우리은행 금감원 경영유의사항 · 2016-12-05

경영유의사항 등 공시

1. 금융회사명 : 우리은행

2. 조치일 : 2016. 12. 5.

3. 조치내용

※ 조치내용 중 경영유의 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는

행정지도적 성격의 조치임

4. 조치대상사실

가. 경영유의사항

(1) 중장기 경영계획의 실효성 제고

◦ 2013.10.25. 10대 전략과제가 포함된 중장기 경영계획을 수립하여 추진 중이나, 이후 저금리 기조 지속, 2014.11월 금융지주회사 해체 및 2015년 이후 급속한 자산 증가에 따른 보통주자기자본비율 하락 등 대내외 금융환경 및 경영상황의 변화에도 불구하고 검사착수일 현재까지 동 계획에 대한 수정․보완이 이루어지지 않아 이의 실효성이 미흡한 상황이므로

앞으로 경기 불확실성 증가에 따른 리스크관리 강화 필요성 및 은행 자체 자본관리 강화계획 등을 반영하여 중장기 경영계획의 실효성을 제고할 필요가 있음

(2) 이사회 및 사외이사 제도 운영의 적정성 제고

◦ 최고 의사결정기구인 이사회에 대한 평가권한을 이사회내 운영위원회에 부여함으로써

이사회 및 이사회내 위원회 간의 책임과 권한이 불명확하고, 이사회내 위원회인 임원 후보추천위원회에 이사가 아닌 자가 포함되어 이사회내 위원회 제도의 운영이 불합리하며,

사외이사는 은행의 업무전반에 대한 충분한 정보를 바탕으로 의사결정을 해야 함 에도 경영계획 이행상황 등에 대한 정기보고 외에 현안사항에 대한 정보 제공이 적절히 이루어지지 않아 경영진에 대한 견제기능이 약화될 우려가 있으므로,

이사회 및 위원회의 평가방법, 위원회 구성, 보고내용 등에 관한 규정 및 절차를 보완하여 이사회 및 사외이사 제도 운영의 적정성을 제고할 필요가 있음

(3) 금융관계법규 제․개정 및 신사업 추진시 법률리스크 검토 강화

◦ 금융관계법규가 제·개정되는 경우 이를 즉시 관련내규 등에 반영하고 업무절차를

개선해야 하는데도 이를 소홀히 한 사례가 있으므로 앞으로 금융관계법규 제․개정 사항에 대한 모니터링 및 검토를 충실히 수행하는 한편,

신사업을 추진하거나 신상품을 출시하는 경우에는 잠재적 법률 리스크에 대한 사전 검토와 사후모니터링을 강화할 필요가 있음

(4) 불건전 영업행위에 대한 모니터링 제도 운영 강화

◦ 미스터리 쇼핑, 전화 모니터링 등 불건전 영업행위 방지를 위한 모니터링 업무를

각 사업본부에 일임하고 있으나 구체적인 실시기준 등이 없어 동 업무의 적정성을 담보하기 어려우므로

각 사업본부로 하여금 불건전 영업행위 모니터링 업무에 대한 구체적인 기준을 정하고 모니터링 결과를 공유하여 상호간 피드백을 실시하도록 하는 등 사후관리를 강화할 필요가 있음

(5) 개인신용정보의 제3자 제공 관련 내부통제 강화

◦ 2016.3.12. 신용정보의 이용 및 보호에 관한 법률 개정으로 고객의 자기정보 결정권

및 정보보호 강화가 필요한데도 정보제공 목적 및 범위 등이 포괄적으로 기재된 기존 동의서 양식을 계속 사용하는 등 개인신용정보 관련 업무가 적정하게 이루어지지 않을 우려가 있으므로

법 개정 취지를 반영하여 개인신용정보 제공 및 관리가 적정하게 이루어지도록 동의서 개정 및 제공현황에 대한 주기적 점검 등 관련 내부통제 절차를 강화할 필요가 있음

(6) 외부주문 내부통제 강화방안 마련

◦ 정보처리시스템 개발 유지보수 등 모든 IT업무를 전산자회사(우리FIS)에 위탁 운영

(Total Outsourcing)하고 위탁업무에 대한 내부통제 업무를 ICT내부통제팀에서 전담하여 수행하고 있으나,

시스템 운영 개발 등 위탁업무별 은행 관리책임자가 지정되어 있지 않고, 전산자료 백업 및 소산, 프로그램 변경, 담당인력 변경 등 주요업무에 대한 상시보고체계가 마련 되어 있지 않는 등 외부주문에 대한 내부통제가 미흡하게 운영되고 있으므로,

