미래에셋대우주식회사 금감원 경영유의사항 · 2019-10-30

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 미래에셋대우㈜

2. 조치일 : 2019. 10. 30.

3. 조치내용

대상

내 용

기관

경영유의 8건, 개선 13건

대상

내 용

기관

경영유의 8건, 개선 13건

4. 조치대상사실

가. 경영유의사항

(1) 공용 법인신용카드 사용 및 관리의 투명성 확보 필요

재무팀이 특정 부서에 배정, 사용 및 관리하게 하지 않는 법인 신용카드를 자체 보관하며, 사용을 신청하는 타 부서에 수시로 대여해 주어 각종 경비지출에 사용하도록 하면서도 실제 사용부서 및 직원, 사용목적, 대여기간 등을 전혀 관리하고 있지 않은바, 이와 같은 공용 법인신용카드 사용현황 및 사용내역을 투명하게 관리할 수 있도록 관련 내규를 마련하는 한편, 효율적인 통제를 위해 전산시스템을 구축하는 방법 등으로 이를 개선할 필요가 있음

(2) 재산상 이익 수령에 관한 기록관리 등 내부통제 강화 필요

임직원의 업무 관련 해외출장시 거래상대방 등으로부터 수령한 재산상 이익의 내용이 구체적으로 기록․관리되지 않은 사례가 있고, 재산상 이익 수령의 예외적인 사후승인 대상이 불분명하고 모호하게 운용되고 있는바, 재산상 이익 수령의 신고의무가 철저히 준수되도록 컴플라이언스 교육을 강화하고, 사후승인 대상을 관련 내규에서 명확히 하는 등 재산상 이익 수령에 관한 내부통제를 강화할 필요가 있음

(3) 대부업자에 대한 기업대출 취급시 유의 필요

회사는 ’14.3.31.~’18.4.13. 기간 동안 ○○○○○○○대부 등 3개 대부업체가 개인 대부채권을 기초자산으로 SPC를 통하여 발행한 ABL을 매입하는 방식으로 대부업체에 총 ◇◇◇◇억원의 신용공여를 제공하였는바, 이는 M&A 인수자금의 제공, 신생기업의 발굴‧육성 등 종합금융투자사업자에게 기업 신용공여를 허용한 취지에 부합하지 아니하므로 향후 관련 자금 운용시 유의할 필요가 있음

(4) 자기자본 투자 자산(유가증권 등) 관리강화 필요

내규 ‘유가증권관리지침’에 유가증권의 출납, 관리, 보관 등에 관한 제반사항이 명확하게 규정되어 있지 않고, 각 부서에서 일부 유가증권을 실물 등으로 보관하고 있으나 그 형태나 보관방법이 통일되어 있지 않는 등 유가증권의 실물보관 및 평가 현황 등이 체계적으로 관리되고 있지 않으므로 유가증권의 출납 절차, 실물보관 형태․방법․장소 및 관리책임자를 명확히 하는 등 내부규정을 정비하고, 보관실태에 대한 정기점검을 실시하는 등 관련 업무의 내부통제를 강화할 필요가 있음

(5) 투자자산의 손상징후 점검 및 평가 강화방안 필요

회사가 20××.×.×. 해외 주거단지 개발 관련 부동산펀드에 425억원을 투자한 후 해당 사업의 부진 및 공동 투자자간 토지분할 협상이 장기간 지속되는 동안 해외에서의 부동산 개발사업(PF)이라는 특성상 사업평가를 위한 자료확보가 어려운 점 등의 한계로 투자자산(수익증권)에 대한 공정가치 평가가 이루어지지 않다가, 투자신탁(부동산펀드)의 기준가가 변경된 후인 20××년×월 손상차손을 인식한 사실이 있는바, 투자담당부서는 ｢기업회계기준서｣가 정하는 바에 따라 자산손상의 징후를 주기적으로 적극 검토하고 자산손상의 징후가 있는 경우에는 자산의 회수가능금액에 대한 객관적인 평가방법을 조기에 확보함으로써 공정가치 측정이 장기간 지연됨 없이 적시에 손상차손을 인식할 수 있도록 하는 방안을 마련할 필요가 있음

