정보기술부문 인력기준 산정방법의 합리적 개선

(건의배경) 전자금융감독규정에 의거, 금융회사의 IT부문 인력은 총 임직원 수의 5/100 이상이 되도록 해야 하며, 자회사의 IT부문 인력은 일정 요건*을 충족하는 경우에 한해 필요인력으로 인정 * 모회사에 대한 전산·정보처리 등의 용역 제공을 전업으로 하는 회사(전업이 아닌 경우 모회사의 IT부문 인력규모 내에서 인정)

그러나 자회사의 IT인력 인정 요건이 규제 목적성에 비해 지나치게 엄격하여 금융회사의 인력 운영에 상당한 애로

(건의사항) 자회사의 전산용역 매출(물품판매 매출 등 제외) 중 모회사에 대한 매출 비중이 90% 이상일 때, 자회사의 IT부문 인력이 필요인력으로 인정받을 수 있도록 유연한 규정 적용 요청 * IT 자회사의 매출 현황 예시 (생략) ※ (관련법령 또는 지도) 전자금융감독규정 제8조, 전자금융감독규정 <별표1> 정보기술부문 및 정보보호 인력 산정기준

먼저, 전자금융감독규정 제8조제2항은 금융회사의 자체적인 보안역량 강화를 위해 ??11년 도입된 조항으로 금융회사의 부담 등을 감안하여 강행규정이 아닌 권고사항으로 운영하고 있습니다.

최근 금융권에 대한 침해위협이 점차 고도화?다양화되고 있고 대규모 정보유출 등 보안사고 발생 위험이 지속되는 등 금융회사의 자체 보안역량 강화를 위한 노력이 중요해지고 있습니다.

동 규정은 이러한 측면에서 금융회사 등에 권고하는 최소한의 기준을 제시한 것으로 참고로 해외사례의 경우 동 규정보다 높은 수준의 보안투자가 이루어지고 있음을 알려드립니다. * (해외사례) ??12년 기준 IT예산은 8.1%, IT인력은 9.5%(가트너그룹, IT Matrics, 2013)

귀사의 건의사항과 관련한 동 규정의 내용은 금융회사의 부담을 완화하기 위해 일정한 요건을 갖춘 외부 인력을 금융회사 자체인력으로 인정하는 것으로

해당 금융회사(모회사)를 위해 전업으로 전산?정보처리 용역을 제공하는 경우에는 - 모회사가 지분을 50% 이상 초과 소유하여 실질적인 지배력을 가지고 있으며, 해당 모회사만을 위해 전산?정보처리 용역을 제공하므로 자회사가 비록 독립된 업체라 하더라도 모회사 내부의 정보기술부문 부서와 동일한 기능을 수행한다고 보는 것입니다.

반면, 자회사라 하더라도 전산용역 매출 중 모회사에 대한 매출 비중이 100%가 아닌 경우에는 - 모회사의 업무를 전업으로 하지 않고 외부기업도 대상으로 영업을 하는 것이므로 모회사 내부의 정보기술부문 부서와 동일한 기능을 수행한다고 보기 어려우며 일반 외주업체와 유사*하다고 볼 수 있습니다. * 외주업체도 계약에 따라 특정 회사에 대한 전산?정보처리 등의 용역 제공 비중이 월등히 높을 수 있음 - 따라서 매출비중에 따른 기준만으로 외부 인력을 금융회사의 자체 인력으로 인정하기에는 어려운 점이 있다고 판단되며, - 이러한 경우에는 감독규정 <별표1>의 제2호 다목에 따라 모회사의 자체인력 범위 내에서 모회사의 정보기술부문 인력으로 인정되는 것이 타당하다고 하겠습니다.

따라서 물품판매 매출 등 용역업무 수행 간에 발생하는 매출과 용역매출이 모두 모회사를 대상으로 발생한다면,

전자금융감독규정 별표1. 정보기술부문 및 정보보호 인력 산정기준 2.. 가.(2) 상 “당해 금융회사 또는 전자금융업자에 대한 전산?정보처리 등의 용역 제공을 전업으로 하는 회사”에 해당함을 알려드립니다.