국민은행 금감원 경영유의사항 · 2018-02-08

경영유의사항 등 공시

1. 금융기관명 : 국민은행

2. 제재조치일 : 2018. 2. 8.

3. 제재조치 내용

4. 조치요구사항

가. 경영유의사항

(1) 내부자본관리체계의 고도화 방안 마련

• 신용리스크 내부자본 측정방식을 규제기준에 적용하는 고급내부등급법으로 전환하고,

Top-down 방식의 내부자본 한도 배분방식을 도입하는 등 내부자본관리체계 개선을 추진하였으나, 이로 인해 발생할 수 있는 예상치 못한 리스크의 확대 및 리스크 통제구조 약화 가능성에 대비해 현행 리스크 통제방안을 보완할 수 있는 추가적인 관리방안을 수립하고 내부자본관리 고도화를 추진할 필요가 있음

(2) 기업운전자금의 자금용도 사후점검 강화

• 기업운전자금 취급시 자금용도에 대한 사후점검을 하여야 하고, 관리의 적정성을

점검하여야 하나 일부 사후관리를 소홀히 한 사례가 있으므로

자금용도에 대한 점검의 적시성 및 충실성을 제고하기 위하여 사전에 이행을 안내하고 기일 경과시 전산 통제를 하는 방법 등으로 사후점검을 강화할 필요가 있음

(3) 보증서담보대출 취급 및 사후관리 강화

• 보증서담보대출의 기한이익 상실사유가 발생하여 보증기관에 보증금 지급을

청구하였으나 보증특약 위반 및 사후관리 소홀로 인해 지급이 거절되었고, 대위변제가 완료된 보증서 담보대출 잔액에 대한 담보해지 처리가 지연되는 등 사후관리 업무처리를 일부 소홀히 한 사실이 있으므로

보증서담보대출을 취급하는 경우 보증특약에 대한 심사를 철저히 하고 대위 변제 완료시에는 잔여 여신에 대한 담보가 즉시 해지되도록 사후관리 절차를 강화할 필요가 있음

(4) 주택담보대출 리스크관리 강화

• 차주에게 취급한 주택담보대출 및 개인 신용대출이 차주의 아파트 소유권 이전일과

동일한 날에 함께 취급된 사실이 확인되므로

주택담보대출과 개인 신용대출을 동일한 날에 취급하는 등 신용대출이 주택구입 용도로 사용될 가능성이 높은 경우에는 신용대출 합산 LTV를 산정하여 차주 채무 상환능력을 평가하는 등 신용평가를 강화할 필요가 있음

(5) 회계상 대손충당금 산정방식의 합리성 제고

° 명목회수금액에 평균회수기간을 고려한 자기자본비용률을 통해 미래가치로 환원한 후 유효이자율로 재할인하여 회계상 LGD를 산출하고 있어 산출방식의 차이에 따라 대손충당금 규모에 차이가 발생하여 대손충당금적립률 등의 건전성 지표에 대한 은행간 비교가능성이 저해될 소지가 있으므로

회계상 LGD 산출방식의 합리성을 제고하기 위해 계좌별 회수내역에 유효이자율을 직접 적용하는 등의 방식으로 개선할 필요가 있음

(6) 전문직군의 성과보수 지급체계 합리화

• 전문직군 성과보수체계의 경우 부여된 성과목표를 XX% 이하로 달성하거나 목표를

XX% 초과하더라도 추가로 지급되는 성과보수가 XXXX만원 이하인 경우 성과보수를 일시에 지급하도록 설계되어 있는 등 일부 불합리한 소지가 있어 전문적군에 성과보수를 지급하는 경우 성과보수의 일정비율 이상을 이연하여 지급 하는 등 성과보수체계를 합리적으로 개선할 필요가 있음

