푸본현대생명보험주식회사 금감원 경영유의사항 · 2019-01-18

경영유의사항·개선사항 공개안

1. 금융기관명 : 푸본현대생명보험주식회사

2. 제재조치일 : 2019. 1. 18.

3. 제재조치내용

4. 제재대상사실

가. 경영유의사항

(1) 사고보험금 분석 및 보험금 부지급률 관리 철저

◎◎담보 손해율이 높고, 보험금 부지급률도 높아 보험금 지급 관련 민원이 많이

발생하는 등 경영에 부담요인으로 작용하고 있으므로

사고보험금 지표관리, 통계관리, 급부별 사고보험금 지급분석 등 보험금 지급

의 적정성 분석을 정기적으로 실시하도록 업무 프로세스를 도입하고 보험금 부지급률에 대해서도 원인분석 등을 통해 개선방안을 마련하는 등 보험금 부지급률에 대한 철저 한 관리가 필요함

(2) 중장기 보험영업 및 상품개발 전략 재검토

자본부담이 크고 비효율적이라는 이유로 ◎◎채널 및 □□채널을 통한 영업을

중단하고 △△채널을 중심으로 영업하기로 중장기 영업전략을 수립하여 이사회에 보고 하였으나, IFRS17 도입 등 규제환경 변화를 감안한 심도 있는 검토 없이 대주주의 요구에 따라 불과 1년 만에 ◎◎채널 영업을 재개하고 ○○보험에 주력하기로 하는 등 구체적인 중장기 보험영업 및 상품개발 전략이 미흡하므로

규제 등 영업환경 변화, 자본부담 및 재무건전성 등에 대한 종합적인 검토와 검증을

거쳐 지속가능하고 실행가능한 중장기 보험영업 및 상품개발 전략을 조속히 수립할 필요가 있음

(3) 상품수익성 관리 강화

상품수익성 분석 대상, 절차, 조치기준 등이 불명확하고, 회사의 상품․채널 전략이

변경되었음에도 동일한 기준을 적용하는 등 적절하지 못하며, 전사 및 주요 채널․상품의 수익성 기준만 설정하는 등 운영체계가 미흡하고, 상품 수익성분석 결과, 기준에 미달하는 상품에 대한 사후조치가 지연되거나 리스크관리가 미진한 사례가 발생하고 있으므로

상품수익성 분석에 관한 사항과 기준의 적정성 검토 등을 명확히 규정하고 상품수익성

분석 결과에 따른 상품 판매중지 등의 사후조치를 적시에 수행할 필요가 있는 한편, 상품 수익성 분석에 영향을 미칠 수 있는 최적가정 산출시 최신통계를 반영하는 등 합리적인 의사결정을 위해 실질적 분석업무가 이루어지도록 할 필요가 있음

(4) 보험금 지급심사시 최신 법원판례 적기 반영

최신 법원판례를 보험금지급 심사기준에 반영하여 동일 사안에 대해 동일한

기준으로 보험금 지급심사가 이루어지도록 하는 것이 합리적임에도 이를 적시에 반영 하지 않아 △△△△△ 및 ◎◎◎◎◎◎ 관련 278백만원의 보험금이 누락되었으므로 법 원판례 등을 적시에 반영할 필요가 있음

(5) 위탁손해사정사 및 보험금지급 심사업무에 대한 평가지표 개선

위탁손해사정사에 대한 평가지표로 ‘고지의무위반 적발 실적’ 및 ‘조사 지시 이행도’를

포함하고 있어, 사고와 인과관계 없는 사항 등에 대해서도 고지의무 위반을 주장하며 정당한 보험금을 삭감 또는 부지급 하려는 유인이 증가할 우려가 있고, ‘조사 지시 이행도’ 평가에 따라 손해사정사의 독립적이고 중립적인 손해사정을 저해할 우려가 있으며, ◎◎◎◎◎◎실의 20XX년 성과평가지표(KPI)에 ‘조사 면책률’ 등 보험금 지급 거절을 유발할 수 있는 항목을 포함하고 있어 정당한 보험금 지급 업무를 저해할 우려가 있으므로

