하나은행 금감원 경영유의사항 · 2022-10-31

경영유의사항 등 공개안

1. 금융기관명 : ㈜하나은행

2. 조치요구일 : 2022. 10. 31.

3. 조치요구사항

가. 경영유의사항

(1) 내부감사업무의 독립성 등 강화

◦ 상임감사위원 및 감사위원의 감사업무 독립성 및 전문성 강화를 위하여 아래와

같이 이사회 내 위원회 구성 및 운영에 있어 제도적인 보완이 필요함 ㈎ 은행장이 임원후보추천위원회에 위원으로 참여하고 사내이사인 상임감사위원 후보 추천시 의결권을 행사하고 있어 상임감사위원 선임 이후 경영진에 대한 업무 집행 감독 등 감사 업무의 적극적‧ 독립적 수행이 저해될 우려가 있으므로,

상임감사위원 후보 추천시 은행장의 임원후보추천위원회 참여 및 의결권 행사 제한 등 임원후보추천위원회 구성 및 운영을 보완할 필요가 있음

㈏ 감사위원회의 일부 감사위원이 리스크관리위원회 위원을 겸임하고 있어 자기업무 감사에 따른 이해상충 소지가 있으므로 감사위원에 대해서는 자기업무 감사 우려가 있는 이사회 내 위원회 위원 겸임을 제한할 필요가 있음 ㈐ 감사위원회 감사위원 등의 임기가 내규에 의해 일정기간 이상 보장되지 않아 경영진에 대한 적극적 견제기능 수행이 어려울 우려가 있으며, 감사위원이 임기제한 없이 장기 재임할 경우 경영진과의 유착관계 형성 등에 따라 효율적 내부감사업무 수행이 저해될 우려가 있으므로,

감사위원 등의 임기를 일정기간(최소 2년) 보장하는 한편 장기 재임에 따른 부작용 방지를 위한 연임 제한 등 감사위원 임기 운영을 개선할 필요가 있음

㈑ 평가보상위원회에 비상임이사인 하나금융지주 OO담당 임원이 참여하여 상임 감사위원의 성과평가 및 보수 결정에 의결권을 행사하고 있어 상임감사위원의 독립성이 훼손될 우려가 있으므로,

상임감사위원에 대한 성과평가 및 보수 결정시 하나금융지주 OO담당 임원의 의결권을 제한하여 운영할 필요가 있음

(2) 사외이사 평가제도의 실효성 강화

◦ 내규 ｢ 사외이사 운영규정｣ 제12조에 따르면 사외이사의 활동내역을 기초로 공정한

평가를 실시하고, 2년 이상 재임하는 사외이사에 대해서는 필요한 경우 최소 2년에 1회 이상 외부 평가기관에 의한 평가를 실시하도록 되어 있으나 2년 이상 재임한 사외이사에 대하여 외부 평가기관에 의한 평가를 실시한 사례가 없고, 사외이사 평가항목 중 일부 계량지표*에 대하여 배점기준 등 세부 평가기준 없이 평가가 이루어지고 있으므로,

* (예) 이사회 참석률, 이사회 내 위원회 참석률, 교육연수 참석률

장기 재임 사외이사에 대한 외부 평가기관에 의한 평가 실시, 계량평가 항목에 대한 세부 평가기준 마련 등을 통해 사외이사 평가제도의 실효성 및 객관성을 강화할 필요가 있음

(3) 금융투자업무담당자에 대한 성과보상체계 운영 미흡

◦ ｢금융회사의 지배구조에 관한 법률｣ 제22조 등에 따라 이사회 내 평가보상위원회는

증권 또는 파생상품의 설계‧판매‧운용업무를 담당하는 직원을 금융투자업무 담당자로 지정하여 이들의 보수체계에 관한 사항 등을 심의·의결하고 있으나, 은행은 금융투자 취급부서 소속직원 중 별도 고용계약에 의해 성과보수 계약을 체결한 계약직원만을 금융투자업무담당자로 지정하여 성과보수 지급대상으로 운영하고 있으며,

성과보상심의위원회는 내규 ｢ 자금시장그룹 성과급지급세칙｣ 에 따라 성과급 산정

기준인 성과보상률(PSR)을 초과이익의 O~O% 범위 내에서 정할 수 있으나 성과보상률 산정에 대한 구체적인 기준 없이 매년 O%로 임의결정하고 있으므로, 금융투자업무담당자 지정기준을 단순히 고용형태가 아닌 해당 직무 수행 여부, 중요성 등 관련법령 취지에 부합하도록 보완하고 성과보상률 세부 산출 기준을 수립하는 등 금융투자업무담당자 지정 및 성과보수체계를 합리적으로 운영할 필요가 있음

(4) 임직원 징계업무 절차 및 운영 강화

㈎ 임직원 징계 관련 통합내규 제정 등 징계업무 절차 정비

◦ 징계 업무 처리시 舊 하나은행의 ｢상벌규정｣ 및 舊 외환은행의 ｢인사규정｣과

제정절차가 완료되지 않은 통합내규(안)을 함께 적용하는 등 징계 근거 및 기준이 불명확하여 임직원의 조치 수용성이 떨어지고, 징계 대상 직원의 문제 제기 가능성 최소화에만 중점을 두고 징계 업무를 처리함으로써 내부통제 자율준수 문화가 조성되지 못하고 있으며, 인사위원회 운영 과정 등에서 현행 내규를 위반한 사례가 발견된 바 있으므로,

통합 내규를 조속히 제정하여 징계 절차 및 기준을 정비하고, 기준에 근거한 일관성 있는 제재양정을 통해 임직원의 조치수용성과 자율준수 유인을 제고하는 한편, 노사합의 지연 등의 사유에 따라 통합 내규 제정이 늦추어질 경우에는 징계 관련 내규 조항 중 노사합의가 불필요한 업무절차에 관한 사항을 우선 보완하는 등의 방안을 검토할 필요가 있음

㈏ 임직원에 대한 제재절차 및 운영 미흡

◦ 내규 ｢ 제재 양정‧ 변상 부과 기준 및 절차｣ 등에서 직원의 위법‧ 부당 행위와 관련

하여 신분상의 조치를 할 수 있는 관련자로 ‘위법‧부당행위가 발생한 업무를 지도할 지위에 있는 자‘(감독자)를 명시하고 있으나, 검사대상기간 중 금융투자상품 불완전판매 등 위법‧ 부당행위와 관련하여 행위자인

직원에 대해서는 조치를 취하면서, 합리적인 사유 없이 동 위법‧부당행위의 감독자에 대한 책임을 부과하지 않은 바 있으며, 특히, 위법‧ 부당행위의 행위자가 영업점장인 경우, 감독자에 대한 제재 검토 등이

전혀 이루어지지 않고 있으므로

임직원의 위법‧부당행위에 대한 자체 징계 과정에서 감독자에 대한 제재 여부 검토를 필수적으로 수행토록 하는 등 관련 업무 절차를 강화할 필요가 있음

(5) 영업점 성과평가 시 내부통제 부문 평가 미흡

◦ 은행 임직원의 법규준수 유도 등을 위해 영업점 성과평가(KPI)시 ‘내부통제 감점

항목’을 운영중이나,

검사대상기간 중 영업점 성과평가시 직원의 위규행위 발생 등 내부통제 감점 사유가 발생하였음에도 합리적인 사유 없이 감점을 적용하지 않은 사례들이 다수 확인되었으며,

실효성 없는 항목을 내부통제 감점 항목으로 운영하는 등 내부통제 관련 평가 업무가 전반적으로 부적정하므로,

성과평가시 내부통제 감점 요인의 자의적인 누락‧조정이 발생하지 않도록 별도 통제장치를 구축하는 한편, 평가 항목별 실효성을 검토하여 영업점에 실질적인 내부통제 유인을 제공할 수 있는 평가 기준을 마련하는 등 내부통제 평가 업무에 만전을 기할 필요가 있음

(6) 자체 감사기능 강화

◦ 은행의 자체 감사조직·인력 운영 및 감사업무 수행과 관련하여 아래와 같이

미흡한 점이 있으므로 감사조직·인력 운영상 독립성 강화, 전문인력 충원 등을 통해 자체 감사 기능을 강화할 필요가 있음

㈎ 감사보조조직(검사실)을 통할하는 검사실장 직을 신설‧임명하면서 은행장이 최종 1인을 추천하고 감사위원회에 개최 당일 통보하여 형식적인 임명 동의 절차만 거쳤으며,

내규 ｢인사규정｣ 등에 의하면 검사실 직원 배치시 상임감사위원 등과 사전 협의를 거쳐야 하나 협의를 실시한 기록이 없고 검사실 예산 배정과 관련한 상임감사위원 등과의 사전협의 절차 등이 마련되어 있지 않으므로,

감사조직의 인력‧예산 운영 과정에서 해당 조직의 권한을 충분히 보장하고 독립성을 강화할 필요가 있음

㈏ 일부 본부 부서(인사부, 비서실 등)에 대해 합리적인 사유 없이 종합감사를 장기간 실시하지 않고 있고, PB영업 전담조직에 대해서는 별도 감사를 실시 하지 않고 있으므로,

특정 조직에 대한 감사 공백이 장기간 발생하지 않도록 내부 감사계획 수립 업무를 철저히 할 필요가 있음

㈐ 내규 ｢감사위원회규정｣ 제18조 등에 의하면 감사보조기구가 원활한 업무를 수행할 수 있도록 전문성 있는 감사 인력을 적정 수준 유지하여야 하는데도

IB‧ 디지털 등 신성장분야 관련 리스크를 선제적으로 감사할 수 있는 전문 인력이 충분하지 않으므로,

전문인력 충원 등을 통해 신성장분야 관련 리스크 요인에 대한 면밀한 감사 업무가 수행될 수 있는 여건을 조성할 필요가 있음

(7) 자체 준법감시‧내부통제 업무 수행 강화

◦ 은행의 자체 준법감시‧내부통제 업무 수행과 관련하여 아래와 같이 미흡한 점이

있으므로 내부통제 점검에 따른 조치 기준 명확화, 인력 보강 등을 통해 자체 준법감시‧내부통제 기능을 강화할 필요가 있음

㈎ 내규 ｢준법감시업무 수행결과에 따른 조치 등에 관한 세칙｣ 등에 의하면 내부통제 점검 결과 확인된 위법‧부당행위에 대해 6단계의 조치(감사위원회 보고~지도)를 할 수 있으나, 각 조치 단계 간 명확한 구분 기준이 없고 대부분의 조치를 가장 낮은 단계인 ‘지도’로 처리하고 있으며,

