메리츠증권(주) 금감원 경영유의사항 · 2023-03-20

경영유의사항 등 공시

1. 금융회사명 : 메리츠증권(주)

2. 조치일 : 2023. 3. 20.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 정보교류 차단 관련 업무절차 개선

정보교류 차단과 관련하여 회의·통신 기록을 지연‧누락하고 사후적으로

정정하는 사례가 장기간에 걸쳐 반복적으로 발생하고 있으므로

회의·통신 기록을 유형별·부서별 항목을 포함하여 별도 목록이나 전산으로

유지·관리하는 등 체계적으로 유지·관리하고,

동 유형별·부서별 기록을 토대로 기록 및 정정이 자주 발생하는 사례나

부서를 분석하고, 사전적 내부통제(예방교육 등)나 사후적 내부통제(자체점검 등)에 활용하는 등 정보교류 차단 관련 회의·통신 기록에 대한 내부통제를 강화할 필요가 있음

(2) 고난도 금융투자상품 영업행위준칙 운영실태 부적정

회사는「☆☆☆ ☆☆☆☆☆☆ ☆☆ ☆ ☆☆☆ ☆☆ ☆☆☆☆☆☆준칙」

(이하 ‘준칙’)에 따라 ‘금융투자상품별’로 목표시장을 설정하고, 상품승인위원회가 제조하는 금융투자상품의 목표시장의 적정성, 목표시장 설정관련 위험평가의 충분성 및 목표시장과 판매전략의 부합여부 등을 검증하여야 하나,

상품제조부서(▤▤▤▤팀)에 고난도 금융투자상품 제조한도(x조원)를 부여

하고 상품승인위원회는 6개월 단위로 이를 ‘포괄 승인’하는 등 준칙에서 정하고 있는 바와 달리 고난도 금융투자상품 제조업무를 수행하고 있으며,

금융투자상품의 제조 및 사후관리 관련 업무과정별 정책을 수립ㆍ통제할

수 있는 관리체계를 구축하고 유지하여야 하며 이사회의 관리 통제 범위내에서 상품관리체계를 구축 운영하여야 하나, 상품승인위원회의 부의 안건을 이사회에 사전 또는 사후보고 하도록 하는 등 이사회의 직접적 관리 통제절차가 부재하고,

판매대상 투자자의 범위를 미리 전제하지 않고 제조하는 금융투자상품의

자체의 특성 및 위험구조 등을 충분히 분석ㆍ평가하여 잠재적 목표시장을 설정 하는 업무절차가 미흡한 것으로 나타나는 바,

향후에는 준칙에서 정하는 방법과 절차에 따라 고난도 금융투자상품의

제조 및 판매업무를 적정하게 수행할 필요가 있음

(3) 금융투자상품선정위원회 운영 등 금융투자상품 판매 관련 업무절차 강화

내규 ｢☆☆☆☆☆☆☆☆☆☆☆ ☆☆지침｣에 따라 금융투자상품 신규 판매

및 운용사와의 신규 위탁판매계약에 대한 심사․선정을 위한 금융투자상품선정 위원회를 개최하고 있는데,

상품선정위원회 운영과정에서 위원회를 대부분 서면으로 개최하고 의사록

에는 찬반의견만을 표시하고 있으며, 검사대상 기간 중 부결된 건이 1건도 없는 등 형식적으로 운영하고 있으며,

사모펀드 판매 후 펀드 운용현황 점검 등 사후관리가 제대로 이루어지지

않고 사후관리에 대한 회사 내부 규정도 미흡하므로

향후 불가피한 경우에 한하여 서면으로 개최할 수 있도록 관련 내규에

서면개최 요건 및 절차를 엄격하게 규정하고, 위원회에서의 논의 및 발언 내용 등을 의사록에 명확히 기재하며 위원회 논의내용 중 추가확인이 필요하거나 논의가 부족한 경우 재심의하는 절차를 마련하는 등 위원회를 실질적으로 운영하고 의사결정 과정의 투명성을 제고할 필요가 있으며,

