FSS SANCTION · 3803

한국씨티은행 검사결과제재 (2015-07-27)

금융감독원 · 2015-07-27 · 금융감독원 제재

핵심 정리

공식 원문 구조화 · 문장 임의 생성 없음

제재조치

기관 · 개선 6건, 경영유의 15건

임원 · 주의 1명

직원 · 조치의뢰 1건

주요 위반사항

조치의뢰사항 이번 검사착수일 현재 씨티은행 □□본부는 다음과 같이 정보처리시스템 보안대책을 철저히 이행하지 못한 사실이 있음(검사기간중 조치 완료) ① ●●●●●●부는 정보처리시스템 관리용 단말기인 IT운영자용 단말기(39대)에 대해 씨티그룹 메일 송·수신(외부메일 발송제한) 및 그룹웨어(내부 업무메신저 포함) 접속을 허용하는 등 보안통제가 미흡하게 운영되고 있었으며, ② ○○○○부는 DMZ구간에 위치한 공개용 인터넷뱅킹 서버(2대)의 로그파일에 고객정보약 ○○건이 반복적으로 생성․삭제되면서 암호화 없이 저장되어 있었음

확인된 위반 사실 주의사항 ⑴ 임원 특별성과급 지급업무 불철저 ｢은행법｣ 제23조의4, ｢은행법시행령｣ 제17조의4, 한국씨티은행 ｢지배구조내부규범｣ 제5조 및 ｢이사회규정｣ 제8조 등에 의하면 임원에 대한 특별성과급은 이사회 의결 절차를 거쳐 지급되어야 하는데도, 前 ▲▲본부 부행장 ■■■은 2010.11.10. 한국씨티은행 임원 2명(◫◫◫, ◑◑◑)이 씨티그룹 본사로부터 특별성과급 지급대상으로 선정된 사실을 인지하고도 2013.2.21. ○○원(◫◫◫ ○○원, ◑◑◑ ○○원), 2014.2.24. ○○원(◫◫◫ ○○원, ◑◑◑ ○○원)의 특별성과급이 지급될 때까지 동 성과급 지급 결정을 위한 이사회 안건 부의 절차를 이행하지 아니하였음

확인된 위반 사실 개선사항 ⑴ 개별평가 대상 손상여신의 회수예상가액 산정 방법 불합리 부동산 담보가 있는 개별평가 대상 손상여신에 대한 회수예상가액을 산정하면서 담보 부동산이 즉시 회수된다고 가정하고 있는바, 이로 인하여 회수예상가액이 과대평가되고 대손충당금이 과소적립되어 불합리하므로 담보 부동산으로부터 발생하는 미래현금흐름의 예상발생시기를 합리적으로 추정하는 등 개별평가 대상 부동산 담보 손상여신의 회수예상가액 산정 방법을 합리적으로 개선하시기 바람 ⑵ 다국적기업 신용등급 평가 체계 불합리 은행은 신용등급 평가 시 다국적기업이 모회사 및 관계회사의 불완전지원을 제공받는 경우 총 여신한도 5천만불 미만 차주에 대하여 단일차주기준 신용등급을 별도로 산정하지 않고, 동 불완전지원을 이유로 모기업 등의 신용등급에 연동하여 높은 신용등급을 부여하고 있으며, 조건부 지급보증서, 서면지원(Letter of Support, Letter of Comfort, Letter of Awareness) 및 구두확인 통상 모기업 등의 신용등급보다 1단계 낮은 등급 총 여신한도 5천만불 이상 차주에 대하여는 불완전 지원 효과를 감안하여 단일차주기준 신용등급을 산출하고도, 최종등급은 동 효과를 재차 반영하여 모기업의 신용등급의 1단계 아래까지 상향 조정하고 있어 법적 구속력이 없는 불완전 지원의 효과가 과대평가될 우려가 있으므로, 원칙적으로 여신한도에 상관없이 불완전지원 효과를 배제한 단일차주기준 신용등급을 산출하고, 예외적으로 불완전지원의 효과를 감안하여 최종 신용등급을 조정하는 경우 구체적인 조정기준을 마련하는 등 신용등급 평가 체계를 개선하시기 바람 ⑶ 경영자문료 회계처리 불합리

□□□부는 씨티그룹 본사의 경영자문료 배분금액이 결산 시점에는 확정되지 않았다는 이유로 전년도 배분 확정금액을 당해연도 추정치로 결산에 반영하고 있으나, 추후 확정된 경영자문료 배분금액과 결산에 반영된 금액이 큰 차이를 보이고 있어, 재무제표가 왜곡되는 상황이 발생하고 있으므로, 씨티그룹 본사로부터 결산시점까지 최선의 추정치를 받아 검토하고, 결산에 반영하는 등 관련 회계처리 방법을 합리적으로 개선하시기 바람 ⑷ 성과보상체계 불합리 성과평가 결과에 따른 보너스 지급률(bonus grid)을 지나치게 광범위(○○～○○% 등)하게 설정하여 평정자가 지급률 범위 이내에서 임의의 성과급 지급률을 결정토록 하고 있을 뿐만 아니라, ◎◎◎ 및 ◍◍◍◍◍◍◍이 보너스 지급률 범위를 ±○○% 범위 내에서 조정할 수 있도록 허용함에 따라, 성과 최우수자에게 최하위자보다 낮은 보너스 지급률을 적용하거나, 동일 성과자에게 보너스 지급률을 ○○～○○%등 적용하는 등 성과보상체계가 불합리하게 운용되고 있으므로, 앞으로 성과와 보상 간 연계를 강화하는 방향으로 성과보상 제도를 개선하시기 바람 ⑸ 인터넷뱅킹 보안 강화 인터넷뱅킹 업무 중 ID 찾기/비밀번호 변경 및 자금 이체 시 본인확인을 위해 추가인증을 실시하고 있으나, SMS 및 전화ARS 추가인증 시 서버에서 인증 성공여부를 별도로 검증하지 않아 PC에 다운된 추가인증 화면의 웹페이지(HTML) 소스 조작을 통해 인증받지 않고 접속이 가능하므로 인터넷뱅킹 인증관련 부문을 재점검하여 보완하도록 개선하시기 바람 ⑹ 업무용 단말기 보안 강화 업무용 단말기에 씨티 표준환경(Wintel)과 사용자 계정권한(SOE ID)을 적용하여 내부 정보시스템 접근, 외부 인터넷 및 보조기억매체 쓰기를 통제하고 있으나, 직원(외주직원 포함) 개인용 노트북에 본인 IP 설정 후 로그인 시 내부망 연결 및 파일서버 접속이 가능하여 암호화 되지 않은 개인정보 파일을 동 노트북에 저장이 가능하고 USB매체 등의 부팅을 통한 단말 관리자권한 획득 및 보조기억매체를 통한 자료의 외부 반출이 가능할 뿐만 아니라 단말기 설정값 변경을 통한 외부 자료전송이 가능하는 등 보안이 취약하므로 미인가 단말기의 내부 정보처리시스템 접근 통제, 단말기 하드디스크 사용자영역 암호화 또는 USB포트의 물리적 봉인 등 보안을 강화토록 개선하시기 바람 윈도우 시스템 설정값(레지스트리) 변경으로 외부 금지 인터넷사이트 접속 가능

