제주은행 금감원 경영유의사항 · 2024-05-20

경영유의사항 등 공개안

1. 금융기관명 : ㈜제주은행

2. 제재조치일 : 2024. 5. 20.

3. 제재조치내용

4. 제재대상사실

가. 경영유의사항

(1) 기업 익스포져 한도 관리 업무 강화

은행은 내규 ｢계열 및 개별기업 Exposure Limit 운용지침｣ 제5조에 따라 신용등급별

신용공여 한도를 초과하는 경우 한도 이내 감축을 원칙으로 하되 부득이한 경우 리스크 관리운영위원회의 예외 승인을 받아야 하며 이후 여신감축 방안 등 대책을 마련하여 매분기 이행현황을 점검하고 이러한 신용공여한도 관리 상황을 동 위원회에 보고하여야 하는데도,

한도초과 예외 적용 승인을 받은 일부 법인에 대한 구체적인 감축 계획 이행 등

관리현황에 대한 보고가 부실하고, 신용공여 사항이 포함된 특정 차주와의 계약에서 A부서의 사전 검토 절차 없이 신용공여 한도 초과 관련 원칙 및 예외 승인 절차 준수를 저해할 우려가 있는 조항*을 명시한 사실이 있으므로,

* ‘B병원-제주은행’간 금고업무 취급약정 체결시 병원이 차입을 필요로 하는 경우 은행은 이에 응 하여야 한다는 등의 내용을 포함시킴

앞으로 예외 승인에 따른 감축 계획을 요구받은 업체에 대한 감축 이행현황 점검

및 신용공여한도 관리 상황 보고 업무를 강화하고, 신용공여 관련 사항이 포함된 여타 계약에 대한 A부서의 사전 검토 절차를 마련할 필요가 있음

(2) 유효이자율 산출 시스템 노후화 및 점검 미흡

은행은 지주 내규「그룹재무보고규칙」제3절 등에 따라 유효이자율을 산출하여 충당금

산정의 개별평가의 이자율 등으로 활용하고 있으므로 정확한 충당금 산정을 위해 유효 이자율을 정확히 산출해야 하나

차주별 3개 그룹(가계, 기업, 기타)으로 구분하여 중도상환금액을 합산하되 계좌

경과연수는 연단위로 세분화하여 계좌 특성 또는 연수별로 중도상환율이 적절하게 산출 되지 못하고* 있고, 월단위로 산출된 중도상환율을 연단위로 환산하는 과정에서 소수점 전체 절사로 인해 평균값이 왜곡되고 있으므로

* 차주별로 가계, 기업, 기타 등 3개로 포괄적으로 묶어 상품별 특성을 감안할 수 없고, 연단위의 지나친 세분화로 인해 평균값의 왜곡 발생

앞으로 유효이자율의 구성요소별 기초자료와 산출 과정의 적정성에 대한 점검을

강화하여 유효이자율 산출 프로세스를 합리적으로 개선할 필요가 있음

(3) 비대면 개인신용대출 엘리트론 관련 심사 전략 미흡

은행은 기존에 대면 판매상품으로 설계한 우량직군 개인신용대출 상품인 엘리트론의

판매 범위를 확대하여 2019.10월부터 비대면 우량직군 개인신용대출 엘리트론을 출시 하였으나, 연체율이 급증함에 따라 중금리 고객 대상 평가모형(NPML 및 다중채무 ML 등급)을 기반으로 하되 불량률(연체기간 30일을 초과한 여신의 비중)이 아닌 6등급 초과 고객은 거절하는 필터링 방식으로 심사하고 있으나,

다양한 직군(공무원, 상장기업, 병원직군 등)을 우량직군으로 묶어 하나의 상품으로

설계하여 직군의 특성에 맞는 심사 전략이 부족하고, 우량직군을 대상으로 중금리 평가 모형을 사용하여 모형의 적합성이 떨어지며, 필터링 방식 사용으로 인해 정교한 심사 전략이 부족하므로

앞으로 직군별 연체현황을 분석하여 대상 직군을 조정하거나 상품을 세분화하고,

비대면 채널 환경·고객의 성향을 반영할 수 있도록 모형을 정교화하는 등 여신 심사 전략을 체계적으로 수립하여 운영할 필요가 있음

(4) 영업점별 현금보유인허액 배정기준 합리화 및 현금시재 관리 강화

내규 ｢자금 규정｣ 제12조, ｢자금관리지침｣ 제25조 등에 따라 자금부는 은행전체의

현금통화보유인허액 범위 내에서 배정기준*을 고려하여 각 영업점별 현금통화보유인허액을 배정하며, ｢자금관리지침｣ 제27조에 따라 각 영업점은 영업점별로 배정된 현금통화보유 인허액 이내에서 현금을 보유하도록 관리해야 하고, 자금부는 은행 전체적으로 적정한 현금통화를 보유하도록 하기 위하여 영업점별 현금통화 보유에 대한 내부금리 보상 또는 부담조치를 할 수 있으나,

* ①각 영업점별 산출된 현금통화보유 인허액, ②각 영업점별 과거 6개월간 보유한 현금통화 평균잔액,

③각 영업점이 관리하는 CD/ATM기 수, ④기타 영업점별 현송 및 불입 실적, 출납모점 등 고려요인

은행 C부가 영업점별 현금통화보유인허액을 배정할 때 전월 기준 영업점별 예수금 월

평균잔액만을 반영*하고 영업점별 과거 평균 현금보유액, 관리대상 ATM 수 등 영업 특성 및 기타요인을 고려하지 아니하여, 일부 지점이 현금통화보유인허액을 상시 초과 하여 내부금리 부담조치를 지속적으로 부과받거나, 일부 지점의 현금통화보유인허액이 합리적인 수준을 크게 초과하여 설정되고 있고

* 영업점별 현금통화보유인허액 = 예수금 월평균잔액 × 지급준비율(요구불예금 %, 기타 %) × %

2022.12월 기준 12개 영업점이 각 영업점별 한도를 초과하여 현금통화를 보유하는

등 영업점 현금시재 관리를 강화할 필요가 있음에도, ①사무담당명령내역상 출납책임자 지정(입력) 누락(H지점), ②자점검사시스템상 월별 특명감사 관련 현금시재 점검내역 미입력(L지점), ③외금고 및 내금고 열쇠 관리자 미분리(M부) 등 내부통제 미흡 사례가 발견되었으며,