판매한 사모펀드에 대하여 정기적으로 판매시 설명했던 내용대로 운용되고

있는지 점검하고 점검기록을 유지하며, 필요시 현장 실사도 실시하는 등 내실있는 사후관리가 되도록 관련 규정을 보완할 필요가 있음

(4) 유동성리스크 관련 업무 개선

유동성 위기 발생에 대비하여 비상조달계획을 수립하고 있으나, ① 유동성

시나리오분석에 자회사(△△△△△△) 및 단기차입 수단인 기관RP를 고려하지 않고, ② 시나리오의 적정성에 대한 정기적인 점검절차가 마련되어 있지 않으며,

③ 동 분석 결과를 비상자금조달계획에 반영하고 있지 않은 바,

비상조달계획의 실효성이 저하될 우려가 있으므로 유동성 시나리오 설정

및 분석 후 활용을 강화할 필요가 있음

(5) 외화유동성 관리 강화

외화유동성 조달 방법이 제한적이고 비교적 단기인 반면, ‘2x. x월말 해외

대체투자 익스포저는 x조원, 평균 잔존만기 x.x년(연체자산 제외)으로 외화자금의 만기 불일치가 발생하며,

파생결합증권 자체헤지 잔고(‘2x.x월말, x.x조원) 대비 즉시 현금화 가능한

외화 유동성(외화현금 등 xxx억원)은 적어 글로벌 주가지수 급락 등 우발적 외화 수요 발생에 취약한 바, 은행 및 계열사와 외화 크레딧 라인을 구축하는 등 추가적 외화 조달 방안 검토가 요구되며,

또한 현재 원화와 외화를 통합한 비상자금조달계획이 구비되어 있으나,

외화자금 조달 부족에 대비한 별도의 외화조달계획은 부재하며 외화유동성에 대한 자체 스트레스테스트가 수행되지 않는 바, 외화자금 경색 등 비상상황 발생에 대한 사전 대비책을 마련할 필요가 있음

나. 개선사항

(1) 조사분석 담당 부서 관련 내부통제 강화

㈎ 조사분석자료 공표시점을 심의위 가결 직후로 변경

♠♠♠♠♠는 심의위에서 조사분석자료 관련 안건이 가결된 경우 5거래일

내로 해당 조사분석자료를 공표하도록 정하고 있으나,

심의위에서 사실상 조사분석자료가 확정되는 점을 감안할 때, 심의위 가결후

공표전까지 심의위 가결 정보를 이용한 임직원 및 금투업자의 주식매매 가능성을 방지하기 위해 심의위 가결 직후 조사분석자료를 공표하도록 개선 필요

㈏ 조사분석자료 제3자 사전제공 확인절차 마련

♠♠♠♠♠는 공표전 조사분석자료의 사전제공을 원칙적으로 금지하고

있으며, 조사분석자료의 사전제공 사실이 발생한 경우 애널리스트가 이를

OOOOOO 팀장에게 보고하도록 정하고 있으나,

애널리스트가 제3자에게 자료를 제공하는 과정에서 해당 자료가 향후

공표될 조사분석자료 또는 그 주된 내용인지 확인하는 절차가 미비하여, 조사 분석자료 제3자 사전제공 공표 누락 사례 발생

애널리스트가 외부메일 등을 통해 제3자에게 자료를 제공하는 경우 담당

팀장 및 OOOOOO 팀장에게 해당 내용이 실시간으로 보고되도록 하여 제3자 정보제공 사실을 재검증하는 시스템을 마련하는 등 제3자 자료제공 절차의 개선 필요

