농협은행주식회사 금감원 경영유의사항 · 2020-06-30

경영유의사항 등 공시

1. 금융기관명 : 농협은행㈜

2. 조치일 : 2020. 6. 30.

3. 조치내용

※ 경영유의 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 조치대상사실

가. 경영유의사항

(1) 농업지원사업비 산정방식 합리화

연간 약 @,@@@억원 규모의 농업지원사업비(舊 명칭사용료)를 농협중앙회에

납부하고 있으나 납부금액은 은행의 해당연도 손익규모 등 재무현황과 무관 하게 결정되고 있는데

2016년의 경우 농업지원사업비로 @,@@@억원을 납부하였으며 이는 농업

지원사업비 납부 전 당기순익의 @@.@%에 해당하여 당해연도 회계상 이익의 대부분을 농업지원사업비로 지출하였음

이처럼 손익규모, 자본적정성 등 재무현황을 반영하지 않고 부과되는

대규모의 농업지원사업비는 은행의 손실흡수능력 제고에 장애요인으로 작용할 우려가 있으므로 손익 규모, 자본적정성 등 재무상태의 취약정도를 반영할 수 있는 농업지원사업비 산정기준을 구체적으로 마련할 필요가 있음

(2) 기본자본 중심 자본확충을 통한 자본적정성 제고

2018.9월말 현재 자본적정성 지표는 전 부분이 시중은행 대비 열위한 상황

이며 특히 단순기본자본비율은 @.@@%로서 2016년부터 지속적으로 하락하여 국내은행 평균(7.18%)을 하회하고 있음

바젤Ⅲ 이후 위험가중자산(RWA)의 경기순응성을 보완하는 측면에서 단

순기본자본비율의 분모에 해당하는 총익스포져 관리의 중요성이 강조되고 있고 RWA 관련 시장리스크 산출방식의 한계를 보완하는 측면에서도 단순기본자본 비율을 중요한 자본적정성 평가지표로 인식(2018년부터 지도비율 3%로 도입) 되고 있으므로

총 익스포져를 적정수준으로 관리하고 기본자본 중심으로 자본을 확충하는

등 단순기본자본비율을 제고할 필요가 있음

(3) 가계대출에 대한 선제적 리스크관리 강화

내규 ｢여신규정｣ 제3조 및 ｢경영위원회규정｣ 제6조 등에 의하면 여신은

동일 산업에 편중되지 않도록 리스크를 최소화 하여 운용하여야 하고 사업본부간 중요사항은 경영위원회에 주기적으로 보고하여야 하는데도

2018년중 농협은행의 가계대출 관리목표(증가목표)는 @.@조원(전년말 대비

@.@%)으로 2018.9월말 현재 연간목표 대비 @@% 초과하였음에도 해당 내용을 경영위원회에 보고하지 않는 등 가계대출에 대한 선제적 리스크 관리가 미흡한 수준이고

2018.6월 이후 본부 소관부서에서 세 차례에 걸쳐 가계대출 억제방안을

수립·시행하는 등 가계대출의 총량을 관리하고 있는데도 실질적인 증가폭 감소는 없었는데, 이는 영업점 및 지역 단위별 가계대출 증가율을 통제할 수 있는 컨트롤타워 및 리스크관리 수단 부재로 인해 발생한 측면이 있으므로

가계대출 증가규모를 관리할 수 있는 ‘컨트롤타워(회의체)’를 구축하여

모니터링 결과를 경영위원회에 주기적으로 보고하고, 가계대출 관리계획을 초과할 경우 내부협의를 거쳐 초과원인을 분석하여 해소방안 마련하는 등 가계 대출이 안정적으로 관리될 수 있도록 가계대출에 대한 선제적 리스크 관리를 강화할 필요가 있음

(4) 거액여신에 대한 T/E한도 리스크관리 강화

내규 ｢익스포져한도관리준칙｣ 제4조 등에 의하면 개별기업에 대한 자산

운용의 과도한 편중리스크 노출을 방지하고 거액여신의 건전성을 사전적으로 관리하기 위해 총 익스포져*(Total Exposure, T/E) 한도를 설정하여 관리하여야 하는데도

* 기업의 재무비율, 신용등급 등을 고려하여 산출하는 산출한도에 조정한도를 더하여 산출

2018.9월말 기준 대출신청금액이 100억원 이상인 @,@@@개 기업차주에 대해

T/E한도를 점검한 결과, 총 @@개 업체가 T/E한도를 초과한 것으로 확인 되었으며, 이와 같이 기업차주의 T/E한도 초과를 통제하지 않을 경우 경기하락시 재무상태 악화 등으로 인해 거액의 부실이 다시 발생할 가능성이 있으며

특히, 조정한도의 경우 개별기업의 상환능력, 채권보전 등 수시변동 요인을

감안하여 산출한도에 추가로 가감하여 부여하여야 하는데도 대출 기한연장시 신용등급 악화 등으로 산출한도가 축소된 기업에 대해 객관적인 산출근거 없이 조정한도를 과다 부여하는 등 차주의 상환능력 등에 대한 심사를 소홀히 하는 경향이 있으므로

여신심사시스템에서 T/E한도가 초과하는 경우 신규여신 취급을 제한하는

등 사전적 리스크 통제를 강화하고, 조정한도 부여시 기존 승인조건 미이행 또는 신용등급이 하락(예 : 5C이하)한 경우에는 익스포져 감축계획을 수립하여 운용할 필요가 있음

(5) 부실가능기업에 대한 여신 사후관리 강화

내규 ｢기업개선업무방법서｣ 제6절에 의하면 관심기업*으로 분류된 기업에

대해서는 경영진단을 실시하고 경영정상화 가능성에 따라 ‘정상화가능기업’, ‘판단유보기업’, ‘한계기업’으로 분류하여 채무조정 등의 사후관리를 하여야 하는데도

* 조기경보 ‘주의’ 판정 기업 및 신용등급 ‘7등급’ 요주의 기업(이하 ‘부실가능기업’이라 함) 2018.1월~10월 중 부실가능기업으로 신규 편입된 ￥,￥￥￥개 기업차주에

대해 경영진단 실시여부를 점검한 결과, 전문심사인력 및 심사역량 부족 등

으로 인해 정밀심사를 통한 실질적인 경영진단 실시 건수는 총 ￥￥건에 불과한 실정이고

대출 기한연장 및 조건변경 등 여신심사시에도 별도의 경영진단 또는

현장조사를 실시하지 않고 재무정보에 기초한 약식심사로 대체하고 있는 등 부실가능기업에 대한 사후적인 리스크 통제 기반이 매우 열악한 수준이므로

대출금액이 일정금액(예시 : 10억원)을 초과하는 차주에 대해서는 원칙적

으로 경영진단을 실시하고 일정금액(예시 : 50억원) 초과시 외부전문평가기관을 통해 경영진단의 객관성을 확보하고 한계기업 및 유보기업에 대해서는 신용 등급을 하향 조정하고 익스포져 감축계획을 마련하는 등 부실가능기업에 대한 여신 사후관리를 강화할 필요가 있음

(6) 타금융기관 대환대출에 대한 리스크관리 강화

내규 ｢여신‧투자금융업무방법｣ 제4편 제3장 제2절 제2관 제2조 및 제3조에

의하면 여신 취급시에는 기업의 규모, 사업계획 심사 결과에 따라 자금을 용도 별로 분류하고 여신신청업체의 자금수지계획 또는 상환능력 범위 내에서 과도한 여신이 취급되지 않도록 소요자금 심사를 철저히 하여야 하고

특히 타금융기관 대출금을 대환하는 경우에도 소요자금이 여신신청업체의

자금수지계획 및 상환능력 범위 내에서 취급되었는지 확인하여야 하나

2018.9월말 기준 타금융기관의 대환대출 취급 규모가 총 @.@조원(대출잔액

@.@조원, @@,@@@개 기업차주)에 달하고, 평균연체율 및 고정이하여신비율이 각각 @.@@%, @.@@%로서 총여신(연체율 @.@@%, 고정이하여신비율 @.@@%)에 비해 높은 수준인데도

여신신청 화면의 “여신신청구분” 선택항목에 “타행대환코드(시설자금,

운전자금)”항목이 부재하여 타금융기관 대환대출을 “신규대출”로 분류하고 있어 타금융기관 대환대출이 체계적으로 관리되지 않고 있고

차주의 신용등급이 6C등급인 경우에 부실화 가능성이 있는데도 영업점장이

전결로 취급하고 있어 타금융기관 대환대출에 대한 심사를 소홀히 할 우려가 있으며

타금융기관 대환대출을 포함한 기업시설자금 중 일시상환대출을 기한연장

할 경우 대출금의 일정액(대출잔액의 10% 이상)을 회수하지 않은 사례가 일부 존재하는 등 여신 사후관리를 소홀히 하고 있으므로

타금융기관의 대출금을 대환 취급하는 경우에도 자금용도 확인 등을 통하여

자금의 고정화 또는 부실화가 진행되지 않도록 여신심사를 강화하고

신용상태가 의문시되는 업체에 대하여는 원칙적으로 본부부서에서 승인하도록

전결권을 강화하는 한편 대출과목 분류 및 기한연장시 대출금 일부 회수가 내규에 따라 체계적으로 이루어지도록 기업여신심사시스템에 대한 전산통제를 강화할 필요가 있음

(7) 집단성 소호대출에 대한 리스크관리 강화

내규 ｢여신규정｣ 제3조 및 ｢여신·투자금융업무방법｣ 제3편 제2장 제1절

제5관 제1조에 의하면 여신은 리스크가 최소화 되도록 운용하여야 하고, 집단 대출의 경우 대출 취급 전에 대출을 신청한 사업장에 대해 사업성 평가를 실시 하고 사업성 평가 결과 사업성이 양호한 사업장에 한해 대출을 취급하여야 하는데도

수익공유형 분양임대 숙박시설*의 경우 집단대출 성격이 강한데도 불구

하고 개별차주 기준의 전결권을 적용하여 영업점장 전결로 취급하고 있어 사업장에 대한 사업성 평가를 소홀히 할 가능성이 상존하고 있으며

* 호텔 등 숙박시설로서 객실단위로 차주가 분양(구분등기) 받은 후 객실에 대한 소유권을 가지고 위탁관리업체의 운용을 통해 발생한 수익을 공유하는 형태 특히, 2018.9월말 현재 수익공유형 분양호텔의 취급잔액($,$$$억원) 중

$$.$%가 제주도($$.$%, $,$$$억원) 및 강원도(##.#%, #,###억원)에 집중되어 있고, 사업장의 경우에도 전체 사업장(&&개)의 &&.&%(&&개)가 제주지역에 집중 되어 있어

