2026년 4월 25일 토요일

셸(Shell)은 왜 전 세계 법정에서 동시에 싸우고 있는가

세계 최대 에너지 기업 중 하나인 셸(Shell, LSE: SHEL)이 요즘 법정에서 눈코 뜰 새 없이 바쁘다. 네덜란드, 영국, 미국, 나이지리아 — 대륙을 가리지 않고 7건 이상의 기후·환경 소송이 동시다발로 진행 중이다. 이 소송들은 단순히 한 기업을 겨냥한 법적 공방이 아니다. 화석연료 산업 전체의 미래, 그리고 우리가 기업의 책임을 어디까지로 봐야 하는지에 대한 시대적 질문이다.


1. 가장 중요한 소송 — 법정에서 기후 과학을 이긴 날

2021년 5월 26일, 네덜란드 헤이그 지방법원은 역사에 남을 판결을 내렸다. 환경단체 밀리우데펜시(Milieudefensie, Friends of the Earth 네덜란드)와 17,000명 이상의 시민이 제기한 소송에서, 법원은 셸에게 2030년까지 탄소배출량을 2019년 대비 45% 감축하라고 명령했다.

민간 기업에게 구체적인 탄소 감축 수치를 강제한 것은 인류 역사상 처음 있는 일이었다. 법원은 이렇게 밝혔다. "셸은 혼자서 이 전 지구적 문제를 해결할 수 없다. 그러나 그렇다고 해서 셸이 통제하고 영향력을 행사할 수 있는 범위 안에서 개별적 부분적 책임을 지지 않아도 된다는 의미는 아니다."

셸은 즉각 항소했고, 2024년 11월 헤이그 항소법원은 구체적인 45% 수치는 부과할 수 없다며 원심을 파기했다. 언론은 셸의 승리라 보도했지만, 실상은 달랐다. 항소법원은 중요한 단서를 달았다. "셸과 같은 대형 에너지 기업도 기후 보호 의무를 진다"는 원칙 자체는 인정한 것이다. 더 나아가, 새로운 유전에 대한 투자가 셸의 주의 의무와 충돌할 수 있다고 암시하기도 했다.

밀리우데펜시는 2025년 2월 네덜란드 대법원에 재상고했고, 5월에는 셸의 신규 유전 700개 개발 계획을 근거로 새 소송까지 준비 중이다. 싸움은 끝나지 않았다.


2. 이사진을 직접 법정에 세우려 했던 시도

2023년, 환경법 전문 NGO 클라이언트어스(ClientEarth)는 전례 없는 도전을 했다. 셸의 주주 자격으로 셸 이사회 전원을 피고로 하는 파생소송을 영국 고등법원에 제기한 것이다.

핵심 주장은 이랬다. 셸의 기후 전략이 워낙 허술해서, 이사들이 영국 회사법상 자신들에게 주어진 리스크 관리 의무(fiduciary duty)를 위반했다는 것이다. 애널리스트들은 셸의 당시 계획대로라면 2030년까지 순배출량이 고작 5%밖에 줄지 않는다고 지적했다. NEST, 스웨덴 연금 AP3 등 기관투자자 1,200만 주 보유자들이 소송을 지지했다.

결과는 기각이었다. 하지만 이 사건이 남긴 메시지는 강렬하다. 기업 이사진이 기후 리스크를 소홀히 관리했다는 이유로 직접 법정에 서야 할 날이 올 수 있다는 것을 세상에 알렸다. 앞으로 유사한 소송이 더 많이 제기될 것이라는 점은 의심의 여지가 없다.


3. 30년 묵은 상처 — 나이지리아 오염의 진실

시간을 1995년으로 돌려보자. 나이지리아 군사정권이 환경운동가 켄 사로-와이와(Ken Saro-Wiwa)를 포함한 '오고니 9인(Ogoni Nine)'을 교수형에 처했다. 이들의 죄목은 셸의 니제르 삼각주 석유 개발에 반대한 것이었다.

사로-와이와 가족은 셸이 군에 물자와 정보를 지원하고 증인을 매수했다는 혐의로 1996년 미국 법원에 소를 제기했다. 12년 뒤인 2009년, 셸은 1,550만 달러(약 200억 원)를 지급하는 조건으로 합의했다. 책임은 인정하지 않았지만, 숫자가 말해주었다.

