[별표 1] 위험관리절차

1. 위험관리(Risk Management) 일반사항

1.1(위험관리 목적) ① 위험관리는 SMS 운영자의 안전에 영향을 미치는 위해요인을 식별한 후, 위험의 발생가능성과 심각도에 대하여 위해요인과 관련된 각각의 위험을 평가하는 것을 목적으로 한다.

② 위험의 수준을 확인하여 위험이 허용될 수 없는 수준이라고 판단될 경우 적절한 경감조치를 이행하고 그 효과를 확인한다.

1.2(위험관리절차) ① 위험관리절차는 시스템 분석, 위해요인 식별, 위험분석, 위험평가 및 경감절차로 구성된다.

② 위험관리절차의 세부 구성요소는 다음과 같다.

위험관리절차

구성요소

위해요인 식별

시스템 분석

(2.1, 2.2)

위해요인 식별

(2.3, 2.4)

위해요인 재식별

(2.5)

시스템과

이해 당사자 간 상호조정

(2.6)

위해요인 분석

위해요인 초도분석

(3.1, 3.2, 3.3)

위해요인 기록

(3.4)

위험분석

위험분석

사전준비

(4.2)

시나리오 분석

(4.5)

발생가능성 및 심각도 분석

(4.6, 4.7)

위험 분석 기록

(4.8)

위험평가

위험 수준 판정

(5.2)

조치 수준 결정

(5.3)

위험 평가 기록

(5.4)

위험경감

경감 조치

(6.1)

위험 경감 기록

(6.2)

안전관리

의사결정

안전관리

의사결정

(7.1)

시스템과

이해 당사자 간 상호조정

(2.6)

안전계획에 반영

(7.2)

후속조치 및

위험 재평가

후속조치

(8.1)

위해요인 재식별

(2.5)

위험 재평가

(8.2)

후속조치 및

위험 재평가 기록(8.3)

1.3(위험관리 문서화) ① 위험관리의 모든 과정은 단계별로 다음의 산출물을 명확하게 문서화해야 한다.

1. 시스템 분석 : 시스템 정의서(System Description)

2. 위해요인 식별: 위해요인목록(Hazard List)

3. 위험 분석/평가 : 위험대장(Risk Register)

4. 안전현안 : 안전현안목록(Significant Issues List)

5. 수정조치 : 수정조치목록(Corrective List)

② 위험관리 기록은 식별된 위해요인과 위험 관련 사항, 현재의 모든 수정조치 시행과 관련 위험평가의 결과를 포함하여야 하며, 필요한 경우 가능한 위험 경감 수단과 수정조치에 따른 위험 재평가를 포함한다.

③ 위험관리 기록은 안전위원회(Safety Committee)의 회의에서 정기적으로 검토되어야 한다.

2. 위해요인 식별(Hazard Identification)

2.1(시스템 분석)  “시스템”이란 하나의 공통적인 목적을 수행하기 위해 조직화된 요소들의 집합체를 말하며, 서로 상호작용을 하는 서브시스템으로 구성되어 있다. SMS 운영자는 위해요인 식별을 위한 사전 준비로 다음 각 호의 시스템 분석 절차를 수립해야 한다.

1. 해당부서의 직무 및 안전 활동의 범위, 조직체계

2. 직무 및 안전 활동에 따른 관련 법령, 문서 및 정보체계

3. 직무 및 안전 활동에 사용되는 설비 및 장비

4. 직원의 직무명세서 및 자격, 교육훈련에 관한 사항

5. 직무 및 안전 활동에 영향을 주는 외부 운영환경

6. 직무 및 안전 활동에 관계된 다른 부서 및 외부 기관 또는 조직

SMS 운영자는 시스템 분석에서 다음 각 호의 사항을 확인해야 한다.

1. 비정상적 운영 상태를 판별하기 위한 기준(Baseline) 설정

2. 위해요인을 식별하고 위험을 평가하기 위한 운영 환경의 비정상 상태 분석

3. 비정상 운용에 따른 영향도 분석 및 비상대응 조치사항

시스템을 구성하는 서브시스템은 분석기법에 따라 다소 상이한 차이가 있다. 다음 각 호는 대표적인 시스템 분석기법들의 서브시스템 분류기준이다.

