농협은행주식회사 금감원 경영유의사항 · 2016-09-13

경영유의사항·개선사항 공개안

경영유의사항·개선사항 공개안

1. 금융기관명 : 농협은행

2. 조치요구일 : 2016. 9.13.

3. 조치내용

조치대상

조치내용

기 관

경영유의사항 14건, 개선사항 18건

조치대상

조치내용

기 관

경영유의사항 14건, 개선사항 18건

4. 조치대상사실

가. 경영유의사항

(1) 위험가중자산 산출 적합성 검증절차 강화

위험가중자산 산출부서와 검증부서는 위험가중자산 산출 및 이에 대한 적합성 검증을 위해 각각 전산시스템을 구축하고 있으며 산출 및 검증절차의 상당 부분을 시스템에 의존하고 있어 시스템 관리가 중요한데도, 검증부서는 규정 개정이나 신규 상품 개발 등으로 위험가중자산 산출요건이 변경된 경우에도 검증시점에서야 검증시스템의 오류 결과*를 통해 이를 확인하고 검증시스템에 반영하고 있어 산출부서가 산출요건 변경 사항을 산출시스템에 적절하게 반영하지 아니한 경우 이를 인지하기 어려워 적합성 검증의 실효성이 저하될 우려가 있으므로,

* 산출요건 개정사항을 위험가중자산 산출시스템에만 반영하면 검증시스템이 오류 도출

검증부서에서 산출부서의 산출시스템 변경사항을 사전 점검하고 필요시 검증시스템에 반영하는 프로세스를 마련하는 한편, 위험가중자산 산출요건 변경에 대한 별도의 검증방안을 강구할 것이 요망됨

(2) 회계분식 관련 관리프로세스 운영 강화

차주의 회계분식 등에 따른 손실을 최소화하기 위하여 재무이상치 점검 시스템을 마련하여 운영하고, 금융감독원의 회계감리 결과 제재를 받은 업체에 대한 재평가 프로세스를 도입‧운영하고 있으나, 재무이상치 점검시스템에서는 분식징후 대상(4~5등급)이 점검대상의 11.2%로 과도하게 추출되고 있으며, 재무이상치에 대한 점검결과도 심사자가 신용평가 종합의견에 기술하고 있을 뿐 판단근거에 대한 사후검증 프로세스 부재 등 관련 절차의 실효성이 낮으며, 금융감독원의 회계감리결과 제재조치를 받은 업체에 대한 재평가시에도 구체적인 점검 절차 없이 평가가 형식적으로 이루어지고 있으므로 재무이상치 점검 시스템의 실효성 제고방안 마련, 분식징후 대상 업체에 대한 점검 프로세스 구체화 등 관리 프로세스를 강화할 것이 요망됨

(3) 영업점장 전결여신의 전결권 확인 절차 강화

2015년중 기업신용평가대상 차주에게 신규 취급한 영업점장 전결여신에 대해 여신감리를 실시한 결과, 67건이 감리등급 ‘부적정’으로 판명되었으며 이중 13건은 차주의 업종 등록오류 등에 기인한 전결권 위반이었는바, 영업점장의 전결권 초과 여신을 협의체의 승인 없이 취급할 경우 심도 있는 여신심사가 이루어지지 않아 부실화 될 가능성이 높고, 영업점 업적평가 왜곡, 초과 대출금 회수에 따른 민원 발생 및 재승인 절차 등에 따른 업무 부담 가중 등 부작용이 발생할 수 있으므로 영업점장 전결여신 취급시 전결권을 초과하여 취급되지 않도록 업종 등록의 정당여부를 확인하는 전산시스템을 보완하는 등 영업점장 전결권 확인절차를 강화할 것이 요망됨

