중소기업은행 금감원 경영유의사항 · 2017-05-25

경영유의사항 등 공개안

1. 금융회사명 : 중소기업은행

2. 조치일 : 2017. 5. 25.

3. 조치내용

※ 경영유의 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 조치대상사실

가. 경영유의사항

(1) 중장기 자본관리계획 관리 강화

바젤Ⅲ 자본규제 강화 등에 대비하여 보통주자본 확충을 포함한 중장기 자본관리 계획을 마련하여 이행하고 있으나

자본관리계획상 보통주자본 확충계획은 주로 정부출자 확대 및 정부 배당 축소 등으로 대부분 정부와의 협의가 필요한 사항이고, 적정 자산 및 대출 순증관리와 고위험자산 매각ㆍ감축 등을 포함한 위험가중자산 관리계획 또한 정부정책을 수반 하는 사항이므로

정부정책에 효율적으로 대응하는 한편, 수익구조 개선, 여신의 사전 건전성 관리강화 및 미사용한도 관리 등 은행이 주도적으로 추진할 수 있는 자본관리 계획을 수립․ 이행함과 아울러 이행상황을 주기적으로 점검하는 등 자본관리를 강화할 것이 요망됨

(2) 총 신용공여(Total Exposure) 한도관리 프로세스 강화

일정 규모 이상의 동일인 및 동일차주(그룹)에 대하여 총 신용공여(Total Exposure) 한도를 부여하고, 여신취급시 동 한도의 준수 여부 등에 대하여 관리하고 있으나,

여신심사시 단순히 한도 초과여부만을 확인하는 등 사전적인 리스크검토가 미흡하고, 한도 초과여신 감축계획의 이행 여부를 점검하지 않고 있으므로,

여신심사 단계부터 총 신용공여 한도초과 해소방안에 대한 구체적인 이행계획을 검토하여 심사에 반영하고, 사후관리부서는 동 계획의 이행 여부를 정기적으로 확인 하고 필요 조치를 취하는 등 적절한 사후관리가 이행되도록 여신심사 및 사후관리 프로세스를 정비할 것이 요망됨

(3) 대기업 신용평가모형 운영 강화

대기업 신용평가모형 운영 결과, 일부 중·상위 신용등급의 실측 부도율이 대표 부도율을 초과하는 현상이 발생하고 있으므로

정기적으로 개별 부도차주의 발생원인 분석, 부도율 패턴 분석 등을 실시하여 초과 현상의 지속성 여부를 판단하고, 비재무 평가 내용의 정확성 제고 등 신용평가모형 운영과 관련된 제도를 지속적으로 보완할 것이 요망됨

(4) 여신사후관리 결과를 활용한 신용등급 운영제도 보완

조기경보체계상 일정 등급 이하(주의, 경보)로 판별된 차주와 감리실시 결과 감리 등급을 일정 수준 이하(CR3~CR5)로 부여한 차주에 대해서는 향후 부실화 가능성이 높은 차주로 인식하고, 신규여신 취급 제한, 전결등급의 하향조치 등 여심심사 및 사후 관리를 강화하고 있으나, 동 신용위험의 변동사항이 차주의 신용등급에는 적절히 반영되지 않고 있으므로

조기경보 및 여신감리 등을 통해 확인된 차주의 신용위험 변동사항이 적시성 있게 차주의 신용등급에 반영될 수 있도록 관련 프로세스를 정비하고, 이에 대한 적정성 점검을 정기적으로 실시하는 등 신용등급 운영 제도를 보완할 것이 요망됨

(5) 업무보고서 보고 등 보고업무 이행 강화

검사대상기간 중 업무보고서 내용을 잘못 보고하거나 금융사고 및 20%초과 지분 증권 담보대출 등을 지연 보고하는 등 보고업무 이행이 미흡하므로

업무보고서 작성을 위한 자료취합 시스템 개선 및 보고서 내용의 정확성에 대한 검증을 강화하고, 금융사고 보고 절차 및 시기 등을 관련 내규에 명확히 규정하는 한편,

지분증권 담보대출 취급과 관련하여 주식수량 및 담보취득 비율 등을 전산시스템에 등록하고 지분증권 담보대출 내역 보고 전담부서를 지정하는 등 보고업무 이행 강화 방안을 마련할 필요가 있음

(6) 이사회 등의 의사록 작성 및 관리 철저

이사회 등의 의사록과 관련하여 다음과 같은 미흡한 점이 있으므로 의사록 작성 및 관리에 철저를 기할 필요가 있음

① 이사회 및 이사회 내의 운영위원회, 경영발전보상위원회, 리스크관리위원회

의사록에 출석 구성원 등의 기명날인 또는 서명이 누락되어 이사회 등의 개최 여부, 경과, 반대하는 자 및 그 사유 등 의사록에 기재된 내용의 진위 여부를 확인 할 수 없고 구성원들의 책임소재 파악 곤란

