신한은행 금감원 경영유의사항 · 2017-09-04

제재내용 공개안

1. 금융기관명 : 신한은행

2. 제재조치일 : 2017. 9. 4.

3. 제재조치 내용

* 1건은 영업상 비밀 등에 해당하여 미공개

4. 제재대상사실

가. 경영유의사항

(1) 중국현지법인 여신감리조직의 독립성 미흡

◦ 내규 여신감리 등에 의해 국외점포의 여신감리 업무는 여신 취급, 승인 및

지원업무와 분리하여 운영하여야 하나,

신한은행 중국유한공사에서는 여신심사제도 기획 및 여신상품개발을 담당하는 여신업무부에서 감리업무를 동시에 수행하고 있으며, 해당 부서가 여신심사부와 동일한 본부 산하에 속해 있는 등 감리업무의 독립성이 미흡하므로

당해 현지법인 내에 별도의 감리전담부서를 신설하고, 여신심사부와 독립된 본부 산하에 배치하여 감리업무의 독립성을 제고할 필요가 있음

(2) 중요 규정 제․개정 관리절차 소홀

◦ 내규 이사회규정 에 의하면 내부통제 관련 중요 규정의 제정 및 개폐에 관한

사항은 이사회 결의사항이나,

이사회 결의 없이 내부통제 관련 중요 규정 중 일부 조항을 삭제하거나, 그룹장 전결로 제정된 내규관리지침 만을 근거로 중요 규정을 수정하면서 이사회에

사후보고를 하지 않는 등 전반적인 관리가 미흡하므로

내부통제 관련 중요 규정의 제·개정시에는 이사회 결의 절차를 철저히 준수하도록 하는 한편, 중요 규정의 문구 수정에 대하여도 권한 위임 및 사후보고를 거치 도록 하는 등 규정 관리를 철저히 하여 이사회의 책임을 명확히 할 필요가 있음

(3) 상임고문직 위촉 절차의 합리성 결여

◦ 내규 외부 경영자문 관리지침 제23조 등에 따라 전임 은행장을 비롯한 임원을

퇴임 직후 상임고문으로 위촉하여 운영하고 있으나,

객관적인 기준 없이 자문료 및 복리후생사항을 은행장 전결로 결정하고 있어 불합리한 측면이 있으므로

상임고문의 위촉 및 복리후생 사항을 이사회 등에서 객관적이고 공정한 기준과 절차에 따라 결정하도록 하는 등 상임고문 위촉 절차 및 운영상 투명성을 제고할 필요가 있음

(4) 양도성예금증서(CD)시장 활성화를 위한 CD 발행 확대 필요

◦ CD금리가 대출시장 등에서 여전히 중요한 지표임에도 불구하고 최근 CD발행

저조 등으로 CD금리가 타 금리지표 대비 경직된 모습을 보이고 있어 CD금리 유효성 제고를 위해 CD연동 대출잔액이 많은 은행의 시장성CD 발행을 의무화 하는 행정지도를 시행 중이나,

신한은행은 CD금리 연동대출 잔액이 많은 수준임에도 CD 발행액은 적은 상황 이므로 CD시장 활성화를 위해 CD발행을 확대할 필요가 있음

(5) BPR시스템의 문서집중화 업무처리 및 관리 강화

◦ 내규 영업지원업무기준 제1편에 따르면 영업점 등 부점은 업무 처리후

발생한 문서를 정해진 기한 내에 스마트혁신센터로 집중하여 BPR시스템을 통해 관리하도록 하고 있음에도

2017.4.13. 현재 정해진 기한 내에 업무처리를 완료하였으나 관련 서류 등을 발송 하지 않거나, 서류 부존재로 등록된 건이 다수 확인되었고, 일부 본부부서가 BPR 시스템을 통해 문서를 관리하지 않고 자체 보관· 관리하는 등 업무 처리를 소홀히 한 사례가 발견되었으므로

