한국스탠다드차타드은행 금감원 경영유의사항 · 2024-03-13

경영유의사항 등 공개안

1. 금융기관명 : 한국스탠다드차타드은행

2. 조치일 : 2024. 3. 13.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 배당가능이익 한도 산정 절차 강화

｢상법｣ 제462조의3에 따르면 중간배당의 경우 배당가능이익 한도를 산정함에 있어

직전 결산기의 정기총회에서 이익으로 배당하거나 또는 지급하기로 정한 금액을 공제 하여야 하는데도

내규 ｢자본배치준칙｣에 상법이 정하고 있는 중간배당 및 배당가능이익 한도와

관련된 내용이 제대로 반영되지 않아, 2019년 중간배당 배당가능이익 한도 산정 시 직전 결산기(2018년) 배당액을 공제하지 않음으로써 배당가능이익 한도를 과다하게 산정* 하였는바,

* (공제前) O조O억원, (공제後) O조O억원, (미공제액) O억원

앞으로 중간배당 배당가능이익 한도 계산 시 오류가 발생하지 않도록 관련 내규를

보완하고 관련 업무처리에 유의할 필요가 있음

(2) 부동산 PF대출 관련 리스크관리 강화

㈎ 2022.9월말 부동산 PF대출 규모는 O억원으로 2017년 이후 약 O배 증가하여 시중은행 중 O 번째 수준이고, 총여신 대비 PF 비중(O%)은 시중은행 중 최고 수준이며, HUG‧HF 무보증 비율은 O%로 시중은행 평균 대비 높은 상황임

은행 PF 규모 등을 감안할 때, 비록 건설사의 자금 확충 약정이 있고 개별 사업장에

특이사항이 없더라도 부동산 경기 침체가 장기화될 경우 시장 위축에 따른 연쇄적 부실 등 리스크 확대‧전이의 우려가 있음

신규 취급 시 브릿지론 및 시행사 자본투입률이 낮은 대출은 자제하고 HUG‧

HF 보증 대출, 정부·지자체 주관 사업 중심으로 운영하며, 기존 사업장에 대한 밀착 모니터링을 통해 유사 시 선제적으로 대응하는 등 보다 철저한 리스크 관리가 요망됨

㈏ 2018년 부동산 PF익스포져 산업한도는 O조원(전체 산업한도의 O%)이었으나, 2022년 O조원(전체의 O%)으로 급증하였는데

한도 증액 과정에서 리스크 분석 등 타당성을 충분히 검토하지 않고, 여신수요

충족 목적으로 한도를 조정하는 등 자의적으로 운영한 측면이 있음 구체적‧타당한 사유가 인정되지 않는 한* 임시한도가 불합리하게 재배분되어 운영되지 않도록 유의할 필요가 있음

* 사업계획 및 리스크관리계획 등을 작성하여 각 담당 임원의 결재를 우선 득한 후, CRO 승인 요청

㈐ 부동산 경기 침체 우려 등으로 자체 실시한 PF대출 스트레스테스트에서 지나치게 낙관적인 가정*만을 적용하고 그 결과**를 경영진에게 보고함으로써 향후 발생 가능한 위기에 대한 인식을 왜곡할 소지가 있음

* 예) 건설사 연대보증이 있는 경우 대출의 부실 가능성을 배제

** 스트레스하의 예상손실(O억원)이 부동산 PF대출(O조원)의 O%에 불과

부동산 PF 스트레스테스트 실행시 보다 보수적인 상황을 가정하여 손실 규모를

산정하고, 취약 요인을 분석하여 향후 대책을 마련하는 등 경영진의 위기 인식을 제고할 필요가 있음

(3) 여신감리업무 실효성 제고

㈎ 여신감리주기 준수 미흡

｢은행업감독업무시행세칙｣ <별표24> 조기경보제도 및 여신감리제도에 관한 기준에

따르면 은행은 주요 여신에 대해 최소 1년에 1회 이상 주기적으로 여신감리를 실시해야 하는데도

2022.9월말 기준 은행이 자체 판단한 주요 여신 O개 차주에 대해 여신 취급 이래

실시한 O건의 여신감리 중 O건*은 1년을 초과하는 등 관리가 소홀하므로

* (365일∼400일) O건, (401일∼500일) O건, (501일∼1,000일) O건, (1,000일 초과) O건

A팀에 장기간 미접수된 차주 명세를 B지점장(이하 “B”)·C지점장(이하 “C”)·심사역

앞으로 자동 통지하는 시스템을 구축하고 주기적 여신감리를 강화할 필요가 있음

㈏ 여신감리의견에 따른 조치 이행 미흡

내규 ｢감리 매뉴얼｣에 따르면 A팀에서 감리의견을 B·C에 송부한 후 해당 B·C가

감리의견에 대한 조치 내용을 회신하여야 하나,

비재무 평가항목 점수 하향을 요청하는 감리의견과 달리 C가 신용등급을 상향하여

회신하면서 별도의 구체적인 설명을 하지 않거나, B·C가 감리의견에 따른 조치 이행 여부를 회신하지 않은 사례가 있으므로

최초 감리의견과 달리 신용등급이 변동될 경우 B·C는 변동 사유를 구체적으로

기재하고, A팀도 이를 재검증함으로써 부적정한 신용등급 변동 발생을 방지할 필요가 있으며,

감리의견에 따른 조치가 미완료된 건에 대해서는 별도의 관리대장을 작성하여

조치 완결 시점까지 관리하는 등 감리업무의 유효성을 제고할 필요가 있음

㈐ 여신감리의견 미결재

내규 「감리 매뉴얼」에 따르면 B·C가 감리의견에 대한 조치내용을 A팀에 송부한 후

A팀장이 결재하여야 하나, 이중 일부 건의 결재가 누락된 사례가 있으므로 보다 철저한 관리가 요망됨

(4) 주담대 특약 위반 차주에 대한 우편통지 관리 강화

기존 주택처분특약대출의 경우 특약기간 만료일로부터 3개월 이전에 특약 만료

예정일 등을 차주에게 사전 통지하고, 특약기간 만료일 1개월 이전에 특약조건 이행을 최고하여야 하는데도

사전통지 및 최고 시 고객 도달여부에 대한 우편물 관리가 전산상으로 이루어지지

않아 부재 등의 사유로 미도달한 고객에 대해 재통지를 누락할 우려가 있으므로

관련 통지의 고객 도달여부를 은행 내부 전산시스템으로 관리하는 등 업무 프로

세스를 강화할 필요

(5) 경영위원회 운영체계 강화

내규 ｢경영위원회 규정｣에 따라 조직 통솔 및 운영의 효율성을 제고하기 위해

은행 임원*으로 구성된 경영위원회를 설치ㆍ운영하고 있으나 아래와 같이 체계적인 제도 정비 등을 통해 집행 기구로서의 역할과 책임을 강화할 필요가 있음

* 2022.9월말 현재 은행장 및 업무집행책임자인 임원(정규 구성원(O명), 비정규 구성원(O명)) 등 총 O명으로 구성

㈎ ｢경영위원회 규정｣상 회의 개최를 위한 의사정족수가 은행장 포함 정규 구성원 O명으로 성원되도록 규정되어 있으나 위원회 전체 구성원(O명) 대비 의사정족수가 과소 하고 부의안건에 대한 의결정족수 기준도 마련되어 있지 않으므로

경영위원회 개최 의사정족수 및 의결정족수 등 의사결정기준 및 세부 운영절차

등을 체계적으로 마련하여 문서화할 필요가 있음

㈏ 경영위원회 부의안건에 대한 승인, 심의 및 보고대상이 관련 내규에 구분되어 있지 아니하므로, 위원회의 승인, 심의 및 보고대상을 세부적으로 분류하고 문서화하여 역할과 책임을 명확히 할 필요가 있음

㈐ ｢경영위원회 규정｣에 따르면 경영위원회의 설치 근거는 이사회라고 되어 있으나 ｢이사회규정｣에는 이사회 권한을 경영위원회에 위임하는 근거가 명시되어 있지 아니하므로, 경영위원회 설치ㆍ운영 및 권한 위임 근거를 관련 규정에 명확히 반영할 필요가 있음

(6) 임원 선임 등에 관한 의사결정체계 강화

은행 내규 ｢지배구조내부규범｣에 임원의 범위를 이사와 업무집행책임자로 규정

하고 있으며, 주요업무집행책임자(CFO), 위험관리책임자(CRO) 및 준법감시인은 이사회 의결을 거쳐 선임하고 있으나 여타 업무집행책임자인 임원에 대한 선임과 해임 권한 및 절차가 관련 내규*에 명확히 반영되어 있지 아니하고

* 내규 ‘직무전결규정 – 인사그룹’에서 임원 채용(선임 포함) 권한은 D그룹장에게 전결권이 부여 되어 있으나 임원의 평가/승진/보상 및 파면 등과 관련된 제반 사항의 전결권한은 은행장으로 되어 있어 전결권이 상충됨

｢지배구조내부규범｣에 은행장의 임기는 3년 이내로 하되 연임할 수 있도록 규정되어

있으나 여타 업무집행책임자인 임원에 대한 임기는 별도 정한 바 없이 운영되고 있으므로

* 은행 내규 ｢성과보상체계에 관한 규정｣ 2-2 임원의 임기는 원칙적으로 기간의 정함이 없는

계약으로 진행하기로 함

임원의 선임, 해임 등에 관한 절차 및 최종 승인권한을 관련 내규에 명확히 반영

하고, 임원의 최소 임기 보장(예 : 최초 선임시 2년 등) 제도 운영 등을 통해 책임경영 체제 확립이 요망됨

(7) 사외이사 후보군 관리체계 강화

내규 ｢임원후보추천위원회규정｣등에 따라 임원후보추천위원회는 매년 사외이사

후보군*을 승인하여 관리하고 있으나 후보군 추천경로를 재임 중인 사외이사로 제한하여 운영하고 있어 재임 중인 사외이사(O명) 대비 후보군 인원수(O명)도 적고