(7) 금융투자상품 관련 성과평가체계(KPI) 합리화

• 금융투자상품의 경우 고위험이거나 수수료가 높은 상품에 대해 실적 가중치를

다른 상품보다 높게 설정하고 있어 투자상품 권유시 가중치가 높은 고위험•고수수료 상품 위주로 영업행위가 편중될 우려가 있으므로

금융투자상품의 건전한 판매문화 정착을 위해 투자상품별 가중치를 합리적으로

조정하는 등 성과평가기준을 합리적으로 운영하시기 바람

(8) IT 등 전문감사인력 양성을 위한 인력운영 방안 마련

• 핀테크 산업의 발전, IT 금융사고의 빈발 등 변화하는 금융 환경에서 IT 부문

감사를 적시에 수행할 필요성이 증대되고 있음에도 불구하고 IT 감사 전문인력이 소수에 불과하여 IT 검사 수요에 효과적으로 대응하기가 어려우므로

감사목적을 효과적으로 달성하기 위해 적정 감사인력을 확보하는 한편 IT 등 전문 감사인력 양성을 위한 인력 운영방안을 마련하시기 바람

(9) 수의계약 관련 내부통제 시스템 정비

• 수의계약업무의 상당부분이 일상감사 또는 준법감시인의 사전점검 등의 과정을

거치지 않는 경우가 다수이고, 수의계약의 경우 그 사유가 다양하므로 내규 조항의 적용이 올바른지 여부, 서류 작성 미비 여부 등을 제3자가 점검할 필요가 있으며

계약업무의 경우 운영리스크가 상대적으로 큰 업무이고 계약업무가 담당자에게 집중화되어 있는 상황임을 감안하여, 계약담당자도 명령휴가 의무대상자로 운영 할 필요가 있음

(10) 신규 여신상품 수익성 분석 기준 마련 및 중요사업에 대한 의사결정 과정 강화

• 신규 여신상품에 대한 수익성 분석시 업무원가를 반영하지 않아 내부 의사결정

과정에서 적정한 예상수익 등의 검토가 충분치 않을 우려가 있으므로 신규 여신 상품에 대한 수익성 분석시 업무원가를 반영한 결과를 포함하여 보고하는 등 일관된 분석기준을 마련하고

지주내 다른 계열사와의 협약을 통해 진행되는 중요사업의 경우에는 은행 및 지주 전체의 수익과 평판리스크에 중대한 영향을 미칠 수 있으므로, 수익성 분석결과 및 리스크요인 등을 이사회에 부의하여 의결을 거치는 등 의사결정 과정을 강화할 필요가 있음

(11) 유동성리스크 관리를 위한 비상조달 계획 마련 철저

• 유동성 위기에 대응하기 위한 비상조달계획 수립시 부서별로 조달 및 운용을

위한 위기단계별 대응방안이 마련되어 있지 않고, 유동성 위기단계별 자금조달 계획 실행 부분에 관련 평판효과를 미반영하는 등 일부 미흡사항이 있으므로

향후 각 위기단계별로 조직간의 역할과 책임을 명시하고 평판효과 분석 등을

통하여 위기 발생시 효과적인 대응이 가능하도록 보다 구체적인 비상조달 계획을 마련할 필요가 있음

(12) 신용리스크 통제조직의 독립성 제고

• 내부 신용평가시스템의 설계 또는 선택, 시행 및 성과에 대하여 책임을 지는 독립

적인 신용리스크 통제조직을 두어야 하며, 신용리스크 통제조직은 여신부문 및 여신업무 담당자 등 익스포져의 생성에 책임이 있는 담당자 및 관리조직으로부터 기능적으로 독립되어야 함에도

전행 여신정책 및 경영계획 수립 등 여신관리를 수행하는 부서에서 신용평가모형의 개발, 수정 및 관리•개선을 운영하고 있어 신용리스크 통제조직의 독립성이 결여될 가능성이 있으므로 신용등급 및 신용평가모델 업무를 독립적인 신용리스크 통제 조직으로 이관할 필요가 있음

