신한은행 검사결과제재 (2021-02-23)

은행법 제34조의2 제1항 제3호 등에 따르면 은행은 은행의 부수업무와 관련하여 은행이용자에게 정상적인 수준을 초과하여 재산상 이익을 제공하는 행위를 해서는 아니 되며, 정상적인 수준에 해당하기 위해서는 미리 준법감시인에게 보고하고 그 제공한 날부터 5년간 제공목적, 제공내용, 제공일자 및 제공 받는 자 등에 대한 기록을 유지하며, 사전에 이사회 의결을 거치고, 재산상 이익의 제공에 대한 적정성 점검 및 평가절차 등을 포함한 내부통제기준을 운영하는 등의 조치를 취하여야 함에도 불구하고, 기관고객부는 2018.4.30. ◎◎◎◎◎ 시금고 운영 금융기관 지정 관련 입찰에 참여한 후 2018.5.3. ◎◎◎◎◎를 대상으로 진행한 제안 설명회에서 시금고 운영을 위한 전산 시스템 구축비용을 1,000억원으로 제안하고, 2018.5.4. 시금고 운영 금융기관으로 선정된 이후 2018.6.19. ◎◎◎◎◎와 전산시스템 구축비용 1,000억원 등을 포함하는 금고 운영 약정서를 체결하였으나 - 위 전산시스템 구축 비용(1,000억원) 중 일부*(393.3억원)는 시금고 운영 계약을 이행 하는데 반드시 필요하지 아니하는 사항으로서 거래상대방에게 제공하는 재산상이익에 해당됨에도, 정상적인 수준에 해당하기 위해 법령상 요구되는 은행 내부의 절차인 재산상 이익 제공의 적정성에 대한 점검 평가, 홈페이지 공시, 준법감시인 보고 및 이사회 의결 등을 거치지 아니한 사실이 있음 * 전산시스템 구축비용(1,000억원) 중 차세대 전산시스템 구축비용 등 393.3억원(필수 전산시스템 구축비용(259.5억원) 및 유지보수 등 운영비용(347.2억원)은 시금고 운영 계약상의 의무 이행을 위한 비용으로 재산상 이익에서 제외) ㈏ 사외이사에 대한 충분한 정보 제공의무 위반

금융회사의 지배구조에 관한 법률 (이하 ‘지배구조법’이라 함) 제18조 제1항 등에 따르면 금융회사는 사외이사의 원활한 직무수행을 위하여 충분한 자료나 정보를 제공 해야 하고 이를 제공하지 않거나 거짓으로 제공하여서는 아니 되는데도 기관고객부는 2018.4.30. ◎◎◎◎◎ 금고 운영 금융기관 지정 관련 입찰 참여를 위해 ◎◎◎◎◎에 제공할 출연금에 대한 이사회의 의결을 받는 과정에서 - 출연금 한도 산출시 전산구축 비용이 1,000억원 소요되는데도 이사회 안건에는 전산 구축 비용을 650억원만 반영하여 출연금 한도가 약 333억원이 과다 산출되는 등 사외 이사들에게 거짓 또는 불충분한 정보를 제공하였음 < 관련법규 >

(舊) 신용정보의 이용 및 보호에 관한 법률 (이하 ‘신용정보법’이라 함) 제33조 및 제40조 등에 의하면 은행은 개인신용정보를 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하여야 하며, 신용정보주체로부터 별도의 동의를 받지 않고 이를 전화, 전자우편 및 휴대전화 문자메시지 등을 이용한 영리목적의 광고성 정보를 전송하는 행위에 이용하면 아니되는데도

○ 등 232명의 개인신용정보를 이용하여 영리목적의 광고 우편(DM)을 발송(232명, 468건)함으로써 고객이 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적 외로 고객의 개인신용정보를 이용 하였으며,

○ 등 8,598명의 개인신용정보를 전화, 전자우편 및 휴대 전화 문자메시지를 통한 영리목적의 광고성 정보 전송행위(8,598명, 40,301건)에 이용 하였음 ㈏ 신용정보전산시스템에 대한 관리적 보안대책 수립·시행의무 위반

