금융투자업 정보기술부문 프로그램 통제 가이드라인 제6조 (운영시스템 적용·배포)

①

금융회사 및 전자금융업자는 운영시스템 적용 승인 관련 책임자(전자금융감독규정 제29조 제6호의 책임자를 말한다.)의 범위를 내규에서 정의하여야 하고 운영시스템 적용 건별로 책임자를 사전에 지정·관리하여야 한다.

②

제1항에도 불구하고, 운영시스템 적용 승인 관련 책임자의 범위에서 직무전결규정 등을 고려하여 운영시스템에 적용하고자 하는 프로그램의 개발자와 동일한 조직에 속하고 있으면서 동일한 권한 또는 지위를 가진 인력은 제외하여야 한다.

③

운영시스템 적용 승인 관련 절차(운영시스템 긴급 적용, 비상대책 등 긴급 사항 관련 절차도 포함한다.) 및 책임자 권한의 위임 가능 여부는 내규에서 사전에 정의하여야 한다.

④

금융회사 및 전자금융업자는 사전에 지정된 운영시스템 적용 승인 관련 책임자를 프로그램 개발자, 책임자 또는 업무 담당자(현업) 등이 임의로 변경하지 못하도록 조치하여야 하며, 책임자 긴급 변경이 필요한 경우에는 IT감사자 또는 내부 감사자, IT개발 담당 임원 등의 승인을 득하는 절차를 수립·운영하여야 한다.

⑤

개발 및 테스트가 완료된 프로그램의 운영시스템 적용은 장애로 인한 고객 피해 감소를 위하여 고객 접속이 적은 시간대(또는 야간)에 수행하여야 한다. 단, 고객 피해가 예상되는 등 긴급한 적용이 필요하거나, 대고객 영향이 없는 운영시스템 적용 방식의 경우(단, 구체적 사례, 상황, 또는 적용 방식이 내규에 사전 정의된 경우에 한한다)에는 책임자 사전 승인 하에 즉시 수행할 수 있다.

⑥

프로그램의 운영시스템 적용시에는 IT감사자, 내부 감사자, 내부통제 담당자, IT개발 담당 임원 중 최소 한명이 테스트 및 승인 절차가 모두 수행되고 있는지 확인하여야 한다.