특정 지역에 과도한 여신이 집중될 경우 관광수요 급감*시 부실화 가능성이

있고 개별차주의 신용위험 외에 사업성 리스크에 직접적인 영향을 받으므로

* 제주지역의 경우 ‘메르스, 사드(THAAD) 갈등’ 발생으로 관광수요가 급감한 사례가 있음

집단성 소호대출 신규여신 취급시 본부부서에서 사업성을 평가를 실시

하고 기 취급여신의 경우에도 본부부서 차원에서 사업장에 대한 사후관리를 강화할 필요가 있음

(8) 농업정책자금에 대한 여신심사 및 사후관리 강화

내규 ｢농업정책자금 대출업무방법서｣ 제1편 제3장 제3조 및 제2편 제4장

제1조에 의하면 여신취급시 관계기관에 허위자료를 제출하는 등의 부정수급 사유에 해당하는 경우 대출금 회수 등의 사후관리를 하여야 하고, 농업종합 자금의 경우 대출잔액이 1억원 이상인 차주에 대해 연 1회 경영실태조사를 실시하여야 하는데도

농업정책자금 취급시 소요자금심사를 심사역이 전결로 처리하고 있어

심사 소홀로 인한 부정수급 사례*가 일부 발생하였고, 채무자 사망 등으로 인한 중도회수 사유가 발생하였는데도 대출금을 회수하지 않은 사례가 확인되는 등 사후관리가 미흡하고

* 소요자금심사 부적정 사례 23건, 용도외유용 사례 13건, 재무제표 미제출 사례 5건 등 농업종합자금의 경우에도 경영실태조사를 본부부서에서 총괄하지 않고

각 영업점에서 주관하고 있어 2016년 ~ 2017년중 총 @@개 차주에 대해 경영 실태조사를 실시하지 않는 등 농업정책자금에 대한 여신심사 및 사후관리가 미흡한 측면이 있으므로

농업정책자금 취급시 부정수급 사례가 발생하지 않도록 소요자금심사는

책임자 승인을 거치도록 승인절차를 개선하고, 재무제표 등 관련 증빙자료를 징구하지 않은 경우에는 심사 절차가 진행되지 않도록 전산시스템에 대한 통제를 강화하는 한편,

채무자 사망정보 등을 활용하여 중도회수 사유가 확인된 경우에는 기존

대출금을 즉시 회수하도록 조치 방안을 마련하고, 농업종합자금의 경우 본부 부서에서 경영실태조사를 총괄하고 주기적(예: 분기별)으로 이행실태를 점검 하는 등 농업정책자금에 대한 여심심사 및 사후관리를 강화할 필요가 있음

(9) 인적자원의 전문성 제고

농협중앙회와의 인사교류협약(2012.3.21. 체결)에 따라 검사기준일 현재

총 @@@명의 직원이 중앙회에서 은행으로 전적하여 근무 중이나

전적 시 금융업 및 금융업 관련 경력, 담당 기간, 자격 등에 대한 명시적

기준 없이 채용하고 있으며 은행업에 대한 전문성 여부와 무관하게 은행의 지점장 등 중요 직책을 맡기고 있어 인적자원의 전문성이 저하될 우려가 있으며

2016년 하반기부터 은행의 시군지부장이 중앙회의 농정지원단장이 수행

하던 업무를 겸직하도록 하여 검사기준일 현재 총 @@@명의 은행 시군지부장이 중앙회의 농정지원업무 등을 함께 수행하고 있어 은행의 내부통제기능이 약화될 뿐만 아니라 중앙회와의 상호견제기능이 저하되거나 자율경영 및 책임경영이 훼손될 우려가 있으므로

“사업부문별 경영의 전문성ㆍ투명성ㆍ책임성 확보를 위하여 중앙회로부터

은행을 분리”한 신경분리(2012.3.2.)의 취지에 부합하고 인적자원의 전문성 및 업무충실도 등을 제고할 수 있도록 점진적인 전적 축소방안을 마련하고 전적시 금융업 경력 등 합리적 기준을 마련ㆍ운영하며 평가결과를 기록･유지하는 한편, 겸직 시군지부장의 업무를 재조정할 필요가 있음

(10) 통합리스크 한도관리 강화

내규「리스크관리준칙」제17조 및 제18조 등에 의하면 은행은 통합리스크

관리를 위하여 리스크 유형별로 측정된 리스크량을 매월 통합 산출하여 모니터링 하고 리스크관리협의회 등에 적절히 보고하여야 하는데도

리스크 유형별 측정시점 및 주기 등이 상이하고, 리스크량 보고시 누락된

사례가 있는 등 통합리스크 관리를 위한 적시성 및 일관성 미흡한 수준이므로

통합리스크량 산출시 리스크 유형별 측정시점 및 주기를 일치시키고,

보고 누락 방지 등 통합리스크 관리의 적시성 및 일관성을 강화할 필요가 있음

(11) 시장리스크 포지션 한도관리 강화

내규「리스크업무방법서」제3편 제4장 제4절 제6조에 의하면 시장리스크

관리 목적의 포지션한도를 초과한 경우 한도초과 해소일로부터 3영업일 동안 신규매매를 금지하여야 하는데도

2018.9.21. 현재 통화별(GBP) 일중 포지션한도를 초과한 딜러가 한도초과

해소일 이후 3영업일 이내(2018.9.27.~10.1)에 신규매매를 재개(2018.9.28.)한 사실이 확인되고, 신규매매 금지 대상 통화 판단기준이 모호한 점 등 시장리스크 포지션한도에 대한 관리가 미흡하므로

시장리스크 포지션한도 초과 예방을 위한 통제 방안을 마련하고, 한도

초과시 조치사항 등에 대한 기준을 명확히 하는 한편, 조치사항의 이행여부에 대한 모니터링을 실시하는 등 시장리스크 포지션한도 관리를 강화할 필요가 있음

(12) 내부통제조직 간 상호협조체제 강화

내규 ｢내부통제규정｣ 제22조에 따르면 준법감시인과 감사위원회는 준법

감시인의 내부통제기준 준수여부 점검계획 및 감사위원회의 검사계획 수립시 협의ㆍ조정하도록 하고 있으나

농협은행의 2018년중 금융사고 발생건수가 @@건으로 전체 은행(17개사)의

금융사고 발생건수(@@건)의 15.2%를 차지하고 전체 은행 금융사고 평균 발생 건수(@건)를 크게 상회하는 등 사고예방을 위해 실효성 있는 내부통제 점검이 필요한 상황임에도

준법감시인과 감사위원회 간에 내부통제기준 준수여부 점검계획 및 결과*를

상호 정보공유하고 있지 않음

* 영업점 내부통제 점검항목 ##개 중 ##개는 부서간 점검항목이 상이하여 점검결과에 대해 상호 정보공유 필요

한편, 내부통제 점검시 활용하는 전산시스템*을 개별적으로 운영하면서

상호 접근권한을 부여하지 않는 등 전산시스템 활용도가 낮음

* 준법감시부는 준법감시스템과 자점감사시스템을 활용하여 점검하고 감사부는 감사시스템(상시

감시시스템)을 활용

효율적인 금융사고 예방을 위해 내부통제 사고우려가 높은 영업점에

대해서는 우선적으로 점검대상에 포함될 수 있도록 점검계획 및 점검결과를 상호공유하고 내부통제 관련 전산시스템에 대한 접근권한 부여 등 조직간 상호 협조체제를 강화할 필요가 있음

(13) 부서간 금융사고 전달체계 강화

내규 ｢사고예방준칙｣ 제9조에 따르면 사무소장은 횡령, 배임, 금품수수,

사금융알선 등 금융사고가 발생한 경우 이를 지체없이 감사담당부서장 등에게 보고하도록 정하고 있으나

소비자보호부가 민원을 처리하면서 민원인의 취하 등으로 자체 종결하는

경우 이를 금융사고 관련 업무를 총괄하는 감사부에 통보하지 않은 사례가 있는 등 금융사고 관련 민원 처리의 적정성에 대한 모니터링 절차를 거치지 않아 금융사고에 대한 자체감사, 금융감독원 보고 및 수사기관 고발 등의 후속 절차가 누락될 우려가 있으므로

금융사고 관련 민원을 접수한 경우에 민원인의 취하 등 민원 처리절차

와는 별도로 금융사고 유형을 기록․관리하고, 관련 내용이 감사부에 통지되어 사후 처리될 수 있도록 부서간 금융사고 전달체계 및 업무절차를 개선하고 실제 이행여부에 대한 모니터링을 강화할 필요가 있음

(14) 명령휴가대상자에 대한 특명감사 관리 강화

내규 ｢자점감사 업무방법｣ 등에 따르면 사무소 등 사고위험이 있는 부점

또는 업무 관련 직원에 대하여 연 1회 이상 특명감사를 상/하반기 안분하여

실시하고 그 실시내역을 자점감사시스템에 기록․보관하도록 정하고 있으며

준법감시부에서는 매년 11월까지 모든 명령휴가대상자에 대한 특명감사를

완료토록 하고 그 실적을 영업점 평가시 반영하고 있으나, 실제로는 실시기한인 11월에 근접한 하반기에 특명감사가 집중적으로 이루어지는 등 실시기한에 맞춰 특명감사가 형식적으로 이루어질 우려가 있으며

준법감시부에서는 자점감사시스템에 입력된 명령휴가대상자에 대한 특명

감사 실시내역상 정보의 정확성 또는 특이사항에 대한 연중 모니터링을 하지

않고 있어 자점감사시스템을 활용한 특명감사 관련 상시점검 기능이 적절히 작동하지 못할 우려가 있으며

명령휴가대상자에 대한 특명감사시 사무소장이 대상자별 업무특성을 반영

하여 별도 지정하여 실시하는 항목의 점검실적이 미진한 등 대상자별 실효성 있는 특명감사가 이루어지지 못할 우려가 있으므로

명령휴가대상자에 대한 특명감사가 형식적으로 이루어질 우려가 높은

사무소 등에 대한 특명감사 점검을 강화하고, 자점감사시스템 등을 통해 명령 휴가 특이사항에 대한 모니터링을 강화하고 점검항목을 보완하는 등 특명감사의 실효성 제고방안을 마련하는 등 관련 업무를 강화할 필요가 있음

(15) 상근감사위원 성과평가시 독립성 강화

매년 3월경 ‘성과 보상체계 운영안’을 마련하여 임원들에 대하여 당해연도

성과에 근거하여 익년 4월까지 성과평가를 실시하고 있으나

상근감사위원에 대한 2018년도 성과평가 기준상으로는 감사직무수행능력

및 감사중점추진과제 등 기본적인 역량평가 이외에도 역점사업(경쟁사 평균 대비 외환수수료 격차 축소 등) 등의 재무성과와 관련될 수 있는 항목이 가 감점 항목으로 반영되어 있어 이러한 항목들이 평가기준으로 활용되어 감사 업무의 독립적인 수행을 저해할 우려가 있으므로

