금감원, 금융사 외부 IT 위탁 관리 강화…제3자 리스크 가이드라인 마련

이사회 최종 책임·경영진 역할 명확화

계약 전부터 종료까지 단계별 관리

업권별 모범규준 거쳐 11월 이후 시행

금융감독원이 금융회사의 외부 IT 서비스 위탁에 따른 제3자 리스크 관리 가이드라인을 마련했다.ⓒ금융감독원

금융감독원이 금융회사의 클라우드와 서비스형 소프트웨어(SaaS) 등 외부 IT 서비스 이용 확대에 대응해 제3자 IT 리스크 관리 기준을 마련했다.

이사회와 경영진의 책임을 명확히 하고 계약 체결부터 종료까지 전 과정에 걸쳐 위험을 관리하도록 해 금융사와 금융소비자 피해를 예방하겠다는 취지다.

금감원은 29일 은행연합회와 금융투자협회, 생명·손해보험협회, 여신금융협회, 저축은행중앙회, 한국핀테크산업협회 등과 함께 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했다고 밝혔다.

업권별 모범규준 제정을 거쳐 오는 11월 이후 시행할 계획이다.

가이드라인은 금융회사가 클라우드와 SaaS 등 외부 IT 서비스를 활용하거나 정보처리 업무를 위탁하는 과정에서 발생할 수 있는 해킹과 정보유출, 서비스 장애 등의 위험을 체계적으로 관리하기 위한 최소 기준을 제시한 것이다.

우선 이사회가 제3자 IT 리스크 관리의 최종 책임을 맡고, 경영진은 관리 체계를 구축·운영하도록 역할을 명확히 했다.

금융회사는 총괄관리부서를 지정해 안전성 확보 조치와 위탁 현황 관리, 리스크 평가 등을 수행하고 총괄관리부서·리스크관리부서·내부감사부서로 이어지는 3단계 내부통제 체계를 운영하도록 했다.

또 위탁업체의 재무건전성과 정보보호 체계, 사고 대응 능력 등을 반기마다 점검하고, 금융회사 업무나 금융소비자에게 중대한 영향을 미치는 '주요 제3자'는 별도로 지정해 강화된 관리 체계를 적용하도록 했다.

위험을 통제하거나 경감할 수 없는 경우에는 계약을 중단하거나 이사회가 계약 유지 여부를 결정하도록 했다.

계약 단계별 관리 기준도 구체화했다. 계약 체결 전에는 현장 실사 등을 통해 정보보호 관리체계와 서비스 역량을 확인하고, 계약 기간에는 연 1회 이상 이행 상황을 점검하도록 했다.

계약 종료 이후에는 정보자산 반납과 접근권한 말소, 정보 완전 삭제 등 후속 조치를 이행하도록 했다.

금감원은 "업권별 협회와 함께 가이드라인 이행 실태를 점검하고 미비점을 개선·보완하는 등 지속 고도화할 예정"이라고 말했다.