(4) 기업신용평가 신용등급 조정업무 강화

2015년중 기업신용평가 대상 차주에 대한 신용평가시 필터링 항목(차주의 신용도에 부정적 영향을 초래하는 사유)을 반영하여 자동 등급조정(하향조정)된 모형등급을 내규상 신용평가 조정사유를 근거로 상향조정(판단 등급조정)한 차주는 170개였는데, 이 중 28개는 자동 등급조정 전 결합등급보다 1～5단계 상향조정되었고, 요주의 등급을 정상 등급으로 상향조정한 차주 96개(56.5%) 가운데 2016년 3월말 현재 자산건전성이 악화된 차주는 7개(요주의 3개, 회수의문 4개)인 것으로 나타나는바, 신용평가모형에서 산출된 모형등급을 상향 조정할 때 자동 등급조정 사유 해소 등에 대한 근거가 없는 경우가 다수 존재하고, 필터링 항목을 반영하여 하향조정된 모형등급을 다시 상향조정하는 것에 대한 별도의 제한이 없어 신용등급 상향조정 업무가 관대하게 이루어질 소지가 크므로, 신용등급 상향에 대한 객관성 및 합리성이 확보될 수 있도록 상향 조정시 필터링 항목에 의한 자동 등급조정 사유 해소 등에 대한 객관적인 근거를 제시하고 그 내용을 상세하게 기록하도록 하는 한편, 필터링 항목에 의한 자동 등급조정 전 결합등급보다 높게 조정하는 경우 전결권을 상향하는 등 신용등급 조정업무를 강화할 것이 요망됨

(5) 준법감시 업무체계 강화

｢준법감시업무규정｣에 따르면 중앙본부 각 부서 및 영업본부 등의 준법감시담당자(2015년말 기준 93명)는 ’준법감시활동보고서 및 체크리스트‘에 따른 정기점검을 매월 실시하고, 준법감시부는 준법감시담당자의 월별 준법감시활동 점검결과를 종합하여 준법감시인에게 보고하여야 하며, 준법감시 업무수행의 독립성을 위하여 필요한 경우 준법감시인이 준법감시담당자 및 자점감사자에 대하여 준법감시 업무수행과 관련한 근무평정을 실시할 수 있음에도 준법감시담당자의 자체점검이 충실히 이행되는지 여부에 대한 준법감시부의 점검이 미흡하여 준법감시담당자의 점검이 다소 형식적으로 운영되는 경향이 있으며, 준법감시인이 준법감시담당자 및 자점감사자에 대하여 준법감시 업무수행과 관련한 근무평정도 실시하지 않고 있는 것으로 확인되었는바, 준법감시체계가 실질적으로 작동할 수 있도록 준법감시부가 주기적으로 준법감시담당자의 점검활동에 대한 현장점검 및 모니터링을 실시하고, 준법감시담당자(영업점 자점감사자 포함)에 대한 근무평정권한의 일부를 준법감시인에게 부여하는 등 준법감시 업무체계를 강화할 수 있는 구체적인 방안을 마련하여 시행할 것이 요망됨

(6) 외부감사 관련 감사위원회의 기능 활성화

감사위원회는 ｢정관｣ 및 ｢감사위원회규정｣에 따라 외부감사인을 선임하고 외부감사 종료 후 감사위원회에 제출된 결산서류의 적정성에 대하여 감사부가 사후적으로 감사를 실시하며 동 결과를 감사위원회에 보고하고 있으나, 외부감사 실시단계에서 외부감사인과의 정보공유, 외부감사 활동에 대한 모니터링 및 평가는 미흡한 실정이며, 금융감독원은 2015.12.29. 외부감사 관련 감사 및 감사위원회 기능 활성화 및 외부-내부감사의 연계 강화를 유도하기 위해 ｢외부감사 관련 감사 및 감사위원회 운영 모범사례｣를 발표하여, 감사위원회가 회사의 재무제표 및 외부감사 과정에 대한 감독책임이 있음을 인식하고 본연의 기능을 수행하는 데 참고자료로 활용토록 독려하였는바, 상기 모범사례를 참고하여 외부감사 실시단계에서부터 외부감사에 대한 이해 제고 및 정보 공유, 외부감사 활동에 대한 모니터링 및 평가 등을 통해 외부감사 수감 및 재무제표 작성 과정에서 감사위원회의 기능을 활성화할 것이 요망됨

(7) 집행임원 선임시 자격요건 검토 강화

｢○○○○○규정｣ 제9조에 의하면 ○○○○○ 담당임원은 ○○○○○에 대한 전문지식과 실무경험을 갖춘 자 중에서 선임토록 규정하고 있는데도

○○○○○ 담당임원 선임 시 이에 대한 검토가 미흡하여 ○○○○○와 관련한 업무경험이 부족한 인사가 선임될 수 있어 ○○○○○ 조직의 전문성이 저하될 우려가 있는 바, 향후에는 ○○○○○ 담당임원의 자격 요건에 대한 검토를 강화함으로써 ○○○○○ 담당임원의 전문성을 제고할 것이 요망됨

