한국씨티은행 금감원 경영유의사항 · 2017-05-11

제재내용 공개안

1. 금융기관명 : 한국씨티은행 본점

2. 제재조치일 : 2017. 5. 11.

※ 「검사및제재규정시행세칙」 제30조 제2항에 따라 조치요구사항중 경영유의, 개선을 분리하여 우선 통보

3. 제재조치 내용

제재대상

내 용

기 관

경영유의사항 10건, 개선사항 7건

제재대상

내 용

기 관

경영유의사항 10건, 개선사항 7건

※ 경영유의 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 제재대상사실

가. 경영유의사항

(1) 중요 경영전략 변경에 대한 이사회 보고등 절차 강화

◦ 2015.11월 부유층 자산관리 중심으로 영업점 모델변경을 진행하는 과정에서 영업점 모델변경이 시행(2015.11.24.) 되기 직전에 이사회 보고(2015.11.17.) 및 경영위원회(2015.11.11.) 논의가 이루어지는 등 절차상 다소 미흡한 점이 발견되었으므로 앞으로 중요 경영전략 변경 추진시 해당 사안에 대한 사전검토가 이사회 사전 보고와 경영위원회의 심의를 통해 충분히 이루어질 수 있도록 하는 등 관련 절차 강화에 유의할 것이 요망됨

(2) 전산 상시감시 사후점검 비율 제고방안 강구

◦ 2014년 이후 상시감시시스템에서 점검 대상으로 적출된 거래에 대해 그 타당성을 실제 점검한 비율은 평균 2.9%에 불과하므로 앞으로 시스템상 점검대상으로 적출되는 요건을 보완하여 점검 필요성이 없는 거래가 대상으로 적출되지 않도록 하고, 필요시 담당인력을 보강하는 등 사후점검 비율을 제고하는 방안을 마련할 것이 요망됨

(3) 내부감찰 운용에 관한 합리적 기준 마련

◦ 내부감찰과 관련된 업무를 업무/전산그룹장 직속 부장 1명이 담당하며 담당업무를 내부감찰로 단순 정의하고 있으므로 감찰업무와 관련한 별도 내규를 마련하여 감찰기준 및 감찰업무 범위를 명확히 하고, 검사부 등 감찰업무를 업무 유사성이 있는 부서에서 감찰업무를 담당하도록 하는 등 감찰활동 강화방안을 마련할 것이 요망됨

(4) 성과평가 및 보상체계의 합리적 운영

㉮ 성과평가를 위한 목표설정의 적정성 제고

◦ 은행의 성과평가 지표 중 대손비용비율 및 위험조정수익률의 목표가 실제 실적에 비해 관대하게 설정되는 경향이 있어 동 항목에 대한 평가점수가 지속적으로 높게 평가되고 있으므로 목표설정의 정확성을 제고하고 주기적인 목표 대비 실적 분석 등을 통해 큰 폭의 괴리가 발생하는 경우 경영계획의 수정 여부를 검토하는 등 성과평가 및 보상이 적절하게 이루어지도록 할 것이 요망됨 ㉯ 감사본부장 성과평가지표 개선

◦ 감사본부장에 대한 성과평가시 은행장 평가와 동일한 방식으로 은행 전체의 재무실적에 연계(CAMEL 적용)한 성과평가를 하고 있어 감사업무의 특성을 반영하지 못하고 그 독립성을 저해할 우려가 있으므로 감사본부장에 대한 성과평가시 수익성 지표를 제외하는 등 감사업무가 독립적으로 이루어질 수 있도록 개선방안을 마련할 것이 요망됨

(5) 업무보고서 작성시 정확성 제고

◦ 위험조정자본이익률) 산정시 신용리스크 표준방법을 적용할 경우 대손충당금을 예상손실로 인식(대손충당금= 예상손실)하여야 하는데도 이를 달리 적용하여 산정하였고,

원화예대율 산정시 원화대출금 및 원화예수금은 월평잔 기준으로 산출해야 하나 2015.5월의 경우 말잔으로 산정하였으며,

운영리스크 위험가중자산 계산시 대출(채권) 매매거래는 “트레이딩과 매매” 항목으로 분류하여야 하나 “소매” 및 “기업금융”으로 잘못 분류하여 운영리스크 위험가중자산을 과소계상하고 있으므로 자료의 정확성을 제고할 것이 요망됨

(6) 전자금융거래에 사용되는 프로그램에 대한 통제 활동 강화

◦ 전자금융거래에 사용되는 프로그램을 개발하여 운영시스템에 적용하면서 충분한 테스트를 실시하지 않아 검사대상기간 중 프로그램 오류로 인해 기업 인터넷뱅킹 이체 오류, 카드 대금 미출금, 개인 인터넷뱅킹 로그인 일시 불가, 자동화기기 및 인터넷뱅킹을 통한 해외송금 일시 중단, 이자지급 지연 등의 장애가 발생하였으며, 신규로 가동한 모바일뱅킹에서 과거 거래내역 조회 기능이 정상적으로 작동하지 않는 등 전자금융거래에 사용되는 프로그램의 변경 및 테스트 등에 대한 내부통제가 매우 취약하므로 앞으로 프로그램별로 대고객 영향도 등을 고려하여 블랙박스 테스트외에 화이트박스 테스트 실시, 분석․설계 단계에서 프로그램간 영향도 분석 실시, 경계 값 분석을 포함한 충분한 테스트 케이스 생성, 사용자 검수 강화, 제3자 검증 및 책임자 승인 강화 등의 방안을 마련하는 등 프로그램 오류로 인한 장애를 예방하기 위한 활동을 강화할 것이 요망됨

