경남은행 금감원 경영유의사항 · 2023-04-26

경영유의사항 등 공개안

1. 금융회사명 : 경남은행

2. 조치일 : 2023.4.26.

3. 조치내용

※ 경영유의사항 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 조치대상사실

가. 경영유의사항

⑴ 보수위원회의 경영진 성과보수 체계에 대한 위험평가 및 통제 강화

2021년 경영진 단기 성과급 지급안을 수립함에 있어 당초 설정한

경영계획 목표를 초과하는 이익 달성시 별도의 성과급을 추가 지급 하도록 하는 등 경영진 보상체계가 단기 수익성 위주의 외형확대 전략을 추구하는 유인으로 작용할 수 있음에도

보수위원회 등은 과도한 외형확대 위험에 대한 실질적인 검토 없이 이를 승인하였으며, 실무진은 보수위원회에 경영진 보수 지급 현황* 및 보수체계 변경 영향분석 자료 등 경영진 성과보수 체계의 심의에

필요한 정보를 충분하게 제공하지 않아 보수위원회의 실질적 검토도 어려운 실정이므로

* 경영진 보수 한도액 및 보수지급액, 연도별 변동 추이, 은행 재무상황

경영진에 대한 단기 성과급 지급기준을 마련함에 있어 수익성과

건전성이 조화를 이루도록 설계하고, 보수위원회가 경영진 성과보수 체계 관련 안건을 충실히 심의할 수 있도록 동 위원회에 관련 정보를 충분히 제공하는 한편, 실무위원회 구성을 통해 보수위원회를 지원 하도록 하는 등 경영진 성과보수 체계에 대한 보수위원회의 위험평가 및 통제를 강화할 필요가 있음

⑵ 징계자에 대한 인사관리 내부통제 강화

일부 직원에 대해 징계 조치를 하고도 징계효과 기간중 표창, 승진,

승급을 실시한 사례가 발생하고 있어, 징계의 효력을 무력화하고 조직 차원의 내부통제 준수 문화를 저해하는 요인으로 작용할 수 있으므로

징계의 실효성 제고 및 내부통제 준수문화 형성을 위해 징계자에 대한

표창, 승진, 승급 제한 등 관련 내규가 엄격히 준수될 수 있도록 징계자에 대한 인사관리 내부통제를 강화할 필요가 있음

⑶ 재산상 이익제공 관련 내부통제 강화

은행의 재산상 이익제공과 관련하여 다음과 같은 미흡한 점이

있으므로 관련 내부통제 업무를 강화할 필요가 있음

㈎ 재산상 이익제공 준법감시인 사후보고의 적정성 관리 강화

내규 ｢불건전 영업행위 방지에 관한 규정｣ , ｢ 재산상 이익제공

보고 및 공시 업무매뉴얼｣ 에 따라 준법감시인에게 재산상 이익제공

사실을 사후에 보고하는 경우 1개월 내에 전산으로 사후보고 사유를 입력하여 보고하여야 하나

실제로는 전산으로 동 사유를 관리하지 않고 있으며, 1개월을

초과하여 지연보고된 사례가 있음에도 별다른 사후관리를 하지 않고 있어 재산상 이익제공시 예외적으로만 준법감시인에게 사후보고하도록 한 내부통제장치가 적절히 작동하지 않을 우려가 있으므로

재산상 이익제공 사후보고 사유의 전산입력 여부 및 입력된

사유에 대한 적정성 확인과 부적정한 경우 이에 대한 조치 등 사후 보고 관련 관리를 강화할 필요가 있음

㈏ 재산상 이익제공 관련 이사회의 통제절차 강화

내규 ｢ 불건전 영업행위 방지에 관한 규정｣ 에 따라 10억원 초과

재산상 이익을 제공하고자 하는 경우 사전 이사회 의결을 거쳐야 하고, 상세한 수익성 평가결과를 이사회에 제공하여야 하며, 손익분석후 실제 손익이 예상손익에 미달하는 경우 그 원인 및 대책을 보고하여야 하나

이익제공 가능액(상한) 등 제공하려는 이익의 내용을 명확하게

정하지 않고 이사회 의결을 받거나, 상세한 수익성 평가결과를 이사회에 제공하지 않은 사례가 있고, 건별로 실제 손익과 예상손익을 비교 분석하여 실제 손익이 부진한 경우 원인을 이사회에 보고하는 절차를 거치지 않고 있어 이사회가 종합적인 검토를 통해 재산상 이익제공에 대한 가부를 결정하지 못하거나 실제 손익이 저조한 이익제공 건에 대한 사후관리가 적절히 되지 않을 우려가 있으므로

일정 규모 이상의 재산상 이익제공시 제공하려는 이익의 내용과

상세한 수익성 평가결과를 명확하게 이사회에 제공하고, 손익분석 후 손익 부진 원인과 대책을 이사회에 보고할 필요가 있음

⑷ 개인사업자대출 리스크관리 강화

2021.6월말 기준 개인사업자대출 잔액은 전년 동월말 대비

8.8% 증가하여 전체 기업자금대출 증가율*(+4.1%)의 약 2배 수준이고

* 전체 기업자금대출은 2021.6월말 21조 8,604억원으로 전년 동월말(20조 9,910억원) 대비

8,694억원 증가

채무상환능력이 취약한 1년 이하 신설 개인사업자대출이 전년

동월말 대비 10.3% 증가하여, 동 기간 중 전체 개인사업자대출 증가율 (+8.8%)을 상회하고 있으며

개인사업자대출 차주가 추가로 보유하고 있는 가계대출은 전년 동월말

대비 0.8% 증가하는 등 잠재위험 차주에 대한 리스크가 증가하고 있음

아울러, 개인사업자대출의 52.2%가 경기민감 업종*에 집중되어

있어 경기침체 지속시 부실 가능성이 있고, 특히 부동산업 비중이 20.6%로 전년 동월말(22.6%) 대비 소폭 감소하였으나 타 업종에 비해 여전히 가장 높은 수준임

* 부동산관련업(부동산임대업 및 건설업), 도소매업 및 숙박 음식업

코로나 19 장기화에 의한 경기침체 지속으로 자생력이 부족한

신설 개인사업자의 채무상환능력 저하가 우려되고, 경기민감 업종 중 부동산업 대출 부실시 전체 개인사업자대출의 건전성이 크게 악화될 우려가 있으므로

채무상환능력이 취약한 1년 이하 신설 개인사업자대출의 증가 속도

및 연체율 등에 대한 모니터링을 강화하고, 부동산업에 대한 신용편중 리스크 완화 방안을 마련하는 등 리스크관리를 강화할 필요가 있음

⑸ 여신감리 및 조기경보제도 기능 강화

은행의 여신감리 및 조기경보제도와 관련하여 다음과 같은 미흡한

점이 있으므로 관련 제도와 기능을 강화할 필요가 있음

㈎ 여신감리 강화

내규 ｢여신감리 업무지침｣에 여신감리 담당자의 자격 요건을

구체적으로 명시하지 않아 전문성을 갖추지 못한 자가 감리업무를 수행할 우려가 있고,

A부서는 여신감리 결과에 따라 적정한 조치사항을 부여해야

하는데도 내규에 이를 재량행위로 정하여 조치사항을 부여하지 않을 소지*가 있으며,

* 특히, 감리결과 판정 유형 중 ‘지적’의 경우 내규 위반 관련 사안인데도 후속조치로서

‘필요시’ 그 내용을 B부서에 통지하도록 정하고 있음

조치사항 등을 통지받은 영업점의 이행 여부 보고기한을 내규에

구체적으로 명시하지 않아 조치사항 부여시 이행(보고)기한을 자의적으로 설정할 우려가 있는 한편

여신감리 담당자가 조치사항 이행 여부 확인을 위한 근거 자료를

영업점으로부터 제출받지 않은 경우가 있으며, 여신감리 담당자의 추가조치 요구 시 영업점이 이를 이행하지 않더라도 영업점을 통제할 수단이 없으므로

여신감리 담당자의 자격요건을 내규에 구체적으로 명시하고,

여신감리 결과 조치사항 부여 근거 조항을 재량행위(‘할 수 있다.’)에서 기속행위(‘해야 한다.’)로 개정하며, 전결권 위반 등 내규 위반 소지가 있는 문제점 발견 시 반드시 B부서에 이를 통지하도록 하고

조치사항과 관련된 이행(보고)기간을 조치유형별로 내규에 구체적으로

명시하는 한편, 영업점 통제 수단을 마련하여 조치결과 이행여부를 관리*하는 등 여신감리를 보다 강화할 필요가 있음

* ① 여신감리 담당자가 조치사항 이행여부 점검 시 점검의 근거가 되는 기록을 관리

② 조치사항 미이행 또는 이행 내용 부적절에 따라 이행 촉구 및 보완 등의 추가조치를

하였음에도 추가조치 이행기간까지 제대로 이행하지 않는 경우 그 내용을 B부서에 통지하도록 관련 내규 개정

㈏ 조기경보제도 기능 및 운영 강화

여신 일정 금액 이상 차주에 대해서만 조기경보를 적용하여

최근 정상등급 기업의 부도율이 상승하는 상황에서 부실우려 기업이 조기경보 대상에서 제외될 우려가 있고

조기경보제도 기능 및 운영에 따른 부도 발생 사전 예측이 다소

늦은 편이며 해당 기업의 부도 가능성을 신용등급에 적시 반영하지 못하는 상황이므로

조기경보적용 대상을 확대하고 부실우려 기업이 부도에 임박하여

조기경보기업으로 선정되지 않도록 사전예측력을 강화하는 한편, 부도 가능성 등이 신용등급에 적시 반영되도록 조기경보제도 기능 및 운영 강화방안을 마련할 필요가 있음

⑹ 대손충당금 적립 절차 강화

은행의 대손충당금 적립과 관련하여 다음과 같은 미흡한 점이

있으므로 관련 업무를 강화하시기 바람

㈎ 집합평가 대손충당금 설정시 미래전망정보 반영 강화

집합평가 대상 자산에 대한 대손충당금 산출시 등급별 부도율(PD)에

미래전망 정보*를 반영하기 위해 미래지향승수를 산출하면서

* 등급별 충당금용 PD = 등급별 기준 PD(장기평균 PD) × (1+미래지향승수)

