삼성화재해상보험 금감원 경영유의사항 · 2016-06-27

제재내용 공개

1. 금융기관명 : 삼성화재해상보험㈜

2. 제재조치일 : 2016.6.27.

3. 제재조치내용

제재 대상

제재 내용

기관

• 경영유의사항 15건

• 개선사항 10건

제재 대상

제재 내용

기관

• 경영유의사항 15건

• 개선사항 10건

4. 제재대상사실

가. 경영유의사항

(1) 상해보험 계약인수 업무 강화

피보험자의 직업에 따라 위험등급을 분류하고 그 결과를 보험료에 반영하는 상해보험 계약을 인수하면서 동일 피보험자에 대하여 보험계약별로 직업별 위험등급을 다르게 적용하여도 이를 적시에 발견하거나 검증하기 위한 절차가 마련되어 있지 않아, 피보험자의 위험 특성에 부합하지 않는 잘못된 보험료가 산정될 우려가 있으므로 정확한 보험료 산정을 위하여 상해보험 인수시 직업위험등급표에 따라 피보험자의 위험등급을 판단할 수 있는 충분한 정보를 확보하고, 동일 피보험자의 직업에 대해 보험계약마다 다른 위험등급이 적용되지 않도록 검증 절차를 강화하는 등 합리적 대책을 마련할 필요가 있음

(2) 리스크관리위원회 등의 운영 체계 강화

이사회 내 리스크관리위원회를 운영하면서 2014년 중 내규 ｢리스크관리위원회규정｣에 따라 분기마다 개최해야 하는 위원회를 개최하지 않았고, 2015.3.13. 수시 개최로 규정을 변경함에 따라 개최 횟수 감소시 위험관리 역할 및 기능이 축소될 우려가 있고, 2012.10.1.～2014.12.31. 기간 동안 의결안건 22건에 대해 이행현황을 점검하여 결과를 보고한 안건이 9건에 불과하였으며, 경영위원회 및 보상위원회의 운영과 관련하여 참석 이사의 발언 및 토의내용 등 의사결정 과정에 관한 기록이 미흡하므로, 리스크관리위원회를 정기적(예: 분기 1회 이상)으로 운영하고 의결안건에 대한 사후관리를 철저히 하는 한편, 경영위원회와 보상위원회의 의사록을 충실하게 작성하는 등 이사회 내 각종 위원회 운영을 내실화할 필요가 있음

(3) 문서관리체계 강화

보험계약의 인수심사, 체결 및 계약보전 등 보험계약자와의 계약관계 유지, 직원간의 업무 연속성 확보 등을 위하여 보존해야 할 장기손해보험 감액배서 프로세스 변경시행(2011.9월) 관련 문서, 신종단체상해보험 개별 피보험자의 상해위험급수 판단자료* 등을 보관하지 않았고,

* 2014년 인수당시 보험료 1억원 이상 총 78건 중 15건 전산등록, 24건 개인보관, 39건 폐기 문서 및 자료를 체계적으로 관리하기 위하여 각 부서에서 생성한 문서를 문서관리대장에 기록하여 보관하여야 하나 인사위원회 회의록, 임직원대출 보고서, 변동금리대출 조정 보고서 등의 문서를 문서관리대장에 미등록하였으며, 문서관리대장을 기록함에 있어 담보대출금리관련 개별 문서명을 기록하지 않고 문서 생성연도만 기재하는 등 문서관리대장을 형식적으로 운영․관리하였고, 문서의 보존연한을 각 부서장의 전결권한으로 정하도록 함에 따라 동일 유형의 문서에 대해 각 부서별로 보존연한이 서로 상이하게 관리되는 등 문서관리체계가 전반적으로 부실한 상태이므로 문서관리대장에 등록해야할 문서(서류 및 전자문서)를 구체적으로 정하고, 문서별 보관방법(전산보관 방법 포함), 최소 보존연한 및 폐기요건 등을 명확히 정의하며, 위반시 관련 제재조치 기준을 마련하고, 문서작성 부서와 독립된 부서가 해당 부서의 문서 및 업무자료의 보관상태, 보존연한 및 폐기요건 준수 여부와 문서관리대장 작성의 적정성 등 문서관리 실태를 정기적으로 점검하도록 하고, 회사 전체의 문서관리를 책임지는 총괄책임자를 선정하여, 총괄책임자가 문서관리 실태 점검결과 위반사항에 대한 제재 등 조치내역을 이사회에 보고하는 체계를 마련할 필요가 있음