* ‘22.9월말 기준 사외이사 후보군의 전체 인원은 총 O명임

후보군별 전문분야*가 금융업 영위와 관련된 금융, 경제, 경영, 법률, 회계, 소비자

보호, 정보기술 등의 각 분야별 전문가가 모두 포함되어 있지 아니하여 사외이사의 예상치 못한 사임, 유고 등으로 인한 궐위 발생 등의 비상상황에 신속하게 대비하지 못할 우려가 있으므로

* 후보별로 3~6개 분야(금융, 경제, 경영, 법률, 회계, 소비자보호, 정보기술 등)의 전문가로 중복하여 분류하고 있고, 소비자보호 분야의 후보군은 없음

사외이사 후보군 발굴시 다양한 이해관계자와 외부전문가 등 추천경로를 다양화

하고, 전문분야별 다수의 후보군 확보를 통해 사외이사 선임을 원활화하여, 예상치 못한 사임 및 유고 등 비상상황에 신속하게 대비할 수 있도록 사외이사 후보군 관리체계를 강화할 필요가 있음

(8) 감사업무의 독립성 등 강화

내부감사업무의 독립성 강화를 위하여 아래와 같이 이사회 내 위원회 구성 및

감사위원회 보조조직 운영에 있어 제도적인 보완이 필요함

㈎ 감사위원회의 위원이 위험관리위원회 위원을 겸임*하고 있어 자기업무 감사 등 이해상충 소지가 있고 감사위원회 감사위원의 임기가 내규에 정해져 있지 않아 경영진에 대한 적극적 견제기능 수행이 어려울 우려가 있으며 감사위원이 임기 제한 없이 장기재임**할 경우 경영진과의 유착관계가 형성되어 적극적인 감사기능 수행이 저해될 우려가 있으므로,

* 2022.9월말 기준 감사위원인 사외이사 O명 중 O명이 겸임

** 일부 감사위원은 2017.3월부터 검사종료일 현재까지 감사위원으로 재임 중

감사위원에 대해서는 자기업무 감사 우려가 있는 이사회 내 위원회 위원 겸임을 제한

하고, 감사위원의 임기를 일정기간(최소 2년 등) 보장하는 한편 장기재임에 따른 부작용 방지를 위한 연임 제한 등 감사위원의 임기와 관련하여 보다 합리적인 제도 운영이 요망됨

㈏ 임직원의 부정행위 등에 대한 금융사고 조사업무를 감사위원회 보조조직인 감사 본부에서 수행하지 않고, 경영진의 법률보좌조직인 법무부문 내 부서(E부)가 수행하고 있어

경영진과 관련된 금융사고 발생 시 조사자와 경영진 간 잠재적인 이해상충 발생

등으로 독립적인 업무수행이 제약될 우려가 있고,

조사업무 범위가 사실관계 확정 및 관련자 조치 등으로 제한되어 금융사고 원인

분석, 내부통제상의 문제점 및 개선방안 제시 등 관련 업무 전반에 대한 종합적인 감사로 이어지질 못할 우려가 있으므로

앞으로는 금융사고 조사업무를 경영진으로부터 독립된 감사위원회 보조조직인

감사본부가 수행토록 하는 등 감사직무 수행의 독립성이 강화될 수 있도록 하고

금융사고 발생 시 사실관계 확정 및 관련자 조치뿐만 아니라 금융사고 원인분석,

내부통제 운영의 적정성 및 재발방지 대책 마련 등 실질적인 감사업무를 강화할 필요가 있음

(9) 내부감사 특별점검 체계 강화

내규 ｢내부감사준칙｣에 따르면 내부감사는 리스크기반감사, 규제감사, 영업점

감사 및 특별점검이 있으며, 이중 특별점검은 정규 감사 외에 내부감사부서의 역할을 충실히 수행하기 위해 필요한 점검 및 감사로 규정하고 있으나

특별점검 대상 선정기준을 구체적으로 규정하지 않아 타 부서로부터의 통보사건,

감사부 자체 인지사건 등 실제 특별점검이 필요한 사항에 대해서도 특별점검을 실시 하지 않을 우려가 있으므로

내규에 특별점검 대상 및 실시기준 등을 구체적으로 반영하여 보다 일관적이고

실효성 있는 내부감사체계를 확립할 필요가 있음

(10) 임직원의 금융투자상품 매매신고 관련 내부통제 강화

｢자본시장법｣(§63)에 따르면 겸영금융투자업자인 은행의 금융투자업 직무 수행

임직원은 금융투자상품 매매명세를 분기별 또는 월별*로 은행에 통지하여야 하고, 은행은 불공정행위 및 이해상충의 방지를 위하여 적절한 내부통제 기준 및 절차를 마련하고, 분기별로 임직원의 금융투자상품 매매명세를 확인하여야 하나

* 투자권유자문업무 수행 임직원

관련 업무가 아래와 같이 미흡하게 운영되고 있으므로 임직원의 금융투자상품

매매 신고 관련 내부통제시스템을 개선하고, 매매신고 누락 내역을 점검하는 등 내부 통제를 강화하기 바람

㈎ 내규 ｢임직원의 금융투자상품 불공정거래 방지 준칙(PAD준칙)｣상에서 금융투자 상품 매매신고대상 임직원을 SC그룹의 기준에 따라 정의하고 있으나, 이중 ｢자본시장법｣상 신고대상 임직원을 별도로 구별하여 관리하고 있지 않아, ｢자본시장법｣상 신고대상 임직원이 법규상 의무가 있음을 스스로 인지하지 못할 가능성이 있으므로

금융투자상품 신고대상 임직원 비교

｢자본시장법｣상 신고대상자를 별도로 파악하여 이를 해당 임직원이 인지하고

경각심을 갖도록 내규 및 관련 시스템을 개선할 필요가 있음

㈏ 임직원이 신고한 매매내역을 점검하는 것 외에 신고 누락된 매매내역이 있는지에 대한 점검을 장기간 수행하지 아니하여, 임직원이 스스로 매매내역을 신고할 유인을 제공하고 있지 않으므로

미신고 거래내역에 대한 신고를 유도하기 위해 정기적으로 특별점검*을 실시하고

관련 계도 활동을 강화할 필요가 있음

* 2018.5월 임직원의 SC제일은행 예금계좌와 연결된 증권계좌 거래내역(17년중)을 바탕으로 테마 점검을 수행 이후 분기별 자진신고 내역 점검만 수행

㈐ ｢자본시장법｣상 매매내역의 분기별 신고의무에 따라 임직원이 등록한 ‘최초신고일 (거래보고일)’을 중요하게 관리하여야 하나, ‘금융투자상품 시스템’에 임직원이 신고한 ‘최초신고일(거래보고일)’이 변경될 가능성*이 있으므로, 관련 시스템을 개선할 필요가 있음

* 매매 신고 이후 증빙 추가 등으로 수정할 경우 수정한 날짜로 ‘최초신고일’이 변경

㈑ ｢자본시장법｣상 은행은 분기별로 매매명세를 확인하여야 하나, ｢임직원의 금융 투자상품 거래 점검 절차 업무방법서｣ 개정시(2022.11.1.) 점검 주기를 ’반기 1회‘로 변경한 사실이 있으므로 이를 ’분기 1회‘로 개정하고 분기별*로 점검을 실시할 필요가 있음

* ’22.3분기까지는 분기별로 점검 수행

(11) 명령휴가제도 운영 강화

은행은 명령휴가제도 운영과 관련하여 아래와 같이 관련 내규 및 업무절차 등에서

미비점이 있으므로 이를 보완할 필요가 있음

㈎ 내규 ｢휴가준칙｣ 제13조에서 명령휴가 대상 직무*를 정하면서 이 중 사고 발생 가능성이 큰 직무 외에는 간주 명령휴가로 대체할 수 있도록 함에 따라,

* (영업점) 전직원, (본점) 기업금융, 자금, 유가증권, 트레이딩, 여신, 장기근속자(5년) 등

시달문서를 통해 내규상 명령휴가 대상 직무 중 일부*만 불시 명령휴가대상으로

정하고 그 외 직무는 간주 명령휴가로 대체 운영하여, 2018년~2021년 기간 중 전체 명령휴가 대상의 약 O%**에 대해서만 불시 명령휴가를 실시하는 등 실제 명령휴가 대상이 협소하게 운영되었으므로

* (영업점) 같은 지점에서 3년 이상 근무한 PB‧Teller,

(본 점) 경비처리 담당자, 트레이딩 업무 수행자, 장기근속자(5년)

** 명령휴가대상 중 불시 명령휴가 비율 : 2018년 O%, 2019년 O%, 2020년 O%, 2021년 O%

앞으로는 위험직무 등에 대한 범위를 명확히 한 후 명령휴가 적용 및 예외대상,

불시 및 간주 명령휴가 대상을 정하여 내규에 반영하는 등 명령휴가 제도가 실효성 있게 운영될 수 있도록 업무기준을 개선할 필요가 있음

㈏ 명령휴가 실시 절차, 업무 감사 절차, 결과 보고, 사후관리 등 명령휴가 감사 관련 내규 및 매뉴얼이 마련되지 않아,

명령휴가 감사가 체계적으로 운영되지 않고, 명령휴가 감사결과에 대한 적정성

점검이 이루어지지 않는 등 명령휴가 감사에 대한 관리가 미흡하므로

향후 명령휴가 감사 관련 매뉴얼과 모니터링 시스템을 마련하여 명령휴가제도

운영을 강화할 필요가 있음

(12) 장기근무자 인사관리 강화

은행의 내규 ｢복무준칙｣ 제10조에 따르면 동일 부점에 근무하거나 동일 업무를

담당할 수 있는 기간이 5년을 초과할 수 없도록 전 직원의 순환배치를 원칙으로 하고, 부득이 장기근무가 필요한 경우 사고통제 가능성 등 리스크 평가를 통해 예외 승인 절차를 거치도록 하고 있으나

