정책 리스크 평가표를 만들었지만 모든 항목이 ‘중간 위험’으로 표시된다면, 매트릭스가 없는 것과 크게 다르지 않습니다. 정책 리스크 평가 매트릭스 작성법의 핵심은 위험을 정확히 예언하는 데 있지 않습니다. 제한된 예산과 인력을 어떤 위험에 먼저 배분할지, 누가 언제까지 무엇을 확인할지 결정할 수 있어야 합니다.
이를 위해서는 발생 가능성과 영향도의 등급 기준을 먼저 정의하고, 판단 근거와 불확실성을 함께 기록해야 합니다. 아래에서는 평가 범위 설정부터 3×3·5×5 매트릭스 구성, 고유 리스크와 잔여 리스크 구분, 대응 과제와 조기경보 지표 지정까지 실무 순서대로 설명합니다.
정책 리스크 평가 매트릭스란 무엇인가
정책 리스크 평가 매트릭스는 정책 목표 달성을 방해할 사건을 식별하고, 각 사건의 발생 가능성과 영향도를 등급화해 우선순위를 비교하는 도구입니다. 예를 들어 법령 정비 지연, 예산 부족, 대상자의 낮은 참여율, 지역별 서비스 격차가 예상된다면 동일한 기준으로 평가한 뒤 대응이 시급한 항목을 구분할 수 있습니다.
일반적인 운영 리스크가 내부 절차, 시설, 정보시스템 또는 재무 손실에 집중하는 경우가 많다면 정책 리스크는 사회적 수용성, 형평성, 법적 정합성, 전달체계, 이해관계자 갈등과 장기적인 파급효과까지 살펴야 합니다. 정책 자체뿐 아니라 집행 과정과 정책 대상자에게 나타날 결과도 평가 범위에 들어갑니다.
발생 가능성과 사건 발생 시 결과를 결합해 위험 수준을 판단하고, 식별·평가·대응·모니터링을 연결하는 접근은 영국 재무부의 Orange Book 위험관리 지침에서도 확인할 수 있습니다. 다만 이 지침이나 특정 기관의 등급표가 모든 국내 정책기관에 그대로 적용되는 의무 기준은 아닙니다.
평가표를 만들기 전에 결정할 세 가지
정책 목표와 평가 범위를 한 문장으로 적는다
먼저 평가 대상, 목표, 정책 수단, 대상 집단과 집행 지역을 명확히 합니다. ‘청년 지원 정책의 위험’처럼 넓게 잡지 말고 ‘신청 절차 간소화를 통해 대상자의 제도 접근률을 높이는 사업의 설계 및 시행 위험’처럼 범위를 구체화하는 편이 좋습니다. 평가 범위가 모호하면 정책 효과에 관한 위험과 기관 운영상의 문제가 한 표에 뒤섞입니다.
평가 시점과 시간 범위를 고정한다
같은 위험도 준비 단계, 시행 초기, 전국 확대 단계에서 가능성과 영향도가 달라집니다. 따라서 ‘시행 전 향후 12개월’처럼 기준 시점과 판단 기간을 평가표 상단에 기록합니다. 장기 위험은 별도 열에 3년 또는 5년 전망을 추가하되, 단기 점수와 혼합하지 않습니다.
리스크 범주와 이해관계자를 빠짐없이 펼친다
재정, 법률·규제, 집행 역량, 데이터·정보보호, 정책 수용성, 형평성, 서비스 접근성, 평판, 외부 환경으로 범주를 나누면 누락을 줄일 수 있습니다. 정책 대상자, 현장 집행기관, 지방정부, 공급기관, 취약집단 등 영향을 받거나 실행에 관여하는 주체도 함께 적습니다. 범주는 위험도를 계산하는 점수가 아니라 탐색을 돕는 분류 체계입니다.