(4) 손해사정업자에 대한 공정한 성과평가 체계 마련

2013.1.30.～2015.1.29. 기간 중 자회사인 삼성화재서비스손해사정㈜ 및 삼성화재애니카손해사정㈜에 손해사정업무를 위탁하면서 연간 수수료계약서 작성시 성과수수료 세부 지급기준을 미리 정하지 아니하고 ‘별도의 성과수수료를 지급할 수 있다’라고만 기재한 후 위탁계약 기간 중 해당 회사들과 성과수수료 세부 지급기준을 협의하여 확정하고 있고, 삼성화재서비스손해사정㈜에 대하여 다른 손해사정업자에게는 지급하지 않는 장기손해보험 손해사정 관련 성과수수료를 별도로 지급하고 있으며, 삼성화재애니카손해사정㈜에 대하여는 손해율을 성과수수료 평가지표로 책정하여 보험금 삭감 위주의 부적절한 보험금 산정 등 소비자 피해가 유발될 소지*가 있으므로

* “2위 손보사와의 손해율격차”를 지표로 하고 있어, 유사한 보험사고에 대해서도 다른 손해보험회사보다 보험금 지급액이 적을수록 성과지표가 향상되어 성과수수료 지급액 상승 성과수수료 세부 지급기준을 수수료계약서에 명시하는 등 성과 평가 및 성과수수료 지급 근거를 명확히 하고, 신속․정확한 보험금 지급, 보험범죄 방지활동 강화 등 보험소비자 보호 및 업무정확도 제고를 위한 항목 위주로 평가될 수 있도록 성과평가 체계를 마련할 필요가 있음

(5) 개인정보보호를 위한 내부통제 강화

보험설계사 등이 고객 명함 등을 통해 수집한 이름, 연락처, 주소, 이메일 등의 개인정보를 회사의 전산시스템에 등록․보관하면서 조회권한을 제한하지 않은 사실이 있으므로, 정보주체의 동의절차, 부당한 사용 및 외부 유출(노출 포함) 방지를 위한 적법한 내부통제절차를 마련하고 이를 준수할 필요가 있음

(6) 의료자문 업무의 공정성 강화 대책 마련

장해보험금 산정을 위한 장해지급률 결정시 피보험자가 제시한 장해진단서에 사고기여도 내용이 부실한 경우 피보험자의 주치료 병원이 아닌 회사가 정한 자문의에게 사고기여도 판정을 의뢰하고 있으며, 자문의 선정도 소수의 자문의에 편중*되어 있어 보험금 심사시 피보험자에게 불리한 사고기여도가 반영될 우려가 있으므로

* 2013년～2014년 동안 총 4,059건의 사고기여도 자문 의뢰 중 2,505건(61.7%)을 13명의 자문의(총 375명의 3.5%)에게만 의뢰 피보험자의 주치료 병원에 장해지급률 판정을 의뢰하거나 피보험자와의 합의를 통해 자문대상을 결정하고, 특정 자문의에게 의료자문이 편중되지 않고 피보험자에게 사전에 의료자문 병원정보가 적절히 제공되도록 하는 등 불공정한 의료자문을 방지하기 위한 대책을 마련할 필요가 있음

