생성형 AI(쳇GPT)의 도움을 받아 시각화하고 기자가 최종 검토 및 확인해 제작한 그래픽입니다. 그래픽에 포함된 데이터와 내용은 기자가 직접 취재한 결과물입니다.

[위즈경제] 장석찬 기자 =은행·보험·증권 등 금융권 전반에서 외주 IT 서비스에 대한 관리 책임이 강화된다. 금융권은 위험과닐 강화 필요성에 공감하며 기존 내부통제 체계를 바탕으로 단계적으로 대응하겠다는 입장이다. 

금융감독원은 29일 은행연합회와 금융투자협회, 생명·손해보험협회 등 7개 금융협회·중앙회와 공동으로 ‘금융회사의 제3자 IT 리스크 관리 가이드라인’을 마련했다.

최근 금융권에서는 디지털 전환이 빨라지면서 클라우드와 서비스형소프트웨어(SaaS) 등 외부 IT 서비스 이용과 정보처리 업무 위탁이 일반화되고 있다. 그러나 외주업체에서 발생한 전산 장애나 해킹, 정보 유출이 여러 금융회사로 번져 금융소비자 피해로 이어질 수 있다는 우려도 커졌다.

기존에도 업무 위탁에 관한 자율규제 기준은 있었지만 IT 서비스의 보안·운영 특성과 특정 업체에 대한 금융회사의 집중적인 의존 위험을 충분히 반영하지 못한다는 한계가 있었다.

가이드라인의 핵심은 이사회가 최종 책임을 지고 위험관리 정책을 직접 심의·의결하도록 한 점이다. 경영진은 '총괄관리-리스크관리-내부감사'로 이어지는 3단계 통제 체계를 구축해야 한다. 또한 금융사는 '주요 제3자'를 지정해 위험평가와 재해복구 훈련을 강제하고, 계약 전 실사부터 종료 후 데이터 파기까지 전 주기를 점검해야 한다.

외부 IT 업체에 대한 위험 식별 및 정기 점검도 구체화된다. 금융회사는 제3자의 재무 건전성, 제공 서비스, 보유 데이터, 암호화 방식, 사고 대응 체계 등을 반기 1회 이상 점검하고 최신 정보로 유지해야 한다.

◇금융권 "체계적 대응 준비... 업무 중요도 따른 탄력 적용 기대"

금융권은 외부 IT 서비스 확대에 맞춰 위험관리 기준을 정비할 필요가 있다는 데 공감하며, 기존 내부통제 체계를 바탕으로 단계적인 준비에 나서겠다는 입장이다.

금융권 관계자는 “당국 가이드라인에 맞춰 철저한 위험관리를 바탕으로 디지털 혁신이 이뤄질 수 있도록 적극적으로 임할 예정”이라고 밝혔다.

또 다른 금융권 관계자는 “IT 업무 위탁 확대에 따른 리스크 관리 필요성에 공감한다”며 “아직 초기 단계인 만큼 기존 내부통제 체계를 바탕으로 발표된 기준에 맞춰 차질 없이 단계적으로 대응할 계획”이라고 설명했다.

다만 복잡한 재위탁 구조와 특정 클라우드 업체에 대한 집중 위험은 개별 금융회사가 통제하기 어려운 영역이다. 금융회사에 최종 책임을 부여하는 것과 함께 당국이 공통된 ‘주요 제3자’ 선정 기준을 마련하고 보안·장애 정보를 공유하는 체계를 갖추는 것이 제도 안착의 과제로 남는다.