국민은행 금감원 경영유의사항 · 2022-12-14

경영유의사항 등 공개안

1. 금융회사명 : ㈜국민은행

2. 제재조치일 : 2022. 12. 14.

3. 제재조치내용

4. 제재대상사실

가. 경영유의사항

(1) 국별익스포져 한도관리 및 사후보고 강화

◦ 은행은 내규「국가리스크 관리지침」제27조 등에 따라 국별익스포져를 리스크

관리위원회에서 설정한 국가별 한도 이내에서 운용하여야 하고 국별익스포져 운용현황을 종합․분석하여 리스크관리위원회 등에 보고하여야 하나

20■■.■.■.～20□□.□.□. 기간중 리스크관리위원회의 한도 재설정 없이 ◈◈◈◈ 등

○개국에 대하여 익스포져 한도를 초과(○건)하여 운용하거나 국별한도가 설정

되지 않은 ▣▣▣ 등 ○개국에 대한 익스포져를 운용(○건)한 사실이 있으며

이 중 ○개국에 대한 국별한도 초과(○건), 한도 미설정 ○개국에 대한 익스포져 운용 (○건) 사실과 한도 재설정 절차 없이 취급 가능한 7일 이내 외화콜론 한도 초과 (○○건)에 대하여 리스크관리위원회에 보고를 누락한 사실이 있으므로

앞으로 한도 재설정 절차 없이 국별익스포져 한도를 초과하여 운용되지 않도록 한도관리 강화 방안을 강구하고 한도초과 등 국별익스포져 운용현황에 대한 리스크 관리위원회 보고가 누락 되지 않도록 관련 업무처리절차를 강화할 필요가 있음

(2) 신용리스크 내부자본 한도 산출업무 미흡

◦ 2020년 주식익스포져 등에 대한 신용리스크 내부자본 측정방법을 내부등급법에서

표준방법으로 변경하였으나 2021년도 신용리스크 내부자본 한도 설정시 내부 등급법으로 측정하여 필요 내부자본 한도를 과소 설정함에 따라 20♧♧.♧월～ ♣월 통합관리부문의 내부자본 한도 초과 사실이 있으므로

내부자본 한도 설정시 측정방법 변경에 따른 영향 분석을 철저히 하여 위와 같은 유사사례가 재발하지 않도록 관련 업무처리 절차를 강화할 필요가 있음

(3) 기업여신 심사 및 신용감리 운영절차 강화

◦ 20◆◆.◆월 농업회사법인 ☆☆☆☆㈜에 대한 신규 여신(시설자금 ○○○억원)을

취급하면서 아래 ㈎～㈓와 같이 신규 기업여신 심사, 여신사후관리, 여신감리업무 등에 있어 미흡한 점이 발견되었으므로, 향후 차주의 적격성 점검 강화, 여신심사 실효성 제고 등 여신심사․승인 및 사후관리 업무에 대한 제도 보완 및 신용감리 업무 강화가 요구됨

㈎ 농업회사법인은 별도 법률 등에 의거 설립요건, 사업목적 및 시설조건 등이 제한되어 있으나 사업목적이 정관 등에 기재되지 않은 상태였고 사업계획서 상 시설계획 등이 관련 법상 요건을 미충족한 상태였으나 이에 대한 검토 및 보완 조치가 미흡

㈏ □□□□ 차입금 상환 목적의 대출을 ▣▣▣▣▣ 영위 목적의 시설자금으로 취급하였으나, 대출 신청일 현재 당해 시설이 사업목적에 부합되게 실질적으로 사용되고 있지 않아 시설자금 조건을 미충족

㈐ 신설법인의 신규사업 목적으로 대출을 취급하면서도 초기 투자비용, 예상매출, 예상지출에 대한 검증이 미흡하고 대출금 상환계획서에 사업 추진일정이 기재되어 있었음에도 대출 승인시 이를 활용하여 이행조건을 부과하지 않고 일정에 따른 사후 점검 계획도 마련하지 않았으며, 법인등기부등본 상 사업목적으로 등록되지 않은 사업의 투자계획만을 제출하였음에도 사업 일정 및 추진 현황을 점검하는 등의 적시성 있는 사후관리 절차가 미흡

㈑ 사업자등록증 및 법인등기부등본 상 ◆◆업종으로 등록되어 있지 아니하고 ◆◆시설 운영을 하지 않고 있었음에도 신용평가 시 업종을 ◆◆업으로 하고 ◆◆시설 이용률 서비스수준, 업력 등을 과대평가하여 반영하는 등 신용평가업무 부적정

㈒ 내규상 시설자금 한도(소요자금의 90%)를 초과하여 소요자금의 100%에 해당하는 여신을 승인하는 등 시설자금 한도 산출 부적정

㈓ 20◈◈.◈월 신용등급 Override 적정성 감리대상에 포함하여 정기감리를 실시하였으나 신용등급 조정사유 및 채무상환능력 위주의 점검이 이루어졌으며, 여신심사의 적정성 및 내규 준수 여부 등은 확인하지 않는 등 감리업무 불충분

◦ 「신용감리운영지침」제8조 등에 의하면 신규(한도증액 포함)로 취급한 기업여신에

대하여 여신취급 후 다음달까지 감리를 실시하여야 하나 본부승인여신의 경우 심사자의 전문성이 높고 감리 시 권고율도 낮다는 이유로 20▣▣.▣월부터 일상감리를 전면 중단하고 있는바,

이는 신규여신 실행 초기 여신취급의 적정성 등을 점검토록 한 일상감리 운용 목적, 여신 취급‧ 승인‧ 사후관리업무와 독립적으로 수행되어야 하는 신용감리업무

운용 취지에 부합하지 않으므로

본부승인 신규 기업여신에 대해서도 합리적인 범위에서 일상감리를 실시하는 등 신용감리업무를 강화할 필요가 있음

(4) 기업 수신금리연동부 예금담보대출 관련 내부통제 강화

◦ 내규 ｢직무전결규정｣ 에 따르면 동일업체에 대한 동일자 5천만원 초과 기업 수신

금리연동부 예금담보대출은 영업점장 전결로 취급해야 하는데도 전산시스템상 팀장 승인으로 대출 실행이 가능하여 20■■.■■.■.～20□□.□.□. 기간 중 ★★★ 지점 등 ○○○개 영업점은 영업점장 전결 대상인 수신금리연동부 기업 예금 담보대출 ○○○건(○○○○억원)을 팀장 승인을 통해 실행하였음

◦ 또한 상기 ○○○건의 대출 취급과 관련하여 아래와 같은 내규 등 위반 사항이

발생하였으므로 향후 경영에 유의하시기 바람

- 내규 ｢ 기업여신업무지침｣ 및 ｢ 기업여신 업무매뉴얼｣ 에 따르면 은행은 법인 또는

법인격 없는 단체의 대표자에 대해 법령, 등기사항전부증명서, 정관 또는 규약 등에 의거 그 자격 및 권한 등을 확인해야 하고

법인에 대한 수신금리연동부 예·부·적금 담보대출은 거래약정서 등에 거래인감 및 법인인감을 함께 날인하여야 하고 약정서를 작성하는 경우에는 주요 내용을 설명하고 정해진 난에 채무관계자가 빠짐없이 자필로 기재토록 하고 서명날인을 받아야 하며