1. SHELL 분석기법 : Software, Hardware, Environment, Liveware, Liveware-Liveware, 각 요소의 상호 인터페이스

2. 4M 분석기법 : Man(인적), Machine(기계적), Media(물질․환경적), Management(관리적)

2.2(시스템 정의서) ① 2.1의 시스템 분석은 조직의 모든 서비스 영역에 대하여 명확하게 문서화되어야 한다.

시스템 분석의 결과는 시스템 정의서에 기록되며, 다음 각 호의 사항을 포함하여야 한다.

1. 위해요인이 발생될 수 있는 시스템의 2.1의 제1항 분석결과

2. 2.1의 제2항에서 확인된 사항

시스템 정의서는 SMS 담당부서와 협의하여 운영자의 상황에 맞게 조정할 수 있으며, 국제표준화기구(ISO)의 품질관리(ISO 9001) 문서화 원칙을 적용할 수 있다.

2.3(위해요인 식별이 필요한 경우)  위해요인 식별은 위해요인이 존재할 수 있는 모든 항공기 운영부문에 걸쳐 체계적으로 수행 되어야 하는 것으로 다음 각 호의 하나에 해당하는 경우 시행한다.

1. 제33조제1항의 정보에서 사건의 원인, 불안전 상황, 위험의 전조가 기존에 확인되지 않았던 새로운 사항이 발견될 경우

2. 2.1의 제2항의 시스템분석에서 기존에 확인되지 않았던 새로운 비정상 상태 및 운영상태가 발견되고 그 원인과 영향도를 평가할 수 없는 경우

3. 정기적인 안전성과 모니터링 결과 설정된 관리범위를 초과한 경우

4. 위험경감을 위한 새로운 안전대책, 또는 수정조치가 시행된 경우

5. 조직의 변화, 규정의 변화, 새로운 기기의 도입 등 제44조제1항의 각 호에 해당하는 변화가 발생한 경우

② 위해요인이 식별된 경우 SMS 운영자는 제2장 제3절의 위험관리 절차에 따라 식별된 위해요인을 분석하며 절차나 항공기 운용 실무에서 위해요인을 식별하기 위해서는 제51조의 설계, 조직, 업무환경 요인 등에 대한 시스템 분석이 선행되어야 한다.

2.4(위해요인 식별 방법) ① 위해요인의 식별은 다음 각 호의 공식적․비공식적 방법으로 수행된다.

1. 공식적 절차 : 안전조사, 안전감독, 모니터링, 보고제도 등

2. 비공식적 절차 : 워크숍 등 그룹 활동(브레인스토밍 등), 인터뷰, 설문

② 제1항제2호의 비공식적 절차는 주로 전문가들의 그룹 활동에 의한 집단 체험화 과정에 기반을 두고 있으므로 개인 보다는 집단적 식별이 권장된다.

2.5(위해요인 재식별) ① SMS 운영자는 제44조제2항과 같이 시스템에 중대한 변경사항이 발생한 경우 2.5의 위해요인식별 프로세스를 반복해서 적용하여야 한다.

② 2.3의 시스템 정의서에 수록되지 않은 새로운 요소가 발견되거나 안전조사 및 안전감사 결과 예상할 수 없었던 상호작용이 감지되어 위험 경감조치가 시행될 경우에는 위해요인을 재식별하여야 한다.

2.6(시스템과 이해당사자간 상호협의) ① 식별된 위해요인은 SMS 운영자의 현업부서와 관련 외부 조직의 이해당사자 간의 상호협의를 통해 제26조에 따른 안전에 대한 책임관계를 적용해야 한다.

② 안전관리자는 SMS 운영자의 부서 및 조직 내부․외부의 안전관리 활동을 상호 연계함으로써 운영 시스템에 잠재된 위해요인이 체계적으로 식별될 수 있도록 해야 한다.

