신한라이프생명보험주식회사 금감원 경영유의사항 · 2025-07-10

경영유의사항 등 공개안

1. 금융기관명 : 신한라이프생명보험㈜

2. 조치일(검사서 통보일) : 2025. 7. 10.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 마케팅 동의정보 관리 미흡

신한라이프생명보험㈜(이하 “회사”)는 ‘상품․서비스 소개 및 판매’(이하 “마케팅”)

동의를 한 고객의 성명, 동의 기간, 동의 시작일, 동의 종료일, 광고성 정보 수신동의 여부, 동의채널(전화, 문자, 이메일, 우편) 등 마케팅 동의 관련 정보를 관리하고 있음

하지만 2019.1.1.~2023.10.31. 기간 중 아래 (가)∼(마)와 같이 마케팅 동의 관련

정보 관리를 소홀히 하여, 고객의 동의 내용과 달리 고객정보를 마케팅에 활용하게 될 우려가 있으므로 정확한 마케팅 동의 정보를 전산 유지·관리할 필요가 있음

(가) 동의기간을 ‘계약 유지 기간’으로 설정한 고객의 경우, 동 고객 가입 보험계약이

보험료 미납으로 ‘실효’되어 계약이 해지된 상태임에도 마케팅 동의는 유효한 것으로 관리함에 따라, 마케팅 동의 유효기간이 종료된 4,056건을 마케팅 동의가 유효한 것으로 관리하였음

(나) 고객이 설정한 마케팅 동의기간이 종료되었는데도 마케팅 동의 여부를

‘미동의’로 변경하지 않아*, 마케팅 동의 유효기간이 종료된 1,001건을 마케팅 동의가 유효한 것으로 관리하였음

* 2023. 4. 18. 마케팅 동의 종료처리 배치작업 오류에 기인

(다) 고객이 동의기간을 1년∼5년으로 설정하여 마케팅에 동의했는데도 시스템상

동의기간을 ‘계약 유지 기간’ 등으로 저장하여 3,069건을 고객이 동의한 기간과 다르게 관리하였음

(라) 고객이 마케팅에 동의하지 않았는데도 이에 동의한 것으로 전산 입력하거나

(동의 체크 누락 등 포함), 고객이 작성한 서면 동의서 전산 입력을 누락하여 동의정보를 최신화하지 않는 등 80건을 고객의 실제 마케팅 동의 사실과 다르게 관리하였음

(마) 고객이 광고성 정보 수신에 동의하지 않은 979건에 대해 ‘문자(SMS)’를 통한

광고성 정보 수신에 동의한 것으로 관리하였음

<조치할 사항>

회사는 마케팅동의와 관련한 관리체계를 개선하여 고객정보가 동의 내용과 달리

활용되지 않도록 관리하시기 바람

(2) 보험금심의위원회 심의 및 운영업무 강화

보험금심의위원회는 내규인 ｢ 보험금심의위원회 운영 시행세칙｣ 제2조 및 제4조에

따라 보험소비자의 권익이 침해되어서는 아니된다는 원칙하에 보험금 지급심사 기준의 개정이 필요한 경우 적기에 변경할 수 있도록 심의 및 의결하여야 함

하지만 회사는 (구)신한생명-(구)오렌지라이프 양사 간 상이한 보험금 지급기준을

2021년 7월 합병 이후에 통합한 사실*이 있음

* 합병 이후 2022. 4.~2022. 12. 기간 중 총 86건의 수술보험금 지급기준 사후 통합

또한 보험금 지급기준을 통합된 기준으로 개정할 때 보험금심의위원회가 보험

소비자의 권익침해 여부 등을 개정 이후에 심의한 사실*이 있음

* 보험금심의위원회 수술보험금 지급기준 통합(총 86건) 안건에 대해 2023.10.26. 일괄 사후 심의

<조치할 사항>

회사는 현재까지 통합되지 않은 보험금 지급기준이 있는지 검토하고, 지급기준

개정 시 보험금심의위원회에 즉시 보고하여 적기에 심의 및 의결할 수 있도록 관련 업무를 개선하시기 바람

(3) 통신판매 보험대리점에 대한 사업비 지급 관련 관리·감독 강화

회사는 통신판매 보험대리점과 체결한 모집업무 위탁계약서 등에 따라 정상적인

거래관행에 비추어 부당하게 수수료, 비용 등을 보험대리점에 지원하여서는 아니 되고, 보험계약의 해지 등 위탁계약서에서 정한 기지급 수수료의 환수 사유가 발생할 경우 익월에 지급할 보험대리점 수수료에서 차감하는 방법을 통해 환수할 수 있음

또한, 금융기관보험대리점에 대해서는 ｢ 보험업감독규정｣ 별표 7-2에 따라 금융기관

보험대리점의 보험모집과 관련된 시책비 등 일체 비용을 금융기관보험대리점이 부담 하도록 하여야 함

하지만 회사는 검사대상기간(2019년 1월~2023년 10월) 중 A 등 10개 통신판매

보험대리점에 대하여 정상적 거래 관행에서 벗어나 대리점 소속 보험설계사들의 위촉 축하수당, 리쿠르팅 시책비 등 수수료 등으로 147억원을 부당하게 해당 대리점에 지원한 사실이 있음

또한, 회사는 보험 모집업무 위탁계약이 체결된 B 등 5개 금융기관보험대리점에

보험모집 관련 시책비 등으로 58억원을 지급한 사실이 있음

그리고 C 등 12개 보험대리점에 대한 모집수수료 환수사유가 발생하였을 때 익월에

지급할 보험대리점 수수료에서 차감하는 방식 등으로 환수하지 아니하고, 대리점 소속 보험설계사에게 직접 환수하는 등 환수 방식을 운영함에 따라 2023년 10월말 기준 총 6억원을 환수하지 못하고 있음

<조치할 사항>

회사는 보험대리점 등에 부당한 사업비(수수료, 비용)가 지급되지 않도록 관련

업무처리 기준 등을 개선하고 관리·감독을 강화하여 주시기 바람

(4) 변액보험 펀드 위험등급 분류 업무 개선 필요

회사 ｢변액보험계약권유세칙｣ 제12조에 의하면 변액보험 펀드별 위험등급 분류는

안전자산 편입비중 및 수익률 변동성 등을 종합적으로 감안하여야 하고, 펀드 설정 경과시점을 기준으로 3년 미경과 펀드는 안전자산 편입비중을 기준으로 하고 있음

다만, 분류하고 3년이 경과한 펀드는 수익률 변동성을 기준으로 분류함을 원칙으로

하고 있으나 투자자 보호를 위해 위험등급을 보수적으로 부여하고자 하는 펀드 등의 경우에는 회사 판단에 따라 3년 경과 후에도 안전자산 편입비중에 따라 분류할 수 있도록 정하고 있음

