경남은행 금감원 경영유의사항 · 2019-11-01

경영유의 및 개선사항 공개

1. 금융회사명 : 경남은행

2. 제재조치일 : 2019. 11. 1.

3. 제재조치내용

4. 조치대상사실

가. 경영유의사항

(1) 사외이사 평가 및 후보군 관리 강화

사외이사 평가 시 은행장을 평가주체에서 제외하여 사외이사의 독립성을 제고하고,

외부 평가기관에 의한 평가결과 반영, 자기평가 비중 최소화 등 사외이사 평가의 실효성을 높일 수 있는 방안을 강구할 필요가 있으며

사외이사 선임 공시 시 최종추천자 뿐만 아니라 사외이사 후보군에 편입될 당시의

추천자(최초 제안자)도 공시하도록 하는 등 사외이사 선정과정의 투명성을 확보할 필요가 있음

(2) 경영진 성과 평가기준 운영 강화

경영진 성과 평가기준 에서 성과급 환수요건으로 규정하고 있는 ‘개인적 업무

손실 발생 시’의 의미가 불분명하고, 재무제표가 오류 또는 부정 등으로 인하여 정정되는 경우「금융회사 지배구조 감독규정」에서 정한 바와 달리 별도의 성과급 환수기준을 마련 하고 있지 않고 있으므로

‘개인적 업무 손실’의 의미를 구체적으로 명확히 규정하고, 재무제표가 오류 또는

부정 등으로 인하여 정정되는 경우에 대한 성과급 환수기준을 마련하는 등 경영진 성과

평가기준 운영을 강화할 필요가 있음

(3) 임원의 활동수당 및 업무추진비 체계 합리화

은행장, 상임감사위원, 업무집행책임자를 지급대상으로 하는 활동수당을 신설

하였으나, 활동수당과 유사한 성격의 업무추진비는 소폭 삭감하거나 오히려 증액하였는바

임원의 활동수당 및 업무추진비 체계를 재검토하여 업무추진비를 합리적인 수준

으로 조정할 필요가 있음

(4) 임원 겸직 관련 이해상충방지 강화

자금시장본부*의 업무를 통할하는 본부장 직위를 부산은행의 자금시장본부장이 겸직

(2017.10.10.~현재)하고 있으나, 자금조달 및 유가증권 매매 시점·규모 등을 결정하는 업무를 수행함에 있어 은행 간 이해 상충이 발생할 가능성이 높으므로,

* 자금증권부, 국제금융부, 금융시장지원부, 서울업무부

자금시장본부장의 겸직에 따른 이해상충을 방지할 수 있는 방안을 별도로 마련

하거나 겸직 여부를 재검토하는 등 겸직 임원에 대한 관리·감독을 강화할 필요가 있음

(5) 위험관리책임자 자격요건 강화

은행은 리스크관리에 대한 전문지식과 실무경험을 갖춘 자중에서 리스크관리책임자

(이하 ‘CRO’)를 선임*하여야 하나, CRO에 대한 구체적인 자격요건 등의 선임기준이 미흡* 하여 전문성이 부족한 자가 선임될 우려가 있으므로

*「금융회사의지배구조에관한법률」제28조, 내부「리스크관리규정」제26조

위험관리책임자(CRO)에 대한 자격 요건 및 관련 심사기준을 마련하고 CRO 선임시

전문성 적정 여부 및 선임 사유 등에 대한 검토를 실시하는 등 자격요건을 강화할 필요가 있음

(6) 기부금 심의위원회 업무처리 절차 강화

기부금심의위원회는 기부금이 건당 3천만원∼5억원인 경우 「기부금 심의위원회

규정」제4조에 따라 기부대상, 기부사유, 기부금액의 적정성 등을 심의 의결하여야 함에도,

2015.1월∼2018.7월중 기부금심의위원회 회의는 한 번도 소집되지 않고 전부 서면

으로 결의하였으며, 동 서면결의 안건에는 기부금액의 적정성, 기부효과 등의 검토자료가 누락된 사례가 있으므로

기부금심의위원회 안건에 대하여 충실한 검토* 후 심의를 할 수 있도록 관련 업무

처리 절차를 강화할 필요가 있음

* 기부대상 확인서류, 부서 의견검토 등

(7) 계열회사간 임대차계약 등 수의계약 적정성 점검 강화

BNK금융그룹 계열사 전산센터 통합계획에 따라 2017.9월 경남은행 전산센터를 OO

센터(소유 : OO은행)로 이전*하면서, 과도하게 넓은 공용면적(전용 공간 대비 4배)을 포함하여 임대차계약(수의계약)을 체결하였고, 전용 공간의 15.4%(58.7평)은 사용하지 않고 있음에도 이에 대한 활용방안 등을 마련하지 않고 있으며,

* 임차면적 : 1,657평(전용 382평 + 공용 1,275평)

통장류 물품구매를 수의계약으로 운영함에 있어 다수업체의 비교견적을 통해 계약

업무를 수행하여야 함에도 2005년부터 특정업체와 연간 구매단가만을 변경하는 방법으로 계속 거래하고 있으므로(구매단가도 타행대비 10∼15% 높음)

계열회사간 전산센터 임대차 계약시 유휴공간에 대한 활용방안 마련 등 계약의

적정성 점검을 강화하고, 중요증서를 포함한 물품구매계약(수의계약)시 형식적인 견적서 접수를 지양하고 비교견적 등을 통한 경비절감 방안을 마련할 필요가 있음

