미법무부(U.S. Department of Justice, 이하, DOJ)는 2024년 9월 23일 자로 기업 컴플라이언스 프로그램 평가(Evaluation of Corporate Compliance Program, 이하, ECCP) 지침을 개정하였습니다. ECCP 지침은 DOJ가 기업에 대한 형사사건의 기소 여부 등을 판단함에 있어 기업 컴플라이언스 프로그램의 실효성을 적절히 평가할 수 있도록 마련된 지침으로, 2017년 최초 발표된 이래 환경의 변화에 따라 정책 우선순위 등을 반영하여 여러 차례 개정되어 왔습니다. 이러한 ECCP 지침은 기본적으로 DOJ 소속 검사들의 기소 등 업무를 돕기 위해 마련된 것이기는 하지만, 이를 통하여 DOJ가 기업 컴플라이언스 프로그램을 평가하는 기준을 엿볼 수 있기에 우리나라 기업들 중에서 미국에서 사업을 영위하는 등으로 미국과 직∙간접적인 관련성이 있는 기업들의 입장에서는 컴플라이언스 프로그램을 자체적으로 평가하고 수정 및 보완하는 중요한 기준으로 삼고 있습니다. 이번 개정안의 주요 개정 사항은 다음과 같습니다.
1. AI 등신 기술 관련 리스크에 대한 평가 및 반영
이번 개정안에서 일차적으로 주목할 만한 부분은, 기업컴플라이언 스프로그램의 평가요소 중 하나인 리스크 평가(Risk Assessment) 항목 부분에 기업이 컴플라이언스 프로그램을 통하여 Artificial Intelligence 등 신기술(이하, AI 등)에 대한 리스크를 어떻게 평가하고 관리하는지 여부가 새롭게 반영되었다는 점입니다. 구체적으로 ECCP 개정안은 대표적으로 다음과 같은 사항들을 리스크 평가(Risk Assessment) 항목에 추가하였습니다.
■ 회사가 AI 등의 사용과 관련된 위험(risk)을 포함하여, 회사의 법령 준수 여부에 영향을 미칠 수 있는 AI 등과 관련된 새로운 대내외 위험(risk)을 식별하고 관리하는 절차(process)를 구비하고 있는지 여부
■ 회사의 AI 등과 관련된 리스크 관리가 전사적 리스크 관리(ERM) 전략에 통합되어 있는지 여부
■ 회사가 그 사업 활동 및 컴플라이언스 프로그램에 AI 등을 사용하는 것과 관련한 회사 지배구조 전반(governance)에 대한 회사의 접근 방식 내지는 태도가 어떠한지
■ 회사 임직원 등의 고의적이거나 무모한 부주의(reckless)에 의한 기술 오남용 가능성을 완화할 수 있는 방안이 있는지
■ 회사가 사업 활동 또는 컴플라이언스 프로그램의 일환으로 AI 등을 사용하는 경우, 관련 법률 및 사규에 따라 해당 기술의 정확성을 확인, 보장하고 그 사용을 모니터링하기 위한 통제 장치가 마련되어 있는지 여부
이러한 개정은, 미국 법무부 차관 Lisa Monaco가 (1) 지난 2024년 2월 AI 등의 오용으로 더욱 위험해진 범죄 유형에 대한 형량 강화를 모색할 것이라고 발표하고, 이에 나아가 (2) DOJ 형사국(Criminal Division)으로 하여금 ECCP 지침에 AI 등과 같은 혁신적 기술의 사용으로 인한 리스크에 대한 평가를 포함하도록 지시한 것이 반영된 결과로 해석됩니다.
2. 효율적인 컴플라이언스 프로그램의 시행을 위한 데이터 등 도구의 적절한 사용
한편, 이번 개정안은 컴플라이언스 프로그램이 적절히 기능할 수 있도록 컴플라이언스 부서에 대하여 충분한 자원 및 AI 등의 사용으로 얻을 수 있는 데이터 등에 대한 접근 권한이 부여되어야 한다는 점을 강조하고 있습니다. 즉, 기업 컴플라이언스 부서가 제 기능을 수행하기 위해서는 관련 인력에게 AI 등의 사용에 기초한 데이터 접근 권한이 충분히 부여되어야 한다는 것입니다. 이와 관련하여, ECCP 지침 개정안은 대표적으로 다음과 같은 사항을 고려할 것을 제안하고 있습니다.
