AI가 기업 자금세탁·횡령 미리 잡는다.. 규제로 돈버는 '레그테크' 급성장

[WEEKLY BIZ] [Cover Story] 첨단 기술로 '정부의 규제'를 관리해주는 新산업

게티이미지뱅크·그래픽=김의균

미국 투자은행 골드만삭스는 지난 2020년 미국과 홍콩·말레이시아 등 전 세계 금융 당국으로부터 총 62억5000만달러(약 8조1000억원) 벌금을 부과받았다. 그해 순이익(94억6000만달러)의 무려 3분의 2에 달하는 액수로, 골드만삭스 153년 역사상 가장 큰 규모의 벌금이었다. 2009년부터 수년간 말레이시아 국부펀드 1MDB 자금을 세탁하고 정치인들에게 뇌물을 뿌린 혐의였다.

내부자들의 도덕적 해이로 큰 손실을 본 골드만삭스는 이듬해 인공지능(AI)을 이용한 자금세탁방지(AML) 기술을 만드는 영국 기업 컴플라이어드밴티지에 2000만달러(약 260억원)를 투자했다. 매일 엄청난 양의 거래와 돈이 오가는 회사 내에서 사람의 힘만으로는 내부자 불법 행위를 잡아내기 역부족이라고 판단해 첨단 기술의 힘을 빌리기로 한 것이다.

기업들의 거래 방식이 첨단화되고 이에 대응한 정부 규제가 갈수록 복잡해지면서 빅데이터와 클라우드(원격 컴퓨팅), AI, 블록체인 등 각종 첨단 기술을 활용해 규제를 관리하는 이른바 ‘레그테크(Regtech·Regulation technology)’ 산업이 급성장하고 있다. 규제 당국은 세계화와 디지털화로 복잡해진 기업 활동을 더 효과적으로 감독하기 위해, 피규제 기업은 촘촘해진 규제망과 천문학적 과징금을 피하기 위해 레그테크에 기대는 것이다. 컨설팅 기업 딜로이트는 “레그테크는 점점 늘어나는 금융 산업 규제에 기술적으로 진보된 해결책을 제시하는 방식으로 규제 환경을 송두리째 변화시키고 있다”고 분석했다.

◇규제는 돈이 된다

레그테크는 크게 두 가지로 나뉜다. 규제 당국이 보다 효과적으로 감독(supervision)할 수 있게 해주는 ‘섭테크(Suptech)’와 규제 대상인 은행이나 기업이 규제를 효율적으로 준수(compliance)하게 도와주는 ‘컴프테크(Comptech)’다.

유럽은행감독청(EBA)이 올해 1월 발표한 중앙 집중형 데이터베이스 ‘유레카(EuReCa)’는 대표적인 섭테크다. 자금 세탁과 테러 자금 조달을 막기 위해 유로존 내 금융기관들의 각종 데이터를 수집·분석하고 조기 경보를 보내주는 빅데이터 분석 시스템이다. ‘중앙은행의 중앙은행’이라 불리는 국제결제은행(BIS)도 지난 3월 싱가포르 통화청(MAS)과 함께 개발한 머신러닝 기반의 통합 규제 데이터 분석 플랫폼 ‘프로젝트 엘립스(Ellipse)’를 공개했다.

기업은 규제를 방어하기 위해 컴프테크를 활용한다. 네덜란드 IT 기업 볼터스 클루버(Wolters Kluwer)가 개발한 컴프테크 소프트웨어 원섬엑스(OneSumX)는 AI를 활용해 전 세계 50여 국의 규제 개정 사항을 자동 모니터링해 각 고객 기업에 어떤 영향을 미칠지 알려준다. 현재 스페인 대표 상업은행 BBVA와 일본 3대 은행으로 꼽히는 미즈호(Mizuho), 중국 최대 상업은행 중 하나인 중국은행(BOC) 등이 도입해 활용 중이다.