오늘날 니제르 삼각주의 상황은 더 복잡하다. 오갈레와 빌레 공동체 주민 약 5만 명이 현재 런던 고등법원에서 셸을 상대로 싸우고 있다. 2011년 유엔환경계획(UNEP) 보고서가 밝힌 오갈레 지역의 지하수 벤젠 농도는 WHO 기준의 900배였다. 2025년 6월, 영국 법원은 셸의 절차적 항변을 기각하고 본안 심리로 나아갔다. 이 소송은 이제 본격적인 막이 오른 셈이다.


4. 광고 한 편이 불러온 나비효과

2022년, 셸은 친환경 이미지를 강조하는 TV·유튜브 광고를 방영했다. 풍력발전, 전기차 충전소, 미래 에너지 — 화면은 온통 녹색이었다. 하지만 같은 해 셸 전체 투자의 약 68~70%는 여전히 석유·가스에 쏠려 있었다.

시민단체 '광고금지도시(Adfree Cities)'의 신고로 영국 광고표준청(ASA)은 조사에 나섰고, 2023년 6월 광고 방영 금지를 명령했다. 소비자들이 셸의 저탄소 활동 비중을 실제보다 훨씬 크게 오해하게 만들었다는 이유였다.

셸은 2024년 광고에서는 투자 비중을 자막으로 표시하는 방식으로 바꿨고, ASA는 이번엔 문제없다고 판정했다. 하지만 시민단체들은 여전히 납득하지 못한다. 셸의 실제 재생에너지 투자 비율은 13.3%인데, 광고에서는 23%라고 표기했다는 게 이들의 주장이다.

그린워싱은 이제 광고의 문제가 아니라 법적 리스크가 됐다. EU의 기업지속가능성공시지침(CSRD)이 본격 시행되면, 이 전선은 더욱 확대될 것이다.


5. 모든 소송이 던지는 하나의 질문

이 7개의 소송을 관통하는 공통된 질문이 있다.

기업은 자신이 만들어낸 기후 위기에 대해 법적으로 책임져야 하는가?

10년 전이라면 황당한 소리로 들렸을 이 질문이, 이제는 세계 최고 수준의 법학자들이 진지하게 다투는 법정의 쟁점이 됐다. 그리고 법원들은 조금씩, 하지만 분명하게 "그렇다"는 방향으로 답을 내놓고 있다.

2021년 네덜란드 판결은 파기됐지만, 항소법원조차 "셸은 기후 보호 의무를 진다"는 원칙은 인정했다. 나이지리아 오염 소송은 다국적 기업이 해외에서 일어난 일에 대해 본국에서 책임질 수 있다는 판례를 만들어가고 있다. 이사회 소송은 기각됐지만, 기관투자자들은 이미 기후 리스크를 주주가치와 직접 연결해서 보기 시작했다.


6. 투자자가 주목해야 할 세 가지

첫째, 소송 비용은 빙산의 일각이다. 직접적인 벌금이나 합의금보다, 불확실성이 기업 가치에 미치는 할인 효과가 더 크다. 소송이 장기화될수록 셸의 신규 사업 투자 결정이 불확실해지고, 이는 중장기 수익성에 영향을 준다.

둘째, 규제 환경이 빠르게 바뀌고 있다. EU CSRD, 영국 회사법 해석 변화, 각국 기후 소송 판결 축적 — 이 모든 것이 에너지 기업의 영업 환경을 재편하고 있다. 셸이 오늘 짜는 사업 계획이 5년 후에도 유효하다는 보장이 없다.

셋째, 에너지 전환의 속도가 관건이다. 셸이 재생에너지 투자를 얼마나 진지하게, 얼마나 빠르게 늘리느냐가 향후 소송 리스크를 줄이는 가장 현실적인 해법이다. 광고로 이미지를 관리하는 시대는 지나가고 있다.