앞으로 프로그램 개발 변경, 전산기기 운영 및 보안 등 전산자회사(우리FIS) 위탁 업무별로 내부통제 담당부서를 지정하고 관련 통제권한을 부여하는 한편, 주요 업무에 대한 상시보고체계를 구축하는 등 외부주문 내부통제 강화방안을 마련하여 이행할 필요가 있음

(7) IT자체감사 강화방안 마련

◦ 고객정보보호부 내 자체감사조직(ICT내부통제팀)을 마련하여 IT부서의 주요 IT업무에

대한 상시감시 및 내부통제 업무를 수행하고 있는데,

자체감사조직(ICT내부통제팀)이 고객정보보호부 소속으로 편제되어 감사업무의 독립성을 보장할 수 없고, 전산자회사(우리FIS)에 대한 정기점검만 수행하고 은행 IT부서에 대한 IT자체감사는 실시하지 않으며, 감사계획 수립, 지적사항 분류, 결과보고 및 사후관리 절차 등에 관한 내규도 마련되어 있지 아니하는 등 IT자체감사 업무체계가 미흡하므로, 앞으로 자체감사 업무의 독립성 제고를 위하여 은행 IT부서 업무에 대한 자체감사 체계를 개선하고 관련 내규를 마련하는 등 IT자체감사 업무를 강화할 필요가 있음

(8) 정보기술부문 및 전자금융사고 예방활동 강화방안 마련 및 보고 의무 이행

◦ 기업 인터넷뱅킹 이체 장애, 개인 인터넷뱅킹 로그인 장애 등 정보기술부문 및 전자

금융 사고가 지속적으로 발생하고 있음에도

정보기술부문 및 전자금융 사고에 대한 보고기준 및 처리절차가 내규화되어 있지 않아 금융감독원에 대한 사고 보고를 누락하고 있으므로.

앞으로 프로그램 등록․변경, 일괄작업, 원장변경 등을 하고자 하는 경우 사고를 예방하기 위해 충분한 테스트 실시, 철저한 영향도 분석, 제3자 검증 강화, 책임자 승인 절차 준수 등 내부통제 강화방안을 마련하는 한편,

전자금융 사고보고 절차 등을 포함한 사고 처리 기준을 마련하여 내규에 반영하고 사고보고 의무를 철저히 이행할 필요가 있음

(9) 재해복구 비상계획의 실효성 제고

㉮ 전산자회사 인적재해 발생 대비 비상계획 강화

◦ 장애 재해 등 긴급한 상황에 대비하여 업무가 중단되지 않도록 비상계획을 마련

하고 재해복구모의훈련(연2회) 등을 실시하고 있으나,

정보처리시스템(◉◉◉◉◉ 및 ◈◈◈◈◈◈) 자산이 전산자회사(우리FIS)로 이관됨에 따라 은행은 비상상황에 대비한 시스템 접근권한이 일체 부여되어 있지 않아 전산 자회사 인적재해(파업 등) 발생시 정보처리시스템 가동 중단 등에 따라 은행의 비상 계획이 정상적으로 실행되지 못할 우려가 있으므로, 앞으로 전산자회사 인적재해 발생에 대비하여 정보처리시스템의 비상용 계정을 은행 주도적으로 운용 관리하는 등 관련 절차 및 비상계획, 시스템 등을 강화할 필요가 있음

㉯ 핵심업무 재해복구시스템 구축 관리 강화

◦ 계정계 및 인터넷뱅킹 시스템 등 주요 핵심업무에 대해서는 재해복구시스템을 구축

하여 운영하고 있으나,

재해복구대상 핵심업무 중 ◈◈◈시스템의 경우 재해복구시스템이 구축되지 않아 비상사태 발생시 고객불편 발생 등 업무연속성 확보가 미흡할 우려가 있으며,

재해복구센터의 취약점 분석 평가 업무 등은 전산자회사(우리FIS) 자체적으로 처리 하고 은행은 관리 감독하지 않아 발견된 취약점에 대한 개선․보완 등의 적절한 조 치가 누락될 우려가 있으므로,

