수협은행 금감원 경영유의사항 · 2024-12-27

경영유의사항 등 공개안

1. 금융회사명 : 수협은행

2. 조치요구일 : 2024.12.27.

3. 조치내용

4. 조치대상사실

가. 개선사항

(1) 국외현지법인 관련 내부자본 산출 및 BIS기준 자기자본비율 산출 절차 미흡

｢ 은행업감독업무시행세칙｣ [별표3] 제2조에 따라 위험가중자산에 대한 BIS

기준 자기자본비율은 연결재무제표를 기준으로 산출하여야 하고, 동 세칙 [별표 3의9] 제3조에 따라 내부자본 산출 역시 연결재무제표 기준으로 하여야 한다.

그러나 은행은 2019 ~ 2022년 시장리스크 내부자본을 산출하면서 2019.

9.2. 설립한 A 소액대출법인을 국외현지법인(은행의 지분율: 100%)에 대한 포지 션을 포함하여 연결기준으로 산출해야하나, 이를 포함하지 않고 개별 기준으로 잘못 산출하였으며

내부자본 적정성에 대한 적합성 검증시 연결기준으로 산출한 것으로 결 과를 오보고하는 등 산출방식과 적합성 검증이 미흡하다.

또한 BIS기준 자기자본비율 산출시 필요한 원천데이터인 해외 국외현지 법인 재무제표 데이터를 공문이 아닌 실무 담당자 간 이메일 등을 통하여 입 수하고 있어, 일정 기간 경과 후 데이터가 유실될 우려가 있고 데이터 오류 발생시 책임소재가 불명확하는 등 데이터 수집 및 보관과 관련한 관리 절차

가 미흡하다.

<조치할 사항>

내부자본 산출 시 개별 기준이 아닌 A 소액대출법인을 포함하여 연결기 준으로 산출하고, 개별 기준으로 산출했음에도 연결기준으로 산출한 것으로 판단한 내부자본적정성 적합성검증을 정비하고, 국외현지법인 재무제표 데이 터의 공문 수신 등을 통하여 데이터 관리를 강화하시기 바랍니다.

(2) 내부자본 산정시 리스크 인식 범위 미흡

｢ 은행업감독업무시행세칙｣ [별표3-9] 제10조 등에 따라 은행은 내부자본 적

정성 평가·관리*시 신용 · 시장 · 운영 · 금리 · 신용편중 · 거래상대방 · 유동성·전 략 및 평판리스크 등을 포함하여 중요한 리스크를 모두 인식해야 한다.

* 은행이 경영상 직면하는 모든 중요한 리스크를 인식·평가·관리하고 그 결과에 따라

내부자본을 가용자본과 비교하는 등 자본적정성을 평가하고 관리하는 것을 말함 (「은행업감독업무시행세칙」 [별표3-9] §2.라.)

그런데 은행은 내규「내부자본 적정성 평가 및 관리 준칙」제15조 등에 따라 은행의 내부자본 적정성 평가 시에 가용자본 대비 내부자본량의 목표치와 실제 수준의 비교를 통해 적정성을 판단하여야 함에도, 2023년 현재 유동성· 전략 리스크 등을 내부자본에 포함하지 않고 있어 내부자본 적정성 여부를 판 단하는 척도가 과소 산출될 우려가 있다.

<조치할 사항>

은행은 내부자본 적정성 평가·관리시 유동성, 전략리스크 등 은행이 노출 된 중요한 리스크를 내부자본에 모두 포함하여 평가 및 관리하시기 바랍니다.

(3) BIS기준 자기자본비율 및 내부자본 산출 미흡

은행은 BIS기준 자기자본비율 및 내부자본 산출시 아래 ㈎~㈑와 같이 업 무절차에 미흡한 점이 있으므로 이를 개선할 필요가 있다.

㈎ 신용내부자본 산출 관련 보수성 부족

신용내부자본 산출목적상 소매 부도율(PD) 산출시 5개년 데이터(2017.9. ~ 2021.9.)를 사용하고 있는데, 동 데이터는 경기침체기를 포함하지 않으며 코로나 상환유예 및 만기 연장 시기를 포함하고 있어 부도율(PD)의 보수성 부족으로 인해 신용내 부자본이 과소 산출되었을 우려가 있다.

* 규제비율 산출을 위한 신용위험가중자산(RWA)은 표준방법을 사용하여 산출하고 있으

나, 내부자본은 리스크 측정요소를 자체적으로 추정하여 산출 중으로, 2023년 6월 기 준 신용내부자본이 신용 위험가중자산(RWA)의 OO% 수준으로 산출되고 있음

㈏ 신용위험경감기법 적용시 담보차감율 적용 오류 코스닥150지수 포함 종목은 신용위험경감기법 적용시 20%의 담보차감률* 을 적용해야 한다. 그러나 은행은 관련 내규 및 시스템이 미흡하여 20%가 아 닌 OO%로 잘못 적용하였다.

* ‘지정국의 주요 주가지수에 포함된 주식’은 20%, ‘인정된 거래소에 상장된 기타 주식’은 30%가 적용되며 코스닥150은 2017. 11. 20.부터 ’주요 주가지수‘에 포함(세칙 [별표3])

㈐ 유가증권 담보 관리 불철저

은행은 담보 설정된 상장주식*이 합병으로 인해 소멸(상장폐지)하였음에 도 동 변경사항을 적시에 관련 시스템에 입력하지 않아, 기존 주식정보로 담 보가치와 위험가중자산(RWA)을 산출함에 따라 BIS기준 자기자본비율을 잘못 산출**하였다.

* 담보설정된 주식인 ’A‘가 2022년 11월 ’B‘에 흡수합병(A O주 → B OO주)되었음에도 현재 까지 내부시스템 등에 미반영

** 위험가중자산(RWA) OO억원, BIS자기자본비율 OO%p 과소산출

한편, 내규 ｢ 신용위험가중자산 업무매뉴얼｣ 상 주요국 주가지수·인정된 거래

소 목록이 관련 세칙*과 불일치하는 등 주식 담보 관리가 불철저하다.

* ｢ 금융투자업규정시행세칙｣ [별표5] 금융투자업자의 위험액 산정기준

㈑ 기타 대차대조표 자산에 대한 위험가중치 적용 오류

위험가중자산 산출시 ｢은행업감독업무시행세칙｣에서 열거된 익스포저(기 업·소매 등) 외의 기타 익스포저의 경우 별도로 규정*한 계정과목별 위험가중 치(RW)를 적용해야 하며, 동 규정에 명시되지 않은 계정과목은 100% 위험가중치 를 적용해야 한다.

* ｢은행업감독업무시행세칙｣ [별표3] 147. (기타익스포저의 처리) 별도의 <표1>에 의한 계정과목별 위험가중치 적용

그러나 은행은 세칙에 명시되지 않은 계정과목(‘수익증권투자자예치금’)에 대 하여 낮은 위험가중치(100%→OO%)를 적용하여 위험가중자산 산출 오류*가 발생하 였다.

* 위험가중자산(RWA) OO억원, BIS자기자본비율 OO%p 과소산출

<조치할 사항>

은행은 관련 내규·업무매뉴얼 개정 및 시스템 개선, 담보 관리 강화 등을 통해 BIS기준 자기자본비율을 적정히 산출하고, 내부자본 산출시 데이터 보수 성을 확보하는 등 BIS기준 자기자본비율 및 내부자본 산출 프로세스를 개선 하시기 바랍니다.

(4) 자본 및 리스크관리 관련 내규 불명확

은행은 자본 및 리스크관리 관련 내규가 ㈎~㈐와 같이 미흡한 점이 있으 므로 이를 개선할 필요가 있다.

㈎ 신용리스크 측정·검증 등 업무 관련

내규 ｢ 신용평가모형 및 신용리스크 측정요소 업무방법｣ 상 기재된 각각의 업

무에 대한 명확한 역할·책임 등이 구체적으로 기재되어 있지 않다.

㈏ 내부자본 한도 설정 및 변경 관련

내규 ｢ 리스크관리세칙｣ 상 리스크 허용 한도 설정 및 변경 주체를 ‘위원회

또는 협의회’로 기재하여 한도 설정 및 변경의 주체·책임의 소재가 불분명하다.

㈐ BIS기준 자기자본비율 목표 및 위험가중자산(RWA) 한도 관리 관련

BIS기준 자기자본비율 내부목표를 하회하는 경우 및 위험가중자산(RWA) 한도를 초과하거나 초과가 예상되는 경우의 대응조치에 대해 실무적으로 내규 ｢리스크관리준칙｣상 리스크 허용한도 관련 조항을 차용하여 업무를 수행하 고 있어, 자본비율 관리를 위한 내규 체계와 내부자본 관련 내규체계를 혼 용하는 등 내규체계가 불명확하다.

<조치할 사항>

은행은 상기의 내규상 역할 및 책임을 명확히 정하고, BIS기준 자기자본 비율 및 위험가중자산(RWA) 한도 관리 관련 내용을 명확히 하는 등 관련 내 규를 개선하시기 바랍니다.

(5) 여신 신용평가등급과 자산건전성 분류단계간 연계기준 점검절차 미흡

내규 ｢ 자산건전성 분류업무 해설｣ 제1편 4장(기업여신의 건전성분류) 나목

등에 의하면, 은행은 차주의 채무상환능력에 대한 평가의 종합적 관리 및 일관 성 유지를 위해 신용평가모형을 설정․운영하여야 하며, 신용평가모형과 자산건 전성 분류를 적절히 연계하되, 동 신용평가등급과 자산건전성 분류 단계간의 유 의적 관계는 주기적으로 점검․모니터링해야 한다.

하지만 2023년 6월말 현재까지 은행은 기업여신 신용평가등급과 자산건전 성 분류 단계간 유의적 관계를 점검하는 절차 및 방법 등을 정한 내규 등을 마 련하지 않았고, 그 결과 검사대상기간 중 동 점검 및 모니터링 등을 실시하지 않았다.

<조치할 사항>

여신에 대한 자산건전성 분류단계의 신뢰성 및 유의성을 보장하기 위해 기업여신 신용평가등급과 자산건전성 분류단계간 연계의 유의성을 점검하는 기준 등을 내규에 반영하고 주기적으로 그 유의성을 점검․보고하는 절차 등 을 마련하여 운영할 수 있도록 관련 제도를 정비하시기 바랍니다.

(6) 신용리스크 한도 관리 성과평가 개선

은행은 본부부서 및 영업점 성과관리 세부기준에 따라 신용리스크 한도 관 리를 위해 한도 초과 여부를 성과평가에 반영하고 있다.

그러나 본부부서의 신용리스크 관련 성과평가와 관련하여 위험가중자산 (RWA) 평가 시점인 연 2회(6･12월말) 외의 기간에 부서별 신용위험가중자산 (RWA) 한도가 초과되어도 성과평가에 반영하지 않고, 총익스포져(T/E) 한도 초과도 성과평가에 반영하지 않고 있어 본부부서 임직원의 신용 위험가중자 산(RWA) 한도 준수 유인이 저하되어 있다.

또한 영업점의 신용리스크 관련 성과평가와 관련하여, 취급한 여신의 자 본비용률 산출시 PF대출(브릿지 포함) 계좌의 경우 일반 계좌에 비해 자본비용 률 상한이 낮게 설정*되어 PF대출의 자본비용률 산출과 관련하여 평가상 우 대가 발생할 우려가 있다.

* 자본비용률 상한 : PF 대출 등(OO%) < 일반 대출(OO%)

<조치할 사항>

신용리스크 관련 한도 관리를 적절히 준수하도록 유도하고 PF대출 취급 에 따른 영업점 자본비용률 산출시 우대가 발생하지 않도록 성과평가 기준을 개선하시기 바랍니다.

(7) 여신감리 인력 운영 개선

은행은 내규 ｢여신감리 준칙｣에 따라 여신감리역을 운영하고 있다. 그러 나 여신감리역의 감리 건 처리 업무 부담이 과중*한 상황에서 심사역 경력이 있는 감리역이 1명에 불과할 뿐만 아니라 대다수 감리역이 기업여신 및 인수금 융 등 고위험 여신에 대한 업무경험이 거의 없다. 또한 여신 감리역 대상 전 문성 있는 인력 선발과 교육 프로그램이 없는 등 감리업무관련 인력 양성프로 그램도 미흡하다.

* 연평균 인당 OO건 처리(2020년∼2023.6월 6∼8명의 감리역이 총 OO건 처리)

<조치할 사항>

여신 감리업무의 충실성과 전문성 제고를 위해 각종 여신업무 경력자 선발 및 전문성 향상 교육 프로그램 발굴 등 여신감리 인력 운영을 개선하시기 바랍니 다.

(8) 부도시손실률(LGD) 추정 프로세스 개선

은행은 부동산담보 대출에 대한 부도시손실률(LGD) 추정시 매각을 통해 자체적으로 직접 확보한 경락률, 경락가율 등의 내부 경매 데이터를 사용하지 않고, 외부에서 제공받는 경매 데이터만 활용하여 이를 운영리스크에 반영하고 있다.

그런데 공장, 토지 등 일부 물건은 은행 내부 경매 데이터보다 외부 경매 데이터에서 높은 낙찰율을 보이고 있어, 해당 물건에 대해 외부 경매 데이터만 활하여 은행의 손실률을 추정할 경우 실제보다 낮게 추정될 가능성이 있다.

<조치할 사항>

은행이 매각한 경매물건에 대한 낙찰가율을 산출하는 등 내부 낙찰가율과 외부 데이터를 포함한 전체 낙찰가율을 비교하고, 이에 따른 추정 부도시손실 률(LGD)과의 편차 등을 분석하여 부동산담보 대출에 대한 부도시손실률(LGD)을 보수적으로 추정하도록 개선하시기 바랍니다.

(9) 담보가치 모니터링 프로세스 개선

은행은 공신력 있는 평가기관의 평가자료 등 시세자료가 정기적으로 고시 되지 않는 집합물건(근린상가, 연립주택, 병원 등)에 대한 담보가치 모니터링을 실시하고 있지 않아* 부정확한 대손충당금이 산출되는 등 여신 사후관리가 부 적절하게 이루어지고 있다.

* 시세가 정기적으로 고시되는 물건에 대하여는 자동시스템으로 연 1회 이상 모니터링 실시

<조치할 사항>

시세자료가 정기적으로 고시되지 않는 집합물건에 대한 모니터링 실시· 관리주체를 내규에 명확히 반영토록 하고, 최소 연 1회 이상 모니터링 실시토

록 개선하시기 바랍니다.

(10) 신용평가모형 운영 관련 개선

은행은 집합평가 대손충당금 산정 과정에서 아래와 같이 미흡한 점이 발견 되었으므로 집합평가 대손충당금 산정방식 및 절차를 강화할 필요가 있다.

㈎ 등급계량화에 대한 적정성

현행 기업모형 계량화*시 부도율이 상대적으로 낮은 기간(2015.9월~2020.9 월)의 데이터를 활용함에도 신용등급별 대표부도율(Master Scale, 이하 “M/S”) 중간값을 초과하는 등급이 상당수를 차지하고, 등급계량화 검증을 위한 장기 평균부도율 산출시 경기침체기(예: 2002년 카드사태 등)를 포함하지 않고 있어 향후 고금리로 인한 경기악화 등 감안 시에 동 계량화가 부적합할 것으로 예상** 된다.

* 평가등급 부여를 위한 등급별 최종평점의 구간값 결정 방식

** 예) 2021.9월 부도율 계량화 검증시 개인사업자 OO등급 대표부도율(M/S) 상한 초과 발생

㈏ 등급조정 및 비재무평가 시 객관성

기업신용평가시 등급조정에 대한 제한이 없고*, 심사역의 정성적 판단에 의 한 비재무평가시 본점 심사역에 대한 제어장치가 부재**한 상황이므로 심사역 에 의한 무분별한 등급상향으로 객관적 신용평가가 이루어지지 않을 가능성이 있다.

* 2020.1월∼2023.6월 기간 중 외감의 등급상향 OO건 중 3단계 이상 조정 OO건 (OO%)

** 본점 심사역과 달리, 영업점 심사역에 대해서는 재무등급 대비 2등급 이내의 비재무등

급을 부여토록 제한

㈐ 소매모형의 변별력 및 안정성 결여

은행은 개인 및 개인사업자에 대해 별도의 모형을 개발하여 운영하다가 2023.1월 모형을 통합*하여 개발하였으나, 차주별 상환재원**에 차이가 있고 타 행의 경우 모두 별도로 개발하여 운영하고 있다는 점 등을 감안할 때 향후

운영 시 변별력·안정성 등에 문제가 있을 가능성이 있다.