이사의 직무의 집행 등을 감사하는 업무특성을 감안하여 상근감사위원에

대한 성과평가시 재무성과와 관련될 수 있는 평가항목이 포함되지 않도록 평가 체계를 개선하는 등 상근감사위원 성과보상체계를 정비하여 평가의 독립성을 강화할 필요가 있음

(16) 직원 인사평가제도 합리화

조직의 목표를 달성하기 위해서는 조직구성원의 실적과 능력을 체계적

으로 평가하고 능률성·효율성을 제고하기 위한 근무성적 평정제도를 운영해야 함

이에 내규 ｢종합인사고과준칙｣에 따라 경력·근무성적·업적·교육훈련·자격·

표창 등을 종합적으로 평정하여 서열명부를 작성하고 이를 직원의 승진·이동 및 기타 각종 인사관리에 반영하고 있으나

｢종합인사고과준칙｣ 제5조 제1항에서는 서열명부 작성 시 근무성적 및

업적평가결과를 당해 직급 최근 3년간(5급 이하 직원은 당해 직급 최근 2년간)의 점수만을 반영하도록 하고 있어 인사·조직 운영의 효율성 및 신뢰성을 보장 하기 어려운 측면이 있음

실제로 '17년 승진대상자의 근평 결과를 표본점검한 결과, 승진대상기간

(2∼3년) 점수와 그 이전 근무기간 점수간 큰 차이를 보이는 등 승진임박 직원에 대한 ‘과도한 몰아주기’로 성과측정 왜곡이 발생하고 있음

승진 직전 2∼3년의 단기간 평가로 승진 여부가 결정되는 편향된 성과

평가가 지속될 경우 은행의 조직역량 약화로 귀결 될 우려가 있으므로 인사 고과 반영기간을 확대하는 등 직원 평가 시스템을 적정하게 구축할 필요가 있음

(17) IT계약체결업무의 효율성 강화

IT관련 전산개발 및 물품구매 등과 관련하여 공급업체와의 계약체결을

위해 농협중앙회에 총 &&&건(&&&억원)의 IT 계약관리 사무를 위탁하면서 계약업체 및 IT제품 선정 등에 대한 적격성 분석, 기술적 타당성 검토, 계약서상 기본계약 이외 추가로 필요한 특수조건 부여, 계약완료 후 계약이행에 대한 검수관리 등 대부분의 계약관련 업무를 농협은행이 직접 수행하고 있음에도 계약체결 업무만을 농협중앙회에 위탁 처리하고 있으며

농협중앙회에 IT계약관리 사무를 위탁하고 있음에도 동 업무처리를 위해

직원 3명을 농협중앙회에 파견하고 있을 뿐만 아니라 계약관리 사무 관련 제비용을 중앙회에 지급하고 있음

이와 같은 위탁업무 처리로 인해 계약업무의 책임소재가 불명확하고 계약

관리의 효율성 및 비용절감 효과 측면 등에서 실익이 크지 않음에도 사전에 비용·편익 분석 등을 통한 충분한 위탁 타당성 검토 없이 농협중앙회의 일방적인 요청에 의해 위탁계약을 체결하였음

제반 계약업무에 대한 책임소재 명확화 및 계약관련 업무의 분할 수행에

따른 비효율성 제거 등을 위해 앞으로 농협은행이 직접 계약체결 업무를 수행 하는 등 IT 계약체결 업무를 효율화할 필요가 있음

(18) 금융상품 약관에 대한 사전심사 등 준법감시기능 강화

내규 ｢금융상품의 약관 및 공시․광고 규제 준칙｣ 제6조 등에 따라 준법

감시부는 금융상품 약관의 제정․변경 및 금융상품 광고․공시 등에 관한 사항을 사전심의하고 있으며 카드회원사업부, WM연금부 등 소관부서는 해당건이 발생하면 준법감시부에 사전심의를 요청하는 체계를 운영하고 있으나

준법감시부에서는 소관부서에서 사전심의 요청한 사항들에 대해서만 사전

심의 업무를 수행할 뿐, 사전심의 대상 약관 등이 모두 심의 요청되었는지 및 금융감독원 등에 약관신고(보고) 누락된 건이 없었는지 등을 파악하는 체계 및 절차를 갖추고 있지 않아 약관미신고(미보고) 사례 등이 발생할 우려가 있으므로

약관 제․개정 등을 담당하는 소관부서가 해당건에 대하여 적절하게 준법

감시부에 사전심의 요청을 하고 금융감독원 등에 약관보고를 하였는지 점검 할 수 있는 체계 및 절차를 마련하고 약관미신고 등에 대한 재발방지 대책을 강화할 필요가 있음

(19) 펀드상품 판매시 투자자보호 대책 강화

고령투자자 보호 등을 위하여 가격변동성이 큰 금융투자상품의 경우

‘투자권유 유의상품*’으로 별도 지정하여 운용(2016.4.1. 시행)할 수 있는 근거 규정(｢투자권유준칙｣ 별지 제7호)을 마련하였으나, 현재까지 ‘투자권유 유의 상품’으로 지정한 금융상품이 없으며

* 판매직원이 고령투자자에게 “투자권유 유의상품”을 권유하는 경우 관리직 직원(지점장 또는 감사통할책임자)이 권유의 적정성을 사전에 확인 공모펀드 판매시에는 고객설명용 표준 스크립트를 작성하여 직원의 설명

의무가 소홀하지 않도록 예방하고 있으나 사모펀드 판매시에는 고객설명용 표준 스크립트 작성을 생략하고 있으므로

액티브펀드 등 가격변동성이 높은 금융투자상품에 대해 ‘투자권유 유의

상품’으로 지정하는 등 고령투자자 보호 등을 위한 제도를 실효성 있게 운영 하고 사모펀드의 경우에도 표준 스크립트를 작성하여 투자권유하는 등 고객에 대한 상품 설명의무를 충실히 이행할 필요가 있음

(20) 신용카드 발급시 금융소득 확인 강화

｢신용카드 발급 및 이용한도 부여에 관한 모범규준｣ 제4조, 내규 ｢신용

카드업무방법서｣ 제1편 제2장 제8조에 따르면 금융소득 등 월 가처분 소득이 50만원 이상인 고객 등에 한하여 신용카드를 발급할 수 있는데도

영업점 담당 직원이 3개월 수신평잔, 타행 입출금식 예금 잔액, 보장성

보험의 해지환급금 등 인정되지 않는 소득기준 자료를 오류 입력하여 금융소득 기준 미달 고객에 대해 @@건의 신용카드를 착오 발급한 사례가 있었으므로

수기 입력 실수를 최소화 하기 위하여 6개월 수신평잔 등 자료가 전산

으로 자동 입력되도록 카드 자격심사 시스템을 개선하고 증빙서류가 이미지 스캔 과정에서 누락되지 않도록 관리를 철저히 하며 주기적인 샘플링 점검 등을 통해 오류 발생을 최소화하는 등 신용카드 발급시 금융소득 확인업무를 강화할 필요가 있음

(21) 조합모집 신용카드 업무 관련 리스크관리 강화

이번 검사일 현재 농협은행은 지역조합 등과 “신용카드업무위탁약정”을

체결하고 조합에서 모집한 회원의 경우 신용판매 대금 결제일에 카드채권을 조합에 양도하고 있으며

조합이 모집한 회원에 대하여 신용카드 업무 영위와 관련한 수입 및 비용도

모두 조합으로 하여금 수취ㆍ부담토록 하고 있어 조합에 대한 신용리스크 전가가 부당하다는 주장 등이 제기되고 있는 상황이므로

조합모집 신용카드 회원에 대하여 이러한 방식으로 신용카드업을 운영

함으로써 발생할 수 있는 제반 리스크에 대해 평가하고 리크스 요인이 발견될 경우 이를 해소할 수 있는 방안을 강구할 필요가 있음

(22) 정보자산 관리 강화 필요

은행의 모든 고정자산을 회계 목적으로 고정자산관리시스템에 등록하여

관리하고, 고정자산 중 IT부서(IT부문 산하 부서 및 ●●●●부)가 관리하는 정보 자산은 ｢IT자산관리절차서｣에 따라 IT자산관리시스템에 등록․관리되고 있으며, 동 정보자산의 보안관련 정보(인증심사 대상여부, 보안등급 등)는 정보자산관리 시스템을 통해 관리되고 있으나,

IT부서가 아닌 부서(▣▣▣▣▣▣, □□□□□ 등)의 예산으로 구입한 정보

자산은 고정자산관리시스템에만 등록되고 IT자산관리시스템을 통해 관리되지 않아 IT부서가 적용하는 개발․운영․보안 정책 대상에서 누락되어 있고, 고정자산 관리시스템에 등록 시 자산 유형(서버, DB, SW 등)이 제대로 분류되지 않아 자산 유형별 현황도 파악되지 못하고 있으며, IT자산관리시스템과 정보자산관리 시스템에서 각각 별도로 정보자산 목록을 관리하고 있어 일부 정보자산의 경우 정보자산관리시스템에 등록이 누락되어 인증심사 대상여부 및 보안등급 등 보안관련 정보 입력․관리도 누락되는 등 전행적 관점의 정보자산 관리 및 보안 통제가 미흡하므로,

◎◎◎◎부는 정보처리시스템의 체계적인 관리를 위하여 은행의 모든 정보

자산에 대한 일제 점검 실시 후 IT자산관리시스템 및 정보자산관리시스템에 누락된 정보자산을 등록하고, 기등록된 자산의 유형분류 등 현황자료를 보완 하고 향후 주기적인 현행화를 통해 동일 정보자산에 대해 동일한 개발·운영· 보안 정책이 적용되도록 관련 절차 등을 개선하며, 인증심사 대상여부 및 보안 등급 등 보안관련 정보가 누락되지 않도록 IT자산관리시스템과 정보자산관리 시스템 연계방안을 마련하시기 바람

은행의 PC 및 자동화기기 등도 고정자산관리시스템 이외에 IT부서에서

관리하는 전산기기수급 관리시스템에 등록․관리되고 있으나,

일부 부서에서 모바일 앱 프로그램 개발(◆◆◆◆◆부), 디자인 업무(◍◍

◍◍◍부, ▼▼▼▼▼부 등) 용도 등으로 도입․사용하는 ▤▤▤▤ PC의 경우, 매체제어 솔루션이 설치되지 않았고, 고정자산관리시스템 및 전산기기수급관리 시스템에 ‘본체’, ‘노트북’ 등으로 자산 유형이 입력되어 있어 백신프로그램 ($$) 설치가 누락된 사례*가 확인되는 등 정보자산 관리 및 보안통제가 미흡