(8) 내부감사기능 제고를 위한 부서간 권한책임 명확화

준법감시부와 검사부가 각 부점으로부터 보고받은 금융사고 및 제보사항 등을 조사

또는 감사하여 필요한 조치를 취하고 있으나 조사 등의 대상이 되는 금융사고가 양 부서 중 어느 부서의 소관인지 명확하지 않고 부서간 사전협의 및 처리과정을 공유할 수 있는 공식 절차가 없어 사고 조사에 소홀한 사례*가 발생하고 있으므로,

* 2017.1월～2018.3월 기간중 ○○지점 외국인 섭외역의 금품수수 사실을 확인하였으나 윤리규정 위반으로만 징계(○○)하고 금융감독원의 사고보고를 담당하고 있는 검사부에 통보하지 않아 사고 보고가 누락되었음

임직원의 위법부당 행위를 엄정하게 처리하고 금융사고 보고 등이 누락되지 않도록

부서간 소관 업무 범위를 명확하게 정하는 한편, 상호 협의 및 공식적인 정보공유 절차를 마련하여 시행할 필요가 있음

(9) 외국인 섭외역 제도 운영 관련 내부통제 강화

2011.7월부터 외환영업력 강화 및 국내 거주 외국인의 금융거래 유치 등을 위하여

외국인 섭외역 제도를 도입하여 운영하고 있으나 내규「외국인 섭외역 업무매뉴얼」에 따르면 외국인 섭외역의 업무범위가 '외국인 고객 대상의 환전, 해외송금 등의 홍보 및 마케팅' 등으로 명시되어 있고 소속 지점장이 업무위임을 하도록 하고 있으나,

부여된 업무범위와 무관하게 일반 텔러와 동일한 단말기를 배치하고 외국인 고객의

예금계좌 계설시 본인확인 의무 등이 취약하게 이루어지고 있어 금융사고 발생소지가 있으므로 정해진 권한에 맞게 단말기 사용범위를 제한하고 자점감사 등을 통해 업무처리의 적정성을 점검하는 등 외국인 섭외역에 대한 내부통제를 강화할 필요가 있음

(10) 미니점포 운영 관련 통제 및 관리체계 재정비

2018.1월부터 OO지점과 OO지점에 미니점포를 도입하여 운영하고 있으나 미니점포

직원의 영업범위가 명확하지 않고 미니점포 직원이 유치한 거래는 어느 지점이든 귀속 시킬 수 있어 특정 지점에 실적을 몰아주는 등 불건전한 영업행위가 발생할 수 있으며,

미니점포 직원은 방카슈랑스 판매 등을 할 수 없으나 방카슈랑스 수수료실적을

근무성적 평가지표에 포함시키고 있어 방카슈랑스 권유 등 부당행위 유인이 있으며 근무 성적을 마케팅전략부가 대부분(84%) 평가하고 있으면서도 주간 실적보고서 외에는 관리 수단이 없어 업무적정성을 점검하거나 금융사고를 예방하기 어려우므로,

미니점포의 업무범위 및 관리감독체계를 명확히 하고 불건전행위를 차단할 수

있도록 근무성적 평가지표를 조정하는 한편, 준법감시부의 확인을 거쳐 미니점포 운영 및 통제절차를 재정비할 필요가 있음

(11) 고객확인의무 수행 관련 기록관리 강화

법인 또는 단체인 고객과 신규 거래 등을 할 경우 실제 소유자를 확인하고 이를

전산시스템에 입력하고 있으나 실제 소유자 확인의무 면제대상이 아님에도 고객거래 확인서에 면제대상으로 표시하거나 전산시스템에 면제대상으로 잘못 입력하는 사례가 있는 등 고객확인의무 수행 관련 기록ㆍ관리가 미흡하므로

실제소유자 확인의무 면제 대상에 대하여 안내 및 표시를 강화하고, 전산입력

방식을 변경하여 입력오류를 줄이는 한편, 입력오류 등을 주기적으로 점검하는 절차를 강화할 필요가 있음

(12) 고객정보 전산 등록시 관련서류 확인 및 검증절차 강화

고객의 신용등급 및 금리산출 등에 활용되는 고객정보(연소득, 직업정보, 주거

종류 등)는 관련서류와 대조하여 일치여부를 확인한 후 정확한 정보를 전산시스템에 등록 하여야 하나 가계대출 취급시 영업점 직원이 고객의 소득증빙서류를 징구하지 않고 연소득 정보를 전산시스템에 등록하지 않은 사례가 다수 발생하는 등 고객정보 관련서류 확인 및 전산등록 업무가 미흡하므로

가계여신 취급시 연소득, 직업구분 등 고객의 신용등급, 대출한도 및 금리 등의

산출에 활용되는 기초정보에 대해서는 자료의 정합성이 확보될 수 있도록 고객정보 입력 값에 대한 검증기능을 강화하고 본부부서에 제3자 검증을 위한 전담반을 신설하는 등 검증절차를 강화할 필요가 있음

(13) 재해복구시스템 확대 구축을 통한 IT업무연속성 강화

금융결제원, 은행연합회, 금융회사 등과 자료 송 수신 등을 위한 대외계 시스템을

구축·운용하면서 통신비용 절감 등을 위해 주전산센터(OO) 대신 OO 통신실에 117개 대외기관 통신망(162개 회선) 및 관련 설비를 구축하여 운용하고 있으나,