문서집중화 업무처리 및 관리의 실효성을 제고하기 위해 기한내 미발송 건에 대해 성과평가시 감점 기준을 강화하고, 장기 미발송 등이 발생하는 경우 내부 통제 부서에서 사고 개연성 등을 점검하고 필요시 자체검사를 실시하는 등 내부통제를 강화하시기 바람

(6) 명령휴가검사 실효성 제고 필요

◦ 내규 자점검사지침 제10조에 따르면 부서장은 연 1회 이상 사고예방 및 사고의

조기 발견을 위하여 휴가지침 에 의거 대상 직원에게 불시에 휴가를 명령하고

해당직원의 주요 업무에 대해 검사항목을 명확히 선정하고 검사대상기간을 지 정하여 타직원으로 하여금 명령휴가검사를 실시하도록 하고 있으나 2015.1.1. ~ 2016.12.31. 기간중 명령휴가검사 이행 현황을 점검한 결과 총 ◦◦건 중 ◦◦건의 경우 명령휴가 대상직원이 명령휴가일에 근무하는 등 명령휴가검사가 충실하게 이루어지지 않는 사실이 있으므로

명령휴가검사의 실효성 제고를 위해 명령휴가시 대상 직원이 명령휴가일에 출근 하지 않도록 철저히 근태를 관리하고 명령휴가 등록시 대상 직원의 전산을 제한하도록 시스템을 개선하는 등 명령휴가검사 제도를 철저히 운영하시기 바람

(7) IT부문 감사체계 강화방안 마련

◦ 2015.5.14.∼2017.4.10. 기간중 IT부문 종합감사 실적이 없고, 감사부 인력 ◦◦명 중 IT감사 인력이 ◦◦명에 불과함에도 동 인력들이 IT부문 감사업무 이외에 다른 부문 감사업무까지 수행하고 있으며,

감사부에서 IT부문에 대한 감사를 ◦◦회 실시하는 동안 유동성 예금 이자 원가 결산 적정성, 계약업무 적정성, 정보보호 실태 점검 등 특정 분야 위주로 감사를 실시하여 전자금융감독규정 및 IT내규 준수 여부 등 ICT본부 및 정보보호본부를 포괄하는 ICT그룹 전반의 내부통제에 대한 점검이 미흡한 측면이 있고,

2014.1월 ICT본부가 ICT본부와 정보보호본부로 분리된 이후, 2017.4.10.까지 ICT본부 내 ICT기획부 소속 자체감사 인력이 바이러스 감염 점검일지 기록유지 여부, 중요 단말기 고객파일 보관여부 등 정보보호본부의 일부 업무에 대한 감사만 실시하고 있어 정보보호본부의 IT내규 준수 여부 등에 대한 자체점검이 미흡하여 정보보호 부문의 내부통제가 취약할 우려가 있으므로

감사부는 IT전담 감사인력을 확충하고 IT부문 내부통제를 포함한 ICT그룹에 대한 종합감사를 실시하는 등 IT부문 감사체계를 강화하고, 정보보호본부는 고객정보보 호, 보안취약점 분석 등 정보보호본부에서 수행하고 있는 주요 업무에 대한 감 사를 수행하는 자체감사 체계를 마련하는 한편,

ICT본부 자체감사 및 정보보호본부 자체감사를 수행하는 조직을 ICT본부나 정보보호본부내 특정 부서 소속이 아닌 별도의 조직으로 구성하여 독립성을 확보할 필요가 있음

(8) 보증서 담보대출에 대한 사후관리 소홀

◦ 보증서 담보대출의 담보부분을 제외한 여신 잔액은 신용대출로서 차주의 자산

건전성 분류 단계와 동일하게 자산건전성 분류 및 대손충당금을 적립하여야 하나,

대위변제가 완료된 보증서 담보대출 잔액에 대한 담보해지 처리가 최장 ◦◦일까지 지연되는 등 사후관리 불철저로 2016.12월말 현재 ◦◦건, ◦◦억원의 여신에 대한 자산건전성 분류 착오 발생 및 대손충당금이 과소 적립된 사실이 있으므로,

