[Q&A][도급업체 안전관리] 해외 PSM 감사에서는 ‘도급업체 선정과 안전수준 평가’ 관련 기록을 어느 수준까지 요구하나요?

Q: 해외 PSM 감사에서는 ‘도급업체 선정과 안전수준 평가’ 관련 기록을 어느 수준까지 요구하나요?

A: 해외 PSM 감사에서 도급업체 선정과 안전수준 평가 관련 기록은 선정의 의사결정 과정을 제3자가 추적할 수 있는 수준까지 요구하는 것이 일반적이다. 감사는 기록의 존재보다 기록을 통해 선정의 합리성을 재구성할 수 있는지를 본다. 평가 기준·평가 결과·선정 결정의 세 가지가 연결되어 기록으로 남아야 하며, 세 요소 중 하나라도 빠지면 추적의 연결고리가 끊긴 것으로 본다. 평가 기준의 사전 문서화, 평가자의 식별 가능성, 예외 처리의 기록이 수준 판단의 세부 기준이다.

1. 판단 기준
첫 번째 기준은 추적 가능성이다. 해외 감사의 일반적인 관점에서는 감사인이 기록만으로 어떤 기준으로 평가했고, 평가 결과가 어땠으며, 그 결과 선정 결정이 어떻게 내려졌는지를 재구성할 수 있어야 한다. 세 요소 중 하나라도 기록이 없으면 추적의 연결고리가 끊긴 것으로 본다. 추적 가능성은 기록의 양이 아니라 연결고리의 완결성으로 판단되며, 핵심 기록이 빠진 방대한 기록은 오히려 관리의 허점을 드러낸다.
두 번째 기준은 평가 기준의 사전 문서화이다. 평가가 이루어지기 전에 평가의 항목과 항목별 기준이 문서로 정해져 있었는지를 본다. 사후에 만들어진 기준은 선정 결정을 정당화하기 위한 것으로 의심받을 수 있으므로, 기준의 작성 시점과 승인 기록이 확인 대상이 된다. 기준의 제정·승인 기록은 평가의 객관성을 보여주는 출발점이다.
세 번째 기준은 평가자의 식별 가능성이다. 누가 평가했는지, 평가자가 평가를 수행할 자격이 있었는지를 보여주는 기록을 본다. 평가자의 서명이나 결재 기록이 있어야 평가의 책임 소재가 명확해지며, 익명의 평가는 신뢰도가 낮은 것으로 본다.
네 번째 기준은 예외 처리의 기록이다. 평가 결과가 낮은 업체를 선정했거나 평가 절차를 생략한 경우, 그 사유와 승인 과정이 기록되어 있는지를 본다. 예외는 금지되는 것이 아니라, 기록된 예외는 관리되는 것으로 보고 기록 없는 예외는 관리의 공백으로 본다.
조건별 분기는 다음과 같다. (가) 기준·결과·결정의 연결고리가 모두 기록되어 있으면, 기록의 완결성은 충족된 것으로 보고 내용의 적정성을 검토한다. (나) 연결고리 중 일부가 빠졌으면, 빠진 부분의 보완 기록을 마련하고 향후 평가부터는 연결고리가 끊기지 않도록 절차를 정비한다. (다) 전자 기록으로 운영하는 경우, 전자 결재나 전자 서명의 위·변조 방지 조치를 함께 갖추어야 한다. 무결성이 확보되지 않은 전자 기록은 감사에서 신뢰를 얻기 어렵다.

2. 실무 적용
– 평가 기준의 제정·승인 기록을 보관한다. 기준서에는 제정일과 승인자의 서명 또는 결재 기록이 포함되어야 한다.
– 평가 항목별 평가 결과와 평가자의 서명을 기록한다.
– 선정 심의의 회의록이나 결재 기록을 보관한다.
– 예외 선정 시 사유서와 승인 기록을 남긴다.
– 기록의 보관 기간과 열람 절차를 정한다.
– 확인할 문서: 평가 기준서와 승인 기록, 평가 결과표와 평가자 서명, 선정 심의 회의록, 예외 선정 사유서.
– 비교할 조건: 기준 제정 시점과 평가 시점의 선후 관계, 평가자와 승인자의 자격, 예외 처리의 승인 경로.
– 감사 대비 기록의 완결성을 주기적으로 점검한다.
– 남겨야 할 기록: 기준·결과·결정의 연결 기록 일체, 보관 기간과 열람 절차의 문서화 기록.

3. 적용 시 유의점
첫 번째 유의점은 전자 기록의 무결성이다. 전자 결재나 전자 서명을 활용하는 경우 기록의 위·변조 방지 조치를 함께 갖추어야 하며, 무결성이 확보되지 않은 전자 기록은 감사에서 신뢰를 얻기 어렵다.
두 번째 유의점은 평가 기록을 도급업체별로 분산해 보관하는 것이다. 업체별·시기별로 체계적으로 정리된 기록이어야 추적 가능성이 확보되며, 분산된 기록은 감사의 효율을 떨어뜨린다.
세 번째 유의점은 기록의 보관 기간을 정하지 않는 것이다. 원천 자료의 보관 기간을 집계 기록과 연계해 정해야 하며, 보관 기간 없는 기록은 감사 시점에 소실될 수 있다.

4. 자주 하는 오해
– “평가 결과표만 있으면 된다”는 오해가 흔하다. 결과표는 추적의 한 조각일 뿐이며, 기준·결과·결정의 연결고리가 모두 기록되어야 추적 가능성이 확보된다.
– “기록의 양이 많으면 좋은 것이다”는 오해도 있다. 양보다 연결고리의 완결성이 중요하며, 핵심 기록이 빠진 방대한 기록은 오히려 관리의 허점을 드러낸다.

근거 자료
– OSHA PSM (29 CFR 1910.119)
– CCPS의 공정안전 관련 가이드북
– 영국 HSE의 공정안전 관련 공개 자료