(7) 타인의 생명의 보험계약 인수 및 보험금 지급심사 업무 강화

타인의 사망을 보험사고로 하는 보험계약의 인수 심사단계에서는 피보험자의 자필서명 흠결 여부를 철저히 확인하지 않고 피보험자의 사망 이후 보험금 지급 심사단계에서 보험계약 체결당시 상황, 보험계약자와 피보험자의 관계, 보험사기 여부 등을 고려하지 않은 채 피보험자의 자필서명 흠결만을 이유로 보험계약 무효를 주장하여 보험금을 면책‧삭감 지급한 사실이 있으므로 피보험자의 자필서명에 흠결이 있는 타인의 생명보험계약이 유입되지 않도록 인수 심사단계에서 피보험자의 자필서명에 대한 검증절차를 강화하고 완전판매 모니터링 실시*를 통해 피보험자에게도 자필서명의 진위여부를 확인할 필요가 있으며, 보험계약자 및 피보험자에 대한 완전판매모니터링시에는 ‘피보험자의 자필서명 흠결시 보험계약이 무효로 될 수 있다’는 내용을 반드시 안내하고, 보상심사시에는 보험계약 체결당시 상황 등을 종합적으로 검토하여 피보험자의 자필서명 흠결만을 이유로 보험금을 면책‧삭감 지급하지 않도록 합리적인 보험금 지급 심사절차를 마련할 필요가 있음

* 2014.8.1. 체결된 계약부터 계약자와 피보험자가 상이한 보험계약에 대하여 피보험자에게 완전판매 모니터링을 실시

(8) 장기손해보험 보험료 감액 절차 합리화

장기손해보험 계약자가 보험료 감액을 요청하는 경우에 감액시 보장금액 및 만기환급금이 감소하고 이미 사용된 사업비가 감액전 기준으로 집행되어 보험계약자에게 불이익한 측면이 있다는 사실 등을 충분히 설명하지 않은 사례가 있고, 저축성보험의 보험료 감액 증가*에 따른 수입보험료 실적 감소를 방지하기 위해 장기손해보험 감액의 경우 보험계약자가 직접 고객센터 등 창구를 방문해야만 감액처리가 가능하도록 전산시스템을 변경함**에 따라 보험계약자의 보험계약 변경청구권 행사에 불편을 초래한 사실이 있으므로

* 2010회계연도 22억원 → 2012회계연도 63억원

** 2011.8.19. 가입 후 1년 이내 장기손해보험 계약은 창구 내방시에만 감액가능

2012.9. 3. 가입 후 2년 이내 장기손해보험 계약은 창구 내방시에만 감액가능 보험계약자가 보험료 감액을 원하는 경우 사업비 차감 구조 등 감액과 관련된 중요한 사항을 충분히 설명할 수 있도록 내부통제 및 영업현장에 대한 교육 등을 강화하고, 보험계약자의 편의가 제고될 수 있도록 감액처리 절차를 재정비할 필요가 있음

(9) 자동차보험 순보험료 조정 관련 내부통제 강화

자동차보험의 요율산정에 사용되는 기초통계의 세부 처리기준 및 방법 등*을 기초서류 관리기준에 반영하지 않아 보험료 산출 담당자의 산출오류가 발생하여도 기초서류 관리책임자나 선임계리사가 이를 적시에 인식하거나 검증하기 어려운 상황이므로

* 요율산정에 사용되는 통계자료를 현행 요율 및 제도 수준으로 전환하는 기준, 손해액진전계수(LDF)와 보험금 추세를 반영하는 기준(R2) 등 자동차보험료 산출 및 조정 절차, 통계처리 기준 등을 내부규정에 반영하는 등 내부통제를 강화할 필요가 있음

(10) 해외수재보험 지급준비금 적립 철저

‘UAE TAKREER 건설공사보험’의 원보험회사인 아부다비 국영보험회사(ADNIC)로부터 2014.1.7. 통보받은 보험사고금액 27.5억원을 2014년 1분기부터 3분기까지 지급준비금으로 적립하지 않고 결산기말(2014.12.31.)에 적립한 사실이 있으므로 보험사고금액을 적시에 인식하여 결산시 지급준비금을 누락하지 않도록 내부통제를 강화할 필요가 있음

