주식회사 케이뱅크 금감원 경영유의사항 · 2023-03-29

제재내용 공개

1. 금융회사명 : 케이뱅크

2. 제재조치일 : 2023. 3. 29.

3. 제재조치내용

제재대상

기 관

제재내용

경영유의사항 26건, 개선사항 28건

4. 제재대상사실

가. 경영유의사항

(1) 이사회 및 산하위원회 운영 미흡

이사회 및 산하 위원회 운영과 관련하여 아래와 같이 미흡한 점이 있으므로 이

사회 및 소속 위원회가 본연의 기능을 충실히 수행할 수 있도록 관련 업무 프로세스를 강화할 필요가 있음

이사회 및 산하 위원회의 공식 자료인 ’의사록’에 위원들의 발언 내용이 기재되어 있지 않은 경우가 다수이며, 비공식 자료인 ‘회의록’을 별도로 관리하여 발언 내용을 기재하는 한편, 주주에게 ‘회의록’은 공개하지 않고 ‘의사록’을 공개하는 등 이사회 및 위원회 운영의 투명성이 미흡하므로

비공식 회의자료인 ‘회의록’을 폐지하고, ‘의사록’을 상세하게 작성하는 등 이사회 및 위 원회 운영의 투명성을 강화할 필요가 있음

이사회 및 산하 위원회 위원들에게 회의 개최 전 촉박하게 안건제공 및 소집통지를 하여 경영상 중요 안건에 대한 검토 시간이 충분히 보장되지 않는 등 회의체 운영이 미흡하므로

안건 송부 및 소집통지 절차를 개선하여 이사회 및 위원회 운영의 실효성을 제고할 필요가 있음

(2) 상시감시시스템 운영 미흡

㈎ 상시감시시스템 적시성 강화

｢상시감시 업무메뉴얼」제6장에 따라 상시감시 점검항목의 위험등급을 R1(요주의),

R2(위험), R3(매우위험)로 분류하여 위험 기반 상시 모니터링을 실시하는데도

위험등급별 점검대상의 점검일을 추출일 기준 각각 10영업일(R1), 5영업일(R2), 3영 업일(R3) 이내로 운영하고 있어 신속한 금융사고 적발이 어렵고, 상시감시 모니터링 으로 적출된 이상거래 징후에 대한 준법감시조직의 점검이 장기간 지체되는 등 실효 성이 크게 미흡하므로

신속한 금융사고 적발을 위해 상시감시 점검항목의 점검기한을 단축하고 상시감시시스 템의 적시성을 강화하시기 바람

㈏ 상시감시 점검항목의 위험등급 및 사고유형 재조정

｢상시감시 업무메뉴얼」제5장에 따라 상시감시 점검항목 ◎◎개 중 ◎◎개 항목은

리스크 유형이 ‘횡령’으로 분류되어 있고, 그 중 ◎◎개 항목은 가장 낮은 위험등급인 R1(10영업일 이내)으로 산정되어 있는데,

해당 항목(리스크 유형 : 횡령, 위험등급 : R1)의 구체적인 사고 내용은 ‘당행직원 고액 이체거래’, ‘고액 예금 및 적금 중도해지 후 직원 계좌 이체’ 등으로 산정된 위험등 급(R1)에 비해 위험도가 다소 높고, 실제 취급하지 않는 업무(사고유형)가 점검대상 으로 지정되어 있는 등 상시감시시스템 운영이 미흡하므로

금융사고 예방을 위해 상시감시 점검항목의 위험등급 및 사고유형 등을 실질적인 위 험도와 수행업무에 맞게 재조정하시기 바람

㈐ 준법감시인 보고시스템 개선 및 내부통제업무 통할 강화

상시감시담당자는 ｢상시감시 업무메뉴얼｣ 제8장에 따라 매월 상시감시결과를

준법감시인 앞으로 보고하여야 하나,

2021년에 생성된 상시감시 월보고서(◎건)를 약 1년이 지난 2022.◇.◇. ~ 2022.◇.◇.에 준법감시인 결재를 받는 등 상시감시결과가 준법감시인 앞으로 적시에 보고되지 않고 있어

준법감시인 앞으로 상시감시결과 보고가 적시에 이루어질 수 있도록 보고시스템을 개선* 하고 준법감시인의 내부통제업무 통할을 강화하시기 바람

* 예: 월 보고서 미제출 시 주기별 알림 기능 마련 등

(3) 금융사고 관련 지침 미비

㈎ 금융사고 예방지침 미비

｢은행법｣ 제34조의3 제1항에 따르면 은행은 금융사고 예방대책을 마련하여 내부

통제기준에 반영하고 이를 준수하여야 한다고 정하고 있는데,

명령휴가제도, 내부자 신고제도 등 각종 사고예방제도가 마련되어 있으나, 각각의 내 규에 산재되어 있어 이를 통할하는 금융사고 예방지침이 없어 효율적으로 통합적인 사고예방제도 관리 및 운영을 하지 못하고 있고 인터넷전문은행의 특성을 반영한 사고 예방제도도 마련되어 있지 않으므로

인터넷전문은행의 특성을 고려한 직무위험도평가를 실시하여 고위험업무에 대한 사고 예방제도를 신설하고, 산재되어 있는 각종 사고예방제도를 통합한 금융사고 예방지 침을 마련함으로써 임직원이 이를 쉽게 인지·준수하도록 하시기 바람

㈏ 금융범죄행위에 대한 고발지침 미비

임직원의 금융범죄행위에 대한 고발지침이 마련되어 있지 않아 임직원의 금융

범죄행위에 대한 고발이 적시에 체계적으로 이루어지지 않을 가능성이 있어 이를 제어 할 수 있는 장치가 필요하므로

금융범죄행위에 대하여 고발대상, 고발주체, 고발절차 등을 규정하는 고발지침을 마련 하여 임직원의 금융범죄행위에 대한 주의를 환기시키고 고발의 적시성을 제고하여 금융사고 확대를 미연에 방지하는 등 금융사고 예방 기능을 강화하시기 바람

(4) 내부감사 지적사항의 사후관리 강화

내규 ｢상임감사위원 직무규정｣ 등에 따르면 상임감사위원은 감사결과 위법·부당

사항 또는 개선이 요구되는 사항 등이 있을 때는 경영진 및 관련 부서장에게 규정 또는 제도의 개선 등 처분을 요구하고 지적사항에 대한 조치결과를 사후관리하여야

하는데도,

20◇◇년~ 20◇◇년 기간 중 실시된 내부감사(◎◎건)의 지적사항(◎◎개) 중 ◎◎개가 완 결되지 않는 등 내부통제 문제점의 신속한 개선을 위한 사후관리가 미흡한 측면이 있으므로

감사업무 전반을 체계적으로 관리할 수 있도록 통합관리시스템을 구축하는 등 내부 감사 지적사항의 사후관리를 강화할 필요가 있음

(5) 징계 관련 인사위원회 운영 강화

㈎ 인사위원회 위원 구성방식 개선

내규 ｢인사위원회 운영지침｣ 등에 따라 인사위원회 위원장을 은행장이 맡고 있는

가운데, 인사위원회 위원이 ◎명만 확정되어 있고 사안에 따라 은행장이 임의로 위원을 추가할 수 있어 투명하고 다각적인 안건 심의가 진행되기 곤란한 측면이 있으므로

다양한 조직(리스크관리, 소비자보호 등)으로 구성된 충분한 수의 당연직 위원이 인사 위원회에 참여하도록 내규에 명문화하는 등 인사위원회의 투명성 및 다각적인 심의 기능을 강화할 필요가 있음

㈏ 인사위원회의 심의 공정성 강화

은행 내부통제시스템의 준수·개선 등을 총괄하는 준법감시인이 인사위원회에

당연직 위원으로 참여하고 있어 내부통제기준 준수의무 위반으로 인한 징계안건을 심의하는 경우 이해상충이 우려되므로

준법감시인을 인사위원회 위원에서 제외하고, 이해관계가 있는 위원의 위원회 참석을 금지하는 등 인사위원회 운영의 공정성을 강화할 필요가 있음

(6) 계약 관리 강화를 위한 내부통제 강화

내규 ｢일반 계약사무지침｣ 등에 따라 은행이 계약을 체결하는 경우 □□팀의

법률 검토를 거쳐 거래상대방과 상호 대등한 입장에서 당사자의 합의에 따라 계약을 체결해야 하는데도

일부 용역계약은 은행의 정당한 이익을 보호하고 합리적 수준에서 계약 당사자간 책 임의 크기를 결정하는데 계약 조건이 미흡하여 은행이 과도하게 손실위험을 부담할 우려가 있으므로

계약 과정에서 준법감시 조직의 사전 점검을 강화하고 일선 부서의 통제자가점검(자점 감사) 항목에 반영하는 등 사후점검 체계를 마련할 필요가 있음

(7) 장기적인 경영계획 수립

경영진은 중장기 경영계획을 수립하고 이를 바탕으로 경영목표와 경영전략을

수립하여 일관되게 추진하여야 하나, 설립 이후 자본제약 등을 이유로 중장기 경영계 획을 수립하지 않고 단기적인 연도별 경영계획만을 수립하고 있으므로 중장기 경영 계획을 수립하고 이행할 필요가 있음

(8) 관리회계 시스템 구축

종합 관리회계 시스템이 부재하여 경영 성과를 판단하고 의사결정에 필요한

정보를 제공하는 기능이 미흡하므로 효과적인 경영활동을 위하여 종합 관리회계 시 스템을 구축하여 운영할 필요가 있음

(9) 외부 수신문서의 중앙집중 시스템 구축

공문 등 외부 수신문서를 통할하는 시스템이 부재하여 외부 수신문서를 각 부서

에서 개별 관리하고 있어 계약조건 등에 대한 독립적인 제3자의 검증이 어렵고 체 계적인 문서 관리에 미흡함이 있으므로 외부 수신문서를 중앙집중 방식으로 관리하는 시스템을 구축할 필요가 있음

