우리은행 금감원 경영유의사항 · 2020-04-03

경영유의사항 등 공개안

1. 금융회사명 : ㈜우리은행

2. 제재조치일 : 2020. 4. 3.

3. 제재조치내용

※ 조치내용 중 경영유의사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 제재대상사실

가. 경영유의사항

(1) 외부감사 대상기업 재무제표 확인절차 강화

외감기업에 대해 기업신용조사를 하는 경우 전자공시시스템 등을 확인하여 정확한 결산

재무제표(감사보고서)를 이용하여야 하는데도

㉮ ◎◎◎◎◎부 등 ●●개 부점에서는 2017년도 기준 외감기업에 해당하는 ▩▩▩▩㈜ 등

◉◉개 기업의 신용조사를 하면서 전자공시시스템 등을 통한 재무제표 확인을 소홀히 하여 비외감 신용평가모형으로 신용평가를 하였고,

㉯ ◆◆◆◆부는 상기 ◉◉개 기업 중 △△개 기업에 대하여 여신감리를 실시하면서

이 중 ㈜▦▦▦▦▦ 등 ▲개 기업의 경우 공시된 결산재무제표가 아닌 부적정한 재무제표*가 사용되었음을 확인할 수 있었는데도 감리를 소홀히 하였으며,

* 감리업무 부주의로 감리과정에서 외감기업임을 확인하였음에도 공시된 재무제표를 이용하지 않고 은행 내부 추정 재무제표를 이용

다 부는 외감기업에 대한 신용조사시 비외감 신용평가모형을 사용하지 못하도록

관리할 수 있는 통제시스템을 마련하지 않아 부정확한 신용평가모형을 이용한 신용조사가 이루어지는 결과를 초래한 사실이 있으므로

외감기업에 대한 신용평가 및 여신감리 등을 함에 있어 공시된 결산재무제표를 활용

하도록 내부통제를 강화할 필요가 있음

(2) 여신감리결과 사후관리 강화

여신감리 담당자는 감리결과 지적•권고사항의 이행여부를 점검하고 감리결과보고서를

00부 및 **실 등 관련부서에 송부하고 있으니

여신감리결과 지적사항에 대해 **실에서 추가로 관련 책임자에 대한 개인제재 부과 등

검사•제재조치 필요성 여부를 검토하지 않고 있는 등 감리결과보고서의 활용이 저조하고, 감리결과 권고사항이 장기간 이행되지 않고" 있는데도 ~~ 부에서 이행계획을 제대로 확인하지 않는 등 사후관리가 미흡하므로

* 2018.9월말 현재 여신회수 및 축소 권고 이후 3년 이상 미이행된 사례가 @ @건 존재

여신감리결과 지적사항에 대해서는 검사•제재조치 필요성 여부를 검토하는 한편, 감리

결과 권고사항에 대해 이행여부를 실질적으로 관리하는 절차를 마련하는 등 여신 감리결과 지적•권고사항에 대한 사후관리를 강화할 필요가 있음

(3) 연수대상자 선정의 공정성 강화

연수대상자를 선발하는 과정에서 매년말 연수계획을 수립하고 관련 내용을 통지하여

직원이 신청할 수 있도록 하고, 연수계획에 따라 연수를 받을 필요가 있다고 인정되는 직원은 전결권자의 승인을 받은 후 연수대상자로 선발하여야 하며

당초 통지한 연수 운영내용 등이 변경될 경우, 대상직원이 신청할 수 있도록 관련 내용을

재통지함으로써 연수대상자 선발의 객관성 및 공정성을 확보하여야 하는데도

가 2014년도 대학교 정보대학원 '금융정보보호' 석사과정 및 2016년도 CC대학교 경영

대학원 '핀테크경영 MBA'과정에 대한 연수대상자 선정과정에서 당초 통지한 연수대상자가 아닌 자를 선발하면서 재통지 등의 절차를 이행하지 않았고

* 연수대상을 본부직원으로 선발한다고 통지하였음에도 지점 직원을 선발하거나 책임자급 직원으로 선발 한다고 통지하였으나 관리자급을 선발

나 2016년도 @대학교 정보대학원 '금융정보보호' 석사과정에 대한 연수대상자 선정

과정에서 당초 통지한 연수대상자가 아닌 자를 선발하면서 재통지 등의 절차를 이행하지 않고 본부장급 이상 직원이 1년 이상 연수참여시 차상위자인 부문장의 결재를 받아야 함에도 그룹장 전결로 처리한 사실이 있으므로

연수대상자 선정시 당초 계획 대비 실제 운영사항이 변경된 경우 직원들에게 이를 재통지

하는 절차를 마련하는 등 연수대상자 선발의 공정성을 제고할 필요가 있음

(4) 이사회 운영 등에 대한 투명성•객관성 강화

가 이사회 및 소위원회 운영의 투명성 확보

내규 「이사회규정』 제17조에 따르면 은행은 이사회의 의사에 관하여는 의사록을 작성

하여야 하고, 의사록에는 의사의 안건, 경과요령, 그 결과, 반대하는 자와 그 반대이유를 기재하고 출석한 이사가 기명날인 또는 서명하여 보관하여야 하는데도

2017년 총 ☆☆차례 개최한 임원후보추천위원회* 중 VV차례의 회의 의사록에 이사의

출석여부 및 결의 내용만 기재하고, 세부적인 심사 등의 경과요령을 부실하게 기재하였으며

* 이사회 내 소위원회로 은행 임원(사외이사, 대표이사, 감사위원) 후보추천을 위한 선임원칙, 자격요건, 후보군 관리, 후보자 추천 등의 역할을 담당(2018년 상반기는 미개최) 이사회 개최 전에 사외이사만으로 구성된 간담회'에서 활발하게 이사회 안건에 대한

논의를 하고 있어, 실질적으로 간담회를 이사회와 동일한 성격으로 운영하고 있는데도 그 논의내용을 기록 •관리하지 않고 있으므로

* 「이사회규정』 제20조에 따라 사외이사만이 참여하는 회의로 이사회(소위원회) 개최 전일(2017년~2018년 상반기 중 ##회 개최, 평균 회의시간 약 ++분)에 안건에 대하여 논의하고 이사회와 동일하게 수당 지급 이사회 내 소위원회에 대해서는 경과요령을 충실하게 기재하고, 이사회에 부의되는 안건을

