신한금융투자 주식회사 금감원 경영유의사항 · 2021-12-02

경영유의사항 등 공개안

1. 금융회사명 : 신한금융투자㈜

2. 조치일 : 2021. 12. 2.

3. 조치내용

대 상

내 용

기관

◦ 경영유의사항 (9건)

◦ 개선사항 (8건)

대 상

내 용

기관

◦ 경영유의사항 (9건)

◦ 개선사항 (8건)

4. 조치대상사실

가. 경영유의사항

(1) 지배구조의 적정성 강화 필요

□ 감사위원이 이사회내 보수위원회를 제외한 타 위원회 위원을 겸직하는 경우 경영진의 직무수행을 감시하는 감사 본연의 기능이 훼손될 우려가 있음에도

◦ 감사위원회 위원(장) □인중 △인이 경영위원회 또는 위험관리위원회 위원(장)을 겸직하고 있으므로 향후에는 이사회내 위원회를 구성하는 과정에서 감사업무의 독립성을 확보토록 할 필요

(2) 재산상 이익수령 기록관리 관련 내부통제 강화 필요

□ 임직원이 재산상 이익을 수령하는 경우 내규에 따라 거래상대방, 수령내용, 수령목적, 경제적 가치 등을 내부업무 시스템에 등록하여야 함에도,

◦ 해외출장시 거래상대방으로부터 수령한 숙박비*를 출장기안 서류에만 기재하고 업무시스템에는 미등록하는 등 전사적으로 재산상 이익수령 기록관리가 미흡하였으므로

* 신탁부 등은 ’17.×월~’18.×월 기간 중 ○○ ○○○○ 상품협의와 관련한 ×차례 출장시 현지 시행사로부터 숙박비를 지원받은 사실이 있음

□ 향후에는 재산상 이익수령시 거래상대방, 목적 및 경제적 가치 등을 업무시스템에 입력하여 체계적으로 기록을 유지하도록 하고, 이를 정기적으로 점검하는 등 내부통제를 강화할 필요

(3) 파생결합증권 판매과정 녹취업무 점검 강화 필요

□ 고령자 등을 대상으로 파생결합증권 등을 판매하는 경우 판매과정 녹취의 적정성에 대한 상시 점검 및 모니터링*을 실시하고 있으나,

* ◆◆◆◆◆◆◆◆◆ 담당자가 녹취 등록 익일에 대상 녹취 파일을 청취하여 녹취내용의 적정성을 점검하고, 월별로 자체점검 결과 보고서를 작성

◦ 투자자 숙려제도 등에 대한 미흡한 설명 등을 보완하기 위해 실시하는 보완 녹취가 적시에 이루어지지 않고 있으므로** 향후에는 보완 녹취가 필요한 경우 동 업무에 소요되는 기간을 단축하기 위한 방안을 마련하여 운영할 필요

** (’18년) ♣건, 평균 ♧일 소요, (’19년) ♤건, 평균 ♠일 소요

(4) 부동산 금융 리스크관리 강화 필요

□ 최근 3년간 부동산 익스포져 규모가 약 △배 규모로 크게 증가*하고 있음에도 부동산 금융 관련 스트레스 테스트를 실시**하지 않았으므로

*(’16년) ◎억원→(’17년) □억원→(’18년) ▽억원→(’19.9월) ◇억원

** ’19.×.××. ○○○○○부는 △△△△△△△에 부동산 자산 중심의 별도 스트레스 테스트의 ▲분기내 실시 완료계획을 보고하였음에도 미실시

□ 향후에는 부동산 금융 관련 별도의 스트레스 테스트 시나리오를 준비하여 정기적으로 실시할 필요

(5) 조사분석자료 관련 매매제한 시스템 보완 필요

□ 조사분석자료가 사실상 확정된 때부터 공표 후 24시간이 경과하기 전에는 이해상충 발생가능성이 낮은 일부 예외사항*을 제외하고는 자기계산으로 조사분석자료 관련 종목의 매매를 할 수 없도록 매매제한 시스템을 구축ㆍ운영하고 있으나,