(8) 정도경영 확립을 위한 영업정책 수립절차 보강

은행은 주력 금융상품 판매 등과 관련하여 수립한 영업정책을 영업 현장에 효과적으로 투영하기 위하여 프로모션 및 특별 KPI를 활용하고 있는데, 2014년 이후 실시된 프로모션 내역 및 특별 KPI 설정 내역을 점검한 결과 일부 평가지표가 영업추진의 목적 달성을 위해서는 효과적으로 구현되어 있으나 상황에 따라 고객의 민원을 야기하거나 불완전판매 등을 유발할 소지가 있도록 실적평가 기준이 설계되어 있는바, 마케팅 정책 수립시 금융소비자보호 총괄부서가 금융소비자보호의 시각에서 사전 점검 후 문제점을 시정할 수 있도록 관련부서와 사전협의 절차를 구축‧운영하도록 정하고 있는 금융감독원의「금융소비자보호 모범규준」(2014.3.31. 시행)의 취지에 부합하도록 영업정책 수립 절차를 보완할 필요가 있으며, 또한 금융소비자보호 총괄부서의 사전검토가 실효성 있게 운영될 수 있도록 주요 검토항목 및 점검포인트에 대한 체크리스트를 마련하여 검토 건별로 체크리스트에 의거한 검토를 실시할 것이 요망됨

(9) 중요정보 보고체계 정상작동을 위한 내부통제체계 정비

｢자점감사 업무방법｣ 제4장 제2절에 따르면 각급 사무소장은 내규에서 정한 정보 보고사항을 인지 또는 발견하였을 때 지체없이 보고서식에 맞춰 팩스, 내부전산망 등을 통하여 감사 및 자점감사 담당 부서장(준법감시부장)에게 보고하도록 정하고 있으나, 다수부서가 관련되어 보고주체가 모호한 경우, 특정인에게 구두로만 알리고 정식 보고를 누락하는 경우, 보고대상 정보의 종류가 모호하여 보고를 누락하는 경우 등 다양한 사유에서 보고의 누락이 발생될 수 있으며, 또한 보고 미이행 또는 지연보고에 따른 불이익 부과 기준이 부재하여 보고의 이행을 담보할 수 없는 상황인바, 보고주체 및 보고방식을 내규상 명확히 하고, 보고대상 정보의 범위에 대해서도 구체적인 기준을 마련하여 공지하는 한편, 중요정보 보고가 충실히 이행될 수 있도록 실질적인 불이익 부과기준을 마련하여 운영하는 등 내부통제체계를 정비할 것이 요망됨

(10) 방카슈랑스 업무 관련 내부통제 강화

방카슈랑스 업무의 특성상 수수료수익 제고를 위한 업무 추진과정에서 승환계약 등 불완전판매가 이루어질 개연성이 높으므로, 불완전판매에 따른 이의제기(청약철회, 품질보증해지, 민원해지 등)가 일정 건수 또는 일정 비율 이상인 영업점이나 판매직원에 대하여 불이익을 부과하는 방안을 마련하여 운영하고, 승환계약에 따른 고객 피해 예방을 위하여 보험계약 신규 청약 및 해지 처리 시 대상고객의 보험계약 비교안내 확인서가 팝업(POP-UP)창을 통해 자동 생성되고, 이를 출력하여 고객 자필 서명이 가능하도록 전산시스템을 구현하는 등 관련 내부통제를 강화할 것이 요망됨

