NH투자증권 금감원 경영유의사항 · 2019-11-06

경영유의사항 등 공개안

1. 금융회사명 : 엔에이치투자증권㈜

2. 조치일 : 2019. 11. 6.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 리스크관리 부적정

□ 내규인 리스크관리위원회규정 에 따르면 리스크관리위원회 권한의

‘일부’를 리스크관리협의회 등에 위임할 수 있다고 정하고 있으나,

◦ 리스크관리협의회가 정한 준칙에 근거하여 리스크 관리에 관한

대부분의 사항을 리스크관리협의회에서 관장하고 리스크관리 위원회의 역할은 미미한 바,

◦ 리스크관리위원회와 리스크관리협의회의 의결사항을 위험 수준에

따라 명확하게 구분하고, 동 권한의 구분은 리스크관리위원회가 정한 규정에 근거하여 이루어지도록 할 필요가 있음

(2) 이익의 수령 및 제공 기록관리 불철저

□ 기업탐방 등과 관련하여 교통비 등의 이익을 수령한 기록과 거래

상대방에게 선물 등의 이익을 제공한 기록을 체계적으로 유지하지 않고 있으므로 관련 기록시스템의 관리를 강화할 필요가 있음

(3) 특수목적회사(SPC)에 대한 업무수탁자 업무 불철저

□ ○○(주)가 발행한 신종자본증권(○○○억원)을 유동화하기 위하여

설립한 ○○○(주)의 업무수탁자로서 ○○○가 보유한 기초자산을

○○○(주) 및 ○○○(주)에 양도(각각 ○○○억원)하는 계약을 체결한

후 ○회에 걸쳐 ○○○(주) 및 ○○○(주)의 유동화증권(ABCP) 발행업무를 수행하는 과정에서,

◦ ○○○(주) 및 ○○○(주)가 발행한 ABCP는 동일한 기초자산·할인율·

만기를 가진 동일증권임에도 개별 SPC에 대한 전매제한 조치만을 하여 전매제한 조치가 실효성이 없을 우려가 있으므로 향후 업무 수탁자의 역할을 강화할 필요가 있음

(4) 재해복구용 핵심업무 선정 절차 관리 강화

□ 업무연속성을 확보하기 위해 업무별 중요도를 분석하여 핵심업무를

선정하면서, 회사는 구 우리투자증권㈜과 구 NH농협증권㈜이

합병 후 NH투자증권의 금융전산분야 위기대응 행동매뉴얼 을

개정하면서 관련 현업부서가 참여하지 않고 ○○부서만 재해복구용 핵심업무를 선정하여 업무별 중요도 분석이 정확하게 이루어지지 않을 우려가 있으므로

◦ 업무 연속성 계획의 주관 부서인 ○○부 및 업무 주관 부서들과

함께 업무현황 조사, 업무중요도·영향도 분석 절차를 수행하는 등 전사적 차원의 핵심업무 선정 절차를 추진할 필요가 있음

(5) 취약점 분석·평가 절차 강화

□ 내규 정보보호관리 준칙 에 의거하여 정보처리시스템 및 정보

통신망에 대하여 매년(홈페이지는 반기별) 취약점 분석·평가를 수행하고 미흡사항에 대한 이행계획을 수립·시행하고 있으나

◦ 취약점 분석·평가 결과에 따라 미흡사항에 대한 보안조치 이행

계획을 수립·시행하였음에도 일부 서버에서는 동일한 취약점이 재발견되는 등 사후 보안조치가 적정하게 이루어지지 않고 있으며

◦ 전자금융거래에 직접적으로 이용되지 않은 시스템은 취약점 분석·

평가 대상에 포함하지 않아, 동 시스템의 취약점을 통해 전자금융 거래 관련 시스템으로 악성코드 등이 감염될 가능성이 있으므로

◦ 취약점 분석·평가 점검대상을 확대 적용하고 취약점의 영향도를

분석하여 중대 취약점에 대해서는 즉시 조치하는 한편 조치가 적정하게 이루어졌는지 여부를 정기적으로 점검하는 등 관련 통제절차를 강화할 필요가 있음