이에 따라 회사는 검사대상기간 중 변액보험에 편입된 ‘㉮펀드’의 위험등급을 분류

하면서 관련 세칙에 따라 펀드 설정일 3년 미경과 시점까지는 안전자산 편입비중으로 분류하고, 3년 경과후에는 예외없이 수익률 변동성만을 기준으로 위험등급을 분류하였음

그 결과 2019년~2021년까지 초고위험으로 분류*된 ‘㉮펀드’의 위험등급이 2022년

저위험 등급으로 분류되었음

* 검사대상기간 중 ㉮펀드(2018.1.4. 설정) 위험등급 분류내역 :

2019년(초고위험) → 2020년(초고위험) → 2021년(초고위험) → 2022년(저위험) → 2023년(고위험)

하지만, 해당 펀드의 경우 펀드자산의 60% 이상을 주가지수와 연계된 파생결합

상품 등에 투자하고 기초자산 운용 성과에 따라 만기시점에 원금손실이 발생할 수 있는 위험성이 내재되어 있어 투자자 보호가 필요한 상품이므로 위험등급 분류시 이를 적극적 으로 고려할 필요가 있음

<조치할 사항>

회사는 ㉮펀드 등 고위험 펀드의 위험등급 분류시 투자자 보호를 위해 펀드별

특성, 안전자산 편입비중과 수익률 변동성 등을 종합적으로 고려하여 적정 위험 등급으로 분류될 수 있도록 관리를 강화하시기 바람

(5) 보험계약대출 관련 운영 미흡

회사 내규인 ｢보험계약대출운용시행지침｣ 제3조 제3항은 보험계약대출 최대한도

변경 시 리스크관리운영위원회의 승인을 얻도록 명시하고 있으며, 제6조 제1항은 금리 확정형 보험계약의 대출금리 상한을 규정하고 있음

2021년 (구)신한생명과 (구)오렌지라이프와의 합병 등으로 인해 적용금리별 보험료

적립금 구조 등이 변경되었다면 보험계약대출 적용금리 등의 적정성 검토가 이루어질 필요가 있음

하지만 2022년 10월 리스크관리운영위원회의 승인없이 보험계약대출 최대한도를

해약환급금의 95%에서 90%로 축소한 사실이 있으며, 내규에 보험계약대출 금리한도에 대한 검토주기 등 검토기준이 없어 합병 전인 2014년 6월 결정된 금리확정형 보험계약의 대출금리 상한을 합병이후인 검사실시일 현재까지 검토없이 장기간 적용하고 있음

<조치할 사항>

회사는 내규인 ｢보험계약대출운용시행지침｣ 등 관련 규정에 따라 보험계약대출

최대한도 변경시 리스크관리운영위원회의 승인을 얻고, 보험계약대출 금리한도의 적정성을 검토하는 주기 및 조건 등에 대한 기준을 마련하여 운영하는 등 내부통제를 강화하시기 바람

(6) 투자자산 평가의견서, 심사의견서 작성 등에 관한 사항

회사 내규인 ｢ 자산운용규정｣ 제4조에 따라 자산운용 관련 부서는 자산을 운용함에

있어 안정성, 유동성, 수익성 및 공공성이 확보되도록 관련 법령 및 내규에 따라 선량한 관리자의 주의의무를 다하며, 자산운용과 관련된 리스크는 정확하게 측정되어 의사결정에 반영되어야 함

회사의 자산운용부서인 D, E 등이 작성한 평가의견서*·투자심사서(이하 “심사서 등”)

에는 대체투자 자산의 기초자산 하락 등으로 기한의 이익 상실(EOD) 사유 발생, 약정 (Covernant) 위반 등이 발생할 경우, 담보권 실행, 자산매각, 채권매각 등 다양한 회수 (Exit)전략을 제시하고 있음

* 자산운용 딜을 소싱(Sourcing)하는 부서에서 투자집행을 위해 투자심사 요청 전 작성하는 문서

따라서 보유자산에서 부실 등이 발생하였을 때의 회수전략과 같은 중요정보는

정확하게 분석한 후 심사서 등에 담아 회사의 투자 심의기구인 투자심사위원회의 의사 결정에 반영하고 있으나, 아래와 같은 한계점 및 운영사례가 있음

(가) 현재와 같은 금융시장 악화로 거시적인 공통의 위험(systematic risk)이 현실화

된 상황에서는, 보유 대체투자자산에서 기한의 이익 상실 사유 또는 차환(Refinancing) 실패 등이 발생할 경우 시장 내 유동성 악화로 거래가 활성화되기 어려운 점이 있음

이러한 금융시장 악화상황에서는 재무약정 위반이 발생한 경우에 수익증권의 회사의

심사서에 포함된 다양한 회수전략을 실시하기 어려우며, 회사는 실제로 재무약정 위반이 발생하자 심사서에서 제시한 전략과 달리 단순 대주단의 동의로 만기연장한 사례가 있음

(나) 또한 해외부동산 투자의 경우 국내 자산운용사의 정보력, 네트워크 등이 제한

되어 있어 해외자산 운용사 대비 현지 자산관리 및 운영능력이 떨어지는 측면이 있고, 이에 따라 현지에서 담보권을 실행하여 담보자산을 직접 운영하는데 한계가 존재함

<조치할 사항>

회사는 심사서 등을 작성할 때 실행가능한 수준의 위험 대응전략을 의사결정기구에

보고하여 투자집행 시 의사결정에 적정하게 반영될 수 있도록 하고, 국내 운용사를 통한 해외부동산 투자 의사결정시 해외 자산관리 및 운영능력에 대해서도 검증하는 등 리스크관리를 강화하여 운영하시기 바람

(7) 자산운용 협의체 및 회의체 운영 강화

회사는 내규인 (구)｢자산운용시행세칙｣(2023년 3월 개정 전) 제28조 및 제29조에

따라 자산운용 관련 협의체 및 회의체인 ‘자산운용협의회’ 및 ‘투자전략회의’를 운영함

2023년 3월 ‘일임운용체계 전환에 따라 더 이상 자산운용그룹 내부 협의체를 운영

하지 않는다’는 의사결정에 따라 2023년 3월 내규인 (구)｢ 자산운용시행세칙｣ 내 ‘제6장

협의체 및 회의체 운영에 관한 사항’을 삭제하였고 ‘자산운용협의회’ 및 ‘투자전략회의’를 폐지함

그러나 과거 자산운용협의회의에서 논의했던 자산군별 운용방향 및 세부전략 등은

일임운용체계 하에서도 실무 부서 간의 주기적인 협의 및 논의가 필요한 사항임

회사는 F 와의 투자일임계약서상 ‘자산운용지침서’ 제22조1)에서 정한 F 와의 운용

협의회를 개최하여 일반계정의 운용방향에 대해 논의하도록 하고 있으나, 일임운용사와의 계약사항일 뿐 별도 회사 내규 등을 통해 개최 주기, 참석 대상 및 논의 안건 등이 규정2)되어 있지 않은 상황임

1) 운용사는 매월 1회 운용보고서를 작성하여 회사에 제출하고 양자간의 합의에 의해 운용

협의회를 개최한다.