동 내규에서 불완전판매 등 법 위반 사항에 대해서도 1~2회 발생시에는 준법 지원부장 또는 준법감시인의 경고로 자체 종결할 수 있도록 규정되어 있는 등 준법감시 활동에 따른 사후조치가 전반적으로 관대하게 이루어질 소지가 있으므로,

내부통제 점검에 따른 조치 기준을 명확히 하고 법 위반 행위에 대해서는 엄정한 조치가 이루어질 수 있도록 관련 규정 및 업무절차를 보완할 필요가 있음

㈏ 내부통제제도 운영 실태 점검을 위해 현장 모니터링을 실시하고 있으나, 대 부분의 본부 부서에 대해 동일한 점검 항목으로 연 1일(1명) 현장 점검만을 실시하고 있고, 점검 과정에서 확인된 미흡‧ 지적사항에 대한 기록‧관리 및

개선여부 확인 등 사후관리 절차가 마련되어 있지 않으며

일반영업점과 구분된 특화 업무를 수행하는 일부 영업조직에 대해 별도 점검을 실시하지 않는 등 내부통제 점검 활동이 미흡하게 이루어지고 있으므로,

조직별 업무 특성을 고려하여 충실한 내부통제 점검이 이루어질 수 있도록 점검 절차를 강화하고, 점검 이후 사후관리 업무도 철저히 운영할 필요가 있음

㈐ 2020.11월 현재 준법지원부 소속 내부통제 업무 담당자의 O%(O명중 O명)가 준법지원부 근무 기간이 1년 이내인 직원으로 업무수행의 연속성‧전문성이 확보되기 어려운 인력 구조이며,

준법지원부 내 영업점(669개) 및 본부 부서(63개)에 대한 현장점검 담당 직원이 O명에 불과하고, 상시감시 업무도 담당자당 일평균 약 270건의 점검을 수행 하고 있는 등 충실한 준법감시‧내부통제 활동이 수행되기 어려운 환경이므로,

적정 인원 충원, 전문성 강화 등을 통해 준법감시‧내부통제 업무가 면밀하게 수행될 수 있는 여건을 조성할 필요가 있음

(8) 금융사고 보고체계 강화

◦ ｢금융기관검사및제재에관한규정｣ 제41조, ｢전자금융감독규정｣ 제73조 등에

따르면 금융사고·전자금융사고가 발생한 경우에는 즉시 금융감독원장에게 보고 하여야 하는데도,

금융사고·전자금융사고 보고대상이 아닌 것으로 오인하거나 추가적인 조사를 이유로 검사대상기간 중 사고 보고를 지연한 사례가 있으므로,

보고대상 금융사고·전자금융사고 관련 직원교육을 강화하고, 보고가 적시에 이루어질 수 있도록 보고체계 및 업무처리 절차를 합리적으로 운영할 필요가 있음

(9) 재산상 이익 수령 관련 내부통제 강화

◦ 내규 ｢재산상 이익의 제공 및 수령에 관한 세칙｣에 따르면 임직원 등은 거래

상대방 등으로부터 재산상 이익 수령시 수령 한도(1회 20만원, 동일 회계연도 100만원)를 준수*하여야 하며, 준법감시인에게 수령 내용, 목적, 일자, 경제적 가치 등을 사전보고하고 이에 대한 기록‧관리를 하여야 하나,

* 내규상 한도를 초과하여 수령시 거래상대방의 대표이사 등이 재산상 이익 제공에 관하여

승인하였음을 증명하는 서류 제출 필요

2017.1.1.~2020.10.20. 기간 중 거래상대방으로부터 제공받은 왕복항공료 등에 대한 보고가 누락되거나, 수령 한도 초과 건에 대한 승인서류가 불비한 건이 발견되는 등 관련 업무처리가 미흡하므로,

재산상 이익 수령 보고 및 기록‧ 관리 누락 방지를 위한 준법지원부의 점검 절차를

마련하고 임직원 교육을 실시하는 등 관련 내부통제를 강화할 필요가 있음

(10) 국내외 여비 집행을 위한 증빙기준 명확화

◦ 내규 ｢ 예산관리세칙｣ 등에 따르면 예산을 집행하는 경우 거래의 정당성을 입증할

서류를 편철‧ 보관하여야 하나, 보관 대상 증빙에 관한 기준이 없어 국내외 여비

집행 관련 서류가 편철·보관되지 않은 경우가 발생하고 있고, 국외출장 이후 출장 보고서 작성기준도 부재하므로,

국내외 여비 집행시 편철‧ 보관하여야 하는 증빙기준을 내규 등에 명시하고 국외

여비 집행시에는 출장내용이 포함된 출장보고서를 작성토록 하는 등 국내외 여비 집행 관리를 강화할 필요가 있음

(11) 해외 지분출자 의사결정 관련 프로세스 강화

◦ 중국 O사에 대한 출자를 진행하는 과정에서 아래와 같이 미흡한 점이 있었

으므로 향후 유사 사례가 재발하지 않도록 업무 프로세스를 강화할 필요가 있음 ㈎ 해외 출자를 진행하기 위해서는 설령 출자대상 법인이 아직 영업을 개시하기

1 예상 자본구조 및 자금조달

이전의 신설회사라고 할지라도 현지실사를 통하여 ◯ 구조, 추정 손익 등에 대하여 해당 회사에서 제시하는 자료에 기반하여 타당성을

2 주주총회·이사회의 구성 및 의결요건, 인허가 절차,

확인하는 절차(재무실사)와 ◯

임원 선임요건, 주주권 제한에 관한 사항, 중요 계약내용, 인사 및 노무에 관한 사항, 기타 현지 법규상 법률리스크 차원에서 확인이 필요한 사항에 대해 서류 및 면담에 기초하여 직접 확인하는 절차(법률실사)를 거쳐야 함에도 하나은행은 재무실사 및 법률실사에 해당하는 현지실사 작업을 누락한 채 출자 검토를 진행하였음

㈏ 은행의 본격적인 출자 검토 시작 시점으로부터 O영업일 후 출자안을 리스크 관리위원회(現 리스크관리운영위원회)에 부의하여 논의를 진행하였으나, 동 시점 에는 회계법인의 사업타당성 분석의 초안조차 나오지 않았고 은행 차원의 제대로 된 검토가 이루어지지 않은 상황이었음에도 위원회 안건 심의 절차를 진행한 결과, 실효성 있는 논의가 이루어지지 못하였음(관련 임원 및 부서장에게 추후 분석결과를 보고하기로 하고 안건 보고 종료) ㈐ 이사회 부의안에 대한 품의를 진행하여 은행장의 결재를 득하였으나, 이사회

1 O사의 납입자본금 변경

부의안을 작성하여 품의를 진행한 동 시점에는 ◯ 이슈로 인하여 당초 제시한 전망치의 적정성 검토 및 예상 수익분석이 완료

2 중국 규제체계상 투자금 회수에 문제가 없는지도 공식적

되지 않은 상태였고, ◯

3 국내 법규상 각종 신고의무 등에 대한

으로 확인이 되지 않은 상태였으며, ◯

법무법인의 검토의견서를 수령하지도 못한 상태였음에도, 이사회 부의안을 잠정 확정하고 품의 절차를 진행하였음

㈑ 단기간내 내부 프로세스를 진행하는 과정에서 이사회 부의안의 내용 일부가 잘못 기재되거나 회계법인 검토내용이 부의안에 제대로 반영되지 않는 등 충실한 확인 절차 없이 이사회 부의안이 마련됨에 따라 최종 의사결정권자인 이사회에 부정확한 안건이 제공되는 결과를 초래하였음

㈒ 이사회 부의안에는 출자를 진행해야 하는 당위성에 관한 정보*는 다수 포함한 반면, 출자 검토 착수 전부터 인지하고 있던 리스크요인**에 대해서는 해당 사항이 중요 리스크 요인인지 여부를 인지하기 어렵게 희석하여 기재하고 있으며, 재무적 투자자로서 핵심적으로 고려해야 하는 투자금 회수전략(Exit Plan)에 대해서도 IPO 등 낙관적인 상황만을 가정하고 비관적인 상황에서의 회수전략에 대해서는 전혀 검토하지 않아 실제 하나은행 경영협의회 및 이사회에서 주요 리스크 요인 및 비관적 상황에서의 투자금 회수전략 등에 대한 논의 없이 의사 결정이 이루어지는 결과를 초래하였음

* 해당 사업의 성장성, 투자파트너의 장점, 해당 신설법인에 출자할 경우 예상되는 투자수익률 등

** 중국의 경제성장 둔화, 과잉생산능력 해소, 기업채무부담 증가 등에 따른 부도발생 위험과 신용정보체제의 미비, 재무제표 신뢰성 문제로 차주의 부실징후를 적시에 인지하기 어렵다는 점

㈓ O사 부실화의 직접적인 원인이 된 ‘기업채무부담 증가 등에 따른 부도 발생 위험’에 대해서는, 당시 국내 다수의 언론사에서 보도된 중국 관련 사항*을 면밀히 분석하였더라면 중국 내 과잉부채 문제를 해소하기 위한 중국정부 차원의 긴축정책이 시행될 수 있다는 점을 예상할 수 있었음에도,

1 중국의 부채문제가 심각한 수준으로 세계경제의 3대 리스크 중 하나로

* 당시 언론에서는 ◯

2 리커창 총리가 “기업의 자금 레버리지 비율을 낮추고 금융이 실물경제를

부상했다는 점과, ◯

위해 제대로 역할을 하도록 하겠다”고 언급한 점을 보도

예상 가능한 리스크요인이 현재화될 경우에 대비한 대응책(Contingency Exit Plan) 마련 등 재무적 투자자로서 필수적인 사전 검토를 충실히 수행하지 않은 채 출자 관련 내부 프로세스를 진행하였음