5년 이상 근무 직원 중 대부분*이 형식적으로 일괄 예외 승인을 득하는 등 장기

근무자 관리를 불합리하게 운영하고 있으므로

* 2022년도 장기근속자 예외승인 인원 : 대상인원 O명 중 O명

※ 5년 이상 장기근무자 비율(’22.10.18. 기준)이 전체 인원의 O%(본점은 O%), 10년 이상 장기근무자 비율도 전체 인원의 O%(O명)에 달함

전문성 요구 정도 및 사고통제 가능성 등을 고려하여 순환근무의 기본원칙을 마련

하고, 장기근무 승인절차 및 요건을 강화하는 등 장기근무자에 대한 인사관리를 강화할 필요가 있음

(13) 본출납자 및 대직자 관리 강화

은행은 금융사고 예방을 위하여 사고 발생 가능성이 큰 직무에 대해서는 담당

직원과 직무 대행자(이하 “대직자”) 등을 등록‧관리하고, 이에 대한 운영현황을 사후 점검하는 등 철저하게 관리하여야 함에도

영업점의 현금시재 주 담당자이면서 현금보관 금고의 열쇠 관리 담당자인 본출납

담당자(이하 “본출납자”)를 시스템에 등록‧관리하지 않고 있으며, 본출납자가 장시간 부재하는 경우 대직자를 지정‧등록하는 업무처리 절차가 없음

본출납자 및 대직자 내역을 점검*한 결과 2017.12.9.~ 2021.12.31. 기간 중 전산상

본출납자가 등록되지 않아 본출납자 및 대직자 내역을 확인할 수 없었으며

2022.1.1.~2022.11.18. 기간 중 휴가승인 내역을 점검한 결과 총 O건 중 O건에서

대직자 등록을 누락하는 등 은행의 본출납자 및 대직자 관리가 미흡하므로

* 검사대상기간(2017.12.9.~2022.11.18.) 중 본출납 담당자의 휴가 결재 시 인사정보시스템에 등록된 대직자 내역을 확인

본출납자 등록 및 대직자 지정‧승인 절차 관련 내규 및 전산시스템, 사후점검 절차

등을 마련하여 본출납자 및 대직자 관리를 강화할 필요가 있음

(14) 복합점포 운영 업무 프로세스 강화

은행은 2022.3월부터 운영 중인 복합점포에 대해 신용정보의 수집⋅이용 및 제공의

적정성, 소개영업 과정에서의 불건전 영업행위 발생 가능성 등 리스크 요인을 고려하여 일반 영업점에 비해 보다 강화된 내부통제 환경을 마련하여야 함에도

｢복합점포 운영 방법서｣ 등 내규 및 관련 업무처리 프로세스상 일반 영업점에

대한 내부통제 체계 외에 별도로 복합점포 운영의 적정성을 사후적으로 적절하게 점검 할 수 있는 내부통제 및 관리체계가 마련되어 있지 않으므로

앞으로 복합점포 운영이 활성화될 경우 금융소비자보호 측면에서 발생 가능한

리스크에 적정하게 대응할 수 있도록 점검 주기, 방법 및 절차 등을 마련하고 일반 영업점에 대한 점검과 별도로 테마점검을 실시하는 등 복합점포 운영 관련 내부통제를 강화할 필요가 있음

(15) 은행 점포 폐쇄 관련 내부통제 강화

내규 ｢점포폐쇄 관련 공동절차｣ 및 가이드라인 ｢통합 업무처리 길잡이｣에 따르면

은행은 점포 폐쇄 진행과정에서 고객의 거래내역 및 개인정보 등이 포함된 서류 분실 등의 금융사고가 발생하지 않도록 내부통제체계 점검을 실시하여야 함에도

점포 폐쇄와 관련한 부서별 업무 체크리스트만 마련하고 그 이행여부에 대한

점검을 실시하지 않는 등 점포 관리에 대한 본부의 차원의 내부통제가 미흡하므로

본부 부서에서 영업점에 대한 총괄적인 관리 및 점검기능을 담당함으로써 폐쇄

점포의 중요증서 및 고객정보 기록 자료의 이관 등 주요 업무처리 과정에서 발생할 수 있는 리스크를 적정하게 점검하고, 준법감시부서 또한 점포 관리와 관련한 내부통제를 강화할 필요가 있음

(16) IT업무 연속성 계획 수립 · 운용의 실효성 강화

매년 전사업무영향분석(BIA) 평가를 통해 핵심업무를 정의하고 동 핵심업무의

복구우선순위와 복구목표시간(RTO:Recovery Time Objective)을 산출하며, 재해 등 비상 상황으로 인한 주전산센터 마비에 대비하여 업무지속성을 확보할 수 있도록 위기대응 행동매뉴얼과 IT재해복구계획서 등 비상대응계획을 마련하고 정기적으로 재해복구전환 훈련을 실시하고 있으나,

아래와 같은 불합리한 점이 있으므로, 전사업무영향분석(BIA) 절차 및 비상대응

계획을 보강·재정비하여 IT업무 연속성 계획의 실효성을 강화하시기 바람

㈎ 매년 전사업무영향분석(BIA)을 통해 ｢비즈니스 서비스 중요도 평가가이드｣에 따라 핵심업무를 선정하고 복구목표시간을 선정하고 있으나

‘어음교환·당좌결제' 관련 업무의 복구목표시간을 다소 과도하게 선정하였고,

’인터넷뱅킹‘이 5등급으로 분류된 반면 유사한 ’모바일뱅킹‘은 4등급으로 분류되는 등 핵심업무 등급선정 기준이 다소 불합리하며, 서비스중요도 평가결과도 단순히 등급으로만 표기되어 있어 객관성이 다소 미흡하므로 평가근거를 구체적으로 적시할 필요

㈏ ｢금융전산 위기대응행동매뉴얼｣와 ｢IT재해복구계획서｣간 비상계획이 일부 상이*한 경우가 있으므로 불일치 여부를 점검·정비하고, 대외 비상연락망 등을 최신 상태로 유지 하는 등 IT업무 연속성 계획 관리를 강화할 필요

* RTO 측정기준이 금융전산 위기대응행동매뉴얼에는 중단시간부터로 되어 있으나 IT재해복구 계획서에는 재해선포시점으로 표기되어 있는 등 상이

㈐ 비상상황 발생시 통신사(F)와 협조하여 주전산센터의 대외계 회선을 재해복구 센터로 전환하는 방식으로 비상계획을 수립·운영하고 있으나,

｢IT재해복구계획서｣ 등에 동 내용이 포함되어 있지 않아 비상상황 발생시 대외

기관 관련 업무가 원활히 수행되지 않을 우려가 있으므로 통신사를 통한 회선전환 절차를 명시할 필요

㈑ 매년 비상상황에 대비하여 재해복구 모의훈련을 수행하고 핵심업무 등 주요 업무에 대한 업무연속성 검증 등을 점검하고 있으나,

복구목표시간(RTO) 측정 시 직원의 이동시간 및 BCP룸 구축시간을 포함하지

아니하고, 일부 단위업무 복구시간이 복구목표시간을 초과하였음에도 초과 원인 등 문제점 및 개선 방안을 분석·보고하지 않고 있으므로, 복구목표시간 측정기준을 재정 비하고, 재해복구 모의훈련 시 복구목표시간을 초과하는 경우 원인분석 및 재발방지 대책을 마련·보고할 필요가 있음

(17) 시장리스크 한도관리 강화

기초자산별로 리스크 요인이 다른 파생상품*에 대해서는 별도의 한도를 두어서

영업부서의 파생상품 운용에 대한 리스크관리부서의 적절한 통제 및 관리가 필요하나

* 이자율·외환·외환옵션 등

시장리스크 한도 설정 시 리스크 요인이 다른 이자율·외환·외환옵션 파생상품에 대한

위험한도(VaR)와 손실한도를 각각 구분하여 설정하지 않고 통합*하여 설정함으로써, 특정 기초자산에서 손실이 여타 기초자산의 이익과 상쇄되어 기초자산별 손실위험 등에 대한 리스크관리가 적정히 이루어지지 않을 수 있으므로

* 이자율·외환·외환옵션 각 데스크별 VaR를 은행 전체 트레이딩 VaR O백만미불로 통합하고 각 데스크별 손실한도를 전체 손실한도 최대 O백만미불로 통합 (’22.O.O. 위험관리위원회 승인)

리스크 요인이 다른 파생상품에 대해 별도의 위험한도 및 손실한도를 설정하여

영업부서의 파생상품 운용에 대한 리스크관리를 강화할 필요가 있음

나. 개선사항

(1) 재산상 이익 수령 관련 내부통제 개선

｢자본시장과 금융투자업에 관한 법률｣ 제71조 등에 따른 부당한 재산상 이익 수령과

관련한 내부통제 업무를 수행하는 과정에서 아래와 같은 미흡한 측면이 있으므로 이를 개선하시기 바람

㈎ 재산상 이익 수령 점검 실효성 제고

은행 임직원은 재산상의 이익 수령시 내규 ｢선물 및 접대 준칙｣에 따라 ‘선물

및 접대시스템’에 상세 정보를 등록하여야 하고, G부는 ｢준법감시업무 준칙｣에 따라 임직원의 내부통제기준 준수여부를 점검 및 조사하여야 하나

펀드포럼 행사시 수령한 재산상 이익 등록내용에 대해 형식적인 점검*만 수행

하여 관련 부서의 부당한 재산상의 이익 수령에 대해 사전적인 통제에 실패한 사례가 있으므로, 실질적인 검증이 이루어질 수 있도록 관련 내규 및 매뉴얼을 개정하고 내부 통제 업무 프로세스를 개선하시기 바람

