하나증권주식회사 금감원 경영유의사항 · 2025-11-11

경영유의사항 등 공개안

1. 금융기관명 : 하나증권㈜

2. 조치일 : 2025. 11. 11.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 제3자 서비스 관리체계 강화 필요

회사는 핵심업무에 대한 역량 집중 및 전자금융거래 업무 등의 효율적 운영을 위하여

다수의 외부 전문업체와 제휴 및 정보처리위탁 계약을 맺고 있으며, 제3자 서비스 관련 절차 등을 내규*로 마련하고, 반기별로 제3자 서비스 단일 장애지점**에 대한 점검을 수행하는 등 제3자 서비스를 관리하기 위해 지속적으로 노력하고 있다.

* 정보처리 및 전산설비 위탁리스크 관리 매뉴얼, 업무위탁등에 관한 운영지침 등

** 대체수단이 제공되지 않아 해당 기능 중단 시 주요 전자금융업무에 영향을 주는 요소

하지만 제3자 서비스에 대한 상세 관리 기준 및 관리 체계, 총괄 관리부서가 부재한

상태로 외부 업체와 계약을 수행한 각 부서에서 해당 업체에 대한 관리를 개별적으로 수행하고 있다.

이로 인해 제3자 서비스 전체 현황 및 관련 전자금융거래 서비스, 제3자 서비스 장애 발생 시 업무 영향도, 제3자 리스크 관련 문서* 등이 체계적으로 관리되지 않고 있고

* 리스크관리 활동 내역, 위탁 관련 의사결정사항, 실사 결과 등 주요사안

해외 파생 매매 등 주식 거래 관련 업무에 대하여 상품별·국가별·거래소별로 단일

장애지점 여부를 판단하지 않고 있으며, 대체수단 마련이 가능한 단일 장애지점임에도 대체수단을 마련하지 않은채 계약서상 SLA 또는 손해배상과 관련한 조항이 있는 경우 적정한 것으로 판단하는 등 제3자 서비스 단일 장애지점 관리가 미흡하다.

또한, 일부 제3자 서비스 위탁 계약 시 당국의 감독·검사 수용의무 등 계약항목이

누락*된 사례가 있는 등 제3자 서비스 계약관리가 다소 미흡하게 운영되고 있다.

* A(펌뱅킹), B(마이데이터 통합인증), C(인증, 전자서명) 등

<조치할 사항>

따라서 회사는 제3자 서비스 총괄 관리부서 지정 및 업무 영향도 관리 기준 등

관리 체계를 마련하여 단일 장애지점을 식별*·관리하고 제3자 리스크 관련 문서를 집적 하며, 대체수단 마련이 가능한 단일 장애지점인지 여부를 고려하여 단일 장애지점 관리의 적정성을 점검하는 등 제3자 서비스 관리를 강화하여 운영하고

* 주식 거래 관련 업무의 경우 상품별·국가별·거래소별로 단일 장애지점 여부 판단

제3자 서비스 계약 체결시 내규를 참고하여 제3자 리스크관리에 필요한 핵심

항목을 계약서에 추가하고 준법감시인 등 리스크관리부서에서 필수조항 포함 여부 등 계약의 적정성을 검토하시기 바랍니다.

(2) 핵심업무 선정 관리 강화 필요

회사는 내규 ｢ ○○지침｣ 에 따라 매년 BCP전담부서(D실) 주관으로 각 업무부서에서

업무영향분석(BIA)을 실시하고 있다.

하지만 각 업무부서는 동 업무영향분석(BIA) 결과와 무관하게 복구목표시간을

설정하고 있다.

또한, BIA 수행 과정에서 BCP전담부서, 업무부서, IT부서 간의 핵심업무 선정에

대한 검토 및 협의가 미흡하여 BIA 결과에 따라 선정된 핵심업무와 IT비상계획서 상의 핵심업무가 상이하게 운영된 사례가 있다.

<조치할 사항>

따라서 회사는 업무영향분석(BIA) 수행 시 IT부서 등 관련 부서와 핵심업무 및 복구

목표시간 설정 기준이 적정한지 검토하는 절차를 추가하고, 최종 산정된 업무별 복구목표 시간 및 업무재개 우선순위에 대한 적정성을 검토한 후 업무영향분석(BIA) 결과를 확정하며, 동 결과를 IT비상계획서에 반영하여 운영하시기 바랍니다.

나. 개선사항

(1) 외부 연계기관 통신회선 연결 및 대체수단 마련 미흡

회사는 국내 주식 및 파생상품 매매업무 등과 관련된 한국거래소, 넥스트레이드

등 외부 연계기관에 대해 통신회선을 이중화하고, 회사의 재해복구센터에도 외부 연계 기관과 통신회선을 연결하고 있다.

하지만 회사는 국내·해외 주식매매 등 업무를 핵심업무로 지정하였는데도 재해복구 센터와 E* 등 일부 외부 연계기관의 주전산센터간 회선을 연결하지 않았고, 신용정보조회 업무와 관련된 외부 연계기관에 대해서는 대체수단을 마련하지 아니하여 통신회선에 장애가 생기거나 재해 등으로 회사 재해복구센터로 전환·운영 시 제3자 서비스와의 연결이 원활하지 않아 연계된 핵심업무의 업무지속성이 보장되지 못할 우려가 있다.

* 유가증권 권리공시 정보, 파생결합증권 정보, 상품채권 종목정보, 채권·REPO 매매자료 등 서비스 제공

<조치할 사항>

따라서 회사는 핵심업무와 연관된 제3자 서비스 단일 장애지점에 대해서는 회사

재해복구센터와의 통신회선 연결 필요성 및 보완수단 등을 재검토하고 대체수단 확보가 가능한 제3자 서비스의 경우 대체수단을 마련하는 등 제3자 서비스 연계 업무에 대해 운영복원력을 확보하시기 바랍니다.

(2) 제3자 서비스 관련 비상대책 및 재해복구전환훈련 미흡

회사는 업무지속성확보를 위해 IT비상계획서를 마련하고, 동 계획서에 따라 매년

재해복구전환훈련을 실시*하고 있다.

* 한국거래소와 합동 재해복구전환훈련 연 2회 실시, 자체 재해복구전환훈련 연 2회 실시

하지만 IT비상계획서 등에 재해복구센터 전환 시 제3자 서비스 복구 절차, 제3자

서비스 장애시 비상대응방안 등이 상세히 마련되어 있지 않는 등 IT서비스 업무연속성 확보방안을 재정비할 필요가 있다.

또한, 한국거래소와 합동 재해복구전환훈련 시 한국거래소 및 대체거래소(넥스트

레이드), 금융결제원, K-OTC와 연계 훈련을 실시하였으나, 핵심업무와 관련된 타 제3자 서비스(단일장애지점 포함)*에 대해서는 연계 훈련을 실시하지 않았다.

* F(해외주식시세), G(신용정보 조회), H(계좌개설시 한도조회) 등

<조치할 사항>

따라서 회사는 재해복구 전환시 제3자 서비스 복구 절차 및 제3자 서비스 장애

시에 대한 비상대응방안을 IT비상계획서 등에 마련하여 운영하시기 바랍니다.

또한, 핵심업무와 관련된 제3자 서비스에 대해서도 재해복구전환훈련 시 연계 훈련을

강화하여 실시하시기 바랍니다.(대외기관 지원이 불가한 경우 유사 환경 구조로 대체하여 훈련 실시)