2) (구)자산운용협의회는 분기별로 관련부서 임원이 회의에 참석하도록 규정되어 있으나,

일임운용사와의 운용협의회는 ‘양자간 합의’에 의해 개최되어 개최주기가 불분명함

또한 투자전략회의를 대체하여 ‘팀장회의’ 및 ‘투자손익 관리회의’ 등을 운영하고

있으나, 정기적으로 개최하지 않고 관련 회의안건 등의 기록도 미흡함

<조치할 사항>

회사는 자산운용 운용방향 및 세부전략을 심도있게 검토하고 자산운용그룹 대내･

외적인 유기적 협력을 도모하기 하기 위하여 관련 내규 등을 재검토하고, 변경된 내규에 따라 자산운용 협의체 및 회의체 운영을 강화하시기 바람

(8) 위탁운용사 선정 및 사후관리 체계 강화

회사는 내규인 ｢ 위탁운용시행지침｣ 에 위탁운용 선정과정, 평가기준, 모니터링 등의

기준을 마련하고 있음

2021.7.1. 합병 이전에는 (구)신한생명의 내규인 ｢ 유가증권위탁투자운용시행세칙｣ 에 따라

운용성과(수익률, 성과지표, 성과일관성, 변동성) 등을 고려한 1차 정량평가를 거친 후 2차 정성 평가를 통해 최종 운용사를 선정하였음

하지만, (구)신한생명-(구)오렌지라이프 합병 이후 위탁운용사 선정기준 및 절차를

1차 정성평가 및 2차 구술평가 합산 방식으로 변경*하여 운용사의 운용성과 등을 객관적 으로 정량평가할 수 있는 항목을 삭제하였음

* 2022년 9월 1차 정성평가(95점) 및 2차 구술평가(95점)를 거쳐 신한자산운용을 단기 자금 외 주식, 채권 등 전통자산 전체의 일임운용 자산운용사로 선정

또한, 동 지침 제14조(정기평가)에 따라 매년 위탁운용사에 대한 성과평가를 실시

하여야 함에도 2022년 9월 신한자산운용과 일임계약 체결 이후 1년이 경과한 2023년 12월 현재까지 정기평가를 실시하지 않았음

<조치할 사항>

회사는 자산운용 위탁사 선정의 객관성 및 공정성이 확보될 수 있도록 정량평가

항목을 재검토하고, 성과평가를 정기적으로 실시하는 등 위탁운용사 선정 및 사후관리 체계를 개선하시기 바람

(9) 유동성리스크 관리 강화

(가) 회사는 내규인 ｢리스크관리시행세칙｣ 제31조(유동성리스크 관리방법) 등에

따라 장단기 자금 수급계획, 자산과 부채의 기간별ㆍ금액별 구성 규모, 유동성리스크에 대비한 단기 유동성 자산의 보유수준 등을 고려하여 유동성리스크를 관리하고 있음

이러한 유동성리스크를 효과적으로 관리하기 위해서는 운용자산수익률과 적립금

부리이율을 비교ㆍ검토하고 이에 대한 역마진 규모 및 향후 자금 유출 등을 충분히 고려 하여 유동성리스크를 관리하는 것이 바람직함

하지만 회사는 2022년 12월 ｢ 2023년 재무계획｣ 수립시 세전손익 7,091억원을 전망

하면서 기타손익中 퇴직연금 역마진(△450억원)을 금융손익(954억원)으로 보전할 계획이 었으나, 2023년 실제 퇴직연금 손실예상금액은 역마진(△477억원)과 연말 유동성 확보를 위한 채권매각손실(△350억원)을 합한 △827억원으로 계획(△450억원)대비 약 84% 이상 추가손실이 예상됨

약 2~3조원 규모의 퇴직연금을 운용하면서 2022년 11월~2023년 12월 기간 중 운용

자산수익률이 적립금 부리이율 보다 최대 13.21%p 낮고 역마진 상황이 지속되는 상황 으로 동 기간 중 누적손실은 약 1,191억원(예상치 포함)이며 일반계정(주주지분) 이익 으로 특별계정의 손실을 계속 보전(특별계정의 잡이익 처리)해오고 있음

또한 매년 12월 주기적으로 만기도래하는 퇴직연금 자금 유출을 방어하기 위하여,

운용자산수익률보다 현저히 높은 적립금부리이율을 제시하여 역마진 상황이 지속되고 있음

특별계정 운영에 있어 자산듀레이션이 부채듀레이션 보다 길어 듀레이션 미스매치가

발생함에 따라 금리변동에 따른 유동성리스크가 지속될 우려가 있음

(나) 회사의 내규인 ｢ 리스크관리시행세칙｣ 제31조(유동성리스크 관리방법)에 따르면

회사내 각 부서는 유동성리스크에 영향을 줄 수 있는 제기준 및 업무에 대하여 리스크관리 담당부서에 공유하고, 위험관리책임자의 합의를 득하여야 함

하지만 회사는 자회사인 신한라이프베트남의 2024년 주식, 채권 등에 대한 투자

계획이 회사의 유동성리스크에 영향을 줄 수 있음에도, 회사는 자회사의 자산운용계획과 관련한 별도의 유동성리스크에 대한 분석을 하지 않았음

(다) 회사 내규인 ｢ 리스크관리운영위원회규정｣ 제3조(결의사항)에 따르면 신규사업

진출, 주요 정책의 수립 및 변경 등 리스크에 영향을 미치는 사항은 리스크관리운영 위원회에서 결의하여야 하고, ｢ 위험관리위원회규정｣ 제7조(결의사항 등)에 따르면 신규

사업 진출 및 투자에 관한 사항 및 기타 이사회가 필요하다고 인정하는 사항 등에 대하여 위험관리위원회에서 심의하여야 함

2022년 퇴직연금 관련 유동성리스크 발생 가능성이 높은 상황에서 신사업 진출

및 시행시기 이연 등 이사회 결정이 필요한 사항에 대하여는 리스크관리운영위원회 및

위험관리위원회의 심도 있는 검토가 필요하므로 이에 대해 동 위원회에 상정하여 심의 하는 등 리스크 관리가 바람직함

회사는 2022. 9. 19. 제6차 임시 위험관리위원회에서 퇴직연금사업 경쟁력 강화

등을 이유로 신탁업 진출에 대해 심의하여 신탁업 진출안을 심의*함

그러나 회사는 신탁업 심의 이후 이사회 승인 전까지 저축성보험 만기도래 등으로

인한 유동성리스크 증가를 대비할 필요가 있음에도 유동성리스크 리뷰 등 사후모니터링을 실시하지 않는 등 대응책 마련을 마련하지 않음

그 결과 유동성리스크 증가에 대한 대응방안 중 하나인 신탁업 시행시기 이연 등에

대한 리스크관리운영위원회 및 위험관리위원회의 심의없이 정기이사회(2022. 12. 5.)에서 이를 승인함

<조치할 사항>

(가) 회사는 퇴직연금 계정운영시 적정한 유동성 확보를 위하여 사전에 역마진

규모, 만기분산, 물량조정 등을 심도있게 검토하여 적정한 적립금 부리이율을 산출하고, 자산 부채 듀레이션 매칭을 강화하고 일반계정의 손실을 축소할 수 있도록 퇴직연금 계정의 건전성 및 수익성을 안정적으로 관리하시기 바람