② 리스크관리위원회 및 리스크관리협의회를 개최하고 상당기간 경과 후에 의사록을

출력·편철하는 사례가 있고 직원의 업무용 개인 컴퓨터에 의사록을 보관하고 있어 수시로 내용을 수정할 수 있는 등 관리상태가 부실

(7) 문화콘텐츠 투자업무 리스크관리 강화

문화콘텐츠산업을 신성장 동력으로 육성하고자 문화콘텐츠 전담부서인 문화콘텐츠 금융부를 신설하여 문화콘텐츠 중소기업에 대한 금융지원을 확대하고 있으나 문화콘텐츠금융부에 대한 리스크 한도 배분 및 관리가 적정하게 이루어지지 않고, 성과평가 항목이 동 부서의 영업성과를 적정하게 반영하지 못하고 있으며, 또한 업무수행에 필요한 내부 업무지침 및 회계기준이 문화콘텐츠 투자업무의 특성을 적정하게 반영 하고 있지 않아 업무처리가 내규에 맞지 않는 사례가 다수 발생하고 있고,

문화콘텐츠 투자와 관련한 업무 프로세스가 확립되어 있지 않아 투자손실을 적시에 인식 하지 않는 등 문화콘텐츠 투자업무에 대한 리스크에 대한 관리가 미흡하므로, 문화콘텐츠 투자업무를 효율적으로 수행하고 투자업무에 따른 리스크를 안정적으로 관리하기 위하여 동 투자업무 프로세스 전반에 걸쳐 개선이 필요하며,

문화콘텐츠 투자계약증권 투자업무를 중소기업은행법 제44조에 따른 여유자금 운용의 한 방법으로 판단하고 이사회 결의를 통해 이를 수행하고 있으나, 동법 제33조 등에서 은행이 수행 가능한 업무를 엄격히 제한하고 있으므로 금융당국 협의 등을 통해 문화콘텐츠 투자계약증권 투자업무 취급에 따른 법률리스크를 해소하고 근거를 명확히 하는 것이 바람직함

(8) 리스크관리를 위한 협의체 기능 강화

① 신상품 등(신제도, 신사업 포함)의 사전 리스크 분석은 리스크관리협의회 의결

사항임에도 리스크총괄부장의 판단에 따라 부의 여부를 결정하고 있어 신상품 등이 경영에 미치는 위험을 사전에 정확하게 파악하지 못할 우려가 있으므로,

신상품 등의 사전 리스크 분석을 위한 리스크관리협의회 부의기준을 명확하게 마련하여 운영하는 등 리스크관리협의회 기능을 강화할 필요가 있음

② ｢AML협의회 운영기준｣ 개정에 관한 사항 등은 ALM위원회의 의결사항임에도

검사대상기간 중 은행장의 승인을 받아 개정한 사례가 있으므로, ALM위원회의 의결사항은 반드시 동 위원회를 거치도록 하고 의사록 작성에 철저를 기하는 등 ALM위원회의 기능을 강화할 필요가 있음

(9) 법률자문 계약 등 체결시 이해상충 방지를 위한 내부통제 강화

사외이사가 소속된 법률사무소와 법률자문 계약을 체결하는 경우 이해상충 소지가 있으므로, 사외이사가 소속된 법률사무소와 법률자문 계약 체결시 이해상충 여부에 대해 면밀히 검토하는 등 내부통제를 강화할 필요가 있음

(10) 임직원의 금융투자상품 매매 관련 내부통제 강화

금융투자업의 직무를 수행하는 임직원이 자기계산으로 금융투자상품을 매매하는 경우 매매명세를 소관부서장과 준법감시인에게 제출토록 하고 있으나, 금융투자업의 직무를 수행하는 임직원 상당수가 매매명세를 보고하지 않고 있는데도 점검이 미흡한 실정 이므로, 이에 대한 내부통제를 강화할 것이 요망됨

(11) 고객 친목단체에 대한 경비집행 업무 강화

거래기업의 CEO 등으로 구성된 단체의 친목활동 경비 중 일부를 중소기업에 대한 조사연구 및 기업지도 사업을 수행하기 위한 예산에서 지원한 사실이 있으므로, 앞으로 동 단체에 대한 경비 집행시 사업목적에 맞게 예산이 사용될 수 있도록 경비집행 절차 및 집행의 적정성 여부 검증 등 관련 내부통제를 강화할 필요가 있음