③ 안전관리자는 제2항의 안전관리 활동을 수행할 때 제27조제3항의 안전위원회(Safety Committee)를 통해 부서 및 조직 내부․외부의 시스템과 이해당사자 간 안전소통에 문제가 없도록 해야 한다.

3. 위해요인 분석(Hazard Analysis)

3.1(위해요인 초도분석) ① 위해요인 초도분석(Preliminary Hazard Analysis, PHA)의 목적은 위해요인 시스템을 분석하고, 위험에 대한 선별작업(Screening)을 통해 보다 상세한 위험분석(Risk Analysis) 진행 여부를 결정하는 것이다.

② 위험분석 진행여부는 안전관리자의 최종 판단에 따르며, 위험수준이 심각하지 않거나 매우 낮은 경우 다음 각 호와 같이 처리할 수 있다.

1. 후속 위험분석 생략

2. 추가적인 위험평가 없이 위험 수준 판정

3. 경미한 수준(허용가능)에서 위험 조치

③ 다음 각 호의 절차에 따라 위해요인 초도분석을 수행한다.

1. 발생한 위험사건과 2.5의 방법으로 식별된 위해요인을 검토할 것

2. 위해요인이 통제되지 않을 경우의 상황을 검토할 것

3. 위험사건에 직․간접 원인을 제공한 원인사건들과 그 인과관계를 검토할 것. 이 경우 인과관계의 근원(Root Cause)을 위험원(Hazard Element, HE)으로, 중간 단계의 원인을 발생기제(Initiating Mechanism, IM)로 한다.

4. 위험사건의 영향으로 발생 가능한 잠재결과를 검토할 것. 위험사건으로부터 잠재결과에 이르기까지 발생된 모든 사건들로 사건 시나리오(scenario)를 구성한다.

5. 위험원(HE)으로부터 위험사건에 이르기까지 통제되지 않은 요인 및 위해요인에 대한 안전기제를 검토할 것

6. 위험사건이 어떤 단계에서 차단되었고 정상적으로 작동된 방어기제는 무엇이며, 만약 방어기제가 작동되지 않았을 경우 발생할 수 있는 잠재 결과와 그것들의 심각성을 검토할 것

④ 제3항에 따른 검토결과를 바탕으로 위해요인-이벤트 목록을 작성하여 위해요인의 총괄적인 구조를 파악할 수 있다. 이 때 위해요인-이벤트 목록의 작성 예시는 별표1-1을 참조한다.

위해요인 초도분석은 SMS 운영자의 상황에 따라 2. 위해요인 식별과 병행할 수 있다.

3.2(위해요인 초도분석 기법 및 도구) ① 위해요인 분석은 2.5의 위해요인 식별에서 사용한 기법 및 도구와 동일한 방법론을 적용할 수 있다.

② 3.1의 제2항의 판정 시 객관적인 판단을 위하여 델파이 기법, 계층적 의사결정 기법(AHP) 및 그 밖에 이와 유사한 형태의 객관적 의사결정 방법론을 적용한다.

3.3(위해요인 작명원칙)  ① 3.2 및 3.3에 따라 분석된 위해요인 시스템에 특성을 잘 반영할 수 있는 명칭을 부여해야 한다.

② 위해요인의 잠재적 결과 보다는 위험원(HE)과 발생기제(IM)를 잘 표현할 수 있도록 작명되어야 한다.

ICAO SMM 2nd ed.(2009), p.4-3, 4.3.4

③ 위해요인의 작명은 ｢국가항공안전프로그램｣ 별표 3의 위해요인 분류코드를 기준으로 한다. 만약 해당되는 위해요인 코드가 없으면 SMS 담당자와의 협의를 거쳐 자체적으로 위해요인 명칭을 기술하고 코드를 부여할 수 있다.

3.4(위해요인 기록) ① 식별된 모든 위해요인은 명확히 문서화되어야 한다. 위해요인목록(Hazard List)은 식별된 위해요인을 기록할 뿐 아니라 위험관리에서 수행되는 모든 위험관리 정보의 중심이 된다.

