㈜아이비케이캐피탈 금감원 경영유의사항 · 2024-09-27

경영유의사항 등 공개안

1. 금융회사명 : ㈜아이비케이캐피탈

2. 조치일 : 2024. 9. 27.

3. 조치내용

대상

기관

내 용

경영유의 14건, 개선 11건

4. 조치대상사실

가. 경영유의사항

(1) 부동산 PF대출 사업성 평가기준 관리 강화

회사는 여신전문금융협회의 舊｢부동산 PF대출 리스크관리 모범규준｣상

사업성평가 상향이 가능한 조정사유를 내규 ｢ 부동산PF 리스크관리 기준｣ 에

반영하는 과정에서 회사채 신용등급 ○○○, 기업어음 ○ 이상의 시공사가 신용 보강하는 경우 사업성평가 결과를 상향할 수 있도록 예외기준을 마련하였다.

그러나 2023년말 기준 시공사가 신용보강을 제공한 부동산 PF대출 사업장

(○○○개) 중 대부분(○○○건, ○○%)이 예외기준*에 해당하여 사업성 평가의 본래 취지가 훼손될 우려가 있다.

* 2023년말 기준 인허가 지연 등으로 사업성이 ‘보통’에 해당하는 ○○개 사업장(○○

○○억원)을 ‘양호’로 평가하여 건전성을 ‘정상’으로 상향

<조치할 사항>

회사는 앞으로 개정된 ｢ 부동산 PF대출 리스크관리 모범규준｣ 의 회사 내규

반영 시 예외기준의 폭넓은 적용으로 인하여 사업성평가의 취지가 훼손되어 손실흡수능력이 저하되지 않도록 합리적인 사업성평가기준을 마련하여 관리 하시기 바랍니다.

(2) 부동산PF대출 자문‧ 주선 수수료 수취 관련 내부통제 관리 강화

회사는 부동산PF대출 차주에게 금융자문 또는 주선업무를 제공하는 별도

용역계약을 체결하고 수수료를 수취*하고 있다.

* 검사대상기간 중 금융자문수수료 ○건 ○○억원 / 주선수수료 ○건, ○○억원

그러나 회사는 관련 계약을 실제 금융자문·주선업무를 제공하기로 합의한

시점이 아닌 용역제공이 완료되는 대출약정일에 체결하였고 대부분 업무를 유선 등을 통해 수행하고 있어 용역 수행자료를 별도로 보관하지 않고 있다.

<조치할 사항>

회사는 앞으로 금융자문·주선계약을 용역이 개시되는 시점에 체결하고,

사업 관련자들과의 협의·통보내역 등 용역 수행자료를 보관하는 등 내부통제를 강화하시기 바랍니다.

(3) 실제 업종기준에 따른 산업별 여신한도 관리 강화

회사는 ｢ 위험관리규정｣ 제6조 등에 따라 매년 기업자금대출 등에 대해 산업별

여신한도를 설정하고 분기별로 한도소진율을 위험관리위원회에 보고하고 있다.

그러나 ｢ Total Exposure 및 고위험군 운용 지침｣ 제5조에 따라 산업별

여신한도 관리 시 실차주가 아닌 단순히 KIS산업분석코드를 기준으로 업종을 분류하여 2023년말 회사가 부동산업으로 관리하는 익스포져는 ○○조원이나 실차주 업종을 감안할 경우 실질적인 부동산업 관련 익스포져는 ○○조원에 달하고,

금융업으로 관리하는 익스포져(○○조원) 중 실제 금융회사를 대상으로

취급한 익스포져는 ○○○○억원에 불과하고 대부분은 실차주가 부동산업 또는 인수금융 등을 영위하는 SPC에 대한 익스포져에 해당하는 등 산업별 여신한도 관리가 부적정한 것으로 나타났다.

<조치할 사항>

회사는 앞으로 산업별 여신한도는 차주가 실제 영위하고 있는 업종에 따라

관리할 수 있도록 관련 시스템을 개선하시기 바랍니다.

(4) 장래매출채권 담보대출에 대한 법률검토 강화

회사는 건설 하도급업체가 원청업체로부터 받을 수 있는 공사대금채권을

담보로 하도급업체에 대출(이하 ‘장래매출채권 담보대출’)을 취급하고 있다.

그러나 건설공사 하도급계약서상 공사대금채권의 제3자 양도가 금지되고

원청업체가 하도급업체의 협력업체에 공사대금을 직접 지불*할 수 있는데도 대출 심사과정에서 동 사실을 인지하지 못하는 등 법률검토 및 업무처리를 소홀히 하여 관련 채권(○○억원)이 부실화되는 결과를 초래하였다.

* <건설공사 표준 하도급계약 조건> 제8조 (직접 지급) ② 이 공사의 원활한 진행과

‘을’(하도급업체)의 협력업체를 보호하기 위해 다음의 각호의 경우 ‘갑’(원청업체)는 ‘을’(하도급 업체)의 협력업체에 대한 채무를 직접지급 할 수 있다.