(2) 신기술사업금융 관련 내부통제 강화

㈎ 신기술사업금융 관련 전담조직 마련 필요

신기술사업금융업무와 PI업무간 이해상충 발생 및 미공개 정보이용 가능성이

존재함에도 불구하고,

메리츠증권㈜는 ▦▦▦▦▦▦▦팀 모두 PI업무를 겸직하도록 하여 이해상충

관리 및 정보교류 차단이 미비하므로, 신기술사업금융 전담 조직을 신설할 필요

㈏ 신기술사업금융 관련 조합원 모집 절차 마련 필요

＠＠＠＠＠팀은 신기술사업투자조합원 모집시 별도의 정해진 규정 및 절차

없이 지인 등에게 투자설명서(IM)를 교부하며 투자권유를 하고 있으므로,

개인투자자 조합원 모집시 부적합 투자권유 및 불완전 판매 등으로 투자자

피해 발생이 가능하므로, 신기술사업투자조합원 모집에 대한 절차를 마련할 필요

㈐ 신기술사업투자조합 자산의 체계적 관리 필요

＠＠＠＠＠팀은 조합 자산의 수탁사 지정 여부에 대한 기준이 미비하며,

수탁사 미지정 조합 자산의 경우 직원일탈로 횡령 가능성 등 금융사고에 취약한 구조이므로,

조합 자산의 수탁사 지정 기준 및 수탁사 미지정 자산에 대한 금융사고

방지 체계를 마련할 필요

(3) 해외시장 투자중개 관련 투자자 보호체계 미흡

해외시장 투자중개 규모가 증가하고 있음에도 국내 시장 대비 정보의

접근성 제약 등 투자위험이 큰 해외시장 거래에 대한 투자자 보호장치를 미흡 하게 운영하고 있는 바,

①해외 장내 파생상품 신규투자자에 대한 사전교육절차 마련, ②해외시장

에서 거래되는 상품내용과 구조가 복잡한 고위험상품(해외시장에서는 국내 보다 높은 수준의 다양한 고레버리지 상품 거래가 가능한 상황)에 대한 고령투자자 투자유의상품 지정절차 보완, ③초고위험(위험등급 1등급)인 해외 파생상품 투자에 현저히 부적합한 투자자(例) 이자지급형)에 대한 강화된 투자자 보호장치 구축,

④비대면 거래시 투자자가 부적합 상품에 대한 명확한 위험 인식을 할 수 있도록

전산업무(HTS/MTS) 프로세스를 정비하는 등 해외시장 투자자 보호와 관련한 업무프로세스를 개선할 필요가 있음

(4) 파생결합증권 헤지자산과 고유자산 간 분리 운용 불철저

「☆☆☆☆☆☆ ☆ ☆☆☆☆☆☆☆ ☆☆ ☆ ☆☆☆ ☆☆ 기준」등 내규에

파생결합증권의 헤지자산과 고유재산을 분리하여 운용하도록 명문화하고, 관련 전산시스템을 구축·운영하고 있으나,

부동산 PF대출 등 고유재산을 기초로 DLS 등을 발행하는 경우, 해당 자산을

헤지자산 운용부서로 이관하지 않고 기존 보유부서에서 지속 운용하면서 동 증권 발행대금의 운용 현황이 불투명하게 관리되고 있으므로,

헤지자산 운용을 전담부서 외 고유재산 운용부서에서 보유하지 않도록

제한하는 등 헤지자산과 고유재산 간 실효성 있는 분리 운용이 이루어질 수 있도록 개선하고, 헤지자산 분리 운용 현황을 주기적으로 점검 및 기록·관리하는 체계를 구축하여 운영할 필요가 있음

(5) 투자일임수수료 체계 개선

㈎ 장기 미운용 계좌 관련

투자일임계좌를 장기간 미운용하여 사실상 투자일임 업무를 수행하고 있지

않음에도 최초 약정한 보수율에 따라 투자일임수수료를 징수하는 등 수수료 부과 기준을 불합리하게 운용하고 있으므로

합리적인 수수료 부과기준을 마련하고 장기 미운용 계좌에 대해 고객 안내

절차 및 모니터링을 강화하는 한편, 주기적으로 이를 점검하여 점검기록을 유지하는 등 운용업무를 합리적으로 개선할 필요가 있음

㈏ 지점 맞춤형 랩 상품 관련

지점 맞춤형 랩 상품의 경우 운용역과 고객 간의 합의를 통해 수수료율을

정하고 있으나, 운용역 본인 외에는 수수료 합의내용의 적정성에 대해 확인하는 절차가 없어 적절한 사유 없이 합의가 이뤄질 경우, 타 고객에 대한 수수료 차별이 발생할 소지가 있으므로

