제주은행

제주은행이 비대면 대출에 필수적인 외부 연계 서비스를 '단일 장애지점'으로 방치하는 등 제3자 리스크 관리에 총체적 부실이 드러나 11일 금융감독원 제재를 받았다. 

핵심 서비스의 통신회선 이중화 누락은 물론, 비상 대응 훈련에서도 이들 업체를 제외한 사실까지 적발된 제주은행은 이에 '경영유의사항' 1건과 '개선사항' 3건을 통보받았다. 

컨트롤타워 없는 3자 관리···계약서엔 '감독 의무'도 누락

제주은행은 다수의 외부 전문업체와 정보처리위탁 계약을 맺고 있으면서도, 이를 총괄 관리하는 부서나 상세 관리 기준 등 관리 체계가 전무한 상태였다. 

이로 인해 외부 업체 관리가 각 부서에서 개별적으로 이뤄지면서, 단일 장애지점 현황, 리스크 관련 문서, 대체수단 등이 체계적으로 관리되지 않았다.

심지어 일부 제3자 서비스 위탁 계약 시, 제주은행의 기준이 아닌 서비스 운영 업체의 계약서로 계약을 진행해 감독당국의 '감독·검사 수용 의무' 등 필수 항목이 계약 내용에서 누락된 사례까지 발견됐다.

비대면 대출 '단일 장애지점' 방치···회선 이중화도 미흡

문제는 비대면 여신 상품의 핵심 기능에서 터졌다. 제주은행은 대출자의 소득·재직 서류 스크래핑 서비스와 대출보증 서비스를 외부 업체에 의존하고 있었다. 

이 서비스들은 대체수단이 없는 '단일 장애지점'으로, 중단 시 비대면 대출 상품 가입 절차가 아예 중단될 수 있는 치명적 위험을 안고 있었다.

그런데도 제주은행은 이들 단일 장애지점에 대한 비상대책을 전혀 마련하지 않았으며, 이들 핵심 서비스와 연결된 통신회선도 이중화하지 않아, 회선 장애 발생 시 관련 전자금융업무가 중단될 우려가 큰 것으로 드러났다.

'반쪽짜리' 비상 훈련···IT 변경 감사는 '수박 겉핥기'

비상 대응 훈련도 '반쪽짜리'에 그쳤다. 제주은행은 반기마다 재해복구전환훈련을 실시하면서도, 정작 비대면 대출의 '아킬레스건'인 이들 단일 장애지점에 대해서는 연계 훈련을 한 번도 실시하지 않았다.

내부통제 절차인 프로그램 변경 관리도 부실했다. IT부서가 프로그램을 변경할 때 정당성 검증이나 테스트 절차에 대한 점검이 미흡했으며, 일부 테스트 결과 문서는 개발 요청 사항과 다른 내용으로 작성된 사례도 있었다. 

감사부서 역시 프로그램 변경 기록의 '적정성'에 대한 사후감사를 수행하지 않고, 긴급 변경 사유 등만 점검하는 데 그쳐  변경통제 절차가 소홀하게 운영되고 있었다.