라. ‘을’(하도급업체)의 파산, 부도, 회생절차(법정관리) 등으로 ‘을’(하도급업체)가 공사와 관련하여 제3자에 대한 부담한 채무를 변제하지 못할 것으로 예상되는 경우

<조치할 사항>

회사는 앞으로 장래매출채권 담보대출 취급시 원 계약서상 채권보전 침해

가능성 등에 대한 법무팀의 사전 법률검토를 강화하는 등 대출 심사 및 관리를 철저히 하시기 바랍니다.

(5) 공기업 중도금 반환채권 담보대출에 대한 사후관리 강화

회사는 부동산 시행사 등에 토지주택공사 등 공기업이 조성하는 택지개

발사업부지 매입 목적의 중도금대출을 취급하면서(2023년말 ○○건, ○○○○억원) 토지매입 실패 시 발생하는 공기업에 대한 중도금 반환채권*을 담보로 설정하고 있다.

* 잔금 미납입 시 공기업은 旣수령한 계약금을 몰수하고 중도금은 반환하며 금융회사는

해당 중도금 반환채권을 담보로 취득하고 공기업에 직접 채권 청구

그러나 최근 부동산 경기 침체에 따른 PF대출 시장 경색으로 시행사가

토지 매매잔금*을 납입하지 못하여 매매계약이 해지되는 사례가 증가하는 가운데 2023년말 관련 대출 중 토지매매계약상 잔금기일이 경과하여 기한의 이익이 상실된 대출이 ○○건 ○○○○억원*에 달하고 있다.

* 전체 중도금 반환채권 담보대출의 ○○%

<조치할 사항>

회사는 앞으로 부동산 시행사 등에 토지주택공사 등 공기업이 조성하는

택지개발사업부지 매입 목적의 중도금 반환채권 담보대출을 취급하는 경우, 해당 사업장의 사업진행 상황을 모니터링하고, 중도금 반환 청구권 행사 통 지를 하는 등 채권회수업무에 유의하시기 바랍니다.

(6) 중도금대출에 대한 사후관리 강화

생활형 숙박시설, 오피스텔, 타운하우스 등에 대한 분양대금 중도금대출이

증가하고 있으나, 생활형 숙박시설의 경우 주거용으로 거주가 불가하고 숙박업 용도로만 사용하도록 함에 따라 향후 당사자간 분쟁* 가능성이 높아지고 있고

* 수분양자 중 상당수가 생활형 숙박시설에 실거주가 가능할 것으로 인식하고 분양

을 받아 최근 입주를 앞둔 사업장 위주로 수분양자들이 시행사 및 시공사를 상대로 사기 분양계약 취소소송을 제기하는 등 분쟁이 발생하고 있음

최근 부동산시장 침체가 지속되면서 다른 금융회사의 잔금대출을 통한

중도금대출 상환이 원활하게 진행되지 않을 우려가 높은 가운데*, ○개 사업장 (○억원)의 중도금 납입이 완료되어 잔금 납부기한을 앞두고 있으며, 특히 A 생활형 숙박시설의 경우 전체 차주 ○명(○억원) 중 ○명(○억원)이 분양대금 납입을 포기하는 등의 사유로 기한의 이익을 상실하여 중도금대출이 상환되지 않을 위험이 증가하는 상황임에도 회사는 중도금대출 사업장에 대한 별도 모니 터링 등 사후관리를 하고 있지 않다.

* 생활형 숙박시설처럼 실거주할 수 없는 건축물의 경우 아파트 등과 달리 감정가격이

낮게 산정되고 담보인정비율(LTV)이 낮아져 잔금대출 실행가능액이 감소함에 따라 중도금대출을 모두 상환하기 어려울 가능성이 있음

한편, 중도금대출의 경우 시공사의 연대보증 조건이 부기되어 있으나,

제3조 제3항* 에 따라

회사는 내규 ｢ Total Exposure 및 고위험군 운용 지침｣

연대보증을 제공한 시공사의 익스포져를 동일인 한도 관리대상에서 제외해 시공사의 신용위험을 과소평가할 소지가 있고 사실상 시공사의 연대보증에 기초한 기업대출 성격을 갖고 있음에도 여신감리대상에서 제외하고 있다.

* 한도 산정시에는 간접 Exposure를 포함하여 운용하되, 예금담보 투융자 및 집단대출은 Total Exposure 관리대상에서 제외 <조치할 사항>

회사는 중도금대출에 대한 잔금대출 진행상황 등을 모니터링하고 대출

부실화에 대비해 시공사에 대한 연대보증 이행청구 등 사후관리절차를 강화하고, 중도금대출의 경우 시공사의 연대보증조건이 부기되어 있어 사실상 시공사의 연대보증에 기초한 기업대출 성격을 갖고 있으므로 여신감리대상에 포함시 키는 등 관련 업무에 대한 관리를 강화하시기 바랍니다.

(7) 거액 요주의 여신에 대한 리스크관리 강화

2021년 이후 부동산 PF 등 거액(○○○억원 이상) 요주의 이하 여신이 증가 추세인 가운데, PF대출 이외 일반 기업대출의 비중도 높아* 경기침체시 관련 여신의 건전성이 악화될 우려가 있다.