* 재산상의 이익 수령 전후 사전·사후 보고시 등록기한 준수 여부 등

㈏ 재산상의 이익 수령 등록 절차 강화

은행 임직원은 ‘선물 및 접대 시스템’에 재산상의 이익 수령 등록시 증빙파일을

등록하도록 되어 있으나, 감사대상기간 중 등록된 전체 수령내역 O건 중 증빙파일이 등록된 건은 O건에 불과하며, 수령한 상세한 물품 또는 편익 내역을 등록하지 않은 사례가 있어 상세한 이익 수령 내역 파악이 불가능하므로

재산상의 이익 수령내역을 ‘선물 및 접대 시스템’에 등록하는 과정에서 증빙파일

또는 상세내역을 등록하도록 하는 등 관련 업무를 개선하시기 바람

(2) 성과보상체계의 합리적 개선

｢금융회사의 지배구조에 관한 법률｣ 등에 따른 성과보상체계 구축 및 운영에 있어

아래와 같은 미흡한 측면이 있으므로 이를 개선하시기 바람

㈎ 성과보수 관련 규정 정비

내규 ｢성과보상체계에 관한 규정｣은 ｢금융회사의 지배구조에 관한 법률｣ 및 동

시행령 등에 따른 책임경영체계의 확립과 변동보상을 포함한 성과보상체계에 관한 세부 적인 사항을 정함을 목적으로 한 규정임에도, 성과보상과 무관한 내용*이 다수 혼재되어 있어 규정의 목적, 적용 대상 등이 불명확하고

* 임원의 선임과 해임 및 임기, 리스크관리 및 준법감시부서 활동의 서류 보존 등

성과보상과 관련된 내용이 다수의 내규(규정, 준칙, 지침, 가이드라인 등)에 산재되어

있거나 보수위원회 의결을 통해 폐지된 규정이 다른 내규상 임원에 대한 성과평가 기준 으로 명시*되어 있는 등 성과보상 규정이 체계적으로 관리되지 못하고 있으므로

* 폐지된 규정(｢ 성과관리 및 보상검토 규정｣ )이 현행 ｢ (주)한국스탠다드차타드은행 지배구조내부규범｣ 상

임원에 대한 성과평가 기준으로 명시

｢금융회사의 지배구조에 관한 법률｣ 및 동 시행령, 감독규정 등에 따라 성과보상

관련 내규를 보다 체계적이고 유기적으로 관리할 수 있도록 관련 규정 및 준칙을 종합적 으로 정비하시기 바람

㈏ 성과보상체계 개선

임원의 성과평가지표는 평가의 객관성 제고를 위해 계량화되지 않은 정성적인

평가지표와 비중을 일정 이상으로 확대하여서는 아니 되고, 그 평가가 관대해지지 않도록 객관적인 평가체계를 마련하여야 하는데도

은행장의 경우 정량 및 정성평가별 각 세부지표와 배점 등을 구체적으로 설정하고

그에 따라 평가결과를 측정하고 있는 반면, 그 이외의 임원들에 대하여는 연도별 업무 목표 및 성과평가와 관련한 구체적인 방법, 기준 및 비중 등이 불명확하여 평가의 객관성이 확보되기 어렵고 평가결과의 적정성에 대한 보수위원회의 실질적인 심의가 이루어지기 곤란*하므로

* 보수위원회 심의⋅의결 안건에 각 임원별 등급의 산출기초가 된 개별 성과지표와 각 지표별 평가 결과없이 최종 평가등급 및 그에 따른 보수 금액만 제시

구체적이고 객관적으로 측정 가능한 업무목표와 이에 상응하는 세부적인 평가기준을

마련하고 그에 따라 객관적이고 합리적인 성과평가가 이루어질 수 있도록 성과보상체계를 개선하시기 바람

(3) 본부부서의 자점감사 업무 운영 절차 개선

본부부서의 자점감사에 대한 점검주체, 점검주기, 점검방법 및 결과보고 등에 대한

세부 업무기준에 관한 내규가 마련되지 않았고

내규 ｢준법감시업무준칙｣ 제18조에 따라 G부는 본부부서 자점감사의 적정성에 대해

점검하여야 함에도 이를 미실시*하는 등 자점감사 업무 운영이 불합리하므로

* G부는 본부부서로부터 자점감사에 대한 결과만 보고받고 있음

본부부서의 자점감사 관련 내규, 시스템 및 사후 점검 절차 등을 마련하는 등

자점감사 업무 운영 절차를 개선하시기 바람

(4) 금융상품판매대리·중개업자 내부통제 개선

내규 ｢금융소비자보호 내부통제준칙｣에 따라 업무를 위탁한 금융상품판매대리·

중개업자에 대한 체계적 관리를 위해 수수료 산정 및 지급기준, 위탁계약의 체결 및 해지절차 등을 포함한 관리기준을 마련하고 그에 따른 내부통제활동을 수행해야 함에도

｢금융소비자보호에 관한 법률｣ 시행 이후 은행과 위탁계약을 체결하고 업무중인

금융상품판매대리·중개업자에 대한 관리기준 마련이 상당 기간 지연*되었고 관리기준에 포함되어야 할 사항 중 일부**가 반영되지 않았으며

* 202O.O월 내규 ｢온라인 대출모집법인 관리 준칙｣ 제정

** 금융소비자의 개인정보보호대책에 관한 사항, 대리·중개업자의 실적 등에 대한 기록 및 관리에 관한 사항, 교육프로그램, 교육주기, 교육방법 등에 관한 사항

금융상품판매대리·중개업자의 영업행위 모니터링 및 관리운영 점검시 점검 결과를

문서화하지 않고 담당부서장 보고를 누락하는 등 체계적인 기록 및 관리, 보고 절차가 마련되어 있지 않으므로

금융상품판매대리·중개업자의 영업행위 적정성 등에 대한 구체적인 점검 방법, 기록,

관리체계 및 보고 절차를 내규에 마련하는 등 내부통제 절차를 개선하시기 바람

(5) 가계 주택담보대출 시스템 개선

은행은 ｢은행업감독규정｣ 등에 따라 특약 체결 면제, 생활안정자금 예외 취급, 종전

규제 적용 대상 등 예외 적용 대상인 가계 주택담보대출을 취급하면서 예외 취급사유를 전산으로 기록ㆍ관리하지 않고 있어 대출 취급 시 위규 사항이 발생할 우려가 있으므로

가계 주택담보대출 예외 취급 시 대출 건별로 예외 취급사유*를 전산시스템에

입력하여 사후관리할 수 있도록 업무절차를 개선하시기 바람

* 동일금액이하 대환대출 여부, 여신위 승인 비대상 사유, 주택매매계약 체결일 등

(6) 주택담보대출 특약 위반 차주에 대한 기한이익상실 절차 개선

｢은행업감독규정｣ 제29조의2 등에 따르면 은행은 1주택 및 2주택 이상 세대에 대한

생활안정자금 목적 주택담보대출 취급 시 대출기간 동안 다른 신규주택의 추가구입금지 약정을 체결하고, 해당 약정 위반 시 기한의 이익을 상실시켜야 하나

은행은 추가주택구입금지 특약 위반 시 임의의 기한*을 두고 기한의 이익을 상실

시키고 있어 업무 처리가 ｢은행업감독규정｣에 부합하지 않을 우려가 있으므로

* 점검월로부터 3개월

특약 위반 시 ｢은행업감독규정｣에 따라 기한이익상실 업무가 처리될 수 있도록

관련 내규를 개선하시기 바람

(7) 추가주택구입금지 약정 점검 관련 데이터 관리 시스템 개선

｢은행업감독업무시행세칙｣ <별표18> 등에 따르면 추가주택구입금지 특약이 체결된

경우, 동 대출기간 동안 대출취급시점의 세대주 및 세대원에 대해 추가주택 구입여부를 6개월마다 확인하고, 특약을 이행하지 아니한 경우에는 기한의 이익을 상실시켜야 하나

특약 사후관리 과정에서 추가주택 구입 여부 조회일을 전산 등록하지 않고, 담당자

개인이 파일로 관리하여 특약 관련 사후관리 대상 차주 누락 및 오류가 발생할 우려가 있으므로

특약에 따라 차주의 보유 주택 수의 변동 여부를 점검한 후 약정이행 확인 일자를

전산시스템에 누적 관리하고 조회할 수 있도록 업무 프로세스를 개선하시기 바람

(8) 구속성 판매 간주행위 내부통제 개선

내규 「예금의 구속행위 본부 예외승인 프로세스 매뉴얼」에 따라 구속성 간주행위

대상 거래 시 예외 사유에 해당하는 경우에는 예외 승인 절차*를 마련하였으나

* ➀신규거래 요청, ➁구속성 간주행위 거래 차단, ➂예외승인 요청 일반문서 발송(영업점➝본부부서), ➃본부부서 예외승인, ➄신규거래 진행

관련 매뉴얼 개정 지연으로 구속성 간주행위 관련 법규의 변경사항이 반영되지

않았고, 예외 승인 요청 시스템상 입력 누락 및 오류 등이 발생하는 등 관리가 소홀하며, 구속행위 혐의·의심거래 및 예외 승인 거래 등에 대한 업무수행 적정성을 사후에 점검 하는 절차 및 기준, 방법이 마련되어 있지 않으므로

