광주은행 금감원 경영유의사항 · 2024-12-13

경영유의사항 등 공개안

1. 금융회사명 : 광주은행

2. 조치요구일 : 2024. 12. 13.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 성과평가기준 운영의 합리성･객관성 제고

은행의 성과평가기준 운영과 관련하여 아래와 같이 업무에 미흡한 점이

있으므로 관련 업무를 강화하시기 바람

㈎ 경영진 장기 성과평가기준 등 임직원 성과평가기준 운영 불합리

은행장, 미등기임원(CRO, 준법감시인 제외) 등 경영진의 장기성과평가지표(KPI)가

재무성과(수익성 지표)에 편중되어 있어 고위험･고수익 추구에 대한 유인으로 작용할 우려가 있으며

은행은 중장기 성장전략으로 고위험자산인 부동산 PF대출과 전략상품(중금리대출)을

핵심사업으로 추진함에 따라 상기 대출 취급규모가 급증하여 향후 경기침체 시 부실 위험에 크게 노출될 수 있음에도 관련 임직원에 대한 성과평가기준이 수익성 및 성장성 지표에 편중되어 있어 불합리하므로

경영진의 장기성과평가지표 중 건전성 관련 비중을 확대하고, 핵심사업 대출의

잠재 부실위험을 체계적으로 관리할 수 있는 성과평가지표(KPI)를 개발[예) 빈티지 연체율]하는 등 수익성과 건전성을 균형있게 추구할 수 있도록 성과평가기준을 운영할 필요가 있음

㈏ 자본관련 성과평가지표 등 운영 합리화

은행은 임원 및 본부부서 성과평가 시 보통주자본비율 등 자본비율을 성과

평가지표로 운영하고 있으나 규제환경 변화(바젤Ⅲ 조기도입, 2020.6월)에 따라 자본 비율이 상승*하였음에도 불구하고 2020년 임원 및 부서 성과평가 시 당초 수립한 목표 비율대로 평가함에 따라 임원 및 본부부서의 성과평가가 왜곡**되는 결과를 초래한 사례가 있으므로

* 보통주자본비율 : 12.98%(2020.3월)→15.54%(2020.6월)

BIS총자본비율 : 15.41%(2020.3월)→18.15%(2020.6월)

** 연초 목표기준과 동일한 기준으로 산정 시 실적이 보통주자본비율 11.99%, BIS비율 13.68%로 목표에 미달하였음

규제환경 변화 등으로 인해 성과지표의 급격한 변동이 있거나 예상되는 경우,

공정한 성과평가를 담보하기 위해 해당 목표를 합리적으로 수정하는 등 성과지표 운영을 합리화할 필요가 있음

(2) 해외 자회사에 대한 경영관리 및 내부통제 강화

은행은 2019.12월 지주의 동남아 진출 전략에 따라 베트남 증권회사를 인수

하여 자회사로 편입하였고, 동 자회사는 2022.3월 기준 예치금 위주로 자산운용을 하며, 경영실적은 다소 부진한 상태이고

증권 중개(Brokerage) 및 IB업무를 취급하는 등의 종합증권사로의 성장을

동사의 중장기 경영계획으로 추진함에 따라 전산시스템 개발·전문인력 확보 등 대규모 투자가 필요하고, 베트남 내 치열한 시장경쟁* 및 모회사의 증권업에 대한 전문성 부족으로 안정적인 사업기반 구축에 난관이 예상됨에도, 은행 이사회의 자회사 경영전략 등 경영관리에 대한 통할 기능은 미흡**한 수준이며

* 2020년말 현재 75개사 증권사 영업중(국내 증권사 6개사 포함)

** 은행 이사회에 자회사의 중장기 경영계획 등에 대해 별도 안건으로 상정하지 않는 등

충분한 검토가 이루어지지 않음

또한, 소수의 주재원에 의지하여 자회사를 경영관리함에 따라 대규모 투자

계약체결 및 자금운용 과정에서 금융사고 등이 발생할 위험이 있으나, 해외 자회사에 대한 금융사고 예방대책(금융사고 관리 및 자점감사제도)은 미흡*한 수준이므로

* 국내 본지점의 경우 금융사고 예방대책으로 ｢금융사고 예방지침｣ , ｢내부고발제도｣ 등을

마련하고 있으나, 해외 자회사는 동 내규를 마련하고 있지 않음 해외 자회사의 금융사고 예방대책 등에 관한 내규* 등을 정비하고 해외 자회사에

대한 은행 이사회 및 본점 통할 기능을 강화할 필요가 있음

* ｢ 금융사고 예방지침｣ , ｢ 자점감사 지침｣, ｢중요인장 관리지침｣ 등

(3) 전문분야 임원 선정 시 검증절차 강화

내규 ｢ 지배구조내부규범｣ 및 ｢ 이사회 규정｣ 등에 따라 준법감시인, 리스크관리

책임자 및 금융소비자보호 총괄책임자 선임시 자격요건 등을 확인한 후 이사회 결의를 통해 선임하고 있으나

이사회 안건자료에는 선임 대상자의 약력, 임기 등 정보만 간략하게 기재하고

있어 수행예정 직무와 관련된 근무경력, 전문지식 및 겸직사항 등 요소가 종합적 으로 고려되지 못할 소지*가 있고, 전문성이 부족하거나 업무 겸직이 과도할 경우 관련 업무를 충실히 수행하기 어려울 우려**가 있으므로

* ① 2018년·2020년 선임된 준법감시인의 경우 선임 전 5개 근무부서 중 A부·B부 등 내부통제·감사

관련 부서 경력이 부재

② 現 위험관리책임자(CRO)는 지주 등 3개사의 CRO를 겸직중으로 직무를 충실히 수행하는데 한계

** 現 위험관리책임자는 계열사 간 공동투자 참여 건을 심의하기 위한 여신위원회 3회 중 2회 불참 관련 임원 선임 시 이사회 안건 본문에 후보자의 관련 근무경력, 전문적인

지식 및 겸직 현황을 기재하는 등 검증절차를 강화할 필요가 있음

(4) 내부통제체계 정비

㈎ 임원의 내부통제 책임 범위 명확화

임원은 소관조직 및 소관업무와 관련한 사업추진 목표 부여 권한, 업적평가

권한, 업무추진방침 결정 권한 등을 보유하고 있어, 이에 상응하는 책임을 부담하도록 내부통제기준을 마련하지 않으면 임원 스스로 내부통제 책임주체라는 점을 자각하지 못할 우려가 있음에도, 지배구조법령에 따라 이사회가 제정한 내규 ｢ 내부통제규정｣

에서는 내부통제체계 구축·운영 의무를 포괄적으로 은행장에게 위임하고 있고*, 여타 임원에 대해서는 그 역할과 책임 범위를 모호하게 규정하고 있어** 내부통제기준 마련 의무의 주체가 누구인지 불명확하며

* ｢ 내부통제규정｣ 제7조 ① 은행장은 이사회가 정한 내부통제체계의 구축·운영에 관한 기본 방침에 따라 내부통제체계를 구체적으로 구축·운영하여야 한다.

** ｢내부통제규정｣ 제10조 ② 조직·업무를 관리하는 임직원은 소관조직·업무와 관련된 내부 통제를 총괄하여야 한다.

금융회사의 실효성 있는 내부통제를 위하여 ‘임원의 내부통제 관련 역할’을

내부통제기준에 반드시 포함하게 하고, 내부통제에 대한 이사회, 경영진 및 준법감시인 등의 역할을 명확히 구분하도록 하는 지배구조 관련 법규의 취지에도 부합하지 않고

임원이 소관업무에 대한 통할 권한을 보유하면서도 적정한 책임을 부담하지

않는다면 권한과 책임의 불일치로 내부통제 약화가 발생될 수 있고, 이는 내규 ｢ 내부

에서 정한 “견제와 균형” 원칙*에도 부합하지 않으므로

통제규정｣

* ｢ 내부통제규정｣ 제4조에서는 “은행은 임직원의 역할과 책임을 명확히 한다”는 원칙과 “직무간 상호견제와 균형이 이루어질 수 있도록 업무분장 및 조직 구조를 수립해야 한다”는 원칙 명시

임원이 소관업무에 대한 ‘내부통제기준 마련 의무’의 직접적인 책임 주체라는

인식을 명확히 하고, 자신의 권한에 상응하는 내부통제상 의무를 다할 수 있도록 임원의 내부통제 책임 범위를 명확히 규정할 필요가 있음

㈏ 내부통제기준 준수여부에 대한 점검 및 조치체계 정비

매일 처리된 제반 업무에 대하여 오류, 불비 또는 위규처리 여부 등을 각 부점장이

매일‧ 매월‧ 매분기마다 또는 특명에 의해 자체적으로 감사하는 자점감사 제도를 운영

하고 있으나, 현행 체계에서는 제도 설계상의 문제점 및 내부통제 통할부서의 권한 부족 등으로 다음과 같은 문제점들이 우려되므로 자점감사 체계 및 관련 내규 등을 정비할 필요가 있음

