위험성평가 검증 및 잔여위험 관리
1. 목적 및 위치
위험성평가는 감소 조치를 결정하는 순간 끝나지 않습니다. 감소 조치가 실제로 효과를 내는지 검증하고, 남은 위험(잔여위험)이 허용 가능한 수준인지 판단하여 승인받는 단계가 빠지면, 위험성평가는 서류상의 형식 절차로 남습니다.
본 코드는 ARC-SAFE-001 §3의 위험성평가 5단계 중 Step 4(위험성 결정 및 감소 조치) 이후 단계를 다룹니다. 동시에 LOPA·SIL 정량 평가 트랙(ARC-RISK-001~007)의 검증 단계이기도 합니다. 정성적 위험성평가와 정량적 LOPA/SIL 평가 모두 결국 같은 질문에 도달합니다 — "이 정도면 충분한가?"
두 트랙의 합류 지점
일반 작업 위험성평가(체크리스트법, 빈도·강도법)와 공정 위험성평가(HAZOP→LOPA→SIL)는 평가 방법이 다르지만, 감소 조치 이후 "잔여위험이 수용 가능한가"를 판단하는 논리 구조는 동일합니다. 본 코드는 두 트랙 모두에 적용되는 공통 원칙을 다룹니다.2. 감소대책 효과성 검증
감소 조치를 "실행했다"는 것과 "효과가 있다"는 것은 다릅니다. 효과성 검증 없이 종결하면, 실제로는 위험이 줄지 않았는데 서류상으로만 해결된 것처럼 보이는 상황이 발생합니다.
감소대책 효과성 검증 4단계
해당 대책이 어떤 위험 요인을 어떤 메커니즘으로 줄이도록 설계됐는지 명확히 정의. "안전장치를 설치했다"가 아니라 "어떤 시나리오에서 어떻게 작동해 위험을 차단하는가"로 기술
② 실행 확인
대책이 현장에 실제로 설치·적용됐는지 확인. 도면·계획상에만 존재하고 현장 구현이 안 된 경우가 흔함
③ 작동 검증
대책이 설계 의도대로 실제 작동하는지 시험. 정량적 대책(인터록, SIS 등)은 기능시험으로, 정성적 대책(절차, 교육 등)은 관찰·점검으로 확인
④ 위험 감소 효과 재확인
대책 적용 후 실제 위험 수준이 목표한 만큼 감소했는지 재평가. 감소 폭이 기대에 못 미치면 추가 조치 필요
"조치 완료" 보고와 효과성 검증은 별개
ARC-SAFE-003 §4에서 다룬 CAPA 효과성 검증 원칙이 위험성평가 감소 조치에도 동일하게 적용됩니다. 조치를 실행했다는 보고만으로 종결하지 말고, 일정 기간 후 실제 효과를 확인하는 절차가 필요합니다.3. ALARP 개념과 적용
ALARP(As Low As Reasonably Practicable, 합리적으로 실행 가능한 한 낮게)는 위험을 0으로 만들 수 없다는 전제에서, "더 줄이는 비용·노력이 얻는 위험 감소 효과에 비해 현저히 불균형한 지점"까지 위험을 낮추는 원칙입니다.
3.1 위험 수준 3영역 모델
| 영역 | 판단 | 요구 조치 |
|---|---|---|
| 허용 불가 영역 (Unacceptable) | 위험 수준이 지나치게 높음. 특별한 상황이 아니면 운영 불가 | 비용·노력과 무관하게 즉시 추가 감소 조치 필수. 조치 전 운영 중단 검토 |
| ALARP 영역 (Tolerable if ALARP) | 위험이 존재하나 적절한 조치로 관리 가능한 범위 | 실행 가능한 추가 감소 조치를 비용·효과 비교하여 적용. 균형점 판단 필요 |
| 광범위 수용 영역 (Broadly Acceptable) | 위험 수준이 충분히 낮아 추가 조치의 실익이 적음 | 일상적 관리 수준 유지로 충분. 단, 정기 재확인은 지속 |
3.2 ALARP 판단 기준 — "현저히 불균형(Gross Disproportion)"
ALARP 영역에서 추가 조치를 적용할지 판단할 때, 단순히 "비용이 더 든다"는 이유로 조치를 생략할 수 없습니다. 비용이 위험 감소 효과 대비 현저히 불균형해야 생략이 정당화됩니다.
