금융사 IT 외부 위탁 리스크 3단계 통제…이사회 관리 최종 책임

(서울=뉴스1) 한병찬 기자 = 금융회사가 IT업무 외부 위탁에 따른 리스크를 관리하기 위해 '총괄관리부서-리스크관리부서-내부감사부서'로 이어지는 3단계 통제체계를 마련해야 한다. 이사회는 관리의 최종책임을 지며 경영진은 총괄관리부서를 지정해 위험관리체계를 구축·시행·유지한다.

금융감독원은 29일 '금융회사의 제3자 IT리스크관리 가이드라인'을 업권별 협회·중앙회와 함께 마련했다며 이같이 밝혔다. 가이드라인은 모범규준 제정 등을 거쳐 오는 11월 이후 시행될 예정이다.

이번 가이드라인은 금융회사들이 클라우드·SaaS와 같은 외부IT서비스를 활용하거나 IT업무를 외부 제3자에 위탁하는 사례들이 보편화되며 마련됐다. 클라우드·SaaS 서비스에 장애가 발생하거나 IT서비스를 제공하는 수탁회사에서 해킹 등 침해사고나 정보 유출이 발생할 경우 금융회사는 물론 금융소비자까지 큰 피해를 초래할 우려가 있어서다.

가이드라인에 따르면 이사회를 제3자 IT리스크관리의 최종 책임을 지도록 명시하고 위험관리정책과 감독 관련 주요 사항을 심의·의결 사항으로 규정했다.

경영진은 제3자 IT리스크관리 체계를 구축·시행·유지할 주체로 정하고 총괄관리부서 지정·운영을 통해 안전성 확보 조치를 수립 및 실행하도록 했다. 아울러 정보처리 업무 위탁 현황을 총괄하고 위탁 계약의 적정성을 평가할 책무를 부여했다.

금융회사는 이를 바탕으로 역할·책임 체계를 바탕으로 실무를 총괄·실행하는 '총괄관리부서', 위험을 관리하는 '리스크관리부서', 이를 감사하는 '내부감사부서'로 구성되는 3단계 통제체계를 갖춰야 한다.

금감원은 위탁계약 상대방인 제3자의 재무건전성과 업무 관련 주요정보를 식별하고 반기 1회 이상 점검해 최신화하도록 했다. 금융회사 업무나 금융소비자에게 중대한 영향을 미치는 '주요 제3자'는 별도로 지정해 강화된 리스크관리를 적용하도록 했다.

식별된 위험에 대해서는 보완 조치를 수행하되 통제·경감·이전이 불가능할 경우 계약을 중단하거나 이사회가 유지 여부를 결정하도록 했다.

계약 체결 전에는 현장실사를 통해 서비스 역량과 정보보호관리체계를 검증하고 위·수탁사 간 역할분담과 사고 발생 시 책임관계 등을 계약서에 반영하도록 했다.

계약 이행 중에는 연 1회 이상 정기 점검을 실시하고 비상대책, 백업관리체계, 출구전략 등을 마련해야 한다. 계약 종료 후에는 정보자산 반납, 접근권한 말소, 정보의 완전한 파기 등을 수행해야 한다.

금감원은 이번 가이드라인이 제3자 IT리스크를 체계적으로 관리하기 위한 최소한의 기준을 소프트룰 형태로 제시한 것이라며 금융회사가 위탁업무의 중요도와 위험성에 따라 내용을 유연하게 강화·완화해 적용할 수 있다고 덧붙였다.

금감원은 업권별 협회·중앙회와 함께 가이드라인 이행 실태를 점검·평가하며 지속해서 고도화할 계획이라고 밝혔다.

아울러 '사전예방적 디지털리스크감독방안'을 지속 추진해 금융 부문의 디지털 혁신이 철저한 위험관리를 바탕으로 이뤄질 수 있도록 지원한다는 방침이다.

bchan@news1.kr