앞으로 재해복구시스템 구축 확대 등을 통해 재해발생시 주요 업무의 신속한 복구 방안을 마련하고 재해복구센터의 취약점 분석 평가 결과에 따른 이행계획 및 조치 내역을 은행이 전산자회사로부터 보고받아 관리하는 등 재해복구센터에 대한 운영 관리 업무를 강화할 필요가 있음

㉰ 전산자료 백업 소산 및 검증 강화

◦ 천재지변, 사고 등 비상사태 발생시 정보시스템의 연속성 확보 및 신속한 장애

복구 등을 위하여 백업자료를 소산하고, 소산자료에 대한 복구훈련을 매분기 우리 FIS 주관 하에 수행하고 있으나,

소산테이프를 서울시 ◈◈◈ ◈◈◈◈◈에 보관하면서 적절한 소화설비 및 내화 금고 등을 구비하지 않은 상태로 보관 운영하고 있어 수해, 화재 등에 의해 소산자료가 유실될 우려가 있고,

소산자료의 세부명세(업무명, 파일명 등) 및 복구방법 등을 소산테이프와 함께 보 관하고 있지 않아 재해 발생시 자료복구에 차질이 발생할 우려가 있으며,

소산자료에 대한 복구훈련 시 백업 로그파일 등의 정상여부 만을 점검하고 계정계 시스템 원장 등 주요 업무에 대한 복구훈련은 별도로 실시하지 않아 비상사태 발생시 정상적인 복구가 곤란할 우려가 있으므로, 소산자료를 안전하게 보관하기 위한 시설을 마련하는 한편, 전산자료 소산 시 저장매체에 포함된 자료의 세부목록 및 복구방법 등을 상세하게 명시한 복구 매뉴얼을 보관 관리하는 등 관련 절차를 강화하고, 정기적으로 백업 데이터의 적정성 등을 확인하기 위하여 주요 시스템 및 원장 등에 대한 복구훈련을 확대 하여 실시할 필요가 있음

(10) 통신망 관리대책 강화 방안 마련

◦ 카드사업부문이 별도 법인(우리카드)으로 분사(2013.4.1.)되었음에도 우리은행과 우리 카드 계정계 및 인터넷뱅킹 시스템 등을 별도 통제장치 없이 동일 통신망에서 운 영하고 있어,

통신망 공동사용에 따라 우리은행 시스템과 우리카드 시스템간 비인가 통신이 발 생하거나 침해사고 발생시 피해가 타 법인으로 확대될 우려가 있으므로,

우리카드 등 타 법인간 통신망을 분리하거나 법인간 시스템 통제방안 등을 조속히 마련하여 이행할 필요가 있음

(11) 기술지원 종료 운영체제 사용에 따른 보안통제 강화

◦ ●●●금고, 신용리스크 관련 시스템 등 일부 시스템(총 ◯◯대)에서 기술지원이

종료된 운영체제를 사용하고 있어,

취약점 보완 및 기능개선 등을 위한 보정작업이 불가하여 신규 취약점을 이용한 해킹 및 악성코드 등에 의한 침해우려가 있으므로, 기술지원이 종료된 운영체제의 구체적인 전환추진 계획을 수립하고, 전환이 이루어 지기 전까지 강화된 보안 대책을 마련하여 이행할 필요가 있음

(12) 다세대․연립 담보대출 취급시 담보평가 및 사후관리 강화

◦ 2015.12월말 현재 다세대․연립담보대출 잔액은 ◉◉.◉조원으로 시중은행 중 최대 규모 이고, 2014년 ~ 2015년 기간중 동 대출 증가액도 가장 큰 수준으로

검사대상기간중 신규 취급한 다세대 연립담보대출(◈.◈조원)의 취급내역을 분석한 결과 대출모집인에 의한 대출취급비중(취급액의 75.0%)이 상대적으로 높고 LTV비율이 높은 대출도 많은 것으로 나타났으므로

다세대 연립담보대출의 담보가액 평가시 담보물 평가의 객관성을 제고할 수 있도록 외부 감정평가법인의 감정을 받도록 하는 등 담보평가방법을 합리적으로 개선하고, 대출모집인에 대한 관리를 강화하는 한편, 연체대출채권비율 증가 및 담보가치 하락 등으로 인해 채권회수에 어려움이 없도록 사후관리를 강화할 필요가 있음