② 소형조직과 같이 위해요인목록 외에는 별도의 위험기록을 관리하고 있지 않은 경우에는 위해요인목록에 다음 각 호와 같이 위험에 관련된 모든 사항이 기록되어야 한다.

1. 위험평가 결과

2. 위험경감 및 수정조치가 이행되었다면 위험의 재평가 결과

위해요인목록은 모든 안전위원회의 회의에서 정기적으로 검토되어야 한다. 위해요인목록에 대한 예시는 별표 3을 참고한다.

4. 위험 분석(Risk Analysis)

4.1 (위험분석 절차) ① 위험분석은 위해요인 식별 및 초도분석 등을 통해 수집된 사전 정보를 바탕으로 위험 발생의 인과관계를 보다 상세히 분석하여 위험평가를 하기 위한 것이다.

< 위험관리절차의 위험분석 범위 >

② 위험분석의 절차는 다음 각 호와 같다.

1. 사건 시나리오(Event Scenario) 분석

2. 발생가능성(Probability) 분석

3. 심각도(Severity) 분석

③ 위험분석은 정성적 방법과 정량적 방법으로 구분할 수 있다. 정성적 방법과 정량적 방법의 결정은 SMS 운영자가 조직규모와 운영특성을 고려하여 결정하며, 판단기준은 자원과 수집된 정보에 따라 결정된다.

4.2(위험분석 사전준비) ① 위험분석을 위해 다음 각 호의 사전 분석작업과 관련 정보 등이 필요하다.

1. 위해요인분석(Hazard Analysis)

가. 위해요인목록(Hazard List)

나. 위해요인-이벤트 목록

2. 과거 항공사고 및 준사고 분석

가. 항공사고 원인별 발생통계

나. 항공사고유형별 인적, 물적, 사회적 손실(Loss) 통계자료

다. 항공사고 및 준사고 보고서(사건 발생순서 및 원인)

3. 안전장애보고 및 자율보고, 사내 항공안전정보 분석

가. 사건별 발생 통계

나. 사건별 물적, 사회적 손실(Loss) 통계자료

다. 안전조사보고서(사건 발생순서 및 원인)

② 4.3의 제4항에 따라 정성적 분석만을 수행하는 경우 제1항제2호가목 및 나목, 제1항제3호가목 및 나목을 생략할 수 있다.

4.3(정성적 위험분석) ① 정성적 위험분석은 위험의 수준을 수치적으로 표현하지 않고 설명을 통하여 분석하는 방법으로 결과의 특성에 대한 서술적 정보를 제공한다.

② 정성적 위험분석은 다음과 각 호의 경우에 활용된다.

1. 3.2의 위해요인 초도분석에서 위험에 대한 선별작업(Screening)이 필요한 경우

2. 많은 시간과 자원이 소요되는 정량적 분석을 하기에는 위험 수준이 경미한 경우

3. 정량적 분석을 수행하기에는 안전정보가 적절치 않거나 이용할 수 없을 경우

4. 그 밖에 정량적인 위험분석이 필요하지 않은 경우

③ 정성적 위험분석은 전문가 판단기법을 말하며, 개인의 주관적 편차를 객관화할 수 있도록 델파이 기법, 계층적 의사결정 기법(AHP) 및 그 밖에 이와 유사한 형태의 객관적 의사결정 방법론을 적용한다.

④ 3.1의 제2항에 따른 후속 위험분석이 필요하지 않다고 판단될 경우 위해요인 초도분석을 정성적 위험분석으로 대체할 수 있다.

제3항의 객관화된 방법에도 불구하고 정성적 위험분석은 객관성과 정밀도 측면에서 한계를 갖고 있기 때문에 정량적 분석을 병용하는 것이 바람직하며, 이와 같은 불확실성을 보완하기 위하여 다음 각 호의 절차를 수립해야 한다.

1. 위험분석에 따른 조직 내·외부 이견발생시 3.1과 같은 상호조정

2. 전문가 선정 및 구성에 따른 분석의 상시성 확보

4.4(정량적 위험분석) ① 다음 각 호의 경우 위험을 정량적으로 분석한다.