N부는 영업점 현금시재 관련 점검을 수행하고 있으나 점검일정을 사전에 통지

하거나 직무분리 운영실태에 대한 점검이 일부 미흡*하므로,

* ① 연 2회 금융사고 예방활동, 영업점 내부통제 이행실태 점검 수행시 현금시재를 직접 점검하거나

영업점의 실직적인 점검 수행여부를 확인하고 있으나, 영업점별 점검일정을 사전에 통지 중

② 영업점 시재 관련 모출납‧책임, 금고관리 등 직무분리 운영실태에 대한 점검 미수행 등

금융사고 예방을 위해 영업점별 현금보유인허액 배정기준을 합리적으로 운영하고,

현금시재 관련 내부통제 운영 및 점검을 강화할 필요가 있음

(5) 상시감시 및 자점감사 업무 운영 강화

은행은 내규 ｢상시감시지침｣ 제5조 등에 따라 영업점과 본부부서의 이상거래를

상시감시하여 사고예방점검 등을 수행하여야 하며, 내규 ｢자점감사지침｣ 제4조, 제11조, 제20조의2, 제24조 등에 따라 영업점 및 본부부서가 일일감사, 월별감사 등 자점검사를 실시하도록 하고 부실이행 부점 및 직원에 대해 불이익조치를 부과하며, 자점감사 점검 등을 통해 파악한 내부통제 취약점에 대해 재발방지대책 등을 마련하고 내부통제기준을 정비하여 보고하여야 하나,

검사기준일 현재 은행의 상시감시 모니터링 업무를 N부 소속 검사역 1명이 전담

하고, 본부부서가 자점검사를 일부 누락하는 등 운영이 미흡함에도 본부부서 자점검사에 대해 실질적 점검을 수행하는 인력이 없는 등 상시감시 및 자점검사 업무를 보다 실효성 있게 운영할 수 있는 수준의 준법감시인력 확보가 부족하고,

상시감시 및 자점검사 수행 결과 지적사항이 반복적으로 발생하고 있음에도 이에

대한 근본적 원인 분석, 내부통제 취약점 및 제도‧시스템 등 개선, 관련 보고 등 N부의 관리체계가 미흡한바,

은행의 상시감시 및 자점검사 업무를 보다 실효성 있게 운영할 수 있는 수준의

준법감시인력을 확보하고, N부의 관리체계를 강화할 필요가 있음

(6) 내부통제 점검절차 강화

은행은 내규 「내부통제규정」 제18조, 「준법감시인직무규정」 제5조 및 제10조, 「상시

감시업무지침」, 「자점감사지침」에 따라 자점감사 및 상시감시를 수행하고 매월 법규 준수 이행실태를 점검하여 그 결과를 N부에 보고하고 있으며, N부는 매월 상시감시 결과 및 준법감시보고서를 점검하고 6개월(영업점) 또는 1년(본부부서)마다 내부통제 이행실태를 점검 중이나,

본부부서의 내부통제 위반사례가 발생하였음에도 내부통제 점검결과보고서상 해당

항목이 적정한 것으로 나타나는 등* 내부통제 이행실태 및 법규준수 이행실태 점검시 대다수 점검항목을 ‘적정’으로 평가**하여 실효성이 떨어지고 점검이 형식적으로 수행될 우려가 있으며,

* 2019～2021년 중 업무보고서 지연 보고 사례가 발생하였으나 동 기간 내부통제 이행실태 점검시 금융감독원 앞 제출여부가 적정한 것으로 평가

** 2022년(영업점은 2022년 하반기) 내부통제 이행실태 점검시 본부부서 대상 171개 점검항목 전체, 영업점 대상 45개 점검항목 중 40개 항목에 대하여 적정한 것으로 평가하였으며, 2022년 중 법규 준수 이행실태 점검결과(본부부서 12회, 영업점 12회 실시) 모두 ‘특이사항 없음’으로 보고 내부통제 이행실태 점검 및 사고예방 점검시 조치요구사항이 현지에서 구두로 전달

되거나 단순 지도로 종결되는 등 요구사항 및 정리내용이 기록·관리되지 않아 조치 요구사항에 관한 사후관리가 미흡하고

상시감시 및 자점감사 결과 점검시 동일·유사한 내부통제 위반사례가 지속적으로

발생하였음에도 준법감시인 명의의 경고 등 주의를 환기할 수 있는 조치가 취해지지 않아 동일한 지적사항이 반복되고 있으므로,

내부통제 점검항목, 방법 및 관련 시스템을 보완하고 점검에 따른 사후관리를 강화

하여 내부통제 점검의 실효성을 제고할 필요가 있음

(7) 외부기관 계약관리 강화

은행은 금고업무를 취급하는 과정에서 사전 안내된 입찰공고나 은행 제안서에 포함

되지 아니한 특약을 계약서에 추가하여 특약이 없는 경우보다 추가로 이자를 지급할 수 있는 계약을 체결하는 등 수익성에 부담이 발생할 우려가 있으므로

외부와의 계약을 체결하는 과정에서 불합리한 조항에 대한 검토를 철저히 하고

관련 수익성 분석을 강화하는 등 수익성 관리를 철저히 할 필요가 있음

(8) 제주 기반 특화 디지털플랫폼 사업 운영실태 점검 강화

은행은 2018.7월 출시한 ‘제주 기반 특화 디지털플랫폼’(O)이 새로운 수익원이 될 것

으로 기대하며 연간 소요비용으로 2018년 억원, 2019년 이후 억원을 예상(마케팅 비용 별도)하였으나, 「은행법」상 부수업무로 인정받거나 혁신금융서비스로 지정받지 못해 ‘금융’서비스와 접목이 어려운 점 등의 이유로 수익을 창출하지 못하고 있어 수익성에

부담을 줄 우려가 있음에도 상당 수준으로 투입되는 마케팅 비용의 타당성에 대한 검토가 이루어지지 아니하고 있으므로

플랫폼 관련 전략방향 점검, 전반적인 효과 분석(수익성 포함) 등 성과 평가 부분이

경영진, 이사회에 정기적으로 보고될 수 있도록 관리 절차를 강화하고, 마케팅 비용 등의 세부적인 분석을 통해 비용 지출의 적정성을 점검하는 등 관리를 강화할 필요가 있음

나. 개선사항

(1) 이사회 구성의 집합적 정합성 및 운영의 실효성 제고

㈎ 이사회 구성의 집합적 정합성

사외이사 4인 가운데 3인이 경영학･회계학 교수로 구성되어, 특정한 공통의 배경,

직업군으로 편중됨에 따라 이사회 심의시 특정분야에 대한 심의 기능이 약화될 우려가 있으므로, 이사회 구성의 집합적 정합성을 개선하시기 바람

㈏ 사외이사 평가제도

은행의 모든 사외이사에 대한 모든 평가결과가 우수 등급 이상으로 도출됨에 따라

평가의 변별력이 없어 그 결과를 사외이사 연임에 활용하겠다는 제도 취지가 구현되기 곤란하고, 평가 주체별 평가 반영 비중 가운데 자기평가 반영 비중(%)이 타 금융지주사 (0%~20%) 대비 높은 수준으로,

사외이사 평가 시 합리적이고 객관성 있는 평가지표를 마련하여 평가자들이 참고할

수 있도록 하고, 주체별 평가 비중도 합리화하시기 바람 ㈐ 사외이사 임기제도

내규 ｢지배구조 내부규범｣ 제12조 등에 따라 사외이사의 임기는 2년 이내로 하되

연임 시 임기는 1년 이내로 운영하고 있으나, 모든 사외이사의 임기만료가 2024.3월로 동일하여 업무의 연속성이 저해되고 경영진에 대한 견제기능이 약화될 소지가 있으므로,