앞으로 보증서 담보대출의 대위변제 완료시 잔여 여신에 대한 담보가 즉시 해지되도록 여신 사후관리를 강화할 필요가 있음

(9) 리스크보유수준 측정 분석 미흡

◦ 바젤Ⅱ 신용리스크 내부등급법을 승인받은 은행은 규제자본이 과소산출되지 않도록

소요자기자본 하한 제도를 준수하여야 하는데도

소요자기자본의 하한 계산을 위한 구·신소요자기자본 계산시 신용·운영리스크 위험 가중자산에 대해서만 산정하여야 하나, 시장리스크 위험가중자산을 동 산식에 포함하여 소요자본하한을 잘못 산출함에 따라

위험가중자산을 과소계상하고, BIS자본비율을 과대계상 하였으므로 앞으로 리스크 보유수준 측정 분석시 정확성을 제고하시기 바람

(10) 글로벌사업부문 리스크관리 취약

◦ 글로벌 진출 확대전략에 따라 주로 수익성이 높은 동남아시아 위주로 글로벌

사업을 확대하여 은행 전체에서 해외포트폴리오에 대한 비중 및 수익 기여도가 크게 높아지고 있으나

개발도상국에 대한 국외점포 출자금이 지속적으로 증가추세에 있는 반면, 동 출자금에 대해서 환헤지 없이 오픈포지션으로 관리하거나,

베트남 국채 등 등 신흥국 유가증권 투자 규모가 전체 익스포져의 상당한 수준 임에도 내부자본 및 위험대비수익성(RoRWA) 산출시 국가리스크를 고려하지 않고 위험가중치를 0%로 적용하는 등 국외투자를 늘려가고 있으며,

현지법인의 총리스크 한도설정시 위험대비수익성(RoRWA)을 기준으로 자산성장률을 결정하고 있어 국가리스크가 크더라도 수익성만 높으면 글로벌 사업을 확대할 유인 으로 작용할 우려가 있는 등

국외부문 리스크관리 정책 및 관리는 국내 부문에 비해 정교화 측면에서 상대 적으로 낮은 수준에 머물고 있어

앞으로 美 금리인상 등 글로벌 금융경제 여건변화에 따라 시장변동성 확대 등 해 외부문의 리스크가 확대될 가능성에 대비해 해외사업 확대, 자금조달 및 운영, 외환리스크관리 전략 등을 보수적인 관점에서 검토하는 한편, 각종 한도 및 모니터링, 국가리스크 분석 등 리스크 관리 체계를 종합적으로 재점검할 필요가 있음

나. 개선사항

(1) 逆위기상황분석의 실효성 제고

◦ 은행은 자신의 생존을 위협하는 시나리오를 발굴하여 잠재리스크 등을 식별하기

위해 逆위기상황분석을 주기적으로 수행하여야 하는데도

2015년 위기상황분석시에는 逆위기상황분석을 실시하였으나 2016년에는 관련 내규 미비 등을 이유로 이를 실시하지 않는 등 逆위기상황분석의 실시 주기가 명확하지 않고, 2015년에 실시한 분석에서 ‘주택가격 하락’ 요인 외에 은행의 생존을 위협할 수 있는 다양한 요인들을 반영하지 않고 있으므로

逆위기상황분석의 실시주기 및 방법 등을 리스크관리지침 등 관련 내규에 명시 하고, 통합위기상황분석에서 반영될 수 없는 요인들을 고려하여 다양한 시나리오를 적용하는 등 逆위기상황분석의 실효성이 제고될 수 있도록 개선하시기 바람

