홍콩상하이은행 금감원 경영유의사항 · 2025-10-17

경영유의사항 등 공개안

1. 금융기관명 : 홍콩상하이은행 서울지점

2. 조치일 : 2025. 10. 17.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 자점감사의 실효성 제고

은행은 HSBC본점의 내규 ｢Risk Framework｣에 따라 자점감사를 수행 중이나, 일부 부서(팀)의 자점감사는 감사의 범위 · 주기 · 항목 등에 대한 지침이 없고 은행내 자점감사 모니터링 체계가 부재하여, 부서 내 감사자의 주관적 판단 및 개인적 능력 등에 따라 감사 결과가 좌우되는 등 일관성이 낮으며, 자점감사 현황에 대한 관리 소홀이 내부통제관리 기능 약화로 이어질 우려가 있다.

<조치할 사항>

따라서 은행은 자점감사 항목· 범위· 주기 등에 대한 절차를 마련하는 한편, 자점감사 결과를 준법감시부 등에서 관리토록 하여 감사 실효성을 제고하시기 바랍니다.

나. 개선사항

(1) 장외파생상품 거래 관련 관리절차 개선

투자매매업을 겸영하는 은행은 일반투자자 또는 전문투자자인 기업투자자와 장외파생상품 거래시 회피하려는 위험의 종류와 금액을 확인하고 관련 자료를 보관하는 등 위험회피 대상의 실재성을 확인하여야 하며, 직전년도 수출입 실적 등 합리적인 증빙서류를 근거로 최초 거래 이전에 헤지 한도를 설정하여 헤지 비율 초과가 예상되는 경우에는 거래를 통제하여야 한다.

하지만, 은행은 매년 1월 1일에 위험 헤지 한도의 소진율을 0으로 초기화하면서 위험헤지 한도를 연초에 설정하는 것이 아니라, 신용한도설정과의 유사성 · 고객 편의 등을 이유로 고객의 연간 신용분석 주기에 따라 헤지 한도의 재확인 주기를 다시 설정*함에 따라, 특정 고객이 연중 도래하는 위험헤지 한도의 재확인 시점 이전에 대량의 장외파생상품 거래를 할 경우 위험헤지 한도를 초과할 우려가 있으며,

* 원칙적으로 매년 연간 신용분석을 실시하면서 수출입증명서, 고객 익스포져 확인 요청서 등 증명서류를 통해 위험회피목적을 확인하는 방식으로 헤지 한도를 설정

고객이 위험헤지 한도 설정에 필요한 증빙서류를 제출하지 않는 경우에는 추가적인 장외파생상품 거래를 하지 않는 것이 바람직함에도, 전년에 설정한 위험헤지 한도를 유효기간 없이 장기간 적용하며 장외파생상품 거래를 체결한 사례*가 있다.

* (A사 및 B사) 2021년 12월 21일에 위험헤지 한도를 설정한 후 2022년 12월 고객이 위험회피 증빙을 미제출하였음에도 거래를 지속하다가 2023년 10월 및 12월에 위험회피 증빙을 징구하고 헤지 한도를 새로 설정함

<조치할 사항>

따라서 은행은 위험헤지 한도의 유효기간을 1년으로 설정하고 유효기간이 경과하거나 한도 초과시 추가적인 장외파생상품 거래가 이루어지지 않도록 거래 제한 장치를 마련하고,

한도 재설정 시점이 연중(예: 6월)에 도래하는 경우 연초부터 재설정시점까지의 기간 중 이루어지는 장외파생상품 거래에 대해서는 그 규모가 전년도 설정된 한도를 연초부터 재설정시점까지의 기간으로 안분한 금액을 초과하지 않도록

관리하는 한편, 한도 재설정 시점이 연중(예: 6월)에 도래하는 경우 연초부터 재설정시점까지의 기간 중 이루어지는 장외파생상품 거래에 대해서는 그 규모가 전년도 설정된 한도를 연초부터 재설정시점까지의 기간으로 안분한 금액을 초과하지 않도록 관리하는 한편,

장외파생상품의 헤지한도를 산정하는 경우, 최근 수출입 실적 평균 또는 수출입 실적의 합리적인 성장세 및 하락세를 감안하는 등 적정한 한도를 설정하고, 위험 회피 증빙으로 수출입실적 증명서, 감사보고서, 계약서 등 객관적인 자료를 징구할 수 있도록 하고

준법감시부 등 제3의 부서에서 한도 초과 여부를 상시적으로 확인할 수 있도록 일별 및 기업투자자별 위험헤지 한도 소진 및 초과 현황 등을 재정비하여 모니터링 하는 등 사후관리 절차를 강화하시기 바랍니다.