사외이사 임기가 동시에 만료되지 않도록 적정한 임기정책 방향을 마련하여 운영

하시기 바람

㈑ 이사회 의사록 작성 기준

이사회 논의․의사결정의 객관성과 투명성을 확보하기 위한 방안 중 하나인 이사회

의사록 작성과 관련한 내규가 부재하므로,

작성 기한 등을 명시한 의사록 작성 절차를 내규로 마련하시기 바람

(2) 경영진 성과보수 환수체계 개선

㈎ 성과급 환수비율 지침 부재

내규 「경영진 평가 및 보수규정」, 「PS 운영규정」등에서 장·단기 성과급의 환수 사유*를 규정하고 있어 환수 사유가 발생하는 경우 소관 위원회** 결정에 따라 경영진의 장·단기 성과급을 환수할 수 있음에도 불구하고, 내규 등에 성과급 환수비율에 대한 가이드라인 등이 없어 전적으로 소관 위원회에 의해 환수여부 등이 결정되므로,

* ① 고의 또는 과실로 은행의 이익에 반하는 행위를 하거나 손해를 초래하는 행위를 한 경우

② 금융감독기관의 감봉 또는 문책경고 이상의 제재를 받은 경우 등

** 단기성과급의 경우 보수위원회, 성과연동형 주식보수(PS)의 경우 이사회에서 결의

환수비율 등을 합리적으로 운영할 수 있도록 가이드라인을 내규에 마련하여 성과급

환수비율에 대한 기준을 명확히 하시기 바람

㈏ 오류·부정 등으로 인한 재무제표 정정 관련 환수체계

「금융회사의 지배구조에 관한 법률」(이하 “지배구조법”) 제22조 및「금융회사 지배

구조 감독규정」 제9조 등에 의하면 성과보수 지급의 기준이 되는 재무제표가 오류 또는 부정 등으로 인하여 정정되는 경우 기지급된 성과보수는 정정 내용을 반영하여 조정하도록 규정하고 있음에도, 성과보수 관련 내규인 「경영진 보수 및 평가규정」, 「PS 운영규정」 등에 동 사항을 반영하고 있지 않으므로,

재무제표 정정시 성과보수 조정 관련 절차 및 내용을 관련 내규에 반영하여 환수

업무체계를 정비하시기 바람

㈐ 환수 관련 보수위원회 역할 제고

은행은 내규 「경영진 보수 및 평가규정」에서 PS 성과급 환수* 등의 경우 보수 위원회 심의 절차 없이 보수위원회가 아닌 이사회에서 환수를 결정토록 규정하고 있어 보수위원회에서 보수의 결정, 지급방식에 관한 사항을 심의·의결토록 한 ｢지배구조법｣의 취지에 부합하지 않으므로

* 단기성과급의 경우 보수위원회에서 환수 여부를 결정

기존 부여된 PS 성과급 등을 환수하는 경우 보수위원회를 경유하는 공식 절차를

거치고, 추후 부여되는 PS 성과급 등을 환수하는 경우 이사회가 아닌 보수위원회에서 환수결정을 하도록 관련 내규를 개선하시기 바람

(3) 경영진 성과 분석·평가 관련 운영실태 개선

㈎ 은행장 성과 평가항목

금융회사는 건전한 보수체계를 마련하여야 한다는 「지배구조법」 제22조에 따라

은행장 성과평가시 장·단기지표로 나누어 평가하고 있으나, 장·단기 성과 지표에 자본 적정성 항목이 미반영되어 있고 수익성 지표가 다른 지표에 비해 높은 비중으로 책정되어 있어 불합리하므로,

향후 자본적정성 지표를 포함하고 수익성 지표의 비중을 적정하게 반영할 수

있도록 은행장 성과 평가체계를 합리적으로 개선하시기 바람

㈏ 경영진에 대한 주기적 성과분석 업무

내규 「경영진 보수 및 평가규정」을 통해 정기적으로 경영진에 대한 성과분석을

실시하도록 규정하고 있으나, 주기에 대한 기준이 모호*하여 업무의 예측가능성이 떨어지고, 실제 성과분석 실시가 없는 경우(2018·2019년)도 있었으므로,

* 제16조(평가시기) ② (중략) 정기적으로 성과분석을 실시한다

경영진에 대한 개별 성과분석의 주기를 내규에 명확히 규정하도록 개정을 추진하는

등 성과 평가업무를 체계화하시기 바람

㈐ 중도퇴임 경영진에 대한 성과평가

수립된 성과보수체계에 따라 경영진 각각에 대해 개별평가가 이루어져야 함에도

당해 연도에 장기간 근무 후 중도 퇴임한 경영진에 대하여 별도의 평가를 하지 않고 후임자가 받은 평가로 갈음한 바 있으므로,

중도 퇴임하는 경영진에 대한 별도 평가가 이루어질 수 있도록 보수위원회의 성과

보수체계 수립시 관련 내용을 반영하는 등 건전한 성과평가 이행체계를 정립하시기 바람

(4) 사회공헌활동 운영실태 개선

㈎ 사회공헌성 기부금 관련 직무전결기준 체계화

내규「직무전결기준」에 따르면 금액*을 기준으로 사회공헌성 기부금의 전결권자를

나누고 있으나, 이에 맞는 전결권자의 결재 없이 노사협약만을 근거로 기부금을 집행**한 사례가 있으므로,

*000만원 이하 소관 부장, 0,000만원 이하 담당 임원, 0,000만원 초과 은행장

** 2021.6.29. 기부금 0.0억원 집행(→P재단)(은행장·Q위원장간 협약)

향후 사회공헌성 기부금을 노사협약을 근거로 집행하는 경우 동 협약 외의 집행

근거를 직무전결기준에 추가하는 등 관련 직무전결 규정을 체계화하시기 바람

㈏ 사회공헌성 기부금 관련 출연금 관리지침 기준 현실화

내규 「출연금 관리지침」상 10억원을 초과하는 사회공헌성 기부에 대하여 동 지침에

근거한 출연금실무위원회*에서 심의하도록 규정하고 있으나, 2018.6월 ~ 2022.12월 기간중 기부금은 건당 평균 0.0억원, 최고 0.0억원으로, 사회공헌성 기부금 전건이 출연금실무 위원회의 심의없이 직무전결에 따라 집행되었으므로, 동 지침상 사회공헌성 기부금액 기준을 현실화하시기 바람

* 구성 : 부행장 2인, R부장, S본부장, T부장 및 해당 부서장

㈐ 통일적 사회공헌성 기부금 집행 지침 부재

내규 「직무전결기준」에 근거하여 소관부서(U부 V팀)를 통해 검사대상기간 중 총

00억원(000건)의 사회공헌성 기부금을 집행하였으나, 집행되는 사회공헌성 기부금 지급업무 의 공정한 관리를 위한 통일적·체계적 운영 원칙, 일반 출연금과는 다른 사회공헌성 기 부금 집행 시 특별히 고려할 심사항목, 영업점을 활용한 기부제도 등이 포함된 기부금 집행에 대한 지침이 부재하므로,

사회공헌성 기부에 대한 지침을 마련하여 기부금 집행의 적정성을 제고하시기

바람

㈑ 지역밀착화사업 관리 강화

은행은 지역경제 및 기반고객 활성화 등을 목적으로 W과 컨소시엄으로 제주 지역 화폐「탐나는전」운영대행사로 선정되어 사업을 영위* 하고 있으나 본 사업은 「직무전결

기준」상 ‘지역밀착화사업’에 해당함에도 이를 「지방자치단체와의 금고계약 체결」로 파악 하고 관련문서를 결재(은행장)하여 ｢직무전결기준｣을 준수하지 않았고**, ㉡사업영위 중인 현재 까지도 컨소시엄인 W과 비용분담에 대한 내부계약내용이 확정되지 않는 등 해당 사업에 대한 관리가 미흡하므로

* 사업기간(3년) : 2023.1.1. ~ 2025.12.31.