재해복구센터(OO)에는 O개 대외기관 통신망(O개 회선)만 구축되어 있어 OO

통신실 장애 발생 시 여타 OOO개 기관과의 자료 송·수신 등 대외계 업무가 중단될 위험이 있고,

IT비상계획업무지침 , 금융전산 위기대응 행동매뉴얼 에 의하면 대고객 업무와

대고객 업무 수행 지원을 위한 기반업무를 핵심업무로 선정하고, 3시간 이내에 복구가 가능하도록 재해복구시스템을 구축하도록 되어 있으나

핵심업무 선정주기·절차·담당부서 등을 정하고 있지 않아 신규 시스템이 핵심

업무에서 누락될 우려가 있으며,

콜센터시스템(텔레뱅킹시스템 포함)은 대고객 업무임에도 일반업무로 분류하여

재해복구시스템을 구축하지 않아 재해 발생시 ARS를 활용한 텔레뱅킹 및 전화상담 업무가 곤란하거나 제약이 있으므로,

OO통신실의 비상상황 발생 시에도 업무연속성 확보가 가능하도록 대외기관 통신망

추가구성 등 비상계획을 개선하는 한편, 핵심업무 선정주기 절차 담당부서를 내규 등에 명시하여 주기적으로 IT업무 중요도 분석을 수행하여 주요 시스템이 핵심업무에서 누락되지 않도록 하고

콜센터시스템(텔레뱅킹시스템 포함)을 핵심업무로 선정하여 재해발생시 3시간

이내에 복구가 가능하도록 재해복구시스템을 구축할 필요가 있음

< 관련규정 >

1. 전자금융감독규정 제23조

(14) ‘이상징후기업’에 대한 여신 취급기준 및 사후관리 강화

제10조에 따라 여신감리 결과 ‘이상징후기업*’

경남은행 내규 여신감리 업무지침

으로 분류된 차주에 대해서는 원칙적으로 추가 여신**을 지원할 수 없으며, 예외사유에 해당되어 추가 여신을 지원하더라도 여신만기를 6개월 이내로 운영하고 차주의 경영정상화 계획수립 등 사후관리를 강화해야 하는데도,

* 최근 3년간 연속 이자보상배율 1미만, 최근 2년간 연속 적자 업체 등 부실화 가능성이 높은 기업

** 담보비율이 100% 이거나 부실화 가능성이 상당히 낮고, 기타 신규여신 지원이 불가피한 경우에 한하여 예외적으로 취급 가능

검사대상기간 중 ’이상징후기업‘으로 분류된 차주 분석 결과, ㈜○○ 등 44개 업체

에게 추가로 여신을 취급하는 등 여신 취급을 허용하는 예외사유의 객관성이 결여되어 별다른 제한 없이 부실징후기업에 추가 대출이 가능한 상황이므로

➀ 예외 사유를 근거로 취급한 ㈜○○ 등 44개사에 대한 대출 232억원(67건)중 68억원(15건)이 부실화되었으며, 24개사(54%)가 여신 취급이후 1년 6개월 이내에 폐업 ➁ ㈜○○ 등 21개사에 대한 추가여신 취급시 여신운용기간을 6개월을 초과하여 신용공여(최장 60개월) ➂ ㈜○○ 등 39개사에 대해 경영정상화계획을 수립하지 않고 신규여신을 취급

이상징후기업에 예외적으로 여신을 지원할 수 있는 사유를 보다 객관화․구체화

하여 심사자의 임의적 판단에 따라 추가 여신이 지원되지 않도록 관련 내규를 개선하고, 추가 여신 취급, 회수 및 부실화 현황 등을 정기적으로 점검하는 등 사후관리를 강화할 필요가 있음

(15) 자영업자대출 리스크관리 강화

2018.3월말 현재 자영업자대출 잔액은 6조 6,044억원으로 2015년말 대비 1조 6,652억원

증가(25.2%)하여 부산·대구은행 증가율의(14.6%)의 약 2배 수준이며, 채무상환능력이 상대적 으로 취약한 업력 1년 이하 신설 자영업자 대출이 2017년말 현재 7,417억원으로 2015년말 대비 2,297억원 증가(31.0%)하여 동 기간중 전체 자영업자 대출 증가폭(23.0%)을 상회하고 있음

한편, 2017년말 현재 자영업자대출 차주가 추가로 보유하고 있는 가계대출은 6,403억원

으로 2015년말 대비 2,116억원 증가(33.1%)하는 등 관련 리스크가 증가하고 있어 경기침체가 지속되고 시장금리가 상승할 경우 자영업자의 자금사정 악화 등에 따른 채무상환능력 저하가 우려되는 상황이므로

자영업자대출의 업종별 동향 및 연체율 등에 관하여 모니터링을 강화하고, 경기민감

업종 등에 대한 부실위험, 신용편중위험 관리를 강화할 필요가 있음

(16) 집단대출 취급시 시공사 리스크관리 강화

2018.3월말 현재 집단대출 잔액은 4조 6,909억원으로 2016.3월말 대비 2조 3,700억원

(50.5%) 급증하여 집단대출 건전성이 은행 전체의 자산건전성에 큰 영향을 미칠 수 있는 구조인데,

2015.1월∼2018.3월 기간중 취급한 집단대출의 시공사 신용등급을 분석한 결과, 대출

승인 당시 CCC등급* 이하에 해당하는 시공사 비중이 높은 수준(건수기준 14.7%, 금액기준 12.4%)로 높은 수준으로 시공사의 낮은 신용등급에도 불구하고 여신일반업무지침 의 사업성 평가를 준용하여 심사한 후 추가 검토 없이 집단대출 취급하고 있음