구속성 간주행위 관련 규제 내용을 내규에 반영하고, 예외 승인 시스템 관리절차

및 관련 매뉴얼을 보완하는 한편, G부의 법규 준수 모니터링을 강화하는 등 내부통제를 개선하시기 바람

(9) 대손충당금 산출 관련 업무절차 개선

｢금융회사의 지배구조에 관한 법률｣ 제21조 등에 따르면 은행은 위험관리위원회

에서 대손충당금 등 적립기준에 관한 사항을 심의‧의결해야 함에도

위험관리위원회 산하 집행임원리스크위원회에서 미래전망정보의 승인만을 의결하고,

대손충당금 산출‧적립과 관련한 구체적인 사항을 위원회 안건에 기재하지 않는 등 대손 충당금 보고체계가 미흡하므로

미래전망정보에 대한 심의‧의결이 위험관리위원회의 통제를 받도록 절차를 개선하고,

안건 문서에 대손충당금의 규모와 증가내역, 미래전망승수와 오버레이 승수가 포함되도록 개선하시기 바람

(10) 조기경보시스템 개선

은행은 ｢은행업감독시행세칙｣ 제48조 등에 따라 조기경보제도를 운영하면서 자체

조기경보시스템을 마련하고, 시스템상 추출된 특이사항은 여신담당자, 심사자 및 승인자에게 통지되어 이들의 재량적 검토에 의해 조기경보업체 대상 여부가 최종적으로 결정되나

조기경보시스템이 별도의 평가모형 없이 O개 단순 특이사항*만을 추출하는 데

그쳐 시스템상 등급조차 판정하지 못하고, 시스템 단순 특이사항과 조기경보대상 특성**간의 상관관계를 확인하기 곤란하여 시스템의 예측력과 활용도가 현저히 낮으므로

* (예) 당좌부도 발생 여부, 회사채(CP) 등급 하락, 최근 재무결산 영업손실 등

** 국가‧산업, 시장 인식‧ 경영진, 재무, 재무(leveraged), 행태, 사기

잠재 부도위험을 선제적으로 예측할 수 있는 조기경보지표를 선별‧구성하고, 명확한

위험등급 구분 기준에 따라 각 지표의 위험등급을 판정하며, 각 지표의 등급을 종합적으로 반영하여 최종 등급이 결정되도록 하는 등 조기경보시스템의 질적 수준을 전반적으로 개선하시기 바람

(11) 차주별 여신한도제도 운영 방식 개선

｢은행업감독시행세칙｣ 제48조 등에 따른 차주별 여신한도제도 운영시 적정한 규모의

여신이 취급될 수 있도록 거액 여신에 대해 차주별 적정 여신한도를 산정하고 이를 초과할 경우 사유와 상환능력에 대해 검토한 별도 의견서를 작성하여 다른 승인권자의 추가 동의를 얻은 뒤 한도초과 여신을 집행하고 있으나

영업 부서의 각 여신담당자가 거액 차주별 여신한도를 직접 산정하고 한도초과

여신 승인을 위한 검토*에 대해 제3자 검증이 이루어지지 않는 등 제도가 형식적으로 운영되는 측면이 있으므로

* 여신 심사서류를 요약하는 수준에 그치고, 승인 절차도 여신취급 ‧ 심사부서내에서 운영

조직업무 재조정, 전산 개발 및 제3자 검증 절차 도입 등을 통해 차주별 적정 여신

한도 제도 운영 방식을 개선하시기 바람

(12) 부실채권 책임심의 방식 개선

내규 ｢책임심의 및 상각심사 업무방법서｣에 따르면 은행은 부실채권 책임심의

대상인 신용공여자산의 취급, 심사, 승인, 사후관리 등에 대한 정당성을 검토한 후, 그 결과에 따라 관련자에 대한 인사상 문책 또는 금전적 변상 등의 책임 부과 여부를 심의 하고 있으나

소매금융 부실채권에 대한 책임심의 시 여신 목록에 면책 여부만을 기재하고, 구체적인

점검 항목 등의 판단 근거와 점검 결과 특이사항 등을 기재하지 않는 등 관리가 미흡하므로

책임심의 과정에서 확인해야 하는 필수 항목들을 선정하여 누락 없이 점검하고

문서화할 수 있도록 심의 절차를 개선하시기 바람

(13) 임직원이 본인에 대한 대출을 스스로 취급하는 행위 관련 내부통제 개선

내규 ｢BB여신 임직원 본인 및 가족 대출 방법서｣ 등에 따라 임직원이 본인에 대한

대출을 스스로 취급하는 행위를 관리하고 있으나 대출 취급 시 전산시스템상 대출 신청자 본인이 중간결재자 혹은 최종 승인권자와 일치하는지 확인하는 절차가 부재하고, 임직원 본인이 운영하는 법인 및 가족 명의로 이루어지는 대출 차단 시스템이 미비하며, 관련 내규 또한 구체적이지 않은 등 미흡한 면이 있으므로

대출 신청자와 중간결재자·최종 승인권자의 일치 여부를 확인하는 전산시스템을

마련하고, 기업대출 시에도 입력하는 정보를 통해 신청자 본인이 운영하는 법인인지를 파악하여 해당 대출을 차단하도록 하며,

가족명의를 이용하여 임직원이 본인에 대한 대출을 스스로 취급하는 행위를 통제

하기 위해 대출 신청자와 기안·결재하는 임직원의 가족관계를 체크하도록 하여 임직원 가족 대출이 인지되면 준법감시인에게 신고하게 하는 등 관련 내규를 구체화하고 전산 통제를 구현하는 등 임직원이 본인에 대한 대출을 스스로 취급하는 행위 관련 내부통제를 개선하시기 바람

(14) 외환파생상품 취급 관련 내부통제 절차 개선

내규 ｢장외파생상품 표준투자권유준칙｣ 등에 따라 일반투자자와의 외환파생상품

거래 시 적합성 심사, 상품설명서 교부, 한도 관리 등의 내부통제 절차를 준수하여야 하는데도, 아래와 같이 관련 내부통제 절차 및 운영이 전반적으로 미흡하므로 이에 대한 내부통제기준을 마련하고 운영을 개선하시기 바람

① 파생상품 거래시 일반투자자정보확인서의 유효기간 경과 후 거래에 대한 관리와

기재 누락사항에 대한 확인 등 적합성 심사 절차가 미흡하므로

유효기간 경과 시 거래 입력을 제한하고 확인서 징구와 중요사항 기재 누락을 방지

하는 절차를 마련하여 불완전판매가 예방될 수 있도록 관련 절차를 개선하시기 바람

② 상품설명서 관련 준법감시인의 심의가 누락되거나 준법감시인 확인 없이 수령

거부확인서 양식을 자체 제작하여 사용하는 등 상품설명서에 대한 관리가 미흡하므로

준법감시인 심의를 거친 상품설명서를 정기적으로 교부하도록 기준을 마련하고,

수령거부확인서 표준서식 등을 마련하는 등 상품설명 관련 절차를 강화하시기 바람

③ 위험회피 목적 거래의 적정 여부를 확인하기 힘든 송금실적 등을 증빙자료로

사용하고, 비거주자 한도도 관리하지 않는 등 적합성 심사 및 한도 관리가 미흡하므로

수출입실적 증빙서류는 무역협회 등이 발행한 수출입증명서를 사용하되 여타서류

사용시에는 적정여부에 대한 심사를 강화하고, 비거주자 한도도 등록하여 한도관리에 포함하는 등 관련 절차를 개선하시기 바람

④ 일반투자자정보확인서 등 관련 서류를 전산시스템에 등록하지 않고, 서류의

적정여부에 대한 사후점검도 미흡하므로

관련 서류를 전산시스템에 등록하여 누락여부 등 서류관리를 강화하고 서류징구

및 중요내용 누락 여부, 한도관리의 적정여부 등 사후 점검 절차를 개선하시기 바람

(15) 대고객 파생상품 거래 가격의 적정성 점검 절차 개선

내규 ｢비시장가격 점검 가이드라인｣에 따라 파생상품 거래가격에 대한 적정 여부를

점검하고 있으나

비시장가격에 대한 범위가 제한되어 있고 기준이 세분화되어 있지 않아 점검기준의 실효성이 낮고* 점검이 형식적**으로 이루어지는 등 적정성 점검 절차가 미흡하므로

* 점검기준이 가격차이와 손익 허용수준을 모두 초과하는 경우로 한정되어 있고, 거래상대방 신용 등급, 거래만기 및 상품구조별로 세분화되어 있지 않음

** 증빙서류 확인 없이 ‘합리적인 마진 수준 및 고객 동의’ 등으로만 파악

파생상품 거래가격의 적정성에 대한 점검기준을 구체적이고 보수적으로 마련하고,

비시장가격 거래 발생시 사유 파악 및 사후관리를 강화하도록 관련 업무 절차를 개선 하시기 바람

(16) 대고객 파생상품 거래 마진의 적정성 점검 개선

내규 ｢FM 거래관행방법서｣에 따라 대고객 파생상품 거래 마진의 적정성을 점검

하고 있으나

대고객 최대 및 최소 마진율이 설정되어 있지 않으며 거래 마진 기준* 및 검토 사후관리 절차가 미흡하여 비정상적인 마진 거래가 발생할 수 있으므로