(2) 내부통제관리의무 이행에 대한 관리 강화

금융회사의 임원은 책무구조도에서 정하는 자신의 책무와 관련하여 내부통제 및 위험관리(이하 “내부통제 등”)가 효과적으로 작동할 수 있도록, 내부통제기준 및 위험관리기준(이하 “내부통제기준 등”)이 적정하게 마련되고 효과적으로 집행ㆍ 운영되는지 여부와 내부통제기준 등의 충실한 준수 여부에 대해 관리할 의무가 있고,

이에 따라, 책무구조도에 의해 책무를 배분받은 은행의 임원 ⌷인은 책무매뉴얼에 의거하여 각자의 책무에 대한 체크리스트를 마련하고, 이를 토대로 은행의 내부통제기준 등이 효과적으로 집행ㆍ운영되고 있는지 여부 또는 임직원이 법령 또는 내부통제기준 등을 충실하게 준수하고 있는지 여부 등을 점검하고 있으며, 책무 이행 여부에 관하여 반기별로 지점장에게 보고하고 있다.

하지만, 현재 대부분의 임원들이 책무 체크리스트 점검을 반기 1회 개최되는 내부통제관리위원회 준비 목적으로 실시하고 있어, 상시적이고 적시적으로 이루어져야 하는 내부통제 관리 조치의 실효성이 저하될 우려가 있다.

<조치할 사항>

따라서 은행은 내부통제 관리 조치의 실효성을 제고하기 위해, 책무를 배정받은 임원들이 책무 체크리스트를 작성‧보고하는 주기를 단축하고, 동 체크리스트가

내부통제 관리 조치의 취지에 부합하게 충실히 작성되었는지 역시 동일 주기로 점검하시기 바랍니다.

(3) 대손충당금 산출 절차 개선

은행은 보유자산 등에 대하여 ｢ 한국채택국제회계기준｣ 에 따른 충당금을 적립하여야 한다.

하지만, 은행은 대출채권에 대한 충당금 산정 업무를 처리하는 본점이 실제 결산기준일(예 : 12월 31일)보다 1개월 이전 시점(예 : 11월 30일)에 은행이 보유한 대출채권을 대상으로 충당금을 산정하여 통보하면, 동 금액을 대출채권에 대한 충당금으로서 국내 결산 재무제표에 반영하고 결산기준일이 속하는 월(12월) 중 신규 취급된 대출의 충당금 규모가 은행 회계처리상 중요성 기준을 초과하게 되는 경우에만 본점과 개별 협의하여 충당금을 조정 반영하고 있어,

회계처리상 중요성 기준을 초과하게 되는 경우를 제외하면, 일반적으로 결산기준일이 속하는 월 중 신규 대출에 대한 대손충당금이 은행의 결산 재무제표에 반영되지 않고 있다.

<조치할 사항>

따라서 결산기준일이 속하는 월 중 신규 취급 대출에 대해 대손충당금을 산정하고 은행의 결산 재무제표에 반영하는 한편, 해당 요건을 부서별 역할 등과 함께 은행의 대손충당금 관련 내규에 반영하시기 바랍니다.

(4) 고객 금융거래정보에 대한 접근권한 관리 강화

은행은 내규 ｢정보교류차단 내부통제기준｣ 등에 따라 해외계열사 직원의 은행 전산시스템 접근시 일선부서 및 준법감시부에 의한 권한 승인 절차를 거치고 제한된 목적(예 : 내부통제, 리스크관리 등)에 한하여 허용하여야 하며, 준법감시인은 정보교류통제 담당 임원으로서 내부통제기준 준수 여부 등에 대한 점검을 통해 관련 업무의 적정성을 총괄하여 감독할 책임이 있다.