나. 개선사항

(1) 신용거래약관 최고한도 초과한 개인대출 개선 필요

□ 신용거래약관 에 의하면 고객 1인당 신용공여 금액 최고한도내 에서 신용거래를 한다고 규정되어 있으나,

◦ ○○부에서는 개인투자자 ○명에게 WM신용관리준칙 에서 정하고

있는 위험관리 절차*를 거친 후 신용거래약관에서 규정한 최고한도를 초과하여 신용융자를 한 사실이 있는 바,

* 신용융자금액에 따라, ○○부, 위험관리책임자, 투자실무협의회, 리스크관리협의회의 합의

◦ 계약의 표준이 되는 신용거래약관과 내규상 최고한도 관련 부분이

상이하게 규정되어 있으므로 신용거래약관을 실무에 부합하도록 개선할 필요가 있음

(2) 착오매매 정정 관련 절차 개선 필요

□ 내규 착오매매업무처리준칙 에 의하면 착오매매 발생시 착오분을

회사의 상품으로 인수하여 정정하는 상품정정 또는 계좌간 대체 정정의 방법으로 처리하도록 규정하고 있으나,

◦ ○○부 등은 ○○건에 대한 장내파생상품 착오매매 정정 업무

처리시 회사의 상품으로 인수 후 반대매매를 실시하지 않고 착오 매매가 발생한 계좌에서 바로 반대매매하여 정정한 사실이 있는 바, 장내파생상품 정정 절차를 착오매매업무처리준칙 에 명확히

반영할 필요가 있음

(3) 개인에 대한 위탁증거금 미징수 제도 개선 필요

□ 내규 유가증권 위탁 및 중개거래관리 준칙 에 의하면 일반개인에

대한 위탁증거금 면제시 거래실적이 우수한 고객의 예탁자산을 감안하여 사업부대표 승인 후 주문한도를 부여하도록 규정하고 있으나

◦ 고객의 예탁자산 감소 등에 의한 주문한도 조정 절차가 마련되어

있지 않아 예탁자산에 비해 과도한 주문한도가 부여될 수 있고, 예탁자산 외에 계좌주에 대한 신용조회 등의 심사절차가 없어 저신용자 등에 대해 위탁증거금 미징수가 허용될 수 있으며,

◦ 등록 후 충분한 예탁자산이 없거나 일정기간 거래가 없는 계좌에

대한 등록해제 절차가 마련되어 있지 않아 예탁자산 및 실적이 없는 계좌가 위탁증거금 미징수 계좌로 존재하게 되는 등의 문제가 있을 수 있는 바,

개인에 대한 위탁증거금 미징수 및 한도 설정시 예탁자산 외에 개인 신용 등을 심사에 반영하고, 예탁자산의 변동에 따라 위탁 증거금 미징수 주문한도를 조정하며, 잔고 및 거래실적 등이 일정 기준에 미달하는 계좌에 대해서는 위탁증거금 징수계좌로 전환 할 수 있도록 개인에 대한 위탁증거금 미징수 제도를 개선할 필요가 있음

(4) 조사분석 관련 내부통제 개선 필요

□ 조사분석 관련 업무의 관리체계가 아래와 같이 미흡하므로 내부

통제 절차를 개선할 필요가 있음

◦ 조사분석자료를 투자자에게 공표함에 있어서 조사분석자료의

내용이 사실상 확정된 때부터 공표 후 24시간이 경과하기 전까지 그 조사분석자료의 대상이 된 금융투자상품을 자기계산으로 하는 매매주문을 차단해야함에도 불구하고, ○○부에서는 조사분석자료의 확정시점에 관해 내부규정에 반영하지 않았으며, 조사분석자료 공표 과정에서 2차 결재를 통한 확정시점과 외부로 자료가 공표 되는 시점이 연동되어 있지 않아 주문이 차단되지 않고 있으므로 확정시점을 내부규정에 명문화하고, 매매주문 차단시기를 개선 하는 등 24시간 매매제한 관련 내부통제 절차를 개선할 필요가 있음

