금융사 외부 IT 리스크 관리, 이사회가 최종책임...위탁 전 과정 통제

[녹색경제신문 = 이준성 기자] 금융회사가 클라우드와 서비스형 소프트웨어(SaaS) 등 외부 IT 서비스를 이용하거나 정보처리 업무를 위탁하는 과정에서 발생하는 위험을 이사회와 경영진의 책임 아래 관리하도록 하는 기준이 마련됐다. 이사회는 제3자 IT 리스크 관리의 최종 책임을 맡고, 금융사는 총괄관리부서부터 내부감사부서까지 이어지는 3단계 통제체계를 구축해야 한다.

29일 <녹색경제신문>의 취재를 종합하면 이날 금융감독원은 업권별 금융협회·중앙회와 함께 '금융회사의 제3자 IT리스크관리 가이드라인'을 마련했다고 밝혔다. 참여 기관은 은행연합회·금융투자협회·생명보험협회·손해보험협회·여신금융협회·저축은행중앙회·한국핀테크산업협회 등 7곳이다. 가이드라인은 업권별 모범규준 제정 등을 거쳐 오는 11월 이후 시행될 예정이다.

이번 가이드라인은 금융권의 외부 IT 서비스 활용과 업무 위탁이 보편화한 데 맞춰 관리 기준을 보완하기 위해 마련됐다. 기존에도 판매·결제 등 일반적인 업무 위탁에 관한 제3자 리스크 자율규제가 있었지만, 사이버보안과 정보보호가 핵심인 IT 업무의 특성을 충분히 반영하지 못했다는 게 금융당국의 판단이다. 여기에 서비스 장애나 수탁회사 해킹·정보유출이 금융회사뿐 아니라 금융소비자 피해로 이어질 수 있다는 우려도 반영됐다.

가이드라인은 먼저 이사회와 경영진의 역할을 명확히 했다. 이사회가 제3자 IT 리스크 관리의 최종 책임을 지고 위험관리 정책과 감독에 관한 주요 사항을 심의·의결하도록 했다.

경영진은 관리체계를 구축·시행·유지하는 주체를 맡는다. 총괄관리부서를 지정·운영해 안전성 확보 조치를 수립·실행하고, 각 사업부서의 정보처리 업무 위탁 현황을 총괄해야 한다. 제3자 IT 리스크 현황과 위탁계약의 적정성 등을 평가하는 책무도 부여된다.

금융사는 이를 토대로 '총괄관리부서-리스크관리부서-내부감사부서'로 구성된 3단계 통제체계를 갖춰야 한다. 총괄관리부서가 관련 실무를 총괄·실행하고 리스크관리부서가 위험을 관리하며, 내부감사부서가 이를 감사하는 구조다.

위탁업체에 대한 관리 기준도 구체화했다. 금융사는 계약 상대방인 제3자의 재무건전성과 업무 관련 주요 정보를 식별하고, 반기 1회 이상 점검해 최신 상태로 유지해야 한다. 금융회사 업무나 금융소비자에게 중대한 영향을 미치는 '주요 제3자'는 별도로 지정해 강화된 리스크 관리를 적용한다.

식별된 위험에는 통제·경감·이전 등의 보완 조치를 실시해야 한다. 이 같은 조치로도 위험을 해소하기 어렵다면 계약을 중단하거나 이사회가 계약 유지 여부를 결정하도록 했다.

정보처리 업무 위탁의 계약 전후 절차도 세분화했다. 계약 체결 전에는 현장실사 등을 통해 제3자의 서비스 역량과 정보보호 관리체계를 검증해야 한다. 위·수탁사 간 역할 분담과 사고 발생 시 책임 관계 등 필수 사항은 계약서에 반영하도록 했다.

계약 기간에는 이행 현황을 연 1회 이상 점검하고 시스템 중단 등에 대비한 비상대책과 백업 관리체계, 계약 종료에 대비한 출구전략을 마련해야 한다. 계약이 끝난 뒤에는 정보자산 반납과 접근권한 말소, 정보의 완전한 파기 등을 수행한다.

금감원은 이번 가이드라인이 제3자 IT 리스크 관리를 위한 최소한의 기준과 원칙을 제시한 소프트룰 형태라고 설명했다. 이에 따라 금융사는 위탁업무의 중요도와 위험성 등을 고려해 적용 수준을 조정할 수 있다.

금감원은 "업권별 협회와 가이드라인 이행 실태를 점검하고, 미비점을 보완하는 등 계속 고도화할 예정"이라며 "사전예방적 디지털 리스크 감독방안을 지속 추진함으로써 디지털 혁신이 철저한 위험관리를 기반으로 건전하게 이뤄질 수 있도록 지원할 계획"이라고 밝혔다.