(나) 자회사의 자산운용계획상 유동성리스크에 영향을 줄 수 있는 제기준 및 업무에

대해서 영향분석을 검토하고 유동성리스크에 영향이 있다고 판단되는 경우 유동성 리스크 분석결과를 리스크관리 담당부서에 공유하고 위험관리책임자의 합의를 득하는 등 자회사의 유동성리스크관리를 강화하시기 바람

(다) 회사 내규에 따라 신규사업 진출, 주요 정책의 수립 및 변경 등 리스크에

영향을 미치는 사항 및 이사회 결의가 필요한 사항은 리스크관리운영위원회 및 위험 관리위원회에서 리스크에 대한 검토가 이루어질 수 있도록 리스크관리체계를 강화 하시기 바람

(10) 정보기술부문 중장기 계획 수립 필요

회사는 전사차원의 비전 및 전략과 연계한 중장기 정보기술부문계획(ISP :

Information Strategy Plan)은 수립하지 않은 채 매년 연간 정보기술부문계획을 수립 하여 추진하고 있어

중복투자가 발생하거나 기추진 사업의 불가피한 변경·취소 등으로 정보기술 사업의

실효성과 일관성이 훼손될 우려가 있음

<조치할 사항>

회사의 비전 및 전략에 맞춘 중장기 정보기술부문 계획을 수립하고 이와 유기적

으로 연계된 연간 정보기술부문 계획을 수립‧운용하시기 바람

(11) 고객정보 관리 강화 필요

회사는 신한생명㈜·오렌지라이프생명㈜ 합병에 따른 IT시스템 통합 과정에서 고객

주민등록번호에 대한 확인·검증 작업을 실시하지 않아 고객 15,362명(16,846계약건)의 주민등록번호에 오류가 발생*함

* 주민등록번호 13번째 숫자 오류로 인한 비정상적인 주민등록번호 존재

또한, 합병前 양 사에 모두 계약을 보유하고 있으나 양 사에서 관리하는 고객 성명이

상이(16,094명)한 경우 정확한 확인 과정을 거쳐 정비하여야 하나, 별도의 확인 없이 최근 성명 정보로 일괄 정비하여 오류 가능성이 존재함

<조치할 사항>

오류가 발생한 고객정보(주민등록번호, 성명)를 정확한 정보로 수정하고, 고객

정보 확인·검증 절차를 강화하시기 바람

(12) 정보시스템 침해사고 예방을 위한 실효성 제고방안 강구 필요

회사는 정보처리시스템의 안정적 운영을 위해 보정 필요사항에 대해 시스템 운영에

지장을 초래하지 않는 범위에서 보정작업(Patch)을 진행해야 하는데도 제조사 기술지원이 종료*된 운영체제를 사용하는 등 운영시스템에 대한 보정작업을 적시에 수행하지 않음

또한, 무선통신망을 통한 불법 접속을 방지하기 위해 사용자인증, 암호화 등 보안

대책을 수립·운영하고 있으나, 무선접속장비(Access Point : AP) 노후화로 인해 접속명 (SSID) 숨김 기능이 불가한 상태로 운영함

이에 따라, 정보시스템 오류·장애 발생시 신속한 대응이 불가하거나 신규 취약점에

대해 보안이 취약해질 우려가 있고, 인가받지 않은 접속자가 무선통신망에 접속을 시도할 우려가 있음

<조치할 사항>

회사는 서버·데이터베이스·무선통신망 등 전산장비에 대한 노후화 현황을 파악

하고 기술지원이 종료된 운영체제 및 무선통신망 설비 등에 대한 전환계획을 수립하여 전환을 진행하시기 바람

또한, 정보기술부문 예산에 시스템 교체 및 기술지원 연장 관련 금액을 반영

하여 전환前 적절한 유지보수를 받는 등 대책을 마련하고, 보정작업 필요성의 정기적 검토 절차를 내규에 반영하는 등 관리를 강화하시기 바람

나. 개선사항

(1) 용역·구매 계약체결 절차 미흡

회사 내규 ｢ 계약규정｣ 제6조는 계약시 일반경쟁에 부치는 것을 원칙으로 하되 특별한

사유가 있다고 인정되는 경우에 제한경쟁‧ 지명경쟁‧ 수의계약을 체결하고 해당 사유를 명시

하도록 하고 있으며, 같은 규정 제49조는 지명경쟁입찰이 가능한 경우를 예시하고 있음

그러나 재계약시 ‘일반경쟁입찰’ 가능여부에 대한 확인 없이 기존 계약업체 등을

대상으로 ‘지명경쟁입찰’을 실시한 사례 및 참가자격을 제한한 ‘일반경쟁입찰’(또는 ‘제한 경쟁입찰’)로 계약의 목적이 달성 가능한지에 대한 검토 없이 ‘지명경쟁입찰’을 선택하는 사례가 있으며,

같은 규정 제6조와 달리 제4장 지명경쟁입찰(제49조~제51조)에는 지명경쟁입찰에

부치는 사유를 품의서 등에 명시하도록 규정하고 있지 않아1), ‘지명경쟁입찰’건에 대해 ‘사업시행품의 또는 계약체결품의’에 지명경쟁입찰로 결정한 사유를 구체적으로 기재하지 않은 사례2) 가 있어 구매 업무의 공정성을 저해할 우려가 있음

1) ‘수의계약’ 시에는 사유를 구체적으로 명시하도록 규정(｢계약규정｣ 제52조제1항 본문)

2) 2021년 7월 ∼ 2023년 6월 중 지명경쟁입찰 총 20건 중 사유 미기재 15건

<조치할 사항>

회사는 지명경쟁입찰시 사유 기재여부에 관하여 ｢계약규정｣을 재검토하여 ‘지명

경쟁입찰’ 방식을 결정하는 경우에는 그 사유를 구체적으로 기재하도록 하시기 바람

또한 ‘지명경쟁입찰’ 사유 및 ‘제한경쟁입찰’ 여부를 확인하는 절차를 강화하여

내규에 따라 가급적 ‘일반경쟁입찰’ 방식으로 이루어질 수 있도록 구매 업무의 공정성을 강화하시기 바람

(2) 의료자문 편중 방지기준의 실효성 미흡

회사는 보험금지급 심사를 위한 의료자문 업무를 위해 내규인 ｢ 의료자문업무 시행

세칙｣을 마련하고, 2021년 9월 자문의 편중 방지기준을 도입하여 정기적(연 4회)으로 의료자문 업무 모니터링 결과를 보험금심의위원회에 보고하고 있음