일부 최근 데이터만을 활용함으로써 통계적인 신뢰성이 낮은

모형을 운영하고 있어 대손충당금 산정시 실제 신용위험을 적정하게 반영하지 못할 가능성이 있으므로

가능한 한 최대 표본 데이터를 활용하여 미래지향승수 산출 모형을

재추정하는 등 모형의 통계적 신뢰성을 높이는 방법을 마련할 필요가 있음

㈏ 대손충당금 개별평가 대상 선정절차 강화

내규 ｢ 회계처리업무매뉴얼｣ 에는 익스포져 일정 금액 이상, 건전성

분류 요주의 이하인 차주가 다년 연속 이자보상배율 1 미만 또는 부(-)의 영업현금흐름을 보이는 경우에도 해당 대출채권에 대하여 개별평가*가 아닌 집합평가**로 대손충당금을 적립하도록 정하고 있고,

* 개별적으로 중요한 여신에 대하여 신용위험이 유의하게 증가한 경우 미래 현금흐름의 현재가치에

기반하여 대손충당금을 산정

** 자산그룹별 부도율(PD), 부도시손실률(LGD) 등 리스크측정요소를 활용하여 대손충당금을 산정

익스포져 일정 금액 이상인 손상차주에 대한 대출채권을 평가자

재량으로 집합평가할 수 있는 근거를 마련하고 있어 이를 활용하여 대손충당금을 과소 적립할 소지가 있으므로

다년간 이자보상배율이 1 미만 또는 부(-)의 영업현금흐름을

보이는 차주와 손상차주에 대한 대출채권은 예외 없이 미래 현금 흐름의 현재가치에 기반한 개별평가를 수행하도록 개별평가 대상 선정 기준을 강화할 필요가 있음

⑺ PF대출 등에 대한 건전성 분류 및 건설사 신용평가 강화

은행의 PF 대출에 대한 건전성 분류 및 신용평가와 관련하여

다음과 같은 미흡한 점이 있으므로 관련 업무를 강화할 필요가 있음

㈎ 부동산 PF대출에 대한 건전성 분류 강화

내규 ｢ 여신사후관리지침｣ 에 따르면 프로젝트금융(PF) 사업장별 사업성

평가 결과를 기준으로 부동산 PF대출의 건전성을 분류해야 하는데도

시공사 교체 등 사업계획 변경, 준공 지연 및 리파이낸싱 지연

등으로 여러 차례 만기를 연장하여 대출상환이 장기간 지연되었음에도 연장 시점마다 사업성을 ‘양호’로, 자산건전성을 ‘정상’으로 분류한 사례*가 있으므로

* 차주 甲 및 乙 의 경우 2014.4월 및 2014.8월 신규대출이후 총 7차에 걸쳐 대출연장 처리

(2021.10월 기준 누적 분양률과 리피이낸싱 확정단계인 점 고려시 2022.1월 만기내 정상 상환될 것으로 예상되나, 만기전 상환 불가로 추가 연장시 요주의 이하로 조정)

연장 시점마다 사업장의 사업성 및 사업진행 현황 등을 종합적으로

고려하여 건전성 분류를 조정하는 등 부동산 PF대출 건전성 분류 절차를 강화할 필요가 있음

㈏ 부동산 PF대출에 대한 시공사 신용평가 강화

부동산 PF대출과 관련한 시공사 간접 익스포져는 시공사의 신용

등급과 대한건설협회의 시공능력 평가순위를 감안하여 산출·관리하고 있으나

시공사에 대한 직접 익스포져가 없거나 본점의 재심 신용평가

대상이 아닌 경우 운용부서(C부서)에서 시공사 신용평가를 실시하고 있으며

신용평가 업무는 책임자급 이상이 실시하여야 하는데도 일부

시공사에 대해서는 실무자급에서 수행하는 등 신용평가 업무가 미흡하므로

시공사의 신용등급 결정을 운용부서와 분리하여 실시할 필요가

있으며, 신용등급의 적정성 등을 감리할 수 있는 내부절차를 마련할 필요가 있음

⑻ 여신심사 승인조건 부여 및 이행 여부 관리 강화

은행은 내규에 따라 여신 신청 내용에 대해 이행이 필요한 조건이

있는 경우 별도 승인조건을 부여하고 있으나, 승인조건 부여 시 이행 기일 지정에 대한 명확한 기준이 없어 이행기일이 장기간(6개월) 설정 되고 있으며

승인조건 미이행 시 이행을 위한 적극적인 조치를 취하지 않고

있어 부동산 매각을 통한 대출금 상환 등 승인조건이 1년 이상 장기 미이행되는 사례가 있으므로

앞으로 여신심사 승인조건 대상과 범위를 명확하게 정하고 이행

기일을 합리적으로 설정하여 장기 미이행 사례가 발생하지 않도록 여신 승인조건 부여 및 이행여부 관리체계 강화방안을 마련할 필요가 있음

⑼ 상각채권 회수실적 보고 강화

은행은 ｢ 금융기관 채권대손인정 업무세칙｣ (이하, ｢ 대손인정세칙｣ 이라고 함)

제8조 제3항 및 내규 ｢ 정리채권관리규정｣ 제59조 제3항에 따라 상각

처리한 특수채권의 채권별 회수실적*을 금융감독원에 보고하여야 하나

* 대손인정일, 대손상각일, 회수금액, 회수일, 회수방법 등

D부서는 2018.7.21.~2021.11.26. 기간 중 ｢ 은행업감독업무시행세칙｣ 에서

정한 업무보고서로 계정별 회수금액 및 건수만을 보고하였으며, ｢ 대손

인정세칙｣ 에서 정한 채권별 회수실적 세부내용을 금융감독원에 보고

하지 않아 회수예상가액 산정의 적정성 및 상각처리 채권의 회수노력 등 사후관리가 미흡하게 운영될 우려가 있으므로

앞으로 ｢ 대손인정세칙｣ 에 따른 상각채권의 채권별 회수실적 보고를

누락하지 않도록 여신 사후관리 업무를 강화할 필요가 있음

⑽ 유동성 비율 및 리스크관리 강화

은행의 유동성 비율 및 리스크관리와 관련하여 다음과 같은 미흡한

점이 있으므로 이와 관련한 업무를 강화할 필요가 있음

㈎ 유동성 비율 관리 강화

은행은 ALM협의회를 통해 유동성 규제비율 및 유동성리스크

관련지표의 관리목표를 설정하고 이를 모니터링하고 있으나

실무진이 ALM협의회에 유동성커버리지비율 및 순안정자금조달

비율의 관리목표 자체를 보고하지 않은 사례가 발생하거나, 관리목표 대비 달성현황을 보고하지 않는 등 내부보고에 미흡한 점이 있고

유동성커버리지비율 및 순안정자금조달비율의 관리목표를 미달성

하거나 원화예대율, 외화유동성커버리지비율, 중장기외화자금조달비율의 관리목표를 설정하지 않는 등 유동성비율 관리체계에 미흡한 점이 있으며

유동성 비율 관련부서별 역할이 명확히 구분되어 있지 않고,

관리목표 미달성시 공식적인 부서별 대응체계를 구축·운영하고 있지 않아 예금·대출 취급, 채무 상환 등의 자금수요 발생 시 적시 대응 하지 못하는 등 유동성 부족 상황이 발생할 위험이 있으므로

ALM 협의회에서 유동성 관련 비율*의 관리목표를 설정하고

매월 목표 달성여부를 점검하는 한편, 관리목표 미달성시 부서별 역할과 대응계획 수립·실행 절차를 구체적으로 정하도록 ｢ ALM 업무매뉴얼｣ 을

개정하는 등 유동성 비율 관리체계를 강화할 필요가 있음

* 유동성커버리지비율, 순안정자금조달비율, 원화예대율, 외화유동성커버리지비율, 중장기

외화자금조달비율

㈏ 유동성리스크 조기경보지표 관리 강화

｢은행업감독업무시행세칙｣ <별표 9-2>에 따른 유동성리스크

조기경보지표를 운영함에 있어 내규 ｢비상조달계획(Contingency

Funding Plan) 업무매뉴얼｣에 유동성리스크 조기경보지표 운영에 관한 사항을 규정하고 있고

내·외부 요인을 점수화하여 합산하는 방식으로 유동성리스크

조기경보지표를 산출함에 따라 특정 요인의 악화 영향이 조기경보 지표에 희석 반영되는 효과가 있어 조기경보지표가 위기상황 발생 여부를 충분히 감지하지 못할 소지가 있는데도

2021.5월 동 매뉴얼 개정 전까지 조기경보지표 적정성 점검체계를

마련하지 않아 검사대상기간 중 조기경보지표의 적정성을 점검하지 않고 지속적으로 동일한 조기경보지표를 사용하였고

내부 요인 지표와 외부 요인 지표*를 주 1회 산출하고 있어

일별로 유동성 위기상황을 감지하는 것이 곤란한 것으로 나타나는 등 유동성리스크 조기경보지표 관리가 미흡하므로

* (내부요인) 일일 자금과부족, 일일 LCR 등, (외부요인) 조달금리 Spread, 원/달러 환율

변동률, 종합주가지수 등

유동성리스크 악화추세를 식별하고 적시에 대응할 수 있도록

조기경보지표의 산출방식 및 모니터링 주기 등을 합리적으로 개선하여 운영하시기 바람

㈐ 유동성리스크 위기상황분석 운영 강화

｢ 은행업감독업무시행세칙｣ <별표 9-2> 등에 따른 유동성리스크

위기상황분석과 관련하여 위기상황을 총 5단계*로 구분하고 각 단계별 시나리오를 설정하여 유동성 여유액 및 생존기간을 산출하는 등 반기마다 유동성리스크 위기상황분석을 실시하는데