마치며

셸의 기후 소송 사례들은 ESG가 단순한 마케팅 용어가 아님을 보여주는 생생한 증거다. 환경·사회·지배구조 리스크를 제대로 관리하지 못한 기업은 어느 날 갑자기 법정에 서게 될 수 있다. 그것도 한 나라가 아니라, 지구 반 바퀴를 돌아다니며 동시에.

셸이 지금 법정에서 어떤 답을 내놓느냐는, 앞으로 수십 개의 에너지 기업들이 따라가야 할 길을 만들어갈 것이다.


본 포스트는 공개된 법원 자료, 환경 단체 보고서, 언론 보도를 바탕으로 작성되었습니다. 투자 조언이 아니며, 구체적인 투자 판단은 전문가와 상담하시기 바랍니다.

참고: Milieudefensie, ClientEarth, Corporate Accountability Lab, Amnesty International, ASA, Climate Case Chart (Columbia Law School)


사이버 범죄 세계 3위 경제대국, 우리는 무엇을 하고 있는가

Munich Re Global Cyber Risk and Insurance Survey 2026이 드러낸 불편한 진실


사이버 범죄를 하나의 국가로 가정하면, 그 경제 규모는 세계 3위에 해당한다. 2028년까지 글로벌 사이버 범죄 피해 비용은 14조 달러에 달할 것으로 추산되는데, 이는 독일·일본·인도의 GDP를 합산한 규모를 넘어선다. 이 숫자를 처음 접했을 때 느끼는 감각은 충격이라기보다 일종의 무감각에 가깝다. 너무 크기 때문에 실감하기 어렵다. 그러나 Munich Re가 20개국 9,500명 이상의 C레벨 임원을 대상으로 실시한 「Global Cyber Risk and Insurance Survey 2026」은 바로 그 무감각이 얼마나 위험한지를 정밀하게 포착하고 있다.


AI는 기회이자, 새로운 공격 벡터다

이번 조사에서 가장 두드러진 변화는 AI의 부상이다. 2026년 기준, C레벨 응답자의 71%가 AI를 비즈니스에 유의미한 기술 트렌드로 꼽았다. 2024년의 62%에서 또 한 번 상승한 수치다. 클라우드(52%), 데이터 애널리틱스(53%), 블록체인(24%)을 제치고 AI가 독보적 1위를 차지한 것은, 단순한 유행이 아니라 경영 전략의 핵심 축이 실질적으로 이동했음을 의미한다.

흥미로운 것은 AI에 대한 태도다. 응답자의 66%가 AI가 자사에 긍정적 영향을 미칠 것이라 예상했고, 62%는 기술 자체를 신뢰한다고 답했다. 이미 57%의 기업이 운영에 AI를 도입했다. 그러나 이 낙관론 이면에 묻혀 있는 숫자가 있다. AI 도입과 관련한 최대 우려 사항으로 데이터 보안 및 프라이버시(52%), 부정확한 결과(42%), 사이버 공격(42%)이 나란히 상위를 차지했다.

특히 주목해야 할 것은 사이버 공격의 맥락이다. Munich Re 전문가들은 AI 툴의 대중화로 인해 사이버 범죄가 점점 더 자동화되고 '민주화'될 것이라고 경고한다. 고도의 기술 없이도 정교한 공격을 감행할 수 있는 환경이 만들어지고 있으며, 이는 특히 중소기업에 대한 위협을 증폭시킨다. "우리 회사는 너무 작아서 공격 대상이 되지 않는다"는 인식은 이미 시효가 만료된 논리다.


우려는 높고, 대비는 낮다

전 세계 C레벨 임원의 60%가 자사에 대한 사이버 공격 가능성을 "우려" 또는 "매우 우려"한다고 답했다. 인도와 남아프리카공화국에서는 이 수치가 80%에 달했고, 일본(70%), 프랑스(71%)도 높은 편이었다. 한국은 59%로 글로벌 평균과 비슷한 수준이다.

그러나 더 충격적인 숫자는 따로 있다. 전 세계 C레벨 응답자의 89%가 자사의 사이버 보안 보호 수준이 "충분하지 않다"고 자평했다. 이 수치는 2021년 81%에서 해마다 꾸준히 상승해 왔다. 위협에 대한 인식은 높아지는데, 정작 방어 태세에 대한 자신감은 오히려 하락하고 있다는 역설이다.