* 원리금 채무불이행이 발생할 위험요소가 내포되어 있는 수준으로 투기등급에 해당

부동산 경기 침체 지속, 금리 인상 등 대내외 위험요인이 현실화 될 경우 시공사의

부실이 은행 자산 부실화로 전이될 우려가 있으므로 CCC등급 이하의 시공사가 참여할 경우 시공사 리스크를 감안하여 집단대출 취급 요건을 강화할 필요가 있음

(17) 소매 신용대출 부도시 손실률 추정의 합리성 제고

위험가중자산(RWA)산출 시 적용되는 부도시손실률(LGD)는 경기침체기를 가정해

보수적으로 추정하여야 하나, 가계 및 개인사업자(소매) 신용대출의 실측 LGD가 지속적 으로 적용 LGD를 초과*해 리스크량을 과소 인식할 우려가 있으므로, 최근 부도 데이터를 반영해 소매 신용대출 LGD를 재추정함으로써 신용리스크 인식의 합리성을 제고할 필요가 있음

* (가계신용) 적용LGD 45.44% < 실측LGD(2015년) 66.75%

(개인사업자신용) 적용LGD 52.63% < 실측LGD(2015년) 75.84%

(18) 대출금리 산출체계 관리 강화

대출금리 산출시 가산금리 요소는 금융시장 상황, 은행의 제반 경영상황 등을 감안

하여 합리적·체계적으로 산정하고, 내부심사위원회를 통해 가산근거에 대한 타당성 심사를 하여야 하는데도,

자본비용의 구성요소인 최소주주요구수익률을 2016년 ALM협의회에서 결의한 이후

현재까지 동일한 값(11.0%)을 사용중으로 2015.1월 이후 목표이익률(1.55%)에 대한 산출 근거도 내규에 명확하게 반영하지 않아 주기적인 점검 및 조정이 이루어지지 않고 있음

또한 대출모집인 수수료는 규정상 ‘비용’으로 처리하도록 되어 있음에도 일부 상품

대출의 경우 대출모집인 수수료를 ‘기타비용 가산금리(1.55%)’ 항목에 반영하면서 가산 근거에 대한 타당성 심사를 실시하지 않았음

자본비용, 목표수익률 및 각종 리스크 관리비용 등 가산금리 요소가 합리적으로

산출될 수 있도록 재산정 주기, 정기적인 점검 체계 등을 내규에 반영하고 가산근거에 대한 타당성 심사를 강화할 필요가 있음

(19) 자본규모 등을 고려한 합리적인 배당계획 수립·이행필요

2018.3말 기준 은행의 자본적정성지표는 규제수준을 상회하나 지방은행 평균 대비

열위에 있고*, 바젤Ⅲ 도입에 따른 자본규제 강화**와 지역경제 침체에 따른 고위험업종*** 등의 부실 확대 우려 등으로 자본확충 부담이 지속적으로 증가하는 상황인데도,

* 총자본 중 보통주자본(71.6%) 및 기본자본(79.4%)이 차지하는 비중이 지방은행 평균(각각 76.2%, 82.3%)을 하회

** 자본보전완충자본(‘19년 2.5%), 경기대응완충자본(0～2.5%에서 적용), 자본인정요건 강화(부적격 자본증권의 자본인정 최대한도를 매년 10%p 차감), 고위험 주택담보대출의 위험가중치 상향 가능성(예: 35% → 70%) 등

*** 6대 취약업종(조선·해운·철강·건설·석유화학·부동산PF) 및 중소기업 고위험 업종(금속·전자통신·플라스틱) 관련 여신비중이 총기업여신 대비 44.2%(8.5조원)이고 지방은행중 최고 수준 지주사(BNK금융지주)의 요청 등에 따라 은행은 자본확충 노력*에도 불구하고 배당

성향이 큰 폭으로 증가(2015년 14.3%→ 2016년 23.9%→ 2017년 38.8%)한 사실이 있는 바,

* 유상증자+신종자본증권 후순위채 발행 규모 : 2015년 2,500억원→ 2016년 3,500억원→ 2017년 2,000억원

배당지급액이 지주사의 결산배당 및 운영경비 규모에 의해 결정되는 경우가 많으므로

향후 지주사가 은행의 연간계획을 초과하는 수준의 배당을 요구하면 은행이 자본관리 계획을 이행하는데 차질이 발생할 수 있으므로, 자본적정성지표 등에 미치는 영향을 감안한 배당금액의 구체적인 산출원칙과 배당금액의 적정성 검증 절차 등이 포함된 배당 정책 및 지급절차를 마련·이행할 필요가 있음

(20) 유동성 지표 관리 강화

2018.3월말 기준 은행의 유동성커버리지비율(LCR), 순안정자금조달비율(NSFR), 원화

예대율은 각각 111.05%, 108.40%, 98.82%로 지방은행 평균* 대비 열위한 수준이며, NSFR 및 원화예대율은 규제비율**에 근접하고 있어 금융시장이 크게 악화될 경우 규제비율 미충족 및 유동성 부족이 우려되며

* 지방은행 평균 : LCR 120.2%, NSFR 112.9%, 원화예대율 96.5%

** NSFR : 100% 이상, 원화예대율 :100% 이하

또한, 자금조달 중 개인성 수신 비중(24.3%)은 타 은행 대비 낮은 수준*인 반면,

조달비용이 높고 현금유출의 변동성이 큰 기관성 수신의 비중(28.8%)은 상대적으로 높은 등 자금조달 구조의 편중도가 높으므로,

* 기관성 수신 (2017.12월) : 부산(29.2%) > 경남(28.8%) > 광주(22.9%) > 대구(14.5%)