자점감사 결과에 대해 감사자 이외의 자가 해당 점검활동의 적정 이행 여부를

확인할 수 있어야 하나, 현행 자점감사시스템은 자점감사 결과 확인된 지적내용을 감사자가 자의적으로 기술하는 것을 허용하고 있어 구체적으로 어떠한 내용이 점검 되었는지를 제한된 A부 인력이 모두 확인하는 것이 사실상 어렵고, 영업점 자점 감사 매뉴얼은 점검을 위해 확보해야 하는 증빙의 종류 및 점검 수행방법 등을 제시 하고 있으나, 본부부서 자점감사 매뉴얼은 상대적으로 미흡하여 이를 제시하지 못하고 있는 실정이므로

각 부점의 자점감사 결과와 증빙자료의 입력이 통일성 있게 이루어질 수

있도록 자점감사시스템을 개선*하고, 관련 매뉴얼을 제정 또는 보완하며, 입력된 자점감사 결과를 A부가 점검하는 등 각 부점의 자점감사 활동이 충실히 이루어지고 있는지에 대한 A부의 실질적인 모니터링이 이루어질 수 있도록 자점감사 결과 점검 체계를 정비할 필요가 있음

* 위반사항이 법규위반에 해당하는지 아니면 내규위반에 해당하는지를 구분하여 입력하도록

하고, 위반 시 위반내용에 대해 구체적으로 기술하도록 변경 등 또한 준법감시활동을 경영실적 평가기준(KPI)으로 운영하며 자점감사 미실시 시

감점할 수 있도록 설계하고는 있으나 자점감사 결과의 적정 여부 등은 반영되지 않으며, 내규 ｢ 자점감사 지침｣ 상 자점감사 결과 확인된 오류·불비·부당사항 또는

주의를 요하는 사항에 대하여 정리계획을 등록하도록 하는 규정만 존재하고 정해진 기한 내에 정리하도록 하는 규정은 없으며, 자점감사를 통해 적발된 내부통제 기준 위반자에 대한 구체화된 조치기준이 부재하는 등 충실한 자점감사의 이행을 담보할 수 없는 상황이므로

자점감사의 실효성 있는 이행을 위해 경영실적 평가기준(KPI)을 보완하고,

자점감사 이행이 부적정할 시 또는 감사결과 보고 태만 시 패널티를 부과하며, 자점감사 위반자에 대한 구체화된 조치기준을 마련하는 한편, 자점감사 부실 실시 의심 부점 선정기준을 마련하고, 확인된 오류·불비·부당사항 또는 주의를 요하는 사항에 대하여 정해진 기한 내에 정리하도록 규정하며, 주기적 현장점검을 실시하는 등 자점감사의 적정한 이행을 담보하기 위해 점검 체계를 강화할 필요가 있음

㈐ 내부통제 점검결과를 반영한 내부통제기준 정비체계 마련

내부통제기준이 실효성있게 유지될 수 있도록 원활한 정비체계가 작동되기

위해서는 내부통제 점검활동에 기반한 내부통제상의 취약점 파악 및 이를 해소 또는 완화하기 위한 내부통제기준 정비 체계가 작동*하여야 하며

* 내부통제 점검활동에 기반한 내부통제기준 정비체계 작동 구조 :

① 현황 파악(내부통제기준의 준수 여부 점검) → ② 문제점 인식(위반사례 발생의 원인

분석을 통한 내부통제기준의 취약점 파악) → ③ 재발방지대책 마련(내부통제기준의 개선 방안 검토) → ④ 기준 정비(기존 내부통제기준의 개정) 동 정비 체계의 원활한 작동을 위해서는 A부가 내부통제상 취약점*을 파악하여

소관부서에 전달하고, 소관부서는 해당 취약점의 보완을 위해 내부통제기준을 검토· 정비하며, A부는 소관부서의 검토 결과 및 이행상황을 관리하여야 할 것이나 이러한 정비 체계가 갖추어져 있지 않으므로**

* 반복되는 지적사항 또는 새로운 유형의 위반 행위

** 내부통제점검반 활동 또는 상시감시시스템(KOAS) 운영에 따른 지적사항중 주요사항에 대해서는 개선방안 마련 및 동일유형 전수조사 등을 수행하고 있으나, 각 부점의 일일감사, 월별감사 등에 따른 주요 지적사항에 대해서는 유사한 활동이 이루어지지 않고 있음 A부는 자점감사 과정에서 확인된 내부통제기준 위반사항을 주기적으로 분석

하여 내부통제상 취약점을 파악하고, 소관부서에게 내부통제기준 정비 등을 통한 근본적인 재발방지대책을 마련하는 의무를 부여하는 한편, 마련된 재발방지대책의 적정성 등을 A부가 심사‧관리하는 체계를 마련할 필요가 있음

㈑ 내부통제체계 정착을 위한 인력 정비

｢금융회사 지배구조 감독규정｣ 에 의하면 금융회사는 내부통제업무가 효율적

으로 수행될 수 있도록 “충분한 경험과 능력을 갖춘 적절한 수의 인력”으로 지원 조직을 구성, 유지하여 준법감시인의 직무수행을 지원하도록 규정하고 있으나

2022.3월말 기준 내부통제 업무를 수행하는 인원은 8명으로 전체 인원(1,615명)

대비 0.52%*이며, 이는 지방은행 평균 0.58% 대비 다소 낮은 수준으로 동 인력 구성 으로는 자점감사 업무 관련 내부통제 점검 활동, 상시 분석업무, 내부통제 기준 마련, 내부통제체계 개선 등 효율적인 내부통제업무 수행이 어려울 것으로 예상되므로

* 국내 임직원 총수 대비 준법감시 및 내부통제 담당부서 일반직원 비중

내부통제 업무 과정에서 A부가 준법감시 컨트롤타워로서의 기능을 충실히

수행하여 원활한 내부통제체계 정착이 가능하도록 필요한 인력을 확충*하시기 바람

* A부의 의견을 충분히 수렴한 후 직무분석에 기반한 적정 인력규모에 대해 면밀한 검토를

진행하여 필요 인력을 추가 배치

(5) 준법감시 업무 운영 강화

㈎ 내부자 신고제도 운영체계 정비

내규 ｢ 내부자 신고제도 지침｣ 을 2018.4.2. 제정하여 횡령 등 범죄혐의가 있는

행위나 업무와 관련한 상사의 위법 또는 부당한 지시 행위 등에 대한 내부자 신고 제도를 운영하고 있으나, 실제 동 제도가 만들어진 이후 검사기준일 현재까지 내부자 신고 접수 사례가 n건에 불과하고, 해당 접수 건의 처리대장 및 내부보고 문서 등 자료를 확인한 결과 접수사실이 지체없이 은행장 및 지주회사 준법감시인에게 보고 되었는지, 조사가 최초 접수일로부터 20영업일 이내에 마무리되었는지 및 부득이한 사유로 은행장의 승인을 통해 연장되었는지 등 내규에 따른 처리의 적정성을 확인 하기 어려우므로

내부자 신고제도가 실질적으로 작동하지 않는 원인을 정확히 파악하고, 동

제도가 적절한 역할을 수행할 수 있도록 내부자 신고 접수･ 처리대장을 제정하는 등

내부자 신고제도 운영을 정비하시기 바람

한편, 최근 은행권에서 은행 임직원이 여신서류를 임의 작성하거나 대출한도·

금리를 부적정하게 평가·산정하는 등의 방식으로 본인, 가족 및 관련 법인에 대출을 부당하게 취급한 금융사고가 다수 발생하였는데, 광주은행은 본인 관련 대출의 경우 해당 임직원 소속 부점에서 대출 취급이 불가하도록 전산 통제를 운영하고 있으나, 가족 등 관련 대출의 경우 이를 방지하거나 발견할 수 있는 방안을 운영하고 있지 않아 임직원이 가족 및 법인 관련 대출을 부당하게 취급할 우려가 있으므로

｢ 금융회사 지배구조 감독규정｣ 에서 내부통제기준에 반영해야 할 필수적 사항

으로 규정하고 있는 내부자 신고제도를 임직원의 가족 등 대출 취급에 따른 금융사고 발생을 방지할 수 있는 수단으로 활용하는 방안을 모색할 필요가 있음

㈏ 금융투자상품 거래내역 신고체계 정비

내규 ｢ 금융투자 이해상충방지 지침｣ 에 따라 금융투자업무를 수행하는 임직원에

대하여 계좌 개설 및 거래내역을 신고토록 하고 있고, 신고된 내역을 월별·분기별 준법감시인에게 보고하고 있으나, 관련 전산시스템(KIMS)은 대상 임직원이 거래내역 신고 시 신고대상 종목의 수량 또는 매매금액 등을 입력하지 않더라도 신고가 가능 하도록 설계되어 있어 신고에 필요한 핵심 정보가 누락될 소지가 있고

신고대상자가 신고의무를 충실히 이행하도록 하기 위한 A부의 사후관리

(미보고자에 대한 안내 및 유선통화 등)의 수준 및 방식이 분기별로 다소 상이하고 일관적이지 않은 측면이 있으며 관련 임직원의 신고의무 인지 등 인식 제고를 위한 교육도 다소 부족*한 실정이므로

* 2018년중 2회 → 2019년중 2회 → 2020년중 1회 → 2021년중 1회

금융투자상품 거래내역 신고 시 신고대상 종목의 수량 및 매매금액 등 신고에

필요한 정보가 누락되지 않도록 전산시스템을 개선하고, 신고대상자가 신고의무를 충실히 이행하도록 연중 일관된 사후관리를 실시하며, 관련 임직원의 신고의무 인지 및 인식 제고를 위한 교육을 강화할 필요가 있음