신용정보법 제19조 및 (舊) 신용정보법 제20조 등에 의하면 은행은 신용정보전산 시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경 훼손 및 파괴, 그 밖의 위험에 대하여 기술적 물리적 관리적 보안대책을 수립 시행하여야 하고, 이를 위해 신용정보관리·보호인은 신용정보 관리 및 보호 실태와 관행에 대한 정기 적인 조사 및 개선과 임직원의 신용정보보호 관련 법령 및 규정 준수 여부에 대한 점검 등을 실시해야 하며, 신용정보 유출 등을 방지하기 위한 내부통제시스템을 구축 및 운영하여야 하는데도 신용정보관리·보호인은 2017.1월∼2019.6월 기간 중 광고성 정보 전송 행위와 관련하여 실제 고객이 작성한 동의서 내용에 대한 점검을 소홀히 하였고, 고객 동의서 스캔 검증시스템을 도입하고도 사후 관리 및 적정성 점검을 소홀히 하여 동의서 개정사항이 반영되지 않은 채 장기간 스캔 검증시스템이 오류 작동하게 되는 등 내부통제시스템을 부적정하게 구축 운영하여 (2)(가)와 같이 고객동의가 없었음에도 영리목적의 광고성 정보 전송행위에 개인신용정보가 이용되는 결과가 초래되도록 한 사실이 있음 < 관련법규 >

(舊) 신용정보법 제17조 등에 의하면 신용정보회사등으로부터 신용정보의 처리를 위탁 받은 자(수탁자)는 위탁받은 업무 범위를 초과하여 제공받은 신용정보를 이용하여서는 아니 되므로, 신한은행이 ◇◇카드㈜로부터 신용카드회원 모집업무*와 관련하여 제공받은 고객정보는 그 제공목적에 직접 해당되는 업무 이외의 다른 용도로 이용할 수 없는데도 * 신한은행과 ◇◇카드간 카드회원 모집업무 등에 관한 위·수탁계약 준법감시부, 감사부 및 인사부는 2017.4.30.～2019.11.26. 기간 중 업무 위·수탁계약에 따라

◇카드㈜로부터 매월 제공받아 은행 데이터베이스(DB)에 보관중인 신한은행 임직원의 신용카드 관련 개인신용정보*를 감사관리시스템에 등록하고 내부감사 목적으로 총 197,822건(최소 6,525회) 부당하게 이용하였음 * 신용카드 이용액, 현금서비스 이용액, 신용카드 연체액 등 ㈏ 임직원 가족의 개인신용정보 부당 이용

(舊) 신용정보법 제32조 및 제33조에 의하면 신용정보집중기관으로부터 개인신용정보를 제공받으려는 자는 해당 신용정보주체로부터 서면 등의 방식으로 개인신용정보를 제공 받을 때마다 개별적으로 동의를 받아야 하며, 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하여야 하는데도 감사부는 임직원의 금융사고 조사 및 예방 명목으로 임의보관 중인 전체 임직원 및 그 가족의 신한은행 고객번호를 단말기(고객정보종합조회)에 입력하여 개인신용정보를 조회하는 방식으로 2017.5.4.~2019.9.16. 기간 중 ○

○ 등 임직원 가족 67명의 동의 없이 신용정보집중기관으로부터 개인신용정보* 79건을 부당하게 제공받아 금융사고 조사 등에 이용하였음 * 대출정보, 연체정보 등 ㈐ 신용정보관리 보호인의 신용정보 보호대책 수립·운용 소홀 등