* 거래 마진 기준으로 FX CASH 기준만 예시로 기재

대고객 최대 및 최소 마진율을 설정하고 상품별로 점검 기준을 달리하는 등 점검

기준을 구체화하고, 기준 초과 거래시 승인을 득하도록 하는 등 파생상품 거래 마진의 적정성 점검 절차를 개선하시기 바람

(17) 외환파생상품 거래실적 은행연합회 송부 관련 내부통제 개선

내규 ｢외환파생상품거래 리스크 관리기준｣ 등에 따라 외환파생상품 거래실적을

은행연합회에 송부하여야 하나

외환파생상품 거래실적을 은행연합회에 미송부하거나 지연 송부*하는 경우가 발

생하여 은행연합회의 거래실적 취합에 오류가 발생할 우려가 있으므로

* ’21.1월~’22.9월중 O건(O만달러) 미송부, O건(O백만달러) 지연 송부

보고 누락 및 지연을 사전에 방지할 수 있도록 시스템 개발 등을 통해 은행연합

회 송부 전에 누락 여부 등을 점검한 뒤 송부하도록 하고 동 절차를 업무방법서에 반영하 는 등 관련 내부통제를 개선하시기 바람

(18) 비예금상품 판매 관련 내부통제 개선

내규 ｢은행 비예금상품 내부통제 모범규준｣ 등에 따르면 비예금상품위원회를 설치

하고 비예금상품 판매 여부 심의, 준법감시인의 비예금상품위원회 운영내역 점검 등을 이행하여야 하나

비예금상품위원회 운영시 신규상품 심의가 누락 되는 등 관리가 미흡*하고 신탁

상품에 대한 판매한도 관리 및 준법감시인의 사후점검도 누락하는 등 내부통제 절차가 미흡하므로

* 신규상품 판매시 심의 누락, 위원별 찬반 여부 회의록에 미기재, 안건 부의 및 배포일자 등 안건 부의절차 내규 미반영 등

상품 출시 관련 심의 프로세스 강화, 위원 찬반 여부 회의록 기재, 안건 부의절차

및 신탁상품 판매한도 내규 반영, 파생결합증권 판매시 위원회 부의 여부 점검 등 내부 통제 절차를 개선하시기 바람

(19) 증권신고서 제출 의무 준수 관련 내부통제 개선

｢자본시장과 금융투자업에 관한 법률｣ 제119조 등에 의하면 모집가액 총액이 10억원

이상인 증권의 모집*은 발행인이 증권신고서를 금융위원회에 제출하여 수리되지 아니하면 이를 할 수 없음에도

* ｢ 자본시장과 금융투자업에 관한 법률 시행령｣ 제11조에서 정하는 방법에 따라 산출한 50인 이상의 투자자에게 새로 발행되는 증권 취득의 청약을 권유하는 것

신탁상품 판매시 청약을 권유하는 투자자의 수가 49인을 초과하는지 확인할 수 있는

시스템과 업무방법서 등을 마련하지 않아 증권신고서를 제출 등 공모 절차를 위반할 우려가 있으므로

공모가 아닌 경우 49인을 초과하는 청약 권유가 발생하지 않도록 시스템을 개선

하고, 관련 업무절차를 업무지침서에 반영하며 사모상품 청약에 대한 교육을 강화하도록 관련 절차를 개선하시기 바람

(20) 유가증권 손절매 운영 불합리

내규 ｢유가증권 손절매 운영준칙｣*에 따르면 외국채(미국채, 중국채) 및 집합투자

증권은 손절매 예외 대상이 아님에도 손절매 예외 대상으로 관리(총 O건)하고 있고, 또한 집합투자증권 보유 사실**을 위험관리위원회에 보고하지 않고 있으며

* 대한민국 정부, 중앙은행, 지방자치단체가 발행하거나 보증한 채권 등은 손절매 예외 대상

** ‘20.O.O.부터 수익증권을 보유하고 있었으나 ’20.O.O., ‘21.O.O. 위험관리위원회 회의 시 미보고

손절매 한도 설정과 관련하여 보유 가능한 유가증권 전체에 대해 내규상 구체적인

비율을 명시하지 않고 있는 등 손절매 기준이 불명확하므로

내규상 손절매 예외 대상을 명확히 하여 이에 따라 손절매 예외대상을 관리하고,

보유한 유가증권에 대해 위험관리위원회에 적시에 보고하며, 유가증권 형태별로 손절매 한도를 구체적인 비율로 내규에 명시하도록 개선하시기 바람

(21) 펀드 위험등급 산정 절차 개선

㈎ 펀드 위험도 측정 미흡

내규 ｢상품위험등급 산정 업무방법서｣ 등에 따라 운용사 산정 펀드 위험등급과

별개로 은행 자체적으로 펀드 위험등급을 산정하고 있는데, 펀드 위험등급 산정 시 최대 원금손실 가능금액*, 투자자산의 위험도**, 투자자산 비중 등에 대한 반영이 미흡하여 위험도가 과소 측정될 우려가 있으므로

* ｢ 금소법 시행령｣상 기초자산의 변동성, 신용등급, 상품구조의 복잡성, 최대원금손실 가능금액 등 반영 필요

** 주식, 하이일드 채권 등 고위험자산에 투자하는 경우에도 최소위험등급을 3등급(중위험)으로 산정 하거나, 주식 등 고위험자산과 BBB급 채권 등 중위험자산의 최소위험등급을 동일하게 산정

펀드 위험등급 산정시 최대원금손실 가능금액, 투자자산의 위험도 및 자산구성

비중이 위험등급에 실효성 있게 반영될 수 있도록 위험등급 산정기준 관련 내규를 개선 하시기 바람

㈏ 위험등급 적정성 협의의 유효성 제고

｢금융소비자 보호에 관한 감독규정｣에 따르면 금융상품직접판매업자가 정한 위험

등급이 금융상품의 발행인이 정한 위험등급과 다른 경우에는 해당 발행인과 위험등급의 적정성에 대해 협의하여야 하는데도

발행인과의 위험등급 적정성에 대한 협의가 펀드 위험등급 확정 후 사후적으로

진행되거나 펀드 위험등급에 대한 동의 여부만 확인하는 등 형식적으로 이루어지고 있으므로

은행의 펀드 상품 위험등급을 확정하기 전에 운용사와 실질적인 협의가 이루어지고

협의결과가 보수적으로 반영될 수 있도록 협의 시기, 내용 및 절차 관련 내규를 개선 하시기 바람

㈐ 위험등급 정기검토 결과 반영 지연

뮤추얼 펀드의 경우 내규 ｢상품위험등급 산정 업무방법서｣에 따라 상품위험등급을

매년 검토하고 있는데, 2022년 상품위험등급 정기검토 시 등급 산정 기준일(2021년말)을 과도하게 지나 정기검토 결과가 반영(2022.O월)되는 등 위험도가 적시에 반영되지 않 을 수 있으므로

펀드 위험등급 정기검토시 기준일로부터 검토결과 반영일 간 기간을 가능한 한

단축함으로써(예시 : 3개월 등) 펀드의 위험도 변동 여부가 위험등급에 적시에 반영될 수 있도록 절차 및 관련 내규를 개선하시기 바람

(22) 금리인하 요구 제도 운영 개선

｢은행법｣ 제30조의2 등에 따른 금리인하 요구 제도 운영에 있어 아래와 같이 불합리한

점이 있으므로 관련 업무절차를 개선하시기 바람

㈎ 금리인하 요구 관련 기록 보관‧관리 및 전산통제 강화

은행은 금리인하 요구 접수, 심사결과 등 관련 기록을 보관‧관리하여야 하나 금리

인하 요구 관련 전산시스템에 심사승인 기능이 없어 승인이 일부 지연 또는 누락되고 있으며, 금리인하 요구를 받은 날부터 10영업일 이내에 수용 여부 및 사유를 금리인하 요구자에게 통지하여야 하나 처리기한 준수를 위한 전산통제 절차가 미흡하므로,

금리인하 요구 관련 전산시스템에 심사승인 기능을 구축‧운영하고, 전산시스템상

처리기한을 관리하며 처리기한 도래 시 담당자‧책임자 앞 알림기능을 운영하는 등 전산 통제 절차를 강화하시기 바람

㈏ 금리인하 요구 관련 사후점검 강화

금리인하 요구 관련 사후점검을 소관 업무부서가 담당하고, 동 점검도 형식적으로

이루어지고 있으므로,

준법감시조직 등이 금리인하 요구 업무 처리기한 준수, 수용‧거절 처리 및 금리

산출내역의 적정성 등을 정기적으로 사후점검 하도록 업무절차를 개선하시기 바람

㈐ 금리인하 요구 관련 통계 산출‧검증체계 강화 금리인하 요구 통계 산출 관련 세부 업무처리 기준이 매뉴얼화 되어 있지 않으며

은행의 부서별 적용기준이 상이하고 통계 산출 및 검증체계가 미흡하므로

통계 산출 관련 세부 업무처리 기준을 매뉴얼화하고 통계 산출 및 검증체계를 강화

하는 등 관련 업무절차를 개선하시기 바람

(23) 대출성 상품에 관한 청약의 철회 업무 운영 개선

｢금융소비자보호에 관한 법률｣ 제46조 등에 따라 대출성 상품에 관한 계약의 청약을 한

일반금융소비자는 계약체결일 등으로부터 14일 내에 청약을 철회*할 수 있으나

* 기간 내 철회 의사를 표시하고 원금‧이자‧ 부대비용 등을 반환한 때 철회 효과 발생

비대면 채널에서의 청약 철회 관련 은행의 업무절차 및 시스템 구축이 미흡*하며,

전산시스템에 대출성 상품 청약의 철회 접수, 처리, 금전 반환업무 등을 통합 조회‧ 관리

할 수 있는 기능이 없고, 대출 일부 상환 후 청약 철회 시 은행이 기수취한 중도상환 수수료 처리 관련 내규가 마련되지 않아 철회 처리가 미흡할 우려가 있으므로

* ①고객컨택센터, 은행 홈페이지 및 인터넷뱅킹에서 철회 신청 접수 후 대출금을 반환하기 위해 반드시 영업점 방문 필요, ②모바일뱅킹에서 철회 신청 접수 불가

