SBS Biz

금융회사가 외부 IT 서비스를 활용하거나 IT 업무를 제3자에게 위탁한 뒤 피해가 발생하면 이사회가 최종 책임을 지게 하는 내용의 금융감독원 가이드라인이 나왔습니다. 경영진은 '총괄관리부서'를 지정해 현황과 적정성 등을 평가해야 합니다.

금융감독원은 오늘(29일) 이 같은 내용을 담은 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했습니다.

최근 금융 디지털화가 빠르게 진행되는 가운데 금융사들이 클라우드·SaaS와 같은 외부 IT 서비스를 활용하거나 IT 업무를 외부 제3자에 위탁하는 사례들이 보편화됐습니다.

이런 제3자 IT 서비스에 장애가 발생하거나 해킹 등 침해사고 등이 발생할 경우 금융회사는 물론 금융소비자까지 큰 피해를 입습니다.

금융감독원은 "판매, 결제 등 업무 위탁에 수반되는 제3자 리스크를 관리하기 위한 가이드라인이 업권별로 있지만 IT 업무 특성이 충분히 반영되지는 못한 상황"이라며 이번 가이드라인 마련의 배경을 설명했습니다.

먼저 가이드라인은 이사회와 경영진의 역할과 책임을 명확화 했습니다. 이사회가 '제3자 IT 리스크 관리'의 최종 책임을 지고, 위험관리정책과 감독 관련 주요 사항을 심의·의결 사항으로 규정했습니다.

경영진은 리스크 관리 체계를 구축하고 시행하는 주체로, '총괄관리부서'를 지정해 운영해야 합니다. 금융사가 총괄관리부서-리스크 관리 부서-내부 감사 부서로 구성되는 3단계 통제 체계를 운영하게 되는 것입니다.

총괄관리부서는 금융회사와 제3자 간 전용회선 등 안전한 통신 구간 보안 대책을 마련하고 서비스 중단에 대비한 비상 대책을 만드는 등 역할을 합니다.

또 제3자 IT 리스크를 효과적으로 관리하기 위해 위탁계약의 상대방인 제3자의 재무 건전성과 업무 관련 주요 정보를 식별하고, 반기 1회 이상의 주기적 점검을 통해 관련 정보를 최신화해 유지해야 합니다.

금융회사는 평가 항목과 체크리스트를 구체적으로 제시하고 식별된 위험에 대해 보완 조치를 하되 통제가 불가능할 경우 계약을 중단하거나 이사회가 유지 여부를 결정합니다.

계약 단계별 리스크 관리 절차도 체계화됩니다. 계약 검토·체결 단계부터 유지·관리 및 종료까지 정보처리 위탁 과정에서 발생 가능한 제3자 IT 리스크를 선제적으로 식별하고 대처할 수 있도록 단계별 관리 절차가 제시됩니다.

업권별 협회 등은 이번 가이드라인을 기초로 모범 규준을 만들어 오는 11월 이후 시행할 계획입니다.