나. 개선사항

(1) 휴•페업 차주에 대한 여신사후관리 미흡

• 일부 휴 • 폐업 차주 여신 관련 사후관리 정보가 전산에 등록되어 있지 않거나 규정상

등록 기한을 초과하는 등 사후관리의 적시성이 미흡하고 사후관리 전산기록이 실제 관리 내용과 상이하거나 사후관리 조치 예정일을 임의로 기재한 사례가 발견되는 등 관리의 충실성도 미흡한 수준이므로

앞으로 휴• 폐업 차주에 대한 사후관리 입력을 전산으로 제어하는 등 시스템을 정교화 하고 사후관리 적정성 여부에 대한 모니터링을 강화하는 등 관련 업무프로세스를 개선하시기 바람

(2) 여신감리 결과지적사항에 대한 사후관리 미흡

• 여신감리 권고사항에 대해 내규상 조치기한을 경과하여 처리하는 등 사후관리가

미흡하고 내규상 제도 및 업무절차 관련 권고사항의 조치기준이 명확하지 않아 조치완료 일자에 대해 영업점의 혼선을 초래할 우려가 있으므로 관련 내규 정교화 및 전산 개발 등을 통해 사후관리 업무 체계를 개선할 필요가 있음

(3) 장애인 대출 취급시 관련 절차 불합리

• 청각장애인 등 의사소통이 어려운 차주에 대한 영업점 대면 영업시 청각장애인의 제

3자(대리인 등) 동행여부 확인 등 본인 의사확인 절차가 다소 미흡하므로

대면 영업시 동행인(대리인 등)에 대한 기록을 철저히 관리하고 비대면 영업시(대출 모집인 등) 영업점 직원 동행을 의무화하도록 의사확인 절차를 개선할 필요가 있음

(4) 보증설정업무 관리 미흡

• 제3자 담보제공자를 연대채무자로 전산상 중복 등록하거나, 과거 설정된 포괄근

저당을 해지되었음에도 불구하고 현재까지 전산에 유지하는 등 보증 관리가 미흡하므로

전산상 제3자 담보제공자가 연대보증인으로 중복 등록된 경우 및 적합하지 않은 포괄근저당 등록 사례를 점검하여 일괄 조정하는 한편 제3자 담보제공자가 있는 경우 피보증 내용이 입력되지 않도록 시스템을 개선하시기 바람

(5) 기업신용평가 신용등급 조정업무 처리소홀

• 신용평가등급을 조정하는 경우 전산시스템에 조정사유를 대부분 기타로 등록하고

있으며, 기업부실예측점검 기준에 해당되어 제한등급이 적용된 이후에도 별도의 절차 없이 등급을 상향하는 등 업무처리가 소홀하므로

앞으로 신용등급 상향조정시 실제 신용등급 조정사유를 입력할 수 있도록 전산 시스템을 개선하고, 일정 등급 이상으로 상향조정하는 경우 전결권을 상향 조정하는 등 보다 엄격한 절차를 통해 등급 조정이 이루어지도록 적정한 기준을 마련하시기 바람 (⑥ 대출상품별 리스크관리 절차미흡

• 대출상품별로 취급이 가능한 채무자 대출한도, 최저 신용등급 등을 상품별 업무

매뉴얼에 명시하여 운용하고 있으나, 이에 대한 확인을 소홀히 하는 등 상품별• 차주별 리스크관리가 다소 미흡한 부분이 있으므로

대출상품별로 관련 취급기준을 준수할 수 있도록 사전에 전산시스템으로 통제하는 등 관리절차를 개선하시기 바람

(7) 경영진 성과평가체계 합리화

• 일부 경영진에 대한 성과보상평가의 경우 특정 항목이 중복으로 반영되는 등

불합리한 측면이 있으므로

성과보상평가시 특정 항목이 중복으로 반영되지 않도록 성과평가 체계를 합리적 으로 개선하시기 바람

(8) 국외점포 관리체계 미흡

• 일부 국외점포에서 업무처리 오류가 장기간 지속됨에도 이를 발견하지 못하는

사례가 확인되어 국외점포 관련 내부통제의 구축·운영 및 통할•관리가 미흡한 것 으로 판단되고, 각 국외점포의 내부통제를 담당하는 준법감시인에 대한 성과평가가 국외점포의 장에게 위임되어 있고 이해상충 발생이 우려되므로