공정한 보험금 심사업무를 위해 위탁손해사정회사 및 △△△△△팀에 대한

평가지표를 합리적으로 개선할 필요가 있음

(6) 상품개발시 금리리스크 예측 및 관리 강화

20XX.O월 △△보험 상품을 판매재개시 업계 대비 높은 최저보증이율을 제공하면

서도 사전적으로 물량 한도를 제시하지 않아 역마진 리스크에 크게 노출되었으며, 20XX.O월말 현재 금리연동형 보험 중 공시이율이 최저보증이율을 하회하여 최저보증 이율이 적용되는 적립금 비중이 OO.O%에 달하는 등 금리리스크에 크게 노출되어 있으므로

상품 개발 및 판매시 금리리스크를 고려한 상품포트폴리오 계획을 설정․관리

할 필요가 있음

(7) 유가증권 계정재분류 업무 강화

20XX.O월 유가증권 계정재분류(만기보유→매도가능)시 20XX년 이후에야 만기보유증권

으로 재분류할 수 있으므로 최소 20XX년까지 발생 가능한 금리변화 시나리오별로 매도가능 유가증권의 평가손실액과 RBC비율을 시뮬레이션 하는 등 철저한 분석을 토대로 의사결정이 이루어져야 함에도, 이를 소홀히 하여 계정재분류 이후 금리상승으로 매도가능증권의 평가 손실이 증가함에 따라 20XX.O월말 기준 RBC비율이 OOO% 이하로 하락하는 등 심각한 부정적 결과를 초래하고 있으므로

향후 계정재분류시에는 금리변동이 중장기 재무건전성에 미치는 영향 등을 종합적으로

검토하여 지나친 재무건전성 변동성 확대, 유동성 위험이나 수익성 악화에 노출되는 것을 방지할 필요가 있음

(8) 외화자산 투자에 대한 리스크 관리 강화

최근 미국금리의 상승에 따른 스왑레이트(swap rate)의 하락으로, 외환스왑 연장시

헤지비용이 증가하여 해외채권 수익률이 국내채권 보다 낮아지는 수익률 역전현상이 발생하고 있으므로

외화자산의 투자한도 확대시 헤지비용, OOOO과의 구체적인 시너지 확보방안

및 신용리스크 악화 대책 등을 검토하고, 특정국가 또는 특정통화로 발행된 외화유가 증권의 비중에 대한 한도를 설정하는 등 외화유가증권의 집중리스크 관리를 강화할 필요가 있음

(9) 환헤지 스왑(FX swap) 만기연장(roll-over) 리스크 관리 강화

해외채권 투자에 따른 환 리스크에 대해 만기가 짧은 환헤지 스왑으로 헤지하는

경우 만기연장시 환헤지 스왑레이트(swap rate) 변동 리스크에 노출되므로, 기존 스트 레스 테스트에 이러한 리스크를 반영하거나 별도로 위험분석을 하여 △△△△△위원회 에 보고하는 등 외화자산의 만기연장(Roll-over) 리스크 관리를 강화할 필요가 있음

(10) 대출금리 결정체계 운영 및 관리 강화

대출 기준금리 및 주요 가산금리 항목을 조정․신설하는 경우에는 내부 심사위원회

(◎◎심사위원회)에서 산출근거의 합리성과 타당성을 심사하여야 함에도, 상품별 대출 금리 변경시 ◎◎심사위원회를 통해 심사하지 않고 임원이 단독으로 승인 처리하는 등 ◎◎심사위원회가 형식적으로 운영되고 있으므로

내규에 상품별 대출금리 결정 체계와 기준금리 및 주요 가산금리의 산정기준을

반영하고, ◎◎심사위원회에서 상품별 대출금리 변경의 적정성을 실질적으로 심의할 수 있도록 ◎◎심사위원회의 운영․관리를 강화할 필요가 있음

(11) 수익증권 등 유가증권의 손절매 기준 보완

△△△△ △△지침 에 의하면 채권 및 주식에 대해서는 손실한도를 설정하도록

규정하고 있고, 손실한도 초과시 손실한도 초과 유예는 ◇◇심의위원회가 승인하도록 되어 있으나, 수익증권 등 다른 유가증권에 대해서는 손실한도가 설정되어 있지 않아 투자에 서 손실이 확대될 가능성이 있으므로, 이에 대한 손실한도 및 초과시 유예방법을 내규 에 반영할 필요가 있음