㈐ 명령휴가제도 운영체계 정비

내규 ｢ 자점감사 지침｣ 상 본부부서에서 실물관리, 딜링, 트레이딩, 자금거래 및

계약 등 업무를 담당하고 있는 직원은 모두 명령휴가 대상이며 부점장은 명령휴가 대상자에 대해 매년 1회 이상 명령휴가를 실시하도록 하고 있으나, 명령휴가제도를 운영하는 A부는 명령휴가 대상 직원 현황을 정확하게 파악하지 못하고 있어 대상 직원의 명령휴가 실시 여부를 확인할 수 없고, 명령휴가 실시 직원의 업무를 감사하는 기준 및 방법 등이 부재하여 감사자별로 감사내용 및 수준 등이 상이함에 따라 명령 휴가에 따른 자체감사가 충실히 수행되었는지를 A부가 확인·검토하기 어려우며

명령휴가 시기와 감사대상기간 및 감사대상업무 등이 획일화되어 있어 명령

휴가제도가 실효성 있게 운영되는 것을 기대하기 어렵고, 명령휴가제도의 실효성을 담보하기 위해 KPI 평가기준에 관련 내용을 포함하고는 있으나, 대상 직원이 정확 하게 파악되지 않고 가·감점 기준 등이 변별력이 없어 실제로는 대부분의 부서가 감점을 받지 않고 있는 실정이므로

A부는 명령휴가 대상 직원을 정확하게 파악하고, 소관 부서와 협의를 통해

명령휴가에 따른 자점감사 시 활용할 수 있는 체크리스트를 마련하며, 명령휴가 시기와 감사대상기간 및 업무 등을 다양화하는 등 명령휴가제도가 실효성 있게 작동될 수 있도록 명령휴가제도 운영체계를 정비할 필요가 있음

㈑ 은행 명의 계좌·비예금성 자산 및 자금관리 계좌 등 관리체계 마련

현금시재 및 중요용지 등 보유 현물에 대해서는 시스템을 통해 현황을 관리

중이고 부점에서 자점감사 시 또는 감사부의 정기검사 시 실재 및 일치 여부 등을 확인하는 체계를 갖추고 있으며, 각 부점에서는 계좌 등 실물 현황을 수기관리하고 관리 자를 지정하는 등 관리 노력을 기울이고 있으나

본부부서와 영업점에서 사업수행 등을 목적으로 소유 및 관리하는 은행 명의

계좌·비예금성 자산 및 고객 명의 자금관리계좌 등 실물에 대한 관리 방법과 실재 및 일치 여부 등을 확인하도록 규정하는 내규나 업무매뉴얼의 부재 등의 한계로 관리 중인 실물의 명세, 규모 및 거래내역 등을 확인한 결과가 정확·적정한지 신뢰하기 어렵고 부서별로 관리 방법과 수준 등이 상이하며

A부가 관련 실물을 총괄하여 관리 및 점검하는 체계도 없어 각 부점에서 수기

관리하는 실물에 대한 현황을 정확하게 파악하기 어려운 실정인 등 향후 금융사고 발생 등의 소지가 있으므로

각 부점이 소유 및 관리하는 중요 실물의 관리 등에 대한 내규 또는 업무

매뉴얼 등을 마련하고, 중요 실물을 각 부점이 스스로 누락 없이 체계적으로 관리할 수 있도록 중요 실물에 대한 현황 등 관리 시스템을 구축하며, 구축된 시스템을 활용 하여 각 부점의 중요 실물이 실재하는지와 잔액 등이 일치하는지를 점검하는 체계를 마련할 필요가 있음

(6) 금융소비자보호 내부통제 업무 강화

내규 ｢금융소비자보호 내부통제 규정｣에 따르면, 은행은 임직원 등의 금융

상품 판매 관련 업무가 금융소비자보호법령 및 관련 규정을 충실히 준수하고 있는지를 점검하고 이와 관련한 점검 방법 등을 포함한 세부기준을 마련하여야 하며, 금융 소비자보호총괄책임자는 상기의 점검 사항을 평가하여 은행장 및 금융소비자보호 내부통제위원회에 보고하여야 하나

금융소비자보호 관련 규정 준수여부 점검방법이 관련 법령을 단순 적시한

것에 불과하는 등 원론적인 수준에서 정하고 있어 실효성 있는 점검 체계가 구축 되었다고 보기 어렵고, 금융소비자보호 내부통제위원회 상정 안건을 살펴보면 규정상 명기된 점검 항목 중 일부만 점검되어 있으므로

구체적 점검기준을 마련하여 금융소비자보호 관련 규정을 준수하였는지

확인할 수 있는 체계를 마련하고, 금융소비자보호총괄책임자가 규정상 적시된 사항을 점검하여 금융소비자보호 내부통제위원회에 보고할 수 있도록 업무를 개선할 필요가 있음

(7) IT사업·예산 관리업무 강화

내규 ｢전산업무지침｣ 제9조 등에 따라 은행 중장기 경영계획에 따른 정보

기술부문 연간 계획을 수립하여 정보보호위원회의 심의·의결을 거치고 최고경영자의 승인을 받아 운용하고 있으나

IT사업 계획 변경에 대한 재심의 절차가 마련되지 않아 당해연도에 계획된

IT사업이 취소되는 비율(최근 3년간 47%)이 다소 높고, 최근 3년간 IT자본예산의 편성금액 대비 집행비율도 평균 47%로 저조하여 효율적인 예산 편성·배정 및 중요 IT사업 추진 등에 차질이 발생할 우려가 있으므로

정보기술부문 연간계획 수립 시 은행의 중장기 추진목표와 전략 등을 고려

하여 실효성 있는 IT사업·예산 계획을 수립하고, 사업 연기 또는 미추진 시 사유의 정당성 등을 의사결정 협의체에서 재심의·의결하여 관리하도록 관련 절차를 마련 하여 운영하는 등 IT사업 및 예산 관리를 강화할 필요가 있음

(8) IT인프라 운영 및 통제 강화

내규 ｢물리적 보안 지침｣ 제4조 등에 따라 주전산센터 및 재해복구센터를

각각 본점 및 A은행 본점에 구축·운영하고, 대외기관과의 연결을 위해 전산센터 外 별도의 통신센터를 구축·운영하고 있으나,

주전산센터, 재해복구센터 및 통신센터의 경우, 전용IDC 건물이 아닌 일반

사무용 빌딩에 구축·운영되고 있어 아래와 같은 운영상 취약점이 상존하므로

전문기관 등으로부터의 전산실 운영진단 등을 통해 인프라 관련 IT조직 체계

및 전용IDC 구축·이전 등을 포함한 장기적인 IT인프라 운영방안을 검토·마련하는 등 IT인프라 운영 및 통제를 강화할 필요가 있음

(9) 부동산 PF대출 사업성 평가 및 시공사 신용평가 강화

내규 ｢ 신용평가모형 관리지침｣ 에 따라 부동산 PF대출 차주(시행사)에 대해

‘특수금융모형’을 사용하여 사업성 평가를 실시하고 그 결과에 따라 신용등급을 평가 하고 있으나

‘특수금융모형’ 평가항목이 일부 불합리*하거나 PF사업과 연관성이 낮은 항목**이

존재하는 등 사업성 평가 및 신용등급 산출이 적정하게 수행되지 않고 있으며

* 시공사 신용등급을 A, BBB 등 영문 등급으로 평가하고 있으나 ‘특수금융모형’의 시공사 역량 평가 항목의 신용등급은 3등급+, 4등급+ 등 숫자로 등급을 정의하고 있어 다수의 오류 발생

** 보험사와의 보험계약 여부, 프로젝트의 정치적 위험, 프로젝트 수명 등

C부는 PF대출 차주에 대한 신용평가(특수금융모형 사용)를 PF대출 담당

심사역이 아닌 별도의 신용평가 담당자가 실시하고 있어 신용등급 산출 시 사업성이 적정하게 반영되지 못할 소지가 있으므로

‘특수금융모형’ 신용평가를 PF대출 심사담당자가 실시하도록 하고 ‘특수금융

모형’ 평가항목의 적정성을 재검토하여 부동산 PF사업 특성을 적정히 반영할 수 있도록 개선한 후 기존 보유자산에 대해 재평가를 실시하여 신용등급의 정합성을 확보할 필요가 있음