하므로

* 모바일 앱 프로그램 개발용 ▤▤▤▤ PC 일부 및 디자인 업무용 ▤▤▤▤ PC 등을 보안프로 그램 설치여부를 확인하는 네트워크접근통제시스템(NAC)이 적용되지 않는 ADSL(외부 인터넷망) 환경에서 사용하여 백신설치가 누락

◎◎◎◎부는 은행의 모든 ▤▤▤▤ PC에 대한 일제 점검 실시 후 고정

자산시스템 및 전산기기 수급관리시스템에 기등록된 자산현황을 갱신하고, ▽▽▽▽부는 동 갱신현황에 근거하여 매체제어 솔루션 및 백신프로그램 등 보안솔루션 누락이 확인되는 경우 이를 설치하고, ▤▤▤▤ PC 도입 시 ◎◎◎◎부 합의 및 ▽▽▽▽부 확인(보안솔루션 설치 등)을 거치도록 절차를 개선하는 등 정보자산 관리를 강화할 필요가 있음

(23) 점포관리 운영 업무 강화

농협은행은 수익성 강화를 위해 매년 점포별 영업실적, 손익, 점주권 등을

검토하여 효율화 대상 점포를 선정하여 점포 통·폐합 및 경영약체점포에 대한 컨설팅 등 점포관리 계획을 수립하여 운영하고 있으나

점포 관리 계획 중 경영약체 점포(3년연속 적자점포, 손익미흡 성장한계

점포)에 대한 조건부 유예점포 기준 마련시 영업여건이 상대적으로 좋은 대 도시 지역과 그렇지 못한 기타지역에 대한 지역특성에 맞는 점포 경영관리 방안을 고려하고 있지 않으며, 효율화 점포선정시 평가제외 점포수도 많음

한편 경영약체점포 관리 방안으로 시행하는 영업점 컨설팅은 영업점 면담을

통한 원인 분석 후 교육(실시 : 1회, 교육시간 : 1시간 30분)을 하고 연말에 손익개선 여부에 따른 포상을 하는 것으로 그치고 있음

앞으로 점포관리계획 수립 시 경영약체점포에 대한 조건부 유예점포

기준을 마련할 때 손익목표, 사업량 등을 지역별로 차등 적용하고, 영업점에 맞는 전략수립 및 지속적 피드백을 통해 내실있는 컨설팅 등 점포관리 업무를 강화할 필요가 있음

나. 개선사항

(1) 개인사업자대출의 편중리스크 관리체계 미흡

｢개인사업자대출 여신심사 가이드라인｣ 제14조에 의하면 은행은 개인

사업자대출에 대해서는 법인대출과는 별개의 관리업종(이하 ‘경기민감업종’)별 한도를 설정하여 업종별 편중리스크를 관리하여야 하는데도

2018.9월말 현재 개인사업자대출 잔액은 $$.$조원으로 최근 3년간 지속

증가하고 있으며, 2017년말 대비 2018년 순증액은 $.$조원으로 연간 관리계획 ($.$조원)을 크게 초과하였고,

특히 개인사업자대출의 $$.$%가 경기민감업종에 집중되어 있어 경기하락시

부실화 가능성이 있는데도 업종별 한도관리 기준이 부재하고, 전산통제 기능도 없는 등 개인사업자대출에 대한 업종별 편중리스크 관리체계가 미흡하므로

내규에 경기민감업종에 대한 개인사업자대출 한도관리 기준을 마련하고,

개인사업자대출이 특정 업종에 편중되지 않도록 업종별 한도를 설정하여 전산 통제를 실시하는 등 개인사업자대출에 대한 업종별 리스크관리 체계를 마련 하시기 바람

(2) 농협계열 기업의 T/E 조정한도 전결권 불합리

내규 ｢익스포져한도관리준칙｣ 제14조에 의하면 기업차주에 대한 T/E한도

(산출한도+조정한도)는 금액에 따라 전결권 기준을 달리 운영하고 있으나

농협계열 기업의 경우 T/E 조정한도를 금액에 관계없이 리스크관리부장

전결로 부여하고 있어 신용등급 악화 등으로 산출한도가 축소될 경우 농협경제 지주의 지원가능성 등을 사유로 객관적인 산출근거 없이 조정한도를 과다 부여할 소지가 있으므로

농업계열 기업에 대한 T/E한도 부여시 조정한도가 과다 부여되지 않도록

조정한도 금액에 따라 전결권을 리스크관리부장, 위험관리책임자(CRO), 리스크 관리협의회로 차등 적용하는 등 전결권을 재조정하시기 바람

(3) 조기경보기업의 신용평가 및 신용감리체계 불합리

은행은 내규 ｢신용감리업무방법서｣ 제2편 제1장 제5절에 따라 조기경보기업

(‘관찰’ 및 ‘주의’ 판정)에 대해서는 수시 신용평가 등을 통해 채무상환능력 변동 상황을 점검하여 인지된 리스크요인을 신용평가에 적절히 반영하는 등의 조치를 취하여야 하는데도 아래와 같이 불합리한 사항이 발견되었으므로 관련 업무를 합리적으로 개선하시기 바람

㈎ 조기경보기업의 신용등급 평가 불합리

2018.10월말 기준 조기경보기업(@@@개) 중 조기경보기업의 예상부도율 수준*에

비해 실제 신용등급을 상위등급(3B∼5C)으로 평가한 차주 비중이 31%(@@@개)로 높고

* 관찰기업 : 6B∼6C등급, 주의기업 : 7A∼7B등급

조기경보기업에 대한 수시 재평가시 기존 신용등급을 유지 또는 상향하거나,

하향하더라도 이후 재평가 시점 도래시 다시 상향하는 사례가 다수 확인되는 등 조기경보기업의 리스크 수준을 과소평가하는 경향이 있으므로

조기경보기업에 대해서는 예상부도율 수준에 부합하는 신용등급(예 : 6등급

이하)을 부여하도록 하고, 이후 수시 및 정기평가 결과가 이전 대비 상향 평가된 조기경보기업에 대해서는 별도 신용등급 감리를 수행하는 등 사후관리 업무를

개선하시기 바람

㈏ 조기경보기업의 신용감리체계 불합리

2015.1월～2018.9월 중 조기경보모형에서 ‘주의’ 등급으로 판정된 @@개

차주에 대한 감리역의 최종 판정등급을 점검한 결과, 정상기업(‘정상’, ‘유보’ 등급) 또는 관찰기업(‘관찰’ 등급)으로 상향 조정한 차주 비중이 각각 54.3%(@@개), 34%(@@개)로 높은 수준이므로

조기경보모형에서 ‘주의’로 판정된 기업 중 여신규모가 일정금액 이상인

차주의 모형등급을 상향 조정할 경우 신용감리협의회(예 : 2백억원 초과시 신용 감리위원회)에서 전결하도록 신용감리체계를 개선하시기 바람

(4) 대손충당금 산정방식 및 검증체계 불합리

내규 ｢대손충당금적립준칙｣ 제8조 등에 따라 은행은 대손충당금 적립의

적정성 및 객관성 확보를 위한 내부통제체계를 구축‧운영하여야 하는데도 아래와 같은 불합리한 사항이 발견되었으므로 관련 업무를 합리적으로 개선하시기 바람

㈎ 대손충당금 리스크요소 산정방식 불합리

대손충당금 산정을 위한 리스크요소의 산정방식에 아래와 같은 불합리한

측면이 있으므로 대손충당금 산정시 리스크요소 산정 관련 프로세스를 체계적 으로 개선하시기 바람

① 집합평가시 활용하는 담보회수율의 경우 장기데이터(최소 5년이상)를

활용하고 있으나 개별평가시 활용하는 담보회수율(부동산경락률)은 최근 1년 데이터를 활용하고 있어 일관성 저하 및 경기순응성이 강화될 우려가 있음

② 개별평가 대상으로 선정된 차주의 경우 동 차주의 난내자산에 대해서만

개별평가를 수행하고, 그 외 자산(예 : 미사용한도 등)에 대해서는 집합평가를 수행하면서 개별평가를 위하여 난내자산에 배분된 담보금액을 집합평가에 사용 하고 있어 대손충당금이 과소 계상될 우려가 있음

③ IFRS9 이후 대손충당금을 '최초 취급시점 대비 신용등급이 유의적으로

하락‘하는 경우 Stage2 대상*으로 분류하도록 하고 있으나, 최초 평가 이후 신 용평가모형이 변경된 경우에도 최초 신용등급을 변경된 모형을 기준으로 재 산정(back-rating)하지 아니하고 기존 신용등급을 그대로 활용하고 있어

IFRS9의 Stage 분류 오류가 발생할 가능성이 있음

* Stage 1(정상자산), Stage 2(요주의 이상 등), Stage 3(부도자산)으로 구분

④ 부동산 LGD 추정시 외부 경락데이터만을 활용하고 있는데도 實손실

반영을 위한 운영리스크율*을 반영하지 않고 있으며, LGD 적용을 위한 평균 회수기간**을 담보‧신용으로 구분하지 않고 추정‧적용하고 있어 실제보다 짧은 회수기간이 적용됨에 따라 LGD가 과소 산정될 소지가 있음

* 부동산담보처분 과정에서 내부직원의 운영상 잘못으로 인해 회수하지 못하는 비율

** 평균회수기간을 길게 추정할수록 적용 LGD는 높게 산출됨

⑤ 리스크요소(PD, LGD) 추정에 대한 적합성 검증을 동 값 적용 후 상

당기간이 소요된 이후* 실시하고 있어 적합성 검증의 실효성이 떨어지는 측 면이 있음

* 2018년에 활용한 리스크요소를 2018.9월에 검증 실시

㈏ 대손충당금 평가 및 검증체계 불합리

2018.9월말 기준 개별평가 대상차주(@@개) 중 50%(@@개)에 대하여 여신 을 취급한 영업점에서 개별평가를 실시하고 있어 이해상충* 발생 소지가 있고, 개별평가 시 영업점 직원이 부동산경매 낙찰가율을 수기로 입력하도록 전산 시스템이 설계되어 있어 충당금 산정 오류가 지속적으로 발생하고 있으며,

* 대손충당금은 수익에 반영되므로 영업점에서 개별평가시 대손충당금을 과소 적립할 가능성이 있음 또한, 평가부서(여신관리부)와 검증부서(신용감리부)간 역할 및 기능이