딜로이트에 따르면, 볼터스 클루버처럼 레그테크 소프트웨어를 만드는 기업은 2022년 현재 전 세계에 462개사(社)에 달한다. 규제 준수 현황과 새 규정을 모니터링 및 추적하는 규제 준수 지원 기업이 189개사(41%)로 가장 많다. 캐나다 트룰리우(trulioo)처럼 ID 식별과 관리에 특화된 고객신원확인(KYC) 기술 전문 기업도 93개(20%)나 된다. 이 밖에 빅데이터와 클라우드 기술을 활용해 규제 데이터를 자동 분석·보고해주는 규제 보고 지원 기업(79개사), 잠재 위험을 감지하고 미래 위협 요소까지 예측해주는 위기 관리 기업(63개사), 블록체인 기술 등을 활용해 거래 내역을 감시하는 트랜잭션 감시 기업(38개사)도 있다.

레그테크 기술이 세분화·고도화하면서, 기업들도 자체적으로 관련 기술 개발을 시도했던 기존 방식을 버리고 전문 기업에서 서비스형 소프트웨어(SaaS)를 사다 쓰는 방식으로 갈아타는 추세다. 금융정보업체 IHS 마킷이 작년 10월 대형 은행과 자산운용사 등 90개사(社)를 대상으로 설문조사한 결과 외부 레그테크 기업 제품을 사용 중이라고 답한 비율은 86%에 달했다. 사내 개발 기술과 병용한다고 답한 비율은 60%였다. 로넨 커티스 IHS 마킷 글로벌 규제 보고 총괄은 “모든 규모의 기업이 모든 규제 요구 사항에 원스톱 서비스를 제공하는 공급업체를 찾아 관련 업무를 간소화하려 하고 있다”고 전했다. 시장조사기관 주니퍼 리서치는 레그테크에 대한 기업 지출은 매년 35%씩 늘어날 것으로 전망했다.

시장이 급성장하면서 투자금도 몰려들고 있다. 투자자문사 핀테크 글로벌에 따르면, 레그테크에 대한 전 세계 투자 규모는 작년 2분기 기준 49억달러(약 6조3600억원)로 전년 동기(15억달러) 대비 3배 넘게 급증했다. 가령 일본 전자회사 소니(Sony)는 지난달 레그테크 스타트업 클라우스매치(Clausematch)에 대한 1080만달러 규모의 펀딩을 주도했다. 런던에 본사를 둔 클라우스매치는 AI로 기업 정책과 규정 변경을 관리해주는 컴프테크 기업으로 영국 투자은행 바클레이스 등을 고객사로 두고 있다. 이 투자를 주도한 소니 이노베이션 펀드의 안토니오 아비타빌레 상무는 “여러 산업 분야에서 점점 더 많은 준법 감시 부서가 자동화된 기술로 전환되고 있다”며 “전 세계 레그테크 시장은 오는 2025년 550억달러(약 71조4500억원)에 달할 것으로 전망한다”고 했다. 세계경제포럼은 지난해 전 세계 레그테크 시장 규모가 76억달러(약 10조원)에 달한다고 추산했다.

◇레그테크의 꽃 ‘AI’

최근 레그테크 기술 발전의 원동력은 AI다. 엄청난 단위의 숫자와 대량의 데이터가 오가는 복잡한 금융 시장에서 이상 패턴을 찾아내고 분석·방지하는 일은 훈련된 전문가도 소화하기 힘든 업무다. 유엔 마약·범죄사무소는 전 세계에서 발생한 금융 범죄 중 적발되는 비율이 1% 미만으로 보고 있다. 영란은행 총재를 지낸 마크 카니는 2019년 “규제 기관은 자신이 감독하는 기업으로부터 매년 650억개의 자료를 받는데 이 모든 데이터를 검토한다는 건 각 감독 담당자가 매주 셰익스피어 전집을 두 번씩 완독하는 것과 같다”고 했다.

