캐롯손해보험주식회사 금감원 경영유의사항 · 2025-11-11

경영유의사항 등 공개안

1. 금융기관명 : 舊캐롯손해보험㈜

2. 조치일 : 2025. 11. 11.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 제3자 서비스 관리체계 강화 필요

회사는 비용 효율화 및 핵심업무에 대한 역량 집중 등을 위해 다수의 외부 전문

업체와 제휴 및 정보처리위탁 계약을 맺고 있다.

하지만 제3자 서비스에 대한 상세 관리 기준 및 총괄 관리부서가 부재한 상태로

외부 업체와 계약을 수행한 각 부서에서 해당 업체에 대한 관리를 개별적으로 수행함에 따라

제3자 서비스 전체 현황 및 관련 전자금융거래 서비스, 단일 장애지점*, 제3자 서비스

장애 발생시 업무 영향도, 제3자 리스크 관련 문서**, 대체수단 등이 체계적으로 관리되지 않고 있다.

* 대체수단이 제공되지 않아 해당 기능 중단시 주요 전자금융업무에 영향을 주는 요소

** 리스크관리 활동 내역, 위탁 관련 의사결정사항, 실사 결과 등 주요사안

또한, 회사는 ｢ IT감사업무편람｣ 제4조 등에 따라 IT감사 업무를 정기감사, 특별감사

및 일상감사로 구분하고 이를 위해 IT부문 감사조직(A팀 ◍명)을 구성하여 운영*하고 있다.

* IT자체감사 관련 내규 부재 및 IT부서 자체감사인 미지정

하지만, 검사대상 기간(2022.1.1.~2025.4.30.) 중 외부주문 업체에 위탁한 업무*의

적정성 등에 대하여 IT감사를 하지 않았다.

* (B) 단위시스템 및 솔루션 운영 등

(C) 고객센터 콜 인프라 제공 및 운영 등 (D) 보안 관제 등

(E 계약종료) 보안 관제 등

<조치할 사항>

따라서, 회사는 제3자 서비스 총괄 관리부서 지정 및 업무 영향도 관리 기준 등

관리 체계를 마련하여 단일 장애지점을 식별·관리하고 제3자 리스크 관련 문서를 집적 하며, 업무 영향도 관리 기준에 따라 체계적으로 업무를 수행하는 등 제3자 서비스 관리를 강화하여 운영하시기 바랍니다.

또한, 외부주문 업무를 포함하여 감사계획을 수립 및 실시하는 등 외부주문 업체에

대한 업무 적정성 등 관리를 강화하여 운영하시기 바랍니다.

나. 개선사항

(1) 외부 연계기관 통신회선 연결 및 대체수단 마련 미흡

회사는 보험업무 등과 관련하여 보험개발원, 한국신용정보원 등 외부 연계기관에

대해 재해복구센터 간에도 통신회선을 연결하고 있다.

하지만 중요 제3자 서비스 기관인 F(자동차보험 손해사정 업무) 및 C(콜센터 업무)

와는 회사의 주전산센터로만 통신회선을 연결함에 따라 통신회선에 장애가 생기거나 재해 등으로 회사 재해복구센터*로 전환·운영 시 손해사정 및 콜센터 업무의 연속성이 보장되지 못할 우려가 있다.

* 대외연계시스템 등이 운영 중인 주전산센터에 대한 백업센터로 본사에 구축

또한, 일부 대고객 업무와 관련된 제3자 서비스*는 대체수단이 마련되어 있지 않아

동 제3자 서비스 장애시 관련 대고객 업무가 중단될 가능성이 있다.

* G(보험료 자동이체), H(카카오알림톡, 문자메세지 등 고객 안내메세지 발송) 등

<조치할 사항>

따라서 회사는 핵심업무와 관련된 제3자 서비스가 대체수단 확보가 어려운 단일

장애지점인 경우 통신회선에 장애가 발생하거나 회사 또는 제3자 서비스 제공업체가

재해복구센터로 전환하여도 해당 서비스가 지속될 수 있도록 통신회선 연결을 강화하여 운영하고, 대체수단 확보가 가능한 경우 대체수단을 마련하여 제3자 서비스 장애로 인한 전자금융거래 서비스 장애로의 전이를 예방하는 등 제3자 서비스에 대한 운영복원력을 확보하시기 바랍니다.

(2) 제3자 서비스 관련 비상대책 및 재해복구전환훈련 미흡

회사는 업무지속성확보를 위해 ‘재해복구계획서’를 마련하고, 매년 재해복구전환

훈련을 실시*하고 있다.

* 2023년도는 ‘정보처리시스템 비상 대응체계 고도화’ 프로젝트 진행중으로 2024.1월로 연기하여 실시 하지만 재해복구계획서 등에 회사 전산센터(클라우드 포함)별1) 재해복구시스템 전환절차 및 제3자 서비스 복구절차2)를 상세히 마련하지 않았고, 제3자 서비스 장애에 대한 비상대응방안도 마련되어 있지 않아 비상 상황 시 원활한 대응이 이루어지지 않을 우려가 있다.

1) 회사는 I클라우드 ○○센터에 ◎개존을 구성하여 운영 중이며(장애시 자동전환), 주전산센터(●●

J IDC) 및 백업센터(◉◉)에 □□장비, ▣▣서버(주전산센터) 등을 운영(장애시 전환작업 필요)

2) 핵심업무에 대한 제3자 서비스 식별 및 통신회선 전환 등 상세 작업절차

또한, 2024년 재해복구전환훈련 시 일부 제3자 서비스(K)에 대해서만 모의훈련을

실시하는 등 핵심업무와 관련된 제3자 서비스에 대한 재해복구전환 검증이 미흡하다.

<조치할 사항>

따라서 회사는 전산센터(클라우드 포함)별 재해복구 전환 상세절차 및 제3자

서비스 상세 복구절차, 제3자 서비스 장애 시 비상 대응방안을 재해복구계획서 등에 마련하여 운영하시기 바랍니다.

또한, 핵심업무와 관련된 제3자 서비스에 대해서도 재해복구전환훈련 시 연계

훈련을 강화하여 실시하시기 바랍니다.(대외기관 지원이 불가한 경우 유사 환경 구조로 대체하여 훈련 실시)