금융사 이사회·경영진이 위탁사 금융사고도 최종 책임진다

(서울=연합인포맥스) 유수진 기자 = 앞으로는 금융회사 이사회와 경영진이 IT 서비스를 위탁한 외부 회사에서 발생한 해킹 등 금융사고에 대해서도 최종 책임을 진다.

금융감독원은 정보처리 업무 위탁으로 인한 제3자 IT 리스크를 보다 효과적으로 관리하기 위해 업권별 금융협회·중앙회와 함께 이같은 내용의 가이드라인을 마련했다고 29일 밝혔다.

금융의 디지털화로 금융회사들이 IT 업무를 외부에 위탁하는 사례가 늘고 있는 가운데, 수탁회사에서 해킹이나 정보 유출 등이 발생할 경우 금융사는 물론 금융소비자도 큰 피해를 입을 우려가 있기 때문이다.

금감원은 이사회가 '제3자 IT 리스크 관리'의 최종 책임을 지도록 명시하고, 위험 관리 정책과 감독 관련 주요 사항을 이사회 심의·의결 사항으로 규정했다.

또한 경영진을 '제3자 IT 리스크 관리체계'를 구축·시행·유지할 주체로 정해 총괄관리부서를 운영하도록 했다.

실효성 높은 안전성 확보 조치를 수립·실행하고, 각 사업부서의 정보처리업무 위탁 현황을 총괄하며, 제3자 IT 리스크 현황 및 위탁계약의 적정성 등을 평가하도록 하기 위해서다.

이를 바탕으로 금융회사는 '총괄 관리 부서-리스크 관리 부서-내부 감사 부서'로 구성되는 '3단계 통제 체계'를 구축·운영하며 제3자 IT 리스크를 체계적으로 관리한다.

또한 금융사는 위탁계약의 상대방인 제3자의 재무 건전성과 업무 관련 주요 정보(제공 서비스, 처리정보 종류·건수, 암호화 및 통신방식, 사고대응체계, 전산설비 등)를 식별하고, 주기적인(반기 1회 이상) 점검을 통해 관련 정보를 최신화해 유지한다.

특히 금융회사 업무 또는 금융소비자에 중대한 영향을 미치는 '주요 제3자'는 별도로 지정해 강화된 리스크관리를 적용한다.

제3자별로 IT 리스크를 실효성 있게 평가할 수 있도록 평가항목과 체크리스트를 구체적으로 제시하고, 식별된 위험에 대해서는 보완 조치를 수행하되 통제·경감·이전이 불가능할 경우 계약을 중단하거나 이사회가 유지 여부를 결정한다.

아울러 계약 단계별 리스크 관리 절차도 체계화해 제3자 IT 리스크를 선제적으로 식별·대처할 수 있도록 한다.

계약 전엔 현장실사 등을 통해 서비스역량, 정보보호 관리체계 등을 검증하고, 위·수탁사 간 역할 분담, 사고 발생 시 책임 관계 등의 필수사항을 계약서에 반영한다.

계약 중엔 이행현황을 정기적으로 점검(연 1회 이상)하고, 시스템중단 등에 대비한 비상 대책, 업무 연속성 유지를 위한 백업 관리체계, 계약종료에 대비한 출구전략 등을 마련한다.

계약 종료 후엔 정보자산반납과 접근권한 말소, 정보의 완전한 파기 등을 수행한다.

이번 가이드라인은 제3자 IT 리스크 관리를 위한 최소한의 기준과 원칙을 제시한 것으로, 금융회사들은 위탁한 정보처리업무의 중요도와 위험성 등에 따라 일부 내용을 강화·완화하는 등 유연하게 적용하면 된다.

당국은 이번 가이드라인 제정으로 이사회·경영진의 책임성을 강화하고 적극적인 관심과 참여를 유도하는 효과가 있을 것으로 기대한다.

또한 총괄관리부서를 중심으로 관리 체계를 구축하고 계약 전 과정에서 수행해야 할 리스크관리 프로세스를 구체화하는 등 전사 차원의 대응 역량 확립이 가능할 것으로 내다본다.

업권별 협회 등은 이번 가이드라인을 기초로 모범 규준을 제정해 오는 11월 이후 시행할 예정이다.

금감원 관계자는 "업권별 협회 등과 가이드라인 이행 실태를 점검·평가하고 미비점을 개선·보완하는 등 지속해 고도화할 예정"이라고 말했다.

sjyoo@yna.co.kr