1. 사건의 발생가능성 및 결과를 정량화하여 나타낼 수 있을 경우

2. 정성적 위험분석보다 정밀한 분석방법이 필요한 경우

3. 그 밖에 SMS 담당부서에서 특별히 정한 경우

② 정량적 위험분석을 위해 다음의 방법들이 사용된다.

1. 결과 분석(Consequence Analysis)

2. 원인 분석(Cause Analysis)

3. 과거 자료에 대한 통계 분석

4. 네트워크 분석(Network Diagram)

5. 통계 및 수치 분석

6. 확률 분석

7. 위험모델(Risk Model) 분석

8. 그 밖에 SMS 담당부서에서 특별히 정한 방법들

4.5(사건 시나리오 분석) ① 위험사건의 원인과 결과의 연결 관계를 분석하는 것으로 다음 각 호의 사항을 확인한다.

1. 위험원(Hazard Element)이 안전기제를 무력화시키고 위험사건에 이르게 된 경과를 검토하고 그 발생기제(Initiating Mechanism)를 논리적으로 구성(Cause Analysis)

2. 위험사건과 결과사건이 연결되어 주요 ｢국가항공안전프로그램｣ 별표 5에 따른 항공사고 유형을 발생시킬 수 있는지 확인하고 사건 시나리오를 구성(Consequence Analysis)

제1항의 확인사항을 바탕으로 다음 각 호의 사항을 분석한다.

1. 잠재결과의 발생가능성과 잠재결과로 인한 손해(인명, 재산, 사회적 손실)의 심각도를 추정

2. 사고의 원인과 대응방안 분석

4.6(발생가능성 분석) ① 발생가능성(Probability) 분석은 잠재결과의 발생가능성을 결정하는 것으로 분류기준은 다음과 같다.

<잠재결과의 발생가능성 분류기준>

FAA 항공교통관제 SRM 기준을 국내 연간 비행시간(2010년 기준 771,451 hours)에 맞게 준용

구분	발생 가능성	정량적 판정 기준
5	매우 높음 (Frequent)	비행시간당 1~10-4	주간 단위로 발생(빈번히 발생)
4	높음 (Occasional)	비행시간당 10-4~10-5	월간 단위로 발생(경미한 장애 발생빈도)
3	보통 (Remote)	비행시간당 10-5~10-6	연간 단위로 발생(장애 발생빈도)
2	낮음 (Improbable)	비행시간당 10-6~10-7	10년 단위로 발생(준사고 발생빈도)
1	아주 낮음 (Extremely Improbable)	비행시간당 10-7 미만	10년에서 100년 기간에 1회 미만 발생(사고 발생빈도)

② 발생가능성의 결정 시 SMS 운영자는 SMS 담당부서와의 협의를 거쳐 운영상황에 맞게 발생가능성의 단계를 조정할 수 있으며 운영자의 규모 및 특성에 따라 발생가능성의 수준을 축소하거나 확장할 수 있다. 이 경우 발생가능성 산정 기준에 대한 예시는 별표 1-4와 같다.

4.7(심각도 분석) ① 심각도(Severity) 분석은 잠재결과에 따라 예상되는 사상자 발생, 장비의 파괴, 안전한계의 저하 등 피해의 정도를 결정하는 것으로 분류기준은 다음과 같다.

<잠재 결과의 심각도 분류기준>

ICAO Doc 9859 Chap.5 "Safety Risks" 5.5.4

구분	위험 구분	정의
A	매우 심각 (Catastrophic)	- 장비의 파괴(Destroyed) - 사상자 발생
B	위험 (Hazardous)	- 안전한계(Safety Margin)가 심각하게 저해되거나, 육체적 피로 또는 업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행할 수 없는 경우 - 중상자 발생 - 주요 장비의 손상(Damage)
C	중요 (Major)	- 안전한계(Safety Margin)가 현저하게 저해되거나, 업무부담 또는 효율저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이 감소되는 경우 - 준사고 발생 - 경상자 발생
D	경미 (Minor)	- 운영제한 상황이 발생 - 비상절차의 사용 - 항공안전장애 발생 - 기타 업무수행 장애 발생
E	매우 경미 (Negligible)	- 사소한 영향

② 발생가능성의 결정 시 SMS 운영자는 SMS 담당부서와의 협의를 거쳐 운영상황에 맞게 심각도의 단계를 조정할 수 있으며 운영자의 규모 및 특성에 따라 심각도의 수준을 축소하거나 확장할 수 있다. 이 경우 심각도 산정 기준에 대한 예시는 별표 1-4와 같다.