** 직무전결기준상 ‘지역밀착화 사업’ : 계획수립 및 방안설정 담당임원, 실행 및 운영관리 부장

전결기준 준수를 위한 절차 개선 및 컨소시엄 사업 추진 시 내부계약 관리 절차

강화를 포함한 지역밀착화사업 관리 강화방안을 마련하여 개선하시기 바람

(5) 임직원 금융투자상품 매매 신고 및 점검 개선

내규 ｢임직원 윤리경영 실천지침｣ 및 ｢이해상충방지지침｣에 따라 금융투자상품

매매 신고대상 임직원이 월별 또는 분/반기별 금융투자상품 매매내역을 익월 15일 또는 익월 말까지 준법시스템을 통해 신고하도록 하고, 동 신고내역에 대해 점검자*가 위반 여부**를 점검하여 준법감시인에게 통보하도록 규정하고 있으나,

* (직원 대상) 소속부점장

(부점장‧ 임원 대상) 준법감시인

** ① 업무수행 과정에서 취득한 미공개정보를 이용한 증권 거래행위

② 직무관련 업체의 미공개주식을 무상 또는 시가보다 저렴하게 취득하는 행위

③ 은행과 임직원 개인간 이해가 상반되는 증권 거래행위

신고대상 금융투자상품의 범위*를 내규 등에 명확하게 정하고 있지 않으며,

검사대상기간 중 N부가 부점별 금융투자상품 매매 신고기한 준수 여부만 파악하여 내부통제 부문 평가에 반영하고, 소속부점장 또는 준법감시인이 직원‧부점장‧임원의 신고내역의 적정성 및 규정 위반여부 등에 대한 점검을 실시하지 아니하고** 있으므로,

* (예) 상장 지분증권, 상장 지분증권 관련 사채권, 장외거래 매매 주권, 장내파생상품 등

** 점검의무자가 신고내역 관련 위반사항 등 점검결과를 보고하는 체계가 구축되어 있지 않고, 금융 투자상품 매매 신고시스템상 개인별 신고내역 입력 후 자체 확정이 모두 완료되면 준법감시 담당자가 부점별 신고내역을 확정 중

신고대상 금융투자상품의 범위를 명확히 하여 내규 등에 반영하고, 금융투자상품 매매

신고시스템을 개선하여 임직원의 신고내역에 대해 부점장 또는 준법감시인이 점검내역 등을 입력할 수 있도록 하며 미신고 또는 허위신고 등을 포함한 신고내역에 대한 점검을 강화하는 등 임직원 금융투자상품 매매 신고 및 점검업무를 체계적으로 개선하시기 바람

(6) 내규 및 매뉴얼 관리 개선

내규 ｢내규관리규정｣에 따라 소관부서장은 내규가 상위규범에 저촉되지 아니하고

항상 최신의 내용을 정확하게 유지할 수 있도록 주기적으로 점검･관리하여야 하며, N부 장은 내규의 정비가 필요한 사항에 대하여 소관부서장에게 내규의 제정‧개정‧폐지를 요구 할 수 있으나,

은행의 내규에 법규 제‧개정 사항이 반영되지 않거나1), 업무담당 및 직제규정

개정에 따른 내용이 반영되지 않은 사례2)가 있으며, 일부 내규 및 매뉴얼3)이 현행 업무를 반영하지 못하거나 장기간 동안 정비되지 않는 등 내규 및 매뉴얼 관리가 미 흡하므로

1) ｢이해상충방지지침｣(2017.1.19.)에 ｢금융소비자 보호에 관한 법률｣ 관련 사항 미반영 등

2) 2022.7.1. 부서 변경(X부→R부, Y부→U부, Z본부→AA부 등)에도 불구하고 ｢ 계약지침｣ , ｢전자금

융업규정｣, ｢BPR업무 운영지침｣ 등에 미반영

3) 출납규정(2022.11.8.), 펀드표준판매 매뉴얼(2017.1.16.), 준법감시 매뉴얼(2012.6.1.), 구속행위 관 련 업무처리 매뉴얼(2013.1.1.) 등

내규 및 매뉴얼 등을 면밀히 검토하여 법규 제‧개정사항, 업무담당 및 직제규정

변경사항 등을 반영하여 개정하고, 내규 관련 사전심의 업무를 전산화하여 내규 제‧개정, 장기간 미정비 내역 등에 대한 관리체계를 강화하는 등 내규 및 매뉴얼 관리를 개선 하시기 바람

(7) 약관 작성 및 운영 업무 개선

내규 ｢약관 작성‧운영에 관한 지침｣에 따라 약관 소관부서는 약관 제정‧변경시

N부의 사전심의를 받고 금융감독원 보고 및 공시를 기한 내에 이행하여야 하나,

은행 N부는 소관부서에서 사전심의를 요청한 사항에 대해서만 사전심의 업무

를 수행하며 사전 심의대장을 수기로 관리하는 등, 약관 제정‧변경 관련 사전심의 절 차의 누락 여부, 금융감독원 보고 및 약관 공시 관련 지연, 누락여부 등을 방지하거나 점검하는 체계 및 절차를 운영하고 있지 아니하므로,

약관 사전심의 업무 관련 전산시스템을 구축하여 약관 작성 및 운영에 대한

관리체계를 강화하고, 약관 관련 대외 보고 및 공시의무 이행을 준수하기 위한 알림기능 등을 운영하며, 소관부서의 업무처리를 실질적으로 점검하는 등 약관 작성 및 운영 업무를 개선하시기 바람

(8) 사고예방제도 운영 개선

은행은 내규 「인사규정」 등에 따라 강제명령휴가, 순환근무, 겸무제한(직무분리)

등 사고예방제도를 운영중이나,

2020년~2022년중 본부부서의 강제명령휴가 실시비율이 저조하고*, 연중 명령

휴가 이행 미흡으로 준법감시부 요청에 따라 특정기간에 집중적으로 명령휴가가 실시 되는 등 강제명령휴가의 형식적인 운영으로 인하여 제도의 목적을 달성하는데 한계가 있으며,