하지만 회사는 자문의 편중 방지기준을 분기별 자문건수 비율만을 기준으로 설정1)

하고 있으며, 실제 자문비율(점유율)2)을 고려하지 않은 채 분기별 특정 자문의 점유율을 20%로 설정하여 의료자문의 편중 방지업무의 실효성이 미흡한 측면이 있음

1) 분기별 특정 자문의 점유율 20% 초과 제한 설정(타회사의 경우 ‘건수’제한도 규정)

2) 편중 방지기준(20%) 도입 이전 자문의 중 최고 점유율 : 7.4%

또한, 특정 자문의 자문건수비율 제한 이외에 특정 의료기관이나 의료자문중개

업체에 대한 편중에 대해서는 별도로 제한하고 있지 않음

<조치할 사항>

회사의 관련 심의기구인 보험금심의위원회*는 자문의 편중 방지기준의 적정성을

심의하여 실효성 있고 합리적인 편중 방지기준을 마련하는 등 의료자문 편중 방지 업무를 개선하시기 바람

* 내규인 ｢ 의료자문업무 시행세칙｣ 제5조 제1항 : 보험금심의위원회는 의료자문이 보험금 부지급

또는 삭감 수단으로 남용되지 않도록 자문의 선정 및 편중 방지기준의 적정성 등을 심의한다.

(3) 보험금 처리 지연 안내 업무 미흡

에 따라 지급기일1) 내에 보험금을 지급

회사는 내규인 ｢보험금심사 업무 매뉴얼｣

하지 못할 것으로 예상되는 경우 그 구체적인 사유 등을 피보험자 등에게 통지하도록 규정2)하고 있음

1) 보험금 청구를 접수한 날로부터 3영업일 이내 보험금 지급을 원칙으로 하고, 지급 사유의 조사나 확인이 필요할 때는 10영업일 이내 지급

2) 지급기일 이내에 보험금을 지급하지 못할 것으로 예상되는 경우에는 그 구체적인 사유,

지급 예정일 및 보험금 가지급제도에 대하여 피보험자 또는 보험수익자에게 즉시 통지 하여 드립니다.

하지만 해당 보험금 청구건과 관련된 보험금의 종류, 조사 필요사항 등 구체적인

지연 사유 없이 포괄적이고 일반적 지연 사유를 안내*하고 있음

* 해당 병원 의사 면담 일정 및 관련 사실확인 관계로 처리가 지연되고 있습니다.

<조치할 사항>

회사는 보험금 지급기일 초과 예상 건에 대해 구체적인 지연 사유를 기재하여

피보험자 등에게 통지하는 등 보험금 처리 지연 안내 업무를 개선하시기 바람

(4) 보험금 누락방지 업무 미흡

회사는 보험수익자가 정당하게 수령할 보험금이 누락되지 않도록 보험금 청구시

제출된 증빙서류의 기재내용을 기초로 관련 보장급부의 지급여부를 사전 점검해 주는 보험금 누락방지 시스템을 운용하고 있음

하지만, (구)신한생명-(구)오렌지라이프 합병 이후 통합시스템(S-Life) 구축으로 시스템

변경사항이 발생하였음에도 2019년 6월 작성된 ‘보험금 누락방지 시스템 사용자 매뉴얼’에 변경사항을 반영하지 않고 검사종료일(2023.12.15.) 현재까지 그대로 사용하였음

또한, 단순 시스템 사용방법만을 안내한 상태로, 담보 등이 신규로 개발될 경우

동 담보 등이 보험금 누락방지 시스템에 적정하게 반영되었는지를 점검하여야 하는데도 동 점검을 위한 점검 방법·주기·기한 및 점검자 등 구체적인 점검기준이 마련되어 있지 않음

<조치할 사항>

회사는 시스템 변경사항이 있을 경우 매뉴얼에 적시에 반영하고, 담보 등이 신규로

개발될 경우 동 담보에 대한 보험금 누락방지를 위해 시스템 점검 방법·주기·기한 및 점검자 등 구체적인 기준을 마련할 필요가 있으므로 관련 업무를 개선하시기 바람

(5) 계리적가정 설정 업무 미흡

회사는 내규인 ｢보험계리업무운영규정｣ 제5조 제2항에 따라 최적기초율 산출에

있어 신뢰성 있는 경험통계 등을 고려하여 합리적으로 산출하여야 하고 그 과정에서 계리적 일관성을 유지하여야 함

그리고 금융감독원이 제시한 ｢ 보험회사 책임준비금 산출 및 수익인식 가이드라인｣

제3장 제3조 제3항에서 실손의료보험에 대한 갱신보험료 가정 산출 시, 1차년도 및 최종 수렴 시점의 위험손해율을 토대로 선형 모형을 사용하도록 규정하고 있음

하지만 회사는 실손의료보험에 대한 갱신보험료 가정 산출 시 2023년 통계를 사용

하지 않은데 반해 보험금 가정 산출 시 2023년 통계를 사용하는 등 통계 사용에 있어 일관성이 결여되었음

또한 회사 내규인 ｢실손 목표 손해율｣ 4.6(최종 산출 및 적용)에 따라 1차년도

및 최종 수렴시점의 합산비율을 토대로 실손의료보험 갱신보험료 가정을 위한 선형 모형을 설계하였으나, 이는 ｢보험회사 책임준비금 산출 및 수익인식 가이드라인｣에서 제시한 내용에 부합되지 않음

<조치할 사항>

회사는 내규인 ｢보험계리업무운영규정｣에 따라 실손의료보험과 관련한 경험통계

(보험금 및 위험손해율 등)를 일관되게 사용하고, ｢ 보험회사 책임준비금 산출 및 수익인식

가이드라인｣에 부합하게 위험손해율 산출 모형을 설계하시기 바람

(6) 보험상품 교육 및 안내자료 내부통제 미흡

회사의 보험상품 교육 및 안내자료 제작 등과 관련하여 아래 ㈎~㈐와 같이 미흡한

점이 있으므로 이를 개선할 필요가 있음

㈎ 보험상품 교육자료 관리 관련

회사는 2019년 5월 금융감독원 검사시 보험상품 교육자료 등 관리미흡에 대한

개선방안1)으로, 상품관련 교육자료에 소비자 보호를 마련한 ‘3대 기본 지키기2)’ 등을 포함하는 등 전면 개선하겠다고 하였음

1) 감사결과 조치요구사항 정리보고서(2020. 4. 10.)