* 위기 정도에 따라 정상상황, 은행위기, 시장위기, 경보단계, 위기단계 순으로 구분

정상상황~경보단계는 경험적 통계 등을 활용하여 시나리오를

설정하는 데 반해 위기단계는 상수값인 LCR 산출을 위한 이탈율 등을 적용함으로써 은행의 영업특성 및 취약점 등이 반영되지 못하는 문제가 있고

｢ 은행업감독업무시행세칙｣ <별표 19>에 유동성리스크 관리상의

취약점 분석 등을 위하여 민감도 분석*을 수행하도록 규정하고 있음에도 민감도 분석을 실시하지 않았고 관련 업무매뉴얼 등도 부재한 상황이며

* ‘시나리오 설계시 사용된 주요 가정이 위기상황분석 결과에 미치는 민감도’에 대한 분석

2019년 하반기부터 경험적 통계로 시나리오를 설계하도록 변경하여

시나리오가 전반적으로 기존보다 관대화*되었는데도 시나리오 변경의 적정성에 대한 검토내용을 리스크관리위원회 등에 보고**하지 않는 등 유동성리스크 위기상황분석 운영이 미흡하여 유동성 위기상황에 대비한 대응 체계가 사전에 충분하게 마련되지 못할 위험이 있으므로

* 2019년 하반기부터 시나리오를 변경하여 유동성 위기시 생존기간이 변경전 대비 길게 산출

** ｢리스크관리지침｣ 제8조 제5항은 위기상황분석 결과를 리스크관리위원회 및 집행위원회에

보고하도록 규정

은행의 영업특성 및 취약점을 충실히 반영할 수 있도록 유동성

리스크 시나리오를 설계하여 분석하고 ｢ 은행업감독업무시행세칙｣ 에 따라

시나리오 설계시 주요 가정이 위기상황분석 결과에 미치는 민감도 분석을 수행할 필요가 있음

⑾ 자본적정성 관리·강화

은행의 자본적정성 관리와 관련하여 다음과 같은 미흡한 점이

있으므로 관련 업무를 강화할 필요가 있음

㈎ 중장기 자본관리 계획을 통한 자본관리 강화

매년 경영계획 수립시 목표 자본비율을 설정하고 있으나, 구체적인

중장기 자본관리계획이 없어 명확한 근거 없이 매년 다음 해 목표 자본비율을 당해 연도 실적 대비 낮추어 설정하고, 동 방식으로 설정된

목표의 달성여부를 경영진 및 본부부서 평가를 위한 계량지표로 활용 하고 있는바

배당정책, 경영계획, 자본적정성 평가결과 등을 감안한 구체적인

중장기 자본관리 계획을 수립하여 경영진에 보고하고 동 자본관리 계획을 기초로 합리적인 목표 자본비율을 설정함으로써 적정수준의 자본비율을 유지할 필요가 있음

㈏ 자본관리 계획 수립시 내부통제 강화

경영계획 수립을 위한 최종 자본계획 확정시 부서간 자본계획을

공유하고 검토하는 업무절차 미흡으로 부서간 자본계획 불일치 여부를 파악하지 못한 채 같은 날 상이한 자본계획을 이사회 및 리스크관리 위원회에 보고하는 사례가 발생하고 있으므로,

자본계획 확정과 관련한 내부통제를 강화하여, 동일한 자본관리

계획을 토대로 업무를 수행할 수 있도록 유의할 필요가 있음

⑿ 내부자본적정성 및 리스크요소 관리체계 운영 강화

은행의 내부자본 적정성 관리 및 리스크요소 관리체계와 관련하여

다음과 같은 미흡한 점이 있으므로 관련 업무를 강화할 필요가 있음

㈎ 내부자본에 대한 문서화 및 승인절차 강화

신용·시장리스크 내부자본은 규제자본과 달리 고급 내부모형을

이용하여 산출*하고 있어 은행 자체적으로 위험관리위원회 승인절차를 마련하고 내부자본적정성 관리체제, 절차, 방법론 등을 문서화하여야 하며,

내부자본과 규제자본의 차이에 대하여 합리적인 근거로 설명할 수 있어야 하는데도

* 규제자본 : (신용리스크) 기본내부등급법, (시장리스크) 표준방법

내부자본 : (신용리스크) 고급내부등급법, (시장리스크) 내부모형법

내부목적 위험요소의 변경을 하부위원회인 리스크관리집행위원회

결의사항으로 규정하고 있고, 내부자본과 규제자본 차이의 합리적 근거에 대한 문서화가 미흡하므로

내부자본 산출방법 등을 리스크관리위원회에서 결의하도록 내규를

개정하는 등 승인절차를 강화하고, 내부자본과 규제자본의 차이에 대한 합리적인 근거 등을 명확히 문서화할 필요가 있음

㈏ 유동성리스크를 포함한 내부자본 산출 강화

｢ 은행업감독업무시행세칙｣ <별표 3-9> 제10조 등에 따라 은행은

내부자본 적정성 평가 및 관리시 경영상 직면하는 모든 중요한 리스크*를 인식·평가해야 하는데도

* 신용·시장·운영·금리·신용편중·거래상대방·유동성·전략·평판리스크 등

유동성리스크를 감안하지 않고 내부자본을 산출하고 있어 내부

자본이 과소 산출될 소지가 있으므로 모든 중요 리스크를 인식할 수 있도록 유동성리스크를 포함한 내부자본 산출방법을 마련할 필요가 있음

㈐ 보수적 위험한도 운영 및 리스크요소 산출 실시

내부자본 한도 및 위험성향 설정과 관련하여 위기상황버퍼*를

내부자본 한도 내에 직접 포함하고 있어 내부자본 한도 및 위험성향이

실제 자본관리 수준 대비 과대 설정되고 한도 관리 실효성이 저하될 소지가 있으며,

* 위기상황분석 결과에 의해 추가적으로 보유해야 하는 자본량

내부자본용 리스크요소를 금리산출 목적과 성과평가 목적으로

명확하게 분리하지 않고 있어 리스크 요인과 무관하게 내부자본용 리스크 요소를 변경하거나 내부자본용 리스크 측정 요소를 실제 리스크에 비해 과소 추정하고 있으므로

향후 위기상황버퍼를 내부자본 한도에서 제외하는 한편, 내부

자본용 리스크 측정 요소를 여타 내부목적 요소들과 분리하는 등 보수적으로 리스크요소를 추정할 필요가 있음

㈑ 리스크요소 산출의 정확성 및 신뢰성 제고

2020년 내부자본용 부동산 부도시손실률(LGD) 산출과 관련하여

담당자의 업무 착오로 ‘계좌가중평균’ 방식이 아닌 ‘단순평균’ 방식으로 산출함에 따라 적용 LGD가 과소 산출되는 오류가 발생하였는데도 동 오류를 적시 발견하지 못하여 내부자본량이 2020년 말 과소 산출된 사례가 발생하였으며,

내부자본 산출용 신용리스크 요소(PD, LGD 등) 추정과 관련하여

충분한 데이터가 확보되지 않은 상황에서 자산군을 지나치게 세분화 함으로써 표본 부족에 따라 추정치의 신뢰성이 저하되는 등 리스크 요소 추정 업무가 미흡하므로

내부자본용 리스크요소의 산출 결과에 대한 확인 절차를 강화하고,

신용리스크 요소의 자산군 분류를 재검토하는 등 리스크요소 산출의

신뢰성을 강화할 수 있는 방안을 마련할 필요가 있음

㈒ 리스크요소 추정방법 변경시 보고 절차 강화

리스크요소 추정방법 변경 관련 절차 및 검토사항 등을 규정한

내규 등이 없어 리스크관리집행위원회 등에 보고 없이 추정방법을 임의로 변경할 소지가 있고, 실제로 보고를 누락*한 사실이 있으므로

* 부도시손실률(LGD) 산출용 경기침체기 변경사항을 보고하지 않거나, 산출 방식 변경 등을

리스크관리집행위원회에 보고하지 않음

리스크요소 추정방법 변경과 관련한 보고 절차 등을 내규에

정하는 등 추정방법 변경에 관한 사항을 철저하게 관리할 필요가 있음

⒀ 가계대출 관리철저

은행은 실효성 있는 통제장치를 마련하지 아니한 채 가계대출에

대한 관리를 미흡하게 해 왔으며,

그 결과 관리목표 대비 과도하게 가계대출이 증가하면서 건전

경영을 위한 대출구조 개선을 위해 일부 가계대출(신용·중도금 등)을 중단하여 고객 신뢰저하 및 은행 평판리스크의 확대를 초래한 바 있으므로

다음과 같이 내부통제(규정·전산)를 정비하여 실효성 있는 가계

대출 관리체계를 마련할 필요가 있음

㈎ 적정한 가계대출 목표수립

E부서는 가계대출 관련 주기별·상품별 예상 상환 금액 및 자금

운용 일정 등에 대한 면밀한 검토없이 관리 목표를 설정하였으며

2021년 경영계획이 확정된 직후인 2021.1월 경영진 보고 및

이사회 승인 등의 절차 없이 ‘가계대출 비중 확대’를 통한 여신 포트 폴리오 개선이라는 내부목적을 달성하기 위해 경영계획(이사회승인)상 가계대출 목표를 대폭 상회하는 수준의 부서 자체목표 및 감독당국 보고 관련 관리목표를 임의적으로 중복 설정하고 부서자체 목표에 따라 가계대출을 지속 확대하는 등 가계대출 총괄부서로서의 역할을 수행하지 못한 바 있으므로

향후에는 경영계획과 부서계획을 일원화하고 적정한 수준의

가계대출 목표를 수립할 필요가 있음

㈏ 가계대출에 대한 통제구조 정비

F부서는 이사회 승인을 받은 경영계획 대비 가계대출 잔액이 지속

초과함을 인지하였음도 불구하고, 재무계획·전략을 수립하여 시행하는 부서로서 가계대출 관리목표 초과상황 및 대응조치의 시급성 등을 경영진에게 적시에 명확하게 전달해야 하는 부서의 역할을 수행하지 못하였으며

G부서는 가계부채가 국가경제의 중대 리스크 요인으로 지목되고

가계대출에 대한 선제적 리스크 관리 강화의 필요성이 대두되었음에도 가계대출 리스크한도 등을 세분화하지 않아 경영계획 대비 가계대출 잔액이 급증하고 있는 상황에서 이를 위험가중자산 한도, 리스크량 한도 등의 리스크 수단으로 통제하지 못한 바 있으므로

향후에는 가계대출 잔액과 위험가중자산에 대한 통제구조를

정비할 필요가 있음

㈐ 비상계획 마련 및 이행결과에 대한 보고 강화

E부서는 2021.5월 가계대출 관련 비상조치계획을 수립하였으나,

관리목표에 ‘근접’하는 경우가 아니라 관리목표를 ‘5% 이상 초과’하는 경우 등 사후대응 방식으로 비상조치계획의 발동기준을 마련하여 처음부터 관리목표 초과를 염두에 두고 있었으며,