맞춤형 랩 상품에서 일정 이상 다른 수수료율을 부과하게 될 경우, 수수료

합의내용의 적정성을 확인하고 주기적으로 이를 점검하여 점검기록을 유지하는 등 합리적인 수수료 부과가 이뤄질 수 있도록 개선할 필요가 있음

(6) 자전거래 모니터링 업무 개선

내규 ｢ ☆☆☆☆규정｣ 제x조에 따라 준법감시부서에서 신탁재산 운용부서에

대하여 신탁재산간 자전거래 및 신탁재산과 고유재산과의 거래를 모니터링 하고 있으나

투자일임재산과의 거래에 대한 모니터링은 이루어지고 있지 않으며 투자일임

재산 운용부서의 자전거래 모니터링은 운용부서 자체적으로만 진행하고 있으므로,

관련 규정을 개정하고 준법감시부서의 모니터링 범위를 넓히는 등 자전거래

방지를 위한 모니터링 업무를 개선할 필요가 있음

(7) 비밀번호 관리 미흡

회사는 이용자로부터 받은 비밀번호를 핀패드(PIN pad) 등 보안장치를

이용하여 입력받는 정보처리시스템을 구비하고 있고

신규 거래, 비밀번호 변경, 이체 신청과 같이 비밀번호를 등록‧ 사용하는

경우 핀패드 등 보안장치를 이용하거나 이용자가 사후에 전자적 장치를 이용하여 직접 입력하는 방식으로 운영하도록 정보처리시스템에 반영하고 있으나

동 시스템이 아닌 메리츠증권 인터넷 홈페이지(방문개설계좌등록 화면) 또는

내부 업무시스템(MINTS)에서도 직원이 고객의 비밀번호를 등록 가능하므로

고객 비밀번호 등록 메뉴는 직원이 등록할 수 없도록 메뉴 접근을 차단

하는 등 전자금융거래의 안정성이 확보되도록 방문영업 신규 계좌 등록 업무를 개선하시기 바람

(8) IT감사 업무 미흡

회사는 내규 ｢☆☆☆☆☆☆☆규정｣에 따라 감사 종료 20일 이내에 감사

결과보고서를 작성하여 감사본부장에게 보고하여야 하나, 2020년도 IT부서 종합 감사 결과보고서를 감사 종료 6개월이 경과된 이후 보고하였고

검사대상기간 동안 IT부서 종합감사(총 x회)를 실시하였는데 종합감사 결

과 동일사항에 대해 반복적으로 지적되고 있는 등, IT감사 지적사항에 대한 사 후관리가 미흡하므로

감사결과를 내규에서 정한 기한 내에 보고하고, IT감사 사후관리 체계를

강화하는 등 IT감사 업무를 합리적으로 개선하시기 바람

(9) IT장애 관리 업무 미흡

회사는 내규 ｢☆☆☆☆지침｣에 따라 장애보고서 및 사후결과보고 등을

관리하고 있으나,

검사대상기간 중 보고된 장애 절반 이상이 동료 검토 등 소프트웨어 품질

관리가 누락되어 발생한 장애로, 전산 담당자의 단순한 실수로 인해 시스템 지연 또는 중단에 이르는 장애가 발생할 우려가 있으며

전산원장 변경 내역 및 원격접속 신청 내역 등에서 프로그램 오류가 확인

되었음에도 장애보고서 및 사후결과보고가 누락되고 있어, 동일한 IT장애가 지속적 으로 발생할 우려가 있으므로

동료 검토 등 소프트웨어 품질관리 절차를 마련하여 전산 담당자 실수를

최소화하고, 발생된 모든 IT장애에 대해 원인 분석, 재발 방지 대책 마련, 장애 보고 및 사후관리가 누락없이 이루어지도록 IT장애 관리 업무를 개선하시기 바람

(10) 단말기(PC) 보안통제 미흡

임직원의 업무용 단말기(PC)에 CMOS 비밀번호를 미적용하고 있어 USB부팅 시

보안 S/W 우회, 악성코드 배포, 불법 S/W 복제, 내부자료(IT프로그램 소스 등) 유출 등 단말기 보안통제에 취약하므로

전체 업무용 단말기에 CMOS 비밀번호를 설정하는 등 단말기 보안통제를

강화하시기 바람

(11) 정보기술부문 계획 수립 미흡

회사는 내규 ｢ ☆☆☆☆☆☆규정｣ 제x조에 따라 정보기술부문 중장기 계획을

바탕으로 정보기술부문 연간 계획을 수립하고 있으나,

중장기 정보화전략계획 없이 매년 단기 계획만을 수립하고 있고, 검사대상

기간 중 수행한 IT부문 사업의 xx%가 정보기술부문 계획에 반영하지 않고 추진하는 등 정보기술부문 계획 수립이 미흡하므로

중장기적 관점의 정보화 전략을 수립하고 이를 토대로 정보기술부문 사

업계획을 마련하여 예정에 없던 사업이 추진되는 것을 최소화 하는 등 정보기술 부문 계획 수립을 강화하시기 바람

(12) 전산원장 변경통제 미흡

회사는 내규 ｢ ☆☆☆☆ ☆☆지침｣ 에 따라 전산원장 변경절차를 수립·운영

하고 있으나

전산원장 변경 신청 중 일부의 경우(긴급신청 건에 대한 사후 신청·승인 등)