계약을 체결하거나 체결을 권유하는 경우에는 여신거래조건 등이 기재된 기업 여신상품설명서를 채무관계자에게 제공하고 동 내용을 설명하여야 함에도

●●●●●●● 등 ○개 영업점에서 20■■.■.■.～20□□.□.□. 기간중 취급된 수신 금리연동부 기업 예금담보대출 ○○건(○○○억원)에서 정관 미징구(○건), 인감날인 부적정(○건), 여신거래약정서상 자필기재사항 누락(○건), 여신상품설명서상 여신 기간·금리 기재 누락(○건) 등 미비사항이 발생

- ｢문서관리지침｣ 및 ｢기업여신 업무매뉴얼｣에 따르면 은행은 채권서류를 대출 완제 후 3년 이후 폐기할 수 있으나

◎◎◎◎◎◎◎ 등 ○○개 영업점은 20◆◆.◆.◆◆. ~ 20□□.□.□. 기간 중 취급된 수신금리연동부 기업 예금담보대출 ○○건(○○억원)의 완제 후 3년이 경과하지 아니 하였음에도 대출서류 일체를 분실하여 미보관하고 있음

- ｢자점검사업무지침｣ 및 ｢준법감시자점검사 업무매뉴얼｣에 따르면 자점검사 담당자는 대출실행 익영업일 여신업무의 채권서류 등을 확인하고 관련 서류 징구의 적정성 등을 점검하여야 하나

□□□□ 등 ○개 영업점의 자점검사담당자 ○○명은 20◆◆.◆.◆◆. ~ 20□□.□.□□. 기간 중 취급된 수신금리연동부 기업 예금담보대출 ○○건(○○○억원) 취급시 정관을 미징구하는 등 서류가 미비하였음에도 점검결과를 ‘적정’으로 등록하였음

(5) 은행·증권 WM소개영업 관련 내부통제 강화

◦ 은행 고객에게 증권사 상품을 소개하는 계열사 WM소개영업 실적 목표(KPI)를

채우기 위하여 국민은행의 일부 직원은 증권 상품 관련 자료를 KB증권 직원 으로부터 사전에 제공받고 증권 직원이 출장 형식으로 고객 계좌를 개설 하는 방법 등으로 해당 실적을 확대한 사례가 있는 바,

관련 계열사 등과 소개영업 전반에 대한 공동 감사를 실시하여 문제점 발생 원인 및 위험요인 등을 파악하고 합리적인 성과지표 설정, 내부통제 강화 등 재발방지 대책을 마련할 필요가 있음

(6) 별단예금 관리 강화

◦ 별단예금은 은행 업무수행 상 발생하는 미결제 자금 및 특정된 자금으로 다른 예금

과목으로 처리할 수 없는 자금 등을 일시 예수하는 계정임에도 아래와 같이 취급·관리 에서의 미비점이 있으므로 이를 보완할 필요가 있음

㈎ 업무매뉴얼에서 규정한 이용사유에 부합하지 않는 단순 상품가입 목적 등 업무처리 편의를 위해 이용한 사례가 대상기간 중 ○○○○건 발생

㈏ 별단예금을 고객에게 직접 지급하는 경우 지급표를 받아 지급하도록 규정하고 있으나 현금지급의 경우에는 관행적으로 지급표를 받아 처리하고, 상대계좌에 대체입금하는 경우는 지급표 없이 대체출금 처리하여 규정에 따른 정당한 업무가 이루어지지 않음

㈐ 고객에게 반환될 자금의 입출금이 취급자 전결로 가능하고, 별단예금 입금 시 고객정보 수정이 임의로 가능하며, 고객정보가 상이함에도 자금을 출금하는 등 별단예금이 직원들의 횡령·유용 수단으로 이용될 가능성이 있음

㈑ 별단예금 기타일시예수금 입금 후 고객에게 조속한 시일 내에 반환하여야 하나, 2021.6.30일 현재 1천만원 이하 취급 건 중 ○○○건, 1천만원 초과 취급 건 중

○○건이 최초 취급일로부터 300일 초과하여 미정리 상태로 남아 있는 등 장기

미정리 건에 대한 미지급 사유 확인 및 반환을 위한 실질적 관리가 미흡하였음

㈒ 자점검사 및 본점의 영업점 내부감사 등을 통해서 별단예금의 무분별한 취급, 소개영업 관련 부당한 활용이 지적되지 않아 이러한 행위가 지속된 것으로 별단예금 관련 내부통제 과정의 미비점이 발견됨

(7) 해외 자회사 출자 및 인수관련 검토 강화

◦ 국민은행은 20◆◆~20▷▷년 중 ◐◐◐◐◐◐◐◐◐에 출자하여 자회사로 편입하고

유상증자 참여로 자본을 확충하는 과정에서 아래와 같은 부분에 대해 미흡한 점이 있으므로 향후 재발 방지를 위하여 유의할 필요가 있음

㈎ 국민은행은 20■■년 초 부실이 일부 진행 중인 ◑◑◑◑◑에 대한 유상증자 참여를 결정하면서 현지 출장 및 다양한 자문을 진행하였고 유상증자 이후 국민은행 임직원을 파견하는 등 투자의 적정성 및 위험요인을 분석하였으나, 현지 법령 및 감독당국의 권한 등에 대해서는 검토가 부족하였음

그 결과 코로나19로 인하여 부실이 심해진 ▲▲▲▲▲에 추가로 출자하기 위한 이사회 등의 심의·의결 과정에서 ㈏와 같은 문제점을 노출하였으므로현재 운용 중인 국외투자 체크리스트에 관련 내용을 보완하고 주요 투자 대상 국가에 대한 현지 은행법 및 관련 규정에 대한 위험요인을 선제적으로 분석할 필요가 있음

㈏ 국민은행은 20◇◇.◇월 ▽▽▽▽▽에 추가 출자(▲차 출자)가 불가피하다고 판단 하였고, 유상증자 예정 자금을 ▼▼▼▼▼ ◁◁ 계좌에 예치한 이후, 20△△. △월 출자 관련 이사회 의결을 완료하였음

또한, 20▽▽년 초 ★★★★★의 자본적정성 등이 지속적으로 악화되자 유상증자 참여 의사결정 주체인 국민은행 이사회에 공식 보고되지 않은 상황에서 ★★★ ★★은 유상증자 계획을 20◁◁.◁월 중 공시한 바 있으므로

