유진투자증권주식회사 금감원 경영유의사항 · 2020-11-04

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 유진투자증권㈜

2. 조치일 : 2020. 11. 4.

3. 조치내용

대상

내 용

기관

경영유의 3건, 개선 15건

대상

내 용

기관

경영유의 3건, 개선 15건

4. 조치대상사실

가. 경영유의사항

(1) 금융사고 예방을 위한 내부통제 강화 필요

201X.X.XX.~201X.X.XX. 기간 중 󰋮󰋮본부 직원이 SPC 관련 통장 및 인감을 임의* 반출하여 ◊◊회에 걸쳐 XX.X억원을 본인 명의 은행 계좌로 이체하는 등의 방법으로 자금을 횡령한 사실이 있는 바, 향후 SPC의 통장과 인감 등의 보안매체는 분리하여 관리하고, SPC 계좌 관련 거래내역을 문자메시지로 통보받아 확인하는 체계를 마련하는 등 금융사고 재발 방지를 위한 내부통제를 강화할 필요가 있음

(2) 리스크 한도관리 철저 필요

▣▣▣▣▣본부는 검사대상기간 중 ◎◎◎◎본부의 일부 특정 거래 유형 등에 대해 한도 관리 절차를 소홀히 운용한 사실이 있고, 장기금리구조화 상품 발행시 시스템 노후 등으로 리스크(VaR)를 적절하게 평가하지 못하여 VaR 한도 관리가 미흡한 측면이 발견되었는바 리스크 한도관리를 보다 철저히 할 필요가 있음

(3) 임직원 자기매매 내부통제 강화 필요

◉◉◉◉◉ 직원이 자신이 보유하고 있는 종목에 대해 리서치 보고서를 작성하거나 담당 업종의 종목을 매매한 사례가 있으며, 고유재산 매매 종목을 ▤▤▤▤▤(고유재산 운용부서) 직원이 매매하는 등 임직원 자기매매에 대한 내부통제가 적절히 이루어지지 못하고 있는 바, 불공정거래 등 위법․부당행위를 사전 예방할 수 있도록 관련 규정 및 시스템을 개선하는 등 임직원 자기매매 관련 내부통제를 강화할 필요가 있음

나. 개선사항

(1) 메신저 저장기록 관리 등 개선 필요

K-Bond 메신저의 백업이 누락되어 채권매매·중개 관련 주문·체결과정이 저장되지 않은 사실이 있고, 메신저 백업시스템 오류로 메신저 내용이 복제되지 않은 사실이 있으며, 동 시스템의 정상작동 유무를 외부 용역업체의 점검에만 의존하고 ○○○○○○팀 자체적인 주기적 점검은 실시하지 않고 있는 바, 메신저 기록의 정상 저장여부 등을 모니터링할 수 있도록 시스템을 개선하는 한편 시스템의 정상작동 유무를 주기적으로 점검할 필요가 있음

(2) 일임 및 신탁 집합주문 체계 개선 필요

△△△△△△팀은 매매주문을 집합처리하는 경우 일임계좌에 대해서는 사전 자산배분 명세를 서면으로만 관리하고 있고, 신탁계좌에 대해서는 사전 자산배분 후 시스템 입력을 일부 누락한 경우가 발견되므로, 이를 개선하여 사전 자산배분 내역을 체계적으로 관리할 필요가 있음

(3) 자사 채권 등 발행절차 개선 필요

□□□은 일부 자사 채권 등의 발행시 ▽▽▽▽팀으로 하여금 매수인을 물색하게 하여 중개거래 형태로 거래를 하고 있으나, 자사 채권 등의 발행이라는 거래의 실질과 ▽▽▽▽팀의 중개라는 거래의 형식이 서로 맞지 않는 측면이 있으므로 거래의 실질에 맞도록 자사 채권 등 발행시 업무형태 등을 개선할 필요가 있음

(4) 투자자정보 파악을 위한 설문문항 보완 필요

투자권유 전 투자자의 투자목적․ 재산상황 및 투자경험 등의 정보를 파악하기 위해 사용하는 투자자정보 확인서의 설문 문항 중 재산상황, 투자목적 파악을 위한 항목이 금융투자협회 ‘표준투자권유준칙’의 예시․권고사항에 비해 간소하게 구성되어 있어 고객의 투자성향 파악이 미흡할 우려가 있으므로 이를 보완할 필요