(2) 자산부채관리위원회(ALM위원회) 운영 개선

◦ 은행은 자산부채 종합관리 및 유동성, 금리리스크 관리를 위하여 자산부채관리

위원회(ALM위원회)를 운영하고 있으나,

ALM위원회 결의․심의 안건과 이해상충 우려가 있는 위원에게도 동일하게 의결권을 인정하는 등 운영에 있어 일부 미흡한 측면이 있으므로

특정 안건이 위원이 속한 사업본부 업무와 크게 연관되어 이해상충의 우려가 있을 경우에는 의결권을 제한하도록 관련 규정을 개선하시기 바람

(3) 임원후보추천위원회 운영방안 개선

◦ 내규 지배구조내부규범 제46조 등에 의하면 은행장은 법령상 소극적 자격요건

뿐만 아니라 도덕성, 전문성, 조직관리 역량 등의 적극적 자격요건을 충족하도록 요구하고 있음에도

임원후보추천위원회규정 에 의하면 임원후보추천위원회의 역할이 지주회사에서 추천한 후보자에 대해 법규상 자격기준 적합 여부를 검토하는 수준에 그치고 있으며, 지주회사의 후보 추천 다음날 임원후보추천위원회를 개최하여 은행장 후보를 추천함에 따라 사외이사들이 후보자의 자격요건을 충분히 검토할 수 있는 시간이 부족한 측면이 있으므로

임원후보추천위원회가 은행장 후보 추천시 적극적 자격요건에 대해 충분히 검토할 수 있도록 사전 검토절차를 강화하는 방향으로 임원후보추천위원회의 운영을 개선하시기 바람

(4) 인사위원회 운영의 합리성 제고

◦ 인사위원회 운영시 임․직원 징계를 위해 인사위원회에 부의하는 안건에 징계

대상자별 조치의견을 기재하지 않고, 징계 양정에 대한 감사부의 조치의견과 인사 위원회 의결 결과가 상이한 경우 가중․감면사유 등에 대한 기록을 생략하는 등 인사위원회 회의록 기재가 불충분하여 징계의 투명성이 확보되지 않을 우려가 있으므로

징계의 객관성을 유지하고 감사부·인사위원회 간 권한과 책임을 명확화하기 위하여 인사위원회 부의안에 실무부서의 양정의견을 명시하고 인사위원회 회의록에 징계 양정사유를 구체적으로 기재하시기 바람

(5) 약관변경 업무절차 준수 강화

약관 작성·운영에 관한 지침 제2장에 따라 각 약관의 소관부서는 필요한 약관

◦

제정·변경 원안을 기안하고 중요사항에 대해서는 법률 검토를 실시한 후 준법지원부의 심의를 받아 필요시 금융감독원에 보고하는 등의 업무절차를 마련하고 있으며, 은행의 기본 약관에 따라 제정시 시행일 전까지, 변경시 시행일 1개월 전까지 고객에게 알리고 시행하도록 정하고 있음에도

2015년 이후 약관을 제정·변경하면서 시행일 이후 공시하거나, 전결권자의 결재를 득하지 않고 시행하는 등 당해 절차의 준수를 소홀히 한 사실이 있으므로

약관 제정·변경 절차와 관련된 유의사항을 내규에 반영하고 약관 심사시 관련 업무절차의 기한 준수 여부를 사전에 확인하며 약관 시행 이후에도 공시 여부 등 업무절차가 적정하게 준수되었는지 점검을 철저히 이행하는 등 재발 방지를 위한 대책을 마련하시기 바람

(6) 펀드·신탁·방카슈랑스 판매 관련 소비자보호 절차 개선

◦ 은행은 표준투자권유준칙 및 표준판매 매뉴얼을 마련하고 고령자 대상 펀드 및

신탁 판매시 강화된 소비자보호 절차를 마련하여 운영 중이나, 영업점에서 관련 내용을 숙지하지 못하여 영업점장 복수결재 누락 등 소비자보호 절차를 일부 미이행한 사례가 있으므로