* 2023년말 기업대출(○조원) 중 일반 기업대출이 ○○% 차지

그러나 회사는 자체 설정 한도 준수 여부만 점검하여 위험관리위원회에

고위험자산 부문별 현황보고*를 하고 있을 뿐, 부실 개연성 있는 여신의 선별· 회수방안 마련 및 이행여부 점검 등의 사후관리는 실시하지 않고 있다.

* 위험관리위원회에서 리스크 관리가 필요한 자산을 선정하여 분기별 모니터링

<조치할 사항>

회사는 앞으로 정기적으로 위험관리위원회 등 경영진에게 거액 요주의

여신 현황 및 관리방안을 점검하여 보고하는 절차를 마련하는 등 거액 요주의 여신에 대한 리스크관리를 강화하시기 바랍니다.

(8) 신기술금융 투자자 보호 및 이해상충 관리 등 내부통제 강화

회사는 업무집행사원(GP)의 지위로 신기술투자조합을 설립하여 벤처기업이나

스타트업 등 신기술사업자에 대해 투자하고 있으므로 관련 투자자를 보호하고 조합원·피투자회사와의 이해상충 발생 가능성을 방지하여야 할 선관의무를 부담하 고 있다.

그러나 회사는 신기술투자조합의 설립·운용·사후관리 단계별로 투자자 보호를

위한 구체적인 내부기준이 미흡*하고,

* 내규 ｢ 투자조합취급요령｣ 에서 조합의 운영과 관련한 사항은 개별 투자조합 규약에 따른다고

정하고 있어 투자자 보호를 위한 실질적인 기준으로는 미흡

실제 운영과정에서도 ①계약 체결 전 계약내용 및 투자대상 자산에 부가된

②개인투자자 모집시 투자위험 고지*, ③조합원 총회시 서면개최

제약조건 확인,

④이해관계자 출자에 대한 이해상충 방지체계** 등에서 취약한 부분이

절차 준수,

발견되었다.

* (예시) 개인투자자 모집시 투자대상 회사의 주가에 대해 상승 가능성만 제시하고

하락 가능성은 언급하지 않는 등 투자위험을 과소평가

** 조합의 GP 또는 투자대상회사의 주주 및 임직원 등 이해관계자가 조합에 출자하거나

투자대상회사와 거래관계가 있을 경우 이해상충 방지를 위한 기준과 절차를 마련

<조치할 사항>

회사는 신기술투자조합의 설립·운용·사후관리 단계별로 투자자를 보호하기

위한 기준을 마련하고, 이해관계자와의 거래관계를 사전 점검하여 관리하는 등 신기술사업금융 관련 내부통제를 강화하시기 바랍니다.

(9) 해외 현지법인(미얀마)에 대한 리스크관리 강화

회사는 2015년 12월 미얀마 법인*을 설립하고 ○○○억원을 투자하였으나

2021년 미얀마 군부 쿠데타 이후 정세 불안 지속으로 경제상황이 악화된 가운데,

소액대출 연체 증가로 연체자를 대상으로 2021년 10월부터 대환대출을 취 급하였지만 부실이 해소되지 못해 2023년 12월말 ○○억원을 손실 처리하는 등 건전성이 악화되었다.

* 개인 중심 MFI영업(Microfinance Institution)을 하고, ○○개 지점을 운영하며(주재원

○명, 현지직원 ○○○명 근무) 2024년 1월말 대출잔액은 ○○억원임

그러나, 해외 현지법인의 연간 업무계획, 결산 및 성과평가, 여신 건전성

현황, 내부통제 및 리스크관리 현황 등에 대하여 연간 업무계획 수립 시 이사회 안건으로 포함하여 보고 및 승인을 받고 있을 뿐, 별도의 검토 및 경영진 보고가 충분히 이루어지지 않았다.

<조치할 사항>

회사는 향후 국내외 경제상황을 고려하여 해외 현지법인에 대한 장기적인

경영전략, 리스크관리방안 등을 종합적으로 마련하고 위험관리위원회, 이사회 등에 동 사항을 보고하는 등 해외 현지법인에 대한 리스크관리를 강화하 시기 바랍니다.

(10) 임원후보추천위원회 운영 관리 강화

회사는 현직 사외이사만으로 후보군을 구성하고 추가적인 후보군을 관리

하고 있지 않아 ‘사외이사 임기만료 및 유고 등에 따른 결원 발생 시 원활한 이사회 운영을 위해 사외이사 후보군을 관리’하고자 하는 후보군 관리의 취지에 부합하지 못하게 임원후보추천위원회의 사외이사 후보군을 운영하고 있다.

<조치할 사항>

회사는 임원후보추천위원회가 사외이사 후보군을 관리하고자 하는 취지에

부합하도록 사외이사 후보군 범위를 확대하는 등 임원후보추천위원회 운영에 대한 관리를 강화하시기 바랍니다.