(6) 정보처리시스템 자산관리 강화

㈎신규 PC 지급 시 운영체제 관리 강화

서버 및 네트워크 장비에 직접 접속하는 단말기를 점검한 결과, 신규 단말기에 업무와 무관한 인터넷 사이트 등에 접속한 기록이 있는 운영체제를 복제하여 사용하고 있는바, 인터넷 접속 등으로 인해 해당 운영체계가 악성코드에 감염되어 해당 단말기를 통한 전자적 침해행위가 발생할 우려가 있으므로 신규 단말기 지급 시 인터넷 등에 접속한 사실이 없는 운영체제와 프로그램 등을 설치하여 제공하는 등 신규 단말기에 대한 관리를 강화할 필요가 있음 ㈏정보처리시스템 직접 접속용 단말기의 보안 대책 강화 전산센터의 서버 및 네트워크 장비에 직접 접속하는 단말기에 물리적 시건장치를 두어 전산실 내부에서 사용하도록 하고 연 ○회 임시로 네트워크에 연결하여 백신 패치, 윈도우즈 업데이트, 보안솔루션 정책 업데이트를 수행하고 있으나 동 노트북의 경우 악성코드에 감염되거나 보안솔루션의 오류로 인해 보안정책이 해제되는 경우에도 연 ○회 수행하는 백신 패치 등의 작업 전에는 이상 여부를 확인할 수 없는 등 위험요소가 있으므로 정보처리시스템에 직접 접속하는 단말기에 대해서는 중요단말기에 준하여 백신을 이용한 악성코드 점검을 수행토록 하고, 외부 유지보수업체 직원의 단말기 사용 이후 반납 시 동 노트북의 보안솔루션 정상동작 등 이상징후가 없는지 확인하도록 하는 등 보안 관리를 강화할 필요가 있음 ㈐전산장비 자산관리 강화 필요

회사는 전산장비를 관리함에 있어, 인프라관리팀에서는 PC 및 통신장비를, 시스템팀은 서버를 관리하는 등 팀별·자산별로 사용자, 제품명 등을 각각 관리하고 있으나, 해당 업무 담당자가 자산관리 내용을 수기로 작성·관리(엑셀파일)하고 있어 입력오류 또는 관리소홀 등으로 전산자료 변동내역이 체계적으로 관리되지 않아, 관리되지 않은 전산자산 등이 취약점 분석·평가 시 누락되어 취약점에 노출될 우려가 있으므로 전산화하여 관리하는 등 관리체계를 강화할 필요가 있음

(7) 업무연속성 확보방안 관리 강화 필요

㈎ 재해복구 전환훈련 절차 등 미흡

장애·재해·파업·테러 등 긴급한 상황이 발생하더라도 업무가 중단되지 않도록 ｢IT비상계획서｣ ｢위기대응행동매뉴얼｣ 및 ｢전산업무규정｣ 등에 따라 업무연속성 확보방안을 마련하여 운영하고 있으나 검사대상기간(2015.1.1.∼검사종료일) 중 실시한 재해복구 전환훈련 총 ○○회 중 ○회는 영업점이 참여하지 않고, ○회는 업무 복구시간이 ○시간 이상이 소요되었으며, 2012.10월 핵심업무를 선정하고 재해복구시스템을 구축하였으나 이후 신규 업무를 도입시 핵심업무를 재선정하지 않은 등 업무연속성 확보 방안이 미흡하므로 향후 전산센터 재해 등에 대비하여 재해복구 전환훈련 시 핵심업무 복구목표시간 내에 복구하도록 하고 IT부서 외 영업점 직원 등이 참여하도록 하며, 신규 업무 등을 도입하는 경우에는 핵심업무를 재선정하고 핵심업무에 대하여 재해복구시스템을 구축하는 등 업무연속성 확보방안에 대한 절차를 강화할 필요가 있음 ㈏ 백업 시스템 및 전산자료 관리 미흡

｢시스템운영지침｣에 따라 서버 구동 여부 등을 ○회 점검하였으나 전체 백업시스템 점검에 대한 대상, 점검시나리오 등 연중 점검계획을 수립하여 관리·보고하지 않았고 긴급한 상황에 복구를 위해 사용될 수 있도록 기간계DB 등 주요 백업 전산자료의 무결성 점검을 실시하였으나, 백업 전산자료 검증 대상, 주기, 방법 등의 전산자료 검증 절차가 마련되어 있지 않아 체계적인 점검이 이루어지지 않고 있으므로 비상사태 발생시 복구를 위해 사용할 수 있도록 주요 백업시스템 및 백업 전산자료의 관리방안에 대하여 대상, 시나리오, 주기, 방법 등을 포함한 절차를 수립하여 운영할 필요가 있음

