주식회사 나이스디앤비 금감원 경영유의사항 · 2024-04-08

경영유의사항 등 공개안

1. 금융회사명 : ㈜나이스디앤비

2. 조치일 : 2024. 4. 8.

3. 조치내용

대 상

기 관

내 용

경영유의 3건, 개선 7건

4. 조치대상사실

가. 경영유의사항

(1) 종합신용정보집중기관에 대한 기술신용정보 지연 등록

｢ 신용정보업감독규정｣ 제26조의4 제3항에 의하면 기술신용평가 업무를 하는 기업신용조회회사는 기술신용정보를 등록 사유 발생일부터 7영업일 이내에 종합 신용정보집중기관인 한국신용정보원에 등록해야 함에도

㈜나이스디앤비(이하 “나이스디앤비”)는 2020.8.5.~2022.9.1. 기간 중 발급한 기술신용평가서 OOO,OOO건을 한국신용정보원에 등록하기 위하여 기술신용정보를 전송하였으나, 전산 오류 등으로 등록되지 않은 기술신용평가서 전문* O,OOO건 및 원문** O,OOO건 에 대해 오류 통보를 받았음에도 모니터링 소홀 등으로 즉시 재전송하지 않아 최단 1일에서 최장 170일까지 지연 등록한 사실이 있으므로

* T등급을 산출하기 위한 소항목 등급 및 정량지표를 가공·분석이 용이한 형태로 만든 파일

** 평가의견과 최종 산출된 T등급 등이 포함된 기술신용평가서

기술신용정보가 지연 등록되지 않도록 전송 오류 건에 대한 모니터링을 강화 하는 등 기술신용정보 집중 업무를 체계적으로 정비할 필요가 있음

(2) 업무보고서 정확성 제고

신용정보회사는 매분기 업무보고서를 금융감독원장에게 제출하면서 오류가 없도록 정확하게 작성해야 함에도

나이스디앤비는 업무보고서 작성·제출 시 작성 내용에 대한 오류 등 적정성을 검증하는 절차가 마련되어 있지 않아 2018.11.16.~2022.9.7. 기간 중 제출*한 업무 보고서 OO종에서 작성자별 작성 기준이 상이, 수치 누락 등의 오류가 발생**하였으므로

* ‘21.4분기 기준으로 재무제표, 신용정보 제공건수 등 OO종을 제출

** 검사종료 후 ’22.12.1. 현재 수정 완료

업무보고서 작성‧ 제출 과정에서 오류를 최소화할 수 있도록 업무보고서 작성

및 제출 관련 업무절차를 개선할 필요가 있음

(3) 내부 감사 체계 강화

감사관련 내규*에 따라 감사계획은 감사의 승인을 받아야 하고 감사결과는 감사를 거쳐 대표이사에게 보고하여야 함에도

* OO세칙 제8조 및 제13조에는 감사계획은 감사의 승인을 받아 대표이사에게 보고하고

감사결과 보고서는 감사를 거쳐 대표이사에게 보고하도록 규정 2019년부터는 감사계획 및 결과에 대한 적정성을 감사에게 검토받지 않고 대표이사에게만 보고하고 있어 내부 감사 업무의 독립성 및 신뢰성이 훼손될 우려가 있으며

감사실(팀)은 검사착수일 현재 팀장 1명(총임직원 OOO명 대비 0.3%)으로만 운영되는 등 소수 인력으로 감사업무를 수행*하면서 연간 감사계획 수립시 감사 대상이었던 일부 부서에 대해 감사를 수행하지 않는 등 감사실적**이 저조하므로

* 감사인력 추이 : 3명(’20.5월) → 2명(’21.2월) → 3명(’21.12월) → 2명(’22.4월) → 1명(’22.5월)

** 연도별 감사실적(감사실시부서 수/감사대상부서 수) : ’18년(10/10) → ’19년(8/12) → ’20년 (13/13) → ’21년(10/15)

감사계획 및 결과에 대해 감사의 승인 및 보고를 반드시 거쳐 그 적정성을 확인받는 등 감사업무의 독립성을 확보하고 감사인력을 조속히 충원하여 감사 업무의 내실화를 도모할 필요가 있음