(11) 명령휴가제도 운영 강화

｢ 금융회사 지배구조 감독규정｣ 제11조에 따라 회사는 위법·부당 행위를

사전에 방지하기 위해 명령휴가 제도 도입 및 그 적용대상, 실시주기, 명령휴가 기간, 적용 예외 등 시행에 필요한 사항을 내부통제기준에 포함하여야 하고, 내규인 ｢ 내부통제규정｣ 제37조에 따르면 명령휴가제도 도입 및 그 적용대상,

실시주기, 명령휴가 기간, 적용 예외 등 명령휴가제도 시행에 필요한 사항을 별도의 규정으로 정하여야 한다.

그러나 내규인 ｢ 자점감사제도 운용지침｣ 제5조에 부점장의 판단에 따라

사고발생 우려가 있는 업무 담당자 등에 대해 명령휴가 또는 휴가, 파견, 연수 시에 자점감사인이 특명감사를 실시하도록 정하고 있을 뿐, 명령휴가 대상자 선정 및 실시시기, 점검항목 등에 대해 별도 정한 바가 없어 명령휴가 제도가 실효성있게 운영되지 않고 있다.

<조치할 사항>

회사는 명령휴가제도 시행에 필요한 기준을 구체적으로 마련하고, 부서별 업무 특성 및 근속연수 등을 고려하여 불시 점검하는 등 관련 운영을 강화하 시기 바랍니다.

(12) 수익성 관리방안 강화

내규 ｢직제 규정｣ 제12조에 따라 경영전략부는 전사적 이익계획의 수립·

조정·분석 및 경영전략회의 등 주요회의 관련 업무 등을 수행하여야 하고, 내규 ｢ 경영전략 업무매뉴얼｣ 제12장 제3절 제1조에 따라 월별·연도별 결산 후 자산 및 손익현황 등 결산보고를 작성하여야 한다.

경영전략부는 경영진에 대한 월별 영업실적 보고* 시 전체 손익과 부점별 손익을 보고하고 있으나, 상품별(영업자산별) 손익 및 고객군별 손익은 별도 보고 하지 않아 PF대출 부실우려 증가에 따른 손익영향, 조달금리·운용금리 상승에 따른 상품별·고객군별 손익영향 등에 효율적으로 대비하는 데 한계가 있다.

* 임원간담회 보고, 경영전략회의 등의 보고자료

<조치할 사항>

회사는 앞으로 경영진에 상품별(영업자산별) 손익현황* 및 고객군별 손익 현황을 추가하여 적시(예 : 매월 또는 매분기)에 보고하는 등 이익변동에 대한 분석 및 관리를 강화하시기 바랍니다.

* PF대출 손익 등 중점 관리대상 상품군에 대한 분석 및 관리 포함

(13) 유동성리스크 관리 강화

㉮ 유동성리스크 인식･측정･보고업무 강화

내규 ｢ 유동성리스크 관리기준｣ 제7조에 따르면 유동성리스크의 인식 및

측정 방법을 문서화하여 ALM(Asset & Liability Management) 위원회에 보고 하고 유동성리스크 측정방법의 적정성을 정기적으로 평가하여야 한다.

하지만 회사는 실제 유동성리스크 측정항목, 측정방법, 점검주기 및 보고

원칙 등에 대한 세부적인 기준을 마련하지 않은 상태에서 매월 ALM 위원회에 관리지표를 보고하는 것으로 적정성 평가를 대신하고 있어 관련 업무가 형식적 으로 이루어질 가능성이 있다.

<조치할 사항>

회사는 앞으로 유동성리스크 인식에 대한 정의, 측정항목, 측정방법, 보고

및 점검 주기를 내규에 반영하여 실질적인 측정 및 평가가 이루어질 수 있도록 관련 절차를 강화하시기 바랍니다.

㉯ 조기경보지표의 사전예방적 기능 강화

내규 ｢유동성리스크 관리기준｣ 제10조에 따르면 유동성리스크의 증가

또는 잠재적 유동성부족 등을 인식하기 위해 조기경보지표를 설정하여 운영 하여야 한다.

하지만 회사는 매월 조기경보지표별 상황을 모니터링하여 조기경보지표

산출 후 규제비율 준수여부가 확정된 이후 ALM위원회에 보고하고 있을 뿐, 조기에 경보를 발동하기 위한 지표로 활용하지 않고 있어 조기경보지표가 사전 예방적 기능을 수행하지 못할 우려가 있다.

<조치할 사항>

회사는 조기경보지표의 위기판단 기준을 마련하는 등 재정비를 통해

조기경보지표가 리스크 사전 예방 기능에 충실하도록 관련 업무를 강화하시기 바랍니다.

(14) IT부문 감사업무 강화 필요

회사 내규 ｢감사규정｣ 에 IT감사를 일상·정기·특별감사로 구분하고 정기

또는 수시로 실시하도록 규정하고 있으며, 감사부는 연간 감사계획 및 감사결과를 감사위원회에 보고하고 있다.

하지만 검사대상기간(2020. 1. 1. ~ 2024. 6. 17.) 중 자체 IT정기감사는 ○회만

실시하였고 특별감사 등 IT수시감사는 실시하지 않는 등 IT감사실적이 미흡하여 IT부문 주요 내부통제가 부실화될 우려가 있다.