㈔ 금융위원회에 ‘국외 현지법인 신설 계획 신고’ 서류를 제출한 이후 이사회를 개최하여 출자안을 승인 받았고, O사의 출자구조가 변경됨에 따라 금융위원회에 ‘국외 현지법인 신설 계획 신고 철회요청 및 재신고’ 서류를 제출한 이후 이사회를 개최하여 출자 변경안을 승인받는 등 거액의 지분 투자의 최종 의사결정권자인 이사회가 출자 여부를 결정하기도 전에 감독당국에 신고절차가 먼저 이루어지는 절차상 문제점이 발견되었음

(12) 단독펀드에 대한 통지 프로세스 강화

◦ ｢자본시장법｣ 제192조 등에 의하면 집합투자업자는 펀드의 수익자 총수가 1인이

되는 경우 펀드를 지체 없이 해지하여야 함에도, 은행은 은행이 판매한 O개 펀드에 대해서 수익자 수가 1인이 되었다는 사실을 운용사에 통지하지 않아 해당 펀드가 검사착수일 현재까지 해지되지 않은 사례가 있으므로,

은행이 판매한 펀드의 수익자 총수가 1인이 되는 경우 이를 집합투자업자에게 즉시 통보하도록 관련 절차를 마련‧운용할 필요가 있음

(13) 계열사간 고객 소개업무 프로세스 강화

◦ 계열사 O사와 하나은행간 고객을 소개하는 ‘리퍼럴’ 제도를 운영 중이나, 고객을

상대방 회사에 단순 소개하는 범위를 넘어, 상품을 직접 소개하는 사례가 발생 하고 있고 계열사 O사의 사모펀드 상품을 은행PB가 고객에게 직접 소개하는 과정에서 확정수익이라고 안내하는 사례도 발생하였으므로

‘리퍼럴’ 제도가 계열사간 단순 고객 소개에 한정하여 운영될 수 있도록 제도를 정비할 필요가 있음

(14) 전문투자자제도 관리 강화

◦ ｢ 자본시장법｣ 개정으로 녹취제도가 시행(2018.1.1.)되기 직전인 2017.12월 고령고객 (70세 이상) 등의 전문투자자 지정 신청에 대해 PB게시판 등을 통해 안내하면서 전문투자자 지정에 따른 고객 편의성만을 강조하고 적합성·적정성의 원칙, 설명 의무 미적용에 따른 투자자 보호 약화 측면은 누락함에 따라 영업점 직원 또한 고령고객에게 편의성만을 강조하여 전문투자자 지정 신청을 권유하였고 그 결과 고령고객에 대하여 녹취 없이 상품을 판매한 사례가 다수 발생하였으므로

녹취의무를 회피할 목적으로 전문투자자 제도를 오용하지 않도록 영업점 직원을 대상으로 전문투자자 제도 관련 교육을 강화하고, 전문투자자 지정 신청시 고령 고객 등에게 유의사항을 충분히 설명하고 확인받는 등의 절차를 마련·운영 할 필요가 있음

(15) 전문투자형 사모펀드 관련 내규체계 강화

◦ 펀드 관련 내규를 공모펀드 위주로 구성하고 전문투자형 사모펀드에 대해서는

공모펀드의 예외로만 규정하고 있으므로,

｢ 자본시장법｣ 상 전문투자형 사모펀드 관련 주요 사항들이 내규에 명확하게 반영될

수 있도록 관련 규정체계를 정비할 필요가 있음

(16) 구속행위 방지를 위한 내부통제 강화

◦ 2020.4월~6월중 코로나19 대출 실행 전후 1개월 내에 은행상품에 가입한 비중이

시중은행 중 가장 높은 수준이며 은행상품 가입 권유와 관련한 민원도 지속적 으로 발생하고 있으므로,

구속행위 규제를 회피하는 방식으로 차주의 의사에 반하여 은행상품을 판매하는 사례가 발생하지 않도록 영업점 준법교육 확대, 일별 자점감사 강화 등 관련 내부통제를 강화할 필요가 있음

(17) 신탁업무시 초고령투자자의 투자자성향 파악 절차 강화

◦ 은행은 투자자성향을 기준으로 고객에 대한 투자권유 절차를 운영하고 있으나

금융상품에 대한 이해도가 상대적으로 떨어지는 만 80세 이상 초고령투자자의 투자자성향을 공격‧적극투자형으로 대부분 판정하고 있으므로, 초고령투자자의 위험선호, 금융상품 이해도 등이 투자자성향 분석 결과에 충실히 반영되도록 관련 업무절차를 강화할 필요가 있음

(18) 방카슈랑스 상품 판매시 고령층에 대한 설명 강화

◦ 은행은 변액‧연금보험 등 방카슈랑스 상품 판매시 ｢ 보험업법｣상 설명의무 및

적합성원칙 등에 따라 장기상품 가입시 유의사항 등을 고객에게 고지하여야 하나, 동 방카슈랑스 상품에 가입한 만 70세 이상 고령층의 판매 소요시간*을 점검한 결과 가입제안서 교부부터 초회 보험료 수납까지 5분 이내에 종료된 경우가 전체의 O%에 달하는 등 동 고지 업무가 충실히 이루어지지 않았을 가능성이 있으므로

* (최초 가입시) 고객정보 등록→가입제안서 교부→(변액보험의 경우) 적합성 진단→청약→본인 확인 → 청약서 교부 및 설명 → 초회보험료 수납 고령층 고객이 본인의 투자목적‧ 투자예상기간 등에 적합한 상품을 선택할 수

있도록 방카슈랑스 상품 판매시 설명 절차를 강화할 필요가 있음

(19) 펀드 수탁업무 관련 자점감사의 실효성 제고

◦ 펀드 수탁업무에 대한 일일 자점감사(중분류 기준 40개 감사항목으로 구성)가

세부 점검사항, 필수 점검서류 등에 대한 업무 매뉴얼화가 미흡한 가운데 전담 감사자 1인에 의해 형식적으로 운영되고 있으므로, 자점감사 업무의 범위‧절차 등에 대한 충실한 매뉴얼화, 복수 전담감사자 운영 등을 통해 자점감사의 실효성을 제고할 필요가 있음

(20) 계약 체결 관련 내부통제 미흡

◦ 내규 ｢계약규정｣ 등에 따르면 은행은 계약당사자 간 서로 대등한 입장에서

합의에 따라 계약을 체결하도록 정하고 있고, 주요 계약(그룹장 이상 전결 등)의 경우 준법지원부에서 사전검토를 진행하고 있으나, 준법지원부의 사전검토 의견이 합리적 이유 없이 계약에 반영되지 않은 사례가 있고, 본부 부서가 체결한 계약에 대해서는 준법지원부가 사후점검하지 않는 등 계약절차 관리에 미흡한 점이 있으므로

준법지원부가 권고한 계약상 수정 의견에 대한 반영여부 확인, 본부 부서 체결 계약에 대한 사후점검 실시 등 내부통제를 강화할 필요가 있음

(21) 전산자료 백업 및 소산업무 강화

◦ 내규 ｢백업 및 소산절차｣에 따라, 전산자료 백업대상은 전산센터에 보관중인

데이터 및 프로그램 등이 완전히 파괴된 경우에도 복구가 가능한 범위로 정하고, 상품처리(계정계) 시스템 등의 주요 전산자료를 주기적으로 백업하고 있으나, 시스템별 백업 대상 및 백업 실시 내역에 대한 적정성 검토를 주기적으로 대사 하는 절차가 마련되어 있지 아니하여, 정보계 시스템 등 일부 운영시스템에 대한 데이터 백업이 누락된 사례가 있고

정보계 시스템 등 일부 전산자료의 경우 백업 보관주기가 2개월로 매우 짧게 설정되어 있어 전산자료 유실 등이 발생될 우려가 있으며, 전산자료의 소산대상을 계정계(상품처리) 위주로만 수행하고 있어 재해발생시 소산대상이 아닌 전산자료 및 프로그램이 손실될 우려가 있으므로 전산자료 백업 대상에 대한 적정성을 주기적으로 검토하고, 백업자료에 대한 보관 주기 및 소산대상을 재조정하는 등 백업 및 소산업무를 강화할 필요성이 있음

(22) 항공기금융 관련 민감도분석 등 여신심사 강화

◦ 은행은 항공기금융에 대한 투자시 다양한 리스크요인을 고려하여 여신심사

절차를 진행하고 있으나, 최근 코로나19에 따라 항공수요 침체, 항공사 수익성 하락 등 항공기금융의 건전성 저해 요인이 상존하고 있으므로, 항공기 금융의 투자금 상환에 영향을 줄 수 있는 항공사 채무상환능력, 항공기 시장가격 변동 등의 리스크요인을 고려한 민감도분석(Sensitivity Analysis)을 실시하는 등 여신심사 절차를 강화하여 운영할 필요가 있음

(23) 여신그룹의 KPI 및 여신심사 프로세스의 합리성 제고

◦ 여신그룹의 KPI에 Set거래* 지표를 포함(O%)하고 여신심사시 연계실적 달성

여부를 반영토록 하는 여신심사 프로세스를 도입(2020.6월)함에 따라 구속행위 등 불공정영업행위를 유발하거나 여신심사의 독립성을 저해할 우려가 있으므로,

* 하나은행 계열사 등과의 종합적인 금융거래

여신그룹 KPI에서 Set거래 관련 항목을 제외하고 여신심사시에도 연계거래 여부를 검토항목에서 제외토록 운영할 필요가 있음

(24) 산업별 익스포져 한도 관리 강화

◦ 신용 익스포져 한도설정 절차가 규정화되어 있지 않아 산업별 한도의 경우

매반기 설정시마다 설정 방법을 변경하는 등 자의적으로 한도 변경이 이루어질 우려가 있고,

부동산PF 관련 별도 한도(우량 부동산 한도)를 운영하면서 산업별 한도(부동산 개발업)와 통합관리하지 않고 있으며, 은행의 자체적인 산정 절차 없이 지주가 부여한 계열사 통합 한도를 그대로 사용하고 있으므로, 한도 설정 업무가 일관성 있게 수행될 수 있도록 관련 절차를 명문화하고 우량 부동산 한도를 부동산 개발업 한도 내에서 관리하는 등 리스크관리를 강화할 필요가 있음