(12) 금융투자업 관련 법률리스크 사전검토 강화

WM사업부가 자체 개발 알고리즘을 통한 투자자문 경험이 없는 회사로부터 사실상 투자 자문을 받아 일임형 ISA 고객에게 투자일임서비스를 제공하고 있는데도, 준법지원부 에서는 동 투자자문과 관련한 신규계약 검토시 이에 따른 법률리스크 확인·통제에 소홀 하였으며 금융투자업 관련 지원·자문이 가능한 전문성이 있는 직원도 확보하지 못하고 있는 바,

앞으로 준법지원부는 신규업무 개발·추진시 법규 준수 여부 등에 대해 보다 철저히 사전 검토하고, 금융투자업 관련 준법활동의 강화를 위해 전문성 있는 직원을 충원할 필요가 있음

(13) 투자일임재산 운용전략 결정과정의 합리화

일반투자자를 대상으로 투자일임업을 수행하면서, 알고리즘에 의하여 산출된 자산배분 비중 및 투자종목 중 일부를 자산배분결정위원회가 임의로 변경하는 등 운용전략 결정과정에 일부 미흡한 부분이 있으므로,

투자일임재산을 운용하면서 투자자에게 운용전략을 합리적으로 설명할 수 있도록 운용 전략 결정과정을 보완할 필요가 있음

(14) 투자일임자산 배분을 위한 위원회 구성·운영 업무 강화

투자일임자산의 자산배분결정위원회를 업무상 이해상충이 발생할 수 있는 자들을 포함 하여 구성하고, 투자일임자산의 자산배분비중과 투자종목을 논의·결정토록 하였으므로 앞으로 정보교류차단 법규를 철저히 준수하여 자산배분결정위원회를 구성·운영할 필요가 있음

(15) 임직원의 겸직 관리 강화

일부 직원이 영리를 목적으로 하는 법인에 비상근임원으로 겸직하고 있어 이해상충이 발생할 소지가 있으므로, 제반 절차 및 내부통제를 강화하여 임직원 겸직의 적정 여부를 철저히 관리할 것이 요망됨

(16) 물품·용역 등 계약사무 관련 내부통제 강화

물품·용역 등의 계약 체결시 추정가격을 산정하고, 경쟁입찰 또는 수의계약 등에 부칠 사항에 대해 예정가격을 결정하고 밀봉하여 미리 개찰장소 또는 가격협상장소 등에 두어야 하며, 협상에 의한 계약은 계약이행의 전문성·기술성·긴급성, 공공시설물의 안전성 및 그 밖에 국가안보목적 등의 이유로 필요하다고 인정되는 경우에만 체결 할 수 있는데,

검사대상기간 중 예정가격을 작성하지 않거나 이를 밀봉하여 비치하지 않은 사례, 협상에 의한 계약의 사유로 볼 수 없는 계약을 협상에 의한 계약 방식으로 체결한 사례가 발생하는 등 계약사무와 관련한 내부통제가 미흡한 실정이므로,

계약담당자가 계약사무 관련 규정을 철저히 준수할 수 있도록 관련 내규를 보완하고, 계약사무 관련 내부통제를 강화할 것이 요망됨

(17) 주식 인수·처분가액 산정의 투명성 강화

주식 인수·처분가액은 액면가액으로 하되, 이를 초과하려면 별도로 정한 바에 따라 본질가치 및 유사 회사의 상대가치 등을 감안하여 산정하여야 하며, 주당 인수·처분 가격은 가격선정 대상기업의 기준가를 감안하여 산정하고 상대가치는 PER, PBR, PSR, EV/EBITDA 중 상대비교 유의성이 높은 2개사 이상을 선정하여 평균가액을 적용하여야 하는데,

비상장기업의 주식 인수·처분가액의 산정과 관련하여 상대가치를 산출하면서, 소분류 업종이 동일한 주권상장법인 2개사를 선정하여 그 평균가액을 상대가치로 정하고 있으나, 2개사가 가격선정 대상기업과 상대비교 유의성이 높은 회사인지 알 수 없고, 이를 뒷받침할 수 있는 자료를 작성·보관하고 있지 않으므로

가격선정 대상기업과 상대비교 유의성이 높은 회사인지 명확히 알 수 있도록 유사 회사 선정과정을 투명하게 처리하고, 그 선정과 관련된 자료를 보관하는 등 업무를 보완할 것이 요망됨

(18) IT사업계획 수립·운용 관리 강화

연간 IT계획을 수립하여 IT사업을 추진하고 있으나, 차세대시스템 구축(2014.10월) 이후 2015~1016년 IT부문에서 추진한 IT사업의 추진율이 다소 저조한 수준이며, IT 사업 추진에 대한 우선순위 및 평가체계가 명확하지 않고, IT사업 미추진 사유 등을 관리하지 않아 전략적으로 중요한 IT사업에 대한 추진이 누락될 우려가 있으므로