방어를 가로막는 주된 장애물로는 직원들의 낮은 보안 인식(40%), 전문 인력 부족(31%), 보안 솔루션 간 통합 및 상호운용성 부재(30%)가 꼽혔다. 기술의 문제가 아니라 사람과 조직의 문제라는 점이 반복적으로 드러나고 있다. 아무리 정교한 방어 시스템을 갖추더라도, 피싱 메일 하나에 속는 직원 한 명이 그 모든 것을 무력화할 수 있다.

실제 피해 경험 데이터도 이를 뒷받침한다. 데이터 침해(25%), 비즈니스 중단(27%), 클라우드 서비스 장애(16%), 랜섬웨어(16%) 등 다양한 유형의 사이버 인시던트를 실제로 경험한 기업 비율이 상당하다. 그리고 이 수치와 '우려' 수치 사이의 격차는 점점 좁혀지고 있다. 즉, 막연한 불안이 아니라 현실적 경험이 우려를 만들어내기 시작한 것이다.


클라우드 의존도, 눈에 보이지 않는 단일 장애점

AI 도입률이 57%라면, 클라우드 서비스 의존율은 98%에 달한다. 오늘날 기업 운영의 사실상 전 영역이 클라우드 위에 구축되어 있다는 의미다. 그리고 이 의존도는 새로운 유형의 시스템 리스크를 만들어낸다.

단 하루의 클라우드 서비스 중단이 일별 매출의 26~50%에 해당하는 손실을 초래할 것이라는 응답이 27%였고, 11%는 51~90%에 달하는 대규모 손실을 예상했다. 클라우드 제공업체 하나의 장애가 수천 개 기업에 동시에 영향을 미칠 수 있는 구조, 즉 누적 리스크(accumulation risk)의 시대가 도래한 것이다. 악의적 공격이 아닌 단순한 기술 오류 하나가 글로벌 경제에 연쇄 충격을 가할 수 있다.


보험 시장의 역설: 수요는 충분한데, 공급은 닿지 않는다

이 모든 우려와 취약성에도 불구하고, 사이버 보험 시장에는 여전히 거대한 공백이 존재한다. 2026년 조사에서 절반이 넘는 응답자(52%)가 자사에 사이버 보험이 제안된 적이 없다고 답했다. 보험사가 시장에 접근조차 하지 못하고 있다는 뜻이다.

반면 수요 신호는 강렬하다. C레벨 임원의 43%가 사이버 보험 가입을 적극적으로 검토 중이라고 밝혔다. 이 수치는 2021년 35%에서 꾸준히 상승해 왔다. 기업들이 사이버 보험을 구매하는 주된 이유는 비즈니스 중단으로 인한 재정 손실 보전(48%), 배상책임 손실 보전(48%), 전문 대응 서비스 접근(43%) 순이다. AI 리스크를 커버하는 보험에 관심 있다는 응답도 63%에 달했다. 이는 단순한 리스크 전가 수단이 아니라, 사고 발생 시 전문적인 위기 관리 역량을 확보하려는 수요임을 보여준다.

문제는 유통과 투명성이다. 많은 의사결정자들이 사이버 보험 상품의 보장 범위나 가치를 충분히 이해하지 못한 채 구매를 망설이고 있다. 보험사 입장에서 이것은 위협이 아니라 기회다. 15년 이상 사이버 보험 시장을 이끌어온 Munich Re가 이 보고서를 통해 강조하는 메시지도 바로 이 지점이다. 사이버 리질리언스는 단순한 기업 경쟁력의 문제가 아니라 사회경제적 과제이며, 보호 격차(protection gap)를 좁히는 것이 보험 산업 전체의 임무라는 것이다.


결론: "If"가 아니라 "How"의 문제

Munich Re 보고서의 표제가 "Not If, But How"인 것은 우연이 아니다. 사이버 공격이 발생할 것인가의 문제는 이미 해결되었다. 질문은 언제, 얼마나 자주, 그리고 그때 우리가 어떻게 대응하느냐로 넘어간 지 오래다.