또한, 내규 ｢자점감사제도 운용지침｣ 에 따라 IT부서에 자점감사인 ○명을

지정하고 일별·주별·월별·분기·특명감사를 실시하는 것으로 IT자체감사를 대체하고 있다.

하지만 동 감사 항목(○○개) 중 IT업무 관련 사항은 ○개에 불과하여 점검범위가 좁고 자점감사 수행결과도 ‘자점감사일지’ 작성 시 항목별 이상 유무만을 단순 표기하고 있으며 감사 세부내용이나 관련 증빙은 관리하지 않는 등 IT자체감사를 대체하기 어려운 수준이다.

한편, B부 자점감사인(C팀장)이 자점감사 수행결과를 소속 부서장 (B부장)에게만 보고하고 CIO에게는 보고하지 않고 있으며

동 자점감사인이 점검하는 감사항목 중 ‘정보보호시스템 일일점검 여부’

확인 등은 자신이 겸직하고 있는 C팀장 업무와 중첩되어 감사업무 수행 시 자체 감사를 독립적·객관적으로 수행하기 어려울 우려가 있다.

또한, CIO가 CISO의 상위 결재·인사권자로 편제되어 있어 IT업무와 정보 보호업무 간의 상호 견제가 실효성 있게 이루어지기 어렵다.

<조치할 사항>

따라서 회사는 IT감사를 정기 또는 수시로 실시하고, 내규에 IT감사 및

IT자체감사 항목·절차 등을 구체적으로 반영하며 IT자체감사인의 객관성· 독립성을 확보하는 등 IT부문 전반의 운영·관리 통제를 강화하시기 바랍니다.

또한, IT업무절차 적정성을 체계적으로 점검할 수 있도록 IT감사 및 IT

자체감사 강화방안을 마련하여 시행하시기 바랍니다.

나. 개선사항

(1) 대손충당금 산정체계 미흡

｢ 여신전문금융업감독규정｣ 및 여신전문금융협회의 ｢ 부동산 PF대출 리스크

관리 모범규준｣ 등에 따르면 회사는 적정한 대손충당금을 적립하여야 하며, 신용 관리부서는 여신에 대하여 집합·개별평가를 수행하여야 하나, 아래와 같이 미 흡한 점이 있으므로 이를 개선하시기 바랍니다.

(가) 집합평가 대손충당금 산정체계 강화

｢ 여신전문금융업감독규정｣ 제11조에 따라 한국채택국제회계기준 제1109호의

기대신용손실*을 합리적으로 산정하기 위해서는 신용위험 특성이 비슷한 금융 상품을 묶고**, 평균 신용순환주기***를 포함한 부도데이터(최소 6년 이상)를 활용 하는 것이 바람직하다.

* 기대신용손실 = 부도시 익스포져(EAD) × 예상손실 부도율(PD) × 부도시 손실률(LGD)

** 한국채택국제회계기준 제1109호 문단B5.5.5에 따르면 집합기준으로 신용위험이 유의적 으로 증가하였는지 판단하고 손실충당금을 인식할 때 신용위험 특성(ex. 상품의 형태, 신용 위험 등급, 담보의 형태 등)이 서로 다른 금융상품을 묶어서 이러한 정보를 이해하기 어렵게 해서는 안됨

*** 국내 평균 금융사이클(한국은행 BOK 이슈노트 No. 2022-12) : 약 6.1년

그러나 회사는 기대신용손실 추정을 위한 예상손실 부도율을 산정할 때 차

주의 신용등급별 부도율이 다름에도 자산군별 기간에 따른 단일 부도율을 산 정하여 집합평가를 수행하고,

저금리, 코로나19에 대응한 금융지원 등으로 낮아진 과거 4년간 측정

한 부도율만을 활용하여 예상손실 부도율을 추정하고 있어 집합평가 대손충 당금이 과소계상될 가능성이 있다.

<조치할 사항>

회사는 앞으로 예상손실 부도율 추정 시 손실경험이 충분히 반영될 수 있

도록 부도데이터의 적정성을 검토하고 차주의 신용등급별 부도율을 사용하는 등 집합평가 대손충당금 산정방법을 고도화하시기 바랍니다.

(나) 개별평가 대손충당금 산정체계 강화

회사는 여신전문금융협회의 ｢ 부동산 PF대출 리스크관리 모범규준｣ 제9조

사업성평가, 건전성 분류 및 대손충당금 적립 세부기준*｣

및 별표1 ｢

에 따라 내

규인 ｢ 대손충당금 요건정의서｣ 제5조에 ‘요주의’ 이하 부동산 PF대출에 대하여

개별평가를 수행하고,

* 신용위험이 유의적으로 증가한 부동산 PF대출에 대하여 대손충당금 개별평가 대상

에 포함되도록 선정기준을 마련하고, 사업성 평가결과 등을 감안한 미래현금흐름 추 정 및 개별평가 실시로 대손충당금을 적립

제11조에 따라 한국채택국제회계기준 제1109호*를

｢ 여신전문금융업감독규정｣

적용하여 신용위험이 유의적으로 증가한 모든 금융상품에 대해 분기별로 대손충당금을 적립해야 한다.