◦ 개인이메일에 대한 통제시스템과 정기점검 실적이 없어 체계적인

관리가 이루어지고 있지 않으므로 조사분석담당자의 개인이메일 등에 대한 체계적인 관리방안을 마련하여 조사분석자료 공표 전에 대외 제공가능성이 차단될 수 있도록 내부통제 절차를 개선할 필요가 있음

◦ 조사분석자료 관련 데이터의 정확성, 논리전개의 타당성 여부

및 투자자의 오해를 유발할 수 있는 표현의 사용여부에 대하여 사전에 충분한 심의가 이루어지지 않고 있으므로 내부 사전심의 기준 수립, 내부심의위원회 구성 등을 통하여 조사분석자료 사전 심의의 실효성을 확보하고 조사분석자료의 객관성을 제고할 수 있도록 내부통제 절차를 개선할 필요가 있음

◦ 조사분석자료의 정확성 및 객관성 검증을 위한 평가시스템의

구축 및 운용에 관한 사항이 포함된 내부기준을 수립․운영하지 않고 있으므로 내부규정을 체계적으로 마련하여 평가시스템 관련 내부통제 절차를 개선할 필요가 있음

◦ ○○부와 기업금융 업무 관련 부서간의 회의에 ○○부서에서

참석을 제대로 하지 않고 있으며, 불가피한 사유로 참석하지 못하는 경우 녹음도 하고 있지 않으므로 조사분석업무의 독립성을 위해

○○부와 기업금융 업무 관련 부서간의 협의에 대한 체계적인

관리방안을 마련하여 내부통제 절차를 개선할 필요가 있음

◦ ○○부서에서는 조사분석자료 24시간 매매제한과 공표일부터

○일간 동일방향 매매에 관하여 전산시스템을 구축하여 점검을

실시하고 있으나, 조사분석자료가 공표된 시점 이후에 체결된 주문건만 점검을 하여 확정 후부터 공표 전 체결된 주문에 대해서는 점검이 이루어지지 않았고, 공표 후부터 ○일간 동일 방향 매매기준을 잘못 설정하여 점검하였으므로 점검기준을 수정 하여 내부통제 절차를 개선할 필요가 있음

◦ ○○부는 조사분석담당자의 담당업종 결정․변경 사실을 준법

감시인에 통보하지 않는 등 조사분석담당자의 담당업종과 매매 관리가 미흡하므로 이에 대한 내부통제 절차를 개선할 필요가 있음

◦ 금융투자분석사가 소속 금융투자회사에서 조사분석자료를 공표한

금융투자상품을 매매하면서 공표일부터 ○일 경과 전에 공표내용과 반대방향으로 매매한 사례가 검사대상기간 중 ○건 있으므로 이와 같은 사례가 재차 발생하지 않도록 내부통제를 강화할 필요가 있음

