금융감독원이 외부 정보기술(IT) 서비스 활용 확대로 증가하는 사이버 보안 및 정보 유출 위험에 대응해 금융권 IT 업무 위탁 관련 리스크 관리 가이드라인을 제정한다.
금감원은 금융권의 정보처리 업무 위탁에 따른 제3자 IT 리스크를 효과적으로 관리하기 위한 가이드라인을 마련한다고 29일 밝혔다.
앞서 판매, 결제 등 업무 위탁과 관련한 자율규제가 존재했으나, 사이버 보안 및 정보보호가 중심이 되는 IT 업무의 특성을 충분히 반영하지 못한다는 지적이 지속돼 왔다. 이에 금감원은 이번 가이드라인을 통해 IT 리스크 관리의 최종 책임을 명시하고, 리스크 관리 정책 및 감독 관련 주요 사항을 이사회 심의·의결 대상에 포함시켰다.
구체적으로 경영진은 리스크 관리 체계를 구축하고 시행하는 주체로 지정됐으며 총괄관리부서 운영을 통해 실효성 높은 안전성 확보 조치를 수립해야 한다. 특히 총괄관리부서에는 각 사업 부서의 정보처리 업무 위탁 현황을 총괄하고, 제3자 IT 리스크 현황 및 위탁 계약의 적정성 등을 평가할 책무도 부여된다.
또한 금융사는 제3자 IT 리스크를 체계적으로 관리할 수 있도록 총괄관리부서, 리스크관리부서, 내부감사부서로 구성되는 3단계 통제 체계를 구축해야 한다.
아울러 위탁 계약 상대방인 제3자의 재무 건전성과 업무 관련 주요 정보를 식별하고, 반기 1회 이상 점검을 통해 관련 정보를 최신 상태로 유지해야 한다.
금감원 관계자는 “이번 가이드라인은 제3자 IT 리스크를 체계적으로 관리하기 위한 최소한의 기준과 원칙을 소프트룰 형태로 제시한 것”이라며 “향후 이행 실태를 지속적으로 점검·평가하고 미비점을 개선·보완해 나갈 계획”이라고 말했다.
주다솔 기자 givesol@segye.com
