동양생명보험주식회사 금감원 경영유의사항 · 2016-10-13

경영유의사항 ·개선사항 공개안

1. 금융기관명 : 동양생명보험㈜

2. 제재조치일 : 2016. 10. 13.

3. 제재조치내용

제재대상

제재내용

기 관 경영유의사항 7건, 개선사항 12건

4. 제재대상사실

가. 경영유의사항

(1) 경영진 등에 대한 합리적인 성과평가 및 보상체계 마련

경영진을 비롯한 조직의 성과평가 및 보상 기준을 사전(평가기간 이전)에 설정함으 로써 동 기준에 따라 공정한 평가가 이루어지도록 하고, 일시적이고 비경상적인 이익 보다는 회사의 내재가치 등 장기적인 성과가 반영되도록 평가기준을 설정하는 것이 적 정함에도

회사는 2014년도 경영진 및 조직에 대한 성과평가 및 보상을 실시하면서, 경영진에 대하여는 평가대상기간 종료 이후에 기준을 마련(2015.1월)하여 평가 및 보상을 실 시하였고, 조직(팀업적)에 대하여는 연초에 설정한 평가지표(KPI) 등에 의하지 않고 CEO의 판단에 따라 조직성과가 전적으로 결정되었으며,

부동산 매각이익 등 비경상적인 이익을 성과에 반영하여 경영진 성과평가를 실시하는 등 성과기준을 불합리하게 운용한 사실이 있으므로,

향후 경영진 및 조직 성과평가시 당기순이익 등 단기성과 이외에 내재가치(EV) 등 장기성과를 반영하여 평가할 필요가 있으며, 대상기간 이전에 평가방법을 설정 하고 평가방법 변경과 관련한 합리적인 절차를 마련하는 등 성과평가 제도를 객관적이 고 투명하게 운영할 필요가 있음

(2) 부동산 임대차 관리업무 철저

회사가 2014.7.4. ○○○○㈜의 법정관리로 인한 회생계획의 일환으로 체결한

‘임대차 변경 및 운영권 처분 등에 관한 합의서’에 따르면 ○○○○(주)가 운영하는 골프장을 기존 회원제에서 대중제로 전환하는 조건으로 골프장의 임대료 변경 등 임대차조건 변경에 합의하였고 이후 지자체로부터 대중제 전환을 승인 받았으나,

골프장의 종전 회원들이 여전히 회원 권리 일부를 영위(이용료 할인) 하는 등 ○○○

○㈜가 합의서 전제조건을 이행하지 않고 있는 것으로 보이고 이러한 사항은 향후 골

프장의 자산가치(매각가치 및 수익성) 등에 영향을 미칠 수 있는 사항으로 판단되는 바, 대 중제 전환여부 등 골프장 운영과 관련한 점검 및 관리를 철저히 할 필요가 있음

(3) 최저보증이율 관련 리스크관리 강화

회사는 최저보증이율 결정시 향후 금리역마진에 의한 재무건전성 악화, 금리하락 위험, 수익성 등을 고려하여 결정하고 책정된 이율의 적정 여부를 주기적으로 점검하여 최저보증이율로 인한 리스크를 최소화하기 위한 의사결정을 하여야 하는데도,

총 3회(2013.1월, 2014.7월, 2015.3월)에 걸쳐 양로보험에 대한 최저보증이율의 적 정성을 평가하면서 평가시점의 최저보증이율로는 금리역마진이 예상되었음에도 최장 5 개월 동안 동 이율을 조정하지 아니하는 등 최저보증이율 관리가 미흡하므로,

최저보증이율이 수익성 및 금리리스크, 내재가치 측면에서 적정 수준인지에 대해 주기적으로 분석하고 그 결과를 리스크관리위원회 등에 보고하여 최저보증이율 결정 관련 의사결정이 신속히 이루어질 수 있도록 함으로써 최저보증이율로 인한 리스크가 확대되지 않도록 관리를 강화할 필요가 있음

(4) 상품 수익성 관리 강화

회사는 신상품 개발 및 약관(이율) 변경 등 상품 개정시 사전에 수익성을 분석하고 손실이 예상될 경우 상품전략위원회에 보고하여 최종 판매여부를 결정하고 있으나,

판매 후 상품 개정전까지는 별도로 수익성을 분석하지 않고 있어 장기간 분석이 이 루어지지 않을 경우 수익성 악화가 지속될 수 있으므로,

상품판매 후에는 해당 상품의 수익성을 정기적으로 분석하여 손실여부를 모니터링하 고 필요시 상품 개정 등의 조치를 취하는 등 관련절차를 개선할 필요가 있으며,