(11) 신용카드 불법모집 방지를 위한 내부통제 강화

｢여신전문금융업법｣ 제14조의2, 제14조의5에 따르면 신용카드업자는 임직원, 신용카드 모집인 등 신용카드를 모집할 수 있는 자 이외의 자에게 신용카드회원을 모집하게 할 수 없으나, 대출모집인을 통한 대출취급 시 신용카드 이용실적이 대출금리 우대항목으로 반영되어 있어 대출상담 과정에서 신용카드 모집자격이 없는 대출모집인이 신용카드를 모집할 소지가 있고, 실제로 대출고객이 금리우대를 받기 위해 대출모집인에게 신용카드 입회신청서를 작성하여 제출하였으나 카드발급 누락으로 금리 우대혜택을 받지 못하였다는 민원이 제기된 사례도 발생하였으므로 대출모집인과 영업점에 대한 교육 강화, 대출모집인 영업행위에 대한 사후점검기능 강화 등 대출모집인의 신용카드 모집행위 방지를 위한 실효성 있는 대책을 마련하여 운영할 것이 요망됨 2014년 개인정보 보호를 위해 신용카드 입회신청서(이하 ‘신청서’)에 주민등록번호 대신 대체번호를 기재하는 것으로 변경되었으나 대체번호 발급 절차의 적정성이 의심되는 사례가 다수 발견되었고, 신용카드 불법모집 신고 또한 지속적으로 접수되고 있는 바 모집인 휴대전화로 대체번호를 발급받거나 동일한 전화번호로 다수의 대체번호를 발급받는 것을 제한하고, 대체번호 발급 이후에 신청서가 배포된 경우 심사를 거절하는 등 대체번호 발급 절차를 개선하는 한편, 신청서에 모집일시를 명시함과 더불어 신청서 작성 후 일정 접수기한(3일 등) 내에 접수토록 하며, 신청서의 회수율이 낮은 영업소에 패널티를 부과하는 등 신청서 관리를 철저히 함으로써 신용카드 불법모집 방지를 위한 내부통제를 강화할 것이 요망됨

(12) IT자체감사 업무강화 방안 마련 필요

IT본부 내 자체감사조직(전산감사팀)을 마련하여 주요 IT업무에 대한 상시감시 및 내부통제 업무를 수행하면서, 자체감사조직(전산감사팀)이 IT기획부 소속으로 편제되어 감사업무의 독립성을 보장할 수 없으며, 정보보안본부에 대한 자체감사 미실시, 감사결과에 대한 CIO보고 누락, 지적사항 조치구분이 세부적으로 마련되어 있지 않는 등 IT감사 업무체계가 미흡하므로, 앞으로 자체감사조직의 본부장 직보체계를 마련하는 등 독립성을 확보하고, 정보보안본부 업무에 대한 자체감사 실시, 자체감사 전결권한 조정, 지적사항에 대한 조치구분을 세부적으로 마련하는 등 IT자체감사 업무를 강화할 필요가 있음

(13) 통신망 관리대책 강화 방안 마련 필요

｢농업협동조합법｣ 부칙 제16조에 따라 농협은행 및 농협중앙회 전산시스템을 분리하는 전환계획을 추진 중에 있으나 검사착수일 현재, ○○본부 및 ○○개 지역본부에 일부 농협은행 및 농협중앙회의 단말기가 동일 통신망을 사용하고 있어 단말기 간 비인가 통신에 의해 정보유출 등이 발생할 우려가 있으므로, 전산시스템 전환계획 완료 이후에는 법인별로 통신망을 분리하거나 단말기 통제방안을 마련하여 이행할 필요가 있음

(14) 수익관리 정책방향에 부합하는 성과평가지표 설계 필요

농협은행의 1인당 생산성 지표(1인당 충당금 적립전 이익, 1인당 당기순이익)는 경쟁은행 대비 지속적으로 낮은 수준을 보여왔으며, 은행의 과거 손익 변화추이에 비추어볼 때 연간 손익은 수익부문의 변화보다도 주로 비용부문 변화에 따라 순이익 규모가 변동하는 양상을 보여왔는바, 생산성 제고를 통한 수익성 제고를 위해서는 건전성관리 및 수익확대를 위한 전략 추진과 병행하여 적정 수준의 비용통제가 이루어져야 할 것으로 보이며, 은행도 2016년도 수익관리 정책방향을 종전의 수익 중심 관리체계에서 수익-비용을 동시에 고려한 종합손익 관리체계로 전환하였음에도, 실제 은행의 정책방향을 일선 영업현장에 투영시키는 성과평가지표(KPI)의 경우, 수익성 항목을 구성함에 있어 비용요인이 고려되지 않은 절대수익지표를 중심으로 구성하고 있어 은행 전체적인 수익관리 정책방향에 부합하지 않는 측면이 있고, ‘장기적 수익성’과 ‘건전성’에 초점을 맞추는 방향으로 영업점 성과평가지표를 설정하도록 하는 ｢금융회사 지배구조 모범규준｣의 입장에 비추어볼 때도 비용요인(대손비용, 발생원가 등 포함)을 감안한 수익성 지표가 모범규준의 취지에 보다 부합한다고 볼 수 있으므로, 향후 영업점 및 본점 수익창출부서의 성과평가지표를 설정함에 있어 은행의 수익관리 정책방향, 모범규준에서 제시하는 방향 및 실제 영업 현장의 유인구조를 일치시키는 관점에서 KPI 지표를 설계하여 운영할 필요가 있음