* 통합개발사유 : 1) 개인 및 개인사업자 각 세그먼트별 불량건수 한계, 2) 개인 및 개 인사업자 불량률 차이 감소 등

** 통상 개인의 경우 급여소득, 개인사업자의 경우 사업소득

㈑ 기업신용평가모형의 필터링 항목 선정 불합리

은행은 기업신용평가모형의 필터링 항목 선정시 변별력이 우수한 다른 변 수가 있음에도 업무연속성을 이유로 해당변수를 선정 배제하거나, 비외감법 인의 경우 대표자 평가를 실시함에도 대표자에 대한 필터링 항목을 제외하는 등 불합리한 사유로 항목 선정을 배제한 사례가 확인되었다.

<조치할 사항>

이에, 은행은 ㈎보수적 기준에 의거하여 등급계량화를 재실시하고, ㈏등급조정

㈐개인과 개

및 비재무관대화를 방지하기 위한 운영기준 등을 마련하는 한편, 인사업자를 구분하여 성능의 적정성을 모니터링하며, ㈑적정한 필터링 항목을 선정토 록 지도하는 등 신용평가 모형의 운영을 개선하시기 바랍니다.

(11) 정관변경 등의 보고의무 업무 프로세스 개선

｢ 은행법｣ 제47조, ｢ 은행법 시행령｣ 제24조의2 등에 따라 은행은 국외현지

법인(국외지점 포함)을 신설·폐쇄, 다른 회사 등의 지분증권의 100분의 20을 초과하는 지분증권을 담보로 대출을 한 때에는 그 사실을 금융감독원장에게 지체 없이 보고하여야 한다.

그러나 수협은행은 담당자 업무 분장*에 대외 보고의무 사항이 별도로 정 해져있지 않고, 대외보고의 이행 여부 점검을 위한 모니터링을 실시하지 않고 있어 검사대상기간 중 경영지원부는 2020.9.11. 정관변경 사실이 있음에도 OO 일을 지연하여 2020.10.22. 보고하였고, A 소액대출법인(국외현지법인)이

2019.9.2.에 신설되었으나 OO일을 지연하여 2020.10.23. 보고하였으며, 또한 투 자금융본부는 다른 회사 등의 20% 초과 지분증권 담보대출 OO건을 취급한 사실을 32일～1,501일 지연하여 보고하였다.

* 관련 내규: 여신업무방법서(공통편) 제136조 제4항, 여신업무방법서(공통편) 투자금융업무 제8조

※ 해당 개선사항 중 ｢ 은행법｣ 등을 위반한 내용과 관련한 내용은 정관변경 등의 보고의무

위반으로 조치

<조치할 사항>

담당자 업무 분장에 대외 보고의무 사항 및 기한을 명문화하는 등 은행법 상 보고의무에 대한 업무를 합리적으로 개선하시기 바랍니다.

(12) 업무위수탁 관련 내부통제 개선

｢금융기관의 업무위탁 등에 관한 규정｣ 제4조에 따라 은행은 업무 위수 탁 현황을 감독원장에게 반기별로 보고하여야 한다.

하지만 은행은 내규 ｢ 업무 위수탁에 관한 준칙｣ 의 소관부서가 종합기획부

로 지정되어 있음에도, 업무위수탁 관련 업무는 준법감시인 산하 법무팀에서 담당하고 있어 업무위수탁 관련 업무의 책임소재가 불명확하다.

<조치할 사항>

직제준칙 개정을 통해 업무 위수탁 총괄 관리 부서를 명확히 하고, 법무 팀 내 업무위수탁 업무 관련 직원을 지정하는 등 업무위수탁 관련 업무를 합리 적으로 개선하시기 바랍니다.

(13) 다른 금융사에 개설한 수협은행 계좌의 관리 미흡

은행은 수협은행 명의의 업무수행용 계좌를 개설·사용함에 있어 행내 개 설계좌의 경우 그 개설 및 해지절차· 사용범위와 방법· 내부통제방안을 내규 ｢ 업무

용 계좌 사용 및 관리기준｣로 제정하여 시행하고 있다.

그러나 외부의 다른 금융회사에 개설하는 수협은행 명의의 계좌는 상기 와 같은 업무절차·처리기준이 없이 부점의 내부결재로 개설·거래함에 따라 계 정처리 누락, 업무목적 종료 후 10년 이상 장기 미사용 계좌보유의 사례 등이 발견되어 관련 업무 소홀, 금융사고 발생 등이 우려된다.

<조치할 사항>

다른 금융사에 개설하는 수협은행 명의의 계좌에 대하여 업무절차 및 내 부통제 대책을 관련 내규에 추가로 반영하고 계좌개설 부서가 업무절차 및 내 부통제 대책을 준수하는지를 주기적으로 점검하는 등 관련 업무를 합리적으 로 개선하시기 바랍니다.

(14) 대주주 및 특수관계인 신용공여 공시업무 관리 강화

｢ 은행법｣ 제35조의2 제6항 및 ｢ 은행법 시행령｣ 제20조의7 제7항, ｢ 은행업

감독규정｣ 제16조의4 제5항 등에 따르면 은행은 대주주 및 특수관계인의 신용공 여에 관한 사항을 매분기가 지난 후 1개월 이내에 공시하여야 한다.

그러나 은행은 대주주 및 특수관계인의 신용공여를 공시하기 위해서 3개 부서(리스크관리부, 종합기획부, 경영지원부)에서 업무를 분담하여 처리 중이나, 각 업무를 통할하는 부서가 지정되지 않아 업무 누락 우려가 있고, 동 업무 와 관련한 내규(업무매뉴얼 포함)가 없어 ｢ 은행업감독규정｣ 제16조의4 제5항에 따

른 신용공여현황 등 대주주 등에 대한 신용공여 공시 관련 업무가 부적절하게 이루어질 우려가 있다.

<조치할 사항>

대주주 및 특수관계인에 대한 신용공여 업무를 통할하는 부서를 지정하 고, 대주주 및 특수관계인 신용공여 공시업무 관련 내규(업무매뉴얼)를 제정하 여 공시업무가 누락되지 않도록 유의하시기 바랍니다.

(15) 기부업무 관리 강화

은행은 대주주의 특수관계인에 해당하는 공익법인 등에 대한 기부시 ｢은행 업감독규정｣ 제29조의5상 경영지도 기준을 준수해야 하는 등 기부업무 수행 시 ｢은행법｣ 등 관련 규정을 준수해야할 의무가 있다.

그러나 은행은 은행법 상 의무를 구체화한 기부업무 관련 내규가 없고, 이 에 기부의 적정성 검토, 기부금 집행 후 사후관리 및 은행-기부처간 관계 확인 등이 규율되지 않고 있어, 사전적으로는 은행이 기부의 적정성 검토를 누락할 수 있고 사후적으로는 기부금이 기존 목적대로 집행되었는지 확인하지 못할 우려가

있다.

<조치할 사항>

기부처가 대주주 또는 특수관계인에 해당하는지 확인하는 절차를 마련하 고, 기부처가 대주주 또는 특수관계인에 해당할 경우 은행이 경영지도기준을 준 수하면서 기부업무를 수행할 수 있도록 관련 내규를 마련하시기 바랍니다.

(16) 개인신용정보 관리 개선

은행은 ｢채권의 공정한 추심에 관한 법률｣ 제8조에 따라 채무자가 채무 의 존재를 다투는 소를 제기하여 그 소송이 진행 중인 경우에 ｢ 신용정보의 보

호 및 이용에 관한 법률｣ 에 따른 신용정보집중기관이나 신용정보업자의 신용정

보전산시스템에 해당 채무자를 채무불이행자로 등록하여서는 아니 된다.

그러나 은행은 유관 부서* 간 정보공유 체계가 마련되어 있지 않아, 특 정 부서가 채무자의 채무부존재 소송 진행여부를 인지하지 못하고 동 채무자 를 채무불이행자로 등록할 경우에도 여타부서에서는 이를 인지하지 못하여 금 융소비자의 권익이 부당하게 침해될 소지가 있다.

* 개인금융부, 여신기획부, 여신관리부, 리스크관리부

<조치할 사항>

채무부존재 소송 접수 등 ｢채권의 공정한 추심에 관한 법률｣에 따라 채 무불이행정보를 등록하면 안되는 사유가 발생하거나, 신용정보업자에게 등록 한 채무불이행정보를 삭제할 필요가 있는 경우 등에 유관 부서 간 역할 및 정보공유 체계를 마련하고 관련 업무처리 절차를 내규에 반영하시기 바랍니 다.

(17) 공제계약 이동에 따른 비교안내 절차 개선

은행은 수협중앙회 내규 ｢ 수산업협동조합 공제규정｣ 제36조 등에 따라 새

로운 공제계약을 청약하게 한 날부터 6개월 이내에 기존 공제계약을 소멸하게 하는 경우 ‘공제계약 이동에 따른 비교안내 확인서’를 징구해야 한다.

그러나 은행은 공제상품 신규 계약 시에만 동 확인서를 징구하고 공제계 약 해지 시에는 이를 미징구해 기존 공제계약이 부당하게 소멸될 우려가 있 다.

<조치할 사항>

공제계약 해지 시에도 전산을 통해 자동으로 ‘공제계약 이동에 따른 비교 안내 확인서’를 징구하도록 업무 절차를 개선하시기 바랍니다.

(18) 상벌 관련 내규 운영 개선

은행은 내규 ｢상벌준칙｣ 및 ｢징계양정세칙｣ 에 따라 임직원에 대한 징계

를 심의·의결하고 ｢상벌준칙｣ 제31조와 ｢ 징계양정세칙｣ 제15조에서 징계양정

의 경감 기준을 운영하고 있다.

그러나 동 내규에는 ‘성실·청렴한 직원으로서 소신있는 업무 처리 과정에 서의 과실’ 등을 징계 경감 근거 조항으로 규정하고 있는 등 징계 경감 근거 조항이 자의적으로 해석될 여지가 있어 징계 양정을 결정하는 데 일관성이 훼손될 우려가 있다.

<조치할 사항>

｢ 상벌준칙｣, ｢징계양정세칙｣의 경감 근거 조항을 구체적으로 명시하는 등

상벌 관련 내규가 자의적으로 해석 · 운영되지 않도록 개선하시기 바랍니다.

(19) 기대이익률 (목표이익률) 관련 내규 및 검토 절차 개선

은행 내규 ⸀여신업무방법(상)⸥ 32조 제1항 제3호 사목에 따르면 은행은 경영계획상의 이익률 또는 과거이익률 등을 감안하여 체계적이고 합리적으로 기대이익률을 책정하고, 경영목표와 관계없는 요인을 고려하는 경우에도 합리 적 근거에 기반하여 기대이익률을 산출해야 한다.

여신정책부는 기대이익률 산출 시 목표자기자본비율을 설정하고 이를 달

성하기 위한 이익률을 역산하여 설정하는 방식으로 산출하고 있지만, 기대이익

률의 구체적인 설정 절차, 적용 기간 및 재산정 방법이 은행 내규에 구체적으 로 명시되어 있지 않아 산출 시마다 일관성이 결여될 우려가 있다.

또한 기대이익률 설정 주기를 5년으로 하고 있어, 2023년 기대이익률의 경우 2022년 설정한 기대이익률을 별도의 검토 없이 그대로 사용하고 있어 타당성 및 현실성이 미흡할 우려가 있다.

<조치할 사항>

금년도 기대이익률을 설정하면서 일관성이 결여되지 않도록 기대이익률 의 설정 절차, 적용 기간 등을 관련 내규에 명시하고, 전년도 기대이익률을 별 도의 검토없이 그대로 사용하지 않고 합리적으로 설정하도록 개선하시기 바랍 니다.

(20) 비이자이익의 경영계획 설정 개선

은행의 검사대상기간 중 비이자이익부문 경영계획 및 실적은 2021년, 2022년 2년 연속으로 달성률이 OO%*를 하회하고 있으며, 비이자이익부문 중 수수료순이익 부문의 경우 2020년, 2021년, 2022년 3년 연속 달성률이 OO% 를 하회하고 있는 반면, 유가증권 관련 이익의 달성률은 최저 OO%에서 최 고 OO%로 비이자이익부문 및 세부내용의 목표 달성률 변동성이 큰 상황이 다.

* 비이자이익 부문 달성률 : 2021년 OO%, 2022년 OO%

한편, 비이자 사업부서의 의견을 반영하기 위한 공식적인 절차가 없어 비 이자이익 목표 수립 단계에서 현실적인 요소들이 고려되지 않을 우려가 있다.

<조치할 사항>

은행은 차년도 경영계획 설정 시 합리적이고 충분한 근거를 바탕으로 실 현 가능한 목표를 설정하고 비이자이익 관련 사업부서의 의견 반영을 위한 공식적인 절차 등을 마련하여 경영계획의 실효성 및 실현가능성을 제고하시 기 바랍니다.

(21) 여신자료의 위·변조 및 보관 관련 내부통제 개선

은행은 업무와 관련된 전자서식 및 종이서식을 내규 ｢문서 준칙｣등 에 따라 보관하여야 하며, 업무 자동화 및 디지털화를 위해 2019년 3월 이후 도 입한 PPR*(Paperless Process Reengineering)의 전자서식 및 전자전표 업무사용 률은 2023.7월말 기준 각각 OO%, OO%로 나머지 OO%와 OO%는 종이서식으 로 업무를 진행하고 있다.

* 인력 및 비용상의 문제로 BPR(Business Process Reengineering) 대신 PPR 도입

여신을 제외한 카드, 신탁, 보험 등의 업무는 제출받은 종이서식을 디지 털 이미지 스캔하여 EDMS(전자문서관리시스템)에 등록하고 있으나, 여신 업무 는 PPR 사용비율이 OO%로 거의 모든 업무를 종이서식으로 함에도 불구하고 제출받은 증빙자료를 디지털 이미지 스캔하지 않고 편철하여 금고에 보관중이다.

이에 영업점 전결 여신의 경우 고객이 작성 및 제출했던 서류들을 확인 하기 어려워 여신 승인시 오입력 확인 및 사후 증빙의 위·변조 확인이 현실적 으로 어려우며* , 또한 여신 업무담당자가 아닌 직원이 여신증빙자료 등에 대 한 전반적인 사후점검**을 실시하지 않고 있어 증빙자료 조작을 통한 금융사 고 발생이 우려되는 상황이다. 또한 도난·화재 발생 시 복구 문제 등 내부통 제 측면에서 취약점이 존재한다.

* 사후감리 대상이 아닌 경우 제도적으로 발견이 불가능

** (예시) 일일감사항목에서 점검 항목으로 여신자료 중 소득증빙자료만 포함

이러한 문제점을 해결하기 위해서는 BPR 도입 등 업무의 디지털화를 추 진해야 하나 예산 문제 등을 이유로 투자에 소극적인 태도를 보이고 있다.

<조치할 사항>

여신 업무 담당자가 아닌 직원이 여신증빙자료 등을 사후 점검하도록 하 고 문서관리 관련 체크리스트 및 징구서류 유의사항을 마련하며, 전산으로 등 록되지 않은 자료를 전산화하여 은행 전자문서관리시스템에 등록·보관하시기 바랍니다.

또한, PPR 사용 비율 제고와 전자문서 활용을 활성화하는 방안을 마련하고,

은행 전반적으로 체계적인 문서관리가 이루어질 수 있도록 문서관련 업무체계를 구축하고 이를 뒷받침할 수 있는 관련 내규 및 업무매뉴얼을 마련하시기 바랍 니다.

(22) 대출계약철회권 제도 운영 개선

은행은 대출계약철회권 제도와 관련하여 대면·비대면 채널을 통해 대출 계약철회 신청을 접수하고 있으며, 대출금 회수처리시 입금전표 후면에 철회 권 행사 여부에 대해 확인서명을 받고 있다.

하지만, 비대면 대출 상환시에는 철회권 행사여부 관련 별도 확인을 하지 않고 있으며 대면 대출 상환시에도 입금전표 후면에 철회권 행사여부를 확인 받 고는 있으나 구체적인 비용부담을 비교·안내하지 않고 있고, 고객이 대출계약 철회 신청을 취소하는 경우 이와 관련된 증빙자료 등을 보관하지 않고 있다.

한편 대출계약철회권에 대한 안내가 미흡하여 대출실행일로부터 14일 이 내 고객들이 철회권을 행사하지 않고 대출금을 전액상환하여 중도상환수수료 를 부담하는 경우가 발생*하고 있다.

* 검사대상기간 중 대출실행일로부터 14일 이내 중도상환수수료를 수취한 건은 총 OO건

이며, 이중 대출계약철회시 고객부담비용이 중도상환수수료보다 적은데도 고객이 중 도상환을 선택한 사례는 총 OO건임 (OO%) <조치할 사항>

대출계약철회권과 관련된 안내 및 확인 절차를 강화*하고, 대출계약철회 신 청 취소시 통화내역 등 별도 증빙자료를 보관할 수 있도록 관련 시스템을 개 선하시기 바랍니다.

