한국씨티은행 금감원 경영유의사항 · 2024-10-04

경영유의사항 등 공개안

1. 금융회사명 : 한국씨티은행

2. 제재조치일 : 2024. 10. 4.

3. 제재조치내용

4. 제재대상사실

가. 경영유의사항

(1) 경영계획의 실효성 강화

㈎ 경영계획 작성 및 평가 프로세스 강화

은행은 내규「A규정」에 따라 연간, 3년 주기(중장기)로 각각 경영계획을 수립 하여 이사회 승인을 받고 있으며, 이 중 연간 경영계획은 추진실적을 이사 회에 분기별로 보고하고, 경영환경에 중대한 영향을 미치는 사유*가 발생하면 새로운 경영계획을 수립할 수 있다.

* ① 관계당국의 중요 정책, 지시사항 변경, ② 장단기 자금 차입계획 차질, ③ 위험자본 변동 및 투자계획 변경, ④ 인력수급, ⑤ 손익 변동(세전 이익 기준 B억원 이상)

하지만 은행은 중장기 경영계획의 추진실적에 대한 이사회 보고 절차 등이 내규에 마련되지 않아 2022년 중 중장기 경영계획(대상 범위 : 2022년~2025년)을 수립하였음에도 현재까지 이행상황을 점검한 사실이 없으며

바젤Ⅲ 최종안 적용에 따라 시장위험가중자산(RWA : Risk Weighted Assets)이 큰 폭 감소*하고, 기준금리 인상 등의 대내외 경영환경이 변화함에 따라 총자본 비율 등 중장기 경영목표를 조정할 필요가 있음에도 이를 재검토하지 않는 등 중장기 경영계획에 대한 관리체계에 미흡한 점이 있다.

* (시장RWA) 2022말 5.9조원 → 2023.3말 0.3조원(△5.6조원)

(총자본비율) 2022말 20.72% → 2023.3말 27.15%(+6.43%p)

한편, 연간 경영계획은 재무계획 및 업무계획(영업전략)으로 구성되어 있는데, 이 중 업무계획은 구체적인 목표* 없이 향후 추진 업무만 단순히 나열하고 있으며, 업무계획에 대한 추진실적 보고시에도 연초 이사회가 승인한 계획과 비교하기보다는 해당 연도 추진 실적만 열거하고 있어 당초 수립한 업무계획이 실효성 있게 추진되었는지 파악하기 어렵다.

* (예) 무역금융 취급 금액, 원자재 관련 파생상품 취급실적 등

<조치할 사항>

따라서 은행은 앞으로 연간 및 중장기 경영계획을 구체적으로 작성하는 한편, 경영계획에 대한 추진 실적 보고시 계획 대비 목표 달성 수준이 잘 드러날 수 있도록 계획 및 평가간 연계성을 강화하여 분석하고, 경영환경에 중대한 영향을 미치는 사유 발생시 적극적으로 경영계획을 수정할 수 있도록 내규 및 업무 프로세스를 개선하시기 바랍니다.

㈏ 목표 자본비율 설정을 통한 자본계획 강화

은행은 연간, 중장기 자본계획을 각각 경영계획에 포함하여 수립하고 있으며, 그간 소매금융 단계적 폐지 및 위험가중자산 최적화 전략*에 따라 타 시중 은행 대비 총자본비율이 상당히 높고** 향후에도 지속 상승***할 것으로 예상된다.

* 바젤Ⅲ 자본(RWA x 11.5%) 대비 수익률을 중요 관리지표로 운영함에 따라 대출보다는 RWA에 미치는 영향이 작은 영업방식을 선호(수수료 수익 추구 등)

** (2023.6말 총자본비율, %) 씨티 28.06 ↔ 甲은행 18.45, 乙은행 18.39, 丙은행 17.79, 丁은행 16.42

*** 2023말 28.3% → 2024말 30.7% → 2025말 32.5% (배당성향 50% 가정)

하지만 은행 자본계획에는 목표 자본비율 및 지향점을 별도로 설정하지 않고, 경영계획에 따른 총자본비율 추정치만 포함하고 있어 적정 규모의 위험가중자산 보유 계획 등 자본을 효율적으로 활용하려는 체계적인 전략이 부족하다.

<조치할 사항>

따라서 은행은 목표 자본비율을 영업전략과 적절히 연계하여 설정하고,

효율적이고 안정적인 수준으로 자본비율을 관리할 수 있도록 자본계획을 강화하시기 바랍니다.

(2) 내부목적 리스크측정요소 추정 및 관리 강화

㈎ 부도율(PD) 추정을 위한 부도정보 인식 요건 강화

은행은 대손충당금 및 내부자본 산정 등을 위한 부도율(PD)을 추정할 시에는 부도와 중요한 관련이 있는 모든 가용 데이터를 반영할 필요가 있다.

하지만 소매(Consumer) 및 소호(CitiBiz DM) 익스포져의 부도율(PD)를 추정 하면서 기준시점에는 존재하지 않았으나 부도를 관측하는 기간(기준시점 이후 12개월) 중 신규로 발생하는 부도(이하 ‘신규부도’) 데이터를 반영하지 않아 은행이 경험한 신용손실을 충분히 반영하지 못할 우려가 있다.

<조치할 사항>

따라서 은행은 대손충당금 및 내부자본 산정 등을 위한 소매 익스포져의 부도율(PD)을 추정할 시에 부도관측 기간중 발생하는 신규부도 데이터를 반영 하시기 바랍니다.

㈏ 소매 익스포져에 대한 대손충당금 PD 추정 강화

은행은 신용등급 등 유사한 리스크 특성을 지닌 대출자산을 동일한 자산군으로 분류하고, 이를 차주의 신용위험이 유의적으로 증가하지 않은 여신(이하 ‘Stage1’)과 유의적으로 증가한 여신(이하 ‘Stage2’)으로 구분하여 자산군별‧ Stage별 과거 부도데이터와 거시경제지표와의 관계를 모형화한 후 부도율 (PD)을 추정하여 대손충당금 산정에 활용하였다.

하지만 신용카드 자산군 중 신용등급 6~7등급으로 구성된 자산군의 부도율 (PD)이 8등급 이하 자산군의 부도율(PD)보다 높고, 소기업‧개인사업자 여신 (대출 10억원 이하) 중 신용등급 7~8등급으로 구성된 자산군의 Stage1 부도율 (PD)이 Stage2 부도율(PD)보다 높게 적용되는 등 차주의 신용위험을 왜곡할 우려가 있다.

<조치할 사항>

은행은 소매 익스포져의 자산군 분류 기준을 재정비하는 등 부도율 추정을 위한 분류절차를 개선하여 자산군별 부도율(PD) 수준을 대출자산의 신용위험 수준에 따라 적정하게 차등화하시기 바랍니다.

㈐ 위기상황분석시 소호 익스포져 예측 부도율(PD)의 적정성 강화

은행은 은행의 잠재적 취약성 및 위기대응능력을 평가하기 위해 합리적이고 보수적인 관점에서 위기상황분석을 수행해야 한다.

하지만 심각한 경기침체를 가정한 위기상황분석을 수행하면서 일부 소호 (CitiBiz DM) 익스포져의 예측 부도율(PD)을 분석 기준시점의 부도율(PD)보다 낮게 추정하고 있어 위기상황에서의 대손충당금 및 내부자본 등 신용손실 위험을 과소평가할 우려가 있다.

<조치할 사항>

따라서 은행은 소호 익스포져에 대한 위기상황분석시 예측 부도율(PD)이 과소 추정되지 않도록 추정 방식을 강화하시기 바랍니다.