2021.8월부터 관리목표 대비 초과율이 상회하였음에도 이에

상응하는 비상계획을 발동하지 않는 등 가계대출 증가 제어를 위한 사전대응 등이 미흡하였으므로

사전적 대응방안을 마련하고 비상계획 이행결과에 대한 이사회 및

경영진 보고를 강화할 필요가 있음

⒁ PF대출 등에 대한 리스크관리 강화

은행은 프로젝트금융(PF)대출 등에 대한 한도를 관리함에 있어

위험가중자산 등이 아닌 단순 익스포져 기준 한도를 설정하여 이를 지속 증액하고, 2020년 PF한도를 신용(고위험)․보증서(저위험) 한도로 분리하고도 보증서 한도를 신용 한도로 전용하였으며, 2021년에는 동 한도들을 통합운영하면서 전체 익스포져 상한기준을 폐지하는 등 리스크를 반영한 한도관리 없이 PF 익스포져 한도를 지속 확대하였는바,

이로 인해 신용위험가중자산 중 특수금융 비중이 급증하는 등

쏠림현상이 발생하고 총자본비율이 하락하면서 은행의 손실흡수

능력이 약화되고 있으므로

프로젝트금융(PF)대출 등에 대한 리스크 관리를 위해 리스크를

반영한 한도 관리방안을 마련할 필요가 있음

⒂ 신탁관련 내부통제 강화

H부서는 신탁 관련 유가증권의 운용(front), 리스크관리(middle),

결제(back) 등 업무 전반을 통할하고 있는 바

신탁자금 운용(front) 담당자가 운용한도의 설정 및 관리(middle)

업무를 수행하고, 신탁 평가관리(middle) 담당자가 대무업무로서 결제 책임자(back office)업무를 수행하는 등 업무분장이 미흡하고

운용 담당자는 거래시 녹취를 수행하여야 하나 별도 녹취없이

거래업무를 하고 있으며, 유가증권 트레이딩 자산 등에 대하여 신규 거래시 이상거래 여부를 점검하는 절차(가격적정성 점검)가 없고, 결제 업무와 관련하여 증권카드 등 중요실물이 외부금융기관에 보관* 되어 있어 사고개연성이 높으므로

* 은행은 거래의 편의를 위해 실물(증권카드 등)을 외부 금융기관에 보관(보관증 발부)하고

거래시 ARS를 통해 신탁결제 담당자가 비밀번호를 입력하는 방법으로 결제절차를 수행해 왔으나, 검사기간중 외부보관 실물(증권카드 8매)을 회수(4매) 및 폐기(4매) 하였음(2021.11.12.)

신탁사업에 대해서도 고유계정 운영시 규정화된 내부통제 절차

(front, middle, back)에 준하는 내규, 전산 및 절차를 마련할 필요가 있음

⒃ 리스크 모형 적합성 검증 강화

｢ 은행업감독업무시행세칙｣ <별표 19> 및 내규 ｢ 적합성검증지침｣ 에

따라 리스크 측정시 활용되는 모형에 대하여 주기적으로 실시하는 적합성 검증과 관련하여 다음과 같이 미흡한 점이 발견되었으므로 이와 관련한 업무를 강화할 필요가 있음

㈎ 신용리스크 내부자본용 리스크요소에 대한 데이터 검정 강화

내부자본 산출 모형 관련 신용리스크 내부자본용 부도시손실률

(LGD), 신용환산율(CCF) 검증방법 및 허용수준이 업무매뉴얼에 기술 되지 않은 등 문서화되어 있지 않고, 실제 관측값이 적용값을 지속적으로 초과하고 있음에도 이를 허용하고 있으며,

2020년 및 2021년 내부자본산출용 부동산 LGD 추정 과정에서

오류*가 있었는데도 적합성 검증 과정에서 오류를 발견하지 못해 내부자본량이 과소 추정되는 문제가 발생하였으므로

* 연도별 LGD를 ’계좌가중평균‘ 방식으로 산출해야 하나, ’단순평균‘ 방식으로 산출

신용리스크 내부자본용 리스크 요소 검증 기준을 마련하고 데이터

검정을 강화할 필요가 있음

㈏ 적합성 검증 매뉴얼의 구체화 및 현행화

규제자본 산출과 관련하여 매뉴얼 상 신용위험가중자산 산출

방법이 구체적이지 않고 각종 제도변경 사항에 대한 매뉴얼 현행화가 미흡하므로 적합성 검증 기준을 강화하고 문서화할 필요가 있음

㈐ 시장·운영·금리 리스크에 대한 주기적 검증

시장·운영·금리리스크(모형)에 대하여 주기적으로 검증하지 않고

있어 유형별 내부자본 산출 모형의 결함 또는 운영상의 잘못에 따른 각종 리스크에 선제적으로 대응하기 곤란하므로

내규를 개정하여 주요 리스크 유형(시장, 운영, 금리)에 대하여

최소 연1회 주기적 검증을 수행할 필요가 있음

㈑ 위기상황분석 및 대손충당금 산출 모형에 대한 적합성 검증 강화

위기상황분석 모형·절차에 대한 적합성 검증 대상을 질적 검증에

국한하고 있어 계량 분석 결과에 대한 전반적인 신뢰성 확인이 곤란하며,

대손충당금 산출을 위한 미래지향승수 추정모형의 적합성 검증도

형식적으로 이루어져 모형 결함*을 적시에 수정하지 않은 문제가 나타나고 있으므로

* 가용 데이터 중 일부 데이터만 활용하여 모형을 개발하여 통계적 신뢰성 부족

위기상황분석 및 대손충당금 산출 모형에 대한 적합성 검증

절차를 강화할 필요가 있음

나. 개선사항

⑴ 기업 총 익스포져 한도 산출 방법 개선

내규 ｢신용Exposure한도 관리지침｣에 따라 6개 총 익스포져

(Total Exposrue, 이하 ‘TE’라고 함) 한도 기준(산식)*에 기업의 재무 정보를 대입하여 ‘기준별 TE 한도’를 산출하고 그 중 최댓값을 기준으로 TE 한도를 설정하는데

* ① 현금흐름할인 기준, ② 초과영업이익 기준, ③ 차입금의존도 기준,

④ 차입금대(對)매출액 기준, ⑤ 자기자본비율 기준, ⑥ 영업이익률 기준

6가지 기준 중 ‘현금흐름할인 기준’의 특성상 매출 감소 기업

(부(-)의 매출액 증가율)에 대하여 TE 한도가 과도하게 산출될 우려가 있고, 6가지 기준 중 하나라도 극단적으로 큰 값이 산출되면 TE 한도가 과도하게 증가하여 재무상태 개선 없이 한도 초과가 해소되는 문제가 있으므로

기업의 재무상태를 반영하는 적정 신용공여 최대한도 금액을

산출할 수 있도록 TE 산출 방식을 재정비하고 주기적으로 TE 한도의 적정성 및 변동성을 점검하시기 바람

⑵ 완전자본잠식 기업에 대한 신용평가 운영 개선

내규 ｢신용평가 업무처리지침｣에 의하면 재무상태가 완전자본

잠식인 기업에 대하여 자체 신용평가모형에 따른 신용등급이 B등급 (요주의 상당)보다 높게 산출되더라도 내규에서 정한 예외사유에 해당 하지 않는 경우 원칙적으로 B등급보다 높게 신용등급을 부여할 수 없으나

향후 완전자본잠식 해소여부가 불분명하거나 유사시 관계사 등의

구속력 있고 충분한 재무적 지원 가능 여부가 명확하지 않음에도 신용등급을 상향조정한 사례가 발견되고 있어 은행의 자산건전성 과대평가가 우려되므로

다음 결산일에 완전자본잠식 해소가 예상되는 것으로 판단하는

기준, 충분한 재무적 지원이 가능한 관계사의 신인도를 판단하는 기준을 마련하는 등 객관적이고 명확한 사유에 따라 완전자본잠식 기업의 신용등급을 상향 조정할 수 있도록 신용평가 운영을 개선하시기 바람

⑶ 상업어음할인 한도 설정 방법 개선

내규 ｢ 여신종류별 운용지침｣ 에 의하면 상업어음 약정한도는 전년도

매출금액의 1/2 또는 부가가치세 과세표준 증명원에 의한 최근 3개월 매출액의 2배(또는 6개월 매출액) 범위 내 적정금액으로 운용*하도록 정하고 있으나

* 매출액의 급격한 신장이 예상되는 경우 또는 매출실적이 없는 신설업체 등의 경우에는

예상매출액을 산출하여 운용하는 방법 포함

할인의뢰인 및 발행기업의 신용상태 등과 관련된 구체적이고

세부적인 한도 설정방법을 정하지 않아 특정 어음발행인에 대한 할인이 과도하게 운용될 소지가 있으므로

할인의뢰인 및 발행기업의 신용등급, 채무상환능력 등을 감안하여

적정 할인 규모로 운용될 수 있도록 상업어음할인 한도 설정 방법을 개선하시기 바람

⑷ 자금용도외 유용 등에 대한 사전・사후점검 절차 개선

㈎ 자금용도외 유용 사후점검 및 모니터링 절차 개선

｢ 자금용도외 유용 사후점검지침｣ 등에 따라 기업 운전자금과

부동산임대업자에 대한 시설자금이 기업활동과 무관한 용도로 사용 되는 것을 방지하기 위해 사후점검을 실시하고 있으나 아래와 같이 미흡한 점이 있으므로 자금용도 사후점검 체계 및 모니터링 절차를 개선하시기 바람

① 임대용 부동산 신축자금은 시설물 미준공시 임대 여부를

점검할 수 없는데도 점검기일을 대출 취급 후 6개월 이내로 일괄 관리하고, 현장방문 사후점검 대상의 경우 현장점검 증빙*을 전산으로 등록하지 않고 있어 실제 현장점검 여부를 확인할 수 없는 등 용도 점검이 형식적으로 이루어질 소지가 있으므로

* 현장점검에 대한 세부 내용(체크리스트) 및 증빙자료 첨부 서식 부재

임대부동산 신축 용도의 시설자금대출에 대해서는 소유권 이전·

보존 등기가 이루어진 이후 최장 6개월 이내에 용도 점검하도록 하고, 현장점검이 실효성 있게 이루어지도록 관련 규정 및 전산시스템을 개선하시기 바람