확인된 위반 사실 경영유의사항 ⑴ 성과보상정책의 독립성 강화 ｢은행권 성과보상체계 모범규준｣에 의하면 은행 ◎◎◎◎◎는 독립적으로 보상정책을 수립하고 업무를 수행하여야 하는데도, 보상정책과 이해관계가 있는 ▢▢▢이 ◎◎◎◎◎의 위원으로 참여하면서 자신의 성과보상 내역이 포함된 주요 안건을 심의하고 의결에도 참여하고 있어 독립적인 보상정책 수립을 저해할 우려가 있으므로 ▢▢▢의 ◎◎◎◎◎ 참여를 배제하는 등 보상정책이 경영진으로부터 독립적으로 수립․운영되도록 할 필요가 있음 ⑵ 고객정보 관리체계 강화 고객에게 제휴서비스 제공 등을 위해 제휴업체로 개인(신용)정보를 제공하는 경우 개인(신용)정보의 제공현황을 전산으로 관리하고 있지 않아 개인(신용)정보가 제3자에게 제공되는 현황 파악이 곤란하고, 고객의 상품·서비스 해지 또는 동의철회 요청에 대해 제휴업체로부터 정보회수 또는 정보제공 중단 조치가 법률상 정해진 기한 내에 이루어지지 못할 수 있으므로 소관부서별·제휴서비스별·제공처별·정보주체별 개인(신용)정보 제공내역 및 제공이력을 관리할 수 있는 전산시스템을 구축하여 고객정보관리를 강화할 필요가 있음 검사대상기간 중에 대출금 원금 또는 이자의 3개월 이상 연체 등 신용정보 등록 사유가 발생한 ○○개 거래처의 연체정보를 종합신용정보집중기관에 지연 등록하여 은행연합회로부터 ‘신용정보 제재금’을 부과받은 사례가 발생하였고, 2012.1.∼2014.3. 기간 중 ○○건을 지연등록하여 ○○원의 제재금 발생 ○○개 거래처의 상각채권에 대한 특수채권 편입정보를 장기간 등록하지 않는 등 신용정보 등록 관리업무가 소홀히 이루어지고 있으므로, 검사기간 중 특수채권으로 등록완료 신용정보 등록의 지연여부를 정기적으로 점검할 수 있는 절차를 마련하고, 등록기한 내에 자동등록이 될 수 있도록 전산시스템을 개선하는 등 신용정보 등록업무에 대한 관리를 강화할 필요가 있음 ⑶ 유가증권 등 거래내역 신고제도의 실효성 제고 한국씨티은행의 ｢임직원투자세칙｣ 및 ｢윤리강령｣ 등에서 미공개 중요정보를 이용한 임직원의 유가증권 및 상품 거래를 방지하기 위하여 관련 임직원들로 하여금 증권거래내역 등을 신고하도록 하는 제도를 운영하고 있으나, 유가증권 거래내역 보고 및 임직원 금융투자상품 거래내역 보고 미공개 중요정보 접근 가능성이 높은 영업점의 기업금융 담당 심사역(기업금융RM)이 신고대상에서 제외되어 있고, 2013. 1/4∼3/4 기간 중 신고대상 임직원들의 신고기한 준수율이 4.3%에 불과하므로, 유가증권 등의 신고대상 임직원 범위를 합리적으로 조정하고 신고대상자들이 신고기한을 철저히 준수토록 하는 방안을 마련하는 등 불공정거래행위 방지 신고제도의 실효성을 제고할 필요가 있음 ⑷ 감사업무의 독립성 강화 ㉮ 감사위원회 보조조직 ｢은행업감독규정｣ 제91조 등에 따르면 감사직무 수행의 독립성을 위하여 감사위원회 보조조직의 부서장 및 직원에 대한 임면은 감사위원회의 결의에 의한 동의 절차를 거쳐야 하고, 검사역에 대한 근무평정 및 신분보장에 대해서도 별도의 우대 기준을 마련하여 운영하여야 하는데도 은행은 ｢감사위원회규정｣(○○○○.○○.○○.) 및 ｢감사본부장직무규정｣(○○○○.○○.○○.)을 개정하면서 검사부서 부서장의 임면에 대한 감사위원회 동의 절차 및 검사역에 대한 근무평정 우대방안 마련 조항을 삭제하였는바, 이는 감사직무 수행의 독립성에 부정적인 영향을 미칠 우려가 있으므로 ｢은행업감독규정｣ 등의 취지가 관련 내규에 반영되도록 할 필요가 있음 ㉯ 씨티그룹과의 관계 ○○○○.○○.○○. 채택된 ｢한국씨티은행 내부감사 헌장｣에 따르면 내부감사 업무는 감사위원회의 감독과 씨티그룹 최고감사책임자 또는 그가 위임한 자의 조언을 받아 독립적으로 수행토록 되어 있으나, 내부감사 업무 자체에 대해 씨티그룹의 조언을 받을 경우 감사직무 수행의 독립성이 훼손될 우려가 있고, 연간 감사계획 수립, 일상적인 검사업무 등 내부감사의 주요 업무에 대하여 씨티그룹 감사담당자의 사전 동의를 받는 등 감사위원회의 보조조직인 ▢▢▢▢가 감사위원회의 지휘·감독을 받아 독립적으로 업무를 수행하지 못하고, 실질적으로 씨티그룹 감사담당자의 지휘·감독을 받아 업무를 수행함으로써 감사직무 수행의 독립성에 대한 우려가 증대되고 있으므로, 감사직무의 독립성을 강조하는 은행업감독규정 제91조 등의 취지가 ｢한국씨티은행 내부감사 헌장｣ 등에 반영되도록 할 필요가 있고, 감사위원회의 보조조직인 ▢▢▢▢는 동 위원회의 지휘·감독을 받아 업무를 수행한다는 원칙을 준수하여야 하며, 동 위원회의 사전 승인을 받지 아니하고 ▢▢▢▢의 인사 및 예산, 감사계획 수립, 일상적인 검사업무 등에 대해 씨티그룹 감사담당자와 사전에 협의하는 일이 없도록 유의할 필요가 있음 ㉰ 감사위원회 운영 은행은 감사위원회 운영강화를 위해 ｢감사위원회규정｣을 개정(2013.11.29.)하여 경영진의 참석기준 및 발언절차를 마련하였는데도 ◘◘◘◘◘은 2014년 6월까지 매 감사위원회 개최 시마다 ▣▣▣의 참석을 요청하는 형식으로 ▣▣▣의 감사위원회 참석을 보장하였고 이에 따라 ▣▣▣은 감사위원회에 참석하여 위원들이 질문하지 않았는데도 19회에 걸쳐 의사진행 발언을 하였는바, ▣▣▣의 감사위원회 참석 현황 2013년도 감사위원회규정 개정 이후에 개최된 감사위원회 2014년도 6월 이후 개최 분 3회(9.1., 11,19., 12.10.)출석은 특정 안건 심의를 위한 감사위원회의 요청에 의한 것으로 동 감사위원회에서 ▣▣▣ 발언 3회는 감사위원의 질의에 대한 답변임 감사위원회의 독립적인 직무수행 및 위원회 운영강화를 위해 은행내규에서 마련한 경영진의 참석기준 및 발언절차 등을 철저히 준수할 필요가 있음 ⑸ 감독기관 업무보고체계 강화 은행은 대주주가 외국인인 경우 대주주 또는 대주주의 본국감독당국에서 검사 시 검사착수내용 및 검사결과 등을 금융감독원장에게 보고하여야 하는데도 씨티그룹 ▥▥▥에서 실시하는 내부검사에 대한 별도의 보고절차가 마련되어 있지 않아, 2013.2.18.∼2014.10.24. 기간 중 씨티그룹 ▥▥▥가 한국씨티은행 ◫◫◫◫ 등 ○○개 부서에 대해 ○○회의 내부검사를 실시하였는데도, 한국씨티은행 ◘◘◘가 동 검사의 착수 및 검사결과 상황을 적시에 파악하지 못하여 감독기관에 대한 검사착수 및 검사결과 보고가 지연되는 사례가 발생하는 등 업무보고체계가 취약하므로, 씨티그룹 ▥▥▥의 내부검사는 검사 착수 및 검사결과가 한국씨티은행의 ◘◘◘를 거치지 않고 수검부서에 직접 통보되며, 내부검사 관련 보고절차 등이 규정화 되어 있지 않아 수검부서로부터 ◘◘◘에 대한 보고도 제대로 이루어지지 않음 내부검사에 대한 수검업무 보고절차를 내규에 마련하는 등 감독기관에 대한 업무보고체계를 강화할 필요가 있음 ⑹ 내부감사 실시 강화 한국씨티은행의 ｢검사업무세칙｣ 제3조 등에 따르면 각 검사대상부서(점포)의 리스크 등을 감안하여 검사 실시주기를 적절하게 배분하여야 하는데도 검사대상 ○○개 부서 중 ○개 부서에 대해서는 2012년∼2014년 상반기 중 업무 처리의 적정성에 대한 검사를 한 번도 실시하지 않았는바, 앞으로 부서별 검사 실시주기를 적절하게 조정하여 검사 사각지대가 발생하지 않도록 유의할 필요가 있음 ⑺ 예산집행에 대한 통제절차 강화