4.8(위험분석 기록) ① 위험분석의 결과는 위험대장(Risk Register)에 기록되어 위험평가(Risk Assessment)에 반영되어야 한다.

② 위험대장에는 다음의 정보들이 포함되어야 한다.

1. 잠재결과분석 분석을 통한 잠재결과 발생가능성, 심각도

2. 원인분석을 통한 사고원인, 대응방안

③ 제2항의 정보들이 3. 위해요인 분석(Hazard Analysis)에 따라 추정된 초도분석과 상이할 경우 4.1의 위해요인목록 정보를 갱신한다.

⑤ 위험대장은 모든 안전위원회의 회의에서 정기적으로 검토되어야 하며, 적합한 위험대장에 대한 예는 별표 1-6와 같다.

5. 위험평가(Risk Assessment)

5.1(위험평가 절차) ① 위험평가는 위험분석 결과를 근거로 수행되며 위험평가 결과는 운영환경에서 발견된 위험을 처리하고 조직의 의사결정을 위한 기초자료로 활용된다.

4. 위험분석을 통해 산정된 심각도 및 발생가능성은 다음 각 호의 순서에 따라 그 위험을 평가한다.

1. 위험수준 판정

2. 조치수준 결정

5.2(위험수준 판정) ① 위험분석 데이터를 바탕으로 잠재결과의 발생가능성 수준과 심각도 수준의 조합으로 이루어진 위험평가 매트릭스를 통해 위험수준을 판정한다.

<위험평가 매트릭스>

구 분			심각도
			Catastrophic A	Hazardous B	Major C	Minor D	Negligible E
발생가능성	Frequent	5	5A	5B	5C	5D	5E
	Occasional	4	4A	4B	4C	4D	4E
	Remote	3	3A	3B	3C	3D	3E
	Improbable	2	2A	2B	2C	2D	2E
	Extremely Improbable	1	1A	1B	1C	1D	1E

② 위험수준 결정에 필요한 제1항의 위험평가 매트릭스는 SMS 담당부서와의 협의를 거쳐 SMS 운영자의 규모, 업무 특성에 맞게 조정할 수 있다. 위험평가 매트릭스의 예시는 별표 1-5와 같다.

5.3(조치수준 결정) ① 5.3에서 판정된 위험수준의 값을 위험도 및 조치수준 매트릭스에 대입하여 위험도를 결정하며 국가항공안전프로그램 상의 위험도별 조치수준은 다음과 같다.

<위험도 및 조치수준 매트릭스>

위험도			위험 경감을 위한 조치 수준
Risk Level 1 ( 심 각 )	Intolerable region	5A, 5B, 5C, 4A, 4B, 3A	① 현재 상태로 수용 불가 ② 문제점 개선되지 않으면 운영 중단
Risk Level 2 ( 경 계 )	Tolerable region	5D, 5E, 4C, 4D, 3B, 3C, 2A, 2B, 1A	① 위험경감조치를 통해 수용 가능 ② 의사결정 검토후 조치 수행
Risk Level 3 ( 주 의 )	Tolerable region	4E, 3D, 2C, 1B	① 위험경감조치를 통해 수용 가능 ② 의사결정 검토후 조치 수행
Risk Level 4 ( 경 미 )	Acceptable region	3E, 2D, 2E, 1C, 1D, 1E	① 별다른 조치가 필요치 않음

위험경감을 위한 조치수준의 결정은 SMS 운영조직의 위험 허용에 따른 비용 편익과 위험관리 조치에 대한 비용 편익에 따라 달라진다. 위험 수준과 비용 편익을 고려할 때 위험 조치는 다음 각 호와 같이 정해질 수 있다.

