한국투자저축은행 금감원 경영유의사항 · 2023-11-21

제재내용 공개안

1. 금융기관명 : 한국투자저축은행

2. 조치일 : 2023. 11. 21.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) IT감사업무 강화방안 마련

2019.9월부터 검사착수일(2023.6.28.) 현재까지 IT감사(정기, 특별 등)를 실시하지

않고 IT감사인력도 확보하지 못했으며

IT부문 일상감사는 그 범위 및 대상을 내규에 선언적으로만 명시*하고 감사자

역량에 의존하여 실시하고 있어 IT부문 주요 내부통제가 누락 및 부실화될 우려가 있으므로

* ｢감사위원회직무규정｣ : 주요 전산시스템의 신규 개발, 개선 등 전산 관련 주요 사항

｢ IT자체감사지침｣ : IT자체감사자는 일상적으로 수행하는 주요 업무의 처리결과의 이상 유무,

업무산출물 작성 여부 및 내용 적정성 등에 대해 확인 및 검토 수행

내부 인력 재배치 또는 외부 채용 등을 통해 IT감사인력을 조속히 확보하고 내규에

따라 IT감사계획을 수립·이행하며 IT부문 일상감사 범위 및 대상을 구체화하여 내규에 반영하는 등 IT감사업무가 충실하게 수행될 수 있도록 강화방안을 마련하시기 바람

나. 개선사항

⑴ IT·정보보호 부문 자체감사에 대한 객관성 및 독립성 확보

IT·정보보호 부문 자체감사자를 지정(1명)하여 수시·일상감사를 실시하고 그

결과를 소속 부서장 및 임원(CIO, CISO겸직)에게 보고하고 있으나

동 자체감사자는 감사업무 이외에 정보보호 정책 등 타 업무를 겸직하면서 소속

부서장(IT전략기획팀장, CIO)에게 인사고과를 받고 있어 소속 부서 및 담당 업무에 대해 자체감사를 독립적·객관적으로 수행하지 못할 우려가 있으므로

IT·정보보호 부문 자체감사의 독립성 및 객관성을 확보할 수 있도록 전담인력

확보, 인사제도 및 조직 개편(업무분장 포함)방안을 마련하시기 바람

< 관련규정 >

1. 한국투자저축은행 내규 ｢IT자체감사지침｣

⑵ 프로그램 변경관리 통제 강화

IT서비스관리(ITSM) 및 여신심사관리(BADA) 시스템을 통해 프로그램 변경

요청·승인업무를 수행하고 있으나

상기 시스템의 용도·목적을 구분하지 않고 혼용하여 프로그램 변경 관련 내역에

대한 체계적인 추적, 관리 등이 어렵고

형상관리시스템은 이들과 연동되지 않고 개별 운영되고 있어 승인받지 않은

프로그램이 운영환경에 배포될 우려가 있으므로

프로그램 변경 요청·승인 시스템을 일원화하고 형상관리시스템과 연동하여

프로그램 변경관리 효율화 및 안전성이 확보되도록 개선하시기 바람

⑶ 전산원장 변경관리 통제 강화

평일 업무시간(8:30~17:30) 이후 전산원장을 긴급 변경하는 경우 원장관리시스템을

통해 소관 부서장 및 IT자체감사인(제3자 확인)이 사후 승인하고 있으나

사후 승인이 지연되거나 긴급 변경 사유를 간략히 기록하여 정당성 여부 확인이

어려운 경우가 있고

내규에 제3자 확인 및 긴급 변경 절차가 명시되지 않아 해당 업무가 체계적으로

수행되지 않거나 혼선이 발생할 우려가 있으므로

전산원장 긴급 변경 시 사유를 자세히 기록·관리하고 사후 승인은 신속하게

이루어지도록 철저히 관리하며 내규에 제3자 확인 등 필요한 절차를 빠짐없이 마련하여 내규에 반영하시기 바람

< 관련규정 >

1. 한국투자저축은행 내규 ｢ 전산업무관리규정｣ 제10조 제2항

⑷ 일괄작업 권한관리 불합리

일괄작업(Batch)은 소관 부서장의 승인 후 해당 업무담당자가 수행하고 있으나

서버 운영 등 업무 연관성이 낮은 담당자에게도 권한이 부여*되어 있어 승인받지 않은 일괄작업이 수행될 우려가 있으므로

* 서버운영담당자(5명) 및 시스템 어플리케이션 개발자(9명)에게 등록·변경·삭제·

실행권한 부여

일괄작업 관련 담당자별로 필요한 권한만 부여하고 권한 부여 현황 및 일괄작업

수행내역이 정기적으로 점검되도록 개선하시기 바람