교통은행 금감원 경영유의사항 · 2020-07-09

경영유의사항·개선사항 공개안

1. 금융회사명 : 교통은행 서울지점

2. 조치일 : 2020. 7. 9.

3. 조치내용

제재대상

제재내용

기 관

경영유의사항 4건, 개선사항 4건

제재대상

제재내용

기 관

경영유의사항 4건, 개선사항 4건

4. 조치대상사실

가. 경영유의사항

(1) 일별 리스크관리 점검결과 공유ㆍ보관 강화

일별로 시장ㆍ유동성리스크 관리한도 등의 준수 여부를 점검하고 그 결과를 담당자가 엑셀파일 형태로 PC에 기록하여 보관하고 있으나 점검결과 특이사항이 있는 경우에만 관련부서 등에 통지하고 있어 한도 소진율 등 주요 리스크 현황자료의 업무 활용도가 낮을 뿐만 아니라 담당자가 점검을 실시하지 않더라도 관련부서 등이 인지할 수 없는 취약점이 있으며, 담당자 PC에 이상이 발생하는 경우 기록이 소실될 우려가 있으므로, 업무매뉴얼 등의 개정을 통해 일별 리스크관리 점검결과를 특이사항이 없는 경우에도 위험관리책임자(CRO) 및 관련 부서에 이메일로 송부하는 등 점검결과의 공유를 강화할 필요가 있음

(2) 장외파생상품 투자매매업 영위 강화

2009.2.18. 통화‧이자율을 기초자산으로 하는 장외파생상품에 대한 투자매매업 인가를 금융위원회로부터 받았음에도, 2017.9월 이후 금융기관만을 상대로 파생상품을 거래하고 있으며, 대고객 영업 전담인력도 배치되어 있지 않는 등 투자매매업을 충실히 영위하고 있다고 보기 곤란하므로 인가 받은 목적 및 취지에 부합하게 투자매매업을 충실하게 영위하거나, 향후 영위할계획이 없는 경우 인가를 반납하는 등 대책을 마련할 필요가 있음

(3) 명령휴가시 불시점검 실시 등 내부통제 강화

은행은 20OO.OO.OO.부터 지점 내규에 따라 모든 임직원이 원칙적으로 매년 5영업일 연속 휴가를 사용하는 의무적 장기휴가(Block Leave) 제도를 실시하고, 20XX.XX.XX.부터 불시점검 제도를 도입하였으나, ｢금융회사의 지배구조에 관한 법률｣이 시행된 2016.8.1. 이후 20OO.OO.OO.까지 명령휴가제도를 내부통제기준에 정하기만 하고 구체적인 운영기준은 마련하지 않은 채 20OO년중 임직원 중 일부 직원들에 대해서만 의무적 장기휴가(Block Leave)를 실시하였고, 20XX년에는 일부 직원들이 개인사정 또는 업무 등의 사유로 의무적 장기휴가(Block Leave)를 사용하지 못하였음에도 20△△.△월까지 적용‧실시하지 않았고, 20△△년에는 휴가직원에 대한 불시점검을 실시하지 않았음 또한, 휴가 또는 1달 이상의 교육훈련 기간중 모든 임직원은 지점 내규에 따라 은행시스템을 휴가모드*로 전환하여야 하나,

* 전산부에 휴가모드 전환 신청하여 휴가기간중 휴가자 ID의 은행시스템 로그인을 제한

검사대상기간중 휴직자 2명 외에는 휴가기간 중 은행시스템을 휴가모드로 전환하지 않아 휴가 중인 사용자의 로그인이 가능한 상황이 발생하는 등 금융사고예방을 위한 휴가제도 운영에 미흡한 측면이 있음 향후 내규에서 정한 의무적 장기휴가제도(Block Leave) 및 불시점검 제도, 휴가중 은행시스템의 휴가모드 전환 등에 대하여 직원교육을 실시하고, 동 제도 이행상황 등을 주기적으로 점검하는 등 명령휴가제도 등의 운영에 만전을 기하여 금융사고 예방기능을 제고할 필요가 있음

(4) 내부감사 결과에 대한 후속조치 실시

지점 내규에 따라 은행 직원은 전산시스템 접근 권한 변경시 전산부서장 등의 승인을 받아야 하고, 감사담당 부서는 감사결과 미흡한 부분에 대해 개선토록 사후관리하고 은행 업무규정을 위반한 직원에 대해서는 징계 여부를 검토하여야 하나, 내부감사에서 ◌◌◌◌부 소속 직원이 전산시스템의 ID 및 비밀번호를 공유한 사실이 확인되었음에도,