(7) 자체 건전성분류의 적정성 제고

◦ 한국씨티은행의 경우 씨티그룹이 속한 미국의 자산건전성 분류기준 변경이 국내 기준 자산건전성 분류에도 영향을 미치고 있으므로 이를 고려한 자체 자산건전성 분류기준 및 내부통제체계를 구축하고 있어야 함에도 2014년 미국기준 자산건전성 분류기준이 변경되어 차주의 채무상환능력과 무관하게 국내 자산건전성 분류가 요주의에서 정상으로 변경된 차주가 다수 발생하는 등 국내기준 자산건전성 분류가 대폭 변경되었음에도 이에 대한 사전검토 및 내부승인절차가 생략되는 등 자산건전성 분류기준의 관리가 미흡한 수준이므로 관련 내부통제체제를 보완하여 적정성을 제고할 것이 요망됨

(8) 불필요한 모기지신용보험(MCI) 가입 방지방안 마련

◦ 주택담보대출 취급시 모기지신용보험(MCI)은 대출가능금액(A)이 대출희망금액(B)보다 적은 경우 지역별 소액임차보증금 범위 내에서 보험가입 대상금액(B-A)만큼만 가입하여야 하는데도 가입이 불필요한 경우에도 가입하거나 필요금액 이상으로 과다 가입한 사례가 있으므로 앞으로 불필요한 보험 가입사례 등이 발생하지 않도록 대응방안을 마련할 것이 요망됨

(9) 위기상황 분석업무 강화

◦ 반기 1회 실시하고 있는 위기상황분석이 아래와 같이 미흡한 점이 있으므로 관련 절차를 보완하여 위기상황분석 업무를 강화할 것이 요망됨 - 위기상황시 대응계획의 적정성을 이사회 및 경영진이 용이하게 평가할 수 있도록 보고해야 하는데도 대응계획이 별도로 보고되고 있지 않으므로 위기상황분석결과 보고시 대응계획도 함께 보고할 필요가 있음 - 위기상황분석과 관련된 모형 및 시나리오에 대해 최소 연 1회 이상 모형 개발과는 독립적이면서 전문성을 갖춘 별도의 부서에서 적합성 검증을 실시하도록 하고 있으나 이를 실시하고 있지 않으므로 적합성 검증을 통해 위기상황분석이 적정하게 수행되고 있는지 여부를 확인할 필요가 있음 - 역(逆)위기상황분석을 실시하지 않고 있으므로 은행의 생존을 위협하는 시나리오를 발굴하고 잠재리스크를 식별하기 위해 역(逆)위기상황분석을 실시할 필요가 있음

(10) 운영리스크 관리절차 미흡

㉮ 법규 준수절차 미흡

◦ ｢은행업감독업무시행세칙｣에 의하면 운영리스크 관리시스템과 영업영역의 분류기준은 이사회의 승인을 받도록 되어 있으나 관련부서의 미인지로 동 규정이 제정(2008.1.1.)된 이후 이사회의 승인(2016.8.31. 승인)을 받지 않았으므로 앞으로 유사사례가 발생하지 않도록 리스크 관련 부서원의 법규 준수의식에 대한 교육 강화 및 법규 제·개정시 관련 부서가 이에 따른 은행의 영향 분석을 적정하게 하였는지 독립된 부서의 검증 등을 통해 법규 준수절차를 강화할 것이 요망됨 ㉯ 운영리스크관리 세칙 정비 필요

◦ 내규 ｢씨티그룹 운영리스크관리 세칙｣은 2008.1월 제정 당시 씨티그룹의 규정을 그대로 차용하여, 은행에 적용하기 어려운 부분이 있으므로 동 세칙을 은행에 적합하게 적용할 수 있도록 개정할 것이 요망됨 ㉰ 미확정 손실의 보고절차 미흡

◦ 내규 ｢잡손익처리세칙｣ 제4조제11항에 의하면 미확정 손실(소송 등)은 인지 즉시 재무관리부 및 운영리스크관리부에 보고되어야 하는데도 분기별 개최되는 내부통제위원회 개최시 지연 보고되고 있으므로 법무지원부는 소송 사건을 인지하는 즉시 운영리스크관리부 및 재무관리부에 보고하고, 운영리스크관리부는 보고받은 즉시 내부통제 절차 강화의 필요성에 대해 검토, 재무관리부는 재무에 미치는 영향을 분석하는 등의 방법으로 미확정 손실에 대한 보고절차를 강화할 것이 요망됨