* 강제명령휴가 실시비율 : 2020년 00%, 2021년 00%, 2022년 0%

사고예방제도 운영 관련 부서별, 영업점별 명령휴가 대상자 및 실시자, 순환

근무 대상자 및 예외대상자, 장기근무자, 직무분리 대상 직무 및 직원 등에 대한 이행 현황 점검 및 평가를 위한 관리체계가 마련되어 있지 않으므로,

실질적인 운영이 가능하도록 관련 시스템을 보완하고, 실제 이행현황 점검 및

평가·보고 절차를 체계적으로 구축하는 등 사고예방제도의 운영을 개선하시기 바람

(9) 준법감시부문 성과평가 개선

은행은 내규 「준법감시인 직무규정」에 따라 영업점 및 본부부서의 준법감시업무

실적에 대하여 평가를 실시하고 그 결과를 업무성과 평가에 반영하도록 평가담당부서 에 요청하고 있으나,

본부부서 평가시 전체 부서에 최고점을 부여*하거나 영업점 평가시 전체 영업점에

감점 사례가 없는 등** 평가의 실효성이 떨어지는 항목이 다수 포함되어 성과평가의 취지를 훼손할 우려가 있고,

* 2022년 본부부서 평가시 ‘준법감시부 교육 참여’ 등 4개 항목에 대하여 전체 부서 만점 평가

** 2022년 하반기 영업점 평가시 상시감시 지적사항 등 7개 세부평가 항목에 대하여 전체 영업점 만점 평가

평가대상 근거자료가 구체적으로 정해지지 않았거나 평가시 관련 자료를 확인할

수 없는 항목이 있는 등* 평가대상 증빙자료가 체계적으로 관리되지 않아 평가결과가 왜곡되거나 평가자에 의하여 자의적으로 진행될 가능성이 있으므로,

* 본부부서의 N부 교육 참여, 규정 등 제·개정 절차 준수, 계약서 관리상태 적정성, 내부통제 기준 위반 여부 평가시 담당자가 관련문서를 수기로 확인하여 평가 진행

부서 및 영업점 간 변별력이 낮은 평가 항목을 보완하고 N부의 조치건을 평가에

반영하는 등 평가 측정방법을 변경하여 평가체계를 강화하며 평가 증빙자료에 대한

체계적인 관리방안을 마련하여 성과평가 업무를 개선하시기 바람

(10) 대출모집법인에 대한 내부통제 개선

은행은 온라인 대출모집법인과 대출성 상품의 판매대리·중개업무에 관한 위·수탁

계약을 체결*하였으므로 금융상품판매대리·중개업자가 업무를 수행할 때 법령을 준수 하도록 관리하여야 하고 이를 이행하기 위한 내부통제기준을 마련하여야 함에도,

* 2022.2.17. 주식회사 AB와 위·수탁계약 체결 후 해당 대출모집법인의 중개건 건에 대하여 대출계약 체결(대출실행금액 .억원) 및 모집수수료(만원) 지급

내규 「금융소비자보호에 관한 내부통제 규정」에 대리·중개업자에 대한 업무위탁

범위, 대리·중개업자에 대한 관리기준 등 소속 대출모집법인 관리방안에 관한 사항이 포함되어 있지 않고 별도의 관리기준 또한 마련되어 있지 않으며,

대출모집법인에 대한 교육, 광고물 점검, 영업행위 모니터링, 대출모집법인 관련

민원의 접수 및 처리내역 점검 등 내부통제 활동이 체계적으로 수행되지 않고 있으므로,

내규에 대리·중개업자에 대한 관리방안을 포함하고, 소속 대출모집인에 대한 교육,

광고물 점검, 영업행위 모니터링 등 내부통제 활동 수행 및 결과 보고를 위한 지침을 마련하여 대출모집법인에 대한 내부통제를 개선하시기 바람

(11) 재산상 이익제공 관련 상시감시 강화

「은행법」제34조의2 및「은행업 감독규정」제29조의3에 의하면 은행은 재산상 이익을

제공하는 경우 미리 준법감시인에게 보고하여야 하며, 내규「재산상 이익제공 및 부정 청탁금지 등에 관한 지침」제7조에 따라 이익제공 규모가 5백만원 이하의 소액 건 등은 이익제공일로부터 30일 이내에 준법감시인에게 사후보고 할 수 있도록 정하였음에도,

재산상 이익제공에 대한 보고 누락 시 경영평가에 반영하는 기준이 부재하여

2018.7.1. ~ 2022.12.31. 기간 중 재산상 이익제공 00건(00,000,000원)에 대해 사전보고 누락 또는 사후보고 기한을 경과하였음에도 이에 상응하는 조치가 이루어지지 아니 하였으므로

이익제공부서에서 경비를 집행하는 경우 재산상 이익제공 해당 여부를 철저히

확인하고 사전·사후 보고대상임을 확인할 수 있도록 시스템 개선 및 보고 누락 방지를 위한 내부통제 기준을 마련하여 경영평가에 반영하는 등 실효성 있는 상시감시 강화

방안을 마련하시기 바람

(12) 부동산PF대출 심사 및 사후관리 업무 개선

최근 부동산PF대출 취급액이 급증*하고 제주은행이 단독 취급(0건)거나 브릿지론(0

건)을 취급하는 등 부동산PF대출 취급에 따른 잠재리스크가 증가하고 있고,

* 부동산PF대출 관련 여신 추이 : (2020년) 억원 → (2021년) ,억원 → (2022년) ,억원

경기침체 등으로 일부 부동산PF 사업장의 사업진행이 지연되거나 분양률이 저조한

사업장이 발생하고 있으며, 부동산PF대출 심사 및 사후관리 업무와 관련하여 일부 미흡한 사례*가 나타났으므로

* ① 부동산PF대출 심사 시 차주의 자기자금 투입비율 등 확인이 미흡한 사례(자기자금 투입비율

과대 산출) 및 신용평가 등이 미흡한 사례(분양 경쟁력 검토 및 미분양 등 위기상황 분석 미흡)

② 부동산PF대출 관련 정기 신용평가 미실시 사례(2022년 0건)

③ 부동산PF대출의 사업진행상황 확인 등 사후관리 미흡 사례

(AC부의 부동산PF 사업장별 사업진행상황의 확인 업무 운영 및 경영진 보고 등이 미흡, 본점 여신승인 이후 영업점의 채권보전 조치 등의 적정 이행 여부를 확인하는 절차 미비)

부동산PF대출 심사 시 차주의 자기자금 투자규모에 관한 심사기준을 마련하고,

보수적으로 분양 경쟁력 평가 및 위기상황분석을 실시하는 등 여신 심사업무를 개선하는 한편, 부동산PF대출의 채권보전 조치 이행* 및 사업장의 진행상황** 등에 대한 사후관리 업무를 개선하시기 바람

* 본점 승인여신에 대해 AC부가 영업점의 채권보전 조치 등의 적정 이행 여부를 확인하는 절차 마련

** ｢부동산PF 사업장별 사업진행상황 점검표｣의 보고양식을 정비하고 매월 경영진에 부동산PF 사후관리 현황을 보고

(13) 리스크관리 업무의 보고체계 및 사후관리 절차 개선

리스크관리운영위원회(위험관리위원회 하위 회의체)가 위험관리위원회의 위임을

받아 여신정책, 여신 포트폴리오 운영 및 한도관리에 관한 사항 등을 결정하고 있으나, 리스크관리운영위원회 운영 현황 등에 대한 위험관리위원회의 통할기능에 미흡*한 측면이 있고,