(5) IT부문 감사체계 불합리

① 자체감사자는 내규「□□□□□□」에 따라 보안업무에 대한 일일감사를 실시하여야 하는데도 일일감사에 필요한 감사 범위, 항목 등을 마련하지 않은채 일일감사를 실시하지 않고 있어 일상적인 보안업무에 대한 내부통제가 취약해질 우려가 있으므로, 자체감사자로 하여금 보안업무에 대한 일일감사가 실시될 수 있도록 일일감사에 필요한 구체적인 감사 범위, 항목 등을 내규에 마련하여 일일감사를 실시하시기 바람

② 자체감사자는 내규「□□□□□□」에 따라 전자금융업무와 관련된 전산장애 발생 시 특명감사 등을 통해 장애원인 및 재발방지 대책의 적정성을 규명하여야 하는데도 특명감사를 실시하지 않고 있으므로 전자금융업무와 관련된 전산장애 발생 시 자체감사자의 특명감사 등을 통해 장애원인 및 재발방지 대책의 적정성을 점검하시기 바람

③ 자체감사자가 자체 감사업무 외에 네트워크 운영 업무를 겸임하고 있어 해당 업무 감사 시 이해상충의 소지가 있으므로, 자체감사자가 타 업무를 겸임하지 않도록 업무를 분리하여 감사업무의 독립성을 확보하시기 바람

④ 자체감사자는 IT담당임원 전결 이상의 IT예산 집행에 대해 일상감사를 실시하고 있으나 부서장 전결 등의 IT예산 집행, IT관련 규정 및 지침의 제·개정 건에 대해 일상감사를 실시하지 않고 있으므로, 부서장 전결 등의 IT예산 집행, IT관련 규정 및 지침 제·개정에 대해서도 일상감사를 통한 내부통제가 이루어지도록 관련 절차를 개선하시기 바람

(6) IT사업 추진현황 관리 미흡

내규「○○○○○○○」에 따라 현업부서 요구사항 및 IT부서 자체 사업계획 등을 포함한 연간 IT사업 추진계획을 수립하여 전산운영위원회 심의·의결후 추진하고 있으나, 201X.X월말 기준 총 ◆◆개 사업 중 ○○개(▲▲.▲%) 사업이 지연 또는 미추진되는 등 미추진 사업에 대한 사유, 재추진 여부 검토 등 사후관리가 제대로 이루어지지 않고 있어 중요한 IT사업의 수행에 차질이 발생할 우려가 있으므로, 전산운영위원회에서 IT사업 추진 타당성, 실제 수행 여부 및 사업별 우선 추진 순위의 적정성에 대한 심사를 강화하고, 미추진된 주요 IT사업에 대한 사유, 재추진 여부 등에 대해 전결권자 및 전산운영위원회 승인을 받는 등 IT사업에 대한 체계적인 관리 방안을 마련하시기 바람

(7) 비상계획 및 모의훈련 불합리

｢□□□□□□□□□□｣의 업무처리절차 및 비상인력 변동상황 등을 검토하여 개정하고 동 매뉴얼에 따라 매년 비상대응 모의훈련을 실시하고 있으나, 동 매뉴얼에 개인별 및 담당자별 상세 업무현황, 시스템 복구 절차 등이 누락되어 있고, 백업센터에는 동 매뉴얼(사본)을 보관하지 아니하여 비상사태 발생시 신속한 대응이 곤란해질 우려가 있으며 ▣▣ ▣▣▣▣ 직원은 비상대응 모의훈련에 참가하지 아니하고 일부 계정계 업무에 대한 데이터 복구 훈련후 영업점에서 데이터 검증만 실시하고 있어 실제상황 발생시 핵심업무에 대한 복구 목표시간(▲시간)을 초과할 가능성이 있으므로, 동 매뉴얼에 개인별 업무현황 및 시스템 복구 절차 등을 보완하고, 동 매뉴얼 사본을 백업센터의 내화금고에 보관토록 하는 한편, 비상대응 모의훈련 범위를 핵심업무 전체로 확대하고 비상대응 모의훈련에 ▣▣ ▣▣▣▣ 직원 및 IT부서 자체감사자가 참여하여 업무검증을 실시하는 등 모의훈련 체계를 개선하시기 바람