(10) ◎◎◎ 송금 고객수수료의 검증 방식 개선

고객예수금 계좌에서 ◎◎◎ 법인계좌로 ◎◎◎ 이용수수료를 이체하기 전, 매월

□□□부서 직원 1인이 △△△㈜ 사무실에 방문하여 △△△㈜ 직원과 함께 월별

수수료금액을 검증하고 있는데,

은행 직원 1인이 동 과정을 수행함에 따라 검증의 객관성을 확보하기 어렵고, 검증에 활용되는 DB에 집적된 ◎◎◎ 거래기록의 신뢰성 검증 절차도 생략되어 있는 등 미흡한 점이 있으므로

최소 2명 이상의 직원(IT전문직원 포함)이 참여하도록 하여 검증의 객관성을 높이고, 월별 거래기록의 신뢰성을 담보할 수 있는 방안을 마련하는 등 ◎◎◎ 이용 수수료 산정 절차를 개선할 필요가 있음

(11) IT감사 및 IT자체감사 업무 강화

㈎ IT감사 업무 강화

□□□팀은 내규 ｢ 상임감사위원직무규정｣ 제6조, ｢ 검사업무지침｣ 제35조, ｢ IT검사

업무매뉴얼｣ 등에 따라 감사계획을 수립하여 일상감사, 종합감사 등을 실시하고 있으나,

IT 연간 감사계획이 일부 업무에 한정되고 전산장애·사고에 대한 감사 이력이 없어 IT감사의 적정 여부를 평가하기 어려운 측면이 있고,

내규 ｢ 검사업무지침｣ 제37조에 의하면 □□팀은 검사결과 조치요구사항 정리보고서에

대한 심사 및 재정리요구 등을 수행하도록 규정하고 있으나,

□□□팀에서는 정리보고서에 대한 심사 결과를 문서화하지 않아 조치이행 여부를

보증하기 어렵고, 이로 인해 유사 지적사항이 일부 반복적으로 발생하고 있으므로

IT부문 전반을 점검할 수 있도록 연간 IT감사계획 수립 시 IT영역별 중점검사 대상을 선정하여 전산장애·사고 등에 대한 감사를 실시하는 한편, 지적사항 정리보고서에 대해서는 심사 절차를 문서화 하는 등 조치이행 검증을 체계화하여 유사 지적사항의 재발을 방지하는 등 IT감사 업무를 강화하시기 바람

㈏ IT자체감사 업무 실효성 제고

내규 ｢ 직제 및 업무분담규정｣ 제10조, ｢ 정보보호지침｣ 제47조 등에 따라 IT부서

(□□본부) 내 □□□팀 및 □□□팀에서는 IT 및 정보보호 업무에 대하여 자체감사 업무를 수행하여야 하는데도,

IT자체감사 관련 세부 업무 절차를 내규화하지 않고 IT자체감사 업무를 다른 IT직무 담당자가 겸직하고 있으며, IT자체감사 인력에 대한 인사고과를 수감 팀장·담당이 평가하는 등 IT자체감사자의 독립성 확보가 미흡하고

IT 및 정보보호 업무, IT아웃소싱 업무 등에 대하여 일상감사(일일·월간·분기감사 등) 및 취약 부분에 대한 수시감사 등을 수행한 이력이 없으므로

IT자체감사는 감사대상 업무로부터의 독립성을 확보하고, IT 및 정보보호 업무, IT 아웃소싱 업무 등에 대한 IT자체감사 관련 내규(지침, 매뉴얼 등)를 마련하여 일상 감사 및 수시감사를 실시하는 등 IT자체감사 기능의 실효성을 제고하시기 바람

(12) IT경영관리 업무 강화

㈎ 정보보호 의사결정기구 운영관리 강화

내규 ｢정보보호지침｣ 제9조 및 제9조의2 등에 따라 전산보안 업무의 효율적인

운영 등을 위해 보안관련 최고 의사결정 기구인 정보보호위원회와 이를 지원하는 정보보호실무협의회 제도를 운영하고 있으나,

검사착수일(2022.6.7.) 현재 정보보호위원회의 위원 모두를 임원으로 구성하면서 위원장(CISO/CIO)을 제외하면 IT부문(전산운영 및 개발 등) 관련 부서장이 위원으로 참여하지 않아 IT·정보보호 관련 전문적인 의견을 제시하거나 상호 보완 기능을 제공 하기 어렵고

정보보호실무협의회는 주요 정보보호 사항에 대한 실무 검토를 수행하도록 하여 정 보보호위원회의 의사결정을 지원하도록 내규로 정하고 있음에도 이번 검사대상기간 중 일부 ‘망분리 예외’ 안건에 대해서만 정보보호실무협의회 심의를 진행하는 등 정보 보호실무협의회의 기능이 유명무실화되고 있으므로

전산운영 및 개발 관련 부서장을 정보보호위원회의 구성 위원으로 포함하여 전문성을 강화하고 정보보호실무협의회는 정보보호위원회에 상정되는 주요 안건에 대한 사전 검토를 진행하여 의사결정을 지원할 수 있도록 관련 절차를 강화하시기 바람

㈏ 정보기술부문 계획 및 IT사업·예산 관리 강화

내규 ｢전산업무지침｣ 제5조 등에 따라 매년 정보기술부문 추진목표 및 전략,

IT사업 추진계획 등이 포함된 정보기술부문 계획서를 작성하고 정보보호위원회의 심의·의결을 거쳐 금융위원회에 제출하고 있으나,

정보기술부문 계획 상 IT사업 추진계획을 단기적인 상품 개발사업 등을 중심으로 수립하고 있어 IT부문 추진목표와 추진전략에 다소 부합되지 않는 문제가 있고,

정보기술부문 계획 수립 시 사업추진 우선순위를 정하지 아니하고 사업 변경·미추진 시 그 사유의 적정성 등에 대하여 정보보호위원회 재심의 등 절차가 미비하여 최근 5년간 IT자본예산의 편성액 대비 집행률은 평균 ◎◎%에 불과하므로

IT부문 추진전략 및 목표에 부합하는 IT사업 계획이 수립될 수 있도록 IT투자심의 실무위원회 등의 협의체를 통해 그 적정성을 면밀하게 검증하는 한편, IT사업 추진 우선순위를 정하고 사업 미추진 사유의 적정성 등을 정보보호위원회 등에서 심의· 의결토록 관리하여 중요 사업에 대한 추진 누락을 방지하는 등 IT계획 수립 및 IT 사업·예산 관리 절차를 강화하시기 바람

㈐ IT직무 기술 및 운영 정비 필요

내규 ｢직제 및 업무분담규정｣ 에 □□본부 산하 팀별 소관업무가 규정되어 있고,

이를 기반으로 채용 필요시 마다 담당팀 직무기술서를 마련하고 있으나,

소관업무 분류가 다소 상세하지 못하여 직무분리 확인 및 업무 책임소재 파악에 어 려움이 있고, IT부서 내 인력 부족 등으로 상호견제가 필요한 일부 업무를 겸직하여 전산원장 및 프로그램 변경 등 중요 IT업무 수행 시 상호간 견제에 소홀하고 이해 상충이 발생할 우려가 있는 등 IT업무 내부통제가 미흡하므로

전자금융감독규정의 직무분리 요건을 참고하여 IT직무를 세부 업무단위로 상세화하고 이를 기반으로 세부 요건을 정의한 직무기술서를 마련·관리하는 한편, IT업무간 상호 견제가 이루어질 수 있도록 관련 규정을 정비하는 등 IT직무 관리를 개선할 필요가 있음

(13) 비상대책 수립·운용 강화

㈎ IT업무연속성 계획의 실효성 제고

비상시 IT업무연속성 확보를 위해 IT부문(Tech본부)에서는 전사 업무영향분석

(BIA: Business Impact Analysis) 결과를 기반으로 IT업무연속성계획을 수립하여 ｢현장조치행동매뉴얼｣에 반영하고 있으나,

전사 업무연속성관리(BCM: Business Continuity Management) 상 핵심업무에 해당 하는 ◎◎개 업무가 재해복구시스템 구축 대상에는 포함되지 않아 비상시 즉각적인 복구작업 수행에 차질이 발생할 우려가 있고,

복구목표시간이 ‘즉시~1시간 이내(P1 등급)’로 평가된 2개의 업무(SAS, 규정관리시 스템)에 대해서는 재해복구시스템 구축 대상에서 임의로 제외하는 등 IT업무연속성 계획과 다르게 운영하고 있으므로

전사 업무영향분석(BIA) 결과에 따른 핵심업무 및 복구목표시간 관리 기준과 IT업무 연속성계획을 비교하고 재해복구시스템 추가 구축 및 개선 필요 여부를 면밀하게 검토하여 적용하는 등 전사 업무연속성계획에 부합되고 실효성 있는 IT업무 연속성 계획을 재수립하여 운영하시기 바람

㈏ 대외업무 연속성 확보를 위한 통신망 관리 강화

내규 ｢전산업무지침｣ 및 ｢현장조치 행동매뉴얼｣ 등에 따라 재해 등 비상상황

발생 시 대외 업무연속성을 위해 주요 대외기관 통신회선을 이중화하고 재해복구센터 (◊◊◊소재)를 구축·운용하고 있으나,

이중화된 대외기관 통신회선을 모두 주전산센터로 연결하고 재해복구시스템 가동 시 통신사에 요청하여 재해복구센터로 전환하는 형태의 복구 계획을 마련하면서도, 통 신사와 동 비상계획에 관한 별도 협약을 맺지 않아 비상시 통신회선 전환이 적기에 이루어지는 것을 담보하기 어렵고