한편, 내규 ｢ 신용조사 지침｣ 에 따르면 부동산 PF대출 관련 시공사 신용평가는

전건 본점 담당자가 ‘정밀신용조사’를 실시하여야 하는데도

‘정밀신용조사’를 누락 하거나 유효기일이 경과한 신용등급 사용, 외부 신용

평가 전문기관의 신용등급* 또는 일반신용조사를 원용하여 부동산 PF대출을 취급한 사례가 있으므로

* 내규 ｢ 신용조사 지침｣에 따르면 외부 신용평가 전문기관의 신용등급을 사용한 경우에는

반드시 익월 말일까지 신용조사 및 기업신용평가를 실시하여야 한다고 규정

신규 심사 시 ‘정밀신용조사’가 누락 되지 않도록 업무프로세스 체크리스트 마련

등 관련 업무절차를 정비할 필요가 있음

에 따라 부동산 PF대출 전건에 대해 적정성*

또한, D부는 ｢ Credit Review 지침｣

등을 점검하고 있는데도

* 기업신용등급의 적정 여부, 상환능력 적정성 검토 여부 등

부동산 PF대출 ‘특수금융모형’ 평가항목의 시공사 역량평가에 대한 평가 오류가

발생하였고 일부 시공사에 대한 신용평가가 누락 되었는데도 신규여신 Review 시 신용조사가 적정하다고 판단하는 등 감리가 소홀하므로

신규여신 Review 시 ‘특수금융모형’ 및 시공사 신용평가의 적정 여부를 점검할

수 있도록 관련 프로세스를 정비할 필요가 있음

(10) 전략대출 등 가계신용대출 리스크관리 강화

은행은 2021년 성장전략을 위해 수익성이 높은 전략대출(중금리 가계신용대출)

증대를 목표로 신상품 출시 및 대면·비대면 마케팅을 강화하였는데 그 결과 2022.6월말 전략대출 잔액이 가계신용대출 잔액의 44%를 점유함과 동시에 연체율도 신용대출 전체 연체율을 크게 상회하고 있으며

2021년 상반기부터 영업점 성과지표(KPI)에 정책서민금융상품이 아닌 전략

대출상품 중 하나인 일반 중금리대출(㉮)을 포함하고 있어 가계대출 리스크관리를 소홀히 할 우려가 있으므로

효율적인 리스크관리를 위해 전략대출 상품의 모집 채널별 연체율, 회수율

등 리스크 추이를 모니터링하여 장기 연체 전이를 예방하는 등 신용대출 채권에 대한 건전성 관리를 강화하고

영업점 평가지표에서 전략대출 판매실적을 제외하여 영업점의 과당경쟁을 방지

하는 등 금리상승이 지속될 가능성에 대비하여 성장전략을 보수적인 관점에서 검토할 필요가 있음

(11) 적정 감리인력 확보를 통한 여신감리 업무 강화

내규 ｢ Credit Review 지침｣ 에 따라 기업신용등급 Review, 신규여신 Review,

수시 Review 등 여신감리 업무를 수행하면서 적정 규모의 감리 인력을 확보하여야 하는데도

2017년 이후 인력증원 없이 현재까지 5명*으로 업무를 수행 중이며 여신감리

인력의 부족으로 2018년 이후 감리실적이 매년 감소하고 있으며 최근 계열사 중복여신, 동일 계열 분할여신 취급 등 여신심사 및 신용조사 소홀 문제가 내부감사로 확인**되는 등 여신감리 업무가 취약하게 운영되고 있으므로

* 2017년 부문검사 시 금융감독원 지적에 따라 여신감리 인력을 증원(5명→6명)한 바 있으나, 이후 여신감리 인력은 다시 감소하여 2018년부터 현재까지 5명으로 운영되고 있음

** 2020.9월∼2021.6월 기간 중 총 7건의 불건전 여신판매에 대해 내부감사를 통해 직원 감봉, 견책 등 징계 효과적인 여신감리 업무수행을 위해 내규 ｢ Credit Review 지침｣ 에 따라 적정 감리

인력을 확보하여 제한적으로 운용되었던 거액 여신 모니터링 및 기업신용위험 상시평가 모니터링을 강화하고 테마리뷰를 활성화하는 등 여신감리 업무를 강화하시기 바람

(12) 여신 포트폴리오 편중 리스크관리 강화

은행은 ｢리스크관리지침｣에 따라 특정업종의 여신 편중을 방지하기 위하여

업종별 여신한도를 리스크운영위원회의 의결을 거쳐 설정하고 있으며, 업종은 산업 전망, 편중도, 리스크 등을 기준으로 일반 및 관리업종으로 분류하여 한도설정 시 이를 고려하고 있으나

부동산PF 대출에 대한 영업 확대로 인하여 관련 업종(부동산개발업)의 여신

포트폴리오 한도 비중이 심화되고 있음에도 부동산개발업을 일반업종으로 분류하여 한도를 부여하고, 업종간 한도조정 과정에서 부동산개발업에 대한 한도를 추가로 부여 하는 등 여신 포트폴리오 편중도와 관련한 리스크관리가 미흡하므로

업종별 한도부여 방법 등 여신 포트폴리오 관리 방법을 체계화하고 이를

내규화 하는 등 업종별 여신 포트폴리오 관리체제를 개선하고, 부동산 관련 업종의 여신 편중심화에 따른 한도관리를 강화할 필요가 있음

(13) 배당정책 등 자본관리 업무 강화

은행은 내규 ｢경영계획 규정｣에 따라 목표 자본비율을 포함하여 종합업무

계획 및 중기 경영계획을 수립하고 수립된 목표 자본비율은 내규 ｢이사회 규정｣에 의하여 매분기 계획대비 달성률, 차이 등을 이사회에 보고하고 있으나, 아래와 같은 자본관리 업무에 미흡한 점이 있으므로 관련 업무를 강화하시기 바람

㈎ 합리적인 배당계획 수립·이행

은행은 지주회사 내규 등에 따라 지주회사와 사전협의를 하여 배당정책 등을

결정하고, ｢상법｣ 등 관련 법규에 따라 배당액을 결정하여 재무계획 수립 시 이를 반영하고 있으나

2022.7월 중간배당 결정 시 중간배당액이 당초 수립한 예상배당액을 상회

함에도 자본비율에 미치는 영향만 분석하고, 배당금액, 시기 등에 대한 은행 내부적인 검토 및 지주사와의 협의를 소홀히 하고 있으므로

배당결정 시 배당금액, 시기 등의 적정성 및 재무계획 대비 영향도 등 은행에

미치는 영향을 내부적으로 검토하고, 검토 결과 등에 대해 지주사와 협의를 강화할 필요가 있음

㈏ 자본관리계획 수립·운영 실효성 강화

은행은 내규 ｢ 경영계획 규정｣ 에 따라 매년말 ‘종합업무계획 및 중기 경영계획’

수립 시 배당금, 당기순이익 등의 예측치를 고려하여 목표 자본비율을 설정하고 있으나,

규제환경 변화(2020.6월 신용리스크 바젤Ⅲ 조기도입, 2023년 운영리스크 新

표준모형 도입예정) 및 당초 예상배당액을 상회하는 중간배당 실시 등 자본비율의 급격한 변동이 발생했거나 예상되는데도, 달성가능성 등을 고려하여 당초 수립한 경영 계획상 목표 자본비율을 수정하거나, 예정된 규제환경 변화를 반영하지 않은 채 목표 자본비율을 수립하고 있으며

재무계획 중 규제자본, 내부자본 등 리스크부문에 대한 검토를 수행하고 있으나,

재무계획이 확정된 후 검토가 완료*되는 등 재무계획 관련 리스크관리가 실효성 있게 수행되고 있지 않으므로

* 2022년 재무계획이 2021.12.22.에 이사회 의결을 통해 확정되었으나, 리스크관리 검토는 2021.12.23. 완료되었으며, 2020년 이전에는 리스크관리 검토를 수행하지 않았음

규제환경 변화 등 자본비율이 크게 변동하는 경우 목표 자본비율을 수정·보완

하고, 재무계획에 대한 리스크관리부서의 검토가 실효성 있게 수행될 수 있도록 자본 관리계획 수립·운영의 실효성을 강화할 필요가 있음

(14) 신상품 출시에 대한 리스크관리 강화

신상품 출시 전에 리스크 유형별 사전분석을 충분히 수행하지 않고, 신상품

출시에 대한 관련 부서의 합의 의견 수렴절차를 운영하고 있으나, 동 합의 의견의 반영·이행·사후관리 등에 대한 규정이 부재하여 절차의 실효성이 다소 낮은 가운데

신상품 출시 3개월 후에는 승인 시와 달리 리스크관리운영위원회가 아닌 주관

본부장이 취급기준을 개정할 수 있도록 전결기준을 완화하고 있으며, E부도 취급기준 개정 시 검토하는 체크리스트 항목(3개)이 타 부서에 비해 적고 검토내용 사후 확인*도 불가하여 향후 리스크가 증대할 소지가 있으며

* 예) ‘리스크의 산출 및 관리방안에 대하여 검토하였는가’ 항목에 대하여 ‘Y’로 표시하였으나, 검토내용에 대한 구체적 자료를 확인하기 어려움

신규 대출 취급이 증가하는 경우 연체율이 잠재리스크를 충분히 반영하지 못할

수 있어 취급시기별 연체율을 고려할 필요가 있는데, 위험도가 높은 신상품의 연체율 현황에 대한 경영진 및 이사회 보고도 다소 불충분*하므로

* 예) 2021.1월 출시된 비대면 중금리 상품 ㉯의 누적경과개월수별 연체율((30일 이상 연체계좌 잔액 + 누적상각금액) / 취급시기별 취급액) 현황을 경영진 등에 보고하지 않음