시스템 개선을 통하여 고령자 소비자보호절차를 이행할 수 있는 체계를 마련함과 아울러 실질적인 고령자 보호가 이행되도록 영업점장 및 직원들을 대상으로 관련 교육을 강화하시기 바람

◦ 은행은 부당승환계약 방지를 위해 기존 생명보험(손해보험)계약을 중도해지 후

6개월 이내에 보장내용 등이 비슷한 새로운 생명보험(손해보험)계약을 청약하게 하는 경우 보험계약사항 비교확인서 징구를 통해 계약 중요사항을 비교하여 알리고 본인 의사를 확인하고 있으나

생명보험(손해보험)계약을 소멸시키고 비슷한 유형의 손해보험(생명보험)계약을 청약하게 하는 경우에는 보험계약사항 비교확인서를 징구하지 않고 있어 부당 승환과 관련한 분쟁 등이 발생할 소지가 있으므로

생명보험 손해보험 구분 없이 보장 내용이 비슷한 보험계약을 청약하게 하는 경우 보험계약사항 비교확인서 징구 절차를 마련하는 등 중요한 보험계약사항을 비교하여 알리도록 가입절차를 개선하시기 바람

(7) 커뮤니티․영업점 성과평가체계 개선

◦ 2017년 영업점 운영체계 개편 당시 인근 영업점을 하나의 커뮤니티로 구성하여

지역내 공동영업을 추진하는 커뮤니티 협업체계를 도입하고, 커뮤니티의 경영을 총괄하는 커뮤니티장 직위를 신설하였으나,

커뮤니티장에 대한 성과평가시 내부통제 항목을 제외하고 영업실적 위주의 지표로만 구성하고, 커뮤니티장이 개별 영업점의 지점장을 겸임함에도 해당 영업점의 성과평가지표(KPI)가 성과평가 항목으로 반영되지 않는 등 영업점 성과 평가체계의 구성이 미흡하므로

앞으로 성과평가지표(KPI) 개편시 커뮤니티장의 성과평가지표(KPI) 내 항목에 내부통제 관련 항목을 보완 개선하시기 바람

◦ 2017년 성과평가지표 개편시 지표 간소화 등의 이유로 평가지표를 축소하면서 영업

점의 내부통제 및 리스크 관련 평가비중을 축소함에 따라

영업점 성과평가 지표가 영업과 수익성 위주로 변경되어 내부통제 및 리스크 관리가 약화될 우려가 있으므로 영업점 성과평가지표에 관련 항목을 반영하여 개선하시기 바람

(8) 본부 승인여신에 대한 여신감리 강화

◦ 여신감리 업무는 모니터링 판정 감리, 기획감리, 전행여신 상시감리 및 부실

기업 분석에 한정되어 있으며, 타 시중은행의 경우와 달리 본부 승인여신에 대해서는 신규취급 후 조기경보시스템을 통한 사후관리만 수행하고 있으나

승인여신은 신용위험에 중요한 영향을 미치는 거액 여신이 많아 신규(증액 포함) 취급시의 심사분석 및 프로세스의 적정성 등에 대한 철저한 감리가 필요하므로 취급 및 실행업무와는 독립된 감리업무로 객관성을 확보하여 선제적으로 리스크를 관리할 수 있도록 관련 규정 및 업무절차를 개선하시기 바람

(9) 주택담보대출 심사업무 절차 개선

◦ 내규 여신업무기준 에 따르면 주택담보대출 신규 취급시 원칙적으로 거치기간을

1년 이내로 하고 거치기간을 1년 초과하여 취급하는 경우 예외사항에 대한 객 관적인 증빙이 필요한데도

심사기준 준수 여부를 확인하기 위해 2016.2월 이후 취급한 주택담보대출의 표본 점검을 실시한 결과, 객관적 증빙 없이 예외사항으로 거치기간을 1년 초과하여 취급하는 등 심사를 소홀히 한 사실이 발견되었으므로

