금융IT 사후점검 중심 감독

내부감사협의제 대상 45개사로 확대… 금융사 자율시정 강화 유도
금감원 '금융감독업무 설명회'
금융감독원이 올해 금융IT 감독방향으로 금융회사 스스로의 내부감사 및 자체시정 활동 기능 강화를 제시했다.

진웅섭 금융감독원장은 22일 '2016년 금융감독업무 설명회(금융IT 부문)'를 열고 "민간 중심의 자율보안체계로의 금융보안 패러다임 전환에 맞춰 사전규제보다는 사후점검 및 원칙중심의 감독정책을 추진해 나갈 것"이라고 말했다.

우선 금감원은 IT부문 내부감사협의제도를 개선해 금융회사 스스로 내부감사 및 자체시정 활동을 강화해 나가도록 유도할 계획이다. 내부감사협의제도란 경미하고 자율시정이 가능하거나 경영 건전성 또는 소비자 피해가 적은 사항은 금융회사가 스스로 조치하고, 그 결과를 보고하는 제도이다. 금감원은 내부감사협의제도 적용 대상을 지난해 38개사에서 올해 45개사로 확대하기로 했다.

이와 함께 새롭게 출시되는 전자금융서비스와 관련해서는 비조치의견서 및 법령해석을 적극 활용해 금융회사가 불이익을 받지 않도록 지원한다는 계획이다. 또 최근 빠르게 도입되고 있는 지문정보, 홍채정보와 같은 생체정보를 활용한 핀테크 기술과 관련해서도 금융소비자가 느낄 수 있는 불안감을 해소하기 위해 금융권 이상거래탐지시스템(FDS) 정보공유 및 고도화를 지속적으로 추진해 나가기로 했다.

아울러 금감원은 그간 금융회사의 고질적 약점이었던 개인정보보호 분야에 대해 보다 체계적인 감독규정을 적용할 방침이다. 우선 개인정보보호법상 지난해 8월부터 대대적으로 적용된 '주민등록번호 사용 법정주의'를 금융 감독업무에도 전면 적용한다. 주민등록번호를 수집할 때 법적으로 허용한 범위 안에서만 수집하고 그 외 경우에 대해서는 주민등록번호 수집을 전면 금지한 것이 법정주의의 골자다.

현행 법령상 금융거래를 위해서는 주민등록번호 수집을 허용하고 있다. 이에 따라 금감원은 금융회사가 금융거래에 한해 주민등록번호를 수집하는지 여부를 철저히 감독하고, 수집한 정보에 대해서는 '예외없는' 암호화를 시행토록 했다.

과거 금감원은 금융회사가 주민등록번호 암호화를 시행하지 않더라도 '위험성 보고서'를 제출해 자사 시스템의 안정성을 입증하면 암호화를 하지 않더라도 안전하다고 간주했다. 그러나 지난 2014년 1억건의 카드정보 유출사고 이후 암호화 예외조치를 인정하는 것이 얼마나 위험한 일인지를 뼈저리게 겪고 난 후 주민등록번호는 위험도 분석 대체가 불가능하다고 못박았다.

최근 모바일뱅킹 등 급속도로 늘어나고 있는 스마트폰 앱 서비스 관련 개인정보보호 규정도 신설했다. 특히 스마트폰앱이 무분별하게 정보를 수집하지 못하도록 금감원이 상시 감독하고 조사한다는 방침이다.

금융당국이 사전 규제를 줄이고 사후 감독을 강화하는 만큼 금융회사의 '책임'도 커졌다. 개정 신용정보법 및 개인정보보호법에 따라 금감원은 정보유출 등의 사고가 발생했을 경우 해당 금융회사에 대해 징벌적 과징금을 물릴 수 있다.

현행 법정 과징금은 그 규모가 미미해 '솜방망이 처벌' 논란이 일었으나 징벌적 과징금제를 통해 과징금 수위를 대폭 강화하면 금융회사의 경각심도 높아진다는 판단에서다.

아울러 법정손해배상제를 통해 정보유출에 대한 실질적인 피해자인 소비자 배상 책임을 강화했다. 다만 소비자 배상이 천문학적인 금액이 될 경우 금융회사의 건전성에 심각한 영향을 미칠 것으로 판단, 금융회사가 의무적으로 배상책임보험에 가입토록 권고했다.

강은성기자 esther@dt.co.kr