일부 대외기관은 통신회선을 단일회선으로 구성하거나, 통신사를 이중화하지 않아 단일장애점(SPOF: single point of failure)이 존재하여 재해복구계획에 차질이 발생 할 우려가 있으므로

주전산센터로 집중된 주요 대외 통신회선을 재해복구센터로 분산 구성하고, 비상시 목표복구시간 내 통신회선 전환을 위해 통신사와의 별도 협약을 체결하는 한편, 단

일장애점이 존재하는 대외기관 통신회선에 대해서는 회선 및 통신사를 이중화하는 등 대외 업무연속성 확보를 위한 통신망 관리를 강화하시기 바람

(14) 자산건전성 분류 및 대손충당금 적립 업무 기준 강화

㈎ 자산건전성 분류 및 대손충당금 적립 업무 기준마련 미흡

내규 ｢위험관리위원회규정｣ 및 ｢규정관리규정｣에 따라 자산건전성 분류 및 대손

충당금 적립 업무는 위험관리위원회에서 기본 원칙을 정해야 하고, 은행의 계속적인 업무로 업무처리기준이 구속력을 충분히 확보할 수 있도록 규정화하여야 하나,

은행의 특성, 경영전략 등을 반영한 구체적인 원칙을 정한 바 없이, 위험관리심의회 에서 정하는 세부 방안(지침)에 따라 업무처리가 이루어지고 있어, 일관성 있는 기준 적용 및 내부통제가 소홀할 우려가 있으므로,

자산건전성 분류 및 대손충당금 적립의 기본 원칙에 대한 규정을 위험관리위원회에서 의결하여 제정할 필요가 있음

㈏ 미래경제전망정보 조정계수 관리지침 수립 필요

금융감독원은 2020.12월 은행들이 충분한 대손충당금을 적립할 수 있도록 부도율

산정시 자체적으로 경제상황 등을 고려한 미래경제전망정보 조정계수를 반영할 것을 요청하였고, 2022.3월에도 대내외 경제 불확실성을 반영토록 한 차례 더 지도하였으나,

은행은 미래경제전망정보에 대한 별다른 관리지침 없이 위험관리심의회의 의결을 통 해서만 조정계수를 결정하고, 조정계수를 오히려 하향 변경하여 대손충당금 적립률이 축소되었으므로

대내·외 경제상황을 반영하여 미래경제전망정보 조정계수 수립기준을 만들고, 금융 환경 변화를 고려하여 충분한 대손충당금을 적립할 필요가 있음

(15) 주택담보대출 여신심사기준의 적정성에 대한 여신감리 소홀

□□□팀은 ｢위험감리업무지침｣에 따라 여신심사기준의 적정성에 대해 매년 1회

이상 정기감리를 실시해야하고, 업무상 필요하다고 판단되는 경우에는 비정기감리를 실시할 수 있으나,

2020.◇월중 출시된 주택담보대출의 취급잔액이 2022.◇월말 ◎◎◎원에 이르는데도 여신심사기준의 적정성 감리시 신용대출에 대한 감리만 실시하고 주택담보대출에 대해서는 감리를 실시하지 않아

2020.◇.◇. ~ 2021.◇.◇. 기간동안 주택담보대출 중 총 ◎◎건, ◎◎억원을 ｢은행업감 독규정｣<별표6>의 담보인정비율(LTV) 및 총부채원리금상환비율(DSR)을 초과하여 취급 한 사실을 파악하지 못하였으므로,

주택담보대출 취급 시 관련 규제 준수 여부 등 주택담보대출에 대한 여신심사기준의 적정성을 정기적으로 감리할 필요가 있음

(16) 위험관리심의회 운영 관리 강화

｢위험관리심의회규정｣에 따라 위험관리심의회는 대면으로 개최되며 회의 소집이

어려울 경우에 한해 서면으로 개최할 수 있으나,

별도의 기준 없이 빈번하게 서면으로 개최되고 있으며, 서면 개최 시 위원들의 안건에 대한 의견 반영이 미흡하므로

위험관리심의회의 서면 개최 기준을 명확히 하고, 대면 개최 중심으로 운영하여 안건에 대한 논의를 활발히 하고 의견 개진이 충분히 이루어지도록 하는 등 실질적으로 운영 될 수 있도록 개선할 필요가 있음

(17) 유동성 관리체계 강화

유동성 관리업무와 관련하여 아래 ㈎~㈒와 같이 미흡한 점이 있으므로 자금의

조달구조 편중도 완화, 자금조달 및 운용계획 수립시 영향도 분석 등 사전검토 절차 강화 및 실효성 있는 조기경보 대응체계 구축 등을 통해 유동성 관리체계를 강화할 필요

㈎ 2022.◇월말 현재 전체 예수금(◎◎원) 중 VASP예금의 비중이 ◎◎%로 과도하게 높아 자금조달 구조가 편중되어 있고, 동 예금은 일반 소매예금, 저축성예금 대비 가상자산시장 상황 등에 따라 급격한 자금 이탈 가능성 등 높은 변동성을 가지고 있어 수신구조의 안정성이 취약하므로, 포트폴리오 다양성 확대 등을 통한 안정적 수신 기반 확충 노력이 필요

㈏ 2022.◇월말 현재 VASP예금(◎◎원) 중 대출 사용규모는 ◎◎%(◎◎원)로 경영 계획에 따라 2022년말까지 동 예금의 약 ◎◎%를 대출로 운용할 예정이나,

VASP예금의 특성상 예금 인출이 예상대비 급증할 경우 유동성리스크에 노출될 우려가 있음에도 이에 대비한 세부 검토과정 없이 대출 사용규모를 설정하는 등 경영계획 수립절차가 미흡함

㈐ 2022.◇월말 현재 유가증권 투자금액은 ◎◎원으로 전액 국·공채 및 금융채로만 운용 중으로 금리 상승에 따른 유가증권평가손실이 지속 확대되고 있으나,

자산부채종합관리협의회(ALCO)에서 시장상황 변화에 대응하기 위한 유가증권 운용전략에 대한 논의가 이루어지지 않는 등 관련 협의체의 역할이 미흡하고, 국·공채 및 금융채의 경우 내규상 □□팀장 전결로 투자한도에 제한 없이 운용이 가능하도록 규정되어 있는 등 직무상 책임과 권한이 □□팀장에게 과도하게 부여되어 있어 유가증권 운용 관련 의사결정체계 등에 대한 개선이 필요함

㈑ 유동성 악화 추세를 조기 식별하고 적시 조치를 위하여 6개 조기경보지표를 설정하고 위기단계(주의-경계-심각)에 따른 부서별 실행계획(Action Plan)을 수립하였으나 위기단계별 부서별 실행내용의 구체성이 결여되어 비상대응계획 으로서의 실효성이 미흡

㈒ 2022.◇.◇. 수신 및 VASP예금 감소 추세에 따른 유동성 부족 해소를 위하여 정기예금 금리인상을 통한 수신 조달방안을 자산부채종합관리협의회(ALCO)에 보고하였으나,

의사결정을 뒷받침할 수 있는 수익성 및 유동성에 미치는 영향도 분석 등 관련 자료를 충분히 제공하지 않거나 중요 논의사항에 대한 회의록 기재 및 관리가 미흡함

(18) 프론트 오피스(Front Office)와 백 오피스(Back Office) 업무 독립성 강화

자금조달 및 운용, 트레이딩거래 업무를 수행하는 프론트 오피스(Front Office)와

프론트 오피스의 거래에 대한 거래확인, 결제, 회계처리 등의 사후관리 업무를 수행하는 백 오피스(Back Office)를 동일부서(□□팀)에서 수행하고 있어 사고방지 등 내부통제에 취약할 우려가 있으므로

프론트 오피스(Front Office)와 백 오피스(Back Office) 업무의 부서간 명확한 직무분리를 통해 업무 독립성을 확보하고 사고방지 등 내부통제기능 및 리스크관리를 강화할 필요가 있음

(19) 유동성리스크 관리체계 강화

은행은 ｢은행업감독업무시행세칙｣(이하 ‘시행세칙’) <별표 9의2> 4. 등에 따라

유동성리스크 관리전략을 수립하고 이에 따라 유동성리스크 관리 체계를 마련·운영 하고 있으나,

검사기준일 현재 특정 자금조달원으로부터의 요구불예금 잔액이 총 예수금의 ◎◎%, 총자산의 ◎◎%를 차지하는 등 자금조달 편중도가 높은데도 유동성리스크 관리전략에 특정 자금조달원에 대한 편중도 완화 및 만기 분산을 위한 목표치를 명시하지 않았고 단기 및 중장기 조달계획 수립시 이를 반영하지 않았으며,

유동성리스크 관리전략 등에서 설정한 관리정책 상 운영하여야 하는 조기경보지표·모니 터링지표의 정의, 선정근거, 측정방법, 모니터링 방법 및 주체, 모니터링 수준 설정 및 초과시 대응방안 등 세부 업무기준이 마련되어 있지 않고,

유동성리스크 관리전략 등에서 설정한 내부통제 체계에서는 유동성리스크 관리지표의 측정 및 모니터링 업무의 담당부서, 모니터링 결과의 최종 확인자, 비상자금조달계획 적정성 점검 담당부서 및 비상자금 조달계획 발동시 위기상황별 진입여부 판단주체 등이 명확히 규정되어 있지 않거나 규정과 달리 운영되는 등 부서간 역할 및 책임이 불명확하므로