해외사업 확대에 따른 리스크를 선제적으로 관리하기 위해 국외점포의 규정 정비 및 점검 기능 강화, 본점의 영업지원 기능 제고 등 국외점포 내부통제 관리체계를 종합적으로 개선하시기 바람

(9) 임직원에 대한 대출 중도상환수수료 제도 불합리

• 대출 중도상환수수료 관련 내규가 임직원 및 일반고객간 다소 차이가 있으

므로 임직원 대출의 경우에도 일반대출과 동일하게 취급할 수 있도록 관련 규정 등을 개선하시기 바람

(10) 신용카드업무 관련 개인신용정보활용동의서 관리체계 미흡

• 신용카드 신청시 거절건에 대해 전산시스템상 일별 개인신용정보활용동의서

점검명세와 월별 파기명세가 일치하는 않는 전산오류가 발생하고, 동의서 파기 절차도 명시되어 있지 않으며 영업점의 신용카드업무 이행 및 관리 실태를 주기 적으로 점검하는 절차가 마련되어 있지 않는 등 전반적인 동의서 관리체계가 미흡하므로

관련 전산시스템 및 업무매뉴얼 등 업무체계를 합리적으로 정비하는 한편, 주기적 으로 업무이행 및 관리 실태를 점검하는 장치를 마련하는 등 관리체계를 강화 하시기 바람

(11) 기술금융업무의 업무절차 및 내부통제 미흡

• 기술금융 평가실적에 대한 자체점검 기능이 다소 미숙하게 운영되고 있으므로

기술금융부의 평가권한 및 평가서 수기조작의 제한 등 전산시스템을 개선하고 업무처리, 대외보고서 등에 대한 적정성 점검 기능을 마련하는 등 내부통제 체계를

합리적으로 강화하시기 바람

(12) 외국환업무 사후관리 방안

• 수출환어음 매입업무 절차에서 수입 은행의 사후 하자 통보가 다수 발생하였으므로

수출환어음 매입시 심사기능의 실효성 제고를 위해 서류 점검관리, 영업점 직원 교육, 사후하자 사유별 모니터링 차별화 등 사후관리 업무절차를 강화하시기 바람

타발송금의 경우 별도의 조치 없이 장기간 수취인에게 지급처리를 하지 않는 등 타발송금에 대한 사후관리가 미흡하므로

타발송금 관련 미지급 사유 및 송수신 메시지의 정기적인 관리, 송금 재반환 등 타발송금의 사후관리 업무체계를 개선하시기 바람

(13) 펀드, 신탁, 방카슈랑스 판매관련 소비자보호절차 미흡

• 투자상품 관련 고령자의 적극투자형 이상 비중이 전체고객 비중보다 높으며, 보험

상품의 계약시 상품 비교설명이 소홀한 사례가 확인되는 등 소비자보호 절차가 정상적으로 작동하지 않을 가능성이 있어

금융상품 판매시 소비자보호 절차의 실효성 제고를 위해 고령자 등 취약계층에 대한 소비자보호 절차를 강화하는 한편, 설명의무 이행 등 판매절차가 적정하게 이루어지도록 업무체계를 개선할 필요

