보안 뚫린 쿠팡…ESG 점수 이미 낙제점

‘3370만 명 역대급 개인정보 유출 사태’로 논란을 빚은 쿠팡이 지난 7월 세계적 권위의 신용평가사 스탠더드앤드푸어스(S&P)의 ESG(환경·사회·지배구조) 평가에서 동종 업계 최하위권 점수를 받은 것으로 나타났다. 지금껏 쿠팡은 국내 지역사회 및 중소기업과의 상생 등을 앞세워 ‘ESG 모범생’ 이미지를 강조해 왔다. 이번 대규모 개인정보 유출 사태도 쿠팡의 ESG 평가에 악영향을 줄 것으로 전망된다.

◇글로벌 유통업계 최하위권

7일 S&P글로벌에 따르면 미국 뉴욕증권거래소 상장사인 쿠팡InC는 올해 ESG 평가에서 100점 만점에 9점을 받았다. 이 평가는 7월 18일 최종 업데이트됐다. S&P글로벌은 탄소중립, 지속가능성, 거버넌스 등 ESG 관련 정보를 토대로 매년 전 세계 기업의 ESG 점수를 매긴다. 회사가 자료를 제공하지 않으면 공시 및 언론 보도 등 공개된 자료를 바탕으로 평가한다. S&P글로벌은 쿠팡에 대해 “회사가 평가에 직접 참여하지 않아 공개된 정보에 기반해 점수를 산출했다”고 설명했다.

쿠팡이 받은 9점은 동종 업계에서 최하위권이다. 같은 리테일링 부문에 속해 있는 아마존도 S&P글로벌 평가에 참여하지 않았지만 ESG 평가에서 26점을 받았다. 크로거(44점), 월마트(50점) 등 미국 주요 유통사뿐 아니라 신세계(42점), 롯데쇼핑(39점) 등 국내 경쟁사도 쿠팡보다 월등히 높은 점수를 기록했다.

쿠팡이 ESG 평가에서 낙제점을 받은 건 관련 정보를 투명하게 공개하지 않은 이유가 크다. 통상 국내외 기업은 매년 수백 쪽 분량의 지속가능성 경영보고서를 발간한다. 온실가스 배출량, 사회공헌 활동, 거버넌스 지표, 탄소중립 계획 등을 상세히 공개하고, 이를 위해 전담 조직을 두기도 한다. 이에 비해 쿠팡은 정보 공개에 소극적이다. 2022년부터 정식 지속가능성 경영보고서 발간을 중단하고, 그 대신 10여 쪽짜리 임팩트 보고서로 대체하기 시작했다. 그마저도 지역 고용 성과나 중소 협력사의 멘트 등 쿠팡에 유리한 내용만 제한적으로 담았다.

◇정보 유출 사태, ESG에 치명적

업계는 이 같은 행보가 쿠팡이 지금껏 강조해온 ESG 선도 기업 이미지와 괴리가 크다고 지적한다. 쿠팡은 ‘로켓배송으로 지방 경제와 소상공인을 살린다’며 ESG 활동을 적극 홍보해왔는데, 정작 상장 무대인 미국에선 제대로 된 정보조차 공개하지 않았다는 것이다. 쿠팡은 미국 상장사라는 이유로 국내 ESG 평가에서도 비껴갔다. 한국ESG기준원(KCGS) 등 국내 대다수 ESG 평가사는 국내 상장사에만 점수를 매긴다.

이번에 발생한 대규모 개인정보 유출 사고는 쿠팡의 ESG 점수를 더 끌어내릴 것으로 예상된다. 통상 개인정보 보호는 ESG 가운데 사회(S) 부문에 속한다. 정보보호 시스템을 잘 갖췄는지, 이해관계자들의 개인정보 침해 발생 시 구제활동을 얼마나 적극적으로 하는지 등이 평가 기준이다. 개인정보 유출 사태가 단순히 기업 이미지에 금이 가는 정도가 아니라 ESG를 투자 기준으로 삼는 글로벌 투자사들의 결정에 영향을 줄 수 있다는 뜻이다.

실제 고객 정보 유출로 ESG 등급이 하향된 사례도 있다. 올해 초 2324만 명에 달하는 고객 정보 해킹 사태로 물의를 빚은 SK텔레콤은 최근 KCGS 평가에서 사회 부문 B+를 받으며 작년(A+)보다 두 단계 낮아졌다. 쿠팡 사태는 SK텔레콤 때보다 피해 규모가 클 뿐만 아니라 내부 통제 시스템 실패로 인한 것이어서 타격이 더 심각할 것이란 게 업계의 시각이다.

이선아 기자 suna@hankyung.com