수익성 분석결과 상품 판매여부를 결정함에 있어 객관적인 기준에 의거 합리적인 의사결정이 이루어 질수 있도록 예상손익 분석, 손실한도를 설정하여 운영하는 등 보험상품의 수익성 관리를 강화할 필요가 있음

(5) 자산운용에 대한 내부통제 강화

보험회사는 선량한 보험자산 관리자로써 그 자산을 운용하기 위해 자산운용 관련 내부통제 체제를 적정하게 구축하고 운영하여야 하는데도

자산운용총괄임원이 리스크관리담당임원(CRO)을 겸직하고 있어 자산운용부서에 대한 견제 및 리스크관리 기능이 훼손될 가능성이 있고, 자산운용 계획수립, 자산배분, 운용 실적 평가 등이 주요 업무인 재무기획팀이 유가증권 투자, 투자일임계약 체결 등 운용업 무도 병행하고 있어 운용실적에 대한 객관적 평가 및 사후관리 기능이 저하될 가능성 이 있으며,

유가증권 및 신종 금융투자상품(대체투자, 외화투자, 구조화자산 등)에 대하여는 독 립적인 심사부서의 검토의견 없이 투자팀이 작성한 보고서를 토대로 투자위원회에서 투 자여부를 결정하고 있어 수익성과 리스크를 객관적으로 평가하는데 한계가 있고,

손실의 객관적 측정 및 확대방지 등을 위해 손절매의 최종 의사결정은 리스크 관리위원회 등 전담부서가 담당하는 것이 타당함에도, 리스크관리규정에는 자산운용부서 가 손절매 관련규정을 관리하도록 되어 있고, 자산운용 규정에는 자산운용부서가 주 관하는 투자위원회가 손절매 유예여부에 대한 최종 의사결정을 하고 있어, 손실관리 에 대한 내부통제 기능이 제대로 작동하지 않을 가능성이 있으므로,

자산운용업무와 리스크관리업무 겸직으로 인한 이해상충 문제를 해소하고, 리스크 관리위원회 등 전담부서가 리스크관리와 관련한 규정 제개정권을 갖도록 하는 등 리스 크관리부서의 독립성을 강화하는 한편,

자산운용조직과 실적평가 조직을 분리하고, 개별 투자에 대해서는 투자팀 이외 별도 의 부서가 심사토록 하는 등 자산운용과 관련한 내부통제를 강화할 필요가 있음

(6) IT부문 감사 기능 강화

감사팀은 검사대상기간(2011.3.26. ~ 2015.7.16.) 중 IT부문 정기감사를 총 3회 실시하였으나 2014년도는 IT감사를 미실시하였고

2015년도 IT부문 정기감사는 당초 시스템운영 및 정보보안 등 전반적인 업무를 대상 으로 수행할 계획이었으나 실제로는 시스템운영의 경우 ○○○○ 관리의 적정여부만 대상으로 하는 등 특정 분야 위주로 감사를 실시하였으며, IT부서는 IT자체감사자가

지정되어 있지 않아 IT자체감사를 실시하지 않았으므로

감사팀은 IT부문 전반에 대한 정기감사를 수행할 수 있도록 감사기간 및 대상의 확대가 필요하며, IT부서는 IT자체감사자를 지정하여 자체감사를 실시하는 등 실효성이 있도록 IT감사기능을 강화할 필요가 있음

(7) ○○○시스템 내 ○○○○ 암호화 미적용에 따른 보안대책 강화

기간계, 정보계 및 대외계시스템 내 ○○○○는 암호화하여 보관하고 있으나

○○○시스템 내 ○○○○○○ 등 ○○○○는 암호화하지 않은 상태로 보관하고 있어

○○○○의 유출 가능성이 있으므로

○○○○의 암호화 적용 시까지 ○○○○가 유출되지 않도록 DB 관리자 작업 및

일괄 작업내역을 철저히 점검하고, 테스트 후 테스트 자료에 대한 삭제여부를 즉시 점검하는 등 보안대책의 강화가 요구됨

나. 개선사항

(1) 투자부동산 회계처리 불합리

회사는 2014.7.4. ⃝⃝⃝⃝㈜의 법정관리로 인한 회생계획의 일환으로 체결한 ‘임 대차 변경 및 운영권 처분 등에 관한 합의서’에 따라 동 골프장의 운영권을 보유하 고 있는 ⃝⃝⃝⃝㈜에게 투자부동산에 대한 매각보상금을 지급하도록 합의하였으나,

