법적 요구사항 준수평가와 내부심사(Internal Audit) 절차 완벽 가이드

안전보건 경영시스템(ISO 45001 및 KOSHA-MS)을 운영하면서 가장 강력한 자정작용 장치이자, 외부 심사원에게 시스템의 성숙도를 보여주는 핵심 절차가 바로 '법적 요구사항 준수평가(9.1.2항)'와 '내부심사(9.2항)'입니다. 하지만 현장에서는 여전히 외부 정기 심사를 앞두고 급하게 서류를 끼워 맞추는 형식적인 요식 행위로 치부되는 경우가 많습니다.

저 역시 실무 초년생 시절에는 내부심사를 단순히 "아는 직원끼리 서로 문제없다고 도장 찍어주는 형식적인 절차" 정도로 여겼습니다. 하지만 1년의 도전 끝에 ISO 심사원 자격을 취득하고 4년 차 베테랑으로 성장하면서, 외부 심사에서 부적합을 방지하고 주도권을 쥐는 유일한 방법은 바로 '스스로 우리 사업장의 치부를 먼저 찾아내고 바로잡는 것'임을 깨달았습니다. 오늘은 외부 심사를 완벽히 방어할 수 있는 법규 준수평가 및 내부심사 실무 절차와 작성 노하우를 공개합니다.

1. 법적 및 기타 요구사항 준수평가(9.1.2항) 실무 및 법규 등록부 관리

ISO 45001 9.1.2항은 조직이 자신에게 적용되는 안전보건 관계 법령을 식별하고, 이에 대한 준수 상태를 정기적으로 평가할 것을 명시하고 있습니다. 많은 사업장에서 범하는 실수는 산업안전보건법 조항만 달랑 몇 개 적어둔 뒤 "전 항목 준수함"으로 평가를 마무리하는 것입니다.

그러나 안전보건 관계 법령은 산업안전보건법 외에도 중대재해처벌법, 화학물질관리법, 소방시설법, 위험물안전관리법 등 사업장의 업종과 설비에 따라 범위가 매우 넓습니다. 심사원은 법규 준수평가 결과보고서를 볼 때 다음 3가지를 집중 검증합니다.

첫째, 최신 법 개정 사항이 반영된 **'법적 요구사항 등록부'**가 존재하는가입니다. 예를 들어 법이 개정되어 안전보건관리책임자의 평가 항목이 신설되었는데도 과거 법 기준으로 평가가 되어 있다면 즉시 지적 대상이 됩니다.

둘째, 단순히 "준수"라는 두 글자 대신 **'객관적 증빙(Evidence)'**이 명시되어 있는가입니다. "산업안전보건법 제15조 안전관리자 배치: 준수"라고 적는 것에 그치지 않고, "선임 신고서(접수번호: 2026-XXXX) 및 자격증 사본 보유"와 같이 법적 이행을 입증할 구체적 수단이 포함되어야 합니다.

셋째, 미준수 사항이 발굴되었을 때의 처리 절차입니다. 평가 과정에서 위반이나 미흡 사항이 발견되었다면, 이를 숨기지 않고 '미준수(Non-compliance)'로 표기한 뒤 즉시 시정조치 계획으로 연결한 흔적이 있어야 심사원으로부터 "법규 관리가 투명하게 작동하고 있다"는 신뢰를 얻습니다.

2. 독립성을 갖춘 내부심사원 팀 구성 및 체크리스트 작성

내부심사(9.2항)의 성패는 심사를 수행하는 '내부심사원의 객관성과 역량'에 달려 있습니다. 규격에서 명시하는 가장 중요한 원칙 중 하나는 바로 **'내부심사원의 독립성'**입니다. 즉, 자신이 속한 부서나 자신이 작성한 업무 프로세스를 스스로 심사해서는 안 된다는 뜻입니다.

과거 저희 사업장에서도 안전부서 담당자가 안전부서 서류를 스스로 심사했다가 심사원으로부터 "내부심사의 객관성 및 독립성 결여(9.2.2항)"로 지적을 받은 적이 있습니다. 이를 개선하기 위해 생산, 품질, 공정, 공무 등 타 부서의 팀장 및 실무자들을 대상으로 내부심사원 양성 교육을 실시하고, cross-audit(교차 심사) 체계를 구축했습니다.

또한, 내부심사에 사용할 체크리스트는 ISO 45001 규격 조항을 단순 복사한 것이 아니라, **'우리 사업장의 표준 절차서 + 현장 특성'**이 반영된 구체적인 질문 형태여야 합니다.