ALARP 판단 시 고려 요소
소요 비용·노력 — 설치비, 운영비, 유지보수 부담, 생산성 영향 등 총 비용
업계 일반 관행(Good Practice) — 동종 업계·유사 공정에서 일반적으로 적용하는 수준의 대책인지 확인. 업계 표준 대책을 생략하면 ALARP 주장이 약해짐
기술적 실행 가능성 — 현재 기술 수준에서 실제 구현 가능한 대책인지 확인
ALARP는 "더 이상 할 수 없다"는 뜻이 아님
ALARP 판단은 일회성이 아니라 지속적 과정입니다. 신기술 도입, 비용 구조 변화, 사고 사례 축적 등으로 "실행 가능한" 범위가 넓어지면 ALARP 재검토가 필요합니다. "예전에 ALARP로 판단했다"는 것이 영구적 면죄부가 되지 않습니다.4. 잔여위험 평가
모든 감소 조치를 적용한 후에도 남는 위험이 잔여위험(Residual Risk)입니다. 잔여위험을 명시적으로 평가하고 인지하지 않으면, "조치했으니 안전하다"는 막연한 안도감만 남고 실제 남은 위험은 관리되지 않습니다.
잔여위험 평가 항목
모든 감소 조치 적용 후에도 발생 가능한 구체적 시나리오를 기술. "위험이 줄었다"가 아니라 "이런 조건에서는 여전히 이런 사고가 가능하다"로 명시
② 잔여위험 수준 정량·정성 평가
정량 평가가 가능한 경우(LOPA 적용 공정) PFDavg·발생빈도로 표현. 정성 평가인 경우 상·중·하 또는 위험도 매트릭스 위치로 표현
③ 허용 기준과의 비교
사전에 설정된 위험 허용 기준(Risk Acceptance Criteria)과 잔여위험 수준을 비교. 허용 기준은 사업장·업종별로 사전 정의되어야 함
④ 추가 관리 방안 명시
공학적으로 더 줄이기 어려운 잔여위험에 대해 운영·관리적 보완 방안(모니터링, 비상 대응 절차, 추가 교육 등)을 명시
5. 잔여위험 승인 절차
잔여위험을 "받아들인다"는 결정은 실무자 개인이 판단할 사안이 아닙니다. 위험 수준에 비례하는 권한을 가진 의사결정자의 명시적 승인이 필요합니다.
5.1 위험 수준별 승인 권한 체계
| 잔여위험 수준 | 승인 권한자 | 근거 |
|---|---|---|
| 광범위 수용 영역 | 현장 책임자 또는 안전관리자 | 일상적 위험 수준, 표준 절차 범위 내 |
| ALARP 영역 — 중간 수준 | 부서장 또는 공장장급 | 추가 조치 적용 여부에 대한 비용·효과 판단 권한 필요 |
| ALARP 영역 — 상위 수준 | 사업장 안전보건 총괄 책임자 | 중처법상 경영책임자 보고 대상 위험 수준에 근접 |
| 허용 불가에서 ALARP로 하향 조정 시 | 경영책임자 또는 위임된 최고 책임자 | 중대재해 가능성이 있는 위험에 대한 최종 수용 결정 |
잔여위험 승인 절차 4단계
시나리오, 수준, 허용 기준 비교 결과, 추가 관리 방안을 포함한 평가서 작성
② 적정 권한자 검토
위험 수준에 맞는 권한자에게 평가서 제출 및 검토 요청. 권한자는 현장을 확인하거나 평가 근거를 직접 검토
③ 승인 또는 추가 조치 요구
권한자가 잔여위험을 수용 가능하다고 판단하면 승인 서명. 불충분하다고 판단하면 추가 감소 조치 요구 후 재평가
④ 승인 기록 및 공유
승인 서명된 평가서를 보관하고, 관련 작업자·운영자에게 잔여위험 내용을 공유. 잔여위험을 알지 못한 채 작업하는 상황 방지
구두 승인 불가
잔여위험 승인은 ARC-COM-003에서 다룬 증적관리 원칙이 그대로 적용되는 영역입니다. "검토했다", "괜찮다고 했다"는 구두 확인은 증거가 없습니다. 서면 평가서 + 권한자 서명이 있어야 승인이 성립합니다.6. 재평가 조건
위험성평가는 한 번 승인받으면 끝나는 것이 아닙니다. 다음 조건이 발생하면 재평가가 필요합니다.