◆◆가 2014. 6월 희망퇴직을 실시하면서 이사회 승인절차 및 ◑◑◑◑◑에 대한 합의절차를 거치지 않고 명예퇴직금으로 ○○○원을 지급하는 등 예산집행 통제절차가 미흡하므로, 한국씨티은행 ｢이사회규정｣ 제8조 및 ｢경영계획규정｣ 제11조 : 은행의 예산은 이사회 결의 사항이며, 예산계획이 포함된 경영계획은 이사회의 승인을 받아야 확정 일정 규모 이상의 예산 집행 시 예산 관리부서의 합의를 얻은 후 지급하도록 하는 등 예산 집행에 대한 통제절차를 강화할 필요 ⑻ 여신협의회 의사록 작성·관리 기준 강화 여신협의회 개최 시 회의내용 등을 기재한 이메일로 여신협의회 의사록을 대체할 수 있도록 규정하고 있으나, 동 이메일의 작성·관리 기준이 정식 의사록에 비하여 미흡하므로, 이메일로 의사록을 대체하는 경우에는 여신협의회 개최일시, 장소, 참석자, 회의내용 등 의사록의 주요 기재사항이 충실히 포함되도록 작성기준을 보완하고 동 이메일을 정식 의사록에 준하여 관리할 필요가 있음 ⑼ 송달료 환급업무 취급 철저 부실여신의 정리를 위한 부동산담보물경매 종료 시 법원으로부터 환급받은 미사용 예납법무비용(송달료)을 차주 등에게 재환급하면서 동 송달료를 차주 등 정당한 소유자에게 조속히 환급하지 아니하고 상당기일이 경과한 후에 환급한 사례가 있으므로 재발방지 방안 등을 마련할 필요가 있음 2013.12.13.～2014.5.30. 기간중 재환급된 155건 25,066천원 중 1개월 이상 경과 48건 7,843천원(이중 2개월 이상 경과는 13건 2,121천원) ⑽ 운전자금 용도 사후점검 관리강화 은행은 취급한 운전자금 대출이 당초 신청용도에 맞게 사용되었는지를 확인하여야 하는데도, 취급일로부터 3개월 이내에 대출금사용내역표를 징구하고, 취급일로부터 6개월 이내에 업체를 방문하여 점검 이번 검사기간 중 4개 업체를 임의 선정하여 조사한 결과 실제 자금사용 내역 확인이 어려운 전자세금계산서(청구용)만 확인하는 등 관련 업무 처리가 미흡한 사례가 있으므로, 은행의 이체확인증 등 신뢰성 있는 증빙자료를 통해 자금 사용내역을 확인토록 하는 등 운전자금용도 사후점검 관리를 강화할 필요가 있음 ⑾ 재무구조 취약업체에 대한 여신 사후관리 강화 ㉮ ◪◪◪◪◪㈜ 은행은 ◪◪◪◪◪㈜(대표 ◈◈◈, 154411-0011928)에 대해 운전자금 42.9억원(한도 83.4억원)을 취급하였는바(이번 검사기준일 현재 여신잔액 42.9억원), 차주사는 2003.10월 기존 ◪◪◪◪◪㈜의 생수사업 부문을 물적 분할․설립되어, 2004.1월부터 ▤▤▤의 ◑◑◑◑◑◑가 지분의 51%를 인수함으로써 동 사와 Joint Venture 관계를 유지하고 있으나, ▥▥시장에서의 경쟁력 약화, 신상품에 대한 판촉비 증가 및 공장이전에 따른 시설투자 증가 등으로 최근 3년 연속 당기순손실이 발생(2011년 △12.8억원, 2012년 △5.5억원, 2013년 △131억원)하였고, 2013년말 현재 부채비율이 674%에 이르는 등 재무상태가 악화 추세에 있으므로 영업실적에 대한 모니터링 등 기존여신에 대한 사후관리를 보다 철저히 할 필요가 있음 ㉯㈜▲▲▲▲▲▲▲ 은행은 ▽▽▽▽ 제조업을 영위하는 ㈜▲▲▲▲▲▲▲(대표 ◐◐◐, 230111-0100740)에 대해 운전자금 50억원을 취급하였는바(이번 검사기준일 현재 여신잔액 50억원), 차주사는 국내유일의 ▽▽▽▽ 생산업체이나 2008∼2009년 공장 준공 관련 차입금의 장기 고정화와 주된 매출처인 ㈜◬◬◬◬◬의 실적악화 및 매출채권 장기화로 인해 수익성이 악화되어, 최근 3년 연속 당기순손실이 발생(2011년 △692백만원, 2012년 △3,186백만원, 2013년 △818백만원)하였고, 부채비율도 3년 연속 상승(2011년 368%→2012년 946%→2013년 1,821%)하는 등 영업실적 및 재무상태가 취약할 뿐만 아니라, 여신취급 시 연대보증을 제공한 모회사 ◩◩◩㈜가 관계회사에 대한 잠재적 재무지원 가능성 및 ♤♤♤♤♤ 공장건설 등 투자계획으로 인한 외부차입 증가 가능성에 노출되어 있는 상황이므로 영업실적에 대한 모니터링 등 기존여신에 대한 사후관리를 보다 철저히 할 필요가 있음 ◩◩◩㈜의 모회사인 ◫◫◫◫㈜이 ♧♧♧ ♣♣ 지역에 ◁◁◁◁◁◁◁ 건설을 진행(2015.10.예정)하고 있어 자회사로서의 재무지원 가능성 상존 ⑿ 경영자문료 지급의 적정성 강화 ㉮ 배분대상 공통경비의 적정성 한국씨티은행은 용역제공자인 ☆☆☆☆☆☆☆ 등으로부터 배분대상 공통경비 금액의 실재성 및 업무관련성 등을 확인하기 위한 제공서비스 단위별 배분대상 공통경비 세부 명세서 등의 관련증빙을 확보하고 있지 않으므로, 용역제공자로부터 동 관련증빙을 확보하는 등 배분대상 공통경비의 적정성에 대한 검증을 강화할 필요가 있음 또한 총자산경비율 등의 지표가 다른 시중은행에 비해 매우 취약한 수준이고, 이는 씨티그룹 본사 등에 송금되는 경영자문료 등의 영향이 큰 것으로 파악되는바, 씨티그룹 본사 등으로부터 제공받고 있는 용역에 대해 제공서비스 단위별로 비용·편익 분석 및 국내에서 대체비용과의 비교분석 등을 실시하여 본사 등으로부터 제공받을 필요성이 낮은 것으로 판단되는 용역 등에 대해서는 서비스 제공 중단 요청 등을 통해 비용을 절감하기 위한 노력이 필요함 ㉯ 배부 원가동인의 적정성 씨티그룹 본사는 자회사 등 계열회사 간 지급해야 할 경영자문료 배분금액을 자산(Asset), 비용(Expense) 및 인원(Staff)의 3가지 원가동인(Cost Driver)에 의해 계산하고 있으나, 한국씨티은행은 각 원가동인의 세부 구성내역 파악 및 적정성 검토를 수행하고 있지 않으므로 원가동인 항목별 수치의 적정성 여부 및 배분기준에 반영되는 효과 등을 검토할 필요가 있음 ㉰ 국세청 손금부인 처분 항목관련 경영자문료 지급 유예 필요 2011년 국세청의 정기 세무조사에서 경영자문료 지급액 중 주주의 통제 및 관리와 관련되거나, 한국씨티은행의 효익이 불분명한 활동과 관련하여 손금부인 처분을 받은 항목에 대해 동 처분 이후에도 경영자문료를 계속 지급하고 있는바, 일반경영지원 용역 : 고위경영관리, 홍보, 인사관리, 재무, 내부통제관리, 일반관리 항목 전산지원용역 : 시스템구성관리(CATE)와 전산일반관리(Admin) 항목 한국 및 미국 과세당국간의 상호합의에 따른 최종 결정이 있을 때까지 지급을 유예하고 기 지급된 금액에 대해서는 회수방안을 마련할 필요가 있음 ⒀ 리스크관리위원회 독립성 강화 리스크관리위원회는 은행의 안정적 경영을 위해 경영진이 과도하게 수익성을 추구하지 못하도록 견제할 필요가 있는데도, 이윤 확대를 위해 과도한 리스크를 취할 유인이 있는 은행장이 리스크관리위원회의 위원으로서 리스크관리정책 수립 과정에 참여하고 있어 리스크관리위원회의 견제 기능이 약화될 우려가 있으므로, 은행장에 대한 리스크 관련 보고체계는 유지하되, 리스크관리위원회에서 은행장을 제외하는 등 리스크관리 정책의 수립과 관련하여 은행장의 영향력을 축소하는 방안을 마련함으로써 리스크관리위원회의 독립성을 강화할 필요가 있음 ⒁ 딜링룸 내부통제 강화 금융거래 관련 정보의 유출 방지 및 거래자·거래내용의 확인 등을 위해 딜링룸 유선전화의 통화내용을 녹취·기록하고 있으나, 딜러들의 휴대폰 사용에 대해서는 통제를 하고 있지 않아 정보유출 등의 문제가 발생할 수 있으므로, ｢딜링룸 운영 세칙｣ 개정 등을 통해 딜링룸 내에서 휴대폰의 사용을 통제하고 제재할 수 있는 근거를 마련함으로써 딜링룸 내부통제를 강화할 필요가 있음 ⒂ 계열사와의 파생상품 거래 관련 리스크관리 강화

□

등 씨티그룹의 해외소재 계열사를 거래상대방으로 장외파생상품을 거래하고 있는데도, 동 계열사들에 대해 별도의 신용한도를 설정하지 않고 있어 파생상품 거래와 관련하여 적절한 리스크관리가 곤란하므로, 동 계열사의 리스크 등을 감안하여 신용한도를 설정하고 이를 내규에 반영할 필요가 있음

위반사항 1

조치의뢰사항

위반사항 1 · 법적 기준

⑴ 정보처리시스템 보안대책 이행 불철저 ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제12조 및 제17조에 의하면 금융회사는 단말기 보호를 위하여 정보처리시스템 관리용 단말기에 대해서는 메일 송․수신 금지, 그룹웨어 접속 금지 등 강화된 보호대책을 수립․운영하여야 하고, 공개용 웹서버의 안전한 관리를 위하여 DMZ구간 내에 이용자정보 등 주요 정보를 저장하는 경우에는 반드시 암호화하여 저장 하여야 함

