[시사금융용어] 제3자 리스크(3rd-party risk)
◆ 제3자 리스크(3rd-party risk)란 비금융 부문에서 장애가 발생하거나 정보 유출 등의 사고가 금융 부문으로 전이되는 리스크를 일컫는다.
지난 2022년 10월 카카오 데이터센터에서 발생한 화재로 카카오톡을 유일한 로그인 인증 수단을 이용해온 카카오페이와 가상자산거래소 등에서 접속장애가 발생한 사고가 대표적이다.
통상 제3자 리스크라는 표현은 다양한 분야에서 조직의 내부를 넘어서는 주변 환경에서 발생할 수 있는 예기치 못한 위험을 광범위하게 뜻하지만, 최근에는 위와 같은 전자금융서비스의 안전성을 강조하며 부각됐다.
금융당국은 최근 금융산업의 디지털 혁신을 촉진하기 위해 10년 된 금융권 망분리 규제를 뜯어고치는 과정에서 제3자 리스크에 대한 대응을 강화하기로 했다.
클라우드와 데이터센터 등 정보처리 업무 위탁이 증가하는 환경 아래 실효성 있는 제3자 리스크 관리 규율이 없다는 게 금융당국의 판단이다. 현재는 금융감독원의 행정지도 상 금융분야의 클라우드 이용 가이드라인 등을 통해서만 제한적으로 관리되고 있다.
금융당국은 우선 망분리 규제 개선에 따른 SaaS, 생성형 AI 등 활용 확대에 대응해 제3자 리스크 관련 제도를 정비할 방침이다. 전자금융거래법 또는 정보처리 위탁규정 개정을 검토 중이다.
더불어 새로운 금융보안 체계를 구축하기 위한 연구용역을 통해 해외의 선전 사례를 분석하고 국내 환경에 맞는 도입 방향 등을 검토하기로 했다.
유럽연합(EU)의 경우 주요 제3자에 대한 직접적인 조사와 감독 권한과 금전제재 수준까지 법에 명시돼있고, 영국도 주요 제3자가 금융시장법을 위반할 경우 다양한 규제가 가능하게 해놨다.
이에 금융당국도 제3자의 수탁자에 대한 금융당국의 검사나 감독 권한 등의 법적 근거를 마련하고 권한 행사에 따른 실효성을 확보할 계획이다. 그밖에 제3자 위탁업무의 중요도와 위험성에 따른 차등화된 보호 조치와 보고 체계도 구축할 예정이다.(투자금융부 정지서 기자)
(서울=연합인포맥스)
정지서
jsjeong@yna.co.kr