하지만, 은행 전산시스템(R*****, E*****) 접근 허용 대상에 해당 여부가 불분명한 해외 계열사의 C부 소속 일부 직원에 대하여 접근을 승인한 사례가 있는 한편, 준법감시인 등이 해외 계열사 직원에 대한 접근 허용의 적정성을 사후적으로

점검한 기록도 없다.

<조치할 사항>

따라서 은행은 고객의 금융거래정보가 포함된 거래 관련 전산시스템에 대하여 업무위수탁, 경영관리, 리스크관리 등 사유에 해당하지 않는 접근권한을 점검하여 삭제하는 한편, 해외 계열사 직원의 은행 전산시스템에 대한 접근 권한 부여의 적정성 및 접근 내역의 적정성 등을 주기적으로 점검하는 절차를 마련 및 운영하시기 바랍니다.

(5) 상거래관계 종료 고객의 개인신용정보 관리 합리화

｢신용정보의 이용 및 보호에 관한 법률｣(이하 “신용정보법”) 제20조의2 등에 의하면 신용정보 제공·이용자는 금융거래 등 상거래관계가 종료된 날부터 최장 5년 이내에 해당 신용정보 주체의 개인신용정보를 삭제하여야 하고, 다른 법률에 따른 의무를 이행하기 위하여 불가피한 경우 등*의 사유로 개인신용정보를 삭제하지 아니하는 경우에는 동 사유가 해소된 이후 해당 개인신용정보를 삭제하여야 하며, 동법 제17조에 의하면, 신용정보회사 등으로부터 신용정보의 처리를 위탁받은 자(이하 “수탁자”)의 위탁받은 업무의 처리에 관하여는 제20조의2를 준용하고, 신용정보회사 등이 수탁자에게 신용정보를 제공한 경우 수탁자의 안전한 신용정보 처리에 관한 사항을 위탁계약에 반영하여야 한다.

* (예) ｢상법」제33조 ① 상인은 10년간 상업장부와 영업에 관한 중요서류를 보존하여야 함

하지만 은행은 상거래 관계가 종료된 고객의 개인신용정보를 상거래관계가 종료된 날부터 5년 경과시 은행의 전산시스템에서 삭제하고 있고, 계열사인 D사(이하 “수탁사”)에 신용정보처리 위탁을 위해 제공한 개인신용정보는 은행이 수탁사와 체결한 신용정보처리위탁 계약서에 따르면 은행의 요청에 따라 파기 또는 반환하도록 규정하고 있음에도 검사기준일 현재 은행이 수탁사에 은행 고객의 개인신용정보를 파기 또는 반환하도록 요청한 사례는 없다.

<조치할 사항>

따라서 은행은 상거래 관계가 종료된 고객의 개인신용정보의 삭제시점을 상거래 관계 종료 후 10년 경과 시점으로 변경하고, 해당 시점 도래시 신용정보의 처리를 위탁중인 수탁자에 요청하여 삭제 처리될 수 있도록 관리하시기 바랍니다.

(6) 착오송금 방지 관련 통제 강화

은행은 업무시 착오송금 등 오류가 발생하지 않도록 노력하여야 하지만, 검사대상 기간 중 직원의 실수 및 시스템 오류로 인하여 ⌷건(⌷백만달러)의 착오송금*이 발생한 사실이 있다.

* 직원의 단순 실수로 금액 또는 은행정보 등을 잘못 입력하고 승인권자가 승인 과정에서 이를 걸러내지 못한 사례 또는 시스템 오류로 다수의 중복 입금이 발생한 사례 등

<조치할 사항>

따라서 은행은 송금 오류와 관련하여 착오송금을 예방할 수 있도록 직원 교육을 강화하고, 시스템 오류가 발생하지 않도록 전산시스템을 개선하고, 승인권자의 검토 강화 등 시스템적 통제 방안을 마련하시기 바랍니다.