NO-ACTION OPINION · 11936 비조치의견

정보기술부문 인력기준 산정방법의 합리적 개선

금융안전과 · 2015-10-05

회신

출처 · 원문 발췌

일부수용

□ (건의배경) 전자금융감독규정에 의거, 금융회사의 IT부문 인력은 총 임직원 수의 5/100 이상이 되도록 해야 하며, 자회사의 IT부문 인력은 일정 요건*을 충족하는 경우에 한해 필요인력으로 인정

* 모회사에 대한 전산·정보처리 등의 용역 제공을 전업으로 하는 회사(전업이 아닌 경우 모회사의 IT부문 인력규모 내에서 인정)

ㅇ 그러나 자회사의 IT인력 인정 요건이 규제 목적성에 비해 지나치게 엄격하여 금융회사의 인력 운영에 상당한 애로

□ (건의사항) 자회사의 전산용역 매출(물품판매 매출 등 제외) 중 모회사에 대한 매출 비중이 90% 이상일 때, 자회사의 IT부문 인력이 필요인력으로 인정받을 수 있도록 유연한 규정 적용 요청

* IT 자회사의 매출 현황 예시 (생략)

※ (관련법령 또는 지도) 전자금융감독규정 제8조, 전자금융감독규정 <별표1> 정보기술부문 및 정보보호 인력 산정기준

□ 먼저, 전자금융감독규정 제8조제2항은 금융회사의 자체적인 보안역량 강화를 위해 ??11년 도입된 조항으로 금융회사의 부담 등을 감안하여 강행규정이 아닌 권고사항으로 운영하고 있습니다.

□ 최근 금융권에 대한 침해위협이 점차 고도화?다양화되고 있고 대규모 정보유출 등 보안사고 발생 위험이 지속되는 등 금융회사의 자체 보안역량 강화를 위한 노력이 중요해지고 있습니다.

ㅇ 동 규정은 이러한 측면에서 금융회사 등에 권고하는 최소한의 기준을 제시한 것으로 참고로 해외사례의 경우 동 규정보다 높은 수준의 보안투자가 이루어지고 있음을 알려드립니다.

* (해외사례) ??12년 기준 IT예산은 8.1%, IT인력은 9.5%(가트너그룹, IT Matrics, 2013)

□ 귀사의 건의사항과 관련한 동 규정의 내용은 금융회사의 부담을 완화하기 위해 일정한 요건을 갖춘 외부 인력을 금융회사 자체인력으로 인정하는 것으로

ㅇ 해당 금융회사(모회사)를 위해 전업으로 전산?정보처리 용역을 제공하는 경우에는

- 모회사가 지분을 50% 이상 초과 소유하여 실질적인 지배력을 가지고 있으며, 해당 모회사만을 위해 전산?정보처리 용역을 제공하므로 자회사가 비록 독립된 업체라 하더라도 모회사 내부의 정보기술부문 부서와 동일한 기능을 수행한다고 보는 것입니다.

ㅇ 반면, 자회사라 하더라도 전산용역 매출 중 모회사에 대한 매출 비중이 100%가 아닌 경우에는

- 모회사의 업무를 전업으로 하지 않고 외부기업도 대상으로 영업을 하는 것이므로 모회사 내부의 정보기술부문 부서와 동일한 기능을 수행한다고 보기 어려우며 일반 외주업체와 유사*하다고 볼 수 있습니다.

* 외주업체도 계약에 따라 특정 회사에 대한 전산?정보처리 등의 용역 제공 비중이 월등히 높을 수 있음

- 따라서 매출비중에 따른 기준만으로 외부 인력을 금융회사의 자체 인력으로 인정하기에는 어려운 점이 있다고 판단되며,

- 이러한 경우에는 감독규정 <별표1>의 제2호 다목에 따라 모회사의 자체인력 범위 내에서 모회사의 정보기술부문 인력으로 인정되는 것이 타당하다고 하겠습니다.

□ 따라서 물품판매 매출 등 용역업무 수행 간에 발생하는 매출과 용역매출이 모두 모회사를 대상으로 발생한다면,

ㅇ 전자금융감독규정 별표1. 정보기술부문 및 정보보호 인력 산정기준 2.. 가.(2) 상 “당해 금융회사 또는 전자금융업자에 대한 전산?정보처리 등의 용역 제공을 전업으로 하는 회사”에 해당함을 알려드립니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.