재무상태표 등에 상기 보상금 내용이 반영되어 있지 않으므로, 동 사항을 재무상태 표의 주석사항에 기재하는 등 이를 명확히 할 필요가 있고

또한, 상기 투자부동산은 골프장 소유권과 운영권이 분리되어 있어 일반적인 골프 장과 달리 부동산 가치가 보다 보수적으로 평가될 필요가 있으므로,

향후 위 부동산에 대한 평가시 운영권 분리된 사항이 고려되어 합리적으로 평가 될 수 있도록 관련 업무를 개선하시기 바람

(2) 변액유니버셜보험 추가납입기능에 대한 안내절차 미흡

회사는 변액유니버셜보험 기가입자의 경우 동일한 유형의 보험을 신규로 가입하 는 것보다 유지중인 보험의 추가납입기능을 활용하는 것이 계약자에게 유리함에도

이러한 추가납입기능에 대하여 계약자에게 적극적으로 안내하고 있지 않으므로, 중복계약으로 인한 소비자피해가 발생하지 않도록 설계사에 대한 교육을 강화하 고, 보험계약을 유지중인 계약자가 추가로 보험에 가입할 경우 신규 계약에 따른 사 업비 부담, 추가납입기능의 장점 등을 구체적으로 안내할 수 있도록 보험상품 비 교안내문 및 해피콜 스크립트 등을 개선하시기 바람

(3) 장해보험금 심사업무 불합리

회사의 보험약관 별표 재해분류표에는 “질병 또는 체질적 요인이 있는 자로서 경미한 외부요인에 의하여 발병하거나 또는 그 증상이 더욱 악화된 경우에는 보험금을 지급하지 아니한다고 규정”되어 있으나, ‘경미한 외부요인’에 대한 내부 기준 또는 해석이 없어 동일한 외상기여도임에도 장해보험금 지급비율이 달리 적용된 사례가 있 으므로

보험약관에서 정하고 있는 ‘경미한 외부요인’에 대하여 객관적이고 합리적인 해석 및 합의 기준을 마련하는 등 보험금 심사 업무를 개선하시기 바람

(4) 소송준비금 적립기준 및 미발생손해액 산정업무 미흡

(가) 소송준비금 적립기준

회사는 소송 계류 중인 보험계약의 지급준비금에 대하여 보험사고별로 소송준 비금을 적립하면서 소송 계류 중인 보험계약에 대하여 승소 가능성 및 적립액 등을 객관적인 판단기준 없이 소송 담당자가 임의로 정하고 있으므로 소송관련 지급준비금을 합리적으로 적립하기 위하여 승소 가능성 등을 고려한 적립기준을 마련하는 등 업무절차를 개선하시기 바람

(나) 미보고발생손해액 산정업무

회사는 미보고발생손해액(이하 “IBNR”)을 추산하면서 결산월(‘13.3월, ’13.12월,

2014.12월)의 보험금 지급비율이 평월 대비 7%p 낮게 나타나고 있으나, 이러한 보험 금 지급추세를 감안하지 아니하고 단순 추산함에 따라 IBNR이 부적정하게 산출될 우려가 있으므로

보다 정확한 IBNR 산정을 위해 회사의 지급보험금 속성 및 경험실적을 고려하 여 합리적인 추산방법을 마련하는 등 관련 업무절차를 개선하시기 바람

(5) ○○○시스템 등의 사용자계정 ○○○○ 암호화대책 미흡

○○○시스템 계정관리 및 ○○○○○시스템의 사용자 계정 ○○○○에 대하여

보안 강도가 미약한 암호화알고리즘에 의해 암호화하고 있어 해킹 등에 의해 동

○○○○의 노출 가능성이 있으므로

앞으로 국가에서 권고하는 보안 강도 이상의 암호화알고리즘을 적용하여 동

○○○○를 암호화하시기 바람

(6) 내부망 내 운영 및 개발 서버 분리용 방화벽 룰 관리 불합리

내부망 내 운영 및 개발서버 사이의 네트워크 접근을 통제하기 위하여 방화벽을 구축 운영하고 있으나, 동 방화벽 룰 설정시 개발 서버에서 운영서버로의 과도한 접근을 허용하고 있어 불법 접근에 의한 고객정보 등의 유출 가능성이 있으므로

앞으로 개발서버에서 운영서버로의 접근 필요시 특정서비스에 의해 특정서버로만 접근이 가능하도록 방화벽 룰을 설정 운영하시기 바람

(7) 주요 서버에 대한 원격접속 관리 불합리

야간 또는 휴일에 정보시스템 장애 및 배치작업 오류 발생시 신속한 조치 등을 위해 가상사설망을 통해 외부에서 회사 내부 주요 서버로의 원격접속을 허용하고 있으나