나. 개선사항

(1) 어음할인시 상거래 확인방법 불합리

어음할인 취급은 ｢여신․투자금융업무방법｣ 제4편 제6장 제6절 제5조(받을서류)에 따라 한도거래 또는 개별거래로 약정서를 징구하고, 상거래 확인을 위하여 한도거래 약정 후 건별 어음할인 시에는 거래의 원인이 된 물품(용역․도급)계약서, (전자)세금계산서 또는 계산서(영수증)를 받고, 전자어음할인의 경우 제18조(전자어음할인 신청 및 실행)에 따라 세금계산서를 징구하도록 하고 있으나 한도거래 약정 후 건별 어음할인 시에만 상거래 확인을 위한 서류를 징구하도록 규정되어 있어, 개별거래의 경우 상거래 확인 서류를 징구하지 않아도 되어 개별거래에 대한 상거래 확인이 불가능하고, 징구서류 중 (전자)세금계산서 또는 계산서(영수증)를 선택하여 징구할 수 있어, 전자세금계산서 발급 대상자가 종이세금계산서 또는 계산서(영수증)만을 제출할 경우 객관적인 상거래 확인이 곤란하므로, 정당한 상거래 어음을 할인취급 하도록 개별거래 건도 상거래 확인 대상에 포함시키고, 전자세금계산서를 징구(전자세금계산서 의무 발급자가 아닌 경우 예외 반영) 하도록 하는 등 관련 규정을 합리적으로 개선하시기 바람

(2) 비대면 요청에 의한 자금이체거래 운영방식 불합리

사전 약정에 따른 비대면(FAX･전화 요청 등) 자금이체 거래시 고객이 ARS를 이용하여 직접 계좌 비밀번호를 입력토록 하는 제도가 마련되어 있지 않아 예금이 인출되는데도 비밀번호 입력을 생략하는 방식으로 업무처리가 이루어지고 있어 사고발생 위험이 매우 높으므로, 조속한 시일 내에 비대면 요청에 의한 자금이체 거래 시 고객이 직접 비밀번호를 입력할 수 있는 제도를 마련하는 등 자금이체거래 운영방식을 개선하시기 바람

(3) 고객확인 업무 미흡

고객확인 업무와 관련하여 다음과 같은 미흡한 점이 있으므로 이를 개선하시기 바람

① 2016.4월중 7,340개의 법인․단체 고객에 대한 실제 소유자 확인 시 단계별로 실제 소유자를 확인하는 것이 바람직한데도, 법인등기부등본 또는 법인사업자등록증 등에 기재된 법인․단체의 대표자를 실제 소유자로 간주하여 신원사항을 확인하는 등 실제 소유자 확인이 미흡하므로 관련 절차를 개선할 필요

② 이번 검사착수일 현재 고위험 고객에 대한 강화된 고객확인 시 영업점에서 ‘기타’ 항목을 구체적으로 기재하지 않거나 거래목적 및 거래자금의 원천에 동일한 내용을 입력하는 사례가 발생하고 있으므로 영업점에 대한 교육 등을 강화할 필요

(4) 의심스러운 거래 보고 업무 미흡

의심스러운 거래 보고업무와 관련하여 다음과 같은 미흡한 점이 있으므로 이를 개선하시기 바람

① 의심스러운 거래로 판단되는 거래에 대해서는 보고책임자(준법감시인)의 승인을 얻은 후 금융정보분석원에 보고토록 내규에 명시하고 있는데도, 보고책임자의 사전승인 없이 자금세탁방지팀장이 의심거래를 금융정보분석원에 보고한 후 보고책임자에게는 사후적으로 건수만 보고하고 있는 것은 불합리하므로 관련 업무절차를 정비할 필요