위반사항 1 · 확인된 사실

이번 검사착수일 현재 씨티은행 □□본부는 다음과 같이 정보처리시스템 보안대책을 철저히 이행하지 못한 사실이 있음(검사기간중 조치 완료) ① ●●●●●●부는 정보처리시스템 관리용 단말기인 IT운영자용 단말기(39대)에 대해 씨티그룹 메일 송·수신(외부메일 발송제한) 및 그룹웨어(내부 업무메신저 포함) 접속을 허용하는 등 보안통제가 미흡하게 운영되고 있었으며, ② ○○○○부는 DMZ구간에 위치한 공개용 인터넷뱅킹 서버(2대)의 로그파일에 고객정보약 ○○건이 반복적으로 생성․삭제되면서 암호화 없이 저장되어 있었음

위반사항 1 관련 규정

｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제12조 ｢전자금융감독규정｣ 제17조

위반사항 2 · 법적 기준

⑴ 임원 특별성과급 지급업무 불철저 ｢은행법｣ 제23조의4, ｢은행법시행령｣ 제17조의4, 한국씨티은행 ｢지배구조내부규범｣ 제5조 및 ｢이사회규정｣ 제8조 등에 의하면 임원에 대한 특별성과급은 이사회 의결 절차를 거쳐 지급되어야 하는데도, 前 ▲▲본부 부행장 ■■■은 2010.11.10. 한국씨티은행 임원 2명(◫◫◫, ◑◑◑)이 씨티그룹 본사로부터 특별성과급 지급대상으로 선정된 사실을 인지하고도 2013.2.21.

위반사항 2 · 확인된 위반 사실

주의사항 ⑴ 임원 특별성과급 지급업무 불철저

｢은행법｣ 제23조의4, ｢은행법시행령｣ 제17조의4, 한국씨티은행 ｢지배구조내부규범｣ 제5조 및 ｢이사회규정｣ 제8조 등에 의하면 임원에 대한 특별성과급은 이사회 의결 절차를 거쳐 지급되어야 하는데도,

前 ▲▲본부 부행장 ■■■은 2010.11.10. 한국씨티은행 임원 2명(◫◫◫, ◑◑◑)이 씨티그룹 본사로부터 특별성과급 지급대상으로 선정된 사실을 인지하고도

2013.2.21. ○○원(◫◫◫ ○○원, ◑◑◑ ○○원), 2014.2.24. ○○원(◫◫◫ ○○원, ◑◑◑ ○○원)의 특별성과급이 지급될 때까지 동 성과급 지급 결정을 위한 이사회 안건 부의 절차를 이행하지 아니하였음

위반사항 2 관련 규정

｢은행법｣ 제23조의4 ｢은행법 시행령｣ 제17조의4 ｢지배구조내부규범｣ 제5조 ｢이사회규정｣ 제8조

위반사항 3 · 확인된 위반 사실

개선사항 ⑴ 개별평가 대상 손상여신의 회수예상가액 산정 방법 불합리

부동산 담보가 있는 개별평가 대상 손상여신에 대한 회수예상가액을 산정하면서 담보 부동산이 즉시 회수된다고 가정하고 있는바, 이로 인하여 회수예상가액이 과대평가되고 대손충당금이 과소적립되어 불합리하므로

담보 부동산으로부터 발생하는 미래현금흐름의 예상발생시기를 합리적으로 추정하는 등 개별평가 대상 부동산 담보 손상여신의 회수예상가액 산정 방법을 합리적으로 개선하시기 바람

⑵ 다국적기업 신용등급 평가 체계 불합리

은행은 신용등급 평가 시 다국적기업이 모회사 및 관계회사의 불완전지원*을 제공받는 경우 총 여신한도 5천만불 미만 차주에 대하여 단일차주기준 신용등급을 별도로 산정하지 않고, 동 불완전지원을 이유로 모기업 등의 신용등급에 연동하여 높은 신용등급**을 부여하고 있으며,

* 조건부 지급보증서, 서면지원(Letter of Support, Letter of Comfort, Letter of Awareness) 및 구두확인 ** 통상 모기업 등의 신용등급보다 1단계 낮은 등급

총 여신한도 5천만불 이상 차주에 대하여는 불완전 지원 효과를 감안하여 단일차주기준 신용등급을 산출하고도, 최종등급은 동 효과를 재차 반영하여 모기업의 신용등급의 1단계 아래까지 상향 조정하고 있어 법적 구속력이 없는 불완전 지원의 효과가 과대평가될 우려가 있으므로,

원칙적으로 여신한도에 상관없이 불완전지원 효과를 배제한 단일차주기준 신용등급을 산출하고, 예외적으로 불완전지원의 효과를 감안하여 최종 신용등급을 조정하는 경우 구체적인 조정기준을 마련하는 등 신용등급 평가 체계를 개선하시기 바람

⑶ 경영자문료 회계처리 불합리

□□□부는 씨티그룹 본사의 경영자문료 배분금액이 결산 시점에는 확정되지 않았다는 이유로 전년도 배분 확정금액을 당해연도 추정치로 결산에 반영하고 있으나, 추후 확정된 경영자문료 배분금액과 결산에 반영된 금액이 큰 차이를 보이고 있어, 재무제표가 왜곡되는 상황이 발생하고 있으므로, 씨티그룹 본사로부터 결산시점까지 최선의 추정치를 받아 검토하고, 결산에 반영하는 등 관련 회계처리 방법을 합리적으로 개선하시기 바람 ⑷ 성과보상체계 불합리 성과평가 결과에 따른 보너스 지급률(bonus grid)을 지나치게 광범위(○○～○○% 등)하게 설정하여 평정자가 지급률 범위 이내에서 임의의 성과급 지급률을 결정토록 하고 있을 뿐만 아니라, ◎◎◎ 및 ◍◍◍◍◍◍◍이 보너스 지급률 범위를 ±○○% 범위 내에서 조정할 수 있도록 허용함에 따라, 성과 최우수자에게 최하위자보다 낮은 보너스 지급률을 적용하거나, 동일 성과자에게 보너스 지급률을 ○○～○○%등 적용하는 등 성과보상체계가 불합리하게 운용되고 있으므로, 앞으로 성과와 보상 간 연계를 강화하는 방향으로 성과보상 제도를 개선하시기 바람 ⑸ 인터넷뱅킹 보안 강화 인터넷뱅킹 업무 중 ID 찾기/비밀번호 변경 및 자금 이체 시 본인확인을 위해 추가인증을 실시하고 있으나, SMS 및 전화ARS 추가인증 시 서버에서 인증 성공여부를 별도로 검증하지 않아 PC에 다운된 추가인증 화면의 웹페이지(HTML) 소스 조작을 통해 인증받지 않고 접속이 가능하므로 인터넷뱅킹 인증관련 부문을 재점검하여 보완하도록 개선하시기 바람 ⑹ 업무용 단말기 보안 강화 업무용 단말기에 씨티 표준환경(Wintel)과 사용자 계정권한(SOE ID)을 적용하여 내부 정보시스템 접근, 외부 인터넷 및 보조기억매체 쓰기를 통제하고 있으나, 직원(외주직원 포함) 개인용 노트북에 본인 IP 설정 후 로그인 시 내부망 연결 및 파일서버 접속이 가능하여 암호화 되지 않은 개인정보 파일을 동 노트북에 저장이 가능하고 USB매체 등의 부팅을 통한 단말 관리자권한 획득 및 보조기억매체를 통한 자료의 외부 반출이 가능할 뿐만 아니라 단말기 설정값 변경*을 통한 외부 자료전송이 가능하는 등 보안이 취약하므로 미인가 단말기의 내부 정보처리시스템 접근 통제, 단말기 하드디스크 사용자영역 암호화 또는 USB포트의 물리적 봉인 등 보안을 강화토록 개선하시기 바람 * 윈도우 시스템 설정값(레지스트리) 변경으로 외부 금지 인터넷사이트 접속 가능

위반사항 4 · 법적 기준

⑴ 성과보상정책의 독립성 강화 ｢은행권 성과보상체계 모범규준｣에 의하면 은행 ◎◎◎◎◎는 독립적으로 보상정책을 수립하고 업무를 수행 하여야 함

위반사항 4 · 확인된 위반 사실

경영유의사항 ⑴ 성과보상정책의 독립성 강화

｢은행권 성과보상체계 모범규준｣에 의하면 은행 ◎◎◎◎◎는 독립적으로 보상정책을 수립하고 업무를 수행하여야 하는데도,

보상정책과 이해관계가 있는 ▢▢▢이 ◎◎◎◎◎의 위원으로 참여하면서 자신의 성과보상 내역이 포함된 주요 안건을 심의하고 의결에도 참여하고 있어 독립적인 보상정책 수립을 저해할 우려가 있으므로