중요도, 성과지표 등에 근거한 IT사업의 우선순위 결정 등을 통해 현실적이고 실현 가능한 IT사업계획을 수립하고, 미추진 사업에 대해서는 추적 관리를 실시하는 등 IT사업계획 수립 운용 관리를 강화할 필요가 있음

(19) 재해복구계획의 실효성 제고

① 재해복구시스템 구축 대상 확대

장애·재해 등 전산센터 마비 상황을 대비하여 핵심업무를 선정하고 재해복구시스템을 구축·운영하고 있으나, 차세대시스템 구축 당시에 선정한 핵심업무를 대상으로 재해 복구시스템을 구축 운영하여 일부 대고객 서비스에 대해 재해복구시스템을 마련하지 않고 있으므로

업무영향평가 등을 통해 핵심업무 선정의 적정성을 주기적으로 검토하고 재해복구 시스템 구축을 확대할 필요가 있음

② 통신회선에 대한 재해복구계획 보완

주전산센터와 주요 대외기관 간 통신회선을 이중화하여 구성하고 재해발생 시 이중화 된 통신회선 중 백업회선을 재해복구센터로 변경(3시간 이내)하는 복구 절차를 마련하고 있으나, 재해발생시 통신회선 변경작업 시간이 장시간 소요되는 경우 복구목표시간(3시간)을 초과할 우려가 있으므로

주전산센터와 대외기관 간 백업회선을 재해복구센터를 경유하도록 조정하여 재해 발생시 복구목표시간 내에 통신회선 복구가 이루어질 수 있도록 관련 재해복구 계획을 보완 운영할 필요가 있음

③ 재해복구계획서 관리 강화

재해복구모의훈련을 분기 1회 실시하고 있고, 훈련결과 도출된 미흡사항 등을 재해복구 계획서에 반영하여 최신상태로 유지하고 있으나,

동 계획서의 개정 시 전결권자의 승인과정 없이 담당자가 업데이트하면서 변경이력을 기록하지 않고 있으므로 재해복구계획서 개정을 체계적으로 관리할 필요가 있음

(20) IT외부주문 서비스수준평가(SLA) 강화

IT외부주문 업체인 ○○시스템과 계약을 체결하여 IT개발, 운영, 보안 및 유지보수 업무를 위임하고 있으며, 서비스수준 평가(SLA) 결과에 따라 동 계약을 갱신하고 있으나,

계량데이터 부재로 평가결과에 대한 정확성 및 신뢰도가 저하될 우려가 있고, 위임 업무에 대한 서비스품질 및 서비스수준 달성도 등 성과기준에 대한 모니터링이 어려우므로

SLA평가지표를 운영실적에 근거한 계량데이터로 구체화하고, 서비스 실적 등에 대한 정기보고를 통해 실질적인 품질관리 및 성과평가가 이루어질 수 있도록 SLA평가 체계를 강화할 필요가 있음

나. 개선사항

(1) 워크아웃 여신에 대한 대손충당금 산출방법 불합리

워크아웃 여신에 대한 대손충당금 산출시 미래현금흐름의 추정 또는 상환스케줄의 이행 여부에 대한 판단 없이, 여신 재조정에 따른 여신의 가치하락분과 재조정 채권의 미래현금흐름 현재가치에 기존에 정의된 신용등급별 부도율 및 계좌별 LGD를 곱하여 나온 충당금을 합하여 대손충당금을 산출하고 있어, 워크아웃 차주에 대한 개별 충당금 산출방식이 회계기준에 부합되지 않게 운영되고 있으므로

워크아웃차주에 대한 대손충당금 산출시 미래현금흐름을 추정하여 산출할 수 있도록 충당금 산출 방식을 개선하시기 바람

(2) 단기매매증권 보유기간 운영방법 불합리

단기매매증권 매매업무를 수행하면서 외화단기매매채권의 보유기간은 원칙적으로 1년 이내로 하고 소관부서 담당 그룹장의 승인을 받은 경우 기간을 달리할 수 있으나, 원화단기매매채권은 별도의 보유기간 등을 마련하지 않고 있어 은행의 전반적인 차원에서 단기매매증권의 매매업무를 수행하는데 일관성이 결여될 우려가 있으므로, 모든 단기 매매증권의 보유기간 및 예외기준 등을 합리적으로 개선하시기 바람

(3) 이동점포 자동화기기 현금시재 계리방법 불합리

평생고객부에서 차량에 인력 및 시설을 배치하여 영업점 업무를 처리하는 3개의 이동 점포를 운영함에 있어 자동화기기 운영·관리·시재검사 등을 담당하고 있는데도, 영업부를 현금시재의 회계점으로 지정·운영하여 동 기기의 현금시재를 영업부에 계리함에 따라 영업부의 재무상태표상 현금(통화)이 과다하게 계상되고 시재 사고 등의 경우 책임소재가 모호할 우려가 있으므로

