KB증권주식회사 금감원 경영유의사항 · 2020-08-13

경영유의사항 등 공개안

1. 금융회사명 : KB증권㈜

2. 조치일 : 2020. 8. 13.

3. 조치내용

대 상

내 용

기관

◦ 경영유의사항 (2건)

◦ 개선사항 (9건)

대 상

내 용

기관

◦ 경영유의사항 (2건)

◦ 개선사항 (9건)

4. 조치대상사실

가. 경영유의사항

(1) 파생결합증권의 헤지자산 운용관련 업무절차 개선 필요

□ KB증권㈜은 대체자산을 헤지자산으로 편입하면서 내규상 가이드라인을 준수하지 않거나, 매각을 전제로 투자한 대체자산을 만기보유하기로 변경하였음에도 해당 자산의 리스크 분석 등을 적절히 실시하지 않고 있으므로

◦ 대체자산의 헤지자산 편입시 관련 내규 준수 여부 및 리스크 분석 등을 철저히 하도록 내부통제절차를 강화할 필요가 있음

□ 또한, KB증권㈜은 일부 특판 ELS의 헤지자산을 모두 부동산관련 자산으로 운용하고 있어 유동성 위험 등에 노출될 우려가 있으므로

◦ 파생결합증권 및 헤지자산의 현금흐름, 헤지자산의 건전성 등을 감안하여 적정수준의 유동자산을 헤지자산으로 보유할 필요가 있음

□ KB증권㈜은 내규상 대체자산의 헤지자산 편입 한도는 파생결합증권 발행 잔액의 ◎◎%로 규정하고 있으나,

◦ 펀디드(fully funded) 백투백 방식으로 헤지하는 파생결합증권은 발행대금을 백투백거래 상대방이 운용하므로 대체자산 편입 한도 산정시 펀디드 백투백 금액을 제외하도록 관련 규정을 정비할 필요가 있음

(2) 리스크 심사협의체 운영 절차 개선 필요

□ KB증권㈜은 인수심의회 및 리스크관리협의회 심사 생략 비중이 높고, 심사 생략 전제조건(◉영업일이내 매출 등)을 미이행한 사례가 있는바,

◦ 리스크 협의체의 심사 생략이 남용되지 않도록 관련 내규와 시스템을 정비할 필요

□ KB증권㈜은 투자심의회 및 인수심의회 사전 요청기간을 미준수한 사례가 있고, 그에 따른 심사한계점을 심사보고서에 임의적으로 기재하고 있는바,

◦ 심사보고서에 심사요청일과 심의회 개최일을 명기하고, 심사요청기간 미준수시 사유 및 그에 따른 심사한계점을 명기하도록 관련 절차를 개선할 필요

□ KB증권㈜은 셀다운을 전제로 한 인수 사업임에도 만기보유를 전제로 한 예상수익을 근거로 리스크심사가 이루어지는 사례가 있는바,

◦ 보유기간(3개월, 6개월) 및 1년 수익률 등 회사의 실제 예상수익을 근거로 리스크심사가 이루어지도록 관련 절차를 개선할 필요

나. 개선사항

(1) 재해복구시스템 구축·운영 불합리

주전산센터 장애발생 장애에 대비하여 재해복구센터에 대고객시스템 및 대외기관과 통신회선을 구축·운용하고 있으나, 재해복구센터에 고객상담 및 민원접수·응대 업무 등을 처리하기 위한 민원관리시스템 및 핵심업무와 관련된 대외기관(◎◎은행, ◎◎카드, ▣▣▣▣▣, ◈◈◈◈◈)에 대한 통신회선을 구축하지 않아 비상상황 발생시 고객 불편을 초래할 우려가 있으므로 재해복구센터에 민원관리시스템 및 핵심업무 관련 대외기관에 대한 통신회선을 구축할 필요가 있음

(2) 비상대응 모의훈련 업무 불합리

내규 ｢재해복구 관리지침｣ 및 ｢위기대응 행동지침｣ 등에 따라 IT업무 연속성 확보를 위해 매년 비상대응 모의훈련을 실시하고 있으나, 훈련시 HTS, MTS 등 일부 전자금융업무에 대한 업무 정합성 검증을 하지 않고, 위기대응 행동매뉴얼에 비상인력현황(비상연락망, 필수요원 등)을 최신화하지 않아 비상상황 발생시 전자금융업무 연속성이 저해될 우려가 있으므로 비상대응 모의훈련시 현업부서가 참여하여 업무검증을 실시하고, 위기대응 행동매뉴얼을 최신화하는 등 비상계획 모의훈련 업무를 개선할 필요가 있음