(8) 취약점 분석·평가 사후관리 불합리

내규「□□□□□□」에 따라 매년 정기적으로 전체 정보시스템에 대한 취약점 점검을 실시하고 발견된 취약점에 대한 조치 계획을 수립·이행하며 조치 결과, 조치가 불가능한 취약점(이하 “위험수용”) 등에 대해 최고경영자의 승인을 득하고 있으나 ▲▲▲시스템의 일부 취약점은 조치 비용 과다 발생 등의 부적정한 사유로 위험수용으로 처리하였음에도 동 잔존 위험에 대한 보완대책을 마련하지 아니하였으며, 위험수용으로 처리한 상세 사유, 미조치시 발생 가능한 문제점 등을 상세하게 기록·보고하지 아니하여 최고경영자가 보안 리스크를 인지하지 못할 우려가 있으므로, 앞으로 위험수용으로 처리시 취약점에 대해서 보안 위험도를 평가하여 위험수용으로 처리한 상세 사유, 미조치시 발생 가능한 문제점, 잔존 위험에 대한 보완대책 등을 마련하여 최고경영자에게 기록·보고하도록 관련 절차를 개선하는 한편, 부적정한 사유로 위험수용으로 처리한 취약점을 재검토하여 즉시 시정하시기 바람

(9) 내부자료 유출 방지대책 미흡

내부 전산자료 반출입 통제를 위해 □□□□시스템, ○○○○시스템, ◆◆◆◆◆◆시스템 등을 운영하고 자료 반출입시 책임자 등의 승인을 득하며 개인정보가 포함된 전산자료의 반출내역과 보안USB 보유현황에 대한 점검을 수행하고 있으나, 일부 직원(X명)에게 문서보안해제, 자료 반출 등의 자가결재 권한을 부여하면서 사용이력, 사용기간 등에 대한 사전통제와 전산자료 반출내역의 적정성을 검토하지 않고, 보안USB를 신청사유 및 사용기간 등의 절차없이 팀·부점에 일괄 배포하였으며, 보안USB 보유현황 점검 전에는 미사용, 분실여부 등을 확인할 수 없는 등 보안USB 통제절차가 미흡하므로 사용이력이 남지 않는 자가결재 권한을 즉시 회수하고, 자료 반출입에 대한 자가결재 권한, 사용기간 등이 과도하게 부여되지 않도록 하며 전산자료 반출내역의 적정성을 검토하는 절차를 마련하고 보안USB는 신청사유, 사용기간, 책임자 승인 등의 신청 절차를 통해 배포하며 미사용, 분실한 보안USB를 신속히 회수할 수 있도록 관련 절차를 마련하여 내부 전산자료 반출·입 통제를 강화하시기 바람

(10) 정보처리시스템 운영체제 관리 미흡

전자금융거래 서비스 제공 등을 위해 운영 중인 일부(XX대) 정보처리시스템의 운영체제(Operating System)가 기술지원이 종료되어 신규 취약점 발생 시 해당 취약점에 대해 보완이 곤란하므로, 해당 운영체제를 사용하는 정보처리시스템에 대해 운영체제 업그레이드 등의 조치 계획을 마련하여 신속히 조치하시기 바람

(11) 이상거래탐지시스템 운영 불합리

전자금융거래 시 발생하는 이상거래를 탐지하기 위한 이상거래탐지시스템(Fraud Detection System)을 구축·운영하면서, 이상거래탐지를 위해 등록한 □□개 정책 중 ▲▲개 정책은 이상거래 탐지 시 본인인증, 거래차단 또는 이상거래 사실내용 통보 등의 확인절차를 마련하지 않고 ○○개 정책은 ‘XX년 이후 탐지 건수가 한건도 없음에도 해당 정책의 추출기준의 적정성을 검토하는 절차를 마련하지 않고 있으므로, 이상거래탐지시스템에 등록된 정책에 대한 유효성 검증을 재실시하여 중요도에 따라 본인인증, 거래차단 또는 이상거래 사실내용 통보 등의 확인절차를 마련하는 한편, 탐지 실적이 없는 정책에 대해 정기적으로 유효성 검증을 통한 정책의 적정성 등을 검토하는 절차를 마련하여 운영하시기 바람