논의하기 위하여 사전간담회 형식으로 이루어지는 회의에 대하여는 논의내용 등을 기록 · 유지 하여 의사결정 과정의 투명성을 강화할 필요가 있음

나 이사회 및 사외이사 운영실적 평가의 객관성 확보

내규 「지배구조내부규범』 제15조 및 제15조의2에 따라 연간 계획 대비 이사회 운영 내역을

근거로 매년 이사회 운영실적에 대한 평가를 실시하고, 사외이사에 대하여는 그 활동내역을 기초로 공정한 평가를 실시하여야 하는데도

2017년도 이사회의 운영실적* 및 사외이사의 활동내역"을 평가하면서 연간계획에 따른 운영 실적 등을 고려하지 않고, 이사후보 선정위원회 별도 구성여부, 이사회 참석률 등 정량적인 평가 사항에 대하여 정성적으로 평가하고, 은행발전 기여도, 전문성 등의 평가항목에 대하여도 구체적 평가 근거 없이 대부분 최상위 점수(<점)를 부여한 사실이 있으므로

* 이사의 선임, 이사회의 독립성, 이사회의 역할과 책임, 운영절차, 안건 등 5개 항목

** 사외이사에 대하여 이사회참여도, 역량 및 전문성 및 은행발전기여도 등 3개 항목으로 본인, 사외이사 상호간, 직원(부행장 등)이 임의로 배점을 부여

*** 이사회 평가시 이사의 자격요건 구성에 대하여 이사회 내 법률 전문가가 없음에도 <7점(만점)부여

이사회 및 사외이사에 대하여 객관적 근거를 토대로 평가하는 한편 관련 근거를 유지

할 필요가 있음

(5) 성과평가기준 운영의 합리성 · 객관성 제고

가 준법감시인 성과평가지표 운영 강화

보상위원회에서 심의 • 의결한 '2017년 경영진 · 특정직원 성과평가 및 보상기준'에 의하면

준법감시인, 위험관리책임자(O~~O~그룹장) 및 **실장에 대한 단기 성과평가지표로 영업지원 등에 대한 영업점직원의 내부고객만족도 평가지표를 반영(총점의 0~28%)하고 있는데

준법감시인 등은 영업지원의 역할이 아닌 영업활동에 대한 감시 • 견제업무를 독립적

으로 수행하는 위치로서, 동 평가지표는 준법감시인 등의 직무수행과 연계성이 부족하고 준법감시 및 위험관리업무 등의 독립성을 저해할 소지가 있으므로

준법감시인 등에 대한 성과평가시 영업점직원의 내부고객만족도 평가지표를 제외하는

등 직무 수행의 독립성이 보장될 수 있도록 성과평가지표를 운영할 필요가 있음

나 경영목표와 성과평가 • 보상기준의 연계성 제고

경영목표 및 평가에 관한 사항은 이사회에서 심의·의결하여야 하며, 보상위원회에서 의결한

'2017년 경영진 · 특정직원 성과평가 및 보상기준'에 의하면 확정된 경영계획에 따라 세부평가 기준을 수립한다고 명시하고 있는데

은행장 단기 재무 성과평가지표(총 X X개) 중 위험조정자기자본이익률(RAROC) 등 X개

지표는 목표달성률에 따라 단기성과급이 결정되는 성과보상체계의 중요한 요소인데도 연간 목표치를 이사회에서 심의 • 의결한 경영목표에 근거하지 않고 실무부서에서 이를 결정하고 있으므로

성과평가 목표치 설정이 공정하게 이루어질 수 있도록 이사회에서 심의 의결한 경영

목표와 성과평가지표 목표치의 연계성을 제고할 필요가 있음

다 장기 성과평가지표 운영 및 산정방식의 합리성 제고

보상위원회에서 의결한 '2017년도 경영진 · 특정직원 성과평가 및 보상기준'에 의하면

은행장의 장기 이연성과급 산정을 위한 성과평가지표가 상대적 주주수익률, 당기순이익 및 자기자본이익률(ROE) 등 수익성 관련 항목 위주로만 구성되어 고위험•고수익 추구에 대한 유인이 있을 수 있으므로

수익성과 건전성이 균형 있게 반영될 수 있도록 장기 성과평가지표를 운영할 필요가

있음

장기성과급 산정을 위한 성과평가지표 중 상대적 주주수익률 산정시 12월의 산술평균

주가를 이용함에 따라

월중 시장상황의 급변 등으로 적정주가 대비 시가가 크게 괴리되거나, 거래량이 적어

시가 신뢰도가 낮은 거래일 종가와 거래량이 많아 시가 신뢰도가 높은 거래일 종가가 동일한 비중으로 반영되는 문제 등으로 상대적 주주수익률 수치가 왜곡될 가능성이 있으므로

앞으로 상대적 주주수익률 산정을 위한 평균주가 산출시 거래량을 반영하는 한편 월중

시장상황에 따른 왜곡 가능성이 적은 주주수익률 산정지표를 도입하는 등 장기 성과평가지표 산출방식의 합리성을 제고할 필요가 있음

라 겸직임원 성과평가 합산기준 결정 절차 강화

임직원에 대한 보수의 결정 및 지급방식에 관한 사항은 보수위원회의 심의 의결을 통해

결정하여야 하는데도

임원에 대한 2017년 성과평가시 COCC 등 부문 산하 1개 그룹장을 겸임한 Q명의

부문장에 대하여는 그룹장은 0A%, 부문장은 00%의 비중으로 성과평가 결과를 합산하였으나 동 합산기준은 성과급 금액 결정에 영향을 주는 사항임에도 보상위원회의 심의·의결을 거치지 않고 은행장이 결정한 사실이 있으므로

겸직임원의 성과평가 합산기준도 성과보상기준에 해당될 수 있는 점을 감안하여 합리적인

산정근거를 토대로 보상위원회 심의 • 의결을 통해 결정하는 등 관련 업무절차를 강화할 필요가 있음

(6) 성과급 환수절차 실효성 제고

보상위원회에서 의결한 '2017년 경영진 특정직원 성과평가 및 보상기준'에 의하면

견책 이상의 문책조치를 받은 임직원에 대하여는 제재양정 수준에 따라 이미 지급한 성과급의 4%~8 8 8%를 환수하도록 정하고 있는데

금융감독원 등의 검사 결과 위법사항이 발견되어 성과급 지급기일 현재 제재 심의 등 절차가

진행중인 경우 향후 견책 이상의 제재를 받아 성과급 환수대상에 해당될 수 있는데도 제재 절차가 확정되지 않았다는 사유로 성과급 지급대상에 해당될 수 있는 문제가 있으므로

제재 심의 등 절차가 진행중인 임직원에 대하여는 향후 성과급 환수가능성에 대비하여

제재 절차 종료시까지 성과급 지급을 유보하도록 하는 등 성과급 환수제도의 실효성을 제고할 필요가 있음

(7 보상위원회 운영 강화

임직원에 대한 보수의 결정 및 지급방식에 관한 사항은 보수위원회의 심의 · 의결을 통해

결정하여야 하고 임원의 성과급 변동을 초래하는 중요한 결정사항의 경우 의사록을 통하여 판단근거의 합리성을 확인할 수 있는 보수위원회에서 심의 · 의결하여야 하는데도