자금조달 편중도 완화를 위한 단기 및 중장기 계획을 마련하고 자금조달 편중에 따른 위험요인을 위기상황 시나리오 설정시 반영하고 내부자본 적정성 관리체계 구축시 고려하도록 하는 한편,

유동성리스크 관리정책이 원활히 운영될 수 있도록 구체적인 업무기준을 수립하고 업무공백 등이 발생하지 않도록 유동성리스크 관리업무별 부서 간 역할 및 책임을 명확히 규정하는 등 유동성리스크 관리체계를 정비할 필요가 있음

(20) 자본적정성 관리 강화

자본적정성 관련 계량지표가 경영지도기준을 충족하고 있으나, 자기자본비율이

인터넷전문은행 중 가장 낮은 수준이고, 2020년까지 “영업 확대→규제비율 준수를 위한 자본 부족 →영업 자제‧중단 →유상 증자→영업 재개”가 반복되는 불안정한 상황

아울러 2021년 상반기 유상증자에서 ◎◎원을 감독목적상 자본으로 인정받지 못하 였고, 내규에 의하면 ‘BIS기준 자기자본비율 정책’을 수립토록 하고 있음에도,

케이뱅크는 기업공개(IPO) 외의 여타 자본확충계획 등을 마련하고 있지 않으므로, 영 업과 연계된 자본유지정책 및 비상 시 자본확충계획 등 체계적인 자본계획을 충실 하게 마련할 필요가 있음

(21) 내부자본적정성 관리체계 강화

내부자본 한도 설정시 내부 데이터 및 은행의 영업 특성 등에 기반한 분석 절차

없이 리스크 요인간 분산효과를 적용 중이며, 유동성, 전략·평판리스크 산정시에도 가용자본의 일정 비율로 설정하는 등 리스크 요인별 내부자본 한도설정에 대한 합 리적 근거가 미흡하며,

또한, 재무계획에 따른 예상리스크량에 근거가 불명확한 버퍼(buffer)를 추가로 반영하여 내부자본 한도가 과대 설정됨에 따라 한도관리 실효성이 저하되고 있으며, 내부자본과 규제자본의 차이에 대하여 데이터, 증빙 등을 통해 합리적 설명이 가능하여야 하나 이에 대한 문서화 등 관련 업무절차가 미비하므로

리스크 부문별로 내부자본 한도 설정에 관한 합리적인 근거 체계를 갖추고, 관련 내규 등 문서화 절차를 강화할 필요가 있음

내규상 위험자본 한도 소진율 ◎◎% 초과시 1개월 이내에 위험자본 관리방안을 수립, 필요시 한도조정 요청이 가능하며, 각 본부(실)장은 위험자본 한도 초과시 인식시점 부터 ◎개월 이내에 한도 내 감축조치를 취하여야 하나, 금리리스크의 경우 2021.◇월말, 총리스크 및 신용리스크의 경우 2021.◇월말부터 위험자본한도를 초과하였고 2021.◇월까지 지속되었음에도 구체적인 한도초과 해소 계획(유상증자)을 2021.◇.◇. ’위험관리심의회·위험관리위원회‘에 상정하여 심의·의결 하는 등 한도초과 관련 조치의 적시성이 결여되었으므로 내부자본 한도 초과 관련 업무 절차를 강화하는 한편,

연중 한도 관리 업무에 대한 적정성을 점검하고, 이를 이사회 및 경영진에 보고하거나, 차년도 한도 설정시 점검 결과를 반영하는 등의 실질적인 내부자본 한도 관리 업무 절차도 충실히 이행할 필요가 있음

(22) 위험관리위원회 및 심의회 운영 내실화

위험관리위원회 및 위험관리심의회와 관련한 의사록‧회의록에는 안건과 관련

한 위원별 발언 내용, 논의 경과 등을 상세히 기록하여 의사결정에 관한 구성 위원 들의 개별적인 역할 및 책임 소재를 명확히 함으로써 투명성을 확보하여야 하며, 안건 관련 자료의 내용을 내실있게 작성하여 위원들의 이해도를 제고하고 합리적인 의사 결정을 도모하여야 하는데도,

의사록‧회의록에 위원들의 발언 기록을 남기지 않아 의사결정 과정이 불투명하고, 안건 자료의 구체적인 내용, 상세 설명 등이 부실하므로 관련 업무에 내실화를 기할 필요가 있음

(23) 적합성 검증 업무의 독립성 강화

은행은 관련규정*에 따라 내부자본적정성, 신용평가모형, 위기상황분석 등과

관련한 적합성 검증 업무를 독립적이면서 전문성을 갖춘 별도의 부서(또는 외부전문 가)에서 실시하도록 체계를 마련하여야 하는데도,

* ｢ 은행업감독업무시행세칙｣ <별표3> 신용ㆍ운영리스크 위험가중자산에 대한 자기자본비율 산출 기준, <별 표3의9> 내부자본적정성 평가·관리체제 구축·운용 및 점검 기준 14. 나., <별표19> 위기상황분석 실시기준 15.가. 등

해당 업무를 리스크 관리와 관련한 정책 및 절차를 수립하고 이를 총괄하는 리스 크관리실 산하의 □□□팀에서 수행하고 있으므로 동 업무의 독립성 확보 체계를 구축하는 등 관련 규정을 준수할 필요

(24) 리스크관리 관련 내규 등 정비

은행은 리스크 관련 한도 설정과 관련한 구체적인 가정, 방법론, 절차 등을 내규

등에 명시하여 관련 업무의 일관성을 확보하여야 하는데도,

내규 ｢위험감리업무지침｣ 및 ｢검사업무지침｣상 ’내부자본 적정성 평가‘ 항목이 누락 되어 있고, ｢위험감리 매뉴얼｣ 및 ｢검사매뉴얼｣에도 각종 리스크 요인과 관련한 적 합성 검증 업무의 구체적인 범위, 절차, 방법 등이 불명확한 등 부실한 측면이 있으 므로 리스크관리 관련 내규를 전반적으로 점검하여 개선할 필요

(25) 금리리스크 관리 업무 강화

비만기성 예금 등 금리리스크 측정 대상 포지션에 대하여 기본자본 대비 △EVE의

비율이 ’22.◇월말 기준 ◎◎%(△EVE : ◎◎원) 수준에 도달하는 등 지속적으로 높은 수준*을 유지하고 있어 이를 완화하여야 하는데도,

* ｢ 은행업감독업무시행세칙｣ <별표9의1> 21.다 에서는 동 비율이 15% 초과시 초과원인 및 대책을 감 독원장에 보고하도록 명시

만기 구간별 금리민감 자산‧부채의 갭을 축소하거나 기본자본을 확충하는 등의 적절한 개선 방안을 실행하지 않았으며, 핵심 예금에 대한 현금흐름 기간 배분 등 관련 지표 산출시 적용되는 가정들의 합리성 여부에 대한 자체 검토도 미흡하므로 실효성있는 업무 계획을 마련하여 추진함으로써 해당 리스크를 적절히 통제하고 관련 업무를 강화하시기 바람

(26) 리스크 유형별 위기상황분석 실시 및 위기상황 시나리오 설정 업무체계 강화

은행은 내규에 따라 반기별로 시나리오를 설정하고 위기상황분석을 수행하고 있으나,

내규 ｢위기상황분석지침｣ 제3조에서 신용, 시장, 금리, 유동성 및 운영리스크를 위기 상황분석 대상 리스크로 정하고 있는데도 신용 및 운영리스크에 대해서는 특별한 이유 없이 통합위기상황분석과 별개의 독립적인 위기상황분석을 실시하지 않고 있으며 내규 ｢위기상황분석지침｣ 제2조 제4호에서 위기상황분석 시나리오 설정시 위험관리 위원회의 의결을 거치도록 정하고 있는데도 분석결과 이후에야 시나리오 설정 결과와 분석 결과를 위험관리위원회에 동시에 부의하고 있어 위험관리위원회에서 위기상황 시나리오 설정 과정에 참여하지 못하고 있고

위기상황분석 과정에서 여신규모를 결정하는 자산증감률 추정시 정상 시나리오에서는 경제상황과 무관한 경영계획상 수치를 준용하고 위기 시나리오에서는 거시경제 변수를 활용한 추정치를 사용하고 있는데, 위기 시나리오에서는 2년간 자산 성장률이 ◎◎%인 반면 정상 시나리오에서는 ◎◎%로 지나치게 큰 차이가 있어 정상 및 위기 시나리오간 분석 결과의 비교 가능성이 미흡하며

위기 시나리오에서의 자산증감률 추정치로 ’97년 외환위기, ’08년 글로벌 금융위기 등 과거 위기상황에서의 분기별 경제성장률 디플레이터 증감률의 ◎개 분기 표준편 차값을 사용하고 있는데, 동 수치와 자산증감간의 인과관계가 명확하지 않는 등 시나리오 설정 방법론이 합리적이지 않고

위기상황분석 시나리오 설정시 경제성장률 디플레이터, 주택매매가격지수, 설비투자 지수, 경기종합지수, CD수익률, 국고채 수익률 등의 과거 추이만을 활용한 추정치를 사용함으로써 금리인상ㆍ경기침체 우려 등의 미래 전망 정보는 반영되지 못하고 있 으며, 자산규모의 빠른 성장에 따른 포트폴리오 변동 가능성, 은행 자금조달의 높은