* 미래전망 정보를 포함하는 합리적이고 뒷받침될 수 있는 모든 정보를 고려하여 개별평가나

집합평가로 전체기간 기대신용손실을 인식

그러나 회사는 건전성 분류에 따른 요주의 이하 부동산 PF대출 ○○건(○○

○○억원) 중 ○건(○○○억원)에 대해 개별평가를 수행하지 않고 임의로 채권잔액의

○○%를 대손충당금으로 적립하였으며, 나머지 ○○건에 대해서는 특별한 기준

없이 최초 개별평가 분류시 또는 연말 결산시에만 개별평가를 수행하였다.

<조치할 사항>

회사는 회수방법에 따른 구체적인 개별평가 대손충당금 산정기준을 내 규에 반영하고 개별평가를 분기별로 수행하는 체계를 마련하시기 바랍니다.

(2) 유가증권에 대한 감리업무 미흡

내규 ｢론 리뷰(Loan Review) 업무 취급기준｣ 제3조에 따르면 감리대상을

여신성 자산으로 한정하고, 유가증권 감리업무는 내규 ｢투융자금 관리요령｣ 제9조에 따라 피투자업체에 대한 실태조사*로 갈음하여 A부서가 동 실태조사 결과를 감리업무 총괄부서인 B부서에 송부하고 있다.

* A부서가 정한 등급분류 기준에 따라 A∼F등급(5등급 체계)을 부여하고 관리대상 종목 등을 선정

그러나 유가증권 운용주체와 동일한 그룹장이 관리하는 A그룹 내 부서에서

상기 실태조사를 수행하여 독립성 확보가 어렵고, B부서는 사실상 별도의 검 토업무를 수행하지 않아 A그룹의 실태조사 업무에 대한 견제기능이 미흡하며, 여신성 자산에 대한 감리결과와 달리 동 실태조사 결과를 위험관리위원회에 보고하지 않고 있다.

<조치할 사항>

회사는 앞으로 영업부서와 독립적인 부서에서 유가증권에 대한 감리를 수행

하고, 그 결과를 위험관리위원회에 정기적으로 보고하는 등 유가증권 감리업무를 개선하시기 바랍니다.

(3) 여신감리시 관리대상업체 선정 및 사후관리 미흡

회사는 내규 ｢ 론 리뷰(Loan Review) 업무 취급기준｣ 에 따라 매반기 감리

대상 기업에 대해 재무·비재무평가를 통해 정밀 감리대상을 선정하고, 평가결과 여신을 3개 등급*으로 구분하여 사후관리하고 있다.

* 신용리스크 보완 가능, 모니터링 필요, 관리 필요

그러나 감리대상 선정을 위한 재무평가모형이 제조업 기준 단일 모형으로

부동산·인수금융 등 회사의 주요 기업여신 유형을 평가하는데 적합하지 않고, 2017년 이후 동 평가모형의 통계적 유의성을 검증하지 않았으며, 감리결과 최저 등급인 ‘관리필요 여신’으로 선정한 경우에도 구체적인 조치 이행방안이나 사후관리 이행 여부에 대한 경영진 보고가 미흡한 것으로 나타났다.

<조치할 사항>

회사는 앞으로 여신감리 평가모형을 개선하고, 관리대상업체로 선정한

여신에 대해 구체적 조치방안 및 사후관리 이행 결과 등을 정기적으로 위험관리 위원회에 보고하시기 바랍니다.

(4) 익스포져 한도 설정 등 리스크관리 미흡

회사는 내규인 ｢Total Exposure 및 고위험군 운용 지침｣ 에 따라 동일인·

동일그룹별 직간접 익스포져 관리를 위한 Total Exposure 한도와 산업별 및 고위험자산에 대한 익스포져 한도를 설정·관리하고 있으나, 운용과정에서 아래와 같은 미흡사항이 있는 것으로 나타났다.

① 동일그룹볍 한도를 배정하면서 상호출자제한기업집단에 대해 자산규모만을

기준으로 한도를 일률 배정하고 있어 그룹별 재무위험은 고려하지 않았다.

② 중도금대출의 경우 시공사가 연대보증 등 간접 익스포져를 부담하고

있음에도 이를 동일인 한도관리에 반영하지 않았다.

③ 산업별 한도관리 대상을 기업대출 등으로만 한정하여 유가증권 등

투자자산에 대한 익스포져를 포함하지 않았다.

④ 다른 고위험 자산의 경우에는 위 운용지침에 따라 리스크총괄부가

위험관리위원회에 부의하여 보고하고 있으나, 블라인드펀드의 경우 한도관리를 영업부서에서 담당하고 있어 위험관리위원회에 한도관리 현황 등을 보고하지 않고 있다.

<조치할 사항>

회사는 앞으로 특정 기업 및 그룹의 실제 익스포져가 위험 대비 과소평

가 되지 않도록 각종 한도관리 기준을 정비하시기 바랍니다.

(5) IT부문 외부주문 품질관리 및 보안대책 미흡

(가) 외주업체(A사)에 금융정보시스템 운영위임 및 통합보안관제를

위탁하고 위탁업무에 대해 분기‧ 반기별로 서비스품질을 평가하고 있으며, 연 ○회

평가점수 집계 및 종합평가를 통해 ○○점 이상인 경우 계약을 자동 연장하고 있다.