가 공식적인 보상위원회가 아닌 보상위원회 위원이 참석한 간담회에서 은행장 및 상임

감사위원에 대한 2017년 비재무부문 성과평가를 통해 사실상 단기성과급을 잠정 결정*하면서 간담회라는 이유로 의사록을 작성하지 않아 위원의 평가 근거 및 사유 등을 확인할 수 없고

* 단기성과급 결정시 비재무부문 평가의 반영비율은 은행장 XX%, 상임감사위원 ml%로 재무부문 평가는 연말 지표 확정시 결정되어 비재무부문 평가시에 사실상 단기성과급이 최종 결정

나 평가과정에서도 각 위원은 은행장 씨개 비재무 평가항목, 상임감사위원 S개 비재무

평가항목에 대해 평가항목별로 점수를 부여하지 않고 전체 총점만을 부여하여 최종 평가 점수의 구체적 산출근거를 확인할 수 없는 등 평가절차가 부실하게 운영되고 있으며

다 자기자본이익률(ROE), 총자산순이익률(ROA) 등 수익성 관련 성과지표 산출을 위한 당기

순이익 중 비경상적 특수요인 조정 사항도 보상위원회에서 심의하지 않고 같은 날 보상위원회 위원이 참석한 간담회 보고로 대신한 사실이 있으므로

임원에 대한 비재무부문 성과평가 실시 및 임원의 성과급 변동과 관련된 중요사항의 경우

보상위원회 심의•의결을 통해 의사결정의 투명성•공정성을 확보하고, 임원에 대한 비재무부문 성과평가시 평가항목 각각에 점수를 부여하는 등 성과평가의 충실성을 제고할 필요가 있음

(8) 방카슈랑스 상품 판매 관련 금지행위 적발을 위한 내부통제 강화

방카슈랑스 상품 판매시 보험업법에서 금지하고 있는 행위(승환계약, 구속행위 등)의 방지를

위한 전산통제는 구축되어 있으나, 이를 적발하기 위한 사후통제 활동이 미비함에 따라 설계된 전산통제를 우회하여 불법행위가 발생할 위험이 있으므로

방카슈랑스 상품판매 관련 금지행위 예방을 위해 실효성 있는 적발통제체계를 구축하고,

유관부서에서 이를 주기적으로 점검토록 내부통제절차를 강화할 필요가 있음

(9) 투자원금 보존 희망고객에 대한 고위험상품 판매관리 강화

은행은 '투자자정보 확인서' 설문을 통해 파생결합형 특정금전신탁(ELT) 등에 투자하는

고객의 수입원, 투자경험, 금융상품에 대한 지식수준, 손실 감내도, 투자가능 기간 등을 확인 하고 그에 적합한 상품을 투자권유하도록 하고 있으나

'투자자정보 확인서' 설문내용 중 '무슨 일이 있어도 투자원금은 보존되어야 함으로 응답한

투자자 에 대하여도 '위험등급 초과 가입 확인서'를 징구한 후 ELS(파생결합증권)를 편입한 특정금전신탁 상품을 투자권유·판매한 사실이 있으므로

* 2016.7.1~2018.6.30. 기간 중 $$,5SS건(같은 기간 중 ELT 총 판매 %%%,%%%건의 =.=%)

파생결합형 특정금전신탁(ELT) 상품은 투자원금이 보존되지 않는 고위험 상품인 점을 고려

하여 원금보존을 희망하는 고객에 대해서는 최대한 보수적으로 투자성향을 판정하고 그에 적합한 상품을 판매하는 한편 이에 대한 사후점검을 강화하는 등 고위험 상품에 대한 판매 관리 절차를 강화할 필요가 있음

(10) 은행 IT조직 전문성 제고

은행은 약 A,A☆☆억원 규모의 차세대시스템 구축 사업을 추진하면서 동 사업 수행사

(33(주), 5% 62%) 및 전산자회사(©~~~~~~e)의 작업 완성도를 올바르게 측정하고 적절한 업무지시를 통해 사업관리의 효율성을 제고하기 위해서는 사업관리 조직의 전문성 구비가 필수적이나,

‡T-호년 은행의 전산시스템 개발 • 운영 업무를 전산자회사에 일괄 위탁(Total

Outsourcing)한 이후 약 ‡년이 경과하는 동안 비약적으로 발전한 H/W • S/W 기술을 숙지한 신규 IT인력 충원'없이 기존 인력이 계약관리 위주의 업무를 수행해 옴에 따라 전문성이 취약하고 대규모 IT사업 관리 경험 또한 부재함에도 불구하고,

* 2017년 이후 3차례에 걸쳐 종 &&&명의 IT분야 인력을 채용하였으나 현업 업무숙지 필요 등의 이유로 모든 인력을 영업점 및 본부부서에 배치

방대한 개발 규모 및 다양한 신기술 도입 등으로 많은 리스크를 내포하는 차세대시스템

구축을 계획하면서 사업 준비 단계에서 관리조직의 기술적 • 관리적 역량을 객관적으로 점검 하고 실효성 있는 전문 인력 조달 • 확보 방안을 마련하는 등 사업 성공에 기본적 • 절대적으로 중요한 준비를 소홀히 하여

차세대시스템 가동 이후 대외계 장애, 계정계 프로그램 오류가 지속적으로 발생 하였고 추가적인

장애 • 오류 사고를 배제할 수 없음에도 은행 IT인력의 차세대시스템 설계 및 구현 현황에 대한 구체적인 파악 • 이해가 부족하여 전산자회사에 대해 차세대시스템 전반에 대한 점검과 보완을 지시하고 보완 결과의 적정성을 확인하기 어려운 상황이므로

* 2018.5월 인터넷 • 스마트뱅킹 및 ATM을 통한 당 • 타행이체, 체크카드 결제 및 인증서비스 등 총 $건

※ * 시스템을 포함한 은행 IT업무에 대한 기술적 전문성 등을 구비한 IT 조직을 구성

하여 전산자회사를 포함한 수탁자를 적절히 통제 • 관리하고, 외부 전문가(업계 및 학계 전문가 등)로 구성된 차세대시스템 진단위원회 및 실무단을 통해 차세대시스템 전반에 대한 심도 있는 점검을 실시하는 등 IT조직의 전문성을 강화하시기 바람