나. 개선사항

(1) 기술신용평가 모형 검증절차 개선

나이스디앤비 내규에서는 매년 1월 평가모형을 검증하면서 전전기 사업연도의 평가결과를 활용하도록 하고 있고, 평가모형의 변별력을 평가하면서 목표부도율 및 실제부도율 간 비교 결과를 반영하도록 하고 있으나

TCB평가모형은 타 평가모형과 달리 사후 부도여부를 이용하는 모형이 아님에도 평가모형 변별력 검증 절차상 TCB평가모형 검증을 위해 부도여부를 이용하도록 되어 있고, 최신의 TCB평가결과를 검증에 활용*하고 있지 않으므로

* 신용평가모형 등 피평가자의 부도 여부를 평가(또는 예측)하는 모형의 경우 평가 후

일정 기간(예. 1년 지난 시점)이 경과한 시점에 피평가자의 신용 상태(부도·연체여부)를 검증에 활용하여야 하므로 최신 평가 결과를 모형검증에 활용할 수 없음

TCB평가의 정확성을 제고하기 위해 최신 평가결과를 활용하여 모형 검증을 실시하고 평가모형의 변별력을 실질적으로 평가할 수 있는 지표가 내규에 반영 되도록 TCB평가모형에 대한 검증 절차를 개선할 필요가 있음

(2) 신용평가모형 개발 종료시 개인신용정보 파기 절차 마련

기업 대표자의 CB스코어를 신용평가모형 개발에 이용*할 때 전자결재 및 IT업무승인시스템을 통해 동 데이터 추출에 대한 사전검토 및 승인을 거쳐 통제된 업무용 PC**에서 분석 및 개발 업무를 수행하고 있으며, 업무 수행 완료시 개인 신용정보를 삭제하고 있으나

* 모형개발시는 외주인력이 아닌 AA관리팀 직원이 직접 개발

** 인터넷차단, USB등 보조기억매체 사용제한, 백신프로그램 등 설치

개인신용정보 삭제에 대한 결재 절차 등이 마련되어있지 않고, 삭제 여부를 확인하고 있지 않으므로 개인신용정보를 체계적으로 삭제하고 삭제 여부를 관리 할 수 있도록 관련 절차를 수립하여 이행할 필요가 있음

(3) 기술신용평가 현장실사업무 수탁사 관리 미흡

나이스디앤비는 기술신용평가 업무를 하면서 관련 현장실사 업무를 위탁*하고 있으며 해당 수탁사와 위탁계약 해지‧ 종료 시 계약서 등에 따라 정보 파기 여부

및 재위탁 여부를 확인하기 위해 방문 점검을 할 수 있음**에도

* 검사 착수일 현재 AA, BB, CC, DD, EE 등 5개사에 위탁

** 계약서 제12조 제3항에는 위탁업무 수행 중 얻은 산출물을 반환하거나 폐기하도록 하고 있으며 표준 개인정보처리 위탁 계약서 제12조 제5항에는 정보 파기여부 상태를 확인하기 위해 수탁자의 사업장을 방문하여 점검을 실시할 수 있다고 규정 수탁사 2개사*에 대해 계약을 해지‧ 종료하면서 보안서약서 및 자료폐기 확인서만

징구하고 수집정보의 파기 여부와 재위탁 여부 등에 대한 방문점검 등 실지 점검은 실시하지 않아

* FF, GG 등 2개사

수탁사에서 정보 관리를 소홀히 한 경우 피 평가사에 대한 실사 자료인 ‘현장 실사 결과’, ‘사업자등록정보’, ‘주주명부’, ‘기술관련 자료’ 등이 제3자에게 유출될 우려가 있으므로

위탁업무 계약 해지‧ 종료 사유 발생 시 계약 종료 전 수탁사가 수집한 정보에

대해 파기 여부, 제3자 제공 여부, 재위탁 여부 등을 확인하는 절차를 수립하여 실지 점검을 수행하는 등 수탁사에 대한 관리를 강화할 필요가 있음

(4) 개인신용정보 수집·이용 동의서 개정 미흡

신용정보회사는 신용정보를 수집‧ 처리하는 경우 법으로 정한 업무 범위내에서

수집 및 처리의 목적을 명확히 해야 하나

나이스디앤비는 기업 대표자의 개인신용정보*를 수집하여 신용평가모형 개발에 이용하면서 개인신용정보 수집·이용 동의서의 이용목적으로 “신용조회업자 업무의 수행” 등 포괄적인 내용이 포함**되어 있어 신용정보주체가 실제 이용목적을 명확히 인지하지 못할 우려가 있으므로