유동성 관련 비율 제고 및 자금조달 편중도 해소를 위한 구체적인 방안을 마련

시행하는 등 유동성 관리를 강화할 필요가 있음

나. 개선사항

(1) 업종별 및 개별기업 거액편중 Exposure 한도관리 체계 개선

경남은행 내규「신용Exposure한도 관리지침」에 따라 업종별 및 개별기업 거액편중*

Exposure한도를 설정하고 있고 각 한도를 초과하는 경우 신규지원을 원칙적으로 금지하고 있으나, 여신위원회 승인만 있으면 리스크관리집행위원회의 의결로 정한 업종별 및 개별기업 거액편중 Exposure한도를 초과**하더라도 별다른 조치 없이 예외 취급이 가능***하고

* 차주별 최대 손실허용액에 업체별 부도율(PD), 부도시 손실률(LGD)을 적용하여 산출

** 2018.6월말 현재 ○○(주) 등 8개 차주에게 거액편중 Exposure 한도를 초과하여 대출(7,699억원) 취급

*** 국내은행 중 경남 외 4개사만이 은행 리스크관리 업무를 총괄하는 리스크관리집행위원회에서 정한 업종별 한도를 여신위원회의 승인만으로 초과할 수 있도록 내규를 운영 중 지급보증서 및 신용보증서 담보여신의 경우 보증비율이 100%에 미달함에도 보증부

여신이라는 이유로 거액편중 Exposure 한도관리 대상 여신에서 제외함에 따라 보증부 여신을 포함할 경우 Exposure 한도를 초과함에도 한도초과 해소계획 등에 대한 심사 없이 여신승인이 이루어지는 사례*가 발생하고 있으므로

* 2017.9월 ‘○○’ 관련 PF대출(300억원) 취급시 한도초과 여부에 대한 심사 없이 여신승인 리스크관리집행위원회가 사전에 부여한 업종별 및 개별기업 거액편중 Exposure

한도를 초과하여 운용하고자 할 경우리스크관리집행위원회의 사전 한도 추가배정 승인 후 여신을 취급하는 등 관련 규정·지침을 합리적으로 개선하고 보증부 여신에 대한 한도 관리대상 범위 등을 명확하게 규정하는 등 관련 규정·지침을 합리적으로 개선하시기 바람

< 관련규정 >

1. 신용Exposure 한도 관리지침 제10조

(2) 종합통장대출의 자금 용도외 유용 방지 절차 개선

경남은행 내규 「여신사후관리지침」제8조에 의하면 종합통장대출 등 한도거래

여신의 경우에는 용도외 유용여부에 대한 사후점검을 생략할 수 있으나, 운전자금 대출이 사후점검을 회피하기 위한 목적으로 종합통장대출 과목으로 취급되는 등 여신 사후관리가 소홀해 질 우려가 있으므로

향후 일정 규모 이상의 거액대출을 종합통장대출로 취급하는 경우, 대출 취급

목적에 부합되게 사용되는지 여부를 점검할 수 있도록 관련 내규를 개선하시기 바람

< 관련규정 >

1. 여신사후관리지침 제8조

(3) 이해관계자에 대한 대출취급 절차 개선

이해관계자(여신 취급·심사 관련 임직원의 배우자 및 직계존비속)에 대한 여신

취급은 승인 의사결정(심사, 금리결정, 담보평가 등) 과정에서 이해상충 소지가 클 뿐만 아니라「은행법」에서 금지하고 있는 임직원 대출의 우회 수단으로 이용될 우려가 있는데도

2010.4.13.～2018.3.28. 기간 중 ○○지점 등 28개 영업점에서 영업점장의 가족

(배우자 및 직계존비속)에 대해 41건의 대출을 취급*하면서 시스템에서 자동 산출된 금리에 은행 임직원의 가족임을 사유로 조정금리 항목을 반영함으로써 금리를 감면한 사례** 존재

* 2018.5월말 현재 잔액 43억 3,933만원(건당 평균 1억 5백만원)

** 조정금리 적용을 통해 가산금리 산출값을 1.0% 이하로 조정한 사례(5건)

은행 임직원의 이해관계자에 대한 여신심사 시 관련 직원의 승인 의사결정 참여가

제한될 수 있도록 여신 승인 시스템을 개선(내규 개정 등)하고, 이해관계자 대출에 대한 사후점검 방안을 마련할 필요가 있음

< 관련규정 >

1. 은행법 제38조

2. 은행업감독규정 제78조

(4) 여신 담보관리시스템 개선

담보부 여신에 대한 담보정보 관리 및 계좌별 담보가액 배분을 위한 담보관리시스템을

운영하고 동 시스템의 담보 정보를 대손충당금, 위험가중자산(RWA) 등 신용리스크 측정시 활용하고 있는데

부분보증서 대출의 일부 상환시 보증비율에 따른 담보가액 감액이 반영되지 않아

담보가액을 과대 인식*하고, 은행 자산에서 제외된 주택금융공사 모기지론 대출에 동일차주 타계좌의 담보를 오류 배분**하는 등 시스템 운영상 오류가 존재하며