(12) 이사회 및 임원후보추천위원회 공정성 제고

이사회 의장은 이사회 운영에 관한 사항을 총괄하여야 함에도 이사회 의장 △△△은

검사대상기간(20XX.OO.OO∼20XX.OO.OO) 중 한 차례도 이사회에 참석하지 않는 등 이 사회 운영이 파행적이므로 조속한 정상화가 요구되며, 대표이사 ◎◎◎는 20XX.OO.OO 임원후보추천위원회에서 본인이 최고경영자 후보군으로 추천된 안건에 대해 의결권을 행사하여 불합리하므로,

최고경영자 선정 과정의 이해상충 방지 및 공정성 제고를 위해 최고 경영자 후보군에

포함된 이사는 관련 의결을 제한할 필요가 있음

(13) 내부거래에 대한 사전 검토 및 투명성 강화

감사실 및 준법감시인은 회사 임직원, 자기 계열집단 및 특수관계자 간의 내부거래에

관한 사항에 대해서는 일상감사 및 일상감시를 통해 사전 또는 사후적으로 그 적정성을 확인하여야 함에도 20XX.OO.OO.～20XX.OO.OO. 기간 중 일상감사(OO건) 및 일상감시(O 건)를 누락한 사례가 있고,

계열사 등과 거래 OOO건 중 공정경쟁 입찰계약은 OO건에 불과하고, 대부분

수의계약 또는 지명경쟁입찰계약으로 처리하면서 심층적인 검토 없이 계약 형태를 결정 하는 등 내부거래에 대한 사전 검토 프로세스 및 내부거래 관리가 철저하지 못하므로

일상감사 및 일상감시가 누락되는 일이 없도록 관련 절차를 강화하고, 계열사 등

과 거래시 충분한 검토와 정기적인 점검을 통해 투명성을 제고할 필요가 있음

(14) 부동산담보대출에 대한 모니터링 강화

부동산담보대출의 경우 담보가치의 변동에 대해서 정기적으로 점검하여 담보가치의

적정성을 확보하여야 함에도, 담보가치의 정기적인 모니터링에 대한 내용이 규정되어 있지 않으며, 부동산담보대출과 관련하여 비정기적으로 모니터링하고 있으나, 모니터링 결과에 대한 보고문서가 보관되어 있지 않는 등 체계적인 관리가 미흡하므로

담보가치 모니터링에 대한 내용을 내규에 반영하고 정기적으로 모니터링하는 등

부동산담보대출의 모니터링을 강화할 필요가 있음

(15) 유동성리스크 관리 강화

유동성 위기상황분석을 위한 시나리오 등 실시기준이 마련되어 있지 않으며,

유동성갭을 측정하지 않고 있는 등 유동성 관리가 미흡하므로 정기적으로 위기상황을 분석하고 유동성갭을 측정하는 등 관리를 강화할 필요가 있음

(16) 중장기 자본확충계획 마련

20XX.OO월 제OO차 이사회에 보고한 ’증자계획 및 중장기 사업방향‘에 의하면

20XX~20XX년 중 누적 증자 필요 규모는 O.O조원이나 사업구조 변경에 성공할 경우 실제 증자 필요규모는 약 O,OOO억원으로 제시하고 이에 따른 자본확충 계획을 마련한 바 있으나,

20XX.O.OO. 최대주주가 ◎◎생명으로 변경되어 영업 및 투자부문 등에서 사업

전략의 대폭적인 변화가 예상되고, 재무건전성 개선에 부정적인 잠재 리스크는 여전 히 상존하고 있어 기존 자본확충 추진규모(O,OOO억원)가 적정하지 않을 가능성이 있으므로,

향후 O년간의 지급여력비율 관리 목표, 사업전략 변경 등을 고려한 추가 자본

확충 필요 규모 및 연도별 유상증자 추진계획 등 전략 및 환경 변화를 감안한 중장기 자본확충계획을 조속히 마련할 필요가 있음

(17) 퇴직연금 리스크 관리 강화

20XX.O월말 회사 전체 자산에서 퇴직연금자산이 차지하는 비중(OO.O%)이 높아

퇴직계정 손실시 퇴직계정의 위험이 회사 전체의 자본적정성을 크게 훼손할 가능성이 존재하므로,

급변하는 시장 상황 등을 반영하여 퇴직연금 쏠림심화 현상에 대해 재평가하고,

퇴직연금의 금리리스크 관리를 강화하는 한편, 위험관리위원회 등에서 퇴직연금계정에 대한 리스크량 한도 및 모니터링 지표에 대한 관리목표를 설정․관리하도록 체계를 마련할 필요가 있음