앞으로 예외사항으로 거치기간을 초과하여 취급시 증빙 확인 절차를 강화하고 이와 관련 정기적으로 주택담보대출 심사의 적정성을 점검하도록 업무절차를 개선하시기 바람

(10) 영업점장 관련 기업여신 취급시 관리방안 개선

◦ 내규 여신업무기준 상 영업점장이 본인 및 배우자 관련 기업여신 취급시 승인

의사결정(신용평가, 금리결정, 담보평가 등) 과정에서의 이해상충 및 사고 발생 가능성 등을 고려하여 해당 영업점장 전결로 취급할 수 없도록 규정하고 있으나,

영업점장의 기타 직계존비속 등에 대한 기업여신 취급시에는 이를 사전적으로 통제할 수단이 마련되어 있지 않으므로

영업점장 관련 기업여신의 전결 취급 금지대상 범위를 확대하고 이를 사전에 확인할 수 있도록 하는 등 여신 규정 및 관련 업무프로세스를 개선하시기 바람

(11) 개별평가 대손충당금 적립 운영기준 개선

◦ 내규 대손충당금지침 에 따르면 자체 채권재조정여신을 제외한 기업회생 및

워크아웃 절차를 통한 채권재조정여신에 대해서만 개별평가 대손충당금 적립 대상으로 규정하고 있으나,

이는 은행업감독규정 별표3 ‘자산건전성 분류기준’에서 규정한 채권재조정의

정의에 부합되지 아니하므로 자체 채무재조정의 경우에도 유의적 재무적 어려움, 중요성 등을 판단하여 개별평가 대손충당금을 산정하고 적립하도록 내규 체계를 개선하시기 바람

(12) 고객확인 업무 이행 강화

◦ 금융회사는 해당 금융거래가 완료되기 전에 고객의 신원에 관한 사항과 실제

소유자에 관한 사항을 확인하고 검증하는 등 고객확인 의무를 이행하여야 하며 이를 위한 업무지침을 작성․운영하여야 하는데도 아래와 같이 미흡한 점이 있으므로 고객확인 업무를 개선하시기 바람

① 회사에서 작성․운영 중인 자금세탁방지업무 내규에 ‘실제 소유자의 정의’, 고객

확인 면제대상‘ 등이 관련 법규와 일치하지 않은 경우가 있으므로 회사의 내규를 관련 법규와 일치하게 개정하고 운영

② 고객확인의무 이행시 관련규정에서 정한 필수 신원확인 사항을 확인, 검증하고 전산

시스템에 철저히 입력하여야 하나 확인 및 검증 내용이 시스템에 입력되지 않은 사례가 있으므로 필수사항이 정확히 입력될 수 있도록 관련 직원에 대한 교육을 강 화하는 등 개선방안을 마련하고 이행

③ 법인․단체 고객에 대한 실제 소유자 확인시 실제 소유자 확인 생략이 가능한

경우가 아닌데도 전산상 실제 소유자란이 누락되어 있는 등 실제 소유자 확인이 미흡하므로 실제 소유자의 개념에 대한 교육 및 자금세탁방지팀의 모니터링을 강화하는 등 개선방안을 마련하고 이행

(13) 해외점포 자금세탁방지 업무 관리·감독업무 강화

자금세탁방지및공중협박자금조달금지에대한업무규정 제27조에 의하면 금융회사는

◦

해외에 소재하는 자신의 지점 또는 자회사의 자금세탁방지 등의 의무이행여부를 관리하여야 하는데도 해외점포의 자금세탁 방지업무를 처리함에 있어 아래와 같은 미흡한 점이 있으므로 해외 자금세탁방지 체계를 개선하시기 바람