| 재평가 트리거 | 재평가 범위 |
|---|---|
| 공정·설비·작업 방법 변경 | 변경 영향을 받는 시나리오 전체 재평가 (§7 MOC 연계 참조) |
| 사고·아차사고 발생 | 해당 시나리오 및 관련 감소 조치 전체 재검토 |
| 감소 조치 성능 저하 발견 | 해당 조치가 보호하던 시나리오 재평가, 임시 보완 조치 검토 |
| 법령·기준 개정 | 개정 기준 충족 여부 확인 및 미충족 시 재평가 |
| 정기 재검토 주기 도래 | 전체 또는 우선순위 기준 단계적 재평가 (최소 연 1회 권고) |
| 유사 업종 중대사고 사례 발생 | 동일·유사 시나리오 존재 여부 확인 후 필요 시 재평가 |
7. 변경관리(MOC) 연계
위험성평가와 MOC(Management of Change)는 분리된 활동이 아닙니다. 변경이 위험성평가를 촉발하고, 위험성평가 결과가 변경 승인 여부를 결정합니다.
변경-위험성평가 연계 흐름
설비·공정·작업 방법 변경 제안 접수
② 위험성평가 필요 여부 판단
변경이 기존 위험성평가 시나리오, 감소 조치, 잔여위험에 영향을 주는지 검토. 영향이 없다고 단정하기 전 보수적으로 판단
③ 영향받는 범위 재평가
변경으로 영향받는 시나리오에 대해 §2~§5 절차(효과성 검증, ALARP, 잔여위험, 승인) 재적용
④ 변경 승인 및 시행
재평가 결과 잔여위험이 승인되면 변경 시행. 새로운 위험이 허용 불가 수준이면 변경 보류 또는 재설계
⑤ 문서 갱신
위험성평가서, 절차서, 도면 등 관련 문서를 변경 내용에 맞게 갱신
PUR·EX 도메인과의 연계
퍼지·가압 시스템(ARC-PUR-003 §5)이나 방폭 설비 변경처럼 기술 도메인에 특화된 MOC 절차가 이미 존재하는 경우, 해당 절차의 검토 항목과 본 코드의 재평가 원칙을 함께 적용하십시오. 도메인별 MOC가 기술적 세부 사항을, 본 코드가 위험 수용 판단 구조를 제공합니다.8. 현장 혼동 사례
혼동 1 — "조치 완료" 보고를 효과성 검증으로 간주
안전장치 설치 완료 보고서만으로 위험성평가 종결
혼동 2 — ALARP를 "추가 조치 안 해도 된다"는 면죄부로 사용
비용이 든다는 이유만으로 업계 표준 대책 생략
혼동 3 — 잔여위험 승인 사실을 작업자에게 공유하지 않음
관리자만 잔여위험을 알고 작업자는 모르는 채 작업
혼동 4 — "작은 변경"이라는 이유로 재평가 생략
부품 하나 교체이니 위험성평가 재실시 불필요로 판단
9. ArchSafe 실무 체크리스트
위험성평가 검증·잔여위험 관리 체크리스트
- ☐ 감소대책 효과성 검증 — 설계 의도·실행·작동·효과 4단계 모두 확인
- ☐ ALARP 판단 — 위험 감소 효과 대비 비용 "현저히 불균형" 여부 근거 문서화
- ☐ 업계 일반 관행 확인 — 동종 업계 표준 대책과 비교
- ☐ 잔여위험 시나리오 명시 — 막연한 평가가 아닌 구체적 시나리오 기술
- ☐ 위험 수준별 승인 권한 체계 — 사업장 내 사전 정의 및 적용
- ☐ 승인 서면화 — 구두 승인 금지, 평가서 + 권한자 서명
- ☐ 잔여위험 공유 — 작업 전 협의에 포함, 작업자 인지 확보
- ☐ 재평가 트리거 목록 — 사업장별 정의 및 모니터링 체계 구축
- ☐ MOC 연계 — 변경 규모와 무관하게 영향 범위 기준 재평가 판단
- ☐ ALARP 주기적 재검토 — 신기술·사고사례 축적 시 재판단
10. 참고 표준 및 자료
- 산업안전보건법 §36 (위험성평가), 고용노동부 「사업장 위험성평가에 관한 지침」
- HSE(영국) "Reducing risks, protecting people" — ALARP 개념 원전
- IEC 61511-1 §8 (위험성평가 및 보호계층 분석) — 정량 트랙 연계
- CCPS "Guidelines for Risk Based Process Safety" — 잔여위험 관리 실무
- ISO 45001:2018 §6.1.2 (위험성평가) — 재평가 주기 일반 원칙