(8) 위기상황분석(stress test) 관련 내규 마련 필요

회사는 ｢위험관리일반규정｣에 정의된 ‘위험관리 비상계획’에 따라 반기마다 위기상황분석(stress test)을 실시하고 있으나 이의 수행과 관련된 명시적 내규를 구비하고 있지 않으므로, 위기상황분석을 위해 필요한 구체적인 수행방법 및 절차, 시나리오 설정 기준, 금융투자업규정시행세칙 <별표 13-2>의 권고사항 등을 회사의 영업활동 특성, 리스크 수준에 맞게 반영한 위기상황분석 업무를 내규로서 규정화할 필요가 있음

나. 개선사항

(1) 연결NCR 산정 시 현지법인의 위험값 산정요령 개선 필요

연결 NCR 산정 시 해외현지법인 자산·부채의 위험액을 산정하면서 파생상품 등 일부 자산에 대하여 위험액 산정을 누락한 사실이 있으므로 연결대상법인의 자산·부채에 대한 위험액이 누락없이 산정될 수 있도록 재무상태표의 위험종류별·계정항목별 위험액에 대한 본사의 검증 절차를 강화하는 등 연결 NCR 산정 업무프로세스를 개선할 필요가 있음

(2) 현지법인을 고려한 종합적 유동성 리스크관리 필요

회사는 유동성리스크 측정․관리에 있어 해외 현지법인의 경우는 그 영업규모 등을 감안하여 현지국의 규제기준에 따라 자체적으로 관리하도록 해 오고 있었으나, 최근 ○○현지법인의 Repo 시장 진출 등 현지법인의 영업이 확대되고 있는 점을 고려하여 향후에는 현지법인 또는 해외 자회사 등과 연계한 종합적인 유동성리스크를 측정하여 관리할 수 있는 방안을 마련하여 시행할 필요가 있음

(3) 사전자산배분 시스템 개선 필요

’14년 사전자산배분시스템 도입 이후 ’18.10.8. 차세대 시스템을 오픈하여 주문 형식(개별·집합)에 관계없이 사전자산배분시스템을 적용하고 있으나 자산배분시각 등 자산배분명세의 내용 관한 기록유지가 미흡하고, 배분 수량과 실제 체결 수량이 불일치하는 경우의 자산배분기준이 마련되어 있지 않아 투자자간 손익이 불합리하게 배분될 여지가 있으며, 관련 업무처리의 적정성을 확인할 수 있는 모니터링 절차를 더욱 체계적으로 운영할 필요가 있는바, 관련 시스템 및 모니터링 절차 등을 개선하여 운영할 필요가 있음

(4) 이해관계인 발행 증권의 투자일임재산 편입 동의 절차 개선 필요

투자일임계약 체결시, 장래에 편입 가능한 이해관계인의 발행증권 관련 일괄 동의서 양식에 증권의 조건, 투자 범위 등이 포괄적으로 기재되어 있는바, 동의서에 이미 발행된 증권의 종류, 조건, 투자 범위, 발행사 신용위험 등을 구체적으로 기재하고, 향후 발행될 증권에 대해서도 유사한 수준의 정보제공 및 동의 절차를 마련함으로써 투자자가 이해상충 소지 등에 대해 명확히 인식하고 종목별로 동의를 할 수 있도록 관련 양식을 개선할 필요가 있음

(5) 착오매매 정정 관련 절차 개선 필요

한국거래소의「파생상품시장 업무규정 시행세칙｣에 의하면, 파생상품 위탁주문의 착오매매가 발생한 경우 회사가 자기거래로 해당 파생상품을 인수한 후 정정하도록 하고 있으나 패시브솔루션2팀 등은 검사대상기간 중 파생상품 착오매매를 정정한 전체 총 ○○건 중 ○○건에 대하여 자기거래로 해당 상품을 인수한 후 반대매매를 실시하는 것이 아닌, 착오매매가 발생한 위탁계좌에서 반대매매를 실시하는 방법으로 매매를 정정한 사실이 있으므로 파생상품 착오매매 정정절차를 내규에 명확히 반영하고 업무의 적정성을 점검하도록 하는 등 관련 모니터링을 강화할 필요가 있음

(6) 사후증거금 예외 적용 관련 개선 필요

한국거래소의「파생상품시장 업무규정 시행세칙｣에 의하면, 유형요건 및 자산규모 요건을 충족하는 위탁자의 경우 적격기관투자자로 선정하여 사후증거금 예외적용을 할 수 있도록 정하고 있으나 내규인「위탁증거금징수지침」상 자산기준을 충족하지 못하는 기관들에 대해서도 심사담당부서장의 승인만으로 사후증거금 예외적용이 반복적으로 이루어지고 있고, 해외법인의 경우 3대 신용평가사의 신용등급 BBB- 이상의 유형요건이 필요함에도 불구하고 신용등급이 없는 기관이 사후증거금 예외적용을 받고 있는 등 미흡한 사례가 발생하고 있으므로,「위탁증거금징수지침」상 사후증거금 예외적용 대상이 되는 적격기관투자자를 선정하기 위한 심사요건 등을 강화하여 운영할 필요가 있음