(3) 형상관리시스템 운영·절차 미흡

내규 ｢응용프로그램 유지보수 지침｣에 따라 형상관리시스템을 이용하여 프로그램 버전관리, 운영시스템 등록시 책임자 승인 후 반영토록 프로그램을 통제하고 있으나 ◎◎◎◎◎◎시스템 등 일부 프로그램은 변경 전·후 내용을 수기로 관리하고 있어 프로그램 변경내용이 기록되지 않을 우려가 있으므로 사용자, 저장되는 데이터의 종류 등 시스템의 중요도를 분석하여 형상관리시스템 등을 통해 자동으로 기록·관리하는 등 프로그램 통제절차를 개선할 필요가 있음

(4) 고객정보조회 사전 승인절차 미흡

내규 ｢신용정보 관리 보호규정｣에 따라 고객정보 조회사유를 확인한 후 조회권한을 부여하고 고객정보 조회이력 및 과다 조회자를 매월 점검하고 있으나 고객정보 조회기간을 제한하지 않고 책임자 사전승인 없이 조회권한을 부여하는 등 고객정보 통제가 미흡하므로 고객정보 조회시 조회기간 및 사유 등을 포함한 사전 승인절차를 마련하는 등 고객정보조회에 대한 통제를 강화할 필요가 있음

(5) 외주직원 계정관리 불합리

내규 ｢외주인력 보안관리지침｣에 따라 외주직원 입·퇴사시 계정관리시스템을 이용하여 계정을 생성·삭제하고 있으나 일부 외주직원 퇴직시 계정삭제 신청을 하지 않아 동 계정으로 시스템 접근이 가능하여 정보유출 등 침해사고가 발생할 우려가 있으므로 계정관리시스템을 통해 퇴직자 계정을 삭제하여 시스템 접근을 차단하거나, 삭제가 불가한 경우 계정발급에 대한 정기점검을 실시하는 등 계정관리를 강화할 필요가 있음

(6) IP주소 관리 미흡

단말기 IP주소는 업무 중요도 등을 고려하지 않고 근무지 기준으로 IP주소를 할당하고 있어 IP주소 대역별로 보안정책 적용시 직무와 상관없이 보안정책이 적용될 우려가 있으므로, 업무 중요도 및 특성을 고려하여 IP주소 할당정책을 재수립하여 기 부여된 단말기 IP주소를 다시 할당할 필요가 있음

(7) 노후화 전산장비 사용에 따른 보안통제 미흡

정보처리시스템 중 ◎◎◎대는 기술지원이 종료된 운영체제를 설치·운영하고 있어 취약점 보완 및 기능개선 등을 위한 작업이 어려워 장애 또는 신규 취약점을 이용한 침해사고 발생의 우려가 있으므로 기술지원이 종료된 운영체제의 전환추진 계획을 수립하고 전환이 이루어지기 전까지 보안대책을 마련하시기 바람

(8) 정보보안 자가점검 불합리

내규 ｢보안점검지침｣에 의하면 시스템 계정관리, 개인정보 조회 및 출력기록 등 정보보호 및 개인정보보호 관련 점검항목에 대해 매월 자가점검을 하여야하나 동 지침에 명시된 개인정보 조회 및 출력기록 등 일부 점검항목은 점검을 실시하지 않아 지침에 명시된 점검항목에 대해 점검이 가능토록 관련 시스템을 개선하는 등 정보보안 자가점검을 강화할 필요가 있음

(9) 경영정보시스템 운영 불합리

경영성과 등에 대한 경영진의 신속한 의사결정을 지원하기 위해 경영정보시스템(Management Information System)을 구축·운영하고 있으나, 동 시스템에서 제공하는 데이터에 대한 정합성 관리가 미흡하여 자료 신뢰성이 낮고, 관리회계시스템 등 타 시스템에서 경영성과 등에 대한 자료를 제공하고 있어 경영정보시스템 활용도가 저조하므로 경영정보시스템 유지에 대한 필요성을 충분히 검토하여 시스템 폐기 또는 시스템 사용 제고 방안을 마련하는 등 경영정보시스템 운영을 개선할 필요가 있음