 잘못된 체크리스트 예시: "8.1.2항 위험요인 제거 절차를 준수하는가?" (너무 추상적임)

 올바른 체크리스트 예시: "생산 1팀의 기계 유해·위험 방호장치 점검표(양식-SAF-05)가 일일 단위로 작성되고 있으며, 관리감독자의 서명이 누락 없이 이행되고 있는가?"

이처럼 현장의 실제 문서 양식과 작업 행위를 타겟팅한 체크리스트를 활용해야 겉핥기식 심사를 막을 수 있습니다.

3. 내부심사 시나리오 구성과 현장 심사(Site Audit) 진행 팁

내부심사는 서류 검토만으로 끝나서는 안 되며, 문서 검토(Desktop Audit)와 현장 확인(Site Audit), 그리고 인터뷰가 삼박자를 이루어야 합니다. 성공적인 내부심사를 위한 표준 시나리오는 다음과 같이 4단계로 운영하는 것이 좋습니다.

1. 시작회의(Opening Meeting): 심사 대상 부서장과 면담을 통해 심사 일정, 범위, 목적을 공유하고 협조를 구합니다.

2. 문서 및 기록 검토: 공정별 작업허가서, 교육 일지, 위험성평가서 등의 기록이 내부 규정대로 관리되는지 확인합니다.

3. 현장 순회 및 근로자 인터뷰: 서류상 기재된 안전조치가 현장에 적용되었는지 직접 확인합니다. 현장 작업자에게 "작업 전 TBM 시 어떤 내용을 전달받습니까?", "비상시 대피 장소는 어디입니까?"와 같은 질문을 통해 실행도를 측정합니다.

4. 종료회의(Closing Meeting): 발굴된 지적사항을 관찰사항(Observation), 경부적합(Minor NC), 중부적합(Major NC)으로 분류하여 해당 부서장에게 공유하고 개선에 합의합니다.

내부심사 시 팁을 드린다면, 지적사항을 찾았을 때 담당자를 비난하는 분위기를 형성해서는 안 된다는 점입니다. 내부심사의 목적은 '사람을 벌하는 것'이 아니라 '시스템의 구멍을 메우는 것'임을 명확히 하고, 해당 부서가 실질적으로 개선할 수 있는 방향으로 소통해야 현장의 거부감을 줄일 수 있습니다.

4. 내부심사 지적사항 시정조치 및 최고경영자 보고(경영검토 연계)

내부심사가 끝난 후 작성되는 '내부심사 결과보고서'와 '시정조치요구서(CAR: Corrective Action Request)'는 내부심사의 꽃입니다. 지적사항이 나왔음에도 시정조치가 제대로 이행되지 않거나 유효성 검증 없이 유야무야 넘어간다면, 외부 심사 시 중부적합으로 격상되는 치명적인 결과를 초래합니다.

도출된 부적합에 대해서는 반드시 피심사 부서가 **'근본 원인 분석(Root Cause Analysis)'**을 수행하도록 해야 합니다. 단순 작업자의 실수로 치부하지 않고, "왜 교육이 부족했는가?", "왜 절차서가 현실과 맞지 않았는가?"를 5-Why 기법 등을 활용해 분석해야 합니다.

그리고 시정조치가 완료된 후에는 내부심사원이 반드시 현장을 재방문하여 대책이 제대로 실행되었는지 확인하고 유효성 검증 서명을 남겨야 합니다. 최종적으로 이렇게 완성된 내부심사 결과와 법규 준수평가 결과는 '최고경영자 경영검토(9.3항)' 보고 안건으로 올려 의사결정을 받아야 합니다.

외부 심사원이 왔을 때 "저희는 올해 내부심사를 통해 총 12건의 부적합을 스스로 발굴했으며, 이에 대한 근본 원인을 분석하여 100% 시정조치 및 유효성 검증을 완료해 최고경영자 보고까지 마쳤습니다"라고 보고서와 증빙을 제시해 보십시오. 심사원은 더 이상 여러분의 사업장 체계를 의심하지 않고 최고의 성숙도를 갖춘 시스템으로 인정하게 될 것입니다.

결론

법적 요구사항 준수평가와 내부심사는 외부 심사원의 눈을 속이기 위한 보여주기식 행사가 아니라, 우리 사업장의 안전보건 관리체계가 녹슬지 않도록 기름을 칠하는 자정 프로세스입니다.

1년이 걸려 심사원 자격을 취득하고 4년 차 베테랑으로 현장을 누비는 지금, 저는 내부심사에서 지적사항이 나오는 것을 결코 두려워하지 않습니다. 내부에서 발견된 문제점 하나하나가 곧 외부의 치명적인 재해와 법적 리스크를 막아주는 가장 강력한 방화벽이라는 것을 잘 알고 있기 때문입니다. 스스로의 결점을 당당히 마주하고 개선하는 진짜 전문가로 거듭나시길 바랍니다.