* 위험관리위원회(분기 1회 개최)에 여신 포트폴리오 운영 등에 관한 리스크관리운영위원회의 의결 사항이 안건목록 및 처리결과 중심으로 지나치게 축약 보고되고 있는 등 위험관리위원회가 여신 포트폴리오 운영 현황 등을 정확히 파악할 수 없음

T부가 내규 ｢리스크관리지침｣에 따라 신규 사업(상품) 등 추진 시 리스크리뷰(사전

협의)를 수행하고 매년 1회 조치요구사항에 대한 사후 모니터링을 실시하고 있으나, 2022.8월 현재 다수의 조치요구사항이 장기간 이행되지 않는 등 사후 모니터링이 미흡* 하게 운영되고 있으므로

* 조치요구사항 총00건 중 0건이 조치 미이행 상태(특히 0건은 2020년～2021년중 조치요구사항임)

위험관리위원회 등의 리스크관리 업무에 대한 통할기능을 강화하고 T부의 리스크

리뷰 결과 조치요구사항에 대한 사후관리 절차*를 개선하시기 바람

* 사후관리 주기를 단축(연 1회 → 분기별) 및 책임자 변경(CRO → 리스크관리운영위원회)

(14) 신용평가 업무 개선

본점의 신용평가 대상*인 경우 본점 심사역(신용조사역)에게 신용등급의 확정권한을

부여(심사역 1인 단독 전결)하여 본점 심사역이 신용평가를 단독 수행함에 따라 객관적인 평가근거에 의하지 않고 주관적으로 관대하게 평가할 우려*가 있고

* 비재무항목 평가 시 객관적･ 구체적인 평가근거를 생략하고 있으며, 위기상황 분석 등을 낙관적

으로 평가(100% 분양률 가정)하는 사례가 있음 T부가 부동산PF대출(특수모형)의 정기 신용평가 실시 현황 등을 관리하지 않아*

정기 신용평가가 실시되지 않은 사례(2022년 0건)가 있으므로,

* T부가 내부등급법 사용 승인을 받지 않은 부동산PF대출(특수모형)에 대해 사후관리하지 않음

본점 신용평가 등급의 확정 권한을 합리적으로 개선(전결권 상향 등)하고, T부의

기업 신용평가 운영 현황에 대한 사후관리 업무를 개선하시기 바람

(15) 충당금 집합평가 미래경기전망승수 산출 방식 개선 등

한국채택국제회계기준(K-IFRS)에 따르면, 은행은 기대신용손실 측정을 위하여

미래전망정보를 반영할 때 기술적이고 기계적인 접근방법으로 기대신용손실을 측정하는 것은 경제적 실질을 반영하지 못할 수 있으므로 현재 상황에 대한 정보를 충분히 반영 하여 기대신용손실이 측정되어야 함에도,

비소매 미래경기전망 변수가 개(민간소비증감률과 CD금리)에 불과하고,

P-Value*를 점검하지 않아 소매 미래경기전망 변수 중 설명력이 부족한 변수(설비투자 증감률)가 포함되었으며,

* 관찰된 데이터의 검정통계량이 귀무가설(설정한 가설이 진실할 확률이 극히 낮아 처음부터 버릴 것이 예상되는 가설)을 지지하는 정도의 확률(통상 α<0.05 경우 우수)

비소매 및 소매 미래경기전망의 신뢰도(결정계수)가 .에 불과하여 관련 변수를

기초한 부도율 예측의 신뢰도가 낮고, 소매 미래경기 전망 승수가 .에 불과하여 최근 가계여신의 연체율 추이를 감안할 때 보수성이 충분히 확보되지 않았으므로,

앞으로 은행에 맞는 경제 변수를 발굴하여 전망의 신뢰도를 높이고, 최근 경제

상황 외에도 은행 내부적인 건전성 지표 추세를 고려하여 기대신용손실의 보수성을 강화하도록 하는 등 미래경기전망 산출 방식을 개선할 필요가 있음

(16) 리스크 종합상황판 임계수준 산출 방식 개선

은행 내규 ｢리스크관리지침｣ 제23조에 따라 경영환경에 영향을 줄 수 있는

리스크 요소들을 주기적으로 파악하여 선제적인 리스크관리를 도모하고 이에 따른 선제적 대응을 위하여 리스크 종합상황판*을 운영하고 있으나,

* 연체율 등 주요 지표에 임계치를 설정하여 주의, 위험 경고를 표시

리스크 종합상황판은 과거 1년간 시계열 데이터만을 기반으로 하고 있어 충분한

표본에 근거한 안정적인 임계치를 설정하기 힘들고, 경기순응적으로 임계치가 설정되어 임계치를 설정하는 본연의 목적이 퇴색될 수 있으며,

특히 신용카드 연체율은 과거 1년간 수치가 지나치게 높아 재무목표치를 감안

하여 임계치를 낮게 조정함에 따라 신용카드 연체율과 여타 여신 연체율의 임계치 설정 기준 간 통일성이 결여되어 있으므로

앞으로 임계치 설정을 위한 시계열 분석시 적정한 기간의 데이터를 바탕으로

안정적이고 보수적인 임계치를 설정하고, 각 지표의 임계치를 합리적이고 통일적으로* 설정하는 방법을 정립하는 등 임계수준 산출 방식을 개선할 필요가 있음

* (예) 연체율, 연체전이율 등 일관된 기준으로 임계치 설정

(17) 출연금 관리지침 개선

내규 「출연금관리지침」제7조, 제8조 등에 의하면 건당 1억원을 초과하는 출연금 집행

결정 시 출연금실무위원회의 심의를 통해 결정하되 위원장이 필요하다고 인정하는 경우에는 문서합의로 심의할 수 있고 출연금실무위원회가 연1회 이상 출연결정모형의 적정성을 점검

하도록 하고 있으나,

은행은 2018.7.1.~2022.12.31. 기간 중 AD도 금고은행 선정 관련 출연금 제안 과

정에서 위원장이 필요하다고 인정한 경우에 해당하지 않는데도 문서합의로 심의 절차를 진행하였으며 은행의 출연금 규모*를 고려할 때 출연결정모형의 운영은 실효성이 낮으므로,

* 출연 대상기관 종류가 타 은행 대비 소수

위원장의 승인이 있는 경우에만 문서합의를 통해 출연금 집행 결정을 심의하고

합리적인 출연금 집행을 위해 출연금 한도 산출 기준을 출연결정모형이 아닌 다른 방식 으로 보완하는 등 출연금 집행 절차를 개선하여 이를 반영한 관리지침을 마련하시기 바람

