전사적 리스크 관리: 체계적인 프레임워크

회사의 한 구석에 있는 위험은 다른 구석의 위험과 만나기 전까지는 무해해 보일 수 있습니다. 신용이 경직되고, 유동성이 얇아지고, 운영에 균열이 생기면 — 갑자기 여러분은 세 개의 작은 문제를 다루는 것이 아니라 하나의 큰 문제를 다루게 됩니다.

전사적 리스크 관리(ERM)는 이러한 연결 관계를 의도적으로 지도화하려는 시도입니다: 노출 자산의 단일 목록, 공유된 언어, 명시적인 리스크 선호도, 그리고 "아니오"라고 말할 수 있는 사람들에게 도달하는 보고 체계입니다.

Barings와 Enron은 윤리 교훈으로 가르쳐지지만, 이는 동시에 회로 도면이기도 합니다 — 통제 장치들은 여기저기 흩어져 존재했지만, 아무도 그 전체 회로를 보지 못했습니다.

규제받는 금융 업계에서 ERM은 기본 전제조건입니다. 레버리지, 코드, 커스터디를 뒤섞는 크립토 회사들에게 이를 건너뛰는 것은 "빠르게 움직이는 것"이 아니라 남의 돈을 들고 눈을 감고 나는 것입니다.

COSO(2017년 개정판)는 공통 교과서 구조입니다: 거버넌스, 전략, 성과, 검토, 보고를 하나의 순환 구조로 — 1년에 한 번 파일링하고 끝내는 다섯 단계 체크리스트가 아닙니다.

• 거버넌스와 문화 — 이사회의 위임, 최고 경영진으로부터 시작되는 태도, 나쁜 소식을 숨기는 것에 보상하지 않는 인센티브 구조입니다.
• 전략과 목표 — 문서화된 리스크 선호도, 자본과 유동성 가드레일과 상충하지 않는 성장 목표입니다.
• 성과 — 식별하고, 평가하고, 우선순위를 정하며, 수용, 회피, 축소, 이전으로 대응합니다.
• 검토와 개정 — 새로운 상품, 새로운 해킹 수법, 새로운 규제 당국: 그 지도는 계속 갱신되어야 합니다.
• 정보와 보고 — 아직 대응할 여지가 있을 때 도달하는 에스컬레이션입니다.

1선(First line) — 사업을 실제로 운영하는 데스크와 빌더들입니다. 이들은 위험과 1차 통제 장치를 소유합니다: 한도, 대조 확인, 코드 리뷰 습관 등입니다.

2선(Second line) — 이번 분기 보너스 풀을 걱정하지 않고 1선에 이의를 제기할 수 있는 보고 라인을 갖춘 리스크 및 컴플라이언스 부서입니다.

3선(Third line) — 감사위원회에 보고하는 내부 감사입니다. 이들은 앞선 두 개의 선이 실제로 작동하는지 점검합니다.

2선이 존재하지 않거나 트레이딩 조직 안으로 보고 라인이 들어가 있다면, 이는 미묘한 거버넌스상의 뉘앙스가 아니라 예산까지 딸린 사각지대입니다. 여러 크립토 파산 사례는 제대로 작동하는 2선이 있었다면 조기에 지적했을, 지루할 정도로 흔한 집중도와 레버리지 문제였습니다.

시장 리스크 — 가격이 여러분에게 불리하게 움직입니다: 금리, 환율, 주식, 원자재, 토큰 마크(marks)입니다.

신용 리스크 — 누군가 지불하지 않습니다: 대출, OTC, 거래소의 거래상대방, 대출 장부의 부실채권입니다.

운영 리스크 — 사람, 프로세스, 시스템입니다: 버그, 사기, 키 관리, 장애입니다. 바젤(Basel)은 은행을 위해 이를 공식적인 자본 요건으로 규정했습니다. 그 직관은 어디에나 적용됩니다.

유동성 리스크 — 시장에 불리한 영향을 주지 않고는 자금을 조달하거나 포지션을 정리할 수 없는 상황입니다.

컴플라이언스 리스크 — 여러분이 어긴 규정은 벌금, 라이선스 상실, 명성 손실이라는 대가를 치릅니다. 크립토에서는 그 규정 체계가 여전히 계속 바뀌고 있습니다 — 이는 컴플라이언스 노출 범위를 줄이는 것이 아니라 넓힙니다.

바젤은 규제 당국이 ERM을 은행을 위한 최소 수치로 바꾸는 방식입니다: CET1(보통주자본) 버퍼, 레버리지 하한선, LCR/NSFR 유동성 규정입니다. 여러분이 바젤 보고서를 직접 제출할 일은 결코 없을지 모르지만, 그 아이디어들은 프라임 브로커와 대출기관이 여러분을 대하는 방식에 여전히 스며들어 있습니다.

백업되지 않은(unbacked) 크립토는 은행의 재무상태표에서 국제 지침상 엄격하게 다뤄져 왔습니다 — 매우 높은 위험가중치를 떠올리면 됩니다. 이는 활동을 비은행 경로로 밀어내고 누가 그 위험을 떠안을 수 있는지를 바꿉니다.

개인적으로 얻을 교훈: 레버리지를 유동성에 맞추고, 여유분을 유지하고, 거래상대방을 알아두세요 — 스프레드시트 없이도, 바젤과 같은 어휘입니다.

핵심 리스크 지표(KRI) — 임계값을 갖춘 작은 지표 세트를 선택하세요: 인출 압력, 페어 집중도, 청산 빈도, 지연시간 SLO, 관할권별 규제 신고 현황입니다. 위반 시 에스컬레이션 경로가 작동해야 하며, 어깨를 으쓱하는 이모지로 끝나서는 안 됩니다.

리스크 선호도는 문서화되어야 합니다: 고객 자산으로 하지 않을 일이 무엇인지, 자기자본 위험을 어디까지는 절대 감당하지 않는지, 목표로 하는 가동률이 무엇인지입니다. 모호함이 바로 자산 혼합(commingling)이 시작되는 지점입니다.

문화 — 아차 사고(near-miss)는 사후 분석의 대상이 됩니다. 반대 의견 채널 없이 "무슨 수를 써서라도 출시하라"는 태도는 매번 똑같은 방식으로 끝납니다.

GaiaEx는 비수탁형 정산과 MPC 방식의 키 관리에 기반을 두고 있어서, "하나의 데이터베이스, 한 명의 책임자"라는 실패 유형의 큰 부류가 애초에 같은 형태로 발생하지 않습니다. 시장 리스크, 계약 리스크, 규제 리스크는 여전히 존재합니다 — 이들은 다른 어느 곳과 마찬가지로 똑같은 모니터링 규율을 필요로 합니다.