* 바스켓 주문, ETF 시장조성자 호가주문 업무 등

□ 조사분석자료 관련 매매제한 시스템과 고유재산 운용부서의 매매제한 시스템이 연동되어 있어 IPO부서에서 인수한 주식이 고유재산 운용부서의 매매제한 대상이 아니라는 이유로 매매제한이 해제되자,

◦ 조사분석자료 관련 매매제한 시스템에서도 매매제한이 자동으로 해제되어 조사분석자료가 공표된 후 24시간이 경과하지 않았음에도 매매가 이루어지는 사례*가 발생하였으므로

* 다만, 해당 조사분석자료가 이미 공표한 조사분석자료와 비교하여 새로운 내용을 담고 있지 않아 법 위반사항에는 해당하지 않음

□ 향후에는 예외사항의 적용에 대해서는 두 시스템이 독립적으로 작동할 수 있도록 하는 등 매매제한 시스템을 개선할 필요

(6) 파생결합증권 관련 평가시스템 정확성 제고 필요

□ ’××.×월 파생결합증권 자체헤지를 위한 가격평가시스템을 구축한 이후, 평가변수 중 하나인 기초자산*의 배당률이 시스템 구축 초기상태로 고정되어 있어 실제 배당률 정보를 반영하지 못하고 있으므로

* EUROSTOXX50, HSCEI, KOSPI200 등의 지수, 개별 종목 등

□ 향후에는 배당률 업데이트 등을 통해 파생결합증권 기초자산 가격평가 시스템의 정확성을 제고할 필요

(7) IT부문 감사체계 강화

□ ○○부는 전자금융거래 관련 IT업무에 대한 내부통제의 적정성을 점검하면서 주문체결 불가, 자금이체 오류 등의 장애가 발생하였음에도 장애 발생원인 및 재발방지대책의 적정성에 대한 수시감사를 하지 않아 유사장애*가 반복적으로 발생하였고

* 책임자 승인없이 프로그램을 운영시스템에 적용하여 파생상품, 수익증권 주문처리 오류 발생

□ △△△본부는 감사항목, 항목별 점검주기(일일/월간/분기 등), 보고절차 등 업무절차가 반영된 감사매뉴얼 없이 감사업무를 수행하고 있어 도급업체 운영업무, 전산원장 변경통제 등 특정분야 위주로 감사를 실시하고, 자체감사자가 피감업무인 IT계약, 프로그램 변경관리 등의 업무를 겸직하고 있어 감사업무의 독립성이 결여될 우려가 있고

□ ￭￭￭￭본부는 자체감사자를 지정하지 않아 고객정보보호 등 보안업무에 대한 감사를 실시하지 아니하여 내부통제 미흡 등으로 인한 보안사고가 발생할 우려가 있으므로

□ ○○부는 전산장애 발생시 수시감사를 통해 장애 발생원인 및 재발방지 대책의 적정성을 점검하고 △△△ 및 ￭￭￭￭본부는 감사매뉴얼을 마련하고 자체감사 전담자를 지정하여 IT부문 리스크 전반에 대해 감사를 실시하는 등 감사업무에 대한 실효성을 제고하시기 바람

(8) IT사업 계약 및 검수업무 투명성 제고

□ 매년 IT사업 추진 계획을 수립한 후 ◇◇◇◇위원회에서 사업 추진여부를 검토·승인하고 정보처리시스템 구축 및 전자금융거래 관련 계약 체결시 적합한 업체의 공정한 선정을 위하여 경쟁입찰 등 계약업체 선정을 위한 절차·기준 및 납품 또는 개발 완료 후 검수절차 등을 마련·운용하고 있으나