2) 중요 상품설명, 청약서 등 자필서명, 청약서 부본 전달 첨부

하지만 2020년 4월 이후 제작된 상품 교육자료 중 일부*에 ‘3대 기본지키기’ 등이

충분하게 기재되어 있지 않음

* ㉯보험 등 교안 6건(상품 15종)

㈏ 보험상품 동영상 교육자료 관리 관련

회사는 보험상품 교육자료를 제작할 때 유관부서의 사전 검토 및 준법감시인의

승인을 받는 절차*(이하 “사전검토 및 승인 절차”라 함)를 운영하고 있음

* FC 사업그룹 교육자료 관리지침(2023. 2. 1. 제정), 준법감시업무규정(2023. 2. 1. 개정) 등

하지만 2023.2.1.~2023.11.30. 기간 중 회사 온라인 FC교육 게시판에 등록된 일부

‘상품 및 교육영상’ 자료 중 2건은 사전검토 및 승인절차 없이 제작·게시된 것으로 확인되었음

㈐ 종신보험 상품 안내자료 내용 관련

회사는 보험상품 안내자료 등에 상품의 특성 및 내용을 정확하게 기술하여 오인의

소지가 없도록 하여야 함에도, 일부 종신보험 상품 안내자료에 미흡한 점이 확인되었음

해약환급금 예시에서 해약환급금에 반영된 ‘납입완료 보너스1)’의 설명이 없어2)

예시된 해약환급금에 납입완료 보너스가 반영되지 않은 것으로 오인할 소지가 있음

1) 상품에 따라 ‘유지보너스’, ‘고액유지보너스’가 있음

2) ㉰보험 등 7건

<조치할 사항>

회사는 보험상품 안내 및 교육 자료의 제작 및 관리와 관련한 내부통제 절차를

준수하고 관련 내규 정비 필요성을 검토하시고, 유관부서간 업무 협조 체계도 강화하는 등 관련 업무를 합리적으로 개선하시기 바람

(7) 자산건전성 분류 업무 미흡

① 회사는 내규인 ｢자산건전성분류시행세칙｣에 따르면 매월말 차주의 채무상환

능력, 연체기간, 부도여부, 담보현황, 금융거래내용 등을 종합적으로 감안하여 보유자산의 건전성 분류를 하여야 함

특히, 유가증권의 경우 동 세칙에 따라 유가증권 건전성 분류 시 정량적 기준

이외에 기초자산 부실화 및 부도발생 여부, 이자･배당 중단 등 자산 가치에 영향을 미치는 사유를 종합적으로 고려하여야 함

하지만, 신용등급이 없거나 신용등급별 분류 기준을 적용하기 어려운 경우 수익

증권의 손실수준에 따른 분류 기준 외에 손상징후를 반영한 구체적 분류 기준이 없어 배당이 장기간 중단된 집합투자기구*에 대해서도 정상자산으로 분류한 사례가 있음

* ‘㉱’의 배당이 2018년 11월부터 중단되었음에도 취득가 대비 평가이익률 14∼31% 수준을 고려하여 ‘정상’ 자산으로 분류

② 회사는 내규인 ｢ 여신감리시행세칙｣ 에 근거하여 부실가능성에 따라 자산에 대한

모니터링 등급을 5단계*로 분류하고 여신감리 담당 부서는 각 모니터링 등급별로 동 세칙에 따라 관리하여야 함

* 정상, 관찰, 주의, 조기경보, 문제정리

동 세칙에서 모니터링 등급이 ‘주의’ 이하에 대해서는 신용등급 및 자산건전성

분류 하향에 대해 검토하도록 정하고 있음에도, 모니터링 등급이 ‘주의’이하인 일부 기업대출 자산에 대하여 자산건전성 등급 조정하면서 관련 검토기록이 없는 등 미흡한 사례*가 있음

* ‘㉲’에 대하여 매각 지연의 사유로 2022년 하반기 정기 여신감리에서 모니터링 등급을 ‘주의’로 분류하였으나, 신용등급 및 자산건전성 분류 하향 검토없이 2023년 3분기까지 ‘주의’로 유지

<조치할 사항>

① 회사는 이자･ 배당의 지연 또는 중단, 공사 지연 또는 중단, 기한이익 상실(EOD)

사유 발생 가능성, 투자조건 조정협의 등 손상징후를 반영한 구체적 자산건전성 분류 기준을 마련하는 등 자산건전성 분류기준을 합리적으로 개선하시기 바람

② 기업여신에 부여하는 모니터링 등급에 따른 자산건전성 등급 조정 결정시 관련

자료의 기록관리를 철저히 하는 등 기업대출 자산건전성 분류 절차를 개선하시기 바람

(8) 특별계정 단기자금 차입절차 미흡

｢ 보험업법｣ 제108조 및 ｢ 보험업법 시행령｣ 제53조에 따르면 보험회사는 퇴직보험

계약에 대해 특별계정을 설정하여 운영할 수 있으며, 특별계정에 속하는 자산은 다른 특별계정에 속하는 자산 및 그 밖의 자산과 구분하여 회계처리하여야 하며, 특별계정별로 자산의 100분의 10 범위내에서 일반계정으로부터의 만기 1개월 이내의 단기자금을 금융 위원회가 정하여 고시하는 금리 기준으로 차입할 수 있도록 허용하고 있음

회사는 2022.12.30. 퇴직보험계약으로 설정된 특별계정의 유동성을 확보하기 위하여

일반계정으로부터 4,600억원을 만기 1개월이내 단기자금으로 차입하였으나, 이에 대한 의사결정을 대주(貸主)인 운용전략팀이 아닌 차주(借主)인 특별계정운용팀이 품의한 후 담당임원의 전결로 처리하였음

또한, 동 단기자금 차입 이후 차입금액을 변경하여 만기 1개월 이내로 갱신계약*을

진행하면서 차주인 특별계정운용팀이 상환금액, 차입금액 및 적용이자 등을 재무담당 임원의 합의 및 담당임원 전결로 처리하였음

* 금융위는 만기 1개월 이내의 단기차입을 갱신하는 경우도 거래상대방 또는 차입금액에 변경이 있는 경우로서 갱신계약의 기간이 만기 1개월 이내라면 새로운 단기자금 차입에 해당한다고 해석

회사는 단기차입 금리*를 금융투자협회에서 제공하는 차입일 또는 차입일 이전의

동일만기 RP금리로 정하고 있으나,

* 보험업법 시행령상 차입일에 자본시장법 제355조에 따른 자금중개회사를 경유한 동일만기 자금 거래의 중개금리(종가)를 의미하나, 차입일에 동일만기 자금거래가 없는 경우에는 명확한 기준 없음