명확하지 않아 대손충당금 적립의 적정성 검증을 소홀*히 하는 경향이 있으므로

* 여신관리부는 개별평가시 영업점에서 충당금 산정 오류가 지속 발생하였음에도 이를 인지

하지 못하였고 검증부서인 신용감리부에도 이에 대한 검증업무에 소홀 대손충당금 적립의 적정성 및 객관성 확보를 위해 개별평가는 여신실행

부서와는 독립된 본부부서(예 : 여신관리부)에서 실시하고, 대손충당금 적립 평가 부서와 검증부서(신용감리부)의 역할‧기능‧절차 등을 명확히 구분하는 한편, 검증 부서는 평가부서의 개별평가결과 및 충당금 적립의 적정성을 주기적(매분기) 으로 점검하는 등 충당금 적립 관련 검증체계를 체계적으로 개선하시기 바람

(5) 외환파생상품 거래 관련 내부통제체계 미흡

㈎ 외환파생상품 거래 한도부여 관련 전결권 부재 내규 ｢직제규정｣ 및 ｢직무전결준칙｣ 등에 외환파생상품 거래 한도부여

관련 별도의 전결권이 마련되어 있지 않아 영업점 담당직원이 외환파생상품 거래의 한도 등록 및 변경 업무를 단독으로 수행하고 있고, 이 경우 해당 직원의 업무실수 등으로 인해 거래 한도를 과다 부여할 경우 거래기업의 실제 수출입 실적을 초과하여 외환파생상품을 취급할 가능성이 있으므로

｢직제규정｣, ｢직무전결준칙｣ 및 ｢자금운용업무방법｣ 등 은행 내규에 외환

파생상품 거래 한도부여 관련 전결권 기준을 마련하시기 바람 ㈏ 수출입실적 증빙자료 검증절차 미흡

내규 ｢업무집중화규정｣ 제6조 및 ｢문서보관소업무방법｣ 제6항에 의하면

영업점에서 고객과의 거래 및 그에 수반하여 발생하는 전표 등은 이미지 파일 이나 실물형태로 보관하도록 하고 있으나

수출입실적 관련 필수 증빙자료의 보관상태 및 정확성을 본부차원에서

검증할 수 있는 절차가 없어 외환파생상품 거래 한도를 전산에 부정확하게 입력(Key-in)하여도 통제하기 어려운 측면이 있으므로

외환파생상품 거래시 고객이 제출한 수출입실적 증빙자료에 대한 적정성

여부를 검증할 수 있도록 본부부서(예: 외환지원센터)에 전담팀을 신설하고, 외환파생상품 거래 한도 부여시 본부부서 전담팀에서 영업점 직원이 전산에 등록한 거래 한도와 수출입실적 증빙자료의 일치 여부를 확인한 후 책임자 승인을 거쳐 한도를 부여하도록 검증절차를 체계적으로 개선하시기 바람 ㈐ 한도초과 거래에 대한 전산통제 미실시

외환파생상품 거래시 농협은행 통합업무시스템에서 거래기업에 부여된

외환파생 상품 거래 한도와 해당 기업이 전체 금융기관과 체결한 외환파생상품 거래내역을 비교하여 추가 거래가 가능한지 여부는 전산화면에 표시하고 있으나,

한도를 초과한 경우에도 별도의 전산통제를 실시하지 않고 있어 영업점

계약담당직원이 전산화면에 표시된 한도초과 알림 내용을 무시하고 신규거래 계약을 체결할 경우 해당 거래기업의 실제 수출입실적을 초과하여 한도가 과다 부여될 소지가 있으므로

외환파생상품 거래 한도를 초과한 경우에는 신규거래를 진행할 수 없도록

관련 전산시스템에 대한 전산통제를 실시하시기 바람

㈑ 거래한도 부여시 성장률 반영방법 불합리

내규「장외파생상품판매매뉴얼」에 의하면 ‘과거 3년간 수출입실적 및 직전

3개년도 평균성장율 등의 합리적인 성장률을 감안’하여 외환파생상품 거래 한도를 부여할 수 있도록 규정하고 있으나

타행의 성장률 반영 방법을 비교한 결과, 대부분의 시중은행은 직전년도

수출입 실적에 성장률을 반영하여 거래 한도를 부여하고 있는 반면, 농협은행은 최근 3년간 평균수출입실적에 성장률을 반영하는 방식으로 한도를 산출하고 있어 기업 실적이 지속 하락중인 경우에도 과거실적이 반영되어 한도가 과다 부여될 소지가 있으므로

외환파생상품 거래한도 추정이 필요한 경우 객관적이고 명확한 방법론에

기초하여 외환파생상품 거래 한도를 추정할 수 있도록 관련 업무매뉴얼을 개선 하시기 바람

(6) 기업신용등급 상향 조정시 전결권 불합리

내규 ｢여신‧투자금융업무방법｣ 제4편 제2장 제2절 제14조 제3항에 의하면

신용정보, 부도정보 및 기타정보의 연체정보가 오류로 확인되거나 자동등급 조정 사유가 해소된 경우 영업점장 전결로 신용등급을 상향할 수 있으나

2017.9월말 기준 영업점장 전결로 신용등급을 상향한 ◎◎개 차주에 대한

부도율*을 분석한 결과, 최근 1년 이내에 부도율이 ◎◎.◎%**, 신용등급 재하향률이 ◎◎.◎%에 달하는 점을 고려할 때, 여신을 취급한 영업점에서 신용등급을 상향 조정할 경우 이해상충이 발생할 가능성이 있으므로

* 신용등급 상향 조정 후 취급한 여신에 대한 1년간의 90일 이상 연체 발생

* * 본부 심사부 전결로 신용등급을 상향 조정한 경우 부도율은 ◎.◎%에 불과

영업점 전결 여신에 대해 신용등급을 상향할 경우에는 이해상충 발생 방지를

위해 전결권을 심사센터 또는 본부부서로 상향하는 등 관련 업무를 개선하시기 바람

(7) 대출금리 중 신용원가 산정체계 불합리

｢대출금리 모범규준｣ 제2조의4 등에 의하면 대출금리 중 신용원가 (예 :

PD × LGD) 산정시 최근의 경기상황(차주의 현재 채무상환능력)을 반영한 예상 부도율(PD)과 부도시 손실율(LGD)을 활용하여야 하는데도

PD 추정시 경기침체기 부도율(Masterscale PD)을 활용하고 있어 예상

부도율이 실제부도율 보다 높게 산출되는 문제가 있고, LGD 추정시 회수금액에 대해 적정한 할인율(예 : 유효이자율*)을 활용하여야 하나, 과도하게 높은 할인율 (자기자본비용률**)을 사용하고 있어 신용원가가 과다 산정될 소지가 있으며

* 대출 신규시 적용하는 ‘정상이자율’로 기업대출의 경우 통상 3～5% 수준

* * 위험가중자산 및 자본비용 추정시 활용하는 할인율로 은행은 통상 10～12% 수준

신용원가 산정에 활용되는 리스크요소(PD, LGD) 추정에 대한 적합성 검증을

동 값 적용 후 상당기간이 소요된 이후에 실시하고 있어 적합성 검증의 실효성이 떨어지는 측면이 있고, 신용원가는 잔액에 부과되는 요소임에도 소매한도대출의 경우 미사용한도 등에 대해서도 신용원가를 산출하고 있어 합리성이 부족한 측면이 있으므로

신용원가 산정시 활용되는 PD, LGD에 대해서는 최근의 경기상황을 반영

하고 LGD 추정시 적정 할인율(예 : 유효이자율)을 활용하는 한편,

대출금리 산출에 활용하는 리스크요소에 대한 적합성검증은 실효성 확보를

위해 리스크요소 활용 전에 실시하고, 소매한도대출의 경우 미사용한도에 대해 신용원가를 부과하지 않도록 신용원가 산출체계를 합리적으로 개선하시기 바람

(8) 카드론 및 현금서비스 대출금리 산출체계 불합리

내규 ｢신용카드업무방법서｣ 제8장 제5절 제5조에 의하면 기준가격*은

시장상황을 반영하는 기본원가**에 마진율(목표이익률)을 가산하여 산출하여야 하고, ｢카드대출 금리체계의 합리성 제고를 위한 모범규준｣ 제10조에 의하면 신용카드업자는 목표이익률을 특정 가격등급에 편중되지 않도록 설정하여야 하는데도

* 기준가격(1) : 기본원가(2) + 마진율(목표이익률)

** 기본원가(2) : 신용원가 + 업무원가 + 조달원가 + 자본원가 등

기준가격을 수년간 고정값으로 운용하여 시장상황에 따라 변동되는 기본

원가가 기준가격에 적절히 반영되지 않고 있고, 목표이익률의 경우 은행의 연초 경영목표 등을 감안하여 산출한 목표이익률이 아닌 기준가격에서 기본 원가를 제외하여 산출한 마진율* 개념으로 운용하고 있어 목표이익률이 실제 보다 높게 산정되거나 가격등급에 차등 적용될 소지가 있으며

* 타 은 행 : 기본원가 + ROA 기준 목표이익률 = 기준가격

농협은행 : 기준가격 - 기본원가 = 마진율(목표이익률) 현금서비스의 경우 대부업법 개정(2018.2월)에 따른 최고금리 인하(27.9% →24.0%)로 인한 수익감소를 보전하기 위해 합리적 산출근거가 없는데도 중 신용자에 대한 기준가격을 일괄적으로 상향 적용*하는 등 대출금리 산출체계가 불합리한 측면이 있으므로

* 7∼10등급은 0.7%p∼2.5%p 하락↓, 2∼6등급은 0.2%p∼1.7%p 상승↑

카드론 및 현금서비스 대출금리 산출시 기준가격은 시장상황이 반영된 기본 원가에 경영목표가 반영된 목표이익률을 가산하여 주기적으로 산출되도록 관련 내규 및 시스템을 개선하고, 현금서비스의 경우 대출금리 산정시 기준가격이 특정 가격등급별로 차등 적용되지 않도록 합리적인 대출금리 산출체계를 마련 하여 운용하는 등 관련 업무를 개선하시기 바람