㈑ 리스크측정요소 변경사항에 대한 리스크관리위원회의 승인 강화

은행 내규 ｢리스크관리위원회규정｣에 따라 대손충당금 적립기준 등에 주요 변동사항이 있으면 이를 리스크관리위원회에 보고하고 승인을 받아야 한다.

하지만 은행은 매년 대손충당금 산출을 위한 부도율(PD), 부도시손실률 (LGD) 등 리스크 측정요소를 재추정하는 등 주요 변동사항이 있었음에도 이를 리스크관리위원회에 보고하고 승인을 받지 않았다.

<조치할 사항>

따라서 은행은 대손충당금 산출을 위한 부도율(PD), 부도시손실률(LGD) 등 리스크 측정요소를 변경할 시에는 리스크관리위원회에 보고하고 승인을 받도록 관련 업무 절차를 강화하시기 바랍니다.

(3) 장외파생상품 공정가치 평가시 신용리스크 반영

｢한국채택국제회계기준｣에 따르면 은행은 장외파생상품의 공정가치 평가시 신용가치조정*을 통해 거래상대방 등의 신용리스크를 반영해야 한다.

* Credit Valuation Adjustment : 파생상품․증권금융거래 등에 대하여 거래상대방의 부도

가능성을 고려하여 가치를 조정하는 가치평가 조정

하지만 은행은 검사대상기간 중 장외파생상품에 대한 신용가치조정분*을 충당 부채 계정으로 별도 인식함으로써 공정가치에 신용리스크를 반영하지 않았다.

* 2019년말(20.8억원), 2020년말(27.1억원), 2021년말(32.6억원), 2023.6월말(5.5억원)

<조치할 사항>

따라서 은행은 관련 내규 및 시스템을 보완하여 장외파생상품의 공정가치 평가시 신용가치조정을 반영하시기 바랍니다.

(4) 이사회 역할 및 위원회 운영의 적정성 강화

㈎ 이사회 역할 강화

은행은 은행장 및 사외이사 4명 등 총 5명으로 이사회를 구성하고 있다.

그러나, 본점 정책에 따라 현지 법령상 요건을 위배하지 않는 최소한의 범위 로만 이사회를 운영함에 따라 총자산 규모가 유사한 타행 대비 이사회 규모가 작아 사외이사 1인이 이사회 내 모든 소위원회에 참여하고 있고, 소비자보호, 정보기술, ESG 등 다양한 전문 분야의 소위원회 증가 추세에도 대응하기 어려울 수 있다.

* 2022.6.30. 비상임이사 1명(아태지역 회계담당 임원) 사임으로 이사의 수가 6명에서 5명으로 감소된 이후에도 이사를 보충하지 않았음

<조치할 사항>

따라서, 은행은 각 전문 분야별 다양한 관점에서 깊이 있는 논의를 진행할 수 있도록 이사를 추가선임하는 등의 방법으로 이사회 구성의 다양성 및 전문성을 확보하시기 바랍니다

㈏ 위원회 운영의 적정성 강화

은행은 이사회 내에 감사위원회, 리스크관리위원회, 보수위원회, 임원후보추천 위원회 등 4개의 위원회를 운영중이고, 사외이사 전원(4명)이 동 4개 위원회에 모두 동일하게 참여하고 있다.

하지만, 리스크관리위원회와 감사위원회의 인적구성이 동일함에 따라 자기업무 감사에 따른 이해상충 발생 등으로 직무 전념성을 확보하기 어렵고, 감사위원회의 독립적이고 객관적인 직무 수행이 곤란하게 될 뿐만 아니라, 내규*에도 부합하지 않는 문제가 있다.

* (감사위원회 규정 제7조) 위원회는 그 직무를 이사회 의결 및 집행기구와 타부서로부터

독립된 위치에서 수행하여야 함

<조치할 사항>

따라서, 은행은 리스크관리위원회와 감사위원회 위원간 인적 구성을 서로 달리 하는 등 감사위원회 운영의 독립성을 제고하시기 바랍니다.

(5) 내부통제 제도 운영의 실효성 강화

은행 내규 ｢인사 관련 내부통제 방법서｣, ｢금융사고 예방 내부통제 방법서｣ 등에 따라 내부통제 강화를 위해 노력하고 있으나 아래 (가)∼(라)와 같이 제도 운영에 미흡한 점이 있으므로 이에 유의하시기 바랍니다.

㈎ 본부부서 내부통제 강화

금융회사는 그 조직 및 영업활동 등 자체 실정을 고려하여 금융사고 예방을 위해 실효성 있는 내부통제 기준 및 제도를 운영하여야 한다. 최근 은행은 기업금융 중심의 영업구조 개편이 진행되고 있어 본부부서의 역할과 권한이 보다 강화되고 있으므로 그에 상응하는 내부통제체계를 확립할 필요가 있다.

은행은 소매금융 단계적 폐지에 따른 영업점 직원 축소 등으로 다른 은행에 비해 장기근무 관리 대상에서 배제되는 직원의 비중이 높고, 기업금융 부문* 강화에 따라 향후 장기근무자 비중이 더욱 확대될 것으로 예상된다.

* 높은 전문성이 요구되는 업무로 장기근무 제한 적용배제 대상에 해당

내규 ｢금융사고 예방 내부통제 방법서｣에 따르면 장기근무 직원이라도 동 내규상 위험직무직원 또는 동일 업무에 2년 이상 근무한 직원에 해당하지 않는 한 명령휴가 대상으로 분류되지 않으며, 민감업무를 담당하는 임직원에게 적용되는 연속 부재기간 제도 대상자에 해당하더라도 부재기간 중 직무검사가 실시되지 않는 등 본부부서의 상당 수 직원이 주요 내부통제 제도의 적용에서 배제될 우려가 있다.

<조치할 사항>

따라서, 은행은 대다수의 임직원이 주요 사고예방조치인 장기근무 및 명령 휴가, 연속부재기간 제도의 적용을 받을 수 있도록 관리기준을 재정립하고 이를 철저하게 운영하며 이와 연계한 직무검사를 확대 실시하는 등 본부 부서에 대한 내부통제를 보다 강화할 수 있는 방안을 마련하시기 바랍니다.

㈏ 장기근무 및 명령휴가 운영 미흡

은행은 은행연합회 모범규준 ｢인사 관련 내부통제 모범규준｣, ｢금융사고 예방 지침｣의 취지 및 개정 내용 등을 충분히 고려하여 주요 내부통제 인프라가 실효성 있게 작동할 수 있도록 그 기준을 마련하고 운영하여야 한다.

은행은 금융사고 예방을 위해 장기근무 및 명령휴가 제도를 시행하고 있으나, 실질적인 제도 운영을 위한 구체적인 기준이 미비하고 B부서 및 C부서는 각 부 점에서 판단한 장기근무 및 명령휴가 대상 선정의 적정성, 예외사유의 타당성 등에 대해 적절히 검토하고 있지 않다.

이로 인해 관리자(부점장)를 장기근무 및 명령휴가 대상에서 모두 제외하거나 외환·파생거래의 후선업무를 수행(back office)하는 직원을 장기근무 관리 대상 에서 제외하는 등 대상자 분류가 미흡한 사례가 다수 발견되었다.

또한 M부서 등 일부 부서는 명령휴가 대신 연차 등 대체수단으로만 직무검 사를 실시하여 불시성이 떨어짐에도 적절한 통제가 이루어지지 않았으며, 직무 검사를 위한 체크리스트가 구체적이지 않고* 직무검사 결과가 전산시스템 등에 충분히 기록되지 않는** 등 제도가 형식적으로 운영되고 있다.