(7) 투자자 재산간 및 투자자 재산과 고유재산간 상호거래에 대한 모니터링시스템 개선 필요 투자일임재산 및 신탁재산 각각의 상호거래를 모니터링하는 시스템은 갖추고 있으나, 투자자 재산(투자일임재산 및 신탁재산 등)간 또는 투자자 재산과 고유재산간 상호거래에 대한 모니터링 절차 및 시스템은 갖추고 있지 아니하므로 관련 모니터링 절차를 강화하고, 필요 시 사전승인을 받은 경우에만 원칙적으로 제한된 거래가 이루어질 수 있도록 하는 등 관련 시스템을 개선하여 운영할 필요가 있음

(8) 조사분석자료 공표 업무 절차 개선 필요

조사분석자료 공표 후 24시간이 경과하기 전까지 해당 주식을 고유재산으로 매매하는 것을 차단하는 매매제한 시스템을 구축하여 운영하고 있으나 조사분석자료 공표 과정에서 리서치시스템과 매매제한시스템간 실시간 연동이 지연되어 조사분석자료의 공표시점과 관련 종목에 대한 시스템상 매매제한이 시작되는 시점 간에 차이가 발생하는 경우 해당 시간 중 부당한 매매가 발생할 가능성이 있으므로 조사분석자료의 공표와 동시에 해당 종목의 매매가 즉시 차단될 수 있도록 절차를 마련하는 등 관련 업무의 내부통제를 개선할 필요가 있음

(9) 영업점 주문처리 적정성 점검 개선 필요

내규「내부통제기준」및「내부통제기준 시행세칙」에 따라 영업점 준법관리인은 일별 내부통제 체크리스트를 통해 주문처리 수탁근거 등 영업점의 업무처리 적정성에 대한 점검을 매일 실시하고 있으나 각 영업점에서는 주문처리의 적정성을 확인함에 있어 샘플 선정에 관한 명확한 기준 없이 전체 일별 주문건 중 극히 소수의 샘플을 임의로 선정하여 점검하고 있는바, 향후에는 합리적이고 객관적인 점검기준을 마련하고 이에 따른 체계적 점검을 실시할 수 있도록 하는 등 영업점 주문처리의 적정성에 대한 점검절차를 개선할 필요가 있음

(10) 인수주식에 대한 신용공여 관리강화 필요

증권의 인수일부터 3개월 이내에 투자자에게 그 증권을 매수하게 하기 위하여 그 투자자에게 금전의 융자, 그 밖의 신용공여를 차단하기 위한 절차 및 시스템을 마련하여 운영하고 있으나 검사대상기간 중 신용매매 차단조치 누락 등으로 미래에셋대우㈜가 인수한 ○○○○○○○ 등 3개 신규 상장 종목에 대해 3개월 이내에 신용융자가 발생한 사례*가 있으므로 증권의 인수일로부터 3개월 이내에 해당 종목과 관련된 금전·신용융자가 제공되는 사례가 재발하지 않도록 신용매매 차단조치의 누락을 예방하는 한편, 착오매매 정정시에도 신용공여 제한종목 여부를 확인하는 절차를 마련하는 등 관련 업무의 프로세스를 개선할 필요가 있음

* 미래에셋대우㈜는 인수주식 전량을 상장 당일에 매도하였고, 신용공여는 동 매도 이후에 취급됨

(11) 차세대시스템 구축 불합리

㈎ 차세대시스템 데이터 이전 및 검증 절차 미흡 차세대시스템으로 데이터를 이전(2019.10.6.)하는 과정에서 담당자의 조작 실수로 원장에 잘못된 데이터가 반영되었음에도, 일부 데이터 검증작업을 누락한 채 차세대시스템을 가동하여 주문금액이 과대 계산되는 등의 사례가 있으므로 시스템 개발 및 통합 등을 수행하는 경우, 이용자정보, 거래정보 등이 저장된 정보처리시스템에 대한 중요작업 수행 시 책임자가 확인하는 등의 통제절차를 마련할필요가 있음 ㈏ 차세대시스템 개발과정에 외주업체 직원 내부통제 미흡 차세대시스템의 테스트를 위하여 성명, 식별번호 등의 이용자 정보를 사용함에 있어 강화된 통제방안을 적용하고 외주업체 직원이 기간계 서버 등에 접근하여 이용자 정보를 테스트 용도로 사용한 후 삭제하고 있으나, 테스트 기간 중 외주업체 직원에게 고객 등의 이용자 정보가 저장된 기간계 서버 등에 접근권한을 부여하였음에도 외주업체 직원이 차세대시스템 목적 이외에 이용자 정보 조회·이용 여부를 모니터링하지 않는 등 통제가 미흡하므로 외주업체 직원이 전산망을 이용하는 경우에는 정기적으로 작업이력을 점검하는 등의 통제절차를 마련할 필요가 있음