* (비대면) 대출계약철회권 신청기간 중 전액 상환 또는 청약철회 접수시 ①철회시 부

담할 금액과 중도상환시 부담할 금액을 비교하여 안내하고, ②고객이 불리한 선택을 할 경우 주의메시지와 함께 의사 확인 절차 수행 (대면) 대출계약철회권 신청기간 중 전액 상환 또는 청약철회 접수시 철회시 부담할 금 액과 중도상환시 부담할 금액을 안내한 후 고객 확인 및 서명

(23) 담보물 재감정 관련 절차 개선

내규 ｢담보물가격조사 업무방법｣ 제17조제1항 및 제3항에 따라 은행은

자체가격 조사서 및 외부감정평가서의 사용기간은 기준시점부터 3년 이내로 하되, 최초사용도 기준시점부터 3개월 이내로 하며, 사용기간 내에서 재사용할 경우에는 대상물건의 변동사항(공시지가변동, 감사수정, 물건의 멸실·훼손 여부 등)을 확인한 현지답사확인서를 작성하여야 한다.

단, 사용기간이 경과하면 재감정을 해야하나 분할상환조건의 대출이거나 최종 기준시점과 비교하여 가격하락의 요인이 없다고 판단되는 경우 현지답사확 인서를 작성하여 사용할 수 있다.

또한, 동 내규 <별표1> ‘담보물 가격조사 기준표’에 따라 기준 금액 이하 의 담보물에 대해서는 본부 가격조사가 아닌 영업점 가격조사를 실시하여 현 지답사확인서를 작성할 수 있다.

하지만 영업점은 담보물에 대한 자체가격 조사서 등의 사용기간이 경과하 여도 재감정을 실시하지 않고 현지답사확인서 등록도 생략하는 등 관련된 업무 절차를 지키지 않고 있으며, 담당부서인 여신감리부는 이에 대한 점검을 실시 하지 않고 있다.

<조치할 사항>

여신감리부는 영업점에서 감정평가서(자체가격조사서)의 사용기간이 경과 하여 재감정해야하나 일정조건을 충족하여 현지답사확인서를 작성하는 경우, 통합단말시스템에 현지답사 확인서를 필수적으로 등록하도록 관련 전산 시스 템을 개선하고 이를 주기적으로 점검하는 등 담보물 재감정에 대한 업무 절 차 및 방법을 강화하시기 바랍니다.

(24) 신용카드 이용한도 심사절차 개선

은행은 신용카드 이용한도 증액 시 내규 ｢ 카드업무방법｣ 등에 따라 심사기

준을 운영하고 있으나 아래 ㈎, ㈏와 같이 증액심사 기준 운영 상 미흡사항 이 있으므로 이를 개선할 필요가 있다.

㈎ 신용카드 이용한도 증액심사 기준 관련 은행-회원조합 간 불합리한 차이 개선

은행 내규 ｢카드업무방법｣ 등에 따라 회원조합은 회원조합이 모집한 회

원이 이용한도 증액을 요청할 경우 ‘이용한도변경신청서’ 등 심사서류를 작성 하여 은행 담당부서(카드사업부 또는 심사부)에 전달하고 은행의 심사승인을 받아* 한도를 조정한다. 그리고 은행 담당부서는 회원조합 모집 회원이 요청한 이용한도 증액에 대해서는 단순 금액 기준**으로만 승인 여부를 정하고 있다.

* 신용카드 이용한도 증액은 신용카드업자(은행)가 제3자(회원조합)에게 위탁할 수 없

는 본질적 업무에 해당

** 신용카드 통합한도 OO원 이하 및 특별한도 OO원 이하 증액 건 : 은행 카드사업부 승인 필요 신용카드 통합한도 OO원 초과 및 특별한도 OO원 초과 증액 건 : 은행 심사부 승인 필요 그러나 은행이 모집한 회원은 이용한도의 영업점장 전결한도 초과여부 및 신용등급의 기준 미달 여부 등 별도 기준에 따라 은행심사부에서 승인 여 부를 결정하고 있다.

이에 따라 은행에서 모집한 신용카드 회원의 이용한도 증액업무는 은행 심사부의 승인이 필요한 사안인 반면, 회원조합이 모집한 신용카드 회원은 금 액기준만 충족하면 이용한도 증액이 가능하여, 동일한 카드상품임에도 증액심 사 기준이 모집주체에 따라 다르게 적용되는 등 은행과 회원조합 간 불합리한 차이가 존재한다.

㈏ 회원조합의 이용한도 증액 처리 시 은행 심사절차에 대한 통제 강화

은행은 회원조합의 요청에 따른 이용한도 증액 심사와 관련하여 회원조 합이 전달한 심사서류가 미흡하거나 심사부 승인이 누락되었음에도 이용한도를 증액 처리하는 등 은행 심사절차에 대한 통제가 미비하여 회원의 결제능력 등을 고려하지 않고 이용한도가 상향 조정될 우려가 있다.

<조치할 사항>

신용카드 이용한도의 증액심사 기준과 관련하여 은행과 회원조합 간 불합 리한 차이를 개선하고, 회원조합의 이용한도 증액 요청 시 은행의 심사절차에 대한 통제를 강화하시기 바랍니다.

(25) 프로그램 테스트 및 통제 절차 불합리

은행은 프로그램의 신규 또는 변경 사항에 대해서 정당성을 검증하고

운영시스템 적용은 처리하는 정보의 기밀성·무결성·가용성을 고려하여 충분한 테스트를 하는 등 프로그램 통제 절차를 운용해야 하나 아래와 같이

업무절차에 미흡한 부분이 있으므로 이를 개선할 필요가 있다.

㈎ 통합 및 인수 테스트 절차 불합리

은행 내규 「전산화 개발 매뉴얼」에 따르면, 은행은 프로그램 개발 이

①단위테스트 → ②통합테스트 → ③인수테스트를 거쳐 운영시스템에 배포·

후

적용해야 한다. 그리고 통합테스트는 기능의 흐름에 따라 프로그램 결합을 위 한 테스트 케이스를 마련하여 수행해야 하고 개발요청부서가 수행하는 인수테스 트는 업무개발요청서에서 기술된 이행검증계획 내용을 토대로 수행·기록해야 한다.

하지만 단위테스트와 통합테스트의 범위가 구분되지 않아 은행은 별도의 통합테스트 시나리오를 마련·운영하지 않았고, 업무개발요청서에 기술된 이행 검증계획이 부실하여 인수테스트를 미흡하게 수행하였으며, 테스트 내용도 “.”, “테스트” 등으로 기록하는 등 형식적으로 운영하여 프로그램 테스트 부실로 인한 정보처리시스템의 장애가 발생할 우려가 있다.

<조치할 사항>

따라서 은행은 통합테스트 전에 테스트 케이스가 누락되지 않도록 테스 트 시나리오를 마련하고, 업무개발요청 과정에서 개발 범위·요건, 이행검증계 획을 구체적으로 작성토록 하여 현업부서의 인수테스트를 체계적으로 수행할 수 있도록 관련 절차를 개선하시기 바랍니다.

㈏ 소스코드 취약점 점검·통제 절차 미흡

은행 내규 「운영시스템 이관 및 적용절차 매뉴얼」에 따르면, 은행은 개 발·테스트 시스템에서 취약점 점검 소프트웨어(Sparrow)를 이용하여 소스코 드 취약점 분석(소스코드 인스펙션, 하드코딩 검출 등)을 실시하고 그 결과 취 약한 프로그램은 수정하여 배포토록 하는 등 프로그램 통제 절차를 운영해야 한다.

하지만 은행은 코어뱅킹 프로그램을 ‘특정일시적용’으로 설정하면 임의로 취약점 점검을 회피할 수 있어 일부 프로그램에 대해 취약점 점검을 하지 않

고 운영시스템에 배포하였으며,

모바일뱅킹 및 인터넷뱅킹은 개발자가 자율적으로 소스코드 취약점 점검 을 할 수 있어 2022. 3. 8. 이후 점검 결과가 없는 등 소스코드 취약점 점검이 부실하게 운영되어 보안 취약점, 코드 오류 등이 발생할 우려가 있다.

<조치할 사항>

따라서 은행은 형상관리시스템과 소스코드 취약점 시스템 간 연계를 강화 하여 코어뱅킹, 인터넷·모바일 뱅킹 등 전자금융거래 관련 중요 프로그램의 소스코드 취약점을 점검토록 하고 취약점 점검 예외사항에 대한 사후검증을 실시하는 등 소스코드 취약점 점검 절차를 개선하시기 바랍니다.

㈐ 프로그램 및 일괄작업 등록 절차 미흡

은행 내규「전산화 개발 매뉴얼」제26조에 따르면, 은행은 신규 프로그램 개발 시 중요도에 따라 중요* 또는 일반 프로그램을 구분하여 등록하고 이를 담당팀장과 IT자체감사자가 확인해야 한다.

* 중요프로그램 등록 기준

1. 수신업무 중 적수계산, 이자계산, 해지처리 등과 관련된 프로그램

2. 여신업무의 대출금 적수계산, 이자계산, 원리금 회수와 관련된 프로그램

3. Center-Cut 처리 프로그램, 4. 수입제세, 종합과세 관련 프로그램

5. 원장변경 배치 프로그램, 6. 원장 초기화 및 Load 프로그램

또한, 은행 내규「전산운영실 관리 매뉴얼」에 따르면, 작업 스케쥴러(Job Scheduler) 시스템에 중요프로그램을 일괄작업(Batch Job)으로 등록 시 책임자 승인을 거쳐 중요작업으로 지정·등록해야 하고, 자체감사자는 중요작업 지정의 적정성을 추가로 확인해야 한다.

하지만 은행은 중요프로그램 등록 시 자체감사자가 확인하는 절차를 미흡 하게 운영하여 일부 중요프로그램이 중요작업으로 등록1)되지 않았고 중요작 업으로 등록되지 않은 프로그램에서 오류가 발생할 경우 조치2)가 지연될 우려 가 있다.

1) “센터컷 원장생성PGM(AFTB0065.c)”은 중요프로그램으로 등록되었으나, 관련 일괄작

업 중 일부(자립예탁금 분기 작업)는 일반작업으로 등록

2) 중요작업으로 등록된 프로그램의 오류 발생시 담당자에게 즉시 연락이 가고 오류 보

정 등의 작업이 진행됨

<조치할 사항>

따라서 은행은 프로그램 등록 및 일괄작업 등록 시 IT자체감사자 등 제3자의 검증절차를 강화하여 중요프로그램 또는 중요작업 등록이 누락되지 않도록 하고 주기적으로 중요작업 지정 여부의 적정성을 점검하여

중요작업에서 오류가 발생하는 경우 신속하게 조치 될 수 있도록 관련 절차를 개선하시기 바랍니다.

(26) 전자금융사고 보고 체계 불합리

에 따르면 내부 장애등급 2등급* 이상인

은행 내규 ｢ 전산장애관리매뉴얼｣

‘전산자료 또는 프로그램의 조작과 관련된 금융사고’ 및 ‘대고객 영향이 있는 서 비스 10분 이상 중단’과 같은 장애는 금융감독원과 감사부서에 보고하여야 하 며 동 매뉴얼에 따르면 시스템 중단 등의 장애발생 시 고객에게 통보하도록 규정하고 있다.

* 1등급(고객 피해) : 장애로 인해 고객 금융 업무 등에 직접적인 피해를 끼친 장애로

금융업무 대부분의 서비스가 중단된 대고객 장애

2등급(업무 영향) : 금융 업무 부분 장애나 고객 서비스 이용 불편 및 대면, 비대면 서

비스 영업에 지장을 초래한 장애

3등급(영향 미미) : 대응 체계 가동 등으로 업무 영향이 미미한 장애 하지만 은행은 전자금융서비스 10분 이상 지연 등의 장애를 전자금융사 고 보고 대상으로 인식하지 않아 일부 장애 발생 내역을 금융감독원에 보고 하지 않은 사례*가 있다.

* 대외MCI시스템 일부거래 지연(2020.3.14.), 전자금융 통신장비 장애(2021.6.30.), 펌뱅킹 통신장비 장애(2021.12.30.) 등

또한, 정보처리시스템 중단 장애 외에 전산자료 또는 프로그램 조작과 관련된 금융사고가 발생한 경우의 이용자 통보 절차를 은행 내규에 반영하지 않아 전자금융거래 오류 발생 시 이용자 통보가 누락되거나 지연될 우려가 있다.

<조치할 사항>

따라서 은행은 전자금융사고 보고, 전자금융거래 오류의 이용자 통보가 누락 되지 않도록 전자금융사고 보고기준 및 이용자 통보 절차를 보완하여 내규 등에 반영하고, 동 내규를 준수하시기 바랍니다.

(27) 오픈소스(공개용) 프로그램 통제 불합리

은행은 검사종료일(2023.9.22.) 현재 인터넷뱅킹, 모바일뱅킹 등 전자금융 관련 정보처리시스템에 다수의 오픈소스 프로그램*을 운영하고 있다.

* Apache Tomcat(웹서버), mysql(데이터베이스), 리눅스(OS), 모바일 APP관련 오픈소스 등

하지만 은행은 오픈소스 프로그램 사용에 대한 관리 방안, 통제 절차 등 거버넌스 체계가 마련되어 있지 않고, 오픈소스 사용 현황에 대한 정기적인 점검 절차가 없어, 오픈소스 취약점으로 인한 보안 위협과 사용권 문제 등 오픈소스 프로그램에 관한 법적 분쟁 및 보안상 리스크가 발생할 우려가 있다.

<조치할 사항>

따라서 은행은 오프소스 프로그램의 도입·활용·유지보수 등 소프트웨어 생명주기 전반에 관한 리스크 관리체계를 마련하고, 정기적으로 오픈소스 현 황 관리 및 취약점 분석 등 관련 통제 활동을 수행하시기 바랍니다.

(28) 암호키 관리 절차 불합리

은행 내규 ｢암호화 매뉴얼｣에 따르면, 은행은 암호키 및 암호화 정책을 보안 USB메모리에 백업하고 별도의 보호구역 내의 보관함에 보관하여 키 분실에 대비하여야 하며, 보안운영 담당자는 인가된 사용자만 암호키에

접근이 가능하도록 통제하고 열람·사용 관리 대장을 작성·관리해야 한다.

하지만 은행은 암호키 사용 내역을 별도의 대장에 작성하여 보관하고 있 암호키 외부 반출 등의 세부절차*가 마련되지 않아 외부로 반출하는 과

으나,

정에서 암호키 분실 위험이 존재하며,

* (예시) 외부기관에 암호키 전달시 보안USB 사용, 전달 후 회수 내역 확인, 암호키 분실 시 재발급 절 차 등

전송구간 암호키인 SSL(Secure Socket Layer) 인증서 키의 경우

운영담당자, 키 종류, 상세정보(서버 호스트명, 디렉토리, 접근권한) 등이 관리되지 않아 암호키의 생성, 갱신 이력이 불분명하게 운영되고 있으며, 이로 인한 암호키의 접근통제 관리 미흡으로 외부 유출 또는 권한이 없는 자에 의한 변경·삭제 위험이 있다.

<조치할 사항>

따라서 은행은 암호키 종류별 주입, 운용, 반출, 폐기 등 구체적인 운영 절차를 보완하는 한편, 암호키 업무담당자를 명시하고 암호키 상세 정보에 대한 접근통제 검증 절차를 마련하여 암호키가 안전하게 관리·운영되도록 관리체계를 강화하시기 바랍니다.

(29) 장애인 등 전자금융 이용 편의성 제공 미흡

은행은 개인 및 기업 인터넷뱅킹 웹페이지를 운영하고 있으며, 동 인터넷 뱅킹 웹페이지는 신규 구축 및 고도화 당시에는 웹 접근성 인증을 받았다.

하지만 개인 인터넷뱅킹은 2014.2.12., 기업 인터넷뱅킹은 2019.7.15.에 각 각 웹 접근성 인증이 만료되었고, 은행은 인증이 만료된 이후 웹 접근성 재인 증을 신청하지 않아 장애인이나 고령자 등의 인터넷뱅킹 웹페이지에 대한 웹 접 근성이 제대로 보장되지 않을 우려가 있다.

<조치할 사항>

따라서 은행은 앞으로 장애인 등에 대한 웹 접근성이 지속적으로 보장될 수 있도록 인터넷뱅킹 웹페이지의 웹 접근성 인증 만료 시 재인증하도록 절 차를 개선하시기 바랍니다.

(30) 정보처리시스템 성능 관리 불철저

은행은 전자금융서비스의 원활한 제공 및 정보처리시스템의 장애 예방을

위해 전산기기 등의 성능을 최적화하고 필요시 관련 설비를 증설해야 하나, 아래와 같이 미흡한 부분이 있으므로 이를 개선할 필요가 있다.