(13) 재무구조 불량업체에 대한 사후관리 강화

◦ ㈜◉◉◉◉(대표 ◈◈◈)에게 2013.10.31. ▣▣공장 신축자금에 대한 대환대출 취급시 매출액이 급증할 것으로 예상(2013년 861억원 → 2014년 909억원 → 2015년 913억원)하고 ▣▣ 관계사와의 거래 등을 감안하여 ▣▣공장을 담보(유효가 204억원, 담보비율 53.85%)로 360억원 규모의 시설자금 대출을 취급하였으나,

동사 주거래처인 ▣▣◐◐◐의 생산기지 중국 이전, ▣▣◑◑◑◑◑의 매출감소 등으로 매출액이 급감(2013년 652억원 → 2014년 429억원 → 2015년 260억원)하여 최근 3년 연속 당기순손실(2013년 △10억원 → 2014년 △69억원 → 2015년 △45억원)이 발생하고 이자보상배율(영업이익/금융비용)도 최근 2년 연속 1.0 미만(2014년 △1.83% → 2015년 △ 2.12%)인 등 재무상태가 악화되고 있으므로 영업실적에 대한 모니터링을 강화하는 등 기존여신에 대한 사후관리를 보다 철저히 할 것이 요망됨

(14) 자금관리인 제도 운영의 적정성 제고

◦ 자금관리단 운영준칙 에 따라서 자금관리인은 여신 및 사후관리 업무 경력과 높은

윤리의식 등을 감안하여 선정하도록 되어 있는데도 실제로는 관련 직무경력이 전혀 없거나 퇴직이 임박한 직원을 자금관리인으로 선정하여 파견하는 등 자금관리인 제도 운영이 미흡한 수준이므로 자금관리인 선정시 자격요건의 적정성 점검을 강화할 필요가 있으며,

자금관리인에 대한 근태관리 및 비위행위 여부 등에 대한 감찰이 제대로 이루어지지 않고 있고, 운영경비 등 비용처리에 대한 기준도 불명확하므로 자금관리인 제도가 적

정하게 운영될 수 있도록 자금관리인에 대한 내부통제 기준을 마련할 필요가 있음

(15) 자본적정성 관리 강화

㉮ 보통주자본비율 등 규제자본비율 관리 강화

◦ 은행업감독규정 제26조, 제26조의2, 제26조의3 등에 따라 은행에 대한 자본비율

규제가 강화되어 2019년까지 보통주자본비율을 10.5% 이상 유지해야 하는 상황에서

2014.11월 우리금융지주와의 합병으로 자본비율이 크게 하락하여 자본비율 제고 대 책의 마련 및 추진이 필요한데도,

2015년중 가계대출 급증 등으로 실제 자산 증가가 사업계획상 자산 증가율 및 보통주 자본의 증가율을 초과하여 오히려 보통주자본비율이 전년말 대비 하락하는 등 자본적정성 관리가 미흡한 수준이므로

주요 자본비율에 대하여 부문별 기간별 세부 목표를 수립 운용하는 한편, 목표 달성도 및 주요 지표 추이 등을 상시 점검한 후 동 점검결과 및 사후관리계획 등을 경영진 및 이사회에 보고하도록 하는 등 보통주자본비율 등 규제자본비율에 대한 관리를 강화할 필요가 있음

㉯ 대규모 투자결정시 자본적정성 유지 정책과의 연계 강화

◦ 은행은 이사회규정 에 따라 자기자본의 100분의 1을 초과하거나 출자회사의 경영권

지배를 목적으로 하는 자본의 출자 등에 대해서는 이사회 승인을 받고 있는데,

자본비율 하락을 초래할 수 있는 해외투자 승인과 관련하여 이사회 안건에 자본비율에 미치는 영향에 대한 검토가 포함되어 있지 않는 등 주요 의사결정 과정에서 자본 적정성 유지에 대한 고려가 부족한 사례가 있었으므로

앞으로 자본 출자, 신사업 진출 등 자본비율에 유의적인 영향을 미치는 대규모 투자 결정시에는 재무적 영향을 사전에 분석하고, 의사결정과정에서 중장기 자본계획과 연계하여 투자 타당성을 평가한 후 이를 경영진 및 이사회에 보고토록 하는 등 자본 적정성 유지 정책과의 연계를 강화할 필요가 있음