(25) 해외여신 취급시 Booking 점포 운영 관련 내부통제 강화

◦ 국가 간 세제 혜택 및 자금조달 효율성 측면에서 차이가 존재하고 자본 규모가

작은 현지법인의 경우 동일인 한도 규제에 따른 대출 애로를 겪을 수 있어, 해외여신 취급시 여신 취급점포가 아닌 타 점포(Booking 점포)에 여신을 기표할 수 있도록 운영하고 있으나,

여신 실행, 신용평가, 리스크관리, 사후관리 등과 관련한 업무분장 등을 별도로 규정하고 있지 않아 부실이나 위규 발생시 적기에 대처하기 어렵고 책임소재가 불분명할 가능성이 있으므로,

Booking 점포 운영 관련 절차 및 업무분장 등을 명확히 하는 등 관련 내부통제를 강화할 필요가 있음

(26) 부동산금융 평가위원회 운영시 이해상충 방지 강화

◦ 부동산금융 평가위원회를 은행 내부위원 및 외부위원으로 구성하여 부동산 관련

투융자의 사업성 및 리스크를 심의하고 사업 진행여부를 판단하고 있으나, 관계회사(O사) 임원이 위원장 및 위원으로서 심의에 참여하고 동 관계회사가 평가대상 PF사업에 신탁사업자로 참여하는 사례가 다수 있어, 사업성평가의 객관성이 저해되는 등 이해상충이 발생할 우려가 있으므로, 위원장은 은행 내부위원 또는 사업상의 이해관계가 없는 외부위원이 수행토록 하고, 위원의 소속 회사가 신탁사업자로 참여한 투융자 건에 대해서는 의결권을 제한하는 등 이해상충 방지 방안을 마련할 필요가 있음

(27) 가산금리 운영의 합리성 제고

◦ 기업대출 금리 요소* 중 업종 가산금리의 경우 중점관리산업 B등급 및 C등급

산업을 영위하는 기업에 각각 O%, O%의 가산금리를 부과하도록 정하고 있으나,

* 기업대출금리=기준금리+가산금리

검사 대상기간 중 요소값의 재산출 또는 적정성 검증을 실시한 사례가 없는 등 합리적 기준 없이 가산금리를 부과한 바 있고, 차주의 신용등급·담보·만기·업종 등에 따른 예상손실을 반영하는 신용프리미엄과 위험요소가 중복될 여지가 있는 등 불합리하므로,

금리 요소 중 업종 가산금리를 폐지하는 등 가산근거를 합리적으로 설명할 수 없는 항목은 가산금리 요소에 포함하지 않도록 유의할 필요가 있음

(28) 주택담보 기업대출의 용도외 유용 점검절차 강화

◦ 기숙사 등 목적으로 시설자금대출 취급시 동 시설이 직원 거주용도가 아닌

대표자 거주용도로 사용될 수 있음에도 이를 확인하는 절차가 미비하고, 비주거용 부동산 임대·매매업자가 주거용 주택을 담보로 시설자금을 신청시 이를

점검하는 절차가 마련되어 있지 않는 등 주택을 담보로 한 기업대출의 용도외 유용 점검 절차가 미비하므로,

주택담보 기업대출 취급 후 대표자 등의 거주 여부를 점검하는 등 자금용도 목적에 부합하게 대출이 취급되도록 관련 절차를 강화할 필요가 있음

(29) 투자위원회 독립성 강화

◦ 지분·펀드 투자 등을 결정하는 투자위원회 내 리스크 관련 위원이 과반에 이르지

않거나 O그룹장이 위원장을 수행하는 등 투자위원회의 독립성이 저해될 가능성이 있으므로,

리스크 관련 위원을 과반 이상 확보하는 등 위원회 구성 조정을 통해 투자위원회의 독립성을 강화할 필요가 있음

(30) 기술평가업무의 독립성 제고

◦ O그룹 내 O부의 O팀이 기술기반 중소기업에 대한 기술평가업무를 수행하고

있으며 동 평가결과는 중소기업 여신 금리 및 한도 설정, 지분투자 결정 등에 활용되고 있는데,

O팀이 속해 있는 O부는 O그룹에 소속되어 기술금융 관련 영업 및 투자 업무를 수행하면서 O그룹 전체에 적용되는 영업성과 중심의 성과평가 지표를 동시에 적용받고 있어, 기술평가를 영업 목적으로 사용할 우려가 있으므로 동 업무의 독립성을 강화할 필요가 있음

(31) 비상조달계획의 실효성 제고

◦ 비상조달계획 수립 관련 세부 업무절차가 마련되어 있지 않아 위기상황이 원화

및 외화 자금시장에 미치는 영향*을 고려하는 수준과 방법이 상이**하며,

* (예) 위기상황으로 인해 예수금 및 채권발행 등을 통한 자금 조달이 제한되는 상황 등

** (원화) 위기상황이 자금시장에 미치는 영향 미반영

(외화) 위기상황이 자금시장에 미치는 영향을 일부만 반영

비상조달계획의 제반 가정 및 산출근거가 리스크관리위원회 안건에 포함되지 않아 실현가능성에 대한 이사회 차원의 검증에 한계가 있으므로,

비상조달계획의 실효성 제고를 위해 세부 업무절차를 마련하고 주요 가정 및 산출근거를 리스크관리위원회 안건에 포함하는 등 비상조달계획 수립 및 검증 관련 절차를 강화할 필요가 있음

(32) 임직원 법률비용 지원 내부통제 강화

◦ 소송 당사자가 된 임직원에 대한 법률비용 지원 제도와 관련하여 은행이 지원

대상 여부*를 판단할 때 유관부서가 참여하는 심의제도가 없어 객관적인 평가가 어려울 수 있으며, 소송 결과 임직원의 고의 또는 중과실이 판명되는 경우 지원금액을 회수하도록 하면서도 구체적인 회수기준이 마련되어 있지 않은 등 사후관리에 미흡한 점이 있으므로,

* 임직원에게 범죄혐의가 있거나, 은행과 이해관계가 충돌하는 경우 등은 지원 대상에서 제외 법률비용 지원 관련 심의제도를 도입하고 지원금액 회수를 위한 세부 운영기준을 마련하는 등 내부통제를 강화할 필요가 있음

(33) 내부자본 적정성 관리업무 강화

◦ 내부자본 적정성을 관리함에 있어 내부자본과 규제자본의 차이 및 타당성을

입증하고, 내부자본 산출 결과에 대한 적합성 검증을 실시하며, 내부자본 산출 방법론에 대해 상세히 문서화하여야 하는데도,

내부자본 적정성 평가 및 적합성 검증 보고서에 리스크 유형별 내부자본 산출 방법론 및 가정, 내부자본과 규제자본과의 차이·타당성 입증 등에 대한 문서화가 미흡하고, 일부 내부자본 산출용 리스크 추정요소에 대한 양적 검증도 누락한 바 있으므로,

내부자본 적정성 평가시 리스크 유형별 내부자본 산출 방법론 및 가정에 대해 상세히 기술하고 내부자본과 규제자본의 차이에 대한 타당성을 문서화하는 한편, 내부자본 산출 결과에 대한 검증업무를 강화할 필요가 있음

(34) 대체투자 자산에 대한 관리 강화

◦ 은행은 내규 ｢투자관리규정｣ 및 ｢투자관리세칙｣ 등에 따라 대체투자 자산을

운용하고 있으나, O사업단의 대체투자 관련 익스포져에 대한 정기적 리스크 점검 등 사후관리 기준‧절차가 별도로 마련되어 있지 않으므로,

대체투자 자산의 사후관리를 위한 내규를 제정‧ 운영하는 한편, 대체투자 현황의

리스크관리운영위원회 보고 등 대체투자 관련 리스크요인을 정기 점검하는 절차를 마련할 필요가 있음

(35) 지분투자에 대한 리스크 관리 강화

◦ O사업단의 지분투자는 O부에서 주관하는 투자위원회를 통해 투자의사결정이

이루어지고 있으며, 2020.6월말 기준 일부 투자건은 손실이 확실시 되는데, 지분투자시 기 승인건에 대한 건별 재심의 기준 및 손실한도 등 최초 투자 이후 손실발생 건에 대한 관리기준이 없으며 투자건을 수기로 관리하고 있어 손익 등 현황 파악에 대한 적시성이 부족하므로,

손실발생 예상 건에 대한 매각 기준 마련 등 조치방안을 수립하여 내규에 반영 하고, 지분투자건 관리시스템을 개발하여 손익 집계 모니터링을 보다 철저히 하는 등 관련 리스크관리를 강화할 필요가 있음

(36) 시장리스크 백투백(BtoB) 요건 강화

에 백투백 요건을 정의*하고 조건에 부합하는 경우

◦ 내규 ｢시장리스크관리지침｣

시장리스크 산출 대상에서 제외하고 있으나,

* 백투백 거래는 마진 또는 마진 스프레드를 제외하고, 액면금액, 지급구조(payoff), 만기, 이자지급 주기 등이 일치하는 미러(mirror) 거래를 의미함

동 요건에 따른 백투백 거래 중 마진 스프레드가 있는 거래의 경우 시장리스크가 발생함에도 동 요건에 따라 시장리스크 산출 대상에서 제외되고 있으므로,

백투백 요건을 정비하고, 마진 스프레드가 있는 거래를 포함하여 시장리스크를 산출할 필요가 있음

나. 개선사항

(1) 검사 결과 처리업무 관련 전결권 및 위임규정 불합리

◦ 검사결과 문책, 개선, 시정 등에 대한 조치요구권자 및 조치권자를 ｢ 상임감사위원

직무규정｣ 및 ｢ 감사규정｣ 에서 별도의 위임규정 없이 서로 다르게 규정하고 있고,

조치 종류별로 상임감사위원 또는 검사실장의 조치요구를 받는 자가 명확하게 구분되어 있지 않으므로,

전결권자 일치 또는 위임규정 신설 등을 통하여 검사결과 조치요구권자 및 조치권자를 명확히 하고 조치 종류에 따른 조치요구의 대상과 절차를 명확히 하시기 바람