(18) 주요 직무에 대한 IT내부통제 강화 필요

20XX.O월 IT직원 일시 퇴사에 따라 검사착수일(2018.8.23.) 현재 시스템 관리자

및 DB 관리자를 각 O명씩 운영하고 있으나 해당 관리자가 각 업무에 대한 부담당자 업무를 겸직하고 접근제어시스템 운영업무도 담당하고 있어, 동 관리자 업무 수행내역에 대한 적절한 내부통제가 필요함에도, 자체감사 및 업무수행 내역 점검 등을 통한 내부 통제를 실시하지 않고 있으며, 담당자 부재 시 해당업무를 대체할 수 있는 업무 백업 체계를 마련하지 않고 있으므로

DB 및 시스템 관리 등 중요업무 담당자에 대한 업무 백업체계를 마련하고,

수행 내역에 대해 상시 모니터링하거나 주기적 점검을 실시하는 등 내부통제를 강화할 필요가 있음

(19) 홈페이지 등 취약점 점검 및 사후조치 강화 필요

홈페이지 및 전자금융기반시설에 대한 취약점 분석․평가를 실시하면서, 홈페

이지 취약점 점검을 실제 운영 시스템이 아닌 테스트를 위한 검증계 시스템에 실시하고 조치방안도 검증계를 기준으로 마련하였으며,

상시 취약점분석 평가를 위해 웹취약점 자동 점검도구를 구비하고 있으나, 업무

영향 등을 이유로 홈페이지 취약점 점검에 활용하지 않고 담당자가 수동점검만 실시하는 등 취약점 분석 평가 실시가 미흡하고

검사대상기간 중 취약점 분석ㆍ평가를 외부주문 업체를 통하여 총 O회 실시

하였으나, 매번 동일한 점검 시나리오를 사용하고 있어 취약점 평가방법 등을 다양화할 수 있는 방안을 마련할 필요가 있으며

취약점 점검결과 발견된 문제점을 조치하면서 일부 점검결과를 책임자에게 보고하지

않았고 조치요구사항을 현업부서에 통보하기 위한 적절한 보고체계를 마련하지 아니하는 등 취약점 사후조치 관련 절차가 미흡하므로

홈페이지 취약점 분석 평가시 운영시스템을 기준으로 실시하고 자동 점검도구

운영을 활성화하는 한편, 취약점 사후조치 관련 보고체계를 강화하는 등 취약점 분석ㆍ 평가업무 운영을 강화할 필요가 있음

나. 개선사항

(1) 내부통제기준 개정 지연 등 관리 불철저

보험회사 내부통제기준의 근거 법령이 보험업법에서 금융회사 지배구조에 관한

법률 로 변경되었음에도, 회사는 이를 관련 △△△△기준에 적정하게 반영하지 않아 △△ △△기준에 근거 법령과 상이한 내용이 포함되어 있으므로

△△△△기준이 법령에서 정한 내용대로 적정하게 제․개정 및 관리될 수 있도록

내부통제기준 관리 업무를 개선하시기 바람

(2) 부당모집행위 통제 및 제재업무 미흡

회사는 보험 모직조직의 부당모집행위 및 비위행위 등의 제재에 관한 사항을

심의하기 위해 □□□□□ 심의위원회를 운영하고 있으나, 운영기준이 내규에 포함되어 있지 않고, 심의대상, 감경수준, 회의자료에 대한 관리기준 등 세부기준이 마련되어 있지 않는 등 운영 및 관리가 미흡하므로

부당모집행위에 대한 관리 및 통제를 강화하기 위해 ‘□□□□□ 심의위원회

운영기준’에 심의대상, 감경수준, 회의자료 관리기준을 반영하여 내규로 지정한 후 개정 필요성을 주기적으로 점검하고, 심의 관련 자료를 철저히 관리하는 등 관련 업무를 개선 하시기 바람

