롯데손해보험주식회사 금감원 경영유의사항 · 2025-08-13

경영유의사항 공개안

1. 금융회사명 : 롯데손해보험주식회사

2. 제재조치일 : 2025. 8. 13.

3. 제재조치내용

4. 제재대상사실

가. 경영유의사항

(1) 정보 처리 업무 위수탁 관리 강화 필요

보험회사는 ｢금융기관의 정보처리 업무 위탁 등에 관한 규정｣(이하 “정보처리 위탁 규정”)에 따라 정보처리 위탁에 관한 반기 현황을 금융감독원장에 보고해야 하고, ｢ 개인정보보호법｣에 따라 정보주체가 언제든지 쉽게 확인할 수 있도록

위탁하는 업무의 내용과 수탁자를 인터넷 홈페이지에 게재해야 한다.

따라서 롯데손해보험㈜(이하 “회사”)는 금융거래정보 처리를 외부에 위탁하고 있으므로 정보처리 위탁 현황 보고, 홈페이지 게재 등 업무를 수행하기 위해 정보처리업무 위․수탁 계약 및 수탁업체 현황 등을 총괄하는 업무부서를 지정하여 보고 및 공개 등 업무가 누락되지 않도록 관리했어야 한다.

하지만 회사는 정보처리업무 위․수탁 관련 총괄부서를 지정하지 않고 경영기획, 준법감시 등 각 부서에서 필요할 때마다 관련 업체 정보, 계약내용 등을 업데이트 하는 방식으로 관리하는 등 소홀하게 업무를 처리하였다.

이에 따라 2019. 12. 17. ~ 2024. 10. 19. 기간 중 Ⓐ, Ⓑ, Ⓒ 등 107개 업체(중복 포함)에 259건(계약 갱신 포함)의 정보 처리 업무를 위탁하면서 정보처리 업무 위탁 현황보고를 누락하고, ｢ 개인정보보호법｣에 따른 홈페이지 게재사항을 최소 14일에서 최대 1,675일

(계약체결일 이후 홈페이지 게재일까지 기간)까지 지연하여 공시(14건)1)하거나 미공시(2건)2) 하는 결과가 초래되었다.

1) Ⓓ(현장출동 서비스), Ⓑ(콜접수 업무) 등 14개 업체

2) Ⓔ(광고), Ⓕ(임직원 교육업무) 등 2개 업체

또한, 회사는 정보 처리업무 위탁계약 체결 이후 수탁자에 대한 자체점검 및 현장 점검*이 적절히 이행되지 아니한 경우가 있었다.

* ｢개인정보보호법｣등에 따른 위탁자의 수탁자에 대한 감독업무를 수행하기 위해 회사는 자체 점검(상반기) 및 현장점검(하반기)을 실시

<조치할 사항>

회사는 동일‧유사 사례가 재발하지 않도록 위․수탁 계약 관련 업무 총괄부서를 지정하는 등 정보처리 업무 위수탁 관리를 강화할 필요가 있습니다.

(2) 용역계약 등 계약사무업무 관리 강화 필요

회사는 계약사무업무와 관련하여 공정한 계약의 체결, 법률상 문제 발생 가능성 방지 등 계약체결의 적정성을 높이기 위해 내규 ｢계약관리규정｣에서 계약의 방법 및 절차 등을 규정하고 있다. 하지만, 회사 총무팀 등은 다음과 같이 ｢계약관리규정｣을 미준수하거나 계약업무를 미흡하게 수행하였다.

(가) 계약체결 방식 관련

회사 내규 ｢계약관리규정｣에 따르면 계약 체결시 원칙적으로 일반경쟁입찰 방식 으로 체결해야 하고, 예외적*으로 지명경쟁입찰 또는 수의계약 방식으로 체결할 수 있다.

* [지명경쟁입찰] 계약의 성질 또는 목적에 의하여 특수한 설비, 기술, 자재, 물품 또는 풍부한 신용과 실적있는 자가 아니면 계약의 목적을 달성하기 곤란하다고 인정되는 때, 수의계약에 의할 수 있는 경우 등

[수의계약] 계약의 성질 또는 목적상 특정인의 기술, 용역, 설비 등으로 경쟁을 불허하거나 현저히 유리한 가격으로 할 수 있을 때, 긴급하여 시간이 없거나 기타계약의 성질 또는 목적상 수의계약이 불가피할 경우, 예정가격이 5,000만 원 이하인 계약을 체결할 때 등 하지만 회사는 2019. 12월경 임직원 이러닝(e-learning) 교육 업체를 변경하면서 계약의 성질과 목적상 수의계약에 부합하지 않음*에도 Ⓖ와 임직원 이러닝 교육 서비스 계약을 수의계약으로 체결하였다.

* 회사는 계약의 성질 또는 목적상 경쟁을 불허하는 계약이며 긴급하여 시간이 없는 계약이었다고 주장하나, 통상 이러닝 교육은 프로그램 개수, 접속자수, 가격 등을 판단하여 결정함에 따라 다수의 회사에서 경쟁입찰로 업체를 선정중이며, 기존 업체 Ⓗ의 교육서비스 제공불가 통보일 (2019.10월중)부터 업체 선정시까지 최소 40일 이상의 기간이 있었으므로 경쟁입찰이 불가능할 정도의 긴급한 상황도 아니었음

그리고 2020년 하반기에는 알림톡 서비스 단가 절감을 위해 용역업체를 변경1)하면서 사업비 절감 목적에 부합하지 않게2) 2020년 당시 카카오톡 알림톡 서비스 업체(최소 10개 이상) 중 6개3)만을 지명경쟁입찰 대상으로 지정하였다.