신상품 도입 시 유형별 리스크 분석 및 관련 부서의 합의 의견 사후관리

절차를 강화하고, 취급기준 개정 시 전결기준을 제정 시보다 완화되지 않도록 하고 체크리스트 관리를 개선하며, 위험도가 높은 신상품에 대한 경영진 및 이사회 보고를 보완하는 등 리스크관리를 강화할 필요가 있음

(15) 집합투자증권 투자 및 관리 업무 강화

고위험자산(해외 부동산, LTV 100%를 초과하는 중·후순위 브릿지론 등)에

대하여 간접투자 형태로 자기자본 투자가 이뤄지고 있으나

기초자산이 부동산 PF대출과 유사하고, 신용리스크가 높은데도 내규 ｢ 여신심사

위원회 규정｣ 에 따라 일반 집합투자증권 투자 시 부동산 PF대출보다 더 적은 정족수에

의해 승인될 수 있도록 운영하고 있으며

투자승인 시 F부의 한도 사전협의를 거치고 있으나, 일반 여신과 달리 법 위반

소지만 검토하고 있어 각종 한도관리(PF대출한도 등) 대상에서 제외됨에 따라 상기와 같은 간접투자를 통해 부동산업 편중도 및 고위험투자가 더욱 확대될 우려가 있으며

고위험자산 현황 및 부동산 익스포저 현황 등에 대해 매분기 경영진에 보고하나

집합투자증권 내 고위험자산은 동 보고대상에서 누락되어 있고, 일부 블라인드 펀드의 경우 상임감사위원 의견으로 투자 이후 정기적으로 운용내역을 점검·보고토록 하였으나 그 이행을 소홀히 하는 등 고위험 자산과 관련한 대체투자 승인·한도관리·보고에 있어 전반적으로 미흡하므로

기초자산이 부동산 PF(PF대출, 브릿지론) 등 고위험자산에 해당하는 집합투자

증권 관련 투자에 대해 부동산 PF대출에 준하는 승인절차를 거치고, 집합투자증권 내 고위험자산의 실질에 부합하는 한도관리 및 보고를 수행하는 등 리스크관리 절차를 강화할 필요가 있음

(16) 금리리스크 관리 강화

금리상승에 따른 금리리스크 한도 초과로 증액한 한도(2022.2분기)가 금리리스크

관리기준*의 80.4%에 달하고

* ｢ 은행업감독업무시행세칙｣ [별표 9의1] 금리리스크 산출기준 제21조(금리리스크 평가)

검사대상기간 중 금리리스크 개별위기상황분석을 2021년 한차례만 실시하였으며,

동 분석 시 자체개발한 ‘내부△EVE’를 분석대상지표로 활용중이나 세칙상 △EVE 산출방식과 다소 상이하여 동 산출결과가 △EVE 방법론을 활용한 산출결과보다 검사대상기간 전반에 걸쳐 낮게 산출되는 등 보수성이 다소 미흡하므로

향후 금리리스크 한도 모니터링 및 대응절차를 강화하고, 금리위기상황분석 시

세칙상 관리지표이자 금리리스크량 측정 시 활용되는 △EVE도 포함하여 분석을 수행 하고, 동 분석과정에서 고객행동모형 등 충격 시나리오 설정 시 최근 코로나19 위기 및 인플레이션에 따른 금리상승시의 데이터를 포함하는 등 보수적으로 운영할 필요가 있음

나. 개선사항

(1) 부동산 PF대출 관련 시공사 익스포저 한도관리 개선

내규 ｢신용 Exposure 관리지침｣ 및 은행연합회 ｢부동산 프로젝트 파이낸싱

리스크 관리지침｣ 등에 의하면 부동산 PF대출 취급 시 시공사가 연대보증 등 신용 보강을 하는 경우 시공사의 간접익스포저*를 관리하여야 하는데도

* 연대보증, 채무인수, 자금보충 등 PF대출 차주에 대한 시공사의 신용보강 금액

시공사의 신용보강 금액을 누락하거나 상이하게 관리*하는 사례가 확인되는

등 간접익스포저 한도 관리가 적정하지 않으며 동일 그룹 계열 시행사에 대해 연대보증 등 신용보강을 하는 경우 시공사의 개별 익스포저 관리한도에 해당 금액을 제외하고 있어 그룹 계열 시행사에 과도한 신용보강을 제공할 우려가 있고

* 실제 신용보강이 없는 시공사임에도 신용보강 금액을 입력, 대출금액이 상환된 경우에도

최초 약정금액으로 관리, PF대출금을 분할 지급하는 경우 대출 약정 기준으로 익스포저를 관리하여야 하는데도 대출잔액 기준으로 관리

여신심사서 및 여신심사위원회 부의 안건에 시공사의 직·간접 익스포저에 대한

검토내용을 포함하지 않고 있으며, 시공사 익스포저 총액이 100억원 미만인 경우 익스포저 한도관리를 실시하지 않아 상대적으로 열위한 소규모 시공사에 대해 한도를 초과하여 운용할 위험이 있으므로

부동산 PF대출과 관련하여 신용보강을 제공하는 시공사에 대해 정기적으로

직·간접익스포저 한도를 점검하는 절차 마련 및 그룹계열 시행사에 대해 연대보증 등 신용보강을 제공하는 경우에도 시공사 개별 익스포저 관리한도에 포함하고, 상환금액은 제외하고 미실행금액을 포함하여 신용보강 한도를 인식하도록 LE한도관리시스템을 개선 하는 등 시공사 익스포저 한도관리와 관련한 업무처리 절차를 개선하시기 바람

(2) 상가건물 담보대출 선순위 임차보증금 확인 절차 개선

내규 ｢ 담보 및 감정 심사지침｣ 에 의하면 상업용 부동산 담보대출은 관할세무서

에서 발급받은 ‘상가건물 임대차 현황서’를 징구하여 실제 임대차 현황의 일치 여부를 확인하도록 규정하고 있는데도

상업용 부동산 매매*관련 담보대출 취급 시 근저당권 설정 후 사후적으로 임대차

현황서를 발급받아 선순위 임차보증금의 변동 여부를 확인하여야 하는데도 이를 누락한 사례가 있으며, 필수서류인 임대차 현황서가 스캔 등록되지 않았는데도 전산시스템의 대출 프로세스가 종결처리 되는 등 상업용 부동산 매매 담보대출에 대한 전산시스템 통제가 미흡하므로

* 상가건물 매매 건의 경우 기존 소유자의 협조 없이는 담보 물건에 대한 ‘상가 건물 임대차 현황서’ 발급이 불가하여 차주가 제시한 임대계약서 또는 감정서 등을 기준으로 담보물 심사

상가건물 매매건 담보대출 취급 시 선순위 임차보증금의 변동 여부에 대한 사후

확인이 누락되지 않도록 관련 업무처리 절차 및 전산시스템을 개선하시기 바람

(3) 기업차주의 신용등급 조정 절차 개선

내규 ｢ 신용조사 지침⸥ 등에 의하면 신용평가모형에 반영하지 못하는 사유로

차주의 신용등급을 조정할 경우 객관적인 근거에 의해 제한적으로 운영하도록 하고 있으나

상향조정 사유 중 일부*는 추상적·포괄적인 사유로 담당자의 주관적인 판단이

개입될 소지가 있고 내규에 명시되지 않은 ‘기타’ 사유로 기업차주의 신용등급을 조정한 사례**도 확인되고 있으며

* 기업 신용상태에 긍정적 사유가 발생했거나 기업 실체의 긍정적 변화가 발생한 기업 등

** 2022.3월말 기준 상향조정 67개 업체 중 21개의 경우 ‘기타’ 사유를 근거로 상향조정

내규상 1개 등급 범위 내의 신용등급 상향조정은 영업점 및 여신을 취급하는

본부부서에서 결정하도록 명시되어 있어 신용등급 조정이 D부의 검토를 거치지 않고 영업점 담당자의 자의적 판단으로 이루어질 우려가 있으므로

담당자의 주관적 판단이 개입될 소지를 최소화할 수 있도록 객관적으로 확인

가능한 상향조정 사유를 내규에 명시하고 전산시스템을 개선하는 한편 신용등급 1개 등급 범위 내 상향은 D부의 사전 검토를 거친 후 조정하도록 승인 절차를 개선 하시기 바람

(4) 여신 승인조건 부여 및 이행 여부 관리 강화

여신에 대한 승인조건 부여 시 이행기일 지정 및 관리 절차에 대한 명확한 기준이

없어 이행기일이 무기한으로 설정*되고 있으며 승인조건 미이행 시에도 적극적인 조치를 취하지 않고 기 승인조건을 유지하는 조건으로 기한연장을 하는 사례가 있으므로

* 2017.8월～2022.6월 중 승인조건 부여 여신 452건 중 291건(64.4%)의 이행기일이 장기간(최대 10년) 또는 무기한으로 설정

여신심사 승인조건의 대상·범위를 명확하게 정하여 내규에 반영하고 이행기일을

합리적으로 설정하는 등 승인조건 이행상황 관리체계를 개선하시기 바람

(5) 자금용도 사후점검 및 모니터링 절차 개선

은행은 내규 ｢ 여신심사 지침｣ 에 따라 기업 운전자금과 부동산임대업자에 대한

시설자금이 대출신청 사유와 무관한 용도로 사용되는 것을 방지하기 위해 사후점검을 실시하고 있으나 아래와 같이 미흡한 점이 있으므로 자금용도 사후점검 및 모니터링 절차를 개선하시기 바람

