美 법무부, 컴플라이언스 평가 개정안 발표··· 전문가 “부서 간 협업 중요한 시점”

최근 미국 법무부(DoJ)가 기업 컴플라이언스 프로그램 평가 지침(ECCP)의 개정안을 발표했다. 미국 내 CIO와 고위 경영진들은 더욱 엄격한 새로운 규정을 준수해야 한다.

지난 23일 텍사스주 그레이프바인에서 니콜 M. 아르젠티에리 법무부 차관보가 발표한 개정안에 대해 가트너(Gartner)는 “컴플라이언스 담당자는 직원들의 책임감 있는 AI 사용에 대해 명확한 지침을 제공해야 한다는 요구에 직면하게 될 것”이라고 설명했다.

아르젠티에리는 기업 컴플라이언스 윤리 협회(SCCE) 회원을 대상으로 한 연설에서 이번 개정안에 대해 “기업들이 AI와 같은 새로운 기술을 비즈니스와 컴플라이언스 프로그램에서 사용할 때 관련 위험을 어떻게 평가하고 관리하는지도 기준에 포함된다”라고 언급했다.

그는 “ECCP에 따라 검찰은 기업과 직원이 비즈니스를 수행하는 데 사용하는 기술, 해당 기술을 사용할 때 위험 평가를 수행했는지 여부, 그리고 관련 위험을 완화하기 위해 적절한 조치를 취했는지를 고려할 것”이라고 덧붙였다. 

아르젠티에리는 “기업은 컴플라이언스 프로그램을 업데이트하고 직원을 교육하기 위해 회사 자체의 이전 위법 행위와 다른 기업의 문제로부터 교훈을 얻어야 한다. 이 중요한 개념을 확장하기 위해 ECCP를 업데이트했다”라고 설명했다. 

개정안은 “이 문서는 검찰이 적절한 형태의 결의안 또는 기소, 벌금 여부 및 금액, 그리고 기업 형사 결의안에 포함된 컴플라이언스 의무를 결정할 목적이다. 위반 당시 기업의 컴플라이언스 프로그램이 효과적이었는지 판단하는 데 도움을 주기 위한 것”이라고 명시하고 있다. 

개정안에 따르면 수사 과정에서 검찰이 물어야 할 3가지 기본 질문은 이렇다. 기업의 컴플라이언스 프로그램이 잘 설계되어 있는가? 프로그램이 제대로 적용되고 있는가? (즉, 프로그램이 효과적으로 기능할 수 있도록 충분한 자원과 권한이 부여되어 있는가?) 프로그램이 실제로 작동하는가?

이 외에도 “기업이 새로운 기술의 잠재적 영향을 어떻게 평가하는가? AI를 상업적 비즈니스와 컴플라이언스 프로그램에 사용하는 것에 대한 기업의 거버넌스 접근 방식은 무엇인가? AI를 평가하는 데 적용되는 사람 의사결정의 기준선은 무엇인가? AI 사용에 대한 책임은 어떻게 모니터링되고 적용되는가?” 등의 추가 질문이 있을 수 있다.

아르젠티에리는 연설을 마무리하며 “위법 행위에 대해 적극적으로 나서서 인정하는 기업의 경우 강력한 컴플라이언스 프로그램과 윤리적 기업 문화의 중요성에 대해 확실한 메시지를 전달한다. 지금이 바로 위법 행위를 예방, 탐지, 해결하는 데 도움이 되는 컴플라이언스에 투자할 때다. 위법 행위를 발견했을 때는 먼저 연락해 달라”라고 당부했다.

워싱턴 DC의 로펌 크로웰 앤 모링(Crowell & Moring)은 자사 웹사이트에서 이번 개정안을 다루면서 “업데이트된 ECCP는 변화하는 기술과 비즈니스 압박 속에서 기업 컴플라이언스 프로그램과 인사에 대한 법무부의 기대가 높아지고 있음을 강조하며, 컴플라이언스 프로그램이 사후 대응적인지 사전 예방적인지 검찰이 고려하도록 지시하고 있다”라고 설명했다.

로펌은 개정안을 “기업이 기술 발전으로 인한 리스크를 포함해 조직의 리스크 프로필에 맞춰 컴플라이언스 프로그램을 지속적으로 재평가해야 한다는 사실을 알리는 경고”라고 표현했다.

크로웰 앤 모링의 파트너인 피터 아이어는 “법무부는 일련의 연설, 메모, 언론 행사를 통해 집행에 대한 전반적인 접근 방식에서 컴플라이언스의 중요성을 강조해왔다. 9월 23일 발표한 버전에는 이전 버전과 비교해 몇 가지 주목할 만한 변화가 있다”라고 말했다. 그는 “이전의 공개 발표와 어긋나는 것은 아니다. 이전 공개 발표와 일관된 영역에 초점을 맞추고 추가 사항을 강조하고 있다”라고 덧붙였다.

아이어는 “오랫동안 컴플라이언스 및 위험 평가를 갱신하지 않은 기업들에게 좋은 기회”라며 “기업은 법무부 논의의 새로운 초점 영역과 주요 시사점을 인식하고 평가를 수행할 수 있다”라고 조언했다.

가트너 법무 및 컴플라이언스 부문의 디렉터 애널리스트인 로렌 코르누틱은 “AI 관련 지침을 조직의 행동 강령에 통합하는 것이 중요하다. 강령은 기업 지침을 찾는 직원들과 기업의 거버넌스를 모니터링하는 이해관계자들을 위한 포괄적인 자료가 된다”라고 말했다. ‘가트너 Q&A’에서 그는 컴플라이언스 책임자들이 행동 강령에 AI 지침을 추가해야 하는 이유를 3가지로 설명했다.

• AI 사용의 보편화: 이제 일반 직원도 AI에 액세스할 수 있으며, 적절한 제한이 없으면 민감한 데이터를 유출하거나 편향된 결정을 내리거나 고객과의 소통에서 오해의 소지가 있는 내용을 작성하는 데 기술을 사용할 수 있다.
• 규제 감시 강화: AI 관련 위법 행위에 대한 법무부의 경고와 함께 새로운 글로벌 규제 및 정부 명령이 등장하고 있어, 컴플라이언스 의무를 무시하는 것은 선택지가 될 수 없다.
• 투명성에 대한 이해관계자의 요구 증가: 투자자, 공급업체, 고객 및 기타 외부 이해관계자는 기업의 AI 사용에 대한 안전 장치에 대해 더 많이 알고 싶어 한다.

코르누틱은 인터뷰에서 “CIO는 전략적 비전을 실행하고 안전하게 혁신해야 하는 임무를 맡고 있다. 이번 개정안은 CIO와 최고데이터분석책임자(CDAO)가 컴플라이언스팀과 공감대를 형성하는 파트너십을 구축해야 한다는 경각심을 일깨워준다”라고 말했다.

그는 “컴플라이언스팀은 실제로 새로운 기술을 안전하게 배포하는 데 도움을 줄 수 있다. 하지만 이들도 모니터링 프로그램을 구축하기 위해 CIO의 도움이 필요할 것”이라고 설명했다. 코르누틱은 “만약 조직 내 파트너십이 아직 존재하지 않고 컴플라이언스팀과 법무팀이 CIO의 전략적 비전에 대해 발언권이 없다면, 지금이 바로 그 파트너십을 촉진할 좋은 시기임을 보여주는 것”이라고 덧붙였다. [email protected]