호주뉴질랜드 검사결과제재 (2024-12-05)

신용정보관리‧보호인 미지정 (舊) ｢신용정보의 이용 및 보호에 관한 법률(이하 “(舊) 신용정보법“)｣ 제20조 제3항 등에 의하면 은행은 신용정보관리‧보호인을 1명 이상 지정하여야 하는데도 호주뉴질랜드은행 서울지점(이하 “은행”)은 2009.10.2.～2017.3.14. 기간 중 신용정보관리‧보호인*을 지정하지 않은 사실이 있음 * 2017.3.15. 선임 < 관련법규 >

신용정보전산시스템 보안대책 수립·시행의무 위반 및 신용정보 관리기준 미준수 ｢신용정보의 이용 및 보호에 관한 법률(이하 “신용정보법”)｣제19조 제1항 및 제20조 제1항 등에 의하면 은행은 신용정보전산시스템에 대하여 금융위원회가 정하는 관리적 보안대책을 수립ㆍ시행하고 금융위원회가 정하는 신용정보관리기준을 준수하여야 하며, ｢신용정보업 감독규정｣ [별표3] ‘기술적‧물리적‧관리적 보안대책 마련 기준’ Ⅲ. 관리적 보안대책 및 [별표4의2] ‘신용정보 관리기준’에서는 신용정보관리‧보호 인이 기업신용정보의 수집·보유·제공·삭제 등 관리·보호 전반에 걸친 실태와 관행의 조사 및 개선, 기업신용정보의 유출 등을 방지하기 위한 내부통제시스템 구축, 정보유출 대응 매뉴얼(contingency plan) 마련 등의 업무를 하도록 하였음에도, 호주뉴질랜드은행 서울지점의 신용정보관리‧보호인은 은행의 신용정보 전산시 스템과 관련하여 해외 계열사 직원의 서울지점 기업신용정보에 대한 접근을 실효성 있게 통제하지 못하는 등, 동법 제19조 및 제20조, 감독규정 [별표3]에서 정한 신용 정보 유출 방지를 위한 내부통제시스템 구축 및 운영을 포함하는 관리적 보안대책을 적정하게 수립･시행하지 않았음 접근 통제에 대한 적정성 점검을 실시하거나 기업신용정보 유출을 방지하기 위해 신용정보 전산시스템에의 부적절한 접근권한을 재검토ㆍ제한할 수 있는 적절한 내부통제 절차를 마련하지 않아, 해외 계열사 직원의 동 시스템에 대한 부적절한 접근을 적절히 통제하지 못하는 등 동법 제19조 및 제20조, 감독규정 [별표3]에 따른 신용정보 관리･보호 실태와 관행의 조사 및 개선업무를 수행하지 않았음 또한, 검사종료일 현재까지 은행의 정보유출 대응 매뉴얼(contingency plan)을 마련하지 않는 등, 동법 제20조 및 감독규정 [별표4의2]에 따른 신용정보 관리기 준을 준수하지 않았음 < 관련법규 >

위험관리 전담조직 구성‧유지의무 위반 ｢금융회사의 지배구조에 관한 법률(이하 “지배구조법“)｣ 제27조 등에 의하면 금융회사는 위험관리업무가 효율적으로 수행될 수 있도록 충분한 경험과 능력을 갖춘 적절한 수의 인력으로 위험관리를 전담하는 조직을 구성·유지하여 위험관 리책임자의 직무수행을 지원하여야 하는데도 은행은 2019.8.1.~2021.3.21. 기간 중 위험관리책임자 본인만으로 위험관리 업무를 수행*하게 하는 등 위험관리책임자의 직무수행 지원을 위한 위험관리전담 조직을 구성·유지하지 않았음** * 자산총액 1천억 이상이므로 위험관리책임자 본인만으로 위험관리조직 운영 불가능(｢금융 회사 지배구조 감독규정｣ 제13조 제1항) ** 2021.3.22. 위험관리 전담조직을 마련하여 시정완료 < 관련법규 >