금감원, 금융사 제3자 IT리스크 관리가이드라인 마련

[미디어펜=류준현 기자] 금융감독원은 정보처리 업무위탁에 따른 IT리스크를 체계적으로 관리하기 위해 오는 11월 이후 새 기준을 도입한다고 29일 밝혔다. 

금융의 디지털화를 계기로 금융회사들이 클라우드·SaaS와 같은 외부 IT 서비스를 활용하거나, IT업무를 외부 제3자에 위탁하는 사례들이 보편화되고 있다. 하지만 외부 IT 서비스에 장애가 발생하거나, IT서비스를 제공하는 수탁회사에서 해킹 등 침해사고나 정보유출이 발생할 수도 있어 주의가 요구되고 있다. 또 사이버보안, 정보보호 등이 핵심요소인 IT업무의 특성이 충분히 반영되지 못하고 있다.

이에 금감원은 새 가이드라인을 마련했는데, 우선 이사회 최종 책임 및 경영진 위험관리체계 운영의 역할과 책임을 명확화하기로 했다. 이사회가 '제3자IT리스크관리'의 최종책임을 지도록 명시하고, 위험관리정책과 감독 관련 주요사항을 심의·의결 하는 식이다. 

또 경영진을 '제3자IT리스크관리체계'를 구축·시행·유지할 주체로 정하고, '총괄관리부서' 지정·운영을통해 실효성 높은 안전성 확보 조치를 수립·실행할 계획이다. 아울러 각 사업 부서의 정보처리업무위탁 현황을 총괄하고, 제3자 IT리스크 현황 및 위탁계약의 적정성 등을 평가할 책무를 부여할 예정이다. 이를 토대로 금융사는 제3자 IT리스크를 체계적으로 관리할 수 있도록 '총괄관리부서–리스크관리부서–내부감사부서'로 구성되는 '3단계 통제체계'를 구축·운영할 전망이다. 

또 금감원은 제3자 IT리스크 식별·평가·관리를 구체화했다. 제3자 IT 리스크를 효과적으로 관리하기 위해 제3자의 재무건전성과 업무관련 주요 정보(제공서비스, 처리정보종류·건수, 암호화·통신방식, 사고대응체계, 전산설비 등)를 식별하고, 주기적 점검을 통해 관련 정보를 최신화해 유지한다는 계획이다. 특히 금융회사 업무나 금융소비자에 중대한 영향을 미치는 '주요 제3자'는 별도로 지정해 강화된 리스크관리를 적용하게 된다. 이 외에도 제3자별로 IT리스크를 실효성있게 평가할 수 있도록 평가항목과 체크리스트를 구체적으로 제시할 전망이다.

계약단계별 리스크 관리 절차도 체계화한다. 계약검토·체결단계부터 유지·관리 및 종료까지 일련의 정보·처리·위탁과정에서 발생가능한 제3자IT리스크를 사전 식별·대처할 수 있도록 단계별 관리절차를 체계적으로 제시할 예정이다.

이번 가이드라인은 업무중요도 및 위험성에 따라 유연하게 적용될 예정이다. 금감원 관계자는 "이번 가이드라인은 제3자 IT 리스크를 체계적으로 관리하기 위한 최소한의 기준과 원칙을 소프트룰(Soft Rule) 형태로 제시한 것"이라며 "금융회사들이 위탁한 정보처리업무의 중요도와 위험성 등에 따라 일부내용을 자신에 맞게 강화·완화하는 등 유연하게 적용할 수 있다"고 밝혔다. 

금감원은 이 같은 가이드라인 및 새 기준 도입으로 이사회·경영진의 책임성 강화 및 관심·참여율이 높아질 것으로 기대하고 있다. 또 이사회에 제3자 IT리스크관리의 최종책임이 있음을 명시하고, 경영진의 책무를 구체적으로 제시할 예정이다. 이에 이사회와 경영진의 책임성도 강화할 것으로 보고 있다. 

전사적 차원의 제3자 IT리스크 관리 체계도 구축한다. 총괄관리부서를 중심으로 제3자IT리스크 관리체계를 구축하고, 정보처리위탁계약에서 수행해야 할 리스크관리 프로세스를 구체화하는 등 전사적 차원의 대응역량을 이끌어내겠다는 계획이다.

한편 금감원은 주요 업권별협회 등과 새 가이드라인이 실효성있게 운영되도록 적극 지원할 계획이다. 업권별협회 등은 새 가이드라인이 11월 이후 본격 시행될 것으로 기대하고 있다. 

금감원 관계자는 "업권별협회등과 함께 가이드라인 이행실태를 점검·평가하고, 미비점을 개선·보완하는 등 지속 고도화할 예정"이라며 "금융감독원은 '사전예방적 디지털리스크감독방안'을 지속 추진해 금융부문의 디지털혁신이 철저한 위험관리를 기반으로 건전하게 이뤄질 수 있도록 적극 지원할 계획"이라고 전했다.