디지털화의 가속, AI의 확산, 클라우드 의존도의 심화는 동시에 사이버 공격의 표면적을 넓히고 있다. 그리고 조직의 89%가 스스로 "충분히 보호받지 못하고 있다"고 인정하는 현실에서, 사이버 보안과 사이버 보험은 더 이상 IT 부서의 전담 과제가 아니다. 이것은 경영진의 전략적 의제이자, 이사회가 정기적으로 논의해야 할 리스크 관리의 핵심 항목이다.

기술은 계속 진화한다. 위협도 함께 진화한다. 그 속도를 방어 태세가 따라가지 못하는 구조적 간극을 메우는 것이 지금 이 시대 기업 리더들에게 주어진 과제다.


본 글은 Munich Re의 「Global Cyber Risk and Insurance Survey 2026」을 바탕으로 작성되었습니다. 조사는 Statista가 2025년 12월 20개국 9,500명 이상의 응답자를 대상으로 실시했으며, Munich Re 내부 전문가들이 2026년 1~2월에 분석을 완료했습니다.


2026년 4월 21일 화요일

AI 워싱: 과장된 기술 주장이 만드는 법적·경영적 리스크

AI 워싱이란 무엇인가

AI 워싱(AI Washing)은 기업이 실제 AI 기술 수준을 부풀리거나, 심지어 존재하지도 않는 AI 역량을 보유한 것처럼 속이는 기만적 마케팅 행위를 가리킨다.

기업들은 "차세대 인공지능이 우리 비즈니스를 혁신했다"는 식의 대담한 선언을 쏟아내지만, 실상은 허위이거나 심각하게 과장된 경우가 많다. AI라는 단어가 투자 유치와 브랜드 가치에 직결되면서, 마케팅 팀이 기술적 현실을 한참 앞질러 달리는 구조가 굳어진 것이다.

비즈니스 컨설턴시 Cruxy의 CEO Carrie Osman은 AI 워싱을 "과대 선전에 사로잡히고 비판적 검토가 결여된 시장의 증상"이라고 진단하며, 이사회가 "AI로 뭔가를 해야 한다"는 압박에 시달리면서 문제가 심화된다고 지적한다.

컴플라이언스 자문사 De Risk Partners의 Ravi de Silva는 "모든 기업이 AI를 활용한다고 말하고 싶어하지만, 과대 선전이 진실을 앞지르기 시작했다"며 "이전 기술 사이클에서도 이런 패턴을 목격했다. 큰 약속, 빠른 자금 유입, 그리고 불충분한 감독이 반복된다"고 경고한다.


이 리스크가 부각된 계기: 실제 사례들

AI 워싱이 단순한 과장이 아니라 형사 기소와 집행 조치로 이어지는 심각한 리스크임을 보여준 사건들이 잇달아 터졌다.

SEC의 첫 AI 워싱 집행 조치 (2024년 3월) SEC는 두 투자사가 독자적인 딥러닝 AI 모델을 기반으로 투자 전략을 운용한다고 고객과 잠재 투자자를 수년간 오도했다는 혐의로 첫 AI 워싱 집행 조치를 발표했다. 사실상 해당 모델은 존재하지 않았다.

AI 채용 스타트업 Joonko CEO 기소 (2024년 6월) SEC는 현재 폐업한 AI 채용 기업 Joonko의 CEO Ilit Raz를, 기술 역량에 대한 허위 증언으로 투자자들로부터 최소 2,100만 달러를 편취한 혐의로 기소했다. SEC 집행국장은 이를 두고 "'인공지능', '자동화' 같은 신조어를 동원한 구식 사기"라고 직격했다.

전자상거래 앱 Nate의 CEO 기소 (2025년 4월) FBI와 연방검찰은 전자상거래 기업 Nate의 전 CEO Albert Saniger를, 쇼핑 앱의 AI 역량을 과장해 투자자들로부터 4,000만 달러를 편취하려 한 혐의로 기소했다. Saniger는 Nate 앱이 "AI 기반으로 완전 자동화되어 인간의 개입 없이 온라인 거래를 처리할 수 있다"고 홍보했지만, 실제 자동화 수준은 사실상 0에 가까웠고 필리핀 콜센터 직원 수백 명이 수동으로 거래를 처리하고 있었다.

