“이번에도 괜찮았잖아”가 두 번 반복됐다 — 챌린저와 컬럼비아, 정상화된 일탈의 경영학

2023년 9월 18일, 미국 워싱턴주 렌턴의 보잉 공장. 새로 조립 중이던 737 MAX 9 동체에서 리벳이 잘못 박힌 것이 발견됐다. 고치려면 동체 옆면의 ‘중간 비상구 플러그(door plug)’를 열어야 했다. 누군가 열었다. 그런데 그 작업의 제거 기록(removal record)이 만들어지지 않았다. 기록이 없으니 다음 날 문을 닫을 때 전담 기술자가 부르지도 않았고, 볼트를 다시 꽂았는지 확인하는 품질검사도 열리지 않았다.

넉 달 뒤인 2024년 1월 5일, 그 비행기는 고도 4,900m에서 옆구리가 뜯겨 나갔다. 볼트 네 개가 처음부터 없었다. 기적적으로 사망자는 없었다.

2025년 6월 24일 미국 교통안전위원회(NTSB)가 내놓은 최종 결론은 “실수한 작업자”를 지목하지 않았다. 사고의 추정 원인은 보잉이 부품 제거 절차를 “일관되고 정확하게 지킬 수 있도록 적절한 훈련·지침·감독을 제공하지 못한 것“이었다. 위원회는 FAA에 대해서도 보잉의 “반복적이고 구조적인(repetitive and systemic)” 절차 미준수를 시정시키지 못했다고 적었다. 제니퍼 호멘디 위원장의 표현은 더 날카로웠다. “이 사고로 이어진 안전 결함들은 보잉과 FAA에게 이미 보였어야 했다.“

40년 전 사회학자가 이미 이름을 붙여 두었다

1986년 챌린저 폭발을 수년간 재구성한 사회학자 다이앤 본은 불편한 결론에 도달했다. 규칙을 어긴 사람은 거의 없었다는 것이다. 규칙 자체가 조금씩 움직였을 뿐이다. 그는 여기에 정상화된 일탈(normalization of deviance)이라는 이름을 붙였다.

과정은 놀라울 만큼 관료적이고 합리적으로 보인다. 첫 비행에서 예상 못한 부식이 나온다. 엔지니어들이 분석하고, 여유가 있다고 판단하고, 문서를 만들어 승인한다. 다음 비행에서 같은 현상이 조금 더 심하게 나온다. 하지만 이미 ‘허용 가능’으로 분류한 전례가 있으니 이번 판단은 더 쉽다. 전례가 근거가 되고, 근거가 다시 전례를 낳는다. 17년 뒤 컬럼비아 사고조사위원회(CAIB)도 같은 병리를 다시 적었다. 원칙은 “안전함이 입증되지 않으면 날리지 않는다”인데, 현장에서는 “위험함이 입증되지 않으면 날린다”로 뒤집혀 있었다.

여기까지가 교과서다. 문제는 이게 박물관에 들어간 개념이 아니라는 것이다. 2024~2025년 조사보고서들은 같은 문장을 다시 쓰고 있다.

보잉 — 서류 한 장이 빠지는 게 일상이 됐을 때

도어플러그 사고에서 가장 무서운 대목은 볼트가 아니라 서류다. 문을 여는 행위 자체는 금지된 게 아니었다. 열었으면 기록을 남기고, 기록이 있으면 닫을 때 전담 기술자와 품질검사가 자동으로 따라붙는 구조였다. 그 한 칸이 비면 이후 안전망 전체가 조용히 꺼진다. NTSB는 보잉의 부품 제거 교육이 “다소 비공식적이고 대부분 현장 도제식(on the job)”이었으며, 숙련 인력 부족으로 오류를 잡아낼 사람도 줄었다고 지적했다.