(18) 유동성 위기상황 비상조달계획 수립의 합리성 제고

내규 「유동성리스크관리지침」제29조 등에 따라 위기상황분석(Stress Test) 실시

및 비상조달계획을 수립토록 정하였으나, 조달가능금액(=최대조달금액 × 조달가능비율) 산정 시 ①최대조달금액에 대해 평시 자료를 이용하고, ②조달가능비율에 대해 합리적 근거가 부재하거나, 조달이 어려울 수 있는 수단에 대해 낙관적*으로 전망하여 추정의 합리성이 의심되므로,

* AE은행 콜머니 및 외화차입금에 대해 한도 전액 또는 대부분이 조달 가능할 것으로 예상하였으나, 시장 전체적 심각한 위기시 동 수단을 통한 자금조달이 원활하지 못할 가능성 존재

자금조달 수단별 조달가능금액 산정시 과거 위기당시의 경험 또는 통계 자료

등을 활용하여 보다 합리적으로 추정하는 등 위기상황에서의 실질적 조달가능 여부를 명확히 파악하여 계획의 적정성을 제고하시기 바람

(19) 유동성리스크 모니터링 등 강화

내규 「유동성리스크관리지침」제8조 등에 따라 유동성 한도관리지표로 실질

유동성갭비율을 이용하고 있으나, 자산·부채 만기구조에 따른 갭(GAP)과 갭(GAP)비율은 별도로 관리하지 아니하여 과거 경험과 다른 예상치 못한 충격으로 위기상황이 발생할 수 있으며, 자산·부채 듀레이션 조정이 어렵고, 두 지표의 갭비율 값의 유의적 차이가 존재함

한편, 49개의 예·적금 상품(잔액 ,억원) 중 34개의 상품(잔액 ,억원,

.%)이 비대면 해지가 가능하여 뱅크런 등 발생 시 단기간 내에 심각한 자금유출이 예상됨에도 위기 시 감내할 수 있는 충격의 수준이나 대비책을 별도로 마련하지 아니

하여 리스크 관리가 미흡할 가능성이 존재하므로,

유동성리스크 모니터링지표로 자산·부채 약정액에 기반한 만기구조를 포함하여

기존에 활용하던 실질유동성갭비율과 병행으로 관리하며 현재의 갭을 완화하는 방향 으로 지속 모니터링하고, 뱅크런과 같은 위기상황이 발생하는 경우 감당 가능한 충격의 수준 추정 및 대응책을 마련하여 경영진 등에 정기적으로 보고하는 절차를 마련하시기 바람

(20) IT계약업무 절차 준수 강화

내규 ｢계약지침｣ 및 계약관리시스템을 통해 계약업무를 수행하고 있으나, 일부

계약 절차에서 미흡한 점이 발견*되어 계약업무의 공정성 및 객관성이 저하될 우려가 있으므로,

* ① 업무편의를 위해 경쟁입찰을 하지 않고 수의계약으로 진행, ② 입찰 공고시 계약지침의 공고 기간 미준수, ③ 유지보수 무상만료 일자 경과 후 계약 체결 등

IT계약업무 수행시 수의계약 체결의 적정성 점검, 입찰공고 기간 및 계약기한

준수 등 ｢계약지침｣에 따라 계약 업무가 수행되도록 계약업무 절차 준수에 대한 관리를 강화하시기 바람

(21) 법인카드 지출 내역 조회 권한 부여 불합리

내규 ｢전산운영지침｣ 제24조 등에 따르면 기본적으로 업무 수행에 필요한 최소한의

범위로 권한을 차등 부여하도록 하고 있으나,

법인카드 지출 내역을 조회 및 관리할 수 있는 별도의 시스템이 갖춰져 있지

않아 부서 총무에게 과도한 권한이 부여될 우려가 있으므로

업무에 필요한 최소한의 범위로 권한을 차등 부여하기 위해 법인카드를 관리

할 수 있는 별도의 시스템을 구축하시기 바람

(22) 전산장애 사후관리 미흡

내규 ｢장애 관리 절차서｣에 따라 상황관리 담당자는 장애 기록을 관리하고 장애

보고서의 재발방지대책이 적정하게 수립되고 실행되는지를 관리하고 있으나,

전산장애 보고서 등록 및 재발방지 대책 이행 등의 전산장애 사후관리 체계가

전산화 되어 있지 않고, 장애발생일자, 장애원인, 복구내용, 재발방지대책 등이 약식으로 기재된 ‘장애 기록 관리 대장’(엑셀)을 통해 관리하는 등 전산장애를 체계적으로 관리하지 아니하고 수기로 관리하고 있어

IT서비스요청(ITSR, Information Technology Service Request) 및 형상관리시스템과

연동되지 않을 뿐 아니라, 재발방지대책 이행 여부에 대한 사후점검 미흡, 업무 담당자의 실수로 인한 전산장애 등록 누락 등의 우려가 있으므로 장애관리 프로세스를 전산화하는 등 장애관리 업무 체계를 개선하시기 바람

(23) 프로젝트 관리 체계 미흡

내규 ｢전산개발지침｣에 따라 프로젝트 진행시 전산개발 의뢰 절차서의 처리절차

및 기준을 준용하고, 시스템 개발 단계별 일정 및 진척 등을 상세하게 관리하여야 하나,

‘모바일뱅킹(AF)시스템 재구축’, ‘감사시스템 재구축’ 및 ‘방카슈랑스 시스템 재구축’

등 진행 중인 사업들에 대한 일정 및 진척 현황 등의 내용을 수기(엑셀)로 관리하고 있어 프로젝트 일정관리 및 각 사업 단계별 산출물 관리 등이 부실하게 관리될 우려가 있으므로

앞으로 프로젝트 개발일정 및 산출물 등의 체계적인 관리를 위하여 프로젝트

관리시스템(PMS)을 도입하는 등 관리체계를 개선하시기 바람

(24) 정보화사업 예산 수립 및 관리 미흡

내규 ｢전산업무관리규정｣ 제5조 등에 따르면 정보화사업 추진 결정 전에 사업

추진 주관부서에서는 사업에 대한 분석을 실시하고, AG부장은 이에 대한 적정성 검토 후 사업을 추진 및 관리하며, ICT 전략위원회 등은 사업 추진 시 불필요한 투자 결정 방지 등을 위하여 추진하고자 하는 사업에 대해 심의·조정하여야 하는데도,

정보화사업 예산편성 과정에서 추진하고자 하는 사업들에 대한 AG부의 적정성

검토가 미흡하여 ICT전략위원회 등이 사업 추진이 어려운 사업들까지 모두 예산사업으로 결정함에 따라 결과적으로 정보기술 자본예산 집행률이 저조하는 등 정보화사업 예산 관리가 부실하므로

앞으로 정보화사업 예산 수립 시 AG부는 현업부서와의 사전협의 및 충분한 적정성

검토를 통해 불필요한 정보화사업의 예산편성을 지양하고, ICT전략위원회 등은 내실 있는 심의조정 기능을 통해 정보기술 자본예산을 결정하도록 하는 등 정보화사업 예산