① 임대용 부동산 신축자금의 경우 시설물 미준공 시 임대 여부를 점검할

수 없는데도 점검기일을 대출 취급 후 6개월 이내로 일괄 관리하고 있어 임대목적 용도 점검이 형식적으로 이루어질 소지가 있으므로

부동산 임대사업 용도로 취급하는 시설자금대출에 대해서는 임대목적 부동산의

소유권 이전·보존 등기가 이루어진 이후 최장 6개월 이내에 용도에 맞게 사용하는지를 점검하도록 관련 규정을 개선하시기 바람

② 자금용도 사후점검을 D부에서 샘플링 선정을 통하여 실시하고 있어 2019년

부터 2022.7월 기간 중 용도 외 유용 적발 실적이 3건에 불과하고 점검 주기와 절차에 대한 기준이 없어 현장점검 증빙자료가 누락 되었는데도 모니터링 내용이 “적정”으로 표기되는 등 사후점검이 형식적으로 이루어지는 측면이 있으므로

자금용도 사후점검 주기와 절차 등을 포함한 세부 기준을 내규에 반영하고 현장

방문 대상에 대하여는 영업점에서 현장 방문 사진을 징구하여 첨부하도록 하는 등 자금용도 유용 사후점검이 실효성 있게 이루어지도록 관련 업무절차를 개선하시기 바람

(6) 이사회 운영 및 사외이사 평가제도 개선

은행 내규 ｢ 이사회 규정｣ 등에서 이사회 등 부의안건을 회의 개최 3일 전까지

송부하도록 하고 있어 사외이사가 안건을 사전에 충분히 검토할 시간이 부족하고, 안건에 대한 사외이사의 획일적 찬성 경향이 있고 의견 발언 등도 활발히 제기되지 않는 측면이 있으며,

사외이사 및 비상임이사 평가는 상호간 관대한 평가 등으로 객관성·실효성이

다소 부족(외부평가 미실시)하고, 사외이사 정성평가시 주요 활동내역(은행 건전경영에 기여한 활동), 회의 발언횟수, 자료요구내역 등 평가 참고자료를 제공하지 않는 등 평가의 객관성 제고를 위한 노력도 미흡하므로

은행 이사회의 경영진에 대한 견제기능이 강화될 수 있도록 이사회 등 부의

안건의 사전 송부기한을 확대하고, 사외이사의 정성평가 시 사외이사별 활동 현황 관련 참고자료를 제공하는 등 사외이사 평가제도를 개선하시기 바람

(7) 내부자본 적정성 관리·평가 개선

은행은 ⸀은행업감독업무시행세칙⸥ [별표 3의9]에 따라 리스크관리계획 수립

및 내부자본적정성 평가 시 전략·평판리스크 등 중요한 리스크를 모두 인식하여야 하는데,

내규 ⸀리스크관리지침⸥상 전략·평판리스크를 중요리스크에서 삭제하는 등 적정하게

인식하지 않고 있고, 동 리스크 관리수준도 낮으며*

* 예) 유동성 비상조달계획 등에서 위기상황 시 조달가능한 금액 수준을 평가할 때 평판

리스크 등을 고려하지 않고, 신상품 출시 시에도 관련 리스크를 평가하고 있지 않음

내부자본 산출 및 위험성향 결정 시 유동성리스크 및 전략·평한리스크를 미포함하여

내부자본 과소산출 및 위험성향 과소 산정이 발생하였고, 내부자본 적정성 평가 시에 동 리스크를 누락하고 있으므로

유동성·전략·평판리스크에 대해서도 내부자본을 산출하여 한도를 설정·관리하고,

내부자본적정성 평가 시 반영하도록 내규 및 프로세스를 개선하시기 바람

(8) 운영리스크 관리지표 및 손실데이터 관리절차 개선

은행 운영리스크 관리와 관련하여 아래와 같은 미흡한 점이 있으므로 관련

업무를 개선할 필요가 있음

㈎ 리스크자가진단(RCSA) 지표 실효성 제고

내규 ｢리스크관리지침｣ 제50조에 따르면, 각 사업부문의 담당자가 매분기

리스크자가진단 데이터를 운영리스크관리시스템에 입력해야 함에도 불구하고, RCSA 항목이 지연 입력된 사례가 확인*되었고

* 2018.1분기 ～ 2022.2분기까지 지연입력된 사례는 총 317건

RCSA 평가항목에 대한 유효성 재평가를 실시하지 않고 있으며, 2017.9.3.~

2022.6.30. 기간 중 RCSA 평가항목에 대한 갱신이 총 3번에 불과하므로

RCSA 데이터가 기한 내 입력되도록 안내 활동을 강화하고, RCSA의 실효성

제고를 위해 주기적으로 평가항목 점검을 실시하고, 필요한 경우 평가항목이 갱신 되도록 업무프로세스를 개선하시기 바람

㈏ 비대면, 전략대출 관련 핵심리스크지표(KRI) 신설

은행은 비대면·전략대출 영업전략을 강화하고 있어 동 영역에서 발생할 수 있는

운영리스크에 대한 관리를 철저히 해야 함에도 불구하고

동 리스크 수준을 반영한 KRI가 부족하여 운영리스크가 충분히 관리되지 못할

소지가 있으므로 비대면·전략대출 관련 KRI*를 신설할 필요가 있음

* 예) 비대면 거래 중 실명확인 증표의 BPR 집중여부, 전략대출의 서류 징구 여부 등

㈐ 손실데이터 관리 강화

내규 ｢ 리스크관리지침｣ 제50조에 따르면, 각 사업부문의 담당자는 발생하거나

인지한 손실데이터를 운영리스크관리시스템에 입력하고 리스크관리부서에 보고해야 함에도 불구하고

일부 손실데이터 사건에 대하여 입력 지연이 발생한 사실이 확인되는 등, 손실

사건 데이터 관리가 미흡하므로 손실데이터 입력 주기를 내규 ｢ 리스크관리지침｣ 등에

구체적으로 명시하고 누락된 데이터 여부를 확인할 수 있도록 손실데이터 관리절차를 개선하시기 바람

㈑ 해외 자회사 운영리스크 관리절차 개선

은행은 2019.12월 인수한 해외 자회사로부터 RCSA나 KRI와 같은 운영리스크

평가항목을 보고받지 않고 있어 해외 자회사에서 발생하는 운영리스크 측정·평가가 어려운 등 해외 자회사에 대한 운영리스크 관리를 소홀하게 하고 있으므로

은행의 해외 자회사에 대한 운영리스크 관리 및 통제기능을 제고하기 위해 해외

자회사에 대한 운영리스크 관리항목을 신설하고, 이를 주기적으로 입수 받는 등 해외 자회사의 운영리스크 관리절차를 개선하시기 바람

(9) 유동성 위기상황분석 및 비상조달계획 수립 업무 개선

｢ 은행업감독업무시행세칙｣ <별표9의2>에 따라 은행은 분기마다 위기상황분석을

실시하고 위기상황분석 결과를 반영하여 비상조달계획을 수립하고 정기적으로 리스크 측정 모형에 대한 적합성 검증을 실시하여야 함에도

적합성 검증 실시주기 관련 내규가 불명확*하여 2020년의 경우 ｢ 은행업감독

업무시행세칙｣ <별표19>에 따른 유동성 위기상황분석에 사용된 모형 및 시나리오에 대한 적합성 검증을 실시하지 아니하였고,

* 내규 ｢ 적합성검증지침｣ 에서 신용평가모형 및 리스크측정요소 외에는 연간계획과 경영진의

별도지시가 있을 때 실시한다고 규정

B부에서 적합성 검증 업무에 대한 제3자 점검을 실시하고 있으나 실효성이

다소 부족*하며

* 예) 2020년의 경우 유동성리스크에 대한 적합성검증이 누락되었음에도, 검증업무에 대한 제3자 점검시 2019년 등 여타 연도와 달리 점검항목에서 유동성리스크를 제외하여, 검증 누락에 대한 개선의견을 제시하지 않음 등

또한, 은행의 유동성 위기상황을 분석한 결과 2020년 2분기부터 2021년

2분기까지 5분기 동안 연속하여 결합위기 상황 시 조달필요액이 비상조달계획에 따른 조달가능액을 초과하여 유동성부족이 발생하였고 비상조달가능금액 산정 시 지주 회사의 현금성자산 전액을 조달가능수단으로 계획하는 등 조달규모를 과대 추정하였으므로

유동성 위기상황분석 시나리오의 적정성을 점검하고 비상조달계획의 조달규모를

합리적인 수준에서 가정하며 고유동성자산 확충 및 신규조달 수단 발굴을 통해 분기 연속으로 자금 과부족이 발생하지 않도록 자금조달 구조를 개선하시기 바람

(10) 주식 직접운용 관련 증권투자위원회 운영 강화

내규 ｢원화유가증권 운용 지침｣ 에 따르면 증권투자위원회는 유가증권 운용

전략을 심의하며 운용주관부서는 운용 세부내역과 실적 등을 동 위원회에 매월 보고하여야 하는데도

증권투자위원회는 별도의 심의 기준 없이 공모주 관련 주식 매수 POOL을

선정*하는 등 형식적으로 운영되고 있으며 운용주관부서인 F부는 공모주 투자 관련 운용 세부내역을 증권투자위원회에 보고하지 않고 있어 운용담당자가 공모주 청약을 위한 수요예측 참여 시 아무런 기준과 제한 없이 참여 종목, 가격 및 수량을 결정할 소지가 있으므로