㈎ 전산기기 성능 관리 미흡

은행 내규 ｢전산시스템 관리 매뉴얼｣에 따르면, 은행은 전산기기 성능 및 사용량을 지속적으로 분석하여 최적의 전산기기 상태를 유지하고 전산 자원 사용량에 임계치를 두어 동 임계치를 초과하는 경우 원인 파악 및 제거, 성능 개량 등 대응방안을 사전에 마련하여 증설을 검토해야 한다.

하지만 동 매뉴얼에 전산기기 성능관리를 위한 정기적인 추이분석 실시 기준 및 절차가 마련되어 있지 않아 2023년 8월 기준 일부 전산기기의 전산 자원이 아래와 같이 운영되고 있음에도 은행은 전산기기의 성능관리를 위한 추 이분석을 수행하지 않는 등 별도의 대응을 하지 않아 전자금융서비스에 장애 가 발생할 우려가 있다.

㈏ 정보보호시스템 성능 관리 미흡

은행 내규 ｢정보보호 업무 세칙｣에 따르면, 보안 운영 담당자는 정보보 호시스템 성능의 최적화를 위해 자원 사용현황을 정기적으로 분석하고 추이분 석 등을 통해 필요시 개선해야 한다.

하지만 은행은 정보보호시스템에 대한 자원 사용현황을 1주일 또는 1개월 중 단 하루치의 성능 현황만 파악하는 등 추이 분석에 대한 기준이 없고, 시 스템관리팀의 통합 모니터링 대상에 정보보호시스템은 포함되지 않아 정보 보호시스템에 대한 성능관리 업무가 소홀해질 우려가 있다.

<조치할 사항>

따라서 은행은 전산기기 및 정보보호시스템의 자원증설이 적시에 이루어질 수 있도록 전산기기 등에 대한 추이분석 기준을 보완하고, 정보보호시스템에 대해서는 시스템 성능 현황을 파악할 수 있도록 조치하는 등 성능관리 업무 를 강화하시기 바랍니다.

또한, 임계치를 초과하는 서버는 성능조정, 증설 등을 통하여 전산기기 및 정보보호시스템의 운영 안정성을 강화하시기 바랍니다.

(31) 개인정보 점검·관리 미흡

은행 내규 ｢ 정보보호 세칙｣ 제109조 및 ｢ 개인(신용) 모니터링 매뉴얼｣ 제2

장에 따라 은행은 업무용 단말기 및 DMZ구간 내 서버의 고객정보 등 개인정 보가 포함된 데이터 보관 여부를 개인정보 검출 솔루션으로 매월 점검하고 있 다.

하지만 은행은 업무용 단말기 등에 대한 개인정보 점검기준으로 주민등록번 호, 외국인등록번호, 핸드폰번호 및 이메일만을 지정하고 운전면허번호, 여권번 호와 같은 중요 개인정보를 제외하였고, 일부 인터넷뱅킹 서버는 개인정보 검 출 점검을 하지 않았다.

그 결과 업무용 단말기와 개인정보 검출을 점검하지 않은 서버에 중요

개인정보가 보관될 우려가 있다.

<조치할 사항>

따라서 은행은 운전면허번호, 여권번호 등의 중요 개인정보를 점검기준으 로 추가 지정하고, 점검 대상 서버도 확대하여 중요 개인정보가 업무용 단말 기 등에 보관되지 않도록 개인정보 점검·관리 절차를 개선하시기 바랍니다.

(32) 문서보안시스템 정책관리 불합리

은행 내규 ｢ 정보보호 업무 세칙｣ 제41조에 따라 은행은 정보처리시스템에

접속하는 단말기 내 문서보안을 위해 문서보안시스템(DRM : Digital Rights management)을 설치하여 단말기 내 문서 등 전산자료를 보호하고 있다.

하지만 은행은 문서보안시스템의 암호화 정책에서 이미지파일(jpg, png 등)은 암호화 대상에서 누락 하였으며, 텍스트파일(txt)은 사용하는 어플리케이션에 따라 암호화가 적용되지 않도록 운영하였다.

또한, 복호화된 문서에 대한 재암호화* 기능을 적용하지 않아 암호화되지 않은 문서, 이미지 파일 등이 유출될 우려가 있다.

* 복호화된 모든 전자문서를 정기적으로 검색하여 복호화된 문서를 다시 암호화하는

기능

<조치할 사항>

따라서 은행은 문서보안시스템의 암호화 적용 대상을 모든 이미지파일과 텍 스트파일 등으로 확대하고, 복호화된 전자문서를 정기적으로 검색하여 일괄 재암 호화하는 등 전자문서 보호 및 유출 방지를 위해 문서보안시스템 정책을 강화하 시기 바랍니다.

(33) 백신 프로그램 운영관리 미흡

은행 내규 ｢ 정보보호 업무 세칙｣ 제76조에 따라 은행은 악성코드 감염 방지

및 치료 등을 위해 백신 프로그램(V3 Internet Security)을 임직원 단말기, 서버에 설치·운영하고 일 1회 엔진 업데이트, 예약검사 등의 정책을 운영하고 있다.

하지만 은행은 매월 정보보안 점검의 날 ’중요 단말기 예약검사 현황‘ 등의 이행 여부 확인 시 엔진 업데이트 및 예약검사가 미흡한 단말기를 실제 확인하지 않고 백신 프로그램 관리자 화면에서 정책 설정값만 점검하였다.

또한, 치료되지 않은 악성코드 감염 단말기가 잔존하여 동 단말기에 대한 적 절한 치료가 이루어지지 않을 경우 내부정보 유출 및 시스템 장애 등의 우려가 있다.

<조치할 사항>

따라서 은행은 정보보안 점검의 날에 임직원 단말기에 설치된 백신 프로 그램 엔진 업데이트, 중요 단말기 예약검사 및 악성코드 감염 단말기의 치료 등이 실제 수행되었는지 확인하는 등 백신 프로그램 운영·관리 업무를 개선 하시기 바랍니다.

(34) 외주인력 보안관리 미흡

은행 내규 ｢ 정보보호 업무 세칙｣ 제108조, ｢ 외주인력 보안관리 매뉴얼｣ 제3

장에 따라 은행은 정보자산 보호 및 개인정보유출 방지를 위해 ’외주인력 중요 점검사항‘을 IT외주인력이 매일 자가점검하도록 하고 동 점검결과를 문서 또 는 전자결재로 관리하고 있다.

하지만 외주인력이 자가점검 결과를 O/X로 표기할 뿐 증빙자료를

첨부하지 않아 회사의 외주인력 관리 담당자(현업부서)가 외주인력의 자가점검 결과의 적정성을 판단하기 어렵고, 동 적정성도 매일 확인하지 않는 사례가 발견되는 등 외주인력에 대한 점검 활동이 형식적으로 이루어지고 있다.

또한, 정보보호팀에서 외주인력에 대한 중요 점검사항 확인이 적시에 이루어지고 있는지에 대한 점검을 프로젝트 종료 시 혹은 보안점검*을 통해 확인하여 장기간 점검이 이루어지지 않는 등 중요 점검사항에 대해 실효성 있는 점검이 이루어지지 않아 외주인력 보안통제가 적절히 운영되지 않을 우려가 있다.

* 프로젝트 기간에 따라 2∼3개월 단위로 수행

<조치할 사항>

따라서 은행은 외주인력에 대한 중요 점검사항 점검 시 점검결과의 적정 성을 판단할 수 있는 증빙자료 등을 첨부하도록 절차를 개선하고 매일 점검을 수행할 수 있도록 전산시스템을 통해 관리하는 등 외주인력에 대한 보안 관리를 강화하시기 바랍니다.

(35) 홈페이지 등 공개용 웹서버 보호 불합리

은행 내규 ｢ 서버 보안관리 매뉴얼｣ 제5장에 따라 은행은 DMZ구간 내 공

침입방지시스템*(IPS : Intrusion Prevention

개용 웹서버를 보호하기 위해

System)을 설치 및 운영하고 있다.

* 네트워크에서 악의적인 활동을 지속적으로 모니터링하고 이러한 활동이 발생할

경우 보고, 차단, 제거 등의 예방조치를 취하는 정보보호시스템

하지만 은행은 웹 서비스에 대한 공격을 침입방지시스템(IPS) 및 SSL 암복 호화 시스템1)으로 방어2)하여 SQL 삽입 공격3), 크로스 사이트 스크립팅(XSS : Cross Site Scripting)4) 등의 웹 서비스 공격에 대한 방어 및 대응에 한계가 있다.

1) 네트워크시스템과 연계하여 트래픽을 암호화 혹은 복호화하여 전달하는 시스템

2) 스마트폰 웹 구간 : 침입방지시스템, SSL 암복호화 솔루션, 보안관제로 대응 중

인터넷 웹 구간 : 침입방지시스템, 보안관제로 대응 중

3) 데이터베이스가 비정상적인 동작을 하도록 조작하여 민감한 정보를 탈취하는

공격기법

4) 웹 사이트의 악성 스크립트를 삽입하여 의도하지 않은 명령을 실행시키는 공격기법

또한, 스마트폰 웹 구간 내 침입방지시스템(IPS)의 웹 공격 차단 규칙 중 일부를 차단 정책1)으로 적용하지 않고 탐지 정책2)으로 운영하여 웹 서비스에 특화된 공격 발생 시 신속한 초기 대응 및 신규 웹 서비스 공격 차단 등 적절한 대응이 이루어지지 않을 우려가 있다.

1) 차단 정책 : 웹 서비스 공격 시도를 탐지하여 공격을 즉시 차단하는 정책

2) 탐지 정책 : 웹 서비스 공격 시도를 탐지하여 로그를 기록하지만 공격을 차단하지 않는 정책

<조치할 사항>

따라서 은행은 웹 서비스에 특화된 공격에 대한 실효성 있는 방어 및 대 응을 위해 웹 방화벽을 도입하고 스마트폰 웹 구간 내 침입방지시스템의 차단 규칙을 점검하여 탐지 정책을 차단 정책으로 전환하는 등 공개용 웹서버 보호 를 강화하시기 바랍니다.

(36) 테스트 페이지 접근통제 등 관리 불합리

은행 내규 ｢정보보호 업무 세칙｣ 제92조, 제119조에 따라 은행은 정보처 리시스템의 시험운영이 필요한 경우 사용자 인증 및 접근통제를 우회하지 않도 록 통제하고 전자금융기반시설 대상 정보처리시스템에 대해서 주기적으로 취약 점 점검을 하고 있다.

하지만 은행은 검사착수일(2023.9.4.) 현재 업무 담당자 뿐만 아니라 외부에

서 누구든지 푸쉬 서비스 및 모바일 웹 서비스의 테스트 페이지에 접근이 가 능하도록 방화벽 설정(테스트 기간, 접속지 등)에 대한 점검 및 관리를 하 지 않는 등 푸쉬 서비스 및 모바일 웹 서비스의 시험운영에 필요한 접근통제 를 소홀히 하였다.

또한, 모바일 웹 취약점 점검 시 발견된 취약점에 대해 운영 페이지는 조치하였으나, 모바일 웹 테스트 페이지는 조치하지 않아 테스트 페이지에 잔존한 취약점*을 이용한 공격이 발생할 우려가 있다.

* 불필요한 파일 노출 취약점 O건 (2020년, 2022년 전자금융기반시설 취약점 점검 시 도출)

<조치할 사항>

따라서 은행은 외부에서 접근 가능한 테스트 페이지 운영 시 테스트 기간 및 접속지 제한 등의 접근통제를 강화하고, 취약점이 발견된 테스트 페이지에 대한 조치도 누락되지 않도록 취약점 조치업무를 개선하시기 바랍니다.

(37) 정보처리시스템 및 데이터베이스 접근통제 관리 미흡

은행 내규 ｢정보보호 업무 세칙｣ 제35조, 제65조, ｢서버 보안관리 매뉴얼 ｣ 제1장, ｢ 데이터베이스 보안관리 매뉴얼｣ 제3장, 제4장에 따라 은행은 서버

및 데이터베이스의 접근통제를 위해 서버접근제어시스템(SGTray)과 데이터베 이스 접근제어시스템(DBSafer)을 운영하고 있으며, 중요 명령어*를 지정하여 서 버 및 데이터베이스 접근 우회, 서비스 중지 등을 방지하고 있다.

* 관리자 권한 상승(su, sudo), 서버접근통제 우회(ssh), DB접근통제 우회(sqlplus) 등

하지만 은행은 서버 및 데이터베이스 접근제어시스템이 주전산센터에만 구축되어 재해 발생 혹은 접근제어시스템 장애 시 주전산 및 재해복구센터 내 서버 및 데이터베이스 접근통제가 되지 않을 우려가 있다.

또한, 서버접근제어시스템 내 일부 중요 명령어*의 실행 통제를 누락하였 고 중요 명령어 실행 시 즉시 차단하지 않고 경고 또는 재확인하는 방식으 로 통제하여 중요 명령어의 실행이 가능하여 서버 및 데이터베이스 우회 접 근, 정보처리시스템 중단 명령어 실행 등에 의해 정보처리시스템 중단 및 보안 사고 발생 우려가 있다.

* 서버접근통제시스템 우회(telnet, ftp), 원격접속명령어(rsh, rlogin) 등

<조치할 사항>

따라서 은행은 재해복구센터 내 서버 및 데이터베이스 접근제어시스템 을 구축하여 재해 혹은 장애 발생 시에도 서버 등에 대한 접근을 통제하는 한 편, 서버접근제어시스템에서 주요 명령어(telnet, ftp, rsh 등) 실행을 통제하도 록 보완하고 주요 명령어 차단 정책을 적용하여 정보처리시스템의 운영 안정성 및 보안사고를 방지할 수 있도록 접근통제 정책을 개선하시기 바랍니다.

나. 경영유의사항

(1) 중장기 자본관리계획 수립 및 운영 강화

공적자금 상환합의서 개정* 이후 은행은 리스크관리위원회(2022.9월)로부터 중장기 자본관리계획 마련을 지시받았음에도 동 지시에 따른 후속 대응을 하지 않았고, 연도별 사업계획 내 차년도 목표비율 외에는 별도로 중장기 자본계획에 대한 이사회 또는 리스크관리위원회의 의결 또는 보고 내역**이 없는 등, 공적 자금 상환합의서 개정이라는 중요한 경영 환경 변화 이후 자본비율이 국내은행 최하위 은행으로서 자본적정성 개선을 위한 중장기 자본관리계획을 수립 및 이 행을 하지 않고 있다.

* 2022년 9월 공적자금 조기상환으로 예보와의 기존 공적자금상환합의서에 따른 내부

유보 제한(보통주자본비율 OO% 초과 금지) 해제

** 리스크관리부에서 2022년 하반기에 “공적자금 조기상환에 따른 BIS비율 관리방안”을 CEO에게 보고하였으나, 이사회 또는 리스크관리위원회에 의결 또는 보고한 내역은 없음

또한 자본비율에 영향을 미치는 변동요인*이 존재하는 경우 목표 자본비 율 설정시 동 요인을 충분히 고려하여야 하나, 2023년 목표 자본비율을 자본 비율 상한을 적용받던 2022년과 동일하게 설정하고 있는 등 자본관리 계획 수립이 미흡하다.

* 바젤3(시장, 운영리스크) 적용 등 산출방법의 유리한 변화나 공적자금 상환 관련 자본

비율 상한 해제, 중앙회를 통한 증자계획(2023. 3. OO원) 미반영 등

한편, 내부 목표 자본비율의 변경이 필요한 경우 리스크관리위원회에 관 련 내용을 보고하고 내부 목표비율의 수정을 위한 재의결*을 거치는 것이 바람직하 나

* 내규 ｢ 리스크관리위원회규정｣ 제4조(의결사항) 1.

보통주 증자 이후 중앙회와 체결한 경영계약(2023.3월)상 준수하기로 한 목표자본비율이 리스크관리위원회에서 의결(2022.12월)한 당해연도(2023년) 내부 목표 자본비율보다 높은데도, 리스크관리위원회 보고 및 재의결 등이 이루어 지지 않는 등 자본관리 절차와 관련 규정이 미흡하여 자본관리계획의 실효성이 확보되지 않을 우려가 있다.

* 리스크한도설정안 상 내부목표는 보통주자본비율 OO%(총자본비율 OO%)인데 반해, 경영 계약(2023년 수협은행 및 은행장 경영평가방안)상 달성목표는 보통주자본비율 OO%(총자본비율 OO%)

<조치할 사항>

감독규제 변화(경기대응완충자본 추가적립, 스트레스 완충자본 도입 등) 및 경영환경 변화를 감안한 안정적인 수준의 자본관리 계획을 마련하여 시행하고

목표자본비율 설정시 자본비율 변동요인을 충분히 고려하며, 목표자본비 율 조정 등 사유가 발생할 경우 리스크관리위원회 보고·재의결을 거치고 관 련 규정을 정비하는 등 자본관리 절차를 강화하시기 바랍니다.