* 대기업, 조달청 등에 평가보고서를 제출하는 기업에 대해 자사의 통합신청사이트

(www.nicers.co.kr)를 통해서 수집

** 전체 문구는 “신용정보의 이용 및 보호에 관한 법률 제2조, 제4조(동 시행령 제3조)에 신용조회업자 업무의 수행”이며, 표기된 근거 조항이 신정법 개정(’20.2월) 후에도 업데이트 되지 않음

신용정보주체가 개인신용정보의 수집·이용 목적을 쉽고 명확하게 인지할 수 있도록 개인신용정보 수집‧ 이용 동의서를 개정할 필요가 있음

(5) 개인신용정보 이용‧제공 내역 관련 통지 절차 미흡

(가) 신용정보주체에 대해 신용정보 이용‧제공 사실 통지 절차 미흡

｢ 신용정보업감독규정｣ 제40조 제2항에 따르면 신용정보회사는 본인의 개인 신용정보 이용·제공 사실을 조회한 신용정보주체에게 법 제35조제2항에 따라 통지를 요청할 수 있다는 사실과 함께 통지 요청의 방법, 통지의 주기 및 수수료 등을 알려야 하나

나이스디앤비는 자사 홈페이지(전자민원센터)를 통해 개인신용정보 이용 및 제공사실의 조회 요청을 접수하여 처리하고 있다는 사실은 안내하고 있으나, 통지 주기 및 수수료에 대해서는 구체적으로 설명하지 않고 있어 신용정보주체가 이를 정확하게 인지하지 못할 우려가 있으므로

신용정보주체에게 개인신용정보 이용‧ 제공 내역에 대한 통지 주기 및 수수료

등도 함께 알릴 수 있도록 개선할 필요*가 있음

* 검사기간중 접수 화면 등에 통보 방법, 주기, 수수료 관련 안내사항 게시 완료

(나) 신용정보주체에 대한 통지 사항 및 본인여부 확인 미흡

｢ 신용정보업감독규정｣ 제40조 제1항 및 별지 제15호 서식에 따라 신용정보 회사는 개인신용정보 이용‧ 제공 내역을 통지하는 경우 각각의 이용·제공 날짜,

목적, 개인신용정보의 내용, 보유 및 이용기간 등을 포함하여야 함에도

나이스디앤비의 내규 ｢ ◎◎◎◎업무세칙｣ 의 신용정보 이용 및 제공사실 통지서

서식상 제공내역의 ’제공받은 자의 보유 및 이용기간‘ 항목이 마련되어있지 않고,

전자민원센터에서 접수시 입력된 이메일로 개인신용정보 이용‧제공 내역을 통지하면서 통지요청 접수시 함께 접수된 신분증 사본으로만 본인 여부를 확인 하고 있어 실제 신용정보주체가 아닌 자에게 통지될 소지가 있으므로

신용정보 이용 및 제공사실 통지서 서식에 ’제공받은 자의 보유 및 이용기간‘ 항목을 추가하고, 본인 확인의 안전성과 신뢰성이 확보될 수 있는 수단을 통해 본인 여부를 확인하도록 개선할 필요*가 있음

* 검사기간중 본인인증 서비스 반영 완료

(6) 신용정보전산시스템 보안관리 미흡

(가) 신용정보전산시스템의 접속 비밀번호 설정 미흡

개인신용정보처리시스템 접속 비밀번호의 관리를 위해 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자를 비밀번호로 이용하지 않도록 비밀번호 작성규칙을 내규로 마련하였으나,

개인신용정보를 처리하는 보고서작성, ▣▣▣▣, ◈◈◈ 등 대내‧ 외 시스템에

대해서는 별도의 비밀번호 작성규칙*이 적용되어 있어 생일, 주민등록번호, 전화 번호 등 숫자를 이용하여 비밀번호를 생성할 수 있으므로

* 대내 시스템인 ‘보고서작성’에는 아이디를 비밀번호로 사용금지, 동일문자 반복 횟수 제한 등이 적용되어 있으며, 대외 시스템인 ‘▣▣▣▣’, ‘◈◈◈’에는 직전 비밀번호의 재사용금지, 문자‧ 숫자‧ 특수문자 조합 8자리 이상 규칙이 적용 중