하지만 평가자가 서비스품질 평가 시 외주업체로부터 정량적·객관적으로 평가할 수 있는 업무실적 자료를 제출받지 않고 정성적 평가만 수행하고 있어 위임업무의 구체적인 수행실적 및 정확한 품질수준 측정이 곤란하다.

(나) 회사는 내규 ｢관리적 정보보호지침｣에 따라 외주업체(A사) 소속 상주인력의 보안서약서를 징구받고 내부인력의 통신망과 분리·운영하고 있으며 외주인력의 수행 업무에 대해서는 일일 보안점검을 실시하는 등 외주 인력 정보보호대책을 마련하고 있다.

하지만 동 외주인력은 B부 소속 내부인력과 별도로 분리되지 않은 동일한 업무장소에서 근무하고 있어 중요정보 유출, 부주의, 관리소홀 등으로 인한 사고 발생 우려가 있다.

<조치할 사항>

따라서 회사는 서비스품질 평가 시 업무실적을 객관적·정량적으로 확인

할 수 있도록 외주업체로부터 관련 자료를 제출받고 이에 근거하여 품질 평가를 실시하며, 동 평가결과에 따라 적정한 조치를 할 수 있도록 IT부문 외부 주문 관련 개선방안을 마련하시기 바랍니다.

또한, 상주 외주인력의 업무장소를 칸막이, 별도 공간 등 외부에서 인지

가능한 수준으로 분리하여 접근통제 등의 내부통제가 적절히 이루어지도록 운영하시기 바랍니다.

(6) 오픈소스 프로그램 관리 통제 불철저

회사는 검사 착수일(2024. 6. 3.) 현재 전산시스템 개발 등 업무용 오픈

소스 프로그램을 도입·운영하고 있다.

하지만 오픈소스 프로그램의 사용에 대해 관리주체, 활용, 통제 절차

등 관리체계를 마련하고 있지 않고, 오픈소스 사용 현황 및 라이선스 준수 여부 등에 대해 정기 점검하는 절차도 마련하고 있지 않아 오픈소스 프로그램 관련 운영리스크*가 발생할 우려가 있다.

* (보안 리스크) 공개된 소스코드로 인한 중요 취약점 노출, 패치 무결성 훼손 등

(법적 리스크) 오픈소스 라이선스 사용 저작물의 상업적 이용, 고지 의무 등

<조치할 사항>

따라서 회사는 오픈소스 프로그램에 대한 라이선스 정책 준수 여부 등을

정기적으로 점검하는 등 오픈소스 프로그램 사용에 대한 도입, 활용, 유지 보수에 대한 운영·통제를 강화하고 오픈소스 프로그램 운영리스크에 대한 관리 절차를 마련하시기 바랍니다.

(7) 프로그램 테스트 데이터 변환 관리 불합리

회사는 내규 ｢기술적정보보호지침｣에 따라 응용프로그램을 테스트하는 경우 ‘테스트 데이터 변환 시스템’을 활용하여 개인신용정보를 비식별화 처리 후 사용하고 있다.

하지만 내규에 테스트 데이터의 비식별화 항목 지정, 데이터 사용기간

등에 대한 구체적인 기준 및 절차가 마련되어 있지 않다.

이에 따라, 업무 담당자가 동 변환 시스템에서 비식별화할 개인신용정보

항목을 임의로 선택·변경하여 식별 가능한 상태로 사용하거나, 테스트 데이터를 사용한 후 즉시 삭제하지 않고 방치할 우려가 있다.

<조치할 사항>

따라서 회사는 내규에 테스트 데이터 변환‧활용‧ 삭제와 관련하여 비식

별화 항목 지정 등 구체적인 기준·절차를 마련하시기 바랍니다.

또한, 업무 담당자가 임의로 비식별화 항목 및 규칙을 변경할 수 없도록

테스트 데이터 변환 절차를 수립·운영하는 등 체계적으로 업무가 수행되도록 개선하시기 바랍니다.

(8) 일괄작업 통제 관리 불합리

회사는 내규 ｢기술적 정보보호지침｣ 및 ｢일괄작업 절차서｣에 따라 일괄

작업 수행 시 작업계획서 작성 및 책임자 승인을 받고 있고 오류 발생 시에는 책임자 확인을 거치고 있으며, 일괄작업 개발·폐기 및 장애 상황 등에 관한 기준을 마련하여 이를 준수하고 있다.

하지만 일괄작업을 즉시 실행해야 하거나 야간 작업이 필요한 긴급‧ 예외 상황에

대해서는 내규에 일괄작업 수행 대상 및 절차를 별도로 규정하고 있지 않다.

또한, 검사대상기간 동안 실행된 긴급 일괄작업 중 일부는 책임자가

제대로 확인하지 않은 상태에서 승인*이 되었을 우려가 있으며, 긴급작업 원인 및 조치내용을 간략하게 작성**하고 있어 긴급 일괄작업에 대한 적정성 확인이 적절히 실시되지 않을 우려가 있다.