① 2016년 은행 감사부가 실시한 해외점포에 대한 리스크 평가시 자금세탁방지

시스템에 대한 비중이 낮아 해외점포에 대한 리스크 파악이 미흡할 수 있으므로, 자금세탁방지시스템 항목을 다양화하여 배점을 높이고 소재 국가별 감독․검사 강도 등을 감안하여 국가별로 배점을 차별화하는 등 해외점포의 자금세탁방지 시스템에 대한 리스크 평가 업무의 효율성을 제고

② 해외점포 자금세탁방지 업무에 대한 평가 및 상시 감시를 위해 1개월 기준으로 해외

점포로부터 보고서(AML Report)를 징구하고 있으나 보고서의 구성이 의심스러운 거래보고, 고액현금거래보고, 고객확인, 교육 등의 이행 건수 및 금액 등 정량적인 정보 위주로 구성되어 있는 등 내용이 단순하여 리스크 파악에 한계가 있으므로

전산시스템 구축을 통해 보고서 취합 및 보고 주기를 개선할 필요가 있으며, 보고서의 내용도 소재국의 자금세탁방지업무 특이사항, 현지 감독당국의 감독․검사 동향 등 정성적 부분을 확대하고 해외 점포와 보고내용에 대한 피드백을 실시하는 등 해외점포에 대한 자금세탁방지업무 상시감시 체계를 개선

③ 감사부는 해외점포에 대한 검사 지적사항의 이행현황을 보고받고 있으나, 지적

사항에 대한 관리·감독이 충실히 이행되지 않아 ◦◦ 현지법인이 동일한 내용을 재지적 받는 등 본점차원의 관리·감독이 형식적으로 운영되고 있어

현지 감독당국의 조치요구 사항 및 이행 현황을 준법지원부에 보고하도록 하고 이행현황에 대해 감사부·준법지원부 등 관련부서가 공동으로 협의하는 절차를 마련함과 아울러 내부통제위원회에 보고하는 등 해외 감독당국의 임점검사 후 지적사항 정리에 대한 본점의 관리․감독 등 통제를 강화

(14) 프로그램 변경ㆍ통제 불합리

◦ 내규 전산개발절차서 , 품질관리절차서 에 프로그램 개발시 수정사항에 대한

영향 분석 및 테스트를 수행하여야 하고 프로그램 변경 및 배포시 형상관리 시스템 (IT-BPI 등)을 이용한 변경·배포 절차를 수행하여야 하는 등 프로그램 변경·통제 절차를 수립·운용하고 있으나

검사대상기간 중 프로그램 변경시 관련 절차에 따라 테스트를 수행하였는데도 불구하고 프로그램 오류가 발생한 사례가 있었고,

모바일 프로그램 변경시 형상관리 절차를 전부 또는 일부 누락한 사례와 배포시에 정당한 통제 절차를 따르지 않은 사례가 있었으므로

프로그램 테스트시 개발자 또는 품질관리자가 작성한 테스트 시나리오가 형상관리 시스템(IT-BPI 등)에 등록되었는지 확인하는 절차를 포함하고, 테스트 시나리오, 테스트 케이스, 개발자 자체점검 체크리스트에 주요 점검 필요사항(유효값 검증, 연관 업무 점검, 부하 테스트 등)이 포함되도록 품질관리절차서 등 관련 내규를 개선하는 한편, 개발자와 품질관리자 등을 대상으로 테스트 및 이행검증 프로세스에 대한 교육을 정기적으로 실시하는 등 내부통제 절차를 강화하고,

모바일 프로그램 변경 후 배포 절차를 적정하게 수행하였는지 여부를 자체 점검 및 제3자 점검(전산감사 등)받는 등 모바일 프로그램의 변경에 대한 통제 절차를 마련하시기 바람

(15) 데이터웨어하우스(DW) 계정 관리 미흡

◦ 내규 데이터베이스 보안관리절차서 에 따라 2017.4.10. 현재 데이터웨어하우스

(DW)용 데이터베이스(DB)에 대한 이용자 계정을 신한데이터시스템 소속 외주 용역직원 ◦◦명을 포함하여 IT개발자, IT운영자 및 본점 업무 담당자 등 총