신용정보법 제19조, (舊) 신용정보법 제20조 등에 의하면 신용정보회사 등은 신용 정보전산시스템에 대한 접근통제, 신용정보 취급·조회 권한의 직급별·업무별 차등부여 등을 포함한 기술적·물리적·관리적 보안대책을 수립·시행하여야 하며, 신용정보관리 보호인은 신용정보의 관리 및 보호 실태와 관행에 대한 정기적인 조사를 실시하고 임직원 등의 신용정보보호 관련 법령 및 규정의 준수 여부를 점검해야 하는데도 신용정보관리․보호인은 개인신용정보 등에 대한 접근통제, 권한부여 및 점검 등을 소홀히 하여 위 (가)와 같이 ◇◇카드㈜로부터 수령한 임직원의 신용카드 관련 신용정보가 위 수탁업무가 아닌 내부감사 목적으로 장기간 사용되도록 하였으며, 위 (나)와 같이 임직원 가족의 동의 없이 신용정보집중기관으로부터 개인신용정보를 부당하게 제공 받아 금융사고 조사 등에 이용되는 결과를 초래하였음 < 관련법규 >

(舊) 신용정보법 제32조 등에 의하면 신용정보제공·이용자가 개인신용정보를 타인 에게 제공하려는 경우에는 해당 신용정보주체로부터 서면 등의 방식으로 개인신용정보를 제공할 때마다 미리 개별적으로 동의를 받아야 하며, 동의를 받기 위해 개인신용정보를 제공받는 자, 개인신용정보를 제공받는 자의 이용 목적, 제공하는 개인신용정보의 내용, 개인신용정보를 제공받는 자의 정보 보유 기간 및 이용 기간을 미리 알려야 하는데도

◆ 등 29개 영업점은 2019.1.31.~2019.10.31. 기간 중 38명의 고객에게

□ 저축은행 등 계열사의 상품(대출, 펀드 등)을 소개 영업하는 과정***에서 고객으로부터 서면 등의 방식으로 동의를 받지 않고 해당 계열사에 개인신용정보******를 제공하였으며, * 은행에서 취급하지 않는 상품을 고객이 원할 경우 은행은 계열사(저축은행, 증권사 등)에 고객을 소개(개인신용정보 제공)하고 소개받은 해당 계열사의 담당자가 고객에게 구체적인 상품을 설명 하고 가입업무 진행 ** 개인식별정보, 대출정보 등

신용정보법 제19조 등에 의하면 신용정보제공·이용자가 다른 신용정보제공·이용자와 서로 신용정보를 제공하는 경우에는 신용정보 보안관리 대책을 포함한 계약을 체결 하여야 하는데도

■■지점은 위 단체성대출(㈎-②와 동일)과 관련하여 농기계 판매업체 △△△△△ ㈜와 2019.10월 단체성대출 약정을 체결하면서 개인신용정보를 제공하였음에도 이와 관련하여 신용정보 보안관리 대책을 포함한 계약(보안관리약정)을 체결하지 않은 사실이 있음 < 관련법규 >

자본시장과 금융투자업에 관한 법률 (이하 ‘자본시장법’이라 함) 제166조의2 등에 의하면 투자매매업자는 파생거래에서 발생할 수 있는 손익이 위험회피대상에서 발생할 수 있는 손익의 범위를 초과하지 아니하는 위험회피 목적 거래에 한하여 일반투자자와 장외파생상품 거래를 할 수 있으며, 이 경우 일반투자자가 회피하려는 위험의 종류와 금액을 확인하고 관련 자료를 보관하여야 하는데도 ▲▲▲지점 등 125개 영업점은 2017.1.2.~2018.12.31. 기간 중 일반투자자인 ▽▽▽▽▽ ▽▽㈜ 등 251개 기업과 외환파생상품을 거래하면서 수출입실적 등 위험회피 대상의 종류와 금액을 확인하지 않거나 관련 증빙서류를 보관하지 않았으며(405건), ▼▼▼▼▼▼▼▼▼ 등 26개 영업점은 2017.1.2.~2018.12.31. 기간 중 일반투자자인 ㈜ ☆☆☆☆☆ 등 31개 기업과 외환파생상품을 거래하면서 기업의 수출입실적 등을 감안 하여 설정한 연간 거래한도*를 초과하여 위험회피 목적이 아닌 외환파생상품을 거래 (171건, 1억 7,137만달러)를 하였음 * 통상 국내은행은 기업과 외환파생상품 거래시 위험회피대상과 관련한 개별 근거자료를 대신 하여 기업의 수출입실적 등을 제출받아 연간 거래한도를 설정 운영 ㈏ 장외파생상품 거래시 무자격자에 의한 투자권유