아마존 Just Walk Out 논란 (2024년) Amazon Fresh·Amazon Go 매장에 도입된 'Just Walk Out' 기술은 AI 센서가 고객의 구매 물품을 자동 인식하고 청구한다고 알려졌지만, 실제로는 인도 직원 약 1,000명이 거래의 4분의 3 가까이를 수동으로 검증하고 있었다는 보도가 나오며 비판을 받았다.

FTC의 'Operation AI Comply' (2024년 9월) FTC는 AI를 내세운 허위 광고와 사기를 단속하는 'Operation AI Comply'를 개시하고, 가짜 리뷰 생성 AI 도구, 'AI 변호사' 서비스, AI 기반 수익 창출을 표방한 사기 업체 등에 법적 조치를 취했다. 당시 FTC 위원장은 "AI 도구를 사용해 사람들을 속이는 행위는 불법이며, AI라는 이름 아래 법 적용이 면제되지 않는다"고 못 박았다.


한국 기업들에게 주는 메시지

이 일련의 사태는 미국만의 이야기가 아니다. 한국 기업들에게도 직접적으로 시사하는 바가 크다.

첫째, "AI"라는 단어는 이제 법적 책임을 수반한다.

투자 설명 자료, IR 보고서, 제품 마케팅 어디서든 AI를 언급하는 순간 그 주장은 검증의 대상이 된다. 법무법인 Pierson Ferdinand의 파트너 Maryam Meseha는 "기업의 공시 자료가 AI의 역할을 실질적으로 잘못 표현한다면 증권 사기, 소비자 기만, FTC 위반으로 법적 책임을 질 수 있다"고 경고한다. 한국 상장사나 미국 시장에 투자를 유치하는 기업이라면 이 리스크는 실질적이다.

둘째, 임원 개인도 책임에서 자유롭지 않다.

AI 관련 허위 진술에 대해 기업뿐 아니라 임원 개인도 소송, 과태료, 기타 규제 제재의 대상이 될 수 있다. Nate CEO가 직접 기소된 사례가 이를 단적으로 보여준다.

셋째, EU AI Act는 한국 기업의 유럽 진출에도 적용된다.

2026년 8월 전면 시행되는 EU AI Act는 'AI' 또는 'AI 기반'이라고 표현된 제품을 규제 대상 AI 시스템으로 간주한다. 유럽 시장을 겨냥하는 한국 기업이 제품에 성급하게 'AI' 딱지를 붙였다간 막대한 컴플라이언스 비용과 규제 의무를 떠안게 된다.

넷째, 과장 광고는 기술 투자 자체를 망친다.

Park Place Technologies의 CTO Chris Carriero는 "과대 선전된 솔루션을 쫓다 보면 진정으로 효율과 혁신을 이끌 수 있는 실질적 AI 기술을 간과하게 된다"고 지적한다. AI 워싱은 외부 신뢰만 갉아먹는 게 아니라 내부의 기술 판단력과 투자 효율성도 훼손한다.

실천적 대응 방향

전문가들은 'AI 기반(AI-powered)' 대신 'AI 보조(AI-assisted)'와 같이 현실을 정확히 반영하는 표현을 사용하고, AI가 실제로 무엇을 하고 무엇을 하지 않는지 투명하게 공개할 것을 권고한다. 또한 마케팅·법무·컴플라이언스 기능이 공개 발표를 사전 검토하고, AI 모델의 개발·검증·통합 과정에 대한 내부 문서를 체계적으로 유지해야 한다.

결국 핵심 질문은 단순하다. "우리가 AI라고 부르는 것이 실제로 스스로 학습하고 판단하는가?" 이 질문에 자신 있게 답할 수 없다면, 그 단어는 아직 쓸 준비가 안 된 것이다.


2026년 4월 14일 화요일

조직 분절이 초래하는 보안 리스크의 실체

팀 윌리엄스, 핑커턴 부회장 기고 요약

현대 기업의 보안 실패는 외부 공격보다 조직 내부의 단절에서 더 자주 발생한다는 점을 팀 윌리엄스는 강조한다. 그는 감사, 사이버, 물리보안, 인사, 컴플라이언스 등 핵심 기능이 하나의 체계로 작동하지 않을 때 가장 큰 취약점이 발생한다고 지적한다.

