“이번에도 괜찮았잖아”가 두 번 반복됐다 — 챌린저와 컬럼비아, 정상화된 일탈의 경영학

사고를 설명하는 가장 편한 이야기는 ‘악당’이다. 누군가 알면서 위험을 숨겼다는 서사. 그러나 챌린저 사고를 수년간 재구성한 사회학자 다이앤 본의 결론은 훨씬 불편했다. 규칙을 어긴 사람은 거의 없었다. 규칙 자체가 조금씩 움직였을 뿐이다.

핵심 요약

• 정상화된 일탈(normalization of deviance)은 설계 기준을 벗어난 현상이 사고 없이 반복될 때, 조직이 그 이탈을 ‘허용 범위’로 재정의하는 과정을 말한다(Diane Vaughan, The Challenger Launch Decision, 1996).
• 챌린저의 고체 로켓 부스터 O링 손상은 사고 이전 여러 비행에서 이미 관측됐지만, 매번 “그래도 터지지 않았다”가 근거가 되어 허용됐다.
• 2003년 컬럼비아 사고 조사위원회(CAIB)는 기술적 원인(단열재 충돌)보다 조직적 원인을 더 길게 다뤘고, 17년 전과 같은 조직 병리가 남아 있었다고 적었다.
• 핵심 병리는 입증 책임의 역전이다. “안전하다는 것을 입증해야 발사”에서 “위험하다는 것을 입증해야 중단”으로 바뀌면 사고는 시간 문제가 된다.
• 기업에도 그대로 적용된다. 매번 넘어가는 코드 리뷰 생략, 매번 넘어가는 마감 단축, 매번 넘어가는 품질 예외가 조직의 새 기준이 된다.

이탈은 어떻게 기준이 되는가

본의 재구성에 따르면 과정은 놀라울 만큼 관료적이고 합리적으로 보인다. 첫 비행에서 예상치 못한 부식이 발견된다. 엔지니어들은 분석하고, 안전 여유가 남아 있다고 판단하고, 문서를 만들어 승인한다. 다음 비행에서 같은 현상이 조금 더 심하게 나타난다. 그러나 이미 한 번 ‘허용 가능’으로 분류된 전례가 있으므로, 이번에는 판단이 더 쉬워진다. 전례가 근거가 되고, 근거가 다시 전례를 낳는다.

여기서 결정적인 것은 데이터의 부재가 아니라 데이터 해석의 프레임이다. 손상이 있었는데 사고는 없었다는 사실은 두 가지로 읽힌다. “여유가 충분하다”로 읽으면 이탈이 정당화되고, “운이 좋았다”로 읽으면 경보가 된다. 조직은 일정 압박과 예산 압박 아래에서 거의 언제나 전자를 택한다.

본은 이를 개인의 도덕적 실패가 아니라 조직 문화와 구조가 만들어 낸 산물로 봤다. 그래서 이 개념이 무섭다. 성실하고 유능한 사람들만 모아 놓아도 같은 결과가 나올 수 있기 때문이다.

온도와 O링, 그리고 보이지 않은 그래프

챌린저 발사 전날 밤, 저온에서 O링의 탄성이 떨어질 수 있다는 우려가 제기됐다. 그러나 회의에서 제시된 자료는 손상이 있었던 비행만 나열하는 형태였고, 손상이 없었던 비행까지 포함해 온도축에 함께 찍었을 때 드러나는 경향은 그 자리에서 보이지 않았다. 통계학자 에드워드 터프티는 훗날 이 사례를 데이터 표현의 실패로 유명하게 만들었다.

경영 회의에서 이 실수는 매일 반복된다. 성공 사례만 모아 놓은 표, 이탈 고객을 뺀 만족도 조사, 살아남은 제품만 남은 포트폴리오. 비교군이 빠진 자료는 대개 안심시키는 방향으로 편향된다.

17년 뒤, 같은 문장이 반복되다

2003년 컬럼비아호가 재진입 중 파괴된 뒤 구성된 사고 조사위원회(CAIB)의 보고서는 이례적인 문서다. 기술 분석 못지않은 분량을 조직·문화·의사결정 구조에 할애했고, 챌린저 이후 도입된 개선책들이 시간이 지나며 무력화됐다고 지적했다.

보고서가 짚은 대표적 구조 문제는 이렇다. 안전 조직이 일정과 예산을 책임지는 라인에 종속되어 독립적으로 제동을 걸 힘이 없었다. 하위 엔지니어의 우려가 상위 의사결정 회의까지 올라가는 경로가 사실상 막혀 있었다. 그리고 다시, 반복 관측된 단열재 이탈은 ‘알려진 사항’으로 분류돼 있었다.

가장 인용할 만한 대목은 입증 책임에 관한 것이다. 원칙적으로 항공우주 시스템은 “안전함이 입증되지 않으면 비행하지 않는다”. 그러나 실무에서는 “위험함이 입증되지 않으면 비행한다”로 뒤집혀 있었다. 이 한 글자 차이가 조직의 기본값을 바꾼다.

기업 조직으로 옮기면

제조 현장이 아니어도 정상화된 일탈은 도처에 있다.

• 배포 프로세스 — “이번만 리뷰 생략”이 세 번 반복되면 리뷰는 선택 사항이 된다.
• 재무·보고 — 마감 임박에 관행처럼 넘어간 예외 처리가 다음 분기의 표준 처리로 굳는다.
• 고객 대응 — 매번 넘어간 응답 지연이 새로운 서비스 수준이 된다.
• 보안 — 임시 예외로 열어 둔 권한이 아무 사고 없이 1년을 지나면 아무도 닫지 않는다.

대응책은 화려하지 않다. 첫째, 이탈을 기록하고 세는 것이다. 사고가 아니라 ‘규정에서 벗어났으나 무사히 지나간 사건’을 지표로 관리하면 표류가 눈에 보인다. 둘째, 안전·품질 라인의 독립성이다. 제동 장치가 가속 페달과 같은 상사를 두면 제동은 작동하지 않는다. 셋째, 기본값을 원위치로 되돌리는 문장이다. “괜찮다는 근거가 없으면 진행하지 않는다”를 명시적으로 문서에 박아 두는 것만으로도 논쟁의 무게중심이 이동한다.

사고는 대개 마지막 순간의 실수처럼 보이지만, 실제로는 수년에 걸쳐 아무도 놀라지 않은 작은 이탈들의 합계다. 조직이 스스로에게 물어야 할 질문은 “지금 위험한가”가 아니라 “우리가 언제부터 이걸 정상이라고 부르기 시작했는가”이다.

참고: Vaughan, D. (1996) The Challenger Launch Decision / Columbia Accident Investigation Board Report Vol. 1 (NASA, 2003). 본 글은 조직 연구 해설입니다.

썸네일 사진: NASA (Public domain) / Wikimedia Commons.

작성 · Inkmoat 편집팀 — 최신 경영학 논문과 비즈니스 케이스를 1차 출처 기준으로 큐레이션합니다. 본 콘텐츠는 정보·해설 목적이며 투자 권유가 아닙니다.