1) (기존) Ⓘ → (신규) Ⓖ

2) 타 손보사와 계약체결 이력이 있는 Ⓙ, Ⓚ가 제외되었으며, 2020년 당시 Ⓖ보다 낮은 가격으로 카카오톡 알림톡 서비스를 제공하고 있는 업체도 있었음

3) Ⓖ, Ⓛ, Ⓗ, Ⓜ, Ⓝ, Ⓞ

또한 2023. 1. 27. Ⓑ와 콜접수 용역계약을 갱신하면서, 용역내용을 추가1)하고 용역 수수료가 대폭 인상2)되었음에도, 조건 변경이 없는 단순 연장 계약이라는 사유로 수의 계약 방식으로 체결하였다.

1) 용역내용 : (2022년) 웹인 광고 콜접수 → (2023년) 웹인, 미디어 광고 콜접수

2) 용역수수료 : (2022년) 17백만원 → (2023년) 143백만원

(나) 계약서 작성 관련

상 계약서 작성을 생략할 수 있는 사유*에 해당하지

회사는 내규 ｢계약관리규정｣

아니함에도 Ⓖ, Ⓑ 및 Ⓟ 등 8개 업체와 계약을 갱신(연장)하면서 별도의 계약서를 작성 하지 아니하였으며,

* 3천만원 미만 계약, 경매에 부칠 때, 정부 등과 계약 체결시, 단가계약이 체결된 경우 등 또한, 2020. 10월 Ⓖ와 카카오톡 알림톡 서비스 계약을 체결하면서 계약서에 서비스 이용기간을 미작성*하였고, 지체상금에 관한 조항도 생략하였다.

* 동 계약서상 서비스 이용기간은 연도만 기재되어 있음(2020년 월 일∼2022년 월 일) (다) 사전감시 관련

회사 준법감시팀은 내규 ｢ 내부통제기준 운영지침｣ 에 따라 타 부서가 계약을 체결

하려는 경우 사전감시를 실시해야 하고, 동일한 조건의 갱신 계약이나 계속적인 위임 계약*에 대하여는 사전감시를 시행하지 않을 수 있다.

* 예) 개별로 체결하는 소송위임계약 및 손해사정위탁계약

하지만 2023. 1. 27. Ⓑ와 콜접수 용역 갱신 계약체결시 용역내용을 추가하고 용역 수수료가 대폭 인상되었음에도 조건 변경이 없는 단순 연장 계약으로 판단*하여 사전 감시를 실시하지 아니하였으며,

* “동일한 조건”의 의미를 계약 갱신 담당 부서에서 자의적으로 해석

또한, 카카오톡 알림톡 서비스 계약(2020. 10. 19., Ⓖ), 교육 업무 위탁계약(2023. 1. 1., Ⓟ) 등 4건의 용역계약에 대해 사전감시 예외 사유에 해당하지 아니함에도 사전감시를 시행하지 아니하였다.

(라) 예정가격 산출 관련

회사는 내규 ｢계약관리규정｣에 따라 계약의 형태와 상관없이 미리 예정가격을 정해야 하고, 수의계약의 경우에는 법령 또는 고시에 의해 가격이 통제되는 경우 등 특정한 사정이 있는 경우 예정가격을 정하지 않을 수 있다.

하지만 검사대상기간 중 용역 및 구매계약 총 355건 중 156건에 대해 예정가격을 정하지 아니할 수 있는 사유에 해당하지 않음에도 예정가격을 산출하지 아니하였다.

(마) 수의계약시 견적서 징구 관련

회사는 내규 ｢ 계약관리규정｣ 에 따라 수의계약 체결시 2개 업체 이상으로부터 견적서를

받아야 하고, 예외적으로 계약의 성질상 타인의 견적서를 징구하기 곤란한 경우 견적서를 징구하지 않을 수 있다.

하지만 광고 제작, 콜센터 접수 업무 등 계약의 성질상 타인의 견적서를 징구하기 곤란한 경우로 보기 어려운 총 7건*의 용역계약에 대하여 견적서를 징구하지 아니하였다.

* 갱신 계약이거나 광고 운영 경험이 많다는 이유로 견적서 미징구

<조치할 사항>

회사는 사업비의 합리적 집행 및 공정하고 투명한 계약사무 처리를 위해 계약 체결 목적에 따라 계약방식을 적정하게 선택하고 관련 문서에 그에 따른 사유를 명확히 기재할 필요가 있습니다.

또한, 관련 내규에 따라 계약방식 결정, 계약서 작성, 예정가격 결정, 견적서 징구 등 절차가 적절히 이행되도록 하고, 사전감시가 생략되지 않도록 내부통제 절차를 강화하시기 바랍니다.

(3) 명령휴가제도 실효성 제고 필요

보험회사는 금융사고 및 위법‧부당행위의 예방을 위해 명령휴가제도 도입 및 그 적용대상, 실시주기, 명령휴가 기간, 적용예외 등 명령휴가제도 시행에 필요한 사항을 내부통제기준에 포함하고 이를 준수해야 한다.

하지만 회사는 2020년부터 2022년 상반기까지 명령휴가를 실시하지 아니하였고,

을 마련*하였으나 매뉴얼과 달리 운영되는 등

2022년 하반기 ｢명령휴가제 업무매뉴얼｣

명령휴가제 운영이 미흡하였다.