(2) 계좌 개설시 신분증 진위확인 프로세스 마련

◦ 계좌 개설 등 고객의 신분 확인이 필요한 업무 수행시 신분증 스캐너를 활용한

신분증 진위확인 절차가 마련되어 있지 않아 신분증 위조를 통한 명의도용 등의 금융사고 가능성이 상존하므로,

계좌 개설시 신분증 스캐너를 통해 신분증의 진위 여부를 확인하고 진위 확인이 되지 않는 경우에는 거래가 중지되도록 업무절차를 구축‧운영하시기 바람

(3) 거래정보등 제공사실의 명의인 통보 업무 불합리

◦ ｢금융실명거래 및 비밀보장에 관한 법률｣ 상 거래정보등 제공사실의 명의인 통보

업무와 관련하여 아래와 같이 불합리한 점이 있으므로 개선하시기 바람

㈎ 전산시스템을 통한 내부통제 강화

◦ 명의인 통보대상 명세 조회 등 담당 직원의 수작업이 필요한 업무절차를 운영

하고 있음에도 동 수작업 과정에서의 인적 오류를 최소화하기 위한 전산 통제가 미흡하여 다수의 법 위반 사례가 발생한 바 있으므로,

전산시스템을 통한 명의인 통보대상 검증 프로세스 신설, 미통보 건 발생시 내부보고 체계 수립, 우편발송 내역에 대한 전산관리 강화 등 관련 내부통제 절차를 개선하시기 바람

㈏ 일일 자점검사 항목 신설‧운영

◦ 내규 ｢ 자점감사업무 매뉴얼｣ 등에 의하면 부점장은 소관 부점이 담당하는 업무가

법규에 맞게 처리될 수 있도록 자점감사의 종류‧ 시기 및 자점감사 항목을 정하는

등 자점감사를 실효성 있게 운영하여야 하는데도,

｢금융실명거래 및 비밀보장에 관한 법률｣에 따른 명의인 통보 업무를 수행하는 업무혁신센터는 자점감사시 동 업무의 적정 여부를 점검하고 있지 않으므로, 자점감사 항목에 명의인 통보기한 준수 여부를 포함하여 일별로 점검하시기 바람

(4) 예‧적금 전화마케팅(TM) 관련 내부통제 불합리

◦ 전화마케팅 업무를 담당하는 손님케어센터의 예‧ 적금 전화마케팅 표준 스크립트에

상품별 필수 설명항목이 정해져 있지 않는 등 미흡하므로,

준법지원부 및 금융소비자보호부의 전화마케팅 표준스크립트 심의 절차 도입, 통화품질 모니터링시 전화마케팅 표준스크립트 이행 여부 점검 등 관련 업무절차를 개선하시기 바람

(5) 퇴직연금 업무 처리절차 내규화

◦ 퇴직연금 원리금 보장 상품과 관련하여 내규 또는 매뉴얼 없이 제휴 금융기관‧

상품 선정 및 사후관리 업무를 수행하고 있으므로 업무의 일관성‧연속성 확보를 위해 퇴직연금 업무 프로세스를 내규화하는 등 관련 절차를 개선하시기 바람

(6) 금리인하요구권 제도 운영 개선

◦ ｢ 은행법｣상 금리인하요구권 제도 운영과 관련한 기록 관리, 전산통제 등에 있어 아래와 같이 불합리한 점이 있으므로 관련 업무절차를 개선하시기 바람

㈎ 금리인하요구 관련 기록 보관‧관리 강화

◦ 금리인하요구 접수 및 심사 결과 등과 관련한 증빙서류가 모두 접수되었는지

여부를 확인하기 위한 기준‧ 절차가 마련되어 있지 않으므로,

증빙서류 목록 등 보관‧관리 대상 기록의 범위를 내규에 명시하고 서류 미비시 문서처리센터에서 이를 보완 처리하는 절차를 도입‧ 운영하시기 바람

㈏ 금리인하요구권 통지기한 준수를 위한 전산통제 강화

◦ 은행은 금리인하 요구를 받은 날부터 10영업일 이내에 해당 요구의 수용 여부 및

그 사유를 금리인하 요구자에게 통지하여야 하나 동 통지기한 준수를 위한 전산통제 절차가 미흡하므로,

1 통지기한 도래시 담당자‧

2 금리인하요구 고객에 대한 수용‧

◯

책임자 앞 알림, ◯

거절

여부 통지 등을 위한 전산 시스템을 구축‧ 운영하시기 바람

㈐ 금리 인하폭 축소 방지를 위한 내부통제 절차 도입

◦ 금리인하요구권 행사시에도 영업점 또는 본부 부서를 통한 우대금리 조정이

가능하여 금리 인하폭이 축소될 우려가 있으므로,

금리인하 요구가 수용된 대출의 경우 대출취급시 제공한 우대금리가 고객에게 불리하게 조정되지 않도록 전산 통제하는 등 업무절차를 개선하시기 바람

(7) 대출계약철회권 행사 정보의 한국신용정보원 등록 절차 개선

◦ 한국신용정보원에 대출계약철회권 행사 정보를 등록하기 위해서는 영업점 직원이

대출계약 철회 처리 후에 전산에 별도 입력하는 절차를 거치도록 되어 있어 직원의 업무상 부주의 등에 따른 등록 누락 가능성이 상존하며, 당일 마감시점의 신용정보가 익영업일에 한국신용정보원에 일괄전송되고 있어 일중 발생한 대출계약철회권 행사 정보가 한국신용정보원에 등록 누락되는 사례도 발생하고 있으므로,

대출계약철회권 행사 정보가 한국신용정보원에 누락 없이 등록될 수 있도록 대출계약철회 정보의 한국신용정보원 자동·실시간 집중을 위한 전산을 개발하는 등 업무절차를 개선하시기 바람

(8) 이자환출 업무 처리절차 마련

◦ 고객으로부터 과다 수취한 이자에 대한 고객 앞 환출 기준 및 절차가 마련되어

있지 않아 부서별로 환출이자가 상이하게 산출되고 있으므로, 지연배상금 지급 기준, 원천징수 여부 확인 절차 등에 대한 환출업무 매뉴얼을 제정‧운영하고 환출이자 계산을 위한 표준화된 환출 산식(logic)을 도입하는 등 관련 업무절차를 개선하시기 바람

(9) 기한부 수입신용장 인수수수료 환급 체계 불합리

◦ 수입업자가 기한부 수입신용장의 대금을 만기일 전에 결제하는 경우에도 은행이

결제일부터 만기일까지의 기간에 해당하는 수수료를 수입업자에게 환급하지 않고 있어 불합리하므로,

수입업자가 기한부 수입신용장의 대금을 만기일 전에 결제하는 경우 은행이 잔여 기간에 해당하는 수수료를 환급하도록 관련 규정 및 전산시스템을 개선 하시기 바람

(10) 업무위수탁 관련 내부통제 개선

◦ 제3자와의 위수탁 업무 수행을 위해 ｢금융기관의 업무위탁 등에 관한 규정｣

[별표3]의 <업무 위수탁 기준>에 따라 내규 ｢업무 위수탁 관리 세칙｣을 제정‧

운영하고 있으며, 위수탁 계약 체결시에는 위수탁 대상자의 특성 등을 감안하여 <업무 위수탁 기준> 제7호 ‘위수탁 계약서 주요 기재사항’ 상의 각 항목을 가감한 계약서를 작성하고 있으나,

내규 ｢ 업무 위수탁 관리 세칙｣ 에 ｢ 금융기관의 업무위탁 등에 관한 규정｣ [별표3]

<업무 위수탁 기준> 제7호의 일부 항목*이 반영되어 있지 않고, 위수탁 계약서 기재사항의 적정 여부에 대한 은행 자체 점검도 운영되지 않고 있으므로,

* 재위탁시 발생한 손해에 대한 원위탁자의 연대 배상책임 등

내규에 ｢금융기관의 업무위탁 등에 관한 규정｣ 의 내용을 충실히 반영하는 한편

업무 위수탁 계약서 기재사항의 적정성을 주기적으로 점검하는 등 관련 절차를 개선하시기 바람

(11) 스타트업 지원 프로그램(1Q Agile Lab) 운영 개선

◦ 인터넷 공개모집과 은행 자체발굴 등을 통해 후보군(short-list)을 선정한 후 내부 위원회 논의 등을 통해 스타트업 지원 업체를 확정하고 있으나, 동 후보군 선정과 관련한 평가기준이 명확하지 않고 관련 평가기록도 관리되지 않고 있으므로, 선발 절차의 공정성‧객관성 확보 등을 위해 후보군 선정과 관련한 평가기준을 마련하고 평가기록을 유지‧ 관리하는 등 업무절차를 개선하시기 바람

(12) 내규상 주요사안 보고 관련 기록‧관리절차 도입

◦ 내규 ｢주요사안 보고에 관한 세칙｣ 에 의하면 주요사안 발생시 부‧ 점장은 구두,

전화, 이메일 등 가장 신속하고 적절한 방법으로 상급자 및 준법감시인에게 보고 하도록 하고 있으나 보고 내역에 대한 기록‧ 관리 절차는 규정하고 있지 않으므로,

주요사안 발생시 보고여부 확인 및 책임소재 규명 등이 가능하도록 준법지원부가 주요사안 보고내역을 기록‧관리하는 절차를 마련하시기 바람

(13) 은행 임직원대출 중도상환수수료 면제 불합리

◦ 임직원대출의 중도상환수수료 면제가 특혜로 비춰질 수 있을 뿐만 아니라 이로

인한 은행의 평판리스크 저하 등으로 이어질 수 있으므로, 중도상환수수료 면제 등 일반 고객 대비 유리한 조건으로 임직원대출이 취급되지 않도록 관련 업무절차를 개선하시기 바람

(14) 파생상품거래 비시장가격 점검체계 개선

◦ 파생상품 거래의 가격 적정성을 점검하여 정상적인 범위를 벗어나는 거래가 초래

하는 재무적 손실 및 법규 리스크, 평판 리스크를 예방하고 있으나,

파생상품거래의 비시장가격 점검대상을 거래당일 손익의 계약금액 대비 비중 또는 개별거래의 절대손익 기준으로 선정하고 있어 파생상품거래의 복잡성, 계약 기간 등 거래의 특성을 충분히 반영하지 못할 우려가 있으므로,