▢▢▢의 ◎◎◎◎◎ 참여를 배제하는 등 보상정책이 경영진으로부터 독립적으로 수립․운영되도록 할 필요가 있음

⑵ 고객정보 관리체계 강화

고객에게 제휴서비스 제공 등을 위해 제휴업체로 개인(신용)정보를 제공하는 경우 개인(신용)정보의 제공현황을 전산으로 관리하고 있지 않아

개인(신용)정보가 제3자에게 제공되는 현황 파악이 곤란하고, 고객의 상품·서비스 해지 또는 동의철회 요청에 대해 제휴업체로부터 정보회수 또는 정보제공 중단 조치가 법률상 정해진 기한 내에 이루어지지 못할 수 있으므로

소관부서별·제휴서비스별·제공처별·정보주체별 개인(신용)정보 제공내역 및 제공이력을 관리할 수 있는 전산시스템을 구축하여 고객정보관리를 강화할 필요가 있음

검사대상기간 중에 대출금 원금 또는 이자의 3개월 이상 연체 등 신용정보 등록 사유가 발생한 ○○개 거래처의 연체정보를 종합신용정보집중기관에 지연 등록하여 은행연합회로부터 ‘신용정보 제재금’을 부과*받은 사례가 발생하였고,

* 2012.1.∼2014.3. 기간 중 ○○건을 지연등록하여 ○○원의 제재금 발생

○○개 거래처의 상각채권에 대한 특수채권 편입정보를 장기간 등록하지 않는 등 신용정보 등록 관리업무가 소홀*히 이루어지고 있으므로,

* 검사기간 중 특수채권으로 등록완료

신용정보 등록의 지연여부를 정기적으로 점검할 수 있는 절차를 마련하고, 등록기한 내에 자동등록이 될 수 있도록 전산시스템을 개선하는 등 신용정보 등록업무에 대한 관리를 강화할 필요가 있음

⑶ 유가증권 등 거래내역 신고제도의 실효성 제고

한국씨티은행의 ｢임직원투자세칙｣ 및 ｢윤리강령｣ 등에서 미공개 중요정보를 이용한 임직원의 유가증권 및 상품 거래를 방지하기 위하여 관련 임직원들로 하여금 증권거래내역 등을 신고하도록 하는 제도*를 운영하고 있으나,

* 유가증권 거래내역 보고 및 임직원 금융투자상품 거래내역 보고

미공개 중요정보 접근 가능성이 높은 영업점의 기업금융 담당 심사역(기업금융RM)이 신고대상에서 제외되어 있고, 2013. 1/4∼3/4 기간 중 신고대상 임직원들의 신고기한 준수율이 4.3%에 불과하므로,

유가증권 등의 신고대상 임직원 범위를 합리적으로 조정하고 신고대상자들이 신고기한을 철저히 준수토록 하는 방안을 마련하는 등 불공정거래행위 방지 신고제도의 실효성을 제고할 필요가 있음

⑷ 감사업무의 독립성 강화

㉮ 감사위원회 보조조직

｢은행업감독규정｣ 제91조 등에 따르면 감사직무 수행의 독립성을 위하여 감사위원회 보조조직의 부서장 및 직원에 대한 임면은 감사위원회의 결의에 의한 동의 절차를 거쳐야 하고, 검사역에 대한 근무평정 및 신분보장에 대해서도 별도의 우대 기준을 마련하여 운영하여야 하는데도

은행은 ｢감사위원회규정｣(○○○○.○○.○○.) 및 ｢감사본부장직무규정｣(○○○○.○○.○○.)을 개정하면서 검사부서 부서장의 임면에 대한 감사위원회 동의 절차 및 검사역에 대한 근무평정 우대방안 마련 조항을 삭제하였는바,

이는 감사직무 수행의 독립성에 부정적인 영향을 미칠 우려가 있으므로 ｢은행업감독규정｣ 등의 취지가 관련 내규에 반영되도록 할 필요가 있음

㉯ 씨티그룹과의 관계

○○○○.○○.○○. 채택된 ｢한국씨티은행 내부감사 헌장｣에 따르면 내부감사 업무는 감사위원회의 감독과 씨티그룹 최고감사책임자 또는 그가 위임한 자의 조언을 받아 독립적으로 수행토록 되어 있으나, 내부감사 업무 자체에 대해 씨티그룹의 조언을 받을 경우 감사직무 수행의 독립성이 훼손될 우려가 있고,

연간 감사계획 수립, 일상적인 검사업무 등 내부감사의 주요 업무에 대하여 씨티그룹 감사담당자의 사전 동의를 받는 등 감사위원회의 보조조직인 ▢▢▢▢가 감사위원회의 지휘·감독을 받아 독립적으로 업무를 수행하지 못하고, 실질적으로 씨티그룹 감사담당자의 지휘·감독을 받아 업무를 수행함으로써 감사직무 수행의 독립성에 대한 우려가 증대되고 있으므로,

감사직무의 독립성을 강조하는 은행업감독규정 제91조 등의 취지가 ｢한국씨티은행 내부감사 헌장｣ 등에 반영되도록 할 필요가 있고, 감사위원회의 보조조직인 ▢▢▢▢는 동 위원회의 지휘·감독을 받아 업무를 수행한다는 원칙을 준수하여야 하며, 동 위원회의 사전 승인을 받지 아니하고 ▢▢▢▢의 인사 및 예산, 감사계획 수립, 일상적인 검사업무 등에 대해 씨티그룹 감사담당자와 사전에 협의하는 일이 없도록 유의할 필요가 있음

㉰ 감사위원회 운영

은행은 감사위원회 운영강화를 위해 ｢감사위원회규정｣을 개정(2013.11.29.)하여 경영진의 참석기준 및 발언절차를 마련하였는데도

◘◘◘◘◘은 2014년 6월까지 매 감사위원회 개최 시마다 ▣▣▣의 참석을 요청하는 형식으로 ▣▣▣의 감사위원회 참석을 보장하였고 이에 따라 ▣▣▣은 감사위원회에 참석하여 위원들이 질문하지 않았는데도 19회에 걸쳐 의사진행 발언을 하였는바,

▣▣▣의 감사위원회 참석 현황 * 2013년도 감사위원회규정 개정 이후에 개최된 감사위원회 ** 2014년도 6월 이후 개최 분 3회(9.1., 11,19., 12.10.)출석은 특정 안건 심의를 위한 감사위원회의 요청에 의한 것으로 동 감사위원회에서 ▣▣▣ 발언 3회는 감사위원의 질의에 대한 답변임

감사위원회의 독립적인 직무수행 및 위원회 운영강화를 위해 은행내규에서 마련한 경영진의 참석기준 및 발언절차 등을 철저히 준수할 필요가 있음

⑸ 감독기관 업무보고체계 강화

은행은 대주주가 외국인인 경우 대주주 또는 대주주의 본국감독당국에서 검사 시 검사착수내용 및 검사결과 등을 금융감독원장에게 보고하여야 하는데도 씨티그룹 ▥▥▥에서 실시하는 내부검사에 대한 별도의 보고절차가 마련되어 있지 않아,

2013.2.18.∼2014.10.24. 기간 중 씨티그룹 ▥▥▥가 한국씨티은행 ◫◫◫◫ 등 ○○개 부서에 대해 ○○회의 내부검사를 실시하였는데도, 한국씨티은행 ◘◘◘가 동 검사의 착수 및 검사결과 상황을 적시에 파악하지 못하여* 감독기관에 대한 검사착수 및 검사결과 보고가 지연되는 사례가 발생하는 등 업무보고체계가 취약하므로,

* 씨티그룹 ▥▥▥의 내부검사는 검사 착수 및 검사결과가 한국씨티은행의 ◘◘◘를 거치지 않고 수검부서에 직접 통보되며, 내부검사 관련 보고절차 등이 규정화 되어 있지 않아 수검부서로부터 ◘◘◘에 대한 보고도 제대로 이루어지지 않음

내부검사에 대한 수검업무 보고절차를 내규에 마련하는 등 감독기관에 대한 업무보고체계를 강화할 필요가 있음

⑹ 내부감사 실시 강화

한국씨티은행의 ｢검사업무세칙｣ 제3조 등에 따르면 각 검사대상부서(점포)의 리스크 등을 감안하여 검사 실시주기를 적절하게 배분하여야 하는데도

검사대상 ○○개 부서 중 ○개 부서에 대해서는 2012년∼2014년 상반기 중 업무 처리의 적정성에 대한 검사를 한 번도 실시하지 않았는바, 앞으로 부서별 검사 실시주기를 적절하게 조정하여 검사 사각지대가 발생하지 않도록 유의할 필요가 있음