(11) 해외현지법인 리스크관리 강화

CKMBKK은행 등 일부 대형 해외현지법인의 경우 리스크관리 전담조직이 설치되어

있지 않거나, 위험관리책임자가 여신심사 •재무•기획 등 업무를 겸직하고 있어 이해 상충 우려가 있고 위험관리업무에 전념하기 어려울 소지가 있으므로

리스크관리 전담조직을 신설하거나, 여신•재무•기획 등 본질적인 업무와 리스크관리

업무와의 겸직을 해소할 필요가 있음

(12) 위험관리책임자(CRO) 및 리스크관리부서 성과평가지표 합리성 강화

그룹 및 위험관리책임자에 적용되는 성과평가지표 중 일부가 리스크관리 목표와의

연계성이 부족하거나 상충될 가능성이 있어 불합리하므로 관련 성과평가지표를 개선하는 등 합리성을 강화할 필요가 있음

(13) 해외 대체펀드 관련 투자자 익스포져 관리 강화

해외 대체투자자산 운용펀드와 장외파생상품 거래시 펀드 투자자와 별도 손실보증 계약

(capital call)을 체결하고 있으나, 동 계약사항이 해당 투자자별 손실보증 계약한도 및 간접 익스포져 한도 등에 반영되지 않는 등 거래상대방에 대한 익스포져 관리가 미흡하므로 투자자별 손실보증 계약한도 설정 및 한도 내 취급을 위한 관리체계를 마련하고, 간접 익스포져 관리대상에 포함하여 운영할 필요가 있음

나. 개선사항

(1) 신용등급 조정기준 불합리

우리은행 내규 「여신규정』 제6조에 의하면 은행은 모든 여신에 대하여 적정한 신용리스크

평가를 실시하여야 하는데

차주사의 재무구조 불량 상태가 지속되고 있고 영업환경의 개선전망이 불확실한데도

차주사 또는 회사대표의 보유자산 가치가 상승했다거나 이미 재무제표에 반영된 재무요인 (유상증자, 부채비율 축소 등)을 지나치게 낙관적으로 평가하는 방법으로 신용등급을 상향 조정하는 사례가 있었으며

2017년도 건전성평가 결과 '요주의' 등급(B')에서 '정상' 등급(BB 이상)으로 신용등급이

조정된 사례가 E,EE건에 달하는 등 신용평가시 신용등급 상향조정이 다수 발생하고 있어 신용리스크 관리가 약화될 우려가 있으므로

여신 건전성 확보를 위한 적정한 신용리스크 평가가 이루어질 수 있도록 차주의 신용

등급 조정기준을 합리적으로 개선하시기 바람

< 관련규정 >

1.우리은행 내규 「여신규정」 제6조

(2) 담보종류별 회수예상가액 산정기준 불합리

「은행업감독규정』 <별표3> 및 우리은행 내규 「여신업무지침』 제622조에 의하면 고정 이하 분류 담보물에

대한 회수예상가액은 담보물 처분시 실제 회수가능한 공정가치를

기준으로 산정하여야 하며 경매를 통한 처분을 기본으로 하는 부동산담보물에 대하여는 담보소재지별, 물건별 경락률을 고려하여 회수예상가액을 산정하는 것이 바람직한데도

은행은 감정가액을 토대로 자체산정한 담보가액에 일괄적으로 회수예상비율(PP~P P %)을

적용하여 회수예상가액을 산정함으로써 실제 회수가능한 공정가치를 정확하게 반영하지 못할 우려가 있으므로

담보가액에 물건별 지역별 경락률을 감안한 담보회수율을 적용하고, 이에 선순위채권

등을 차감한 유효담보가액으로 회수예상가액이 산정될 수 있도록 개선하시기 바람

< 관련규정 >

1.「은행업감독규정』<별표3>

2. 우리은행 내규 「여신업무지침」 제622조

(3) 기업여신 신용평가 사후관리 미흡

우리은행 내규 ｢여신업무지침｣ 제47조에 의하면 법인사업자 차주의 경우 유효기일(결산일

로부터 6개월) 내 신용등급을 재평가 하여야 하나 유효기일이 경과한 이후에도 재평가를 하지 않은 사례가 다수 발견되어 차주의 신용위험 변화를 적시에 감지하는 못하는 등 차주의 신용등급이 정확하게 관리되지 못할 우려가 있으므로

유효기일 내에 신용등급 재평가가 이루어질 수 있도록 기업정보의 자동전산등록 등 평가

절차 간소화, 재평가 관련 성과평가기준(KPI)의 강화 등의 개선방안을 마련하시기 바람

< 관련규정 >

1. 우리은행 내규 ｢여신업무지침｣ 제47조

(4) IFRS9 대손충당금 관련 리스크요소 추정방법 등 불합리

㈎ Stage 분류요건 정비

차주의 현재 신용등급이 최초 등급 대비 하락한 경우 IFRS9 기준상 Stage 2*로 분류

하는데, 최초 평가 이후 신용평가모형이 변경된 경우에는 최초 등급을 변경된 모형 기준으로 재산정(Back-rating)한 후 이를 현재 등급과 비교**하여야 하는데도

* 최초 인식일 이후 신용위험이 유의적으로 증가한 자산

** 모형 개발 이후 차주를 평가하는 기준이 변경됨에 따라 현재등급과 최초 취급 등급간 일관성이 낮아짐

최초 등급을 그대로 사용하고 있어 Stage 분류에 오류가 발생할 소지가 있으므로 Stage 2

분류시 재산정한 등급을 활용하도록 개선하시기 바람

< 관련규정 >

1. 한국채택국제회계기준 제1109호 금융상품

㈏ 집합평가 부도율(PD) 산정방식 개선

BIS비율 등의 산출을 위하여 내부 신용등급 부도율(PD)을 추정하는 경우에는 부도율

산정을 위한 기준시점에는 존재하지 않았으나 관측기간 중 신규로 발생하는 부도(이하 신규 부도)를 부도율 산식에 반영하는 등 보수적으로 산출하는 반면, 대손충당금 산정을 위한 집합 평가 부도율(PD) 추정시에는 신규부도를 포함하지 않아 대손충당금이 과소 산정될 우려가 있으므로

대손충당금 산정을 위한 부도율(PD) 추정시에도 신규부도를 반영하도록 관련 절차를

개선하시기 바람

< 관련규정 >

1. 「은행업감독업무시행세칙」 <별표3> 173.