향후 해외 자회사 등에 대한 투자가 실질적으로 결정되기 이전에 이사회 등에서 공식적으로 보고되고 충분히 논의될 수 있도록 해야함

㈐ 한편, 국민은행은 20▶▶.▶.▶▶. ●●●●●에 자금을 송금하면서 ◎◎◎◎계좌가 아닌 □□□□ 계좌로 송금하였는데 이 경우 ◇◇◇◇◇이 유동성 위기 해소를 위해 동 자금을 제한 없이 사용할 수 있게 되어 국민은행이 유상증자 참여 결정 이전에 ◆◆◆◆◆을 위해 상당한 위험을 부담하는 결과를 초래하였음

또한, 이 과정에서 타 부서로 보내는 문서에 “이사회 보고사항”이라고 적시하여 ■■■■가 △△△△으로 이체하기로 의사결정하였음에도 사실과 다르게 문서화한 사실이 있음

향후 이사회 등에 보고된 사항과 다르게 업무처리를 할 경우 해당 의사결정자를 적시하여 책임 소재를 명확히 하고 사실관계에 부합하지 않는 자료가 문서화되지 않도록 유의해야함

(8) 국외 투자자회사의 주요 정보사항 보고 등에 대한 관리 강화

◦ 국외 투자자회사에서 현지 감독당국의 조사, 검사 등 주요 정보사항이 발생할 경우

국외 투자자회사에 파견된 임직원 중 최고책임자가 이를 ♧♧♧♧부장에게 보고 하면 ♧♧♧♧부장이 다시 소속 본부장과 ♣♣♣부장 및 ⊙⊙⊙⊙부장에게 보고하도록 하고 있어 경영활동에 중요한 영향을 미칠 수 있는 정보가 ◈◈◈부 등에 전달되지 않아 적시에 대응하지 못하는 사례가 있고, 국외 투자자회사에 대한 현지 감독당국의 요구사항이 본점에 보고되지 않거나, 검사 결과 현지 법규에 대한 이해가 부족하고 조치요구 사항 등에 대한 본점 차원의 대응이 미흡하다는 내용을 지적받고 벌금을 부과받는 등 국외 투자자회사를 적정하게 관리하지 못하는 사례가 발생하고 있으므로

국외 투자자회사의 주요 정보사항 발생 시 ▣▣▣부장 외에 ◐◐◐부장 등 관련 부서에 함께 보고토록 보고체계를 정비하고 현지 감독당국의 요구사항 등에 대해 본점 차원의 이행 및 점검 강화 방안을 마련하는 한편, 현지 영업에 따른 법률 리스크에 노출되지 않도록 대응체계를 마련할 필요가 있음

(9) 업무위탁 관련 내부통제 강화

◦ 은행은 ｢ 금융기관의 업무위탁등에 관한 규정｣ 등에 따라 위탁관련 위험의 체계적

관리를 위한 내부통제 활동을 수행하여야 하나, 계약 시 참고할 표준계약서식 및 위탁 계약서에 분쟁 해결 방법 등 주요 기재사항을 가감할 수 있는 기준 등이 부재한 결과, 주요 기재사항을 미포함한 계약사례가 다수 발 생하였으며

업무위탁 계약을 총괄하는 부서가 업무담당부서에 대한 위탁계약의 보고의무 준수 안내 및 재위탁계약 체결내역 현황 파악 등 위탁계약 관리를 소홀히 함에 따라 재위탁 계약 관련 보고 누락(총 ○건)이 확인되었으므로

앞으로는 주요 기재사항을 포함한 표준계약서식을 제정하거나 체크리스트 항목을 추가하는 등 위탁업무 관련 내부통제를 강화할 필요가 있음

(10) 장외파생상품 위법･부당행위 관련 내부통제 강화

◦ ｢금융회사 지배구조 감독규정｣ [별표2]에 의하면 금융회사가 임직원의 위법행위를

발견한 경우에는 관련 임직원 제재, 내부통제 취약부분 개선 등을 통해 법규 위반사항이 재발하지 않도록 신속하고 효과적인 조치를 취해야 하며,

내규 ｢감사업무지침｣ 제29조에 의하면 은행 각 부서는 내부통제기준 위반 사항을 발견한 경우에는 준법감시인에게 보고하고 감사정보시스템에 등록해야 함에도,

◦ 20▷▷.▷월 은행 최고경영진은 파생상품 거래에 대한 법규 위반 사실을 보고받고도

법률검토, 감사실시, 관련자 징계, 제도개선 등의 사후조치를 취하지 않았으며,

20◀◀.◀월 ◑◑◑◑부 등은 파생상품 거래와 관련된 법규 위반 등 내부통제기준 위반 사항을 발견하고도 준법감시인 보고 및 감사정보시스템 등록 의무를 준수하지 않았는바,

◦ 은행은 내부통제 주요 사항에 대한 최고경영진 보고체계 개선, 법규 위반 가능성이

있는 파생상품거래에 대한 전결권 상향, 법규 준수 적정성에 대한 테마감사 실시 등을 통해 법규 준수 관련 내부통제 절차를 강화할 필요가 있음

(11) 전산장애 대응 역량 강화 필요

◦ 내규 ｢ 전산관리매뉴얼｣ 제25장 등에 따라 전산장애 발생 시 장애 중요도 및 영향

범위에 따라 장애등급을 분류하고 장애처리 및 보고 등 장애대응 절차를 운영하고 있으나,

전산장애 컨트롤 타워 기능을 수행하는 상설 조직과 인력을 구성하지 않고 장애발생 시 해당 장애 조치에 책임이 있는 부서장이 장애등급을 독자적으로 결정하고, 필요시 비상상황반 소집 및 CIO 등 장애보고 대상자에게 보고하는 등 전사적인 대응이 필요한 전산장애임에도 그 영향도를 적시에 파악하지 못해 내부 장애보고‧ 전파를 지연함으로써

신속한 대응 및 복구에 문제가 발생하고 있음

◦ 장애발생에 책임이 있는 부서에서는 장애 중요도에 따라 ‘F&L장애보고서’를 작성하고

해당 부서장 및 그룹장 등에게 결재를 받아 ☆☆☆☆팀에 제출하여 IT감사정보 시스템에 장애발생 내역을 등록하여 관리하고 있으나,

장애발생 근본원인, 재발방지 대책 및 이행결과 등에 대한 제3자(장애총괄관리자 등)의 적정성 검증이 이루어지지 않고 근본적인 재발방지 대책이 수립‧ 이행되지 않아 유사

장애가 반복 발생하는 등 전산장애 대응 역량이 다소 미흡하므로

◦ 전산장애에 대한 전사적인 컨트롤 타워 역할을 수행하는 직무(체계)를 마련하고,

장애원인 분석, 재발방지 대책 및 이행결과 등의 적정성을 제3자가 검증하는 절차를 마련·운영할 필요가 있음

(12) 원화예대율 관리계획 이행 철저

◦ 20♧♧.♧월말 원화예대율이 100%를 상회(○○○.○%)하여 비조치의견서에 따라

20♠♠.♠월 금융감독원에 2020년 하반기 중 코로나19 지원효과를 감안한 원화 예대율을 100% 이하로 유지한다는 관리계획을 제출하였음에도

관리계획에 대한 모니터링 및 대응체계를 마련하지 않았으며, 수익성 중심 기조 속에 20♤♤.♤♤.♤일 이후 원화예대율이 100%를 지속 초과하고 있었음에도 아무런 조치 없이 방치하여 결국 관리계획을 이행하지 못하고 20◈◈.◈월 추가 관리계획을 제출하게 되었는바,