□ 경쟁입찰이 아닌 수의계약으로 계약을 추진하는 경우 업체 신용평가등급 또는 재무제표를 확인하지 않고 총 ♥♥회에 걸쳐 업무담당자 이메일로 견적서를 제출받아 입찰가격이 최저가인 업체와 계약을 체결하고 있어 업체 도산 등으로 인한 IT서비스 업무지속성 및 업체 선정의 공정성 확보가 어려울 수 있고

□ 일부 IT용역사업은 검수절차에 명시된 투입공수 확인서 등의 자료를 업체가 제출하지 않았음에도 검수를 완료하거나, 계약서에 명시된 이행사항을 완료하여 업체에게 검수완료를 통보하였음에도 대금지급을 지연하는 등 사업 종료 후 해당 업체와 사후 분쟁이 발생할 소지가 있으며

□ 검사대상기간중 총 ☆☆개 사업은 ◇◇◇◇위원회에서 지연 또는 미추진 사유, 재추진 여부를 검토하지 않는 등 IT사업 관리가 제대로 이루어지지 않고 있어 중요한 IT사업의 수행에 차질이 발생할 우려가 있으므로

□ 계약의 투명성 확보를 위하여 계약시스템을 통해 수의계약을 진행하고 업체의 도산 등에 대비하여 업체 재무제표상 재무상태 및 현금흐름 및 IT사업 검수 및 대금지급 현황에 대한 상시모니터링을 실시하고

□ △△△△위원회에서 당해연도 미추진된 IT사업에 대한 원인분석 및 재추진 여부, 미추진 사유 등에 대해 △△△△위원회 승인을 받는 등 IT사업 계약, 검수, 추진에 대한 관리를 강화하시기 바람

(9) IT업무 연속성 계획의 실효성 제고

□ 장애·재해·파업 등 긴급상황 발생 시 신속한 복구 등을 통해 전자금융업무 중단 시간을 최소화하기 위해 HTS·MTS 등 중요업무는 핵심업무로 지정하여 재해복구시스템 구축한 후 매년 비상대응 모의훈련을 실시하고 있으며, IT부서에서 업무 중요도에 따라 재해복구시스템 구축대상을 선정하고 있으나,

□ 검사착수일 현재 ◉◉◉◉◉◉, ▽▽▽, ◈◈◈◈◈◈ ◈◈◈◈ 등 대고객 업무 및 보안장비 등은 재해복구시스템을 구축하지 아니하였고

□ 정보처리시스템에 보관 중인 전산자료는 자료의 중요도에 따라 백업주기를 차등화(일별, 주별, 월별 등)하지 않고 보안장비의 보안정책은 백업대상에서 제외되어 있으며

□ 일부 핵심업무는 비상대응 모의훈련을 실시하지 아니하고 △△△△△△ 및 현업부서 직원은 훈련에 참가하지 아니하는 등 실제 비상상황 발생시 신속한 복구가 어려울 수 있으므로

□ 재해복구시스템 선정시 현업부서와 함께 업무중요도를 평가하여 재해복구시스템 구축대상을 선정하고, 보안장비의 백업정책을 백업대상에 포함하는 한편, 모의훈련은 모든 핵심업무를 대상으로 실시하고 IT·정보보호, 영업점, 현업부서 업무담당자가 참여하여 업무검증을 실시하는 등 IT업무 연속성 계획의 실효성을 확보하시기 바람

나. 개선사항

(1) 신탁재산의 사전자산배분 관련 전산시스템 개선 필요

○○부는 신탁재산의 집합 주문시 사전자산배분 명세를 전산시스템에 등록하고 있으나,

동 시스템에 △△△△, ◆◆◆◆ 입력 항목이 없어 자산배분명세가 사전에 작성되었는지 점검하기 어려우므로 집합 주문이 사전자산배분 명세에 근거하여 적절하게 이행되었는지 확인이 용이하도록 사전자산배분 시스템을 일부 개선할 필요가 있음