* 2018.5월말 기준 41개 계좌에서 담보가액 2억원 과대 인식

** 2018.5월말 기준 750개 계좌에 담보가액 194억원 오류 배분

동일담보 중복 등록 및 담보가액 오류 입력 등 영업점 직원의 실수로 인한 담보

정보 오류* 발생 시 통제기능이 미흡하므로

* 2018.5월말 기준 28개 계좌에서 담보가액 1.3억원 입력 오류

담보 인식·배분의 정확성을 제고할 수 있도록 여신담보시스템 운영에 관한 세부

지침을 마련하고 사용자 교육을 강화하시기 바람

< 관련규정 >

1. 은행업감독업무시행세칙(별표3) 제58조

(5) 이동점포 자동화기기 현금시재 등 계리방법 불합리

이동점포에 대한 관리, 운영, 감독 및 자동화기기 시재검사 등을 마케팅전략부에서

담당하면서 이동점포 자동화기기의 현금 및 중요증서의 관리점을 본점 영업부로 지정 하여 운영하고 있어

동 기기에 투입된 현금과 중요증서(10만원권 정액 자기앞수표)만큼 본점 영업부

재무상태표 상 현금(통화)과 중요증서가 과다하게 계상되고 있으므로 현금시재 등의 회 계처리 부서와 실제 관리를 담당하는 부서가 일치되도록 운영방식을 개선하시기 바람

< 관련규정 >

1. 이동점포운영업무매뉴얼 제5조

(6) 거래신청서 실명확인자 등의 전산기록 불합리

실명확인 대상 거래를 처리할 때에는 실명확인자가 고객의 실명을 확인한 후 신청서

등의 실명확인자 란에 날인 또는 서명을 하고 조작자와 책임자도 각각 서명 또는 날인을 하고 있으며 조작자와 권유자의 성명은 인자되고 있으나 실명확인자 및 책임자의 성명은 전산인자 되고 있지 않아

신청서에 실명확인자와 책임자의 날인 또는 서명이 불명확하게 남아있거나 훼손된

경우 당사자를 확인하기 어려우므로 실명확인자 및 책임자의 성명도 신청서에 인자되도록 전산시스템을 개선하시기 바람

< 관련규정 >

1. 회계업무규정 제21조

(7) 가계여신 취급시 가산금리 산출 시스템 개선

경남은행 내규「업무전문화 지침」제33조에 의하면 가계여신 취급 시 영업점에서

요청할 경우 본부부서(프로세스혁신부)에서 고객 신청정보 및 여신신청정보에 대한 입력 업무를 대행하고 있으나

상품대출의 경우 금리산출시스템 미비로 인해 금리산출 항목*을 ‘입력대행 요청

전산화면(TOPS 8010)’상의「영업점 의견란」에서 수기방식으로 입력하고 있어 영업점 직원이 상품규정을 정확히 숙지하지 못해 가산금리 항목을 오류 입력할 경우 대출금리가 착오 산출될 소지가 있으므로 가계여신 취급시 상품규정에서 정한 가산금리 항목별 최고 금리를 초과하여 입력할 수 없도록 관련 시스템 및 업무처리 절차를 체계적으로 개선할 필요가 있음

* 기준금리, 가산금리, 감면금리 등 대고객적용금리 상세 구성항목

< 관련규정 >

1. 「업무전문화 지침」제33조

(8) DB 서버 디스크 운영 불합리

안정적인 DB 서버 관리를 위하여 메모리·CPU·디스크 등의 성능·사용량 등을 모니터

링하여 월단위로 모니터링 현황 보고서를 작성하고, 사용량 임계치 도달 시 관리자에게 경 고 SMS가 발송되도록 설정하고 있으나

2018년 6월말 현재 계정계 DB 서버 디스크(시스템 영역 제외) 사용량이 OO.O%에

달하고, 여신 수신 고객 외환 신용카드 등 계정계 주요 데이터의 테이블 스페이스 사용량은 OO~OO%를 상회하며,

재해복구센터 DB 서버의 디스크 사용량은 OO.O%에 달하고 있어 데이터 자연 증가분

에 대한 여유 용량이 부족하여 디스크 또는 테이블 스페이스의 사용공간 부족으로 인해 장애 가 발생할 우려가 있으므로

안정적인 데이터베이스 운영을 위해 계정계 및 재해복구시스템 DB 서버 등의 디스크

사용량 및 데이터 자연 증가분을 고려하여 디스크를 증설하는 등 디스크 가용성을 확보하시기 바람

< 관련규정 >

1. 인프라운영업무 지침 제7조

(9) 기술지원 종료 운영체제 사용에 따른 보안통제 강화

검사종료일(2018.7.20.) 현재 외환 국제금융 및 고객센터 업무 등으로 사용 중인 서버 및 자동화기기(ATM)에 기술지원이 종료된 운영체제가 탑재되어 있어

동 운영체제에 대한 취약점 보완 및 기능개선 등을 위한 보정작업이 곤란하여 미보완 취약점을 이용한 해킹, 악성코드 감염 등 침해사고 발생이 우려되므로 기술지원이 종료된 운영체제의 구체적인 전환계획을 수립하고 운영체제 전환이 이루어지기 전까지 보안대책을 마련하여 운용하시기 바람

< 관련규정 >

1. 전자금융감독규정 제14조

(10) 홈페이지 등 공개용 웹서버 관리 미흡

홈페이지의 기업뱅킹 대량거래 메뉴 등에서 이용자가 특정 유형파일을 업로드 할 수 있는

기능을 제공하고 있으나, 파일 업로드 시 동 유형 여부를 OOO만으로 확인하고 있어 악성 코드가 포함된 파일이 OOO OO을 통해 업로드 될 우려가 있으므로