2023.4.21.~2023.5.19. 기간(28일) 중 1,600억원 단기자금 차입금리를 적용하는데

있어 동일 차입기간의 2023.4.11. 거래 28일물 RP금리(3.64%)가 아닌 차입일로부터 가장 최근 거래된 2023.4.12. 거래 30일물 금리(3.55%)를 적용함으로써 특별계정에서 일반계정 으로 이자 1,105만원*을 과소 지급한 사실이 있음

* 1,600억원 × (3.64% - 3.55%) × 28 / 365 = 11,046,575원 (시정 완료)

<조치할 사항>

회사는 특별계정이 일반계정으로부터 자금을 차입할 경우 특별계정의 자산운용을

담당하는 부서가 일반계정의 자산운용을 담당하는 부서에 자금을 요청하고, 일반계정의 자산운용을 담당하는 부서가 차입(대출)금 및 차입(대출)금리에 대한 품의를 진행하도록 하는 등 절차를 합리적으로 개선하시기 바람

또한, 차입일과 차입기간이 동일한 RP거래 금리를 적용하기 불가능한 경우 합리적인

금리 적용기준 등 관련 내부통제를 마련하시기 바람

(9) 고객확인업무 운영체계 미흡

회사는 내규인 ｢ 자금세탁방지업무규정｣ 제20조에 따라 금융거래를 하는 때에 자금

세탁행위 등에 이용되지 않도록 실제소유자 확인 등 특정금융정보거래법 제5조의2에 따라 실제소유자 확인 등 고객에 대하여 합당한 주의를 기울이기 위해 신규계약시 고객 거래확인서, 주주명부, 법인등기부등본, 사업등록증 등을 고객으로부터 제출받고 있음

계약 담당자는 고객이 제출한 서류를 바탕으로 실제소유자를 확인하고 계약관리

시스템에 입력하고, 입력된 실제소유자를 준법감시팀에서 검증하여 실제소유자 정보가 잘못된 경우 계약 담당자에게 통보하고 서류 및 입력내용을 보완하도록 하고 있음

하지만 법인의 실제소유자를 확인하고도 계약관리시스템에는 대표자를 실제 소유자로

등록하는 등 고객확인 정보를 일부 오기재하였고, 준법감시팀에서는 시스템에 입력된 정보로 검증하여 계약담당자에게 보완요청 후 보완완료 여부를 확인하지 않는 등 일부 고객검증 관련 미흡한 사례가 있음

<조치할 사항>

회사는 고객확인 정보의 전산 오기재를 방지하기 위해 관련 서류 확인 및 준법

감시 재검증 절차를 철저히 하는 등 관련 내부통제를 강화하시기 바람

(10) IT부서 자체감사 업무 불합리

*에 따르면, IT부서 자체감사자는 IT업무 전반을

회사 내규 ｢ ICT자체감사시행세칙｣

독립적이며 공정하게 감사해야 함

* (주요내용) 업무와 관련된 모든 문제에 대해 독립적이며 공정하게 감사업무 수행 및

정기감사는 정해진 주기에 따라 전반적인 IT업무 프로세스에 대해 실시

하지만 IT부서 자체감사자가 본인의 인사고과권자(DX기획챕터장) 업무인 IT기획

업무를 감사하는 등 감사업무의 독립성 확보가 어려운 구조로 운영하였음

또한, 20개 IT영역*에 대해 연 1회 정기감사를 실시하고 있으나 감사 영역을 IT부문

(DX그룹) 내로 국한하고 있고, 내규에 정보보호부문(정보보호팀) 업무에 대한 자체감사에 관한 사항이 부재하며 감사 실시 이력도 없음

* 내부통제 규정, 인력‧조직 및 예산, 정보기술계획 수립‧추진, 외부주문 등 준수사항,

비상대책 등 수립‧ 운용, 감사 결과 이행, 단말기 보호대책 등

<조치할 사항>

IT부서 자체감사자에 대한 평가체계를 개선*하여 감사업무의 독립성을 확보하고,

정보보호팀 업무에 대한 자체감사 실시를 위한 근거 내규를 마련하시기 바람

* 예시. IT부서 자체감사자 평가는 CIO(DX그룹장)가 평가

(11) 이벤트 관련 수집정보 파기 미흡

신용정보제공·이용자는 개인(신용)정보 수집‧ 이용시 정보주체로부터 받은 동의서에

부합하도록 이용하고 목적달성 후에는 동의서에 명시된 파기절차를 이행해야 함

하지만 회사는 2019. 2. 설계사 세일즈 플랫폼 ‘옴니(OMNI)’ 구축 후 이벤트를 실시

하면서 이벤트 참여자에게 받은 동의서에 ‘보유기간 경과시 수집정보 전체를 파기’하는 것으로 명시하였으나, 참여자 개인식별정보는 파기하고 ‘이벤트 설문 답변 상세’ 정보 (101,659건)를 파기하지 않았음

<조치할 사항>

회사는 수집정보에 대해 주기적으로 보유 근거 및 파기 여부를 검토하여 보유기간이

경과된 수집정보를 적시에 파기하시기 바람

(12) IT아웃소싱 관리 업무 불합리

회사는 IT통합 이후인 2022. 9. G 와 IT도급계약을 체결하고 최초로 서비스수준협약

(SLA : Service Level Agreement)을 마련‧ 운영하면서, 평가결과에 따른 페널티·인센티브에

대해 1년간의 계도기간을 거친 후 적용하기로 하였음

하지만 2023. 4. 재계약시 1년간의 평가결과가 변별력이 없다는 사유(평균 94.5점)로

페널티·인센티브를 적용하지 않았고, 이에 따라 동 IT도급계약의 서비스 품질수준이 저하될 우려가 있음

또한 평가항목별 평가기준을 착오 적용한 사례가 다수 확인*되었음

* 착오 평가 이력 10회 존재(※ 누적 착오평가 점수 : 107.7점 → 정정 평가점수 : 89.3점)

<조치할 사항>

회사는 SLA 따라 외부주문 업무에 대한 정확한 평가를 실시하고, 외주부문 서비스

품질수준을 관리할 수 있도록 페널티·인센티브 적용 방안 등을 마련·운영하시기 바람

(13) IT계약 및 검수 업무 미흡

회사는 내규 ｢계약규정｣ 및 ｢구매업무시행세칙｣에 따라 검사대상기간 동안 총

292건의 정보시스템 구축 및 도입 계약을 체결하면서

관련 내규에 입찰보증금 및 제안평가 항목‧ 배점에 대한 사항을 마련하지 않았으며,

이에 따라 입찰보증금 없이 입찰을 실시(45건)하여 낙찰자의 계약 포기시 페널티 부과가 곤란하거나 재입찰로 인해 사업이 지연될 우려가 있음 또한, 평가방안을 사전에 설정하지 않고* 계약을 체결(39건)하여 공정성 문제가 제기될 우려가 있고, 최종 의사결정권자 결재전 사업을 미리 착수하여 계약체결전 구축사에게 인력‧장비 투입 부담을 가중시킨 계약(38건)과 검수 목표일 이후 검수를 완료한 검수 지연 계약(82건)이 있음