⑺ 예산집행에 대한 통제절차 강화

◆◆가 2014. 6월 희망퇴직을 실시하면서 이사회 승인*절차 및 ◑◑◑◑◑에 대한 합의절차를 거치지 않고 명예퇴직금으로 ○○○원을 지급하는 등 예산집행 통제절차가 미흡하므로, * 한국씨티은행 ｢이사회규정｣ 제8조 및 ｢경영계획규정｣ 제11조 : 은행의 예산은 이사회 결의 사항이며, 예산계획이 포함된 경영계획은 이사회의 승인을 받아야 확정 일정 규모 이상의 예산 집행 시 예산 관리부서의 합의를 얻은 후 지급하도록 하는 등 예산 집행에 대한 통제절차를 강화할 필요 ⑻ 여신협의회 의사록 작성·관리 기준 강화 여신협의회 개최 시 회의내용 등을 기재한 이메일로 여신협의회 의사록을 대체할 수 있도록 규정하고 있으나, 동 이메일의 작성·관리 기준이 정식 의사록에 비하여 미흡하므로, 이메일로 의사록을 대체하는 경우에는 여신협의회 개최일시, 장소, 참석자, 회의내용 등 의사록의 주요 기재사항이 충실히 포함되도록 작성기준을 보완하고 동 이메일을 정식 의사록에 준하여 관리할 필요가 있음 ⑼ 송달료 환급업무 취급 철저 부실여신의 정리를 위한 부동산담보물경매 종료 시 법원으로부터 환급받은 미사용 예납법무비용(송달료)을 차주 등에게 재환급하면서 동 송달료를 차주 등 정당한 소유자에게 조속히 환급하지 아니하고 상당기일이 경과한 후에 환급한 사례*가 있으므로 재발방지 방안 등을 마련할 필요가 있음 * 2013.12.13.～2014.5.30. 기간중 재환급된 155건 25,066천원 중 1개월 이상 경과 48건 7,843천원(이중 2개월 이상 경과는 13건 2,121천원) ⑽ 운전자금 용도 사후점검 관리강화 은행은 취급한 운전자금 대출이 당초 신청용도에 맞게 사용되었는지를 확인*하여야 하는데도, * 취급일로부터 3개월 이내에 대출금사용내역표를 징구하고, 취급일로부터 6개월 이내에 업체를 방문하여 점검 이번 검사기간 중 4개 업체를 임의 선정하여 조사한 결과 실제 자금사용 내역 확인이 어려운 전자세금계산서(청구용)만 확인하는 등 관련 업무 처리가 미흡한 사례가 있으므로, 은행의 이체확인증 등 신뢰성 있는 증빙자료를 통해 자금 사용내역을 확인토록 하는 등 운전자금용도 사후점검 관리를 강화할 필요가 있음 ⑾ 재무구조 취약업체에 대한 여신 사후관리 강화 ㉮ ◪◪◪◪◪㈜ 은행은 ◪◪◪◪◪㈜(대표 ◈◈◈, 154411-0011928)에 대해 운전자금 42.9억원(한도 83.4억원)을 취급하였는바(이번 검사기준일 현재 여신잔액 42.9억원), 차주사는 2003.10월 기존 ◪◪◪◪◪㈜의 생수사업 부문을 물적 분할․설립되어, 2004.1월부터 ▤▤▤의 ◑◑◑◑◑◑가 지분의 51%를 인수함으로써 동 사와 Joint Venture 관계를 유지하고 있으나, ▥▥시장에서의 경쟁력 약화, 신상품에 대한 판촉비 증가 및 공장이전에 따른 시설투자 증가 등으로 최근 3년 연속 당기순손실이 발생(2011년 △12.8억원, 2012년 △5.5억원, 2013년 △131억원)하였고, 2013년말 현재 부채비율이 674%에 이르는 등 재무상태가 악화 추세에 있으므로 영업실적에 대한 모니터링 등 기존여신에 대한 사후관리를 보다 철저히 할 필요가 있음 ㉯㈜▲▲▲▲▲▲▲ 은행은 ▽▽▽▽ 제조업을 영위하는 ㈜▲▲▲▲▲▲▲(대표 ◐◐◐, 230111-0100740)에 대해 운전자금 50억원을 취급하였는바(이번 검사기준일 현재 여신잔액 50억원), 차주사는 국내유일의 ▽▽▽▽ 생산업체이나 2008∼2009년 공장 준공 관련 차입금의 장기 고정화와 주된 매출처인 ㈜◬◬◬◬◬의 실적악화 및 매출채권 장기화로 인해 수익성이 악화되어, 최근 3년 연속 당기순손실이 발생(2011년 △692백만원, 2012년 △3,186백만원, 2013년 △818백만원)하였고, 부채비율도 3년 연속 상승(2011년 368%→2012년 946%→2013년 1,821%)하는 등 영업실적 및 재무상태가 취약할 뿐만 아니라, 여신취급 시 연대보증을 제공한 모회사 ◩◩◩㈜가 관계회사에 대한 잠재적 재무지원* 가능성 및 ♤♤♤♤♤ 공장건설 등 투자계획으로 인한 외부차입 증가 가능성에 노출되어 있는 상황이므로 영업실적에 대한 모니터링 등 기존여신에 대한 사후관리를 보다 철저히 할 필요가 있음 * ◩◩◩㈜의 모회사인 ◫◫◫◫㈜이 ♧♧♧ ♣♣ 지역에 ◁◁◁◁◁◁◁ 건설을 진행(2015.10.예정)하고 있어 자회사로서의 재무지원 가능성 상존 ⑿ 경영자문료 지급의 적정성 강화 ㉮ 배분대상 공통경비의 적정성 한국씨티은행은 용역제공자인 ☆☆☆☆☆☆☆ 등으로부터 배분대상 공통경비 금액의 실재성 및 업무관련성 등을 확인하기 위한 제공서비스 단위별 배분대상 공통경비 세부 명세서 등의 관련증빙을 확보하고 있지 않으므로, 용역제공자로부터 동 관련증빙을 확보하는 등 배분대상 공통경비의 적정성에 대한 검증을 강화할 필요가 있음 또한 총자산경비율 등의 지표가 다른 시중은행에 비해 매우 취약한 수준이고, 이는 씨티그룹 본사 등에 송금되는 경영자문료 등의 영향이 큰 것으로 파악되는바, 씨티그룹 본사 등으로부터 제공받고 있는 용역에 대해 제공서비스 단위별로 비용·편익 분석 및 국내에서 대체비용과의 비교분석 등을 실시하여 본사 등으로부터 제공받을 필요성이 낮은 것으로 판단되는 용역 등에 대해서는 서비스 제공 중단 요청 등을 통해 비용을 절감하기 위한 노력이 필요함 ㉯ 배부 원가동인의 적정성 씨티그룹 본사는 자회사 등 계열회사 간 지급해야 할 경영자문료 배분금액을 자산(Asset), 비용(Expense) 및 인원(Staff)의 3가지 원가동인(Cost Driver)에 의해 계산하고 있으나, 한국씨티은행은 각 원가동인의 세부 구성내역 파악 및 적정성 검토를 수행하고 있지 않으므로 원가동인 항목별 수치의 적정성 여부 및 배분기준에 반영되는 효과 등을 검토할 필요가 있음 ㉰ 국세청 손금부인 처분 항목관련 경영자문료 지급 유예 필요 2011년 국세청의 정기 세무조사에서 경영자문료 지급액 중 주주의 통제 및 관리와 관련되거나, 한국씨티은행의 효익이 불분명한 활동과 관련하여 손금부인* 처분을 받은 항목에 대해 동 처분 이후에도 경영자문료를 계속 지급하고 있는바, * 일반경영지원 용역 : 고위경영관리, 홍보, 인사관리, 재무, 내부통제관리, 일반관리 항목 전산지원용역 : 시스템구성관리(CATE)와 전산일반관리(Admin) 항목 한국 및 미국 과세당국간의 상호합의에 따른 최종 결정이 있을 때까지 지급을 유예하고 기 지급된 금액에 대해서는 회수방안을 마련할 필요가 있음 ⒀ 리스크관리위원회 독립성 강화 리스크관리위원회는 은행의 안정적 경영을 위해 경영진이 과도하게 수익성을 추구하지 못하도록 견제할 필요가 있는데도, 이윤 확대를 위해 과도한 리스크를 취할 유인이 있는 은행장이 리스크관리위원회의 위원으로서 리스크관리정책 수립 과정에 참여하고 있어 리스크관리위원회의 견제 기능이 약화될 우려가 있으므로, 은행장에 대한 리스크 관련 보고체계는 유지하되, 리스크관리위원회에서 은행장을 제외하는 등 리스크관리 정책의 수립과 관련하여 은행장의 영향력을 축소하는 방안을 마련함으로써 리스크관리위원회의 독립성을 강화할 필요가 있음 ⒁ 딜링룸 내부통제 강화 금융거래 관련 정보의 유출 방지 및 거래자·거래내용의 확인 등을 위해 딜링룸 유선전화의 통화내용을 녹취·기록하고 있으나, 딜러들의 휴대폰 사용에 대해서는 통제를 하고 있지 않아 정보유출 등의 문제가 발생할 수 있으므로, ｢딜링룸 운영 세칙｣ 개정 등을 통해 딜링룸 내에서 휴대폰의 사용을 통제하고 제재할 수 있는 근거를 마련함으로써 딜링룸 내부통제를 강화할 필요가 있음 ⒂ 계열사와의 파생상품 거래 관련 리스크관리 강화

□□

□

공식 원문 전체 보기

제재내용 공개

금융기관명 : 한국씨티은행

제재조치일 : 2015.7.27.