(11) 단체상해보험 손해율 관리를 위한 합리적 대책 마련

현행 보험업법은 생명보험업과 손해보험업의 겸영을 금지하고 있고 손해보험회사가 질병을 원인으로 하는 사망을 제3보험의 특약 형식으로 담보하는 경우에는 보상금액의 한도를 개인당 2억원 이내로 제한하고 있으나, 회사는 2003.8.27. 보험업법시행령 개정 당시 유효한 단체보험계약과 그 갱신계약에 대하여는 해당 조항이 적용되지 아니하고 보상한도 2억원 초과를 허용하고 있다는 이유로 ‘신종단체상해보험(Ⅱ)’ 계약에 부가된 질명사망 담보 특약의 개인당 보상한도를 2억원 이상(3억원～5억원)으로 하여 삼성물산㈜ 등 3개사와 계약을 계속 갱신하였고, 특히, 갑상샘암 치료비 관련 손해율이 1,321%로 매우 높게 나타나고 있음에도 별도의 조건 변경 없이 계약을 갱신하여 온 사실이 있으므로 손해율의 안정적 관리를 위해 ‘신종단체상해보험(Ⅱ)’ 계약 갱신시 담보별 손해율 등을 고려하여 계약 조건을 결정하는 등 합리적 대책을 마련할 필요가 있음

(12) 외부 자산운용 위탁 운용사 선정 절차 강화

2013.12.17. 자산운용 위탁운용사 후보군(Pool) 선정시 ｢위탁운용사 선정 및 관리 가이드라인｣에 없는 ‘자본적정성 및 운용규모’를 평가항목으로 적용하고, 가이드라인상 재선정 요건인 ‘운용기간 6개월 이내’를 ‘6개월 이내 편입한 펀드를 보유’한 경우로 임의로 해석․적용하여 삼성자산운용㈜을 주식 공모형 운용사 후보군으로 선정한 사실이 있으며 2014.11.17. 채권장기형 위탁운용사 후보군 선정시 ‘운용성과’ 항목 중 수익률 반영 비중을 가이드라인보다 낮게 적용하여 운용사를 선정한 사실이 있으므로 외부 자산운용 위탁 운용사 선정 시 공정하고 합리적인 평가 및 관리가 이루어 질 수 있도록 가이드라인을 준수하고 평가기준과 요건을 구체화하여 객관적이고 투명하게 운영할 필요가 있음

(13) 주식투자 위험에 대한 내부통제 강화

｢자산리스크관리지침｣에 국내주식 투자와 관련한 한도초과 예외승인을 자산운용담당 임원이 하도록 규정함으로써 투자위험에 대한 리스크관리 부문의 점검 및 통제없이 한도초과 투자가 가능하여 이로 인한 투자손실이 발생할 수 있으므로

* 2014.6월 일부 계열회사에 투자하면서 한도초과 예외승인에 대한 검토 없이 투자한 사례가 있음 투자한도 예외승인 권한을 자산운용 리스크관리 의사결정기구인 ’자산RM위원회‘로 상향 조정하는 등 자산운용과 리스크관리 부문의 균형과 견제가 이루어질 수 있도록 하고, 투자한도를 초과하여 주식투자가 이루어지는 경우 의사결정기구의 승인 절차를 준수하여 운영할 필요가 있음

(14) IT부문 감사 업무 강화

감사파트는 매년 정기감사 계획을 수립하여 감사를 실시하고 있으나 2013년～2015년도 계획 수립시 IT부서 정기감사 계획을 포함하지 아니하여 검사대상기간 동안 고객정보보호 관련 점검(2014년, 2회) 외에 IT부서에 대한 종합감사 실적이 없고, 내규로 등록되지 않은 ‘IT감사 체크리스트’만을 운용하는 등 IT감사 관련 내규가 미흡하고 감사파트 내 감사인력 총 26명 중 IT감사 인력이 1명에 불과하므로 감사파트의 IT부문 감사의 실효성 제고를 위하여 IT부서에 대한 정기적인 종합감사 실시, IT감사업무편람 등 관련 내규 마련, IT감사 전문 인력 확충 등이 필요함 또한, IT전략팀 내 정보기획파트는 IT 자체감사를 위해 내부통제담당자(2명)를 지정하여 운영하고 있으나, 해당 인력이 재해복구 업무를 겸직하고 있고 이들의 성과평가자가 정보기획파트장으로 되어 있어 감사업무의 독립성이 결여될 우려가 있으며, 2014년 중 내부통제담당자의 경우 IT감사 관련 교육을 이수한 실적이 없으므로,

