금감원, 제3자 IT리스크 지침 마련…경영진 책임 강화

[서울=뉴시스] 최홍 기자 = 금융감독원이 금융권 IT업무 위탁사업에 대한 리스크를 강화하기 위해 가이드라인을 마련한다. 경영진과 이사회의 책임을 강화해 회사 지배구조 차원에서 체계적인 대응을 할 수 있도록 지침을 구체화 할 계획이다.

금감원은 29일 금융권 정보처리 업무위탁 제3자리스크를 더 효과적으로 관리하기 위한 가이드라인을 마련한다고 밝혔다.

최근 금융사들이 클라우드·SaaS와 같은 외부 IT서비스를 활용하거나, 해당 업무를 외부에 위탁하는 사례들이 많아지고 있다. 이에 따라 해킹 등 침해사고나 정보유출이 발생할 우려도 커지고 있다.

현재 판매, 결제 등 일반적인 업무위탁 관련 제3자리스크에 대한 자율규제가 있지만, 사이버보안, 정보보호 등이 핵심 요소인 IT업무의 특성은 충분히 반영되지 못하고 있다.

이에 금감원은 이번 가이드라인을 통해 이사회가 제3자 IT리스크관리의 최종책임을 지도록 명시했다. 또 위험관리 정책과 감독 관련 주요사항을 심의·의결 사항으로 규정했다.

특히 경영진을 리스크관리체계를 구축·시행할 주체로 정하고, 총괄관리부서 운영을 통해 실효성 높은 안전성 확보 조치를 수립하도록 했다. 이어 각 사업 부서의 정보처리 업무위탁 현황을 총괄하고, 제3자 IT리스크 현황, 위탁계약의 적정성 등을 평가할 책무도 부여했다.

금융사는 제3자IT리스크를 체계적으로 관리할 수 있도록 '총괄관리부서–리스크관리부서–내부감사부서'로 구성되는 3단계 통제체계를 구축해야 한다.

또 제3자 IT리스크를 효과적으로 관리하기 위해 위탁계약의 상대방인 제3자의 재무건전성과 업무 관련 주요정보를 식별하고, 반기 1회 이상 점검으로 관련 정보를 최신화해 유지한다.

금융사 업무 또는 금융소비자에 중대한 영향을 미치는 '주요 제3자'는 별도로 지정해 강화된 리스크관리를 적용한다.

계약검토·체결 단계부터 유지·관리 및 종료까지 일련의 정보처리 위탁과정에서 발생 가능한 제3자 IT리스크를 선제적으로 식별할 수 있도록 단계별 관리 절차를 체계적으로 제시한다.

계약 전에는 현장실사 등을 통해 서비스역량, 정보보호관리 체계 등을 검증하고, 위·수탁사 간 역할분담, 사고발생시 책임관계 등의 필수사항을 계약서에 반영한다.

계약 중에는 계약이행 현황을 연1회 이상 점검하고, 시스템 중단 등에 대비한 비상대책, 업무연속성 유지를 위한 백업 관리체계, 계약종료에 대비한 출구전략 등을 마련한다.

종료 후에는 정보 자산반납, 접근권한 말소, 정보의 완전한 파기 등을 수행한다.

이번 가이드라인은 제3자 IT리스크를 체계적으로 관리하기 위한 최소한의 기준과 원칙을 형태로 제시한 것이다.

금융사들은 위탁한 업무 중요도와 위험성 등에 따라 일부 내용을 회사에 맞게 적용 가능하다.

해당 가이드라인은 모범규준 제정 등을 통해 오는 11월 이후 시행될 계획이다.

금감원은 "업권별 협회와 가이드라인 이행실태를 점검하고, 미비점을 보완하는 등 계속 고도화할 예정"이라며 "사전예방적 디지털리스크 감독방안을 지속 추진함으로써 디지털혁신이 철저한 위험관리를 기반으로 건전하게 이뤄질 수 있도록 지원할 계획"이라고 밝혔다.

◎공감언론 뉴시스 hog8888@newsis.com ...