② 의심경보 발생 거래에 대해 영업점에서 보고여부를 1차 판단하여 보고건으로 결정한 경우에만 본점에서 2차 검토를 수행하고 있어 영업점의 1차 검토가 매우 중요한데, 동 검토 결과 미보고 판단사유를 ‘특이사항 없음’으로 기재한 사례가 다수 발견되는 등 형식적으로 미보고 처리를 반복하는 경향이 있으므로, 영업점에서 의심경보 발생거래에 대해 보다 심도있게 검토하여 미보고사유 등을 상세히 기록하도록 하고, 본점의 2차 검토 범위를 확대하는 등 관련 업무절차를 강화할 필요

(5) 자금세탁방지 업무에 대한 독립적인 감사업무 미흡

｢내부감사 업무 매뉴얼｣상 자금세탁방지 업무 중 “혐의거래(STR) 모니터링 및 보고 이행 적정 여부” 및 “고액현금거래(CTR) 보고 제외 등록 적정 여부”를 점검하도록 규정하고 있어 자금세탁방지 업무에 대한 독립적인 감사의 실효성이 부족하므로, 준법감시부(자금세탁방지팀) 뿐만 아니라 영업점에 대한 내부감사시 고객확인 및 기타 내부통제 절차에 대해서도 실질적인 감사가 이루어져 자금세탁방지 업무 이행 수준이 제고될 수 있도록 관련 절차를 개선하시기 바람

(6) 자금세탁방지 업무 담당 인력구조 불합리

이번 검사 착수일 현재 자금세탁방지팀 직원 9명(부장, 팀장 제외)중 2년 단위 계약직 5명이 영업점에서 보고한 의심스러운 거래에 대한 검토 업무를 수행하고 있는데 계약기간 종료 후 신규 직원을 채용하여 다시 동일한 업무를 전담토록 함으로써 STR 검토 업무의 연속성, 효율성 및 정보보안이 소홀할 우려가 있으므로 담당 인력구조를 개선하시기 바람

(7) PC 불용처리업무 실효성 확보

노후PC 불용처리 시, 전산기기 부품 재사용 등을 방지하기 위하여 PC유지보수업체가 정하는 전문폐기업체를 통하여 데이터저장장치(HDD) 등을 파기하고 있으나, 데이터저장장치(HDD)의 물리적 파기여부를 샘플링 점검하고 나머지는 전문폐기업체에 일임하고 있어 데이터복구 등을 통한 정보유출 우려가 있으므로, 앞으로 노후PC 불용처리 시, 데이터저장장치(HDD)는 사용이 불가하도록 디가우징*(Degaussing) 방법으로 처리하고, 전문폐기업체에 일임한 PC본체, 모니터의 물리적 파기(파쇄 등)를 직접 확인하는 등 관련 절차를 개선하시기 바람

* 저장장치에 저장된 정보를 자기장을 이용하여 복구할 수 없도록 완전히 지우는 기술

(8) IT사업 추진·관리 효율성 강화

IT사업계획 중 취소·이월되는 사업 비율이 다소 과다하여 개발사업 지연 등으로 인해 IT업무 수행에 차질이 발생할 우려가 있으므로 앞으로 IT사업을 효율적으로 추진하기 위해 IT계획 수립시 사업 적정성 등에 대한 심사를 강화하고, 사업을 취소하거나 변경할 경우 담당부서장 결재를 받는 등 IT사업추진 관리체계를 개선하시기 바람

(9) IT외부주문 서비스품질수준(SLA) 업무 체계화

외주용역의 안정적인 서비스 제공 및 유지보수 품질향상을 위하여 서비스품질수준평가(SLA)를 실시하고 있으나, 계열사(○○○○시스템) 위탁업무에 대해서만 동 평가를 실시하고 서버, 스토리지, 통신장비 및 보안관제 등 주요 외주업무에 대해서는 실시하고 있지 않으므로, 앞으로 주요 외주업체에 대한 서비스품질수준평가(SLA)를 실시하여 외부주문 업무에 대한 평가가 정기적으로 이루어질 수 있도록 개선하시기 바람