부분을 차지하고 있는 특정 자금조달원의 이탈 가능성 등 은행의 중요 리스크요인이 위기상황 시나리오에 반영되지 못하고 있으므로 신용 및 운영리스크에 대해 별개의 위기상황분석을 실시하고, 시나리오 확정 이전 위험관리위원회에 시나리오를 부의하며, 불합리한 요소를 정비하고 미래정보 및 은행 특성을 반영할 수 있도록 시나리오 설정 방법론을 개선할 필요가 있음

나. 개선사항

(1) 이사회의 경영진 견제 기능 개선

｢상법｣에 따라 이사회는 이사의 직무 집행을 감독해야 하고 내규 ｢지배구조 내

부규범｣은 이사가 경영에 대한 감시책임을 진다고 명시하고 있음에도

재무실적 확대를 총괄하는 재무관리본부장(사내이사)이 이사회 내 ‘위험관리위원회’ 위 원을 겸임하며 리스크관리 정책까지 결정함으로써 이해상충 문제가 발생할 수 있고 이사회의 독립적인 경영진 감독·견제 기능이 약화될 수 있으므로 이를 방지하기 위해 사내이사(상임감사위원 제외)의 이사회 내 위원회 참여를 개선하시기 바람

(2) 임원 보수체계 및 성과평가기준 개선

｢금융회사의 지배구조에 관한 법률｣ 등에 따라 임원 보수 및 지급방식에 관한

사항을 결정·운영하는데 있어 아래와 같은 미흡한 측면이 있으므로 이를 개선하시기 바람

㈎ 사외이사에 대한 성과평가절차 개선

내규 ｢지배구조 내부규범｣에 따라 2년 이상 재임하는 사외이사에 대해 외부 평가기 관에 의한 평가를 할 수 있다고 정하고 있음에도, 2년 이상 재임한 사외이사에 대해 외부평가를 실시하지 않았고 평가기관도 지정되어 있지 않으므로 이를 개선하시기 바람

㈏ 임원 성과평가기준 및 성과보수 결정체계 개선

은행장이 단독으로 대다수 임원의 평가기준을 결정하고 평가권도 행사하며, 성과

보수(◎◎%)를 지급 시점만 이연(◎년)할 뿐 장기 실적에 연동하여 재산정하는 체계를 마련하고 있지 않으므로 보수위원회가 임원 평가기준을 결정하고 성과보수의 일정비율이

장기 성과에 연동되도록 개선하시기 바람

㈐ 상임감사위원의 성과평가기준 독립성 강화

상임감사위원의 성과평가기준이 재무성과와 연동되거나 직무와 무관한 기준이

적용되고 있어 직무수행의 독립성 저하 및 이해상충 문제가 발생할 수 있으므로 재 무성과 지표를 제거하는 등 개선하시기 바람

㈑ 임원 성과평가기준에 내부통제 평가 비중 개선

임원 성과평가기준에서 내부통제 평가 비중이 지속적으로 축소되었고, 은행장 외

임원은 내부회계관리제도의 운영성과를 반영하지 않고 있는 등 경영진의 적극적인 내부통제 강화 노력을 이끌 수 있는 유인이 부족하므로 임원이 사업위험에 상응하는 내부통제장치의 구축 및 준수 노력을 다하도록 내부통제 및 내부회계관리제도에 관한 성과평가 반영 비중을 개선하시기 바람

㈒ 임원 정성평가 관련 성과평가기준 개선

은행장이 임원(상임감사위원 제외)에 대해 ‘역량평가’(비계량, 비중 ◎◎%)를

실시하고 있는데 평가항목이 추상적이고 세부 평가기준이 없으며 평가근거을 기록·관리 하지 않고 있으므로 성과평가의 합리성 및 공정성을 제고하기 위해 이를 개선하시기 바람

㈓ 성과평가 및 보수지급 기준 수립 프로세스 개선

임원 성과평가 및 보수지급 기준의 수립이 장기간 지연되어 평가의 공정성 및

신뢰성이 저하될 수 있고 경영계획 추진의 동력이 약화될 수 있으므로 성과보수체계가 경영계획 수립과 연동되어 적시성 있게 확정되도록 업무 프로세스를 개선하시기 바람

(3) 주식매수선택권의 성과연동체계 개선

｢상법｣ 등에 따라 주식매수선택권 부여를 위한 성과연동체계를 마련함에 있어

아래와 같은 미흡한 측면이 있으므로 이를 개선하시기 바람

㈎ 주식매수선택권 행사조건 개선

일부 임원에 대한 주식매수선택권의 행사조건이 담당하고 있는 직무의 핵심 성과와

실효성 있게 연동되지 않는 구조로 설정되어 있으므로 이를 개선하시기 바람 ㈏ 주식매수선택권 취소 사유 명문화 등 내부통제 강화

임직원이 위법·부당행위를 하여 주주·기업의 이익을 침해*한 경우가 주식매

수선택권의 부여 취소사유로 명문화되어 있지 아니하여 주식매수선택권 운영의 공 정성이 저하될 수 있으므로 이를 개선하시기 바람

* 예 : 금융당국으로부터 일정 수준 이상의 제재조치를 받은 임직원 등

(4) 약관의 제정 및 변경시 보고‧공시 업무 개선

｢은행법｣ 제52조 제1항 및 ｢전자금융거래법｣ 제25조 제1항 등에 의하면 제정‧

변경일과 시행예정일을 구분하고 있음에도,

은행에서는 양 개념을 혼용하여 사용하는 등 별도로 관리하지 않아 약관의 제정‧변 경시 보고‧공시의무 위반 사례가 다수 발생하였으므로, 제정·변경일자와 시행일자의 구분을 명확하게 하는 등 약관의 보고‧공시‧통지 업무절차를 개선하시기 바람

(5) 상품광고 및 공시 관련 준법감시인 심의절차 개선

舊｢은행법｣ 제52조의 3 등에 의하면 은행은 은행상품을 광고하는 경우 준법감시인의

사전확인을 받아야 하는데,

금융상품 광고 및 공시 관련하여 준법감시인의 사전심의를 받았는지 점검할 수 있는 내부통제 시스템이 미흡하여, 사전심의가 누락된 경우가 다수 발생한 바 있으므로, 준법감시인의 사전심의가 제대로 이루어질 수 있도록 관련 내부통제 절차 및 전산시스 템을 개선하시기 바람

(6) 금융거래정보등 제공사실 통보 업무절차 개선

｢금융실명거래 및 비밀보장에 관한 법률｣ 제4조의2 등에 따르면 은행은 법원

등의 요청에 따라 거래정보등을 제공한 날(통보를 유예한 경우에는 통보유예기간이

끝난 날)부터 10일 이내에 제공한 거래정보 등의 주요내용을 명의인에게 서면으로 통보해야하고

해당 통보가 증거인멸 등 공정한 사법절차의 진행을 방해할 우려가 명백한 경우 등에 거래정보등의 요구자로부터 통보의 유예를 서면으로 요청받은 경우에는 그 유예요 청기간동안 통보를 유예하여야 하는데도

은행은 시스템 대량 전송 오류 등을 인지하였음에도 이에 대한 확인을 소홀히 하고 업무지연 및 오입력 등에 대한 통제장치를 갖추지 못하는 등 여러 원인으로 인해 2018.◇.◇.~2022.◇.◇. 기간 중 거래정보 등의 제공사실을 명의인에게 지연통보(◎ ◎건)하거나, 통보 유예기간 중에 통보(◎◎건)한 사실이 있으므로(총 ◎◎건 위반)

향후 업무처리 누락⋅지연이 없이 명의인 통보가 적시에 이루어질 수 있도록 주기적인 점검 등을 통해 관리⋅감독을 강화하고, 시스템 오류 등을 전반적으로 점검⋅개선하는 등 관련 업무절차를 개선하여 금융거래정보 등 제공사실 통보업무 관련 내부통제를 개선 하시기 바람

(7) 개인신용정보 집중 및 관리업무 개선

고객의 개인신용정보 관리 업무와 관련하여 아래와 같이 불합리한 점이 있으므로

관련 전산시스템 및 절차를 개선하시기 바람

㈎ 신용정보등록 해제업무 관련 정보 공유

은행은 신용회복 수정조정, 채무부존재소송 접수 등 개인신용정보 수기 등록·

변경이 필요한 사항에 대해 관련 여신관리 담당부서와 개인신용정보 집중처리 부서간 원활한 정보공유가 이루어지지 못한 결과, 신용정보의 등록⋅변경이 상당기간 지연 되거나 채무부존재소송 관련 연체정보 관리가 미흡하므로

체계적인 업무 프로세스 마련 등을 통해 신용정보 등록 누락⋅지연을 방지하고 신 용정보의 정확성⋅최신성이 유지될 수 있도록 업무처리를 개선하시기 바람

㈏ 개인신용정보 집중 관련 내부기준 개선

한국신용정보원에 은행 고객의 개인신용정보(신용도판단정보)를 집중하는 내

부기준(시스템 로직)이 일부 부정확하여 해제사유 발생일에 상응하는 실제 해제사 유와 다른 사유로 정보가 집중되는 등 신용정보의 정확성이 유지되지 못하는 경우 가 발생할 가능성이 있으므로

한국신용정보원 등 신용정보집중기관에 집중되는 신용정보의 정합성을 제고할 수 있도록 신용도판단정보 집중 프로세스를 점검하고 관련 내부기준을 개선하시기 바람