나. 개선사항

(1) 휴업차주에 대한 자산건전성 분류기준 개선

◦ 내규 ｢국내기준 자산건전성 분류방법서｣ 등에 따라 은행은 차주에게 채무상환능력의 저하를 초래할 수 있는 사건이 발생한 경우 이를 즉시 감안하여 자산건전성을 평가하고 분류하여야 하나 기업차주의 휴업이 6개월을 경과한 이후에만 개인기업은 요주의로 법인기업은 추정손실로 분류하도록 정하고 있어 휴업 중인 기업차주의 건전성이 상당기간 고평가될 우려가 있으므로 이를 합리적으로 개선하시기 바람

(2) 내부자본 관리체계 실효성 제고

◦ 시장․운영리스크 측정 및 관리와 관련하여 아래와 같이 일부 미흡한 부분이 있으므로 내부자본 관리체계의 실효성을 제고할 수 있도록 내부자본 한도 설정 및 리스크량 측정의 방법론 등을 합리적으로 개선하시기 바람 - 시장리스크(내부모형)의 경우 시장 위험자본은 여타 리스크 유형(평균 55% 수준) 대비 한도소진율이 낮은(10% 내외) 수준이며, 규제자본과의 괴리도 지속되는 등 측정방법론에 일부 불합리한 측면이 있음 - 운영리스크(표준방법)의 경우 위기상황분석시 평시상황을 가정한 기본값에 10%를 단순 가산한 값을 위험값으로 설정함에 따라 합리성이 결여되었으며, 한도가 보수적으로 설정되는 경향이 있음

(3) 근저당설정 유지확인서 징구 확인절차 강화

◦ ｢은행업감독규정｣ 제88조의3에 따르면 은행은 근저당이 설정된 여신거래의 채무변제가 완료되었을 경우 고객으로부터 근저당 설정 유지의사를 확인하도록 규정하고 있는데 일부 영업점에서는 고객의 근저당 설정 유지의사를 확인한 근거인 근저당 유지의사확인서 또는 유선통화 확인 내역을 은행 내부시스템에 등록하지 않고 있으므로 관련된 내부통제가 강화될 수 있도록 관련 절차를 개선하시기 바람

(4) 준법감시인의 준법감시 담당직원 성과평가권한 강화

◦ 내부통제 및 영업점의 사고예방을 강화하기 위해 2016년 영업점 준법감시담당직원(BOM)의 성과평가의 내부통제 관련 항목 중 준법감시인이 평가할 수 있는 항목은 자금세탁방지 부분(5점)으로 한정되어 있고 본부부서 준법감시 담당직원(BUCO)에 대한 평가권한은 없으므로 준법감시 업무 수행의 독립성을 감안하여 영업점 및 본부부서 준법담당직원에 대한 성과평가의 일부를 준법감시인이 담당할 수 있도록 평가기준을 합리적으로 개선하시기 바람

(5) IP주소 관리 및 인터넷 사용이력 기록 미흡

◦ 논리적 망분리 단말기에 대하여 고정IP를 부여하고 인터넷 사용이력을 1년 이상 기록 및 관리하고 있으나 물리적 망분리 인터넷 단말기의 경우 유동IP를 부여하면서 사용자별 IP 사용내역을 관리하지 않아 사용자를 특정하기 어렵고, 인터넷 사용이력을 3개월만 보관하고 있어 사용이력 추적이 미흡할 수 있으므로 물리적 망분리 인터넷 단말기에 대하여 사용자 추적이 용이하도록 고정IP를 부여하거나 유동IP 부여시 변경 현황을 기록하는 등 IP주소 관리체계를 강화하고, 인터넷 사용이력을 1년 이상 기록하도록 개선하시기 바람

(6) 이용자 정보 유출방지 대책 미흡

◦ 외부로 이메일 발송시 이용자 정보가 포함된 파일이라도 비밀번호를 설정하여 압축 후 첨부하면 외부 이메일 발송이 가능하여 이용자 정보가 유출될 우려가 있으므로 외부로 이메일 발송시 보안담당자의 승인통제 절차를 거치도록 하거나 비밀번호가 설정된 압축파일을 검증 후 발송되도록 하는 등 관련 시스템을 개선하시기 바람

(7) 전자금융거래시스템 운영 불합리

◦ 인터넷‧모바일뱅킹을 운영하면서 전자금융거래의 안전성 확보를 위해 사용자PC 보안프로그램 설치, 동일 사용자 중복로그인 방지 등의 보안대책을 적용하고 있으나 인터넷뱅킹에서 전자금융거래가 이루어지지 않는 단순 조회메뉴(카드상품, 환율조회 등) 이용시에도 보안프로그램을 설치해야 하고, 新모바일뱅킹(2016.12.6. 오픈)과 기존 인터넷‧모바일뱅킹 간 동일 사용자 중복로그인이 허용되어 있는 등 전자금융거래 이용편의성 및 보안성이 다소 미흡하므로 非전자금융거래 메뉴에 대해서는 보안에 문제가 없는 한 보안프로그램 설치를 최소화하고, 모든 전자금융거래 채널 간 동일사용자에 대한 중복 로그인을 제한하는 등 관련 시스템을 개선하시기 바람