1. 수용불가(Intolerable) : 위험도가 수용불가능 단계이면 문제점이 개선되지 않는 한 운영이 즉시 중단되어야 한다. 실제로 위험이 발생하면 심각도나 발생가능성을 감소시키기 위해 위험 경감이 필요하다. 일반적으로 사건발생의 가능성을 줄이는 것이 심각도 보다 먼저 고려된다.

2. 수용(Tolerable) : 위험도가 수용 단계이면, 사건발생의 심각도나 가능성을 검토하여 위험을 “현실적으로 타당한 최저수준(ALARP)”으로 경감하기 위한 수단을 강구해야 한다. 조치 후에도 잔여 위험이 수용단계에 남아있는 경우 위험 감소를 위한 보다 효과적인 조치가 강구될 수 있지만 이는 비용문제에 좌우된다. 위험이 충분하게 이해되고 최고관리자(Accountable Executive)의 승인이 있다면 수용단계의 위험도 허용될 수 있다.

3. 허용가능(Acceptable) : 위험이 허용가능하면 위험 가능성이 없거나 또는 우려할 만큼 심각하지 않다는 것이다. 그러나 위험을 더 감소시키기 위한 검토가 지속적으로 이루어져야 한다.

② 조치수준의 결정에 필요한 제1항의 위험도 및 조치수준 매트릭스는 SMS 담당부서와의 협의를 거쳐 SMS 운영자의 규모, 업무특성에 맞게 조정할 수 있다.

5.4(위험평가 기록) ① 식별된 모든 위해요인들의 위험평가 및 위험 조치에 따른 결과들은 다음 각 호의 문서에 명확히 기록되어야 한다.

1. 위험대장(Risk Register) : 위험수준 판정 결과 기록

2. 안전현안목록(Significant Issues List) : 위험평가 결과 기록

위험대장은 모든 안전위원회의 회의에서 정기적으로 검토되어야 한다. 적합한 위험대장 작성 예시는 별표 1-6과 같다

6. 위험 경감(Risk Mitigation)

6.1(위험 경감) ① 위험평가 단계에서 위험수준 경감조치가 필요하다고 평가된 위해요인을 통제․예방하고 합리적으로 실행이 가능한 낮은 수준(ALARP : As Low As Reasonably Practicable)으로 위험을 경감시키기 위한 전략과 조치를 말한다.

② 일반적으로 경감조치는 다음 각 호와 같다.

1. 회피(Avoidance) : 위험이 운영을 지속하여 얻는 이익을 초과하기 때문에 운영을 제한하거나 금지하여 관련 위험을 완전히 회피하도록 조치하는 것으로 나아가 위험을 전체적으로 제거하게 된다.

2. 감소(Reduction) : 잠재결과의 피해를 줄이거나 발생가능성을 감소시키는 안전방호장치, 경보장치 도입 및 운용 시스템 기준 강화 등의 조치를 취한다.

3. 노출위험과의 격리(Segregation of exposure) : 운영을 제한하거나 노출시간을 감소하여 위험을 부분적으로 회피하도록 운용 기준을 강화하는 등의 조치를 취한다.

6.2(위험 경감 기록) ① 위험수준에 따라 결정된 위험 경감 전략 및 수단 등은 안전현안목록에 명확히 기록되어야 한다.

② 조치계획과 이에 따른 위험경감 효과는 7. 안전관리 의사결정(Decision Making)을 위하여 단일한 비용단위로 추산되어야 한다. SMS 운영자는 위험 평가단계에서 이러한 위험 경감에 필요한 정보들을 수집해야 한다.

안전현안목록은 모든 안전위원회의 회의에서 정기적으로 검토되어야 한다. 적합한 안전현안목록에 대한 예시는 별표 1-6과 같다.

7. 안전관리 의사결정(Decision Making)

7.1(안전관리 의사결정) ① SMS 운영자는 비용편익분석(Cost Benefit Analysis)에 따라 합리적인 안전관리 의사결정을 내려야 한다.

