다올저축은행 금감원 경영유의사항 · 2023-11-21

제재내용 공개안

1. 금융기관명 : 다올저축은행

2. 조치일 : 2023. 11. 21.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) IT감사업무 강화방안 마련

검사착수일(2023.7.5.) 현재까지 IT부문 감사 및 자체감사 인력을 채용·지정하지

않고 IT부문 일상·자체감사를 수행하지 않고 있으며

일반업무 감사자가 현재는 활용되지 않는 ‘상호저축은행 내부감사 모범규준

(2014.1월, 저축은행중앙회 제정)’을 참고하여

매년 동일한 항목*으로 일부 IT업무에 대해서만 정기감사(연 1회)만 수행하고

있어 IT부문 주요 내부통제가 누락 및 부실화될 우려가 있으므로

* ①전자금융사고 책임이행을 위한 보험가입, ②전산실 내부통제 업무의 적정성, ③정보보안 점검 항목 준수, ④정보보호위원회 운영, ⑤취약점 분석 평가 현황, ⑥IT비상계획 수립·운용 등

IT감사 전담인력을 조속히 확보하여 주요 IT업무에 대해 일상감사를 수행하는

한편 전체 IT업무를 점검할 수 있는 감사항목을 마련하여 이를 토대로 감사계획을 수립· 이행하는 등 IT감사업무가 충실하게 수행될 수 있도록 강화방안을 마련하시기 바람

나. 개선사항

⑴ 프로그램 변경관리 통제 강화

프로그램 변경 요청·승인 시 IT서비스관리시스템(ITSM)을 통해 변경내용의

타당성 검토(IT부서 담당) 및 테스트 등 검증(요청부서 담당)을 하고 있으나

IT부서의 자체 요청 건의 경우 담당 개발팀에서만 타당성 검토 및 테스트를

수행하고 있어 객관성 저하 우려가 있고

긴급 변경 시에는 책임자의 사후 승인을 받도록 내규에 정하고 있으나 승인요청

방법 및 기재 내용 등 구체적인 절차는 마련하지 않았으므로

IT부서 자체 요청 건은 객관성을 확보할 수 있도록 소관부서 이외 제3자

(감사실 등)가 확인하도록 개선하고

긴급 변경 건은 요청 사유 및 수행 내역 등이 빠짐없이 기록·관리되도록 관련

절차를 구체적으로 마련하여 내규에 반영하시기 바람

< 관련규정 >

1. 다올저축은행 내규 ｢시스템 개발보안지침｣ 제15조, 제21조

⑵ 정보처리시스템 감리 절차 불합리

검사착수일(2023.7.5.) 현재 사업비 20억원 이상 또는 계약기간 1년 이상인 정보화

사업은 외부감리를 수행하도록 내규에 정하고 있으나 금액 또는 사업기간 기준이 높아 감리가 수행되지 않고 있으며

대표이사의 판단에 따라 감리를 생략할 수도 있어 대고객 및 내부 중요업무 관련

정보화 사업이 소홀하게 관리되어

심각한 오류 및 일정 지연 등이 발생하는 경우 대·내외 업무에 지장을 초래할

우려가 있으므로

정보처리시스템 감리 대상 기준금액 및 사업기간을 현 사업 수준*을 고려하여

하향 조정하고 명백한 경우를 제외하고는 감리를 생략할 수 없도록 하며

* 검사대상기간 중 정보화 사업 총 18건 수행, 평균 사업비 약 1.4억원, 평균 사업기간 약 3.8개월

필요시 내부감리도 수행할 수 있도록 방안을 마련하는 등 감리업무가 실효성

있게 수행되도록 개선하시기 바람

< 관련규정 >

1. 다올저축은행 내규 ｢IT감리지침｣

⑶ 일괄작업 통제 절차 불합리

내규 ｢ 운영보안지침｣ 제5조 등에 따라, 일괄작업(Batch)은 책임자의 작업요청서

승인*을 거친 후에 수행하고 있고, 일괄작업 실행 중 오류가 발생하는 경우 업무담당자가 해당 일괄작업을 재실행하는 등 후속 조치를 하고 있으나

* (업무담당자) 일괄작업 등록 → (IT기획팀장) 승인

일괄작업 담당자가 아닌 업무담당자(14명)에게 일괄작업 실행권한을 부여하고

있고 일괄작업 실행 중 발생한 오류에 대한 원인분석 및 조치사항 관리가 다소 미흡하여 일부 일괄작업에서 오류가 반복 발생*하고 있으므로

* 2021.8월∼2023.5월까지 34개 일괄작업에서 194회 오류 발생

동 업무담당자의 일괄작업 실행권한을 회수하고 일괄작업 오류를 체계적으로

관리할 수 있도록 업무절차를 보완하시기 바람

< 관련규정 >

1. 다올저축은행 내규 ｢운영보안지침｣ 제5조