(8) 재산상이익 제공 관련 준법감시인 보고 업무 개선

은행은 사업⋅마케팅 부서의 재산상이익 제공 관련 준법감시인 보고의무에 대한

인지 부족, 동 의무이행과 관련한 준법감시 담당 부서의 적정성 점검 미흡으로 재산상이익 제공과 관련한 준법감시인 보고가 누락될 가능성이 있으므로

재산상이익 제공부서의 보고의무 이행률을 제고할 수 있는 방안을 마련하고 관련 법규 준수여부에 대한 적정성 점검을 강화하는 등 재산상이익 제공시 관련 사전⋅ 사후 내부통제를 강화할 수 있도록 관련 프로세스를 개선하시기 바람

(9) 위탁 및 제휴 계약 관련 고객정보 보호장치 개선

은행이 위탁·재위탁 계약 또는 제휴 계약을 통해 거래상대방에게 고객정보를 제공

하는 경우 수행해야 할 실효성 있는 고객정보 보호조치와 관련하여 아래와 같은 미흡한 측면이 있으므로 이를 개선하시기 바람

㈎ 수탁사 및 재수탁사에 대한 감독 강화 및 관리시스템 마련

수탁사에게 제공하는 고객정보의 종류를 위탁 계약서류(보안관리약정서)에 구체적

으로 열거하지 않은 채 포괄적으로 기재한 사례가 있으며, 수탁사에게 재수탁사에 대한 현장점검을 의무화하거나 은행이 직접 재수탁사 현장점검을 실시하지 않아 재 수탁사 감독이 형식적으로 수행될 우려가 높으며, 위탁 계약이 종료되지 않았다는 이유로 수탁사·재수탁사로부터 ‘고객정보 파기확인서’를 징구하여 기록·관리하지 않은 사례가 확인되었으므로

고객정보 보호를 위해 필요 최소한의 고객정보만 거래상대방에게 제공될 수 있도록 내부 통제장치를 개선하고 수탁사·재수탁사에 대한 점검 활동을 강화하시기 바람

㈏ 제휴사를 통한 고객정보 남용·유출 위험 최소화를 위한 내부통제 개선

제휴 계약시 제휴사의 고객정보 관리능력(물적·인적자원 등)을 평가하는 사전 보

안점검을 실시하지 않은 사례가 있고, 사용 완료된 고객정보의 파기 여부를 확인하기 위한 내부통제장치가 부재하므로 이를 개선하시기 바람

(10) 통제자가점검(자점감사) 제도의 실효성 개선

｢금융회사의 지배구조에 관한 법률｣ 등에 따라 은행은 법령을 준수하고 경영을

건전하게 하며 주주 및 이해관계자 등을 보호하기 위해 내부통제기준을 실효성 있게 마련하여야 하는 데도

매분기 준법감시 조직이 수행하는 각 부서의 통제자가점검 실시결과에 대한 분석 및 미흡 부서 지도까지 2개월 가량 소요되는 경우가 많아 내부통제 문제점이 신속히 개선되지 못하고 있고, 각 부서의 점검 실적에 연동되는 성과평가기준이 없어 개별 부서 및 준법감시담당자가 적극적으로 점검 활동을 수행하게 하는 유인 체계가 미흡하므로

준법감시 조직의 통제자가점검 분석 활동의 주기를 월 단위로 단축하고, 점검 실적을 임직원의 성과평가에 반영하는 효과적인 인센티브 체계를 마련하는 등 이를 개선하 시기 바람

(11) 명령휴가제도 실효성 제고

㈎ 명령휴가 대상 업무 개선

｢준법감시지침｣ 제19조 제1항 제1호에 따르면 명령휴가 대상자를 실물관리

딜링업무, 유가증권투자업무, 자금업무, 신탁업무, 전문영업직무(중소 RM, PB 등), 출납 담당자, 시공과금담당자로 정하고 있는데

신탁업무, 전문영업직무(중소 RM, PB 등), 출납업무, 시공과금담당업무는 운영되고 있지 않고 사실상 실물관리 딜링업무, 유가증권투자업무, 자금업무를 담당하는

□□팀(◎명)만 명령휴가 대상자로 지정되어 있어 명령휴가제도의 실효성이 현저히

떨어지므로

｢준법감시지침｣ 제19조 제1항 제1호에서 인터넷전문은행에 해당하지 않는 업무 담당자는 삭제하는 등 은행 운영 현황에 맞게 지침을 개정하고, 실질적으로 수행 하고 있는 업무 위주로 명령휴가제도를 운영하시기 바람

㈏ 명령휴가 실시 확대

｢준법감시지침｣ 제19조 제1항 제2호 내지 제4호에 따르면 제1호 업무를 제외한

사고발생 취약부문 동일업무를 1년 이상 담당하고 있는 자, 상임감사위원이 사고 예방과 관련하여 지정한 사원, 그 밖에 은행장이 사고의 개연성이 있다고 판단하는 사원을 명령휴가 대상자로 정하고 있는데

검사대상기간 중 사고발생 취약부문 동일업무를 1년 이상 담당하고 있는 자를 대상 으로 명령휴가를 실시한 경우는 ◎회에 불과하며, 은행장 또는 상임감사위원이 사고예 방과 관련하여 명령휴가를 실시한 경우는 전무하므로

매년 초 직무위험도 평가 등을 통해 사고발생 취약부문 업무 담당자를 선정하고, 내부통제위원회·감사위원회 등 경영진 회의체를 통해 사고발생 가능성이 있는 업무 담당자를 선정함으로써 명령휴가 실시를 확대하시기 바람

㈐ 명령휴가제도 객관성 강화

｢준법감시지침｣ 제19조 제4항에 따르면 소속 부서 준법감시담당자 혹은 소속부서

장의 명령을 받은 자는 명령휴가 대상자에 대한 점검자로 선정되는데

검사대상기간 중 명령휴가 실시 건수(◎◎건) 모두 명령휴가 대상자의 소속부서 내 동료직원이 점검을 실시하였고 이에 따라 명령휴가제도의 객관성이 저하될 우려가 있으므로

※ A직원의 점검자인 동료 B직원이 A직원에게 점검을 받는 등 상호 점검을 하는 경우가 대부분이며, 명령휴가 실시결과 모두 ‘적정’으로 산출됨

명령휴가 실시 결과에 대한 신뢰도를 제고하기 위해 준법감시담당자 혹은 소속부 서장의 명령을 받은 자 외에도 객관적인 제3자(□□팀, □□팀, 점검역량을 갖춘 타 부서 직원 등)가 명령휴가 대상 직원에 대한 업무 적정성을 점검할 수 있도록 조치 하시기 바람

(12) 임직원과 회사 간 이해상충 방지 업무 개선

임직원과 회사 간 이해상충방지 관련하여 아래와 같은 미흡한 점이 있으므로

관련 절차를 개선하시기 바람

㈎ 이해상충의 관리 등에 관한 세부 지침 미흡

｢내부통제규정｣에 따르면 준법감시인은 이해상충을 관리하는 방법 및 절차

등에 관한 세부기준을 마련하여야 한다고 정하고 있음에도 관련 내용이 여러 내규에 흩어져 있고 세부 기준이 미흡하므로 이해상충 방지를 위한 독립된 지침을 마련할 필요가 있음

㈏ 임직원의 외부활동 신고 관련 점검 미흡

임직원의 외부활동 신고에 대한 적정성 점검을 은행업 인가(2016.12.14.)

이후 두 차례만 하는 등 점검 활동이 미흡하고,

점검 결과 외부활동 사전신고를 누락한 직원이 다수임에도 불구하고, 대상자에 대한 징계 부재 및 개선 계획 등이 부실하므로 임직원의 외부활동 신고에 대한 점검 활동을 실효성 있게 개선하시기 바람

(13) 검사부 직원 성과평가 체계 개선

｢상임감사위원직무규정｣ 제11조에 의하면 은행장은 검사역에 대하여 따로 근

무평정 우대기준을 마련하여 운영하여야 하는데도

검사역에 대한 구체적인 근무평정 우대기준을 마련하고 있지 않으며 검사역에 대한 최종 평가를 CEO가 하고 있어 검사역 성과평가의 독립성 확보가 미흡하여 검사업 무의 객관성을 저해할 가능성이 있으므로

※ 검사역 평정을 절대평가 체제로 운영하고 있기는 하나, 절대평가의 경우 평가자에 따라 검사역에게 하위등급을 부여할 수 있는 점 등을 고려할 시 검사역에 대한 근무평정 우대기준을 운영하고 있다고 보기 어려움

검사역에 대한 구체적인 근무평정 우대기준을 마련하고(예: 검사역에 한해서는 하위등급 미부여) 검사역 근무평정 시 최종 평가를 상임감사위원이 하는 등 검사역 성과평가의 독립성 확보를 통해 검사기능을 강화할 수 있도록 성과평가 체계를 개선하 시기 바람

(14) 기술검토 표준화 관리 불합리

내규 ｢IT투자심의실무위원회 규정｣ 제4조 및 제6조 등에 따라 IT사업추진 시

‘IT투자심의요청서’ 및 ‘기술검토의견서’ 등을 작성하고 IT투자심의실무위원회에서 사업 타당성에 대하여 심의하고 있으나,

정보화 사업 기술검토 시 IT기술 표준을 반영한 체크리스트 대신 담당자 주관에 따라 검토하여 일관성이 부족하고 사업추진 부서가 IT부서(Tech)인 경우에는 ‘기술검토의 견서’를 생략할 수 있도록 절차를 운영하고 있어 추진사업에 대한 전사 IT기술 표준의 충족 여부를 보증하기 어려우므로

정보화 사업에 대한 기술검토 업무가 체계적이고 일관성 있게 진행되도록 IT영역별 사전검토 체크리스트 등을 마련하고 동 절차를 예외 없이 진행하는 등 기술검토 표준화 관리 업무를 개선하시기 바람