(10) 정보처리시스템 유지보수업무 실효성 확보

유지보수 계약 연장 시 유지보수 계약서에 자동연장 조항을 포함하여 동 조항을 근거로 자동연장하고 있으나, 유지보수 필요성 및 계약사항 적정성 등을 검토하고 있지 않아 유지보수 계약의 자동연장 횟수가 5회 이상인 계약이 전체 ○○○건 중 ○○건(32.9%)이고 수의계약 비중이 ○○건(91.4%)에 달하여 시스템 안정성 확보가 곤란할 우려가 있으므로, 앞으로 정보처리시스템의 안전성 확보를 위하여 계약 연장 시 유지보수 필요성 및 적정성 등을 사전 검토하여 계약 체결하는 등 정보처리시스템 유지보수 관련 업무를 개선하시기 바람

(11) IT회의체 사전심의업무 강화

업무전산화를 위한 시스템 개발사업 등의 적정성 검토를 위하여 IT회의체를 구성하여 운영하고 있으나, 개발사업이 아닌 서버 및 자동화기기(ATM) 등 일부 물품구입사업(○○건, 평균금액 ○억원)의 경우에는 IT회의체에 의해 사업의 타당성 및 적정성 등을 검토하는 사전 심의 업무가 누락되고 있어 IT투자 의사결정에 투명성 및 공정성 확보가 미흡할 우려가 있으므로, 앞으로 도입물품 및 일정금액 이상 등 사전에 정한 요건에 해당되는 경우 물품구매 사업에 대해서도 IT회의체의 사전 심의를 거치도록 관련 절차를 개선하시기 바람

(12) 전산감리 실효성 확보

정보처리시스템의 효율성 향상 및 안전성 확보를 위하여 동행 내규 「IT표준절차서(프로젝트감리)」에 감리대상, 감리시기 및 감리절차 등을 명시하고 있으나, 내부감리(외부감리는 ○○억원 이상 개발)에 대한 감리대상 기준이 마련되어 있지 않아 IT외주 개발사업(○○건) 중 내부감리 실적은 ○건에 불과하여 정보처리시스템 감리업무가 효율적으로 이루어지지 않으므로 관련 내규에 내부감리 대상을 명시하고, 신규 사업계획 수립 시 IT사업에 대한 감리여부를 사전 검토하는 등 내부감리 수행기준을 강화하여 주요 정보시스템에 대한 감리업무의 실효성이 확보될 수 있도록 개선하시기 바람

(13) 정보보호포털 승인 절차 강화

임직원 단말기에 ○○보안, 보조기억매체 사용 통제 등을 위한 보안프로그램을 적용하여 운영하면서, 보안프로그램의 예외신청 및 책임자 승인 등을 통합 관리하는 정보보호포털을 구축하여 운용하고 있으나,

○○이상의 직급자는 보안프로그램 예외정책 신청 후 자가승인이 가능하게 운용하고 있으며,

개인정보가 포함된 파일 반출시 개인정보보호담당자 및 ○○의 승인을 득하도록 규정하고 있으나, ○○이 승인한 사례가 있어 중요 전산자료가 부당하게 유출될 우려가 있으므로 정보보호포털 ○○ 이상의 책임자 승인 시에도 제3자 검증절차를 추가하고, 개인정보가 포함된 승인내역의 경우에는 반드시 ○○ 이상 책임자 승인을 득하도록 관련 시스템 및 절차를 개선하시기 바람

(14) 전산자료 소산대책 실효성 확보

천재지변, 사고 등 비상사태 발생 시 정보시스템의 연속성 확보 및 신속한 장애복구 등을 위하여 백업자료를 재해복구센터(○○) 내화금고에 일일 소산하고 있으나, 소산자료의 저장매체별 보관자료 세부목록(업무명, 파일명 등) 및 전산자료 복구방법(서버환경, 파일시스템 생성 및 복구 명령어 등) 등을 보관하고 있지 않아 재해발생 시 자료복구에 차질이 발생할 우려가 있으므로, 전산자료 소산 시 저장매체에 포함된 자료의 세부목록 및 복구방법 등을 상세하게 명시한 복구매뉴얼을 보관‧관리하는 등 소산보관 관련 절차 등을 개선하시기 바람