상기 관리계획에 대한 모니터링 및 보고체계를 마련하고 이를 철저히 이행할 필요가 있음

(13) 중장기 금리리스크 관리방안 제고

◦ 코로나19 사태 발생에 따른 경기 둔화와 이에 따른 기준금리 인하로 조성된 저금리

환경 하에서의 은행은 이자이익 변동성 축소·수익성 제고에 중점을 두고 자산 장기화·부채단기화를 추진하고 있으며, 이에 따라 2020년중 단기 금리리스크 지표인 △NII는 지속 감축된 반면, 장기 금리리스크 지표인 △EVE는 확대되었는바,

이러한 정책은 금리안정기 또는 금리하락기에 편향된 측면이 있고 이자수익 확대에 중점을 두고 있어, 정책 실행 과정이 적절하게 관리되지 않을 경우 장기 금리 리스크(△EVE)가 누적될 위험이 높으므로

중장기 금리리스크 관리정책을 재점검하고, 단기지표(△NII)와 장기지표(△EVE) 목표를 균형감 있게 설정·운영할 필요가 있음

(14) 핵심성장 영업부문 및 신 IT환경에 대한 운영리스크 통제 강화

◦ 은행은 핵심성장 영업부문으로 자본시장, 대체투자 부문에 대한 영업을 강화

하면서 해외지점에 특수팀 성격의 해외IB unit(런던, 홍콩, 뉴욕), 자본시장 unit (런던)을 설립하여 기존 해외지점의 업무와 성격이 다른 대체투자·자본시장 업무를 확대하고 있으나, 동 영업활동의 위험요소가 운영리스크 통제 체계에 충실히 반영되지 않았으며

또한, 급변하는 IT환경에 대응하기 위해 대고객서비스(메시지 발송, 정보알림, 마케팅 등) 중심으로 ○○개(2021.6말 기준) 업무에 대해서 클라우드서비스를 활용하고 있으며, 앞으로 ○○개(비정형 데이터 분석 등) 업무에 대해 클라우드서비스 도입을 위해 준비 중임에도, 클라우드서비스 전반에 대한 운영리스크 위험요인 분석 및 통제 활동이 미비하므로,

앞으로 주요 핵심성장 영업부문(해외 IB 및 자본시장 unit) 및 새로운 IT 인프라(클라우드)에 내재된 리스크 요소들을 운영리스크 관리체계에 충실히 반영할 필요가 있음

나. 개선사항

(1) 직원 이해관계자에 대한 여신 취급 절차 개선

은행은 직원 이해관계자에 대한 여신 취급시 내규 「이해상충의 관리 등에 관한 지침」 등에 따라 이해상충 문제를 차단하여야 하는데도,

기업여신의 경우 내규상 취급부점의 직원과 이해관계가 있는 여신인지를 확인해야 하나 실제로는 취급직원과의 관계만 확인하고 있어 영업점장과 이해관계가 있는 여신의 부당취급 사례가 발생하고 있으며, 가계여신의 경우에는 별다른 통제장치가 없는 등 관리가 미흡하므로

기업여신 취급 시 취급직원 뿐만 아니라 영업점장과의 이해관계 여부를 확인하는 절차를 마련하고, 가계여신에 대해서는 관련 내규 및 관리체계를 마련하는 등 직원 이해 관계자에 대한 여신 취급 절차를 개선할 필요가 있음

(2) 신탁 만기 후 미해지 고객 관리 미흡

만기경과 후 미해지된 특정금전신탁 상품에 대한 관리절차가 미비하여 20♠♠.♠월말 기준 관련 미해지 계좌 총 ○.○만건, ○○○억원이 고객에 환급되지 않은 채 누적되어 있을 뿐만 아니라 동 계좌 방치 시 거래중지계좌 편입, 소멸시효 완성으로 인한 수익권 소멸 등으로 고객에게 추가 피해가 발생할 우려도 있으므로,

미해지 신탁계좌 조기 해소 및 고객보호를 위한 관리체계 마련을 통해 이를 개선할 필요가 있음

(3) 주택담보부 기업대출 취급 절차 개선

은행은 기업 대상 주택담보대출 취급시 ｢ 은행법｣ 제34조 및 ｢ 은행업감독규정｣ 제29조의2

등을 준수하여야 하나 전산 통제 부재, 사후 점검 미흡 등으로 다수의 규정 위반이 반 복적으로 발생하였으며, 전산 개발 지연 등으로 인하여 규제지역 담보인정비율 적용 등에 대한 행정지도 위반 사례(20◇◇.◇◇.◇.~20△△.△.△△. 기간 중 ○○건)도 발생 하였는바

기업 대상 주택담보대출 시 규제 예외 사유 검증 강화, 자금용도외 유용 사후점검 기준 강화, 행정지도 조기 정착 유도 등을 통해 관련 업무절차를 개선하시기 바람

(4) 기업대출 용도외 유용 점검 절차 개선

① 부동산임대업자에 대한 시설자금과 주택취득 목적 시설자금의 사후점검 개선

내규에 따르면 부동산임대업자에 대한 신규 시설자금은 자금용도 외 유용 관련 사후 점검을 의무적으로 이행하여야 하는데도 전산에 관련 내용을 미반영하여 20◆◆.◆.◆◆. ~ 20□□.□.□□. 기간 중 부동산임대업자에 대한 시설자금으로 취급된 대출 ○○○건의 사후 점검을 누락하였으며

주택취득 목적의 시설자금에 대해서는 예외 없이 자금용도 외 유용 사후점검을 의무적 으로 이행하여야 하는데도 전산 시스템상 사후점검 생략이 가능하도록 되어 있어 20■■.■.■.~20 △△.△.△△. 기간 중 주택취득 목적의 시설자금으로 취급된 대출 ○○건의 사후점검을 누락 하였는바,

부동산 임대업자 시설자금에 대한 사후점검 체계를 전산으로 구현하고, 기업 시설 자금에 대한 사후점검 예외조치가 원천적으로 차단되도록 하는 등 통제절차를 개선 하시기 바람

② 운전자금에 대한 사후점검의 적정성 검증 체계 강화

내규에 따르면 영업점이 기업대상 운전자금의 자금용도외 유용 사후점검을 생략할 경우 본부부서에서 이를 점검하도록 되어 있음에도, 현재까지 본부부서 점검 실적이 전무하고 이와 관련된 점검절차도 미비하므로