(2) 통합위기상황분석 절차 및 인력 강화

｢ 은행업감독업무시행세칙｣ 제29조의3, [별표 19] 제7호 등에 따라 이사회

및 경영진은 잠재적인 위기상황 시나리오 검토를 포함하여, 위기상황분석 과 정에 참여하여 의견을 개진하고 결과를 의사결정에 활용하여야 하나

시나리오 설정시 경영진 및 이사회 참여 없이 리스크관리부 내에서 개별 리스 크 담당 실무자 의견만 반영하여 결정하고 있으며, 시나리오 설정 절차 등 을 규정한 내규도 마련되어 있지 않고, 분석 및 산출 절차 전반에 있어서도 조 직 내 역할 등이 내규상 명확하지 않다.

또한, 위기상황분석업무를 통할하는 총괄 담당자의 유관 경력이 2023.8월 말 현재 1개월에 불과하고, 리스크별 위기상황분석 담당자의 관련 경력도 최 대 1.5년 이하인 등 통합위기상황 분석업무 수행에 필요한 인력 및 전문성이 크게 미흡하다.

<조치할 사항>

통합위기상황분석 시나리오 설정 과정에 경영진 및 이사회가 참여하도록 관련 내규와 절차를 개선하고, 위기상황분석과 관련한 산출 · 보고 · 적정성 검토 의 주체 등 조직내 역할 및 동 업무의 수행주기 등 관련 내규를 명확히 하며, 인력 확충 및 내·외부 교육 등을 통해 담당 인력의 전문성을 제고하시기 바랍니다.

(3) 리스크관리 의사결정체계 강화

은행은 이사회 내 소위원회인 리스크관리위원회와 하부 부서장 실무회의 체인 리스크관리협의회를 운영하고 있는데, 내규 ｢ 리스크관리준칙｣에 따라 유

형별, 부서별 위험가중자산(RWA) 및 내부자본 한도 배분 등 리스크관리위원 회에서 위임한 일부 업무를 리스크관리협의회에서 의결하고 있다.

* 신용리스크 한도배분(RWA, 내부자본, T/E) 등 각종 주요 리스크의 한도설정, BIS자기 자본비율과 자본적정성 관리 및 리스크관리를 위한 계획 수립 등

리스크관리위원회에서 BIS목표자본비율을 설정하면 리스크관리협의회에 서 신용위험가중자산(RWA) 한도를 설정하여 부서별로 배분하고, 배분된 신용 위험가중자산(RWA) 한도는 부서별 성과평가지표(KPI)에 감점항목으로 반영하 고 있는데, 리스크관리협의회는 부서장 회의체이므로 부서별 RWA 한도 배분 및 KPI 항목 관련 부서간 이해상충 및 객관성 부족의 소지가 있다.

또한, 리스크관리협의회의 의사결정 방법은 재적 2/3이상 출석 및 과반 수 찬성이어서 유일한 리스크관리그룹 참석자이자 의장인 리스크관리부장의 반대에도 불구하고 의결될 수 있도록 구성되어 있는 등 자본 및 리스크관리와 관 련된 의사결정이 구성 및 의사 방법상 견제 기능이 취약한 회의체인 리스크 관리협의회에서 이루어져 의사결정 체계가 다소 미흡*하다.

* 부서장으로 구성된 실무진 회의체에서 의결하고, 매회 리스크관리위원회에는 동 협의

회 의결 안건의 요약 내용만 취합하여 보고

<조치할 사항>

리스크관리 업무 계획수립, 신용 등 리스크별 한도설정 및 배분, BIS기준 자기자본비율 및 내부자본적정성 관리 등을 포함한 리스크관리 관련 주요 의사 결정 등은 리스크관리협의회가 아닌 리스크관리위원회에서 직접 심의 · 의결 토록 하고 위험관리책임자(CRO)를 의장으로 하는 방안을 포함하여 리스크관 리협의회 역할 및 견제 기능을 강화할 수 있도록 리스크관리 관련 의사결정체 계를 강화하시기 바랍니다.

(4) 유효이자율 산출 프로세스 관리 미흡

은행은 ｢국제회계기준 제1109호｣ 등에 따라 유효이자율을 산출하고 은행 의 ｢직제준칙｣에 따라 기업금융부에서 유효이자율 산출을 위한 수익인식시스 템 관리 업무를 수행하고 있다.

그러나 사업부서인 기업금융부에서 충당금 산정 등을 위해 객관성이 필 요한 유효이자율 산출업무를 수행함에 따라 이해상충 소지가 있고, 모집단수 부족으로 포트폴리오 수를 축소(OO개→OO개)하여 포트폴리오의 특성에 맞지 않는 중도상환을 가정하는 등 미래 현금흐름 추정이 불합리하여 유효이자율 산출체계가 전반적으로 미흡하다.

<조치할 사항>

유효이자율 산출업무를 사업부서가 아닌 독립된 부서에서 수행하고 미래 현금흐름을 합리적으로 추정할 수 있도록 유효이자율 산출 및 점검 업무를 합 리화하는 등 유효이자율 산출 프로세스를 철저히 관리하시기 바랍니다.

(5) 중도금대출 관리 미흡

2023.6월말 현재 중도금대출 잔액이 OO원으로 전체 가계대출의 OO%를 차지하고, 비주택자금 중도금대출 OO원 중 비보증 중도금대출이 OO억원으로 OO%를 차지하는 등 중도금대출의 편중리스크가 존재함에도 은행은 이를 해 소하기 위한 관리체계가 없으며, 중도금대출의 사업성 심사를 위하여 주요 점 검항목별로 체크리스트 등 구체적인 심사 기준을 마련하고 있지 않다.

또한, 자금관리 및 사후관리와 관련하여 PF대출 상환 후 자금집행 관리 주 체가 부재하여 시행사의 공사비 등 본래 목적 외 유용 가능성이 있고 현장조 사 등 실질적인 사후관리를 하지 않는 등 여신 사후관리 프로세스가 미흡하 다.

<조치할 사항>

은행은 중도금대출을 취급하면서 중도금대출 관련 편중리스크 관리와 사업 성 심사, 자금관리 및 사후관리 등 중도금대출 업무의 전반적인 관리를 강화 하여 운영하시기 바랍니다.

(6) 중도금대출 관리 미흡

은행의 PF대출 등 리스크관리 및 내부통제와 관련하여 아래 ㈎, ㈏와 같 이 업무에 미흡한 점이 있으므로 관련 업무에 유의할 필요가 있다.

㈎ PF대출 리스크관리 불철저

최근 PF대출 취급 규모를 크게 증가*시키면서도 2023.6월말 기준 PF대출 의 한도 소진율은 OO%이며, 브릿지론은 총익스포져(T/E) 한도를 초과하여 OO%에 달하는 등 한도관리가 이루어지고 있지 않으며,

* 부동산 PF대출 연증가율(%) : (2020.6월말) OO → (2021.6월말) OO → (2022.6월말) OO → (2023.6월말) OO

2023.6월말 기준 착공 지연 등이 발생한 10개 사업장을 포함하여 모든 PF (OO개, 대출금 기준 OO조원)의 사업장에 대해 자산건전성을 ‘정상’으로 분류하는 등 리스크평가 또한 관대하게 이루어지고 있으며 강남기업금융본부 등 영업점에서 취급한 브릿지론에 대해서도 정기적인 사업장별 평가가 이뤄 지지 않고 있다.

또한 투자금융본부에서는 성과지표를 수익성 지표 위주로 예년보다 높은 목 표*를 설정한 반면, 리스크지표로는 요주의이하비율, 대손충당금설정비율 등은 고 려하지 않고 연체율만 관리하고 있어 고위험・고수익 추구에 대한 유인으로 작 용할 우려가 있다.

* 2022년 목표는 전년대비 OO% 증가로 설정하였으나 2023년 목표는 전년대비 OO% 증가 설정

㈏ PF대출 내부통제 미흡

PF대출 자금관리를 위한 직무분리와 관련하여 자금집행 결재와 관련하여 투자금융본부의 자금인출 및 원리금 수납 관련 전산상 결재권이 팀장이 아닌 팀원에게 있으며, 업무용통장 및 직인 보관을 투자금융본부 영업 담당자가 수 행하는 등 내부통제가 미흡하다.

자금집행 계좌관리와 관련하여, 자금인출대상 계좌를 전산이 아닌 수기로 관리하고 있고 사후관리 담당자 또는 원리금 수납계좌의 변경시 주관사 등에 대 한 통지절차가 공식적이지 않아 금융사고가 발생할 위험이 있다.

<조치할 사항>

향후 부동산 부실화 가능성을 차단하기 위해 PF 대출 리스크 관리 전반(한 도, 사후관리, 성과지표 등)을 정비하시기 바라며, PF 대출금 관련 사고예방을 위해 자금결제, 계좌관리 절차, 상시감시 업무에 포함 등 내부통제를 강화하 시기 바랍니다.

(7) 신용리스크 관련 위험가중자산(RWA) 및 총익스포져(T/E) 한도관리 불철저

리스크관리협의회에서 신용 위험가중자산(RWA) 및 총익스포져(T/E)의 세 부 한도를 설정하고 있으나 리스크관리협의회는 부서장 회의체이고 유일한 리 스크 관리 부서의 참석자인 리스크관리부장의 의결권도 회의 참석자 중 1표에 불과하여 리스크관리부의 견제기능이 미흡하다.

신용위험가중자산(RWA) 한도 소진율에 대한 관리방안이 구체적이지 못하 고 총익스포져(T/E) 한도 소진율에 대한 관리의 세부관리방안*을 리스크관리 부가 아닌 여신기획부에서 수립하여 총익스포져(T/E) 한도 관리와 관련한 리 스크 부서의 역할이 제한적이며, 신용 위험가중자산(RWA) 및 총익스포져(T/E) 한도 소진율에 따른 관리 계획이 부실**하게 이행되고 있다.

* 총익스포져(T/E) 한도 소진율 세부관리방안이 매년 변경되는 등 세부 기준의 일관성이 부족

** 신용위험가중자산(RWA) 및 총익스포져(T/E) 한도의 소진율 및 초과에 따라 주의 공 문 발송 및 해당 부서의 관리계획 수립이 일부 이행되지 않았음 아울러, 내규 등 근거도 없이 위험가중자산(RWA) 한도를 탄력적으로 추

가로 부여하여 위험가중자산(RWA) 한도 초과를 용인하고 있으며 업종별･ 특정 차주군별로 총익스포져(T/E) 한도 관리에 대한 내규가 불명확*하고, 한도 초과 시에도 감축 기간을 과도하게 길게(예:2년) 부여할 수 있어 한도 초과 현상을 신속하게 해소하기 부족하다.

* 내규 ｢Total Exposure 관리 업무방법｣ 제12조 제5호에 ’거래상대방그룹 또는 개별기업 ‘에 한정하여 T/E 한도 초과시 초과분 감축을 하도록 규정하고 있어 그 외 업종별 ･ 특정 차주군별 한도 초과시에 관리 근거가 미흡

<조치할 사항>

이와 같이 신용 위험가중자산(RWA)와 총익스포져(T/E) 한도 관리가 미흡 하여 한도 초과 사례*가 발생하고 있으므로 관련 업무를 강화하시기 바랍니다.

* ① 2020년 이후 기업금융부 등에서 총 OO회 위험가중자산(RWA) 한도가 초과되었고,

기업금융부는 2020년 3월부터 8월까지 한도 초과상태가 지속됨

② 2022년 및 2023년 건설업, 부동산업 등에서 월말 기준 총 OO회 총익스포져(T/E) 한 도가 초과되었고, 건설업의 경우 2022년 8월부터 연말까지 한도 초과상태가 지속됨

(8) 담보연계신용대출 취급 관리 강화

은행은 내규 ｢ 여신업무방법｣ 제4편 제2장 제41절 등에 따라 동일차주에

대해 내규상 담보인정비율 이내로 담보대출을 취급하면서 이와 별도로 근저 당권설정액(대출액의 120%)에서 담보대출 금액을 차감한 금액을 상한으로 하 는 신용대출(이하 담보연계신용대출)을 취급*하고 있다.

* 담보대출 취급시 체결한 근저당권설정계약서상 피담보채무 범위에 동 신용대출을 포함

그러나 동 담보연계신용대출은 주로 동일자에 동일차주 대상으로 담보인

정비율 상한을 초과하여 대출이 취급되는 등 내규상 담보인정비율 적용이 우 회될 가능성이 있고

2023년 6월말 기준 동 대출의 잔액은 OO억원(OO건)이며 차주기준 실질

LTV는 평균 OO% 수준이고 이 중 실질 LTV가 90%를 초과하는 대출은 OO 억원(OO건)으로 전체 담보연계신용대출의 OO%를 차지하여 향후 부동산 경 기둔화 심화 시 담보시세 및 경매낙찰률 하락 등에 따른 대출 회수가능금액 축소로 인한 여신 건전성 저하가 우려되는 상황이다.

<조치할 사항>

내규에서 정하고 있는 원칙대로 담보인정비율 이내에서 대출이 취급될 수 있도록 상품운영기준 관련 내규 및 제도 등을 정비하고

기취급한 高 LTV 여신에 대해서는 최근 담보물 시가 등을 반영한 최신 LTV 산정주기를 단축하는 등 담보력에 대한 모니터링을 강화하는 한편, 기한 연장·갱신 등이 이루어지는 경우 분할상환 의무화 등 해당 여신 잔액을 감축 하여 실질 LTV가 적정 담보인정비율 이내로 하향조정될 수 있도록 위험관리를 강화하시기 바랍니다.

(9) 자금세탁방지 조직의 운영 불합리

자금세탁방지업무 전담 조직은 ｢ 특정금융거래정보의 보고 및 이용 등에

관한 법률｣의 비밀보장 의무 이행(제12조) 및 이해상충이 없는 부서로부터의 독립적인 감사(제5조) 등을 위해 독립적인 체제로 운영되어야 한다.

하지만 은행의 자금세탁방지팀은 준법감시인 산하 준법감시팀 및 법무팀 과 동일한 공간*에서 별도의 가림막 없이 업무를 수행하고 있어 취득한 중요정 보의 보안 유지에 한계**가 있고

* 실질적으로 동일 부서내 3개팀으로 운영 중

** 특히, 자금세탁방지팀원 2명은 각 1명씩 준법감시팀 및 법무팀 자리에 배치

상기 3개팀이 부서내 자체점검을 명목으로 서로의 업무 일부를 점검*하고 있어 독립적 감사 취지가 훼손될 우려가 있는 상황이다.

* 월별 자체감사를 통해 준법감시팀이 자금세탁방지팀의 수기 기안문서 및 외부수신자

료의 등록 여부 점검 등

<조치할 사항>

자금세탁방지팀을 독립적 공간에 배치하고, 이해상충 소지가 있는 준법감시팀 등 다른 부서(팀)이 자금세탁방지팀에 대한 업무 적정성을 점검하는 일이 없 도록 조치하시기 바랍니다.

(10) 의심거래보고(STR) 처리업무 강화

의심거래보고(STR)는 은행이 자금세탁 의심거래를 인지한 후 금융정보분 석원(FIU)에 지체없이 보고해야 하는 중요 의무로서, 의심거래보고시 의심되 는 합당한 근거를 기재하는 등 보고내용의 충실도에 주의를 기울여야 한다*.

* ｢특정금융거래정보의 보고 및 이용 등에 관한 법률｣ 제5조의2 등

하지만 검사대상기간 중 은행에서 발생한 의심거래보고(STR) 보고건수(OO

건) 중 상당기간 지연보고(20일 초과*)된 건수가 OO건 확인되고, 이 중 OO건은

자금세탁방지시스템 설계 오류** 및 직원간 인수인계 미흡 등으로 본점의 의심 거래보고 과정에서 33~154일 소요된 사실이 있었다.

* 본점이 영업점으로부터 보고받은 후 금융정보분석원에 의심거래보고(STR)를 보고한

시점까지 소요된 일수

** 당시 영업점 폐점시 해당 영업점에 대한 정보가 화면에서 사라지도록 설계되어, 보고책임자 에게 상신된 의심거래보고 내용이 영업점 폐점으로 결재화면에서 사라짐에 따라 보고책임자 가 상신된 내용을 확인 및 결재하지 못하는 상황 발생

또한, 은행은 2021.4.8.~11.15. 기간 중 고객 A에 대한 경고메세지(Alert)가 OO건 발생한 데 대해, 2021.4.8.~11.11. 경고메세지 OO에 대해서는 ‘개인사업자의 정당한 거래’로 의심거래보고 대상에서 제외하였다가 ‘21.11.15. 경고메세지 건에 대해서는 ’해당 고객이 회사원임에도 다수의 계좌와의 과도한 거래가 발생하였다‘는 내용 등으로 금융정보분석원에 STR 보고한 사실이 있고

2020.5.10.~9.8. 기간 중 고객 B에 대한 경고메세지가 OO건 발생한 데 대해, 2020.5.10.~9.4. 경고메세지 OO건에 대해서는 ‘개인사업자의 정당한 거래’로 의심거래보고 대상에서 제외하였다가 ‘21.9.8. 경고메세지 건에 대해서는 ’해당 고객이 평범한 주부임에도 다수의 계좌와의 빈번한 거래가 발생하였다‘는 내용 등으로 금융정보분석원에 의심거래보고를 한 사실이 있다.