그런 규제 기관 입장에서 방대한 데이터를 빠르게 처리할 수 있는 AI 기술 발전은 가뭄의 단비나 다름없다. 미국 금융산업규제국(FINRA)은 지난 1월 시장 조작 감시 프로그램 대부분을 AI 기술인 딥러닝으로 전환하는 대규모 프로젝트를 마쳤다. 독일 연방금융감독청(BaFin) 역시 “AI가 이상 패턴 탐지율을 향상시켜 자금 세탁과 사기를 막고 규정 준수 프로세스의 효과를 높일 수 있다”며 레그테크 기업들과 협력을 논의 중이다. 태국 중앙은행은 금융기관 이사회 회의록 분석에 AI 기술을 도입했고, 이탈리아 중앙은행과 싱가포르 통화청은 대출 채무 불이행 예측과 신용 위험 평가에 AI를 활용 중이다. 토비아스 아드리안 IMF(국제통화기금) 이사는 “기존 시스템에서는 자금 세탁 방지나 테러 자금 조달 방지 경보에 걸리는 사례 대부분이 오탐지로 판명된다”며 “AI가 효과적으로 배치되면 오탐지를 줄여 의심되는 사례에 더 많은 자원을 할애할 수 있다”고 설명했다.

한국 금융감독원 역시 지난 2018년 KT와 손잡고 AI 기반 기계 독해 기술인 MRR(Machine Readable Regulation) 시범 사업을 시작해 2020년부터 사모펀드 약관 심사 업무 등에 시범 적용 중이다. MRR은 섭테크이면서 컴프테크로도 활용된다. 금융사가 새 금융 상품을 출시하려면 금융 당국에 관련 보고서를 만들어 제출해야 하는데, MRR이 관련 규제 분석과 이에 맞춘 전산 데이터 추출 및 보고서 작성·제출을 자동으로 수행해주기 때문이다. 오스트리아 중앙은행도 이와 비슷한 오렙(AuRep) 시스템을 구축해 운영 중인데, 시중은행이 중앙은행에 제출하는 규제 보고서 업무가 30% 이상 줄었다는 평가를 받고 있다.

◇늘어나는 규제 리스크를 피해라

레그테크 수요가 늘어날 수밖에 없는 배경에는 갈수록 촘촘해지는 규제와, 그에 따라 늘어나는 규제 준수 비용이 있다. 미국에서는 규제를 위반한 금융사들에 거의 매해 40억달러(약 5조1900억원) 안팎의 과징금을 부과된다. 미국 증권거래위원회(SEC)에 따르면 지난 2021 회계연도(2020년 7월~2021년 6월)에도 과징금 부과 규모가 38억5200만달러에 달했다. 이런 가운데 지난해 1월 자금세탁방지법(AMLA)과 은행비밀보호법(BSA)이 의회를 통과하며 금융기관에 대한 규제는 더욱 강화됐다.

기업 활동이 갈수록 글로벌·디지털화되는 것도 규제 리스크를 키우는 요인이다. 유럽의 개인정보보호법(GDPR)같이 갈수록 까다로워지는 해외 규제까지 지켜야 하기 때문이다. 이 법은 기업이 현지에서 취득한 고객 데이터를 해외로 반출하는 것을 금지하며, 위반 시 전 세계 연간 매출의 최대 4%를 과징금으로 매길 수 있다고 규정한다. 금융정보업체 핀볼드 보고서에 따르면, 골드만삭스·JP모건체이스·도이체방크·바클레이스 같은 글로벌 금융사들은 지난 2020년 전 세계 금융 당국으로부터 총 142억1000만달러(약 18조4300억원) 벌금을 부과받았다. 자금 세탁과 신원 확인 절차 미비, 데이터 유출 등 다양한 혐의가 적용됐다.

