금감원, 업권별 협회 등과 가이드라인 마련

경영진의 위험관리체계 운영 역할 명확화

[헤럴드DB]
[헤럴드DB]

[헤럴드경제=김은희 기자] 이사회와 경영진의 정보기술(IT) 업무 위탁 관련 책임을 명확히 하는 등의 내용을 담은 ‘금융회사의 제3자 IT리스크 관리 가이드라인’이 마련됐다. 업권별 모범규준 제정을 거쳐 오는 11월부터 순차로 시행될 전망이다.

금융감독원은 업권별 금융협회·중앙회와 함께 정보처리 업무 위탁으로 인한 제3자리스크를 더욱 효과적으로 관리하기 위한 가이드라인을 마련했다고 29일 밝혔다.

금융의 디지털화가 확산되면서 금융사의 외부 IT서비스 활용과 IT업무 위탁이 늘고 있다. 주요 금융권이 제3자 리스크 관리를 위한 자율규제를 운영 중이나 사이버보안, 정보보호 등이 IT 업무의 특성이 충분히 반영되지 못한다는 지적이 제기돼 왔다.

이와 관련해 은행연합회는 ‘제3자 리스크관리 모범규준’을 만들어 4월부터 시행했는데 여기에는 IT 아웃소싱과 관련한 리스크 차단 방안도 포함돼 있다. (본지 3월 31일자 18면 ‘위탁업체 신용정보유출도 은행 경영진 책임…4월부터 적용’ 보도 참조)

이번 가이드라인에는 ▷이사회·경영진 책임 명확화 ▷위험평가체계·방법 ▷계약단계별 위험식별·대응 등에 대한 기준이 제시됐다.

우선 이사회가 제3자 IT리스크 관리의 최종책임을 지도록 명시하고 위험 관리 정책과 감독 관련 주요사항을 심의·의결 사항으로 규정했다. 또한 경영진을 ‘제3자 IT리스크 관리체계’를 구축·시행·유지할 주체로 정하고 총괄관리부서 운영을 통해 실효성 높은 안전성 확보 조치를 수립·실행하도록 했다.

이를 바탕으로 금융사는 제3자 IT리스크를 체계적으로 관리할 수 있도록 ▷총괄관리부서 ▷리스크관리부서 ▷내부감사부서로 구성되는 3단계 통제체계를 구축·운영하게 된다.

아울러 제3자 IT리스크를 효과적으로 관리하기 위해 위탁계약의 상대방인 제3자의 재무 건전성과 업무 관련 주요정보를 식별하고 반기 1회 이상의 주기적인 점검을 통해 관련 정보를 최신화해야 한다. 특히 금융사 업무 또는 금융소비자에 중대한 영향을 미치는 ‘주요제3자’는 별도로 지정해 강화된 리스크관리 기준을 적용한다.

이 밖에 계약 검토·체결 단계부터 유지·관리, 종료까지 일련의 정보처리 위탁 과정에서 발생할 수 있는 제3자 IT리스크를 선제적으로 식별·대처할 수 있도록 단계별 관리절차를 제시해야 한다.

업권별 협회 등은 이번 가이드라인을 기초로 모범규준 제정 등을 통해 11월 이후 시행할 계획이다.

금감원 관계자는 “업권별 협회 등과 함께 가이드라인 이행 실태를 점검·평가하고 미비점을 개선·보완하는 등 고도화할 예정”이라고 전했다.


ehkim@heraldcorp.com