② 임대부동산 등이 목적에 맞게 사용되는지는 임대차계약 이후

추가 서류를 통해 확인하도록 하고 있음에도 실제로는 대출 취급 당일에 관련 서류를 징구하고 시스템에 등록하여 임대 여부를 확인 할 수 없는 사례가 다수인데도

A부서는 월 1회 일자별 점검대상을 조회하여 전산등록 된 자료만

확인하고 있어 자금용도외 유용 사후점검 관리체계 및 모니터링이 형식적으로 이루어지는 측면이 있으므로 영업점 통지를 통해 자금 용도 확인 서류를 임대차계약 체결 후 징구하여 첨부하도록 하는 등 모니터링이 실효성 있게 이루어지도록 관련 업무절차를 개선하시기 바람

㈏ 직원 숙소용 부동산 매입을 위한 시설자금대출 심사 및 사후관리 불합리

일반 기업에 대한 시설자금대출은 운전자금과 달리 시설투자

실행분에 따라 시설 공급자에게 대금을 직접 지급하므로 용도외 유용 사후점검을 실시하지 않고 있어

직원 숙소 용도의 아파트 등 매입자금 지원 시 심사단계에서

자금용도 및 지원 타당성 검증이 적정하게 이루어지지 않아 대출금이 목적과 다르게 사용되더라도 대출금 회수 등 차주에 대한 불이익이 부과되지 않을 우려가 있으므로

직원 숙소 용도의 부동산 매입을 위한 시설자금대출 심사 시에는

부동산의 소재지, 면적 등과 거주할 직원 수 등 용도의 타당성 여부를 면밀히 심사하도록 하고, 여신실행 이후에는 전입세대열람 등을 통해 당초 신청한 용도로 사용되고 있는지를 확인하도록 하는 등 사후관리 절차를 합리적으로 개선하시기 바람

⑸ 동산담보 사후관리 개선

내규 ｢ 담보 및 보증업무지침｣ 에 의하면 경남은행 점유 동산담보

및 유가증권담보는 매월 1회 이상 책임자가 이상이 있는지 검사하여야 하고 이상이 있는 경우에는 주무부장 및 B부장에게 보고함과 동시에 적절한 사후조치를 취하여야 하며

내규 ｢ 동산법에 의한 담보운용 업무매뉴얼｣ 에 따르면 동산 담보

점검을 정기적 점검과 수시 점검으로 구분하고 정기적 점검은 반기 1회 이상 하도록 정하고 있는데도

동산담보의 경우 일회성 검사 또는 점검에 그치는 경우가 많아

동산담보물에 대한 관리가 적정하게 수행되지 않을 우려가 있으므로

동산담보에 대한 검사 및 정기적 점검 기록을 체계적으로 관리하고

이를 주무부장에게 정기적으로 보고하는 등 관련 업무를 개선하시기 바람

(6) SOC, 출·투자 및 기타 사업장 점검절차 개선

내규 ｢ 투자금융 사후관리 업무매뉴얼｣에 의하면 SOC, 출·투자

및 기타 사업장 점검과 관련하여 부동산 프로젝트금융(PF) 사업장 점검을 준용하여 매분기별로 사업장을 점검하도록 규정하고 있으나

사업 유형별 특성 등을 고려한 구체적인 관리 및 점검방안이

없고, 사업장의 최근 현황을 점검하여 정기적으로 보고하는 절차도 미흡하므로

사업 유형별 특성을 고려한 정기적인 점검항목을 정하여 업무

매뉴얼에 반영하고, 이에 따른 정기적인 점검을 실시 후 보고하는 방안을 마련하는 등 관련 업무를 개선하시기 바람

(7) 배당 지급시 적정성 검토 절차 개선

내규 ｢ 경영계획규정｣에서는 배당계획 수립시 자산성장 및 이익

계획 등 은행 경영계획과 중장기 자본규제비율 등을 감안하도록 하고 있으나, 내규 ｢ 배당계획 수립 및 배당금 지급절차 업무매뉴얼｣ 에서는

배당 지급시 은행의 경영계획 등을 검토하도록 명시하고 있지 않아

‘20년중 당기순이익 감소 및 대외여건에 따른 손실흡수능력 약화

우려에도 불구하고 은행 경영계획을 대폭 상회한 지주회사의 중간배당 요청을 별도 검토 없이 수용하는 등 배당금의 적정성을 충분하게 검토하지 않는 사례가 발생하고 있으므로

결산 및 중간배당 지급시 은행의 경영계획(자산성장, 이익계획,

자본관리계획 등) 및 계획 달성가능 여부를 감안하여 배당금의 적 정성을 충분히 검토하고, 동 결과를 이사회에 보고하도록 하는 등 자본을 안정적으로 유지할 수 있도록 배당의 적정성 검토 절차를 합리적으로 개선하시기 바람

(8) 금리·운영 리스크 관리체계 개선

은행은 금리변동 주기별 리스크량(△EVE, 자기자본 경제적 가치

변동)과 이익의 변동성(△NII, 순이자이익 변동)에 대하여 관리한도를 설정하여 모니터링하고 있으나 해당 지표의 높은 변동성*에도 불구하고 한도를 느슨하게 설정하고 있어 리스크관리의 실효성이 우려되며,

* ① △EVE(%) : (2020.6말) 4.07 → (2020말) 5.60 → (2021.6월) 3.72

② △NII(%) : (2019말) 1.88 → (2020말) 2.01 → 2021.6월 2.37

리스크통제 자가진단체계(RCSA), 핵심위험지표(KRI), 손실데이터

수집 등을 통하여 운영리스크를 관리하고 있으나 내부통제 활용에 연계하지 않고 형식적으로 수행*하고 있으므로

* ① 2021.6월을 제외하고 검사기간중 RCSA, KRI, 손실데이터 등이 리스크관리위원회 및 리스크

관리집행위원회에 보고된 사례없음 [경영진 보고 미흡]

② 금융사고, 민원 등이 발생시 이를 RCSA 및 KRI와 연계하여 해당항목을 개정하여야 하나

2019년 ~2020년 기간중 RCSA 및 KRI에 이를 반영한 사례없음 [데이터관리 미흡]

③ 금융사고(I부서, J부서, K부서, B부서 등 데이터 포함), 민원데이터, 위규사항(A부서) 등 은행에서

발생하는 운영리스크 사건이 실시간으로 수집되고 운영리스크 관리자는 관련 사건 발생시 이를 내부통제 등에 활용하여야 함에도 관련 데이터 수집 절차 미흡 [데이터수집 미흡]

보다 현실적인 한도를 설정하여 금리리스크 관리를 강화하고,

실효성 있는 운영리스크 관리를 수행하시기 바람

(9) 통합위기상황분석 방법 및 절차 개선

｢ 은행업감독업무시행세칙｣ <별표 19> 등에 따라 주기적으로

실시하는 통합위기상황분석과 관련하여 다음과 같이 미흡한 점이 있으므로 합리적으로 개선하시기 바람

① 신용리스크 손실 추정을 위한 부도율(PD) 예측 모형의 적합도

및 민감도가 낮아 신용손실 규모가 과소 추정될 가능성이 있으며 등급별 예상손실률이 분석 기간 중 일정하다고 가정하는 등 미래 경기 악화시 등급별 예상손실률이 증가하는 현상을 미반영* 중으로,

* IFRS9 회계 기준은 충당금 산출을 위한 예상손실 추정 시 미래경기전망을 반영할 것을 요구하므로, 위기상황분석 시에도 동 개념을 적용하여 보수적으로 손실금액을 추정할 것을 권고

부도율(PD) 예측 모형의 적합도·민감도를 강화하고 미래 경기

전망을 반영하여 예상손실률이 변화하도록 손실금액 추정 방법을 개선하시기 바람

② 위기상황의 부도시손실률(LGD) 요소의 증가 정도를 자체

데이터로 추정하지 않고 부산은행의 추정값을 그대로 적용하고 있으므로 경남은행의 대출자산 손실률 변화 특성을 충분히 반영하지 못할 소지가 있으며

위기상황분석 시나리오 하의 위험가중자산 산출 시 부동산 담보

익스포져에 대해 담보가치 하락에 따른 적용 LTV 구간 상승효과*를 반영하지 못하는 문제가 있으므로,

* 부동산 담보 익스포져의 위험가중치 상승효과

위기상황 가정에 따른 LGD 요소 증가 및 담보가치 하락 효과를

적절하게 반영할 수 있는 합리적인 방안을 마련하시기 바람

③ 위기상황 가정시 운영리스크에 의한 영업외손실 증가가 자본에

미치는 부정적 영향을 반영하지 않고* 있는 등 가정의 보수성이 다소 미흡하므로 운영리스크로 인한 손실을 손익에 반영하여 위기상황 분석의 보수성을 강화할 필요

* 위기상황분석 시나리오별 운영위험가중자산 및 내부자본의 변동만을 고려

④ 위기상황분석 시나리오상의 시장지표 변동을 반영하여 보유

포지션을 재평가하고 시장 위험가중자산을 추정함에 따라 일부 시장 지표의 경우 위기상황 가정시 오히려 시장 위험가중자산 규모가 감소하는 문제*가 있으므로

* 예시 : 위기상황에서 시장금리 상승시 은행의 보유채권 시장가치 하락 → 위험가중자산 규모

감소 추정

보수적인 상황을 가정하여 적정 자본규모를 추정하는 위기상황

분석 취지에 부합하도록 시장 위험가중자산 하한 설정 등을 통해 위기상황분석 결과가 분석 시점보다 낙관적으로 산출되지 않도록 개선하시기 바람

(10) 펀드 포트폴리오 추천시 금융소비자보호 절차 미흡

로보어드바이저 등을 활용하여 고객의 위험성향을 고려한 펀드

포트폴리오를 고객에게 추천(Ⓐ서비스)하고 있으나,

* 2020.3분기∼2021.2분기 중 신규 판매된 펀드 53,752건 중 44,713건(83%)는 고객이 Ⓐ서비스를

통해 추천받은 펀드에 해당

펀드 포트폴리오 추천 과정 및 근거, 포트폴리오 선택에 따른

위험 등 고객이 펀드 포트폴리오를 선택하는 과정에서 알아야 할 사항을 고객에게 설명하고 이해 여부를 확인하는 절차가 미흡*하고, 해피콜 스크립트에는 고객이 펀드 포트폴리오를 추천하는 방식 등을 충분히 이해하고 펀드를 선택하였는지 여부를 확인하는 내용이 반영 되어 있지 않아 은행이 고객의 펀드 포트폴리오 선택 과정이 적정한지 여부를 사후적으로 확인하기 위한 완전판매 모니터링 절차가 불합리하므로