(다) 집합평가 부도시손실률(LGD) 산정방식 개선

상각후원가를 장부금액으로 하는 금융자산의 손상차손은 당해 금융상품의 최초 유효

이자율로 할인하고 운영리스크율을 반영하여야 하는데도, 추정모집단 부도계좌의 유효이자율로 할인 하고 운영리스크율을 미반영하여 대손중당금이 부정확하게 산정될 우려가 있으므로

* 충당금 산정을 위한 LGD 추정시 충당금 산정 대상계좌의 유효이자율을 활용해야 함에도 LGD 추정을 위한 부도계좌의 부도시점 유효이자율 활용

대손충당금 산정을 위한 부도시손실률(LGD) 추정시 당해 금융상품의 최초 유효이자율로

할인하고 운영리스크율을 반영하도록 산정방식을 개선하시기 바람

< 관련규정 >

1. 한국채택국제회계기준 제1109호 금융상품

(라) 개별평가 담보회수율 산정방식 수정

대손충당금 산정을 위한 개별평가에 활용하는 담보회수율의 경우 최근 ①개월 법원 경매

데이터를 활용한 경락률을 사용하고 있는데, 장기데이터(최소 10년 이상)를 활용하는 집합평가 손실률과의 일관성이 미흡하고 단기데이터 사용에 따라 대손충당금 산정이 경기 변동에 순응할 우려가 있으므로

개별평가를 위한 담보회수율 추정시 장기데이터(최소 5년 이상)를 활용하도록 관련 업무를

개선하시기 바람

< 관련규정 >

1. 한국채택국제회계기준 제1109호 금융상품

(마) 개별평가 및 집합평가 담보배분 절차 수정

개별평가 대상으로 선정된 차주의 경우 동 차주의 난내자산에 대해서만 심사역에 의한

개별평가를 수행하고 그 외 자산(예 : 미사용한도 등)에 대해서는 집합평가를 수행하고 있는데

난내외 승인금액을 대상으로 설정 • 배분된 담보금액을 모두 난내자산에 대한 개별평가에

사용하면서, 동 담보금액을 집합평가에도 이중으로 사용할 수 있도록 설계되어 대손중당금이 과소계상될 우려가 있으므로

개별평가시 사용된 담보금액을 집합평가시 이중으로 사용하지 않도록 충당금 산정

절차를 개선하시기 바람

< 관련규정 >

1. 한국채택국제회계기준 제1109호 금융상품

(5) 대출금리 구성요소 중 신용원가 추정방법 등 불합리

㈎ 부도율(PD) 추정방식 개선

기업대출 부도율(PD) 추정시 경기침체기가 감안된 보수적 기준의 Masterscale*을 활용

하고 있어, 최근 경기가 충분히 반영되고 있지 않아 예상손실이 과다 산정될 우려가 있으므로

* Masterscale은 경기침체기를 포함한 기업신용평가모형의 등급별 장기평균 준거부도율로 모형 개발 및 검증시 실측부도율이 동 Masterscale을 초과하지 않도록 함

기업대출 부도율(PD) 추정시 최근 경기를 감안한 경험 부도율(PD)을 이용하는 등 관련

업무를 개선하시기 바람

< 관련규정 >

1. 한국채택국제회계기준 제1109호 금융상품

㈏ 부도시손실률(LGD) 추정방식 개선

신용원가(예상손실) 산정을 위한 부도시손실률 추정시 유효이자율 등 예상손실 추정을 위한

적정할인율을 사용하고, 은행의 운영상 손실로 인한 운영리스크 손실을 반영하지 않아야 하는 데도

부도시손실률 추정시 회수금액 등에 대한 할인율로 자기자본비용률*을 이용하고, 은행

내 여신 프로세스 운영시 발생하는 운영리스크 관련 손실을 반영하고 있어 신용원가가 과다 산정되고 있으므로

* 자기자본비용률 : 위험가중자산 산정을 위한 LGD 추정시 활용하는 할인율로 통상 자본비용 추정시 사용

적정한 할인율(예 : 최초 유효이자율)을 활용하고 운영리스크와 연관한 손실률을 반영하지 않도록 관련 업무를 개선하시기 바람

< 관련규정 >

1. 우리은행 내규 ｢여신금리 및 수수료 지침｣ 제4조

(다) 보증보험 담보대출 부도시손실률(LGD) 적용기준 개선

• • • • •• 등 보증보험 담보 부도시손실률의 장기평균 실측치가 8 % 수준인데도, 명확한

근거 없이 P / %의 부도시손실률을 적용하고 있어 신용원가가 과다 산정되고 있으므로 보증보험 담보대출의 부도시손실률 산정시 장기평균 실측치를 적용하도록 개선하시기 바람

< 관련규정 >

1. 「은행업감독업무시행세칙」 <별표3> 173.

(라) 소매 한도대출 신용원가 산출방식 부적정

신용원가를 포함한 대출금리는 이용잔액에 대해서만 부과하여야 하는데도, 일부 소매

한도대출의 경우 미사용한도에 대해서도 신용환산율을 적용하여 신용원가를 추가로 부과하고 있으므로 미사용한도에 대한 신용원가를 대출금리 요소에서 제외하도록 개선하시기 바람

< 관련규정 >

1. 「은행업감독업무시행세칙」 <별표3> 173.

(6) 직무미부여 임직원에 대한 보수지급 및 차량지원기준 미흡

우리은행 내규 「지배구조내부규범』 제29조 및 「차량관리지침』 제7조에 의하면 임원의

보수는 보상위원회에서 기준을 정하여 지급하도록 규정하고 있고, 업무용차량은 업무수행 목적 이외의 개인적 용도로 운행할 수 없는데도

(가) 검사착수일 현재 직무미부여 발령을 받은 집행부행장 OOO(WCCCC부문장)에

대하여 보상위원회의 결의 없이 기존 급여(기본급 및 활동수당)의 80%를 지급하고 실질적인 담당업무가 없는데도 업무용차량을 지원하고 있으며

(나) 검사착수일 현재 조사역으로 발령을 받은 OOO(배CCCC본부장) 및 대기발령

중인 Do-(배C0000본부장)에 대하여 실질적인 담당업무가 없는데도 업무용차량을 지원하고 있으므로

보상위원회 결의를 통하여 직무가 미부여된 임원에 대한 보수지급기준을 마련하고, 직무

미부여, 강등, 대기발령 등인 임직원에 대한 업무용차량 지원기준을 마련하시기 바람

< 관련규정 >

1. 우리은행 내규 「지배구조 내부규범」 제29조

2. 우리은행 내규 「차량관리지침」 제7조

(7) 집행임원 성과평가체계 불합리

보상위원회는 2017년 경영진 등에 대한 성과평가 및 보상기준을 수립하면서 은행장 및

상임감사위원에 대해서는 단기성과급 산정을 위한 평가지표의 구체적인 내용 을 포함하여 의결하고, 보상위원회를 평가권자로 지정한데 반해,

* 재무평가지표 항복 및 반영비중, 비재무평가지표인 중점추진과제 등

백그룹장 등 스스명의 집행임원에 대하여는 보상위원회가 단기성과급 지급한도,

산정산식, 조직업적부문 평가지표별 반영비중 범위 등을 정하고 개별 임원별 평가지표 구성 및 반영비중 등은 은행장이 결정하고 평가하도록 그 권한을 위임*한 사실이 있는데