제재조치내용

제재대상사실

조치의뢰사항 ⑴ 정보처리시스템 보안대책 이행 불철저 ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제12조 및 제17조에 의하면 금융회사는 단말기 보호를 위하여 정보처리시스템 관리용 단말기에 대해서는 메일 송․수신 금지, 그룹웨어 접속 금지 등 강화된 보호대책을 수립․운영하여야 하고, 공개용 웹서버의 안전한 관리를 위하여 DMZ구간 내에 이용자정보 등 주요 정보를 저장하는 경우에는 반드시 암호화하여 저장하여야 하는데도, 이번 검사착수일 현재 씨티은행 □□본부는 다음과 같이 정보처리시스템 보안대책을 철저히 이행하지 못한 사실이 있음(검사기간중 조치 완료)

●●●●●●부는 정보처리시스템 관리용 단말기인 IT운영자용 단말기(39대)에 대해 씨티그룹 메일 송·수신(외부메일 발송제한) 및 그룹웨어(내부 업무메신저 포함) 접속을 허용하는 등 보안통제가 미흡하게 운영되고 있었으며,

○○○○부는 DMZ구간에 위치한 공개용 인터넷뱅킹 서버(2대)의 로그파일에 고객정보약 ○○건이 반복적으로 생성․삭제되면서 암호화 없이 저장되어 있었음 < 관련규정 >

「전자금융거래법」제21조

「전자금융감독규정」제12조

「전자금융감독규정」제17조

주의사항 ⑴ 임원 특별성과급 지급업무 불철저 ｢은행법｣ 제23조의4, ｢은행법시행령｣ 제17조의4, 한국씨티은행 ｢지배구조내부규범｣ 제5조 및 ｢이사회규정｣ 제8조 등에 의하면 임원에 대한 특별성과급은 이사회 의결 절차를 거쳐 지급되어야 하는데도, 前 ▲▲본부 부행장 ■■■은 2010.11.10. 한국씨티은행 임원 2명(◫◫◫, ◑◑◑)이 씨티그룹 본사로부터 특별성과급 지급대상으로 선정된 사실을 인지하고도 2013.2.21. ○○원(◫◫◫ ○○원, ◑◑◑ ○○원), 2014.2.24. ○○원(◫◫◫ ○○원, ◑◑◑ ○○원)의 특별성과급이 지급될 때까지 동 성과급 지급 결정을 위한 이사회 안건 부의 절차를 이행하지 아니하였음 < 관련 규정 >

｢은행법｣ 제23조의4

｢은행법 시행령｣ 제17조의4

한국씨티은행 ｢지배구조내부규범｣ 제5조

한국씨티은행 ｢이사회규정｣ 제8조

개선사항 ⑴ 개별평가 대상 손상여신의 회수예상가액 산정 방법 불합리 부동산 담보가 있는 개별평가 대상 손상여신에 대한 회수예상가액을 산정하면서 담보 부동산이 즉시 회수된다고 가정하고 있는바, 이로 인하여 회수예상가액이 과대평가되고 대손충당금이 과소적립되어 불합리하므로 담보 부동산으로부터 발생하는 미래현금흐름의 예상발생시기를 합리적으로 추정하는 등 개별평가 대상 부동산 담보 손상여신의 회수예상가액 산정 방법을 합리적으로 개선하시기 바람 ⑵ 다국적기업 신용등급 평가 체계 불합리 은행은 신용등급 평가 시 다국적기업이 모회사 및 관계회사의 불완전지원*을 제공받는 경우 총 여신한도 5천만불 미만 차주에 대하여 단일차주기준 신용등급을 별도로 산정하지 않고, 동 불완전지원을 이유로 모기업 등의 신용등급에 연동하여 높은 신용등급**을 부여하고 있으며, * 조건부 지급보증서, 서면지원(Letter of Support, Letter of Comfort, Letter of Awareness) 및 구두확인 ** 통상 모기업 등의 신용등급보다 1단계 낮은 등급 총 여신한도 5천만불 이상 차주에 대하여는 불완전 지원 효과를 감안하여 단일차주기준 신용등급을 산출하고도, 최종등급은 동 효과를 재차 반영하여 모기업의 신용등급의 1단계 아래까지 상향 조정하고 있어 법적 구속력이 없는 불완전 지원의 효과가 과대평가될 우려가 있으므로, 원칙적으로 여신한도에 상관없이 불완전지원 효과를 배제한 단일차주기준 신용등급을 산출하고, 예외적으로 불완전지원의 효과를 감안하여 최종 신용등급을 조정하는 경우 구체적인 조정기준을 마련하는 등 신용등급 평가 체계를 개선하시기 바람 ⑶ 경영자문료 회계처리 불합리

□□□부는 씨티그룹 본사의 경영자문료 배분금액이 결산 시점에는 확정되지 않았다는 이유로 전년도 배분 확정금액을 당해연도 추정치로 결산에 반영하고 있으나, 추후 확정된 경영자문료 배분금액과 결산에 반영된 금액이 큰 차이를 보이고 있어, 재무제표가 왜곡되는 상황이 발생하고 있으므로, 씨티그룹 본사로부터 결산시점까지 최선의 추정치를 받아 검토하고, 결산에 반영하는 등 관련 회계처리 방법을 합리적으로 개선하시기 바람 ⑷ 성과보상체계 불합리 성과평가 결과에 따른 보너스 지급률(bonus grid)을 지나치게 광범위(○○～○○% 등)하게 설정하여 평정자가 지급률 범위 이내에서 임의의 성과급 지급률을 결정토록 하고 있을 뿐만 아니라, ◎◎◎ 및 ◍◍◍◍◍◍◍이 보너스 지급률 범위를 ±○○% 범위 내에서 조정할 수 있도록 허용함에 따라, 성과 최우수자에게 최하위자보다 낮은 보너스 지급률을 적용하거나, 동일 성과자에게 보너스 지급률을 ○○～○○%등 적용하는 등 성과보상체계가 불합리하게 운용되고 있으므로, 앞으로 성과와 보상 간 연계를 강화하는 방향으로 성과보상 제도를 개선하시기 바람 ⑸ 인터넷뱅킹 보안 강화 인터넷뱅킹 업무 중 ID 찾기/비밀번호 변경 및 자금 이체 시 본인확인을 위해 추가인증을 실시하고 있으나, SMS 및 전화ARS 추가인증 시 서버에서 인증 성공여부를 별도로 검증하지 않아 PC에 다운된 추가인증 화면의 웹페이지(HTML) 소스 조작을 통해 인증받지 않고 접속이 가능하므로 인터넷뱅킹 인증관련 부문을 재점검하여 보완하도록 개선하시기 바람 ⑹ 업무용 단말기 보안 강화 업무용 단말기에 씨티 표준환경(Wintel)과 사용자 계정권한(SOE ID)을 적용하여 내부 정보시스템 접근, 외부 인터넷 및 보조기억매체 쓰기를 통제하고 있으나, 직원(외주직원 포함) 개인용 노트북에 본인 IP 설정 후 로그인 시 내부망 연결 및 파일서버 접속이 가능하여 암호화 되지 않은 개인정보 파일을 동 노트북에 저장이 가능하고 USB매체 등의 부팅을 통한 단말 관리자권한 획득 및 보조기억매체를 통한 자료의 외부 반출이 가능할 뿐만 아니라 단말기 설정값 변경*을 통한 외부 자료전송이 가능하는 등 보안이 취약하므로 미인가 단말기의 내부 정보처리시스템 접근 통제, 단말기 하드디스크 사용자영역 암호화 또는 USB포트의 물리적 봉인 등 보안을 강화토록 개선하시기 바람 * 윈도우 시스템 설정값(레지스트리) 변경으로 외부 금지 인터넷사이트 접속 가능