(3) 특약 의무부가 적정성 검토 절차 미흡

신상품을 출시하거나 상품을 개정하고자 하는 경우 □□□□팀, ◇◇◇◇◇◇위원회

및 △△△△위원회 등이 해당 상품내용을 검토하고 있으나, 주계약 또는 특약에 의무 부가 하는 특약의 적정성에 대해 검토하도록 하는 절차가 마련되어 있지 않아 보험소비자에게 불필요한 보험료 부담을 발생시키는 상품이 판매될 가능성이 있으므로

의무적으로 부가한 특약이 보장내용을 적절히 보완하는지 여부 및 불필요한 부분은

없는지 여부 등에 대하여 ◇◇◇◇◇◇위원회 , △△△△위원회 및 담당부서 등이 충분히 검 토하도록 특약 의무부가의 적정성 검토 관련 절차를 마련하시기 바람

(4) 보험설계사 교육운영 및 자료 관리체계 불합리

보험설계사에 대한 보험상품 교육자료 작성, 심의, 관리 등 일련의 업무가 체계적

으로 이루어지지 않고, 보험설계사에 대한 교육계획 수립, 교육프로그램 및 교재 제작 등 전사 차원의 교육체계를 마련하지 않았으며 각 채널이 자체적으로 진행한 교육내용 및 성과 등에 대한 정보교환도 이루어지지 않고 있어 교육이 균등하게 제공되지 않는 등 보험설계사 교육 운영 및 자료 관리체계가 불합리하므로

판매채널별 보험설계사 교육운영 및 자료 관리 등에 대한 내규를 마련하고 운영방식을

정비하는 등 관련 업무 전반을 개선하시기 바람

(5) 의료자문 제도 운영 불합리

의료자문은 환자를 직접 치료하지 않은 의사가 의료기록만을 검토하여 소견을

피력하는 것이므로, 객관적인 자료 없이 자문의사의 소견만으로 보험금을 삭감하는 것은 합리적이지 않음에도 회사는 2,150건의 의료자문중 48%인 1,033건에 대하여 자문의사의 소견 만으로 보험금을 삭감하는 등 의료자문제도 운영이 불합리하므로

의료자문 대상기준, 자문결과 안내, 제3의료기관 선정 등 보험계약자의 권익이

충분히 보장되도록 객관적이고 공정한 절차 등을 마련하시기 바람

(6) 손해사정사 선임안내 및 절차 미흡

회사는 보험계약자의 손해사정사 선임권리가 충분히 보장되도록 보험금 청구단계

에서 보험계약자에게 관련내용을 충실히 안내할 의무가 있는데도 손해사정사 선임권에 대한 안내가 형식적이고, 보험계약자가 손해사정사를 선임한 OO건에 대해 회사의 비용 부담사례도 없는 등 보험계약자의 손해사정사 선임권 보장이 미흡하므로

보험계약자의 손해사정사 선임권 보장을 위해 보험금 청구단계에서 손해사정사

선임 관련 내용을 충실히 안내하는 등 관련 업무를 개선하시기 바람

(7) 대출채권 매각 가격 산정 절차 불합리

회사는 회계법인이 작성한 가격률 산정보고서를 기초로 매각가격률을 산정하고

있으나, 채권서류에 대한 실사, 유의성 및 대표성 검증, 대출채권별 매각가격률의 기준이 되는 대출채권 특성 구분 및 세분화가 불합리하므로

대출채권 매각을 위한 가격률 산정 시, 대출채권서류 실사(샘플링 등), 유의성

및 대표성 검증 등을 실시하며, 대출채권 특성을 세분화하고 구분에 대한 근거를 명확히 하는 등 합리적으로 개선하시기 바람

(8) 유동성 계량지표 산출방법 불합리

유동성 계량지표인 유동성비율과 유동성리스크비율 산출에 필요한 유동성자산

측정과 관련하여, 특별계정에 속하는 보험료의 수납 등을 위하여 일반계정에 예치된 자금의 경우 잔존만기 O개월 이내의 자산(당기손익 인식증권 등)과 부채(특별계정 미지급금 등)가 동시에 발생함에도 자산으로 인식한 항목만 유동성자산에 포함하고 부채는 차감하지 않았고, 고정이하 자산은 유동성자산에서 제외하여야 함에도 유동성자산에 포함하고 있어 유동성비율과 유동성리스크비율이 과다․과소 산출되는 등 불합리하므로