내부 단절이 만든 실제 사고들

  • 내부 감사팀과 보안팀이 동일 직원을 서로 다른 혐의로 추적하면서 협업이 이루어지지 않아, 해당 직원이 핵심 지적재산권을 가지고 이탈한 사건이 발생했다.
  • 시설 부서가 비용 절감을 이유로 검증되지 않은 장비를 설치해 네트워크 백도어가 생겼고, 결국 해킹으로 이어진 사례도 소개된다.

이 두 사례는 부서 간 사일로와 소통 부재가 직접적인 보안 사고로 이어질 수 있음을 보여준다.

해결을 위한 네 가지 전략

윌리엄스는 조직이 단편적 대응을 넘어 통합적 보안 체계를 구축해야 한다고 제안하며, 다음 네 가지 축을 제시한다.

  1. 목적 기반 설계
    보안 아키텍처는 기술이 아니라 조직의 핵심 목표에서 출발해야 한다.

  2. ROI에서 ROV로의 전환
    비용 중심의 ROI가 아닌, 조직 목표 보호의 가치를 기준으로 한 ROV 관점이 필요하다.

  3. AI의 중추신경계화
    부서별 개별 도입이 아닌, 다양한 데이터를 통합적으로 연결하는 AI 구조가 요구된다.

  4. 인간의 역할 재정립
    기술이 탐지 속도를 높여도, 분석·판단·윤리적 결정은 숙련된 인력이 수행해야 한다.

기고의 핵심 메시지

보안의 미래는 더 많은 기술이 아니라 조직 내부의 균열을 치유하는 리더십에 달려 있다.
윌리엄스는 부서 간 협력 권한을 가진 중앙 리스크 리더십의 필요성을 강조하며, 현대 위협은 조직도를 존중하지 않기 때문에 방어 또한 기존의 경계를 넘어야 한다고 말한다.


2026년 4월 13일 월요일

영국 CMA의 그린워싱 규제, 이제 공급망 전체가 타깃이다

수출기업이 반드시 알아야 할 2024년 환경 주장 규제의 핵심


"친환경", "재활용 가능", "탄소중립"

이 세 단어가 이제 기업에게 **전 세계 매출의 10%**를 날릴 수 있는 폭탄이 됐다.

2026년, 영국 경쟁시장청(CMA, Competition and Markets Authority)이 그린워싱(Greenwashing) 규제의 칼날을 대폭 강화했다. 변화의 핵심은 단 하나다. 책임의 범위가 브랜드에서 공급망 전체로 확대됐다.

한국 수출기업이라고 해서 예외가 아니다. 영국 또는 EU 시장에 제품을 납품하거나 유통하는 순간, 이 규제의 사정권 안에 들어온다.


공급망 전체가 책임진다

기존에는 "우리는 제조사에서 받은 정보를 그대로 표기했을 뿐"이라는 해명이 어느 정도 통했다. 이제는 통하지 않는다.

CMA 가이드라인은 환경 관련 주장에 대한 입증 책임을 원료 → 제조 → 유통 → 소매 → 브랜드로 이어지는 공급망 전 단계에 부과한다. 즉, 한국의 원료 공급사, 국내 제조사, 현지 유통업체, 그리고 최종 브랜드까지 모두 규제 대상이 된다.

규제 대상이 되는 표현도 단순한 문구에 그치지 않는다. 이미지, 로고, 색상, 심지어 소비자에게 친환경 이미지를 줄 수 있는 정보의 '생략' 까지도 규제 대상에 포함된다. 녹색 잎사귀 이미지 하나, "자연에서 온" 같은 문구 하나가 입증 자료 없이는 법적 리스크가 된다.


"검증 못 하면 쓰지 마라" — 입증 의무의 핵심

이번 규제에서 가장 중요한 원칙은 명확하다.

모든 환경 주장은 기업 스스로 근거를 확보하고 문서화해야 한다.