<조치할 사항>

자금세탁방지시스템 운영 체계를 점검하는 한편, 본점의 의심거래보고 소요기간을 상시 점검토록 업무프로세스를 개선하고 관련 내규를 정비하고,

의심거래보고 여부 검토시 과거 검토내용을 면밀히 살펴볼 수 있도록 직원교육을 강화하고, 시스템상 과거 이력을 살펴봐야 하는 업무절차를 내규에 반영하는 등 개선 방안을 마련하시기 바랍니다.

(11) 의심거래보고(STR) 처리업무 강화

은행은 적합성·적정성 원칙 준수를 위하여, 대출상담신청서를 통해 고객 의 성향을 파악하고, 파악된 정보 및 이를 통해 판단한 적합성·적정성 진단 결 과를 전산으로 등록하고 있다.

①전산 통제가 미흡하고, ②적합성·적정

하지만, 고객 정보 등과 관련된

③내부통제 및 점검이 형식적으로 진행

성 판단기준이 모호하며, 본부 부서의

되는 등 적합성·적정성 원칙 관련 업무 프로세스상 미흡점 등이 발견되고 있 으므로 관리를 보다 강화할 필요가 있다.

* ① 대출상담신청서를 통해 파악된 필수 정보 등의 입력이 누락되거나, 진단 결과 부적

합· 부적정으로 입력된 경우에도 전산 통제 없이 대출 심사·실행이 가능

② 적합성·적정성 진단 결과서상 판단 기준 항목(대출상품 가입조건, 채무상환능력)에

대한 명확한 기준이 제시되어 있지 않음

③ (가) 대출상담신청서 등이 전산상 등록되지 않아 본점 부서에서는 영업점 전산 입

력 내용만 확인이 가능하여 실효성이 있는 점검이 이루어지기 어려움 (나) 본점 부서는 전산을 통해 확인한 부적합·부적정 대출 건에 대해 대출실행 이 후 증빙자료 등을 확인 없이 임의로 전산을 수정토록 허용

<조치할 사항>

따라서 적합성·적정성 원칙 준수를 위한 전산 통제를 철저히 하고 적합 성·적정성 판단기준을 명확히 하며, 내부통제 및 점검을 실질적으로 진행될 수 있도록 하는 등 아래와 같이 관리를 강화하시기 바랍니다.

① 고객 정보 등 필수 입력값 누락 또는 진단결과 부적합인 경우 대출

심사 등이 불가하도록 전산을 통제

② 적합성·적정성 판단기준을 세분화(기거래 건전성, 신용상태, 상환능력

및 변제계획)하고, 각 판단기준별 세부 평가기준을 업무 매뉴얼 등으로 명확하게 제시

③ 고객정보 파악 등을 위한 고객확인서를 신설하고 전산 조작시 해당

고객확인서 스캔본 첨부를 의무화(본부부서 점검시 동 스캔본 등을 통해 확인)

(12) 근저당 설정 유지 의사 확인 절차 강화

은행은 대출 전액상환시 근저당권 유지여부에 대한 담보제공자의 의사를 확인하고, 유지에 합의한 경우 근저당권설정 유지신청서를 징구하고 있다.

하지만, 근저당권 유지 여부 확인과 관련된 구체적인 절차 및 전산시스 템이 마련되지 않아 대출이 전액 상환되었음에도 근저당권 유지여부 확인 및 ‘근저당설정유지신청서’ 징구 없이 근저당권이 말소되지 않을 우려가 있다.

<조치할 사항>

따라서 근저당권 유지 여부 확인 관련 절차를 마련하고, LMS(Long Messenger Service) 등 전자적 방식을 통해 유지의사 확인 내용 등을 전산으로 관리할 수 있 는 시스템을 개발하는 등 관련 절차를 강화하시기 바랍니다.

(13) 근저당 설정 유지 의사 확인 절차 강화

은행은 대출실행일로부터 3년을 경과하여 대출을 상환하는 경우 중도상 환수수료를 면제하고 있다.

하지만, 2019.6.17., 2020.3.12.에 각각 신규 취급된 총 OO건에 대해 대출 실행일로부터 3년이 초과하였음에도 중도상환수수료 코드 오류 등록으로 중도 상환수수료를 징구*한 사실이 있다.

* ｢ 금융소비자보호법｣ 시행 이전 체결된 대출 건으로 법위반 아님(「금융위 유권해석_여전 210413-5」: 3년 초과 중도상환수수료 수취 금지 규정은 금소법 시행 이후 체결된 계약부터 적용)

<조치할 사항>

대출기간이 3년을 초과하는 경우에도 중도상환수수료를 인식하는 계좌 존재 여부를 전수조사 하여, 오류 발견 시 정정하고 분기별로 중도상환수수료

징구 내역을 점검하여 오수납 계좌에 대해서는 환급 조치를 진행하는 등 관리 및 점검을 강화하시기 바랍니다.

(14) 계약서류 제공업무 관련 관리 강화

은행은 계약 체결시 서면, 우편, 전자우편, 문자(SMS), 카카오톡 알림톡 등 고객이 요청한 방식에 따라 계약서류를 제공하고 있다.

하지만, 고객 정보 오기재, 전자우편 · 문자(SMS) 발송 오류 등으로 계약서 류가 적시에 제공되지 않거나 고객 요청과 다른 방식으로 제공되는 등의 사례가 발생하고 있다.

<조치할 사항>

①사전검증을 강화하고 ②재교부 프로세스를 개선하는 등

고객정보 관련

계약서류 제공업무 관련 관리를 강화하시기 바랍니다.

* ① 고객정보 신규·변경 등록 및 계약체결시 휴대폰 번호, 이메일 주소 인증 절차 등 도입

② 계약서류 제공방법을 복수 선택 가능토록 하여 전송오류 등 발생시 추가 선택한 방법

으로 즉시 재교부 진행

(15) 리스크관리의 적합성 검증업무 역량 강화

내규「리스크관리위원회규정」등에 따르면 리스크측정모형, 통합위기상황 분석, 신용평가모형 등의 검증은 일정 주기 또는 중대한 변동사항 발생시 적 시에 합리적·객관적으로 실시해야 하나, 신용평가모형 및 기타 리스크에 대해 서는 주기적으로 검증* 되지 않고 있으며

* 리스크 측정모형, 통합위기상황분석에 대해서는 정기적으로 검증되고 있음

또한 신용· 시장· 운영· 금리· 유동성리스크를 검증하기 위한 매뉴얼이 없고, 검증부서가 리스크관리 실무부서에 정식 공문이 아닌 사내메신저를 사용하여 검증 결과 등을 통보하는 등 그 체계 및 절차가 불합리하다.

또한 리스크관리 사항에 대한 검증은 합리적 · 객관적인 방법으로 일정 주 기에 따라 시행되어야 하나, 적합성검증팀 등 리스크관리부서는 실무부서에

요청한 이행사항에 대해 이행계획만 확인하고 실제 이행 여부는 확인하지 않아 리스크 관련 검증 필요사항이 누락될 우려가 있는 등 리스크관리 관련 검증 관 련 보고 및 사후관리가 다소 미흡하다.

<조치할 사항>

따라서 은행은 리스크관리의 적합성 검증 관련 업무가 일정 주기에 맞추 어 합리적인 절차에 따라 시행되도록 검증 방안 및 제반 여건을 재정립·시행 하는 등 리스크 검증업무의 역량을 강화*하시기 바랍니다.

* 검증매뉴얼 제정, 검증문서 공문 수발신, 신용평가시스템(CRS) 검증대상에 비일반기업

및 충당금 · 금리용 리스크측정요소 추가, 부도 데이터(Data) 검증, 행내외 전문인력 확 충 등 단기·장기 강화방안을 병행할 필요

(16) 리스크관리 관련 회의체 운영 불합리

위험자본한도와 관련 리스크를 총괄·통제함에 있어 위험관리최고책임자 (CRO) 및 리스크관리부서는 주관 회의체를 독립적·실질적으로 운영하거나 유 관 회의체에 참여하여 독립적 견제의 기능을 수행해야 한다.

그러나 은행은 리스크관리위원회에 부의할 안건을 심의·의결하는 ‘리스크관 리협의회’를 위험관리최고책임자가 아닌 리스크관리부서장(대행)이 주관하도록 하였 고, 여신정책 및 관련 포트폴리오를 관리하는 ‘여신포트폴리오관리위원회’도 위험관 리최고책임자가 아닌 여신담당 부행장이 주관하도록 하고 있는 등 은행의 리스크관 리 관련 회의체 운영과 독립적 견제기능이 적절히 작동하지 않을 우려가 있다.

또한 여신심사합의체 운영지침 관련 내규* 개정(2023.1.16.) 이후 위험관리 최고책임자가 부행장으로 격상되면서 동 부행장이 확대여신심사위원회에 참여 하지 않는 등** 충분한 역할을 수행하고 있지 않다.

* 「여신업무방법」 <별표3> 여신심사합의체 운영지침

** ’23.1월 위험관리최고책임자가 부행장으로 격상되기 이전까지는 확대여신심사위원회에 참여

<조치할 사항>

은행은 리스크관리 제반사항을 위험관리최고책임자 및 리스크관리부서 주관 회의체가 적정 구성원에 의해 심의·의결*될 수 있도록 하고 리스크관리 유관 회의체**에도 적극 참여·의결함으로써 그 독립적 견제 기능을 전반적으로 강화하시기 바랍니다.

* 리스크관리협의회 및 여신포트폴리오관리위원회의 의장을 위험관리최고책임자(CRO)가 수행 등

** 여신지원그룹이 주관하는 확대여신심사위원회 등

(17) 대출모집인 등에 대한 상시모니터링 강화

은행은 대출모집인 및 대출모집법인(이하 ‘대출모집인 등’)이 상품안내장 등을 마케팅 자료로 이용하기 전에 은행의 심의를 받도록 하고 광고물 등과 관련된 점검대장 작성 지도 등의 상시모니터링 업무를 수행 중이다.

그러나 동 업무에 대해 관련 내규상 근거 없이 ‘대출모집인 내부통제 관 리 강화요청’(2023.6.20) 내부 공문에 근거해서만 업무를 수행하고 있어 대출모 집인 등에 대한 상시모니터링 업무가 미흡해질 우려가 있다.

<조치할 사항>

대출모집인 등을 적절히 상시 모니터링할 수 있도록 내규 등에 관련 근 거, 업무방식을 명시하시기 바랍니다.

(18) 금융사고 예방을 위한 내부통제 강화

은행은 금융사고 예방을 위하여 명령휴가를 통한 업무점검, 내부고발 제 도 등을 운영 중에 있으나

①2019년 이후 명령휴가 대상자 중 대다수(OO%)의 업무점검이 명령휴가 기간

②검사대상기간 중 내부고

이 아닌 연차휴가, 연수 등의 기간 동안 이루어졌고,

③투자금융본부와 같은 고위험 부서에 대한 별도의 업무점검

발이 전무하며

체크리스트가 없는 상황이다.

④장기근무자에 대한 별도의 강화된 업무점검이 없었고 검사

뿐만 아니라

종료일(2023.9.22.)까지 전산으로 장기근무자에 대한 승인을 통제하지 않았으며

⑤인증수단 관리실태 점검 관련 내규가 없었고, ⑥여신증빙자료의 정확성 점검

⑦분할 송금을 통한 우회 거액 송금시 이에 대한 내부통제가

이 미흡한 한편,

미비한 등 다수의 미흡사항이 발견되었다.

이러한 다수의 미흡사항으로 인하여, 은행은 금융사고를 조기에 발견하거 나 금융사고가 악화되는 것을 방지하지 못하는 등 은행의 금융사고 예방기능 이 약화될 우려가 있다.

<조치할 사항>

금융사고 예방기능을 제고하기 위하여 아래와 같이 관련 업무를 운영하 시기 바랍니다.

① 명령휴가 대상자로 하여금 연차휴가, 연수 등의 대체수단이 아닌 명령

휴가를 통해 불시 업무점검이 이루어질 수 있도록 하고

② 내부고발 활성화를 위해 내부고발자가 익명으로도 제보할 수 있도록 제

도화하고 익명신고시에도 신고자에게 조사결과를 받을 수 있도록 개 선하시기 바랍니다. 한편, 내부고발시 익명성이 보장될 수 있도록 내부 고발시스템을 개선하고 동 사항을 전 직원에게 안내하며, 내규상 내부 고발자에 대한 유형별 보상방안을 마련하여 운영하시기 바랍니다.

③ 투자금융본부와 같은 고위험 부서에 대한 별도의 업무점검 체크리스

트를 제정하고 동 체크리스트를 기반으로 강화된 점검을 실시하시기 바랍니다.

④ 장기근무자에 대한 강화된 사고예방조치 방안을 마련하여 점검*을 실시

하고 전산을 통해 장기근무 신청 및 승인업무를 수행하시기 바랍니다.

* 특히 투자금융본부와 같이 사고개연성이 높은 부서의 장기근무자에 대하여 업무 전

반에 대한 점검을 실시하도록 감사항목을 개선할 필요가 있음

⑤ 자점감사 또는 명령휴가시 인증수단에 대한 관리실태 점검을 하도록 내

규에 반영하시기 바랍니다.

⑥ 여신 취급 담당자가 아닌 직원이 여신증빙자료에 대한 점검을 실시하

여 부당대출 취급을 예방하시기 바랍니다.

⑦ 동일인의 일정기간 누적 송금(출금)액이 고액일 경우, 단일 송금(출금)

과 유사한 수준의 승인절차를 마련하시기 바랍니다.

(19) 신용정보보호 관련 업무 강화

은행은 신용정보제공이용자로서 신용정보의 정확성을 유지하여야 하는데 도 한국신용정보원에 등록된 신용정보의 정확성에 대한 사후점검을 실시하지 않고 있고

신용정보보호 관련 업무는 규정상 2019년말 OO개에서 2023년 6월말 OO 개로 증가하였으나, 고객의 개인신용정보 보호 관련 업무는 2019년 상반기까지 1명이 해당 업무를 담당하였다가 2019년 8월에 1명을 충원하여 현재까지 2명 이 동 업무를 수행하는 등 충분한 인력 수급이 이루어지지 않고 있어 고객의 신 용정보 보호 업무가 소홀히 운영될 우려가 있다.

<조치할 사항>

향후 신용정보의 정확성을 제고하기 위하여 한국신용정보원에 등록된 신 용정보에 대하여 사후점검을 실시토록 관련 절차를 마련하고, 신용정보보호 관 련 업무 담당인력을 확충하며, 고객 개인신용정보 보호 관련 자체점검을 강화 하는 등 관련 업무를 충실히 수행하시길 바랍니다.

(20) 감사지원조직 기능 강화

은행 감사부는 상임감사의 업무를 보좌하는 부서로서, 은행 개별 부․점 에 대한 감사업무, 지적사항 사후관리 등의 업무를 수행하나, 감사부 예산편 성에 대해 상임감사가 의견개진을 할 수 있는 명시적 절차가 미비*하여 감사 부의 독립성이 훼손될 우려가 있다.

* 실무상 감사부 예산편성 시 상임감사의 의견을 청취

한편 금융감독원과 은행권이 참여한 ‘내부통제 혁신방안’(2022.11.4. 발표) 등에 따라 상시감시, 내부고발 운영 강화 등 은행의 내부통제 관련 업무가 증가 하여 감사부 업무도 증가하였으나 은행은 감사부 인력을 충원하지 않았으며 검사대상기간 중 투자금융본부와 같은 금융사고 발생 가능성이 높은 부 서와 영업점에 대한 감사 또한 저조*하는 등 대규모의 금융사고 발생 예방기

능이 미흡할 우려가 있다.

* 검사대상기간 중 수협은행의 투자금융본부에 대한 감사 횟수는 3차례에 불과함

<조치할 사항>

감사부의 인력을 보완하고 상임감사가 감사부 예산 편성에 대한 의견을 개진할 수 있는 명시적 절차를 마련하며 감사부가 금융사고 발생 가능성이 높은 부서에 대한 점검을 강화하시기 바랍니다.

(21) 내부회계관리제도 운영 강화

내부회계관리제도의 운영실태를 일부 점검한 결과 내부회계관리제도의 설계 또는 운영 상 미흡사항이 다수 발견되는 등, 은행의 내부회계관리제도에 대한 운영, 관리 및 점검 수준이 저하되어 외부에 공시되는 회계정보의 신뢰 성이 떨어지거나 회계오류 및 부정 등을 사전에 적절히 발견하지 못할 우려가 있다.