* 직무검사 체크리스트는 부서 구분 없이 본점·영업점으로만 구분되어 있고 업무처리에

대한 점검 항목이 단순하게 구성되어 있어, 위험직무직원 등에 대한 상세하고 체계적인 업무 점검이 불가

** 직무검사 결과를 형식적으로 기록(예: “명령휴가 직무검사 결과 이상 없음” 등)하여 직무 검사를 적절히 수행하였는지 등에 대한 제3자의 검토가 어려움

<조치할 사항>

따라서 은행은 장기근무 및 명령휴가 제도 운영을 위한 구체적인 기준을 마련 하고 B부서 등 담당부서는 각 부점의 장기근무 및 명령휴가 이행실태를 체계 적으로 점검하여 제도를 실효성 있게 운영하시기 바랍니다.

㈐ 직무분리제도 운영 미흡

은행은 사고예방 조치의 일환으로 금융사고 발생 우려가 높은 고위험거래 등 주요 직무분리 대상을 구체적으로 내규에 명시하고 직무분리 대상 직무와 담당직원 현황을 체계적으로 관리하여야 하며, B부서 등을 통해 동 제도 운영 실태를 모니터링하여야 한다.

이에 은행은 직무분리 대상 업무를 내규 ｢금융사고 예방 내부통제 방법서｣에 열거*하고 B부서는 E-HR시스템을 통해 각 부점장으로 하여금 분리대상 세부 직무와 그 담당자를 등록ㆍ관리하도록 하고 있으나, 부점별로 직무분리 등록 이 필요한 세부 직무에 대한 기준이 설정되어 있지 않아 동일 업무를 수행 하고 있는 부점 간 직무분리 등록ㆍ관리가 상이하게 이루어질 우려가 있다.

또한 본점의 경우 2023.10월말 현재 D부서 외의 전 부서가 직무분리 현황을 시스템으로 등록ㆍ관리하고 있지 않다.

* 영업점 등의 시재, 은행명의 통장, 인장, 중요용지 등

이로 인해 은행은 각 부점의 직무분리 실시 현황을 준법감시부에서 체계적ㆍ 집중적으로 상시 모니터링하기 어렵고 고위험거래 등에 대한 직무분리 또는 등록 누락 여부 확인 및 직무분리 제도 운영의 적정성 판단 등에 대한 사후 관리가 곤란하다.

<조치할 사항>

따라서 은행은 본점을 포함하여 전 부점에서 수행 중인 직무를 기반으로 직무분리 등록이 필요한 업무를 파악하고 구체적인 등록ㆍ관리 기준을 마련하는 한편, B부서는 각 부점의 직무분리 실시 현황을 체계적으로 점검하는 등 동 제도를 실효성 있게 운영하시기 바랍니다.

㈑ 부점별 사고예방대책 강화

은행은 ｢은행법｣ 제34조의3 등에 따라 임직원 사고방지 대책, 자점감사 계획 등 금융사고 예방대책을 마련하여 내부통제기준에 반영하고 이를 준수하여야 한다.

이에 은행은 본부부서 및 영업점에서 수행 중인 주요 업무에 대한 금융사고 예방대책을 내규*에 규정하고 N부서 및 B부서에서 관련 사후관리를 수행하 도록 하고 있으나, 동 내규상 본부부서도 점검이 필요한 사항이 영업점 점검 항목으로만 분류**되어 있거나 사고 예방을 위한 직급별ㆍ업무별 역할과 책임 (R&R)을 세부적으로 명시하고 있지 않다. 이로 인해 각 부점의 금융사고 발 생 가능성 등을 고려하여 수립된 사고 예방대책에 대한 적정성 평가 및 동 대책의 준수 여부 등의 이행실태 점검이 적절히 이루어지기 어렵다.

* ｢금융사고 예방 내부통제 방법서｣ 및 ｢금융사고 예방 방법서｣

** (예) 불건전 영업행위 금지, 외환 및 파생상품거래 위험관리 등

<조치할 사항>

따라서 은행은 본점을 포함하여 전 부점에서 수행 중인 업무를 기반으로 한 직급별ㆍ업무별 역할과 책임 및 주요 점검항목을 세분화하고 이를 내규에 구체적으로 명시하는 한편, 이에 대한 주기적인 자점감사, 이행실태 점검 등을 통해 동 제도를 실효성 있게 운영하시기 바랍니다.

(6) 자점감사 운영강화

내규 ｢자점감사방법서｣에 따라 부점장은 근무상태, 업무숙지도 등을 감안하여 자점감사 수행능력이 있는 직원을 자점감사자로 임명해야 한다.

또한, 영업점의 경우 입행 2년 이상인 직원으로서 수신, 여신, 외환 업무 중 최소 2개 업무 이상 경력자 중에서 자점감사자를 임명하여야 하고, 임명일로부터 6개월 이내에는 자점감사자를 교체*할 수 없다.

* 사전에 검사부장과 협의한 경우 예외

하지만 은행에서는 검사대상기간 중 3개월 이내의 자점감사자 교체가 빈번히 발생하였고, 입행 2년 미만 경력의 직원이 자점감사자로 임명*되었으며, 예외 적용에 대한 검사부의 협의 근거도 기록·관리되고 있지 않는 등 자점 감사 제도 운영이 미흡하다.

* C지점의 경우 2023.1~9월 중 4번 교체(인력부족 등), D센터 및 E팀은 각 입행 4개월 및

5개월 경력자를 자점감사자로 임명

자점감사자 교체 현황

<조치할 사항>

따라서 은행은 자점감사자 임명시 예외 적용을 최소화하고, 검사부의 예외 적용시 협의 근거를 기록·관리하시기 바랍니다.

(7) 비정형파생상품 설명서 교부 기준 강화

은행은 정형화된 파생상품(선물환, 스왑 등)이 아닌 비정형파생상품*을 일반금융 소비자에게 판매하는 경우에는 전문금융소비자에 비해 일반금융소비자의 리스크 관리 역량이 낮고 파생상품에 대한 이해도도 높지 않아 불완전판매 위험성이 높으므로, 소비자의 설명불원 의사와는 상관없이 설명서 교부의무를 보다 충실히 이행하고 불완전판매 예방을 위한 사후 점검 체계를 구축할 필요가 있다.

* 상품의 구조가 정형화된 파생상품(선물환, 스왑, 옵션 등)과 달리 파생상품 거래를 합성 하거나 거래조건을 변형시킨 외환파생상품(예: TRF Target Redemption Forward)

그러나 은행은 장외파생상품 취급시 동일 유형의 옵션거래를 3번 이상 거래한 일반금융소비자에 대해 상품설명 불원확인서를 징구하는 경우*에는 설명서를 교부하지 않고 있다.

* ｢명목한도외환파생상품 거래 운영절차 방법서｣ 첨부 C : 명목한도기준 외환파생상품

거래관련 서류 징구 및 보관기준 9-2 상품설명서(통화옵션, 통화스왑)

<조치할 사항>

｢금융소비자보호에 관한 법률｣ 등 관련 법규상 중요 판매규제를 그 취지에 맞게 충실히 이행함으로써 불완전판매를 예방할 수 있도록 일반금융소비자 에게 비정형파생상품을 판매하는 경우에는 매번 설명서를 교부하고, 해피콜 (happy-call) 등 불완전판매 관련 사후 점검 체계를 갖추시기 바랍니다.