파생상품 거래의 정형‧비정형 여부, 거래조건, 만기 등을 감안하여 비시장가격 점검대상 선정기준을 세분화하도록 관련 규정을 개선하시기 바람

(15) 장외파생거래 관련 전산 등록‧관리절차 개선

◦ 장외파생상품 거래시 고객으로부터 징구하는 서류를 전산시스템에 등록하지

않고 영업점에서 자체 보관하고 있어 거래일자 등 필수기재 항목이 누락된 상태로 기록‧관리되는 문제점이 있으므로,

장외파생상품 거래시 관련 서류를 전산시스템에 체계적으로 등록‧ 관리하고 필요

서류가 모두 등록된 경우에 한하여 거래 실행이 가능하도록 관련 업무절차를 개선하시기 바람

(16) 장외파생거래 연간 한도 관련 내부통제 개선

◦ 영업점에서 장외파생상품 거래기업의 전년도 수출입실적을 반영하여 연간 거래

한도를 부여하고 본점 부서에서는 관련 세부증빙을 확인하여 적정성을 점검하고 있으며, 전년도 수출입 실적 미확정 기간(매년 1~2월) 중 거래의 경우 전년도에 부여한 연간 한도를 활용하고 있으나,

영업점이 부여한 연간 장외파생상품 거래한도에 대한 본점 부서의 적정성 점검시 세부 증빙에 대한 확인이 미흡한 사례가 있으며, 전년도 수출입 실적 미확정 기간 중 거래의 경우 오버헷지 가능성도 존재하므로,

영업점이 부여한 거래한도에 대한 본점 부서의 적정성 점검을 강화하고 전년도 수출입실적 미확정기간 중 거래의 오버헷지 방지 방안을 마련하는 등 관련 내부통제 절차를 개선하시기 바람

(17) 보증서담보대출의 휴일 원리금 상환체계 구축 필요

◦ 보증서담보대출의 경우 휴일 중 원리금상환을 허용하지 않고 있어* 휴일 기간에

해당하는 추가이자 등이 소비자 부담으로 이어질 수 있으므로,

* 일반 가계대출 상품의 경우 인터넷뱅킹 등을 통해 휴일 중 원리금 상환이 가능함

관련 보증기관과의 업무 협의 등을 통해 보증서담보대출의 경우에도 휴일 중 상환이 가능하도록 업무절차를 개선하시기 바람

(18) 배당가능이익 산정 업무 불합리

◦ 배당가능이익 산정시 파생상품 미실현손익을 위험회피 목적 여부에 대한 적절한

검토 없이 거래 데스크별로 상계하여 2019년도 배당가능한도를 과다 산출하고, 2019년 중간배당시에는 배당가능한도에 미실현손익을 미반영하거나 일부 항목을 세전 기준으로 반영하는 등 오류 산출한 사례가 있으므로, 파생상품거래의 미실현손익 상계 기준을 마련하고 배당가능이익 산정·보고·검증 등에 대한 내부통제 절차를 개선하시기 바람

(19) 부동산 담보신탁 관련 부대비용 운영 불합리

◦ 내규 상 부동산담보신탁을 통한 대출을 취급할 경우 부대비용은 원칙적*으로

은행이 부담하도록 정하고 있으나,

* 비용의 부담주체를 달리 적용하기로 특약을 체결한 경우는 예외

신탁계약서(표준양식) 및 영업점 앞 안내공문 등에는 부대비용을 차주가 부담 한다고 기입되어 고객으로 하여금 부대비용을 부담토록 유도하고 있고, 대출 부대비용을 공시하면서 담보신탁 활용시의 부대비용은 별도로 공시하지 않아 공시내용이 미흡하므로,

신탁 관련 부대비용이 불합리하게 소비자에게 전가되지 않도록 신탁계약서(표준양식)를 개정하고, 비용부담주체와 관련한 고객 앞 안내절차를 강화하며 부동산 담보신탁 이용시의 부대비용 부담주체에 대해서도 홈페이지 등에 공시하도록 개선하시기 바람

(20) 주택담보대출 약정 사후관리 불합리

◦ 처분조건부, 전입조건부 및 추가주택 취득금지 약정 체결 후 고객에 대한 통지

기한을 경과하거나 전입 여부를 미확인하는 사례가 발생하는 등 사후관리가 미흡하므로,

약정 준수여부 확인 필요시점에 여신관리점포에서 확인 여부를 미입력하는 경우 마감을 제한하는 등 사후관리 업무를 개선하시기 바람

(21) IFRS9 대손충당금 산정 불합리

㈎ 개별평가 대손충당금 산출 프로세스 불합리

◦ 파산 가능성이 상당한 워크아웃 차주 등에 대해 계속기업을 가정한 실사보고서 상

예상 영업현금흐름을 전부 예상회수가액으로 판단하거나 예상회수가액 산정시 작성 시점이 3년 이상 경과한 실사보고서의 예상 영업현금흐름을 활용하고 있으며,

청산 가능성이 높은 차주에 대해서는 실사보고서의 청산회수율을 활용하나 동 값이 실제 경험 청산회수율보다 높은 것으로 확인되는 등 개별평가 대손충당금이 불합리하게 산정되고 있으므로,

워크아웃 차주 등에 대해 계속기업을 가정하더라도 파산가능성을 감안하고, 실사보고서 활용 유효기간을 설정하며, 청산회수율 활용시 실측치와의 비교를 실시하는 등 충당금 산정 절차를 개선하시기 바람

㈏ 유효이자율 산정 프로세스 불합리

◦ 대손충당금 산정시 활용하는 유효이자율 산정 방식을 IFRS 도입 초기 시점에

전산화한 이후 적정성 검토를 시행하지 않고, 신상품의 경우 불합리한 가정을 활용하고 있으므로,

모든 상품에 대한 유효이자율 산출 프로세스를 재점검하여 업무매뉴얼을 마련하고, 주기적인 적합성 검증이 이루어지도록 개선하시기 바람

㈐ IFRS9 PD 산출을 위한 미래경기전망 반영 로직 불합리

◦ 코로나19 발생 이후 업종별 경기상황에 차이가 있음에도 기업규모별 시나리오만

활용하고 있고, 보다 정확한 부도율(PD) 산정을 위한 전이행렬 모형을 활용하지 않고 있으며, 시나리오 생성시 과거 20년치 거시경제변수를 활용하나 IMF 시기를 포함하지 않아 보수성 확보가 미흡하므로,

미래 경기전망 반영시 업종별 시나리오 및 전이행렬 모형을 활용하는 한편, 시나리오 생성시 IMF 시기 등을 추가 고려토록 개선하시기 바람

㈑ 외상매출채권담보대출 대손충당금 리스크요소 적용방식 불합리

◦ 외상매출채권담보대출 대손충당금 산정과 관련하여 무등급인 정상 차주의 PD

적용시 합리적 근거 없이 정상 등급의 최하위 등급(B6)이 아닌 상위 등급(B4)을 적용하고 있으므로,

동 차주의 PD 적용시 정상 등급의 최하위 등급을 적용토록 개선하시기 바람

㈒ 해외현지법인 IFRS9 대손충당금 적정성 점검절차 마련 필요

◦ 신용리스크관리부는 전행 대손충당금 산정업무를 담당하여야 하는데도 연결

대상인 해외현지법인의 대손충당금의 경우 적정성을 점검하지 않아 충당금 산정의 정확성이 부족할 우려가 있으므로,

해외 현지법인 대손충당금 산정의 적정성을 주기적으로 점검하는 프로세스를 마련하시기 바람

(22) 담보가치 재평가 및 담보인정비율 산정 프로세스 불합리

◦ 여신 취급시 취득한 담보에 대한 주기적 재평가시 개별공시지가 변동률이 아닌

지역별 변동률을 활용하는 등 담보가치 재평가 방법이 불합리하고, 담보인정비율 추정을 위한 경락률 할인시 명확한 근거 없이 O%를 할인율로 사용하고 있으며, 동 추정에 대한 검증을 수행하지 않아 부정확한 담보가치 산정의 우려가 있으므로,

담보 건별 재평가 프로세스를 마련하는 한편, 담보인정비율 계산시 활용하는 할인율의 합리성을 확보하는 등 관련 절차를 개선하시기 바람

(23) 기부금 사업운영 내부통제 개선

ㄴ

◦ 은행 이익의 일부를 사회에 환원하여 사회적 책임을 수행하고 기업가치를 제고하기

위해 기부금 사업을 운영하고 있으나,

사업계획(기부대상, 사유 등)을 평가하는 심의기구에 법률리스크 검토를 수행하는 준법지원부가 참여하지 않고 있고, 은행의 이익규모를 고려하여 기부금액 예산을 결정하기 위한 예산집행 기준 및 사후관리 제도*가 부재하며, 특정 지역으로 사업이 편중되는 등 균형 있는 사업운영에 미흡한 점이 있으므로,

* (예) 기부금 수령기관이 은행의 기부목적에 맞게 사업을 집행했는지 여부를 확인

사업 심의기구에 준법지원부의 참여를 의무화하고 기부금 예산집행 한도 및 사후 관리 제도를 마련하는 한편, 기부금 사업이 특정 지역이나 기관으로 편중되지 않도록 운영하는 등 내부통제체계를 개선하시기 바람

(24) 유동성 위기상황분석 적합성 검증절차 마련

◦ ｢은행업감독업무시행세칙｣ 등에 따르면 유동성 위기상황분석 모형 및 시나리오에

대한 적합성 검증을 최소 연 1회 이상 실시하도록 되어 있으나 2019년 유동성 위기상황분석 적합성 검증을 실시하지 않은 바 있으므로,

적합성 검증을 최소 연 1회 이상 실시토록 관련 내규에 반영하고 유동성 위기 상황분석에 대한 적합성 검증을 실시하시기 바람

(25) 회계처리 관련 내부통제 개선

㈎ 출연금(무형자산) 손상차손 인식기준 부재

◦ ｢ 한국채택국제회계기준(K-IFRS)｣ 제1036호 및 제1038호 등에 따르면 무형자산으로 인식한 출연금에 대해서 매 보고기간 말마다 손상징후가 있는지 검토하고, 손상 징후가 있는 경우 손상차손을 인식하여야 하는데도,