본부부서의 점검 절차를 마련하고 관련 전산 시스템을 지원(사후점검 예외사유를 전산으로 검증 등)하는 등 기업 운영자금에 대한 사후점검 통제 절차를 개선하시기 바람

③ 주택구입 목적 기업자금대출 등에 대한 사전점검 개선

내규에 따르면 주택구입 목적 여신과 주택담보부 기업여신은 취급 시 자금 용도에 대한 점검표를 작성하고 이를 영업점장이 확인하는 사전점검을 거쳐야 하나 주택 담보 중 하나인 ‘부동산신탁 수익권증서 발급’을 전산상 주택 담보가 아닌 것으로 분류하고 있어 20▲▲.▲.▲.~20▽▽.▽.▽▽. 기간 중 주택담보부 기업여신 ○○건의 사전점검을 누락하였으므로

기업여신 취급 시 담보가 ‘부동산신탁 수익권증서 발급’인 경우 담보를 ‘주택’으로 인식하도록 전산 시스템 등을 개선하시기 바람

(5) 금리리스크 관리 체계 개선

① 금리리스크 내부모형 사후검증(Back-test) 체계 마련

내부모형을 사용하여 리스크량을 산출하는 경우 모형에 내재된 오류 또는 금리·시나리오에 적용된 가정(추정)의 부적정 등으로 리스크를 적정하게 산출하지 못할 위험이 있어 주기적인 모형 사후검증이 필요하나,

은행은 20◁◁년말부터 금리리스크 산출시 ▼▼▼▼ ▼▼▼▼▼ 모형을 사용하고 있음 에도 최초 모형 도입 시 사후검증한 이후 사후검증을 실시하지 않고 있으며, 사후검증의 시기, 방법, 절차 등도 규정화하고 있지 않으므로,

금리리스크 내부모형 사후검증에 대한 시기, 방법, 절차 등을 내규에 반영하고 이를 정기적으로 실시하는 등 금리리스크량의 적정성 점검 체계를 마련하시기 바람

② 금리리스크 한도 설정관련 보고 강화

은행은 금리리스크 한도 설정 시 리스크관리위원회에 중요한 사실관계 및 가정을 정확하게 보고하여 합리적인 의사결정을 내릴 수 있도록 하여야 하나,

은행은 2021년 금리리스크 한도 설정 시 원칙적으로 지주사가 제공한 예상금리를 그대로 적용하여야 함에도 이를 임의로 수정하여 적용하였으며, 이때 은행이 리스크관리 위원회에 제시한 핵심 가정과 실제 상황간에 괴리가 있었음에도 금리리스크 한도 설정을 위한 리스크관리위원회 등에 이러한 사정을 보고하거나 설명한 사실이 없었는바,

앞으로는 금리리스크 한도 설정을 위해 사용된 예상금리, 금리 산정근거, 당시 시장 금리와의 비교 등을 리스크관리위원회에 구체적으로 보고‧설명하는 등 관련 업무처리 및 보고를 강화하시기 바람

(6) 가계편중 대출구조를 감안한 원화예대율 관리체계 마련

은행은 가계대출 중심 여신구조로 원화예대율 관리리스크가 구조적으로 높아 이에 대한 각별한 관리가 필요함에도,

원화예대율에 대한 관리체계가 부재하고, 규제유연화 실시 및 수익성 중심 경영기조 강화 속에 경영진의 관심도 소홀하여 원화예대율이 20■■.■월~20□□.□월 기간(○○개월) 중

○개월 동안 100%를 초과하는 등 관리실태가 매우 취약하므로,

향후 경영계획 수립 시 원화예대율 관리목표 설정, 원화예대율 수준에 따른 단계별 대응체계 마련 등 전행적인 관리체계를 마련하시기 바람

(7) PF대출 관련 업무보고서 등의 보고 미흡

부동산 PF대출과 관련하여 금융감독원 업무보고서(B2432-상업용부동산 대출현황, 매분기)와 전국은행연합회 PF대출 상시감시시스템 관련 보고서(매월)를 제출하고 있으나, 20◀◀.◀월～20▷▷.▷월 기간 중 매월 보고서 제출 시 일부 PF대출 사업장을 누락하여 PF대출 잔액을 실제 잔액 대비 과소보고 하였으며,

내부 전산시스템상 PF대출 관련 일부 정보가 부정확하게 등록되거나 누락되었고, 대출 취급 및 대외 보고 담당부서가 상이함에도 대외 보고자료 관련 정보를 상호검증 하는 절차가 없으므로,

PF대출 관련 업무보고서 등 대외 보고자료의 정확성을 제고할 수 있도록 전산시스템을 개선하고 정보 검증절차를 마련하는 등 관련 업무절차를 개선하시기 바람

(8) IB부문 자산에 대한 현장실사 개선

내규 ｢ 기업여신업무지침｣ 에 따라 IB부문 자산에 대하여 기업신용평가 또는 여신심사 시

현장실사를 원칙으로 하고 있으나, 동 지침상 현장실사 생략 사유가 폭넓게 규정되어 실사기준이 불분명하며, 현장실사보고서를 작성한 사례가 없어 현장실사와 관련된 주요 내용을 확인하기 어려우므로,

IB부문 자산에 대한 현장실사 기준, 현장실사가 불가능한 경우 대체절차 등을 내규 등에 반영하고 현장실사 결과를 문서화하는 등 현장실사 업무를 실효성 있게 운영할 수 있도록 관련 절차를 개선하시기 바람

(9) 파생상품 거래의 가격적정성 점검 절차 개선

내규 ｢ Middle Office 운영지침｣ 및 ｢ 가격적정성 점검 업무매뉴얼｣ 등에 따라 리스크

관리부는 파생상품 거래일의 시장데이터 등을 이용해 파생상품거래 가격의 적정성을 일별로 점검하여 가격적정성 점검 기준 초과 거래에 대한 사유를 확인하여 거래가격이 왜곡되는 것을 방지해야 함에도

20▶▶.▶월~20♤♤.♤월 기간 중 리스크관리부는 기존 거래의 손실을 만기에 정산

하지 않고 신규 파생상품거래 가격에 반영하여 통상적이지 않은 가격으로 체결된 손실 이전 파생상품거래 26건의 가격적정성을 점검한 결과 모두 적정으로 평가하는 등 가격적 정성 점검 절차가 미흡하였으므로

통상적이지 않은 가격으로 체결된 파생상품 거래가 선별될 수 있도록 파생상품

거래의 가격적정성 점검 기준을 개선하시기 바람

(10) 마케팅 대상고객 선정 기능 개선

내규 ｢ 신용정보보호 지침｣ 제17조에 의하면 개인식별정보 등을 신용정보주체 동의

없이 유·무선 마케팅 등에 활용하는 행위를 하여서는 아니되는데도,

은행이 마케팅시스템(고객에게 광고성 정보를 전송하는 등의 마케팅을 위해 사용)