* 2021년 경영실태평가 결과를 반영하여 2022. 7. 19. 도입

명령휴가제 운영 미흡 사례(2022년～2023년)

<조치할 사항>

회사는 명령휴가 시행시점(불시), 결과보고 시기 등을 명확하게 정의하고, 명령휴가 실시 횟수를 실효성 있는 수준으로 확대하는 등 명령휴가제를 실효성 있게 운영할 필요가 있습니다.

(4) 광고 사전심의 강화 필요

보험회사는 소비자로 하여금 잘못 알게 할 우려가 있는 광고행위를 하여서는 아니 되므로 광고 선전시 준수하여야 할 내부통제 절차를 마련‧ 준수해야 한다.

이에 따라 회사는 내규 ｢보험상품광고 관리지침｣ 을 마련하여 광고시 준수기준 및

심의절차를 규정하고, 세부적으로 광고 선전시 광고물 심의요청부서, 상품관련부서, 준법감시부서에서 각각 “광고심의점검표*”에 따라 사전심의를 하도록 규정하고 있다.

* 필수안내사항, 금지행위 등 광고 심의 시 확인하여야 할 사항을 정한 점검표

하지만 회사는 광고 제작시 특정단체의 발표 또는 통계자료 등을 인용하면서 출처나 문구를 잘못 표기하거나 통계를 자의적으로 해석하였으며, 이를 자체심의 과정에서 발견하지 못하는 등 광고심의 업무 운영이 미흡하였다.

<조치할 사항>

회사는 보험상품 광고를 심의할 때 관련 통계자료의 출처 등에 대한 정확성 검증을 강화하여 보험소비자에게 정확한 정보가 제공될 수 있도록 광고 심의업무를 철저히 할 필요가 있습니다.

(5) 위험관리위원회 운영에 관한 사항

회사 위험관리책임자 및 전담 조직은 위험관리위원회가 리스크 관련 의사결정을 올바르게 내리고 적시적‧ 효율적 대응방안을 마련할 수 있도록 위험관리와 관련한 주요

정보를 위험관리위원회에 적정히 제공하여 위험관리위원회 기능과 역할을 제고할 필요가 있다.

하지만 회사의 위험관리 전반에 영향을 미칠 수 있는 사안이 발생하였음에도 위험 관리위원회에 해당 정보가 제공되지 않은 사례*가 있었고, 이에 따라 위험관리위원회는 대응방안 수립 등 적절한 조치를 취하지 아니하였다.

* ①위기상황분석 결과와 관련된 자본관리계획 수립, ②파생금융거래 전략의 준수 여부, ③자체 위험 및 지급여력 평가시스템(ORSA)의 과제별 구축 일정 및 진행 상황, ④전자공시시스템에 공시된 금리파생상품(IRS) 관련 손실 내역 등 특히 회사는 경영 전반*의 어려움이 장기간 지속되고 이에 대한 위험관리가 미흡 하게 이루어지면서 2023. 10월 금융감독원 지도에 따라 경영 취약 요인에 대한 자체 경영개선계획을 수립‧ 제출하였음에도 해당 사실을 위험관리위원회에 보고하지 않았다.

* 퇴직연금 등 유동성 리스크, K-ICS비율 하락, 경영실태평가 저조, 대체투자 부실 등

또한 경영개선계획 제출 이후 대내외 환경의 변화 및 제도 개선 등으로 기존에 제출했던 계획을 수정해야 하거나, 분기별 이행 실적이 제출 계획에 미달하는 경우가 빈번하게 발생하였음에도 이를 위험관리위원회에 보고하지 아니하였다. 그 결과, 위험 관리위원회는 자본적정성 악화 등 상황이 지속되고 있는데도 전사적 대응방안을 마련 하거나 개선 여부를 점검하는 등 조치를 취하지 아니하였다.

<조치할 사항>

회사는 위험관리 책임자와 전담 조직이 위험관리 관련 주요 정보를 누락하지 않고 위험관리위원회에 신속히 보고하여 위험관리위원회가 대내외 리스크에 적시 대응할 수 있도록 업무체계를 정비하는 등 관련 업무를 철저히 할 필요가 있습니다.

(6) 위험률 관리 강화 필요

회사는 통계집적 기간이 5년 이상인 담보로서 담보별․산출단위별 최저 통계량 기준을 충족하는 담보는 경험위험률을 사용하는 것을 원칙으로 하고, 이에 미달하는 경우 자사위험률이나 참조순보험요율을 참조하여 보험요율을 산출하고 있다.

따라서 회사는 경험 통계 부족으로 자사위험률을 사용한 담보에 대해서는 5년 이상이 경과한 경우 통계적 충분성을 확인하여 경험위험률로 전환 여부를 결정하고, 일부 최저 통계량 등 기준이 미달한 경우라면 위험률이 적정한지 여부를 주기적으로 점검해야 한다.

또한, 참조순보험요율은 보험회사의 경험통계 등을 기초로 보험종목별․위험별 특성에 따라 보험요율 산출기관인 보험개발원이 위험률을 산출하여 금융위원회에 신고 하고 그 적정성을 주기적으로 점검하고 있으므로, 회사는 참조순보험요율이 제공된 담보에 대해서는 자사위험률을 사용하여 산출한 보험요율과 참조순보험요율을 비교 하여 보험요율의 적정성을 점검하는 것이 바람직하다.

하지만 회사는 검사대상기간 중 대상포진발생률, 경증이상 치매발생률(90일 이상) 등 자사위험률을 사용한 79건의 담보에 대해 최초 위험률 산출 이후 5년이 경과하였음 에도 위험률 산출 시 적용한 기초통계의 갱신여부와 위험률 수준의 적정 여부를 점검 하지 않은 사실이 있으며,

자사위험률을 사용하고 있는 대상포진발생률, 통풍발생률 등 13개 위험률의 경우 에는 2023. 9월 제10회 참조순보험요율에 신규 위험률로 추가되었음에도 자사위험률 과의 위험률 수준을 비교․검증하지 아니하였다.