(8) 신용카드 법인회원에 대한 경제적 이익 제공 관리 업무 강화

은행은 겸영여신업자로서 ｢여신전문금융업법｣상 신용카드 법인회원에 대한 경제적 이익 제공 관련 법규*를 준수해야 한다. 이를 위해 법인회원의 카드 이용 등에 따른 총수익과 총비용, 법인회원에게 제공하는 경제적 이익 규모를 적시에 산출 및 관리하기 위한 시스템 및 점검 절차 등을 마련할 필요가 있다.

* ｢여신전문금융업법｣ 제24조의 2, ｢시행령｣ 제7조의3, 별표 1의3 제2호 바목 등 신용카드사가 법인회원에게 제공 가능한 경제적 이익(부가서비스, 기금출연, 캐시백 등)을 법인회원의 카드 이용 등에 따른 ①연간 총수익≥총비용 범위 내에서, ②법인회원 연간 신용카드 이용액의 0.5% 이내로 제한(2021.7월 시행)

그러나 은행은 영업부서가 법인카드 신규 계약을 체결할 때 리워드 적립률*이 약정 한도인 0.5% 이내여야 하며, 향후 새로운 부가서비스 등 경제적 이익이 제공되지 않도록 해야 한다는 내용을 안내**하는 등 사전적으로만 통제하고 있으며, 사후적으로 실제 법인회원의 카드 이용 등과 관련한 총수익과 총비용, 제공된 경제적 이익의 규모를 적시에 관리 및 점검할 수 있는 시스템 및 점검 절차를 마련하고 있지 않다.

* 카드 사용금액의 일정 비율(리워드 적립률)을 씨티 포인트 적립으로 돌려받아 캐시백,

결제대금 차감 등으로 사용 가능

** 법인카드 신규 계약 건 발생 시 영업부서에서는 약정 개요(리워드 적립률 포함)를 작성하여 O부서에 이메일로 송부하며, O부서에서는 리워드적립률 등에 대해 확인 후 연회비 면제 등 추가적인 경제적 이익이 제공되지 않도록 주지시키는 내용을 담아 회신

<조치할 사항>

은행은 법인회원에 대한 총수익과 총비용, 제공된 경제적 이익의 규모를 모니터링할 수 있는 시스템과 점검절차를 마련하시기 바랍니다.

(9) 방문판매 운영 및 판매절차 적정성 점검 강화

㈎ 방문판매에 관한 내규 미흡 및 연락금지요구권 안내 일부 누락

은행은 내규「㈜한국씨티은행 방문판매에 관한 영업행위 방법서(기업고객용)｣에 따라 고객에게 연락금지요구권을 안내하고, 방문판매 사전안내 관리대장을 작성하여 관리하는 등 은행의 투자성상품에 대한 전반적인 방문판매 업무를 운영하고 있다.

이러한 방문판매 업무가 체계적으로 운영되기 위해서는 금융투자협회가 정한 ｢방문판매 모범규준｣*이 적절히 반영되어야 하고, 내규에서 정한 연락금지요구권 안내가 충실히 이행되어야 하며, 방문판매 사전 안내 관리대장에 구체적인 내용을 기재하는 것이 바람직하다.

* 금융투자회사 및 회사의 임직원 등이 금융소비자를 대상으로 방문판매 등의 방식으로

투자성 상품 등에 관한 계약 체결의 권유, 계약의 체결 등의 판매업무를 수행함에 있어 준수하여야 할 기준과 절차를 규정(금융투자협회 자율규제, 2022. 12. 8. 시행)

하지만 은행은 내규에 금융투자협회의「방문판매 모범규준」 내용을 적절히 반영하지 않았고*,「방문판매 모범규준」제8조 제1항 2호 및 은행 내규「㈜ 한국씨티은행 방문판매에 관한 영업행위 방법서(기업고객용)」제8조 제1항에서 정한 연락금지요구권 안내를 일부 누락**한 사실이 있고, 방문판매 사전안내 관리대장에 방문판매 등을 실시할 예정시간·장소 등이 기재되어 있지 않아 방문판매 사전 안내의 구체적인 내용을 확인할 수 없는 등 방문판매 업무 운영에 일부 미흡한 사례가 존재한다.

* 「방문판매 모범규준」의 ① 방문판매인력 명부관리 연1회 이상 점검, ② 투자권유희망

여부 확인 필요사항, ③ 자료 유지 보관 및 열람, ④ 주기적 관리체계 구축이 은행 내규에 반영되지 않음

** 2022.12.8. 이후 일반금융소비자에게 투자성 상품을 방문판매한 OO건의 거래 중 O건 (2023.4.4.~7.14.)에 대하여 연락금지요구권 안내 누락

<조치할 사항>

은행은 내규에 「방문판매 모범규준」이 적절히 반영될 수 있도록 내규를 개정하고, 연락금지요구권 안내가 누락되는 일이 없도록 직원교육 및 안내 절차를 강화하고, 방문판매 사전안내 관리대장에 방문판매를 실시할 예정시간, 장소 등을 추가하여 방문판매 사전안내의 구체적인 내용을 확인할 수 있게 하는 등 방문판매의 운영 체계를 강화하시기 바랍니다.

㈏ 판매절차 적정성 점검 미흡

한편, 은행 내규 ｢㈜한국씨티은행 방문판매에 관한 영업행위 방법서(기업고객용)｣에 따르면 은행은 방문판매 등의 방식으로 고객과 투자성 상품에 대한 계약을 체결하는 경우 계약이 체결된 날로부터 7영업일 이내에 판매절차가 적정하게 이행되었는지 여부를 고객에게 확인한 후 확인 결과를 기록·보관하여야 한다.

이러한 방문판매 적정성 점검이 실효성 있게 운영되기 위해서는 적정성 점검대상에 해당되는 거래가 존재하고, 은행은 실질적으로 판매절차가 적정 하게 이행되었는지 여부를 고객에게 확인하는 것이 바람직하다.

하지만 은행은 내규에 판매절차 적정성 점검 대상을 일반금융소비자에게 은행 내부 상품등급 B 이상(비정형 고난도 상품) 판매하는 경우로 한정하고 있으나,

2023. 1. 1. ~ 2023. 9. 30. 기간 동안 일반금융소비자에게 내부 상품등급 B 이상을 판매한 사례가 없어 실질적으로 판매절차 적정성 점검에 해당되는 거래가 존재하지 않는 등 방문판매 적정성 점검의 실효성이 저하될 우려가 있다.

<조치할 사항>

은행은 실질적으로 방문판매 적정성 점검이 실행될 수 있도록 내규에 판매 절차 적정성 점검대상을 확대하여 점검의 실효성을 제고하시기 바랍니다.

(10) IT부문에 대한 감사 및 IT부서 자체감사 강화

(가)회사는 내규「감사본부장 직무규정」등에 종합검사는 재무, 준법, IT 등 기능별로 실시해야 하고, 검사계획 수립 시 리스크 등급에 따른 검사실시주기 등을 적절히 배분해야 한다고 정하였으며, 2022년부터 연간검사계획 수립 시 부서별 리스크 관리 및 검사대상부서 선정 등을 위해 ’고위험 업무‘ 등 5개 항목의 자체 리스크 평가기준*을 마련하여 운용하고 있다.

* ① 고위험 업무, ② 소비자 피해 연관성 높은 업무 분야, ③ 비즈니스 환경 변화,

④ MCA(Manager’s Control Assessment) 기준 불합격된 통제 절차 발생, ⑤ 내규 및 법령 등에 따른 매년 검사 대상

하지만 회사는 자체 리스크 평가기준에 IT리스크 요인을 반영하지 않아 종합 검사 대상 및 범위에 IT부문을 포함하지 않았으며, 검사대상 기간(2019. 5.