(9) 임직원 겸업 신청시 검증 및 승인 절차 미흡

내규 ｢인사준칙｣ 제84조 등에 의하면 직원에 대한 겸업승인은 소속 사

무장(지점장, 부서장 등)이 전결하고 영업점장에 대한 겸업승인은 은행장이 전결하도록 되어 있는데도

이번 검사착수일(2018.11.19.) 현재 임직원의 겸업 사실을 검증하는 절차나

별도의 전산시스템이 마련되어 있지 않아 임직원에 대해 개인사업자대출 취급시 이해상충에 의한 금융사고 가능성이 상존하므로

임직원에 대한 사업자대출 취급시 이해상충이 발생하지 않도록 임직원의

겸업 신청내용에 대한 검증절차를 마련하고, 본부부서 차원에서 임직원의 겸업

승인 현황을 체계적으로 관리할 수 있는 전산시스템을 구축․운영하는 등 관련 업무를 개선하시기 바람

(10) 트레이딩 포지션 관리절차 미흡

내규 ｢트레이딩정책준칙｣ 제2장에 의하면 트레이딩 포지션은 전산 및

회계적으로 비트레이딩 포지션과 구분․운용하도록 규정하고 있는데도

2018년 IFRS9 시행에 따라 회계계정 과목 분류기준이 변경*되면서 ‘당기

손익-공정가치 측정’ 항목에 트레이딩과 비트레이딩 포지션이 별도의 구분 없이 혼재되어 있어 리스크 측정시 오류가 발생할 소지가 있고

* 기존 금융상품 분류기준이 ‘보유 목적’에서 ‘계약상 현금흐름 특성 및 사업모형’으로 변경 되면서 트레이딩 분류기준(보유 목적)과 회계계정과목의 불일치 발생 동 계정에 포함된 수익증권(기존 매도가능증권) 중 일부를 비트레이딩

포지션에서 트레이딩 포지션으로 재분류*하였으나

* 종전 매도가능증권(비트레이딩 포지션) 중 일부 수익증권이 당기손익-공정가치 측정 항목

으로 변경되면서 트레이딩 포지션으로 변경(2018.1월) 비트레이딩 포지션 재분류는 신용위험가중자산(RWA) 산출방식 및 규제

자본 요적립규모 등이 달라져 리스크관리협의체 등을 통해 충분히 논의한 후 결정할 필요가 있는데도 이에 대한 논의 절차 없이 재분류하고 있으므로

‘당기손익-공정가치 측정’ 계정에 혼재된 트레이딩과 비트레이딩 포지션은

구분하여 관리하도록 관련 전산시스템을 개선하고, 트레이딩 포지션 재분류는 리스크관리협의체 등을 통해 신중히 결정하도록 트레이딩 포지션 관리 절차를 개선하시기 바람

(11) 신용위험가중자산(RWA) 산출 및 관리 절차 미흡

내규 ｢리스크업무방법서｣ 제2장 제2절 제3조에 의하면 내부등급법 적용

신용위험가중자산 산출의 정확성을 지속적으로 보장하기 위해서는 데이터 정합성 확보를 위한 점검 방안을 마련하고 업무요건이나 시스템 관련 변경사항에 대한 이력을 관리하여야 하는데도

신용위험가중자산(RWA) 산출 과정에서 기초데이터에서 유사한 오류가

지속적으로 발생하고 있는데도 해당 오류내용을 검증하여 정비하지 않고 업무 담당직원이 RWA 산출결과를 수기로 보정*하고 있는 실정이고

* 유가증권 등 평가금액 재반영, 유동화증권·채권시장안정펀드 등 미입수자료 입력, 연결기준 자회사 회계계정·충당금 EAD 변경내용 등 수기 반영 RWA 산출결과에 대한 오류 수정내용에 대한 이력도 별도로 관리하고 있지 않는* 등 신용위험가중자산(RWA) 산출 절차에 대한 통제가 미흡한 수준이므로

* 관련 부서(팀)와 이메일을 통해 RWA 오류 수정내용을 주고받고 별도 기록 관리는 하지 않음 RWA 산출 관련 기초데이터 정비, 전산화 등을 통한 수기보정 최소화,

수정내용에 대한 이력 관리 등 신용위험가중자산(RWA)의 산출 및 관리 절차를 개선하시기 바람

(12) 소매 신용평가정보의 입수 및 관리 절차 미흡

내규 ｢신용평가 및 신용리스크 측정요소 관리준칙｣ 제12조에 의하면 소매

신용평가시에는 차주의 최신의 신상정보와 내부 거래실적정보 등을 입수하여 사용하여야 하는데도

여신과 신용카드 고객의 신청정보를 이원화하여 관리하고 있어 신용등급

산정시 동일한 고객의 직업정보를 서로 다르게 적용*하고 있는 등 소매 신용 평가정보의 일관성 및 신뢰성이 저하되는 측면이 있으므로

* 2018.1월∼6월 기간 중 소매여신 고객 중 카드발급 이력(1년 이내)을 보유한 차주(XX,XXX건) 중 4.56%(X,XXX건)가 서로 다른 직업 정보를 반영하고 있음 소매여신 및 카드 고객의 신청정보를 일원화하여 관리하도록 관련 전산

시스템을 개선하고, 신용평가정보의 정합성 확보를 위한 정기적인 검증절차를 마련하는 등 관련 업무를 개선하시기 바람

(13) 부서 성과평가시 내부통제 이행평가 미흡

부서 성과평가시 사고예방 및 내부통제부문 배점이 전체(1,000점) 대비

@%~@% 수준으로 낮게 측정ㆍ운영되고 있어 내부통제기준 준수 등을 유도 하기에 미흡한 수준이며 내부통제 중점 성과평가 항목이 기본 평가지표가 아닌 감점 평가지표로만 운영되어 임직원들이 동 평가항목의 중요도를 낮게 인식할

우려가 있고

평가지표의 명시적 적용근거가 없거나 일부부서의 경우 성과평가 항목간

평가균형이 맞지 않고, 부서간 공통적으로 적용할 필요성이 있는 성과평가 항목에 대하여 일부 부서는 적용하지 않는 등 부서간 형평성이 맞지 않으므로

내부통제활동에 대한 능동적 참여를 위해 배점 확대 및 평가항목 다변화

(사전 사고예방 차원의 평가항목 추가 등)를 추진하는 등 내부통제이행평가의 영향력을 확대하는 한편, 내부감시 기능 활성화 및 능동적인 견제역할 수행 등을 위해 조직별 환경에 적합한 종합적인 성과평가 방안을 검토ㆍ마련하는 등 관련 업무를 개선하시기 바람

(14) 해외 현지 주재원 선정기준 불합리

2017년 해외 현지 주재원 공모시 각 지역별 어학인터뷰 통과자 3명 중

면접을 통해 최종 후보자를 선정한다고 시행공고하였음에도 ▣▣지역 주재원 선정시 어학인터뷰 성적 5위를 얻어 3명 이내에 포함되지 않아 면접자격이 없는 직원 1명에 대해 면접자격을 부여함으로써 최종 파견자로 선정(2명 중 1명)한 바 있으며

현지 주재원은 시장조사, 현지 관계망 구축 및 신사업 발굴 등 폭넓은 연구·조사업무를 수행함에도 지원자격에 '업무경력' 요건을 두지 않거나* 업무 능력 우수직원에 대한 선정기준(인사고과)이 미포함되어 있고 서류 심사시에는 총 100점 만점 중 정성평가 방법인 ‘지원서 평가**’ 비율이 50%로 높은 비중을 차지하고 있음에도 구체적인 평가기준이 마련되어 있지 않아 자의적인 평가 가능성이 있음

* 은행 근무경력 1년 미만자에 대해서도 지원자격 부여

** 지원동기, 인성태도, 발전가능성, 업무지식, 현지활동계획을 비계량적으로 평가

아울러 면접심사를 위한 면접관 사전교육을 실시할 때 면접평가 유의

사항을 설명자료 없이 구두상으로만 교육하여 중요 안내사항 누락 등 평가가 소홀해질 우려가 있으며

면접점수 부여시 큰 폭의 평가점수 편차를 부여할 경우 평가점수를 왜곡

시킬 수 있음에도 극단적인 평점 배제 등의 절차가 없어 다수 면접관에 의한 객관적인 선정 취지에 위배될 소지가 있음

지원자격 요건에 인사고과 및 필요 경력기간 등을 포함하고 서류심사

및 면접심사 관련 구체적인 평가기준을 마련하는 등 공정하고 투명한 현지 주재원 선정기준을 마련하는 등 관련 업무를 개선하시기 바람

(15) 계약사무 관련 규정 불합리

내규 ｢계약규정｣ 제6조에 따르면 계약은 일반경쟁으로 하고 목적, 성질,

규모 등을 고려하여 필요시 수의계약으로 할 수 있으나 ｢계약사무처리준칙｣ 제37조 등에 농협중앙회 및 중앙회 등의 출자회사와는 수의계약이 가능하도록 경쟁입찰의 예외사유를 넓게 두고 있어 수의계약의 필요성에 대한 면밀한 검토 없이도 수의계약이 가능하고 불공정 계약의 우려가 있는 등 계약사무 관련 규정이 불합리하므로

경쟁입찰이 어려운 사유가 있음을 객관적으로 입증할 수 있는 경우에

한하여 제한적으로 수의계약을 체결하고 판단 근거가 되는 객관적인 자료를 제시ㆍ보관하도록 하는 등 관련 내규를 개정하시기 바람

(16) 수출환어음 매입업무 사후관리 미흡

검사대상기간 중 신용장방식 수출환어음 매입(10만불 이상)시 하자가

없이 매입하였는데도 불구하고 상대방 은행의 하자통보가 다수(@,@@@건 중 @@@건) 발생하고 있으며 수출환어음 매입에 대한 부도등록 관리가 체계적으로 되지 않아 미입금 업체에 대한 수출환어음 신규 매입 등 사후관리가 이루어 지지 않을 우려가 있으므로

수출입어음 매입시 기본적인 서류 점검 관리, 사후하자 사유 등에 대한

지속적인 모니터링 등 수출환어음 매입업무를 보다 신중하게 관리할 필요가 있으며 수출대금 장기 미입금 업체에 대한 전산관리 시스템을 마련하는 등 관련 업무를 개선하시기 바람

(17) 관계형금융 관련 리스크관리 미흡

내규 ｢관계형금융 운영위원회 운영규정｣ 제4조 등에 따르면 관계형금융

제도운영, 심사 절차 결정 등을 위하여 리스크관리 담당 부서장, 여신심사 담당 부서장 등이 참석하는 ‘관계형금융 운영위원회’를 분기 1회(필요시 수시) 개최 하도록 정하고 있으나

검사대상기간 중 ‘관계형금융 운영위원회’를 개최한 실적이 없어 관계형

금융과 관련된 주요 현안의 파악, 리스크요인의 통제 등의 의사결정이 적시에 이루어지지 못할 우려가 있으며

｢여신업무방법서｣ 제4편제3장제6절 제4조에 따르면 협약체결 사무소는

분기 1회 이상 방문, 유선, 평판청취 등의 방법으로 연성정보를 수집한 후, 여신심사시스템 연성정보 심사표 관리화면을 통하여 갱신․관리하도록 정하고 있으나