내에서 고객이 ‘상품서비스 안내 등을 위한 개인(신용)정보 수집·이용 동의서’(이하 ‘마케팅 동의서’)에 동의하였는지 여부를 확인하고 미동의 고객은 광고성 정보 전송 대상에서 제외하는 기능을 운영하면서,

마케팅 동의서 개정에 따라 마케팅을 위해 수집·이용하는 개인신용정보의 범위가

변경된 사항을 해당 기능에 반영하지 못함에 따라 고객의 동의 없이 개인신용정보를 마케팅에 이용하는 사례가 발생하고 있으므로, 마케팅 동의서 개정사항 등을 반영하여 마케팅 대상고객을 선별할 수 있도록 관련 시스템을 개선하시기 바람

(11) 일회성 고객 개인정보 관리절차 개선

내규 ｢ 개인·고객정보 보호 및 관리지침｣ 제11조 등에 의하면 개인정보처리자는 개인

정보의 보유기간의 경과, 처리목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 복구 또는 재생되지 않도록 그 개인정보를 파기하여야 하며, 다른 법령에 따라 보존해야 하는 경우 해당 정보를 다른 개인정보와 분리하여 저장·관리하여야 하는데도

은행은 당행과 금융거래가 없는 일회성 고객이 국민주택채권 매입 등의 서비스

이용시 동 고객의 고유식별정보와 기타 정보를 ‘잠재고객’이라는 임시 고객원장으로 보유하고 있음에도 ‘잠재고객’의 거래관계 종료일과 처리목적 달성 등을 별도로 파악하지 않아 파기 대상 정보와 다른 법령에 따라 보존해야 하는 정보 등을 파악하기 어려운 상황이므로

앞으로는 잠재고객의 최종 거래일과 처리목적 달성 여부 등을 적재하도록 시스템을

개선하여 일회성 고객의 고유식별정보를 다른 법령에 따라 보존해야 하는 경우 분리하여 저장·보관하고 고유식별정보가 불필요하게 되었을 때에는 지체 없이 파기할 수 있도록 관리절차를 개선하시기 바람

(12) 일반소비자와의 장외파생상품 관리 절차 개선

은행은 일반소비자와의 장외파생상품이 완전헤지를 통해 원금손실 가능성이 낮다고

판단하여 비예금상품 내부통제 모범규준 적용 제외 대상으로 운영 중이나

위험회피대상의 신용사건 등으로 오버헤지가 발생할 경우 고객의 원금손실 가능성이

높아져 일반소비자의 피해가 우려되므로

오버헤지 거래 등 원금손실 가능성이 커질 수 있는 파생상품거래에 대해서는 별도의

사후 관리기준을 수립하고 비예금상품위원회에 주기적으로 보고하는 등 일반소비자와의 장외파생상품 관리절차를 개선하시기 바람

(13) 제휴사선정위원회 운영 관련 업무 개선

내규 ｢ 제휴사선정위원회 운영지침｣ 에 따라 제휴사선정위원회를 구성·운영하고 있으나

동 지침에 의사록 기록·유지 관련 조항이 반영되어 있지 않고, 의결안건에 대한 의사록· 회의록을 작성하지 않고 있으므로,

제휴사선정위원회 운영시 의사록 및 회의내용을 기록·관리하는 방안을 마련하는 등

제휴사선정위원회 운영 관련 업무를 개선하시기 바람

(14) 성년인 가족 대리시 유선 확인 및 녹취 업무 개선

내규 ｢ 업무매뉴얼 집합투자증권 상품편｣ 제4장 제2절 및 ｢ 업무매뉴얼 신탁 상품편｣

제1장 제2절 등에 의하면 성년인 개인투자자의 가족에 의한 펀드 및 신탁 대리 가입시 본인에 대하여 유선으로 대리 내용을 확인하고 통화내용을 녹취하여야 하는데도,

위임장에 판매직원의 유선확인 및 녹취 서명이 누락되거나 녹취파일이 존재하지

않는 등 관련 업무처리가 미흡하므로

성년인 가족 대리시 투자성향분석 단계 전에 본인에 대하여 위임사실을 유선 확인

및 녹취하도록 전산프로세스를 신설하는 등 관련 업무를 개선하시기 바람

(15) 비예금상품위원회 운영 관련 기준 개선

내규 ｢비예금상품위원회운영규정｣에 따라 비예금상품의 기획·선정 및 판매 등에

관한 사항을 협의하기 위한 비예금상품위원회를 구성·운영하고 있으나,

비예금상품위원회 회의결과를 해당 위원 등에게 통지하는 절차와 위원들의 의사록

확인절차가 위원회 운영 관련 규정에 반영되어있지 아니하는 등 관련 기준이 미흡하므로

비예금상품위원회운영규정에 위원들에게 회의결과를 통보하는 조항을 신설하고

위원들의 의사록 확인 절차를 명시하는 등 관련 기준을 개선하시기 바람

(16) 적합성 보고서 관리절차 개선

내규 ｢ 펀드 표준투자권유준칙｣ 제21조 등에 의하면 은행은 펀드 판매 관련 자료를

10년 이상 기록·유지하여야 하는데도

은행은 적합성보고서를 고객에게만 교부하고 별도로 보관하고 있지 않으며, 전산상

으로도 적합성 보고서의 작성내용을 확인할 수 없게 시스템을 구축하여 추후 적합성보고서 작성 내용과 관련한 민원 발생 소지가 있으므로

투자권유 과정에 대한 기록·관리를 철저히 하도록 적합성보고서 교부 및 기록·관리와

관련한 운영방식을 개선하시기 바람

(17) 폐업기업 미지급 퇴직연금 관리절차 개선

퇴직연금 관련 내규 및 매뉴얼에 폐업기업에 대한 미지급금 관리절차가 규정되어

있지 않아 2020.12월말 기준 은행은 폐업된 ㈜♠♠♠♠ 등 ○○○○개 사업장 근로자 총 ○○

○○명에게 퇴직금 약 ○○○억원을 지급하지 않고 있으므로

퇴직연금 수급권자의 권리보장 강화 등을 위해 영업점을 통하여 가입자에게 개별

연락을 취하는 절차 외에도 폐업 후 장시간 경과하여 연락처 갱신이 요구되는 가입자에 대한 실질적 통지 여부 확인 및 연락 불가시 연락처 재확보 시도 등의 사후관리 절차를 내규화 하는 등 관리절차를 개선하시기 바람

(18) 해외지점 자금세탁방지업무 관리 개선

해외지점(현지법인 포함)은 각 해외지점의 영업특성 및 해외지점 소재 국가의

감독기준 등을 반영하여 해외지점별로 위험기반접근(RBA) 자금세탁위험평가를 매년 수행 하도록 하고 있는데도 ♧♧♧♧♧♧ 등 ○개 해외지점에 대해서는 위험평가방법 및 절차가 마련되어 있지 않아 자금세탁위험평가를 실시하지 않았고