이동점포 자동화기기의 현금시재 회계점과 관리·운영 부서를 일치시키는 등 현금시재 계리방법을 합리적으로 개선하시기 바람

(4) 방카슈랑스 등의 제휴 금융회사 및 상품 선정 절차 불합리

방카슈랑스 및 펀드 판매 영업과 관련하여 제휴상품관리위원회 를 설치하여 운영

하고 있으나, 제휴 보험회사를 제휴 자산운용사 및 펀드·보험상품과 달리 위원회 심의 없이 선정하고, 보험상품 선정시에는 리스크 담당자, 펀드상품 선정시에는 소비자 보호 담당자를 위원회에 포함시키지 않고 있으며, 펀드 상품 선정시 위원장이 인정 하는 경우 선정 가능토록 하고 있어 위원회가 무력화될 우려가 있으므로,

제휴 금융회사 및 상품 선정업무의 객관성과 투명성을 제고하고 제반 위험요인이 해소 되도록 제휴 금융회사 및 상품 선정시 공히 위원회를 거치도록 하고, 위원회 구성과 평가방법을 합리적으로 개선하시기 바람

(5) 법인인감카드 및 법인인감증명서 관리 절차 불합리

법인인감증명서를 먼저 발급받은 후 결재를 득하거나 발급·교부를 위한 결재 과정 에서 사용책임자를 선택함에 있어 지정된 사용책임자가 아닌 제3자를 임의로 선택 하는 사례가 있으며, 인감증명서 대리 발급 시 관련 정보를 관리하지 않아 부정 발급 받더라도 인지하기 곤란하여 사고 발생시 책임소재가 불명확할 우려가 있으므로,

법인인감증명서 발급·사용 절차를 준수하고 대리발급 등으로 인한 사고를 예방할 수 있도록 전산시스템 보완 등 관리 절차를 개선하시기 바람

(6) 행우회 출자회사와의 계약체결 방법 불합리

계약사무취급세칙 에 의하면 계약 체결시 원칙적으로 일반경쟁에 의하되, 계약의 목적·성질·규모 등을 고려하여 필요하다고 인정되면 제한경쟁이나 수의계약을 할 수 있으며, 수의계약을 체결할 수 있는 경우로 행우회 출자회사와 계약을 체결하는 경우를 포함하고 있으나,

수의계약에 대한 포괄적 예외사유를 규정하고도 계약의 목적·성질·규모 등이 아닌 특정 계약상대방을 규정하고 있는 것은 일반경쟁 체결을 원칙으로 하는 계약관련 규정의 취지와 부합하지 않고, 특정업체에 대한 특혜제공 의혹을 불러올 수 있으므로, 행우회 출자회사와의 계약의 투명성 제고를 위해 관련 규정을 합리적으로 개정하시기 바람

(7) 감사결과 사후관리 방법 불합리

① 자점감사 운용기준 에 의하면 감리역에게 ‘자점감사 결과 지적사항 사후관리 총괄’ 책임을 부여하고 있는데,

실질적으로는 감리역이 총괄기능 이외에도 지적사항 정리·보완여부를 확인하여 종결 처리하고, 지적사항을 발견한 직원은 지적사항 정리 확인 등을 하고 있지 않아 지적 취지와 다르게 종결될 우려가 있을 뿐만 아니라 감리역의 업무 부담으로 형식적인 사후관리에 그칠 소지가 있으므로

감사결과 지적사항을 발견 직원이 지적사항 정리·보완여부를 먼저 확인하는 절차를 도입하시기 바람

② 감사업무세칙 에 의하면 검사부로부터 감사결과통보서를 받은 부점장은 동 통보서에

지정된 기일 내에 해당 사항을 정리하여야 하나,

검사부가 감사결과통보서 통보시 대부분 정리기일을 지정하지 않는데다, 6개월 경과 장기미정리 건은 사유·대책 등을 검사부장에게 보고토록 하고 있어 통상의 정리기한을 6개월로 인식하고 있는 실정이므로

자체감사결과 정리기한을 구체적으로 설정하는 등 관련 규정을 합리적으로 개선 하시기 바람

(8) 명령휴가에 의한 특명감사 운용 불합리

휴가규정 및 명령휴가에 의한 특명감사 운용기준 에 따라 연1회 이상 불시에 명령 휴가 및 특명감사를 실시하고 있으나,

본부부서의 대상자를 외국환 딜링·유가증권 투자·자금거래업무 담당직원 및 동일 부점 2년 이상 장기근무 직원으로 한정하고 있어 파생상품 투자 등 사고위험이 높은 일부 업무를 담당하는 직원에 대해서는 특명감사를 실시하지 않고 있고,