자본시장법 제71조 제5호에 의하면 투자매매업자는 투자권유자문인력이 아닌 자에 게 투자권유를 하게 하여서는 아니 되는데도 ★★금융센터 및 ○○○○○금융센터에서는 2017.1.18. ~2018.12.4. 기간 중 파생상품 투자권유 자격을 보유하지 않은 2명의 직원이 ●●●●㈜ 및 ◎◎◎◎㈜에게 외환파생 상품 투자를 권유하였음(60건, 1,599만 달러) ㈐ 장외파생상품 거래시 적합성 원칙 위반

자본시장법 제46조 등에 의하면 금융투자업자는 일반투자자에게 투자권유를 하기 전에 면담·질문 등을 통하여 일반투자자의 투자목적·재산상황 및 투자경험 등의 정보를 파악하고, 일반투자자로부터 서명, 기명날인, 녹취 등의 방법으로 확인을 받아 이를 유지·관리하여야 하는데도

◇◇◇◇

◇ 등 18개 영업점은 2017.1.17.~2018.12.27. 기간 중 일반투자자인

◆

◆◆◆◆㈜ 등 22개 기업에 외환파생상품 계약을 투자권유하면서 일반투자자의 투자 목적·재산상황 및 투자경험 등의 정보를 파악하지 않거나 서명 등의 방법으로 확인을 받아 이를 유지 관리하지 않았음(366건, 4억 5,581만 달러) ㈑ 장외파생상품 거래시 적정성 원칙 위반

자본시장법 제46조의2 제2항 등에 의하면 금융투자업자는 일반투자자의 투자목적· 재산상황 및 투자경험 등에 비추어 해당 파생상품등이 그 일반투자자에게 적정하지 아니하다고 판단되는 경우 그 사실을 알리고, 일반투자자로부터 서명, 기명날인 등의 방법으로 확인을 받아야 하는데도

□□□

□ 등 5개 영업점은 2017.1.12.~2018.9.11. 기간 중 일반투자자인 ㈜■

■

■ 등 5개 기업과 외환파생상품을 거래하면서 동 투자자의 투자목적·재산상황 및 투자경험 등에 따른 투자자등급에 비추어 해당 외환파생상품이 적정하지 아니하다고 판단했음에도 투자자에게 그 사실을 알리지 않거나 서명 등의 방법으로 확인을 받지 않았음(10건, 4,548만 달러) ㈒ 장외파생상품 거래시 설명서 교부의무 및 설명확인의무 위반

자본시장법 제47조 및 제71조 등에 의하면 금융투자업자는 설명의무 및 매매거래 전 정보제공과 관련하여 자본시장법 재47조에 따른 설명의무를 이행하기 위한 설명서를 교부해야 하고, 일반투자자를 상대로 투자권유를 하는 경우 금융투자상품의 내용, 투자에 따르는 위험 등을 일반투자자가 이해할 수 있도록 설명하고, 설명한 내용을 일반 투자자가 이해하였음을 서명, 기명날인, 녹취 등의 방법으로 확인을 받아야 하는데도

은행법 제35조의2 등에 의하면 은행은 그의 대주주(특수관계인 포함)에게 단일거래 금액이 자기자본의 1만분의 10에 해당하는 금액 또는 50억원 중 적은 금액 이상의 신용공여를 한 경우 지체 없이 그 사실을 금융위원회에게 보고하고 인터넷 홈페이지 등을 이용하여 공시하여야 하는데도, 신한은행은 2018.5.3.~2019.9.26. 기간 중 특수관계인에 대한 신용공여 7건이 기준금액을 초과하였음에도 동 사실을 금융위원회에 보고하지 아니하였고 인터넷 홈페이지 등을 이용하여 공시하지 아니하였음 < 관련법규 >