이건 하루아침에 생긴 일이 아니다. 사고 1년 전인 2024년 2월, FAA가 소집한 독립 전문가패널은 보잉의 안전관리시스템(SMS)에 대해 50쪽짜리 보고서를 내면서 우려 사항 27건과 권고 53건을 달았다. 경영진과 현장 사이에 안전문화 인식의 ‘단절’이 있고, 안전 지표가 너무 여러 갈래여서 직원들이 구분하지 못하며, 무엇보다 비행기를 점검하는 직원들이 보복 없이 문제를 제기할 수 있는지 확신하지 못한다는 내용이었다. 조직 안에서 이탈을 알릴 통로가 막히면, 이탈은 관측되지 않고 관측되지 않은 이탈은 존재하지 않는 것으로 처리된다.

대가는 길었다. FAA는 2024년 1월 737 MAX 생산량을 월 38대로 묶었고, 이 상한은 2025년 10월에야 월 42대로 풀렸다. 서류 한 장의 관행이 21개월치 생산능력으로 청구된 셈이다.

타이탄 — 경고음을 ‘자리 잡는 소리’라고 부른 대가

2025년 8월 미 해안경비대 조사위원회가 내놓은 300쪽이 넘는 타이탄 잠수정 보고서는 더 노골적이다. 결론 문장은 “예방 가능했다(preventable)”였다.

핵심 장면은 2022년 7월 15일의 80번째 잠항이다. 탄소섬유 선체에서 큰 파열음이 났고, 실시간 모니터링 장비의 스트레인 게이지 값이 뚜렷하게 움직였다. 조사위는 이것을 선체 층간분리(delamination)의 시작으로 봤다. 당시 오션게이트 팀은 그 소리를 잠수정이 운반 플랫폼에 자리 잡으면서 난 소리로 정리하고 넘어갔다. 조사위 기술자문 케이티 윌리엄스 소령의 말이 이 글의 요약이다. “그 큰 소리를 들었을 때 전면 중지하고 더 조사했어야 했다.” 보고서는 회사에 데이터가 없었던 게 아니라 그 데이터를 해석할 전문성이 없었고, 결국 해석하지 않은 채 넘어갔다고 짚는다. 여기에 폐쇄적인 사내 문화와 작동하지 않는 내부고발 절차가 겹쳤다. 챌린저와 다른 점은 하나뿐이다. 이번엔 데이터가 실시간으로 손에 있었다.

제조업만의 병이 아니다 — IT·금융·국내 현장

IT. 2024년 7월 19일 크라우드스트라이크의 보안 업데이트 하나가 전 세계 윈도우 850만 대를 멈춰 세웠다. 자체 근본원인 분석에 따르면, 검증기는 입력값 21개를 기준으로 검사했는데 실제 해석기에는 20개만 전달되는 불일치가 오래 잠복해 있었다. 테스트는 21번째 항목을 와일드카드로만 돌려서 그 틈을 한 번도 건드리지 않았다. 결정적으로 ‘신속 대응 콘텐츠’는 단계적 배포 대상이 아니어서, 카나리아 배포도 1% 선행 배포도 없이 전 고객에게 동시에 나갔다. “이 채널은 지금까지 사고가 없었으니까”가 예외의 근거였다.

금융. 2024년 4월 씨티그룹은 고객 계좌에 280달러 대신 81조 달러를 입금 처리했다. 잘 쓰지 않는 백업 시스템이 금액 칸에 0을 15개 미리 채워 두는데 지우지 않은 것이다. 두 사람을 그대로 통과했고, 세 번째 사람이 90분 뒤에 잡았다. 진짜 숫자는 그다음이다. 파이낸셜타임스가 인용한 내부 보고서에 따르면 씨티는 2024년에만 10억 달러 이상 규모의 ‘니어미스’를 10건 겪었다. 2023년엔 13건이었다. 사고 건수로만 보면 이 은행의 성적표는 0이다.

국내. 2024년 6월 24일 경기 화성 아리셀 공장 화재로 23명이 숨졌다. 경찰이 두 달 뒤 발표한 수사 결과의 뼈대는 기술이 아니라 일정이었다. 지연된 납품 일정을 맞추려 무리하게 공정을 돌리고 미숙련 인력을 투입했다는 것이다. 그리고 결정적인 한 줄이 있다. 참사 이틀 전에도 전해액 주입을 마친 전지 1개가 폭발했지만, 원인 분석도 조치도 없었다. 신호는 왔었다. 아무도 그것을 사건으로 접수하지 않았을 뿐이다.