갱신등록을 영업점 자율에 맡김에 따라 그 이행율이 낮아(갱신미완료

차주 @@.@%), 여신업체의 연성정보를 적시에 파악하지 못하여 여신 등의 부실화에 적시에 대처하지 못할 우려가 있으므로

관계형금융 운영위원회의 주기적인 운영을 통하여 주요 현안 및 제도개선

사항 등에 적시 대응할 수 있도록 하고, 관계형금융을 위한 연성정보 사후관리를 충실하게 이행하고 모니터링하는 등 리스크관리 강화방안을 마련하시기 바람

(18) 펀드상품 판매 관련 내부통제 미흡

① 펀드관리 담당자가 내부보고 등의 절차 없이 펀드판매 직원의 상품

권유시 활용하는 상품 안내자료를 사내 게시판에 게시하면서 원금보장 상품이 아님에도 펀드판매 직원이 원금보장으로 오인할 소지가 있는 “확정수익” 표현을 사용한 사례가 있음

펀드판매 직원에게 잘못된 상품정보가 제공되지 않도록 상품 안내자료를

게시할 경우에는 충분한 사전검토 및 내부보고 절차를 마련하시기 바람

② 사모펀드 판매를 위해 영업점에서 투자권유 대상고객 49명을 선정하고

선정된 고객에게 투자권유를 하고 있으나 고객이 사모펀드 가입의사가 없거나 가입을 취소하는 경우 다른 고객에게 추가 투자권유가 가능하도록 운영함에 따라 49명을 초과하여 투자권유가 이루어질 가능성이 있으며 이로 인해 자본 시장법상 공모규제를 위반할 우려가 있음

펀드판매와 관련하여 법규위반이 발생하지 않도록 투자권유 대상 고객을

사전에 전산등록하고, 49명을 초과하여 투자권유 고객을 추가 등록하지 못하도록 절차를 개선하시기 바람

③ 상품의 적격 여부 및 리스크 점검 등을 위해 설치한 舊투신상품선정

협의회(現자산관리협의회)의 사전 심의대상에서 사모펀드는 제외(사후보고 대상) 하여 운용하였고, 동 협의회 사후보고시에도 상품선정에 대한 적정성* 검토절차 없이 형식적으로 보고가 이루어졌음

* 투신상품 투자대상자산의 Risk에 관한 사항, 투신상품 홍보·마케팅 방안에 관한 사항 등 불완전판매 예방 등을 위해 상품선정 및 판매절차 적격성 등과 관련하여

사모펀드에 대해서도 ‘자산관리협의회’ 사전 심의를 거치는 등 관련 업무를 개선하시기 바람

④ 불완전판매 방지를 위하여 운영 중인 ‘불완전판매 이상 징후 모니터링’

제도의 모니터링 점검항목 중 ‘영업점 자체 점검’ 항목에 신탁상품은 포함 하지만, 펀드상품은 제외하고 있음

불완전판매 예방활동 강화 등을 위해 ‘영업점 자체 점검’ 항목에 펀드상품을

포함하도록 업무를 개선하시기 바람

(19) 자체감사업무의 독립성 미흡

금융감독원이 2016.4.18.∼2016.5.10. 기간 중 실시한 종합검사에서 자체

감사조직의 본부장 직보 체계를 마련하는 등 독립성을 확보하고 정보보안부문 업무에 대한 자체감사 실시 등 IT자체감사 업무를 강화할 필요가 있다는 지적 사항 이행을 위하여, 2017.1월 IT부문 내 ■■■■■■팀을 기존 □□□□부 소속 에서 ♠♠부문장 직할로 조직체계를 변경하였고 2018.1월 정보보안부문도

부문장 직속으로 ◇◇◇◇◇◇팀을 신설하였으나,

이번 검사착수일(2018.11.19.) 현재 ■■■■■■팀은 타 부서인 □□□□부

소관의 준범감시, 운영리스크 등 내부통제업무를 수행*하고 있고 근휴 등 행정 업무에 대해서는 □□□□부장의 통제를 받고 있으며, ◇◇◇◇◇◇팀은 감사 대상인 ◆◆◆◆팀 등 4개 팀을 총괄하는 ◎◎◎◎단장이 팀장 직무를 겸임** 하고 있고 팀원에 대한 인사고과를 ◆◆◆◆팀장, ◎◎◎◎단장, ▼▼▼▼부장이 하고 있는 등 IT업무에 대한 독립적인 자체감사활동을 기대하기 어려운 상황 이므로,

* ‘□□□□부 내부통제담당자 지정 및 업무 역할 (2018.1.18., □□□□부장 전결)’에 의거 수행

** 검사기간 중 ◎◎◎◎단장의 팀장 겸임을 해제하고 ◇◇◇◇◇◇팀장을 별도 임명

(2018.11.29.)

앞으로 부문장 직할 팀인 자체감사조직의 직무를 타 부서 직무와 분리하여

운영하고, 부문장 직할 팀이 수행한 업무에 대해서는 팀장이 전결하거나 타 부서장 경유 없이 부문장에게 직접 보고하도록 ｢직무전결준칙｣을 보완하며, 직할 팀 구성원에 대한 인사고과 체계를 합리적으로 변경하는 등 자체감사 업무의 독립성을 강화하도록 개선하시기 바람

(20) 영업점 및 점외 자동화기기 통신망 제공 회사 이원화 미흡

영업점 및 점외 자동화기기 운영을 위하여 11개 광역센터 및 전산센터

(주센터, 재해복구센터)와 통신회선(주회선, 백업회선)을 구축․운영하고 있으나,

영업점의 경우 주회선 및 백업회선 모두 동일한 통신회사(##) 망을 사용

하고 있고, 점외 자동화기기의 경우 백업회선이 구축되어 있지 않아 통신회사 장애발생 시 영업점 및 점외 자동화기기 업무가 마비될 우려가 있으므로

앞으로 통신회사 장애 등에 대비하기 위하여 영업점의 주회선과 백업회선을

각기 다른 통신회사 망으로 구축하고, 점외 자동화기기에 대해서는 주회선과 다른 통신회사 망으로 백업회선을 구축하여 업무연속성을 확보하는 등 통신 회선 이원화를 개선하시기 바람

(21) 재해복구센터 카드 대외계 회선 구축 미흡

매년 IT부문 내 부서를 대상으로 재해복구 순위 명세표를 정비하여 핵심

업무를 선정하고 동 핵심업무에 대해 재해복구시스템을 구축․운영하면서

핵심업무로 선정된 카드업무의 재해복구시스템의 대외계, 승인계 및 계정계

서버는 구축되어 있으나, 대외계 통신회선은 구축되어 있지 않아 재해 발생 시 카드승인 등의 업무가 중단될 우려*가 있으므로

* 신용판매 승인은 VAN사 대행승인을 통해 일정 부분(VAN사와 사전 합의된 범위내) 처리 가능 하나 체크카드 승인, 현금서비스, 분실카드 확인 등 업무는 불가 검사착수일(2018.11.19.) 현재 진행 중인 카드 차세대시스템 구축 완료

(2019.9월 예정) 시점에 맞춰 재해복구용 대외계 통신회선을 구축하여 재해 발생 시 재해복구시스템 전환을 통한 카드 업무 연속성을 확보하시기 바람

(22) 모바일 앱 프로그램 개발환경 통제 불합리

1) 모바일 앱 프로그램 개발 시 형상관리 절차 및 소스코드 관리를 강화

하기 위하여 모바일 앱 프로그램 개발환경을 등록관리시스템과 연동하여 배포용 프로그램(apk, ipa)을 동 시스템을 통해서만 지정된 배포전용 PC로 다운로드 하여 배포되도록 운영하고 있으나,

개발자가 PC(&&&&)의 USB 또는 블루투스 기능을 통해 배포전용 PC로

프로그램을 복사(copy)할 수 있어, 스마트뱅킹 등 총 30개 모바일 앱 프로그램 중 16개가 등록관리시스템과 연동되지 않아 프로그램 변경 전후내용 기록, 테스트 수행 기록 및 적정성 확인이 미흡하여

앞으로 개발자 PC(&&&&)용 매체제어 솔루션 도입(2019.6월 예정) 등을

통해 USB 등 보조기억매체와 블루투스 기능을 이용한 파일 반·출입을 차단 하고, 등록관리시스템과 연동되지 않은 16개 앱 프로그램을 연동(검사기간 중 시정하였음)하는 등 앱 프로그램 개발환경을 개선하시기 바람

2) 모바일 앱 개발용 PC가 사설인터넷망(ADSL)을 통해 무선 네트워크

(WiFi) 접속이 가능하도록 운영하면서 무선 공유기(AP) 설정을 통하여 업무 관련 웹사이트만 접속 가능하도록 통제하고 있으나,

동 AP를 개발부서(▼▼▼▼▼부)에서 관리함에 따라 개발자가 별도 통제

절차 없이 AP설정 변경이 가능하여 임의로 AP설정을 변경할 경우 개발자 PC에 저장된 모바일 앱 프로그램의 소스코드 등 주요 전산자료가 외부로 유출될 우려가 있으므로

앞으로 모바일 앱 프로그램 개발을 전사적 관리가 가능한 업무망 인터넷

환경에서 수행하도록 변경(2019.6월 예정)하는 등 모바일 앱 프로그램 개발 관련 네트워크 통제를 개선하시기 바람

(23) 정보처리시스템 구축 프로젝트 검수 미흡

내규 ｢프로젝트관리절차서｣에서 프로젝트관리자(PM)와 인수책임자의

역할을 분리하여 프로젝트관리자가 검수확인서 발송을 통해 인수책임자에게 최종 검수를 요청하면 인수책임자는 산출물 점검 후 검수확인서를 작성하도록 정하고 있으나,

인수책임자 자격요건을 지정하지 않아 검사대상기간 중 수행한 프로젝트

중 @@건은 프로젝트관리자(PM)가 인수책임자 업무를 수행하여 산출물 점검 등 인수절차가 미흡하게 운영될 우려가 있으므로

앞으로 공정하고 객관적인 인수업무가 수행될 수 있도록 인수책임자는

프로젝트 이해당사자를 배제하여 지정(품질관리자 등)하고, 검수 시 사용자 (현업 부서)의 요구사항 반영 여부 확인서(현업 부서장 날인)를 첨부하도록 하는 등 관련 절차를 개선하시기 바람