은행법 제52조의2 등에 의하면 은행은 은행이용자를 보호하고 금융분쟁의 발생을 방지하기 위하여 은행이용자에게 부대비용 등 금융거래상 중요 정보를 홈페이지 공시를 통해 제공하는 등 적절한 조치를 마련하여야 하며, 금융거래상의 계약조건 등을 공시함에 있어 은행상품 거래와 관련하여 확정되지 않은 사항을 확정적으로 표시하는 행위, 기타 오해 또는 분쟁의 소지가 있는 표현을 사용 하는 행위를 하여서는 아니 되는데도 여신기획부 등 3개 부서는 은행 내규, 상품설명서 및 신탁계약서에 따라 담보신탁 등기비용을 은행 또는 소비자가 부담하도록 운영*하고 있는데도, 2018.12.5. ~ 2019.12.26. 기간 중 대출상품 96개에 대해 담보신탁 등기비용을 은행이 부담한다고 공시하는 등 거래와 관련하여 확정되지 않은 사항을 확정적으로 표시한 사실이 있음 * 실제로 2018.12.5.∼2019.10.31. 기간 중 부동산 담보신탁을 이용해 담보취득 한 218건 중 47건 (21.6%)은 고객이 등기비용을 고객이 부담 < 관련규정 >

은행법 제34조 등에 의하면 은행은 경영의 건전성을 유지하기 위해 경영지도기준을 지켜야 하며, 은행업감독규정시행세칙 <별표3>, <별표3-2> 등에 따라 BIS기준 자기 자본비율(이하 ‘BIS비율’)을 산정해야 하는데도 아래 ①～③과 같이 해외점포에 대한 시장리스크 및 파생상품거래에 대한 신용리스크 위험가중자산을 2조 630억원 과소계상하고, 자기자본 산출시 자본공제 항목을 일부 누락하여 자기자본을 97억원 과다 계상함으로써 BIS비율을 0.2%p(16.16% → 16.36%) 과다 산출하였음

자본시장법 제108조 제9호 등에 의하면 신탁업자는 부적합투자자* 또는 70세 이상인 일반투자자를 대상으로 신탁재산이 녹취대상 상품**에 운용되는 신탁계약을 체결하는 경우 해당 신탁계약 체결과정을 녹취하여야 하는데도 * 일반투자자의 투자목적·재산상황 및 투자경험 등의 정보를 파악한 결과 녹취대상상품이 적합 하지 아니하거나 적정하지 아니하다고 판단되는 자 ** 자본시장법 시행령 제52조의2 제1항 제1호(파생결합증권) ☆☆☆☆☆ 등 2개 영업점에서는 2018.3.5.~2019.3.19. 기간 중 부적합투자자 또는 70세 이상인 일반투자자와 신탁재산을 주가연계증권(ELS)에 운용하는 신탁계약 16건(10.2 억원)을 체결하면서 해당 신탁계약 체결과정을 녹취하지 아니하였음* * 상품 설명내용이 전혀 없는 무음 녹취파일만 최대 23초 이내로 존재 < 관련법규 >

전기통신금융사기 피해방지 및 피해금 환급에 관한 특별법 (이하 ‘통신사기피해환급법’ 이라 함) 제5조 및 제7조 등에 의하면 금융회사는 피해자가 사기이용계좌의 지급정지 등 피해구제를 신청한 경우 거래내역 등의 확인을 통해 사기이용계좌로 의심할 만한 사정이 있다고 인정되면 즉시 지급정지 조치를 취하고, 지체없이 금융감독원에 명의인의 채권이 소멸되는 절차(이하 ‘채권소멸절차’라 함)를 개시하기 위한 공고를 요청하여야 하며, 계좌 명의인이 지급정지 등에 대한 이의제기를 한 경우에는 이를 접수한 즉시 피해 구제 신청을 한 피해자 및 금융감독원에 통지하여야 하는데도