<조치할 사항>

따라서 은행은 내부회계관리제도 운영실태에 대한 점검 주체, 점검 수준 등을 강화하여 외부에 공시되는 은행 재무제표의 신뢰성을 제고하고 회계오 류나 부정을 효과적으로 방지할 수 있는 체계를 갖추시기 바랍니다.

(22)사외이사 및 비상임이사 선임 절차 강화

㈎ 사외이사의 소극적 자격요건 강화

은행은 ｢ 금융회사의 지배구조에 관한 법률｣ (이하 “｢ 지배구조법｣ ”) 제6조

(사외이사의 자격요건) 적용이 배제*되어 사외이사 선임시 자격요건 등에 대한 제한을 받지 않으나, ｢ 지배구조법｣ 상 사외이사 자격요건 중 일부를 선택적으로

내규에 반영**하여 운영하고 있다.

* ｢ 수협법｣ 제141조의4에 따라 ｢ 지배구조법｣ 제6조 등 적용이 제외

** 2021.5.6. 내규 ｢ 지배구조 내부규범｣ 제5조 ③항을 신설하여 1) 최대주주 및 특수관계인,

2) 다른 금융회사의 사외이사, 비상임이사 또는 비상임감사, 3) 현재 또는 최근 3년 이내

은행의 임직원 및 비상임이사였던 자만 결격사유로 반영

이로 인해 사외이사가 직무를 충실하게 수행하지 못할 우려에 대해 충분 한 검토가 이루어지지 않아, 은행은 최근 계열사의 임직원이었던 자를 사외이 사로 선임하거나 사외이사가 다른 회사의 사외이사를 겸직하는 사례가 확인되 는 등 사외이사의 직무충실성이 저해될 소지가 있다.

㈏ 비상임이사의 금융전문성 등 적극적 자격요건 미흡

비상임이사는 이사회의 구성원으로서 은행 경영에 있어 중요한 의사결정 을 수행하기 때문에 금융에 대한 지식과 경험이 풍부한 자로 선임하는 것이 바람직하나, 수협은행은 비상임이사 선임 시 내규 ｢지배구조 내부규범｣ 등에 따른 기본적인 결격사유만 고려하고 있어 금융전문성 등 적극적 자격요건을 마련할 필요가 있다.

㈐ 이사 선임 시 자격요건 충족 여부에 대한 자료 제공 강화

은행은 이사회를 통해 이사 선임에 대한 안건 부의 후 주주총회 의결을 통해 이사를 선임하고 있다. 그러나 은행의 담당 지원부서는 후보자에 대한 인적사항 및 주요경력만 안건 자료로 제공할 뿐 신규 이사가 적극적·소극적 자격요건을 충족하는지 등에 대한 자료를 충분히 제공하지 않아 이사의 자격요 건에 대한 검증이 부실하게 이루어질 소지가 있다.

<조치할 사항>

따라서 사외이사의 소극적 자격요건(결격사유 등)과 관련하여 ｢지배구조법｣ 에서 요구하는 사항을 충분히 반영하고 비상임이사에 대한 금융전문성 등 적극적 자격요건을 마련하여 운영하는 한편, 이사회 등에 이사 선임을 위한 안건 자료 제공 시 후보자의 적극적 및 소극적 자격요건의 충족 여부에 대한 자료를 충 실히 제공하시기 바랍니다.

(23) 사외이사제도 운영 강화

㈎ 사외이사에 대한 충분한 자료제공 및 교육 등 지원 강화 필요

내규 ｢ 지배구조 내부규범｣ 제7조에 따라 사외이사는 은행장의 업무집행

감독 등 직무수행을 위해 은행업무에 대한 질문, 정보 요구 등의 권한을 가지 며, 은행은 사외이사의 효율적인 업무수행을 위해 사외이사에 대한 정보제공 및 교육 등 지원체계를 구축하는 것이 바람직하다.

그러나 검사대상기간 중 이사회 및 소위원회에서 나온 이사의 주요 요청사 항에 대해 적절히 조치하지 않거나 조치결과를 보고하지 않는 등 이사회 지 원이 미흡한 사례*가 다수 발생하였다. 또한 사외이사의 효과적인 업무수행을 위해서는 은행이 당면한 주요 과제(디지털, 리스크, ESG 등)에 대해 다양한 교 육 프로그램이 제공될 필요가 있으나 은행은 신규 선임 시 업무 현황 보고 외에 자금세탁방지 등 간단한 교육프로그램만 제공하고 있다.

* 검사대상기간 동안 이사의 주요 요청사항 총 OO건 중 OO건에 대해서는 조치결과

등을 적절히 보고하지 않았으며, 이 중 5건은 지원부서의 조치 등 대응이 부족

㈏ 사외이사의 순차적 교체를 통해 이사회의 안정적 운영 강화 필요

2022.12.1. 사외이사 4인 전원을 일시에 교체하는 등 사외이사의 순차적 교 체를 위한 최소한의 기준이 마련되어 있지 않아, 경영진 등을 적절히 감시·견 제해야 할 사외이사의 업무 연속성이 저해되고 이사회 운영이 불안정해질 우려 가 있다.

㈐ 사외이사 평가체계를 정비하여 사외이사 평가의 실효성 제고 필요

매년 모든 사외이사의 평가가 최고등급(A등급)으로만 도출되는 등 사외이 사 평가의 객관성이 떨어지고, 이사회 및 소위원회 평가결과를 이사회에 보고 만 할 뿐 평가결과 미흡사항*에 대한 사유 분석 및 실질적인 개선계획 논의 등의 절차가 부족하다.

* 자료제공 및 보고의 적정성 등 매년 상대적으로 낮게 평가되는 항목이 존재함에도

이에 대한 실질적인 개선 노력이 미흡

<조치할 사항>

사외이사 요청에 따른 자료나 정보제공의 충실성을 보장할 수 있는 방안 을 마련하고 사외이사에 대한 다양한 교육프로그램을 제공하는 등 사외이사

지원체계를 강화하는 한편, 사외이사의 업무연속성을 제고하고 이사회의 안정 적인 운영을 도모하기 위해 사외이사의 순차적 교체기준을 마련하시기 바랍 니다.

또한 사외이사 평가체계가 실효성 있게 운영될 수 있도록 매년 모든 사외이사 의 평가가 최고등급(A등급)으로만 도출되는 현재 등급체계(4등급)를 평가항목 세 분화 등의 방식으로 정비하도록 하고, 이사회 및 소위원회 평가결과에 대한 충분한 검토를 통해 향후 이사회 등 운영에 적극적으로 활용할 수 있는 절차 를 마련하시기 바랍니다.

(24) 최고경영자 경영승계 절차 강화

은행은 최고경영자 경영승계 계획 등에 대해 ｢ 지배구조내부규범｣ , ｢은행장감

사추천위원회규정｣ 등에 구체적인 절차없이 포괄적으로 규정하고 있다.

은행장추천위원회는 은행장 경영승계 절차를 개시할 때마다 매번 운영기준

*을 달리 정할 수 있는바, 사전에 정해놓은 원칙과 절차 없이 은행장 경영승

계가 진행될 경우 경영승계의 공정성과 투명성이 저하될 우려가 있다.

* 은행장추천위원회는 은행장 경영승계 절차 개시 때마다 후보자 모집 방법, 후보 자격심사

기준, 면접 방법, 후보자 평가 및 결정 방법 등 운영기준을 별도로 정하고 있음 또한 은행은 장기적인 관점에서 최고경영자 후보군을 상시적으로 관리, 교 육, 검증 및 육성하는 프로그램이 없고 후보군은 사실상 경영승계절차 개시 시 점에 공개모집의 방식으로만 운영하고 있어 후보군 선정경로가 한정적이다.

그리고 은행장이 직무를 수행할 수 없는 비상상황 발생 시 이사회 및 은행 장추천위원회 소집 절차, 차기 은행장 경영승계 일정 및 기한 등 비상승계계획 이 부재하여 안정적인 지배구조 운영을 위해 신속한 대응이 어려울 소지가 있 다.

<조치할 사항>

은행은 은행장 경영승계 절차 등에 관한 사항을 정한 경영승계 프로그램 을 마련하고 사후적으로 은행장 경영승계가 해당 프로그램에 따라 적절히 이 루어졌는지 점검하여 최고경영자 경영승계의 투명성과 공정성을 제고하시기 바랍

니다.

또한 은행장 후보군을 상시적으로 관리·육성할 수 있는 프로그램을 마련 하여 실질적으로 운영하고, 은행장 후보군 선정 시 내부(상시관리 후보군 등) 및 외부(공모, 외부추천기관, 위원추천 등)의 다양한 추천경로를 균형있게 운영할 수 있는 방안을 마련하시기 바랍니다. 이와 더불어 안정적인 지배구조 운영을 위 해 은행장 부재 등 비상상황 발생 시 신속히 대응할 수 있는 비상승계계획을 마련하시기 바랍니다.

(25) 임원 등 성과보수 체계 불합리

은행은 ｢수협법｣ 제141조의4에 따라 보수위원회 등의 설치를 규정하는 ｢ 지배구조법｣ 제16조 등의 적용이 배제되어, 내규 ｢경영평가보상위원회 규정｣ 에 근거하여 경영평가보상위원회를 설치하여 보수의 결정 및 지급방식에 관 한 사항 등을 심의·의결하는 등 운영 중이나

내규 ｢ 경영평가보상위원회 규정｣ 상 보수체계 마련 등 대상자 기준이 구

체적이지 않고, 담당부서(종합기획부)는 대상자 선정기준 및 과정에 대한 자 료를 경영평가보상위원회에 충분히 제공하고 있지 않다.

또한 은행은 예금보험공사와의 경영정상화계획 이행약정서(이하 “이행약 정”) 관련 지표를 반영하여 당해연도 성과평가 지표 및 목표를 설정하고 있 으나, 예금보험공사의 이행각서(MOU) 관련 통보가 지연된다는 사유로 매년 6~7월(2023년 제외)에 이르러서야 경영평가보상위원회를 개최하여 성과평가 지표를 확정*하고 목표를 부여하고 있어 성과보상의 실효성이 저하될 소지가 있으며

* 성과지표 확정 시기 : 2019년(7월) - 2020년(6월) - 2021년(7월) - 2022년(6월) - 2023년(3월) 임원 등이 금고 이상의 형 또는 감독기관 등의 제재를 받을 경우 성과보 수를 조정하거나 유보하는 기준이 마련되어 있지 않아 중대한 업무상 법규 위반 행위가 발생하였음에도 임원 등의 성과보수가 부적절하게 지급될 가능성이 있다.

<조치할 사항>

보수체계 마련 및 성과보수 이연지급 대상자의 정의와 선정기준 등을 구체적 으로 정비할 필요가 있으며, 담당부서는 경영평가보상위원회의 보수체계 마련 등 대상자 선정 시 최종 결과(대상자)뿐 아니라 선정기준 및 선정과정에 대해 서도 충분한 자료를 제공하시기 바랍니다.

또한 성과평가 지표 및 목표 확정이 지나치게 지연되지 않도록 확정 기 한 등을 마련하여 운용하고, 임원 등의 금고 이상의 형 또는 감독기관 등의 제재 시 성과보수 조정 및 유보 기준을 마련하는 등 보수체계를 합리적으로 개선하 시기 바랍니다.

(26) 구속행위 방지를 위한 내부통제 강화

전국은행연합회 ｢ 구속행위 관련 업무처리준칙｣ 등에 따라 은행은 영업점

에서 금융소비자에 대한 구속성 금융상품 판매가 이루어지지 않도록 구속행위 방지를 위한 내부통제를 강화하여야 하나, 구속행위 방지를 위한 구체적인 업 무처리 절차를 정한 내규가 부재한 상황이다.

또한 은행은 대출 전후 1개월내 금융상품 판매를 전산으로 차단하고 예외 사유 해당시 영업점장 승인하에 전산 해지 후 상품을 판매하게 하는 등 구속행 위를 방지하도록 전산 구축은 하였으나, 구체적인 운영에 있어서 예외사유가 오 입력* 되었음에도 예외사유가 승인되어 상품이 판매된 사례가 발견(총 OO건) 되기도 하였고 이에 대한 사후점검도 이루어지지 않는 등 구속행위 방지 내 부 통제절차가 구체적이지 않고 미흡하다.

* 실제로는 구속행위 간주규제의 예외사유에 해당하나 공제상품 판매 건임에도 불구하

고 수신상품 관련 구속행위 예외사유를 입력하는 등 예외사유에 한정된 오입력 사례 <조치할 사항>

구속행위 간주규제 예외승인 사유, 예외승인 전결권자, 모니터링 및 사후 점검절차 등 구속행위 관련 내부통제 절차를 규정한 내규를 신설하고, 본부부 서에서의 구속행위 간주규제에 대한 예외승인 절차 강화, 모니터링 및 주기적인 사후 점검 실시 등을 통하여 구속행위 방지를 위한 내부통제를 강화하시기 바랍니다.

(27) 신용카드 법인회원의 경제적 이익 제공 모니터링 강화

｢ 여신전문금융업법｣ 제24조의2 등에 따르면 신용카드업자는 법인회원에게 과 도한 경제적 이익을 제공해서는 안되며, 이와 관련된 법규를 준수할 수 있 도록 적절한 통제절차를 마련하는 것이 바람직하다.

그러나 은행은 법인회원에 대한 경제적 이익 제공의 제한과 관련하여 법 인회원에 대한 경제적 이익 및 법인회원의 신용카드 등 이용으로 발생하는 연 간 총수익, 총비용을 적시에 산출하고 모니터링 할 수 있는 시스템을 마련하 고 있지 않고 수기로만 관리하고 있어 관련 법규를 위반할 우려가 있다.

<조치할 사항>

따라서 법인회원에 대한 과도한 경제적 이익 제공으로 인한 신용카드업 자의 비용 증가 및 가맹점수수료 인상 등으로 이어지지 않도록 관련 금액을 적시에 산출 및 비교하여 법규 위반 가능성을 차단할 수 있는 시스템을 구축 하시기 바랍니다. 이와 더불어 시스템 운영 및 법규위반 여부 등에 대해 정기 적으로 검토하고 평가하는 기준과 절차를 마련하시기 바랍니다.

(28) IT사업 및 예산 관리 강화

은행은 내규「IT 정보보호에 관한 준칙」제11조 등에 따라 은행 중장기 경 영계획에 따른 정보기술부문 연간 계획을 수립하여 정보보호위원회(IT보안위원회) 의 심의·의결을 거치고 최고경영자의 승인을 받아 운용하고 있다.

하지만 은행은 IT사업 계획 변경에 대해 재심의를 하거나 IT사업

추진현황을 점검하는 절차를 마련하지 않아 당해 연도에 계획된 IT사업이 취소되는 비율이 최근 3년 평균 OO% 수준으로 다소 높은 편이다.

또한, 최근 3년간 IT자본예산의 편성금액 대비 집행비율도 평균 OO%로 매우 저조하여 효율적인 IT예산 편성·배정 및 중요 IT사업 추진 등에 차질이 발생할 우려가 있다.

<조치할 사항>

은행은 앞으로 정보기술부문 연간계획 수립 시 은행의 중장기 추진목표 와 전략 등을 고려하여 실효성 있는 IT사업·예산 계획을 수립하고, 사업 연기

또는 미추진 시 사유 등을 기록·관리하도록 하며, 주기적으로 사업 추진현황을 점검하는 절차를 마련하여 운영하는 등 IT사업 및 예산 관리를 강화하시기 바랍 니다.

(29) IT업무 연속성 계획의 실효성 강화

은행은 장애, 재해 등 긴급한 상황이 발생하더라도 업무가 중단되지 않도록 ｢금융전산분야 현장조치 행동매뉴얼｣ 과 ｢재해복구 전환훈련

계획서｣등의 비상대응계획을 마련하여 이행하는 등 업무 연속성 확보방안을 수립하고 있으나, 아래와 같이 미흡한 사항이 있으므로 이를 점검하고

보완하여 IT업무 연속성 계획의 실효성을 강화할 필요가 있다.

㈎ 재해복구시스템 구축 및 전사적 업무 영향도 분석 평가 미흡

은행은 재해 등으로 인한 전산센터 마비에 대비하여 업무 지속성을 확보할 수 있도록 2020년 5월 전사적 업무영향 분석·평가를 실시하여 총 OO개

OO개*

단위시스템 중

단위시스템을 재해복구시스템 구축 대상으로

선정하였다.