실무 적용 — 우리 조직에서 정상화된 일탈을 잡아내는 점검법

정상화된 일탈은 성실하고 유능한 사람들만 모아 놓아도 발생한다. 개인을 다그쳐서는 잡히지 않고, 다음 세 가지 장치로만 잡힌다.

• 예외 승인은 반드시 로그로 남기고, 만료일을 붙여라. “이번만 리뷰 생략”, “임시로 권한 열어 둠”, “이번 건은 검사 건너뜀”을 구두로 처리하지 말 것. 승인자·사유·만료일 4칸짜리 표 하나면 된다. 만료일이 지나면 자동으로 다시 심사받게 만들어야, 임시가 영구로 굳는 걸 막는다. 보잉 사고는 정확히 이 칸이 비어서 시작됐다.
• 사고가 아니라 ‘니어미스’를 지표로 관리하라. 규정에서 벗어났지만 무사히 지나간 사건을 세라. 씨티는 사고 0건이지만 10억 달러급 니어미스는 연 10건이었고, 그 숫자가 있었기에 위험을 관리할 수 있었다. 니어미스 보고가 0건인 부서는 안전한 게 아니라 보고가 죽은 것이다.
• 보고 통로를 비징벌로 못 박고, 분기마다 실제로 검증하라. FAA 전문가패널이 보잉에서 발견한 최악의 문제는 결함이 아니라 “보복이 두려워 말하지 못한다”는 인식이었다. 익명 채널을 만드는 것으로 끝내지 말고, 최근 제기된 문제 중 몇 건이 실제로 조치됐는지를 숫자로 공개하라.
• 추적할 지표는 딱 세 개로 줄여라. ① 미결 예외 건수(만료일 초과 포함) ② 니어미스 보고 건수 ③ 보고 후 조치 완료율. 보잉 패널은 지표가 너무 많아 직원들이 구분조차 못 했다고 지적했다. 지표가 많으면 아무도 보지 않는다.
• 제동 라인을 가속 라인과 다른 상사 밑에 두라. 품질·보안·안전 책임자가 일정과 예산을 책임지는 임원에게 보고하면 제동은 작동하지 않는다. 그리고 문서에 기본값 문장을 한 줄 박아라. “괜찮다는 근거가 없으면 진행하지 않는다.” 입증 책임이 어느 쪽에 있느냐가 조직의 기본 속도를 정한다.

마지막 질문

2024~2025년 보고서들을 나란히 놓으면 공통점이 하나 보인다. 어느 조직도 데이터가 없어서 실패하지 않았다. 보잉에는 반복된 절차 미준수 기록이, 오션게이트에는 실시간 스트레인 데이터가, 아리셀에는 이틀 전의 폭발이 있었다. 전부 있는 신호를 사건으로 접수하지 않았을 뿐이다.

사고는 마지막 순간의 실수처럼 보이지만, 실제로는 수년에 걸쳐 아무도 놀라지 않은 작은 이탈들의 합계다. 그러니 물어야 할 질문은 “지금 위험한가”가 아니다. “우리가 언제부터 이걸 정상이라고 부르기 시작했는가.” 그리고 하나 더. 우리 팀에서 마지막으로 “이건 좀 이상한데요”라고 말한 사람은 누구였고, 그 말은 어디까지 올라갔는가?

참고: NTSB 항공사고 최종보고서 DCA24MA063(2025.6~7 공표) · 미 해안경비대 MBI 타이탄 조사보고서(2025.8) · FAA ODA 전문가패널 보고서(2024.2) · CrowdStrike 채널파일 291 근본원인 분석(2024.8) · Diane Vaughan, The Challenger Launch Decision(1996) · CAIB Report Vol.1(2003). 본 글은 조직 연구 해설입니다.

썸네일 사진: NASA (Public domain) / Wikimedia Commons.

작성 · Inkmoat 편집팀 — 최신 경영학 논문과 비즈니스 케이스를 1차 출처 기준으로 큐레이션합니다. 본 콘텐츠는 정보·해설 목적이며 투자 권유가 아닙니다.