일반금융소비자의 원활한 권리행사를 위하여 비대면 채널에서의 업무절차를 개선

하고, 대출성 상품 청약의 철회 업무 관련 전산시스템을 개선하며 청약 철회시 수수료 반환 등 관련 내규를 구체적으로 마련하시기 바람

(24) 은행 임직원대출 중도상환수수료 면제 불합리

내규 ｢임직원대출｣ 제7조 등에 따라 임직원대출의 중도상환수수료가 면제*되고

있어 특혜로 비춰질 수 있을 뿐만 아니라 이로 인한 은행의 평판리스크 저하 등으로 이어질 수 있으므로

* 검사대상기간 중 O명에 대한 중도상환수수료 면제 O건 발생

중도상환수수료 면제 등 일반 고객 대비 유리한 조건으로 임직원대출이 취급되지

않도록 관련 업무절차를 개선하시기 바람

(25) 투자성 상품에 관한 청약의 철회 업무 운영 개선

｢금융소비자보호에 관한 법률｣ 제46조 등에 따라 투자성 상품에 관한 계약의 청약을 한

일반금융소비자는 계약체결일 등으로부터 7일 내에 청약을 철회할 수 있으나

은행은 투자성 상품 청약 철회 접수절차, 징구서류, 업무처리방법 등 청약 철회

관련 구체적 업무처리기준 및 절차를 내규 등에 정하고 있지 않으며, 전산시스템에 투자성 상품 관련 청약의 철회 접수, 처리, 금전 반환내역 등을 관리할 수 있는 기능이 없고, 업무방법서 ｢ 특정금전신탁 청약철회 업무방법｣에 고난도 ELS 상품이 발행된 이후에는

일반금융소비자의 청약 철회를 거부할 수 있도록 규정하는 등 불합리한 측면이 있으므로

투자성 상품 청약의 철회 관련 전산시스템을 개선하고, ELS 상품 발행을 사유로

청약 철회를 거부하는 등의 불합리한 업무 운영방식을 폐지하는 등 청약철회 절차와 내규를 개선하시기 바람

(26) 금융상품 판매 과정 적정성 점검 개선

내규 ｢금융소비자보호 내부통제준칙｣ 제7조에 따라 금융소비자보호 총괄기관은 금융

상품 판매 과정에서 불완전판매가 발생하지 않도록 금융소비자보호 관점에서 금융상품 판매 전‧ 후 절차를 구축하고, 구축된 판매 절차가 원활히 운영될 수 있도록 적정성을 점검

하여야 함에도

H부의 적정성 점검 횟수가 O회에 불과*하고, 직원 O명이 전 은행의 판매 과정

적정성 점검을 전담하는 등 인력 확보가 부족하며, 주요 규제 관련 점검을 일부 수행 하지 않거나 실제 점검 건수, 세부 점검기준별 구체적 결과 등을 문서화하지 않는 등 업무수행이 미흡하므로

* ’21.3월 ｢ 금융소비자보호에 관한 법률｣ 시행에도 불구하고 ’22.O월부터 적정성 점검 업무를 시작

금융상품 판매 과정 적정성 점검 인력을 확충하고 적정성 점검을 실효성 있게 수행

하며 동 결과를 충실히 문서화하여 보고할 수 있도록 관련 업무를 개선하시기 바람

(27) 은행 내부자본 적정성 관리 체계 개선

｢은행업감독업무시행세칙｣ 별표 3-9, ｢내부자본적정성 평가·관리 체계 구축·운용 및

점검 기준｣과 내규 ｢자본배분 규정｣ 등에 근거하여 내부자본을 기준으로 은행의 전반적인 리스크관리를 수행하고 있으나

주요 리스크에 대해 규제자본과 다른 방법론 및 리스크 요소 등을 적용하여 내부

자본이 규제자본 대비 상당히 과소*하게 산출되고 있음에도 이에 대한 명확한 근거 제시 및 위원회 보고가 이루어지지 않고 있고 자본배분시 가용자본에서 위기상황분석결과에 따른 손실(Stress Buffer)을 감안하여야 함에도** 합리적인 근거 없이 위기상황분석 결과를 제외하고 자본배분을 하고 있으며 리스크한도 설정시 리스크부서의 적극적인 관여가 부족하여 선제적***인 한도 설정 및 모니터링이 미흡함에 따라 내부자본 산출 및 배분 등에 보수성이 취약하므로,

* 규제자본 대비(’20년말기준) 신용리스크 내부자본 비중 O%, 시장리스크 내부자본 비중 O%

** 은행업감독업무시행세칙 별표 19(위기상황분석 실시 기준). 5.(역할) 다. 위기상황분석은 은행의 리스크 성향(risk appetite), 익스포져 한도설정 및 전략 선택의 평가와 같은 중요 의사결정과정에 포함되어야 함

*** 리스크가 증가하는 분야에 대한 과도한 영업확대를 사전에 차단하는 적극적인 한도관리가 아닌 영업부서의 사업계획에 따른 사후적인 한도 관리가 이루어지고 있음

내부자본 산출시 보수성을 강화하고 자본배분시 위기상황분석결과 등을 반영하는

등 은행의 내부자본적정성 관리 체계를 개선하시기 바람

(28) 거래상대방 신용리스크 산출 절차 개선

｢은행업감독업무시행세칙｣ 별표3 등에 따라 거래상대방 신용위험에 대한 규제자본

산출 시 상계군 적용, 순독립담보금액, 거래익스포져 및 CVA만기 등의 기준이 적정하여야 하는데도

일부 거래처에 대한 상계군 미적용, 순독립담보금액 산출시 분리담보 금액 미반영,

상품스왑의 거래금액 미반영 등으로 거래상대방 신용위험이 부적정하게 산출*되고 있으므로

* 거래상대방 신용위험 산출 오류로 EAD가 O억원 과대 RWA가 O억원 과대 산출(’22.6월말 기준)

거래상대방 신용위험에 대한 규제자본 산출시 상계군 점검을 위한 기초자료 대사

프로세스를 수립하고 순독립담보, 거래익스포져 및 CVA만기 등과 관련한 산출 요건 미비 사항을 개선하도록 관련 내규 등에 반영하시기 바람

(29) 전산자료 백업 및 소산업무 불합리

내규 ｢데이터 백업 및 복구 절차｣ 등에 따라 전산자료의 중요도 및 보관주기 등을

고려하여 전산자료 백업 및 소산을 수행하고 주기적으로 백업 및 소산자료에 대한 적정성 등을 검증하고 있으나,

전산자료의 소산대상을 정보처리시스템 위주로만 수행하고 전산장비 설정파일 등에

대해서는 별도 백업·소산하지 않아 재해발생 시 주요 전산장비의 복구가 원활히 수행 되지 못할 우려가 있고,

백업·소산자료에 대한 복구 검증을 수행함에 있어 백업장비(PTL)에 저장된 파일

만으로 검증하고 소산센터(내화금고)에 소산 중인 백업미디어(LTO 테이프 등)에 대해 서는 복구검증을 수행하지 않는 등 소산자료의 무결성에 대한 검증 업무가 불합리하게 운영되고 있으므로

일부 누락된 전산장비 설정파일 등을 백업·소산할 수 있도록 백업 및 소산 정책을

재정비하고, 내화금고에 보관중인 백업미디어도 복구검증이 정기적으로 수행될 수 있도록 절차를 마련하는 등 전산자료 백업·소산 업무를 개선하시기 바람

(30) 계정계(메인프레임) 테스트데이터 변환 절차 불합리

내규 「테스트를 위한 운영데이터 사용 통제절차」에 따라 프로그램 테스트 시 실

데이터 사용이 필요한 경우 테스트데이터 자동 변환 솔루션(▪▪▪▪▪▪▪▪▪▪▪▪▪▪)을 통해 주민등록번호 등 주요 이용자 정보를 변환하여 사용하고, 테스트를 종료하면 동 변환데이터를 삭제하고 있으나

계정계(메인프레임) 데이터는 자동 변환 솔루션을 이용하지 아니하고 업무담당자가

수기로 일괄작업(batch) 프로그램을 이용하여 변환하고 있음에도 요청자가 변환요청한 내역과 일치여부를 검증하는 절차가 미흡하여 담당자의 고의 또는 과실에 의한 오변환이 발생할 우려가 있으므로

계정계 데이터의 테스트변환 시 변환계획서상의 변환요청 데이터와 업무담당자가

수행하는 변환대상 데이터의 일치여부를 검증하는 절차를 마련하는 등 테스트데이터 변환 절차를 개선하시기 바람

(31) 일괄작업(배치) 통제 불합리

내규 ｢정기배치 등록 및 실행 모니터링 절차｣ 등에 따라, 일괄작업 중 오류가 발생

하는 경우 관제실 오퍼레이터는 해당 일괄작업 요청자와 협의하여 재실행하는 등의 1차 조치를 수행하고 익일 해당 일괄작업 담당자가 오류의 원인을 파악·조치하고 있으나

일부 일괄작업에서 동일한 원인에 의한 오류가 반복적으로 발생*하고 있음에도

이에 대한 원인 분석 및 사후관리가 다소 미흡**하여 일괄작업 오류로 인해 사고가 발생할 우려가 있으므로

* 메인프레임의 경우, 2021.10월~2022.9월까지 정기 일괄(배치)작업 오류가 O회 발생하였고, O개 일괄작업에서 O회 이상 오류 발생

** 월1회 오류가 발생한 일괄작업의 각 담당자에 이메일로 오류발생 내역을 발송하여 원인분석 및 조치내역를 요청하여 취합하고 있으나, 오류내역에 대한 누적 관리 등의 사후관리 절차 부재

동일 오류가 반복적으로 발생하는 일괄작업 프로그램에 대해서는 정기적으로 오류

유형 및 원인 등을 분석하여 보완 조치한 결과를 보고하는 등 일괄작업 오류처리 관련 절차를 개선하고 이에 대한 통제를 강화할 필요

(32) 전산센터 단말기 통제 불합리

내규 ｢컴퓨터실운영관리절차｣에 따라, 서버, 통신장비 등의 유지보수 및 시스템

작업 등을 위해 전산센터 관제실 및 서버실 출입이 필요한 경우 1일 전 사전 승인을 받아야 하고, 외부 전산기기 반입이 필요한 경우 추가로 단말기 정보 등을 사전 등록 하여 승인받도록 통제하고 있으나