(14) 신용등급 유효기간 등 신용등급관리 소홀

• 영업점에서 승인한 신용등급과 본부부서에서 승인한 신용등급의 유효기간을 달리

적용하고 본부 승인 신용등급의 유효기간은 승인권자가 임의로 설정할 수 있음에 따라 중요정보가 새로이 입수되어도 신속히 재평가가 이루어지지 않을 우려가 있는 등 신용등급관리와 관련하여 소홀한 점이 있으므로

차주에 대한 중요한 정보가 새로 입수되는 경우 신속하게 신용등급 재평가가 이루어 지는 등 신용등급 관리 및 이용체계를 개선하시기 바람

(15) 기업•소매 익스포져 분류 미흡

• 기업•소매익스포져 분류시 기업으로 분류되어 기업 신용평가모형에 의한 평가 등

기업익스포져로 처리되어야 할 차주들이 장외파생상품 익스포져를 고려하지 않아

소매 신용평가모형에 의한 평가 등 소매익스포져로 처리되고 있으므로

동일 차주에 대해 장외파생상품 익스포져를 포함하여 기업•소매익스포져를 분류 하고, 해당 신용평가모형에 의한 평가 등 적절한 프로세스에 의해 처리될 수 있도록 관련 규정 및 절차를 개선하시기 바람

(16) IT부문 감사 체계 미흡

• 개발자 프로그램 테스트시 데이터 변경 절차의 적정성, 보안점검의 날 매월 실시

여부, 정보기술부문 계획서 등 법규에 따른 업무보고서 제출 여부 등을 상시점검 하지 않아 위규사항이 발생할 우려가 있고

차세대 프로젝트 추진, 클라우드•빅데이터 등 신기술 도입 등으로 인해 II자체 감사 수요가 증가할 것으로 예상됨에도 자체감사 인력을 축소하여 내부통제가 취약해질 우려가 있으며

대고객 서비스 중단 등 IT부문 중요 장애 사고 발생시 II장애에 대한 자체감사 체계가 없어 IT부문 이중출금 사고 및 고객 통지 관련 오류 사고 등에 대한 재발 방지 대책이 적정히 수립되지 않아 장애가 재발하는 사례가 있었으므로

인력을 확충하는 등 IT자체 감사 체계를 강화하고 주요 장애 발생시 자체 감사 실시 후 재발방지 대책 등을 수립•검토하여 보고하는 체계를 마련하시기 바람

(17) 데이터베이스 계정 및 접근권한 관리절차 불합리

• 동일부서 내 직무 변경시에는 데이터베이스 계정이 회수되지 않거나, 계정 및 계정별

접근권한 부여 후 그 정당성을 사후 확인·통제하는 절차가 마련되지 않아 과도 하게 계정 및 계정별 접근권한이 부여될 우려가 있으므로

시스템 계정관리 담당자가 정기적으로 계정 및 접근권한 부여 현황을 개발자•운영자 소속 부서장으로부터 확인받는 등 적정성을 점검하는 절차를 마련하는 한편

개발직무 담당 직원에게는 원칙적으로 운영계 데이터베이스 계정 및 데이터 접근 권한을 부여하지 않도록 하고 운영직무(유지보수 포함) 담당 직원에게만 데이터베이스 계정 및 데이터 접근권한을 필요한 최소한의 범위에서 부여하며, 관련 절차를 내규에 반영하는 등 관리 절차를 개선하시기 바람

(18) 테스트 데이터 변환 사용 통제절차 불합리

• 프로그램 테스트 목적으로 이용자정보 사용시 책임자의 사전승인 후 개발환경으로

데이터를 이관하고, 사전에 자동변환 항목으로 지정된 이용자정보는 이관시 테스트 데이터 변환솔루션을 통해 자동 변환되고 있으나 테스트 데이터 이관시 승인권자가 명시되어 있지 않아 변환 승인시 책임관계가 불명확하고, 카드번호, 채권번호 등은 변환솔루션을 통해 자동 변환되지 않고 개발자에 의해 수동으로 변환되도록 운형하고 있어 변환이 누락될 가능성이 있고