우리나라도 기업에서 각종 금융 사건·사고가 잇따르면서 내부 통제에 관한 규제가 강화돼야 한다는 목소리가 높아지고 있다. 지난 4월 우리은행에서 한 직원이 614억원을 횡령하는 사건이 터진 데 이어 새마을금고와 KB저축은행, 농협, 신한은행 등 대형 은행에서 직원 횡령 사건이 연달아 터졌다. 지난 5년간 금융사 임직원이 빼돌린 횡령 금액만 1091억원에 달한다. 부실한 준법감시 및 내부통제 시스템이 도마 위에 오르자 윤석열 대통령은 국정 과제 중 하나로 ‘금융권 책임 경영 확산을 위한 내부 통제 제도 개선’을 제시했다.

이에 따라 금융회사 지배구조법 개정안 심의에도 속도가 붙을 전망이다. 금융위원회가 지난 2020년 6월 국회에 제출한 금융사 지배구조법 일부 개정안은 내부 통제와 관련해 금융사 CEO(최고경영자)의 책임을 강화하는 내용을 골자로 한다.

◇규제 밖에 있는 규제 기술 기업

고속 성장하는 레그테크 산업에 대해 환영의 목소리만 있는 것은 아니다. 우선 소비자 신상 정보와 거래 내역 등 민감한 정보를 다루는 레그테크 기업이 규제 사각지대에 있다는 점이 거론된다. 이미 많은 레그테크 기업이 금융기관에 서비스를 제공하면서 금융사의 업무 일부를 대신 처리하고 있지만, 레그테크 기업은 자체적인 금융 서비스를 제공하는 것이 아니므로 금융사와 같은 규제는 받지 않는다. 규제 준수를 지원하는 기업이 정작 규제 무풍지대에 있는 셈이다.

같은 소프트웨어를 여러 고객사가 함께 쓰는 만큼 서비스에 오류가 나면 동시 다발적으로 혼란이 발생해 소비자에게 피해가 발생할 가능성도 있다. 기업 범죄를 전문으로 하는 존 조이 변호사는 “고용한 레그테크 기업이 문제 됐을 때 취할 수 있는 유일한 수단은 계약 위반이나 잠재적 허위 광고로 소송을 제기하는 것뿐”이라고 지적했다.

레그테크의 핵심 기술인 AI를 얼마나 신뢰할 수 있느냐는 문제도 있다. AI 기술 수준은 데이터 학습량에 따라 결정되는데, 어떤 데이터로 학습하느냐에 따라 인간의 편향이 AI에 그대로 이어질 수 있다. 최근 과학 전문 저널 사이언스지에는 매년 미국에서 수백만명에 영향을 미치는 건강 관리 기술에 쓰이는 AI 위험 예측 도구가 상당한 수준의 인종적 편견을 보였다는 연구 결과가 실렸다. 애플이 신용카드 발급을 위해 만든 AI 알고리즘도 여성을 차별한 혐의로 기소돼 뉴욕 금융 당국의 조사를 받고 있다. 여성의 신용 점수가 더 높은데도 남성의 신용 한도를 더 높게 부여해 이용자들이 문제를 제기한 것이다. 이런 편향성이 레그테크에 적용되면 특정 인종이나 집단에 대한 대출 심사 과정을 더 까다롭게 규제하는 등의 사례가 발생할 수 있다.

하버드비즈니스리뷰는 “AI 활용이 잦아지면 내재된 편향성 문제가 확대될 소지가 있다”면서 “이런 결함은 소비자 수백만 명에게 영향을 미치고, 기업을 역사적 규모의 집단 소송에 노출시키며 평판 위험에 빠뜨릴 수 있다”고 경고했다.

☞레그테크(Regtech)

규제(Regulation)와 기술(Technology)의 합성어로 빅데이터와 클라우드(원격 컴퓨팅), 인공지능(AI), 블록체인 등 각종 IT 기술을 접목해 규제 관리를 돕는 기술을 뜻한다. 레그테크는 크게 규제 기관의 규제 감독을 돕는 섭테크(Suptech)와 피규제 기관의 규제 준수를 돕는 컴프테크(Comptech)로 나뉜다.

WEEKLY BIZ Newsletter 구독하기 ☞ https://page.stibee.com/subscriptions/146096