홈페이지 첨부파일 업로드 모듈에 파일속성 확인 기능을 추가하여 지정된 특정유형

파일만 업로드가 가능하도록 운영하는 등 파일 업로드 취약점을 개선하시기 바람

< 관련규정 >

1. 전자금융감독규정 제17조

(11) IP주소 관리 미흡

운영 서버에 대한 비인가 접근을 원천 차단하고 개발 및 테스트 서버의 장애 또는

보안 취약점이 운영 서버로 전이되지 않도록 운영·개발·테스트 서버 유형별로 네트워크를 분리 구축하고 있으나,

운영 서버 274대 중 15대(5.4%)가 개발 서버 IP대역에 구축되어 있고, 개발 서버 101대 중

76대(75%) 및 테스트 서버 27대 중 6대(22%)가 운영 서버 IP대역에 구축되어 있는 등 서버 유형과 다른 네트워크 영역에 구축된 서버가 다수 존재하며

신규 단말기 도입 또는 직원 전출입시 시스템 운영팀에서 단말기 IP를 발급 및

관리하고 있으나

근무지 기준으로 IP대역을 할당하고 있어 중요단말기와 일반단말기, 내부인력과

외부인력, 직무(보안·개발·운영) 등과 상관없이 동일한 IP대역을 사용하고 있어 IP대역별 보안정책 적용 시 업무와 상관없이 보안정책이 완화될 우려가 있으므로

운용 중인 서버에 설정된 IP대역을 일제 점검하여 정비하고, 서버 신규 설치 시

해당 네트워크 영역에 구축될 수 있도록 사전 검토하는 절차를 마련하는 한편, 단말기 유형별 (중요단말기·일반단말기, 내 외부 인력별, 직무별) IP할당 정책을 수립·적용하는 등 단말기 IP대역 관리체계를 개선하시기 바람

< 관련규정 >

1. 전자금융감독규정 제18조

(12) 정보처리시스템 주요 명령어 통제 불합리

서버 접근통제 솔루션(SecureGuard) 및 인프라계정관리시스템을 활용하여 정보처리

시스템에 대한 시스템을 종료할 수 있는 명령어의 수행은 승인 후 사용하도록 통제하고 있으나

서버간 접속 및 파일전송, 서버내 파일삭제 및 프로그램 배포가 가능한 일부 명령어의

경우 사용 후 소명하도록 운영하고 있어 작업계획서 작성 및 사전승인 없이 동 명령어 수행이 가능하여 운영서버에서 불필요한 명령어가 수행되거나 조작 실수에 의한 전산 사고가 발생할 우려가 있으므로

계정계, DB서버 접근통제 솔루션 및 인프라계정관리시스템을 개선하여 주요 명령어는

사전승인 후 사용할 수 있도록 통제를 강화하시기 바람

< 관련규정 >

1. 전자금융감독규정 제14조

(13) 통합단말 화면 통제 미흡

통합단말시스템(KNB-TOPS) 화면 접근권한을 부서·직급별로 부여하고, 일부 중요

화면의 접근권한의 경우 화면 소관부서 책임자 승인 후 직원별로 부여하고 있으나,

전체 화면 3,964개 중 2,622개 화면은 부서·직급에 따라 접근권한을 부여하지

않고 모든 사용자에게 부여하고 있어 업무와 무관한 사용자의 접근이 가능하며,

현업부서 요청에 따라 IT개발부 담당직원이 통합단말시스템 화면을 통한 수정·등록

작업을 수행할 시 IT개발부의 책임자 승인 후 담당직원에게 작업 권한을 부여하고 있으나,

권한 부여 적정성 및 작업 필요성을 제3자(자체감사자 등)가 점검하는 절차가

없어 부적절한 권한 부여 및 수정·등록 작업이 있을 수 있고,

준법감시시스템의 ‘OOOO OO OO OO’ 화면을 통해 고객정보를 일괄 조회할 수 있는

화면의 조회 이력을 관리하고 정보보호부에서 월별로 동 조회 이력을 확인하여 고객정보를 과다하게 조회한 사용자에 대해 사유서를 징구하고 있으나,

동 화면에서 관리하는 통합단말 화면이 O개에 불과하여 계좌조회, 거래내역조회 등

고객정보 일괄 조회가 가능한 나머지 화면들에 대한 통제는 이루어지지 않고 있으므로

모든 사용자에게 접근권한이 부여된 화면에 대해 접근권한 부여 적정성을 일제히

점검하여 재정비(부서·직급별 접근권한) 하고, IT개발부는 불가피한 사유로 화면을 통한 수정·등록 작업이 필요할 시 작업 사유(전산처리의뢰서)를 첨부한 신청서를 책임자 및 자체감사자 승인 후 처리하며, 고객정보 조회 이력 관리대상이 되는 화면의 범위를 확대하여 고객 정보 조회에 대한 통제를 강화하시기 바람