(24) 프로그램 변경 통제 미흡

프로그램 변경 시 등록관리시스템(e-CAMS)을 통해 프로그램 소스코드

관리 및 운영시스템 이관을 수행하고, 동 시스템에 등록된 소스코드에 대해 사전점검을 수행하고 있으나,

긴급 장애조치 또는 긴급 요구에 의한 프로그램 변경의 경우 운영시스템

으로 긴급(실시간) 이관을 허용하고 있으나,

긴급 이관이 허용되는 사유는 내규에 별도로 정하고 있지 않아 동 기간

중 운영시스템으로 긴급 이관된 @@@,@@@건 중 긴급성이 인정되기 어려운 사유*로 긴급 이관된 사례가 확인되어 프로그램 변경 영향도 파악 미이행 등 으로 인한 장애 및 오류 발생이 우려되므로

* 긴급 이관 사유를 일반적인 업무적용 및 개발사항 반영 등으로 기재

앞으로 등록관리시스템을 이용하여 프로그램을 운영시스템으로 이관

하는 경우, 사전점검 우회 및 영향도 파악 미이행을 최소화 할 수 있도록 관련 내규에 사전점검 유예 사유 및 긴급 이관 사유를 내규에 명시하는 등 프로그램 변경 통제를 개선하시기 바람

(25) 인터넷PC의 비업무용 사이트 통제 미흡

논리적․물리적으로 망분리된 인터넷PC에서 업무와 무관한 프로그램

또는 인터넷 사이트에 대한 접근을 통제하기 위해 유해사이트 차단솔루션 (웹키퍼)을 운용하면서 동 솔루션을 통해 차단된 인터넷 사이트에 업무 목적 으로 접속이 필요한 경우 책임자 승인 후 예외 접속을 허용하는 방침을 정하고 있으나,

검사착수일(2018.11.19.) 현재 파일업로드 및 게시물 작성이 가능한 사이트

및 업무상 필요성이 인정되기 어려운 사이트에 대한 접속을 허용하고 있어 내부 자료 유출 및 악성코드 감염으로 인한 해킹공격에 노출될 위험이 있으므로

앞으로 인터넷PC(가상단말기 포함)에서 접속이 허용된 사이트에 대한

업무상 필요 여부를 일제히 점검하여 불필요한 사이트 접속을 차단하고, 업무상 불가피성이 인정되는 사용자에 한하여 사이트 접속을 허용하는 등 통제 절차를 개선하시기 바람

(26) 윈도우 서버의 파일전송 통제 미흡

서버의 안전한 관리를 위하여 서버접근통제시스템을 운용하고 서버접근

통제시스템 로그를 기반으로 명령어 실행 및 파일 전송 등의 적정성을 주기적 으로 점검하고 있으나,

윈도우 운영체제가 탑재된 서버의 경우 동 운영체제에서 제공하는

‘리소스 공유 기능’*을 허용**하고 있어 파일 전송이력(파일이름, 경로 등)이 서버접근통제시스템에 기록되지 않을 우려가 있으므로

* 윈도우 서버에 원격 접속 후 ‘파일 복사·붙여넣기’를 통해 전송할 수 있는 기능

** 리소스 공유 기능을 원칙적으로 차단하고 업무상 필요 시 책임자 승인을 통해 허용하고

있으나, 사용자 단위가 아닌 서버 단위로 허용해야 하는 한계점이 있음 ♤♤♤♤부는 은행이 관리하는 모든 윈도우 서버의 현황(소관부서 포함)에

대한 자산조사를 실시하고, ♠♠♠♠부는 동 윈도우 서버에 대한 ‘리소스 공유 기능’ 차단정책 수립 후, 서버 소관부서(◉◉◉◉◉부 등)의 동 정책 적용여부를 확인하는 한편, 서버접근을 통한 파일 전송 시 이력 기록이 누락되지 않도록 서버접근통제시스템을 반드시 경유토록 하는 등 통제 절차를 개선하시기 바람

(27) 인터넷PC와 업무PC간 망연계 자료전송 운용 미흡

논리적·물리적으로 망분리된 인터넷PC와 업무PC간 파일 전송을 위하여

망연계자료전송시스템을 도입·운영하면서 동 시스템에 악성코드 및 이상행위 탐지 솔루션을 각각 탑재하여 악성코드 및 매크로 이상행위를 검출하고 있고, 업무PC에서 인터넷PC로 파일 반출 시 책임자 사전 승인 절차를 마련하고 있으나,

동 솔루션에서 검출되지 못한 악성코드 및 매크로 이상행위가 업무PC

감염 및 장애를 유발할 수 있어 인터넷PC에서 업무PC로 파일 반입은 업무상 필요에 의해 불가피한 경우로 한정되어야 함에도 책임자 승인 절차가 부재하여 업무목적 외 파일 반입 등으로 인한 침해사고 발생이 우려되므로

앞으로 인터넷PC에서 업무PC로 파일 반입 시 책임자 사전승인 절차를

마련하여 업무목적외 파일 반입을 통제하고, 동 솔루션을 통해 엑셀 매크로 파일 등 침해사고 위험성이 높은 파일의 경우 반입을 원칙적으로 차단하는 등 인터넷PC와 업무PC간 망연계 자료전송 통제절차를 개선하시기 바람

(28) 전산실 상시 출입권한 관리 미흡

내규 ｢보안업무규정｣ 제55조 제2항에 의하여 전산실을 통제구역으로

정하고, 인사DB와 연동된 출입통제시스템을 구축·운용하여 인가받은 자 이외의 불필요한 인원의 출입을 금지하고 인사변동(부서이동, 퇴직 등) 시 자동으로

출입권한이 차단되도록 조치하고 있으나,

검사착수일(2018.11.19.) 현재 은행이 관리하는 전산실(서버룸) 상시 출입

권한을 가진 인원이 @@@명(중복 제거)에 달하며, 그 중 @@명은 전산센터 신축․ 이전(2017.12월) 이후 출입이력이 없고, 다른 @@명도 2개월 이상 전산실 출입 이력이 없는 등 전산실 상시 출입권한이 다소 과도하게 부여된 측면이 있으므로,

앞으로 전산실 상시 출입권한 부여 현황을 점검하여 과도하게 부여된

권한을 회수하고, 주기적으로 상시 출입권한 부여의 적정성을 검토하여 장기 미사용자 권한을 회수하는 절차(출입 시스템 기능추가 포함)를 마련하는 등 전산실 출입통제 절차를 개선하시기 바람

(29) 테스트데이터 변환 관리 미흡

프로그램 테스트를 위해 이용자 정보가 필요한 경우 테스트데이터 변환

솔루션(Datagenor)을 통해 변환대상 테이블의 항목(Column)명이 특정 문구를 포함하는 경우 동 항목 데이터(이용자 정보)를 변환하여 사용하고 있으나,

동 솔루션 관리자가 입력한 특정 문구에 포함되지 않은 항목명의 경우

변환대상에서 누락될 우려가 있고, 변환대상으로 검출된 이용자 정보 항목의 경우에도 강제 변환되지 않고 테스트데이터 사용자가 변환 여부를 결정하도록 되어 있어 고의 또는 과실에 의해 변환이 누락될 우려가 있으므로

앞으로 ◎◎◎◎부, ◇◇◇◇◇◇◇부 및 □□□□□□부는 전체 데이터

베이스(DB) 內 모든 테이블에 대해 이용자 정보 포함 항목을 전수 조사하고, ▣▣▣▣▣부는 이용자 정보 항목(Column) 및 이용자 정보 유형을 메타데이터 시스템에서 관리하며, ●●●●부는 동 정보를 변환솔루션과 연동하여 변환 대상 이용자 정보를 자동검출 및 강제전환 되도록 관련 시스템을 개선하시기 바람

(30) 이용자 정보보호 미흡

데이터베이스(DB) 내 이용자 고유식별정보*는 암호화하여 DB 직접 조회

(Select)시 동 정보는 암호화된 채로 출력되고 있으나

* 주민등록번호, 여권번호, 외국인등록번호, 운전면허번호

고유식별정보 외 이용자 정보(고객명, 계좌·카드번호 등)는 DB 직접

조회 시 평문으로 출력되는 등 별도의 통제 없이 노출되어 대량의 이용자 정보 유출이 가능하므로

앞으로 고유식별정보 외 이용자 정보 DB 직접 조회 시 마스킹을 적용

하여 이용자 정보 노출을 최소화할 수 있도록 시스템을 개선하시기 바람

(31) 문서보안프로그램 운영 불합리

전산자료의 유출을 방지하기 위해 내부 사용자가 파일을 생성할 경우

문서보안프로그램(DRM)을 통한 파일 암호화를 수행하고 있으나,

일부 유형(txt) 파일의 경우 문서보안프로그램(DRM) 암호화 대상으로

등록되지 않아 파일 암호화가 누락되고 있고, 암호화된 문서의 내용을 암호화 되지 않은 문서로 복사·붙여넣기 할 수 있어 암호화 대상으로 등록되지 않은 유형의 파일에 복사·붙여넣기 기능을 적용할 경우 내부 중요 전산자료가 유출될 우려가 있으므로

문서보안프로그램(DRM) 운영 정책을 개선(적용 대상 파일 유형 확대

혹은 복사·붙여넣기 기능 차단 등)하여 내부 중요 전산자료에 대한 유출을 사전에 방지하는 등 문서보안프로그램 운영을 개선하시기 바람

(32) 내부사용자 비밀번호 관리 미흡

내부사용자 비밀번호 유출 방지를 위한 정보처리시스템 계정별 비밀번호

관리는 계정관리솔루션(IdentityManager)을 통해 수행하고 있으며, 최초 계정 생성 시 동 솔루션을 통해 비밀번호 설정 규칙, 시스템별 관리자 비밀번호 동일 여부를 확인 후 계정에 비밀번호를 부여하고 있으나,

정보처리시스템의 비밀번호 변경 명령어(passwd 등)를 차단하지 않아

사용자가 시스템 접속 후 비밀번호 변경 명령어를 통해 임의로 비밀번호를 변경할 수 있으며, 접근제어솔루션(SecureGuard)을 통한 시스템 접속 시 시스템의 계정 정보(계정명, 비밀번호)와 계정관리솔루션을 통해 관리하는 계정

정보의 일치 여부를 확인하지 않아 사용자가 임의로 변경한 비밀번호를 통해 정보처리시스템 접속이 가능하므로

앞으로 정보처리시스템의 비밀번호 변경 명령어를 차단하여 사용자가

임의로 비밀번호를 변경할 수 없도록 통제하고, 접근제어솔루션을 통한 정보 처리시스템 접속 시에도 시스템의 계정 정보와 계정관리솔루션을 통해 관리 하는 계정 정보의 일치 여부를 확인하여 인가되지 않은 계정 정보를 통한 시스템 접속이 이루어지지 않도록 하는 등 내부사용자 비밀번호 관리를 개선 하시기 바람