② 제1항에 따른 의사결정을 하기 위한 판단기준으로 편익 대비 비용(BCR) 또는 투자수익률(ROI)을 사용할 수 있다. 편익 대비 비용(BCR)은 추정된 투자수익률(ROI)과 동일하다.

[eqn: BCR`=` {Benifit} over {Cost} `,``ROI=` {Return} over {Investement} `=` {수익의``증가분`-비용} over {비용}]

③ 편익 대비 비용은 1보다 커야만 위험 경감수단이 효과가 있음을 나타낸다. 이 값이 클수록 의사결정에 우선순위를 부여하며, 만약 편익 대비 비용이 같은 경우 위험이 보다 높은 조치계획을 선정한다.

④ 안전현안 및 개선조치 목록은 위험대장을 제3항의 기준에 따라 내림차순으로 정렬된 것을 말한다. 안전현안목록은 안전관리 의사결정에 앞서 사전정보로 제공되어야 한다.

7.2(안전계획의 반영)  ① SMS 운영자는 안전현안 및 개선조치 목록을 작성하여 조치계획의 우선순위를 결정하고, 시스템과 이해당사자간의 상호협의를 거쳐 제22조의 안전계획에 이를 반영해야 한다.

② 제1항에도 불구하고 5.3에서 수용불가(Intolerable) 위험에 대한 즉각적인 경감 조치가 시행될 경우에는 조치에 따른 결과들을 안전현안 및 개선조치 목록에 명확히 기록하여야 한다.

③ 제2항의 경우 이러한 개선조치의 후속조치와 함께 위험 재평가 활동 역시 SMS 운영자의 안전계획에 반영되어야 한다.

8. 후속조치(follow up) 및 위험 재평가

8.1(후속조치) ① SMS 운영자는 경감 조치를 시행하고, 이에 대한 효과와 추가적인 위험발생 여부를 평가하기 위한 목적으로 다음의 후속조치를 시행한다.

1. 해당 경감 조치에 따른 제45조의 안전성과 모니터링 및 측정

2. 제27조제3항의 안전위원회에서 정기적인 검토

3. 제22조제3항의 안전계획에서 전년도 안전현안 및 개선조치 목록 분석

② 위험 수준에 따라 적절한 경감조치가 시행된 경우 위험 평가를 변화시킬 수 있는 환경조건 및 그 밖의 사항을 모니터링하거나 정기적으로 검토하고 필요에 따라 위험 평가를 갱신해야 한다.

③ 후속조치에 대한 평가시한은 위험에 수반되는 잠재결과의 발생가능성을 기준으로 1년, 3년, 5년 등으로 조정될 수 있다.

8.2(위험 재평가)  ① 위험 재평가를 위하여 SMS 운영자는 시행된 경감조치에 대한 안전 정보를 지속적으로 확인하고 수집해야 한다.

② SMS 운영자는 위험 분석에 사용되는 안전 정보를 수집하기 위하여 위험 경감 조치와 그 효과를 모니터링하고, 이에 따른 검토결과를 안전계획에 반영해야 한다.

③ 위험 재평가 결과 조치계획의 효과가 입증된 경우 이를 바탕으로 여러 가지 안전대책들의 편익 대비 비용(BCR)을 정보화함으로써, 향후 안전관리 의사결정을 지원하는 지식관리시스템을 운영할 수 있다.

8.3(후속조치 및 위험 재평가 기록) ① SMS 운영자는 제22조의 안전계획에 따라 시행된 조치계획이나 경감조치가 시행된 경우에 이에 따른 후속조치 및 위험 재평가 기록을 개선조치 목록을 통해 지속적으로 관리해야한다.

② 위험관리절차가 진행되는 경우에 시스템(조직, 장비 및 활동)의 수명주기 전체에 대하여 후속조치 및 위험 재평가를 수행하여 문서화하여야 한다.

개선조치목록은 모든 안전위원회의 회의에서 정기적으로 검토되어야 한다. 적합한 개선조치목록에 대한 예시는 별표 1-6과 같다.