* 증권투자위원회는 매달 ‘익월 상장 예정 공모주 전체’를 투자가능 매수POOL로 선정

공모주 청약 참여와 관련하여 동 내규에 따라 운용부서가 증권투자위원회에

운용 세부내역과 운용 실적을 정기적으로 보고하고 수요예측 참여 시 주관부서장의 사전결재를 받는 등 업무절차를 개선하시기 바람

(11) 금리인하요구제도의 운영 절차 개선

제30조의2 등에 따르면 은행은 금리 인하 요구를 받은 날부터 10영업일*

｢ 은행법｣

이내에 수용 여부 및 그 사유를 요구자에게 통지해야 함에도

* 금리 인하 요구자에게 자료보완을 요구하는 날부터 자료가 제출되는 날까지의 기간은 10영업일에 미포함

은행은 금리 인하 요구에 대한 통지기한 산정 시 접수일 등을 고려하지 않고

증빙서류 제출일로부터 10영업일 이내에 통지하도록 운영하고 있어 ｢ 은행법｣ 등에서

정한 기한 내에 금리 인하 요구자에게 심사 결과를 통지하지 못할 우려가 있음

또한, 금리인하요구제도의 운영기준인 내규 ｢여신금리 및 수수료 지침｣ 제8조

등에 심사 결과 통지내용 및 통지 일자만 기록·관리하도록 명시되어 있고 접수 관련 기록은 보관·관리하도록 명시되어 있지 않으며

전산시스템에도 접수 관련 기록 등이 보관·관리되고 있지 않고 담당자가 자료

보완을 요구하지 않았음에도 자료 제출일이 전산시스템에 기록되거나 여신금리변경 신청서의 보관이 누락된 사례가 확인되는 등 금리인하요구제도의 운영과 관련된 기록을 체계적으로 보관·관리하고 있지 않으므로

｢은행법｣ 및 ｢ 은행법 시행령｣ 등 관련 법규에 따라 금리 인하 요구의 심사

결과가 기한 내에 적정하게 요구자에게 통지되고 접수, 심사 결과 등 관련 기록을 체계적으로 보관·관리할 수 있도록 관련 내규 및 전산시스템을 개선하시기 바람

(12) 고객확인업무 운영체계 개선

① 내규 ｢ 자금세탁방지업무지침｣ 제32조에 의하면 고객확인을 위해 수집된 문서,

자료, 정보가 최신이며 적절한 것인지를 확인하여야 하나

개인고객의 경우 영업점 1차 검증 이후 본부부서에서 일부*만 제외하고

재검증하지 않고 있어 개인 고객정보가 다소 부정확하거나 타당성에 의심이 가는 사례**가 있으므로

* 개인 고위험고객 중 고객거래확인서를 수기로 작성한 고객만 재검증

** 20대 고객의 직업이 ‘중고등학생, 유치원생’으로 기재된 경우 등

주기적 고객정보 검증을 통해 정보의 적절성을 확인하고 고객정보 수집 시

전산통제 절차를 마련하는 등 고객정보 검증절차를 개선하시기 바람

② 내규 ｢자금세탁방지업무지침｣ 제20조, 제32조에 의하면 고객확인을 한 후

해당 고객과 거래가 유지되는 동안 주기적으로 고객확인을 해야 하고, 주기가 도래하지 않더라도 자금세탁행위 등의 우려가 높은 거래가 발생하는 경우 적절한 시기에 고객 확인을 하여야 하나

고객확인 재이행주기(고위험고객 : 1년, 중·저위험고객 : 3년)가 경과한 고객에

대한 고객확인 이행방안*을 마련하지 않고, 내규상 재이행주기 도래전 고객확인을 재이행해야 하는 구체적인 사유 및 이행시기 등**을 정하고 있지 않아 고객확인 재이행이 지체될 우려가 있으므로

* 예) SMS·은행앱 등을 통한 고객확인 요청, 해당고객 영업점 방문시 직원에 고객확인요청 팝업메시지 안내 등

** 내규상 포괄적 재이행 기준(자금세탁 우려가 높은 거래 시 고객확인 등)만 정하고 있음

고객확인 재이행 요건 및 절차를 구체화하고 재이행주기가 경과한 고객에 대한

고객확인 이행방안을 마련하는 등 고객확인 재이행 업무의 실효성을 제고하시기 바람

③ 내규 ｢ 자금세탁방지업무지침｣ 제24조에 의하면 고객의 자금세탁행위 등의

위험도가 적정하게 반영되도록 국가위험, 고객유형, 상품 및 서비스위험 등 위험평가 요소와 중요도를 정하여 고객위험을 평가·관리하고 이를 고객확인에 활용하여야 하나

고객위험 평가모형상 고객정보의 변경사항 반영주기가 길어* 위험등급의 적시

반영이 어려울 가능성이 있고, 기존고객이 고위험으로 위험등급이 변경되는 경우 별도의 위험경감조치**가 마련되어 있지 않아 위험평가의 실효성이 저해될 우려가 있으므로

* 재이행주기(1년 혹은 3년) 도래후 신규 금융거래 발생할 때(비정기적)로 규정하고 있으나 타은행의 경우 대부분 매월 혹은 3개월 등 반영주기를 정기화하고 있음

** 거래목적, 자금원천 등을 확인할 수 있는 증빙자료를 요청하고, 거부 시 고객고지 후 거래제한 등

주기적으로 고객위험 재평가를 실시하고 기존고객의 위험등급 상향에 따른

사후조치를 강화하는 등 고객위험평가 절차를 개선하시기 바람

(13) 美 금융제재 준수를 위한 AML관리 강화

내규 ｢ 자금세탁방지업무지침｣ 제14조에 의하면 자금세탁행위 등의 위험을 관리

하고 경감시키기 위해 위험이 높은 것으로 확인된 분야에 대해 강화된 조치를 하여야 하나

최근 러시아, 이란 등에 대한 美 금융제재(Sanction)에 따라 당발·타발송금,

수출입거래 등 은행의 외환업무 시 제재대상국가 고객확인 등 자금세탁 위험이 증가 하고 있음에도 제재준수와 관련한 업무매뉴얼 마련, 영업점 교육·안내 등이 이루어지지 않고 있으므로

외환업무 처리 시 금융제재 준수 절차를 구체적으로 마련하고 영업점 교육

등을 통해 금융제재(Sanction) 관련 AML관리를 강화하시기 바람

(14) 기술검토 표준화 관리 불합리

내규 ｢ 기술검토관리 프로세스｣ 제6조 및 제7조 등에 따라 기술검토 요청 사업에

대하여 업무 단위별 기술검토*를 통해 ‘기술검토보고서’를 작성하고 검토결과 협의 후 IT투자심의회를 통해 심의·의결하고 있으나

* 개발(업무기능 요건, 구축방법론 등), 인프라(시스템 구축방법, 용량산정 등), 보안(구간별 보안요건 및 대책, 보안관점의 사업추진타당성, 보안성심의대상 여부 등), 내부통제(핵심업무 여부 및 업무지속성 대책) 등 4개의 업무 단위로 분류

업무 단위(개발, 인프라, 보안, 내부통제)별 표준화된 체크리스트 없이 담당자

주관에 따라 가감하여 ‘기술검토보고서’를 작성하고 있어 필수 검토항목에 대한 누락이 발생할 우려가 있고 일관성이 다소 부족하여 IT사업 추진에 대한 은행 IT기술 표준의 충족 여부를 보증하기 어려우므로

IT사업 추진에 대한 기술검토 업무가 체계적이고 일관성 있게 진행되도록

업무 단위별 체크리스트 등을 마련하여 검토를 진행하는 등 기술검토 표준화 관리 업무 절차를 개선할 필요가 있음

(15) IT외부주문 서비스품질수준(SLA) 평가 관리 불합리

내규 ｢ 전산업무지침｣ 제67조 및 제68조 등에 따라 IT외주업체인 ㈜A와 IT업무

개발 및 운영에 대한 아웃소싱 계약을 체결하고 4개 평가지표에 대하여 매년 서비스 수준 평가(SLA, Service Level Agreement)를 수행하고 있으나

성과평가지표를 서비스요청(Service Request)에 대한 적기처리율로만 평가하여

장애시간·건수(등급), 서비스 만족도, 개선활동 건수, 관련규정 준수 등 서비스품질 관점에서의 계량적 성과평가지표가 다소 부족하고

평가결과(등급)에 따른 인센티브(Incentive) 및 패널티(Penalty) 금액 산정 및 정산

등 내용을 세부적으로 정하지 않고 차기년도 계약에 우선참여 또는 제한하는 수준으로 운영하고 있어 2017.9월 아웃소싱 계약 이후 동 제도의 활용 사례가 없는 등 서비스 수준 평가가 형식적으로 이루어질 우려가 있으므로