30. ∼ 2024. 2. 29.) 중 IT검사를 부문검사만 1회 실시하였다.

[참고] 검사부의 IT검사 실시현황

또한, 씨티글로벌 감사조직에서도 한국씨티은행의 IT부문에 대한 감사*를 하고 있으나, 국내 금융IT 관련 법규 준수 여부에 대해서는 감사를 하지 않는 등 전반적으로 IT부문에 대한 감사업무를 소홀하게 운영하고 있다.

* 글로벌 감사조직에서 국가별, 상품·기능별로 리스크 평가를 연 1회 이상 실시하고, 평가 결과 취약한 상품·기능에 대해 감사주기(18개월~48개월)를 설정하여 글로벌 감사계획에 반영하고 있으나 감사범위에 인프라 운영을 제외하는 등 IT부문 전반에 대한 감사를 실시하고 있지 않음

<조치할 사항>

따라서 회사는 기업뱅킹 운영 환경변화 및 사이버 위협 증가 등에 따른 IT 리스크 요인, 금융IT 법규 및 가이드라인 준수 필요성 등을 종합적으로 고려 하여 IT부문 감사계획을 마련하는 등 IT감사업무를 강화하시기 바랍니다.

(나)회사는 내규 ｢전산본부 자점감사 업무 방법서｣ 등에 전산본부 내 자체감사 조직(전산본부 1명, 정보보안본부 2명)을 구성하고, 정기감사의 경우 사전에 감사대상범위 및 실시횟수를 포함한 계획을 수립하여 실시하도록 정하고 있다.

하지만, 회사는 IT자체감사 점검항목에 장애 발생 원인인 ‘프로그램 통제의 적정성’ 등의 IT리스크 항목을 보완하지 않고, 기존 점검항목으로만 감사를 실시하여 IT자체감사의 실효성 및 효과성이 저하될 우려가 있다.

<조치할 사항>

따라서 회사는 IT부문의 안전성 및 건전성 강화를 위해 ‘프로그램 통제의 적정성’ 등의 IT리스크 항목을 IT자체감사 점검항목에 반영하는 등 IT자체 감사를 강화하시기 바랍니다.

(11) 경영지원 용역비용 지급의 적정성 강화

은행 내규에 따르면 P부서는 각 업무부서로부터 해외 관계회사의 경영지원용 역 내용 및 필요성 등을 설명하는 요약문서를 매년 수령하여 용역의 경제적 효익을 검토하여야 하고, 용역제공계약서상 용역의 범위가 계속 유효한지, 은행이 제공받은 용역을 정확히 반영하고 있는지 여부를 매년 검토하여야 하며, 해외 관계회사가 은행에 청구한 용역대가, 배분 대상 공통경비, 배분시 적용되는 원 가동인의 적정성에 대하여 매년 해외 관계회사로부터 관련 자료를 수령하여 검 토하여야 한다.

하지만, 경영지원 용역대가 지급이 지연되고 있다는 이유로 검사대상기간 중 내규에 따른 경영지원용역 관련 검토 업무를 수행하지 않았다.

<조치할 사항>

따라서 내규에 따라 2020년 이후 해외 관계회사 등의 경영지원용역에 대한 적정성 관련 검토 업무를 수행하고 미지급 용역비를 지급하는 방안을 마련 하시기 바랍니다.

(12) 리스크관리위원회의 손실한도 관리 체계 강화

은행 내규 ｢리스크관리위원회규정｣ 제5조에 따르면 이사회 내 리스크관리 위원회는 은행이 부담 가능한 리스크의 수준을 결정하고 손실 허용한도를 심의․의결해야 한다.

그러나 2023년 8월말 리스크관리위원회는 은행계정내 투자채권 손실한도의 승인 및 동 한도 초과시 조치에 대한 심의․의결 주체를 기존 리스크관리위원회에 서 자산부채종합관리위원회*로 변경하였다.

* 은행장(위원장) 및 자금시장본부장, 재무기획그룹장, 위험관리책임자, 각 사업본부장 등의 경영진으로 구성되며 자산․부채 모니터링, 유동성 관리와 자금조달 등에 관한 정책을 결정

자산부채종합관리위원회는 경영진으로 구성된 협의체로서 손실허용한도 설정 및 초과에 관한 리스크관리 측면의 독립적 의사결정을 저해할 우려가 있다.

<조치할 사항>

투자채권의 손실한도와 관련한 의결 주체를 리스크관리위원회로 변경하고 관련 내규 및 업무 절차를 보완하시기 바랍니다.

나. 개선사항

(1) 보수 산정체계 관리‧운영 개선

㈎ 성과보수 결정기준 개선

금융회사는 임원 등에 대해 보수의 일정 비율 이상을 성과에 연동하여 미리 정해진 산정방식에 따른 보수를 지급하여야 하며, 보수의 결정 및 지급방식에 관한 사항은 보수위원회에서 심의ㆍ의결하여야 한다. 이에 은행은 Q의 성과평가 점수가 100점 이상(최대 124점)인 경우 기본급의 200~400%*, 85~100점은 기본급 의 100~200%, 85점 미만은 기본급의 0~100%를 성과보수로 지급할 수 있도록 보수위원회 의결을 통해 기준을 마련하여 운영하고 있다.

* 그동안 200~300%였으나, 2023.3.30. 보수위원회 의결을 통해 지급가능 범위를 더욱 확대

그러나, 성과평가 점수가 100~124점인 경우 모두 기본급의 200~400%를 지급 하는 것으로 기준을 설정하는 등 점수 구간의 범위가 과도하게 넓게 설정되어 있음에도 각 점수별 차등지급 기준이 마련되어 있지 않고, 성과평가 점수와 무관 하게 실제로는 지역본부를 통해 확인한 가용예산을 전액 지급하는 것으로 운영함에 따라, 성과평가 점수가 더 낮음에도 더 많은 성과급이 지급되는 등 성과급 지급 비율 결정 과정에서 문제가 발생하였다.

<조치할 사항>

따라서 은행은 성과급 제도의 취지에 맞게 성과급이 성과평가 점수에 비례 하여 지급될 수 있도록 성과평가 점수별 성과보수 지급액을 합리적으로 차등할 수 있는 세부 기준을 마련하는 등 관련 제도를 개선하시기 바랍니다.

㈏ 개선된 기준에 따른 성과평가 실시를 위한 보수위원회 운영

은행은 2022.3.30. 보수위원회에서 성과평가(goal rating) 기준을 1개에서 3개로 세분화*하여 운영하도록 성과관리 체계를 개선**하였다.

* (변경전) 성과목표 → (변경후) ①위험‧통제 목표, ②재무 성과목표, ③고객‧프랜차이즈 성과목표

** 전 직원에 적용(리스크, 준법감시 등 일부부서 제외)

그러나 2022.12.12. 보수위원회 안건에는 개선된 기준에 따라 Q의 최종 성과 평가 등급 결정에 필요한 3개 기준별 등급에 대한 세부적인 내용은 포함되어 있지 않아, 보수위원회에서 Q의 성과평가 근거를 충분히 논의하기가 어려울 소지가 있 다.

<조치할 사항>

따라서 은행은 보수위원회에서 Q에 대한 최종 성과평가 등급 및 그 근거가 되는 세부 평가등급을 충분히 논의․결정할 수 있도록 안건을 마련하고, 논의결과를 의사록에 반영하여 보관하시기 바랍니다.

㈐ 성과보수 조정기준 개선

은행은 성과보수 산정과 관련하여 매년 보수위원회 의결을 통해 정직에 해당 되면 미지급, 감봉 및 견책은 각각 전년도 성과보수액의 80% 및 90%를 초과할 수 없도록 운영하고 있다.