공급업체가 "친환경 소재입니다"라고 말했다고 해서, 혹은 제3자 인증서 하나를 받았다고 해서 의무가 끝나지 않는다. CMA는 이를 명시적으로 불충분하다고 규정한다.

기업이 스스로 다음을 해야 한다:

  • 환경 주장에 대한 과학적·통계적 근거 확보
  • 해당 근거의 문서화 및 내부 보관
  • 근거가 없거나 부족할 경우 주장 수정 또는 철회

데이터를 제공하지 못하면 제품 판매 자체가 법적 리스크가 된다. 규제 당국의 조사가 시작됐을 때 "몰랐다"는 변명은 더 이상 방어 논리가 되지 않는다.


과징금: 전 세계 매출의 최대 10%

숫자를 보면 이 규제가 얼마나 강력한지 실감할 수 있다.

2024년 제정된 법에 따라, 허위 또는 오해를 유발하는 환경 주장을 한 기업에는 다음 중 큰 금액이 과징금으로 부과된다:

  • 전 세계 연간 매출의 최대 10%
  • 30만 파운드(약 5억 원)

그리고 치명적인 조항이 있다. 고의성이 없어도 위반으로 간주된다. 담당자가 몰랐다고, 실수였다고 해도 처벌을 피할 수 없다는 뜻이다.

소비자와 직접 접점이 있는 유통업체와 브랜드 기업이 가장 큰 타격을 받는 구조다. 한국 기업이 OEM·ODM 방식으로 납품하더라도, 제품에 환경 관련 표기가 들어간 순간 리스크를 완전히 외면하기 어렵다.


유통사도, 브랜드도 모두 제재 대상

책임 소재를 두고 "우리 잘못이 아니라 거래처 잘못"이라며 서로 미루는 상황도 더 이상 통하지 않는다.

CMA는 문제가 발생했을 때 가장 빨리 시정할 수 있는 주체를 중심으로 제재한다는 원칙을 명확히 했다. 브랜드가 잘못된 환경 표시를 수정하지 않은 상태에서 유통업체가 판매를 계속했다면, 양측 모두 제재 대상이 된다.

거래 계약서에 환경 관련 책임 조항이 없다면, 지금 당장 검토가 필요하다.


글로벌 규제의 방향은 동일하다

영국만의 이야기가 아니다.

  • EU: 그린 클레임 지침(Green Claims Directive) 추진 중
  • 미국 FTC: 친환경 마케팅 가이드라인 강화
  • 호주, 싱가포르, 한국: 환경 주장 입증 책임 강화 흐름 합류

다국적 기업, 그리고 다국적 시장에 제품을 수출하는 기업이라면 국가별 차이를 파악하되, 가장 엄격한 기준에 맞춘 통합 검증 체계를 구축하는 것이 현실적인 대응이다. 시장마다 다른 기준을 개별 대응하는 전략은 비용과 리스크 양쪽에서 비효율적이다.


수출기업이 지금 해야 할 것

이번 규제 강화는 마케팅 문구 몇 개를 고치는 수준의 문제가 아니다. 기업의 마케팅 전략과 공급망 관리 전반을 재설계하도록 압박하는 구조적 변화다.

지금 당장 점검해야 할 사항:

  1. 자사 제품에 환경 관련 표현이 포함되어 있는가? (문구, 이미지, 로고, 색상 포함)
  2. 해당 표현을 뒷받침하는 검증 자료가 문서화되어 있는가?
  3. 공급업체로부터 받은 환경 관련 주장을 자체 검증했는가?
  4. 유통·판매 계약서에 환경 표시 관련 책임 조항이 명시되어 있는가?
  5. 수출 대상국의 그린워싱 규제 현황을 파악하고 있는가?

하나라도 "아니오"라면, 대응이 필요하다.


그린워싱 규제는 단순한 윤리의 문제가 아니다. 이제는 기업 생존과 직결된 법적 리스크다. 영국 CMA의 이번 가이드라인은 그 시작점에 불과하다. 글로벌 시장에서 살아남으려는 수출기업이라면, 환경 주장에 대한 검증 체계를 지금 구축해야 한다.


본 포스팅은 영국 CMA 그린워싱 가이드라인 및 관련 규제 동향을 바탕으로 작성되었습니다.