20▷▷.▷.▷. ♣♣♣♣♣♣♣♣♣♣을 계열사(지분 ○○%)로 편입하였는데도 국내 본점

에서 동 은행의 자금세탁방지 의무 이행여부에 대한 관리절차가 부재하므로

○개 해외지점에 대해 자금세탁위험평가 절차를 마련하여 실행하고, ♣♣♣♣♣의 자금

세탁방지업무에 대한 본점의 관리절차 등을 마련하여 운영하시기 바람

(19) 고객확인업무의 점검 강화

고객확인업무 관련해서 아래와 같이 고객의 주소 정보 등이 적정하게 입력되지 않거나

고객확인 재이행 지연 등의 사례가 있으므로 관련 업무수행의 적정성을 점검하는 절차를 마련하고, 전산입력 등에 대해 직원 교육을 강화하시기 바람

① 검사대상기간 중 비대면으로 요구불 계좌를 개설한 고객 총 ○○○명의 상세 주소가

부적정하게 입력

② 외국인 고객에 대한 거소 확인시 재직증명서 확인 등 문서적 방법을 통해 확인을

했으나, 전산에는 비문서적 방법(사업장 유선확인 등)을 통해 확인한 것으로 입력되는 등 실제 거소 확인 방법과 전산 입력내용이 일치하지 않는 사례 발생

③ 환거래계약을 체결한 은행에 대해서는 매년 고객확인을 재이행해야 하는데도

⊙⊙⊙⊙⊙⊙(◈◈◈◈◈ 소재) 등 ○○○개 환거래계약 체결은행에 대해 고객확인 재이행이 1~2년 지연

(20) 신상품에 대한 자금세탁위험 평가절차 개선

｢자금세탁방지 및 공중협박자금조달금지에 관한 업무규정｣ 제17조에 의하면 금융

회사는 신상품의 자금세탁위험을 평가하고 위험을 경감하기 위한 적절한 조치를 취하도록 규정되어 있고, 내규인 ｢자금세탁방지업무규정｣ 제17조에 신상품에 대한 자금세탁 위험 평가를 상품 출시일 전에 실시하도록 규정하고 있으나

검사대상기간 중 ○개의 상품에 대하여 각 상품별 담당부서는 상품 출시전부터 자금

세탁방지부와 자금세탁위험 경감을 위한 논의는 진행해 왔으나 최종 자금세탁위험평가 완료 이전에 상품을 출시하였고 상품 출시 이후에 자금세탁 위험평가를 완료한 사실이 있으므로

자금세탁방지 위험평가가 완료되지 않은 신상품을 모니터링 할 수 있도록 시스템 및

업무처리 방법을 개선할 필요가 있음

(21) 해피콜 사후관리 프로세스 개선

내규 ｢ 업무매뉴얼 집합투자증권 상품편｣ 제4장 제2절 및 ｢ 업무매뉴얼 신탁 상품편｣

제1장 제2절 등에 따라 펀드 및 신탁 판매의 적정성을 확보하고 불완전판매를 방지하기 위해 해피콜을 실시하고 있으나,

해피콜 점검 결과 불완전판매 가능성이 확인된 계좌에 대한 추가적인 점검 프로세스가

미흡하므로 해당 계좌에 대한 신규가입서류 적정성 점검 프로세스를 마련하는 등 관련 업무를 개선하시기 바람

(22) 고액 가계신용대출 사후관리 시스템 개선

금융위원회 행정지도에 의하면 은행은 신용대출 누적 총액 1억원을 초과하는 신용

대출(이하 ‘고액 신용대출’이라 함)을 받는 가계 차주에 대하여 신용대출 실행일로부터 1년 내 규제지역에서 주택을 추가로 구입하는 행위를 금지하는 약정을 체결하여 그 이행여부를 국토교통부 부동산거래관리시스템을 통해 6개월마다 확인하여야 하는데도

고액 신용대출을 취급하면서 체결한 추가주택구입 금지약정의 이행여부를 체결일

6개월 경과 후에도 점검하지 않은 건이 다수 발생하는 등 여신 사후점검이 원활히 이루어지지 않고 있으므로

국토교통부 시스템과의 전산연계 등을 통하여 추가약정 이행여부 확인 업무를 자동화

하고 점검 미완료 건이 존재하는 영업점에 대해 전산통제 장치를 마련하는 등 사후관리 시스템을 개선하시기 바람

(23) 수출입거래 관련 금융취급시 업무처리 절차 개선

내규 ｢ 외국환업무취급지침｣ 에서는 신용장 방식의 중소기업 수출환어음을 매입하는

경우 선적서류 등 관련 서류의 진위 및 적정성에 대한 ｢ 체크리스트｣ 를 작성하도록 하고

있으며 동 사항을 전산에 등록하는 등의 점검 절차를 수행하고 있으나

① 무신용장 방식 수출환어음 매입 및 선적통지부 사후송금방식(Open Account) 수출

대금 채권 매입 거래의 경우에는 별도의 체크리스트 작성 및 확인 절차가 없고

② 국내 수출업체 본사의 해외 현지법인에 대한 수출채권 매입시 동 거래에 대해

은행 본점에서 별도로 적정성을 검토하는 등의 점검 절차가 미비하며

③ 수입업체의 해외송금시에는 계좌번호나 수취업체 주소 등 기존 송금정보와 당해

송금정보가 다를 경우 전산에서 자동 검증되지 않아

무역금융 사기로 인한 은행 또는 수입업체의 피해 발생이 우려되므로,

무신용장 방식 수출환어음 매입(Open Account 방식)시 ｢체크리스트｣를 신설하여

전산으로 점검 및 결과 보고가 이루어질 수 있도록 하고, 본지사 거래를 별도 항목으로 구분하여 거래 적정성에 대해 추가 점검하고 사후 모니터링하며, 당발송금시 기존 송금 정보와 당해 송금정보가 다를 경우 전산 자동 점검을 통한 사전 안내 절차를 구축하는 등의 사기 예방 장치를 강화하시기 바람

(24) 기업 부동산 담보신탁 수익증권 담보대출 부대비용 운영 불합리

내규 ｢ 기업여신업무지침｣ 에서는 ‘근저당권 및 지상권’ 관련 거래비용 부담 주체를 은행

으로 명시하고 있고, 개인고객 대상 부동산 담보신탁 수익증권 담보대출 상품의 경우 은행이 법무사 수수료 등 부대비용을 전액 부담하도록 홈페이지에 공시하고 있으나,