* 포트폴리오 제안서에 ‘고객 유의사항’으로 Ⓐ서비스의 내용 및 고객이 알아야 할 사항을

단순 기술하고 있어 권유하는 직원에 따라 설명 수준이 상이할 가능성

Ⓐ서비스에 대해 고객이 충분히 이해하고 펀드를 선택할 수

있도록 판매절차를 개선하고, 해피콜 스크립트에 펀드 포트폴리오 추천 방식 등에 대한 이해 여부를 확인하는 내용을 반영하시기 바람

(11) 성과평가 및 성과급 지급체계 개선

은행의 임･직원 성과평가 및 성과급 지급체계 등과 관련하여

다음과 같이 일부 미흡한 점이 있으므로 이를 합리적으로 개선하시기 바람

㈎ 업무집행책임자에 대한 내부통제 성과평가 방식 개선

은행장이 업무집행책임자에 대하여 단기성과평가를 실시함에 있어,

평가대상자 성과기술서에 내부통제 관련 기술이 없음에도 일괄적으로 경영자질, 리더십 등 여타 항목과 유사한 수준으로 내부통제 점수를 부여한 사례가 있는 등 내부통제 항목 성과평가가 형식적으로 이루어지고 있으므로

업무집행책임자에 대한 성과평가시 내부통제 항목을 별도로

구분 평가하도록 하고 내부통제 관련부서가 관련 항목에 대한 근거 자료를 은행장에게 제공하도록 하는 등 내부통제 항목 평가방식을 합리적으로 개선하시기 바람

㈏ IB본부의 성과평가지표(KPI) 및 성과급 지급기준 개선

프로젝트금융(PF)대출 등을 취급하는 IB본부의 성과평가지표

(KPI)를 편성함에 있어, 연체율 등 건전성 지표 비중을 줄이면서 수익성 지표 비중을 증가시키고 있고, 위험가중치가 높은 PF대출*의 특성을 건전성 지표에 반영하지 못하고 있으며,

* 평상시 연체율이 낮고 위기시 산업전체의 붕괴가 나타나는 특성

IB본부의 조직성과급을 지급함에 있어서도 신용위험 등 관련

위험에 대한 고려없이 단기 수익성 위주 지표에 연동하여 지급하고 있어 과도한 영업확대 유인으로 작용할 가능성이 있으므로

IB본부의 성과평가지표(KPI) 편성시 수익성과 건전성이 조화를

이루도록 하고, RAROC, RORWA 등 리스크를 감안한 건전성 지표를 도입하는 한편, 조직성과급 지급기준 수립시 중장기적 위험을 반영할 수 있도록 하는 등 성과평가지표와 조직성과급 지급기준을 합리적으로 개선하시기 바람

㈐ 여신관련 주무부서의 성과평가지표(KPI) 개선

가계대출 관련 주무부서인 E부서의 성과평가지표(KPI) 편성시

비대면채널상품계수 등을 포함하여 급격한 가계대출 증가를 유발하고 있으므로

대출구조 개선을 위하여 본부 여신 주관부서 성과평가지표에서

가계대출 성장성과 관련한 평가지표를 배제하고, 비대면상품 관련 지표는 여신과 직접적으로 연관이 없는 부서의 성과평가지표에 반영하는 등 성과평가지표를 합리적으로 개선하시기 바람

㈑ 리스크관리부 등 내부통제부서의 성과급 지급기준 개선

리스크관리 등의 업무를 수행하는 내부통제부서 직원에 대하여

성과급을 지급하는 경우 동 성과급이 재무적 경영성과와 연동되지 않도록 하여야 하나

리스크관리, 준법감시, 검사, 금융소비자보호 등 내부통제부서

직원에 대한 조직성과급을 단기 수익성 지표에 연동하여 지급하고 있어 내부통제부서의 업무수행시 이해상충(conflict of interest) 문제가 발생할 소지가 있으므로

내부통제 업무의 독립성을 제고할 수 있도록 리스크관리부 등

내부통제부서 직원에 대한 성과급 지급기준을 합리적으로 개선하시기 바람

㈒ 검사부 근무성적평정 방법 개선

검사부 직원은 은행 집행기구로부터 독립된 위치에서 업무를

수행하여야 하나, 은행 경영 전반에 대한 책임을 가진 은행장이 검사부의 부서 평가등급(5등급 체계)을 결정하고 있어 검사부의 독립적 업무 수행에 제약요인으로 작용할 소지가 있으므로

검사업무의 독립성을 제고할 수 있도록 검사부서에 대한 성과

평가기준을 합리적으로 개선하시기 바람

(12) 은행장에 대한 정성평가 관련 공시 및 평가방식 개선

은행장에 대한 정성평가시 실제로는 지주사 회장, 보수위원회 위원이

각각 평가하고 있으나, 이를 공시*하면서 지주사 회장이 평가한다는 사실을 누락한 사례가 있으며,

* ｢2020년도 지배구조 및 보수체계 연차보고서｣

은행 ｢경영진 단기성과 평가기준｣ 에 따라 보수위원회 위원이

은행장에 대하여 정성평가를 실시하는 경우 무기명 방식으로 하여야 하나, 실제로는 보수위원회 위원이 성과평가 후 서명하는 방식으로 운영하고 있어 무기명 평가의 취지가 훼손되고 있으므로

은행장 성과평가 관련 공시내용의 정확성을 제고하고 은행장에 대한

정성평가가 무기명 방식으로 운영되도록 평가 절차를 개선하시기 바람

(13) 경영고문 등 운영 개선

퇴직임원 또는 외부전문가와 위촉 계약을 체결하여 자문을 받는

경영고문 및 경영자문위원 제도를 운영함에 있어

경영고문 운영규정*｣ 및 ｢ 경영자문위원 운영지침*｣의

은행장이 ｢

제･ 개정을 결정하도록 하면서, 경영위원회 또는 은행장이 위촉대상자를 선정하고 위촉 계약조건을 결정하는 등 이사회 통제절차 없이 경영 고문 등 제도를 운영하고 있어 퇴직임원(경영진)에 대한 보수지급 등이 이사회의 감시 없이 경영진에 의해 방만하게 이루어질 소지가 있으므로

* 경영고문 등 위촉대상자 자격, 위촉절차 및 보수 지급 등을 규정

경영고문 등 관련 은행 내규 제․개정 및 위촉대상자 선정 등에

관한 사항을 이사회에서 결정하도록 하여 제도의 투명성을 제고할 수 있도록 관련 내규를 합리적으로 개선하시기 바람

(14) 펀드 출시 사전검토기준 운영체계 및 판매 절차 개선

은행의 펀드 출시 사전검토기준 운영체계 및 판매 절차와 관련하여

다음과 같이 일부 미흡한 점이 있으므로 이를 합리적으로 개선하시기 바람

㈎ 펀드 출시 사전검토기준 운영체계 개선

舊 ｢자본시장법｣ 제47조(현행 ｢금융소비자 보호에 관한 법률｣

제19조)에서 사모펀드 투자권유시 판매사에 요구하고 있는 설명의무를 적정하게 이행하기 위해서는 본점 차원의 충실한 사전검토를 통하여 판매직원들이 상품의 내용 및 투자에 따른 위험 등을 명확히 이해하고 일반투자자들에게 정확하고 균형있게 설명할 수 있도록 상품설명서를 마련하여 제공하는 것이 전제되어야만 하나

1 자산운용사로

이를 위한 본점 차원의 사전검토체계와 관련하여 ◯

부터 제공받는 자료(상품제안서 등)에 대한 검토 기준이 부재하고, 2 담당부서의 내부 검토시 활용하고 이후 심의기구에서 논의되는 상품

◯

선정평가표의 세부 평가항목별 구체적인 정의 및 판단기준이 마련

되어 있지 않는 등 사모펀드 상품설명서에 대한 실효성 있는 사전 검토가 이루어질 수 있는 여건이 마련되어 있지 않으므로

본점 차원의 충실한 사전검토에 기반하여 적정한 상품설명서가

1 사전검토 과정에서 확보된 정보에 대한

영업점에 제공될 수 있도록 ◯

2 실효성 있는 내부 심의를 담보할 수 있는 구체적인

명확한 검토 기준, ◯

심의 기준 등 사모펀드 출시 관련 내부통제기준을 정비하시기 바람

㈏ 펀드 상품 판매 관련 절차 미흡

사모펀드 상품 판매 시 가입자수 49인을 초과하여 판매가 불가

하도록 전산통제하고 있으나, 투자권유와 관련하여서는 별다른 전산 통제를 하고 있지 않아 일반투자자 49인을 초과하여 투자권유가 이루어질 가능성이 있으며 이로 인해 ｢ 자본시장법｣ 상 공모(모집) 규제를 위반할

우려가 있으므로

사모상품의 경우 투자권유 대상 고객을 전산시스템에 등록·관리

하는 등 일반투자자 50인 이상에게 투자권유가 이루어지지 않도록 관리체계를 정비하시기 바람

(15) 차주의 부실자료 제출 관련 사후관리 개선

에 따라 차주가 부실자료* 1회 제출시

내규 ｢여신사후관리지침｣

은행은 이를 전산 등록하고 기한의 이익 상실 여부를 결정해야 하며, 2회 제출시에는 신용관리대상자로 관리해야 하나,

* 허위, 위변조 자료 또는 고의에 따른 부실자료

실제로는 부실자료 제출과 관련한 전산등록 시스템이 없어 차입자의

신용상태 변화에 대한 상시 모니터링이 어렵고, 기한의 이익 상실

여부 결정과 관련한 결정권자 및 근거자료 유지방법이 불명확하여 담당 영업점이 별도 근거기록 없이 기한의 이익 상실 여부를 결정 하고 있으므로

차주의 부실자료 제출과 관련한 전산등록 시스템을 마련하는

한편, 기한의 이익 상실 여부 결정권자를 명확히 하고 그 결정근거를 상세하게 문서화하도록 관련 내규 등을 합리적으로 개선하시기 바람

(16) 개인신용정보관리 업무매뉴얼 마련 미흡

은행은 신용정보 최신성 유지 의무 등 신용정보 취급시 준수해야 할

사항을 내규인 ｢ 신용정보관리 보호규정｣ 에서 포괄적으로 정하고 있으나

L사 및 M사에 개인신용정보를 제공하는 업무와 관련하여 업무

처리 절차 및 유의사항, 전산조작방법, 관련 부서별 역할 등을 기술한 업무매뉴얼을 갖추고 있지 않아 개인신용정보를 관리하는 과정에서 문제가 발생하거나 담당자 변경 등 인사이동시 업무의 체계성 및 연속성이 저해될 가능성이 있으므로