발생 가능성과 영향도 기준을 일관되게 정하는 법
평가자는 점수를 부여하기 전에 각 등급이 무엇을 뜻하는지 합의해야 합니다. ‘가능성이 높아 보인다’는 감각적 표현만 사용하면 부서마다 3점의 의미가 달라집니다. 과거 자료가 있다면 발생 빈도나 관측 비율을 참고하고, 자료가 부족하면 전문가 판단을 사용하되 근거와 신뢰 수준을 함께 기록합니다.
| 5단계 | 발생 가능성 판단 기준 예시 | 영향도 판단 기준 예시 |
|---|---|---|
| 1 매우 낮음 | 평가 기간에 발생할 징후가 거의 없고 선행 사례도 드묾 | 목표와 서비스에 미치는 영향이 제한적이며 일상 절차로 회복 가능 |
| 2 낮음 | 발생 조건은 있으나 현재 확인된 징후가 약함 | 일부 일정이나 대상자에게 영향이 있으나 범위가 국지적임 |
| 3 보통 | 발생을 뒷받침하는 징후와 반대 근거가 함께 존재함 | 핵심 성과 일부가 지연되거나 추가 자원과 조정이 필요함 |
| 4 높음 | 유사 사례와 현재 지표가 발생 가능성을 상당히 뒷받침함 | 주요 목표, 취약집단 또는 전달체계에 중대한 차질이 예상됨 |
| 5 매우 높음 | 이미 발생 중이거나 평가 기간 내 발생을 강하게 시사하는 증거가 있음 | 정책 목표의 근본적 훼손, 광범위한 사회적 피해 또는 중대한 법적 문제가 예상됨 |
이 표의 문구는 출발점일 뿐입니다. 가능하면 기관의 실제 의사결정 단위에 맞춰 기간, 대상자 범위, 일정 지연, 서비스 중단 수준 등 관찰 가능한 경계값을 붙입니다. 영향도는 비용만으로 판단하지 말고 법률, 안전, 형평성, 접근성, 수용성, 평판과 회복 가능성을 함께 검토합니다. 여러 영향 가운데 가장 중대한 결과를 점수로 사용하거나 영역별 점수를 병기하는 방식 중 하나를 미리 선택해야 합니다.
정책 리스크 평가 매트릭스 작성법 6단계
1. 위험을 원인·사건·결과로 작성한다
‘주민 반대’처럼 명사만 적으면 평가 대상이 불명확합니다. ‘사전 의견수렴이 충분하지 않아 일부 지역의 참여가 감소하고 시범사업 일정이 지연될 수 있다’처럼 원인, 발생 가능한 사건, 정책 목표에 미칠 결과를 연결합니다. 원인과 결과를 별도 위험으로 중복 등록하지 않는 것도 중요합니다.
2. 현재 통제 전의 고유 리스크를 평가한다
고유 리스크는 통제나 대응책이 없다고 가정했을 때의 위험 수준입니다. 가능성 4, 영향도 5라면 단순 곱셈 방식에서는 20점입니다. 이 점수는 위험 자체의 크기를 보여주지만 정책 중단 여부를 자동으로 결정하지는 않습니다.
3. 기존 통제의 실효성을 확인한다
관련 법률 검토, 시범사업, 예산 예비비, 현장 교육, 민원 대응 절차처럼 이미 마련된 통제를 적습니다. ‘대응 체계 있음’으로 끝내지 말고 실제 작동 여부, 적용 범위, 담당 부서와 증빙 자료를 확인합니다. 문서만 존재하고 훈련이나 점검 기록이 없다면 통제가 충분히 작동한다고 가정해서는 안 됩니다.
4. 통제 후의 잔여 리스크를 다시 평가한다
잔여 리스크는 기존 통제를 적용한 뒤에도 남는 위험입니다. 고유 리스크가 4×5였더라도 검증된 통제로 가능성이 3으로 낮아지면 잔여 리스크는 3×5로 기록할 수 있습니다. 점수가 내려간 이유와 근거를 적어야 하며, 통제가 영향도를 낮추는지 가능성만 낮추는지도 구분합니다.
5. 점수와 정책 판단을 함께 사용한다
5×5 표에서는 가능성과 영향도의 곱을 활용해 1~4 낮음, 5~9 주의, 10~16 높음, 17~25 매우 높음처럼 구간을 정할 수 있습니다. 그러나 취약집단에 회복하기 어려운 피해를 주거나 법적 허용 범위를 벗어날 가능성이 있다면 총점이 낮아도 우선 검토 대상으로 올릴 수 있습니다. 위험수용도, 통제 가능성, 대응 비용과 정책 편익도 함께 비교합니다.