* 기술‧가격 평가 비중만 사전 승인 후 제안서 접수 후 평가방안 확정

<조치할 사항>

회사는 관련 내규를 보완하여 계약체결시 입찰보증금 및 제안평가 항목‧ 배점 기준 등

미비한 부분을 보완하고, 계약체결 및 검수 소요 기간이 충분히 확보되도록 관련 절차를 개선하는 등 IT계약 및 검수 업무를 충실히 이행하시기 바람

(14) 정보시스템 취약점 점검 방식 및 사후관리 미흡

내규 ｢정보보호시행세칙｣에 따라 회사는 전자금융기반시설 및 홈페이지에 대한

취약점 분석·평가업무를 외부기관(H, I)에 위탁하여 주기적으로 수행하고 있음

취약점 분석·평가시 객관성을 확보할 수 있도록 가급적 보유한 정보자산 전체를

평가 대상으로 선정해야 하고, 점검결과에서 확인된 중요 취약점은 즉시 조치해야 하며 불가능한 경우 단기·중기·장기 이행계획을 수립해야 함

하지만 회사는 2023년 H 등 외부기관에 취약점 분석·평가를 위탁하면서 전체

정보자산의 약 8.6%만 대상으로 선정하여 취약점 점검을 실시하였으며, 발견된 취약점에 대해 즉시 조치가 필요한 사항인데도 이행 기간을 1년으로 수립하여 다음 연도 점검시 동일·유사한 취약점이 반복해서 발견됨

또한, J에 취약점 분석평가 결과 보고시 동일 유형을 합산하는 방식으로 취약점

건수를 축소 보고*한 사례가 있음

* (사례) 51개 서버에 취약점이 확인되었으나, 동일한 유형의 취약점(운영체제 지원기간 종료) 이라는 사유로 1개의 취약점으로 집계 및 보고

<조치할 사항>

회사는 취약점 분석·평가시 중요 정보자산이 제외되지 않도록 평가대상 선정기준을

마련하고 평가대상을 확대할 필요가 있으며, 취약점에 대한 합리적인 조치기간 및 보고 기준을 마련하는 등 취약점 분석·평가 관리체계를 개선하시기 바람

(15) 백업 전산자료 검증업무 미흡

내규 ｢ 백업 및 소산관리 시행지침｣ 에 따라 회사는 백업(소산) 데이터의 정상 복구

여부를 검증하기 위해 연 1회 이상 복구 테스트를 실시하고 있음

하지만 복구 테스트 수행시 테스트 대상 데이터를 일부 시스템1)으로 한정하고

그 외2)는 복구 테스트를 실시하지 않아 비상상황 발생시 주요 백업 데이터가 적시에 복구되지 않을 우려가 있음

1) 2019년～2022년 일괄작업(Batch) DB서버, 2023년 개인신용정보 DB서버의 데이터

2) 일괄작업(Batch)·개인신용정보 DB서버 외 시스템의 데이터, 소산자료(백업 테이프 등), 파일시스템 등

<조치할 사항>

회사는 주요 시스템의 소산자료(백업테이프 등), 파일시스템 등 백업 데이터에

대한 복구 테스트를 수행하는 절차를 마련하는 등 백업 데이터의 복구 테스트 대상을 확대하시기 바람

(16) 정보시스템 성능관리 미흡

내규 ｢ 시스템운영시행지침｣ 에 따르면, 정보시스템의 성능저하 또는 용량부족으로

인한 장애를 예방하기 위해 업무의 중요도 및 운영환경 등을 고려하여 성능관리 대상 시스템을 선정하고 성능 추이를 분석해야 함

하지만 회사는 성능관리 대상 선정을 위한 구체적인 평가 기준을 마련하지 않고

처리계(보험 핵심시스템), 홈페이지 및 모바일앱 등 일부 주요 시스템에 대해서만 성능 추이를 분석하고 있음

그 외 콜센터 등 대고객 시스템에 대해 실시간 성능 모니터링은 실시하고 있으나,

성능 추이분석 대상에는 제외하고 있어 성능 부족으로 인한 장애 예방 조치가 적시에 수행되지 않을 우려가 있음

<조치할 사항>

회사는 업무 중요도 및 운영환경을 고려하여 성능관리 대상 선정 기준을 수립하고,

선정된 시스템의 전산 자원 사용량 추이 등을 체계적으로 관리하는 등 정보시스템 성능 관리 기준 수립·운용방법을 개선하시기 바람

(17) 이용자 정보 변환 및 사후확인 절차 미흡

내규 ｢정보보호시행세칙｣에 따라 이용자 정보를 데이터 변환 솔루션을 이용하여

테스트시 변환하여 사용하고 있음

하지만 회사는 테스트데이터 변환 신청시 변환 대상, 이용목적, 사용자, 사용기간,

승인자, 폐기 절차 등이 포함된 구체적인 내부 기준을 정하고 있지 않아

업무담당자가 이용자 정보 중 변환 대상을 직접 선택할 수 있고, 테스트 종료

후 데이터 삭제 여부에 대한 점검이 이루어지지 않고 있어 이용자 정보 변환이 누락 되거나, 테스트 완료 후 변환 데이터가 삭제되지 않을 우려가 있음

<조치할 사항>

회사는 테스트시 데이터 변환 관련 구체적인 기준을 마련하고, 테스트 종료 후

삭제 여부를 주기적으로 점검하는 등 이용자 정보사용에 대한 통제를 강화하시기 바람

(18) 모바일 앱 프로그램 통제 미흡

회사는 모바일 앱 보호를 위해 앱 위·변조 방지, 키패드 보안, 모바일 백신, 통신구간

암호화 등의 보안대책을 적용하고 있음

하지만 전자금융거래 모바일 앱 배포용 단말기(2대)를 앱 배포 사이트 외에는 접속

되지 않도록 관리하지 않아 모바일 앱 자료 유출 시 배포용 단말기 정보 등을 이용한 피싱앱*이 유포될 우려가 있음

* 회사 공식 모바일 앱으로 가장하여 개인정보 유출 또는 금전결제를 유도하는 악성앱

또한, 업무담당자가 형상관리시스템을 통하지 않고 업무용 단말기에 보관 중인

프로그램으로 모바일 앱 배포도 가능하여 책임자의 승인을 받지 않고 모바일 앱이 배포 되거나, 업무담당자 착오 등으로 구버전의 모바일 앱이 배포될 우려가 있음

<조치할 사항>

회사는 모바일 앱 배포용 단말기는 앱 배포 사이트에만 접속을 허용하고, 모바일 앱

프로그램은 형상관리시스템을 통해서만 배포될 수 있도록 시스템을 개선하시기 바람