(16) 내부자본 적정성 평가의 실효성 제고

◦ 은행은 리스크관리지침 에 따라 신용·시장·운영·금리리스크에 대한 위험자본 한도를

부문별로 배분하고, 한도 소진율 등 내부자본의 적정성을 분기별로 분석하여 리스크 관리위원회에 보고하고 있으나,

은행의 BIS기준 자기자본비율(규제자본)이 2019년 시행 예정인 자본규제 강화기준을 충족하지 못하는데도 신용리스크 측정 방법의 차이로 내부자본 한도소진율이 안정적으로 관리되고 있는 것으로 평가되는 것은 물론

2015년 중에는 자본비율이 전년도 대비 하락하였음에도 내부자본평가시 한도소진율이 오히려 낮아진 것으로 평가되는 등 내부자본과 규제자본 간에 괴리가 존재하므로

내부자본적정성 평가가 은행의 자본확충 필요 및 위험가중자산 관리 수준을 적정하 게 반영할 수 있도록 내부자본 측정 방법론, 위험성향 설정, 한도 배분 및 관리절 차 등을 보완하는 등 내부자본 적정성 평가 업무의 실효성 제고방안을 마련하여 운영할 필요가 있음

◦ 또한 내부자본 및 규제자본의 적정성 등과 관련한 위기상황분석시 역사적 시나리오

로 2008년 금융위기상황을 가정한 시나리오만 사용하고 있어 위기상황분석의 유효성이 미 흡할 우려가 있으므로

은행이 직면하고 있는 주요 위기상황 등 다양한 역사적 또는 가상시나리오를 활용 하는 등 위기상황분석의 실효성 제고방안을 강구할 필요가 있음

(17) 리스크관리협의체 운영의 실효성 제고

◦ 리스크관리위원회에 BIS자기자본비율 관리현황 등 중요사항에 대한 보고가 적시에

이루어지지 않아 주요 경영사항에 대한 리스크 통할 관리가 적정하게 이루어지지 않을 우려가 있으므로

리스크관리위원회가 경영계획과 리스크관리 전략, 자본관리 등 주요 경영상황에 대한 제반 리스크요인을 사전에 인지한 후 리스크 관련 주요 의사결정을 할 수 있도록 중 요 현안사항에 대한 보고를 강화하는 한편, 리스크관리심의회의 독립성을 강화하고, 권한과 책임을 명확히 할 수 있도록 위원 임명방법 및 의결사항에 대한 보고대상․절 차를 개선하는 등 관련 내규 등을 정비할 필요가 있음

나. 개선사항

(1) 비정형 자체운용 상품에 대한 리스크관리 미흡

◦ 비이자수익 창출을 위하여 ELS를 자체운영하는 과정에서 2015년 하반기부터 홍콩항셍

중국기업지수(HSCEI : Hong Kong Hang Seong China Index)가 급락함에 따라 헷지비용 증가로 인하여 손실이 발생하고 있는데,

이는 그동안 상승장에서는 대부분의 물량이 6개월 단위로 조기상환됨에 따라 헷지 구조를 6개월로 고정화하여 수익이 발생하였으나, 홍콩항셍중국기업지수(HSCEI)가 급락하면서 조기상환이 안 되어 대고객 거래(옵션매수)의 만기가 실질적으로 연장 (약 3년)됨에 따라 만기 불일치가 발생하여 이를 재헷지하는 과정에서 헷지비용이 발생한데 주로 기인하므로

앞으로 비정형 자체상품 도입․운용시에는 리스크관리를 강화할 수 있도록 다음 과 같이 내부절차를 개선하시기 바람

➀ ELS 헷지시 대고객포지션과 운영포지션간의 만기별 불일치가 발생하여 이를 재헷지하는 과정에서 손실이 발생하였음으로 이를 방지하기 위하여 버킷별(만기별) 한도를 신설할 필요 ➁ 비정형 신규상품 도입시 가상시나리오 설정 등을 통하여 극단적인 상황에서의 운용 방법론에 대한 검토 절차를 추가할 필요