6. 담당자와 조기경보 지표를 지정한다
각 상위 위험에는 의사결정 권한을 가진 책임자, 실행 담당자, 완료 기한, 점검 주기를 배정합니다. ‘민원 증가’보다 ‘주간 이의신청 건수’, ‘지역별 신청 완료율 격차’, ‘처리 기한 초과 비율’처럼 변화를 관찰할 수 있는 지표가 유용합니다. 경보 기준을 넘으면 누구에게 보고하고 어떤 대응을 시작할지도 적습니다.
3×3과 5×5 가운데 무엇을 선택할까
3×3 매트릭스는 낮음·보통·높음으로 구분하므로 평가 경험이 적거나 위험 항목이 많지 않은 시범사업에 적합합니다. 빠르게 합의할 수 있고 등급 간 차이를 설명하기 쉽지만, 위험이 가운데 등급에 몰리면 우선순위 구분력이 떨어질 수 있습니다.
5×5 매트릭스는 유사한 위험을 더 세밀하게 분리하고 통제 전후의 변화를 표현하기 좋습니다. 반면 2점과 3점, 3점과 4점을 구별할 자료와 기준이 없다면 정밀해 보이는 숫자만 늘어납니다. 기관 규모보다 평가 자료의 품질, 참여자의 숙련도, 실제 의사결정에 필요한 구분 수준을 기준으로 선택하는 것이 합리적입니다.
가상 정책 사례로 작성 결과 확인하기
다음은 실제 통계나 정부사업이 아닌 ‘지역 생활지원 통합신청 시범정책’이라는 가상 사례입니다. 목표는 여러 지원 서비스의 신청 절차를 하나로 묶어 접근성을 개선하는 것입니다. 5×5 기준을 사용하며, 아래 점수는 작성 방법을 보여주기 위한 가상 값입니다.
| 리스크 사건 | 고유 위험 | 기존 통제 | 잔여 위험 | 추가 대응과 지표 |
|---|---|---|---|---|
| 기관 간 데이터 기준 불일치로 자격 확인이 지연될 수 있음 | 4×4=16, 높음 | 공통 항목 정의와 시험 연계 | 3×4=12, 높음 | 오류 유형별 검증, 연계 실패율 주간 점검 |
| 온라인 중심 신청으로 디지털 취약계층의 접근성이 낮아질 수 있음 | 4×5=20, 매우 높음 | 전화 및 방문 창구 운영 | 3×5=15, 높음 | 현장 보조인력 배치, 연령·지역별 완료율 확인 |
| 업무량 예측 오차로 문의 처리 기한이 늘어날 수 있음 | 3×3=9, 주의 | 초기 상담 인력 확보 | 2×3=6, 주의 | 대기 건수 기준 탄력 배치, 처리시간 일일 확인 |
이 사례에서는 잔여 점수 15인 접근성 위험을 우선 대응 대상으로 둘 가능성이 큽니다. 다만 데이터 오류가 법적 권리나 급여 결정에 직접 영향을 준다면 담당 회의에서 별도의 상향 판단을 할 수 있습니다. 점수 순서와 최종 정책 우선순위가 반드시 일치하는 것은 아닙니다.
바로 복사해 쓰는 정책 리스크 평가표
| ID | 범주 | 원인·사건·결과 | 근거와 불확실성 | 고유 가능성 | 고유 영향도 | 기존 통제 | 잔여 가능성 | 잔여 영향도 | 등급 | 추가 대응 | 책임자 | 조기경보 지표 | 재평가일 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| R-01 | 예: 형평성 | 원인 때문에 사건이 발생해 정책 목표에 결과를 초래할 수 있음 | 자료 출처, 전문가 판단, 신뢰 수준 | 1~5 | 1~5 | 현재 운영 중인 통제와 증빙 | 1~5 | 1~5 | 낮음·주의·높음·매우 높음 | 행동, 기한, 필요 자원 | 직위 또는 부서 | 지표와 경보 기준 | YYYY-MM-DD |
낮은 위험은 정기 관찰, 주의 등급은 담당 부서의 개선계획과 추적, 높은 위험은 책임자 승인과 기한이 있는 추가 통제, 매우 높은 위험은 즉시 상위 의사결정과 정책 대안 검토 대상으로 정할 수 있습니다. 이 대응 기준도 기관의 위험수용도와 정책의 공익적 편익에 맞게 승인받아야 합니다.