그러나, 이 경우 법규 위반으로 중징계를 받는 경우에도 상당한 수준의 성과 보수를 지급할 수 있는 결과를 초래하여 불법행위에 대해 적절한 금전적 불이익을 부과할 수 없는 문제가 발생한다.

또한, 본점 내규 ｢Accountability Framwork｣는 기본급 및 성과급 전체를 대상으로 정직‧감봉은 최대 50%, 견책은 최대 25%를 감액하도록 규정하고 있는 반면, 국내 기준은 성과급만을 대상으로 10~20% 수준의 감액율을 명시하고 있어 감액대상 및 감액비율의 일관성이 확보되지 않을 뿐만 아니라, 본점 규정에도 불구하고 중징계 조치에 대하여 상당히 높은 수준의 기본급 및 성과급 지급을 가능하게 하는 기준을 보수위원회가 매년 의결하고 있다는 문제점을 내포하고 있다.

<조치할 사항>

따라서 은행은 본점 내규의 기준 및 내용을 충분히 감안하여 불법행위 징계에 따른 성과보수 조정 내부 기준을 합리적으로 개선하시기 바랍니다.

㈑ 보수위원회 의사록 작성 및 보관 개선

은행은 위원회 의사결정 과정에서 구체적인 논의내용을 확인할 수 있도록 의사록을 작성‧보관하여야 한다.

그러나, 2022.2.11. 보수위원회와 관련하여 지역본부를 통해 Q의 성과보수 지급금액에 대한 가용예산을 사전에 확인후 이를 위원회에 보고하고 지급금액을 결정하였음에도, 이를 의사록에 기재하지 않고 보수위원장이 최종 지급금액을 실무부서와 상의없이 단독으로 제안한 것처럼 의사록을 작성하였고, 관련 자료도 보관하고 있지 않았다.

또한, 2021.1.15. 보수위원회 의사록에도 Q의 성과보수를 출석위원 전원의 찬 성으로 결정 하였다고만 기재되어 있을 뿐, 성과보수 금액의 결정 과정에 대한 설명 및 논의내용이 제외되어 있다.

<조치할 사항>

따라서 은행은 보수위원회 운영방식을 합리적으로 개선하고 의사결정 과정의 구체적인 논의내용을 확인할 수 있도록 의사록을 작성하고 관련 자료를 함께 보관 하시기 바랍니다.

㈒ 보수위원회 논의에 필요한 자료 제공 미흡

은행은 성과평가 지표 등 변경시 재무기획본부가 성과평가 지표의 변경, 달성 목표 설정에 대한 초안을 작성하여 R부서에 송부하여 제안하고, 보수위원회 논의 를 통해 최종 결정하고 있다.

또한 은행은 내규 ｢이사회규정｣ 제4조 제2항은 이사회를 소집함에는 그 소집 목적을 기재하여 이사회 개최일 7일 전에 서면 또는 전자문서로 각 이사에게 통지 하도록 규정하고 있다.

그러나, 그동안 성과평가 지표가 수차례 변경되었고, 지표별로 매년 목표치를 설정하고 필요시 변경하고 있으나, 안건 발표자가 구두로 요약 설명후 의결절차를 진행할 뿐, 관련 검토자료*를 위원회 당일 위원들에게 제공하거나 안건에 포함시켜 보관하지 않고 있다.

* 변경사유, 목표시 설정근거, 지표별 변동 추이 등

2022.3.30. 보수위원회 개최전인 2022.3.24.에 위원들의 요청으로 7층 인사부 회의실에서 화상회의를 통해 보수위원회 위원들에게 평가항목 등 변경에 대한 내용을 설명한 사실이 있으나, 검사기간중 관련 설명자료 제출 요청시 위원회 안건이 아니라는 이유로 자료를 보관하고 있지 않았다.

또한, 은행은 검사대상기간중 보수위원회 회의안건 7건을 지연 제공한 사실이 있다.

<조치할 사항>

따라서 은행은 위원들이 안건 내용을 충분히 이해‧확인한 상태에서 평가지표

및 목표치 관리의 적정성 등을 논의할 수 있도록 안건 내용과 관련한 세부 검토 자료 제공 및 설명을 강화하는 한편, 해당 자료를 위원회 안건자료로 관리‧보관 하고, 각 이사가 위원회 개최전 안건을 충분히 검토할 수 있도록 내규상 정해진 기간 이내에 회의안건을 제공하여 주시기 바랍니다.

(2) 배당가능이익 산정 업무 불합리

「상법」제462조 및 동법 시행령 제19조에 따르면 배당가능이익은 순자산액 에서 자본금, 준비금 및 미실현이익을 공제하여 산정하되, 파생상품의 거래가 그 거래와 연계된 거래의 위험을 회피하기 위하여 한 경우로서 각 거래로 미실현 이익과 미실현손실이 발생한 경우, 미실현이익과 미실현손실을 상계할 수 있으며, 은행연합회 규정*에 따르면 파생상품 거래중 포지션 관리 거래**의 경우, 위험회피가 연계된 범주별*** 미실현이익의 한도 내에서 미실현손실을 상계한 잔여 미실현이익 금액을 미실현이익으로 산정하되, 위험회피효과 입증이 되지 않는 거래는 상계 하지 아니하도록 규정하고 있다.

* 「배당가능이익 산정 관련 파생거래 미실현손익 상계 지침」(2021.6.28. 제정)

** 리스크 한도 준수 및 위험관리 등을 위하여 간접적/집합적/동적헤지 방식으로 위험회피를 수행하는 거래

*** 동일 상품별&통화별&잔여만기구간별&기초자산별

하지만, 은행은 범주별로 미실현이익 및 미실현손실이 발생한 포지션 관리 거래 중 위험회피 효과가 없는 동일 포지션 거래도 미실현이익의 한도 내에서 미실현손실을 상계함에 따라 배당가능이익에 오류가 발생하였다. 또한, 배당가능 이익 산출 과정에 대한 검증 업무를 산출부서인 F부서 및 G부서에서 수행하는 등 검증 절차의 독립성 및 전문성 측면에서 미흡하다.

<조치할 사항>

따라서 상법 및 은행연합회 지침을 준수하여 배당가능이익을 적정하게 산정하고, 전문성·독립성이 확보된 부서에서 적정여부를 검증할 수 있도록 내부통제 절차를 개선하시기 바랍니다.

(3) 본부부서의 주요 실물 관리 등에 대한 내부통제 개선

은행은 금융사고예방 등을 위해 각 부점에서 보관 중인 현물 등을 시스템을 통해 관리하고 각 부점의 정기적인 자체 점검 뿐만 아니라 본점 H부서의 영업점 검사 등 제3자에 의한 내부통제 점검을 실시하는 것이 바람직하다.

하지만 은행은 본점 각 부서의 주요 실물* 보관 현황을 집중 관리하고 있지 않으며, 각 부서에서 자체 점검만 실시하고 있어 제3자에 의한 적절한 내부통제가 이루어지기 어렵다.

* 중요증서, 중요인장, 금고열쇠, 중요실물 등

<조치할 사항>

따라서 은행은 본부부서에서 보관 중인 주요 실물에 대해서도 시스템 등을 통해 집중하여 관리하는 체계를 마련하고, 이에 대해 제3자에 의한 통제 프로세스 (예 : 소관부서 외 불시 점검)를 시행하는 등 관련 내부통제 절차를 강화하시기 바랍니다.