(2) 정보처리시스템 성능관리 미흡

정보처리시스템의 CPU, 디스크사용량 등 전산자원에 대한 성능을 분석하여 매월 성능관리보고서를 책임자에게 보고하고 있으나 평일 ☆분간(♥~♡분) 성능값의 평균치를 보고하고 있어, 그 외 시간대에 전산 자원의 임계치에 도달하는 경우 최고 저장용량 대비 성능이 부족하여 전산장애 발생할 우려가 있으므로 성능관리 범위를 확대하고 성능값을 평균치가 아닌 최고치로 변경하는 등 정보시스템에 대한 성능관리를 개선하시기 바람

(3) 정보보호시스템 운영통제 미흡

자료유출, 악성코드 감염방지 등을 위해 보안USB, 출력물 보안, 백신 등 단말기용 보안프로그램을 설치·운용하고 있으나 보안USB는 별도 신청절차 없이 부·지점별로 일괄지급한 후 보안USB 미사용, 분실 여부를 제외한 배포현황 및 자료반출 사유 등에 대해서만 점검을 수행하고, 일반USB는 외부자료 반입 등 업무상 불가피한 경우가 아닌 개인자료 이동 등의 목적으로 일부 임직원이 사용하여 자료를 반출입한 사례가 있으며, 출력물 워터마크는 책임자 사전승인 후 자가해제 권한을 부여하고 있으나, 일부 직원에게 긴급성 등의 사유로 책임자 승인없이 해제 권한을 부여한 후 회수하지 않았으며 업무용 단말기에 치료·삭제되지 않은 ¤¤¤개(♧개 유형) 악성코드에 대한 제거 및 잔여위험 분석 등의 사후관리가 미흡하므로 보안USB는 신청사유, 신청기간 등을 포함한 신청절차를 마련하여 지급하고, 지급후 분실 및 미사용 여부 등에 대해 정기적으로 점검을 실시하는 한편, 일반USB는 업무상 불가피한 경우에만 사용토록하고, 출력물 워터마크 등 보안프로그램에 대해 자가해제 권한 부여하는 경우, 권한 회수여부에 대한 정기적으로 점검하는 절차를 마련하고, 업무용 단말기의 악성코드 감염여부를 정기적으로 점검하여 치료되지 않은 악성코드를 제거하는 등의 정보보호시스템 통제절차를 강화하시기 바람

(4) IT감리 및 프로그램 변경관리 미흡

내규 ｢IT업무매뉴얼｣ 및 ｢ICT 응용프로그램 유지보수 절차｣에 의하면 IT사업 중요도(1~4등급)에 따라 중요도가 1등급인 사업은 외부감리를 실시하고, 그 외 사업은 CIO가 내부감리 시행 여부를 판단하여야 하며, 응용프로그램에 대한 유지보수가 필요한 경우 요청사항을 명시한 ‘개발요청서’에 따라 프로그램을 개발하여야 하나 검사대상기간 중 추진한 중요도가 2~4등급인 사업 △△개는 내부감리 실시여부에 대한 사전검토 및 내부감리를 실시하지 않고 사업을 추진하였고 일부 개발요청서에 개발요건이 구체적으로 명시되지 아니하여 개발완료 일정이 지연되는 사례가 다수 발생하는 등 프로그램 변경관리가 다소 미흡하므로 중요도가 2~4등급인 사업도 내부감리 실시여부에 대한 사전검토 후 사업을 추진토록 하고, ‘개발요청서’ 및 ‘테스트 보고서’ 작성시 구체적인 개발요건 및 개발요건에 맞는 테스트 시나리오와 결과 화면 등을 작성하는 등 프로그램 변경통제 절차를 강화하시기 바람

(5) 일괄작업 오류내역 관리 강화

일괄작업은 책임자의 승인을 득한 작업의뢰서에 근거하여 운영시스템에 등록·수행토록 통제하고 있으나 일부 일괄작업에서 반복적으로 오류가 발생하고 있음에도 오류 발생원인 등을 분석하지 아니하고, 일괄작업 수행시 전산원장이 변경되는 경우 자체감사 등을 통한 사후확인이 다소 미흡하여 일괄작업 오류 등으로 인한 장애가 발생할 우려가 있으므로 일괄작업 수행시 동일한 오류가 반복적으로 발생하지 않도록 오류 발생원인 및 유형 등을 체계적으로 분석·관리하는 등 일괄작업 관리통제를 강화하시기 바람