(15) IT계약업무 관리 불합리

㈎ IT관련 수의계약 검증 절차 불합리

내규 ｢IT계약사무지침｣ 제18조 등에 따라 계약업무를 진행하면서 기존 IT개발과

연계되어 연속성이 있는 개발·운영·유지보수에 있어 직전 또는 현재의 거래처와 계 약하는 것이 효율적이라 명백하게 판단되는 경우 등에는 일부 예외적으로 수의계약을 허용하고 있으나,

수의계약의 당위성을 명백하게 판단할 수 있는 구체적인 증빙자료를 징구하지 않아 계약업체 선정의 객관성 및 투명성이 결여될 우려가 있으므로

수의계약 시 그 당위성을 명백하게 판단할 수 있는 구체적인 증빙자료를 징구·검토 하고, 증빙으로 확인이 불가한 경우에는 ‘IT투자심의실무협의회’ 등을 통해 타당성을 검증하는 등 수의계약 검증 절차를 개선하시기 바람

㈏ IT관련 유지보수 계약 관리 불합리

내규 ｢IT계약사무지침｣ 등에 따라 물품 또는 소프트웨어 구매, IT유지보수

및 개발·운영 시 업체선정 및 계약체결 등 제반 업무를 수행하고 있으나,

검사착수일(2022.6.7.) 현재 IT유지보수 계약 ◎◎건 중 ◎◎건을 유지보수 시작일 보다 지연하여 소급 계약하고 있고, 윈도우즈 계열 운영체제(OS)의 경우 무상 유지 보수 기간 이후 유지보수 계약을 체결하지 않아 정보처리시스템 오류 발생 시 신속한 기술지원 및 조치가 이루어지지 않을 우려가 있으므로

IT유지보수 계약은 만료일 이전에 체결하고, 전산시스템 운영에 중요한 영향을 미칠 수 있는 IT유지보수 계약이 누락되지 않도록 유지보수 계약 필요성 및 계약 현황 등을 정기적으로 점검하는 등 IT유지보수 계약에 대한 관리 절차를 개선하시기 바람

(16) 프로그램 변경통제 관리 불합리

내규 「전산업무지침」에 프로그램 변경·통제 절차 및 관리지침을 마련하고

프로그램 변경사항에 대한 영향도를 상·중·하로 구분하고 있으나,

프로그램 긴급변경 적용대상·사유 및 변경 절차 등을 내규에 명시하지 않고 있으며, 프로그램 변경에 따른 영향도 구분 기준이 모호하고 영향도 구분에 따른 사후관리 프로세스의 차이가 없고,

운영시스템과 형상관리시스템간 프로그램 일치여부 검증(소스코드 대사) 절차가 미비하여 프로그램 긴급변경 관련 내부통제 체계 미준수 및 프로그램 변경 등으로 인한 사고·장애가 발생할 우려가 있으므로

내규상 프로그램 긴급변경 체계 및 변경사항에 대한 영향도 기준을 재정립하고 영 향도 구분에 따른 사후관리 프로세스 절차 및 프로그램 대사 절차를 수립하여 프로 그램에 대한 정합성을 제고하시기 바람

(17) 전산원장 긴급변경 관리 불합리

내규 「전산업무지침」제32조 등에 따라, 프로그램 오류 등으로 인한 전산원

장 변경 절차 등을 마련하고 전산원장 변경통제시스템을 구축하여 전산원장 변경 및 전후 내용 자동기록 등의 통제를 하고 있으나

일부 긴급한 전산원장 변경의 경우, 전산원장을 수정한 날로부터 최대 36일 후 사후 승인된 사례가 있으며, 전산원장 변경의 긴급성·불가피성에 대해 사후적으로 검증하지 않고, 전산원장 변경업무를 정기적으로 점검하는 절차도 부재하는 등 전산원장 변경 통제가 미흡하므로

전산원장 변경 시 전결권자의 승인이 지연·누락되지 않도록 알림기능을 추가하는 등 시스템을 보완하고, 자체감사로 하여금 절차 준수 및 전산원장 변경사유의 적정성에 대해 정기적으로 점검하는 등 전산원장에 대한 변경통제를 강화하시기 바람

(18) 일괄작업(배치) 통제 불합리

내규 ｢일괄작업(배치) 관리 매뉴얼｣에 따라, 일괄작업 중 오류가 발생하는 경우

오퍼레이터는 해당 일괄작업 요청자와 협의하여 재실행하는 등의 조치를 수행하고 익일 일괄작업 요청자가 오류의 원인을 파악·조치하고 있으나

전산원장을 변경할 수 있는 일괄작업(배치) 목록이 관리되지 않고, 일부 일괄작업 에서 동일 오류가 반복적으로 발생하는 등 오류발생 원인 분석 및 사후관리가 일부 미흡하여 일괄작업 오류로 인해 사고가 발생할 우려가 있으므로

일괄작업(배치)의 전산원장 변경여부를 정비하여 통제를 보완하고 동일 오류가 반 복적으로 발생하는 일괄작업 프로그램에 대하여 오류 유형 및 원인 등을 주기적으로 분석하여 조치 결과를 보고하는 등 일괄작업 오류처리 관련 통제절차를 개선하시기 바람

(19) 오픈소스 프로그램 관리체계 체계 마련·운영 필요

검사착수일(2022.6.7.) 현재, 전산시스템 개발, 빅데이터 분석 등 업무용 오픈소스

프로그램을 다수 운영하고 있으나,

오픈소스 프로그램 사용에 대한 관리주체, 통제 절차 등 거버넌스 체계가 마련되어 있지 않고, 형상관리시스템에 오픈소스 점검기능을 적용하면서 일반 개발프로그램에는 적용하지 않고 있으며, 오픈소스 사용 현황에 대해 정기적으로 점검하는 등의 통제절 차가 마련되어 있지 않아,

개발프로그램에 사용된 오픈소스 취약점으로 인한 보안 위협과, 오픈소스 라이선스 사용 저작물에 대한 리스크 등 오픈소스 프로그램 관련 법적‧기술적‧보안적 리스크가 발생할 우려가 있으므로

오픈소스 프로그램에 관한 도입·활용·유지보수 등 생명주기 전반에 걸친 관리체계를 마련 하고, 일반 개발프로그램에도 오픈소스 프로그램 점검기능을 적용하는 등 오픈소스 프로그램에 대한 통제·관리 절차를 개선하시기 바람

(20) 전산자료 백업 및 소산업무 불합리

내규 ｢표준 백업정책 안내서｣에 따라, 전산자료의 중요도 및 보관주기 등을

고려하여 전산자료 백업 및 소산을 수행하고 주기적으로 백업 및 소산자료에 대한 적정성 등을 검증하고 있으나,

전산자료의 소산대상을 정보처리시스템 위주로만 수행하고 콜센터 녹취파일 등 일부 대고객 서비스 관련 파일 및 업무시스템 로그 등에 대해서는 별도 백업·소산하고 있지 않아 재해발생 시 관련 전산자료 및 프로그램이 손실될 우려가 있고

백업테이프 소산현황 및 대장 관리를 수기로 관리함에도 소산관리대장과 소산된 백 업테이프의 현황을 대사하는 절차가 마련되어 있지 않는 등 현황관리가 다소 미흡 하며,

복구테스트 수행 주기 및 대상 등 세부기준을 마련하지 않았을 뿐 아니라, 소산센터 (내화금고)에 소산 중인 백업 테이프를 이용한 복구 테스트도 실시하지 않아 소산자 료의 무결성에 대한 검증이 미흡하는 등 백업·소산업무가 불합리하게 운영되고 있 으므로

백업 및 소산 정책을 재정비하여 백업·소산대상 및 검증 주기 등을 명확히 하고 일부 누락된 중요자료를 백업·소산하는 한편, 소산현황에 대한 대사작업 및 백업·소산된 자료를 이용하여 복구테스트를 정기적으로 수행하는 등 백업·소산관리를 개선하시기 바람

(21) IT인프라 성능 관리 불합리

내규 ｢시스템 성능분석 관리 매뉴얼｣에 따라, IT자원의 효율적인 활용과 안정적

운영을 위해 계정계 등 핵심업무 시스템에 대해 매월 정보처리시스템 및 네트워크 등의 성능·용량 및 시계열 추이 등을 모니터링하여 분석·보고하고 있으나

각 모니터링 시스템 분석과정에서 발생한 주요 특이사항을 종합하여 보고하지 않고 각각의 성능 모니터링 결과를 이메일 첨부파일 형태로 보고하고 있어 관리자가 성능 분석 및 조치에 대한 적정성을 종합적으로 판단하기 어렵고,

각 모니터링 시스템에서 발생한 주요 경고메시지(Fatal, Critical 등)에 대한 조치내역 등 상세 내용은 별도로 관리하지 않고 있으며,

특이사항에 대한 조치결과 및 성능관리지표에 대한 임계치의 적정성 등에 대해 정 기적으로 분석하고 있지 않은 등 시스템 성능 관리가 미흡하므로

시스템 성능분석 시 주요 특이사항 및 주요 성능지표 임계치 등을 종합 분석·조치하고, 이를 전자결재 등을 통해 관리자에 보고하는 한편, 각 모니터링 시스템에서 발생한 중요 경고메시지에 대한 조치내역을 추적 관리할 수 있도록 관련 절차 및 시스템을 개선하는 등 시스템 성능 관리 업무의 실효성을 제고하시기 바람