업무의 독립성 확보를 위해 내부통제담당자의 직무 및 소속 직제를 분리·운영하고, 내부통제담당자를 대상으로 IT감사 관련 교육을 정기적으로 이수하도록 하는 등 자체감사 업무를 강화할 필요가 있음

(15) 전사자원관리(ERP)시스템 구축 프로젝트 관리 강화

전사 IT시스템을 전사자원관리(Enterprise Resource Planning, ERP)시스템으로 전환 구축하기 위한 프로젝트를 추진(2015.1월～2017.4월)하면서

내규인 ｢정보시스템감리지침｣에는 “사업비가 50억원 이상이고 감리 실시의 필요가 존재하는 외부 주문에 대해 외부 감리를 수행한다”고 되어 있으나, 프로젝트 과정 중 이미 완료된 기능검증 단계(2012.12월) 및 업무 프로세스 설계 단계(2014.7월)는 사업비가 50억원 이상이었는데도 시스템 구축을 위한 사전 준비 작업이라는 사유로 외부감리를 실시하지 않았으므로, 전사 차원에서 추진하는 ERP시스템 구축 프로젝트의 중요성을 감안하여 각 단계별 외부감리 실시 등 객관적인 적정성 검토 과정이 필요하며, 프로젝트 진척, 이슈사항 및 주요 변경사항을 프로젝트 각 단계말에 보고하도록 하고 있으므로, 경영혁신회의 등을 통해 주기적으로 최고 경영진에 보고하여 의사결정이 시의적절하게 이루어 질 수 있도록 별도의 보고절차 마련이 필요함

또한, 상품개발, 계약, 보전, 회계처리, 정보계 등 전사 IT시스템을 ERP시스템 환경으로 구축하는 과정에서 발생 가능한 각종 리스크를 고려하여 충분한 테스트 시나리오 마련, 테스트 기간 확보, 사용자‧개발자 교육 및 데이터 이관 테스트 등 프로젝트 관리를 강화할 필요가 있음

나. 개선사항

(1) 보험설계사의 보험료 수납행위에 대한 내부통제 불합리

보험설계사가 본인 이름으로 보험계약자에게 지정된 가상계좌로 보험료를 입금하는 건에 대해서 영수증 발급 및 점검 절차 등이 마련되어 있지 않아 보험료 대납, 허위․가공의 보험계약 모집 등 불법행위 수단으로 악용될 우려가 있으므로 보험계약자가 아닌 다른 사람 명의로 입금된 사례 등 가상계좌 운영실태에 대해 정기적으로 점검하는 한편 가상계좌 이용관련 유의사항 등을 마련하여 보험설계사에게 적극적으로 교육하고, 현장방문 등에 의한 보험료 수령시 영수증을 반드시 발급하도록 하는 등 가상계좌를 통한 보험료 수납 업무처리기준 및 전산시스템을 보완하시기 바람

(2) 과다 수납된 보험료의 점검 및 관리 업무 미흡

‘무배당 삼성화재 통합보험 Super’의 ‘보험료 충당 특별약관’에 따라 적립보험료 수납시 납입한도*를 점검하는 절차를 마련하지 않아 보험료가 과다 수납되어 적립되어도 보험계약자가 이를 인지하지 못하고 있으므로, 해당 보험상품에 대해 보험료 납입한도를 점검하는 체계를 마련하고, 적립보험료 과다 수납시 보험계약자의 의사에 따라 환급여부를 결정하는 등 관련 업무를 개선하시기 바람

* 적립보험료는 보장보험료의 충당 등을 목적으로 별도로 부가하는 보험료로서 5년동안 납입할 보장보험료 총액의 5배(실손의료비 특별약관 제외시 3배) 이내로 제한됨

※ 회사는 보험료 납입한도를 점검하는 계약관리시스템을 검사 종료 후 변경(2015.4.27.)