(4) 기산일거래 업무 처리절차 개선

기산일거래는 일반적인 거래와 달리 당사자 간 협의에 따라 거래 체결일 이전 날짜를 기준으로 효력이 발생하도록 하는 거래이므로, 이를 통제할 수 있는 업무처리 및 사후관리 절차를 내규상 명확히 하는 것이 바람직하다.

이에 은행 영업점에서 체결되는 기산일거래는 그 처리 방법이 내규에 규정* 되어 있고, 업무절차 준수 여부에 대한 사후점검도 실시되고 있다. 그러나, 본점 S본부에서 체결되는 기산일거래에 대해서는 거래시 필요한 보고 등 별도의 업무처 리 및 관리 절차에 대해 정하고 있는 바가 없어 거래 체결 담당자 이외의 임직 원이 이를 적절히 통제하기 어렵다.

* ｢재무회계세칙｣ 제27조 등에 따라 부점장의 사전 결재 및 증빙자료 등록이 필요

<조치할 사항>

따라서 은행은 I본부에서 체결되는 기산일거래에 대해 시스템을 통한 사전승 인 등의 업무 취급 및 거래체결 부서 외 J부서, K부서 등에 의한 적절한 통제가 이루어질 수 있도록 관련 프로세스를 내규에 반영하시기 바랍니다.

(5) 고객 금융거래정보 공유 관련 내부통제 개선

은행 내규 ｢금융사고예방방법서｣ 제7조(전산업무) 등에 따르면 운영시스템 등 전산자원은 인가자만 사용할 수 있도록 관리되어야 하며, 시스템에서 사용되는 접근에 대한 기록이 남을 수 있도록 프로그램이 개발되어야 한다.

이에 은행에서 사용하는 딜링 관련 전산시스템(a시스템, b시스템에 대해서 S 본부의 각 부서장이 은행의 금융거래정보에 접근할 수 있는 권한을 직접 승인하고, 이미 보유하고 있는 접근권한의 적정성을 주기적으로 관리·검토하고 있으나,

접속자의 조회기록이 관리·보관되지 않아 접속자가 어떤 금융거래정보를

조회하였는지에 대해서 확인하고 적정 여부를 점검할 수 없는 등 내부통제가 다소 취약한 상태이다.

<조치할 사항>

은행은 관련부서 이외에 제3자가 고객의 금융거래에 접근한 접근기록의 적정 여부를 주기적으로 점검하는 등 관련 내부통제 절차를 강화하시기 바랍니다.

(6) 커머셜 부문 여신심의 불합리

은행은 기업여신 취급시 차주의 신용 및 승인 대상 금액 등을 고려하여 여신 승인 전결권자를 적합하게 선정하고 거액여신은 개별 심사역이 아닌 여신심의 위원회 등을 통해 심의해야 한다.

그러나 은행은 인력 구조조정으로 개별 심사역이 부족한 상황에서 검사대상 기간 중 총 4차례 여신승인 전결기준을 개정하여 개별 심사역의 승인 가능 여신 금액을 급격하게 상향 조정함으로써, 소매금융철수 및 향후 기업여신 확대정책과 맞물려 은행의 신용리스크 증대로 이어질 우려가 있다

<조치할 사항>

은행은 개별 심사역의 여신 승인 전결 금액을 축소하는 한편 커머셜 부문 여신심의위원회 승인 대상 여신 확대 및 심사 인력 확충을 통해 여신심사 업무를 개선하시기 바랍니다.

(7) 대고객 파생상품판매 관련 절차 개선

은행은 손실 가능 범위가 무제한이고 거래구조가 비교적 복잡한 고위험 구조의 대고객 비정형 파생상품(TRF* 등) 판매기준과 절차를 마련하여 운용하고 있으나, 아래의 (가)~(다)와 같이 그 업무절차와 관련 제도에 일부 미흡한 점이 있다.

* Target Redemption Foward, 통화옵션 내재 파생상품

㈎ 매출액 규모 등을 고려한 투자위험의 관리능력 강화

고위험상품의 판매가능 여부를 적정 투자등급의 고객인지 여부만으로 결정할 경우 일반투자자 중에서 투자위험의 관리능력이 상대적으로 부족한 영세업자, 소규모 사업자 등에 의한 손실 관련 민원·분쟁이 발생할 가능성이 있다.

<조치할 사항>

따라서 은행은 일반투자자에게 고위험의 비정형파생상품을 판매하려는 경우, 고객의 매출액 규모, 정형파생상품의 기존 거래기간 등을 감안하는 판매절차를 제정하시기 바랍니다.

㈏ 상품설명서의 위험과 무제한 손실 가능성 문구 강화

舊「자본시장법」제47조 및 ｢금융소비자보호법｣ 제19조 등에 따르면 금융 투자업자는 일반투자자를 상대로 투자권유를 하는 경우에는 금융투자상품의 내용, 투자에 따르는 위험 등을 일반투자자가 이해할 수 있도록 설명하여야 한다.

또한, 고위험 투자에 따른 위험을 포함하여 고객의 확인서명·날인을 받고 고객에게 교부하는 상품설명서에 ‘이론상 무제한 손실 가능 내용’ 등 원금손실 가능성, 투자위험 등과 관련된 중요단어는 크고 굵은 문자로 표기하도록 금융투자 협회*에서도 권고하고 있다.

* 금융투자협회 「표준투자권유준칙」

하지만 은행은 이러한 중요 문구를 글자 크기, 색, 굵기 등의 차이가 없는 평문으로 작성·교부하고 있어 고객이 가독성 · 시인성 부족으로 중요 문구를 명확히 인지하지 못할 가능성이 있다.

<조치할 사항>

은행은 고위험 상품설명서의 ‘위험 및 무제한 손실 가능성 관련 문구’를 고객이 쉽게 인지·인식할 수 있도록 개정하시기 바랍니다.

㈐ 고객확인·서명 누락 등 취급서류 작성의 적정성 확인 강화

일부 거래의 경우 고객에게 징구하는 서류인 투자자정보확인서의 고객 답변란 작성이 누락*되었거나 위험관리능력 항목이 일관성 없게 작성**된 사례가 확인되는 등 금융거래 내지 소비자 보호의 기본 근거 서류가 그 적정성 또는 효력을 훼손 · 상실할 우려가 있다.

* 상품에 대한 이해 수준과 관련된「고객의 대표자 및 위에서 언급한 임(직)원들이 모두

하려는 장외 파생상품거래의 조건과 그에 수반하는 위험을 충분히 이해하고 있습니까?」 라는 질문에 대한 [예, 아니오] 답변란 작성 누락

** 장외파생상품 리스크관리 전담 조직·인력, 관련 규정, 내부통제 및 업무절차 등의 보유 여부 질문에 [아니오]로 답변하고도 비고에서는 리스크관리 전담조직 및 규정명을 기재

<조치할 사항>

은행은 거래 관련 서류징구시 고객확인·서명 등이 누락되거나 일관성 없게 작성되지 않도록 제3자 등에 의한 확인·점검 절차를 마련하시기 바랍니다.

(8) 민원 업무 관련 규정 및 업무절차 개선

은행은 소비자금융 단계적 폐지 과정에서 영업점 축소에 따른 이용자 불편 및 민원 발생을 최소화하기 위해 고객이 기존에 이용하던 영업점 폐점으로 인하여 원거리에 위치한 통합점에 방문하여야 하는 것과 관련하여 불편사항을 제기하는 경우 교통비 등을 지급하고 있다.