※ (사례1) 전결권자가 본인 부재시 ID 및 비밀번호를 차상위자 등에게 알려주고 승인토록 함 (사례2) 중간결재자가 본인 부재시 ID 및 비밀번호를 하위직원에게 알려주고 중간결재토록 함 검사종료일 현재까지 동 직원들에 대한 징계 여부를 검토하지 않고 은행시스템 접근통제 강화를 위한 근본적인 해결방안을 제시하지 않은 채 직원 부재시 대직자 지정 및 관련 시스템 접근권한 변경* 등만 권고하는 등 내부감사 결과에 대한 후속조치가 미흡함

* ◌◌◌◌부 부장 부재시 상위권자인 담당 부지점장이 SWIFT 메시지 등을 최종 승인 등 향후 금융사고 예방을 위한 은행시스템 접근통제를 강화(예: 휴대폰 OTP 도입 등)하고, ID 및 비밀번호를 공유하여 부당하게 업무를 수행한 직원들에 대해 자체징계 여부를 검토하는 한편, ID 및 비밀번호 공유를 통해 처리한 금융거래를 전수조사하여 동 거래의 적정 여부를 점검할 필요가 있음

나. 개선사항

(1) 위험관리책임자의 보고체계 운영 미흡

위험관리책임자(CRO)는 ｢금융회사의 지배구조에 관한 법률｣ 제30조(준법감시인 및 위험관리책임자에 대한 금융회사의 의무) 등에 따라 직무를 독립적으로 수행할 수 있어야 하는데도, 위험관리책임자인 리스크관리부 부서장이 여타 영업활동 지원부서를 통할하는 부지점장에게 담당업무를 보고하고 있어 독립적인 업무수행이 저해될 수 있으므로 위험관리책임자의 보고라인 및 해당 부지점장의 담당업무를 조정하고 관련 직무기술서 등을 정비할 필요가 있음

(2) 내부통제위원회 운영 미흡

은행은 ｢금융회사의 지배구조에 관한 법률｣상의 위험관리위원회와 내부통제위원회를 통합하여 운영하면서 ｢금융회사의 지배구조에 관한 법률｣ 시행(2016.8.1.) 이후 동 위원회를 개최하여 위험관리기준 준수 및 내부통제기준 운영에 관한 사항을 점검해 왔으나, 동 위원회가 위험관리위원회와 내부통제위원회의 역할을 함께 수행하고 있어 회의 개최주기, 의사록 작성 등 ｢금융회사 지배구조 감독규정｣ 등에서 정하고 있는 내부통제위원회 운영에 관한 사항의 이행 여부를 명확히 확인하기 어려우므로 리스크관리위원회에서 내부통제위원회를 분리하여 내실있게 운영할 필요가 있음

(3) 노스트로(Nostro) 계좌 자금대사 업무분장 미흡

은행 직무기술서 등에 따르면 노스트로(Nostro) 계좌* 관련 자금대사 업무는 □□□□부에서 계좌 입‧출금 내역 및 은행 원장간 일치 여부 등을 매일 점검하여야 하나,

* 타 은행에 개설한 자행 명의 결제 계좌

◇◇부(딜링부서)가 동 업무를 대신 수행하고 있어, ◇◇부 거래에 대한 대사업무가 부실해지거나 외환거래, 유가증권 투자, 이자율 스왑거래 등 이익창출을 위한 ◇◇부 본연의 딜링업무가 소홀해질 우려가 있으므로, 영업부서(Front Office)와 후선부서(Back Office)간 체계적인 업무분장 확립 및 상호 검증기능 강화 등을 위해 □□□□부에서 Nostro 계좌 관련 자금대사 업무를 수행토록 하는 등 부서간 담당업무를 조정할 필요가 있음

(4) 공유폴더 관리 소홀

은행 내규 등에 따르면, 공유폴더의 사용은 원칙적으로 업무상 필요한 경우로 제한하고 공유폴더에 접근할 수 있는 사용자도 업무상 목적에 따라 최소화하여야 하며 공유폴더의 사용 목적이 종료되면 그 즉시 공유 권한을 제거하여야 하나, 일부 부서들에서 각 1개의 부서 공유폴더를 운영하면서 직원별 접근 권한 및 기간을 설정하지 않음에 따라 모든 임직원이 동 공유폴더 내 파일에 접근할 수 있어 공유폴더에 대한 임의 접근을 통해 고객정보 등의 민감정보가 업무 외적으로 사용되거나 외부 유출될 수 있는 우려가 있으므로, 임직원의 소속 및 담당업무에 따라 공유폴더별 접근권한을 제한하고 사용목적이 종료된 공유폴더를 제거하는 한편, 고객정보 등 위규소지가 있는 파일의 방치 여부 등을 정기적으로 점검할 필요가 있음