[기자수첩] 금융사고 때마다 반복되는 '내부통제 강화' 약속

이나라 경제부 기자

| 서울=한스경제 이나라 기자 | 금융사고가 발생할 때마다 금융회사들이 내놓는 답변은 한결같다. 사고 원인을 철저히 규명하고 내부통제를 강화하겠다는 것이다. 재발 방지 대책과 정보보호 투자 확대도 빠지지 않는다. 그러나 비슷한 사고가 되풀이되면서 이러한 약속이 실제 현장에서 얼마나 이행되고 있는지 의문이 커지고 있다.

지난해 롯데카드 해킹사고는 금융권의 보안 문제를 수면 위로 끌어올린 계기가 됐다. 고객 297만명의 신용정보가 유출되면서 금융당국은 올해 7월 롯데카드에 1개월 반의 업무정지와 50억원의 과징금을 부과했다. 그러나 1년이 지난 현재 은행들의 개인정보 유출 사고가 잇따르면서 금융회사들의 정보보호 관리 실태가 다시 도마에 올랐다. 

하지만 보안의 중요성이 강조되는 상황에서도 은행권의 정보보호 투자 실태는 엇갈렸다. 그동안 은행별 정보보호 공시와 국회 제출 자료를 살펴본 결과 일부 은행은 정보보호 투자액을 전년보다 줄였고, 다른 은행은 편성한 보안예산의 상당 부분을 집행하지 않았다. 보안 전담인력을 늘리는 동시에 전체 정보기술 인력에서 보안인력이 차지하는 비중은 낮아지거나, 외부 협력업체를 대상으로 한 보안교육이 축소된 사례도 있었다.

보안사고가 없었다는 사실과 보안체계가 충분히 갖춰졌다는 것은 별개의 문제다. 특히 금융회사의 업무가 외부 시스템과 협력업체로 확장되는 상황에서 보안 관리의 범위 역시 넓어지고 있다. 금융회사 내부의 시스템뿐 아니라 고객정보가 오가는 외부 업무환경까지 관리해야 한다는 의미다.

이러한 문제는 지난 19일 국회 정무위원회 국정감사에서도 고스란히 드러났다. KB국민·신한·하나·우리·NH농협은행장 등 5대 은행장이 4년 만에 나란히 증인석에 섰다. 2022년 국감 당시 횡령 등 금융사고와 내부통제가 쟁점이었다면 올해는 해킹과 개인정보 유출, 보안투자 실태가 주요 현안이었다. 

국감에서는 일부 은행의 보안예산 집행률이 절반 수준에 그친 사실이 지적됐다. 사고 인지와 대응 과정, 고객 피해보상 체계도 질의 대상에 올랐다. 은행장들은 고개를 숙였고 인력과 예산 확충, 인공지능(AI) 기반 보안체계 강화 등을 약속했다. 

눈여겨볼 대목은 4년 전에도 내부통제 문제가 국감의 주요 쟁점이었다는 사실이다. 사고 유형은 달라졌지만 경영진이 증인석에서 재발 방지를 약속하는 장면은 반복됐다. 금융회사들이 그동안 구축한 내부통제 체계와 점검 절차가 실제 위험을 예방하는 데 얼마나 효과적이었는지 짚어봐야 하는 이유다.

반면, 해외 금융당국은 이미 사고 예방과 대응 역량을 금융회사의 주요 감독 과제로 삼고 있다. 유럽중앙은행(ECB)은 '2026~2028년 은행 감독 우선순위'에서 사이버보안과 외부 서비스 제공업체 위험관리, 정보통신기술(ICT) 복원력 강화를 중점 과제로 제시한 바 있다. 

특히 해외 사례에서 주목할 부분은 사고 발생 여부뿐 아니라 금융회사가 위험을 사전에 파악하고, 사고 이후에도 핵심 서비스를 유지하거나 복구할 수 있는 역량을 중요하게 다룬다는 점이다. 국내 금융권 역시 규정 준수와 사고 발생 이후의 대응을 넘어 실제 보안체계가 작동하는지 검증하는 데 무게를 둘 필요가 있다.

금융회사에 정보보호 투자는 고객의 돈과 개인정보를 관리하기 위한 기본적인 비용이다. 보안예산을 얼마나 편성했는지보다 실제 어디에 집행했고, 어떤 취약점을 개선했으며, 외부 협력업체까지 관리가 이뤄지고 있는지가 중요하다. 내부통제의 책임도 담당 부서에만 맡길 일이 아니라 경영진과 이사회가 지속적으로 살펴야 할 사안이다.

금융사고가 발생할 때마다 새로운 대책을 발표하는 일은 어렵지 않다. 정작 중요한 것은 과거에 약속했던 대책을 지키고 있는지, 그 결과 무엇이 달라졌는지를 보여주는 것이다. 은행권은 이번 국감에서도 '내부통제 강화'를 약속했다. 다음 금융사고가 발생했을 때 또다시 같은 답변을 반복하지 않으려면 이제는 약속보다 이행 결과로 답해야 한다.