* 2017년 보상위원회 의결 안건 상에 집행임원 성과평가지표 및 비중을 '~연계영업활성화 등' 또는 '비중 0o~••%' 와 같이 기재하여 평가지표의 구성현황과 비중이 확정되지 않음

이는 임원에 대한 성과평가 및 보상 결정 등 보상위원회의 심의 • 의결 권한을 과도하게

위임한 것으로 볼 소지가 있으며

특히 준법감시인 및 위험관리책임자의 경우에는 은행장이 평가를 하는 과정에서 실무적 으로 0777부 및 0Q부가 각각 조직업적(*%) 및 개인역량(~~%) 부문 평가를 실시* 함에 따라 직무수행의 독립성이 저해될 수 있으므로

* 2016년 및 2017년 평가시 7777부 및 OO부가 평가 실무단계에서 부여한 점수가 은행장 전결시 에도 변경없이 그대로 확정됨

집행임원에 대한 성과평가기준 수립 및 성과평가 운영의 객관성 제고를 위해 보상위원회의

심의•의결을 통해 집행임원 성과평가지표의 구체적 사항을 결정하고 성과평가가 이루어지도록 절차를 개선하고

준법감시인 및 위험관리책임자의 경우에도 직무 수행에 독립성 저해 소지가 발생하지

않도록 성과평가 절차를 개선하시기 바람

< 관련규정 >

1. 우리은행 내규 「보상위원회규정」 제6조

(8) 제휴보험사 및 보험상품 선정 관련 내규 미비

우리은행 내규 「규정관리규정』 제3조에 의하면 계속적으로 구속력을 가지는 규범 및 업무

처리 기준은 원칙적으로 규정화하여야 하는데도

방카슈랑스 업무와 관련하여 제휴 보험사 및 보험상품을 선정하는 '제휴사 선정 실무

협의회' 및 '보험상품 선정 협의회'에 대한 운영기준 및 세부적인 업무처리절차가 내규에 명시되어 있지 않아 관련 업무의 일관성•투명성이 저하될 소지가 있으므로

제휴보험사 및 보험상품 선정의 공정성 제고를 위하여 관련 기준 및 절차를 규정화

하여 운영하시기 바람

< 관련규정 >

1. 우리은행 내규 「규정관리규정』 제3조

(9) 자본시장법 개정사항의 내규 반영 미흡

2013.5월 개정된 자본시장법 제6조에 따라 기관투자자 등의 사모단독집합투자기구 취득이 불가능*하고, 2016.6.28. 개정된 「금융투자업규정』 제4-7조의2에 따라 레버리지•인버스 ETF가 자본시장법상 '파생상품등'에 포함되었는데도

* '집합투자란 2인 이상에게 투자권유를 하여 모은·.'에서 '2인 이상의 투자자로부터 모은··'으로 개정되어 기관투자자등의 단독집합투자기구 취득이 실질적으로 어려움

우리은행 내규 「증권업무지침』 및 「집합투자상품위탁판매업무지침』 등에 동 개정사항이

반영되지 않고 있으므로

증권 및 자산운용과 관련한 내규의 전반적인 점검을 통해 자본시장법 등 법령개정사항이

적절히 반영되도록 개선하시기 바람

< 관련규정 >

1. 우리은행 내규 「증권업무지침』 제66조, 제기조

2. 우리은행 내규 「집합투자상품위탁판매업무지침」 제2조

(10) 직무별 전문교육 미흡\

우리은행 내규 「연수지침』 제4조에 따라 직급별로 의무교육과정 및 연간의무교육시간을 이수하여야 하나 직무별로는 의무교육 과정 등이 정해진 바가 없어, 실제로 겸영업무'를 담당하는 XX그룹 소속 임직원의 경우 소관업무와 관련한 법률과목 등의 전문연수를 이수한 실적*이 매우 저조하므로

* 펀드 매매•중개 및 방카슈랑스 업무

** 겸영업무를 담당하는 XX그룹 임직원의 업무관련 연수가 파생상품 • 펀드투자권유자문인력 보수교육에 집중되어 있으며 법규관련 연수를 이수하지 않음

겸영업무, 신탁 등 법규에 대한 전문지식이 요구되는 직무의 경우 상품개발, 판매절차

운영, 사후관리 등 업무처리 과정에서 관련 법규를 숙지하지 못해 초래될 수 있는 위법행위 발생을 예방하기 위하여 담당임직원이 직무와 관련한 법규과정을 의무적으로 이수하도록 연수지침을 개정하시기 바람

< 관련규정 >

1. 우리은행 내규 「연수지침」제4조

(11) 준법감시활동 보고체계 미흡

우리은행 내규 「준법감시담당자업무지침』 제14조에 따라 각 본부부서의 준법감시담당자는

매월말 기준 준법감시활동 보고서를 익월 10일까지 준법감시인에게 제출하여야 하는데도

•000부는 본부부서의 준법감시담당자로부터 보고받은 준법감시활동 보고서를

준법감시인에게 보고하지 않았으며,

영업점의 준법감시활동 결과가 준법지원부 및 준법감시인에게 원활하게 보고되지 않아

영업점 및 본부부서에서 발생하는 내부통제 취약점을 준법감시인이 파악하는데 어려움이 있으므로

준법감시인이 OOOO부를 통해 전체 부점의 준법감시활동 결과를 보고받고 적절한 대응을

할 수 있도록 관련 보고체계를 개선하시기 바람

< 관련규정 >

1. 우리은행 내규 「준법감시담당자업무지침』 제14조

(12) 외환 파생상품 거래시 거래한도 관리 등 내부통제 미흡

(가) 거래한도 관리 개선

기업과 외환 파생상품 거래시 '환위험 회피목적 관리대상 금액 확인서' 및 수출입실적

증빙서류 등을 기업으로부터 받아 위험회피 대상의 종류와 금액을 확인하고 동 금액을 거래 한도로 등록한 후 다른 은행과 이미 체결한 파생상품 거래실적을 감안하여 거래하여야 하는데도

외환 파생상품 거래 관련 서류의 등록여부 및 등록일자를 시스템에서 확인하기 어려워 서류

미등록 내지 사후보완이 발생할 우려가 있고, 거래 전에 다른 은행과 체결한 파생상품 거래 실적도 확인하여야 하나 관련 서류 등록이 의무화 되어 있지 않으며, 담당 책임자 전결로 한도 승인도 가능함에 따라 한도 증액이 수시로 발생하는 등 관련 내부통제 절차가 미흡하므로