➂ 상관계수 등의 방법론 변경시 극단적인 상황에서의 손실변화에 대한 검토 절차를 추가할 필요

(2) 통․폐합 대상 점포 선정기준 등 미비

◦ 최근 금융환경 변화 등에 따라 점포 신설 및 통․폐합 등 점포 효율화 작업을 추진

하고 있으나, 통․폐합 대상 점포 선정을 위한 모니터링 절차 및 평가기준이 마련 되어 있지 않으므로

영업점에 대한 정기적인 평가를 통해 점포운영전략을 수립하는 한편, 입지, 점주권의 성장성 등 정량적·정성적 지표를 합리적으로 설정하여 이를 기준으로 통·폐합 점포를 선정하는 등 점포관리기준을 체계적으로 마련하여 운영하시기 바람

(3) 비대면 요청에 의한 자금이체거래 운영방식 불합리

◦ 사전 약정에 의한 비대면(FAX 전화 요청 등) 자금이체 거래시 고객이 자동응답시스템

(ARS)을 이용하여 직접 계좌 비밀번호를 입력토록 하는 제도가 마련되어 있지 않아

비밀번호 입력을 생략하는 방식으로 업무처리가 이루어지고 있어 사고발생 위험이 매우 높으므로,

조속한 시일 내에 비대면 요청에 의한 자금이체 거래시 고객이 직접 비밀번호를 입력할 수 있는 제도를 마련하는 등 자금이체거래 운영방식을 개선하시기 바람

(4) 자체 종합검사 대상점포 선정기준 미비

◦ 종합검사 대상 영업점 선정기준을 사전에 정하여 운용하지 않고 검사실시 품의시

마다 정하고 있어 종합검사 대상 영업점 선정시 합리성과 일관성을 담보하기 곤란할 우려가 있으므로

종합검사 미수검 기간 또는 위험도 등을 반영하여 사전에 종합검사 대상 영업점 선정기준을 마련하여 운용하는 등 종합검사 대상 영업점 선정방식을 합리적으로 개선하시기 바람

(5) 고객확인제도(CDD) 운영 불합리

◦ 은행은 거래고객에 대해 자금세탁방지 관련 국제기구 등에서 정하고 있는 요주의

인물 해당 여부를 확인하고 요주의인물에 해당할 경우 그에 합당한 조치를 취하여야 하며,

금융정보분석원 고시 자금세탁방지 및 공중협박자금조달금지에 관한 업무규정

제43조에 의하면 FATF 비협조국가(◉◉, ◈◈) 국적 고객에 대해서는 “요주의인물”로 분류하고 동 고객과의 거래시에는 보다 강화된 거래절차를 취하여야 하는데도

검사기준일 현재 ◉◉ 국적 고객과의 거래시 동 고객을 요주의인물로 분류하였음 에도 단순히 “강화된 고객확인절차”(EDD) 만을 수행하는 등 고객확인제도 운영이 미흡한 실정이므로

앞으로 ◉◉ 국적 고객과의 거래시에는 거래거절 또는 고위경영진의 승인절차를 득하도록 하는 등 고객확인제도를 합리적으로 개선하시기 바람

(6) IT내규관리 효율화 방안 마련

◦ 정보처리시스템 개발 운영 등 IT업무 수행을 위한 전산규정 등 은행 IT관련내규

(총 6개)를 제정하여 운영하고 있으나,

세부업무절차를 명시한 IT실무매뉴얼(86개) 등은 전산자회사(우리FIS)에서 임의로 내규 및 세부업무절차를 제 개정하도록 운영함에 따라 은행(위탁사)의 외주업체 통제가 취약 해질 우려가 있으므로,

앞으로 은행(위탁사)이 IT실무매뉴얼 등 관련 내규를 제 개정하여 직접 업무방법 및 절차 등을 마련할 수 있도록 IT관련내규에 대한 통제절차를 개선하시기 바람