(3) 무보험 자동차 상해사고 보상 처리 후 구상업무 미흡

2012.12.27.～2015.4.14. 기간 중 ‘무보험 자동차에 의한 상해’ 담보로 피보험자에게 보험금을 지급한 후 상대방에게 구상권을 행사하면서 상대방의 손해배상 부담액(과실비율 상당액)을 초과하여 구상한 사실이 있으므로 앞으로 상대방의 손해배상 부담액 범위 내에서 구상할 수 있도록 상대방에게 구상금액 세부 산출내역 등을 서면으로 안내하는 등 구상 업무 절차를 합리적으로 개선하시기 바람

(4) 개인정보 파기 관련 위탁계약 체결 내용 미흡

손해사정업자 등 277개 외부 업체와 개인정보 처리를 위한 위탁계약을 체결하면서, 위탁계약서에 개인정보 파기확인서를 작성하여 회사에 송부하는 ‘파기 확인자’를 규정하지 않고, 215개 위탁업체에 대해서는 파기확인서 송부 기한을 설정하지 않는 등 개인정보 파기 관리 및 감독에 관한 구체적 내용이 미흡하므로 앞으로 개인정보 제공업체와의 위탁계약 체결시 파기확인자와 파기확인서 송부기한을 명확히 설정하고 고객정보 파기실태에 대한 현장점검을 강화하는 등 관련 업무를 개선하시기 바람

(5) 임의재보험 출재수수료 적용업무 불합리

일반보험의 임의재보험 출재수수료를 적용하면서 세부 기준이나 근거 없이 보험계약자별로 출재수수료율을 차등 적용*하고 있으므로 관련 기준을 합리적이고 일관성 있게 개선하시기 바람

* CGV 배상책임보험의 임의출재수수료율은 32%를 적용하였으나 한국서부발전의 재물보험 임의출재수수료율은 1%를 적용

(6) 이용자 정보 조회기록 점검 시스템 미흡

화면별 사용량 분석을 위한 로그관리 목적으로 도입된 ‘로그 통합관리 시스템’을 활용하여 이용자 정보 조회의 적정성을 점검하고 있으나, 동 시스템은 당초 조회기록 점검을 목적으로 구축된 시스템이 아니어서 검색조건(대상기간)을 장기간으로 입력하는 경우 검색시간이 장시간 소요*되는 등 효율적인 점검이 곤란하고, 조회 후 화면 출력의 경우 관련 내역이 기록되지 않고 있으므로 해당 시스템을 개편하는 등 이용자 정보 조회기록 관리업무를 합리적으로 개선하시기 바람

* DB 테이블이 아닌 일반 파일로 로그가 기록되어 1일 분량 검색시 약 10분 소요

(7) 고객정보 변경절차 불합리

전산시스템에 잘못 입력된 고객 성명 정정시 별도의 승인절차 없이 담당자에 의해 변경이 가능하고, 고객 연락처 정보 정정시 휴대폰번호, 자택전화번호 등의 정확성에 대한 점검 절차가 마련되어 있지 않아 전화번호가 확보되지 않는 고객의 연락처에 대해 존재하지 않는 휴대폰 번호(010-0111-1111 등), 보험대리점 사무실 전화번호 등으로 입력되어 관리되고 있으므로 원활한 보험계약 유지 및 제지급금 업무를 위해 정확한 고객정보를 관리하고, 고객정보 변경 및 통제 절차를 강화하는 한편, 금융사기 예방을 위해 고객정보 변경시 즉시 고객에게 통지하는 등 관련 업무를 합리적으로 개선하시기 바람