◦◦명에게 부여하고 있고,

각 계정 부여시에는 소속 부서장의 승인을 득하도록 하고 업무 변경, 퇴직 등으로 인사 변동 사항이 있는 경우 계정을 회수하는 등의 통제 절차는 마련하고 있으나

계정을 부여한 이후 계정의 실제 사용 여부 등을 점검하여 사용되지 않는 계정을 회수하는 등의 사후관리 절차가 미비하여 일부 계정의 경우 업무상 필요 여부에 대한 고려 없이 최장 3년간 데이터베이스 조회 및 수정 권한을 부여하고 있으므로

정기적으로 전사적 데이터웨어하우스(EDW) 데이터베이스의 계정 사용 현황을 점검 하여 1달 이상 사용되지 않는 계정에 대해서는 회수 조치하고 필요 최소한의 범위로 계정이 부여될 수 있도록 관련 지침·절차 등을 개선하시기 바람

(16) 이용자정보 보호대책 소홀

◦ 은행 내부직원이 사용하는 업무시스템 화면에서 고객정보 조회시 비밀번호, 주민

등록번호 등을 마스킹 처리하여 보호하고 있으나

전체 ◦◦개 화면 중 여신 실행 및 상환 업무, 수신 채권 업무, 세무 업무 등 ◦◦개 화면에서 주민등록번호를 마스킹 처리하지 않고 있어 정보유출 사고의 우려가 있으므로

업무시스템 화면을 통한 고객정보 조회시 불필요한 주민등록번호 노출이 최소화 되도록 마스킹 처리대상을 확대하는 등 관련 시스템 및 내규 등을 개선하시기 바람

(17) 기술지원 종료 운영체제 사용에 따른 보안통제 미흡

◦ 2017.4.10. 현재 데이터웨어하우스 백업 용도로 사용 중인 ◦◦대의 서버에 기술지원이 종료된 운영체제가 탑재되어 있어 동 운영체제에 대한 취약점 보완 및 기능개선 등을 위한 보정작업이 불가하여 신규 취약점을 이용한 해킹 및 악성코드 등에 의한 침해 우려가 있으므로

기술지원이 종료된 운영체제의 구체적인 전환계획을 수립하고 운영체제 전환이 이루어지기 전까지 강화된 보안대책을 마련하시기 바람

(18) IT사업 관련 계약 절차 불합리

전산업무 관리규정 , 전산경영 지침 , 계약업무지침 및 구매절차서 에 따라

◦

전산기기, SI도입 등 IT자원 도입과 관리에 관한 계약업무를 ICT 기획부에서 담당하고 IT사업 계약시 구매 요청에 대한 기술적 검토를 담당하는 기술 책임자 및 구매방법 결정, 견적 의뢰 및 검토, 업체선정을 위한 제반 사항을 담당하는 구매 담당자 역시 ICT기획부에 소속되어 있는 등 IT사업 추진 관련 제반 업무를 모두 ICT기획부에서 담당하고 있으며,

제품 및 업체선정을 위한 제안평가위원회도 ICT본부 인력으로 구성되어 있고 구매절차서 에 의해 가격에 대한 평가를 ICT기획부 구매담당자가 직접 수행하는 등 모든 권한과 책임이 특정 부서에 집중되어 있어 IT사업 추진시 업체 선정 등의 절차를 진행하는 과정에서 객관성이 결여될 우려가 있으므로

구매 담당 기능을 타부서로 이관하는 등 IT사업 추진시 관련 부서간 상호 견제할 수 있는 절차를 마련하고, 제품 및 업체 선정시 ICT그룹내 인력만으로 기술 평가를 실시하지 않고 신한금융지주내 타 계열사의 IT인력 등 은행 외부인력을 평가자로 참여하게 하는 등 제품 및 업체선정 절차를 보다 객관적으로 운영할 수 있도록 개선하시기 바람