* 재해복구시스템 구축현황 : 핵심업무(OO개), 일반업무(OO개)

하지만 은행은 일반업무 중 중요도가 높은 이상금융거래탐지시스템(FDS : Fra ud Detection System) 등에 대해서는 재해복구시스템을 구축하지 않아

주전산센터 재해 발생 시 중요업무가 중단될 우려가 있으며, 전사적 업무 영향도 분석 주기를 정하고 있지 않아 검사대상기간 중 금융감독원의

조치요구사항*을

검사결과

이행하기 위한 전사적 업무영향분석을 1회만

실시하여 IT업무 연속성 계획의 실효성이 저해될 우려가 있다.

* 은행이 전사적 업무 영향도에 대한 분석·평가를 하지 않아 IT그룹에서 선정한 핵심업무가 전사적 업무 영향도를 반영하지 않고 있으므로 전사적 업무 영향도 분석·평가 결과를 반영하여 IT업무 연속성 계획을 수립하는 절차 마련(2019년 4월 수협은행 정기검사)

<조치할 사항>

은행은 앞으로 전사적 업무 영향도 분석·평가를 주기적으로 실시하고, 동 결 과를 반영하여 IT업무 연속성 계획의 적정성을 점검하는 절차를 마련하며, 일

반업무 중 중요도가 높은 것으로 분석된 업무에 대해서는 재해복구시스템 구축 계획을 조속히 수립·이행하는 등 IT업무 연속성 계획의 실효성을 확보하시기 바 랍니다.

㈏ 비상대응 매뉴얼 관리 미흡

은행은 자연 재해, 인적 재해, 기술적 재해 및 전자적 침해 등으로 인한 정보처리시스템의 마비 방지 및 신속한 복구를 위하여 ｢ 금융전산분야 현장조치

행동매뉴얼｣을 마련하고, ｢재해복구 전환훈련 계획서｣ 등의 비상대응 계획에

따라 매년 1회 이상 재해복구 전환훈련을 실시하고 있다.

하지만 은행은 ｢ 금융전산분야 현장조치 행동매뉴얼｣ 의 대외 비상연락망을

최신 상태로 유지하지 않았으며, 은행 내규에 따른 기준과 일치하지 않는 백업 및 소산정책을 매뉴얼에 반영하고 있는 등 ｢ 금융전산분야 현장조치

의 관리가 미흡*하여 개정이 필요하다.

행동매뉴얼｣

* 비상연락망 관리 미흡, 은행 내규와 상이한 백업·소산 정책 반영, 복구팀 역할 정의가

불분명, 인터넷뱅킹 체널 시스템의 위탁자 및 재해목표 복구시간 오기재, 실제 재해복구센터에 구축된 핵심업무와 매뉴얼상 적시된 핵심업무 불일치 등 또한, 모바일 웹 뱅킹은 재해복구센터 서버용 SSL1)(Secure Socket Layer) 인증서 라이센스를 보유하고 있지 않아 암호화된 통신방식(https)이 적용된 U RL2)(Uniform Resource Locator) 주소로 접속하지 않고 웹서버의 실제 IP 주소3) 로 접속하여 테스트를 실시하고 있으며, 주전산센터 중단시 도메인에

매핑되는 IP주소를 주전산센터 IP주소에서 재해복구센터 IP주소로 변경해야 하는데도 재해복구계획서에는 해당 내용을 반영하지 않아 재해 발생 시 복구목표시간의 정합성을 담보하기 어려운 실정이다.

1) 송수신 데이터(패킷)를 암호화하는 프로토콜

2) 모바일 웹뱅킹 서버 URL : m.suhyup-bank.com

3) 모바일 웹뱅킹 서버 IP : 주센터(203.228.172.50), 재해복구센터(211.119.16.86)

<조치할 사항>

은행은 ｢금융전산분야 현장조치 행동매뉴얼｣ 및 ｢ 재해복구 전환훈련 계획

서｣ 등의 비상대응 매뉴얼을 점검하여 미흡사항들을 재정비하는 등 비상대

응 매뉴얼을 최신화하여 비상대응 계획의 실효성을 확보하시기 바랍니다.

㈐ 중요 전산자료에 대한 백업 및 소산 미흡

은행은 전산자료의 파괴 등을 방지하기 위하여 중요도에 따라

정기적으로 전산자료를 백업하여 원격 안전지역에 소산해야 한다.

하지만 은행은 검사착수일(2023.9.4.) 현재 A에 위탁하여 운영 중인

전자금융 ASP*(Application Service Provider) 서비스 관련 소스 프로그램 등 중요 전산자료를 백업 및 소산하지 않았다.

또한, A의 전산센터는

재해복구시스템이 구축되지 않아 동 센터의 정보처리시스템에 저장된 데이터 및 프로그램 등이 완전히 파괴되면 인터넷뱅킹 채널 시스템 등 전자금융 ASP 서비스의 복구가 불가능하여 전자금융거래의 안전성이 저해될 우려가 있다.

* 소프트웨어를 패키지 형태로 판매하지 않고 일정 요금을 받고 인터넷을 통해

임대해주는 서비스

<조치할 사항>

은행은 전산센터의 정보처리시스템에 저장된 데이터 및 프로그램 등이 완 전히 파괴될 경우에도 정보처리시스템 복구 및 정상적인 전자금융 ASP 서비 스가 가능하도록 A에 위탁하여 운영 중인 전자금융 ASP 서비스 관련 소스 프로그램 등의 중요 전산자료에 대한 정기적인 백업 및 소산 대책을 마련하고 조속히 이행하시기 바랍니다.

㈑ 인터넷뱅킹 시스템 관련 재해복구시스템 구축 지연

금융감독원은 2019년 실시한 수협은행에 대한 IT실태평가 검사에서

수협은행이 전사적 업무 영향도에 대한 분석·평가를 하지 않아 IT그룹에서 선정한 핵심업무가 전사적 업무 영향도를 반영하지 못했으며, 인터넷뱅킹 채널 시스템 등에 대한 재해복구시스템 미구축으로 주전산센터 재해 발생 시 일부 핵심 및 중요업무가 중단될 우려가 있으므로 앞으로 IT업무 연속성 계획 수립 시 전사적 업무 영향도 분석·평가 결과를 검토·반영하고, 핵심업무 관련 재해복구시스템 구축계획을 조속히 수립하여 이행하는 등 업무 연속성 계획의 실효성을 확보하도록 경영유의사항으로 조치요구 하였다.

하지만 은행은 금융감독원의 상기 조치요구사항 이행을 위하여 신탁시스템 등 4개 시스템은 재해복구시스템을 구축 하였으나, 인터넷뱅킹 채널 시스템은 자체구축 필요성 검토 등을 이유로 재해복구시스템을 구축*하지 않았다. 이에 따라 검사착수일(2023.9.4.) 현재까지 동 조치요구사항이 미정리된 상태이며 일부 대고객 업무시스템의 업무지속성 확보대책의 실효성도 의문시되는 상황이다.

* 수협은행은 2023. 8. 16. A와 재해복구시스템 구축계약을 체결하였고, 2024.1.29. 인터넷뱅킹 채널 시스템의 재해복구시스템 구축을 완료

<조치할 사항>

은행은 인터넷뱅킹 채널 시스템에 대한 재해복구시스템 구축을 조속히 완료하 여 대고객 업무시스템의 업무지속성을 확보하는 한편, 금융감독원의 조치요구사 항이 장기간 미정리된 상태로 남지 않도록 정리보고서의 미정리 사항에 대하여 정리부진 사유 검토절차 등을 마련하여 운영하는 등 장기 미정리 조치요구사 항에 대한 사후관리를 강화하시기 바랍니다.

(30) 전산센터 운영 및 관리 철저

금융회사는 전산실에 대하여 건물, 전원, 공조 등의 설비를 전자금융거래 가 안전하게 처리될 수 있도록 운영 및 관리해야 한다.

하지만 은행의 주전산센터가 ｢ 전자금융거래법｣제정(2006년) 이전인 1989

년에 설계된 점을 고려하더라도 전산센터의 물리적 보안 및 안전성 강화를 위하여 추가적인 안전조치가 요구되며, 아래와 같은 취약점이 존재한다.

전산센터 미흡사항 내역

<조치할 사항>

은행은 전산센터에 대한 물리적 보안 및 안전성 등에 대한 진단을 통해 장기적인 전산센터 운영방안을 마련하는 등 전산센터 운영 및 통제를 강화하 시기 바랍니다.

(31) 정보처리위탁 관리 강화

㈎ 정보처리 업무 위탁 시 리스크 통제 강화 필요

은행은 내규 ｢ 업무 위수탁에 관한 준칙｣ 에 따라 정보처리 업무 위탁 시

관련 리스크를 평가*하고 이에 따른 관리대책을 수립·운용해야 한다. 또한 위탁 계약서 작성 시 업무 연속성 확보를 위한 비상계획에 관한 사항 등 중요사항 을 반영하여 금융회사의 정보처리시스템의 안정성을 유지할 수 있도록 운영해 야 한다.

* 업무 연속성 및 정보보호 등의 기술적·관리적 리스크, 전산설비, 인력 등의 법령 준수 여부 등 하지만 은행은 정보처리 업무 위탁 시 별도의 리스크 평가 절차를 마련· 운용하지 않았다. 그리하여 인터넷뱅킹 채널 시스템의 개발·운영을 외부 회사 에 위탁*하면서 구체적인 리스크 평가를 수행하지 않았으며, 백업시스템 확보 등 비상계획에 관한 사항과 수탁업무에 대한 재위탁에 관한 사항 등 위탁 운 영을 위한 중요사항을 계약서에 반영하지 않았다.

* 2013년 6월 인터넷뱅킹 ASP 변경계약(A), 2023년 8월 인터넷뱅킹 DR(B) ASP 계약(A) 등 <조치할 사항>

은행은 정보처리시스템의 안정적인 운영을 위해 정보처리 위탁에 따른 리 스크 평가절차를 마련하고 이에 대한 관리대책을 수립·운영하시기 바랍니다.

또한, 정보처리 위탁 표준계약서를 마련하여, 계약 시 중요사항이

누락되지 않도록 통제를 강화하시기 바랍니다.

㈏ 정보처리 위탁 업무 관리·감독 강화

은행은 정보처리 위탁 업무와 관련하여 수탁회사의 정보관리 취약점을 최 소화하고 보안유지를 위해 정기적인 감독을 실시하여 서비스품질수준(SLA :

Service Level Agreement) 평가를 통해 위탁된 정보처리시스템의 안정성과 품질이 확보되도록 운영해야 한다.

하지만 은행은 검사종료일(2023.9.22.) 현재 인터넷뱅킹 채널 시스템 위탁 운영과 관련한 점검을 수탁사의 제출서류에만 의존하는 등 정기적인 보안점 검을 미흡하게 수행하고 있다.

또한, 수탁회사의 인터넷뱅킹 채널 시스템 운영에 대해 매월 서비스품질 수준(SLA)을 계량평가 하고 있으나, 2021년 2월부터 2023년 7월까지 30개월간 만점으로만 평가하는 등 서비스품질수준(SLA) 평가의 실효성이 낮은 상태로 운영하여 인터넷뱅킹 채널 시스템의 안정성 및 품질이 저하될 우려가 있다.

<조치할 사항>

은행은 인터넷뱅킹 채널 시스템을 운영하는 수탁회사에 대한 정기적인 현장실사 등을 통해 보안점검을 강화하고 서비스 품질수준 평가 시 백업 실시 여부 등의 구체적인 평가기준을 보완하여 위탁업무의 품질과 인터넷뱅킹 채널 시 스템의 안정성을 강화하시기 바랍니다.

(32) 원화예대율 규제 준수를 위한 내부통제 강화 필요

은행은 내규 ｢ 유동성리스크 업무방법｣ 제11조 및 제12조에 따라 원화예대

율을 관리 지표로 설정하고 ｢2023년 개별리스크 한도 설정(안)｣ 등 리스크 관리위원회를 통해 내부관리 목표비율을 설정(OO%)하며, 매월 마지막 영업일 에 원화예대율을 측정‧관리하고 있다.

한편, 2023년 7월부터 원화예대율 규제의 유연화*가 종료됨에 따라 변경 된 경영지도비율(105% 이하 → 100% 이하)을 준수하도록 노력하여야 하나, 규 제 종료 이후 예대율은 2023년 7월 OO%, 2023년 8월 OO%로 내부관리 목표비율 에 근접하여 악화되는 추세를 보이고 있고, 현재 원화예대율은 월말 지표 산 출 시점에만 측정 및 관리하고 있어 실제 원화예대율 관련 유동성 부족 발생 시 적정히 대처하지 못할 우려가 있다.

* 금융시장 안정을 위한 ｢ 예대율 규제 유연화 조치｣ 등을 통해 2022년 10월부터 은행 부

문의 원화예대율 경영지도비율을 기존 100%에서 105% 수준으로 한시적으로 완화

<조치할 사항>

원화예대율 관련하여 매월 마지막 영업일에만 실시하는 유동성리스크 원천 별 변동현황 및 리스크한도 준수 여부 모니터링을 월 2회로 증가시키는 등 내부통제를 강화하여 경영지도비율 등을 안정적으로 달성할 수 있도록 유의하 시기 바랍니다.

(33) 유동성리스크 위기상황분석 시나리오 관련 적합성 검증 불철저

위기상황분석이 적정하게 수행되고 있음을 확인하기 위하여 최소 연 1회 이상 모형 개발과는 독립적이면서 전문성을 갖춘 별도의 부서(또는 외부전문가) 에서 시나리오 등에 대한 적합성 검증을 실시*하여야 한다. 이에 은행은 내규 ｢ 적합성 검증 업무방법**｣에 따라 적합성검증팀에서 유동성 리스크의 위기상황 분석 시나리오 등에 대해 연 1회 이상 적합성 검증 실시, 리스크관리협의회 등에 검증결과 보고, 사후관리***등을 담당하도록 규정하고 있다.

* ｢은행업감독업무시행세칙｣ <별표19> 위기상황 분석 실시 기준

** 제4조(적용대상), 제8조(검증시기 및 절차) 및 제10조(사후관리)

*** 개선 필요 사항의 개발‧ 운영부서 통보 및 동 부서가 제출한 개선계획의 이행 여부 확인 등

하지만 검사대상기간인 2019년 ~ 2022년 중 유동성리스크 관련 위기상황 분석 시나리오 등에 대한 적합성 검증은 2020년에만 이행되었고, 동 검증 시에 도출된 개선 필요 사항에 대한 사후관리도 미흡*하여 유동성리스크 관련 위기 상황분석의 실효성이 우려되고 있는 실정이다.

* 유동성리스크 시나리오 관련 지적사항에 대한 담당부서 개선 권고 등 사후관리 미이행 등

<조치할 사항>

은행은 유동성리스크의 위기상황 분석 시나리오 등에 대한 적합성 검증 주 기(연 1회)를 철저히 준수하고, 검증 결과에 대한 사후관리 등을 적정히 이행하 는 등 적합성 검증 업무 이행에 만전을 기하여 주시기 바랍니다.

(34) 유동성리스크 비상조달 계획의 실효성 제고 필요

유동성리스크관리 업무방법*｣

내규 ｢

에 따라 은행의 자금부, 글로벌외환사

업부 등 리스크관리 개별관리부서는 매 년 위기상황 분석 결과를 반영한 비상 조달계획을 수립하고 리스크관리부 등 리스크관리 전담부서는 이에 대한 적정 성을 검증하며, 비상조달계획은 최소 연 1회 이상 갱신하여 리스크관리위원회 의 승인을 받아야 한다.

* 제13조의2(비상조달계획)

이에 리스크관리위원회 승인(2022.12.27. 개최)을 통해 2023년도 원‧외화 비상조달계획을 마련하였으나, 동 비상조달계획중 일부 계획의 실효성이 부족* 하여, 실제 비상상황 발생시 관련 자금 조달이 우려되는 실정이다.

* (원화) ‘주의단계’에서 유가증권 등 유동화 시나리오를 규정하면서, 매각 손실이 없거

나 손실이 적은 순위의 유가증권을 우선순위로 편입하는 등의 ‘유가증권 유동화 기준’ 을 수립하고, 이에 따라 보유 유가증권별 유동화 순서(1~3순위)를 정하였으나, ‘비상 임박단계’ 순위 도래시 무손실‧저손실 유가증권의 유동화가 현실적으로 어려워 자 산매각 실패로 인한 적기 유동성 위기 해소가 어려울 가능성 (외화) ‘비상임박 단계’에서 커미티드 라인(Committed Line)을 설정(약정)하도록 규정되어 있으 나, 실제 비상상황 임박시에는 평판리스크 저하 등으로 커미티드라인 설정이 불가할 우려

<조치할 사항>

원화유가증권 유동화 순위, 외화 커미티드 라인 등 원‧외화 비상조달 계 획의 세부 조달계획별 실현가능성 등을 면밀히 검증하고 검증 결과를 비상조달 계획에 반영하며, 리스크관리협의회 심의를 강화하여 비상조달계획의 실효성 을 제고하시기 바랍니다.