특별계정에 속하는 보험료 수납 등을 위하여 일반계정에 예치되는 자금을 유동성

자산에서 제외하는 등 유동성자산 산출 프로세스를 개선하시기 바람

(9) IT부문 감사업무 불합리

감사팀에서 내규 △△△△△ 직무규정 에 따라 매년 감사계획을 수립하여 감사를

실시하고 있으나, IT부문에 대하여는 감사계획을 수립 및 실시하지 않았고 IT부문 일상 감사대상 중 O건에 대해서는 일상감사를 누락한 사실이 있으며, IT부서에서 20XX.O월 이후에는 자체감사를 실시하지 않고 있어, IT업무 수행 및 내부통제제도 준수의 적정성 확인, IT리스크에 대한 적기 조치가 미흡할 우려가 있으며,

내규 △△△△△△ 지침 에 의하면 운영시스템에 대해 연 O회 이상 외부

감리를 실시해야 하나, 20XX년도에만 ◎회 실시하고, 개선권고사항에 대해 검사착수일 현재까지 조치가 완료되지 않은 사항이 있는 등 감리결과 미흡사항에 대한 개선활동이 소홀하므로,

IT부문에 대한 감사 및 IT부서 자체감사를 정기적으로 실시하고 IT일상감사를

철저히 실시하는 한편, 운영시스템 감리결과 개선권고사항 중 미조치사항에 대해서는 조속히 조치를 완료하시기 바람

(10) IT외부주문 업무 내부통제 불합리

외주업체(◎◎◎◎◎◎)에 전산장비 운영․관리 및 정보처리시스템 개발․유지

보수 업무를 위탁하고 전산센터 운영을 위해 외주업체 소속 시스템 관리자에게 최고 관리자 권한(root)을 부여하고 있으나

동 관리자의 업무수행내역(서버접속시간 및 명령어 수행내역 등)을 주기적으로

점검하지 아니하여 외주 관리자가 임의로 서버에 접속하여 명령어를 수행하거나 파일을 업로드․다운로드할 우려가 있음

또한, 별도 케이지를 설치하여 회사 전산장비에 대한 물리적 접근을 통제하고

있으나, 출입자 관리를 외주직원이 수행하고 있음에도 내부직원이 출입자 등록 및 출입 내역을 주기적으로 점검하고 확인하는 절차는 마련하지 않았고,

외주직원이 기록․관리하는 백업테이프 관리대장에 대해 내부직원이 변동내역 등을

확인하지 않고 있으며, 야간 근무자로부터 배치작업 모니터링 결과에 대해서는 일일보고를 받고 있으나, 백업 및 서버 모니터링 결과에 대해서는 일일보고를 받고 있지 않으며

정보처리시스템 개발․유지보수 업무에 대해서는 20XX.OO월 이후 정기보고를

받지 않고, 외주업체에 대한 서비스 수준 평가를 계약기간 종료 후 실시하는 등 IT외부 주문 업무에 대한 내부통제가 미흡하므로

외주업체를 통해 수행하고 있는 업무에 대해 내부직원 확인 및 점검절차를 마련․

운영하는 등 외주업무에 대한 내부통제를 철저히 하시기 바람

(11) IT계약업무 운영 불합리

내규 △△△△△△규정 에 따라 전략구매(수의계약) 시 수의계약사유(단독업체

선정사유서)를 작성하여 전결권자의 승인을 받는 방식으로 20XX.O.O.∼20XX.O.OO.

기간 중 OOO건의 수의계약을 체결하였으나, 단독업체 선정사유를 ‘기존 계약체결 건의 기간연장 및 유지보수 계약’으로 기재하였을 뿐, 불가피한 사유에 대한 합리적인 검토 및 근거가 제시되지 않았으며