(5) 지점운용형랩 종목당 편입비중 관리 개선 필요

□ 내규인 Wrap운용준칙 에 의하면 지점운용형 Wrap 상품의 경우

계좌별로 주식 종목당 투자비율을 ○○% 이하로 관리·운영하고, 주식 종목당 투자비율 초과시 ○영업일 이내 이를 해소하도록 정하고 있으나,

◦ ○○부는 주식 종목당 투자비율이 ○○%를 초과하였음에도 ○

영업일 이내 해소하지 않은 경우(○○건)가 있었는 바,

종목당 편입비중 등을 컴플라이언스 상시점검 항목에 추가하는 등 지점운용형wrap 운용시 내규위반 사항이 발생하지 않도록 개선할 필요가 있음

(6) 펀드 시간외 매매(Late-Trading) 업무 개선 필요

□ 내부 매뉴얼인 집합투자증권 기준시간 후 매매처리 매뉴얼 에

의하면 집합투자증권 기준시간 후 매매는 임직원의 과실, 전산설비의 오류 등의 사유일 경우 처리하여야 함에도

◦ ○○부는 회사의 과실 여부가 명확하지 않은 ○○건에 대하여

집합투자증권 기준시간 후 매매로 처리한 사실이 있는바,

◦ 향후 투자자의 과실이 아님을 확인할 수 있는 명확한 증빙이

없는 경우에는 집합투자증권 기준 시간 후 업무 처리가 되지 않도록 업무를 개선할 필요가 있음

(7) 유동성 관련 관리 강화 필요

□ 내규인 자산부채위원회 에 의하면 자산부채위원회는 유동성 현황

및 유동성 위기대응계획 등에 대하여 보고 받는 등 유동성리스크를 관리하고 있으나,

◦ 유동성 리스크 정책 및 현황 등을 이사회(또는 위험관리위원회)가

아닌 자산부채위원회에 보고하고 있으며,

◦ ‘○○.○월말 유동성비율 산정시 유동성 자산과 부채를 일부 과대·

과소 계상하여 유동성비율이 ○%p(1개월), ○%p(3개월) 과다 계상되었고, 유동성 스트레스테스트 실시 과정에서 채무보증의 현금유출규모 기준을 차환도래분(○개월)이 아닌 만기 도래분 (○년 이상)으로 적용하여 단기 현금유출규모를 과소계상한 사실이 있으며, ’○○년말 유동성 스트레스테스트 결과 위기발생 초기(1일차)에 유동성 부족이 발생하고 있는 바,

◦ 향후 채무보증 및 발행어음에 대한 현금인출 시나리오 등을 고려한

유동성스트레스테스트를 실시하고 그 결과 산출된 유동성부족액에 대해 적시에 안정적으로 대응할 수 있도록 유동성리스크 관리에 대한 관리주체 명확화 내부통제 구조 강화 및 합리적인 비상자금 조달 계획을 수립하는 등 적절한 관리절차를 구축할 필요가 있음