개인신용정보처리시스템에 대해 생일, 주민번호, 전화번호 등 추측하기 쉬운 숫자를 접속 비밀번호로 이용하지 못하도록 내규에 따른 비밀번호 작성규칙을 실제 적용하는 등 비밀번호 체계를 정비할 필요가 있음

(나) 신용정보전산시스템의 악성프로그램 감염방지 미흡

나이스디앤비는 개인용 컴퓨터(PC)의 정보의 도난, 누출, 변조 등에 대비하여 악성프로그램 감염방지를 위한 백신프로그램 설치와 최신 버전 적용 등을 내규에 명시*하고 이를 이행**하는 한편,

* 백신프로그램 설치, 최신 버전으로 업데이트, 자동 업데이트와 실시간 감시 기능의 적용

등을 명시하고 있음

** PC에 대해서 백신프로그램 ‘알약’을 설치하였으며 실시간 검사를 강제하고 매일 12시에 예약검사를 자동 실행하도록 하고 있으며, 매월 ‘정보보안 월간점검 보고’를 통해 악성 프로그램 감염현황 등을 점검‧보고 중

개인신용정보를 처리하는 △△△서버에 대해서는 악성프로그램 유입과 감염 방지를 위해 악의적인 프로그램이 해당 서버에서 임의로 실행되는 것을 통제* 하고 있으나

* 침입방지시스템, 웹방화벽을 이용하여 악성프로그램 유입을 탐지·차단하고 △△△ 서버에

보안운영체제를 설치하여 확인되지 않은 악의적인 프로그램 실행시 통제 중 위의 통제를 우회하여 악성프로그램에 감염될 경우 신용정보의 유출, 변조 등의 우려가 있으므로 △△△ 서버에 대해서 보다 강화된 악성프로그램 감염 방지 대책을 마련*하여 적용할 필요가 있음

* 악성프로그램 감염 여부 확인, 탐지 패턴의 최신화 등 관련사항을 내규에 반영하고,

감염 여부, 패턴 갱신 여부 등에 대해 주기적 점검 및 보고

(7) 신용정보관리·보호 조직체계 정비 및 운영 개선

나이스디앤비는 OOOO본부장을 신용정보관리·보호인*으로 지정하여 신용정보 관리·보호를 위한 각종 점검을 실시하고 이에 대한 보고 등의 업무를 수행**하고 있으나

* 현 OOOO본부장은 기획·회의체·대관·회계·세무·인사·총무업무와 신용정보관리․보호업

무를 수행(NICE홀딩스 □□□□실장, NICE평가정보 ◎◎◎◎실장 역임)

** 월1회 개인신용정보 조회현황 점검, 신용전산시스템의 업무·직급별 접근권한 현황 점검, 비밀번호, 악성프로그램 보호대책 등 정보보호상시 평가를 위한 점검수행, 신용정보법 관련 금융위 보고사항에 대한 대표이사·이사회 보고, 임직원 준법교육 실시 등

직원 2명으로 구성된 OOOO본부 내 □□□에서 OOOO 업무와 신용정보관리‧ 보호 업무*를 병행하고 있음에도 직제 관련 내규에는 신용정보관리‧ 보호 업무를

수행하는 부서가 명시되어 있지 않으며

* □□□내 신용정보관리‧보호 업무 수행인력 추이 : 1명(’18년)→2명(’19.1월∼’22.8월)

개인신용정보 이용관리, 신용전산시스템의 보안, 기업신용평가 업무를 처리하는 과정에서 신용정보관리 및 보호 업무에 일부 미흡한 사례*가 확인되고 있으므로

* 개인신용정보 이용관리(수집‧이용 동의서 내용 최신화, 신용평가모형 개발 완료시

개인신용정보 삭제 처리), 신용전산시스템의 보안(비밀번호 적용 및 악성프로그램 감염 방지), 기업신용평가 업무(위탁사 계약해지 처리)에서 개선 필요 사항 발견

신용정보관리·보호를 위한 조직을 정비하여 담당부서 및 업무분장을 내규에 명확히 반영하고 신용정보관리‧ 보호 전반에 대한 점검·조사를 통한 업무처리

절차 개선 등 신용정보관리·보호 업무를 체계적으로 수행할 필요가 있음