작하여 의도적으로 자동화하고, 지속적으로 조정하는 조직입니다.

TPRM에서 책임감 있는 AI 구축을 향하여

조직들이 TPRM(기술 기반 위험 관리)에 AI를 도입하기 시작하면서, 가장 효과적인 프로그램은 혁신과 책임성을 균형 있게 조화시켜야 합니다. AI는 감독을 대체하는 것이 아니라 강화해야 합니다.

제3자 위험 관리에서 성공은 단순히 공급업체를 얼마나 빨리 평가할 수 있는지로만 측정되는 것이 아닙니다. 위험을 얼마나 정확하게 식별하고 시정 조치를 얼마나 효과적으로 실행했는지로 측정됩니다. 공급업체가 문제를 일으키거나 규정 준수 문제가 언론의 주목을 받을 때, 사람들은 프로세스가 얼마나 효율적이었는지 묻지 않습니다. 오히려 어떻게 관리되었는지를 묻습니다.

그 질문은,어떻게 통치되는가?인공지능(AI)은 빠르게 세계화되고 있습니다. AI 도입이 가속화됨에 따라 전 세계 규제 당국은 "책임감 있는"이라는 단어의 의미를 매우 다양한 방식으로 정의하고 있습니다. EU AI 법 위험 기반 프레임워크를 통해 고위험 시스템에 대한 투명성과 책임성을 요구하는 기조를 설정했습니다. 이와 대조적으로, 미국은 보다 분권화된 경로를 따르고 있다.혁신을 강조하는 동시에 자발적인 기준도 함께 고려합니다. NIST AI 위험 관리 프레임워크일본, 중국, 브라질을 포함한 다른 지역들은 인권, 감독, 국가적 우선순위를 결합하여 독자적인 AI 거버넌스 모델을 개발하고 있습니다.

글로벌 기업에게 이러한 서로 다른 접근 방식은 새로운 차원의 복잡성을 야기합니다. 유럽에서 사업을 운영하는 업체는 엄격한 보고 의무에 직면할 수 있는 반면, 미국에서 사업을 운영하는 업체는 다소 완화되었지만 여전히 변화하는 기대치를 충족해야 할 수도 있습니다. "책임 있는 AI"에 대한 각 정의는 위험을 평가, 모니터링 및 설명하는 방식에 미묘한 차이를 더합니다.

리스크 관리 책임자는 투명성과 통제력을 유지하면서 변화하는 규제에 유연하게 대응할 수 있는 적응력 있는 감독 체계를 필요로 합니다. 가장 앞선 프로그램들은 거버넌스를 TPRM 운영에 직접 통합하여, 관할권에 관계없이 모든 AI 기반 결정에 대한 설명, 추적 및 방어가 가능하도록 보장하고 있습니다.

시작하기

책임감 있는 AI를 현실로 구현하려면 정책 선언만으로는 부족합니다. 깨끗한 데이터, 명확한 책임 소재, 지속적인 감독이라는 올바른 토대를 마련해야 합니다. 구체적인 방안은 다음과 같습니다.

• 처음부터 표준화하십시오. 자동화에 앞서 깨끗하고 일관된 데이터와 정렬된 프로세스를 구축하십시오. AI를 위험 관리 프로그램에 단계적으로 통합하는 접근 방식을 구현하고, 각 단계를 테스트, 검증 및 개선한 후 확장하십시오. 데이터 무결성, 개인정보 보호 및 투명성을 처음부터 최우선 과제로 삼으십시오. 추론 과정을 설명할 수 없거나 검증되지 않은 입력에 의존하는 AI는 위험을 줄이기보다는 오히려 위험을 초래합니다.
• 작게 시작하고 자주 실험해 보세요. 성공은 속도에 달려 있지 않습니다. 구체적이고 잘 이해된 문제에 AI를 적용하는 통제된 파일럿 프로젝트를 시작하세요. 모델의 성능, 의사 결정 과정, 그리고 책임자를 명확하게 문서화하십시오. 데이터 품질, 개인정보 보호, 규제 장벽 등 대부분의 생성형 AI 프로젝트가 비즈니스 가치를 창출하지 못하게 하는 핵심적인 과제를 파악하고 해결하십시오.
• 언제나 통치하라. AI는 혼란을 야기하는 것이 아니라, 혼란을 예측하는 데 도움을 주어야 합니다. AI를 다른 모든 위험 요소와 마찬가지로 취급해야 합니다. 조직과 외부 협력업체가 AI를 어떻게 활용하는지 평가하기 위한 명확한 정책을 수립하고 내부 전문가를 확보해야 합니다. 전 세계적으로 규제가 진화함에 따라 투명성은 필수적입니다. 위험 관리 책임자는 모든 AI 기반 인사이트의 데이터 출처와 논리를 추적할 수 있어야 하며, 이를 통해 규제 기관, 이사회, 그리고 대중의 검토를 통과할 수 있도록 의사결정의 타당성을 보장해야 합니다.

TPRM(기술 기반 위험 관리)에서 AI를 구현하는 데에는 보편적인 청사진이 없습니다. 각 기업의 성숙도, 규제 환경, 위험 감수 수준에 따라 AI 구현 방식과 가치 창출 방식이 달라지지만, 모든 프로그램은 명확한 의도를 가지고 설계되어야 합니다. 준비된 부분은 자동화하고, 자동화된 부분은 관리하며, 기술과 관련 규정이 발전함에 따라 지속적으로 적응해야 합니다.