관련 서류의 적정여부를 확인한 이후 거래한도 승인 및 계약 체결이 이루어지도록 업무

처리 절차 및 시스템을 개선하고, 거래한도 등록의 전결권을 영업점장 이상으로 상향조정 하는 등 내부통제 절차를 강화하시기 바람

(나 증빙서류 관리 개선

위험회피 대상이 수출입대금인 경우 개별 수출입 계약서를 기준으로 거래한도 부여가

가능하고, 수출입실적 산정시 다양한 증빙서류를 통해 거래한도를 인정하고 있으나 개별 수출입계약서의 경우 진위성 및 실재성을 확인하기 어려우며, 동 증빙서류를 활용하여 다른 은행에 중복하여 한도를 인정받을 우려가 있으므로

위험회피 대상이 연간 수출입실적인 경우 협회 등 제3의 기관이 발행한 수출입실적

증명서를 기준으로 위험회피대상을 확인하되, 여타 증빙서류의 경우에는 예외적으로 운영하는 등 관련 확인절차를 합리적으로 개선하시기 바람

(다) 거래상대방에 대한 적합성 심사 강화

기업과 외환파생상품 거래시 적합성심사 등을 통해 기업의 위험회피 목적, 재산상황,

거래 경험 등을 파악하여 적합한 상품을 취급하여야 하는데도

파생상품 거래 경험이 없거나 적은 기업과 고위험의 외환파생상품 거래를 하면서 동 상품의

위험을 인지하고 있다는 '투자자확인서'만을 수령하고 취급하는 것은 불완전판매로 인한 분쟁 발생 우려가 있으므로

일반투자자와 고위험 파생상품 거래시 기업의 규모, 위험관리 능력 및 임직원의 전문성

등을 종합적으로 심사하여 투자자등급에 적합한 상품을 거래할 수 있도록 적합성 심사 절차를 강화하시기 바람

(라) 외환 파생상품 판매 관련 제3자 점검 및 교육 강화

영업점 등의 외환 파생상품 판매 관련 한도관리 및 관련 서류의 적정여부에 대한 자체

감사 등 제3자의 점검이 미흡하여 법규위반 사례가 발생할 우려가 있으므로

외환 파생상품 판매관련 업무에 대한 실질적인 점검 및 교육이 이루어질 수 있도록 관련

내부통제 절차를 강화하시기 바람

< 관련 규정 >

1. 우리은행 내규 「파생금융업무지침』 제2장, 제3장, 제6장

(13) 유동성 위기상황분석 미흡

위기상황이 발생하는 경우 국가간 유동성 이전이 제한될 것으로 예상됨에도 위기상황분석시

해외 영업점의 초과 유동성이 본점으로 자유롭게 이전될 것으로 가정하였고

위기 상황 시나리오에 포함된 주요 가정에 대한 민감도 분석을 미실시하여 개별 요인이

위기시 유동성에 미치는 영향을 사전에 파악하지 못하고 있으며

비상자금조달계획 수립시 동 계획 실행에 따른 영향 및 평판 효과를 반영하지 않아

위기시 대응 가능한 충분한 자금을 확보하지 못할 가능성이 있기 때문에

위기상황 시나리오 가정에 해외 영업점과 본점간 유동성 이전 능력에 보수적인 가정을

추가하고 주요 가정에 대한 민감도 분석을 실시하는 등 유동성 위기 관리 업무를 개선하기 바람

< 관련 규정 >

1. 「은행업감독업무시행세칙』 <별표9-2>, <별표19>

(14) 위험관리책임자(CRO)의 역할 및 독립성 미흡

0000부문장이 위험관리책임자 및 O~~~본부를 통할하고 있어 위험관리책임자의 독립적인 업무수행 저해 및 이해상충* 발생 소지가 있으며, 위험관리책임자가 리스크관리 심의회(ㅁㅁㅁ@부문장이 의장직 수행)"에 소속위원으로만 참여하고 있는 등 위험관리책임자의 역할이 상대적으로 미약하므로

* 0000부문장이 직접적으로 영업•재무•기획 등의 업무를 겸임하지는 않지만 전행 수익성 지표에 연 동되는 성과평가를 받고 있어 이해상충 가능성을 배제하기 어려움

** 위험관리위원회로부터 위임받은 사항을 처리

위험관리책임자의 독립성 및 실질적인 역할이 강화될 수 있도록 리스크관리조직의

구조 및 업무분장을 개선하시기 바람

< 관련규정 >

1. 우리은행 내규 「지배구조 내부규범」 제24조의3

(15) 국가별 리스크관리 미흡

은행은 전염위험 방지를 위해 국가보다 넓은 범위(예 : 지역별)의 익스포져 한도를 설정

하고, 익스포져 규모가 상당한 국가에 대해서는 정량적·정성적 요소를 고려하여 국가별 위험을 분석하고 국가별 익스포져 규모 및 특성을 결정하는 의사결정의 근거로 활용될 수 있도록 동 위험분석 결과를 관련부서 및 직원 등에 공유하여야 하는데도

검사착수일 현재 전염위험 방지를 위한 지역별 한도가 미설정된 상태이며, 국가별 위험

요소에 대한 정량적•정성적 분석없이 국가별 개황자료"만을 분기별로 위험관리책임자(CRO) 에게 보고하고 있어 국가별 위험분석의 실효성이 저하될 우려가 있으므로

* GDP•환율 등 거시경제지표 추이 및 주요 기사 제목 언급

향후 전위험 방지를 위해 지역별 한도를 설정 · 관리하고, 국가별 위험분석 및 공유

방안을 마련하여 운영하시기 바람

< 관련규정 >

1. 「은행업감독규정시행세칙』 <별표 15>

(16) IT투자사업 사후관리 미흡

「전산업무지침』에 따라 ¥억원 이상의 IT투자사업은 IT투자심의회를 통해 사업추진 필요성, 투자예산, 투자효과 및 타시스템 연관성 등을 사전 심의하고, 사업 완료 후 예상 수익률 대비 실제 수익률 등을 사후 점검'하고 있으나,