개발자가 변환 데이터 사용기간을 미지정하거나 임의로 지정하도록 되어 있어 테스트 종료 즉시 삭제되지 않을 우려가 있으며, 개발시스템에서 실제 데이터 사용을 허용하는 예외조항을 운용하고 있어 프로그램 테스트 시 이용자정보가 변환 없이 사용될 우려가 있으므로

테스트 데이터 변환대상 항목 중 카드번호, 채권번호, 수표번호를 자동 변환대상 으로 분류하고 테스트 데이터 이용과 관련한 내규 및 지침을 개선하시기 바람

(19) 계열사간 문서보안체계 불합리

• 고객정보 등 주요문서의 유출방지를 위하여 문서보안프로그램(DRM)을 적용•운영하고

외부로 문서반출시 통합반출승인시스템을 통해 책임자 승인 후 발송하도록 되어 있으나 계열사(A스, w)와 동일한 DRM 암호화키를 사용하고 있으며, 계열사간 내부 메일 송·수신시 별도의 승인절차가 없어 내부문서가 외부로 유출될 우려가 있으 므로

계열사별로 DRM 암호화키를 분리하고, 계열사간 내부메일 발송시 통제절차를 도입하는 등 문서보안체계를 개선하시기 바람

(20) 홈페이지 취약점 분석•평가 절차 불합리

• AAAA년 상반기 전자금융기반시설 및 홈페이지 취약점 분석•평가 일정이 장기간

소요됨에 따라 AAAA년 상반기 홈페이지 취약점 점검 일정과 스스스스년 하반기 홈페이지 취약점 점검 일정이 중복되는 사례가 있었으며

이로 인해 기존에 발견된 취약점이 조치되기 전에 다시 점검을 실시하여 취약점 분석•평가의 실효성이 저하되거나 보완이 시급한 취약점이 신속하게 조치되지 않을 우려가 있으므로

향후 홈페이지 취약점 분석•평가 일정(상반기 및 하반기)이 중복되지 않도록 전자

금융기반시설 평가 일정과 공개용 홈페이지 평가 일정을 분리하는 등 관련 절차를 개선하시기 바람

(21) SWIFT 시스템 보안대책 미흡

가. SWIFT 서버 보안대책 불합리

계정관리시스템을 통해 사용자의 SWIFT 서버 접속통제 및 접근이력 관리절차를 마련하고 있으며, 운영자 1명에게만 SWIFT 서버 계정을 부여하고 접속을 허용하고 있으나

사용자 단말기에 부여된 IIP로는 접속을 통제하지 않아 운영자 계정으로 여러 단말기에서 접속하거나 계정관리시스템을 우회하는 경우 접속이력을 확인하거나 접속을 통제하기 어려운 문제점이 있으므로

SWIFT 시스템에 접속할 수 있는 단말기를 운영자 단말기 1대로 최소화하고 허용 되지 않은 단말기의 SWIFT 시스템 접속이력 점검 및 계정관리시스템 우회 접속을 차단하기 위해 SWIFT시스템 전용 방화벽을 구축하는 등 SWIFT 시스템 보안대책을 개선하시기 바람

나. SWIFT 단말기 보안대책 불합리

해외 지점의 SWIFT 사용자 단말기에 대해서는 물리적 망분리를 적용하고 있으나, 국내 본•지점의 사용자 단말기는 논리적 망분리를 적용하고 있어 단말기가 악성 코드에 감염되거나 논리적 망분리 솔루션의 취약점이 노출되는 경우 외부로부터의 악의적 접근을 허용하게 될 우려가 있으므로

국내 SWIFT 사용자 단말기 중 전문 생성 및 수정이 가능한 사용자 단말기에 대해서는 업무 영향도를 분석하여 물리적 망분리 환경으로 적용하는 등 SWIFT 시스템 사용자 단말기 보안대책을 개선하시기 바람