* 신규 일괄작업 프로그램 도입 이후 재수행 작업(총 ○○○건) 중 약 ○○%(○건)는

○○계 작업 등의 사후결재 수행 건으로, 작업일로부터 ○영업일이 지나면 시스템 상

자동으로 책임자 결재가 완료되어 실제 책임자 확인여부를 알 수 없음

** 일괄작업 프로그램에 작업내용 등 세부사항을 기재하지 않고 배치파일명 수준으로만 작성

<조치할 사항>

내규에 긴급‧예외 일괄작업 대상 및 관련 절차 등을 마련하고, 긴급

일괄작업의 사후 승인이 자동으로 처리되지 않도록 책임자 확인 및 승인 절차를 개선하며, 긴급작업 원인 및 조치내역을 충실하게 기록·관리할 수 있도록 내규를 개정하는 등 실효성 있는 운용방안을 마련하시기 바랍니다.

(9) 정보처리시스템 성능관리 미흡

회사는 내규 ｢기술적 정보보호지침｣ 및 ｢금융IT 안정성 강화 기준｣에

따라 전체 정보시스템을 성능관리 대상으로 정하고 CPU, 메모리, 스토리지, 네트워크의 임계치를 설정하는 등 전산자원별 사용현황 및 운영 보고서를 매월 작성하고 있다.

하지만 회사는 전산자원별 상세 전산장비 목록을 마련하지 않고, 전산 자원별· 단계별* 임계치를 구분하지 않아 전체 정보처리시스템에 일괄 적용** 하고 있으며, 성능 관련 시스템 장애 예방을 위한 각 단계별 대응 방안도 수립 하고 있지 않다.

* 정상, 주의, 경계, 심각 등 4단계 구분

** (예시) 모든 업무에 대해서 CPU 임계치를 70% 미만이면 정상으로 판단

<조치할 사항>

따라서 회사는 시스템 용량 부족으로 인한 서비스 장애를 방지하기 위해

업무 특성을 고려하여 전산자원별·단계별 성능 임계치를 구분하시기 바랍니다.

또한, 임계치가 경계·심각 단계 도달 시 책임자 보고 및 즉각적인 조치가

이루어질 수 있도록 절차를 마련하시기 바랍니다.

(10) 보안성 심의 절차 관리 미흡

회사 내규 ｢ 자체 보안성 심의 및 검토 절차서｣ 에 의하면 신규 전자금융업무를

수행 시 사업추진부서 및 B부서(C팀)의 적정성 검토를 거쳐 보안성심의협의체의 심의 및 의결을 받아야 한다.

하지만 내규에 보안성 심의 요청의무를 사업추진부서로 한정하고 있고,

C팀은 별도의 확인 절차를 수행하지 않아 사업추진부서가 보안성 심의에 대한 검토 요청이 없을 시 신규 전자금융업무에 대한 자체 보안성 심의·검토를 누락할 우려가 있다.

또한, 내규 ｢자체 보안성 심의 및 검토 절차서｣에 보안성 심의 대상에

대한 구체적인 기준이 없어 담당자 임의로 심의 대상을 판단할 우려가 있다.

<조치할 사항>

사업추진부서가 C팀에 정보화사업 요청시 자체 보안성 심의 대상여부를 사전

검토하고 C팀의 합의를 거치도록 절차를 개선하시기 바랍니다.

또한, 내규에 자체 보안성 심의 대상을 구체적으로 명시하고, 심의 기준에

따라 대상업무를 누락하지 않고 면밀히 검토할 수 있도록 관련 절차‧체계를 정비하시기 바랍니다.

(11) 취약점 분석평가 관리 불철저

회사는 내규 ｢ 기술적정보보호지침｣ 에 따라 전자금융기반시설 취약점 분석·

평가를 연 1회(홈페이지는 6개월에 1회) 실시하고, 최고경영자에게 조치 이행 계획을 수립하여 보고하고 있다.

하지만 조치 이행계획 대비 이행결과를 별도 추적‧ 관리하지 않아 미조치

사항이 기한 내 적정히 조치되었는지 여부를 파악하지 못하고 있다.

또한, 일부 미조치 취약점의 조치예정 기한을 반복적으로 연장하면서 장 기간 조치하지 않거나* 중요 취약점 중 일부를 사유 없이 ‘위험수용’으로 변경** 하는 등 보안 취약점 관리체계가 불합리하다.

* ○○○○(2021년 1분기 → 2023년 → 2023년 4분기로 연장 후 조치완료)

** ○○○○ ○건 (2020년 : 2025년까지 조치예정 → 2021년 : 위험수용)

※ (위험수용) 취약점 보완조치에 과도한 비용·시간이 소요될 경우, 조치하지 않고 위험을 감수

<조치할 사항>

취약점 보완조치의 이행계획 및 일정에 따라 명확히 조치되도록 사후

관리절차를 개선하고, 부득이한 사유로 취약점을 ‘위험수용’ 하거나 이행기간 연장 시 최고경영자가 해당 사유를 충분히 인지하고 승인‧결정할 수 있도록 절차를 개선하시기 바랍니다.