<조치할 사항>

회사는 자사위험률을 사용한 담보에 대해 기초통계 갱신 여부 및 위험률 수준의 적정 여부를 검토하는 절차를 운영하고, 참조순보험요율과 자사위험률의 비교를 통해 위험률 수준의 적정 여부를 검토하는 절차를 마련할 필요가 있습니다.

(7) 영업조직에 대한 교육․안내 관련 내부통제 강화 필요

보험회사는 보험계약 체결을 권유하는 과정에서 보험대리점 등 보험계약 모집조직 (이하 ‘모집조직’)이 계약자에게 보험계약의 내용을 사실대로 정확하게 설명하도록 하고 모집조직의 과도한 보험계약 체결 권유 행위를 방지하여야 한다.

따라서 회사는 모집조직에 대한 교육자료와 영업 관련 메시지를 사전에 심의․ 검토하여 잘못된 사실을 오인케 하는 교육자료 등이 배포되지 않도록 적정한 내부통제 절차를 운영하여야 한다.

하지만 회사는 검사대상기간 중 객관적인 근거를 제시하지 않고 타사 상품에 비해 자사 상품의 우월성을 강조1)한 사례가 있었고, 모집조직에 대한 문자메시지 전송에

대한 내부통제 절차를 운영하지 않는 등2) 회사의 모집조직에 대한 교육․안내 관련 내부통제가 미흡한 것으로 확인되었다.

1) (예시) 2024. 5. 모집인 교육자료에 “5년납 간편보험이 업계유일이며, 총납입보험료는 업계 대비 절반”이라고 기재

2) (예시) 운전자보험 자기부담금 신설 계획이 확인되지 않는데도 “운전자 담보 자기부담금 개설 되기 전 운전자보장 준비 서두르셔야 합니다.”라고 교육자료에 기재(2023. 5.)하거나, 동 내용을 문자메시지를 통해 모집조직에게 안내

<조치할 사항>

회사는 보험계약 체결 권유의 과정에서 모집조직이 보험계약자에게 보험상품의 내용을 오인할 수 있는 내용을 전달하지 않도록 모집조직에 대한 교육․안내관련 자료 및 메시지 발신 통제 절차를 강화하고, 동 내부통제 절차가 실효성있게 작동할 수 있도록 교육 등을 통해 관련 업무를 철저히 하시기 바랍니다.

(8) 모집수수료 관리 관련 내부통제 강화 필요

보험회사가 보험모집인에 제공하는 수수료, 시책 및 해지환급금이 보험계약자가 납입한 보험료와 해지시 환수금의 합계액보다 큰 경우, 보험모집인은 일정기간 유지한 후 해약하여 차익*(이하 “차익거래”)을 남길 수 있으므로, 보험회사는 차익거래가 발생 하지 않도록 노력해야 한다.

* 보험회사 입장에서는 보험모집인이 남긴 차익만큼 재무적 손실 발생

회사는 부실계약 유입 차단을 위해 가상계좌 실입금자 정보 확인 및 통제 체계1)를 도입하였으나, 검사대상기간 중 545건(19.8백만원)의 보험계약에서 차익거래가 발생하고 이에 대한 수수료 환수 절차도 제대로 진행되지 않았으며2),

1) 가상계좌 거래 은행으로부터 실입금자 정보를 수령, 실입금자와 모집인이 일치하는 대납 의심건 (실입금자=모집인)은 수납 제한 후 입금자에게 환급 처리

2) 환수 누락(142건, 13.1백만원), 환급금 검토 누락(401건, 6.6백만원), 환수 지연(2건) 등 또한, 차익거래 점검에 대한 절차‧ 기준이 없고 환수 이력 또한 관리하지 않아 차익

발생 건의 최종 환수 여부가 확인되지 않는 등 관리상 미흡한 점도 확인되었다.

<조치할 사항>

회사는 수수료 편취 목적의 부실계약이 모집되지 않도록 과도한 수수료나 시책 지급으로 인한 차익거래 발생 가능성에 대한 사전 점검 절차를 마련할 필요가 있습니다.

또한, 차익거래 발생시 수수료 등 환수업무가 누락․지연되지 않도록 관리를 강화할 필요가 있습니다.

(9) 신용공여 관련 투자 검토 강화 필요

보험회사는 자산을 운용할 때 안정성․수익성 등을 확보해야 하고 투자검토‧ 심사와

관련된 절차를 준수해야 한다.

하지만 회사는 2023. 7. 7. 대주주인 빅튜라 유한회사가 회사를 인수하는 과정에서 발생한 중순위담보대출을 상환하고, 선순위대출약정의 대출원리금 등을 상환하기 위한 대출(이하 ”1차 대출“)을 실행하고,

2024. 10. 7. 1차 대출 대환 등을 목적으로 추가 대출(이하 ”2차 대출“)을 실행하기 위한 투자 검토 및 투자의사결정 과정에서 다음과 같이 미흡하게 검토한 사실이 있다.

(가) 채무상환 능력 평가에 관한 사항

회사는 내규 ｢ 대체투자 및 여신심사 지침｣ 에 인수금융 투자시 차주의 연도별 최소

누적 채무상환능력(DSCR)*을 평가하도록 정하고 있으므로 과거 인수금융 투자시 누적 채무상환능력 분석을 실시하고 이를 중요한 투자의사결정 요소로 활용해왔다.