L사 및 M사에 개인신용정보를 제공함에 있어 필요한 업무처리

절차 등을 상세하게 기술한 업무매뉴얼을 마련하시기 바람

(17) 자금세탁방지 업무 운영 미흡

자금세탁방지 업무와 관련하여 고객확인, 고액현금거래 보고,

의심거래 보고 업무 수행시 다음과 같이 일부 미비점이 발견되었으므로 개선하시기 바람

① 고객확인 업무와 관련하여 만 14세 미만 미성년자에 대한

고객확인시 친권자 등 대리인에 대해 고객확인을 수행하였음에도 일부 고객의 대리인 정보를 전산시스템에 입력하지 않은 사례가 있고,

* 2018.7.21.∼2021.6.30. 기간중 계좌개설 등에 따라 이행한 만 14세 미만 개인고객

CDD 11,510건 중 2,336건에 대하여 대리인 정보를 미입력

비영리법인 그 밖의 단체(이하 ‘비영리법인 등’)에 대한 고객확인시

설립목적 확인 서류상에 적시되어 있는 정확한 설립목적을 전산시스템에 기술하지 않고 단순하게 7가지 유형*으로 구분하여 선택하도록 하고 있으므로,

* ‘교육, 문화, 사회사업, 자선, 종교, 학습, 기타’로 구분하고 있으나 이는 설립목적이 아니라

비영리법인 등이 영위하는 사업에 해당

고객확인 정보를 전산시스템에 입력하는 과정에서 대리인 신원

정보 확인사항을 누락하지 않도록 입력 필수값으로 지정하는 한편, 비영리법인 등의 설립목적 확인시 증빙서류상 내용을 정확하게 입력 하도록 전산시스템을 개선하고 직원 교육을 강화하시기 바람

② 고액현금거래 보고업무와 관련하여 금융정보분석원에 보고한

정보 중 현금의 물리적인 이동이 없는 끝전 거래*들이 포함되어 있고

* 예시: 스마트뱅킹 가입 후 이체 테스트를 위한 1원 입금거래가 금융정보분석원에 보고됨

은행 창구직원이 예금 수납업무시 대체거래를 현금거래로 잘못

기표하여 동 거래를 고액현금거래 보고대상 선별시 수작업으로 제외* 하고 있는 사례가 다수** 발생하고 있으며

* 고액현금거래 보고대상 거래를 전산시스템에서 자동 추출한 후, 해당 거래를 처리한

각 창구의 직원들이 실제 현금거래인지 여부를 확인

** 2018.7.21.∼2021.6.30. 기간중 고액현금거래 보고 제외 건으로 수작업 분류된 27,051건 중

9,607건은 고액현금거래 보고제외 대상 사유에 대체거래를 현금거래로 착오하여 기표한 것에 기인

고액현금거래 보고대상 여부를 검토하여 현금의 물리적인 이동이

없는 거래들을 제외하는 과정에서 보고책임자인 준법감시인이 고액 현금거래 보고 제외 여부를 확인 및 승인하는 절차를 운영하지 않고 있으므로,

물리적인 현금의 이동이 없는 거래를 고액현금거래로 보고하지

않도록 정보의 정확성을 제고하고, 은행 창구에서 거래의 실질에 맞게 전산 기표를 하여 고액현금거래 보고업무를 효율적으로 운영할 수 있도록 전산시스템을 개선하고 직원 교육을 강화하는 한편, 고액현금 거래 보고대상 뿐만 아니라 보고 제외 대상에 대해서도 보고책임자의 확인 및 승인을 받는 등 업무를 개선하시기 바람

③ 의심거래 보고업무와 관련하여 전담 인원(전담 2명, 겸직 1명)에

비해 검토대상 거래 건수가 방대*하여 의심거래 경보 건에 대한 금융 정보분석원장 앞 보고 여부 검토가 장기간 소요**되고 있고,

* 2018.7.21.∼2021.6.30. 기간중 검토 수행 건은 총 273,938건 (1인당 109,575건)

** 2018.7.30.～2021.8.24. 기간중 금융정보분석원에 의심스러운 거래로 보고된 3,726건중

보고여부 검토에 30일 초과 소요된 거래가 1,288건(34.6%)

은행 창구직원이 고객 요청에 따라 대체거래를 현금거래 기표*한

건들을 의심거래 검토대상으로 추출하면서 객관적인 근거 없이 거래 추출 임계치를 일정 금액으로 설정**하여 운영하고 있으므로,

* 고객이 국세청, 수사기관 등의 자금추적을 회피하기 위한 목적으로 의심되는 사례

** 의심거래 보고는 고액현금거래 보고와는 달리 보고 대상금액에 제한이 없음

자금세탁 의심거래 검토 업무에 대한 직무분석 등을 통해 적정

인력을 배치하는 등 의심거래 보고업무의 적시성을 제고하고, 고객 요청에 따른 현금거래 기표 건들에 대해서는 현재 적용되고 있는 의심거래 추출 임계치의 적정성을 검토하여 적정한 임계치를 설정 하시기 바람

(18) IT부문에 대한 검사업무 절차 개선

내규에 의하면 본부부서에 대한 종합검사를 3년 주기로 실시하도록

규정하고 있고 검사부는 동 규정에 따라 IT본부 소속 부서에 대해서도 부서별로 종합검사를 실시하고 있으나,

IT업무는 IT부서간 업무 연관성이 높은 특성상 특정부서에 내재된

위험요인이 IT본부 전체에 걸쳐 영향을 미치는 경향이 있음에도 IT 본부 단위의 종합검사는 실시하지 않고 있으며,

N부서의 경우 기획업무 이외에 IT인프라 운영업무도 함께 담당하고

있음에도 장기간 종합검사 대상에서 제외되어 있고, 전산오류‧장애 등의 전산사고가 발생하였음에도 원인규명 등을 위한 검사를 실시하지 않는 등 IT검사 활동이 미흡하므로

IT부문 종합검사 계획수립 시 IT본부 단위의 실시계획을 포함하여

수립하고, 프로그램 오류 또는 시스템 장애 등으로 인해 중대한 전산 사고가 발생한 경우 원인규명 등을 위한 사고검사를 실시하는 등 IT검사 관련 업무절차를 개선하시기 바람

(19) 업무 중요도 분석 및 핵심업무 선정절차 개선

내규에 의하면 IT본부는 매년 업무 중요도를 분석하여 핵심업무를

선정하고, 주전산센터 마비에 대비하여 업무지속성이 확보될 수 있도록 핵심업무에 대해 재해복구시스템을 구축·운영하고 있으나,

업무 중요도에 따른 영향도 분석(Business Impact Analysis)을

은행의 인력, 자원, 업무 프로세스 등을 대상으로 전행적인 차원에서

수행하지 않고, IT시스템 및 데이터 복구 위주로 수행하고 있어 핵심 업무에 대한 연속성이 확보되지 않을 소지가 있으므로

IT비상계획 수립시 IT시스템 및 데이터 복구 등 IT업무 뿐만

아니라, 은행 업무에 대한 전사적 측면에서 업무 중요도를 분석하여 핵심업무를 선정하는 등 핵심업무의 지속성 확보를 위한 비상계획 수립 절차를 개선하시기 바람

(20) 정보기술 및 정보보호 관련 직무전결 기준 불합리

내규에서 업무수행의 효율성 제고 및 책임과 권한의 범위를 명확히

하기 위하여 주요 업무유형별로 직무전결 기준을 마련‧운용하고 있으나,

이번 검사착수일 현재, IT본부장(CIO) 및 정보보호최고책임자

(CISO)가 ‘본부장’으로 지정되어 있음에도, ｢직무전결 기준표｣에 정보 기술 및 정보보호 업무와 관련하여 CIO 및 CISO의 전결기준이 명시 되어 있지 않아 책임과 권한의 범위가 명확하지 않으므로

정보기술 및 정보보호 업무와 관련하여 IT본부장(CIO) 및 정보보호

최고책임자(CISO) 수행 업무에 대한 전결기준을 ｢직무전결 기준표｣에 명확히 기재하는 등 관련 직무전결 기준 및 절차를 개선하시기 바람

(21) 전산장애 및 오류 관리 기준 개선

내규에 따라 IT서비스의 비정상적인 사건(인시던트), 장애 및

전산사고 등을 분류하여 Ⓑ시스템에 등록‧관리하고, 프로그램의 긴급한 변경이 필요한 경우에는 동 시스템에 인시던트를 등록하고 있으나,

이번 검사대상기간 중 인시던트에 해당하는 금전적 전산오류가

발생하였음에도 Ⓑ시스템에 인시던트 등록이 누락되거나 프로그램을 긴급 변경하였음에도 인시던트 등록이 누락된 사례가 있으므로

Ⓑ시스템 소관부서 책임자 및 IT감사 조직에서 인시던트 등록

업무의 적정성을 정기적으로 점검하는 한편, 프로그램 긴급 변경시 Ⓑ시스템에 인시던트 등록이 누락되지 않도록 사전 통제를 강화하는 등 관련 업무절차 및 시스템을 개선하시기 바람

(22) 대외통신실 이원화 구축‧운영 체계 개선

대외기관과의 자료 송·수신 등을 위해 서울통신실(제1통신실 :

㉮, 제2통신실 : ㉯)을 구축·운용하고, 제1통신실에 장애·재해 등으로 인한 비상상황 발생시 통신사와 협조하여 제1통신실의 대외 전용회선을 제2통신실로 전환·수용하기 위한 비상계획을 수립하고 있으나,