손상차손 인식을 위한 회계처리 기준을 마련하지 않는 등 출연금의 적정 가치 평가를 위한 사후관리에 미흡한 점이 있으므로,

손상차손 인식기준을 도입하고 손상 검사를 실시하는 등 출연금 회계처리를 개선 하시기 바람

㈏ 은행 보육시설의 공사비용 관련 회계처리 수정

◦ ｢한국채택국제회계기준(K-IFRS)｣ 제1016호 등에 따르면 은행 소유인 건물에서

운영하는 보육시설에 대해 공사비용(자본적 지출)을 지출하는 경우 건물의 장 부금액에 가산하여야 하는데도, 은행이 이를 임차점포시설물로 인식하고 있어 건물 및 임차점포시설물의 가치를 적정하게 평가하고 있지 않으므로, 동 자산의 가치를 정확하게 인식할 수 있도록 회계처리를 개선하시기 바람

㈐ 복구충당부채의 가치산정 방식 미흡

◦ ｢한국채택국제회계기준(K-IFRS)｣ 제1037호 등에 따르면 영업점 등의 임차계약

종료로 인해 임차시설물을 원상복구해야 하는 의무가 존재하는 경우 예상복구 비용을 합리적으로 추정하여 복구충당부채를 인식하여야 하나,

은행이 2019년말 기준의 예상복구비용을 산정할 때에는 과거 발생한 복구비용에 대해서 그간의 물가상승률을 반영하지 않은 채 현재가치를 계산하여 예상 복구 비용을 산출함에 따라 복구충당부채 가치가 실제보다 과소하게 평가되었으므로,

동 부채의 가치를 정확하게 인식할 수 있도록 회계처리를 개선하시기 바람

㈑ 회계업무매뉴얼 관리 미흡

◦ 내규 ｢회계업무세칙｣ 등에 따르면 은행은 수작업 회계처리 사항 등 회계정보의

정확성 및 적시성을 저해하는 요인을 파악하여 적절한 개선조치를 진행하여야 하나, 일부 업무의 경우 구체적인 회계처리 방법이 매뉴얼에 반영되어 있지 않는 등 정확한 회계업무 수행을 위한 매뉴얼 관리에 미흡한 점이 있으므로, 회계업무매뉴얼의 관리 실태를 점검하는 한편, 주기적이고 체계적인 사후관리가 수행될 수 있도록 관련 업무절차를 개선하시기 바람

(26) 회계분식 차주에 대한 사후관리 개선

◦ 증권선물위원회의 조사·감리 결과 등을 통해 회계분식 사실이 확인된 차주에 대한

여신감리 및 수시 신용평가 실시 등에 관한 업무처리기준이 마련되어 있지 않아

증권선물위원회로부터 회계분식 사실을 통보받은 차주에 대한 여신감리를 장기간 지체하여 실시하거나, 해당 차주에 대한 수시 신용평가를 실시하면서 재무분식 평가 항목에 회계분식 사실을 반영하여 감점평가하지 않은 사례가 발생하고 있는 등 차주의 회계분식에 따른 은행의 손실을 최소화하기 위한 사후관리 노력이 미흡하므로

회계분식 차주에 대한 여신감리 및 신용평가 실시에 관한 업무처리 기준 및 절차 등 사후관리 업무를 내규에 체계적으로 마련*하여 운영하시기 바람

* 여신감리 및 신용평가 실시 기한, 기한 미준수에 따른 패널티 운영 및 관련 사후관리 시스템 구축 등

(27) 의심거래보고(STR) 관련 모니터링 제도 개선

◦ 고객의 비정상적인 거래행위를 식별·분석하여 의심스러운 거래로 보고하기 위해

O개의 의심스러운 거래 추출기준을 운영하고 있으며, 영업점은 의심거래기준에 의해 추출된 의심거래 검토대상 건 중 약 O%만 본점 자금세탁방지부에 보고하고 미보고한 O%는 영업점장 결재로 의심거래 보고 대상에서 제외하고 있으나

영업점의 의심거래 보고제외 결정시 보고제외 검토를 부실하게 작성한 사례가 다수 발견되었고, 자금세탁방지부는 영업점의 의심거래보고 제외 건에 대한 보고 제외 사유의 적정성에 대한 점검을 미실시하였음 또한 주기적으로 테마를 정하여 거래 등에 대하여 모니터링을 실시하고 있으나 매 분기별 동일한 주제로 형식적으로 점검을 실시하고 있으므로 영업점의 의심거래 보고 제외 건에 대한 점검방안을 마련하고, 테마모니터링 주제 검토기준을 마련하는 등 의심거래보고 이행현황 점검제도를 개선하시기 바람

(28) 신상품 출시전 자금세탁위험 사전평가업무 개선

◦ 신상품 출시전 자금세탁방지 사전위험평가 체크리스트를 통해 고유위험과 통제

효과성을 평가한 후 상품의 자금세탁방지 위험등급을 산출하여 고위험인 경우 상품이 출시될 수 없도록 관리하고 있으나

통제효과성 평가항목이 상품의 자금세탁방지 위험의 정도를 측정할 수 있는 항목이 아닌 자금세탁방지를 위한 필수 전산개발 여부를 확인하는 항목으로 구성되어 전산 개발이 완료된 경우 모두 ‘적정’으로 평가되도록 설계됨에 따라 자금세탁방지 고유위험이 높은 것으로 평가되더라도 상품의 자금세탁위험이 최대 중위험으로만 산출되어 상품의 실질적인 자금세탁위험을 평가하지 못하고 있으므로

신규상품 출시전 자금세탁방지 위험평가의 임계치를 조정하여 상품의 자금세탁 위험이 적절히 반영될 수 있도록 관련업무를 개선하시기 바람

(29) 자금세탁방지 관련 고객위험평가모형 운영 불합리

◦ 자금세탁방지업무를 위해 고객위험평가모형을 운영하면서, O.O월 동 모형을

고도화한 이후 고위험고객 비율이 증가함에 따라

고위험고객 목표비율을 유지하기 위해 동 모형의 위험등급별 변별력 분석 등의 절차 없이 위험등급 분류기준 등을 임의적으로 조정하고 있어 동 모형의 적정성 및 안전성이 저하될 우려가 있으므로

고객위험평가모형 변경시 위험등급별 고객 수 분포비율, 위험등급별 의심거래 보고 발생 비율과의 연관성 분석 등의 위험등급별 변별력 분석 및 평가를 거치도록 고객위험평가모형 변경절차를 개선하시기 바람

(30) 집합투자증권 위험가중치 산출절차 개선

◦ 집합투자증권에 대한 신용위험가중자산 산출시 원칙적으로 펀드 내 기초자산을

은행이 직접 보유한 것으로 가정하여 각 기초자산에 적합한 위험가중치를 적용 하여야 하는데,

집합투자증권 내 기초자산이 유동화 자산인 경우 동 자산이 적격 유동화 익스 포져인지 여부를 확인할 수 있는 정보를 확보·관리하고 있지 않아, 이들 자산을 모두 유동화 익스포져가 아닌 일반기업채권으로 분류하여 기업 익스포져에 해당 하는 위험가중치를 적용하고 있으므로,

집합투자증권 내 기초자산에 유동화 자산이 포함된 경우에는 동 익스포져가 적격 유동화 익스포져인지 여부를 검토하여 적절한 위험가중치가 적용되도록 관련 절차를 개선하시기 바람

(31) 고객 검색화면 운영 불합리

◦ 은행 계정단말(통합) 전산시스템 내 O화면에서 고객을 검색할 경우 해당 검색

내용을 포함하는 모든 고객 명단과 함께 동 고객의 개인정보가 검색되는 등 고객정보가 과다하게 노출되고 있으므로,

고객 검색창을 통한 조회결과 화면에 업무목적에 필요한 최소한의 고객 정보만 제공될 수 있도록 관련 시스템을 합리적으로 개선하시기 바람

(32) IT계약 관리업무 미흡

◦ 내규 ｢계약규정｣ 및 ｢IT자원도입세칙｣ 에 수의계약과 지명경쟁입찰 절차 등 구매

업무 전반에 대한 절차‧지침을 규정하여 운영하고 있으나, 검사대상 기간 중 체결된 IT관련 수의계약 중 일부 계약이 수의계약 사유에 대한 증빙자료가 첨부되어 있지 않고,

지명경쟁입찰 계약 시 지명업체를 선정함에 있어 적격업체가 다수인데도 명확한 선정 기준 없이 제조사 등의 추천에 따라 일부 업체만 임의로 지명하는 등 지명 경쟁 추진 근거에 대한 객관적인 자료가 부족하며,

예정가격 산정 시 사업담당자의 시장가격 조사(가견적 요청)로만 예정가격을 산정하고 있어 공정하고 객관적인 가격산정이 곤란하므로

향후 수의계약 시 추진 사유의 타당성을 객관적으로 입증할 수 있는 증빙자료를 구비하고, 지명경쟁 입찰 시 다양한 업체들이 경쟁에 참여할 수 있도록 업체선정에 대한 객관적인 근거기준을 마련하는 한편, 중요사업 추진 시 외부 전문기관을 통해 예정가격을 산정하여 사업예산의 객관성을 제고하는 등 IT계약관리 업무를 개선하시기 바람

(33) IT사업 추진현황 관리 미흡

◦ 연간 IT사업계획에 대해 주기적으로 사업 추진현황 및 변경내역 등을 점검·관리

하고 있으나,

IT사업계획 중 취소·이월되는 사업이 다소 과다하게 발생하고 있어 효율적인 예산 편성·배정 및 IT업무 수행 등에 차질이 발생할 우려가 있으므로

IT계획 수립시 사업 적정성 등에 대한 심사를 강화하고, 사업요구부서가 사업을 취소하거나 변경할 경우 담당부서장 결재를 받아 처리하는 등 IT사업추진 관리 절차 등을 개선하시기 바람