* DSCR = 잉여현금/대출원리금 상환 도래액

하지만, 회사는 1차 대출 및 2차 대출시 투자 의사결정을 진행하면서 누적 채무 상환능력 평가를 실시하지 않았고, 증가된 대출금액으로 이자는 상환할 수 있다고 판단 하여 ”양호“로 평가하였다.

또한, 만기 상환방법에 대한 불확실성이 상존하므로 회사는 투자 의사결정시 상환 가능한 방법에 대해 검토를 하는 것이 바람직하다. 하지만, 회사는 차주의 상환 방법이 대환대출, 매각 등으로 제한된 상황에서 상황별 매각 가능성에 대한 분석 없이 상환 방법을 단지 “만기일시상환” 이라고만 검토하였음에도 별다른 문제제기 없이 투자를 실행하는 등 채무상환능력에 대한 평가가 미흡하였다.

(나) 채권보전 분석에 관한 사항

인수금융에 투자하는 경우 채권회수를 위해 피인수회사 주식을 담보로 설정하는 것이 일반적이나, 회사는 자사주식의 5%를 초과하는 주식에 대해서는 질권을 설정할 수 없어 별도 담보설정 없이 대출(신용)하였다.

한편 신용대출의 채권자는 채무불이행이 발생하는 경우 선순위 및 중순위 담보 대출의 채권자가 우선 담보권을 실행한 후 잔여담보물에 대하여만 제한적으로 처분이 가능하다. 또한, 채무불이행 등으로 담보권이 실행되는 상황이라면 회사 주가 하락으로 인한 담보가치 하락 가능성이 있다. 그럼에도 회사는 주식이 충분한 담보가치를 갖는

다는 것을 전제하고 담보처분시 선순위 대출을 변제하고 잔여금은 차순위에 배분된 다는 논리로 중순위 담보대출과 신용대출이 실질적으로 채권보전 효과가 동일한 것 으로 판단하였다.

(다) 투자한도 설정에 관한 사항

회사는 대체투자에서 지속적으로 손실이 발생하는 등 대체투자에 대한 리스크관리가 필요함에 따라 2024년 제3회 위험관리위원회에서 국내 인수금융에 대해 투자한도를 설정하고 대체투자에 대해서는 우량부동산 및 자산관리를 위한 출자 외에 신규로 계획 하지 않기로 결정하였다.

하지만 회사는 자산운용위원회에서 대주주에 대한 2차 대출을 실행하기로 결정 하고 난 이후 위험관리위원회에서 종전의 의사결정과는 다르게 국내 인수금융 한도를 초과하여 투자할 수 있도록 승인하여 위험관리위원회의 역할이 형해화되었다.

(라) LTV 적정성 검토에 관한 사항

시장성 있는 주식을 담보로 대출을 실행하는 경우 금융회사는 담보인정비율 (LTV)을 고려하여 투자여부를 판단할 필요가 있으며, 주가의 하락을 고려하여 담보인정 비율 기준을 설정하고 이를 초과하는 경우 담보처분 상황 발생시 손실 가능성이 높다는 사실을 투자 의사결정시 고려하는 것이 바람직하다.

하지만 투자심사팀 보고서에 따르면 담보인정비율과 관련하여 1차 대출시 담보 인정비율이 최대 94.3%, 2차 대출시 최대 99.6%에 달해 ”투자유의“로 심사의견이 제시 되었에도 불구하고, 투자심사팀장은 자산운용위원회에서 유사 사례에서 주가 하락이 투자손실로 직결되지는 않았다*며 긍정적 의견을 제시하는 등 담보인정비율에 대한 심사의견이 의사결정 과정에 적절히 반영되지 아니하였다.

* 이는 회사가 상장회사 인수금융 투자 후 주식에 대한 담보권을 실행한 사례가 없기 때문으로, 채무불이행으로 담보권을 실행하는 경우 주가는 하락하고, 이에 비례하여 투자손실이 커짐 <조치할 사항>

회사는 향후 신용공여 등 투자를 진행하는 경우 채무상환 계획 및 담보인정비율의 적정성 검토를 강화하는 한편, 검토내용이 투자의사결정에 반영될 수 있도록 자산운용 위원회를 충실하게 운영할 필요가 있습니다. 또한, 자산운용위원회에서 위험관리위원회의 결정을 넘어선 판단을 하여 위험관리위원회의 역할을 형해화하지 않도록 유의하시기 바랍니다.

(10) 부동산PF 사업성 평가에 관한 사항

부동산PF는 개발 사업 진행경과에 따라 위험이 변동하는 특성을 갖고 있으므로 보험회사는 부동산PF의 사업성을 합리적으로 평가하는 체계를 갖춰야 한다.

이에 따라 회사는 내규 ｢부동산 PF자산운용 및 리스크관리에 관한 지침｣ 등에서 사후관리 조직이 매 분기마다 부동산PF 전 건에 대하여 사업성 평가 결과를 투자자산 검토(Review Report)에 반영하고, 그 결과를 연 1회 이상 자산운용위원회에 보고하도록 정하고 있다.

하지만 사후관리조직은 부동산PF 사업장별 사업성 평가 결과를 자산운용위원회에 전혀 보고하지 아니하였으며, 사업성 평가 기준 항목인 사업비 및 사업전망 등을 최초 투자 이후에 별도로 점검하지 않아 사업성 평가를 잘못한 사례*도 발생하였다.