< 관련규정 >

1. 전자금융감독규정 제13조

(14) IT 내규 관리 불합리

IT경영일반운영지침 제26조에 IT업무관련 내규, 프로세스 및 매뉴얼은 소관부서

에서 관리하며 제·개정 및 개폐 시 IT기획부와 사전에 협의하도록 규정하고 있으나

IT기획부가 내규·프로세스·매뉴얼의 소관부서와 사전 협의 및 검토 절차 없이

개정된 사례가 있으며,

현재 운용하지 않는 시스템 및 업무 절차가 내규에서 삭제되지 않고, 규정화가

필요한 실제 업무 절차 및 승인권자가 내규에 반영되지 않는 등 내규의 개정이 적절 하게 이루어지지 않았으므로,

내규별 소관부서를 각 내규에 따라 업무를 수행하는 관련 업무부서로 지정하여

관리하도록 하고, IT기획부는 내규 제·개정 및 개폐 시 사전협의 주체로서 절차 및 내용의 적정성을 검토하는 등 관련 절차를 준수하는 한편, 내규가 현행화 될 수 있도록 소관부서가 주기적으로 점검하는 절차를 마련하시기 바람

< 관련규정 >

1. IT경영일반운영지침 제26조

(15) 전자금융기반시설 취약점 분석·평가 불합리

전자금융감독규정 제37조의2에 따라 전자금융기반시설 취약점 분석·평가는 연 1회

실시하고, 공개용 홈페이지 취약점 분석 평가는 반기 1회 실시하고 있으며 동 평가 결과를 금융감독원에 제출하고 있으나,

2017년 전자금융기반시설 취약점 분석·평가시 OOO대(운영 및 재해복구) 서버

중 OOO·OOO 서버 등을 제외한 OOO 서버(총 OO대)에 한정하여 실시함에 따라, 취약점 분석·평가를 실시하지 않은 서버 등을 통해 악성코드 유입·감염 등 침해사고가 발생할 우려가 있으므로

전자금융기반시설 취약점 분석·평가 대상을 계정계 및 대외계 서버 등으로 확대

하고, 2017.11월 도입한 취약점 분석 솔루션을 모든 운영서버에 적용하는 등 정보보호 수준을 강화하시기 바람

< 관련규정 >

1. 전자금융감독규정 제37조의2

(16) 녹취파일 및 비밀번호 암호화 방식 불합리

내규 암호화 관리지침 , 어플리케이션 보안지침 에 따라 주민등록번호, 비밀번호 등의

중요정보는 국가기관에서 권고하는 암호화 방식을 사용하여 저장하고, 특히 비밀번호는 복호화가 불가한 일방향 암호화하여 저장토록 하고 있으나,

검사착수일(2018.7.4.) 현재 콜센터 녹취파일을 권고된 암호화 방식보다 보안

강도가 낮은 암호화 방식(OOOOOOO)을 사용하여 저장하고 있고

대손충당금, 기업자금관리, 콜센터, 오실론, 팩스 시스템의 내부사용자 비밀번호는

복호화가 가능한 양방향 암호화하고 있어 해킹 등에 의해 녹취파일에 수록된 비밀번호 등 중요정보가 유출될 위험이 있으므로

콜센터 녹취파일은 금융보안원에서 권고하는 보안 강도 이상의 암호화 알고리즘

(OOOO, OOO 등)을 적용하고, 대손충당금, 기업자금관리, 콜센터, 오실론, 팩스 시스템의 내부사용자 비밀번호도 금융보안원에서 권고하는 일방향 암호화(OOOO 등) 하시기 바람

< 관련규정 >

1. 암호화 관리지침 제5조

2. 어플리케이션 보안지침 제12조

(17) 비업무용 인터넷사이트 접근 통제 미흡

내규 사용자 보안지침 에 따라 불건전한 사이트 및 데이터 전송이 가능한 상용

메일, 상용 메신저, 파일공유 사이트 등은 정보유출 등을 방지하기 위해 접속을 차단하고, 업무상 불가피하게 접속이 필요한 경우 부서장 승인 후 정보보호부에서 해당 사이트 접속의 필요성을 확인한 후 접속을 허용하여야 하나,

검사착수일(2018.7.4.) 현재 업무상 필요에 의해 상용 메일, 상용 메신저, 파일공유

사이트 등에 접속을 요청하는 경우, 별도의 정해진 기간 없이 부서 공용 인터넷PC를 통한 접속을 허용하고 있어 부서 내 다른 직원이 업무목적 이외 용도로 접속할 우려가 있으므로

부서 공용 인터넷PC에 허용된 모든 비업무용 인터넷사이트 접속을 차단하고, 업무상

허용이 불가피한 직원에 대해서는 별도의 인터넷 PC를 지급하되 접속허용 기간을 설정 하여 동 기간 만료 시 접속이 차단되도록 하는 등 비업무용 인터넷사이트 접속에 대한 통제를 강화하시기 바람

< 관련규정 >

1. 사용자 보안지침 제34조

(18) IT부문 감사체계 미흡

내규 검사업무규정 , IT내부감사업무지침 에 따라 IT기획팀 소속 자체감사자

(1명)가 IT본부 및 정보보호부에 대해 총 56개 항목을 감사하고 있으나,

자체감사 수행 시 각 부서에서 제출한 현황자료에 대해 IT내규 준수여부 등을

확인하지 않는 사례가 있어 IT내부통제가 취약해질 우려가 있고, 동 자체감사자가 피감부서인 IT기획부에 소속되어 있어 자체감사 업무의 독립성 확보가 어려우므로,

감사항목별로 IT내규 준수여부를 확인하고 그 결과를 감사보고서에 포함하는 한편,

자체감사자를 CIO 직속으로 배치하여 업무 독립성을 확보하시기 바람

< 관련규정 >

1. 검사업무규정 제5조

2. IT내부감사업무지침 제9조