수립 및 집행 절차를 개선하시기 바람

(25) 외부주문 개발실 출입통제 및 보안점검 미흡

① 외부주문 개발실 출입통제 미흡

내규 ｢통제구역 출입통제 절차｣에 따라 외부주문 개발인력이 상주하는 서울 개발실 (서울 명동 소재) 출입시 지문인식시스템을 이용하고, 외부인이 출입하는 경우 출입대장을 작성하는 등 출입을 통제하고 있으나,

출입내역 점검, CCTV모니터링 등이 이루어지지 않아 비인가자의 출입이 이루어

지거나, 필요시 출입자에 대한 사후 확인이 어려울 우려가 있으므로, 출입통제 정책을 강화하시기 바람

② 외부주문 보안점검 미흡

내규 ｢외주 보안 지침｣ 제4조 제13호에 따라 IT 및 정보보호 관련 업무 외부주문 시

중요 점검사항에 대해서는 매일 보안점검을 실시하고 있으나,

중요 점검사항에 대한 일일 보안점검을 실시하면서 항목별 점검내용을 상세히 기록

하지 않고 일자별로 정상 여부만 표시하는 등 형식적으로 점검하고 있으며

일일 보안점검 실시 결과에 대한 전자결재 또는 서면결재를 거치지 않고 담당자

PC에만 점검결과를 보관하고 있어 책임자 등에 의한 결재 이력 관리가 이루어지지 않고 있으며, 담당자 PC 고장 등으로 인해 관련 자료가 소실되거나 임의로 수정될 가능성이 있고,

개발 프로젝트 수행 등을 위하여 서울 소재 개발실을 운영하고 있음에도 원격지에

위치한 개발실에서 프로젝트를 수행하는 외주인력의 보안점검 항목 준수 여부에 대해 주기적인 현장점검*을 실시하지 않는 등 외부주문 보안점검 활동이 미흡하므로

* 검사대상기간중 AH에 대한 현장 보안 점검 활동은 2022.9.2.(금) 1회 실시

중요사항에 대한 일일 보안점검 시 항목별 점검대상, 점검결과 및 특이사항 등

점검내용을 상세히 기록·관리할 수 있도록 보안점검 양식을 개선하고, 결재 이력 등을 체계적으로 관리할 수 있도록 점검결과를 정보처리시스템으로 관리하는 한편, 서울 개발실 등 원격지에서 근무하는 외주인력에 대하여 주기적으로 현장점검을 실시하는 등 외부주문 보안점검 업무를 개선하시기 바람

(26) 테스트 데이터 변환 절차 불합리

내규 ｢테스트 원장 관리 절차서｣에 따라 업무 책임자의 사전승인 후 테스트 환경

으로 데이터를 이관하고, 사전에 자동 변환 항목으로 지정*된 이용자 정보는 이관 시 테스트 데이터 변환솔루션(Data-AID)을 통해 자동으로 변환되고 있으나,

* 실명번호, 여권번호, 한글성명, 영문성명, 생년월일, 전화번호, 주소, 이메일 등을 자동변환 항목으로 관리

계좌번호, 카드번호 등은 변환솔루션을 통한 자동 변환 항목으로 지정·관리하지

않고 있어 변환이 누락될 가능성이 있고, 데이터 변환 요청 시 실 데이터 이관 여부*를 선택하여 변환이 가능하도록 운영하고 있어 업무 착오 등으로 실 데이터가 이관될 여지가 있는 등 이용자 정보가 변환 없이 사용될 우려가 있으므로

* 이관 신청자가 착오로 실데이터 이관 항목을 체크하는 경우 업무 책임자가 결재 시 반려 처리 가능 계좌번호, 카드번호 등을 자동 변환 대상으로 분류하는 등 테스트 데이터 자동

변환 대상을 확대하고, 데이터 변환 요청 시 실 데이터 이관 여부 선택 기능은 삭제하는 등 테스트 데이터 변환 관련 업무 절차를 합리적으로 개선하시기 바람

(27) 데이터베이스 접근통제 불합리

내규 ｢데이터베이스 보안 지침｣ 제9조 등에 따라 데이터베이스(DB)에 대한 접근권한

통제 및 접근이력 모니터링 등을 수행하기 위하여 DB접근통제솔루션을 설치·운영하고 있으나,

DB접근통제솔루션을 통해 DB서버에 직접 접속하여 데이터를 조회하는 경우

정보계 DB는 주민등록번호에 대해서만 마스킹 정책을 적용하고 있어 업무상 불필요한 정보가 노출될 우려가 있으므로

앞으로 정보계 DB에 직접 접속하여 데이터를 조회하는 경우 주민등록번호 외

성명, 주소, 전화번호 등 주요 정보에 대한 마스킹 정책을 적용하는 등 데이터베이스 접근통제 업무를 개선하시기 바람

(28) 취약점 분석·평가 사후관리 불합리

내규 ｢정보보호지침｣ 제13조 등에 따라 정보처리시스템 취약점 점검 절차를 수립

하여 정기적으로 점검을 실시하고 발견된 취약점에 대한 보완 계획을 수립·시행하거나 이에 상응하는 조치가 불가능한 경우 ‘위험수용’으로 정보보호위원회 의결 후 최고경영자

에게 보고하고 있으나,

취약점 점검 결과 발견된 일부 취약점의 경우 기술적으로 조치 가능한 항목임에도

불구하고 위험을 수용하여 이행계획을 수립하지 않고 있어 정보보안 위험이 적시에 해결 되지 않을 우려가 있으므로

* root 계정 원격 접속 제한, C컴파일러 존재 및 권한 설정 미흡, 시스템 사용 주의사항 미출력 등

앞으로 취약점 점검 결과 발견된 취약점은 이행에 어려움이 있는 경우에만

위험을 수용하고, 위험수용으로 처리하는 취약점에 대해서는 합리적인 보완통제를 적용 하거나 위험수용의 적정성을 재검토하는 절차를 마련하는 등 취약점 분석·평가 사후관리 업무를 개선하시기 바람

(29) 이상거래탐지시스템(FDS) 운영 미흡

내규 ｢이상금융거래탐지시스템(FDS) 운영 지침｣ 제8조 등에 따라 FDS협의회를

구성하고 분기마다 FDS협의회를 개최하여 시나리오 및 정책에 관한 사항 등에 대해 보고받거나 협의하여야 하는데도,

관련 지침을 제정한 이후 단 한 차례도 협의회를 개최하지 않아 FDS의 탐지정책

또는 시나리오 등에 대해 논의된 사실*이 없어 FDS운영이 실효성 있게 이뤄지지 않을 우려가 있으므로

* 2017.4.6. ｢ 이상금융거래탐지시스템(FDS) 운영지침｣ 제정 이후 FDS협의회 논의는 없었으며 FDS 고도화

사업(2022.10.6.) 시 전자통신금융사기모니터링 시스템과 통합으로 일부 정책이 추가

앞으로 정기적으로 FDS협의회를 개최하여 FDS 시나리오 및 탐지정책과 관련된

현황을 공유하고 요건 등을 추가 또는 개선하는 등 FDS를 효과적으로 운영할 수 있도록 업무를 개선하시기 바람