(8) 여비 지출관련 관리 개선 필요

□ 내규인 여비규정 에 의하면 교통비 및 숙박비는 여비지급 기준

내에서 실비 지급하고 임직원의 개인카드 사용 영수증을 증빙자료로 첨부하면 해당 금액을 입금해주고 있으나

◦ ○○부는 교통비 처리시 정확한 탑승 정보가 기재되지 않은 영수증을

인정하거나, 출장자의 비서업무를 담당하는 직원의 영수증을 증빙 으로 인정하고 있는 바,

◦ 영수증 인정에 대한 명확한 기준을 마련하고 철저히 확인하는 등

여비 관련 결재업무의 투명성을 확보하도록 관련 절차를 개선 할 필요가 있음

(9) 신용관리준칙 개정 필요

□ 내규인 신용관리준칙 에 의하면 ○○부 등 거래부서는 ○○부서

심사후 한도부여 건에 대해서 연 ○회 이상 해당거래의 정기분석 자료를 구비하여 ○○부서에 정기분석을 의뢰하고 있으나,

◦ ’○○.○월말 현재 기업신용공여액 중 담보보강 대출금액(○○억원)이

거래부서의 담보평가에 의존하고 있어 ○○부는 담보가액의 변동 위험을 제대로 인지하지 못할 가능성이 있으며,

◦ 또한, 종합금융회사 라이센스가 종료(’09.1월)되었음에도 신용관리

준칙에 종금계정 관련 문구가 기재되어 있는 등 현재 규정과 부합하지 않는 부분이 있으므로

◦ 담보 변동위험 관련내용을 명확히 내규에 반영하고 금융투자업

규정 에 부합되게 내규를 개정할 필요가 있음

(10) 이해상충거래 매매제한 모니터링 시스템 관리 개선 필요

□ 내규인 이해상충관리 내부통제준칙 등에 의하면 이해상충부서간

매매를 제한하기 위해 Wrap·신탁·고유계정간 거래금지 시스템을 운영하고 있으나,

◦ 이해상충 소지가 있는 거래에 대해 ○○부서의 사전 승인 없이

해당 부서가 임의로 판단하여 거래하고 있고, 이해상충거래 매매 제한 시스템에 대한 모니터링이 적시에 이루어지지 않고 있는 바*,

* 모니터링 시스템에 적출된 ○건에 대해 거래의 타당성을 검증하지 않은 사실이

있으며, ’○○.○.○ 등에 발생된 동일 유형의 거래 ○건에 대해 ’○○.○.○에

이르러서야 거래의 타당성 여부를 확인함

◦ 향후 이해상충 소지 거래에 대해 준법감시부서가 사전 모니터링을

실시하여 실효성 있는 모니터링이 될 수 있도록 개선할 필요가 있음

(11) 이해상충부서간 정보교류 및 회의에 대한 개선 필요

□ 내규인 이해상충관리 내부통제준칙 등에 의하면 준법감시인은

이해상충 부서간 정보교류를 하는 경우 사전승인을 하고, 회의 등에 대한 점검을 수행하여야 함에도

◦ ○○부는 이해상충 부서간 정보교류시 정보교류기간, 정보교류

부서 및 내용*이 특정되지 않았음에도 승인을 하고 있으며 정보교류 기록에 대해서도 명확한 기준없이 일부분에 대해서만 점검** 실시 하고 있는 바,

* “20○○년 ○월 ○일부터 비정기적으로”, “그 외 관련 부서와 회의를 할 수 있음”

** ‘○○.○월 ○건, ’○○.○월 ○건의 통화내역 점검

◦ 향후 ○○부는 이해상충 부서간 정보교류내용에 대하여 명확한 기준을

설정하여 실효성 있는 모니터링이 될 수 있도록 개선할 필요가 있음

(12) 펀드 판매시 펀드자격증 보유여부 등 사전체크 시스템 구축 필요

□ 펀드 판매시 실제 판매를 담당한 직원을 전산 입력함으로써 임

직원의 완전 판매 여부 등을 사후적으로 확인하고 있으나,

◦ 일부 펀드 판매건에 대하여는 실제 판매 담당 직원의 사번이

아니면서 펀드판매 자격증도 없는 업무처리 직원 또는 미상의 사번 등이 입력되어 있음에도 펀드 판매관련 전산절차가 진행 되었는 바,

◦ 향후에는 펀드 매수주문 전산화면 처리시 실제 판매 담당 직원의

사번이 입력되어 완전 판매 여부 등을 사전에 확인할 수 있는 시스템으로 개선할 필요가 있음

(13) 내부 업무용시스템 화면별 접근권한 통제 불합리

□ 내부 업무용시스템인 ○○시스템*을 운영하고 동 시스템 화면별로

접근 권한을 부여하는 경우 부서별, 팀별, 사원별 접근권한 필요 여부를 검토하여 승인된 직원에 대해서만 부여하고 있으나

* 계좌, 주문, 출납, 회계, 금융상품 업무처리를 위한 내부 직원용 시스템

◦ 화면별 접근 권한 부여시 주관부서*가 접근 권한 적정성 여부를

직접 검토하지 않고 ○○부가 주관부서에게 구두 확인 등을 통하여 접근권한 부여 적정성 여부를 판단하고 있는 등 화면별 접근권한 적정성 통제가 미흡하므로

* 해당 업무 화면의 ownership이 있는 부서

◦ 내부 업무용시스템 화면별 접근 권한 부여시, 해당 업무 화면의

주관부서가 직접 적정성 여부를 확인하는 절차를 추가하고, 주기적으로(예 : 연 1회) 화면 접근 권한 부여현황의 적정성을 점검하도록 하며, 관련 사항을 내규에 반영하는 등 접근권한 통제 절차를 개선할 필요가 있음

(14) 외주업체 대상 감사계획 수립·시행 불합리

□ 내규 외주관리준칙 제14조제1항에 의하면 ○○부서는 외주업체가

제공하는 정보시스템 서비스에 대한 연단위 감사계획을 수립·시행 해야 하는데도 IT자체감사 담당부서인 ○○부는 외주업체에 대한 연단위 감사계획을 수립·시행하지 않고* 있으므로,