IT아웃소싱 업체의 서비스수준에 대한 실질적인 품질관리 및 평가가 이루어질 수

있도록 서비스수준 평가(SLA)지표 및 평가결과에 대한 관리 절차를 개선할 필요가 있음

(16) 전산시스템 장애 기록·관리 불합리

내규 ｢전산품질관리지침｣ 제12조에 따라 시스템운영 담당팀장은 단순 기능

오류가 지속되어 대고객 서비스에 영향이 예상되거나 민원이 발생하여 장애로 판단 되는 경우 시스템운영 담당팀장은 장애 발생을 선언하고 장애관리시스템에 장애를 등록하여야 하나

업무 영향도* 등을 종합적으로 고려하지 않고 기능오류 지속시간(10분 이상)만을

장애등록 기준으로 정하여 ‘모바일 개인신용대출 오류’ 건 등 대고객서비스에 영향을 주는 인시던트(incident)에 해당함에도 장애로 등록하지 않은 사례가 발견되고 있어 장애기록·관리가 미흡하므로

* 시스템 구분(중요/일반업무), 장애시간(10분 미만, 10분/30분/1시간/2시간/4시간 이상), 장애 범위(전체, 일반) 등에 따라 S등급, 1～3등급, 기타등급 등으로 구분

인시던트 보고서의 등록여부를 주기적으로 점검하고 장애등록 관리 기준을

세분화하여 내규에 반영하여 관리하는 등 장애관리 업무절차를 개선할 필요가 있음

(17) 일괄작업(배치) 통제 불합리

내규 ｢전산딜리버리지침｣ 제8조 및 ｢ JCL운영메뉴얼｣ 등에 따라, 일괄작업 중

오류가 발생하는 경우, 익일 담당자가 오류원인을 확인하여 조치하고, 내부통제자는 오류 누적 5회 이상의 오류에 대해 원인분석 등의 통제활동을 수행하고 있으나,

일부 일괄작업에서 유사한 오류가 반복적으로 발생하고 있고, 오류원인 분석

및 조치가 장기간 미정리*되는 사례가 발생하는 등 일괄작업 오류에 대한 사후관리가 다소 미흡하므로

* 내부통제자가 비정기적으로 각 담당자에 이메일로 원인분석 및 조치를 요청하고, 수기로 취합·관리

동일 오류가 반복적으로 발생하는 일괄작업 프로그램에 대하여 주기적으로

오류유형 및 원인 등을 분석하고 보완 조치한 결과를 정기적으로 보고하는 등 일괄 작업 오류처리 관련 업무절차를 체계적으로 개선할 필요가 있음

(18) 운영체제 등 시스템 소프트웨어 관리 불합리

내규 ｢전산딜리버리지침｣ 제10조 등에 따라, 안정적인 소프트웨어 운영을

위하여 정기적으로 유지보수업체로 하여금 해당 제품의 패치에 대한 정보를 제공받아 점검하는 등 운영중인 소프트웨어를 최신상태로 유지·운용하고 있으나

검사종료일(2022.9.2.) 현재, 운영(DR 포함) 중인 운영체제(OS), 데이터베이스

소프트웨어(DBMS) 중 일부의 경우 제조사 기술지원이 종료되어 동 시스템 소프트 웨어에 대한 신규 취약점 보완 및 기능개선 등을 위한 보정(patch) 작업 및 기술 지원이 원활하게 수행되지 못할 우려가 있으므로

기술지원이 종료된 시스템 소프트웨어를 상위 버전으로 업그레이드 혹은

교체하거나 제조사 등과 기술지원 확약 계약을 체결하는 등 운영체제 장애발생을 미연에 방지하기 위한 구체적인 대응 계획을 마련하여 조속히 이행할 필요가 있음

(19) 오픈소스 프로그램 거버넌스 체계 불합리

검사착수일(2022.8.16.) 현재 전산시스템 개발 등을 위해 업무용 오픈소스 프로그램을

다수 도입‧ 운영하고 있고, 2022년 7월 오픈소스 프로그램 사용 현황을 일제 점검하여

전산으로 관리하고 있으나

오픈소스 프로그램 사용으로 인해 중요 취약점 노출 등의 보안위협이 발생할

수 있음에도 보안성 등에 대한 적정성 검토가 수행되지 않았고, 모바일 개발 등의 목적으로 사용하고 있는 오픈소스 프로그램이 사용 현황에 누락되는 등 오픈소스 프로그램 현황 관리가 다소 미흡하며, 이로 인해 오픈소스 라이선스 정책에 따른 이용내역 고지 및 오픈소스 사용 저작물에 대한 소스코드 공개 등의 운영리스크 등이 발생할 우려가 있으므로

오픈소스 프로그램에 관한 도입·활용·유지보수 등 생명주기 전반에 걸친 관리

기준 및 절차를 내규화 하고, 오픈소스 프로그램별 라이선스 정책 준수를 위한 관리 체계를 체계적으로 개선하시기 바람

(20) 전자금융기반시설 취약점 분석·평가 사후관리 불합리

내규 ｢ 정보보호 관리 규정｣ 제17조, ｢ 정보자산 보안 지침｣ 제10조 등에 따라

전자금융기반시설의 취약점 분석·평가를 연 1회(홈페이지는 6개월에 1회) 실시하고, 발견된 취약점에 대해서는 이행계획을 수립하여 최고경영자에게 보고하고 있으나

고위험 취약점에 대한 이행계획을 1년 이상으로 정하고 이행결과를 지속적

으로 추적·관리하지 않아 차기 취약점 분석·평가 기간까지 취약점이 제거되지 않는 등 보안 취약점이 장기간 잔존하고 있으며

2018～2022년 취약점 분석·평가 결과, 매년 동일한 유형의 취약점이 전자금융

서비스에서 반복적으로 발견되는 등 취약점 조치와 관련한 사후관리가 다소 미흡 하므로

취약점 이행계획 수립 시 보안 리스크 등을 고려하여 취약점이 조기에 제거될

수 있도록 이행기한을 합리적으로 정하고 기한 내 조치가 불가할 경우에는 지속적 으로 추적·관리하여 최종 조치결과를 경영진에게 보고하는 한편,

반복적으로 발견되는 취약점은 업무담당자를 대상으로 보안 교육을 실시하는

등 취약점 분석·평가의 사후관리 절차를 개선하시기 바람

(21) 정보처리시스템 및 단말기 개인정보 점검절차 불합리

내규 ｢정보보호 관리 규정｣ 제19조 , ｢인프라 운영보안 지침｣ 제29조 및

｢사용자 보안 지침｣ 제5조에 따라, 정보처리시스템 및 임직원 단말기 내 개인정보 유출로 인한 보안사고 등을 방지하기 위하여 서버, PC 개인정보 점검 솔루션을 구축하여 이용자 정보 보관 여부 등을 주기적으로 점검*하고 있으나

정보처리시스템 내 개인정보 점검대상 및 방법에 관한 절차가 미비하여

DMZ 구간 중 일부 시스템만 점검하고 있어 주요 정보처리시스템에 이용자 정보 등 개인정보가 평문 형태로 보관될 우려가 있으며

임직원 단말기에 대한 개인정보 점검 시 파일명, 확장자 등 예외 규칙을 다수

운영하고 있으며, 검출된 파일에 대하여 책임자(부서장) 본인이 보관 요청을 하는 경우 자가 승인*이 가능하여 개인정보 점검 및 통제 절차를 우회할 위험이 있으므로

* 2022.6월 승인 처리된 751건 중 77건이 책임자의 자가 승인

정보처리시스템 내 개인정보 점검 대상을 DMZ 구간 전체로 확대하는 등 점검

대상 및 방법에 관한 객관적 기준을 마련하고, 임직원 단말기 예외규칙의 적정성을 재검토하여 자가 승인에 관한 보완대책을 마련하는 등 개인정보 점검 절차를 개선 하시기 바람

(22) 전산자료 반출통제 불합리

내규 ｢ 정보보호 관리 규정｣ 제15조 , ｢ 사용자 보안 지침｣ 제10조에 따라, 중요

전산자료 보호 및 정보유출 방지를 위해 망연계 솔루션*, 외부메일 승인솔루션** 등을 구축하여 자료전송 내역 등을 관리하고 있으나

* 업무단말기와 인터넷 단말기간 파일 전송

** 외부로 발송되는 전자메일에 대한 모니터링 및 승인

업무 단말기에서 인터넷 단말기로 전산자료 전송 시 책임자의 승인 절차를

마련하고 있지 않고 전산자료 내 개인정보 등이 탐지·차단되지 않는 등 내부망과 외부망간 자료전송에 대한 보안통제가 미흡하고

외부로 이메일 발송 시 보안운영 업무를 지원하는 외주직원이 첨부파일 내

개인정보 및 기밀정보 포함 여부를 육안으로 확인하고 있어 전산자료 반출통제가 미흡할 우려가 있으므로

업무 단말기에서 인터넷 단말기로 자료전송 시 책임자의 사전승인 절차를

마련하고 망연계 및 외부메일 승인 솔루션에서 첨부파일 내 개인정보를 자동으로 검출 하도록 시스템을 개선하는 한편, 외주직원이 수행하는 보안관리 업무는 회사 내부 담당자가 검토하는 등 전산자료 반출통제 관련 절차 및 시스템을 개선할 필요가 있음