금융실명거래 및 비밀보장에 관한 법률 (이하 ‘금융실명법’이라 함) 제3조 등에 의하면 은행은 실명확인증표 원본에 의하여 거래자의 실명을 확인한 후 계좌를 개설하여야 하며, 대리인에 의해 그 가족의 계좌를 개설하는 경우 가족관계 확인서류 및 대리인의 실명확인증표를 제시받아 확인하여야 하는데도 ★★★★★★★★ 등 3개 영업점에서는 2017.7.4.~2019.11.20. 기간 중 ○

○ 등 2명 명의로 신규계좌 18건(특정금전신탁 11건, 펀드 7건)을 개설하는 과정에서 명의인 본인이 아닌 가족이 내방하였음에도 명의인 본인이 내방한 것처럼 명의인의 실명확인 증표 사본을 첨부하여 계좌를 개설하였음* * 가족관계 확인서류 및 대리인의 실명확인증표 없이 명의인의 실명확인증표 사본을 첨부하고 명의인 본인이 내방하여 계좌를 개설한 것으로 전산 처리 < 관련법규 >

전자금융거래법 제21조 제2항 및 전자금융감독규정 제13조 제1항 제8호 및 제11호에 의하면 금융회사는 중요도에 따라 전산자료를 정기적으로 백업하여 원격 안전지역에 소산하고, 정보처리시스템의 가동기록은 1년 이상 보존하여야 하는데도 은행은 데이터 백업 및 보관기간을 정의하여 관리하고 운영하면서 중요도에 따른 전산 자료의 보존기간을 잘못 설정함에 따라 ◇◇계(□□□□) 서버의 가동기록이 보존된 로그파일을 가동기록 백업일로부터 1개월간만 보존한 사실이 있음 ㈏ 이용자정보 보호대책 수립·운용 불철저

전자금융거래법 제21조 제2항 및 전자금융감독규정 제13조 제1항 제10호에 의하면 금융회사는 이용자 정보의 조회·출력에 대한 통제를 하고 테스트 시 이용자 정보의 사용을 금지하여야 하는데도 은행은 2019.11.6. ~ 11.10. 기간 중 ‘●●●●●시스템 구축 프로젝트’를 추진하면서 ●●●●●시스템 테스트 시 실이용자 정보가 보관된 운영서버 DB에 접속*하여 이용자 정보의 조회·출력 통제절차 없이 이용자 정보를 사용한 사실이 있음 * 개발서버 데이터베이스를 통해 운영서버DB에 직접 연결(DB Link)하여 이용자 정보를 조회 ㈐ 정보처리시스템에 대한 망분리 불철저

전자금융거래법 제21조 제2항 및 전자금융감독규정 제15조 제1항 제5호에 의하면 금융 회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위 하여 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리하여야 하는데도 은행은 검사대상 기간 중 정보처리시스템의 관리 및 장애대응 등의 목적으로 내부망에 위치한 대용량 저장장치에서 인터넷망에 위치한 동 저장장치 제조·공급사의 모니터링 센터로 시스템 운영상태 및 장애발생 정보를 송신하였고, 검사착수일 현재 내부망에 위치한 서버(◎◎대)에서 불특정 다수가 이용하는 ◎◎◎개 인터넷사이트에 접속이 가능하도록 운영하는 등 전산실 내에 위치한 정보처리시스템을 외부통신망으로부터 물리적으로 분리하지 아니한 사실이 있음 ㈑ 정보처리시스템 관리·통제 불철저