(22) IT업무 및 인프라 운영⋅관리 체계 불합리

IT업무 관리 및 인프라 운영·관리와 관련하여 아래와 같이 미흡한 점이 있으므로

IT업무 및 인프라 운영·관리의 효율성을 제고하고 내부통제를 강화할 수 있도록 관련 업무절차 및 전산시스템을 개선하시기 바람

① IT사업의 계획 수립, 인력 관리, 공정 관리, 성과 측정 및 최종 종료에 이르기까지

전반적인 IT사업 관리를 담당자가 수기로 점검·관리하고 주요 증빙자료 및 산출물도 수기로 관리하고 있는 등 IT사업에 대한 관리·통제 체계가 불합리하므로

IT사업에 대한 관리체계를 체계적으로 마련‧운용하고, 주요 증빙자료를 전산 관리할 수 있도록 관련 업무절차 및 전산시스템을 개선하시기 바람

② 시스템 미비로 전산처리 요청사항(SR) 관리를 배포관리시스템에서 수행하고 있

으나 동 시스템이 형상관리시스템과 연계되어 있지 않아 SR처리를 위한 배포를 수기로 확인·진행하고 있어 담당자 실수 등으로 인한 배포 오류 등이 발생할 위험이 있으므로

전산처리 요청사항(SR) 관리시스템을 형상관리시스템과 연계하여 자동화하는 등 전산 처리 요청사항에 대한 처리 및 관리 절차를 개선하시기 바람

③ 전산기기 자산목록 관리를 'MS엑셀' 프로그램을 이용하여 담당자가 수기로 관리

하고 있어 전산기기 목록의 임의 수정이 가능하고, IT자산별로 담당자 및 관리책 임자를 지정하지 않고 있으며, 21년 이후 IT자산의 보유내역 관리 및 IT자산 보유 현황에 대해 직접 조사하지 않는 등 IT자산에 대한 관리가 미흡하므로

IT자산이 체계적으로 관리될 수 있도록 관련 업무절차 및 전산시스템을 개선하고 IT자 산에 대한 관리현황 및 자료의 정합성 검증을 주기적으로 실시하시기 바람

④ 일부 백업시스템 및 소산시스템을 일반 사무실(◎◎센터) 내 통신실에 설치·운영

하여 방제, 전원, 공조, 소방 등 물리적 통제 및 시설관리가 일부 취약함에 따라, 화재, 침수 등 예기치 못한 비상상황에 대처가 미흡할 우려가 있으므로

◎◎센터 사무실에 설치·운영 중인 백업시스템 및 소산시스템을 화재, 침수 등에 대한 비상상황 대응체계가 갖춰져 있는 전용 서버실로 이관하시기 바람

⑤ 최종 개발프로그램 검증을 위한 별도의 인프라가 구축되어 있지 않아 최종 개발

프로그램을 운영시스템에 순차 배포하여 정상 작동여부를 검증하고 장애·오류 시

롤백하는 체계로 검증하고 있어, 운영시스템에서의 검증과정에서 예기치 못한 오류가 발생할 우려가 있으므로

최종 개발프로그램을 운영환경에서 검증할 수 있는 인프라를 마련하는 등 검증 업 무로 인한 시스템 오류 및 사고를 최소화 하기 위한 방안을 마련하시기 바람

(23) 테스트데이터 변환 및 관리 절차 불합리

내규 ｢정보보호지침｣ 31조 등에 따라 프로그램 테스트를 위해 이용자 정보를

사용할 경우에는 테스트데이터 변환툴을 통해 주민등록번호, 성명, 주소 등 주요 개 인정보를 임의의 데이터로 변환하고 있으나,

데이터 변환솔루션 사용 시 업무 담당자(신청자)가 변환할 항목(DB컬럼 등)을 직접 선택하여 수동으로 변환하고 있어 고의 또는 과실에 의한 데이터 변환이 누락될 우려가 있고, 테스트데이터에 대한 이용신청(목적·사용자·기간) 및 승인, 폐기절차 등이 내규에 마련되지 않아 테스트데이터가 사용목적 종료 후 삭제되지 않을 위험이 있으므로

프로그램 테스트를 위한 이용자 정보를 변환할 경우에는 메타데이터 시스템과 데이터 변환 솔루션을 연동하여 테스트데이터를 자동으로 변환하고, 테스트데이터 이용신청 및 승인, 폐기와 관련한 절차 등을 내규에 마련하여 사용목적이 종료된 테스트데 이터는 즉시 삭제할 수 있도록 관련 업무절차를 개선하시기 바람

(24) 단말기 정보보호시스템 보안통제 불합리

내규 ｢정보보호규정｣ 제9조, ｢정보보호지침｣ 제41조 등에 따라 임직원 단말기

內 악성코드 감염 및 정보유출 방지를 위해 네트워크 접근통제(NAC) 시스템을 통 하여 필수 보안 프로그램을 설치·운영하고 있으나,

중요단말기 등 일부 단말기의 경우 필수 보안프로그램 설치 및 동작여부 확인이 누락된 사례가 있고, 미사용 배포정책을 삭제하지 않는 등 네트워크 접근제어시스템 통제관리가 미흡하여 불필요한 정책이 단말기에 적용될 우려가 있으므로

전체 임직원 단말기에 필수 보안 프로그램이 누락 없이 설치·운용될 수 있도록 네트워크 접근통제(NAC) 시스템의 보안정책 및 적용현황을 보완하고 예외장비에 대한 모니터링을 강화하는 등 관련 업무절차 및 전산시스템을 개선하시기 바람

(25) IT 및 정보보호 내규관리 개선

IT 및 정보보호 부문의 조직 운영과 원활한 업무수행을 위하여 총 9개 내규를 마련

하여 IT 및 정보보호 업무처리 기준 등에 관련된 사항을 규정하고 있으나,

IT 및 정보보호 업무를 효과적으로 수행하기 위한 세부적인 절차와 방법을 문서로 관리 하지 않는 등 내규관리 체계가 미흡하여 담당자의 역량에 따라 IT, 보안업무 품질이 달라지고 정책의 일관성이 결여될 우려가 있으므로

IT 및 정보보호 업무에 필요한 정책, 세부적인 절차 및 기준 등을 문서로 관리하고, 동 지침에 근거하여 담당 업무를 수행할 수 있도록 내규관리 체계를 개선하시기 바람

(26) 사용자 비밀번호 암호화 알고리즘 불합리

내규 ｢정보보호규정｣ 제23조에 따라 데이터 기밀성 보장 등을 위하여 개인 식별

정보, 비밀번호 등의 중요정보는 DB암호화 솔루션 등을 통하여 암호화하여 저장·관리 하고 있으나

검사착수일(2022.6.7.) 현재 외부메일시스템 사용자 비밀번호는 보안강도가 낮은 ◎◎ 비트 ◎◎◎ 알고리즘*으로 암호화하여 해킹 등에 의한 정보유출 위험이 있고

* 한국인터넷진흥원(KISA)은 비밀번호 등에 대하여 보안강도가 112비트 이상인 암호화 알고리즘(예: SHA-256 등) 사용을 권장

배치작업관리시스템 사용자 비밀번호는 복호화가 가능한 양방향 암호화 방식으로 저장 하여 비밀번호가 노출될 우려가 있으므로

사용자 비밀번호 등 중요 정보는 고강도 암호 알고리즘을 적용하고, 단방향 암호화 방식 으로 전환하여 불법 조회 가능성을 차단하도록 관련 시스템을 개선하시기 바람

(27) 전자금융기반시설 취약점 관리 불합리

내규 ｢정보보호규정｣ 제7조, ｢정보보호지침｣ 제39조 등에 따라 전자금융기반시설

분석·평가 및 ISMS-P 인증을 위한 취약점 점검을 연 1회(홈페이지는 6개월에 1회) 실시하고, 이행계획을 단기(3개월 이내), 중기(6개월 이내) 및 장기(1년 이상) 조치 건으로 구분하여 최고경영자에게 보고하고 있으나,

2020년 전자금융기반시설 취약점 분석·평가에서 발견된 취약점 ◎◎건 중 조치가 불가한 ◎건에 대해서는 위험수용 처리하였음에도 동 취약점의 보안상 위험을 서면으로 보고 (전자결재 참조)하여, 최고경영자가 위험 수용에 대한 보안 리스크를 적시에 인지하지 못할 우려가 있고

2018년 ISMS-P 인증심사에서 발견된 취약점 중 일부에 대해서는 이행기한을 지속 연장 하며 장기간 조치하지 않는 등 보안 취약점 관리체계가 불합리하므로

취약점 조치계획 수립 시 이행 가능성, 위험도 등을 고려하여 이행기한을 합리적으로 결정하고, 부득이한 사유로 위험을 수용할 경우에는 최고경영자가 관련 사항을 충분히 인지하고 승인 여부를 결정할 수 있도록 보고 내용 및 절차를 개선하시기 바람

(28) 외주인력 보안관리 불합리

내규 ｢정보보호규정｣ 제9조, ｢정보보호지침｣ 제42조 등에 따라 매월 정보보호의

날을 지정하고, 외부주문 인력의 보안정책 준수여부를 점검하여 점검결과 및 보완계 획을 최고경영자에게 보고하고 있으나

점검항목별 세부 점검기준이 미비하고 외주직원이 자가 점검하여 결과만 표기(O/X) 하는 등 점검 활동이 형식적으로 이루어지고 있으며, 정보보호의날 결과보고시 증빙자료의 적정 여부를 점검하지 않고 단순 취합하여 보고하는 등 외주인력에 대한 보안관리가 미흡하므로

외주인력 보안점검에 관한 상세 매뉴얼을 마련하고, 현장점검 및 증빙자료 검토 등을 통해 점검결과의 적정성을 검증하는 등 외주인력에 대한 보안관리가 실효성 있게 작동 되도록 관련 업무절차를 개선하시기 바람