연 1회 이상 명령휴가를 실시하되 해당업무 명령휴가 실시일로부터 1년 이내에 실시 토록 규정하고 있으나, 대상자에 대한 특명감사 주기 등을 확인하는 체계가 마련되어 있지 않으며,

불시 명령휴가 특명감사를 1회 이상 실시한 경우 경영평가시 가산점(0.2점)을 부여 하고 있으나, 실시 횟수와 상관없이 동일한 가산점을 부여하고 있어 명령휴가 실시에 대한 유인이 부족할 뿐 아니라

감사 대상기간을 1개월 등으로 짧게 설정하고, 동 기간 중 대상자가 실제 처리한 실적이 없는 업무를 감사항목으로 선정하여 점검하는 등 영업점 등의 특명감사에 대한 실질적인 이행이 다소 형식적인 수준이므로,

불시 명령휴가 실시율 및 실효성 제고를 위하여 관련 규정 및 점검 체계 등을 합리적으로 개선하시기 바람

(9) 고객위험평가모형 및 고객확인 전산시스템 개선

고객위험평가시 자금세탁 위험 등을 식별·평가하여야 하고, 국가·고객유형·상품 및 서비스 위험 등도 반영하여야 하며, 특히 카지노사업자, 대부업자, 귀금속판매상 등에 대해서는 강화된 고객확인을 하여야 함에도 아래와 같이 미흡한 점이 있으므로 개선 하시기 바람

① 국가위험 평가시 버뮤다, 케이먼제도, 모나코 등 조세회피지역(Tax-heaven)에 대한 위험도가 낮게 평가되어 고객 및 상품위험도 등을 고려할지라도 저위험고객으로 분류될 가능성이 있으며,

개인에 대한 고객위험 평가시 고위험직업(카지노업, 대부업자, 환전상, 귀금속 판매상)에 대해서 고위험으로 평가하지 않고 있으므로 정확한 위험평가가 수행 될 수 있도록 평가 모형 조정

② 재이행주기 도래 고객에 대한 고객확인 이행율이 현저히 낮고, 고객확인정보

입력시 오류검증시스템이 없어 잘못된 정보가 입력될 수 있으니, 재이행주기 도래 고객에 대한 적극적인 고객확인업무 수행, 개인정보에 대한 입력사항에 대한 오류 검증시스템 구비 등 지속적이고 정확한 고객확인을 실시할 수 있는 시스템 마련

(10) 고객확인 업무 절차 불합리

해당 금융거래가 완료되기 전에 고객의 신원에 관한 사항과 실제 소유자에 관한 사항을 확인하고 검증하는 등 고객확인 의무를 이행하여야 하며 고위험으로 판단 되는 고객에 대해서는 직업 또는 업종, 회사의 기본 정보, 자금의 원천, 거래의 목적 등 추가정보를 확인하여야 함에도 아래와 같이 미흡한 점이 있으므로 고객확인 업무를 개선하시기 바람

① 법인․단체 고객에 대한 실제 소유자 확인시 실제 소유자 확인 생략이 가능한

경우가 아님에도 전산상 실제 소유자란이 누락되어 있거나, 법규에서 정한 절차에 따라 단계적으로 하지 않고 법인등기부등본 또는 법인사업자등록증 등에 나타난 대표자를 실제 소유자로 간주하여 신원사항을 확인하는 등 실제 소유자 확인이 미흡하므로 관련 절차 개선

② 강화된 고객확인과 관련하여 영업점에서는 거래목적 및 거래자금의 원천을

시스템의 입력항목에 적고 있으나 상당부분을 ‘기타’로 기재하고 있는 등 구체성이 부족하고, 그밖에 고객확인 이행시 필수사항인 국적, 주소 및 연락처, 비영리법인에 대한 설립목적의 기재가 누락되거나 미흡하게 기재된 사항이 발견되었으므로, 내규에 규정된 고객확인업무를 성실히 이행하기 위해 영업점에 대한 교육 강화 등 관련 업무체계 개선

(11) 의심스러운 거래 보고 업무절차 불합리

고객의 거래 등에 대하여 지속적으로 모니터링 할 수 있는 체계를 수립 운영하여야 하고 거래 모니터링 결과 비정상적인 거래의 경우는 그 배경과 목적 등을 검토하고 검토 결과를 기록·관리하여야 함에도 아래와 같이 미흡한 점이 있으므로 관련업무절차를 개선하시기 바람

① 의심스러운 거래로 판단되는 거래에 대해서는 보고책임자(준법감시인)의 승인을

얻은 후 금융정보분석원에 보고하도록 하고 있음에도, 보고책임자의 사전승인 없이 준법감시부장이 금융정보분석원에 보고한 후, 보고책임자에게 사후적으로 건수만 보고하고 있으므로 관련 업무절차 개선