기업고객 대상 부동산 담보신탁 수익증권 담보대출 상품의 경우 부대비용 부담주체에

대한 별도 내규나 공시사항이 없어 일부 영업점에서 동 상품 취급시 관련 비용을 채무자 고객에게 부담시킨 사례가 있으므로

관련 내규에 담보신탁 수익증권 담보대출 관련 부대비용의 부담 주체를 명확히 반영하여

소비자에게 비용이 전가되지 않도록 운영하시기 바람

(25) Biz플랫폼 조직의 IT업무에 대한 직무전결기준 마련 필요

2020.1.1.부터 ▣▣▣▣(◐◐그룹)에 소속되어 있던 일부 IT개발팀을 Biz플랫폼 조직

내 IT부서(○○개)로 전환 배치하여 비대면서비스 등의 일부 IT개발‧운영 업무를 Biz 플랫폼 조직에서 직접 수행하고 있으나,

동 조직변경과 관련한 내규 ｢ 직제 및 업무분장규정｣ 개정 시 Biz플랫폼 조직에서

통할하는 IT업무를 동 규정에 구분‧반영하지 않아 해당 업무의 직무전결기준이 모호해 질 우려가 있으므로

Biz플랫폼 조직 내 IT업무에 대한 ‘직무전결기준’의 타당성을 검토하여 개선사항을

｢직제 및 업무분장규정｣에 반영할 필요가 있음

(26) 오픈소스 소프트웨어 거버넌스 체계 마련·운영 필요

오픈소스 소프트웨어를 활용한 개발 요건 증가에 따라 내규 ｢ 전산정보업무지침｣ 등에

오픈소스 소프트웨어 관리를 위한 관리체계를 마련하고, 오픈소스 소프트웨어의 보안 취약점, 라이선스 등을 점검·관리하는 전산시스템을 구축·운영하고 있으나,

☆☆☆☆☆☆, ●●●● 등의 전자금융 앱프로그램을 배포·운영하면서, 앱에서

사용하고 있는 오픈소스의 라이선스 정책에 따른 이용내역 고지 등을 이행하지 않아 라이선스 관련 법적 이슈 제기 등 위험 요인이 있으므로

오픈소스 소프트웨어의 도입·활용·유지보수 등 생명주기 전반에 걸친 관리체계

및 오픈소스 소프트웨어별 라이선스 정책을 준수하여 관련 리스크가 통제 될 수 있도록 개선할 필요가 있음

(27) 배치작업 통제관리 미흡

배치작업관리 솔루션을 설치하여 직무에 따라 배치작업 권한을 부여하고 배치

작업 시 책임자의 승인을 거치고 있으나,

수시(1회성) 배치작업은 제3자에 의한 정당성 확인없이 개발부 책임자의 승인만

으로 실행이 가능하고, 배치 운영요원(Operator)에게 배치관리자 권한(Browse, Control, Update)을 상시 부여하고 있어 임의로 배치 작업을 수정·삭제하는 경우 전산사고 발생 가능성이 있으므로

수시(1회성) 배치작업 실행 건에 대해서도 배치운영책임자의 승인을 받아 정당성을

검증하고, 배치운영요원(Operator)에게 최소한의 작업 권한만 부여하는 등 배치작업 통제 절차를 강화할 필요가 있음

(28) 자동화기기(ATM) 운영통제 대책 미흡

자동화기기(ATM)의 안전한 운영을 위해 전용 보안시스템(BM Guard)을 도입하여

업무 목적상 허용된 프로세스(또는 프로그램)의 실행, 저장매체 등을 통제하고 있으나,

동 보안시스템은 허용된 프로세스의 정보를 상세하게 식별‧ 관리하지 않아 출처와

사용목적이 불분명한 일부 파일의 실행을 허용하고 있고, 실행 허용 프로세스의 무결성 검증방법 중 ‘프로세스 명’만을 비교하여 파일명 변조 등을 통한 악성코드 설치‧ 실행이

가능하므로

자동화기기 허용 프로세스에 대한 정보를 주기적으로 식별‧관리하여 불필요한

프로세스를 제거하고, 무결성 검증방법을 확대 적용하는 등 자동화기기 운영‧ 통제 대책을

개선할 필요가 있음

(29) 대고객 앱 서비스 장애 시 에러메세지 보완 필요

금융거래 관련 모바일 앱(총 ○종)에서는 장애 상황별 에러코드를 앱 별로 생성‧

사용하고 있고, 거래 불능 상황 발생 시 시스템 복구를 위해 이용자 접속을 대고객 안내 페이지로 전환하고 있으나,

앱 기동(로그인) 장애 발생시 은행 또는 이용자 환경에서 발생 가능한 장애상황을

고려하여 에러메시지를 표현하지 않고 ‘네트워크 불안정’ 등 일부 모호하게 안내하여 이용자 혼란을 초래하고 반복된 재접속으로 정보처리시스템 부하를 가중 시킬 우려가 있으므로

앱 기동(로그인) 장애 관련 에러메시지의 내용을 정보처리시스템 및 이용자 환경

에서의 장애 상황을 고려하여 명확하게 구분‧표현할 필요가 있음

(30) 전자금융기반시설 취약점 분석·평가 수행 관리 미흡

전자금융기반시설의 취약점 분석·평가를 연 1회(홈페이지는 연 2회) 실시하고,

취약점에 대한 보완조치 이행계획을 수립·시행하고 있으나,

취약점 분석‧ 평가 결과를 정리하는 과정에서 즉시 조치 및 이에 상응하는 보완

조치 수행여부에 대한 검증이 일부 미흡하여 보안리스크가 제거되지 않은 취약점이 잔존할 가능성이 있고

2019년도 취약점 분석·평가 시 발견된 일부 취약점이 2020년도 분석·평가 시

동일하게 발견된 사례가 있으므로

취약점 보완조치 이행에 대한 증빙자료 보관 등 검증절차를 강화하고, 동일

취약점에 대한 발생원인, 조치이력 등을 체계적으로 관리하는 등 취약점 분석·평가 관리체계를 개선할 필요가 있음

(31) 고객(개인)정보파일 관리·통제 강화 필요

고객(개인)정보 보호를 위해 고객정보책임 관리자를 지정하여 단말기 내 개인정보

파일 보관여부 등을 점검하고 있으나,

내규 ｢개인·고객정보 보호 및 관리 지침｣에서 개인정보파일이 암호화된 경우

관리대상에서 제외할 수 있도록 명시하고 있어, 일부 개인정보파일이 점검 대상에서 누락될 우려가 있으므로

개인정보파일 관리 및 점검 시 누락되는 파일이 없도록 내규 및 점검 절차를

개선할 필요가 있음

(32) 정보처리시스템 계정‧권한 예외적용 관리 강화 필요

통합계정관리시스템을 통해 정보처리시스템 계정 및 접근권한, 작업내역 등을

관리하고 있고, 보안정책 예외적용이 필요한 경우 책임자의 승인을 거치고 있으나,

일부 예외요청 건의 경우 사용목적과 대상기간을 세부적으로 기재하지 않아

예외적용 목적 및 기간에 대한 타당성을 검증하기 어려우므로

계정·권한 보안정책 예외적용 시 사용목적 및 대상기간 등에 대한 타당성 검토

절차를 보완하고 주기적으로 예외정책을 점검하는 등 정보처리시스템 계정 등에 대한 관리를 강화할 필요가 있음