(6) 수탁사 점검 및 외주직원 보안통제 강화

정보유출 등 보안사고를 예방하기 위해 외주직원에 대한 보안점검 및 전산장비 반입은 원칙적으로 차단하고, 개인정보 위탁업체에 대해서도 현장점검을 하고 있으나 외주직원이 불가피하게 전산장비를 반입하는 경우 보안점검*, 반출입 대장 작성 등의 절차를 운영하지 아니하여 정보유출 등 보안사고 우려가 있고, 일부 외주직원(◇명)의 퇴직시 보안점검 절차가 누락된 사례가 있으며

* 반출입 장비에 대한 악성코드 감염여부, 정보유출 여부 등 확인

개인정보 위탁업체 현장점검에서 발견된 미흡사항에 대한 조치기간에 대한 기준이 없어 ‘공유폴더 사용가능‘ 등의 일부 미흡사항이 ☆개월 이상 조치되지 아니하는 등 외주직원 보안통제 및 개인정보 위탁업체 점검이 다소 미흡하므로 외주직원에 대한 전산장비 반출입, 퇴직자 점검절차에 대한 보안통제 및 개인정보 위탁업체 현장점검 미흡사항에 대한 조치기간 등을 포함한 관련 절차를 마련하는 등 외주직원 및 개인정보 위탁업체에 대한 보안통제를 개선하시기 바람

(7) IP주소 관리대책 불합리

정보처리시스템(단말기 포함)은 업무 특성별 네트워크를 분리하여 IP주소를 부여하고 있으나, 일부 정보시스템(▽대)는 업무 특성별로 IP주소를 부여하지 아니하였고 단말기는 근무지 기준으로 IP대역을 할당하고 있어 일부 중요단말기와 일반단말기가 동일한 IP대역을 사용하고 IP대역별 보안정책 적용 시 업무와 상관없이 보안정책이 완화될 우려가 있으므로 단말기 유형별(중요단말기·일반단말기, 내‧외부 인력별, 직무별) IP할당 정책을 수립·적용하고, 운용 중인 서버에 설정된 IP대역을 일제 점검하여 단말기 유형별로 정비하고, 서버 신규 설치 시 해당 네트워크 영역에 구축될 수 있도록 사전 검토하는 절차를 마련하는 등 IP대역 관리체계를 개선하시기 바람

(8) 개인정보 모니터링 및 점검절차 불합리

개인정보 유출 등을 방지하기 위해 개인정보처리시스템* 및 데이터베이스**에서 개인정보 조회시 과다조회 여부 및 조회 사유 등의 소명절차를 마련·운용하고 있으나

* ①일 ♡♡♡♡건 이상 조회, ②평균 대비 이상 조회(일 평균, 주간 평균 대비 과다조회 등)

** 주간 ◎만건 이상 조회

개인정보처리시스템에 대한 개인정보 과다조회 점검시 업무 특성 등을 고려하여 점검하고 있으나 일부 점검결과에 대한 책임자 보고가 이루어지지 아니하고, 데이터베이스 접속을 통한 개인정보 과다조회 여부 판단시 업무 특성을 고려하지 않고 모든 직원에게 동일하게 조회건수 기준으로만 운영하여 부정한 목적의 개인정보 과다조회자에 대한 검출이 어려우므로 개인정보처리시스템, 데이터베이스 등 개인정보를 보유하고 있는 전체 시스템을 대상으로 업무 특성, 평균 조회 규모 등을 반영한 개인정보 과다조회 기준을 마련하고, 과다조회자에 대한 소명, 검증 및 책임자 보고절차를 강화하는 등 개인정보 모니터링 및 점검절차를 개선하시기 바람