(7) IT사업 추진현황 관리 효율화 및 검수절차 불합리

◦ IT사업계획 중 취소·이월되는 사업 비율이 다소 과다하여 개발사업 지연 등으로

인해 IT업무 수행에 차질이 발생할 우려가 있으며,

계약사무지침 및 전산업무지침 등에 의하면 검수는 이행완료시 검수요청을 받은 후 14일 이내에 실시하여야 하는데도,

검사대상 기간중 검수기한을 14일 이상 초과하여 검수가 완료된 사업이 발생하는 등 검수절차가 실효성 있게 운영되지 않고 있으므로,

앞으로 IT사업을 효율적으로 추진하기 위해 IT계획 수립시 사업 적정성 등에 대한 심사를 강화하고 사업을 취소하거나 변경할 경우 전결권자의 결재를 받도록 하는 등 IT사업추진 관리체계를 보완하는 한편, 검수업무를 투명하게 수행할 수 있도록 관련 절차 등을 개선하시기 바람

(8) 정보처리시스템 구축 관련 투자 심의 절차 불합리

◦ IT사업 추진의 타당성 검토 등을 위해 5억원 이상의 사업에 대해서는 ‘IT투자심의회’ 및 ‘전산업무심의회’의 심의․의결을 거치도록 하고 있으나 5억원 미만의 사업에 대해 서는 형식적으로 검토하는 등 투자 심의 과정이 불합리하게 운영되고 있으므로,

앞으로 IT 투자의 효율성을 제고하고 중복 투자를 방지하기 위해 부서장 전결금액인 2억원 이상의 정보처리시스템 구축 사업에 대해서도 ‘IT투자심의회’ 등의 심의․의결을 거치도록 하고 투자 심의 과정의 객관성 확보 방안을 마련하는 등 투자 심의 절차를 개선하시기 바람

(9) 전산기기 반 출입 관리업무 불합리

◦ 전산센터 등 주요 통제구역에 대한 출입통제 및 소지품에 대한 X-ray검색 등을 실시

하고 전산기기의 반 출입을 통제하고 있으나,

검사대상 기간중 노트북 등 전산기기 반 출입 수량이 ◯◯◯대에 달하고 있음에도, 관리내역을 수기로 관리하고 있어 비인가 전산기기의 반입 등으로 인한 사고발생 우려가 있으므로,

앞으로 전산기기 반 출입 업무를 전산화하고 반 출입 전산기기를 최소화하는 등 반 출입 관리업무절차를 합리적으로 개선하시기 바람

(10) 정보처리시스템 추가인증 적용 미흡

◦ 정보처리시스템 접속시 계정관리시스템을 통하여 사용자별 접근권한 통제, 접근

기록 보관 및 추가인증을 적용하고 있으나,

검사착수일 현재, 일부 정보처리시스템의 경우 추가인증 프로그램이 미적용 되어 있어 운영체제 계정에 대한 사용권한, 접근기록, 작업 내용 등에 대한 상시 모니 터링이 누락될 우려가 있으므로,

앞으로 전체 정보처리시스템에 대해 계정관리시스템을 적용할 수 있도록 관련 시스템 및 절차를 개선하시기 바람

(11) 고객계좌정보 암호화 대책 불합리

◦ 고객계좌정보 등의 주요 정보를 보호하기 위하여 암호 알고리즘(◯◯◯◯ 등)을

적용하여 사용하고 있으나,

◉◉◉◉ ◉◉ 시스템 등 일부 시스템(총 ◯개)에서 국가권고수준이하의 보안강도를 가진 암호 알고리즘을 사용하고 있어 주요 정보 유출시 쉽게 노출될 가능성이 있으므로,

앞으로 국가에서 권고하는 수준 이상의 기밀성을 갖춘 암호 알고리즘으로 변경 계획을 수립하여 조속히 이행하는 등 암호 알고리즘의 보안강도를 제고하시기 바람

(12) 임직원 단말기 망분리 예외승인 운영 불합리

◦ 해킹 등 전자적 침해행위로부터 내부통신망을 보호하기 위하여 본점 영업점 등

임직원 단말기에 대한 망분리 구축을 완료하였으나,

본점 영업점 등 임직원 단말기에서 업무상 외부통신망 사용이 필요한 경우 일부 인터넷 사이트(◉◉◉◉◉ 등 ◯개)에 대한 접속을 허용하고 있어, 외부통신망 연결 등을 통한 악성코드 감염 및 정보유출의 우려가 있으므로, 앞으로 본점 영업점 임직원의 내부 업무용 단말기 등 내부통신망에서 외부통신망 과의 연결이 불가피한 경우에는 정보보호위원회의 승인을 득한 후 사용토록 하는 등 관련절차를 철저히 이행하시기 바람