* [사례] ㉠ 부지 브릿지론

: 브릿지론 취급 이후 여신만기를 3회 연장하고, 대출 취급 이후 총사업비가 상당히 상승하였 으며 만기 시점에 부동산 경기 침체로 인한 본PF 조달 여부가 불투명해지는 등 사업전망이 저하되어 사업성 평가 기준상 ”유의“에 해당함에도 ”보통“으로 평가 또한 회사는 운용부서에서 사업성 평가를 실시하고 심사부서에서 사업성 평가 결과를 검토하고 있으나 이에 대한 실시 내역이나 검토결과를 보관하지 아니하였다.

<조치할 사항>

회사는 부동산 PF의 유형, 사업 진행단계, 공정 및 분양 현황, 사업비 및 사업전망 등을 면밀히 검토하여 사업성 평가를 실시하고, 평가 결과 및 검토 내역을 적절히 자산 운용위원회에 보고하는 등 부동산 PF 사업성 평가의 실효성을 제고할 필요가 있습니다.

(11) 자체위험 및 지급여력 평가체제 구축 필요

보험회사는 회사 고유상황을 반영한 리스크 관리 및 내부 자본적정성을 평가·관리할 수 있도록 “자체 위험 및 지급여력 평가”(ORSA*) 체제를 갖추어야 한다.

* Own Risk and Solvency Assessment

그러나, 회사는 2021년 금융감독원의 경영실태평가 부문검사 결과 개선의견(“자체 위험 및 지급여력 평가 체제 구축 필요”)에 따라 2021. 8월 이사회에서 2023. 2분기까지 자체 위험 및 지급여력 평가 체제를 도입하기로 결정하였음에도 특별한 사정없이 여러 차례 도입을 유예*하였다.

* 2022. 7월 이사회에서 2024. 2분기로 도입 유예, 2024. 7월 이사회에서 2026. 상반기로 도입 유예

특히, 회사는 2023. 8월 ORSA 체제 및 ALM 시스템 구축 프로젝트를 완료하였음

에도 동 체제 도입을 유예함에 따라 검사종료일 현재까지도 내부모형을 한도설정, 자본 계획, 성과평가, 배당결정 등 경영관리와 의사결정 등에 활용하지 못하고 있는 실정 이다.

<조치할 사항>

회사는 보험영업, 자산의 운용 또는 그 밖에 업무 영위과정에서 발생하는 제반 위험을 적시에 인식·측정·감시·통제하는 등 위험을 적절히 관리할 수 있도록 조속한 시일 내에 자체 위험 및 지급여력평가 체제를 도입 계획을 확정하고 계획에 따라 차질 없이 도입할 필요가 있습니다.

(12) 지급여력비율 산출시 내부통제 강화 필요

2023년부터 시가평가를 기반으로 하는 IFRS17이 전면 시행되면서 지급여력비율과 관련하여 신지급여력제도(K-ICS)도 시행되었는데, 회사는 K-ICS 도입에 대한 충분한 준비기간*이 있었으므로 동 제도에 맞추어 정확하게 지급여력비율을 산출할 수 있도록 인력․시스템을 갖추었어야 한다.

* 금융당국은 2015년 K-ICS 도입을 결정하고, 2017년부터 10여 차례에 걸쳐 국내 보험회사의 정량적 영향평가 연구(QIS)를 실시

해석1), 해약률 적용 오류2) 발생 등에 따라

하지만 회사는 K-ICS의 자의적

2023.12월말 ~ 2024.9월말 기준 지급여력비율을 실제보다 높게 산출3)한 사례가 있다.

1) 위험경감기법을 활용하여 위험경감효과를 반영하는 경우 위험경감기법을 문서화하는 등 기본 원칙을 준수하여야 하나 이를 충족하지 않음에도 불구하고 위험경감효과를 적용하였으며 지급여력비율을 산출 기준일로부터 5개월～14개월이 지난 시점에서 위험경감기법을 문서화한 후 위험경감효과를 인식해도 된다고 판단하여 수정하지 아니하는 등 지급여력비율 산출 기준을 자의적으로 해석함

2) 해약환급금 수준이 낮게 설계된 “무‧ 저해지 보험상품”에 대해서는 “일반형 보험상품”보다 경과

기간별 해약률 및 누적해약률을 낮은 수준으로 반영해야 하나 동일하게 적용

3) (사례) 검사기준일(2024. 6월말) 기준 지급여력비율 : (위험경감효과 반영시) 173.1% → (위험

경감효과 미반영시) 146.8%

<조치할 사항>

회사는 향후 유사사례가 발생하지 않도록 지급여력비율 산출 기준을 정확히 적용 하고, 지급여력비율 산출시 검증‧ 확인체계를 정비‧ 보완하는 등 내부통제를 강화할 필요가

있습니다.

(13) 리스크 한도 관리 강화 필요

회사는 특정 리스크가 편중되어 전사적 위험에 노출되는 것을 방지하기 위해 특정 리스크가 허용 한도의 일정 비율에 도달하는 경우 관련 부서로 하여금 리스크를 감소 시키도록 조치하는 “리스크 조기경보 제도”를 운영하고 있다.

동 제도는 리스크 한도 초과가 예상되는 경우 이를 적시에 파악, 의사결정기구에 보고하여 한도 초과를 사전에 방지하거나 초과시에는 이를 조기에 해소하는 것에 목적이 있으므로 담당부서는 한도 소진율을 수시로 점검할 수 있는 체제를 갖추는 것이 바람직하다.