원격접속 사용자계정이 ○○○○ 접속 및 IT유지보수 목적으로 IT인력 ○○명에게 과다하게 발급되어 있어 동 계정 노출 등에 의한 불법접근이 우려되므로 앞으로 장애 및 배치작업 오류 발생시 신속한 조치를 위한 접속만을 허용하는 등 원격접속 사용자계정을 최소한으로 부여 운영하시기 바람

(8) 내부정보 유출방지 대책 미흡

(가) 내부정보 유출방지 등을 위해 PC 보안관리시스템을 도입 운영하고 있으나 일부 시스템은 강제설치 기능을 적용하지 않고 있으며 동 시스템의 설치현황을 관리하지 않고 있어 내부정보의 유출 가능성이 있으므로

앞으로 상기 시스템이 미설치된 PC는 네트워크접근통제(NAC) 기능 등을 활용 하여 설치를 강제화하여 설치현황을 관리할 수 있도록 하고

(나) 사내 그룹웨어를 통해 사외로 메일 발송시 ○○○○가 포함된 파일을 첨부할 경우 자료유출방지솔루션에서 메일 발송을 차단하고 있으나 파일에 ○○○○를 설정하는 방법 등으로 우회할 경우 메일 발송이 차단되지 않고 있으며 본점부서 이외의 영업점은 ⃝⃝⃝ 등 사외 포털사이트 메일접속을 허용하고 있어 내부정보의 유출이 우려되므로

앞으로 사내 그룹웨어를 통해 사외로 메일 발송 시 비밀번호가 설정된 첨부파일에 대해서는 승인결재 후 메일 발송하고 영업점에서도 사외 포털사이트 메일접속을 차단하는 등 외부메일 발송통제를 강화하시기 바람

(9) 전자금융거래 장기 미이용자 관리 불합리

전자금융거래 1년 이상 장기 미이용자에 대한 전자금융거래 해지 등의 조치가 이루어지고 있지 않아 본인인증수단 도용 등에 의한 금융사고 발생의 우려가 있으므로

앞으로 전자금융거래 장기 미이용자에 대해서는 사전에 향후 이용여부 등을 통지한 후 전자금융거래 해지조치를 취하는 등 관련 시스템 및 제도를 개선하시기 바람

(10) 스마트워크 보안대책 미흡

임직원 등의 스마트워크를 위한 총 4개의 스마트폰 앱서비스 운영과 관련하여

외부망에서 중립구간(DMZ)으로 접속하는 스마트워크용 웹서버를 홈페이지와 동일한 중립구간에 설치·운영하고 있어 홈페이지 웹서버 등을 경유하여 스마트워크용 웹서버가 악성코드에 재감염될 우려가 있고

모바일 오피스와 모바일가상화는 ○○이 미적용되어 있으며 모바일 오피스는 통신구간 ○○○가 적용되지 않아 해킹 등을 통해 홈페이지의 ○○○○ 등의 유출 가능성이 있으므로

앞으로 동 스마트워크용 웹서버를 침입차단시스템 등에 의해 분리된 별도의 중립구간에 설치·운영하고, 스마트워크용 ○○ 및 통신구간 ○○○ 솔루션 적용이 누락되지 않도록 시스템을 개선하시기 바람

(11) 전산장비에 대한 인터넷주소 관리 불합리

중립구간(DMZ) 내의 전산장비와 인터넷망과 연결되는 1차 방화벽 앞에 설치

되어 있는 통신장비에 대하여 ○○○○를 부여·사용하고 있어 외부에서 동 전산장비에 대하여 직접적인 ○○○○ 가능성이 있으므로

앞으로 중립구간 등에서 ○○○○를 사용하고 있는 전산장비에 대하여 ○○○○를 부여·운영하시기 바람

(12) 재해복구시스템 구축‧운영 불합리

고객관리, 방카슈랑스, 계약보전, 상품 등 ○○개 주요업무는 재해복구시스템을 구축 하여 운영하고 있으나 인터넷을 통해 ○○○○ 및 ○○ 등을 처리하는 홈페이지업무는 고객과 밀접한 관련이 있음에도 재해복구시스템이 구축되어 있지 않아 화재 등 재해발생시 업무의 연속성 결여로 고객에게 불편을 초래할 수 있으므로

앞으로 재해발생 시에도 인터넷을 통해 고객관련 업무를 지속적으로 처리할 수 있도록 홈페이지업무에 대해서도 재해복구시스템을 추가로 구축·운영하시기 바람