② 일부 자금세탁위험이 높은 거래에 대해 추출기준이 없거나, 추출된 거래 중 위험이

높은 거래에 대한 충분한 검토 없이 의심스러운 거래 보고 여부에 대한 판단이 종료 되는 경우가 있으며, 법집행기관에 거래정보를 제공한 거래, 금융사고 보고거래 등 자금세탁위험이 높은 거래에 대하여 의심거래 보고를 위한 검토 절차가 미비하고

임직원의 내부 횡령 등의 사건이 발생한 경우 의심스러운 거래로 금융정보분석원에 보고하도록 되어 있으나 일부가 누락되는 경우가 있으며, 동일인 거래가 반복 추출되는 경우 최초 보고만 하고 추가로 보고하지 않아 의심스러운 거래의 보고 누락 가능성이 있으므로, 위험이 높은 거래에 대해 빠짐없이 검토되도록 업무절차 개선

③ 추출된 거래에 대해 보고가 제외되는 경우 미보고 사유를 ‘특이사항 없음’으로

기재한 사례가 다수 발견되는 등 형식적으로 미보고 사유를 관리하고 있으므로 영업점에서 의심경보 발생거래에 대해 보다 심도 있게 검토하여 미보고사유 등을 상세히 기록하도록 하고, 본점의 의심스러운 거래 보고 검토 범위를 확대하는 등 관련 업무절차 개선

(12) 자금세탁방지 업무 관련 내부통제 절차 불합리

자금세탁방지 업무와 관련하여 아래와 같이 내부통제 절차가 불합리하므로 관련 규정 등을 합리적으로 개선하시기 바람

① 자금세탁방지업무 취급규정 에 자금세탁방지 업무 관련 이사회, 은행장 및 보고

책임자의 역할과 책임을 규정하고 있으나, 경영진(은행장)에게 제·개정 권한이 있는 규정에서 이사회의 역할 및 책임 등을 규정하고 있어 규정 체계상 바람직 하지 않으므로 이사회 규정에 동 내용을 반영

② 자금세탁방지업무 취급규정 제15조에는 직원알기제도 이행 절차와 방법을 수립

하도록 되어 있으나 동 절차 등이 수립되지 않아 임직원에 대한 직원알기제도가 실질적으로 이행되도록 재산상황·신용등급 조사 등 방법과 세부절차를 수립·이행

(13) 해외 지점 등에 대한 자금세탁방지업무 절차 불합리

해외 지점 및 자회사의 자금세탁방지 등의 의무이행 여부를 관리하여야 하며, 국내법과 현지법상 기준이 다를 경우 더 높은 기준을 적용하여야 함에도 아래와 같이 미흡한 점이 있으므로 관련 업무절차를 개선하시기 바람

① 해외 지점 및 해외 자회사의 자금세탁방지 등 의무이행과 관련하여 국내법과

현지법상 기준의 비교․검토 없이 모든 지점 등에서 현지법을 적용하고 있어 국내법보다 낮은 기준이 적용될 경우가 있으며, 해외 지점에서 작성한 준법감시 월보고서에 자금세탁업무가 형식적으로 보고되고 있으며,

뉴욕지점을 제외한 지점은 거래모니터링시스템이 없어 수작업으로 모니터링하고 있으며 해외 자회사의 자금세탁방지업무 의무이행에 대한 본점차원의 통제절차가 없으므로, 해외 지점 및 자회사에 대한 전반적인 자금세탁방지업무 현황 점검을 통해 해외 지점 등에 대한 모니터링 절차 개선

② 해외 지점에서 수행하는 자금세탁방지업무에 대하여 본점에서 검토 기능이 없어

해외 지점이 자금세탁 등에 이용될 위험이 있으므로, 해외 지점에서 수행한 의심스러운 보고 등에 대해서 본점에서 검토하는 절차 마련

(14) IT사업 수의계약 및 검수 절차 불합리

IT사업 수의계약 및 검수 절차와 관련하여 아래와 같이 미흡한 점이 있으므로 IT사업 수의계약 및 검수 체계가 객관성 및 투명성을 유지할 수 있도록 관련 업무 절차 등을 개선하시기 바람

① 수의계약에 대한 검증절차 개선

계약사무취급세칙 에는 기 구축된 전산시스템의 추가 개발시 기존 전산시스템 과의 호환성이 없게 되는 경우에 예외적으로 수의계약을 허용하고 있으나, 동 사유의 타당성을 증명할 만한 구체적인 증빙자료 확인 없이 사업발의 부서에서 작성한 수의계약 사유기재 내용만을 근거로 수의계약을 진행하고 있어 객관적인 검증이 어려우므로