* 2018년 중에는 상반기 중 사업이 완료된 C C개 투자사업에 대해 점검

사전심의와 달리 사후관리와 관련한 내규가 마련되어 있지 않아 IT투자 사업의 실효성이 저하될 소지가 있으므로,

투자효과가 미흡한 것으로 확인된 사업에 대해서는 관련 예산 삭감, 수익률 제고방안 마련

등 구체적인 대응방안이 마련될 수 있도록 내규에 반영하는 등 IT투자사업 사후관리를 명문화하도록 하시기 바람

(17) 악성코드 감염방지 대책 미흡

악성코드 감염 등을 방지하기 위하여 전직원 단말기에 4 4 44 4 4(4 4 4 4 4 4)을

설치하여 비인가 프로그램 사용을 블랙리스트 기반으로 관리하고, 보조기억매체 쓰기(Write) 기능을 차단하고 있으나,

보조기억매체 읽기(Read) 기능을 외주직원을 제외한 전직원에게 허용하면서도 파일

반입 시 바이러스 검사를 통해 발견된 악성코드, 실행파일 등을 차단하는 기능이 부재하여 단말기로 바로 유입이 가능하며, 단말기에 대한 바이러스 검사이력을 확인한 결과, 동 이력에 DDDDD D D D) 파일을 포함한 비인가 프로그램 설치파일 및 다수의 악성코드가 포함 되어 있으므로

보조기억매체를 통한 파일 반입 시 검출된 악성코드를 차단할 수 있는 솔루션을 도입

하고, 본점직원에 대해서는 보조기억매체 읽기(Read) 기능을 원칙적으로 차단하되 업무상 필요 시 책임자 승인 후 사용토록 통제를 강화하는 한편, 국외지점·법인에 대해서는 솔루션 도입 전까지 보조기억매체 읽기(Read) 기능을 VDI (Virtual Desktop Infrastructure) 환경에서만 가능토록 하는 등 악성코드 감염방지 대책을 개선하시기 바람

(18) 기술지원 종료 운영체제 관리 미흡

검사종료일 현재 인터넷뱅킹 등을 위해 운영 중인 서버에 기술지원이 종료된 운영체제

(@@@대)가 탑재'되어 있어 동 운영체제에 대한 취약점 보완 및 기능개선 등을 위한 보정 작업이 불가하여 미보완 취약점을 이용한 해킹 및 악성코드 감염 등에 의한 침해 우려가 있으므로

*기술지원이 종료된 운영체제 사용 현황

기술지원이 종료된 운영체제의 구체적인 전환계획을 수립하고 동 계획에 따른 운영체제

전환이 이루어지기 전까지 보안대책을 마련하여 운용하시기 바람

(19) 전산원장 변경 통제 미흡

「전산업무지침(제4장제1절 원장정정)」에 전산원장 변경절차를 마련하고 변경 내용을

제3자(품품품품부 등)가 확인한 후 원장정정 담당자가 변경 작업을 수행하며 통합단말 화면을 통한 변경 작업 수행 시 변경 전후내용을 자동기록 하고 있으나, 배치 프로그램 및 데이터베이스 직접 접속에 의한 전산원장 변경 시 변경 전후 내용을

원장정정 담당자의 수작업을 통해 별도 화면캡쳐 파일 형태로 수동 기록하고 있어 변경 내용의 정합성을 담보하기 어려우므로

전산원장 변경 시 작업 방법에 관계없이 변경 전후내용의 자동 기록이 가능하도록

시스템을 마련하여 변경 내용의 정합성이 유지되도록 개선하시기 바람

(20) 통합단말의 마스킹 해제 절차 미흡

일부 부서•직원이 고객정보 대조 등 업무상 불가피성을 사유로 통합단말 내 특정

화면의 고객정보 마스킹 해제를 OOOO부에 요청하는 경우, OOOO부가 해제 필요성 여부를 검토한 후 통합단말 내 '마스킹 제외 관리' 화면에서 고객정보 마스킹 해제를 처리 하고 해제 현황을 조회·관리하고 있으나,

다수의 영업점 요청이 있는 경우 화면 소관부서에서 전체 직원에 대해 마스킹 해제를

적용하고자 할 경우 OOOO센터에 전산개발 의뢰를 통해 처리하고 있어 O070부의 사전 검토가 누락될 수 있고, 해제 현황을 조회•관리하는 화면도 부재하여 사후 적정성 검토도 미흡할 우려가 있으므로

전체 직원을 대상으로 특정 화면의 고객정보 마스킹 해제를 적용하는 경우에도 ①0

•0부에서 사전 검토 및 현황 관리가 가능하도록 절차 및 시스템을 마련하는 등 통합 단말

마스킹 해제업무를 개선하시기 바람

(21) IP주소 관리 미흡

차세대시스템을 구축·가동하면서 운영서버의 안전한 사용 및 원활한 네트워크 보안통제를

위하여 내부망 방화벽을 설치하고 서버 IP대역을 서버 용도별, 업무별로 구분 배치하였으나,

기존 시스템(Legacy)의 경우에는 서버 IP대역을 업무별(전전전전, 인인인인인, ??

???2 등)로만 구분하고 용도별로는 구분하지 않고 있어 동일 IP 대역에 총 ①,O~O대 서버(운영:O0O대, 개발•테스트: @0@대)가 혼재되어 IP대역별 보안정책 적용 시 용도와 상관없이 보안정책이 약화될 우려가 있으므로

0000센터는 기존 시스템(Legacy)의 서버 IP대역 정비를 위하여 개발•테스트 서버의

IP를 신규 대역으로 이관하여 운영서버 IIP대역과 분리하고 OOOO는 기존 시스템(Legacy) 서버에 대한 방화벽 등 네트워크 보안정책 및 사용자 접근통제 정책을 변경•적용하는 등 IP 주소 관리를 개선하시기 바람

(22) 전자금융거래 이용자ID 관리 미흡

'우리BI포탈' 내 '홍종홍홍종 홍홍종홍홍 종공홍종-홍홍홍종홍(홍홍홍홍)’ 등의 조회화면 및 출력명세에서 중요

정보인 이용자IID를 마스킹 처리하지 않은 상태로 제공하고 있어 이용자ID가 조회화면이나 출력명세를 통해 외부로 유출될 우려가 있으므로,

전자금융거래에 사용되는 이용자ID를 조회하거나 출력할 경우에는 접근매체 정보 수준으로

마스킹 처리하여 정보가 노출되지 않도록 관련 시스템을 개선하시기 바람

(23) 전자금융거래 임시 비밀번호 관리 미흡

단체신규 또는 외부영업을 통하여 인터넷뱅킹 사용신청을 받는 경우 고객의 영업점 내점 없이

영업점 직원에 의해 임시 이용자비밀번호가 등록될 가능성이 있고 이 경우 영업점 직원에 의해 임시 이용자비밀번호가 유출될 우려가 있으므로,

단체신규 또는 외부영업 등을 통한 인터넷뱅킹 신규 등록 시 고객이 직접 핀패드 등을 이용

하여 임시 이용자비밀번호를 입력할 수 있도록 관련 업무절차 및 전산시스템을 개선하시기 바람