하지만 지급대상‧금액‧지급기간 등의 명확한 규정 없이 불편사항을 제기하는 고 객에 한하여 왕복 교통비 등을 제공하는 것으로 불만을 즉시 해소하고 있어 일 부 고객에게만 보상이 지급되고 있다. 또한 내부적으로만 영업점에 공문*을 통해 ‘고객 혜택 프로그램 시행’ 및 ‘고객 서비스 제고’를 위해 ‘금융취약계층 및 민원 고객 등‘에 대한 교통비 제공이 가능함을 안내하고 있으며, 폐점 영업점 대상

고객에게 안내된 바는 없다.

<조치할 사항>

은행은 소비자금융 철수 과정에서 앞으로 지속적인 영업점 축소 등이 계획되어 있는 점 등을 고려하여 명확한 보상 지급 기준 및 안내절차를 마련하는 등 업무절차를 개선하시기 바랍니다.

(9) 부동산 담보신탁 대출의 피담보채무 확인 절차 개선

｢금융소비자 보호에 관한 법률｣ 제20조 등에 따르면 은행은 금융소비자로부터 담보를 취득하는 계약과 관련하여 해당 계약서에 그 담보의 대상이 되는 채무를 특정하지 않거나, 장래 다른 채무에도 적용된다는 내용으로 계약을 하여서는 아니 된다.

은행은 채권자로서 채무자와 신탁사 간 부동산 담보신탁 계약의 우선수익권 증서를 담보로 취득하며 이메일 및 유선을 통해 채무자와 피담보채무의 범위를 회전한도대출 등으로 특정하기로 합의하였으나, 부동산 담보신탁 계약서상 문구가 우선수익자의 수익권 범위가 특정되지 않거나 장래 다른 채무에도 적용된다는 내용 으로 오인될 우려가 있는 사례(1건)가 있다.

<조치할 사항>

은행은 부동산 수익권증서 담보 대출 시 부동산 담보신탁 계약서의 특약 및 수익권증서에 피담보채무의 범위가 포괄적으로 설정되지 않도록 별도의 계약서 작성 등을 통해 피담보채무를 명확히 확인하는 등 관련 업무 절차를 보완‧개선 하시기 바랍니다.

(10) 이상금융거래탐지시스템 운영 및 사후관리 미흡

회사는 전자금융 피해 등을 예방하기 위하여 내규「c 운영 프로세스 매뉴

얼」등에 따라 d시스템(카드업무)와 e시스템(전자금융) 등 두 개의 이상금융거래 탐지시스템을 운영하고 있다.

아울러, 금융감독원은 비대면 금융거래가 지속적으로 확대됨에 따라 전자금융 사고 예방을 위하여 금융보안원 및 주요 7개 은행과 특별 작업반(Task Force)을 구성하고 주요 전자금융 피해사례를 분석하여 「금융분야 FDS 운영 가이드라인」을 마련·배포하였다.

동 가이드라인에 따르면, 이상금융거래탐지시스템은 이용자들의 전자금융 피해 예방을 위해 고위험 거래* 탐지 시 추가인증을 실시하는 등 거래특징에 따라 정책을 운영하는 것이 바람직하나,

* 거래가 없었던 단말을 이용한 ID/PW방식 로그인, 접속이력이 없는 해외 접근 이체거래 등

회사는 e시스템에 등록된 모든 정책을 사후관리 모드(아웃바운드 콜)로만

운영하고 있고, 동 가이드라인에서 제시하는 FDS 정책뿐만 아니라 기존에 자체 수립‧관리하는 FDS 정책에 대해서도 주기적으로 점검하고 개선하지 않았으며,

일부 FDS 정책을 프로그램에 직접 코딩하여 정책의 오탐 여부 등을 알 수 없어 FDS 정책의 실효성 분석에 한계가 있는 등 이상금융거래탐지시스템에 대한 운영 및 사후관리가 미흡하다.

<조치할 사항>

따라서 회사는 앞으로 금융감독원 등이 배포하는 금융분야 FDS 운영 가이드 라인을 참고하여 사후관리(아웃바운드 콜) 모드로 운영하는 정책과 프로그램에 직접 코딩된 정책을 검토하여 회사에 적합한 형태로 FDS에 반영하고, FDS 정책을 주기적 으로 점검하는 절차를 마련하는 등 FDS 운영체계를 개선하시기 바랍니다.

(11) 사이버 침해 대응 관리체계 불합리

회사는 내규 ｢정보보안 사고대응 규준｣에 따라 전산 정보 자산보호 및 개인정

보유출 방지를 위해 M그룹 사이버보안관제센터(미국 및 싱가폴 소재*)와 한국씨티 은행의 협업 하에 사이버 침해 대응 체계를 마련하여 침해 시도를 모니터링하고 있으며, M그룹 보안 운영센터로부터 「보안관제 보고서」를 제공받고 있다.

* 24시간 보안관제를 위해 소재지별로 시간대를 나누어서 관제 업무 수행

또한, 금융보안원은 금융회사가 사이버 위협에 대응할 수 있도록 주요 사이버

공격 분석 현황 및 요주의 IP 등의 침해사고 예방을 위한 정보가 포함된「일일 사이버 위협 정보 보고서」를 씨티은행 등의 회원사에 제공하고 있다.

하지만, 회사가 M그룹 보안 운영센터로부터 제공 받는 보안관제 보고서에

한국씨티은행에 대한 침해 시도 및 대응 현황 등의 상세 내용이 빠져 있어 회사 의 보안 취약점을 파악하기 어렵고, 금융보안원이 선정하여 제공한 요주의 IP로 부터의 위협 영향도를 검토하여 정보보호시스템에 등록하는 등의 조치를 취하지 않고 있어 실효성 있는 침해위협 대응에 한계가 있다.

<조치할 사항>

따라서 회사는 앞으로 M그룹 보안 운영센터로부터 한국씨티은행 대상 침

해 시도, 대응 현황 등 상세한 침해 관련 정보를 입수하여 체계적으로 침해위 협을 관리하고, 금융보안원이 제공하는 요주의 IP에 대한 위협 영향도를 검토하여 정보보호시스템에 등록하는 절차를 마련하는 등 사이버 침해위협에 대한 대응을 강화하시기 바랍니다.

(12) 외주인력 보안점검 관리 미흡

회사는 내규「전산본부 외부직원 보안 방법서」에 따라 고객정보 유출 방지 등을 위해 외주인력 보안 정책 및 점검 절차를 마련하여 일일, 월간 보안점검을 수행하고 있다.

또한, 씨티은행 외주직원 담당자는 일일보안점검표를 이용하여 외주인력에

대한 일일 보안점검을 실시하여야 하며, 보안점검 중 발견된 미준수 사항은 정보 보안 관리자와 협의하여 보안 침해사고 여부를 조사할 의무가 있다.

하지만 회사의 외주인력 담당자(현업)는 외주인력의 일일 자가 보안점검 결과를

매일 점검하지 않고 월간 보안점검 시에만 점검하여 외주인력의 일일 보안점검 결과를 신뢰하기 어렵고, 동일한 점검항목*의 준수 여부 판단 근거 및 결과를 부서별로 상이하게 작성하는데도 이에 대한 적정성 검증이 미흡하다.

* 테스트 시 이용자 정보 사용 여부, 악성코드 검색 및 치료 프로그램 업데이트 현황, PC 내 개인정보 보유 여부 등

<조치할 사항>

따라서 회사는 앞으로 외주인력이 일일 자가 보안점검을 매일 이행하도록

전산시스템 등을 통해 관리하고, 외주인력의 일일 보안점검 결과에 대한 적정성 판단 기준을 마련하는 등 외주인력 보안점검 관리를 강화하시기 바랍니다.