우리 사회의 안전 시스템은 여러 겹의 방어망으로 이루어져 있다. 비행기의 정비 절차, 병원의 진료 프로세스, 원자력 발전소의 운영 매뉴얼까지 모두 수많은 규칙과 점검 단계를 거쳐야만 작동한다. 그렇다면 왜 여전히 대형 참사는 일어날까?
리즌의 위험 관리 모델
1990년, 영국 맨체스터 대학의 심리학자 제임스 리즌(James Reason)은 이 질문에 답하기 위해 독특한 비유를 제시했다. 바로 ‘구멍 난 치즈 이론(Swiss Cheese Model)’이다. 스위스 치즈의 조각에는 불규칙한 구멍이 나 있는데, 여러 장을 겹쳐 놓으면 대부분의 구멍은 서로 가려진다. 그러나 불행하게도 구멍들이 일직선으로 맞물리면, 그 틈을 통해 위험이 그대로 관통해 사고로 이어진다는 것이다.
여러 겹의 방어막, 그러나 완벽하지 않다
방어막(치즈)이 여러 겹이어도 구멍들이 일렬로 맞물리면 손실이 발생할 수 있다.
By BenAveling – Own work, CC BY-SA 4.0, wikimedia commons.
리즌은 복잡한 시스템에서 사고가 발생하는 이유를 단일 원인이 아니라 복합적 결함의 연쇄로 설명했다.
- 한 층은 기술적 방어막(자동 경보, 이중 안전장치),
- 또 다른 층은 조직적 방어막(절차, 규정, 감독),
- 그리고 마지막 층은 인간의 주의와 판단이다.
각 층은 나름대로 효과가 있지만 완벽하지는 않다. 매뉴얼은 상황을 모두 예측하지 못하고, 기술 장치는 고장 날 수 있으며, 사람은 실수한다. 이 작은 구멍들이 서로 맞물릴 때, 치명적인 사고가 발생한다.
실제 사례로 보는 구멍들의 정렬
예를 들어, 의료 분야를 생각해보자.
- 환자의 알레르기 정보가 기록되지 않았다.
- 의사가 이를 모른 채 약을 처방했다.
- 약사가 교차 검증을 하지 않았다.
- 간호사가 그대로 투여했다.
이 네 가지 구멍이 일렬로 이어지면 환자의 생명은 위험에 처한다. 그러나 어느 한 단계에서라도 오류를 막았다면 사고는 일어나지 않았을 것이다. 이처럼 스위스 치즈 모델은 사고 예방이 단일 책임자가 아닌 시스템 전체의 몫임을 강조한다.
다양한 분야에서의 활용
제임스 리즌의 구멍 난 치즈 이론을 시각적으로 나타낸 그림
By Zehnya Bruckert, CC0, wikimedia commons.
이 이론은 발표 이후 항공, 의료, 원자력, 금융, IT 보안 등 다양한 분야에서 활용되었다.
- 항공사들은 조종사 훈련에 이 모델을 적용해, 단순히 ‘조종사의 실수’가 아닌 조직적 결함을 점검한다.
- 병원에서는 근접 오류(아차사고) 보고 시스템을 도입해 작은 실수라도 기록하고 공유함으로써, 치명적인 사고로 이어질 가능성을 줄인다
- 기업의 사이버 보안 체계에서도 방화벽, 사용자 교육, 이중 인증 같은 여러 겹의 방어막을 마련해 구멍의 정렬을 차단하려 한다.
이 이론이 주는 통찰
구멍 난 치즈 이론이 중요한 이유는 단순하다.
- 사고는 개인의 잘못만으로 설명할 수 없다. → 시스템적 맥락을 봐야 한다.
- 작은 결함을 무시하지 말아야 한다. → 누적되면 재난으로 이어질 수 있다.
- 방어층을 다양하게 두는 것이 필수적이다. → 어느 한 층이 뚫려도 다른 층이 막아야 한다.
그러나 완벽한 답은 아니다
물론 한계도 있다. 실제 조직에서는 구멍이 단순히 정렬되는 것만이 아니라, 서로 영향을 주고 확대되기도 한다. 또한 모든 방어막을 계속 두텁게 쌓을 수는 없다. 비용, 효율성, 인간의 한계가 존재하기 때문이다. 그래서 최근 연구들은 스위스 치즈 모델을 확장해 복잡계 네트워크 분석이나 인간-기계 상호작용 연구와 결합시키려는 시도를 하고 있다.
안전은 ‘겹겹이 막음’의 예술
구멍 난 치즈 이론은 단순하지만 강력한 메시지를 준다. “사고는 개인의 실수라기보다 시스템의 허점이 모여 만들어진다.” 이 때문에 진정한 안전은 한 사람의 주의가 아니라, 여러 층위의 장치와 문화, 조직이 함께 만들어내는 것이다.
우리가 살고 있는 사회는 거대한 치즈 조각을 겹겹이 쌓아 놓은 구조물과 같다. 완벽할 수는 없지만, 구멍들이 겹치지 않도록 끊임없이 점검하고 보완하는 것, 그것이 현대 사회의 위험 관리에서 가장 중요한 원칙이다.