■ AI 등에 기초한 데이터 분석 도구를 활용하여 컴플라이언스 프로그램을 효율적으로 운영하고, 회사의 규정 준수 프로그램의 효과를 측정하는지 여부
■ AI 등에 기초한 데이터의 출처 확인 및 분석 모델의 품질 관리 등에 대한 회사의 접근 방식이 어떠한지
■ 회사가 컴플라이언스 목적에서 AI 등의 기술과 데이터를 사용하기 위하여 투입하는 자원과 노력, 기술 등이, 회사가 그 사업 활동을 위하여 AI 등의 기술과 데이터를 사용하기 위하여 투입하는 자원과 노력, 기술 등과 비교해 보았을 때, 적거나 충분하지 않은 등으로 양자 사이에 불균형은 없는지
■ 회사가 AI 등의 사용에 기초한 데이터를 활용하여 컴플라이언스 프로그램의 실효성에 대한 이해도를 높이고 윤리적 행동 및 법령 준수를 장려하는 조직 문화를 조성하기 위해 어떠한 노력을 하는지 여부
이처럼, DOJ는 객관적으로 측정 가능한 지표를 통해 회사가 컴플라이언스 프로그램에 대한 개선 방안을 구비하고 있는지 여부를 평가하는 것을 넘어서서, 회사가 ① 사업 기회를 식별하고 포착하는데 투입하는 기술/자원과 ② 컴플라이언스 관련 리스크를 식별하고 완화하는 데 투입하는 기술/자원 사이에 불균형이 있는지 여부 등을 비교함으로써 전사적 차원에서의 실질적 자원의 균등 분배를 핵심 요소로 고려할 것으로 전망됩니다.
3. 내부고발자(Whistle Blower)에 대한 보호 조치
마지막으로 이번 개정안에서 주목할 만한 부분은 내부고발자 보호 및 보복 방지 정책에 관한 부분이 신설된 점입니다. 구체적으로 살펴보면, 회사가 형식적인 내부고발자 보복 방지 정책 또는 이에 관한 사내 교육 프로그램의 제공 여부뿐만 아니라, 비위를 저지른 직원과 이를 보고한 직원을 서로 다르게 대우하는지 여부 등을 조사함으로써 내부고발자에 대한 실질적인 보호 및 보복 방지가 이루어지고 있는지에 중점을 두고 있습니다. 즉, 회사 차원에서 내부고발을 장려하고 이에 대한 인센티브를 부여하는지 여부에 집중하고 있는 것입니다.
4. 시사점
ECCP 지침 개정안을 관통하는 DOJ의 입장은, 기업에 대한 형사 사건에서 검찰이 사내 컴플라이언스 프로그램을 평가함에 있어 기업이 변화하는 리스크를 체계적인 프로세스를 통해 식별한 뒤 리스크의 정도에 따라 적절한 자원의 배치 등을 통해 컴플라이언스 프로그램의 실효성을 확보하고 있는지 여부를 고려해야 한다는 것입니다.
DOJ에 의해 뇌물방지법(FCPA) 위반, 사기 등 기업 형사 사건으로 인한 형사처벌이 문제되는 경우, 실효적인 컴플라이언스 프로그램을 갖추고 있다면 불기소 내지는 상당한 감형 요소로 작용할 수 있습니다. 따라서 글로벌 시장에서 활동하는 국내 기업들은 이번 개정안에서 신설되거나 강화된 조항들에 유의하셔서 기존 컴플라이언스 프로그램을 재점검하고 계속하여 보완해 나갈 필요가 있습니다. 뿐만 아니라, AI 등 신기술을 사업활동에 적극적으로 접목시키고 있는 기업 내지는 그와 같은 신기술의 오/남용으로 인하여 피해를 입을 것이 예상되는 기업들의 경우, 개정된 ECCP 지침 내용에 따라 컴플라이언스 프로그램을 적절히 갖추고 있는지를 점검하고 보완할 필요가 있겠습니다.
법무법인(유) 광장 준법감시그룹 및 Tech&AI팀은 유기적인 협업을 통하여, 빠르게 급변하는 기술 및 규제 환경 속에서 글로벌 기업들이 글로벌 스탠다드에 따라 컴플라이언스 프로그램을 면밀히 평가하고 개선점을 식별하여 개별 기업에 특화된 컴플라이언스 프로그램을 구축하는 데 전문적인 서비스를 제공하고 있습니다. 이와 관련하여 법적 도움이 필요하실 경우 언제든지 법무법인(유) 광장 준법감시그룹 및 Tech&AI팀에 문의하여 주시기 바랍니다.