제1통신실에 비상상황 발생시 제2통신실로 통신망을 전환·수용

하기 위한 구체적인 사항이 통신사와 체결한 계약서에 명확하게 반영 되어 있지 않으며, 통신망 전환 업무 매뉴얼이 없고 통신망 전환에 대한 모의훈련을 실시하지 않는 등 비상대응 계획이 미흡하며,

제1·2통신실과 재해복구센터간 통신망이 구축되어 있지 않아,

주전산센터에 비상상황 발생시 일부 대외기관 관련 업무가 중단될 우려가 있으므로,

서울통신실에 비상상황 발생시 통신망을 전환하기 위한 구체적인

사항을 통신사와의 계약에 명확히 반영하고, 통신망 전환 업무 매뉴얼을 마련하여 모의훈련을 실시하는 한편, 주전산센터의 통신망 장애시에도

대외기관 관련 업무가 중단되지 않도록 재해복구센터와 서울통신실간 전용회선을 조정·보완하는 등 대외통신실 이원화 체계를 개선하시기 바람

(23) 고위험 이상금융거래 관련 사고예방 절차 미흡

이상금융거래탐지시스템(FDS)을 구축하여 비정상 금융거래 행위를

탐지 및 차단하고 있으나,

소비자 피해 가능성이 높은 전자금융거래 관련 이상금융거래탐지

시스템(FDS) 사고유형에 대하여 O부서가 유관부서와 협의하여 반영 하는 절차가 마련되어 있지 않는 등 최신 피해사례에 대한 이상금융 거래 탐지가 미흡한 측면이 있으므로

O부서가 유관부서와 협의하여 전자금융사고 가능성이 높은 이상

금융거래 유형을 정기적으로 분석하고, 필요시 신종 고위험 사고유형을 이상금융거래탐지시스템(FDS)에 반영하는 등 이상금융거래 탐지 관련 사고예방 절차를 개선하시기 바람

(24) 전산원장에 대한 변경 통제대책 불합리

㈎ 전산원장 변경 관련 통제 절차 미흡

전산원장 변경 시 전용화면을 활용하여 전산원장을 변경하고,

작업 기록 및 변경 전후 데이터를 자동 기록·보존되도록 운영하고 있으나

전산원장 변경 전용화면에 대한 조회권한을 업무 관련자로 제한

하지 않고, 전직원에게 부여하고 있어 전산자료가 과도하게 노출될

우려가 있고, 원장정보 정정내역 조회 화면에 신규 등록한 정보 값을 구분 없이 표시하고 있어 입력 항목에 대한 확인이 명확하지 않는 등 전산원장 변경 절차가 미흡하므로

전산원장 변경 전용화면에 대한 조회권한을 업무 관련자로 제한하고,

전산원장 변경시 변경 전·후 항목이 명확하게 구분되도록 전산원장 변경 관련 절차를 개선하시기 바람

㈏ 전산원장 정정실 출입 통제 절차 불합리

전산원장 변경시 출입통제 구역(전산원장 정정실)에 설치된

중요 단말기를 이용하여 전산원장을 변경하도록 통제하고 있으나,

전산원장 정정실에 설치된 CCTV가 단말기 및 작업자를 촬영

하고 있지 않아 전산원장 작업자에 대한 사후 확인이 곤란하며, 전산 원장 정정실에 부서 비품 등을 보관하고 있어 전산원장 변경 업무 관계자 외 일반직원의 출입이 가능하므로

전산원장 정정실 내 설치된 CCTV는 전산원장 변경용 단말기

및 변경 작업자 확인이 가능하도록 조정하고, 업무 관계자 외 직원의 전산원장 정정실 출입·통제절차를 강화하는 등 출입통제 절차를 개선 하시기 바람

(25) 전산센터 내 단말기 등에 대한 통제 절차 개선

주전산센터 및 재해복구센터의 방재설비 등을 통해 주요 시설을

관리하고 물리적 통제절차를 마련·운영하고 있으나,

재해복구센터 내에 재해복구 훈련을 위한 공간을 ▽▽은행과

물리적으로 분리하지 않고 공동으로 사용하고 있어 동 공간에 배치 되어 있는 재해복구 훈련용 단말기(PC)를 통해 운영시스템 등에 대한 비인가자의 접근이 가능하며,

서버, 통신장비 등에 대한 시스템 작업 및 유지보수를 위해 사용하는

단말기에 대해 보안 통제를 적용하지 않아 작업 내역 등의 증요정보가 유출될 우려가 있으므로

재해복구센터 내 재해복구 훈련을 위한 공간은 독립적으로 분리하여

비인가자의 접근을 통제하고, 시스템 작업 및 유지보수를 위한 단말기에 대한 보안통제 절차를 개선하시기 바람

(26) 데이터베이스(DB) 접근통제 및 데이터 관리 절차 개선

운영계, 검증계 DB 접속 시 Ⓒ시스템을 통해 접속이력, 명령어

실행 통제, 접근통제 등을 관리하고 있고, 데이터베이스의 효율적인 운영을 위해 적재 데이터의 필요성 등에 대하여 매년 정기적으로 점검하고 있으나,

Ⓓ DB에 대해서는 Ⓒ시스템을 운용하지 않고 직접 접속하고 있어

Ⓓ DB에 대한 접근권한 통제, 명령어 통제 및 이력 관리 등이 누락될 우려가 있고,

일부 운영이 종료된 업무시스템의 경우 동 시스템에 저장된 데이터에

대한 별도의 관리 절차가 없어 해당 데이터 보관에 따른 운영 리스크가 발생할 소지가 있으므로

Ⓓ 데이터베이스(DB)에 대해서도 Ⓒ시스템을 적용하여 접근통제를

강화하고, 운영이 종료된 업무시스템에 저장된 데이터의 보관 필요성 등을 검토하는 등 관련 절차를 개선하시기 바람

(27) 통합단말 이용자정보 관리 절차 개선

Ⓔ시스템의 경우 작업이력 관리 등을 목적으로 로그를 암호화하여

저장하고 있으며, 고유식별번호가 포함된 이용자 정보를 조회하는 경우 화면 출력시 마스킹 처리를 하고 있으나,

전산담당 직원이 Ⓔ시스템의 환경설정 파일을 변경하는 과정에서

업무착오로 로그가 암호화되지 않도록 적용하는 경우 이용자 정보 등이 암호화되지 않고 평문으로 저장되어 이용자 정보가 노출될 가능성이 있고,

Ⓔ시스템 내 이용자 검색용 공통 화면에서 이름, 생년월일 등의

조건으로 이용자정보를 복수로 조회하는 경우 주민등록번호, 전화번호 등의 중요정보가 마스킹 처리되지 않아 이용자정보가 불필요하게 노출될 우려가 있으므로

Ⓔ시스템의 로그에 이용자정보가 평문으로 저장되지 않도록 환경

설정 파일의 관련 항목을 암호화하는 한편, 이용자정보 화면 출력 시 마스킹 처리가 되도록 관련 시스템을 개선하시기 바람

(28) 비상계획에 따른 원격접속 통제 및 검증 절차 불합리

내규에 따라 장애 조치를 위해 원격 접속이 필요한 경우 비상

계획에 따른 매뉴얼에 근거하여 조치하도록 하고 있으나,

비상계획에 따라 원격접속이 필요한 경우를 사전에 정의하지

않고 있으며, 원격 접속이 필요한 비상상황 발생 시 상세 작업내역에 대한 보고 및 사후 검증 절차 없이 약식으로 보고하고 있는 등 원격 접속에 대한 통제 및 검증 절차가 미흡하므로

장애대응의 시급성, 장애등급 등을 고려하여 원격접속에 대한

세부 운영기준을 마련하고, 원격접속 작업 내역에 대한 사후 검증 및 통제 절차를 마련하는 등 관련 절차를 개선하시기 바람

(29) 침입차단시스템의 보안정책 통제 절차 개선

비인가자의 접속 등으로부터 정보처리시스템을 보호하기 위하여

침입차단시스템(이하 ‘방화벽’)을 구축·운용하고 있으나,

운영 중인 방화벽 중 내부망의 Ⓕ방화벽의 경우 블랙리스트 방식으로

방화벽 정책을 운영하고 있어, 내부망 단말 및 서버 등에서 비인가 접속이 연결될 수 있는 등 업무 목적 외 불필요한 서비스가 접속될 우려가 있으며

일부 개발 프로젝트 수행시 방화벽 정책 허용을 신청한 후 프로젝트

종료시 정책을 차단하지 않은 사례가 있어 비인가된 접속 시도가 발생할 가능성이 있으므로

방화벽의 정책을 화이트리스트 방식으로 변경하고, 방화벽 정책

적용 시 허용 기간을 설정하여 유효기간이 만료된 정책은 삭제하고, 업무상 필요성 여부를 검토하여 불필요한 정책은 삭제하는 등 방화벽 보안정책에 대한 통제 절차를 개선하시기 바람

(30) 중요정보에 대한 시스템 로그 보안통제 절차 개선

Ⓖ솔루션을 도입하여 비인가자의 서버 접근을 차단하고, 감사추적,

비밀번호 변경 이력 등 서버 접근통제 관리를 위해 로그를 저장하고 있으나,

Ⓖ솔루션의 자체 오류로 정보처리시스템에 저장되는 로그 내에

일부 정보처리시스템의 접속 비밀번호가 평문으로 저장되는 취약점이 있고, 정보처리시스템에 업무별로 로그 생성시에도 생성 목적, 보관 기간, 암호화 조치 등의 적정성을 검토하지 않고 있어 중요정보 등이 노출될 우려가 있으므로

Ⓖ솔루션의 취약점인 평문 저장된 로그는 즉시 삭제하고, 동

취약점에 대한 패치를 적용하여 비밀번호가 포함된 로그가 생성되지 않도록 긴급 보정(패치)하는 한편, 정보처리시스템 로그 정책 설정 시 이용자정보, 거래정보 등 포함 여부, 보관기간, 암호화 조치 등에 대한 적정성을 정기적으로 검토하는 등 비밀번호, 이용자정보와 같은 중요 정보에 대한 시스템 로그 파일의 보안통제 절차를 개선하시기 바람