호환성 등 사유에 대해서는 구체적인 증빙자료를 징구하고, ‘정보화실무협의회’ 등에서 사전 검증하는 등 IT사업 수의계약에 대한 검증 절차 개선

② IT사업 검수 절차 개선

IT사업에 대한 검수는 IT업무처리지침 및 물품검수기준 에 따라 사업발의 부서

주관으로 계약물품에 대한 품목, 수량, 설치 등을 확인하여 검수조서를 작성하는 절차를 마련하고 있으나,

현업에서 추진하는 외주용역 개발 건은 IT관련 전문지식이 부족한 현업 직원이 검수를 실시하고 있고, IT부서의 자체추진 사업의 경우는 사업발의 담당자가 직접 검수를 실시하고 있으므로

IT사업 검수 시 사업발의 담당자 및 이해당사자를 배제한 IT부서 인력을 공동으로 검수에 참여하게 함으로써, 검수의 공정성을 높이는 등 IT사업 검수 절차 개선

(15) 데이터베이스 운영 통제 불합리

데이터베이스 접근통제시스템 운영 및 전산자원 접근통제와 관련하여 아래와 같이 미흡한 점이 있으므로 데이터베이스 및 전산자원에 대한 접근통제를 강화할 수 있도록 관련 업무 절차 등을 개선하시기 바람

① 데이터베이스 접근통제시스템 및 접근이력관리 불합리

데이터베이스(DB)에 대한 접근권한 통제 및 접근이력 기록 관리 등을 위해 DB 접근통제시스템(DBSafer)을 구축 운영하고 있으나, 재해복구시스템 및 일부 단위시스템은 접근통제시스템이 미적용 되어 있으며 데이터 베이스 접속로그를 별도로 소산하지 않고 있어 재해발생시 데이터베이스 접근통제가 미흡할 우려가 있으므로

데이터베이스 접근통제시스템이 미 적용된 시스템에 대해 확대 적용하고 데이터 베이스 접근내역을 원격지에 소산

② 전산자원 접근통제 개선

통합단말시스템에서 주민등록번호를 포함하는 고객정보 조회 시 마스킹을 적용하는 등 고객정보에 대한 접근을 통제하고 있으나,

데이터베이스에 직접 접속하여 조회 시 고객정보에 대한 마스킹이 미적용되고, 명령어 (SQL쿼리) 수행 시 별도의 통제절차가 없으며, 데이터베이스 사용자계정이 다소 과다하게 발급되어 있어 전산자료가 유출될 우려가 있으므로 고객정보에 대해 마스킹을 적용하고 DB 명령어 수행 시 통제방안을 마련하는 한편, 데이터베이스 계정 발급절차 개선

(16) 무선통신망 보안통제 불합리

무선통신망(WiFi) 환경에서의 모바일 애플리케이션 테스트를 위해 대외인터넷 접속용 네트워크 무선공유기를 설치·운영하고 있으나,

비인가 무선프로토콜이 활성화되어 있는 등 무선공유기 보안설정이 일부 미흡하고 업무에 불필요한 인터넷사이트 접속이 허용되어 있어, 비인가 단말기가 무선통신망에 접속하거나 테스트 단말기(스마트폰 등)의 악성코드 감염 등이 우려되므로

무선공유기의 보안설정을 강화하고 비업무용 인터넷사이트에 대한 접근을 차단하는 한편, 주기적으로 설정내용을 점검하는 등 관련 업무절차를 개선하시기 바람

(17) 전자금융거래 로그기록 관리 불합리

인터넷뱅킹 웹서버에 전자금융거래 내역 보관을 위한 ‘전자서명값 로그’를 저장하고 있으나, 로그파일에 계좌번호 및 고객 실명을 보안강도가 미약한 단순 변환 알고리즘으로 변환하여 저장하고 있어 동 파일 유출 시 계좌번호 등 정보유출의 우려가 있으므로

미래창조과학부에서 권고하는 보안강도 이상의 암호화 알고리즘을 적용하여 고객정보를 암호화하는 등 관련 시스템을 개선하시기 바람

(18) 이메일시스템 사용자계정 관리 불합리

대외 이메일 수·발신을 위한 이메일시스템을 구축하여 내부 업무용 이메일시스템과는 별도로 운영하고 있으나, 퇴직 임·직원의 이메일 사용자계정이 존재하고 그 중 일부는 최근 6개월 이내에도 사용되는 등 사용자계정 관리가 미흡하므로,

퇴직 임·직원의 이메일 사용자계정에 대해 접속 차단 및 삭제 조치하고, 임·직원 퇴직 즉시 사용자계정을 삭제하는 등 관련 업무절차 및 시스템을 개선하시기 바람