전자금융거래법 제21조 제2항 및 전자금융감독규정 제17조 제1항 제4호에 의하면 금융회사는 공개용 웹서버의 안전한 관리를 위하여 DMZ구간 내에 이용자 정보 등 주요정보를 저장 및 관리하지 아니하여야 하고 거래로그를 관리하기 위한 예외적인 경우 암호화하여 저장 관리하여야 하며, 전자금융감독규정 제32조에 의하면 금융회사는 비밀번호 유출을 방지하기 위하여 숫자와 영문자 및 특수문자 등을 혼합하여 8자리이상으로 설정 및 분기별 1회 이상 변경하고 비밀번호 보관 시 암호화하여 하는데도 은행은 검사착수일 현재 DMZ 구간에서 운영하는 △△△△ 연계 서버의 로그파일에 성명, 주민등록번호, 전화번호 등의 이용자 정보 ▽▽,▽▽▽건(중복제거)을 암호화하지 않고 평문으로 저장하였고, 형상관리시스템 DB 內 비밀번호를 특수문자 등을 혼합하지 않은 채 암호화하지 않고 평문으로 저장·보관하고, ◎◎◎◎◎시스템 DB계정의 비밀번호를 평문으로 저장하였으며,

□계(■■■■) 시스템 등 주요 DB접속을 위한 내부사용자 비밀번호 ◎◎◎개 중 ◎◎◎개(87.8%)를 분기별 1회 이상 변경하지 아니한 사실이 있음 ㈒ 전산원장 변경 관리 불철저

전자금융거래법 제21조 제2항 및 전자금융감독규정 제27조에 의하면 금융회사는 장애 또는 오류 등에 의한 전산원장의 변경을 위하여 변경 전후내용 자동기록 및 보존, 변경내용의 정당여부에 대한 제3자 확인 등이 포함된 전산원장 변경절차를 수립·운용 하여야 하고, 전자금융거래법 제40조 제1항 및 전자금융감독규정 제60조에 의하면 전자금융거래를 위한 외부주문의 경우에는 원장 등 중요 데이터 변경을 금지하여야 하는데도 은행은 검사착수일 현재 본부부서 및 영업점 등의 데이터 수정사항을 처리하기 위해 업무처리시스템(통합단말) 내 전산원장 변경이 가능한 ◎개 화면을 구현·운용하면서 동 화면을 통한 전산원장 변경시 변경 내용의 정당성을 제3자가 확인하는 업무통제 절차를 마련․운용하지 않아 검사대상 기간 중 ◎◎명의 직원(은행 직원 ◎◎명, 외주 인력 ◎명)이 동 화면을 통해 총 ◎,◎◎◎회에 걸쳐 전산원장을 변경하면서 변경내용의 정당여부에 대한 제3자 확인을 수행하지 아니하였으며,

◇◇관리 업무의 경우 외주 인력(◎명)에게 동 화면에 대한 사용권한을 부여하여 검사대상기간 중 총 ◎◎◎회에 걸쳐 전산원장을 변경토록 운용한 사실이 있음 ㈓ IT추진사업 계약관리 불철저

전자금융거래법 제21조 제2항 및 전자금융감독규정 제21조 제4호 및 제8호에의 하면 금융회사는 계약금액, 구축완료일자, 납품방법 및 대금지급방법 등 계약이행에 필요한 내용을 포함한 계약서 작성 기준을 수립·운용하여야 하고, 계약조항을 이행 하지 못하는 사유가 발생하였거나 계약조항을 변경할 경우에는 검사부서의 승인을 받아야 하는데도 은행은 정보시스템 구축사업 계약 시 계약이행 결과에 대한 검수, 대가의 지급, 납품 지연 시 의무 등 계약서 작성 기준을 수립하고도, 검사대상 기간 중 추진한 일부 정보시스템 구축사업(◎건)에 대해 ‘기능·만족도 상이’ 및 ‘이행의 안정성 확보’ 등 은행 내부 사정을 이유로 검수 및 대가의 지급 일정을 유예 하는 등 계약서 작성 기준을 준수하지 않았으며, 이 중 ◎개 정보시스템 구축사업의 경우 계약서상 마련된 지체보상제도에 따라 납품 지연 시 부과하여야 할 지체보상금을 임의로 부과하지 않는 등 검사부서 승인 없이 계약내용을 변경한 사실이 있음 < 관련법규 >

