금융권 제3자 IT 관리 새 틀…이사회·경영진 책무 강화

주요 수탁사 반기마다 점검…백업·대체수단 정기 검증

금융감독원 본관, [출처=금융감독원]

클라우드나 구독형 소프트웨어(SaaS) 등 외부 IT 서비스를 이용하는 금융회사의 위험관리 책임이 강화된다. 이사회가 제3자 IT 리스크 관리의 최종 책임을 맡고, 금융회사의 핵심 업무를 수행하는 외부 업체는 반기마다 위험 수준을 평가받는다.

금융감독원은 29일 은행연합회·금융투자협회·생명보험협회·손해보험협회·여신금융협회·저축은행중앙회·한국핀테크산업협회와 함께 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했다고 밝혔다.

제3자 IT 리스크는 금융회사가 정보처리 업무를 맡긴 외부 업체에서 전산 장애나 해킹, 정보 유출 등이 발생해 금융회사와 소비자에게 피해가 번질 가능성을 말한다.

최근 금융권 전반에서는 클라우드·SaaS 등 외부 IT 서비스 활용이 빠르게 확대됨에 따라 외부 업체의 시스템과 보안 수준이 금융서비스의 안정성에 미치는 영향도 커지고 있다.

은행과 금융투자, 보험, 여신전문금융업권에는 일반 업무를 외부에 맡길 때 적용하는 제3자 리스크 관리 기준이 이미 시행되고 있다. 그러나 기존 기준은 판매리스크나 결제리스크 등 통상적인 업무 위탁을 중심으로 설계돼 사이버 보안과 정보보호, 전산 장애 대응이 중요한 IT 업무의 특성을 충분히 반영하기에는 한계가 있었다.

자료=금융감독원

새 가이드라인은 이사회에 제3자 IT 리스크 관리 정책과 감독에 관한 주요 사안을 심의·의결하도록 했다. 경영진은 관리 체계를 만들고 시행하는 역할을 맡는다. 각 금융회사는 총괄관리부서와 리스크관리부서, 내부감사부서로 이어지는 3단계 통제 체계도 운영해야 한다.

외부 업체를 파악하고 평가하는 기준도 구체화했다. 금융회사는 수탁사의 재무 상태뿐 아니라 제공 서비스, 처리하는 정보의 종류와 건수, 암호화·통신 방식, 사고 대응 체계, 전산 설비 등을 확인해야 한다. 관련 정보는 반기마다 한 차례 이상 점검해 최신 상태로 관리한다.

금융회사 업무나 소비자에게 큰 영향을 줄 수 있는 업체는 '주요 제3자'로 별도 지정한다. 이들 업체에는 일반 수탁사보다 강화된 점검 기준을 적용한다. 평가에서 발견된 위험은 통제하거나 줄이고 다른 곳으로 이전하는 조치를 해야 한다. 이를 해결할 수 없다면 계약을 중단하거나 이사회가 계약 유지 여부를 판단한다.

자료=금융감독원

계약 전에는 현장 실사 등을 통해 서비스 수행 능력과 정보보호 체계를 확인하고, 금융회사와 수탁사의 역할 및 사고 발생 시 책임 범위를 계약서에 담아야 한다.

계약 기간에는 이행 상황을 연 1회 이상 살펴야 한다. 전산 가동 중단에 대비한 비상계획과 중요 자료의 백업 방안, 다른 업체나 시스템으로 옮길 수 있는 출구전략도 마련해야 한다. 계약이 끝난 뒤에는 정보자산을 돌려받고 접근권한 말소 및 보유 정보가 완전히 파기됐는지 확인해야 한다.

주요 제3자는 위험 평가를 반기마다 한 차례 이상 받아야 한다. 금융회사의 비상 대응·재해 복구 훈련 대상에도 포함되며, 백업 관리 상태는 적어도 매년 한 번 점검한다. 기존 업체를 대신할 수단이 있는지도 사전에 검토한 뒤 정기적으로 다시 확인한다.

자료=금융감독원

해외 금융당국도 외부 IT 업체에 대한 통제를 금융회사의 핵심 경영 책임으로 다루고 있다. 바젤은행감독위원회는 2025년 12월 확정한 제3자 리스크 관리 원칙에서 이사회가 감독의 최종 책임을 져야 한다고 명시했다. 리스크 평가와 실사, 계약체결, 상시 모니터링, 종료에 이르는 전 과정을 관리하도록 한 점도 이번 국내 가이드라인과 같다.

유럽연합(EU)은 법률을 통해 외부 IT 리스크를 규율하고 있다. 2025년 1월 시행된 디지털운영복원력법(DORA)은 금융회사에 외부 IT 계약과 위험을 통합 관리하도록 요구하는 한편, 금융시스템에 미치는 영향이 큰 핵심 IT 제공업체를 유럽 감독당국이 직접 지정·감독할 수 있도록 했다. 국내 가이드라인은 우선 금융회사의 자율규범을 통해 수탁사 관리 수준을 높이는 방식이라는 점에서 차이가 있다.

이번 가이드라인은 세부 조치를 일률적으로 강제하는 법규가 아니라 최소 원칙을 제시하는 자율규범으로 마련됐다. 금융회사는 맡긴 업무의 중요도와 위험 수준에 맞춰 일부 기준을 강화하거나 완화할 수 있다.

업권별 협회와 중앙회는 이번 기준을 토대로 모범규준을 만들고 금융회사 내규와 조직을 정비해 오는 11월 이후 시행할 계획이다. 

금감원은 "이번 기준 마련을 통해 이사회와 경영진의 책임성이 한층 강화되고, 최고 의사결정기구의 관심과 참여가 보다 적극적으로 유도될 것으로 기대한다"며, "시행 이후 이행 상황을 점검하고 부족한 부분을 개선 및 보완할 방침" 이라고 밝혔다.