금융 IT 외주 사고 시 이사회 최종 책임…금감원, '제3자 IT리스크 가이드라인' 마련

[사진= 금융감독원 제공]

금융회사의 정보기술(IT) 업무 외부 위탁에 따른 사고 발생 시 이사회가 최종 책임을 지는 가이드라인이 신설된다. 클라우드·소프트웨어 서비스(SaaS) 장애나 수탁업체 해킹 등 외부 IT 리스크가 금융 시스템 전반으로 전이되는 상황을 막으려는 조치다.

금융감독원은 7개 금융 업무 권역별 협회·중앙회와 함께 '금융회사의 제3자 IT리스크 관리 가이드라인'을 마련했다.

이번 가이드라인은 금융회사 이사회가 제3자 IT 리스크 관리의 최종 책임을 지도록 명시했다. 위험 관리 정책 수립과 감독 주요 사항을 이사회 심의·의결 안건으로 규정했다. 경영진은 위험 관리 체계를 구축·운영하며, 이를 실무적으로 총괄할 총괄관리부서를 지정해야 한다. 금융회사는 총괄관리부서, 리스크관리부서, 내부감사부서로 이어지는 3단계 통제 체계를 구축해야 한다.

수탁 IT 기업에 대한 검증과 사후 관리 기준도 구체화했다. 금융회사 업무나 소비자에게 영향을 미치는 곳은 '주요 제3자'로 지정해 반기 1회 이상 리스크를 평가하고 재해복구 훈련과 백업 점검을 의무화한다. 계약 전 단계에서는 현장 실사로 역량을 검증하고, 계약 중에는 연 1회 이상 이행 현황을 점검하며, 계약 종료 시에는 정보 파기와 접근 권한 말소를 확인하는 절차를 갖춰야 한다.

금감원과 각 업무 권역 협회는 모범규준 제정을 거쳐 오는 11월부터 가이드라인을 순차 적용할 계획이다.

류태웅 기자 bigheroryu@etnews.com