외부에서 반입된 전산기기에 대해 은행 정보보호솔루션(백신, USB차단 등)을 설치

하여 점검하거나 불필요 프로그램 설치 여부 등을 사전 점검하지 않고, 반출 시에도

전산자료 보관 여부 등을 점검하지 않아, 동 전산기기로부터의 바이러스, 악성코드가 감염되거나 허가되지 않은 전산자료가 무단으로 유출되는 등의 사고가 발생할 우려가 있으므로

외부 반입 전산기기에 대한 사전·사후 보안정책을 강화하는 등 전산기기 반입

정책을 개선하고 이에 대한 통제를 강화할 필요

(33) 오픈소스 프로그램 통제 불합리

검사착수일(2022.10.17.) 현재 전산시스템 개발 및 관리 등을 위해 업무용 오픈소스

프로그램*을 다수 도입‧운영하고 있으나,

* 사전검사자료 제출 기준으로 Git, MariaDB 등 O개 오픈소스 프로그램 사용

오픈소스 프로그램 사용에 대한 관리주체, 통제 절차 등이 마련되어 있지 않고,

오픈소스 사용 현황 및 오픈소스 라이선스 정책 준수여부 등에 대해서도 정기적으로 점검하지 않는 등 관리가 미흡하여 오픈소스 프로그램의 중요 취약점 노출 및 라이선스 위반 등 오픈소스 프로그램과 관련된 운영 리스크가 발생할 우려가 있으므로

오픈소스 프로그램에 관한 도입·활용·유지보수 등 생명주기 전반에 걸친 관리체계

(내규, 절차 등)를 마련하고 오픈소스 프로그램 사용현황을 관리하며, 오픈소스 프로그램별 라이선스 정책 준수여부 등을 정기적으로 점검하는 등 오픈소스 프로그램 통제·관리를 강화하시기 바람

(34) 이용자정보 보호대책 불합리

내규 ｢개인정보 마스킹 처리 절차｣ 제3조 등에 따라, 고객의 개인정보 보호를 위하여

업무처리시스템(통합단말)에서 고객정보 조회 시 주민등록번호, 계좌번호 등을 마스킹 처리* 하고 있으나

* 주민등록번호, 계좌번호, 카드번호 등 고유식별정보 및 일부 개인정보는 부분 비식별 조치

개인정보 마스킹 요건을 다수의 개인정보가 조회·출력되는 시스템으로 한정하여

개인정보를 개별로 조회하는 화면은 마스킹 처리가 누락될 우려가 있고, 여신고객관리 등 일부 조회화면을 마스킹 대상에서 제외하는 등 예외정책을 과도하게 운영하고 있으며

계정계(메인프레임) 데이터베이스(DB)는 자료추출 결과 데이터파일을 다운로드*할

경우 평문으로 출력되고 있으므로

* 메인프레임은 솔루션 특성상 DB에 대한 직접 조회(Select)가 불가능하며, 저장된 프로시저를 실행하여 SAM 파일 형태로 다운로드만 가능

내규에 개별 개인정보 조회·출력에 관한 통제절차를 추가하고 개인정보는 업무에

필요한 최소한의 정보만 제공되도록 마스킹 예외정책을 재정비하며, 메인프레임 데이터 베이스에 대한 자료추출 시 비식별 조치를 마련하는 등 관련 업무절차와 시스템을 개선 하시기 바람

(35) 전자금융기반시설 안전성 관리 불합리

① 내규 ｢인프라 취약점 관리 프로세스｣ 제9조 등에 따라, 전자금융기반시설의

취약점 분석·평가를 연 1회(홈페이지는 6개월에 1회) 실시하고 발견된 취약점은 이행계획을 수립하여 최고경영자에게 보고하고 있으나

고위험 취약점에 대한 이행계획을 1년 이상으로 정하고* 이행결과를 체계적으로 추적·관리하지 않아 차기 취약점 분석·평가 기간까지 취약점이 제거되지 않는 등 보안 취약점이 장기간 잔존하고 있으므로

* 2020년 하반기 전자금융기반시설 점검에서 발견된 O개 취약점(취약한 원격서비스 허용 등)에 대한 이행계획을 2024년말까지 설정

취약점 분석·평가 결과에 대한 이행계획 수립 시 보안 리스크 등을 고려하여

취약점이 조기에 제거될 수 있도록 취약점 분석·평가의 사후관리 절차를 개선하시기 바람

② 내규 ｢사이버 보안사고 대응 프로세스｣ 제9조 등에 따라, 홈페이지 및 인터넷

뱅킹에 대해서는 해킹, DDoS공격 등에 대비한 침해사고 대응훈련을 연1회 실시하고 있으나 모바일뱅킹은 침해사고 대응훈련을 실시하지 않고 있어 모바일뱅킹에 대한 해킹, DDoS 공격 등에 취약할 우려가 있으므로

모바일뱅킹도 해킹, DDoS 공격 등 전자금융서비스에 대한 침해사고 대응훈련을

수행할 수 있도록 훈련대상을 확대하여 실시하시기 바람

(36) 단말기 보안관리 및 통제 불합리

내규 ｢단말 보안시스템 사용관리 절차｣ 제1조, 제3조 등에 따라, 임직원 단말기 內

악성코드 감염 및 정보유출을 방지하기 위해 스탠다드빌드, 네트워크관리시스템(○○

○○○ ○○○○○○○), AD(Active Directory) 등을 통하여 단말기 보안 프로그램* 등을 설치·운영하고 있으나

* AD, DLP, 문서보안, 스크린 워터마크, 출력물보안, 개인정보 검출, 백신, 윈도우 보안패치 등

내부 네트워크로 접속하려는 단말기들의 필수 보안 프로그램 정상 설치 및 동작

여부를 점검할 수 없어 필수 보안 프로그램이 설치·실행되지 않은 단말기가 내부망에 연결될 우려가 있으며

임직원 단말기에 대하여 비인가 프로그램 설치 여부를 주기적으로 점검하고 있지

않아, 일부 단말기에서 업무상 불필요한 프로그램이 설치된 사례가 확인*되는 등 보안에 취약한 프로그램이 임의로 설치될 위험이 있으므로

* Wireshark, Fiddler(네트워크 패킷분석), Nmap(네트워크 스캔), Eikon Messenger 등

내부 네트워크로 접속하려는 단말기에 대해 사내 보안 프로그램들이 정상 설치

및 동작하는지를 검증하도록 시스템을 개선하고, 임직원 단말기에 대한 비인가 프로그램 설치 여부를 주기적으로 점검 및 삭제하도록 업무절차를 강화하시기 바람

(37) 전산자료 보호대책 불합리

① 내규 ｢공용폴더 관리 방법서｣ 제3조 등에 따라, 부서 내 업무자료 공유 등을

목적으로 보안파일서버*를 구축·운영하고 있으나

* 팀별로 폴더를 생성하여 자료를 공유하고, 사용이력에 관한 로그를 기록·보관

전자문서를 보안파일서버에 저장 시 문서보안솔루션(DRM)을 통한 파일 암호화가 적용되지 않아* 보안파일서버 내에 전산자료가 평문으로 보관될 우려가 있으므로

* 보안파일서버를 네트워크 드라이브 방식으로 연결하고 있어 전자문서암호화솔루션(◆◆◆◆◆◆◆)을 통한 자동 암호화 불가

보안파일서버를 웹하드 방식으로 전환하는 등 전산자료 저장 시 파일 암호화가

누락되지 않도록 관련 시스템을 개선하시기 바람

② 내규 ｢인터넷 접속통제 관리 절차｣ 제1조에 따라, 정보보호위원회의 심의* 등을

통해 일부 외부 인터넷 사이트를 망분리 예외 대상으로 지정하여 내부 업무용 단말기 에서의 접속을 허용하고 있으나

* 자체 위험성 평가, 망분리 대체 정보보호통제 및 정보보호위원회 승인 절차 등 준수

인터넷용 단말기에서 처리가 가능한 일부 사이트(예 : SCB그룹 임직원 사이트

(sc.edcast.eu) 등)를 업무망에서 접속을 허용하는 등 망분리 예외정책을 다소 과도하게 운영하고 있으므로

업무 단말기에서 인터넷 접속이 허용되는 사이트에 대한 필요성을 재검토하는 등

망분리 예외 정책을 재정비하고 망분리 예외허용이 과도하게 운영되지 않도록 통제를 강화하시기 바람

(38) 외부주문 관리통제 불합리

내규 ｢외주인력의 SCBK 정보접근 ID 신청 및 관리절차｣ 제2조 등에 따라, 정보

보안 운영 서비스*를 외주업체(I)에 위탁하고 정보보호시스템 운영을 위해 외주업체 직원 에게 보안솔루션 관리 권한을 부여하고 있으나

* 서버, 네트워크, 단말 보안시스템 운영, 보안시스템 장애 대응 및 사용자 지원

외주직원의 관리자시스템 접속기록과 작업이력*의 적정성에 대해 주기적인 점검을

수행하고 있지 않아 외주직원이 임의로 정보보호 관리시스템에 접속하여 보안정책 예외 작업을 수행할 가능성이 있으며

* 특권 계정생성·권한변경, 보안정책 변경 및 예외처리, 전산자료·데이터 전송 등

장애지원 업무를 수행하는 외주업체(J) 직원이 사용자 보안정책 예외처리*를 신청

하고 현장대리인이 승인하는 등 보안정책 예외처리에 관한 은행 보안부서의 최종 승인· 반려 여부가 일부 확인되지 않고 있으므로

* DRM 해제, 출력물 보안 예외, WIPS 예외, 인터넷 웹 사이트 접속 허용 등

외주직원이 수행하는 보안 관리업무의 적정성을 주기적으로 점검하고, 보안정책

예외처리에 관한 요청사항은 은행 내부 책임자가 승인하는 등 외주업체에 위탁 중인 정보보호 운영 서비스에 대한 관리감독 절차를 강화하시기 바람