다음 내용이 궁금하다면?
불편하시다면 뒤로 가기를 눌러주세요
금감원 '제3자 IT리스크 가이드라인' 제정…11월 이후 본격 시행
제3자 리스크 관리 담당 '총괄관리부서' 설치…3단계 통제체계 구축
[백수진 제작] 사진합성·일러스트
(서울=연합뉴스) 강류나 기자 = 앞으로 금융회사가 IT 업무를 위탁했다가 장애나 해킹, 정보 유출 등의 사고가 발생할 경우 이사회가 최종 책임을 지게 된다.
또 금융사들은 제3자 IT 리스크를 전담하는 '총괄관리부서'를 마련해야 한다.
금융감독원은 은행연합회를 비롯한 7개 업권별 금융협회·중앙회와 이 같은 내용의 '제3자 IT 리스크 관리 가이드라인'을 마련했다고 29일 밝혔다.
참여 기관은 은행연합회·금융투자협회·생명보험협회·손해보험협회·여신금융협회·저축은행중앙회·한국핀테크산업협회 등이다.
이번 가이드라인은 금융사들의 클라우드 및 소프트웨어 서비스(SaaS) 등 외부 IT 서비스 이용과 IT 업무 위탁이 확대되면서 추진됐다. 기존 자율 규제 가이드라인으로는 늘어나는 장애·해킹 등의 사고를 막는 데 한계가 있다는 지적이 제기돼 왔다.
가이드라인은 이사회에 '제3자 IT 리스크 관리'의 최종 책임을 부여하고, 위험 관리 정책과 감독 관련 사항을 심의·의결하도록 명시했다. 경영진은 관리 체계 구축·운영의 주체로 지정된다.
이사회와 경영진은 제3자 IT 리스크 관리 정책 체계를 운영할 '총괄관리부서'를 두고, 정보 처리 업무 위탁 현황 관리와 계약 적정성 평가 등을 맡겨야 한다.
이로서 금융사는 '총괄관리부서-리스크관리부서-내부감사부서'로 이어지는 '3단계 통제 체계'를 운영하게 된다.
아울러 위탁 대상인 제3자의 재무 건전성 등을 반기 1회 이상 점검하고, 금융사 업무나 소비자에게 미치는 영향이 큰 곳은 '주요 제3자'로 별도 지정해 리스크 관리는 강화하도록 했다.
제3자 통제 등이 불가능할 경우에는 계약을 중단하거나 이사회가 유지 여부를 결정해야 한다.
계약 단계별 리스크 관리 절차도 체계화된다.
계약 전에는 현장 실사 등을 통해 서비스 역량과 정보보호 관리 체계를 검증하고, 계약 체결 시 위·수탁사 간 역할 분담을 명시한다.
계약 중에는 연 1회 이상 계약 이행 현황을 점검하며, 종료 후에는 정보 자산 반납 및 정보 완전 파기 등을 수행한다. 관련 내용들은 이사회 등에 보고해야 한다.
금감원은 "이번 가이드라인은 최소한의 기준과 원칙을 제시한 것으로 금융사들이 위탁 정보의 중요도와 위험성에 따라 자율적으로 조정할 수 있다"고 설명했다.
향후 금감원은 '사전예방적 디지털 리스크 감독 방안'도 추진할 예정이다.
업권별 협회는 이번 가이드라인을 바탕으로 모범 규준 등을 제정해 오는 11월 이후 시행할 계획이다.
newna@yna.co.kr
Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.
인기상품 확인하고 계속 읽어보세요!
원치 않을 경우 뒤로가기를 눌러주세요.