(12) 재해복구센터 대외기관 통신망 운영 미흡

주전산센터 재해 발생에 대비하여 재해복구센터를 구축하고 주전산센터 외 재해복구센터에도 업무제휴 등의 목적으로 대외기관 간의 통신회선 구축을 통해 비상상황에 대비하고 있으나, 업무 중요도가 높은 일부(X개) 대외기관에 대한 통신회선을 마련하지 않고 있으므로, 재해복구센터와 해당 대외기관 간의 별도의 통신회선을 마련하여 주전산센터 재해 등에 대비하시기 바람

(13) 정보시스템 감리 기준 불합리

내규「□□□□□□□」에 따르면 정보시스템 구축 사업으로서 사업비가 XX억원 이상인 경우 감리를 실시하며, XX억원 미만의 경우 감리 비용 대비 효과가 낮다고 IT담당임원이 인정하는 경우 제외하도록 하고 있으 검사대상기간 중 사업비 XX억원 이상의 정보시스템 구축 사업을 추진한 사례가 없어 감리실적이 없고, XX억원 미만의 정보시스템 구축 사업은 IT담당임원 구두승인만으로 감리대상에서 제외한 채 감리를 실시하지 않고 있어 사후에 IT담당임원의 감리 제외 승인여부에 대한 확인이 어려우므로, 앞으로 동 내규를 개정하여 감리 실시 기준 금액을 하향 조정(예: X억원 이상)하고, 감리 실시 기준 금액 이하의 정보시스템 구축 사업에 대해 IT담당임원의 감리 대상 제외 승인으로 감리를 미실시하는 경우에는 관련 내용을 해당 사업 품의서 등에 포함하는 등 정보시스템 감리 절차를 개선하시기 바람

(14) 프로그램 변경관리시스템 요청절차 미흡

내규「□□□□□□」에 따라 프로그램 변경요청 시 요청부서는 프로그램 변경관리시스템에 전산처리 의뢰서를 작성하고, IT부서는 프로그램 변경완료 후 요청부서의 전산처리 완료 확인서를 근거로 프로그램을 운영시스템에 반영하고 있으나, 내규에 전산처리 완료 확인서에 대한 내용이 반영되어 있지 않고, 프로그램 변경관리시스템에 해당 전산처리 의뢰서 및 전산처리 완료 확인서를 첨부하지 있지 않은 채 해당 문서번호만 입력하고 있어 요청부서의 요청내용과 확인내용을 파악하기 어려우므로, 내규에 전산처리 완료 확인서에 대한 내용을 반영하고 프로그램 변경관리시스템에서 개별 변경건에 대한 전산처리 의뢰서 및 전산처리 완료 확인서의 내용을 바로 확인할 수 있도록 프로그램 변경관리시스템을 개선하시기 바람

(15) 원장변경 요청절차 불합리

내규「□□□□□□」에 따라 전산원장 변경은 전산원장 변경 전후 내용 자동기록, 변경 내용의 정당여부에 대한 제3자 확인, ○○○○○○팀의 승인 등 일반 프로그램 변경 등의 전산처리 요청에 비해 강화된 변경 통제를 실시하고 있으나, 전산원장 변경에 대한 신청서가 별도 존재하지 않아 전산기기 신청 등에 사용하는 전산처리 의뢰서를 통해 요청이 이루어지고 있어 전산원장 변경에 대한 분류가 어려워 전산원장 변경 통제 절차를 누락 할 우려가 있으므로, 전산원장 변경 요청을 위한 신청서를 마련하고, ○○○○○○ 팀장이 전산원장 변경요청처리 내역에 대해 점검할 수 있도록 관련 화면을 개발하여 일별로 점검하시기 바람