기존 유지보수 업체 품목으로 비용절감이 가능하다고 사유를 작성하면서, 비용

절감에 대한 근거자료를 첨부하지 않는 등 객관적인 근거에 따른 전략구매 결정이 이루어 지지 않았으므로

전략구매 시 합당한 구매사유 및 관련 내용을 상세히 제시하거나, 객관적인

근거자료를 첨부하는 등 전략구매계약에 대한 합리성 및 객관성을 확보할 수 있도록 관련 절차를 개선하시기 바람

(12) 업무지속성 확보계획 불합리

재해․재난, 사이버테러 등 비상상황 발생 시 업무지속성 확보를 위한 ‘재해복구

계획서’를 마련하고, 연 O회 재해복구 전환훈련을 실시하고 있으나, 재해복구센터 가동 이후 본․지점 임직원의 업무환경 재구축을 위한 전산장비 세부실행 계획(네트워크 재설정, 업무용PC 재배치 등)이 재해복구 계획서에 반영되지 않았으며

재해복구센터의 데이터 훼손을 대비하여 테이프로 소산작업을 실시하면서 이를

이용한 데이터 복구 절차 등은 마련하지 않는 등 비상상황에 대비한 업무지속성 확보 대책이 일부 미흡하므로

재해복구 계획서에 재해 시 본사 및 영업점 직원의 업무환경 구축에 대한 내용을

추가하고, 소산테이프를 이용한 데이터 복구 절차를 마련하여 주기적으로 점검을 실시 하시기 바람

(13) 프로그램 변경관리 불합리

회사는 개발된 프로그램을 운영시스템에 적용할 때 긴급변경의 한 유형으로 ‘업무

시간 외 긴급변경 업무’ 절차를 마련(20XX.O월)하고 사후결재 방식으로 운영하면서, 업 무시간외 긴급변경이 필요한 사유, 대상업무, 사후결재절차에 대해 명시적으로 지정하 지 아니하여 긴급변경 절차의 남용 등으로 인해 프로그램 개발통제가 소홀히 될 우 려가 있으므로

앞으로 긴급변경 사유 및 절차 등 관련 내용을 내규 등에 명확히 하고, 주기적

으로 긴급변경 요청에 대해 적정성을 점검하는 등 개발통제 업무를 개선하시기 바람

(14) IT장애관리 불합리

내규 △△△△△ 관리지침 에 따르면 운영 담당자는 장애 접수 시 즉시 IT

운영부서장에게 보고하고, 이를 품질관리 주관부서 담당자에게 알리며, 장애 내용을 기록한 장애보고서를 작성하도록 하고 있으나, 검사대상기간 중 발생한 OO건의 장애 중, 대외계 전문통신 불가, 홈페이지 접속 오류 등 O건의 장애에 대해서는 장애보고서를 작성 하여 보고하지 않았으며

품질관리 담당자가 장애이력관리 및 반복 장애에 대한 재발방지대책 수립 등의

적절한 조치를 취하지 아니하여 SSL 인증서 오류와 같은 유사한 유형의 장애가 재발하는 등 장애 사전 예방활동이 미흡하므로

내규에 따라 장애보고서 작성을 철저히 하고, 품질관리 담당자는 과거 장애 내역 및

대응방안을 참고하여 반복 장애에 대한 재발방지대책을 수립하는 등 IT장애 예방 및 관리 절차를 개선하시기 바람

(15) 개인정보보호 조치 및 무선통신망 정보보호 불합리

회사는 정보처리시스템과 이용자 간에 개인정보 송수신 여부 등을 탐지할 수

있도록 웹 방화벽 등 정보보호시스템을 운영하고 있으나, 주민등록번호 등 개인정보 송수신 내역이 지속적으로 웹방화벽에 탐지되고 있는데도 해당 송수신 내역에 대한 원인 파악 및 보완조치 등을 실시하지 아니하였고

모바일시스템 테스트를 위해 무선통신망을 사용하면서 무선통신망 사용자 인증

및 암호화 등 보안대책을 마련하고 정보보호최고책임자 승인을 받아 무선통신망을 이용 하고 있으나, 비인가 무선접속장비 설치ㆍ사용 여부 등에 대한 실시간 탐지체계가 마련되어 있지 아니하여 무선통신망 운영 통제가 소홀할 우려가 있으므로

앞으로 정보보호시스템 모니터링 등을 통해 정기적으로 개인정보 관련 사항을

점검하고 보완하는 절차를 마련하는 등 개인정보 보호업무를 개선하고, 무선침입방지 시스템 도입 등을 통하여 허용된 범위 내의 무선통신망 사용여부 및 비인가 무선접속 장비 사용여부를 점검하는 등 무선통신망 실시간 모니터링 체계를 개선하시기 바람