* 동사의 ○○○부는 외주업체 정보시스템 서비스 점검을 위하여 외주업체 인력을

대상으로 일별 단말기 점검(개인정보 탐지, 이동식 저장매체 사용 여부 등)과 월별 현장 점검 실사를 수행하고 있음

◦ 내규 외주관리준칙 규정에 따라 외주업체에 대한 연단위 감사

계획을 수립·시행할 필요가 있음

(15) 정보처리시스템 IT성능 및 용량 관리 불합리

□ 내규 IT본부업무규정 제20조 제2항에 의해 IT본부 소속 부서장은

IT자원의 효율적인 활용과 안정적 운영을 위해 관리대상별 추이를 분석하여 일정수준의 서비스 수준을 유지하도록 노력하고 있으며

◦ 장비점검 시스템을 통한 실시간 현황분석과 유지보수 보고서를

통한 월간 현황분석을 실시하고, 저장장치 사용률이 높은 장비* 또는 중앙처리장치 사용률이 높은 장비**를 대상으로 교체계획을 추진 중에 있으나

* 정보계 저장장치의 경우, 저장장치 사용률이 ○○%에 도달하고 있으며, ’○○년 사업

계획시 증설 계획의 예산을 반영하고 ’○○년 하반기에 동 사업착수 및 추진할 계획

** 일부 채널서버의 경우 최근 ○개월 중앙처리장치 월중 최고치 사용률이 매월

100%에 도달하고 있으나, 해당 수치는 순간 최고치로 대고객 서비스에 영향이 없었으며, 해당 서버는 채널서버 재구축 사업 을 통해 재구축 사업을 진행중

◦ 매월 점검하는 유지보수 보고서는 점검 당시의 단순한 현황보

고서로 관리대상별 향후 추이분석을 하지 않고 있어 현황 분석 자료로 활용하기에는 다소 미흡하므로

◦ 정보처리시스템 자원의 사용현황 및 향후 추이분석 결과를 포함

하는 서버 운영 종합보고서를 주기적으로(예 : 월 1회) 작성하도록 하고 동 내용을 내규에 반영하는 등 정보처리시스템 IT성능 및 용량 관리를 강화할 필요가 있음

(16) 보안솔루션 통제절차 불합리

가) 매체제어(보안USB) 통제절차 불합리

□ USB등의 보조기억매체를 통한 내부 정보유출을 통제하기 위하여

매체제어솔루션을 설치·운영하고 ○○부에서 매월 부서별 보안 USB 사용현황 등 전산자료 반출내역을 사후점검하고 있으나

◦ 내규 임직원정보보호준칙 에 의거하여 휴대용 저장매체 사용이

필요한 경우 부서장 및 관련부서(○○○부)의 승인을 받도록 정하고 있음에도 보안USB ○○개를 사용기간, 신청사유 등의 신청내역과 부서장 및 관련부서(○○○부)의 승인절차 없이 부서별로 일괄적 으로 배부하고

◦ 보안USB 사용자에 대한 전산자료 반출내역의 적정성 및 보안

USB 분실여부를 점검하지 않아 정보유출 사고가 발생할 우려가 있으므로 보안USB 사용 승인 및 통제절차를 강화할 필요가 있음

나) 문서보안(DRM) 통제절차 불합리

□ 내부 정보유출을 통제하기 위하여 문서보안솔루션(DRM)을 설치·

운영하고 ○○부에서 매월 문서복호화 신청내역 건수에 대하여 사후점검하고 있으나

◦ 각 부서의 부서장 및 보안담당자(○○○명)와 일부 사용자(○○○명)

에게 사용기간, 신청사유 등의 신청내역 및 승인절차 없이 문서 보안 자가해제 권한을 부여하고 동 사용자에 대해 평균 대비 과다한 복호화 수행여부 등을 점검하지 않는 등 통제가 미흡하므로

◦ 문서보안 자가해제 권한을 재검토하여 불필요한 권한을 즉시

회수하고 문서보안 자가해제 권한의 적정성 여부를 정기적으로 점검하는 등 내부 중요정보에 대한 자료유출 통제절차를 강화 할 필요가 있음

(17) 정보처리시스템 운영체제 관리 불합리

□ 일부 정보처리시스템에서 기술지원이 종료된 운영체제를 사용하고

있어, 신규 취약점에 대한 보완, 기능개선 등을 위한 보정작업이 이루어지고 있지 않아 악성코드 감염 등 전자적 침해행위가 발생할 우려가 있으므로

◦ 기술지원이 종료된 운영체제에 대하여 구체적인 전환 추진 계획을

수립·이행하고, 전환이 이루어지기 전까지 보안대책을 마련하는 등 전자적 침해사고 발생을 예방할 수 있도록 대책을 마련할 필요가 있음