주관성과 이해관계자 편향을 줄이는 방법
- 개별 선평가 후 합의합니다. 참여자가 먼저 독립적으로 점수를 매긴 뒤 차이가 큰 항목의 근거를 토론하면 직급이나 발언 순서의 영향을 줄일 수 있습니다.
- 근거 수준을 별도로 표시합니다. 행정자료, 조사 결과, 유사 사례, 전문가 판단 중 무엇을 사용했는지 기록하고 신뢰 수준을 높음·보통·낮음으로 구분합니다.
- 정책 대상자의 관점을 포함합니다. 설계 부서만 참여하면 접근성이나 형평성 위험이 과소평가될 수 있으므로 현장 집행자와 영향을 받는 집단의 의견을 함께 확인합니다.
- 점수 차이를 숨기지 않습니다. 합의가 어려우면 평균값으로 덮기보다 최고·최저 점수와 이견의 이유를 남겨 의사결정자가 불확실성을 볼 수 있게 합니다.
- 극단적 영향에는 별도 규칙을 둡니다. 가능성이 낮아도 안전, 기본권 또는 회복하기 어려운 피해와 연결된다면 상향 검토하도록 예외 기준을 정합니다.
자주 발생하는 오류와 수정 방법
첫째, 색상만 보고 위험을 확정하는 오류입니다. 빨강·노랑·초록은 시각적 보조 수단이며 색각 차이나 흑백 출력도 고려해야 합니다. 점수와 문자 등급을 함께 표시하고 최종 판단 이유를 문장으로 남깁니다.
둘째, 위험 항목마다 서로 다른 암묵적 기준을 쓰는 오류입니다. 한 항목은 1년, 다른 항목은 5년을 기준으로 평가하면 점수를 비교할 수 없습니다. 공통 평가 기간과 등급 정의를 적용하되, 안전이나 법률처럼 별도 기준이 필요한 영역은 예외 규칙을 명시합니다.
셋째, 시행 전 한 번 평가하고 종료하는 오류입니다. 정책 환경과 이해관계자 반응은 시간에 따라 변하므로 시범 시행, 중간 점검, 확대 시행 시점에 잔여 리스크를 재평가해야 합니다. 대응책 완료 여부뿐 아니라 실제로 가능성이나 영향도가 낮아졌는지 확인합니다.
넷째, 매트릭스를 정책 영향평가와 분리하는 오류입니다. 위험표는 정책 목표와 대안을 대신하지 않습니다. 문제 정의, 대안별 비용·편익, 실행 가능성, 모니터링 계획을 검토하는 정책 영향평가 안에서 활용해야 합니다. 이러한 연결 방식은 OECD의 규제영향평가 안내에서도 강조되는 접근입니다.
평가 결과를 실제 의사결정으로 연결하기
정책 리스크 평가 매트릭스 작성법을 제대로 적용하려면 표의 완성보다 후속 결정이 중요합니다. 상위 위험마다 수용, 감소, 이전, 회피 또는 비상계획 마련 중 적절한 대응을 선택하고, 필요한 예산과 권한을 배정해야 합니다. 대응 비용이 정책 편익보다 큰지, 다른 위험을 새로 만들지는 않는지도 검토합니다.
마지막으로 정책 적용 전 고유 리스크와 예상 잔여 리스크를 기준선으로 저장하고, 시행 후 실제 지표로 점수를 갱신합니다. 위험 사건, 판단 근거, 불확실성, 담당자, 경보 기준과 재평가일이 한 표에서 이어질 때 매트릭스는 단순한 색상표를 넘어 정책 자원을 우선 배분하는 실무 도구가 됩니다.