일반․대체투자팀 등 담당부서1)는 회사 내규 ｢ 리스크관리지침｣에 따라 리스크

허용한도 초과를 방지하기 위해 한도소진율을 정기적으로 점검해야 하고, 총괄부서 (RM기획팀)는 각 리스크 유형별 허용한도 소진율이 90%2)를 초과하거나 초과가 예상 되는 경우 담당부서에 조기경보를 실시해야 한다. 또한 한도 소진율이 100%3)를 초과 하거나 초과가 예상되는 경우에는 지체없이 그에 대한 원인분석과 함께 대응방안을 마련하여 위험관리위원회에 보고하는 등 조치를 해야 한다.

1) (예) 시장리스크-자산운용부서, 금리리스크–투자전략담당부서 및 보험리스크관리부서

2) 2022년까지 한도소진율 85% 기준에서 2023년부터 90%로 기준 상향

3) 2022년까지 한도소진율 95% 기준에서 2023년부터 100%로 기준 상향

하지만 회사는 검사대상기간 중 한도 소진율이 4회에 걸쳐 ’담당부서 조기경보 실시 기준‘을 초과하였음에도 총괄부서는 조기경보를 3회* 누락하였다.

* 2021. 4분기(금리리스크), 2023. 2분기 및 2023. 4분기(시장리스크)

또한 한도소진율이 3회*에 걸쳐 ’위험관리위원회 보고 기준‘을 초과하였음에도 총괄부서는 지체 없이 보고하지 않고 한도초과 사실 확인 후 최대 2개월이 지난 시점에 보고하였다.

* 2021. 4분기(금리리스크), 2024. 2분기(운영리스크), 2023. 1분기(시장리스크) 한편, 회사는 지급여력비율 결산 업무보고서 제출 기한(분기 말로부터 2개월 경과 시점)에 맞춰 리스크 허용한도 소진율을 점검하고 있어 한도초과 여부를 적시에 파악 하지 못하는 등 조기경보 제도가 형식적으로 운영된 사실이 있다.

※ 리스크관리 역량이 우수한 은행, 타 손보사 등은 한도를 일～주 단위로 관리하며, 적어도 매월 한도상황을 점검

<조치할 사항>

회사는 리스크 한도 조기경보 체제가 실효성 있게 작동할 수 있도록 리스크 한도 점검 주기를 단축하고, 리스크 한도가 조기경보 및 보고 대상이 되는 경우 적시에 경보 및 보고를 실시하는 등 관련 업무의 실효성을 강화할 필요가 있습니다.

(14) 전자금융사고 대응 및 장애관리 강화 필요

회사는 내규 ｢장애관리지침｣에 따라 장애가 발생하면 장애등급, 발생일시, 장애 유형, 조치내용 등을 포함한 장애의 구체적인 내용을 장애관리시스템에 등록하여 관리 하고 있다.

그러나 전산장애로 인한 전자금융사고 발생 시 금융감독원에 보고해야 하는 보고 기준 및 절차를 마련하지 않았고1), 장애관리시스템에 장애등급을 기재하지 않거나 책임자 결재를 완료하지 않은 사례2)가 다수 확인되는 등 전산장애 관리가 미흡하다.

1) 대고객 서비스가 지연·중단된 전산장애의 보고 대상을 경영진으로 한정(금융감독원 미보고)

2) 전산장애 등급 기재 누락 46건, 책임자 결재 미완료 16건

<조치할 사항>

회사는 금융감독원 전자금융사고 보고 기준 및 절차를 마련하고, 장애등급 및 대고객 영향 등 장애의 주요 내용과 장애관리시스템의 책임자 승인·결재 여부 등을 주기적 으로 점검하는 절차를 마련하는 등 장애 관리를 강화하시기 바랍니다.

(15) 오픈소스 소프트웨어 관리 강화 필요

회사는 정보처리시스템의 개발·운영 시 생산성 향상과 비용 절감 등을 위해 오픈 소스 소프트웨어*(이하 “오픈소스SW“)를 도입하여 일부 시스템에 활용하고 있으며, 오픈 소스SW를 효율적으로 관리하기 위해 관리 솔루션(Sparrow SCA)을 시범 운영하고 있다.

* 오픈소스 소프트웨어 : 저작권이 존재하지만, 저작권자가 소스코드를 공개하여 누구나 자유롭게 사용, 복제, 배포, 수정, 활용할 수 있는 소프트웨어 이러한 오픈소스SW는 저작권 및 라이선스 정보의 고지, 소스코드 공개 등 라이선스 의무사항을 준수해야 하고 이를 위반하는 경우 법적 분쟁이 발생할 수 있으며, 적시 보안패치 등 보안관리가 취약할 경우 해킹 등 사이버공격의 주요 대상이 될 수 있다.

따라서 소프트웨어 구성요소 분석(SCA, Software Composition Analysis) 등을 통해 오픈소스SW의 라이선스를 식별하여 의무사항을 준수하고, 보안 취약점을 주기적 으로 점검 및 조치하는 등 활용주기*에 따라 오픈소스SW를 체계적으로 관리하는 것이 중요하다.

* 오픈소스SW 식별 → 라이선스 및 보안 관련 이슈 파악·해결 → 승인 → 사용·관리

하지만 회사는 오픈소스SW 관리와 관련한 업무분장을 ｢ 직제 및 위임전결규정｣

등 관련 내규에 반영하지 않아 관리주체(부서)가 명확하지 않게 운영되고 있으며, 시스템 및 애플리케이션에 적용·활용 중인 오픈소스SW 종류·버전·라이선스 정보를 식별·관리 하지 않고 있어 현황관리가 미흡하다.