(12) 외주업체 직원 내부통제 미흡

㈎ 외주업체 서비스 품질 평가 기준 미수립

정보처리시스템의 유지보수 업무 등을 외주업체에 위탁·운영하면서 일부 외주업체 계약서에 서비스품질 평가 기준을 마련하여 평가를 수행하고 있으나, 서비스 납기·처리시간의 적정성 등 12개 평가항목을 5개 등급으로 평가하고 있을 뿐 서비스 품질을 객관적으로 평가하는 기준이 없으므로 외주업체의 업무수행에 대한 관리·감독이 강화될 수 있도록 서비스 품질 평가 기준 등의 절차를 마련할 필요가 있음 ㈏ 외주업체 직원에 대한 현장점검 강화

회사는 매월 지정된 정보보안점검의 날에 보안 점검 프로그램을 이용하여 외주업체 직원에 대한 PC보안 현황을 점검하고, 검사대상기간 중 차세대시스템의 테스트시 강화된 통제방안 적용을 위하여 현장점검을 실시(○회)하였으나, 외주업체 직원의 운영업무의 적정성 및 보안준수여부에 대해 점검하지 않아 내부정보 유출 사고 등이 발생할 우려가 있으므로 정기적으로 현장점검을 수행하는 등 외주업체 직원에 대한 보안관리를 강화할 필요가 있음 ㈐ 외주업체 직원 계정관리 불합리

회사는 차익거래 시스템, 은행신탁FIX 시스템 등에서 사용하는 프로그램 변경을 외주업체 직원이 당사 내부직원의 사용자 계정을 사용하여 등록·운영한 사실이 있으므로 외주업체 직원에게 업무상 필요한 서버에만 제한적으로 접근을 허용토록 하고 정기적으로 작업이력 등의 적정성을 점검하는 등 사후 통제절차를 강화할 필요가 있음

(13) 정보처리시스템 보안관리 미흡

㈎정보처리시스템의 비밀번호 설정 관리 불합리 내규 ｢서버보안관리지침｣ 제13조에 따라 정보처리시스템의 비밀번호 정책을 수립하고 비밀번호 관리시스템 등을 통해 정보처리시스템 비밀번호 규칙을 일괄 설정‧적용하고 있으나, 검사착수일(2018.10.22.) 현재 일부 윈도우즈 계열 서버의 경우 동 비밀번호 관리시스템 등과의 호환성 문제로 비밀번호 규칙이 정상적으로 반영되지 않는 보안 취약점이 존재하므로 비밀번호 관리시스템에서 발생하는 호환성 문제의 원인을 파악하여 비밀번호 규칙을 적용하거나, 동 윈도우즈 서버에 직접 비밀번호 규칙을 적용하는 등 정보처리시스템에 대한 비밀번호 정책 관리를 개선할 필요가 있음 ㈏서버 보안패치 및 기술지원 종료에 따른 관리 미흡 검사대상기간(2015.1.1.∼검사종료일) 중 정보처리시스템의 안전한 운영을 위하여 PMS 등을 이용하여 서버에 총 ○○회 중요 패치(patch)작업을 실시하였으나 일부 보안 패치 적용이 누락되었고 일부 시스템들은 기술지원이 종료된 운영체제(총○○대) 및 데이터베이스(총 ○○대)를 사용하고 있어 취약점 보완 및 기능개선 등을 위한 보정작업이 불가하여 신규 취약점을 이용한 해킹 및 악성코드 등에 의한 침해 우려가 있으므로 침입사고 발생 시 시스템 피해를 최소화 할 수 있도록 정보처리시스템의 패치대상 및 적용 현황을 철저히 관리․운영하고 기술지원이 종료된 운영체제의 구체적인 전환추진 계획을 수립하여 전환이 이루어지기 전까지 보안 대책을 마련하여 이행하는 등 침해사고 발생 피해를 최소화 할 수 있도록 관련 시스템 보안대책을 마련할 필요가 있음 (기술지원이 종료된 서버에 대한 전환 계획을 기수립)