데이터 변경·통제 시스템의 기능이 미흡하여 통제절차 준수 여부 확인이 어렵고

매월 수행하는 전산원장 변경 내역 사후 검증 시 실제 검토가 필요한 항목에

대한 검증이 이뤄지지 않고 있으므로

원장변경 통제절차의 철저한 사후검증이 가능하도록 데이터 변경·통제

시스템을 개편하고 실효성 있는 사후 검증이 이뤄질 수 있도록 사후 검증 항목 및 절차를 개선하는 등 전산원장 변경 통제를 강화하시기 바람

(13) 정보유출 방지대책 미흡

회사는 내규 ｢☆☆☆☆지침｣ 에 따라 단말기 내 이용자 정보 등 주요정보

보관을 원칙적으로 금지하고, 부득이한 경우 암호화하여 저장하고 있으나

해당 정보에 대해 보관사유, 보관기간 등을 기록하지 않아 불필요한 주요

정보를 단말기 내 보관할 여지가 있고, 업무담당자가 외부로 자료를 반출 할 경우 책임자의 사후 승인을 받고 있으나 승인 현황에 대해 주기적으로 점검하고 있지 않아 정보유출에 대한 대응이 어려울 수 있으며,

보안USB의 사용기한에 대한 통제가 없고 보안USB를 2회 이상 분실하거나

외주인력이 다수의 보안USB를 분실하는 등 보안USB 통제가 미흡하므로

주요정보는 보관사유·기간 등에 대하여 책임자가 승인한 경우에만 단말기에

보관하도록 하도록 하는 등 주요정보 보관 통제절차를 강화하고, 자료 반출 승인 현황을 주기적으로 점검하여 외부로의 자료 반출이 적정하게 이루어졌는지 확인 하고 대응할 수 있는 자료반출 통제절차를 마련하여야 하며

보안USB의 사용기한을 포함한 승인 절차를 마련하고 주기적으로 보유

현황을 점검하는 등 정보유출 방지대책을 강화하시기 바람

(14) 전자금융업무 비밀번호 관리 미흡

회사는 내규 ｢☆☆☆☆규정｣에 따라 내부 사용자가 사용하는 정보처리

시스템의 비밀번호를 안전한 알고리즘(SHA256 등)으로 암호화하도록 하고 있으나

일부시스템은 국가에서 권고하는 보안강도에 미달하는 알고리즘이 적용

되어 있어 해킹 등에 의해 비밀번호가 노출될 우려가 있으므로

안전한 알고리즘(SHA256 등)을 이용하여 비밀번호를 암호화하는 등 비밀

번호 암호화 대책을 마련하시기 바람

(15) 전자금융거래 관련 내규 미흡

회사는 전자금융거래의 안정성을 위해 IT부문 관련 xx개의 내규를 제정

하여 운영하고 있으나

내규에서 정해야 할 사항이 누락되거나, 전자금융거래법 등 관련 법규와

다른 부분이 있어 임직원이 관련 법규를 위반할 소지가 있으므로

IT 부문 내규, 전자금융거래법 등 관련 법령 간의 상호 정합성을 재정비

하는 등 IT 부문 내규 관리를 개선하시기 바람

(16) 프로그램 통제 미흡

회사는 ｢ ☆☆☆☆☆☆☆☆지침｣ 에 따라 정보시스템을 개발하는 경우 정보

시스템의 기밀성, 무결성, 가용성을 보장하도록 하고 있으나

보안성 검증 기준, 절차 및 점검 도구 없이 담당자가 수기로 보안성을 검증

하고 있어 검증이 적절히 이루어지지 않을 수 있으므로

보안성 검증 기준, 절차 및 점검 도구를 마련하고, 검증·점검 활동이 누락

되지 않도록 시스템을 통하여 자동화된 형태로 진행되도록 개선하는 등 프로그램 통제를 강화하시기 바람