경영유의사항 ⑴ 성과보상정책의 독립성 강화 ｢은행권 성과보상체계 모범규준｣에 의하면 은행 ◎◎◎◎◎는 독립적으로 보상정책을 수립하고 업무를 수행하여야 하는데도, 보상정책과 이해관계가 있는 ▢▢▢이 ◎◎◎◎◎의 위원으로 참여하면서 자신의 성과보상 내역이 포함된 주요 안건을 심의하고 의결에도 참여하고 있어 독립적인 보상정책 수립을 저해할 우려가 있으므로 ▢▢▢의 ◎◎◎◎◎ 참여를 배제하는 등 보상정책이 경영진으로부터 독립적으로 수립․운영되도록 할 필요가 있음 ⑵ 고객정보 관리체계 강화 고객에게 제휴서비스 제공 등을 위해 제휴업체로 개인(신용)정보를 제공하는 경우 개인(신용)정보의 제공현황을 전산으로 관리하고 있지 않아 개인(신용)정보가 제3자에게 제공되는 현황 파악이 곤란하고, 고객의 상품·서비스 해지 또는 동의철회 요청에 대해 제휴업체로부터 정보회수 또는 정보제공 중단 조치가 법률상 정해진 기한 내에 이루어지지 못할 수 있으므로 소관부서별·제휴서비스별·제공처별·정보주체별 개인(신용)정보 제공내역 및 제공이력을 관리할 수 있는 전산시스템을 구축하여 고객정보관리를 강화할 필요가 있음 검사대상기간 중에 대출금 원금 또는 이자의 3개월 이상 연체 등 신용정보 등록 사유가 발생한 ○○개 거래처의 연체정보를 종합신용정보집중기관에 지연 등록하여 은행연합회로부터 ‘신용정보 제재금’을 부과*받은 사례가 발생하였고, * 2012.1.∼2014.3. 기간 중 ○○건을 지연등록하여 ○○원의 제재금 발생 ○○개 거래처의 상각채권에 대한 특수채권 편입정보를 장기간 등록하지 않는 등 신용정보 등록 관리업무가 소홀*히 이루어지고 있으므로, * 검사기간 중 특수채권으로 등록완료 신용정보 등록의 지연여부를 정기적으로 점검할 수 있는 절차를 마련하고, 등록기한 내에 자동등록이 될 수 있도록 전산시스템을 개선하는 등 신용정보 등록업무에 대한 관리를 강화할 필요가 있음 ⑶ 유가증권 등 거래내역 신고제도의 실효성 제고 한국씨티은행의 ｢임직원투자세칙｣ 및 ｢윤리강령｣ 등에서 미공개 중요정보를 이용한 임직원의 유가증권 및 상품 거래를 방지하기 위하여 관련 임직원들로 하여금 증권거래내역 등을 신고하도록 하는 제도*를 운영하고 있으나, * 유가증권 거래내역 보고 및 임직원 금융투자상품 거래내역 보고 미공개 중요정보 접근 가능성이 높은 영업점의 기업금융 담당 심사역(기업금융RM)이 신고대상에서 제외되어 있고, 2013. 1/4∼3/4 기간 중 신고대상 임직원들의 신고기한 준수율이 4.3%에 불과하므로, 유가증권 등의 신고대상 임직원 범위를 합리적으로 조정하고 신고대상자들이 신고기한을 철저히 준수토록 하는 방안을 마련하는 등 불공정거래행위 방지 신고제도의 실효성을 제고할 필요가 있음 ⑷ 감사업무의 독립성 강화 ㉮ 감사위원회 보조조직 ｢은행업감독규정｣ 제91조 등에 따르면 감사직무 수행의 독립성을 위하여 감사위원회 보조조직의 부서장 및 직원에 대한 임면은 감사위원회의 결의에 의한 동의 절차를 거쳐야 하고, 검사역에 대한 근무평정 및 신분보장에 대해서도 별도의 우대 기준을 마련하여 운영하여야 하는데도 은행은 ｢감사위원회규정｣(○○○○.○○.○○.) 및 ｢감사본부장직무규정｣(○○○○.○○.○○.)을 개정하면서 검사부서 부서장의 임면에 대한 감사위원회 동의 절차 및 검사역에 대한 근무평정 우대방안 마련 조항을 삭제하였는바, 이는 감사직무 수행의 독립성에 부정적인 영향을 미칠 우려가 있으므로 ｢은행업감독규정｣ 등의 취지가 관련 내규에 반영되도록 할 필요가 있음 ㉯ 씨티그룹과의 관계 ○○○○.○○.○○. 채택된 ｢한국씨티은행 내부감사 헌장｣에 따르면 내부감사 업무는 감사위원회의 감독과 씨티그룹 최고감사책임자 또는 그가 위임한 자의 조언을 받아 독립적으로 수행토록 되어 있으나, 내부감사 업무 자체에 대해 씨티그룹의 조언을 받을 경우 감사직무 수행의 독립성이 훼손될 우려가 있고, 연간 감사계획 수립, 일상적인 검사업무 등 내부감사의 주요 업무에 대하여 씨티그룹 감사담당자의 사전 동의를 받는 등 감사위원회의 보조조직인 ▢▢▢▢가 감사위원회의 지휘·감독을 받아 독립적으로 업무를 수행하지 못하고, 실질적으로 씨티그룹 감사담당자의 지휘·감독을 받아 업무를 수행함으로써 감사직무 수행의 독립성에 대한 우려가 증대되고 있으므로, 감사직무의 독립성을 강조하는 은행업감독규정 제91조 등의 취지가 ｢한국씨티은행 내부감사 헌장｣ 등에 반영되도록 할 필요가 있고, 감사위원회의 보조조직인 ▢▢▢▢는 동 위원회의 지휘·감독을 받아 업무를 수행한다는 원칙을 준수하여야 하며, 동 위원회의 사전 승인을 받지 아니하고 ▢▢▢▢의 인사 및 예산, 감사계획 수립, 일상적인 검사업무 등에 대해 씨티그룹 감사담당자와 사전에 협의하는 일이 없도록 유의할 필요가 있음 ㉰ 감사위원회 운영 은행은 감사위원회 운영강화를 위해 ｢감사위원회규정｣을 개정(2013.11.29.)하여 경영진의 참석기준 및 발언절차를 마련하였는데도 ◘◘◘◘◘은 2014년 6월까지 매 감사위원회 개최 시마다 ▣▣▣의 참석을 요청하는 형식으로 ▣▣▣의 감사위원회 참석을 보장하였고 이에 따라 ▣▣▣은 감사위원회에 참석하여 위원들이 질문하지 않았는데도 19회에 걸쳐 의사진행 발언을 하였는바, ▣▣▣의 감사위원회 참석 현황 * 2013년도 감사위원회규정 개정 이후에 개최된 감사위원회 ** 2014년도 6월 이후 개최 분 3회(9.1., 11,19., 12.10.)출석은 특정 안건 심의를 위한 감사위원회의 요청에 의한 것으로 동 감사위원회에서 ▣▣▣ 발언 3회는 감사위원의 질의에 대한 답변임 감사위원회의 독립적인 직무수행 및 위원회 운영강화를 위해 은행내규에서 마련한 경영진의 참석기준 및 발언절차 등을 철저히 준수할 필요가 있음 ⑸ 감독기관 업무보고체계 강화 은행은 대주주가 외국인인 경우 대주주 또는 대주주의 본국감독당국에서 검사 시 검사착수내용 및 검사결과 등을 금융감독원장에게 보고하여야 하는데도 씨티그룹 ▥▥▥에서 실시하는 내부검사에 대한 별도의 보고절차가 마련되어 있지 않아, 2013.2.18.∼2014.10.24. 기간 중 씨티그룹 ▥▥▥가 한국씨티은행 ◫◫◫◫ 등 ○○개 부서에 대해 ○○회의 내부검사를 실시하였는데도, 한국씨티은행 ◘◘◘가 동 검사의 착수 및 검사결과 상황을 적시에 파악하지 못하여* 감독기관에 대한 검사착수 및 검사결과 보고가 지연되는 사례가 발생하는 등 업무보고체계가 취약하므로, * 씨티그룹 ▥▥▥의 내부검사는 검사 착수 및 검사결과가 한국씨티은행의 ◘◘◘를 거치지 않고 수검부서에 직접 통보되며, 내부검사 관련 보고절차 등이 규정화 되어 있지 않아 수검부서로부터 ◘◘◘에 대한 보고도 제대로 이루어지지 않음 내부검사에 대한 수검업무 보고절차를 내규에 마련하는 등 감독기관에 대한 업무보고체계를 강화할 필요가 있음 ⑹ 내부감사 실시 강화 한국씨티은행의 ｢검사업무세칙｣ 제3조 등에 따르면 각 검사대상부서(점포)의 리스크 등을 감안하여 검사 실시주기를 적절하게 배분하여야 하는데도 검사대상 ○○개 부서 중 ○개 부서에 대해서는 2012년∼2014년 상반기 중 업무 처리의 적정성에 대한 검사를 한 번도 실시하지 않았는바, 앞으로 부서별 검사 실시주기를 적절하게 조정하여 검사 사각지대가 발생하지 않도록 유의할 필요가 있음 ⑺ 예산집행에 대한 통제절차 강화

□□□□□

□ 등 씨티그룹의 해외소재 계열사를 거래상대방으로 장외파생상품을 거래하고 있는데도, 동 계열사들에 대해 별도의 신용한도를 설정하지 않고 있어 파생상품 거래와 관련하여 적절한 리스크관리가 곤란하므로, 동 계열사의 리스크 등을 감안하여 신용한도를 설정하고 이를 내규에 반영할 필요가 있음