(34) 정보처리시스템 감리업무 불합리

◦ 내규 ｢정보처리시스템 감리지침｣ 에 전산감리 대상사업 기준을 마련하여 전산

감리업무를 수행하고 있으나,

감리대상을 전체 사업금액 중 개발비 규모로만 판단하여 감리실적이 저조하고 감리예산을 사전에 확보하고 있지 않으며, 감리대상 여부를 사업부서(요청부서) 에서 사실상 결정하고 있어 전산감리의 실효성이 저하될 우려가 있으므로,

전산감리의 실효성이 제고될 수 있도록 감리대상 기준(사업금액 등)을 적정하게 조정하고, 감리예산을 전년도에 확보할 수 있도록 하는 한편, 감리 필요성에 대한 판단을 O그룹에서 수행할 수 있도록 관련 업무를 개선하시기 바람

(35) 정보처리시스템 직무분리 불합리

◦ 내규 ｢ 조직 규정｣ 등에 의하면 정보처리시스템의 H/W 및 운영체제 관리는 O부

업무로 분류되어 있는데도,

출력물보안 서버, 자료교환 서버, 네트워크·백업 장비 등 일부 보안업무 관련 H/W의 시스템 관리 업무를 OO부에서 수행하고 있어 정보처리시스템 성능관리, 백업‧소산 관리, 보정(patch) 등의 주요 업무가 소홀할 우려가 있으므로,

정보처리시스템의 H/W 및 운영체제 관리업무는 직무에 따라 O부에서 수행하여 시스템 운영업무의 전문성을 강화할 수 있도록 개선하시기 바람

(36) 오픈소스 프로그램 관리 미흡

◦ 클라우드 서비스 관리 등을 위해 오픈소스 프로그램을 사용하고 있으나, 보유

현황을 수기로 관리하고 있고 일부 프로그램이 관리대상에서 누락되어 있는 등 적정한 관리통제가 이루어지지 않고 있으며 2019.12월 제정된 내규 ｢오픈소스 소프트웨어 관리 세칙｣ 중 주요 항목의 시행을 오픈소스 관리시스템 구축이 완료될 때까지 보류함에 따라 통제 공백으로 인한 오픈소스 프로그램 고유의 보안 위협이 우려되므로

누락된 오픈소스 프로그램에 관한 통제를 즉시 시행하고, 오픈소스 관리시스템 도입을 신속히 추진하되 동 시스템 구축 완료 시까지 통제 공백을 최소화하기 위한 방안을 마련하는 등 오픈소스 프로그램 통제·관리를 개선하시기 바람

(37) 정보처리시스템 운영을 위한 사무공간 분리 미흡

◦ 원활한 시스템운영을 위해 하나금융그룹 통합전산센터(인천청라 소재)에 시스템

운영실을 구축하여 하나은행 직원 및 외주용역직원이 근무하고 있으나, 타사 전산시스템 담당 직원과 동일한 공간에서 근무하고 있어 접근통제 및 정보 유출 방지 등 물리적·관리적 보안이 취약하게 운영될 우려가 있으므로 시스템운영실 내 사무공간 및 출입구 등을 타 계열사와 분리하여 운영할 수 있도록 개선하시기 바람

(38) 모바일 앱프로그램 등 개발·통제 절차 미흡

◦ 내규 ｢전산개발표준화 절차｣ 등에 프로그램 개발 및 형상관리 등 개발관련

절차를 수립·운용하고 있으나,

모바일 앱프로그램 및 클라우드 서비스 관련 프로그램은 일반 프로그램과 개발· 통제절차가 상이함에도 개발 환경 등의 특성을 고려한 개발·배포절차가 별도로 마련되어 있지 않고,

테스트용 앱프로그램의 경우 은행 스마트뱅킹 서버에서 인터넷망을 통해 다운 로드하도록 운용하고 있어, 소스코드 난독화 등이 적용되지 않은 앱프로그램이 유출될 경우 보안이 취약할 우려가 있으므로

모바일 앱프로그램, 클라우드 서비스 등 신규 개발환경의 특성 등을 반영하여 개발·배포 절차를 수립·운영하고, 테스트용 앱프로그램에 접속가능한 IP주소를 제한하는 등 관련 절차 및 통제를 개선하시기 바람

(39) 이상거래탐지시스템(FDS) 운영 절차 불합리

◦ 비정상 의심거래에 대한 탐지·차단을 위해 이상거래탐지시스템(이하 “FDS”)을

설치하고 위험도에 따라 이상징후 시나리오의 등급을 총 5단계*로 구분하여 운영하고 있으나,

* 전자금융거래의 경우 위험도에 따라 ‘지급정지’, ‘이체정지’, ‘지연이체’, ‘추가인증’, ‘모니터링’ 단계로 구분

‘모니터링’ 등급으로 분류된 시나리오의 FDS탐지 결과에 대해서는 이상여부에 대한 분석 과정을 거치지 않아 의심거래 초기 징후에 대한 사전대응 효과를 기대하기 어렵고

FDS 시나리오의 등록, 변경 및 삭제 시 전자금융거래 영향도 분석 등에 대한 상세 검토 및 승인에 대한 문서화된 기록‧관리 절차를 마련하지 않아 관련 담당자간 이메일 등을 통해 시나리오의 등록‧변경이 진행되는 사례가 있으므로

FDS에서 모니터링 등급으로 탐지되는 의심거래에 대해서도 주기적인 통계 분석 등을 통해 의심거래 초기 징후에 대한 대응을 강화하고 시나리오의 등록, 변경 및 삭제에 대한 공식적인 검토‧승인 절차를 마련하는 등 FDS운영 절차를 개선 하시기 바람

(40) 배치작업 통제 관리 미흡

◦ 배치작업 등록·실행 등 관리를 위해 배치작업관리 솔루션을 설치하여 직무 역할에

따라 권한을 부여하고 작업 시 관련 책임자의 승인을 거치고 있으나, 배치작업 및 배치운영요원(Operator)을 통제‧ 관리하는 배치운영책임자가 배치작업

내역을 작업완료 이후에만 확인하고 있어 사전 작업통제 기능이 미약하고, 개발 부서 등에서 영업시간(09:00~17:40) 이외에 요청되는 작업의 경우 긴급수행의 필요성과는 상관없이 사후승인으로 자동 변경되도록 운영하고 있어 통제절차를 우회하여 배치작업을 등록할 우려가 있으며

배치운영책임자의 부재 상황을 대비하여 배치운영요원(Operator)에게도 배치관리자 권한을 상시 부여하고 있어 배치운영요원이 임의로 배치 작업을 수정·삭제하는 등 사고 발생의 위험이 있으므로

휴일, 장애 등 긴급상황 이외의 배치작업 요청은 배치운영책임자의 사전 승인을 받아 처리하고, 평시 배치운영요원(Operator)에게는 의뢰된 작업을 처리하기 위한 최소한의 작업 권한만 부여하여 운영하는 등 배치통제 절차를 개선하시기 바람

(41) 자동화기기(ATM) 운영통제 대책 미흡

◦ 자동화기기(ATM)의 운영 안전성을 위해 보안솔루션을 설치하여 업무 목적상

허용된 프로세스(또는 프로그램)만 실행 등을 통제하고 있으나, 허용 프로세스의 세부 정보를 식별‧ 관리하지 않아 출처와 사용 목적이 불분명한

일부 파일의 실행이 허용되어 있고, 허용 프로세스 무결성 검증 방법 중 ‘프로세스 명’을 비교하는 보안정책을 운영하고 있어 단순히 파일명을 변조하는 것만으로 보안정책을 우회하여 악성코드가 실행될 우려가 있으므로 앞으로 자동화기기의 허용 프로세스에 대한 정보를 식별‧관리하고 정기적으로 검토하여 운영에 불필요한 프로세스를 제거하는 한편, 무결성 검증 방법을 추가 적용하는 등 자동화기기 운영통제 대책을 개선하시기 바람

(42) 외부통신망(ADSL) 관리 절차 미흡

◦ 업무목적상 외부통신망(ADSL회선)이 필요한 경우 총무부에 요청하여 설치하고,

모바일 앱프로그램 개발 및 테스트 등의 목적으로 설치한 무선접속장비(AP*) 및 비인가 무선접속장비의 사용 통제를 위해 WIPS**를 구축·운용하면서,

* Access Point / ** Wireless Intrusion Prevention System

검사착수일 현재 본점 및 영업점 등에 총 O개의 ADSL회선을 설치·운영하고 있으나, 사용용도 및 동 회선에 연결되어 있는 단말기(PC) 등의 설치현황이 명확 하지 않고,

외부통신망(ADSL회선)에 연결된 일부 영업점 테스트용 단말기의 경우 내부 직원용 인터넷망에 적용되는 정보보호시스템(매체제어솔루션, 유해사이트 차단 솔루션 등)이 적용되지 않아 악성코드 유입 등 보안에 취약하므로,

기존 외부통신망(ADSL회선) 설치현황을 파악하고 유지 필요성에 대해 면밀히 검토하여 설치를 최소화하고, 가급적 보안통제가 적용된 직원용 인터넷망을 통해 업무를 수행할 수 있도록 외부통신망을 재조정하는 한편, 신규 외부통신망 구축시 보안성을 검토하는 등의 통제절차를 마련·운용하시기 바람

(43) 정보처리시스템에 대한 접근통제 불합리

◦ 서버 등 정보처리시스템 접속시 서버 접근통제 시스템을 활용하여 계정 및

비밀번호 이외에 OTP 등을 활용한 추가 인증절차를 적용하고 있으나, 서버 가상화시스템의 최상위 관리자 계정은 추가인증 절차가 없어 최상위 관리자 계정으로 로그인하면, 추가인증 없이 개별 가상화시스템에 직접 접속이 가능하고, 가상화시스템에 최상위 관리자 계정으로 접속 후 일시적으로 시스템 로그인을 종료한 경우 별도 로그인 과정없이 재접속이 가능하여 접속통제 절차 등이 무력화 될 우려가 있으므로,

서버 가상화시스템의 최상위 관리자 계정을 통한 정보처리시스템 접속 시에도 추가인증 절차를 적용하고, 서버 재인증 절차를 강화하는 등 관련 시스템 및 절차 등을 개선하시기 바람