(8) 단말기(PC) 보안통제 업무 불합리

USB 등 보조기억매체 통제 및 문서암호화를 위한 보안 솔루션을 PC에 설치하여 운용하고 있으나 USB 쓰기 기능 허용 등 업무상 보안통제 예외 적용 시 승인업무를 보안파트 담당직원 전결로 처리하고 있고, 2015.3월부터 문서복호화 허용기간을 최대 1개월로 변경하였으나 변경 이전의 예외 허용자*에 대해서는 이를 적용하지 않고 있으므로

* ’15.3월말 기준 53명으로 문서복호화 기간을 최장 15개월까지 허용

PC보안 솔루션의 보안정책 예외 처리시 승인 절차를 강화하고 일관성 있는 보안정책을 적용하는 한편, 정기적으로 USB사용, 문서복호화 이력의 적정성을 점검하고 책임자의 확인을 받는 등 보안통제 업무를 개선하고, 사내 그룹웨어(스마트포탈) 메일 및 삼성그룹 공통 메일(싱글) 시스템을 통한 이메일 발송시 별도 승인절차 없이 첨부파일의 외부 전송 등이 가능하므로 개인정보 유출 방지를 위해 승인절차를 강화하는 등 관련 업무를 개선하시기 바람

(9) 외부주문 업체 및 업무 위탁업체에 대한 보안관리 미흡

프로젝트 수행을 위한 외부주문 업체 직원에게 별도 사무실을 제공하고 자사 소유의 데스크탑 PC를 지급하여 용역 업무를 수행하도록 하고 있으나, 현재 진행 중인 ERP시스템 구축 프로젝트의 경우 용역업체(삼성SDS㈜) 인력이 본인 소유의 노트북을 사용할 수 있도록 허용하고, 사내 그룹웨어(스마트포탈) 메일에서 삼성그룹 공통 메일(싱글) 계정으로 별도 통제절차 없이 이메일 발송이 가능하여 이를 이용한 정보유출의 가능성이 존재하므로, 프로젝트 수행인력에 대한 이메일계정 사용 통제, 노트북 등 전산장비 및 전산자료의 반출·반입 통제 강화, 보안점검 강화 등 외부주문 업체에 대한 보안관리 업무를 개선하고, 2015.4.10. 현재 손해사정업자 등 20개 위탁업체에 파일형태로 정보를 제공하면서 자체 파일전송시스템, VPN(Virtual Private Network, 가상전용망) 등의 보안통제를 적용하고 있으나, 해당 업체에 정보가 제공된 이후에 업무목적 외 용도로 사용·유출될 우려가 있으므로 삼성화재 전용PC 지정․사용, 보안점검 강화 등 업무 위탁업체에 대한 보안통제 업무를 개선하시기 바람

(10) 일괄작업(배치프로그램 수행)에 대한 운영통제 불합리

일괄작업(batch) 수행시 자사 직원이 아닌 용역업체(삼성SDS㈜) 소속 관리자의 결재를 통해 수행하고 있고, 수행일자 변경 또는 기존 작업의 재실행 등 단순 수행요청은 수행근거를 남기지 않고 있으며, 비정기 일괄작업을 통해 전산원장을 변경하는 경우 변경내용의 정당여부에 대한 제3자 확인을 실시하고 변경 전후 내용을 자동기록하고 있으나 작업요청 시 담당자 착오 등으로 인해 전산원장이 변경되는 작업인데도 작업구분을 다른 유형으로 요청하는 경우 제3자 확인 절차가 일부 누락*된 사실이 있고,

* 전산원장이 변경된 비정기 일괄작업 총 71건 중 14건에서 제3자 확인을 누락

또한, 일괄작업 운영자(146명)의 경우 담당 작업과 관련된 선행 일괄작업의 결과를 확인할 필요가 있다는 이유로 일괄작업 결과파일의 조회권한에 별도 제한을 두고 있지 않으므로 일괄작업 수행절차에 대한 관리 강화, 일괄작업을 통한 전산원장 변경 통제 강화, 일괄작업 결과파일에 대한 접근권한 재정비 등 관련 업무를 합리적으로 개선하시기 바람