전자금융거래법 제21조의3, 전자금융감독규정 제37조의2 및 전자금융감독규정 시행세칙 제7조의2에 의하여 금융회사는 전자금융기반시설의 취약점을 분석·평가하여야 하고, 평가시에는 기술적 보안 부문 중 데이터베이스 보안항목에 대하여도 분석 평가를 하여야 하는데도 은행은 검사대상 기간 중 실시한 전자금융기반시설 취약점 점검시 전자금융감독규정 시행세칙 제7조의2 별표3의 항목중 데이터베이스 보안 항목에 대한 점검을 누락 하였으며, 그 결과 데이터베이스의 비밀번호가 취약하게 운영되도록 방치한 사실이 있음 < 관련법규 >

전자금융거래법 제22조 제1항 및 제3항, 동법 시행령 제12조에 의하면 금융회사는 전자금융거래의 내용을 추적·검색하거나 그 내용에 오류가 발생한 경우에 이를 확인 하거나 정정할 수 있는 기록을 생성하여 5년의 범위 안에서 대통령령이 정하는 기간 동안 보존하여야 하는데도 은행은 전자금융거래 등을 처리하는 ◐◐계(◑◑◑◑) 시스템을 운용하면서 동 시스템의 전자금융거래와 관련한 전자적 장치의 접속기록, 전자금융거래의 신청 및 조건의 변경, 전자금융거래에 관한 기록 등이 포함되어 있는 로그 데이터에 대하여 장기보관 백업 데이터의 보존기한을 축소함에 따라, 20oo.oo.oo.부터 검사착수일 현재까지 ◐◐계(◑◑◑◑) 거래시 발생되는 로그 데이터를 보존하지 아니한 사실이 있음 < 관련법규 >

자본시장법 제46조 제2항에 의하면 금융투자업자는 일반투자자에게 투자권유를 하기 전에 면담·질문 등을 통하여 일반투자자의 투자목적·재산상황 및 투자경험 등의 정보(이하 ‘투자자정보’라 함)를 파악하고, 일반투자자로부터 서명, 기명날인, 녹취 등의 방법으로 확인을 받아 이를 유지 관리하여야 하며, 확인받은 내용을 투자자에게 지체 없이 제공하여야 하는데도 ●●●

● 등 10개 영업점에서는 2019.9.25. ~ 2019.11.8. 기간 중 판매금액이 제한된 펀드 및 신탁 상품을 판매기간 개시 전에 고객에게 투자권유하고 상품가입 신청서를 작성(신규금액 38억원, 47개 계좌)하게 하면서 고객의 투자자정보를 파악하지 않았음 * 고객은 투자자정보 확인서에 서명만 하고 이후 판매직원이 고객의 투자자정보 확인서 내용을 작성 하였으며, 동 내용을 고객에게 지체 없이 제공하지 않았음 < 관련법규 >

은행법 제34조 등에 따르면 은행은 차주의 차입목적 등에 대한 종합적인 심사 및 분석을 통한 적정한 여신을 공급하여야 하고, 여신 실행 이후 여신자금의 철저한 관리를 통한 용도외 유용을 방지해야 하며, 임대사업자의 임대용 주택 취득 등 불가피하다고 인정되는 경우 등을 제외하고 주택을 구입하기 위한 목적으로 투기지역 소재 주택을 담보로 하는 기업자금대출을 신규로 취급할 수 없는데도 ◎◎◎◎◎◎ 등 2개 지점에서는 2019.2.20.~2019.4.15. 기간 중 ㈜◇◇◇

◇ 등 2개 차주에 대해 당초 용도와는 무관한 주택을 구입하기 위한 목적으로 투기지역 소재 주택을 담보로 하는 기업자금대출을 신규로 취급(2건, 13억 3,500만원)하였음 < 관련법규 >