(15) 대외계 통신망 운영방법 불합리

금융결제원, 은행연합회, 금융회사 등과 자료의 송‧수신 등을 위한 대외계시스템을 운용하면서, 재해복구센터에는 주요업무 관련 일부 대외계 통신망(○○개 기관, ○○회선) 및 설비가 구성되어 있지 아니하여 주전산센터 장애시 대외계 업무가 중단될 우려가 있으므로 장애 등의 비상상황시 업무지속성 확보가 가능하도록 주전산센터에 집중되어 있는 전용회선을 재해복구센터와 분산하여 재구성하는 등 관련 통신망 구성 및 복구절차 등을 개선하시기 바람

(16) ○○보안프로그램 운영방법 불합리

농협은행, 농협중앙회, 농협금융지주는 고객정보 유출방지 등을 위하여 단말기 내 ○○보안프로그램(○○○)을 구축·운영하고 있으나, 동일 ○○보안프로그램(○○○) 및 암호화키를 사용하고 있어 주요 전산자료가 타 계열사를 통해 열람‧유출될 우려가 있으며, 일부 소프트웨어에 한정하여 암호화를 적용하고 있어 암호화 미적용 소프트웨어를 통한 전산자료 유출 우려가 있으므로 법인별로 문서보안프로그램 암호화키를 분리하고 암호화 대상 소프트웨어를 확대하는 등 관련 시스템을 개선하시기 바람

(17) 임직원단말기 망분리 예외처리 적용 불합리

임직원 단말기에 망분리를 적용하고, 업무특성상 접속이 필요한 인터넷 사이트를 지정하여 정보보호위원회 심의를 득하도록 운영하고 있으나 업무상 불필요한 다수의 인터넷 사이트에 대해 접속을 허용하고 전체 사용자가 접속 가능하도록 운영하고 있어 해당 사이트를 통해 악성코드가 유입될 우려가 있으므로 접속 필요성 여부를 정기적으로 재검토하고 사용자별 통제방안 등을 마련하여 정보보호위원회 재심의를 실시하는 등 관련 시스템 및 절차를 개선하시기 바람

(18) 프로그램 등록관리시스템 승인절차 불합리

프로그램 등록(운영반영) 시 책임자 및 감사 승인을 득하도록 내규를 마련하여 운영하고 있으나, 일부 프로그램 등록 시 책임자 승인절차를 예외처리한 사례가 있어 변경내용의 적정성 여부를 충분히 검증하지 못할 우려가 있으므로, 앞으로 프로그램 변경‧등록 시 충분한 사전 검증이 이루어질 수 있도록 제3자 검증절차를 마련하는 등 프로그램 등록에 대한 통제‧관리절차를 개선하시기 바람

※ 상기 조치요구사항과는 별도로 은행의 경영상 어려움을 극복하기 위하여 필요한 다음의 사항에 대해서는 개선 이행상황을 관리할 예정 - 여신 사후관리 강화 및 충분한 대손충당금등의 적립을 통한 손실흡수능력 제고 - 리스크관리부문의 사전적‧사후적 견제기능 강화 - 여신 부실화에 대비한 조기경보체계 운영 강화 - 연간 손익규모를 감안한 신용편중리스크 관리체계 보완 - 중장기 자본관리계획 마련 등을 통한 자본적정성 제고 - 명칭사용료 부담 경감을 위한 농협중앙회와의 지속적인 협의 추진

※ 상기 조치요구사항과는 별도로 은행의 경영상 어려움을 극복하기 위하여 필요한 다음의 사항에 대해서는 개선 이행상황을 관리할 예정 - 여신 사후관리 강화 및 충분한 대손충당금등의 적립을 통한 손실흡수능력 제고 - 리스크관리부문의 사전적‧사후적 견제기능 강화 - 여신 부실화에 대비한 조기경보체계 운영 강화 - 연간 손익규모를 감안한 신용편중리스크 관리체계 보완 - 중장기 자본관리계획 마련 등을 통한 자본적정성 제고 - 명칭사용료 부담 경감을 위한 농협중앙회와의 지속적인 협의 추진