또한 라이선스 의무사항을 준수하지 않고 보안패치를 적용하지 않을 뿐만 아니라 공식적인 승인 절차 없이 사용하는 등 오픈소스SW 관리가 미흡하여 라이선스 위반 이나 보안 취약점 등으로 인한 법률·보안 리스크가 큰 상태이다.

<조치할 사항>

회사는 오픈소스SW 관리주체 및 활용주기 전반에 걸친 관리체계를 내규에 반영 하고, 활용 중인 오픈소스SW 현황을 정확히 파악하여 체계적으로 운영·관리하시기 바랍니다.

(16) IT감사 및 사업계획 운영·관리 강화 필요

(가) IT감사 운영 강화 필요

내규 ｢ 감사위원회직무규정｣ 등에 따르면 회사는 일반감사, 특별감사, 일상감사로

구분하여 감사를 수행하고, IT업무, 정보보호 감사(이하 “IT감사”)를 통해 IT부문 전반에 걸친 내부통제를 평가하여 IT부문의 안전성 및 건전성을 확보하고 있다.

하지만 감사부서는 2020. 1. 1. ~ 2024. 12. 20. 기간 중 IT감사를 총 76회(일반 4회, 특별 1회, 일상 71회) 수행하면서 주요 문제점을 지적하지 못하는 등* 실효성 있게 수행 하지 못했으며, 감사 결과에 따른 조치가 지연된 사유·일정 등을 감사관리시스템이 아닌 내부메일에 보관하여 IT감사 사후관리가 미흡하다.

* 시스템·단말기의 외부통신망 접속 통제, 중요단말기 지정·관리 등 IT보안 부문과 관련한 주요 문제점이 있는데도 적정한 것으로 판단함

또한 회사는 내규 ｢IT자체감사 관리지침｣ 에 따라 IT부서에 자체감사인을 지정하여

IT자체감사의 전반적인 계획 수립 및 조정, IT자체감사 결과보고 및 지적사항에 대한 사후관리 등의 업무를 수행하고 있다.

하지만 회사는 2020. 1. 1.~2024. 12. 20. 기간 중 총 4회의 IT자체감사를 수행하면서 지적사항*을 기한 내 조치하지 못하여 동일한 지적사항이 반복 지적되는 등 IT자체감사 사후관리가 미흡하다.

* 시스템 개발 과정에서의 시큐어코딩 진단 및 반영 미흡(2023년, 2024년 지적사항) <조치할 사항>

따라서 회사는 IT보안 부문에 대한 감사 실효성을 높이기 위해 외부전문가가 참여 하는 감사방안을 마련하여 추진하고, 조치 지연 사유·일정 등을 감사관리시스템에 등록 하여 체계적으로 관리할 수 있도록 조치해 주시기 바랍니다.

또한 IT자체감사 결과 지적사항이 기한 내 조치할 수 있도록 조치 수준, 판단기준 및 조치 여부 등을 확인할 수 있는 절차를 마련·운영하시기 바랍니다.

(나) IT사업계획 관리 강화 필요

회사는 내규 ｢정보기술(IT) 규정｣ 등에 따라 매년 IT사업계획을 수립하고 독립성이 보장된 IT위원회를 통해 IT사업 추진에 대한 공정성·타당성 등을 검토하여 투자의 적정성을 심의·의결하고 있다.

하지만 IT사업의 타당성·효과성 등에 대한 심도 있는 검토가 미흡하여 사업계획 수립 후 취소되어 실행되지 않은 비율이 높은 실정이며, 이에 따라 불필요한 의사결정 과정 및 과잉·중복사업 등으로 인해 비용이 낭비되거나 예산 부족 등의 사유로 필요한 IT사업을 적시에 추진되지 못할 우려가 있다.

<조치할 사항>

회사는 연간 IT사업계획 수립 후 IT위원회의 심의·의결 시 전년도 정보화 사업의 미추진·지연 사유를 확인하여 그 타당성을 평가하고, 동 결과를 기반으로 연간 IT사업 계획의 적정성을 대표이사에게 보고하는 절차를 마련하여 IT사업 예산 수립 및 집행이 효율적으로 운영될 수 있도록 관리를 강화하시기 바랍니다.

(17) 노후화된 전산서버 관리 강화 필요

회사는 내규 ｢ 정보처리시스템 보안관리 지침｣ 에 따라 전산서버 등 정보처리시스템의

오류, 보안 취약점 등으로 인한 침해사고 예방 및 유사시 신속한 대응을 위해 적시에 노후화 시스템을 교체하고 보안 패치를 적용해야 한다.

하지만 전산서버 등 전산장비의 내용연수 및 불용·폐기처리에 관한 사항 등을 내규에 명시하지 않고, 기간계·채널계 등 전체 서버 554대 중 206대(37.2%)가 제조사 기술지원이 종료된 소프트웨어를 사용하고 있다.

<조치할 사항>

회사는 정보기술부문 예산에 노후 정보처리시스템의 교체 또는 기술지원 연장계약 금액을 반영하여 조치계획을 수립하고, 조치 전까지 추가적인 유지보수 및 보안패치 적용 등 보안대책을 강화하는 한편,

전산장비의 내용연수 및 불용·폐기처리에 관한 사항 등을 내규에 명시하여 노후화된 전산서버 등을 적시에 조치할 수 있도록 관리하며, 제조사 기술지원 종료 여부를 주기적 으로 점검하고 미교체 시스템에 대해서는 업무 중요도를 고려하여 보안 취약점 점검, 보안패치 적용 등 보안대책을 마련·운영하시기 바랍니다.